Đồ án Firewall Cisco ASA - Công Nghệ Thông Tin | Đại học Mỏ – Địa chất

Đồ án Firewall Cisco ASA - Công Nghệ Thông Tin | Đại học Mỏ – Địa chất được sưu tầm và soạn thảo dưới dạng file PDF để gửi tới các bạn sinh viên cùng tham khảo, ôn tập đầy đủ kiến thức, chuẩn bị cho các buổi học thật tốt. Mời bạn đọc đón xem!

74 37 lượt tải Tải xuống
Chia sẻ Báo cáo tài liệu

Môn: Công nghệ thông tin (7480201)

Trường: Đại học Mỏ – Địa chất

Thông tin:

72 trang 4 tháng trước

Tác giả:

Profile Mai Nguyệt
LỜI CÁM ƠN
Trước tiên, em xin gở ời cám ơn chân thành tớ ầy hướ ẫn đồ án tối l i th ng d t
nghiệp của em, Th.S Tr o m u kiần Đình Thuần, người đã tạ ọi điề ện, động viên và giúp
đỡ ỳ đồ em hoàn thành tốt k án này. Trong suốt quá trình nghiên cứ ầy đã kiên nhẫu th n
hướng d t nhiẫn, giúp đỡ và động viên em rấ ều. Sự hiểu biết sâu sắc cũng như kinh
nghiệm c a thủ ầy chính là tiền đề giúp em đạt đượ ững thành tựu và kinh nghiệ c nh m
quý báu.
Xin cám ơn khoa Viễn Thông II củ ện công nghệa Học vi bưu chính viễn thông
đã tạo điề ợi cho em làm việc trên khoa để có thể ến hành tốt cho đồu kiện thuận l ti án
của em.
Em cũng xin gở ảm ơn đế ạn bè và gia đình đã luôn bên em, cổ vũ và i lời c n b
động viên em những lúc khó khăn để em vượt qua và hoàn thành tố án này t đồ
M t l n n ng H c vi ộ ầ ữa em xin chân thành cảm ơn thầy cô của trườ ọ ện công nghệ
Bưu Chính Viễn Thông, đặ ệt là thầ ần Đình Thuần người đã tận tình hước bi y Tr ng dẫn
em. Cu i l ng ối cùng em xin gở ời chúc đến quý thầy cô cùng các bạn sinh viên của trườ
được dồi dào sứ ỏe và thành công trong công việc kh c.
Em xin chân thành cảm ơn!
Sinh viên thực hiện
Nguy ễn Xuân Hòa
MỤC LỤC
MỤC LỤC .............................................................................................................. i
MỤC LỤC HÌNH .................................................................................................. v
MỤC LỤC BẢNG ............................................................................................... vi
LỜI MỞ ĐẦU ....................................................................................................... 1
CHƯƠNG 1 : AN TOÀN TRONG MẠNG MÁY TÍNH .................................... 2
1.1. Tình hình thực tế ........................................................................................ 2
1.2. Các lỗ ổng trên mạ h ng ............................................................................... 3
Các mật khẩu yếu ................................................................................ 3
D ữ liệu không được mã hóa ................................................................ 4
Các file chia sẻ .................................................................................... 4
1.3. Các mục tiêu cần bảo vệ ............................................................................. 5
D ữ liệu ................................................................................................. 5
Tài nguyên ........................................................................................... 5
Danh ti ếng ........................................................................................... 6
1.4. Các dạ ấn công trên mạng t ng ..................................................................... 6
p Xâm nhậ ............................................................................................ 6
T i d ch v ừ chố ị ụ ................................................................................... 7
1.5. Các chiến lược b o v ả ệ ................................................................................ 8
Quy n h n t i thi u (Least Privilege) ề ạ ố ể ................................................. 8
B o v theo chi Defence in Depth ) ả ệ ều sâu ( ......................................... 9
t (Choke Point) Nút thắ ........................................................................ 9
t yLiên kế ếu nhất ( Weakest Link ) ..................................................... 9
Hỏng an toàn ( Fail – Safe Stance ) .................................................. 10
c ( Universal Participation ) Tính toàn cụ .......................................... 10
CHƯƠNG 2 : TỔNG QUAN V FIREWALL Ề .................................................. 11
2.1. Khái niệm ................................................................................................. 11
2.2. P i Firewall hân loạ .................................................................................... 11
Firewall ph n c ầ ứng............................................................................ 11
Firewall ph n m m ầ ề ............................................................................ 12
2.3. Ưu điểm và nhược điểm c a Firewall ủ ...................................................... 12
m Ưu điể ............................................................................................. 12
Firewall là điểm tập trung gi i quyả ết các vấn đề an ninh .......... 12
Firewall có thể ập chính sách an ninh thiết l ............................... 13
Firewall có thể ại các hoạt độ ột cách hiệ ghi l ng m u quả ........... 13
m Nhược điể ....................................................................................... 13
Firewall không thể bảo vệ được nếu có sự ấn công từ bên trong t
................................................................................................................. 13
Firewall không thể bảo vệ được nếu các cuộ ấn công không đi c t
qua nó ...................................................................................................... 13
2.4. Các chức năng của Firewall ..................................................................... 14
Packet Filtering ................................................................................. 14
m Khái niệ ................................................................................... 14
Các hoạt động của Packet Filtering ........................................... 16
Proxy ................................................................................................. 16
m Khái niệ ................................................................................... 16
Các hoạt động của Proxy ........................................................... 17
Phân loại Proxy .......................................................................... 17
S d ng Proxy vử ụ ới các dịch vụ Internet ..................................... 18
Theo dõi và ghi chép (Monitoring and Logging).............................. 19
CHƯƠNG 3 : TƯỜNG L A CISCO ASA Ử ........................................................ 20
3.1. Gi i thi u ớ ệ .................................................................................................. 20
3.2. Các chức năng cơ bản .............................................................................. 21
Các chế độ làm việc .......................................................................... 21
Quản lý File....................................................................................... 22
3.3. Network Access Translation (NAT) ........................................................ 24
m Khái niệ .......................................................................................... 24
NAT trên thiết bị ASA ...................................................................... 25
3.4. Access Control List .................................................................................. 27
3.5. VPN .......................................................................................................... 30
i thi u Giớ ệ ........................................................................................... 30
Các mô hình của VPN ....................................................................... 32
Site to site VPN .......................................................................... 32
Remote Access ........................................................................... 32
CHƯƠNG 4 : TRIỂN KHAI CÁC GIẢI PHÁP TRÊN CISCO ASA VÀ DEMO
KẾT QU Ả............................................................................................................ 34
4.1. Gi i thiớ ệu và xây ựng mô hình Firewall ASA d ....................................... 34
4.2. Ho nh, gi t qu ạch đị ải pháp và kế ả đạt được: ............................................. 35
Hoạch định ........................................................................................ 35
Giải pháp ........................................................................................... 36
Tri n khai Router ISP ể ................................................................ 36
Interface trên Cisco ASA ........................................................... 37
Static Route trên Cisco ASA ...................................................... 37
Access Control List trên Cisco ASA ......................................... 37
NAT trên Cisco ASA ................................................................. 38
Remote Access VPN .................................................................. 39
K t qu ế ả đạt được ............................................................................... 41
KẾT LU N Ậ ......................................................................................................... 42
PHỤ Ụ L C ............................................................................................................... i
DANH MỤC CÁC TỪ VIẾT TẮT ................................................................... xxi
TÀI LIỆU THAM KH O Ả ................................................................................ xxiii
MỤC LỤC HÌNH
Hình 1.1: Tấn công kiểu DoS và DdoS ........................................................................... 7
Hình 1.2: Tấn công kiểu DRDoS .................................................................................... 8
Hình 1.3: Bảo vệ theo chi ...................................................................................... 9 ều sâu
Hình 2.1: Vị trí Firewall trong mạng doanh nghiệp ...................................................... 11
Hình 2.2: Packet Filtering .............................................................................................. 14
Hình 2.3: Proxy server ................................................................................................... 17
Hình 3.1: Cisco ASA 5505 ............................................................................................ 20
Hình 3.2: Security Level trong mạng lưới doanh nghiệp .............................................. 23
Hình 3.3: Chuyển đổi địa chỉ mạng ............................................................................... 24
Hình 3.4: Mô tả cơ chế PAT (NAT overload) ............................................................... 25
Hình 3.5: Sơ đồ ACL điều khiển truy c p m ........................................................... 27 ậ ạng
Hình 3.6: Mô tả ệ đường hầm VPN giữa 2 mạng LAN doanh nghi p ............................ 30
Hình 3.7: Sơ đồ ố m kạng mô tả ết n i Site to site VPN ................................................... 32
Hình 3.8: Sơ đồ ố m kạng mô tả ết n i Remote Access VPN ........................................... 33
Hình 4.1: Mô hình triển khai Firewall ASA .................................................................. 34
Hình 4.2: Mô hình logic Firewall ASA ......................................................................... 34
MỤC LỤC B ẢNG
Bảng 4.1: Các vùng mạng của một hệ thống mạng ....................................................... 35
Bảng 4.2: ng ..................................................................... 36Chính sách cho các vùng mạ
LỜI M U Ở ĐẦ
SVTH: L P: L15CQVT01-N Trang 1 NGUYỄN XUÂN HÒA Ớ
L UỜI MỞ ĐẦ
Mặc dù Internet là mỏ thông tin và giao tiếp xã hội quý giá, nhưng không phả i
lúc nào nó cũng thân thiện. Thay vào đó, có rấ ấu rình rập trên mạt nhiều kẻ x ng với
mưu đồ xâm nhậ vào những máy tính kế p t nối với Internet.
