Bảo mậtcho thiết bị router part 8

[admin]

1.Bảo vệ IP nguồn


Tính năng bảo vệ IP nguồn (IP Source Guard) thêm vào một trong những bước kiểm tra trong thuật toán DHCP snooping. Khi được sử dụng cùng với tính năng DHCP snooping, tính năng bảo vệ IP nguồn (IP Source Guard) kiểm tra địa chỉ nguồn của gói tin nhận được cùng với cơ sở dữ liệu của DHCP snooping. Một cách thức khác là nó kiểm tra cả địa chỉ nguồn IP và địa chỉ nguồn MAC với cùng cơ sở dữ liệu đó. Nếu các thành phần không giống nhau, khung tin sẽ bị lọc bỏ.

Để đánh giá tốt hơn đặc điểm này, hãy xem xét ví dụ DHCP snooping trong câu lệnh dưới đây. Chú ý rằng từng hàng liệt kê ra địa chỉ MAC và địa chỉ IP và các cổng. Các hàng này được trích ra từ những cổng mà DHCP snooping không tin cậy, trong đó DHCP snooping xây dựng các hàng này dựa trên địa chỉ MAC nguồn, địa chỉ IP nguồn và các thông điệp yêu cầu DHCP.



SW1# show ip dhcp snooping binding

Mac Address Ip Address Lease(sec) Type VLAN Interface

----------- ---------- --------------- -------------------

02:00:01:02:03:04 172.16.1.1 3412 dhcp-snooping 3 FastEthernet0/1

02:00:AA:BB:CC:DD 172.16.1.2 4916 dhcp-snooping 3 FastEthernet0/2



Tính năng bảo vệ địa chỉ IP nguồn được bật lên trong chế độ cổng. Để chỉ kiểm tra địa chỉ nguồn IP, hãy dùng lệnh ip verify source. Một lệnh khác để thay thế là ip verify source port-security để kiểm tra cả địa chỉ IP nguồn và địa chỉ MAC nguồn.

Một cách tuỳ chọn, bạn có thể dùng lệnh ip source binding mac-address VLAN VLAN-id ip-address interface interface-id để tạo ra các hàng sẽ được dùng bên cạnh cơ sở dữ liệu của DHCP snooping.

Ví dụ, với tính năng bảo vệ địa chỉ IP nguồn được bật lên cùng với lệnh ip verify source trong cổng F0/1, những gói tin duy nhất được phép đi vào cổng sẽ là những gói tin có địa chỉ nguồn là 172.16.1.1. 2.Xác thực 802.1X sử dụng EAP


Switch có thể dùng IEEE 802.1X để thực hiện xác thực người dùng, bên cạnh cách dùng xác thực các thiết bị như trong các đặc điểm mô tả trước đây. Xác thực người dùng yêu cầu người dùng nhập vào username và password được kiểm tra bởi một máy chủ RADIUS trước khi một switch có bật switchport cho việc sử dụng bình thường.

Việc yêu cầu tên người dùng và mật khẩu ngăn ngừa kẻ tấn công dùng máy PC của người khác tấn công vào mạng mà không cần vượt qua xác thực tên người dùng và mật khẩu của 802.1X.

IEEE 802.1X định nghĩa một vài chi tiết của xác thực người dùng LAN nhưng nó cũng dùng giao thức xác thực có thể gia hạn (Extensible Authentication Protocol - EAP), là một chuẩn trên Internet (RFC 3748), như là giao thức bên dưới cho tiến trình xác thực. EAP bao gồm các thông điệp qua đó người dùng sẽ bị yêu cầu nhập một mật khẩu hoặc tạo ra các mật khẩu dùng một lần (OTP) theo RFC 2289. Hình 21.7 mô tả tiến trình tổng thể của xác thực người dùng trong LAN. Các chi tiết trong từng thông điệp không được đề cập đến.



