Bảo mật router part 9

[admin]

.Các khuyến cáo tổng quát cho bảo mật lớp 2


Ở đầu của chương này, Cisco đã nêu ra vài khuyến cáo cho người dùng và các cổng của switch không được sử dụng. Sau đây là các tóm tắt cho một vài khuyến cáo chung. Các khuyến cáo tổng quát bao gồm cấu hình xác thực VTP mức toàn cục trên toàn switch, đưa các cổng không sử dụng vào trong các VLAN chưa sử dụng và không dùng VLAN 1.

Cấu hình cho các khuyến cáo tổng quát này được mô tả trong chương 2. Thêm vào đó, Cisco khuyến cáo không dùng VLAN Native trên kết nối trung kế. Nguyên nhân là trong một vài trường hợp, một kẻ tấn công trên một cổng truy cập có thể nhảy từ cổng truy cập của một VLAN đến một kết nối trung kế dưới dạng VLAN Native. Dạng khung tin được dùng là 802.1q.

Kiểu tấn công này đã được chứng minh là không có hiệu quả đối với các switch của Cisco, tuy nhiên máy tấn công có thể tận dụng những lỗ hổng trong qui trình một switch xử lý khung tin, vì vậy tốt nhất không nên dùng VLAN Native trên các kết nối trung kế. Một cách đơn giản, khi ta tuân theo luật không dùng VLAN Native, ngay cả khi một máy tấn công cố gắng dùng kỹ thuật nhảy chặng VLAN, sẽ không có thiết bị này trong VLAN Native đó và hệ thống mạng không bị tổn thất gì. Thật ra, Cisco đề xuất sử dụng một VLAN Native khác trên kết nối trung kế để hạn chế kiểu tấn công này.

Khuyến cáo cuối cùng cho bảo mật lớp 2 là việc xem xét sử dụng VLAN dùng riêng để tiếp tục giới hạn lưu lượng. Như đã mô tả trong chương 2, các VLAN dùng riêng giới hạn các máy trên vài cổng không được gửi lưu lượng trực tiếp cho nhau. Hình 21.8 cho phép các dòng lưu lượng theo đường đứt nét. Nếu giữa hai thiết bị không có đường kết nối có nghĩa là VLAN dùng riêng đã ngăn ngừa các máy giao tiếp với nhau. Ví dụ PC1 và PC2 không được phép gửi khung tin cho nhau.





Hình 21.8: Mạng sử dụng VLAN dùng riêng

VLAN dùng riêng được tạo ra với một số cổng là kiểu hỗn tạp (promiscuous) trong VLAN chính với các kiểu cổng phân tách (isolated) và nhóm (community) trong một hoặc nhiều VLAN phụ.

Cổng phân tách có thể gửi các khung tin chỉ đến các cổng hỗn tạp trong đó các cổng dạng nhóm có thể gửi khung tin đến các cổng hỗn tạp và các cổng khác cùng nhóm trên cùng VLAN phụ.

VLAN dùng riêng có thể được áp dụng một cách tổng quát để đạt được bảo mật tốt hơn bằng cách cho các người dùng chỉ được truy cập các cổng loại hỗn tạp như máy chủ, router hoặc các dịch vụ mạng khác. Tuy nhiên các bổ sung gần đây cho các switch của Cisco chẳng hạn như DHCP snooping, DAI và bảo vệ IP nguồn là các chọn lựa tốt hơn.

Nếu VLAN dùng riêng được dùng, Cisco cũng khuyến cáo một vài cách thức bào vệ trong đó kẻ tấn công có thể dùng ngõ ra mặc định để vượt qua sự bảo vệ của VLAN dùng riêng.

Ví dụ trong hình 21.8, PC1 có thể gửi ra một khung tin có địa chỉ MAC đích là địa chỉ MAC của R1 nhưng với địa chỉ IP đích là địa chỉ của PC2 (10.1.1.2). R1 sau đó sẽ định tuyến gói tin đến PC2, vượt qua được vòng bảo vệ của VLAN dùng riêng. Để giải quyết vấn đề trên, router đơn giản cần một ACL trên cổng LAN để từ chối các lưu lượng có địa chỉ IP nguồn và đích cùng nằm trong mạng con cục bộ.