Sau hàng loạ ấn công mạ ới quy mô lớ ần đây, vấn đềi những vụ t ng v n diễn ra g
bảo m h nh nh ng ph n mật trên máy tính trở nên quan trọng hơn bao giờ ết. Bên cạ ữ ầ ềm
diệt virus, các cổ ạn còn cần chú ý đế ữa đó ng giao tiếp trong hệ thống, b n một yếu tố n
là tường lửa Firewall.
Để làm rõ các vấn đề này thì đồ án “FIREWALL CISCO ASA” sẽ cho chúng ta
cái nhìn sâu hơn về a Firewall. khái niệm, cũng như chức năng củ
Nội dung đồ án được chia làm 4 chương sau:
Chương 1: An toàn tron ạng máy tínhg m
Chương 2: Tổng quan về Firewall
Chương 3: Tường lửa Cisco ASA
Chương 4: Triển khai các giải pháp trên Cisco ASA và demo kết quả
Dưới s ng d n , ch b o nhi a th Th.S n ự hướ ẫ ỉ ả ệt tình củ ầy Trần Đình Thuầ cùng
với s cự ố g ng n l c c i hắ ổ ự ủa cá nhân, em đã hoàn thành đồ án đúng thờ ạn cho phép.
Do n m nhi u ki n th c m i m , th n thội dung đồ án rộng và bao gồ ề ế ứ ớ ẻ ời gian và kiế ức
còn hạ ệc nghiên cứn chế, vi u chủ yếu d c chựa trên lý thuyết nên chắ ắn đề tài không
tránh khỏ ếu xót. Em rấ ận được đượ đóng góp ý kiếi những thi t mong nh c sự n của thầy
cô giáo và bạn bè.
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 2 NGUYỄN XUÂN HÒA Ớ
CHƯƠNG 1 AN TOÀN TRONG MẠNG MÁY TÍNH :
Trong chương này chúng ta sẽ trình bày các khái niệ an toàn an ninh m chung về
mạng, tình hình thự ế. Các mô hình mạng và các giao thức đượ ụng đểc t c sử d truyền
thông trên mạng.
Các dạ ấn công, mộ ấn công đang đượng t t số kỹ thuật t c sử dụng phổ biến hiện
nay, t o v h ng kh ừ đó đưa ra các chiến lược bả ệ ệ thố ỏi các nguy cơ này.
1.1. Tình hình thực tế
Mạng Internet – m u k t nạng toàn cầ ế ối các máy tính cung cấp các dị như ch vụ
WWW, E- n t ng cho d ch v n tmail, tìm kiếm thông tin … là nề ả ị ụ điệ ử đang ngày càng
phát triển nhanh chóng. Internet đã và đang trở thành mộ ần không thể ếu đượ t ph thi c
trong cu c s ng h ng s nguy hi ng Internet ộ ố ằng ngày. Và cùng với nó là nhữ ự ểm mà mạ
mang l ại.
Những k t ng cẻ ấn công ngày càng tinh vi hơn trong các hoạt độ ủa chúng.
Thông tin về các lỗ ật, các kiể ấn công được trình bày công khai trên hổng bảo m u t
mạng. Không kể ấn công không chuyên nghiệ ững người có trình độ những kẻ t p, nh
cao mà chỉ ột người có mộ chút hiể ập trình, về ạng khi đọc các cần m t u biết về l m
thông tin này là có thể thành một hacker. Chính vì lí do này mà số ấn công trên trở vụ t
mạng không ngừng ra tăng và nhiều phương thứ ấn công mới ra đời, không thểc t kiểm
soát.
Theo điề g, thì 4/5 các tổ ợng nhân viên u tra của Ernst & Youn chức lớn ( số lư
lớn hơn 2500 ) đề ển khai các ứu tri ng dụng nền tảng, quan trọng trong mạng cục bộ
LAN. Khi các mạ này kế ạng Internet, các thông tin thiế ếu đềng cục bộ t nối với m t y u
nằm dưới khả năng bị đột nh p, l y c p, ph i ho c c n tr g. Ph n lậ ấ ắ á hoạ ặ ả ở lưu thôn ầ ớn các
tổ ng nh ng bi u l chức này tuy có áp dụ ữ ện pháp an toàn nhưng chưa triệt để và có nhiề ỗ
hổng để ấn công có thể kẻ t lợi dụng.
Những năm gần đây, tình hình bả ạng máy tính đã trở lên nóng bỏo mật m ng
hơn bao giờ hi hàng loạt các vụ ấn công, nhữ ật được phát hiệ hết k t ng lỗ hổng bảo m n
hoặc bị lợi dụng t a SecurityFocus ấn công. Theo Arthur Wong – giám đốc điều hành củ
– ổ ủ trung bình mộ ần, phát hiện ra hơn 30 lỗt tu h ng bả ậo m t m u tra cới. Theo điề a
SecurityFocus trong s 1 t ph n mố 0.000 khách hàng của hãng có cài đặ ầ ềm phát hiện
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 3 NGUYỄN XUÂN HÒA Ớ
xâm nhập trái phép thì trung bình mỗi khách hàng phả ộc thăm dò, xâm i chịu 129 cu
nhập. Nh ng ph n m bi n nhữ ầ ềm web server như IIS của Microsoft là mục tiêu phổ ế ất
củ ộa các cu c tấn công.
Trước tình hình đó thì việ an toàn thông tin cho mộc bảo vệ t hay một hệ thống
máy tính trước nguy cơ bị ấn công từ bên ngoài khi kế ối vào Internet là mộ ấn đề t t n t v
hết s c cứ ấp bách. Để thực hi gi t hi n mện các yêu cầu trên, thế ới đã xuấ ện các phầ ềm
khác vớ ững tính năng khác nhau mà đượi nh c gọi là Firewall.
Sử d b o v m ng n i b tụng Firewall để ả ệ ạ ộ ộ, tránh sự ấn công từ bên ngoài là một
giải pháp hữu hi m b u tệu, đả ảo được các yế ố :
An toàn cho sự hoạ ạt động c hủa toàn bộ ệ thống m ng
Bảo m n ật cao trên nhiều phương diệ
Khả năng kiểm soát cao
Mềm d s d ẻo và dễ ử ụng
Trong suốt với người sử dụng
Đảm bảo ki ến trúc mở
Để đượ có thể bảo vệ c hệ thống, chống lại sự t a hacker, ta phấn công củ ải biết
những m n b o v t t c b o ục tiêu cầ ả ệ, các kỹ thuậ ấn công khác nhau, và đưa ra chiến lượ ả
vệ m ng h ạ ợp lý.
1.2. Các lỗ h ổng trên mạng
Việc s d ng m t n ng thử ụ ạng Internet làm tăng nhanh khả năng kế ối, nhưng đồ ời
chứa đựng trong đó nhữ không ngờ ổng để ấn công có thểng hiểm hoạ . Những lỗ h kẻ t
lợi d t nhi h ng ph ụng, gây tổn thương cho hệ thống có rấ ều. Sau đây là một vài lỗ ổ ổ
biến trên cộng đồng mạng hiện nay.
Các mật khẩu yếu
Mọi người thường có thói quen sử ẩu theo tên của người thân hay dụng mật kh
những gì quen thuộ ới mình. Vớ phán đoán, kẻ ấn công có c v i những mật khẩu dễ bị t
th thể chiếm đoạt đượ ạng, phá huỷc quyền quản trị trong m hệ ống, cài đặt backdoor …
Ngày nay, một ngườ xa cũng có thể đăng nhập vào đượ ống cho nên ta i ngồi từ c hệ th
cần phải s t khử d ng nh ng mụ ữ ậ ẩu khó đoán, khó dò tìm hơn.
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 4 NGUYỄN XUÂN HÒA Ớ
Dữ liệu không được mã hóa
Các dữ ệu đượ ền đi trên mạ xâm phạ li c truy ng rất dễ bị m, xem trộm, sửa chữa.
Với nh ng dữ ữ liệu không được mã hoá, kẻ ấn công chẳ ời gian để t ng tốn th có thể hiểu
được chúng. Những thông tin nhạ ảm càng cầ ải mã hoá cẩ ận trướy c n phải ph n th c khi
gửi đi trên mạng.
Các file chia sẻ
Việc m chia s t trong nh ng v b o m t r t d ở các file ẻ thông tin là mộ ữ ấn đề ả ậ ấ ễ
gặp. Điều này cho phép bất kì ai cũng có thể ập các file nếu ta không có cơ chế truy nh
bảo m n tật, phân quyề ốt.
Bộ giao th c nứ ổi ti c s d ng r ng hiếng TCP/IP đượ ử ụ ộng rãi trên mạ ện nay cũng
luôn tiề khôn lườ ấn công có thể ụng ngay chính các m ẩn những hiểm hoạ ng. Kẻ t sử d
qui t c trong b giao th c hi t s l ắ ộ ức này để thự ện cách tấn công DoS. Sau đây là mộ ố ỗ
hổng đáng chú ý liên quan đến bộ giao thức TCP/IP
Tấn công Web Server:
Ngoài các lỗ ực thi các chương trình CGI, các Web hổng bảo mật do việc th
server còn có thể có các lỗ ổng khác. Ví dụ như mộ Web server (IIS 1.0 ...) có h t số
một lỗ h ng d n ổng mà do đó một tên file có thể chèn thêm đoạn “../” vào trong tên đườ ẫ
thì có thể ọi nơi trong ống file và có thể ấy đượ ất kì file nào. di chuyển tới m hệ th l c b
Một l ng request ho ng ỗi thông dụng khác là lỗi tràn bộ đệm trong trườ ặc trong các trườ
HTTP khác.
Tấn công trình duyệt Web:
Do các trình duyệt Web như của Microsoft, Netscape có khá nhiều lỗ hổng bảo
mật nê ện các tấn công URL, HTTP, HTML, JavaScript, Frames, Java và n xuất hi
ActiveX.
