BỘ LAO ĐỘNG - THƯƠNG BINH VÀ XÃ HỘI
TRƯNG CAO ĐNG ĐẠI VIỆT SÀI GÒN
GIO TRNH
MÔN HC: ANH NINH MẠNG
NGÀNH: CÔNG NGHỆ THÔNG TIN
TRNH Đ: CAO ĐNG
(Lưu hành nội bộ)
2
LI GIỚI THIỆU
Với sự bùng nổ của Công nghệ thông tin vào cuối thế kỷ XX đầu thế kỷ XXI, nhân
loại đang bước vào một thời đại mới: Thời đại của nền kinh tế thông tin toàn cầu hóa. Mọi
hoạt động xã hội, chính trị, kinh tế trong thời đại mới hiện nay xét cho cùng, thực chất đều
là những hoạt động thu thập, xử lý, lưu trữ và trao đổi thông tin. Trong
bối cảnh đó An toàn và Bảo mật thông tin luôn là mối quan tâm hàng đầu trong mọi giao
dịch xã hội, đặc biệt là giao dịch điện tử trên môi trường Internet, một môi trường mở,
môi trường không được tin cậy.
Gần đây, môn học “An toàn và bảo mật thông tin” đã được đưa vào giảng dạy tại
hầu hết các Khoa Công nghệ Thông tin của các trường đại học và cao đẳng. Do các ứng
dụng trên mạng internet ngày các phát triển và mở rộng, nên an toàn thông tin trên mạng
đã trở thành nhu cầu bắt buộc cho mọi hệ thống ứng dụng. Giáo trình gồm 6 bài.
Bài 1: Các khái niệm cơ bản về an toàn thông tin
Bài 2: Những điểm yếu và phương pháp tấn công vào hệ thống
Bài 3: Hạ tầng cơ sở an toàn thông tin
Bài 4: Mật mã công khai mô hình ứng dụng
Bài 5: Các chính sách và quy trình thực thi an toàn thông tin trên hệ thống
3
MỤC LỤC
LI GIỚI THIỆU .........................................................................................................2
GIO TRNH MÔN HC/MÔ ĐUN .........................................................................7
YÊU CẦU VỀ ĐNH GI HOÀN THÀNH MÔN HC/MÔ ĐUN .......................9
BÀI 1: CC KHI NIỆM CƠ BẢN VỀ AN TOÀN THÔNG TIN........................11
1. Thế nào là an toàn thông tin..................................................................................11
1.1 Định nghĩa...........................................................................................................11
1.2. Vai trò của an toàn thông tin: Yếu tố con người, công nghệ.............................12
1.2.1 Giới hạn quyền hạn tối thiểu (Last Privilege).............................................12
1.2.2. Bảo vệ theo chiều sâu (Defence In Depth).................................................12
1.2.3. Nút thắt (Choke Point)................................................................................12
1.2.4. Điểm nối yếu nhất (Weakest Link)..............................................................12
1.2.5. Tính toàn cục ..............................................................................................12
1.2.6. Tính đa dạng bảo vệ ...................................................................................12
1.3 Các chính sách về an toàn thông tin ...................................................................12
1.3.1. Quyền truy nhập .........................................................................................13
1.3.2. Đăng ký tên và mật khẩu. ...........................................................................13
1.3.3. Mã hoá dữ liệu............................................................................................13
1.3.4. Bảo vệ vật lý ...............................................................................................13
1.3.5. Tường lửa ...................................................................................................13
1.3.6. Quản trị mạng.............................................................................................13
2. Kiểm soát truy cập .......................................................................................14 3. Xác
thực.......................................................................................................14 3.1.
Kerberos.......................................................................................................15 3.2.
CHAP...........................................................................................................17 3.3.
Chứng nhận..................................................................................................18 3.4.
Username/Password.....................................................................................20 3.5.
Tokens..........................................................................................................20 3.6. Multi-
Factor (Đa thành phần)......................................................................21 3.7. Mutual
Authentication (Chứng thực tương hỗ)...........................................21 3.8. Biometrics
(Sinh trắc học)...........................................................................21 4. Những dịch vụ và
phương thức không thiết yếu .........................................21 4.1. Các giao thức xoá bỏ
những hệ thống .........................................................21 4.2. Chương trình không cần
thiết. .....................................................................22 5. Các topo mạng an
toàn ................................................................................22 5.1. Các vùng an
toàn .........................................................................................22 5.2.