Trong ví dụ này, một access-list 101 deny ip 10.1.1.0 0.0.0.255 10.1.1.0 0.0.0.255 sẽ ngăn ngừa kiểu tấn công này. Dĩ nhiên là ta cần phải thêm vào vài phát biểu permit cho ACL này.

[dangquangminh]

Quản lý Kiểm soát Truy cập

Kiểm soát truy cập là các tính năng bảo mật quản lý cách người dùng và quy trình giao tiếp, tương tác với hệ thống và tài nguyên. Mục tiêu của việc triển khai kiểm soát truy cập là đảm bảo rằng người dùng và quy trình được ủy quyền có thể truy cập thông tin và tài nguyên, trong khi người dùng và quy trình không được ủy quyền bị ngăn chặn truy cập vào cùng các tài nguyên đó. Các mô hình kiểm soát truy cập gọi thực thể chủ động yêu cầu truy cập vào một đối tượng hoặc dữ liệu là chủ thể và thực thể thụ động được truy cập hoặc bị tác động là đối tượng.
Cách tiếp cận của một tổ chức đối với kiểm soát truy cập được gọi là tư thế bảo mật. Có hai cách tiếp cận cơ bản: mở và bảo mật. Mở, còn được gọi là cho phép mặc định, có nghĩa là quyền truy cập không bị cấm rõ ràng thì được phép. Bảo mật, còn được gọi là từ chối mặc định, có nghĩa là quyền truy cập không được phép rõ ràng thì bị cấm. Các quyết định truy cập nên xem xét các nguyên tắc bảo mật như cần biết và đặc quyền tối thiểu. Cần biết có nghĩa là có lý do được chứng minh và được ủy quyền để được cấp quyền truy cập thông tin. Đặc quyền tối thiểu có nghĩa là cấp cho chủ thể mức truy cập tối thiểu cần thiết để thực hiện công việc hoặc chức năng của họ.
Quá trình giành quyền truy cập bao gồm ba bước:

• Đối tượng nhận diện chủ thể. Nhận dạng là quá trình chủ thể cung cấp một định danh, chẳng hạn như tên người dùng, cho đối tượng.
• Chứng minh rằng chủ thể là chính họ. Xác thực là quá trình chủ thể cung cấp thông tin xác minh danh tính cho đối tượng.
• Xác định hành động mà chủ thể có thể thực hiện. Ủy quyền là quá trình gán cho các chủ thể đã xác thực các quyền và phép truy cập cần thiết để thực hiện một hoạt động cụ thể.

Thông tin xác thực được gọi là yếu tố. Có ba loại yếu tố:

• Kiến thức (một điều người dùng biết)
• Sở hữu (một thứ người dùng có)
• Đặc điểm (một thứ người dùng là)

