intTypePromotion=1
zunia.vn Tuyển sinh 2024 dành cho Gen-Z zunia.vn zunia.vn
ADSENSE
 » 
 » 

Bài giảng An toàn và bảo mật thông tin - Trường đại học Thương Mại

Chia sẻ: _ _ | Ngày: | Loại File: PDF | Số trang:31

Thêm vào BST
Báo xấu
54
lượt xem 7
download
 
  Download Vui lòng tải xuống để xem tài liệu đầy đủ

Bài giảng "An toàn và bảo mật thông tin" có nội dung gồm có 4 chương: Chương 1 - Tổng quan về ATBM thông tin; Chương 2 - Các hình thức tấn công và các rủi ro của hệ thống; Chương 3 - Các phương pháp phòng tránh và phục hồi; Chương 4 - Ứng dụng an toàn và bảo mật thông tin. Mời các bạn cùng tham khảo!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Bài giảng An toàn và bảo mật thông tin - Trường đại học Thương Mại

  1. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 1. Mục đích và yêu cầu Trường Đại học Thương mại Khoa HTTT Kinh tế và THMĐT • Mục đích của học phần Bộ môn Công nghệ thông tin – Cung cấp những kiến thức cơ bản về an toàn và bảo mật thông tin cho HTTT doanh nghiệp – Cung cấp thông tin về các nguy cơ tấn công Bài giảng iả học h phần: hầ và phương pháp đảm bảo an toàn cho hệ An toàn và bảo mật thông tin thống thông tin doanh nghiệp – Giới thiệu một số ứng dụng của công nghệ trong đảm an toàn và bảo mật thông tin doanh nghiệp Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 1 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 2 1. Mục đích và yêu cầu (t) 2. Cấu trúc học phần • Yêu cầu cần đạt được – Nắm vững các kiến thức cơ bản về an toàn • Học phần gồm 3 tín chỉ (45 tiết) phân phối như và bảo mật thông tin doanh nghiệp sau: – Có kiến thức về các nguy cơ tấn công và và – Nội dung lý thuyết và thảo luận 45 tiết (15 buổi) các phương pháp đảm bảo an toàn cho hệ – Thời gian: thống thông tin doanh nghiệp • 10 tuần lý thuyết, – Sử dụng được một số ứng dụng đã có trong • 2 tuần bài tập và kiểm tra việc đảm bảo an toàn thông tin doanh nghiệp • 3 buổi thảo luận Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 3 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 4 3. Nội dung học phần 3. Nội dung học phần (t) • Chương 1. Tổng quan • Chương 1: Tổng quan về ATBM thông tin – Khái niệm chung về an toàn và bảo mật thông tin • An toàn và bảo mật thông tin • Chương 2: Các hình thức tấn công và các rủi ro • Vai trò của an toàn và bảo mật thông tin của hệ thống • Nguy cơ và phân loại các nguy cơ • Phòng tránh và phục hồi thông tin • Chương 3: Các phương pháp phòng tránh và – Mục tiêu và yêu cầu của an toàn và bảo mật thông tin phục hồi • Mục tiêu • Yêu cầu và quy trình chung • Chương 4: Ứng dụng an toàn và bảo mật thông • Mô hình an toàn và chính sách bảo mật tin – . Chính sách pháp luật của nhà nước • Luật, nghị định về ATBM thông tin ở Việt Nam • Luật và chính sách về ATBM thông tin quốc tế • Định hướng phát triển về ATBM thông tin của Việt Nam Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 5 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 6 Bài giảng: An toàn bảo mật thông tin 1
  2. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 3. Nội dung học phần (tt) 3. Nội dung học phần (ttt) • Chương 2: Các hính thức tấn công và rủi ro của hệ thống • Chương 3: Các phương pháp phòng tránh và phục – 2.1. Tổng quan về tấn công hệ thống thông tin hồi • 2.1.1. Khái niệm tấn công và phân loại – 3.1. Các phương thức phòng tránh • 2.1.2. Một số phương thức tấn công thụ động • 3.1.1. Phòng tránh mức vật lý • 2.1.3. Một số phương thức tấn công chủ động • 3.1.2. Phòng tránh mức hệ điều hành và mạng – 2.2. Rủi ro và đánh giá rủi ro cho hệ thống thông tin • 3.1.3. Phòng tránh mức dữ liệu • 2.2.1. Khái niệm rủi ro của hệ thống • 3.1.4. Phòng tránh bằng chính sách và giáo dục • 2.2.2. 2 2 2 Xác định rủi ro và đánh giá – 3.2. 3 2 Phòng tránh bằng mã hóa • 2.2.3. Các chiến lược và phương thức kiểm soát rủi ro • 3.2.1. Các khái niệm liên quan đến mã hóa – 2.2. Các hình thức tấn công vào HTTT DN ở Việt Nam hiện nay • 3.2.2. Thuật toán mã hóa và các ứng dụng • 2.2.1. Tội phạm công nghệ cao ở Việt Nam • 2.2.2. Các mối đe dọa đối với HTTT doanh nghiệp • 3.2.3. Các thuật toán mã hóa đối xứng • 2.2.3. Các kiểu tấn công vào HTTT doanh nghiệp • 3.2.4. Các thuật toán mã hóa không đối xứng – 2.3. Những xu hướng tấn công trong tương lai – 3.3. Một số biện pháp phục hồi • 2.3.1. Xu hướng tấn công bằng kỹ thuật • 3.3.1. Biện pháp phục hồi dữ liệu văn bản • 2.3.2. Xu hướng tấn công phi kỹ thuật • 3.3.2. Biện pháp phục hồi dữ liệu phi văn bản • 2.3.3. Xu hướng tấn từ các phương tiện truyền thông xã hội • 3.3.3. Biện pháp phục hồi hệ thống Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 7 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 8 3. Nội dung học phần (tttt) 4. Tài liệu tham khảo 1) Bộ môn CNTT, Giáo trình An toàn dữ liệu trong thương mại điện • Chương 4: Ứng dụng an toàn và bảo mật thông tin tử,, Đại học Thương Mại, NXB Thống kê, 2009. – 4.1. Sử dụng chữ ký điện tử 2) Phan Đình Diệu, Lý thuyết mật mã và an toàn thông tin, Đại học • 4.1.1.Khái niệm và hoạt động Quốc gia Hà Nội, NXB ĐHQG, 1999. • 4.1.2.Ứng dụng trong chứng thực điện tử 3) William Stallings, Cryptography and Network Security Principles – 4.2. Phát hiện lỗ hổng bảo mật • 4.2.1. Phát hiện lỗ hổng của phần mềm ứng dụng and Practices, Fourth Edition, Prentice Hall, 2008 • 4.2.2. 