Giả a ch IP (IP Spoofing) đị ỉ
Để truy cập vào hệ thống mạng của bạn, máy tính bên ngoài phải “giành” được
một đị ậy trên hệ ạng. Vì vậ ấn công phả ột địa chỉ IP tin c thống m y kẻ t i sử dụng m a chỉ
IP n m trong ph m vi h ng m ng c a b n. Ho t s ằ ạ ệ thố ạ ủ ạ ặc cách khác là kẻ ấn công có thể ử
dụng m ột địa chỉ IP bên ngoài nhưng đáng tin cậy trên hệ thống m ng cạ ủa bạn.
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 5 NGUYỄN XUÂN HÒA Ớ
Tràn bộ đệm (Buffer Overflows):
Có 2 kiể ấn công khai thác lỗi tràn bộ là : DNS overflow (Khi một tên u t đệm
DNS quá dài đượ ới Server) và Statd overflow (khi một tên file quá dài được gửi t c
cung cấp).
Tấn công DNS (DNS attacks):
DNS server thường là mục tiêu chính hay bị ấn công. Bở ớn gây t i hậu quả rất l
ra bởi nó là gây ách tắc toàn mạng.
1.3. Các mục tiêu cần bảo vệ
Để đượ ố có thể bảo vệ c hệ th ng, chống lại sự tấn công của hacker. Chúng ta
phải bi t nh ng m n b o v thu t tế ữ ục tiêu cầ ả ệ, các kỹ ậ ấn công khác nhau từ đó đưa ra các
chiến lược bảo v h ệ ợp lý…
Dữ liệu
Mục tiêu chính sách an toà ống thông tin cũng như đốn của một hệ th i với dữ
liệu bao g n, s ồm : bí mật, toàn vẹ ẵn sàng.
Thông thườ ọi người thườ ập trung vào bả tính bí mậng m ng t o vệ t của dữ liệu,
những thông tin có tính nhạ ảm cao như thông tin về ốc phòng, chiến lượy c qu c kinh
doanh… thì đây là yế ống còn. Khi dữ sao chép bở ững người không có u tố s liệu bị i nh
th liẩm quy ền thì ta nói dữ ệu đã bị mất tính bí mật.
Khi d u b s i m t ng b m quyữ liệ ị ửa đổ ột cách bấ ờ ởi người không có thẩ ền thì khi
đó có thể nói dữ liệu bị mất tính toàn vẹn.
Tính s t quan trẵn sàng là tính chấ ọng nh i vất đố ới các tổ chức ho ng cạt độ ần sử
dụng nhi i s dều thông tin. Khi ngườ ử ụng h n xem d ki u cợp pháp muố ữ ệ ủa mình nhưng
dữ liệu không thể đáp ứng ngay vì một lý do nào đó, khi đó ta nói dữ liệu đã mất đi
tính sẵn sàng.
Tài nguyên
Xét một ví dụ như sau :
Ta có một máy in ( mộ ạng tài nguyên ), ngoài ta ra chỉ ững ai có đủt d nh thẩm
quyền thì mới đượ ụng nó. Tuy nhiên, có những người không đủc sử d thẩm quyền vẫn
muốn sử dụng máy in này miễn phí. Khi đó ta nói chiếc máy in này đã bị xâm phạ m.
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 6 NGUYỄN XUÂN HÒA Ớ
Khái niệm xâm phạm là rấ ộng, ví dụ như bộ ớ, CPU,… đều là tài nguyên. t r nh
Khi chúng bị ững người không có thẩ ền khai thác một cách bấ ợp pháp thì nh m quy t h
ta nói tài nguyên đó đã bị xâm phạm.
Danh tiếng
Bảo v danh ti u q i vệ ếng là một điề uá hiển nhiên đố ới cả cá nhân và các tổ chức.
Không chỉ trên mạng Internet mà cả ống hàng ngày chúng ta đề trong thực tế cuộc s u
cần ph i bả ảo vệ danh ti x y ra nếng. Điều gì sẽ ả ếu như một ngày nào đó tên của chúng
ta đượ ục đích mờ Và để khôi phụ ếng mà trước sử dụng cho những m ám. c lại danh ti c
đó đã có chắ ời gian dài và cũng có thể là không thểc chắn phải mất một th .
1.4. Các dạng t ấn công trên mạng
Có nhiề ấn công khác nhau vào hệ ống, và cũng có nhiều cách phân u dạng t th
loại các dạ ấn công này. Trong mụ này, chúng ta chia các dạ ấn công làm ba ng t c ng t
phần cơ bản :
• Xâm nhập ( Intrusion )
• Từ chối dịch vụ ( Denial of Service – DoS )
• Ăn trộm thông tin ( Information thieft )
Xâm nhập
Tấn công xâm nhập là việ ột người hay nhóm ngườ ắng độc m i cố g t nhập hay
lạm dụng h ệ thống. Hacker và cracker là hai từ dùng để chỉ nh ng k p. ữ ẻ xâm nhậ
Hầu h ng tết các dạ ấn công vào hệ thống nói chung là dạng xâm nhậ ới cách p. V
tấn công này, kẻ ấn công thự có thể ụng máy tính củ t c sự sử d a ta. Tất cả những kẻ tấn
công đều muốn sử d ụng máy tính của ta với tư cách là người hợp pháp.
Những k t truy c dẻ ấn công có hàng loạt cách để ập. Chúng có thể giả ạng là một
người có thẩ ền cao hơn để yêu cầu các thông tin về tên truy cậm quy p/mậ ẩt kh u của ta,
hay đơn giản dùng cách tấn công suy đoán, và ngoài ra chúng còn nhiều phương pháp
phức tạp khác để ập mà không cầ ết tên người dùng và mậ truy c n bi t khẩu.
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 7 NGUYỄN XUÂN HÒA Ớ
Từ chối dịch vụ
Đây là kiể ấn công vào tính sẵn sàng củ ống, làm hệ ệt tài u t a hệ th thống cạn ki
nguyên hoặ ụng băng thông củ làm mất đi khả năng đáp ức chiếm d a hệ thống, ng trả
lời các yêu cầu đến. Trong trườ ợp này, nế ần dùng đến tài nguyên thì ng h u hệ thống c
rất có thể hệ thống s g p lẽ ặ ỗi.
Có mộ đặc điểm đặ ệt trong cách tấn công này là ngườ ại không thểt số c bi i bị h
chống đỡ ại đượ ấn công này vì công cụ ụng trong cách tấn công này l c kiểu t được sử d
là các công cụ mà hệ ống dùng để ận hành hằng ngày. th v
Có thể t ra bphân biệ ốn dạng DoS sau:
Tiêu thụ băng thông ( bandwidth consumption )
Làm nghèo tài nguyên ( resource starvation )
Programming flaw
Tấn công Routing và DNS
Về m t kặ ỹ thuật có 3 kiể ấn công từu t chối d ch vị ụ chính là DoS, DDoS và
DRDoS
+ DoS – Traditional DOS
Hình 1.1: T ấn công kiểu DoS và DdoS
Đơn thu ần máy tấn công có bandwidth lớn hơn máy nạn nhân
+ DDoS – Distributed DOS
Sử d ng nhi ụ ều máy cùng tấn công vào một máy nạn nhân
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 8 NGUYỄN XUÂN HÒA Ớ
+ DRDoS – Distributed Reflection DOS
Sử d n xụng các server phả ạ, máy tấn công sẽ ửi yêu cầ ới các server g u kết nối t
có band ất cao trên mạ ạ, các gói tin yêu cầ ối này mang width r ng – server phản x u kết n
đị ỉa ch IP giả - a chchính là đị ỉ IP c n xủa máy nạn nhân. Các server phả ạ này gửi lại
máy nạn nhân các gói SYN/ACK dẫ ện tượng nhân băng thông –n tới hi bandwidth
multiplication.
Tuy nhiên với cách tấn công này, kẻ ấn công cũng không thu được thông tin gì t
thêm về ống. Nó chỉ đơn thuần làm hệ ống tê liệt, không hoạt động đượ hệ th th c nữa
mà thôi.
Đơn thuần máy tấn công có bandwidth lớn hơn máy nạn nhân.
Hình 1.2: T u DRDoSấn công kiể
1.5. Các chiến lược bảo vệ
Quyền h n t u (ạ ối thiể Least Privilege)
Có lẽ ến lược cơ bả an toàn ( không chỉ ạng mà còn chi n nhất về cho an ninh m
cho m n h n t i thi u. V n tọi cơ chế an ninh khác ) là quyề ạ ố ể ề cơ bản, nguyê ắc này có
nghĩa là : bấ ột đối tượng nào ( ngườ ụng, ngườ ống … ) chỉt kỳ m i sử d i quản trị hệ th
có nhữ ất đị cho công việ ủa đối tượng đó và không ng quyền hạn nh nh nhằm phục vụ c c
hơn nữ ểu là nguyên tắ phô a. Quyền hạn tối thi c quan trọng nhằm giảm bớt những sự
bày mà kẻ ấn công có thể ấn công vào hệ ống và hạ phá hoại do các vụ phá t t th n chế sự
hoại gây ra.
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 9 NGUYỄN XUÂN HÒA Ớ
Tất c m i s d ng h c ch truy c i d ch ả ọi ngườ ử ụ ầu như chắ ắn không thể ập vào mọ ị
vụ của Internet, ch nh s a ( ho c th c ) mỉ ử ặ ậm chí chỉ là đọ ọi file trên hệ thống của ta,
biết đượ ọi nhà quả cũng không thể ết được các mậc mật khẩu root. Tất cả m n trị biết h t
khẩu root c a t t c c quy n h n tủ ấ ả các hệ thống. Để áp dụng nguyên tắ ề ạ ối thiểu, ta nên
tìm cách giảm quyền hạ ển cần dùng cho từng người, từng công việc cụ th .
