Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)

26 923 9
Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)

Đang tải... (xem toàn văn)

Tài liệu hạn chế xem trước, để xem đầy đủ mời bạn chọn Tải xuống

Thông tin tài liệu

Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)Nghiên cứu giải pháp đảm bảo an toàn thông tin trong điện toán đám mây (tt)

HỌC VIỆN CÔNG NGHỆ BƢU CHÍNH VIỄN THÔNG - ĐINH VĂN NHƢ PHONG NGHIÊN CỨU GIẢI PHÁP ĐẢM BẢO AN TOÀN THÔNG TIN TRONG ĐIỆN TOÁN ĐÁM MÂY Chuyên ngành: Kỹ thuật Viễn thông Mã số: 60.52.02.08 TÓM TẮT LUẬN VĂN THẠC SĨ HÀ NỘI – 2017 Luận văn hoàn thành tại: HỌC VIỆN CÔNG NGHỆ BƢU CHÍNH VIỄN THÔNG Người hướng dẫn khoa học: PGS.TS Nguyễn Tiến Ban Phản biện 1: PGS.TS Nguyễn Tài Hưng Phản biện 2: PSG.TS Lê Nhật Thăng Luận văn bảo vệ trước Hội đồng chấm luận văn thạc sĩ Học viện Công nghệ Bưu Viễn thông Vào lúc: … giờ… ngày 11 tháng 03 năm 2017 Có thể tìm hiểu luận văn tại: - Thư viện Học viện Công nghệ Bưu Viễn thông MỞ ĐẦU Điện toán đám mây( Cloud Computing) xu chủ đạo hạ tầng IT doanh nghiệp với nhiều ưu điểm Trong quy trình đánh giá hệ thống để xây dựng đám mây riêng chung, an toàn thông tin coi vấn đề quan trọng đưa xem xét Hiểu nguy công chế bảo mật để phòng chống nguy hệ thống điện toán đám mây giúp người quản trị đưa chiến lược phù hợp cho điện toán đám mây doanh nghiệp Cùng với phát triển công nghệ thông tin, tội phạm công nghệ cao ngày diễn biến phức tạp, chúng ăn cắp thông tin quan trọng làm ảnh hướng lớn đến doanh nghiệp cá nhân Vấn đề an toàn thông tin nói chung Điện toán đám mây nói riêng, cần nhà cung cấp dịch vụ người sử dụng quan tâm thích đáng Với lý học viên quan tâm lựa chọn đề tài “Nghiên cứu giải pháp đảm bảo an toàn thông tin Điện toán đám mây” Kết cấu luận văn chia làm chương: Chƣơng 1: Tổng quan điện toán đám mây Chƣơng 2: Vấn đề an toàn thông tin điện toán đám mây Chƣơng 3: Giải pháp đảm bảo an toàn thông tin điện toán đám mây cho doanh nghiệp Kết luận: Trong phần đưa kết luận vấn đề làm luận văn đề xuất hướng nghiên cứu Học viên hy vọng luận văn tài liệu tham khảo có giá trị cho người bắt đầu tìm hiểu nghiên cứu giải pháp đảm bảo an toàn thông tin cho Điện toán đám mây CHƢƠNG TỔNG QUAN VỀ ĐIỆN TOÁN ĐÁM MÂY 1.1 Giới thiệu Ngày công ty, doanh nghiệp, việc quản lý tốt, hiệu riêng công ty liệu khách hàng, đối tác toán ưu tiên hàng đầu không ngừng gây khó khăn cho họ Để quản lý nguồn liệu ban đầu doanh nghiệp phải đầu tư, tính toán nhiều loại chi phí, chi phí cho phần cứng, phần mềm, thiết bị mạng, chi phí cho quản trị viên, chi phí bảo trì, sửa chữa…Ngoài họ phải tính toán khả mở rộng nâng cấp thiết bị, phải kiểm soát việc bảo mật liệu vũng tính sẵn sàng cao liệu Từ toán điển vậy, thấy có nơi tin cậy giúp doanh nghiệp quản lý tốt nguồn liệu đó, doanh nghiệp không quan tâm nhiều đến sở hạ tầng, công nghệ mà tập trung vào việc kinh doanh họ mang lại cho