Bài giảng An toàn thông tin và quản trị rủi ro thương mại điện tự: Chương 2 - TS. Chử Bá Quyết

Của SV: .............................................<br /> <br /> 8/6/2017<br /> <br /> 1<br /> <br /> 2<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Nội dung<br /> 1. Ý nghĩa nhận biết RR TMĐT và tiếp cận phân loại RR<br /> TMĐT<br /> 2. Các khái niệm liên quan nhận biết RR thông tin TMĐT<br /> <br /> NHẬN BIẾT RỦI RO THÔNG TIN<br /> THƯƠNG MẠI ĐIỆN TỬ<br /> <br /> 3. Phân loại đe dọa, lỗ hổng và tấn công ATTT<br /> 4. Đánh giá ATTT<br /> 5. Câu hỏi ôn tập chương 2<br /> <br /> Biên soạn: TS. Chử Bá Quyết<br /> quyetcb@dhtm.edu.vn<br /> Bộ môn Thương mại điện tử<br /> <br /> H<br /> <br /> D<br /> 3<br /> <br /> 4<br /> <br /> TM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> 1. Ý nghĩa nhận biết RR TMĐT<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Tiếp cận nhận biết RR TT ntn?<br /> <br /> • Nhận biết rủi ro là cốt lõi của quá trình QTRR. Nhận biết rủi<br /> ro giúp nhà quản trị chủ động quản trị rủi ro, đánh giá mức độ<br /> rủi ro, chủ động thực hiện các biện pháp bảo vệ phòng ngừa<br /> hiệu quả, đúng lúc, tối thiểu hóa chi phí.<br /> • Nhận biết RR thông tin TMĐT là nhận biết các đe dọa, tấn<br /> <br /> _T<br /> <br /> công, lỗ hổng ATTT.<br /> <br /> • Nếu một đe dọa không được nhận biết nó không thể được<br /> kiểm soát. Một lỗ hổng không được phát hiện sớm, được vá,<br /> <br /> một tấn công không được đối phó, sẽ có những tác động xấu<br /> tới các mục tiêu* của DN<br /> <br /> 6<br /> <br /> U<br /> <br /> Bài giảng ATTT&QTRR trong TMĐT<br /> <br /> M<br /> <br /> 5<br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> 1<br /> <br /> Của SV: .............................................<br /> <br /> 8/6/2017<br /> <br /> 7<br /> <br /> 8<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> 2. Các k/n liên quan nhận biết RR thông tin<br /> TMĐT<br /> <br /> Khái niệm đe dọa an toàn<br /> Đe dọa (threat): theo nghĩa rộng<br /> <br /> • Nhận biết rủi ro (Risk Identification): là liệt kê các RR mà<br /> <br /> • là các nguồn nguy hiểm;<br /> <br /> DN, KH có thể gặp phải và đánh giá (sơ bộ) mức độ xảy ra<br /> <br /> • bất kì lực lượng đối lập,<br /> <br /> của chúng. Đây là bước tiếp sau xây dựng kế hoạch QTRR.<br /> <br /> • điều kiện, nguồn hoặc tình huống<br />  có khả năng ảnh hướng tới thực hiện/phá vỡ KH hoặc làm<br /> <br /> Nhận biết RR thông tin trong TMĐT bao<br /> <br /> giảm khả năng thực hiện nhiệm vụ, KH.<br /> <br /> gồm nhận biết các đe dọa an toàn (security<br /> threats) và + xác định các lỗ hổng bảo<br /> mật/an toàn (computing vulnerabilities).<br /> <br /> H<br /> <br /> D<br /> 9<br /> <br /> 10<br /> <br /> TM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khái niệm đe dọa an toàn<br /> <br /> • Đe dọa an toàn (security threats): Trong an toàn máy tính, đe<br /> dọa là một mối nguy hiểm có thể bị khai thác từ một lỗ hổng để<br /> xâm phạm HT thông tin và gây ra các thiệt hại, mất an toàn.