Bảo v theo chiệ ều sâu (Defence in Depth )
Một nguyên tắc khác củ ọi cơ chế ều sâu. Đừa m an ninh la bảo vệ theo chi ng
phụ thuộc vào chỉ ột cơ chế m an ninh, cho dù là nó mạnh đến đâu đi nữa. Thay vào đó
là sử dụng nhiều cơ chế an ninh để chúng hỗ trợ nhau.
Hình 1.3: Bảo vệ theo chiều sâu
Nút thắt (Choke Point)
Với cách xây dựng nút thắt, ta đã buộ ồng thông tin phải qua đó c tất cả mọi lu
và nhữ ấn công cũng không là ngoạ ệ. Chính nhờ đặc điểm này mà có thểng kẻ t i l kiểm
tra và điề ển các luồng thông tin ra vào mạng. Có rấ ều ví dụ nút thắu khi t nhi về t trong
thực t c sế cuộ ống.
Với an ninh m t gi a m ng c n b o v ạng thì nút thắt chính là các Firewall đặ ữ ạ ầ ả ệ và
Internet. Bất k ai mu ng c n b o v u phỳ ốn đi vào trong mạ ầ ả ệ đề ải đi qua các Firewall
này.
Liên kết yếu nhất ( Weakest Link )
Đố ới v i một hệ thống bảo vệ thì cho dù có nhiều khâu có mức an toàn cao
nhưng chỉ ột khâu mất an toàn thì toàn bộ ống cũng sẽ ất an toàn. Nhữ cần m hệ th m ng
kẻ t m y p trung t n ấn công thông minh sẽ tìm ra những điể ếu và tậ ấn công vào đó. Cầ
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
SVTH: L P: L15CQVT01-N Trang 10 NGUYỄN XUÂN HÒA Ớ
phải th n tr ng t m y i k tậ ọ ới các điể ếu này bở ẻ ấn công luôn biết tìm cách để khai thác
nó.
Hỏng an toàn ( Fail – Safe Stance )
Một điể ếu cơ bản khác trong chiến lược an ninh là khả năng cho phép hệm y
th thống h n ỏng an toà – có nghĩa là nếu hệ ống có hỏng thì sẽ ỏng theo cách chố h ng lại
sự t s n s truy c p cấn công của đối phương.Sự ụp đổ này có thể cũng ngăn cả ự ậ ủa người
dung h ng h n ph ng chi ợp pháp nhưng trong một số trườ ợp thì vẫ ải áp dụ ến lược này.
Hầu h ng d ng hi h u mết các ứ ụ ện nay đều có cơ chế ỏng an toàn. Ví dụ như nế ột
router l t k m u m t proxy ọc gói bị down, nó sẽ không cho bấ ỳ ột gói tin nào đi qua. Nế ộ
bị down, nó sẽ không cung cấp một dịch vụ nào cả. Nhưng nếu một hệ thống lọc gói
đượ ớc c t cấu hình mà tấ ả các gói tin được hướng t i một máy chạy ứng dụng lọc gói và
một máy khác cung cấ ụng thì khi máy chạ ọc gói bị down, các gói p ứng d y ứng dụng l
tin s di chuy ng d ng cung c p d ch v . Ki u thi t kẽ ển toàn bộ đến các ứ ụ ấ ị ụ ể ế ế này không
phải là dạng h n ph ỏng an toàn và cầ ải đuợc ngăn ngừa.
Điểm quan trọng trong chi m cến lược này là nguyên tắc, quan điể ủa ta về an
ninh. Ta có xu hướ ế, ngăn cấm hay cho phép? Có hai nguyên tắc cơ bản mà ng hạn ch
ta có thể quyết định đến chính sách an ninh :
+ M nh t i : Ch ng g m t t c nh ng ặc đị ừ chố ỉ quan tâm nhữ ì ta cho phép và cấ ấ ả ữ
cái còn lại.
+ M n nhặc định cho phép : Chỉ quan tâm đế ững gì mà ta ngăn cấm và cho qua
tất cả nh ững cái còn lại.
Tính toàn cục ( Universal Participation )
Để đạ t được hiệ ảu quả ầ cao, h u h i phết các hệ thống an toàn đòi hỏ i có tính toàn
cục của các hệ thống c c b . N u m t kụ ộ ế ộ ẻ nào đó có thể dễ dàng bẻ gãy một cơ chế an
toàn thì chúng có thể thành công bằng cách tấn công hệ ủa ai đó rồ thống tự do c i tiếp
tục tấn công hệ thống nội b t nhiộ từ bên trong. Có rấ ều hình thức làm cho ỏng an toàn h
hệ thống và chúng ta cần được báo lạ ện tượ ảy ra có thể liên quan đếi những hi ng lạ x n
an toàn củ ụa hệ thống c c bộ.
CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL
SVTH: L P: L15CQVT01-N Trang 11 NGUYỄN XUÂN HÒA Ớ
CHƯƠNG 2 : TỔNG QUAN VỀ FIREWALL
2.1. Khái niệm
Thuật ng F n g c t m t k t thi t kữ irewall có nguồ ố ừ ộ ỹ thuậ ế ế xây dựng để ngăn
chặn, h n ch h a ho t kạ ế ỏ ạn .Trong công nghệ thông tin, Firewall là mộ ỹ thuật được tích
hợp vào hệ thống mạng để chống s truy c m b o vự ập trái phép nhằ ả ệ các nguồn thông
tin n i b n ch s ng nh m mộ ộ cũng như hạ ế ự xâm nhập vào hệ thố ằ ục đích phá hoại, gây
tổn th t cho t c, doanh nghi hi u Fấ ổ chứ ệp. Cũng có thể ể irewall là một cơ chế để b o vả ệ
mạng tin tưở ỏi các mạng tin tưởng (trusted network) kh ng (untrusted network).
Hình 2.1: V ng doanh nghiị trí Firewall trong mạ ệp
Theo cách bố trí này thì tấ các luồng thông tin đi vào mạ t cả ng nội bộ từ
Internet hay ngượ ộc l mại, đi từ ạng nội b ra Internet đều phải qua Firewall. Nhờ vậy
Firewall có thể ểm soát được các luồng thông tin, từ đó đưa ra các quyết đị ki nh cho
phép hay không cho phép. Cho phép hay không cho phép ở đây là dựa trên chính sách
an ninh do người quản tr F ị irewall đặt ra.
2.2. Phân loại Firewall
Có mộ công ty sả irewall và có hai loạ ọn là Ft số n xuất sản phẩm F i để ch irewall
ph Fần cứng và irewall phần m m. ề
Firewall ph ần cứng
Về t ng th Firewall ph n c ng cung c p m b o vổ ể, ầ ứ ấ ức độ ả ệ cao hơn so với
Firewall phần m b n cềm và dễ ảo trì hơn. Firewall phầ ứng cũng có một ưu điểm khác là
không chiế ụng tài nguyên hệ ống trên máy tính như Firewall phầm d th n mềm.
CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL
SVTH: L P: L15CQVT01-N Trang 12 NGUYỄN XUÂN HÒA Ớ
Firewall ph n c t l a ch n r t t i v p nhầ ứng là mộ ự ọ ấ ốt đố ới các doanh nghiệ ỏ, đặc
biệt cho nh k t n k t h t b ững công ty có chia sẻ ế ối Internet. Có thể ế ợp Firewall và mộ ộ
đị ụnh tuy t hến trên cùng mộ ệ thống phần c dứng và sử ng hệ thống này để bảo vệ cho
toàn bộ ứng có thể là mộ ọn đỡ ốn chi phí hơn so vớ mạng. Firewall phần c t lựa ch t i
Firewall ph n m ng phầ ềm thườ ải cài trên mọi máy tính cá nhân trong mạng.
Firewall ph m ần mề
Nếu không muố ứng thì ta có thển tốn tiền mua Firewall phần c sử dụng
Firewall ph n m m. V , Firewall ph n m t b ng Firewall ầ ề ề giá cả ầ ềm thường không đắ ằ
phần c ng, th t s n m m Comodo Firewall Pro 3.0, PC ứ ậm chí mộ ố còn miễn phí (phầ ề
Tools Firewall Plus 3.0, ZoneAlarm Firewall 7.1...) và chúng ta có thể tải về từ mạng
Internet.
So v i Firewall ph n c ng, Firewall ph n mớ ầ ứ ầ ềm cho phép linh động hơn, nhất là
khi c t l t l i nhu c a tần cài đặ ại các thiế ập cho phù hợp hơn vớ ầu riêng củ ừng công ty.
Chúng có thể ạt độ ốt trên nhiề ống khác nhau, khác vớ ho ng t u hệ th i Firewall phần
cứng tích hợp với bộ định tuy n ch c t t trong m . Firewalế ỉ làm việ ố ạng có quy mô nhỏ l
phần m t l a ch i vềm cũng là mộ ự ọn phù hợp đố ới máy tính xách tay vì máy tính sẽ vẫn
đượ ỳc bảo vệ t kcho dù mang máy tính đi bấ nơi nào.
Các Firewall phầ ềm làm việ và Windowsn m c tốt với Windows XP, Windows 7
2010. Chúng là mộ ốt cho các máy tính đơn lẻ. Các công ty phầ ềm khác t lựa chọn t n m
làm các tườ ửa này. Chúng không cầ ởi vì XP đã có mộng l n thiết cho Windows XP b t
tường lửa cài sẵn.
2.3. Ưu điểm và nhược điểm của Firewall
Ưu điểm
Firewall có thể làm rấ ều điề ững ưu t nhi u cho an ninh của mạng. Thực tế nh
điể ởm khi sử d ụng Firewall không chỉ trong lĩnh vực an ninh.