4 2 2 Phát hiện lỗ hổng của hệ điều hành 4) Man Young Rhee. Internet Security: Cryptographic principles, – 4.3. Sử dụng chứng thực số algorithms and protocols. John Wiley & Sons, 2003. • 4.3.1. Sử dụng chứng thực cá nhân 5) David Kim, Michael G. Solomon, Fundamentals of Information • 4.3.2. Sử dụng chứng thực doanh nghiệp Systems Security, Jones & Bartlettlearning, 2012. – 4.4. An toàn và bảo mật trên các phương tiện truyền thông 6) Michael E. Whitman, Herbert J. Mattord, Principles of information • 4.4.1. Các phương tiện truyền thông xã hội security, 4th edition, Course Technology, Cengage Learning, 2012. • 4.4.2. Những nguy cơ và giải pháp cho người dùng 7) Matt Bishop, Introduction to Computer Security, Prentice Hall, 2004. Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 9 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 10 Chương I: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Đặt vấn đề • Khái niệm chung về an toàn và bảo mật thông tin ‐ Những cơ hội trong – An toàn và bảo mật thông tin kỷ nguyên số? – Vai trò của an toàn và bảo mật thông tin – Nguy cơ và phân loại các nguy cơ ‐ Những thách thức – Phòng tránh và phục hồi thông tin với tổ chức, doanh • Mục tiêu và yêu cầu của an toàn và bảo mật thông tin nghiệp? – M Mục tiêu tiê – Yêu cầu và quy trình chung ‐ Những vấn đề đặt ra – Mô hình an toàn và chính sách bảo mật với con người? • Chính sách pháp luật của nhà nước ‐… – Luật, nghị định về ATBM thông tin ở Việt Nam – Luật và chính sách về ATBM thông tin quốc tế – Định hướng phát triển về ATBM thông tin của Việt Nam Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 11 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 12 Bài giảng: An toàn bảo mật thông tin 2
  3. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Khái niệm về an toàn và bảo mật thông tin  Khái niệm chung về an toàn và bảo mật thông tin • Khái niệm ATTT – An toàn và bảo mật thông tin – ATTT là gì? – Vai trò của an toàn và bảo mật thông tin – Bảo mật TT là gì? – Nguy cơ và phân loại các nguy cơ • Ví dụ ụ – Phòng tránh và phục hồi thông tin – Hỏng hóc máy tính – Sao chép dữ liệu trái phép – Giả mạo –… Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 13 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 14 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Khái niệm HTTT an toàn Bảo mật hệ thống thông tin  • Bảo mật hệ thống là • Khái niệm HTTT An toàn gì? – Đảm bảo an toàn thông – Đảm bảo tính bí mật tin – Đảm bảo tính toàn vẹn – Đảm Đả bảo bả hệ thống thố có ó – Đảm bảo tính sẵn khả năng hoạt động liên sàng tục • Bảo mật HTTT là gì? – Đảm bảo khả năng phục – Các công cụ? hồi – Các biện pháp? – Thực hiện như thế nào? Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 15 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 16 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Các vùng cần đảm bảo an toàn thông tin trong HTTT Các vùng cần đảm bảo an toàn thông tin trong HTTT – Vùng người dùng (User domain) – Vùng máy trạm (Workstation domain) – Vùng mạng LAN (LAN domain) – Vùng LAN-to-WAN (LAN-to-WAN domain) – Vùng WAN (WAN domain) – Vùng truy nhập từ xa (Remote Access domain) – Vùng hệ thống/ứng dụng (Systems/Applications domain) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 17 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 18 Bài giảng: An toàn bảo mật thông tin 3
  4. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Vai trò của an toàn và bảo mật thông tin  Nguy cơ mất an toàn và bảo mật thông tin  • Vì sao ATBM TT có vai trò quan trọng ? • Nguy cơ và phân loại các nguy cơ • Giá trị của thông tin? – Nguy cơ là gì? • Lợi thế cạnh tranh của tổ chức ? – Phân loại các nguy cơ • Ngẫu nhiên • Uy tín thương hiệu và sự phát triển? • Có chủ định • … – Nguyên nhân? – Xu hướng? Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 19 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 20 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Nguy cơ mất an toàn và bảo mật thông tin  Nguy cơ mất an toàn và bảo mật thông tin  Ví dụ các nguy cơ được xem xét trong hệ thống từ https://www.complianceforge.com (2016) • Nguy cơ trong DN hiện nay: – Từ các yếu tố kỹ thuật ? – Do lập kế hoạch, triển khai, thực thi, vận hành ? – Do quy trình, chính sách an ninh bảo mật ? – Do yếu tố người ? – Do hạ tầng CNTT? Hạ tầng truyền thông? – Do thảm hoạ từ thiên nhiên hoặc con người Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 21 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 22 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN TIN Khái niệm chung về an toàn và bảo mật thông tin Khái niệm chung về an toàn và bảo mật thông tin • Thống kê 09/2014 của http://www.edelman.com US Internet Crime Complaint Centre Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 23 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 24 Bài giảng: An toàn bảo mật thông tin 4