Xác thực đơn yếu tố là khi chỉ một yếu tố được trình bày. Xác thực đa yếu tố là khi hai hoặc nhiều yếu tố được trình bày. Xác thực đa tầng là khi hai hoặc nhiều yếu tố cùng loại được trình bày. Xác thực ngoài băng tần yêu cầu giao tiếp qua một kênh khác biệt so với yếu tố đầu tiên. Phân loại dữ liệu, yêu cầu quy định, tác động của việc truy cập trái phép, và khả năng xảy ra mối đe dọa phải được xem xét khi quyết định mức độ xác thực cần thiết.
Sau khi xác thực hoàn tất, một mô hình ủy quyền xác định cách chủ thể truy cập đối tượng. Kiểm soát truy cập bắt buộc (MAC) được xác định bởi chính sách và không thể sửa đổi bởi chủ sở hữu thông tin. Kiểm soát truy cập tùy ý (DAC) được xác định bởi chủ sở hữu của đối tượng. Kiểm soát truy cập dựa trên vai trò (RBAC, còn gọi là không tùy ý) là các quyền truy cập dựa trên một vai trò hoặc chức năng cụ thể. Trong môi trường kiểm soát truy cập dựa trên quy tắc, truy cập dựa trên các tiêu chí độc lập với người dùng hoặc tài khoản nhóm, chẳng hạn như thời gian trong ngày hoặc vị trí.
Mối đe dọa bảo mật đám mây
Nhiều tổ chức đang chuyển sang đám mây hoặc triển khai các giải pháp lai để lưu trữ ứng dụng của họ. Các tổ chức chuyển sang đám mây hầu như luôn tìm cách chuyển từ chi tiêu vốn (CapEx) sang chi tiêu vận hành (OpEx). Hầu hết các công ty trong danh sách Fortune 500 hoạt động trong môi trường đa đám mây. Rõ ràng, bảo mật điện toán đám mây quan trọng hơn bao giờ hết. Bảo mật điện toán đám mây bao gồm nhiều chức năng tương tự như bảo mật CNTT truyền thống. Điều này bao gồm bảo vệ thông tin quan trọng khỏi bị đánh cắp, trích xuất dữ liệu, và xóa bỏ, cũng như bảo vệ quyền riêng tư.
Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) đã xuất bản Tài liệu Đặc biệt (SP) 800-145, “Định nghĩa của NIST về Điện toán Đám mây”, để cung cấp một bộ định nghĩa tiêu chuẩn cho các khía cạnh khác nhau của điện toán đám mây. Tài liệu SP 800-145 cũng so sánh các dịch vụ đám mây và chiến lược triển khai khác nhau.
Lợi ích của việc sử dụng dịch vụ dựa trên đám mây bao gồm:

• Lưu trữ phân tán
• Khả năng mở rộng
• Chia sẻ tài nguyên
• Truy cập từ bất kỳ đâu
• Dịch vụ đo lường
• Quản lý tự động

Theo NIST, các đặc điểm thiết yếu của điện toán đám mây bao gồm:

• Dịch vụ tự phục vụ theo yêu cầu
• Truy cập mạng rộng
• Chia sẻ tài nguyên
• Tính đàn hồi nhanh
• Dịch vụ đo lường

Mô hình triển khai đám mây bao gồm:

• Đám mây công cộng: Mở cho công chúng sử dụng
• Đám mây riêng: Chỉ được sử dụng bởi tổ chức khách hàng tại cơ sở (on-prem) hoặc tại khu vực dành riêng trong nhà cung cấp đám mây
• Đám mây cộng đồng: Được chia sẻ giữa nhiều tổ chức
• Đám mây lai: Bao gồm hai hoặc nhiều đám mây (bao gồm cả dịch vụ tại cơ sở)

Điện toán đám mây có thể được chia thành ba mô hình cơ bản sau:

• Cơ sở hạ tầng như một Dịch vụ (IaaS): IaaS mô tả một giải pháp đám mây nơi bạn thuê cơ sở hạ tầng. Bạn mua sức mạnh ảo để thực thi phần mềm của mình khi cần thiết. Điều này giống như chạy một máy chủ ảo trên thiết bị của riêng bạn, ngoại trừ việc bạn đang chạy một máy chủ ảo trên một đĩa ảo. Mô hình này tương tự như mô hình công ty tiện ích vì bạn trả tiền cho những gì bạn sử dụng.
• Nền tảng như một Dịch vụ (PaaS): PaaS cung cấp mọi thứ trừ ứng dụng. Các dịch vụ do mô hình này cung cấp bao gồm tất cả các giai đoạn của vòng đời phát triển hệ thống (SDLC) và có thể sử dụng giao diện lập trình ứng dụng (API), cổng web, hoặc phần mềm cổng. Các giải pháp này thường là độc quyền, có thể gây ra vấn đề nếu khách hàng rời khỏi nền tảng của nhà cung cấp.
• Phần mềm như một Dịch vụ (SaaS): SaaS được thiết kế để cung cấp một giải pháp trọn gói hoàn chỉnh. Phần mềm được thuê cho người dùng. Dịch vụ thường được cung cấp thông qua một số loại giao diện hoặc cổng web. Trong khi người dùng cuối có thể tự do sử dụng dịch vụ từ bất kỳ đâu, công ty trả phí theo lần sử dụng.