Hình 21.7: Quá trình xác thực của 802.1X

Hình trên đưa ra vài khái niệm tổng quát và vài khái niệm mới. Đầu tiên các thông điệp EAP được đóng gói trực tiếp bên trong một khung tin Ethernet khi được gửi giữa 802.1X người yêu cầu (là thiết bị của người dùng) và một máy xác thực 802.1X (là switch).

Các khung tin này được gọi là EAP thông qua LAN (EAPoL). Tuy nhiên RADIUS mong đợi các thông điệp EAP trong một dạng cấu trúc dữ liệu được gọi là thuộc tính RADIUS, với các thuộc tính này nằm bên trong một thông điệp RADIUS bình thường. Để hỗ trợ hai giao thức này, switch sẽ thông dịch giữa EAPoL và RADIUS cho những thông điệp cần truyền giữa người yêu cầu và máy chủ xác thực.

Phần còn lại của hình mô tả một cái nhìn đơn giản cho toàn bộ quá trình xác thực. Switch và supplicant tạo ra một OTP dùng một khóa tạm, sau đó switch sẽ truyền các yêu cầu xác thực đến máy chủ. Switch (là máy xác thực) phải nhận biết được kết quả (bước 3) bởi vì switch có trách nhiệm bật các cổng lên khi người dùng đã xác thực xong.

Vai trò của 802.1X trong hình trên được tóm tắt như sau:

• Người yêu cầu (Supplicant): là 802.1X cung cấp tên người dùng/mật khẩu đến người dùng và gửi/nhận các thông điệp EAPoL.
• Máy xác thực (Authenticator): Thông dịch giữa các thông điệp EAPoL và thông điệp RADIUS trong cả hai chiều. Sau đó sẽ bật các cổng của switch lên dựa trên kết quả của xác thực thành công hay thất bại.
• Máy chủ kiểm tra xác thực (Authentication server): Lưu trữ tên/mật khẩu và kiểm tra rằng các giá trị đúng được nhập vào trước khi xác thực người dùng.

Switch sẽ xem cấu hình 802.1X là một tùy chọn khác của xác thực AAA dùng các bước sau:

• Bước 1: Cũng giống như các phương thức xác thực AAA khác, hãy bật AAA bằng lệnh ở chế độ toàn cục aaa newmodel.
• Bước 2: Cũng như các cấu hình khác dùng máy chủ RADIUS, định nghĩa địa chỉ IP và khóa bằng cách lệnh radius-server host và radius-server key.
• Bước 3: Tương tự như cấu hình xác thực, định nghĩa phương thức xác thực 802.1X bằng lệnh aaa authentication dot1x default hoặc bằng lệnh aaa authentication dot1x group name.
• Bước 4: Bật cấu hình 802.1X ở chế độ toàn cục bằng lệnh dot1x system auth-control.
• Bước 5: Gán mỗi cổng muốn chạy 802.1X một trong ba tùy chọn là dot1x port-control {auto | force-authorized | force-unauthorized} interface
  • Sử dụng 802.1X (từ khoá auto)
  • Không sử dụng 802.1X, nhưng giao tiếp là tự động được xác thực (từ khoá force-authorized). Mặc định sử dụng phương pháp này.
  • Không sử dụng 802.1X, nhưng cổng được tự không xác thực (từ khoá force-unauthorized)

Ví dụ dưới đây mô tả cách cấu hình 802.1X đơn giản trên Switch 3550. Máy chủ gắn vào các cổng F0/1 và F0/2 và hai người dùng đang gắn vào F0/3 và F0/4. Ngoài ra xem xét F0/5 như một cổng không dùng.

Chú ý rằng phương thức duy nhất được dùng cho xác thực 802.1X trong Cat 3550 là RADIUS.