họ hiệu lợi nhuận ngày cao Thuật ngữ “Cloud computing” đời bắt nguồn từ hoàn cảnh “Cloud computing” xuất phát từ ý tưởng đưa tất thứ liệu, phần mềm, tính toán lên trang mạng Internet Chúng ta không trông thấy máy chủ riêng doanh nghiệp để lưu trữ liệu, phần mềm mà có số “máy chủ ảo” tập trung mạng Các “máy chủ ảo” cung cấp dịch vụ giúp cho doanh nghiệp quản lý liệu dễ dàng hơn, họ trả chi phí có lượng sửa dụng dịch vụ họ, mà không cần phải đầu tư nhiều vào sở hạng tầng quan tâm đến phát triển công nghệ Xu hướng đặc biệt có lợi cho công ty, doanh nghiệp vừa nhỏ 1.2 Khái niệm điện toán đám mây Theo Wikipedia [2] “Điện toán đám mây (cloud computing) mô hình điện toán có khả co giãn (scalable) linh động tài nguyên thường ảo hóa cung cấp dịch vụ mạng Internet.” Điện toán đám mây gọi điện toán máy chủ ảo mô hình điện toán sử dụng công nghệ máy tính phát triển dựa vào mạng Internet Thuật ngữ “đám mây” lối nói ẩn dụ mạng Internet (dựa vào cách bố trí sơ đồ mạng máy tính) liên tưởng độ phức tạp sở hạ tầng chứa Theo Gartner “Một mô hình điện toán nơi mà khả mở rộng linh hoạt công nghệ thông tin cung cấp dịch vụ cho nhiều khách hàng sử dụng công nghệ Internet” Theo Ian Foster “Một mô hình điện toán phân tán có tính co giãn lớn mà hướng theo co giãn mặt kinh tế, nơi chứa sức mạnh tính toán, kho lưu trữ, tảng dịch vụ trực quan, ảo hóa co giãn linh động, phân phối theo nhu cầu cho khách hàng bên thông qua Internet” 1.3 Mô hình điện toán đám mây 1.3.1 Mô hình tổng quan điện toán đám mây 1.3.2 Mô hình kiến trúc điện toán đám mây 1.3.2.1 Thành phần Hai thành phần quan trọng kiến trúc điện toán đám mây biết đến front end back end [3] Front end phần phía khách hàng dùng máy tính Nó bao gồm hệ thống mạng khách hàng (hoặc máy tính) ứng dụng sử dụng để truy cập vào đám mây thông qua giao diện người dùng trình duyện web Back end đám mây, bao gồm máy tính khác nhau, máy chủ thiết bị lưu trữ liệu 1.3.2.2 Mô hình kiến trúc điện toán đám mây Các thành phần mô hình kiến trúc điện toán đám mây: Thành phần Khách hàng (Client): thành phần điện toán đám mây bao gồm phần cứng phần mềm, để dựa vào đó, khách hàng truy cập sử dụng ứng dụng/dịch vụ cung cấp từ điện toán đám mây Chẳng hạn máy tính đường dây kết nối Internet (thiết bị phần cứng) trình duyệt web (phần mềm)… Thành phần Ứng dụng (Application): cung cấp dịch vụ phần mềm đến tổ chức nhân có nhu cầu sử dụng, ví dụ: phần mềm văn phòng Google Docs, thư điện tử, phần mềm quản lý khách hàng SalesForce… Thành phần Nền tảng cung cấp dịch vụ bản: công cụ để phát triển, thử nghiệm triển khai ứng dụng điện toán đám mây cho khách hàng Các dịch vụ Paas phổ biến cho phép phát triển ứng dụng tảng ngôn ngữ phát triển ứng dụng phổ biến NET (Microsolf Windows Azure); Java, Python, Ruby (Google App Engine, Amazon)… Thành phần Cơ sở hạ tầng (Infrastructure): cung cấp dịch vụ máy chủ, lưu trữ liệu, sở liệu công cụ quản trị tài nguyên cho tổ chức, nhân có nhu cầu Các tài nguyên thường ảo hóa, chuẩn hóa thành số cấu hình trước cung cấp để đảm bảo khả linh hoạt quản trị hỗ trợ tự động hóa Thành phần Máy chủ (Server): bao gồm sản phẩm phần cứng phần mềm máy tính, thiết kế xây dụng đặc biệt để cung cấp dịch vụ đám mây Các server phải xây dựng có cấu hình đủ mạnh (thậm chí mạnh) để đáp ứng nhu cầu sử dụng số lượng đông đảo người dùng nhu cầu ngày cao họ 1.3.3 Các mô hình triển khai 1.3.3.1 Đám mây “công cộng” –Public Cloud Computing Mô hình nói đến đề cập tới điện toán đám mây mô hình đám mây công cộng Đây mô hình mà hạ tầng điện toán đám mây số tổ chức sở hữu cung cấp dịch vụ rộng rãi cho tất khách hàng thông qua hạ tầng mạng Internet mạng công cộng diện rộng Các ứng dụng khác chia sẻ chung tài nguyên tính toán, mạng lưu trữ Do vậy, hạ tầng điện toán đám mây thiết kế đảm bảo cô lập liệu khách hàng tách biệt truy cập 1.3.3.2 Đám mây riêng – Private Cloud Computing Là dịch vụ đám mây cung cấp doanh nghiệp Những đám mây tồn bên mô hình mạng công ty chúng doanh nghiệp quản lý Các đám mây riêng đưa nhiều lợi ích giống đám mây chung, điểm khác biệt doanh nghiệp chịu trách nhiệm thiết lập bảo trì đám mây Việc thiết lập đám mây riêng không chi phí cho việc sử dụng trì hoạt động liên tục đám mây vượt chi phí sử dụng đám mây chung 1.3.3.3 Đám mây lai – Hybrid Cloud Computing Đám mây lai kết hợp đám mây công cộng riêng Những đám mây thường doanh nghiệp tạo chịu trách nhiệm quản lý Nó phần chia doanh nghiệp nhà cung cấp đám mây công cộng Đám mây lai sử dụng dịch vụ có đám mây công cộng đám mây riêng 1.3.3.4 Đám mây cộng đồng – Community Cloud Computing Các đám mây cộng đồng đám mây chia sẻ số tổ chức hỗ trợ cộng đồng cụ thể có mối quan tâm: chung mục đích, yêu cầu an ninh, sách Nó quản lý tổ chức bên thứ ba Một đám mây cộng đồng thiết lập số tổ chức có yêu cầu tương tự tìm cách chia sẻ sở hạ tầng để thực số lợi ích điện toán đám mây 1.4 Đặc điểm điện toán đám mây Điện toán đám mây có đặc điểm sau :  Tính tự phục vụ theo nhu cầu  Truy cập diện rộng (Broad network access)  Dùng chung tài nguyên độc lập vị trí  Khả co giãn nhanh chóng  Điều tiết dịch vụ (Measured service) 1.5 Các loại dịch vụ điện toán đám mây Có ba loại dịch vụ điện toán đám mây sau : 1.5.1 Dịch vụ hạ tầng (IaaS) Cung cấp cho người dùng hạ tầng thô (thường hình thức máy ảo) dịch vụ Dịch vụ IaaS cung cấp dịch vụ chẳng hạn máy chủ ảo, lưu trữ liệu, sở liệu tảng để triển khai chạy ứng dụng người sử dụng Những đặc trưng tiêu biểu dịch vụ hạ tầng  Cung cấp tài nguyên dịch vụ: bao gồm máy chủ, thiết bị mạng, nhớ, CPU, không gian đĩa cứng, trang thiết bị trung tâm liệu  Khả mở rộng linh hoạt  Chi phí thay đổi tùy theo thực tế  Nhiều người thuê dùng chung tài nguyên  Cấp độ doanh nghiệp: đem lại lợi ích cho công ty nguồn tài nguyên tính toán tổng hợp Lợi ích IaaS Đối với doanh nghiệp, lợi