  5. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Khái niệm chung về an toàn và bảo mật thông tin  Khái niệm chung về an toàn và bảo mật thông tin  • Phòng tránh là gì? – Khái niệm – Biện pháp thực hiện • Kỹ thuật • Phi kỹ thuật – Xu hướng hiện nay? • Về kỹ thuật • Về chính sách và con người? Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 25 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 26 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Khái niệm chung về an toàn và bảo mật thông tin  Khái niệm chung về an toàn và bảo mật thông tin  Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 27 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 28 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Khái niệm chung về an toàn và bảo mật thông tin  Mục tiêu và yêu cầu của an toàn bảo mật thông tin • Khắc phục • Mục tiêu của ATBM TT – Khắc phục là gì? – Phát hiện các nguy cơ – Nghiên cứu các biện pháp ngăn chặn – Vì sao cần khắc phục? – Nghiên cứu và cài đặt các biện pháp phục hồi – Nguyên tắc chung để khắc phuc? – Các biện pháp kỹ thuật? Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 29 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 30 Bài giảng: An toàn bảo mật thông tin 5
  6. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Mục tiêu và yêu cầu của an toàn bảo mật thông tin Mục tiêu và yêu cầu của an toàn bảo mật thông tin • Yêu cầu: • Đảm bảo HTTT luôn được bảo mật - Mức tổ chức ? – Phát hiện vi phạm tính bí mật? - Mức cá nhân ? – Phát hiện vi phạm tính toàn vẹn? - Mức vật lý ? – Phát hiện vi phạm tính sẵn sàng? - Phần cứng ? – Phát hiện các gian lận trong giao dịch? - Phần mềm ? - Hệ thống mạng ? Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 31 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 32 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Mục tiêu và yêu cầu của an toàn bảo mật thông tin Mục tiêu và yêu cầu của an toàn bảo mật thông tin Quy trình chung đảm bảo an toàn hệ thống • Mô hình bảo mật theo Xác định chiều sâu – Từ ngoài vào trong Đánh giá – Từ mức thấp đến mức cao Lựa chọn – Từ mức tổng quát đến giải pháp chi tiết Giám sát rủi ro Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 33 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 34 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Mục tiêu và yêu cầu của an toàn bảo mật thông tin Mục tiêu và yêu cầu của an toàn bảo mật thông tin Bên thứ ba đáng tin • Các mức bảo vệ trong mô hình theo Bên nhận chiều sâu Chuyển đổi Chuyển đổi – Các biện pháp? liên quan Kênh liên quan oàn oàn đế đến an toàn à thông tin thô ti đế đến an toàn à Thông báo an to Thông báo an to – Kỹ thuật? Thông báo Thông báo – Phương pháp thực hiện? Thông tin Thông tin – Chính sách của tổ bí mật bí mật chức? Đối thủ Mô hình an toàn trong truyền thông tin Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 35 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 36 Bài giảng: An toàn bảo mật thông tin 6
  7. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Mục tiêu và yêu cầu của an toàn bảo mật thông tin Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin • Chính sách bảo mật theo lớp • Luật và nghị định về ATBM TT ở Việt Nam – Luật số: 012/2017/QH14: Sửa đổi, bổ sung một số – Lớp an ninh cơ quan/tổ chức (Plant Security) điều của bộ luật hình sự số 100/2015/QH13 • Lớp bảo vệ vật lý – Luật số: 086/2015/QH13: ATTT Mạng • Lớp chính sách & thủ tục đảm bảo ATTT – Luật số: 104/2016/QH13: Tiếp cận thông tin – Lớp p an ninh mạng g ((Network Security) y) – Luật số: 103/2016/QH13: Luật báo chí • Lớp an ninh cho từng thành phần mạng – Luật số: 051/2005/QH11: Luật giao dịch điện tử • Tường lửa, mạng riêng ảo (VPN) – Luật số: 041/2009/QH12: Luật viễn thông – Lớp an ninh hệ thống (System Security) – Luật số: 059/2010/QH12: Luật bảo vệ người tiêu • Lớp tăng cường an ninh hệ thống dùng • Lớp quản trị tài khoản và phân quyền người dùng – Luật số: 005/2011/QH13: Luật cơ yếu • Lớp quản lý các bản vá và cập nhật phần mềm – Luật số: 016/2012/QH13: Luật quảng cáo • Lớp phát hiện và ngăn chặn phần mềm độc hại. – Luật số: 067/2006/QH11: Luật Công nghệ thông tin Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 37 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 38 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 39 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 40 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin • PART I: GENERAL PRINCIPLES • Tham khảo từ: http://www.right2info.org – Principle 1: Right to Information – Principles on National Security and the Right to – Principle 2: Application of these Principles Information (Các nguyên tắc cho an ninh quốc gia và – Principle 3: Requirements for Restricting the Right to quyền thông tin) Information on National Security Grounds – Các nguyên tắc này đã được phát triển nhằm hướng – Principle 3: Requirements for Restricting the Right to dẫn những người tham gia soạn thảo, sửa đổi hoặc Information on National Security Grounds thực thi luật pháp hoặc các điều khoản liên quan đến thẩm quyền của chính phủ để giữ lại thông tin đảm – Principle 5: No Exemption for Any Public Authority bảo an ninh quốc gia hoặc để trừng phạt việc tiết lộ – Principle 6: Access to Information by Oversight Bodies thông tin của các tổ chức, cá nhân – Principle 7: Resources – Principle 8: States of Emergency Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 41 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 42 Bài giảng: An toàn bảo mật thông tin 7