Firewall là điểm tập trung giải quyết các vấn đề an ninh
Quan sát vị ủa Firewall trên hình chúng ta thấy đây là mộ ạng nút thắ trị c t d t.
Firewall cho ta kh b o v m ng n i b b c n t p ả năng lớn để ả ệ ạ ộ ộ ởi công việc làm chỉ ầ ậ
trung t c t p trung gi i quy t t i mại nút thắt này. Việ ậ ả ế ạ ột điểm này còn cho phép có hiệu
quả c v m . ả ề ặt kinh tế
CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL
SVTH: L P: L15CQVT01-N Trang 13 NGUYỄN XUÂN HÒA Ớ
Firewall có thể ập chính sách an ninh thiết l
Có rất nhiều dịch vụ ố i muvà mọi ngườ n sử dụng v ốn đã không an toàn.
Firewall đóng vai trò kiểm soát các dị này. Nó sẽ ập chính sách an ch vụ thiết l
ninh cho phép nhữ ỏa mãn tậ ật trên Firewall đang hoạt động. Tùy ng dịch vụ th p lu
thuộc vào công nghệ ọn để xây dựng Firewall mà nó có khả năng thự ện các lựa ch c hi
chính sách an ninh với hiệu quả khác nhau.
Firewall có thể ại các hoạt độ ột cách hiệ ghi l ng m u quả
Do m i lu thu thọ ồng thông tin đều qua Firewall nên đây sẽ là nơi lý tưởng để ập
các thông tin về ống và mạ ụng. Firewall có thể ghi chép lạ ững gì xả hệ th ng sử d i nh y
ra giữa m c b o v ạng đượ ả ệ và mạng bên ngoài.
Nhược điểm
Firewall có thể bảo vệ mạng có hiệ nhưng nó không phải là tấu quả t cả.
Firewall cũng tồ ại các nhượn t c điểm của nó.
Firewall không thể ếu có sự ấn công từ bên trong bảo vệ được n t
Nếu k t c cho ta. ẻ ấn công ở phía trong Firewall, thì nó sẽ không thể giúp gì đượ
Kẻ t p dấn công sẽ ăn cắ ữ liệu, phá hỏ ửa đổi chương trình ng phần cứng - phần mềm, s
mà Firewall không thể biết được.
Firewall không thể ếu các cuộ ấn công không đi bảo vệ được n c t
qua nó
Firewall có thể ách hiệ các luồng thông tin, nếu như điều khiển một c u quả
chúng đi qua Firewall. Tuy nhiên, Firewall không thể làm gì nếu như các luồ ng dữ liệu
không đi qua nó.Ví dụ cho phép truy nhậ ối vào hệ ống bên trong củ p dial-up kết n th a
Firewall. Khi đó nó sẽ không chố ấn công từ ng lại được sự t kết nối modem.
Có thể ệc cài đặ ủa ngườ ững ngườ do vi t backdoor c i quản trị hay nh i sử dụng
trình độ . cao
| 1/72
| | Tải xuống

Có thể bạn quan tâm:

Preview text:

LỜI CÁM ƠN
Trước tiên, em xin gởi lời cám ơn chân thành tới thầy hướng dẫn đồ án tốt
nghiệp của em, Th.S Trần Đình Thuần, người đã tạo mọi điều kiện, động viên và giúp
đỡ em hoàn thành tốt kỳ đồ án này. Trong suốt quá trình nghiên cứu thầy đã kiên nhẫn
hướng dẫn, giúp đỡ và động viên em rất nhiều. Sự hiểu biết sâu sắc cũng như kinh
nghiệm của thầy chính là tiền đề giúp em đạt được những thành tựu và kinh nghiệm quý báu.
Xin cám ơn khoa Viễn Thông II của Học viện công nghệ bưu chính viễn thông
đã tạo điều kiện thuận lợi cho em làm việc trên khoa để có thể tiến hành tốt cho đồ án của em.
Em cũng xin gởi lời cảm ơn đến bạn bè và gia đình đã luôn bên em, cổ vũ và
động viên em những lúc khó khăn để em vượt qua và hoàn thành tốt đồ án này
Một lần nữa em xin chân thành cảm ơn thầy cô của trường Học viện công nghệ
Bưu Chính Viễn Thông, đặc biệt là thầy Trần Đình Thuần người đã tận tình hướng dẫn
em. Cuối cùng em xin gởi lời chúc đến quý thầy cô cùng các bạn sinh viên của trường
được dồi dào sức khỏe và thành công trong công việc.
Em xin chân thành cảm ơn! Sinh viên thực hiện Nguyễn Xuân Hòa
MỤC LỤC
MỤC LỤC .............................................................................................................. i
MỤC LỤC HÌNH .................................................................................................. v
MỤC LỤC BẢNG .............................................................................................. . vi
LỜI MỞ ĐẦU ....................................................................................................... 1
CHƯƠNG 1 : AN TOÀN TRONG MẠNG MÁY TÍNH .................................... 2
1.1. Tình hình thực tế ........................................................................................ 2
1.2. Các lỗ hổng trên mạng ............................................................................... 3
Các mật khẩu yếu ................................................................................ 3
Dữ liệu không được mã hóa ................................................................ 4
Các file chia sẻ .................................................................................... 4
1.3. Các mục tiêu cần bảo vệ ............................................................................. 5
Dữ liệu ................................................................................................. 5
Tài nguyên ........................................................................................... 5 Danh tiến
g ........................................................................................... 6
1.4. Các dạng tấn công trên mạng ..................................................................... 6
Xâm nhập ............................................................................................ 6
Từ chối dịch vụ ................................................................................... 7
1.5. Các chiến lược bảo vệ ................................................................................ 8
Quyền hạn tối thiểu (Least Privilege) ................................................. 8
Bảo vệ theo chiều sâu (Defence in Depth ) ......................................... 9
Nút thắt (Choke Point) ........................................................................ 9
Liên kết yếu nhất ( Weakest Link ) ..................................................... 9
Hỏng an toàn ( Fail – Safe Stance ) .................................................. 10
Tính toàn cục ( Universal Participation ) .......................................... 10
CHƯƠNG 2 : TỔNG QUAN VỀ FIREWALL .................................................. 11
2.1. Khái niệm ................................................................................................. 11
2.2. Phân loại Firewall ................................................................................... . 11
Firewall phần cứng ............................................................................ 11
Firewall phần mềm ............................................................................ 12
2.3. Ưu điểm và nhược điểm của Firewall ...................................................... 12
Ưu điểm ............................................................................................. 12
Firewall là điểm tập trung giải quyết các vấn đề an ninh .......... 12
Firewall có thể thiết lập chính sách an ninh ............................... 13
Firewall có thể ghi lại các hoạt động một cách hiệu quả ........... 13
Nhược điểm ....................................................................................... 13
Firewall không thể bảo vệ được nếu có sự tấn công từ bên trong
................................................................................................................. 13
Firewall không thể bảo vệ được nếu các cuộc tấn công không đi
qua nó ...................................................................................................... 13
2.4. Các chức năng của Firewall ..................................................................... 14
Packet Filtering ................................................................................. 14
Khái niệm ................................................................................... 14
Các hoạt động của Packet Filtering .......................................... . 16
Proxy ................................................................................................. 16
Khái niệm ................................................................................... 16
Các hoạt động của Proxy ........................................................... 17
Phân loại Proxy .......................................................................... 17
Sử dụng Proxy với các dịch vụ Internet ..................................... 18
Theo dõi và ghi chép (Monitoring and Logging).............................. 19
CHƯƠNG 3 : TƯỜNG LỬA CISCO ASA ........................................................ 20
3.1. Giới thiệu .................................................................................................. 20
3.2. Các chức năng cơ bản .............................................................................. 21
Các chế độ làm việc .......................................................................... 21
Quản lý File ....................................................................................... 22
3.3. Network Access Translation (NAT) ........................................................ 24
Khái niệm .......................................................................................... 24
NAT trên thiết bị ASA ...................................................................... 25
3.4. Access Control List .................................................................................. 27
3.5. VPN .......................................................................................................... 30
Giới thiệu ........................................................................................... 30
Các mô hình của VPN ....................................................................... 32
Site to site VPN .......................................................................... 32
Remote Access ........................................................................... 32
CHƯƠNG 4 : TRIỂN KHAI CÁC GIẢI PHÁP TRÊN CISCO ASA VÀ DEMO
KẾT QUẢ........................................................................................................... . 34
4.1. Giới thiệu và xây dựng mô hình Firewall ASA ....................................... 34
4.2. Hoạch định, giải pháp và kết quả đạt được: ............................................. 35
Hoạch định ........................................................................................ 35
Giải pháp ........................................................................................... 36
Triển khai Router ISP ................................................................ 36
Interface trên Cisco ASA ........................................................... 37
Static Route trên Cisco ASA ...................................................... 37
Access Control List trên Cisco ASA ........................................ . 37
NAT trên Cisco ASA ................................................................. 38
Remote Access VPN .................................................................. 39
Kết quả đạt được ............................................................................... 41
KẾT LUẬN ......................................................................................................... 42
PHỤ LỤC ............................................................................................................... i
DANH MỤC CÁC TỪ VIẾT TẮT ................................................................... xxi
TÀI LIỆU THAM KHẢO ................................................................................ xxiii
MỤC LỤC HÌNH
Hình 1.1: Tấn công kiểu DoS và DdoS ........................................................................... 7
Hình 1.2: Tấn công kiểu DRDoS .................................................................................... 8
Hình 1.3: Bảo vệ theo chiều sâu ...................................................................................... 9
Hình 2.1: Vị trí Firewall trong mạng doanh nghiệp ...................................................... 11
Hình 2.2: Packet Filtering .............................................................................................. 14
Hình 2.3: Proxy server ................................................................................................... 17
Hình 3.1: Cisco ASA 5505 ............................................................................................ 20
Hình 3.2: Security Level trong mạng lưới doanh nghiệp .............................................. 23
Hình 3.3: Chuyển đổi địa chỉ mạng ............................................................................... 24
Hình 3.4: Mô tả cơ chế PAT (NAT overload) ............................................................... 25
Hình 3.5: Sơ đồ ACL điều khiển truy cập mạng ........................................................... 27
Hình 3.6: Mô tả đường hầm VPN giữa 2 mạng LAN doanh nghiệp ............................ 30
Hình 3.7: Sơ đồ mạng mô tả kết ố
n i Site to site VPN ................................................... 32
Hình 3.8: Sơ đồ mạng mô tả kết ố
n i Remote Access VPN ........................................... 33
Hình 4.1: Mô hình triển khai Firewall ASA .................................................................. 34
Hình 4.2: Mô hình logic Firewall ASA ......................................................................... 34
MỤC LỤC BẢN G
Bảng 4.1: Các vùng mạng của một hệ thống mạng ....................................................... 35
Bảng 4.2: Chính sách cho các vùng mạng ..................................................................... 36
LỜI MỞ ĐẦU
LỜI MỞ ĐẦU
Mặc dù Internet là mỏ thông tin và giao tiếp xã hội quý giá, nhưng không phải
lúc nào nó cũng thân thiện. Thay vào đó, có rất nhiều kẻ xấu rình rập trên mạng với
mưu đồ xâm nhập vào những máy tính kết nối với Internet.