ích lớn IaaS thể qua khái niệm gọi cloudbursting Các tổ chức, cá nhân tiết kiệm vốn đầu tư vào hệ thống lớn, doanh nghiệp không cần phải đầu tư thêm máy chủ, thường chạy 70% công suất hai ba lần năm, thời gian lại chạy 7-10% tải 1.5.2 Dịch vụ tảng (PaaS) Dịch vụ tảng cung cấp giao diện lập trình ứng dụng (API- Application Programing Interface) cho phát triển ứng dụng tảng trừu tượng PaaS cung cấp tảng tính toán tập hợp giải pháp nhiều lớp Nó hỗ trợ việc triển khai ứng dụng mà người sử dụng không cần quan tâm đến phức tạp việc trang bị quản lý lớp phần cứng phần mềm bên PaaS cung cấp tất tính cần thiết để hỗ trợ chu trình sống việc xây dựng, cung cấp ứng dụng dịch vụ web sẵn sàng Internet mà không cần thao tác tải hay cài đặt phần mềm cho người phát triển, quản lý tin học, hay người dùng cuối Nó biết đến với tên khác cloudware Những đặc trưng tiêu biểu  Phục vụ cho việc phát triển, triển khai vận hành ứng dụng giống môi trường phát triển tích hợp  Các công cụ khởi tạo với giao diện web  Kiến trúc đồng  Tích hợp dịch vụ web sở liệu  Hỗ trợ công tác nhóm phát triển  Công cụ hỗ trợ tiện ích Thuận lợi khó khăn Một số thuận lợi  Dịch vụ tảng thời kì đầu ưa chuộng tính vốn ưa thích dịch vụ phần mềm, bên cạnh có tích hợp yếu tố tảng hệ thống  Ưu điểm dự án tập hợp công việc nhóm có phân tán địa lý  Khả tích hợp nhiều nguồn dịch vụ web  Giảm chi lề tích hợp dịch vụ bảo mật, khả mở rộng, kiểm soát lỗi…  Giảm chi phí trừu tượng hóa công việc lập trình mức cao để tạo tác vụ, giao diện người dùng yếu tố ứng dụng khác  Tạo điều kiện dễ dàng cho việc phát triển ứng dụng đa người dùng, cho người không nhóm lập trình mả kết hợp nhiều nhóm làm việc Một số khó khăn  Ràng buộc nhà cung cấp: nghĩa khách hàng phụ thuộc vào nhà cung cấp sử dụng nhà cung cấp khác mà chịu chi phí chuyển đổi đáng kể  Giới hạn phát triển: độ phức tạp khiến không phù hợp với yêu cầu phát triển nhanh tính phức tạp thực tảng web 1.5.3 Dịch vụ phần mềm ứng dụng (SaaS) Dịch vụ phần mềm mô hình triển khai ứng dụng mà người cung cấp cho người sử dụng dịch vụ theo yêu cầu Những nhà cung cấp SaaS lưu trữ ứng dụng máy chủ họ tải ứng dụng xuống thiết bị khách hàng, vô hiệu hóa sau kết thúc thời hạn Những đặc trưng tiêu biểu  Phần mềm sẵn có đòi hỏi việc truy xuất, quản lý qua mạng  Quản lý hoạt động từ vị trí tập trung nơi khách hàng cho phép hàng truy xuất từ xa thông qua web  Cung cấp ứng dụng thông thường gần gũi với mô hình ánh xạ từ đến nhiều bao gồm đặc trưng kiến trúc, giá quản lý  Những tính tập trung nâng cấp, giải phóng người dùng khỏi việc tải vá lỗi cập nhật  Thường xuyên tích hợp phần mềm giao tiếp mạng diện rộng 1.6 Các lợi ích điện toán đám mây Điện toán đám mây đồi giải vấn đề sau: Vấn đề lưu trữ liệu Vấn đề sức mạnh tính toán Vấn đề cung cấp tài nguyên, phần mềm Tính linh động Giản bớt chi phí Tạo nên độc lập 10 CHƢƠNG VẤN ĐỀ AN TOÀN THÔNG TIN TRONG ĐIỆN