Luận Văn Một số dạng tấn công hệ thống thông tin và phòng tránh bằng xử lý các lỗ hổng thiếu an ninh 

Description: Tìm hiểu một số loại “lỗ hổng“ thiếu an ninh trong hệ thống thông tin (thông qua mạng máy tính, hệ điều hành, cơ sở dữ liệu, .). - Tìm hiểu một số dạng “tấn công“ hệ thống thông tin thông qua “lỗ hổng“. - Nghiên cứu phương pháp phòng tránh “tấn công“ bằng xử lý các “lỗ hổng

MỤC LỤC

LỜI CẢM ƠN




.

2

NHIỆ
M VỤ ĐỀ TÀI






3

BẢNG KÝ HIỆU CÁC TỪ VIẾT TẮT



.

4

MỤC LỤC






5

Chương 1
.

TỔNG QUAN VỀ AN TOÀN THÔNG TIN




8

1.1. VẤN ĐỀ AN TOÀN THÔNG TIN





8

1.1.1. Tại sao cần bảo đảm an toàn thông tin ?


.

8

1.1.2. Khái niệm về an toàn thông tin


.

8

1.2. NỘI DUNG CỦA AN TOÀN THÔNG TIN


.

9

1.2.1. Phương pháp bảo vệ thông tin





9

1.2.2. Nội dung an toàn thông tin





9

1.2.1.1. Mục tiêu của an toàn thông tin



.

9

1.2.2.2. Nội dung an toàn thông tin



.

10

1.2.2.3. Hành vi vi phạm thông tin



.

11

1.2.3. Các chiến lược bảo vệ hệ thống thông tin




12

1.2.3.
1. Giới hạn quyền hạn tối thiểu (Last Privilege)




12

1.2.3
.2. Bảo vệ t
heo chiều sâu (Defence In Depth)


.

12

1.2.3.
3. Nút thắt (Choke Point)


.

12

1.2.3.
4. Điểm yếu nhất (Weakest Point)




12

1.2.3.
5. Tính đa dạng bảo vệ





13

1.2.4. Một số giải pháp chung bảo đảm an toàn thông tin


.

13

1.2.4.
1. Chính sách




.

13

1.2.4.
2. Giải pháp






13

1.2.4.
3. Công nghệ






13

1.2.4.
4. Con người




.

13

1.2.5. Nội dung ứng dụng về an toàn thông tin


.

14

Chương 2.

“LỖ HỔNG” TRONG HỆ THỐNG THÔNG

TIN


.

15

2.1. CÁC LOẠI “LỖ HỔNG” TRONG HỆ THỐNG THÔNG TIN



15

2.1.1. Khái niệm “lỗ hổng” trong ATTT





15

2.1.2. Phân loại lỗ hổng





15

2.1.2.1. Phân loại lỗ hổng theo mức nguy hiểm




15

2.1.2.2. Phân
loại lỗ hổng theo chức năng nhiệm vụ




18

2.2. MỘT SỐ VÍ DỤ “LỖ HỔNG” CỤ THỂ


.

24

2.2.1. “Lỗ hổng” trong hệ điều hành





24

2.2.1.1. H
ệ thống có cấu hình không an toàn


.

24

2.2.1.2. Lỗ hổng mật khẩu cơ bản (Password
-
base
)




24

2.2.2. “Lỗ hổng” trong phần mềm ứng dụng


.

24

2.2.2.1. Chủ quan (lỗi do người viết phần mềm)


.

24

2.2.2.2.
Khách quan (từ người sử dụng)




24

2.2.3. “Lỗ hổng” trong hệ thống mạng



.

25

2.2.3.1. Nghe lén đường truyền, dò, đoán


.

25

2.2.3.2. Thiết kế kém, yếu



.

25

2.2.3.3. Lỗi phát sinh do thiết bị



.

25

2.2.3.
4. Các lỗi chưa biết (Zero Day)



.

26

2.2.4. Lỗ hổng cơ sở dữ liệu (database)





26

Chương 3.

MỘT SỐ DẠNG “TẤN CÔNG” HỆ THỐNG THÔNG TI
N THÔNG QUA
“LỖ HỔNG”






28


6

3.1. “TẤN CÔNG” HỆ THỐNG THÔNG TIN




28

3.1.1. Đối tượng tấn công



.

28

3.1.2. Một số hình thức tấn công thông tin




28

3.1.3. Các mức độ nguy hại đến hệ thống thông tin




29

3
.2. MỘT SỐ VÍ DỤ “TẤN CÔNG” VÀO “LỖ HỔNG” BẢO MẬT



30

3.2.1. Tấn công hệ điều hành


.

30

3.2.1.1. Tấn công Password của tài khoản ng
ười dùng trong Windows



30

3.2.1.2. Tấn công hệ thống Windows qua lỗ hổng bảo mật




33

3.2.1.3. Ví dụ khác






33

3.2.2. Tấn công trên mạng



.