  8. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN • PART II: INFORMATION THAT MAY BE WITH HELD ON NATIONAL Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin SECURITY GROUNDS, AND INFORMATION THAT SHOULD BE DISCLOSED • PART IIIA: RULES REGARDING LASSIFICATION – Principle 9: Information That Legitimately May Be AND DECLASSIFICATION OF INFORMATION Withheld – Principle 11: Duty to State Reasons for Classifying Information – Principle 10: Categories of Information with a High – Principle 12: Public Access to Classification Rules Presumption or Overriding Interest in Favour of – Principle 13: Authority to Classify Disclosure • A. Violations of International Human Rights and Humanitarian – Principle 14: Facilitating Internal Challenges to Law Classification • B. Safeguards for the Right to Liberty and Security of Person, – Principle 15: Duty to Preserve, Manage, and Maintain the Prevention of Torture and Other Ill-treatment, and the Right to National Security Information Life – Principle 16: Time Limits for Period of Classification • C. Structures and Powers of Government – Principle 17: Declassification Procedures • D. Decisions to Use Military Force or Acquire Weapons of Mass Destruction Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 43 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 44 • E Surveillance Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin • PART IIIB: RULES REGARDING HANDLING OF REQUESTS FOR INFORMATION • PART IV: JUDICIAL ASPECTS OF NATIONAL – Principle 18: Duty to Consider Request Even if Information Has Been Classified SECURITY AND RIGHT TO INFORMATION – Principle 19: Duty to Confirm or Deny – Principle 27: General Judicial Oversight Principle – Principle 20: Duty to State Reasons for Denial in Writing – Principle 28: Public Access to Judicial Processes – Principle 21: Duty to Recover or Reconstruct Missing Information – Principle P i i l 2222: D Duty t tto Di Disclose l P Parts t off D Documents t – Principle 29: Party Access to Information in Criminal – Principle 23: Duty to Identify Information Withheld Proceedings – Principle 24: Duty to Provide Information in Available Formats – Principle 30: Party Access to Information in Civil Cases – Principle 25: Time Limits for Responding to Information Requests – Principle 26: Right to Review of Decision Withholding Information Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 45 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 46 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin • PART V: BODIES THAT OVERSEE THE SECURITY • PART VI: PUBLIC INTEREST DISCLOSURE BY SECTOR PUBLIC PERSONNEL – Principle 37: Categories of Wrongdoing – Principle 31: Establishment of Independent Oversight Bodies – Principle 38: Grounds, Motivation, and Proof for – Principle 32: Unrestricted Access to Information Necessary for Disclosures of Information Showing Wrongdoing Fulfillment of Mandate – Principle 39: Procedures for Making and Responding to – Principle 33: Powers and Resources and Procedures Necessary to P t t d Disclosures Protected Di l IInternally t ll or tto O Oversight i ht B Bodies di Ensure Access to Information – Principle 40: Protection of Public Disclosures – Principle 34: Transparency of Independent Oversight Bodies – Principle 41: Protection against Retaliation for Making – Principle 35: Measures to Protect Information Handled by Security Disclosures of Information Showing Wrongdoing Sector Oversight Bodies – Principle 42: Encouraging and Facilitating Protected – Principle 36: Authority of the Legislature to Make Information Public Disclosures – Principle 43: Public Interest Defence for Public Personnel Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 47 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 48 Bài giảng: An toàn bảo mật thông tin 8
  9. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin • PART VII: LIMITS ON MEASURES TO SANCTION OR RESTRAIN THE DISCLOSURE OF INFORMATION TO • PART VIII: CONCLUDING PRINCIPLES THE PUBLIC – Principle 44: Protection against Penalties for Good Faith, – Principle 50: Relation of These Principles to Reasonable Disclosure by Information Officers Other Standards – Principle 45: Penalties for Destruction of, or Refusal to Disclose, Information • ANNEX A: PARTNER ORGANIZATIONS – Principle 46: Limitations on Criminal Penalties for the Disclosure of Information by Public Personnel – Principle 47: Protection against Sanctions for the Possession and Dissemination of Classified Information by Persons Who Are Not Public Personnel – Principle 48: Protection of Sources – Principle 49: Prior Restraint Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 49 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 50 Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin Kết thúc chương I • Trình bày các khái niệm về an toàn thông tin ? bảo mật hệ thống • Định hướng về phát triển ATBM TT của Việt Nam thông tin? – ATTTs là một trụ cột để phát triển CNTT, CPĐT… • Nêu và phân tích vai trò của ATBM TT trong DN? – ATTTs là một bộ phận của QPANQG • Nguy cơ là gì? Trình bày các loại nguy cơ mất ATTT ? • Các nguy cơ tấn công vào HTTT của DN ? – ATTTs là một ngành kinh tế công nghiệp, dịch vụ công • Mục tiêu của an toàn bảo mật thông tin? nghệ cao • Các yêu cầu an toàn và bảo mật thông tin? – ATTTs là một lĩnh vực đặc thù ưu tiên sản phẩm, tổ chức • Phân tích quy trình chung đảm bảo ATBM TT ? nội địa • Trình bày và phân tích mô hình truyền thông tin an toàn? – ATTTs là một lĩnh vực nóng trong đối ngoại • Chính sách và pháp luật Việt Nam với ATBM TT? – ATTTs là sự nghiệp của toàn xã hội • Chính sách và pháp luật quốc tế trong đảm bảo ATTT? • Định hướng phát triển ATTT của Việt Nam? • Vì sao ATTT và BM hệ thống thông tin là không thể thiếu trong thời đại công nghệ số? Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 51 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 52 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ Các hình thức tấn công và rủi ro của hệ thống thống – 2.1. Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin • 2.1.1. Khái niệm tấn công và phân loại • Khái niệm • 2.1.2. Một số phương thức tấn công thụ động • Phân loại • 2.1.3. Một số phương thức tấn công chủ động – Đe dọa (Threat) – 2.2. Rủi ro và đánh giá rủi ro cho hệ thống thông tin – Lỗ hổng (Vulnerability) • 2.2.1. Khái niệm rủi ro của hệ thống • 2.2.2. Xác định rủi ro và đánh giá • 2.2.3. Các chiến lược và phương thức kiểm soát rủi ro – 2.2. Các hình thức tấn công vào HTTT DN ở Việt Nam hiện nay • 2.2.1. Tội phạm công nghệ cao ở Việt Nam • 2.2.2. Các mối đe dọa đối với HTTT doanh nghiệp • 2.2.3. Các kiểu tấn công vào HTTT doanh nghiệp – 2.3. Những xu hướng tấn công trong tương lai • 2.3.1. Xu hướng tấn công bằng kỹ thuật • 2.3.2. Xu hướng tấn công phi kỹ thuật • 2.3.3. Xu hướng tấn từ các phương tiện truyền thông xã hội Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 53 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 54 Bài giảng: An toàn bảo mật thông tin 9
  10. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin Source code: mã nguồn • Programmer: lập trình viên • Software component: thành phần phần mềm • System integrator: nhân viên tích hợp hệ thống • Program version: phiên bản chương trình • System administrator: nhân viên quản trị hệ thống • Systems: các hệ thống • Network administrator: nhân viên quản trị mạng • Networks: các mạng • Security analyst: nhân viên phân tích an ninh • Security flaw: khiếm khuyết an ninh • Vulnerability analyst: nhân viên phân tích lỗ hổng an  • Vulnerability: lỗ hổng an ninh ninh Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 55 • Exploit: khai thác lỗ hổng an ninh Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT viên phân tích hiện vật. • Artifact analyst: nhân 56 Chương 2:  Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin  Kịch bản  Thu thập thông tin  Thu thập các thông tin xa hơn  Tấn công 7 bước cơ bản của một cuộc tấn công hiện nay  Xâm nhập thành công  Vui vẻ và bổ ích  Ba kiểu phổ biến 1. Thăm dò 2. Tìm hiểu và quét hệ thống  Thu thập thông tin 3. Chiếm quyền  Khai thác lỗ hổng 4. 5. Duy trì điều khiển, khai thác Xóa dấu vết và kết thúc  Tấn công từ chối dịch vụ (Dos) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 57 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 58 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin • Tấn công thụ động – Khái niệm – Đặc điểm – Các phương thức thực hiện – Ngăn chặn – Môi trường Nghe trộm đường truyền Dữ liệu truyền từ Bob ‐> Alice , Darth nghe trộm được nhưng không thay đổi dữ liệu Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 59 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 60 Bài giảng: An toàn bảo mật thông tin 10
  11. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin Phân tích lưu lượng Dữ liệu truyền từ Bob ‐> Alice (Dữ liệu đã mã hóa), Darth lấy được dữ liệu nhưng không hiểu ‐> phân tích luồng thông tin để phán đoán ‐ Mạng LAN ‐ Mạng không dây (Wireless LAN) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 61 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 62 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin • Tấn công chủ động – Khái niệm – Đặc điểm – Các phương thức thực hiện – Ngăn chặn – Môi trường Giả mạo Darth giả mạo thông điệp của Bob rồi gửi cho Alice, Chỉ áp dụng với mạng bảo mật kém, không có mã hóa hay xác thực Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 63 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 64 Chương 2: Chương 2:  Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin Tấn công làm trễ Thay đổi thông điệp Thông điệp từ Bob bị Darth chặn lại, sửa đổi rồi mới gửi lại cho Alice  Darth lấy được 1 gói tin từ Bob, đợi 1 thời gian nào đó rồi gửi => Alice  không biết thông điệp đã bị sửa đổi lại cho Alice Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 65 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 66 Bài giảng: An toàn bảo mật thông tin 11