TOÁN ĐÁM MÂY 2.1 Tổng quan an toàn thông tin mạng Trải qua nhiều giai đoạn, hàng loạt giao thức chế tạo nhằm đáp ứng nhu cầu an toàn thông tin An toàn thông tin thay đổi nhiều thời gian gần Trước có nhu cầu bảo mật thông tin, đòi hỏi thêm nhiều yêu cầu an ninh máy chủ mạng 2.1.1 Vấn đề đảm bảo an toàn thông tin An toàn thông tin [9] bảo vệ mạng tổ chức, cá nhân trước việc đánh cắp sử dụng sai mục đích thông tin kinh doanh bí mật chống lại công mã độc từ virus sâu máy tính mạng Internet Nếu an toàn thông tin mạng không triển khai, tổ chức, cá nhân có khả gặp rủi ro trước xâm nhập trái phép, làm ngừng trệ hoạt động mạng, gián đoạn dịch vụ, không tuân thủ quy định chí hành động phạm pháp 2.1.1.1 Xác định nguy hệ thống mạng Một số nguy cần phải xách định sau:  Lỗ hổng hệ thống việc xác định lỗ hổng hệ thống điểm truy cập vào hệ thống  Xác định mối đe dọa  Không kiểm soát cấu hình hệ thống chiếm tỷ lệ lớn số lỗ hổng bảo mật  Những nguy nội mạng  Xác định phần mềm có nhiều lỗ hổng tạo hội cho hacker xâm nhập vào hệ thống  Nguy nằm cấu trúc phần cứng thiết bị tin học, phần mềm hệ thống ứng dụng hãng sản xuất cài sẵn loại “rệp” điện tử theo ý đồ định trước, gọi “bom điện tử” 11  Chính sách an toàn thông tin : không chấp hành chuẩn an toàn, không xác định rõ quyền vận hành hệ thống 2.1.1.2 Những lưu ý người sử dụng mạng Một số vấn đề an toàn thông tin tham gia dịch vụ mạng  Thiết lập công cụ quản lý, kiểm tra điều khiển hệ thống máy tính để chống việc xâm nhập trái phép xảy  Việc bảo vệ mật tên miền bạn cách cẩn thận, sử dụng mật đủ mạnh tối thiểu ký tự trở lên kết hợp chữ số chữ  Bảo mật thông tin mua hàng trực tuyến 2.1.2 An toàn thông tin điện toán đám mây An ninh toàn thông tin toán điện toán đám mây lĩnh vực phát triển bảo mật máy tính, an ninh mạng, rộng rãi an ninh thông tin Nó dùng để tập hợp rộng rãi sách, công nghệ, kiểm soát triển khai để bảo vệ liệu, ứng dụng, sở hạ tầng liên quan đến điện toán đám mây An toàn thông tin điện toán đám mây để bị nhầm lẫn với dịch vụ phần mềm bảo mật “dựa đám mây” Nhiều nhà cung cấp phần mềm thương mại có dịch vụ chẳng hạn dựa đám mây phòng chống virus quản lý tổn thương 2.1.2.1 Các vấn đề an toàn thông tin liên quan đến điện toán đám mây Có số vấn đề an toàn thông tin liên quan đến điện toán đám mây, tập trung vào hai loại chính:  Các vấn đề an toàn thông tin mà nhà cung cấp dịch vụ điện toán đám mây phải đối mặt  Các vấn đề an toàn thông tin mà khách hàng sử dụng dịch vụ điện toán đám mây 2.1.2.2 An toàn thông tin riêng tư liệu Để đảm bảo liệu an toàn liệu riêng tư trì, nhà cung cấp dịch vụ điện toán đám mây tham gia vào lĩnh vực sau: 12  Bảo vệ liệu  Nhận dạng quản lý  Nhà cung cấp đảm bảo máy vật lý đầy đủ an toàn việc truy cập vào máy tất liệu khách hàng khách hàng có nhu cầu truy cập không bị hạn chế  Các nhà cung cấp dịch vụ đám mây đảm bảo với khách hàng họ có quyền truy cập thường