<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khái niệm đe dọa an toàn<br /> Nguồn đe dọa:<br /> • khi có một hoàn cảnh, một khả năng, một hành động hay một<br /> sự kiện mà có thể có điều kiện vi phạm để gây hại (khả năng<br /> xảy ra)<br /> • có thể do chủ ý của con người (phát tán virus máy tính) hoặc sự<br /> cố bất khả kháng (động đất, sóng thần…)<br /> <br /> • Tổ chức tội phạm,<br /> <br /> 12<br /> <br /> U<br /> <br /> Nguồn đe dọa (tiếp…)<br /> <br /> M<br /> <br /> _T<br /> 11<br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Nguồn đe dọa (tiếp …)<br /> <br /> • Phần mềm gián điệp, phần mềm độc hại,<br /> • Các công ty phần mềm quảng cáo,<br /> • Các nhân viên nội bộ bất bình bắt đầu tấn công sử dụng lao<br /> động của họ.<br /> • Sâu máy tính và virus cũng đặc trưng cho một mối đe dọa khi<br /> chúng có thể có thể gây ra thiệt hại bằng cách lây nhiễm các<br /> máy móc và gây thiệt hại tự động.<br /> <br /> Bài giảng ATTT&QTRR trong TMĐT<br /> <br /> 2<br /> <br /> Của SV: .............................................<br /> <br /> 8/6/2017<br /> <br /> 13<br /> <br /> 14<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khái niệm lỗ hổng bảo mật<br /> <br /> Khái niệm lỗ hổng bảo mật<br /> • Các lỗ hổng bảo mật trên một hệ thống là các điểm yếu có thể<br /> tạo nên sự ngưng trệ của DV, thêm quyền đối với người sử dụng<br /> hoặc cho phép truy cập bất hợp pháp vào HT.<br /> <br /> Phân tích đe dọa an toàn thông tin luôn gắn với xác<br /> định lỗ hổng bảo mật (vulnerability)<br /> • Lỗ hổng là một điểm yếu có thể cho<br /> phép một kẻ tấn công đột nhập làm<br /> yếu đi sự đảm bảo an toàn thông tin<br /> của hệ thống. Lỗ hổng cũng được hiểu<br /> là một lỗi (mistake) của phần mềm mà<br /> các kẻ tấn công có thể sử dụng để truy<br /> cập vào hệ thống hoặc mạng máy tính.<br /> <br /> H<br /> <br /> D<br /> 15<br /> <br /> 16<br /> <br /> TM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Phân loại lỗ hổng<br /> <br /> •<br /> •<br /> •<br /> •<br /> <br /> Theo Bộ Quốc phòng Mỹ, các loại lỗ hổng bảo mật trên một hệ<br /> thống gồm: 3 loại<br /> • Các lỗ hổng loại A<br /> ▫ Rất nguy hiểm;<br /> ▫ Đe dọa tính toàn vẹn và bảo mật của hệ thống;<br /> ▫ Cho phép người sử dụng bên ngoài truy cập bất hợp pháp vào<br /> hệ thống;<br /> ▫ Gây ra việc phá hỏng toàn bộ hệ thống;<br /> ▫ Xuất hiện ở các hệ thống quản trị yếu kém hoặc không kiểm<br /> soát được cấu hình mạng.<br /> <br /> 17<br /> Khoa TMĐT_ĐHTM<br /> <br /> Phân loại lỗ hổng<br /> <br /> 18<br /> <br /> U<br /> <br /> M<br /> <br /> _T<br /> <br /> Lỗ hổng Phần cứng<br /> Lỗ hổng Phần mềm<br /> Site<br /> Mạng: đường truyền không được bảo vệ, kiến trúc mạng<br /> không an toàn<br /> • Con người:<br /> • Chính sách, quy trình<br /> <br /> Phân loại lỗ hổng<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Phân loại lỗ hổng<br /> <br /> Các lỗ hổng loại B:<br /> <br /> Các lỗ hổng loại C:<br /> <br /> • Có mức độ nguy hiểm trung bình;<br /> <br /> • Có mức độ nguy hiểm thấp,<br /> <br /> • Cho phép người sử dụng có thêm tác quyền trên HT mà không<br /> <br /> • chỉ ảnh hưởng đến chất lượng dịch vụ và làm gián đoạn hệ<br /> <br /> cần thực hiện bước kiểm tra tính hợp lệ;<br /> • Thường có trong các ứng dụng, dịch vụ trên HT;<br /> • Có thể dẫn đến việc mất hay rò rỉ thông tin yêu cầu bảo mật.