Chương 1 Tổng quan về an ninh thông tin

Thông tin la một tài sản của cá nhân, tổ chức,do đó cần bảo vệ như tất cả những tài sản khác bằng những biện pháp phù hợp với biện pháp của thông tin. Thông tin tồn tại dưới nhiều hình thức khác nhau như in hoặc viết ra trên giấy lưu trữ bằng các thiết bị điện tử.
Nội dung trích xuất từ tài liệu:
Chương 1 "Tổng quan về an ninh thông tin" Tổng quan về bảo mật thông tin Nội dung 1. Mô hình bảo mật cổ điển 2. Mô hình bảo mật X.800 3. Chuẩn an ninh thông tin ISO 27001 4. Các nguy cơ bảo mật hệ thống hiện nay Information security, PTITHCM, 2012 Bảo mật thông tin Information Computer Network security security security Information security, PTITHCM, 2012 Mô hình CIA Thế nào là một hệ thống an toàn (secure system)? C = Confidentiality I = Integrity A = Availability Information security, PTITHCM, 2012 Tính bí mật (C) Giới hạn các đối tượng được phép truy xuất đến các tài nguyên hệ thống. Bí mật về nội dung thông tin Bí mật về sự tồn tại thông tin. Cơ chế đảm bảo bí mật: Quản lý truy xuất (Access Control) Mật mã hóa (Encrypion) Information security, PTITHCM, 2012 Tính tòan vẹn (I) Thông tin không bị mất hoặc thay đổi ngòai ý muốn. Tòan vẹn về nội dung Tòan vẹn về nguồn gốc. Các cơ chế đảm bảo toàn vẹn: Hàm băm, chữ ký số Các giao thức xác thực Information security, PTITHCM, 2012 Tính sẵn sàng (A) Thông tin sẵn sàng cho các truy xuất hợp lệ. Là đ ặc t rưn g c ơ b ản n h ất c ủa h ệ t h ốn g t h ôn g t in . Các mô hình bảo mật hiện đại (ví dụ X.800) không đảm bảo tính khả dụng. Tấn công dạng DoS/DDoS nhắm vào tính khả dụng của hệ thống. Information security, PTITHCM, 2012 Tính hòan thiện của CIA Không đảm bảo “không từ chối hành vi” (non-repudiation) Không thể hiện tính “sở hữu” Không có sự tương quan với mô hình hệ thống mở OSI. => Cần xây dựng mô hình mới. Information security, PTITHCM, 2012 Chiến lược AAA (RFC 3127) Các cơ chế nhằm xây dựng hệ thống bảo mật theo mô hình CIA.  Access Control  Authentication  Auditing  Phân biệt với thuật ngữ AAA của Cisco (Authentication, Authorization, Accounting) Information security, PTITHCM, 2012 Access Control MAC (Mandatory Access Control) Quản lý truy xuất bắt buộc, dùng chung cho toàn bộ hệ thống DAC (Discretionary Access Control) Quyền truy xuất được gán tùy theo sở hữu của tài nguyên RBAC (Role-based Access Control) Quyền truy xuất gán theo vai trò trong hệ thống Information security, PTITHCM, 2012 Authentication User / password Cleartext, Challenge/response, Kerberos, … Biometric Vân tay, võng mạc, … Certificates Smart card Information security, PTITHCM, 2012 Auditing Auditing System events auditing NTFS access auditing System log Service log Command history System scanning Vulnerability scanning Base line analyzer Information security, PTITHCM, 2012 Triển khai giải pháp bảo mật Điều kiện để tấn công xảy ra: Threats + Vulnerability Cơ sở triển khai giải pháp: Chính sách an ninh thông tin Hiệu quả kinh tế của hệ thống thông tin Information security, PTITHCM, 2012 Security policy Tập các quy ước định nghĩa các trạng thái an tòan của hệ thống. P: tập hợp tất cả các trạng thái của hệ thống Q: tập hợp các trạng thái an tòan theo định nghĩa của security policy R: tập hợp các trạng của hệ thống sau khi áp dụng các cơ chế bảo mật.  R ⊆ Q: Hệ thống tuyệt đối an tòan  Nếu tồn tại trạng thái r ∈ R sao cho r∉Q: hệ thống không an tòan Information security, PTITHCM, 2012 Security mechanism Tập các biện pháp kỹ thuật hoặc thủ tục được triển khai để đảm bảo thực thi chính sách. Ví dụ:  Dùng cơ chế cấp quyền trên partition NTFS  Dùng cơ chế cấp quyền hệ thống (user rights)  Đưa ra các quy định mang tính thủ tục. … Information security, PTITHCM, 2012 Xây dựng hệ thống bảo mật Định nghĩa chính sách Triển khai cơ chế Information security, PTITHCM, 2012 Mô hình bảo mật X.800 (ITU_T) Xem xét vấn đề bảo mật trong tương quan với mô hình hệ thống mở OSI theo 3 phương diện: Security attack Security mechanism Security service  Các dịch vụ bảo mật được cung cấp dưới dạng các primitives tại từng lớp tương ứng của OSI Information security, PTITHCM, 2012 Security attack Passive attacks:  Tiết lộ thông tin  Phân tích lưu lượng Active attacks:  Thay đổi thông tin  Từ chối dịch vụ Information security, PTITHCM, 2012 Security services Access Control Authentication Data Confidentiality Data Integrity Non-repudiation Information security, PTITHCM, 2012 Security mechanisms Encipherment Digital Signature Access Control Data Integrity Authentication exchange Traffic padding …. Information security, PTITHCM, 2012