xuyên dự đoán trước liệu ứng dụng họ  Các nhà cung cấp dịch vụ đám mây phải đảm bảo ứng dụng có sẵn dịch vụ thông qua đám mây an toàn cách thực thủ tục kiểm tra chấp nhận cho mã ứng dụng bên đóng gói  Các nhà cung cấp đảm bảo tất liệu quan trọng phải cắt dấu người ủy quyền có quyền truy cập toàn liệu 2.2 Các mối đe dọa an toàn thông tin điện toán đám mây 2.2.1 Các nguy mối đe dọa điện toán đám mây 2.2.1.1 Nguy an toàn thông tin Trong điện toán truyền thống, doanh nghiệp phải tìm đủ giải pháp để đảm bảo an toàn cho thông tin đặt hạ tầng thiết bị mình, khó khăn để họ tin tưởng giao lại thông tin mà họ đặt xác đâu lại quản lý người không quen biết theo mô hình đám mây Vì vậy, an toàn thông tin nguy quan tâm đặc biệt 2.2.1.2 Nguy virus Do khả phá hoại lây lan nhanh, virus máy tính nguy lớn nhắc đến vấn đề an toàn thông tin Việc tập trung hóa thông tin đám mây rút ngắn thời gian tiết kiệm tiền bạc việc diệt virus, song nguy ảnh hưởng virus không thay đổi chí nguy hiểm 13 2.2.1.3 Nguy lừa đảo trực tuyến lỗ hổng Web Hiện nay, đa phần người sử dụng Internet chưa nhận thức đầy đủ an toàn thông tin Do đó, lừa đảo trực tuyến nguy an toàn thông tin thường bị hacker sử dụng để chiếm đoạt thông tin cách bất hợp pháp 2.2.1.4 Nguy công mạng Hiện tại, giới tội phạm công nghệ cao có phương thức công mạng sau: 2.2.1.4.1 Tấn công chủ động Tấn công chủ động tên gọi công mà người công hoàn toàn công khai chủ động tổ chức thực công với mục đích làm giảm hiệu làm tê liệt hoạt động mạng máy tính hệ thống 2.2.1.4.2 Tấn công bị động Bao gồm quét, bắt trộm nghe trộm gói tin xem phương pháp công đơn giản hiệu 2.2.1.4.3 Tấn công mật Bao gồm việc dự đoán, so sánh tra mật thông qua từ điển mật Kỹ thuật công từ điển, công mục tiêu cách thử tất từ danh sách dài gọi từ điển (được chuẩn bị trước) 2.2.1.4.4 Tấn công mã nguồn mã mật Bao gồm phương pháp sau (Backdoor), Virus, Trojans, Worms, khóa mật mã yếu thuật toán 2.2.1.5 Nguy tính sẵn sàng dịch vụ chưa đáp ứng đầy đủ Trong thời gian gần đây, dịch vụ thư điện tử trực tuyến Gmail Google liên tục gặp trục trặc khiến cho người sử dụng giao dịch trao đổi liên lạc nhiều Ví dụ thực tế cho thấy, dịch vụ gặp phải vấn đề ảnh hưởng lớn đến công việc người sử dụng Với mô hình điện toán đám mây có nhiều dịch vụ phức tạp liệu dẫn đến có đảm bảo khả sẵn sàng cho nhu cầu thông tin lúc nơi 14 2.2.2 Các phần mềm độc hại Thuật ngữ “phần mềm độc hại” bao hàm tất loại phần mềm độc hại thiết kế để làm hại máy tính mạng Phần mềm độc hại cài đặt máy người sử dụng mà nạn nhân không hay biết, thường thông qua liên kết lừa đảo nội dung tải xuống đăng nội dung mong muốn 2.2.2.1 Virus máy tính Virus máy tính chương trình phần mềm có khả tự chép từ đối tượng lây nhiễm sang đối tượng khác (đối tượng file chương trình, văn bản, máy tính…) 2.2.2.2 Sâu máy tính (Worms) Sâu máy tính thường coi nhánh virus, có vài khác biệt Sâu máy tính