<br /> <br /> thống;<br /> • Cho phép thực hiện các phương thức tấn công từ chối dịch vụ<br /> (DoS);<br /> • Ít phá hỏng dữ liệu hay cho phép quyền truy cập bất hợp pháp<br /> vào máy tính.<br /> <br /> Bài giảng ATTT&QTRR trong TMĐT<br /> <br /> 3<br /> <br /> Của SV: .............................................<br /> <br /> 8/6/2017<br /> <br /> 19<br /> <br /> 20<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Phân loại đe dọa theo Microsoft<br /> Microsoft đã phân loại đe dọa an toàn máy tính thành 6 loại, viết<br /> tắt là STRIDE, cụ thể là:<br /> • Spoofing (Giả mạo, nặc danh): là một tình huống trong đó một<br /> người hay một chương trình thành công giả dạng người khác<br /> bằng cách làm sai lệch dữ liệu và nhờ đó thu lợi bất hợp pháp.<br /> • Tampering (Tấn công dữ liệu): An toàn dữ liệu có nghĩa là bảo<br /> vệ một cơ sở dữ liệu từ các phá hoại và các hành động không<br /> mong muốn của người sử dụng trái phép<br /> • Repudiation (Chối bỏ): Chống chối bỏ (non-repudiation) đề<br /> cập đến một hành vi đã được xác thực sẽ không thể bị phủ<br /> nhận.<br /> <br /> 3. Phân loại đe dọa, lỗ hổng, tấn công<br /> an toàn thông tin<br /> <br /> H<br /> <br /> D<br /> 21<br /> <br /> 22<br /> <br /> TM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Phân loại đe dọa theo Microsoft<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Các đe dọa thụ động và đe dọa chủ động<br /> <br /> Microsoft đã phân loại đe dọa an toàn máy tính thành 6 loại, viết<br /> tắt là STRIDE, cụ thể là:<br /> <br /> • Information disclosure (tiết lộ thông tin): là tiết lộ thông tin<br /> • Denial of service attack (Tấn công từ chối phục vụ):<br /> <br /> _T<br /> <br /> • Elevation of privilege (Nâng quyền): là hành động khai thác lỗ<br /> hổng do lỗi thiết kế hệ thống hoặc phần mềm để truy cập tới<br /> các tài nguyên không được phép.<br /> <br /> Bài giảng ATTT&QTRR trong TMĐT<br /> <br /> 24<br /> <br /> U<br /> <br /> Các đe dọa truyền thông và đe dọa vật lí<br /> <br /> M<br /> <br /> 23<br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Các đe dọa theo mức độ phức tạp xử lí<br /> <br /> 4<br /> <br /> Của SV: .............................................<br /> <br /> 8/6/2017<br /> <br /> 25<br /> <br /> 26<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Các đe dọa bên trong và bên ngoài<br /> <br /> H<br /> <br /> D<br /> 27<br /> <br /> 28<br /> <br /> TM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Các đe dọa đối với máy chủ<br /> <br /> • Các đe dọa vật lý hoặc sự cố (accidental): là các mối đe dọa<br /> xảy ra đối với hạ tầng CNTT và TMĐT như hỏa hoạn, lũ lụt,<br /> thiên tai, động đất, sóng thần… gây hậu quả không chỉ đối với<br /> an toàn thông tin mà còn gây hủy hoại tài sản, công trình, tính<br /> mạng con người…<br /> • Ví dụ: cơn bão Morakot 2008 và các trận động đất lớn xảy ra<br /> tại khu vực Thái Bình Dương làm đứt cáp biển quốc tế<br /> SMW3, APCN, APCN-2, FEA, China US, EAC, C2C, gây<br /> mất liên lạc hầu hết các kênh kết nối trực tiếp từ Việt Nam đi<br /> Đài Loan, Nhật Bản, Hàn Quốc và một phần liên lạc hướng đi<br /> Mỹ. VNPT bị mất gần 6.200 Mbps dung lượng truyền dẫn<br /> quốc tế sử dụng cho dịch vụ viễn thông quốc tế như điện thoại,<br /> kênh thuê riêng, Frame Relay, VPN và Internet.