Đầu tiên, bật AAA lên, đinh nghĩa 802.1X phải dùng một nhóm các máy RADIUS.



aaa new-model

aaa authentication dot1x default group radius

dot1x system auth-control



Kế tiếp, các lệnh định nghĩa nhóm các máy chủ RADIUS mặc định. Các lệnh này không thay đổi so với ví dụ trước đây.



radius-server host 10.1.1.1 auth-port 1812 acct-port 1646

radius-server host 10.1.1.2 auth-port 1645 acct-port 1646

radius-server key cisco



Các cổng dùng để gắn cho máy chủ (fa0/1 and fa0/2), bên trong một trung tâm dữ liệu, không cần phải cấuhình xác thực 802.1x.



int fa0/1

dot1x port-control force-authorized

int fa0/2

dot1x port-control force-authorized



! The client ports (fa0/3 and fa0/4) require 802.1x authentication.

int fa0/3

dot1x port-control auto

int fa0/4

dot1x port-control auto



Các cổng không được sử dụng (Fa0/5) được cấu hình để trong chế độ không được xác thực cho đến khi nào lệnh dot1x port-control được cấu hình lại cho cổng này. Vì vậy, cổng này chỉ cho phép các giao thức như CDP, STP và EAPoL.



int fa0/5

dot1x port-control force-unauthorized

[dangquangminh]

Các vấn đề và mối quan ngại trong điện toán đám mây

Khi tổ chức chuyển sang mô hình điện toán đám mây, có rất nhiều mối đe dọa tiềm tàng cần xem xét. Ví dụ, mặc dù dữ liệu của bạn “nằm trên mây”, nhưng thực chất nó vẫn phải tồn tại tại một vị trí vật lý nào đó. Nhà cung cấp dịch vụ đám mây cần cam kết bằng văn bản về mức độ bảo mật phù hợp với yêu cầu của khách hàng. Dưới đây là một số câu hỏi quan trọng bạn nên đặt ra trước khi ký hợp đồng với nhà cung cấp:

• Ai có quyền truy cập? Kiểm soát truy cập là một vấn đề then chốt vì tấn công từ nội bộ luôn là mối nguy lớn. Bất kỳ ai được cấp quyền truy cập đều có thể trở thành hacker tiềm năng. Bạn cần biết ai có quyền truy cập, họ đã được kiểm tra lý lịch như thế nào. Kể cả không có ác ý, một nhân viên có thể nghỉ việc và bạn mất quyền truy cập, hoặc dịch vụ bị hủy do không thanh toán.
• Yêu cầu tuân thủ quy định của bạn là gì? Các tổ chức ở Mỹ, Canada hoặc Liên minh Châu Âu có những yêu cầu pháp lý như ISO/IEC 27002, EU-U.S. Privacy Shield, ITIL, COBIT,… Bạn cần đảm bảo nhà cung cấp có thể đáp ứng và sẵn sàng tham gia kiểm định, đánh giá định kỳ.
• Bạn có quyền kiểm toán không? Nhà cung cấp cần đồng ý bằng văn bản về điều kiện kiểm toán. Việc duy trì sự tuân thủ trên môi trường đám mây có thể khó khăn hơn nhiều, đặc biệt khi các kiểm toán viên chưa quen thuộc với mô hình điện toán đám mây.
• Nhà cung cấp đào tạo nhân viên như thế nào? Yếu tố con người luôn là mắt xích yếu nhất trong bảo mật. Việc đào tạo nhân viên là điểm quan trọng cần đánh giá.
• Nhà cung cấp có hệ thống phân loại dữ liệu không? Họ có sử dụng tiêu chuẩn nào không? Nếu không phân loại dữ liệu, việc bảo mật sẽ thiếu hiệu quả.
• Dữ liệu của bạn được tách biệt như thế nào? Liệu dữ liệu được đặt trên máy chủ riêng hay máy chủ chia sẻ? Trên máy chủ chia sẻ, có nguy cơ dữ liệu bị trộn lẫn và tài nguyên bị giới hạn.
• Dữ liệu có được mã hóa không? Dữ liệu có được mã hóa khi lưu trữ (at rest) và khi truyền tải (in transit) không? Mã hóa nào được sử dụng – DES hay AES? Ai là người giữ khóa mã hóa?
• Điều khoản thỏa thuận dịch vụ (SLA) như thế nào? SLA là cam kết chính thức về mức độ dịch vụ mà nhà cung cấp đảm bảo với khách hàng.
• Tính bền vững lâu dài của nhà cung cấp ra sao? Nhà cung cấp hoạt động được bao lâu? Nếu họ phá sản thì dữ liệu của bạn sẽ thế nào, có được trả lại không và dưới định dạng nào?
• Nhà cung cấp có chịu trách nhiệm khi xảy ra sự cố bảo mật không? Trong trường hợp bị tấn công, bạn sẽ được hỗ trợ gì? Dù nhà cung cấp có thể quảng cáo rằng hệ thống “không thể bị hack”, nhưng thực tế các dịch vụ đám mây là mục tiêu hấp dẫn cho tin tặc.
• Kế hoạch khôi phục sau thảm họa (DR) và duy trì hoạt động (BCP) là gì? Mọi trung tâm dữ liệu đều có thể đối mặt với thiên tai, cháy nổ, mất điện,... Nhà cung cấp sẽ phản ứng thế nào và đảm bảo duy trì dịch vụ ra sao?
• Sau khi kết thúc hợp đồng, dữ liệu sẽ ra sao? Bạn cần biết rõ dữ liệu sẽ bị xóa hay được hoàn trả, và dưới định dạng gì.