VLANs.........................................................................................................24 5.3.
NAT .............................................................................................................24 5.4.
Tunneling.....................................................................................................28 6. Xác
định rủi ro .............................................................................................29 6.1. Xác định
tài nguyên.....................................................................................29 6.2. Đánh giá rủi
ro .............................................................................................29 6.3. Xác định mối đe
dọa ....................................................................................29 6.4. Các điểm
yếu ...............................................................................................30 6.5. An toàn thông
tin bằng mật mã..........................................................................30 6.65. Vai trò của hệ
mật mã ......................................................................................30
4
6.7. Phân loại hệ mật mã ...........................................................................................31
6.8. Tiêu chuẩn đánh giá hệ mật mã..........................................................................31
6.8.1. Độ an toàn.................................................................................................. 31
6.8.2. Tốc độ mã và giải mã................................................................................. 32
6.8.3. Phân phối khóa .......................................................................................... 32 Bài
tập của học viên ..................................................................................................32
BÀI 2 NHỮNG ĐIỂM YẾU VÀ PHƯƠNG PHP TẤN CÔNG VÀO HỆ
THỐNG ........................................................................................................................33 1.
Các kiểu tấn công ..................................................................................................33 1.1.
DOS/DDOS – từ chối dịch vụ....................................................................... 33 1.2 Back
Door – cửa sau ...................................................................................... 34 1.3 Spoofing –
giả mạo ........................................................................................ 35 1.4 Man in the
Middle.......................................................................................... 35 1.5
Replay ............................................................................................................ 35 1.6 TCP/IP
Hijacking........................................................................................... 36 1.7 Social
Engineering ......................................................................................... 36 1.8 Password
Guessing – Đoán mật khẩu............................................................ 37 1.8.1 Brute Force
................................................................................................. 38 1.8.2 Dictionary
................................................................................................... 38 1.9 Software
Exploitation .................................................................................... 38 2. Malicious Code –
Các mã độc hại.........................................................................39 2.1
Viruses ........................................................................................................... 39 2.2 Trojan
Horses................................................................................................. 40 2.3 Logic
Bombs.................................................................................................. 40 2.4
Worms............................................................................................................ 40 3. Social
Engineering ................................................................................................41 3.1 Tấn công
dựa trên yếu tố con người .............................................................. 41 4. Auditing –
Logging, system scanning...................................................................42 Bài tập của học
viên ..................................................................................................44 BÀI 3 HẠ TẦNG
CƠ SỞ AN TOÀN THÔNG TIN.................................................46 1.Truy cập từ
xa.........................................................................................................46 1.1.
802.1x............................................................................................................ 46 1.2.
VPN............................................................................................................... 46 1.3.
RADIUS........................................................................................................ 47 1.4.
TACACS / +.................................................................................................. 48 1.5. L2TP /
PPTP ................................................................................................. 48 1.6.
SSH ............................................................................................................... 49 1.7.
IPSEC............................................................................................................ 49 1.8. Tính dễ
bị tổn thương.................................................................................... 49 2.
Email ............................................................................................................49 3.
WEB.............................................................................................................50 3.1.
SSL/TLS................................................................................................. 50 3.2. HTTP /
S................................................................................................. 51 3.3. Tính dễ bị tổn
thương ............................................................................. 52 3.3.1.
Spam.............................................................................................................52 3.3.2. Đánh
lừa.......................................................................................................52 3.4. Tính dễ bị tổn
thương ............................................................................. 52 3.4.1. Java
Script....................................................................................................52
5
3.4.2. ActiveX.........................................................................................................53
3.4.3. Tràn bộ đệm.................................................................................................53
3.4.4. Cookies ........................................................................................................53
3.4.5. Signed Applets .............................................................................................53
3.4.6. CGI ..............................................................................................................54
3.4.7. SMTP Relay .................................................................................................55 4.
File Transfer.................................................................................................55
4.1. S / FTP ....................................................................................................55 4.2.
Blind FTP / Giấu tên ...............................................................................55 4.3. Chia
sẻ File .............................................................................................57 4.4. Tính dễ bị
tổn thương..............................................................................57 4.5. Packet
Sniffing........................................................................................57
5. Thiết bị.........................................................................................................58 5.1.