<br /> <br /> • Máy chủ là liên kết thứ ba trong bộ ba máy khách – Internet – máy<br /> chủ, bao gồm đường dẫn giữa một người sử dụng và một máy chủ<br /> thương mại. Máy chủ có những điểm yếu dễ bị tấn công và một đối<br /> tượng nào đó có thể lợi dụng những điểm yếu này để phá hủy, hoặc<br /> thu được các thông tin một cách trái phép.<br /> • Ví dụ: vụ một hacker (X_Spider) đã tấn công vào máy chủ web<br /> của techcombank.com.vn và để lại thông báo cần phải sửa lỗi và<br /> không gây thiệt hại gì cho website này. X_Spider cho biết website<br /> phuthai... đã gặp lỗ hổng bảo mật, qua đó anh ta có thể upload<br /> đoạn mã tấn công (shell) lên đó và dùng mã này vào được cơ sở dữ<br /> liệu của techcombank.com.vn. Vì các website đặt cùng server có<br /> chung thông số nên việc truy cập "liên thông" (local attack) là có<br /> thể thực hiện được (nguồn: Vnexpress.net).<br /> <br /> 29<br /> <br /> 30<br /> <br /> U<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> M<br /> <br /> _T<br /> <br /> Các đe dọa vật lý<br /> <br /> Khoa TMĐT_ĐHTM<br /> <br /> Các đe dọa đối với máy khách<br /> <br /> Đe dọa đối với kênh truyền thông<br /> <br /> • Các chương trình gây hại được phát tán thông qua các trang<br /> web, có thể phát hiện ra số thẻ tín dụng, tên người dùng và mật<br /> khẩu. Những thông tin này thường được lưu giữ trong các tệp<br /> đặc biệt – gọi là cookie. Các cookie được sử dụng để nhớ các<br /> thông tin yêu cầu của khách hàng, hoặc tên người dùng và mật<br /> khẩu. Nhiều nội dung động gây hại có thể lan truyền thông qua<br /> các cookie, chúng có thể phát hiện được nội dung của các tệp<br /> phía máy khách, hoặc thậm chí có thể hủy bỏ các tệp được lưu<br /> giữ trong các máy khách.<br /> • Ví dụ, một virus máy tính đã phát hiện được danh sách các địa<br /> chỉ thư tín điện tử của người sử dụng và gửi danh sách này cho<br /> những người khác trên Internet<br /> <br /> • Internet đóng vai trò kênh truyền thông. Các thông tin trên<br /> Internet được gửi đi theo các tuyến ngẫu nhiên, từ nút nguồn<br /> (node) tới nút đích. Các thông tin này đi qua một số máy tính<br /> trung gian trên mạng trước khi tới đích cuối cùng và mỗi lần đi,<br /> chúng có thể đi theo những tuyến khác nhau. Hiện rất khó đảm<br /> bảo tất cả các thông tin gửi đi trên Internet đều an toàn. Một số<br /> kẻ trộm trên mạng có thể đọc các thông tin, sửa đổi, hoặc thậm<br /> chí có thể loại bỏ các thông tin ra khỏi Internet. Do vậy, các<br /> thông tin được gửi đi trên mạng thường bị xâm phạm đến tính<br /> bí mật, tính riêng tư và tính toàn vẹn.<br /> <br /> Bài giảng ATTT&QTRR trong TMĐT<br /> <br /> 5<br /> <br />