Sau hàng loại những vụ tấn công mạng với quy mô lớn diễn ra gần đây, vấn đề
bảo mật trên máy tính trở nên quan trọng hơn bao giờ hết. Bên cạnh những phần mềm
diệt virus, các cổng giao tiếp trong hệ thống, bạn còn cần chú ý đến một yếu tố nữa đó là tường lửa Firewall.
Để làm rõ các vấn đề này thì đồ án “FIREWALL CISCO ASA” sẽ cho chúng ta
cái nhìn sâu hơn về khái niệm, cũng như chức năng của Firewall.
Nội dung đồ án được chia làm 4 chương sau:
Chương 1: An toàn trong mạng máy tính
Chương 2: Tổng quan về Firewall
Chương 3: Tường lửa Cisco ASA
Chương 4: Triển khai các giải pháp trên Cisco ASA và demo kết quả
Dưới sự hướng dẫn , chỉ bảo nhiệt tình của thầy Th.S Trần Đình Thuần cùng
với sự cố gắng nổ lực của cá nhân, em đã hoàn thành đồ án đúng thời hạn cho phép.
Do nội dung đồ án rộng và bao gồm nhiều kiến thức mới mẻ, thời gian và kiến thức
còn hạn chế, việc nghiên cứu chủ yếu dựa trên lý thuyết nên chắc chắn đề tài không
tránh khỏi những thiếu xót. Em rất mong nhận được được sự đóng góp ý kiến của thầy cô giáo và bạn bè. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 1
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
CHƯƠNG 1 : AN TOÀN TRONG MẠNG MÁY TÍNH
Trong chương này chúng ta sẽ trình bày các khái niệm chung về an toàn an ninh
mạng, tình hình thực tế. Các mô hình mạng và các giao thức được sử dụng để truyền thông trên mạng.
Các dạng tấn công, một số kỹ thuật tấn công đang được sử dụng phổ biến hiện
nay, từ đó đưa ra các chiến lược bảo vệ hệ thống khỏi các nguy cơ này.
1.1. Tình hình thực tế
Mạng Internet – mạng toàn cầu kết nối các máy tính cung cấp các dịch vụ như
WWW, E-mail, tìm kiếm thông tin … là nền tảng cho dịch vụ điện tử đang ngày càng
phát triển nhanh chóng. Internet đã và đang trở thành một phần không thể th ế i u được
trong cuộc sống hằng ngày. Và cùng với nó là những sự nguy hiểm mà mạng Internet mang lại .
Những kẻ tấn công ngày càng tinh vi hơn trong các hoạt động của chúng.
Thông tin về các lỗ hổng bảo mật, các kiểu tấn công được trình bày công khai trên
mạng. Không kể những kẻ tấn công không chuyên nghiệp, những người có trình độ
cao mà chỉ cần một người có một chút hiểu biết về lập trình, về mạng khi đọc các
thông tin này là có thể trở thành một hacker. Chính vì lí do này mà số vụ tấn công trên
mạng không ngừng ra tăng và nhiều phương thức tấn công mới ra đời, không thể kiểm soát.
Theo điều tra của Ernst & Young, thì 4/5 các tổ chức lớn ( số lượng nhân viên
lớn hơn 2500 ) đều triển khai các ứng dụng nền tảng, quan trọng trong mạng cục bộ
LAN. Khi các mạng cục bộ này kết nối với mạng Internet, các thông tin thiết yếu đều
nằm dưới khả năng bị đột nhập, lấy cắp, phá hoại hoặc cản trở lưu thông. Phần lớn các
tổ chức này tuy có áp dụng những biện pháp an toàn nhưng chưa triệt để và có nhiều lỗ
hổng để kẻ tấn công có thể lợi dụng.
Những năm gần đây, tình hình bảo mật mạng máy tính đã trở lên nóng bỏng
hơn bao giờ hết khi hàng loạt các vụ tấn công, những lỗ hổng bảo mật được phát hiện
hoặc bị lợi dụng tấn công. Theo Arthur Wong – giám đốc điều hành của SecurityFocus
– trung bình một tuần, phát hiện ra hơn 30 lỗ hổng bảo mật mới. Theo điều tra của
SecurityFocus trong số 10.000 khách hàng của hãng có cài đặt phần mềm phát hiện SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 2
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
xâm nhập trái phép thì trung bình mỗi khách hàng phải chịu 129 cuộc thăm dò, xâm
nhập. Những phần mềm web server như IIS của Microsoft là mục tiêu phổ biến nhất
của các cuộc tấn công.
Trước tình hình đó thì việc bảo vệ an toàn thông tin cho một hay một hệ thống
máy tính trước nguy cơ bị tấn công từ bên ngoài khi kết nối vào Internet là một vấn đề
hết sức cấp bách. Để thực hiện các yêu cầu trên, thế giới đã xuất hiện các phần mềm
khác với những tính năng khác nhau mà được gọi là Firewall.
Sử dụng Firewall để bảo vệ mạng nội bộ, tránh sự tấn công từ bên ngoài là một
giải pháp hữu hiệu, đảm bảo được các yếu tố :
An toàn cho sự hoạt động của toàn bộ hệ thống mạng
Bảo mật cao trên nhiều phương diện Khả năng kiểm soát cao
Mềm dẻo và dễ sử dụng
Trong suốt với người sử dụng
Đảm bảo kiến trúc mở
Để có thể bảo vệ được hệ thống, chống lại sự tấn công của hacker, ta phải biết
những mục tiêu cần bảo vệ, các kỹ thuật tấn công khác nhau, và đưa ra chiến lược bảo vệ mạng hợp lý.
1.2. Các lỗ hổng trên mạng
Việc sử dụng mạng Internet làm tăng nhanh khả năng kết nối, nhưng đồng thời
chứa đựng trong đó những hiểm hoạ không ngờ. Những lỗ hổng để kẻ tấn công có thể
lợi dụng, gây tổn thương cho hệ thống có rất nhiều. Sau đây là một vài lỗ hổng phổ
biến trên cộng đồng mạng hiện nay.
Các mật khẩu yếu
Mọi người thường có thói quen sử dụng mật khẩu theo tên của người thân hay
những gì quen thuộc với mình. Với những mật khẩu dễ bị phán đoán, kẻ tấn công có
thể chiếm đoạt được quyền quản trị trong mạng, phá huỷ hệ thống, cài đặt backdoor …
Ngày nay, một người ngồi từ xa cũng có thể đăng nhập vào được hệ t ố h ng cho nên ta
cần phải sử dụng những mật khẩu khó đoán, khó dò tìm hơn. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 3
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
Dữ liệu không được mã hóa
Các dữ liệu được truyền đi trên mạng rất dễ bị xâm phạm, xem trộm, sửa chữa.
Với những dữ liệu không được mã hoá, kẻ tấn công chẳng tốn thời gian để có thể hiểu
được chúng. Những thông tin nhạy cảm càng cần phải phải mã hoá cẩn thận trước khi gửi đi trên mạng. Các file chia sẻ
Việc mở các file chia sẻ thông tin là một trong những vấn đề bảo mật rất dễ
gặp. Điều này cho phép bất kì ai cũng có thể truy nhập các file nếu ta không có cơ chế
bảo mật, phân quyền tốt.
Bộ giao thức nổi tiếng TCP/IP được sử dụng rộng rãi trên mạng hiện nay cũng
luôn tiềm ẩn những hiểm hoạ khôn lường. Kẻ tấn công có thể sử dụng ngay chính các
qui tắc trong bộ giao thức này để thực hiện cách tấn công DoS. Sau đây là một số lỗ
hổng đáng chú ý liên quan đến bộ giao thức TCP/IP
Tấn công Web Server:
Ngoài các lỗ hổng bảo mật do việc thực thi các chương trình CGI, các Web
server còn có thể có các lỗ hổng khác. Ví dụ như một số Web server (IIS 1.0 ...) có
một lỗ hổng mà do đó một tên file có thể chèn thêm đoạn “../” vào trong tên đường dẫn
thì có thể di chuyển tới mọi nơi trong hệ thống file và có thể lấy được bất kì file nào.
Một lỗi thông dụng khác là lỗi tràn bộ đệm trong trường request hoặc trong các trường HTTP khác.