---

Các hình thức tấn công điện toán đám mây

Do dịch vụ đám mây có thể truy cập qua Internet, chúng trở thành mục tiêu của nhiều hình thức tấn công khác nhau. Khi ngày càng nhiều doanh nghiệp chuyển lên đám mây, hacker cũng sẽ theo chân. Một số hình thức tấn công bao gồm:

• Chiếm phiên (Session Hijacking): Hacker nghe lén và chiếm quyền kiểm soát một phiên truy cập hợp lệ vào dịch vụ đám mây.
• Tấn công DNS: Dẫn dụ người dùng vào trang giả mạo để đánh cắp thông tin xác thực.
• Cross-site Scripting (XSS): Đánh cắp cookie để truy cập như người dùng đã xác thực.
• SQL Injection: Lợi dụng lỗ hổng để thực thi lệnh SQL trái phép trên hệ thống cơ sở dữ liệu.
• Session Riding (CSRF): Dẫn dụ người dùng đã đăng nhập thực hiện hành động trái phép thông qua email hoặc liên kết độc hại.
• Tấn công DDoS: Dịch vụ đám mây có thể dễ bị tổn thương hơn do tính chia sẻ, và thiệt hại từ DDoS có thể nghiêm trọng hơn.
• Tấn công trung gian (On-path/MITM): Hacker đứng giữa hai bên giao tiếp để nghe lén hoặc chỉnh sửa dữ liệu.
• Tấn công kênh bên (Side-channel): Tạo máy ảo độc hại nằm gần máy chủ đích để khai thác thông tin qua hành vi bên ngoài.
• Tấn công xác thực: Cơ chế xác thực thường bị nhắm đến. Hacker có thể khai thác yếu điểm trong phương pháp xác thực hoặc quá trình bảo vệ xác thực.
• Tấn công API: Nếu API cấu hình không đúng, hacker có thể lợi dụng để thay đổi, xóa hoặc thêm dữ liệu trái phép.

---

Bảo mật điện toán đám mây

Dù sử dụng mô hình nào, bảo mật trong điện toán đám mây là trách nhiệm chia sẻ giữa khách hàng và nhà cung cấp. Các điều khoản bảo mật cần được thống nhất rõ trong hợp đồng, bao gồm khôi phục sau thảm họa, SLA, tính toàn vẹn dữ liệu, mã hóa,… Ví dụ: mã hóa có được thực hiện từ đầu đến cuối không? Ai giữ khóa mã hóa? Về tổng thể, bạn nên đảm bảo nhà cung cấp có các lớp bảo mật tương đương với hệ thống bạn tự kiểm soát – gồm bảo mật logic, vật lý và hành chính.