Firewall ...................................................................................................58 5.2.
Router......................................................................................................58 5.3.
Switch......................................................................................................58 5.5.
RAS.........................................................................................................59 5.6.
Telecomm / PBX.....................................................................................59 5.7.
VPN.........................................................................................................61 5.8.
IDS ..........................................................................................................61
6. Phương tiện truyền thông ............................................................................65 6.1.
Coax ........................................................................................................65 6.2. UTP /
STP...............................................................................................66 6.3.
Fiber ........................................................................................................66 6.4.
Phương tiện truyền thông có thể dời đi được..........................................67
6.4.1 Băng từ.........................................................................................................67
6.4.2. CD-R............................................................................................................68
6.4.3. Ổ cứng..........................................................................................................69
6.4.4. Đĩa ...............................................................................................................71
6.4.5. Flash Card ...................................................................................................71
6.4.6. SmartCard....................................................................................................72 7.
Kiểm tra .......................................................................................................73 Bài tập
của học viên..................................................................................................73
BÀI 4 MẬT MÃ CÔNG KHAI MÔ HNH ỨNG DỤNG .......................................74 1.
Attacks ..................................................................................................................74 1.1.
Weak Keys.....................................................................................................74 1.2.
Mathematical .................................................................................................74 1.3.
Birthday .........................................................................................................75 2. Các thuật
giải (Algorithms) ..................................................................................75 2.1. Cơ sở toán
học ...............................................................................................76 2.2.
Hashing..........................................................................................................76 2.2.1 Các
yêu cầu .................................................................................................76 2.2.2 Các hàm
hash đơn giản...............................................................................76 2.2.3 Tính an toàn của
hàm Hash và MAC. .........................................................77 2.2.4 Các thuật toán Hash và
MAC......................................................................77 2.2.4.1 Các thuật toán Hash và
MAC...................................................................77 2.2.4.2 Thuật toán Hash an toàn SHA
(Secure Hash Algorithm) ........................77 2.3. Symmetric: RSA, Diffe-
Hellman ..................................................................82
6
2.3.2 Diffe-Hellman...................................................................................................85
2.4. Asymmetric: DES, 3DES.............................................................................. 86
2.4.1. Giới thiệu chung về DES.................................................................................86
2.4.2. Mô tả thuật toán ..............................................................................................87
2.4.3. Hoán vị khởi đầu .............................................................................................87
2.4.4. Khoá chuyển đổi..............................................................................................87
2.4.5. Hoán vị mở rộng..............................................................................................88
2.4.6. Hộp thay thế S .................................................................................................88
2.4.7. Hộp hoán vị P..................................................................................................88
2.4.8. Hoán vị cuối cùng ...........................................................................................89
2.4.9. Giải mã DES....................................................................................................89
2.4.10. Phần cứng và phần mềm thực hiện DES.......................................................89
2.4.11. Sự an toàn của DES ......................................................................................90
2.4.12. Tranh luận về DES. .......................................................................................90
2.4.13. DES trong thực tế..........................................................................................91
2.4.14. Các chế độ hoạt động của DES.....................................................................92
Bài tập của học viên ..................................................................................................93
BÀI 5: CC CHÍNH SCH VÀ QUY TRNH THỰC THI AN TOÀN THÔNG TIN
TRÊN HỆ THỐNG .............................................................................................95 1. Phục
hồi sau sự cố........................................................................................95 1.1.
Backups .................................................................................................. 95 1.2. Secure
Recovery..................................................................................... 96 1.3. Kế hoạch hục hồi
sau sự cố (Disaster Recovery Plan)........................... 98 2. Tính liên tục trong kinh doanh
(Business ontinuity)................................. 100 2.1. Các tiện
ích ........................................................................................... 100 2.2. High
Availability/Fault Tolerance........................................................ 101 2.3
Backups........................................................................................................ 103 3. Chính
sách và các quy trình (Policy and Procedures)............................... 104 3.1. Chính sách an
toàn thông tin (Security Policy).................................... 104 3.2. Chính sách phản ứng trước
sự cố (Incident Response Policy)............. 105 4. Quản trị phân quyền (Privilege