Tấn công trình duyệt Web:
Do các trình duyệt Web như của Microsoft, Netscape có khá nhiều lỗ hổng bảo
mật nên xuất hiện các tấn công URL, HTTP, HTML, JavaScript, Frames, Java và ActiveX.
Giả địa chỉ IP (IP Spoofing)
Để truy cập vào hệ thống mạng của bạn, máy tính bên ngoài phải “giành” được
một địa chỉ IP tin cậy trên hệ thống mạng. Vì vậy kẻ tấn công phải sử dụng một địa chỉ
IP nằm trong phạm vi hệ thống mạng của bạn. Hoặc cách khác là kẻ tấn công có thể sử
dụng một địa chỉ IP bên ngoài nhưng đáng tin cậy trên hệ thống mạng của bạn. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 4
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
 Tràn bộ đệm (Buffer Overflows):
Có 2 kiểu tấn công khai thác lỗi tràn bộ đệm là : DNS overflow (Khi một tên
DNS quá dài được gửi tới Server) và Statd overflow (khi một tên file quá dài được cung cấp).
Tấn công DNS (DNS attacks):
DNS server thường là mục tiêu chính hay bị tấn công. Bởi hậu quả rất lớn gây
ra bởi nó là gây ách tắc toàn mạng.
1.3. Các mục tiêu cần bảo vệ
Để có thể bảo vệ được hệ t ố
h ng, chống lại sự tấn công của hacker. Chúng ta
phải biết những mục tiêu cần bảo vệ, các kỹ thuật tấn công khác nhau từ đó đưa ra các
chiến lược bảo vệ hợp lý…
Dữ liệu
Mục tiêu chính sách an toàn của một hệ t ố
h ng thông tin cũng như đối với dữ
liệu bao gồm : bí mật, toàn vẹn, sẵn sàng.
Thông thường mọi người thường tập trung vào bảo vệ tính bí mật của dữ liệu,
những thông tin có tính nhạy cảm cao như thông tin về quốc phòng, chiến lược kinh
doanh… thì đây là yếu tố sống còn. Khi dữ liệu bị sao chép bởi những người không có
thẩm quyền thì ta nói dữ liệu đã bị mất tính bí mật.
Khi dữ liệu bị sửa đổi một cách bất ngờ bởi người không có thẩm quyền thì khi
đó có thể nói dữ liệu bị mất tính toàn vẹn.
Tính sẵn sàng là tính chất quan trọng nhất đối với các tổ chức hoạt động cần sử
dụng nhiều thông tin. Khi người sử dụng hợp pháp muốn xem dữ kiệu của mình nhưng
dữ liệu không thể đáp ứng ngay vì một lý do nào đó, khi đó ta nói dữ liệu đã mất đi tính sẵn sàng. Tài nguyên
Xét một ví dụ như sau :
Ta có một máy in ( một dạng tài nguyên ), ngoài ta ra chỉ những ai có đủ thẩm
quyền thì mới được sử dụng nó. Tuy nhiên, có những người không đủ thẩm quyền vẫn
muốn sử dụng máy in này miễn phí. Khi đó ta nói chiếc máy in này đã bị xâm phạm. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 5
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
Khái niệm xâm phạm là rất rộng, ví dụ như bộ nhớ, CPU,… đều là tài nguyên.
Khi chúng bị những người không có thẩm quyền khai thác một cách bất hợp pháp thì
ta nói tài nguyên đó đã bị xâm phạm. Danh tiếng
Bảo vệ danh tiếng là một điều quá hiển nhiên đối với cả cá nhân và các tổ chức.
Không chỉ trên mạng Internet mà cả trong thực tế cuộc sống hàng ngày chúng ta đều
cần phải bảo vệ danh tiếng. Điều gì sẽ xảy ra nếu như một ngày nào đó tên của chúng
ta được sử dụng cho những mục đích mờ ám. Và để khôi phục lại danh tiếng mà trước
đó đã có chắc chắn phải mất một thời gian dài và cũng có thể là không thể.
1.4. Các dạng tấn công trên mạn g
Có nhiều dạng tấn công khác nhau vào hệ thống, và cũng có nhiều cách phân
loại các dạng tấn công này. Trong mục này, chúng ta chia các dạng tấn công làm ba phần cơ bản : • Xâm nhập ( Intrusion )
• Từ chối dịch vụ ( Denial of Service – DoS )
• Ăn trộm thông tin ( Information thieft ) Xâm nhập
Tấn công xâm nhập là việc một người hay nhóm người cố gắng đột nhập hay
lạm dụng hệ thống. Hacker và cracker là hai từ dùng để chỉ những kẻ xâm nhập.
Hầu hết các dạng tấn công vào hệ thống nói chung là dạng xâm nhập. Với cách
tấn công này, kẻ tấn công thực sự có thể sử dụng máy tính của ta. Tất cả những kẻ tấn
công đều muốn sử dụng máy tính của ta với tư cách là người hợp pháp.
Những kẻ tấn công có hàng loạt cách để truy cập. Chúng có thể giả dạng là một
người có thẩm quyền cao hơn để yêu cầu các thông tin về tên truy cập/mật k ẩ h u của ta,
hay đơn giản dùng cách tấn công suy đoán, và ngoài ra chúng còn nhiều phương pháp
phức tạp khác để truy cập mà không cần biết tên người dùng và mật khẩu. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 6
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
Từ chối dịch vụ
Đây là kiểu tấn công vào tính sẵn sàng của hệ t ố
h ng, làm hệ thống cạn kiệt tài
nguyên hoặc chiếm dụng băng thông của hệ thống, làm mất đi khả năng đáp ứng trả
lời các yêu cầu đến. Trong trường hợp này, nếu hệ thống cần dùng đến tài nguyên thì
rất có thể hệ thống sẽ gặp lỗi.
Có một số đặc điểm đặc biệt trong cách tấn công này là người bị hại không thể
chống đỡ lại được kiểu tấn công này vì công cụ được sử dụng trong cách tấn công này
là các công cụ mà hệ t ố
h ng dùng để vận hành hằng ngày.
Có thể phân biệt ra bốn dạng DoS sau:
Tiêu thụ băng thông ( bandwidth consumption )
Làm nghèo tài nguyên ( resource starvation ) Programming flaw Tấn công Routing và DNS
Về mặt kỹ thuật có 3 kiểu tấn công từ chối dịch vụ chính là DoS, DDoS và DRDoS
+ DoS – Traditional DOS
Hình 1.1: Tấn công kiểu DoS và DdoS
Đơn thuần máy tấn công có bandwidth lớn hơn máy nạn nhân
+ DDoS – Distributed DOS
Sử dụng nhiều máy cùng tấn công vào một máy nạn nhân SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 7
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
+ DRDoS – Distributed Reflection DOS
Sử dụng các server phản xạ, máy tấn công sẽ gửi yêu cầu kết nối tới các server
có bandwidth rất cao trên mạng – server phản xạ, các gói tin yêu cầu kết nối này mang
địa chỉ IP giả - chính là địa chỉ IP của máy nạn nhân. Các server phản xạ này gửi lại
máy nạn nhân các gói SYN/ACK dẫn tới hiện tượng nhân băng thông – bandwidth multiplication.
Tuy nhiên với cách tấn công này, kẻ tấn công cũng không thu được thông tin gì thêm về hệ t ố
h ng. Nó chỉ đơn thuần làm hệ thống tê liệt, không hoạt động được nữa mà thôi.
Đơn thuần máy tấn công có bandwidth lớn hơn máy nạn nhân.
Hình 1.2: Tấn công kiểu DRDoS
1.5. Các chiến lược bảo vệ
Quyền hạn tối thiểu (Least Privilege)
Có lẽ chiến lược cơ bản nhất về an toàn ( không chỉ cho an ninh mạng mà còn
cho mọi cơ chế an ninh khác ) là quyền hạn tối thiểu. Về cơ bản, nguyên tắc này có
nghĩa là : bất kỳ một đối tượng nào ( người sử dụng, người quản trị hệ t ố h ng … ) chỉ
có những quyền hạn nhất định nhằm phục vụ cho công việc của đối tượng đó và không
hơn nữa. Quyền hạn tối thiểu là nguyên tắc quan trọng nhằm giảm bớt những sự phô
bày mà kẻ tấn công có thể tấn công vào hệ t ố
h ng và hạn chế sự phá hoại do các vụ phá hoại gây ra. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 8
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
Tất cả mọi người sử dụng hầu như chắc chắn không thể truy cập vào mọi dịch
vụ của Internet, chỉnh sửa ( hoặc thậm chí chỉ là đọc ) mọi file trên hệ thống của ta,
biết được mật khẩu root. Tất cả mọi nhà quản trị cũng không thể biết hết được các mật
khẩu root của tất cả các hệ thống. Để áp dụng nguyên tắc quyền hạn tối thiểu, ta nên
tìm cách giảm quyền hạn cần dùng cho từng người, từng công việc cụ t ể h .
Bảo vệ theo chiều sâu (Defence in Depth )
Một nguyên tắc khác của mọi cơ chế an ninh la bảo vệ theo chiều sâu. Đừng
phụ thuộc vào chỉ một cơ chế an ninh, cho dù là nó mạnh đến đâu đi nữa. Thay vào đó
là sử dụng nhiều cơ chế an ninh để chúng hỗ trợ nhau.
Hình 1.3: Bảo vệ theo chiều sâu
Nút thắt (Choke Point)
Với cách xây dựng nút thắt, ta đã buộc tất cả mọi luồng thông tin phải qua đó
và những kẻ tấn công cũng không là ngoại lệ. Chính nhờ đặc điểm này mà có thể kiểm
tra và điều khiển các luồng thông tin ra vào mạng. Có rất nhiều ví dụ về nút thắt trong thực tế cuộc sống.