  12. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin Tổng quan về tấn công hệ thống thông tin • Một số công cụ và kỹ thuật hỗ trợ tấn • Tấn công DoS công: – Khái niệm – Công cụ quét lỗ hổng (Vulnerability scanners) – Đặc điểm – Công cụ quét cổng dịch vụ (Port scanners) – Phân loại – Công cụ nghe lén (Sniffers) – Phòng tránh – Công cụ ghi phím gõ (Keyloggers) – Khắc phục Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 67 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 68 DoS DDoS • Hàng loạt Client gửi ‐ Kẻ tấn công tìm cách chiếm dụng và điều khiển nhiều máy request đến Server tính hoặc mạng máy tính • Server không reply trung gian Từ nhiều nơi đồng loạt gửi được do nghẽn g đườngg ào ạt các gói tin với tin với số lượng truyền rất lớn  Mục đích chiếm dụng tài • => DoS cổ điển nguyên, làm quá tải đường truyền của một mục tiêu xác định nào đó.  Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 69 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 70 RDoS Tóm tắt các kiểu DDoS - Attacker => chiếm quyền điểu khiển các Master • Các Master => chiếm quyền điểu khiển các Slave => các Master sẽ yêu cầu Slave gửi các gói tin => các Reflector - Các gói tin không có địa chỉ máy gửi chỉ có địa chỉ máy nhận. - Reflector nhận các gói tin => trả lời theo địa chỉ trong gói tin => vô tình trở thành kẻ trung gian tiếp tay => tấn công từ chối dịch vụ vào Victim Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 71 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 72 Bài giảng: An toàn bảo mật thông tin 12
  13. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2: CÁC NGUY CƠ TRONG HỆ THỐNG Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin • Các kiểu tấn công phổ biến hiện nay – Tấn công bằng mã độc – Tấn công vào các loại mật khẩu – Tấn công từ chối dịch vụ – Tấ công Tấn ô giảiả mạo địa đị chỉ, hỉ nghe h trộm tộ – Tấn công kiểu phát lại và người đứng giữa – Tấn công bằng bom thư và thư rác – Tấn công sử dụng cửa hậu Trojan – Tấn công kiểu Social Engineering – Tấn công phising, pharming Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 73 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 74 Chương 2: Bản đồ lây nhiễm mã độc và virus trên thế Các hình thức tấn công và rủi ro của hệ thống Tổng quan về tấn công hệ thống thông tin giới quý III/2016 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 75 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 76 Chương 2:  Các hình thức tấn công và rủi ro của hệ thống Việt Nam trên bản đồ tấn công năm 08/2017 Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013) TCVN ISO/IEC XXXX:2012 • Khái niệm • Các mức độ ảnh hưởng – Mức thấp – Mức trung bình – Mức cao – Mức cực cao • Nhận diện rủi ro Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 77 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 78 Bài giảng: An toàn bảo mật thông tin 13
  14. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2:  Các hình thức tấn công và rủi ro của hệ thống Chương 2:  Các hình thức tấn công và rủi ro của hệ thống Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013) Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013) TCVN ISO/IEC XXXX:2012 TCVN ISO/IEC XXXX:2012 ISMS và quy trình quản lý rủi ro an toàn thông tin (ISRM) • Cấu trúc tiêu chuẩn ISO/IEC 27001: 2013 gồm 07 điều khoản chính Quy trình ISMS Quy trình quản lý rủi ro an toàn thông tin – Điều khoản 4 - Phạm vi tổ chức Thiết lập ngữ cảnh – Điều khoản 5 - Lãnh đạo Đánh giá rủi ro Lập kế hoạch Phát triển kế hoạch xử lý rủi ro – Điều ề khoản 6 - Lập kếế hoạch Chấp nhận rủi ro – Điều khoản 7 - Hỗ trợ Thực hiện Triển khai kế hoạch xử lý rủi ro – Điều khoản 8 - Vận hành hệ thống Kiểm tra Liên tục giám sát và soát xét rủi ro – Điều khoản 9 - Đánh giá hiệu năng hệ thống – Điều khoản 10 - Cải tiến hệ thống theo nguyên Hành động Duy trì và cải tiến QT quản lý rủi ro an toàn thông tin tắc P-D-C-A (Plan – Do – Check – Action) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 79 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 80 Chương 2:  Các hình thức tấn công và rủi ro của hệ thống Chương 2:  Các hình thức tấn công và rủi ro của hệ thống Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013) TCVN ISO/IEC XXXX:2012 Triển khai hệ thống ISMS (ISO 27001:2013) • Đánh giá rủi ro – Nhận biết rủi ro • Quy trình triển khai ISMS ở Việt Nam • Xác định nguyên nhân, nguồn phát sinh rủi ro • Các tài sản trong phạm vi đã được thiết lập – Bước 1: Khảo sát và lập kế hoạch • Các mối đe dọa, các lỗ hổng – Bước 2: Xác định phương pháp quản lý rủi ro • Các biện pháp, các kế hoạch triển khai xử lý rủi ro • Cá hậu Các hậ quả ả ATTT – Phân tích rủi ro – Bước 3: Xây dựng hệ thống đảm bảo ATTT tại • Phương pháp phân tích rủi ro • Đánh giá các hậu quả đơn vị • Đánh giá khả năng xảy ra sự cố – Bước 4: Triển khai áp dụng • Xác định mức độ rủi ro – Ước lượng rủi ro – Bước 5: Đánh giá nội bộ • DS các rủi ro cùng với các mức độ giá trị được định rõ và các tiêu chí ước lượng rủi ro • Các tiêu chí ước lượng rủi ro và các tiêu chí chấp nhận rủi ro Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 81 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 82 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Kiểm soát rủi ro cho HTTT (ISO 27001:2013) Các hình thức tấn công vào HTTT hiện nay Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 83 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 84 Bài giảng: An toàn bảo mật thông tin 14