34

3
.2.
2.
1. Tấn công từ chối dịch vụ



.

34

3.2.2.2. Tấn công
giả mạo hệ thống tên miền trên Internet


.

35

3.2.3. Tấn công cơ sở dữ liệu



.

35

Chương 4.

CÁC PHƯƠNG PHÁP PHÒNG TRÁNH “TẤN CÔNG” BẰN
G XỬ LÝ
“LỖ HỔNG”






38

4.1. BẢO VỆ AN TOÀN THÔNG TIN





38

4.1.1. Các lớp bảo vệ thông tin





38

4.1.1.1. Mã hoá dữ liệu



.

39

4.1.1.2. Quyền truy nhập





39

4.1.1.3.Kiểm soát truy nhập (Đăng ký tên /mật kh
ẩu)

.

39

4.1.1.4. Lá chắn




.

40

4.1.1.5. Bảo vệ vật lý



.

40

4.1.2. Các
công cụ bảo vệ thông tin





40

4.1.2.
1. Tường lửa




.

40

4.1.2.
2. Phần mềm quản trị người dùng và kiểm soát mạng



40

4.1.2.
3. Phần mềm chống virus, mã độc và gián điệp (spyware)

.

41

4.1.2.
4. Giám sát hành vi





41

4.1.2.
5. Dùng phiên bản trình duyệt mới


.

41

4.1.2.
6. Phần mềm mã hóa dữ liệu



.

41

4.2. PHÒNG TRÁNH TẤN CÔNG HỆ ĐIỀU HÀN
H




42

4.2.1. Phòng tránh tấn công hệ điều hành


.

42

4.2.2. Một số ví dụ cụ thể



.

43

4.2.2.1. Phòng tránh tấn công mật khẩu (password) của tài khoản người dùng

43

4.2.2.2. Phòng tránh tấn công hệ thống Windows qua lỗ hổng bảo mật

.

43

4.2.3.
Xây dựng hệ thống tường lửa (Firewalls)




44

4.2.
3
.1. Khái niệm tường lửa





44

4.2.
3.2. Ch
ức năng của tường lửa




45

4.2.
3.3. Phân loại tường lửa



.

45

4.2.
3.4. Nguyên tắc hoạt động của tường lửa




46

4.2.
3.5. Các bước xây dựng tường lửa



.

47

4.3. PHÒNG TRÁNH TẤN CÔNG PHẦN MỀM ỨNG DỤNG

.

48

4
.3.1. Chủ quan (lỗi do người viết phần mềm)




48

4.3.2. Khách quan (từ người sử dụng)



.

48

4.4. PHÒNG TRÁNH TẤN CÔNG MẠNG




49

4.4.1.
Mạng riêng ảo VPN (Virtual Private Network)




53

4.4.1.1. Khái niệm mạng riêng ảo





53

4.4.1.2. Các thành phần của mạng riêng ảo




54

4.4.2. Tổng quan về công nghệ IPSEC



.

55




7

4.4.2.1. Khái niệm IPSec





55

4.4.2.2. IPSec và mục đích sử dụng



.

56

4.4.2.3. Ưu điểm và hạn chế của IPSec



.

61

4.5. PHÒNG TRÁNH TẤN CÔNG CƠ SỞ DỮ LIỆU


.

62

4.5.1. Giải pháp phòng tránh tấn công cơ sở dữ liệu




63

4.5.2. Ví dụ

phòng tránh tấn công lỗ hổng SQL Injection attack



64

Chương 5.
THỬ NGHIỆM CHƯƠNG TRÌNH




65

5.1. VÍ DỤ PHÒNG TRÁNH TẤN CÔNG MẠNG




65

5.1.1. Giao diện chính





65

5.1.2. Hình ảnh khi chưa lập luật



.

66

5.1.3. Kết quả chạy chương trình khi lập luật cấm tất cả các cổng và giao thức

.

66

5.2. VIẾT CHƯƠNG TRÌNH “VÁ LỖ HỔNG” TRONG ARP



67

5.2.1. Giao thức phân giải địa chỉ ARP





67

5.2.1.1. Khái niệm




.

67

5.2.1.2. Nguy cơ an ninh của ARP



.

67

5.2.1.3. Minh họa chi tiết tình huống xảy ra




67

5.2.2. Giải pháp






68

5.2.3. Thực nghiệm

thực hiện giao thức ARP an toàn




68

5.2.4. Xây dựng chương trình ký và kiểm tra chữ ký (RSA)


.

69

5.2.3.1. Sơ đồ ký RSA





69

5.2.3.2. Ví dụ




.

70

5.2.3.3. Chương trình ký và kiểm tra chữ ký (RSA)




71

KẾT LUẬN




.

75

TÀI LIỆU THAM KHẢO




.

76