Với an ninh mạng thì nút thắt chính là các Firewall đặt giữa mạng cần bảo vệ và
Internet. Bất kỳ ai muốn đi vào trong mạng cần bảo vệ đều phải đi qua các Firewall này.
Liên kết yếu nhất ( Weakest Link )
Đối với một hệ thống bảo vệ thì cho dù có nhiều khâu có mức an toàn cao
nhưng chỉ cần một khâu mất an toàn thì toàn bộ hệ t ố
h ng cũng sẽ mất an toàn. Những
kẻ tấn công thông minh sẽ tìm ra những điểm yếu và tập trung tấn công vào đó. Cần SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 9
CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH
phải thận trọng tới các điểm yếu này bởi kẻ tấn công luôn biết tìm cách để khai thác nó.
Hỏng an toàn ( Fail – Safe Stance )
Một điểm yếu cơ bản khác trong chiến lược an ninh là khả năng cho phép hệ
thống hỏng an toàn – có nghĩa là nếu hệ thống có hỏng thì sẽ hỏng theo cách chống lại
sự tấn công của đối phương.Sự sụp đổ này có thể cũng ngăn cản sự truy cập của người
dung hợp pháp nhưng trong một số trường hợp thì vẫn phải áp dụng chiến lược này.
Hầu hết các ứng dụng hiện nay đều có cơ chế hỏng an toàn. Ví dụ như nếu một
router lọc gói bị down, nó sẽ không cho bất kỳ một gói tin nào đi qua. Nếu một proxy
bị down, nó sẽ không cung cấp một dịch vụ nào cả. Nhưng nếu một hệ thống lọc gói
được cấu hình mà tất cả các gói tin được hướng tới một máy chạy ứng dụng lọc gói và
một máy khác cung cấp ứng dụng thì khi máy chạy ứng dụng lọc gói bị down, các gói
tin sẽ di chuyển toàn bộ đến các ứng dụng cung cấp dịch vụ. Kiểu thiết kế này không
phải là dạng hỏng an toàn và cần phải đuợc ngăn ngừa.
Điểm quan trọng trong chiến lược này là nguyên tắc, quan điểm của ta về an
ninh. Ta có xu hướng hạn chế, ngăn cấm hay cho phép? Có hai nguyên tắc cơ bản mà
ta có thể quyết định đến chính sách an ninh :
+ Mặc định từ chối : Chỉ quan tâm những gì ta cho phép và cấm tất cả những cái còn lại.
+ Mặc định cho phép : Chỉ quan tâm đến những gì mà ta ngăn cấm và cho qua
tất cả những cái còn lại.
Tính toàn cục ( Universal Participation )
Để đạt được hiệu quả cao, hầu hết các hệ thống an toàn đòi hỏi phải có tính toàn
cục của các hệ thống cục bộ. Nếu một kẻ nào đó có thể dễ dàng bẻ gãy một cơ chế an
toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó rồi tiếp
tục tấn công hệ thống nội bộ từ bên trong. Có rất nhiều hình thức làm cho hỏng an toàn
hệ thống và chúng ta cần được báo lại những hiện tượng lạ xảy ra có thể liên quan đến
an toàn của hệ thống cục bộ. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 10
CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL
CHƯƠNG 2 : TỔNG QUAN VỀ FIREWALL
2.1. Khái niệm
Thuật ngữ Firewall có nguồn gốc từ một kỹ thuật thiết kế xây dựng để ngăn
chặn, hạn chế hỏa hoạn .Trong công nghệ thông tin, Firewall là một kỹ thuật được tích
hợp vào hệ thống mạng để chống sự truy cập trái phép nhằm bảo vệ các nguồn thông
tin nội bộ cũng như hạn chế sự xâm nhập vào hệ thống nhằm mục đích phá hoại, gây
tổn thất cho tổ chức, doanh nghiệp. Cũng có thể hiểu Firewall là một cơ chế để bảo vệ
mạng tin tưởng (trusted network) khỏi các mạng tin tưởng (untrusted network).
Hình 2.1: Vị trí Firewall trong mạng doanh nghiệp
Theo cách bố trí này thì tất cả các luồng thông tin đi vào mạng nội bộ từ
Internet hay ngược lại, đi từ mạng nội bộ ra Internet đều phải qua Firewall. Nhờ vậy
Firewall có thể kiểm soát được các luồng thông tin, từ đó đưa ra các quyết định cho
phép hay không cho phép. Cho phép hay không cho phép ở đây là dựa trên chính sách
an ninh do người quản trị Firewall đặt ra .
2.2. Phân loại Firewall
Có một số công ty sản xuất sản phẩm Firewall và có hai loại để chọn là Firewall
phần cứng và Firewall phần mềm.
Firewall phần cứn g
Về tổng thể, Firewall phần cứng cung cấp mức độ bảo vệ cao hơn so với
Firewall phần mềm và dễ bảo trì hơn. Firewall phần cứng cũng có một ưu điểm khác là không chiếm ụ d ng tài nguyên hệ t ố
h ng trên máy tính như Firewall phần mềm. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 11
CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL
Firewall phần cứng là một lựa chọn rất tốt đối với các doanh nghiệp nhỏ, đặc
biệt cho những công ty có chia sẻ kết nối Internet. Có thể kết hợp Firewall và một bộ
định tuyến trên cùng một hệ thống phần cứng và sử dụng hệ thống này để bảo vệ cho
toàn bộ mạng. Firewall phần cứng có thể là một lựa chọn đỡ tốn chi phí hơn so với
Firewall phần mềm thường phải cài trên mọi máy tính cá nhân trong mạng.
Firewall phần mềm
Nếu không muốn tốn tiền mua Firewall phần cứng thì ta có thể sử dụng
Firewall phần mềm. Về giá cả, Firewall phần mềm thường không đắt bằng Firewall
phần cứng, thậm chí một số còn miễn phí (phần mềm Comodo Firewall Pro 3.0, PC
Tools Firewall Plus 3.0, ZoneAlarm Firewall 7.1...) và chúng ta có thể tải về từ mạng Internet.
So với Firewall phần cứng, Firewall phần mềm cho phép linh động hơn, nhất là
khi cần cài đặt lại các thiết lập cho phù hợp hơn với nhu cầu riêng của từng công ty.
Chúng có thể hoạt động tốt trên nhiều hệ thống khác nhau, khác với Firewall phần
cứng tích hợp với bộ định tuyến chỉ làm việc tốt trong mạng có quy mô nhỏ. Firewall
phần mềm cũng là một lựa chọn phù hợp đối với máy tính xách tay vì máy tính sẽ vẫn
được bảo vệ cho dù mang máy tính đi bất kỳ nơi nào.
Các Firewall phần mềm làm việc tốt với Windows XP, Windows 7 và Windows
2010. Chúng là một lựa chọn tốt cho các máy tính đơn lẻ. Các công ty phần mềm khác
làm các tường lửa này. Chúng không cần thiết cho Windows XP bởi vì XP đã có một tường lửa cài sẵn.
2.3. Ưu điểm và nhược điểm của Firewall Ưu điểm
Firewall có thể làm rất nhiều điều cho an ninh của mạng. Thực tế những ưu
điểm khi sử dụng Firewall không chỉ ở trong lĩnh vực an ninh.
Firewall là điểm tập trung giải quyết các vấn đề an ninh
Quan sát vị trị của Firewall trên hình chúng ta thấy đây là một dạng nút thắt.
Firewall cho ta khả năng lớn để bảo vệ mạng nội bộ bởi công việc làm chỉ cần tập
trung tại nút thắt này. Việc tập trung giải quyết tại một điểm này còn cho phép có hiệu
quả cả về mặt kinh tế. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 12
CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL
Firewall có thể thiết lập chính sách an ninh
Có rất nhiều dịch vụ và mọi người muốn sử dụng vốn đã không an toàn.
Firewall đóng vai trò kiểm soát các dịch vụ này. Nó sẽ thiết lập chính sách an
ninh cho phép những dịch vụ t ỏ
h a mãn tập luật trên Firewall đang hoạt động. Tùy
thuộc vào công nghệ lựa chọn để xây dựng Firewall mà nó có khả năng thực hiện các
chính sách an ninh với hiệu quả khác nhau.
Firewall có thể ghi lại các hoạt động một cách hiệu quả
Do mọi luồng thông tin đều qua Firewall nên đây sẽ là nơi lý tưởng để thu thập
các thông tin về hệ thống và mạng sử dụng. Firewall có thể ghi chép lại những gì xảy
ra giữa mạng được bảo vệ và mạng bên ngoài. Nhược điểm
Firewall có thể bảo vệ mạng có hiệu quả nhưng nó không phải là tất cả.
Firewall cũng tồn tại các nhược điểm của nó.
Firewall không thể bảo vệ được nếu có sự tấn công từ bên trong
Nếu kẻ tấn công ở phía trong Firewall, thì nó sẽ không thể giúp gì được cho ta.
Kẻ tấn công sẽ ăn cắp dữ liệu, phá hỏng phần cứng - phần mềm, sửa đổi chương trình
mà Firewall không thể biết được.
Firewall không thể bảo vệ được nếu các cuộc tấn công không đi qua nó
Firewall có thể điều khiển một cách hiệu quả các luồng thông tin, nếu như
chúng đi qua Firewall. Tuy nhiên, Firewall không thể làm gì nếu như các luồng dữ liệu
không đi qua nó.Ví dụ cho phép truy nhập dial-up kết nối vào hệ thống bên trong của
Firewall. Khi đó nó sẽ không chống lại được sự tấn công từ kết nối modem.
Có thể do việc cài đặt backdoor của người quản trị hay những người sử dụng trình độ cao. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 13