  15. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công vào HTTT hiện nay Các hình thức tấn công vào HTTT hiện nay • Tội phạm công nghệ cao ở Việt Nam – Khái niệm – Thực trạng – Giải pháp – Xu hướng Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 85 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 86 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công vào HTTT hiện nay Các kiểu tấn công hệ thống thông tin • Thực trạng ở Việt Nam – Theo báo cáo của VNCERT, trong năm 2015, đơn vị này đã ghi nhận được 5.898 sự cố lừa đảo (Phishing), 8.850 sự cố thay đổi giao diện (Deface), 16.837 sự cố mã độc (Malware) đã cảnh báo và khắc phục được 3.885 sự cố – VNCERT cũng ghi nhận 1.451.997 lượt địa chỉ IP cả nước bị nhiễm ễ mã độc và nằm ằ trong các mạng Botnet trong đó gửi cảnh báo cho 3.779 lượt địa chỉ IP của các cơ quan nhà nước; điều phối, yêu cầu ngăn chặn 7.540 địa chỉ máy chủ điều khiển mạng Botnet và bóc gỡ mã độc tại 1.200.000 địa chỉ IP tại các máy bị nhiễm thuộc quản lý của các doanh nghiệp ISP. – VNCERT phối hợp với các tổ chức quốc tế xử lý và ngăn chặn 200 website giả mạo (giả mạo giấy phép do Bộ TT&TT cấp, giả mạo webmail của VNN, VDC, giả mạo website Ngân hàng Nhà nước…) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 87 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 88 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công vào HTTT hiện nay Các xu hướng tấn công bằng kỹ thuật – Tấn công bị động (Passive attack) – Tấn công rải rác (Distributed attack) – Tấn công Phishing – Tấn công các hệ thống điều phối sân bay (Hijack attack) – Tấn công khai thác (Exploit attack) – Tấn công gây tràn bộ đệm (Buffer overflow attack) – Tấn công từ chối dịch vụ ( Denial of service attack) – Tấn công kiểu người đứng giữa - Man-in-the-Middle Attack – Tấn công phá mã khóa (Compromised-Key Attack) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 89 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 90 Bài giảng: An toàn bảo mật thông tin 15
  16. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 2: Chương 2: Các hình thức tấn công và rủi ro của hệ thống Các hình thức tấn công và rủi ro của hệ thống Các xu hướng tấn công phi kỹ thuật Xu hướng từ các phương tiện truyền thông xã hội – Tấn công bị động (Passive attack) • Phát tán mã độc – Tấn công dựa vào kỹ năng xã hội (Social • Lừa đảo Engineering attack) • Giả mạo – Giả mạo (Impersonation) • Đánh cắp thông tin cá nhân – Tấn công vào yếu tố con người • Bêu xấu, vu khống và làm hại đến uy tín của cá –… nhân và tổ chức • … Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 91 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 92 Chương 2: Tham khảo: Các hình thức tấn công và rủi ro của hệ thống Một số hướng bảo mật của nhà cung cấp dịch vụ hiện nay Các xu hướng tấn công năm 2017 • 1. Mã độc tống tiền (ransomware). • 2. Dựa trên các dịch vụ mạng xã hội • 3. Khai thác và tấn công từ các thiết bị IoT • 4. Tấn công vào hệ thống hạ tầng và cơ quan của chính phủ • 5. Tấn công vào các website Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 93 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 94 Một số hướng bảo mật của nhà cung cấp dịch vụ hiện nay Check point ORACLE Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 95 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 96 Bài giảng: An toàn bảo mật thông tin 16
  17. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 HP Xác thực đa nhân tố trong HT Ibanking Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 97 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 98 Câu hỏi chương 2 Chương 3: Các phương pháp phòng tránh và phục hồi • Tấn công là gì? Phân loại các kiểu tấn công vào hệ thống thông tin? – 3.1. Các phương thức phòng tránh • Tấn công thụ động là gì? Đặc điểm và phương thức thực hiện? • 3.1.1. Phòng tránh mức vật lý • 3.1.2. Phòng tránh mức hệ điều hành và mạng • Tấn công chủ động là gì? Đặc điểm và phương thức thực hiện? • 3.1.3. Phòng tránh mức dữ liệu • Rủi ro của hệ thống là gì? Trình bày cách xác định và đánh giá • 3.1.4. Phòng tránh bằng chính sách và giáo dục rủi ro của HTTT theo chuẩn ISO 27005:2013? • Các Cá bước b ớ triển t iể khai kh i hệ thống thố ISMS ở Việt Nam? N ? – 3.2. Phòng tránh bằng mã hóa • 3.2.1. Các khái niệm liên quan đến mã hóa • Các hình thức tấn công vào HTTT hiện nay? • 3.2.2. Thuật toán mã hóa và các ứng dụng • Vì sao càng ngày các hình thức tấn công càng tinh vi và khó • 3.2.3. Các thuật toán mã hóa đối xứng phát hiện? • 3.2.4. Các thuật toán mã hóa không đối xứng • Các xu hướng tấn công bằng kỹ thuât? • Các xu hướng tấn công phi kỹ thuật? – 3.3. Một số biện pháp phục hồi • 3.3.1. Biện pháp phục hồi dữ liệu văn bản • Nhưng chúng có những nguy cơ của các cá nhân và tổ chức khi • 3.3.2. Biện pháp phục hồi dữ liệu phi văn bản tham gia sử dung các phương tiện truyền thông xã hội? • 3.3.3. Biện pháp phục hồi hệ thốn Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 99 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 100 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Quy trình chung để phòng tránh và phục hồi Thẩm định rủi ro của hệ thống • Quy trình chung • Bước 1: Thành lập bộ phận chuyên trách • Bước 2: Thu thập thông tin • Bước 3: Thẩm định tính rủi ro của hệ thống • B ớ 4: Bước 4 Xây Xâ dựng d giải iải pháp há • Bước 5: Thực hiện và giáo dục • Bước 6: Tiếp tục kiểm tra, phân tích và thực hiện Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 101 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 102 Bài giảng: An toàn bảo mật thông tin 17
  18. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Quy trình hoạt động của hệ thống bảo mật Chiến lược chung khi thực hiện • Giới hạn quyền hạn tối thiểu (Least Privilege) • Bảo vệ theo chiều sâu (Defence In Depth) • Kiểm soát các nút thắt (Choke Points) • Phát hiện điểm nối yếu nhất (Weakest Link) • Giải pháp há toàn t à cục (Global (Gl b l IIntegrated) t t d) • Sử dụng đa dạng bảo vệ (Diversified protection) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 103 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 104 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Các phương thức phòng tránh Các phương thức phòng tránh vật lý • Phòng tránh mức vật lý – Sử dụng hệ thống các thiết bị vật lý – Sử dụng các thiết bị dò tìm và báo động – Các biện pháp vật lý thông dụng Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 105 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 106 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Các phương thức phòng tránh Các phương thức phòng tránh • Phòng tránh mức hệ điều hành và mạng – Sử dụng Firewall – Sử dụng hệ thống kiểm tra xâm nhập mạng (IDS) – Sử dụng mạng riêng ảo (VPN) – Sử dụng phần mềm Anti-Virus (AV) – Bảo mật đường truyền – Các thế hệ thẻ thông minh – Kiểm tra máy chủ và các ứng dụng – Kiểm soát các hệ điều hành Jan 3, 2017 by Matt Mansfield In Technology Trends Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 107 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 108 Bài giảng: An toàn bảo mật thông tin 18
  19. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Phòng tránh mức HĐH và mạng của IBM Các phương pháp phòng tránh: bảo mật kênh truyền So sánh EV, DV và OV qua các trình duyệt Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 109 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 110 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh: Hệ thống IPS Các phương pháp phòng tránh: Hệ thống DMZ De‐Militarized Zone Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 111 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 112 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Các phương thức phòng tránh Phòng tránh mức dữ liệu: Quyền người dùng • Phòng tránh mức dữ liệu – Phân quyền người dùng – Sử dụng các chương trình bảo mật riêng – Sử dụng các chương trình antivirus, antivirus anti spyware – Mã hóa dữ liệu Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 113 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 114 Bài giảng: An toàn bảo mật thông tin 19
  20. Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT 8/7/2017 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Phòng tránh bằng chính sách và giáo dục Phòng tránh bằng mã hóa • Bổ sung và sửa đổi các luật, nghị định, thông tư • Khái niệm mã hóa • Xây dựng chính sách đảm bảo an toàn thông tin • Mục đích của việc mã hóa cho tổ chức • Quy trình mã hóa • Tuyên truyền và giáo dục • Nhắc nhở và thực hiện • Ứng dụng của mã hóa Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 115 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 116 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Phòng tránh bằng mã hóa Các thuật ngữ trong mã hóa • Plaintext: Bản rõ, bản gốc, nội dung thông điệp gốc • Cipertext: Bản mã, bản mật, bản kết quả sau khi mã hóa • Encryption: Mật mã hóa, mã hóa, quá trình chuyển bản rõ thành bản mã • Decryption: Giải mã, mã quá trình biến đổi bản mã thành bản rõ • Cryptosystem: Hệ mã, hệ mã hóa • Cryptanalysis: Phá mã, quá trình cố gắng chuyển đổi bản mật thành bản rõ mà không có khóa • Không gian khóa (Keyspace) : tổng số khóa có thể có của một hệ mã hóa • Hàm băm (Hash function) Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 117 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 118 Chương 3: Chương 3: Các phương pháp phòng tránh và phục hồi Các phương pháp phòng tránh và phục hồi Các yêu cầu đối với hệ mã hóa Các biện pháp phá mã phổ biến • Yêu cầu với hệ mã hóa • Phá mã là gì? – (1) Tính hỗn loạn (Confusion): – (2) Tính khuếch tán (Diffusion): • Các biện pháp phá mã phổ biến – Nguyên lý Kerckhoff: – Vét cạn • “Tính an toàn của một hệ mã hoá không nên phục thuộc vào việc iệ giữ iữ bí mật ật giải iải thuật th ật mã ã hoá, h á mã ã chỉ hỉ nên ê phục h thuộc th ộ vào à • Thử tất cả ả các á khả năng ă cóó thể có ó của ủ khóa khó việc giữ bí mật khoá mã”. • Độ an toàn của hệ mã hóa – Thám mã – An toàn vô điều kiện • Dựa trên các lỗ hổng và điểm yếu của giải thuật – An toàn tính toán mã hóa – Thực tế thỏa mãn hai điều kiện  Không có nhược điểm  Khóa có quá nhiều giá trị không thể thử hết được Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 119 Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT 120 Bài giảng: An toàn bảo mật thông tin 20
ADSENSE

CÓ THỂ BẠN MUỐN DOWNLOAD

THÔNG TIN
TRỢ GIÚP
HỖ TRỢ KHÁCH HÀNG
Theo dõi chúng tôi

Chịu trách nhiệm nội dung:

Nguyễn Công Hà - Giám đốc Công ty TNHH TÀI LIỆU TRỰC TUYẾN VI NA

LIÊN HỆ

Địa chỉ: P402, 54A Nơ Trang Long, Phường 14, Q.Bình Thạnh, TP.HCM

Hotline: 093 303 0098

Email: support@tailieu.vn

Giấy phép Mạng Xã Hội số: 670/GP-BTTTT cấp ngày 30/11/2015 Copyright © 2022-2032 TaiLieu.VN. All rights reserved.

 

Đồng bộ tài khoản
2=>2