chương trình tự chép, không lây nhiễm tới tập tin máy tính virus 2.2.2.3 Trojan horse Trojan chương trình giả dạng phần mềm hợp pháp khởi động gây hại cho máy tính Trojan tự động lây lan qua máy tính, đặc tính để phân biệt chúng với virus sâu máy tính 2.2.2.4 Web ứng dụng nguy bảo mật liệu 2.2.2.4.1 Injection Injection kỹ thuật cho phép kẻ công lợi dụng lỗ hổng việc kiểm tra liệu đầu vào ứng dụng web thông báo lỗi hệ quản trị sở liệu trả để inject (xâm nhập) thi hành câu lệnh SQL bất hợp pháp Các dạng công SQL Injection Dạng công vượt qua kiểm tra đăng nhập: Với dạng công này, tin tặc dễ dàng vượt qua trang đăng nhập nhờ vào lỗi dùng câu lệnh SQL thao tác sở liệu ứng dụng web 15 Dạng công sử dụng câu lệnh SELECT: Dạng công phức tạp Để thực kiểu công này, kẻ công phải có khả hiểu lợi dụng sơ hở thông báo lỗi từ hệ thống để dò tìm điểm yếu khởi đầu cho việc công Dạng công sử dụng câu lệnh INSERT: Thông thường ứng dụng web cho phép người dùng đăng kí tài khoản để tham gia Chức thiếu sau đăng kí thành công, người dùng xem hiệu chỉnh thông tin Dạng công sử dụng stored-procedures: Việc công storedprocedures gây tác hại lớn ứng dụng thực thi với quyền quản trị hệ thống “sa” 2.2.2.4.2 Lỗi cấu hình bảo mật (Security misconfiguration) Các máy chủ web máy chủ ứng dụng xương sống ứng dụng web Chúng cung cấp số dịch vụ ứng dụng web sử dụng bao gồm dịch vụ thư mục, lưu trữ liệu hòm thư điện tử 2.2.2.4.3 Lưu trữ mật mã không an toàn (Insecure erytographic storage) Trong đám mây, cần thiết để lưu trữ thông tin nhạy cảm ứng dụng web sở liệu hệ thống tập tin quan trọng Các thông tin số thẻ tín dụng, số an sinh xã hội, hồ sơ tài khoản mật khẩu, việc sử dụng mã hóa quan trọng 2.2.3 Các lỗ hổng bảo mật Theo cách phân loại Bộ quốc phòng Mỹ, loại lỗ hổng bảo mật hệ thống phân loại gồm lỗ hổng C, B, A sau: Lỗ hổng loại C : Các lỗ hổng loại cho phép thực phương pháp công theo DoS (Denial of Services- Từ chối dịch vụ) Mức độ nguy hiểm thấp, ảnh hưởng tới chất lượng dịch vụ, làm ngưng trệ, gián đoạn hệ thống, không làm phá hỏng liệu đạt quyền truy nhập bất hợp pháp 16 Lỗ hổng loại B: Lỗ hổng loại cho phép người sử dụng thêm quyền hệ thống mà không cần thực kiểm tra tính hợp lệ nên dẫn đến mát lộ thông tin yêu cầu bảo mật Mức độ nguy hiểm trung bình Những lỗ hổng thường có ứng dụng hệ thống Lỗ hổng loại có mức độ nguy hiểm lỗ hổng loại C, cho phép người sử dụng nội chiếm quyền cao truy nhập không hợp pháp Lỗ hổng loại A: Các lỗ hổng loại cho phép người sử dụng bên truy nhập vào hệ thống bất hợp pháp Lỗ hổng nguy hiểm, làm phá hủy toàn hệ thống 2.2.4 Đánh giá mối đe dọa an toàn thông tin điện toán đám mây 2.2.4.1 Những đánh giá mức độ an toàn thông tin 2.2.4.2 Tin tặc thay đổi phương thức công Tin tặc điều chỉnh kỹ thuật công Tấn công nhằm vào lỗ hổng an ninh Shell Command Injection Gia tăng đột biến dò mật tự động Tấn công phishing nhằm vào trang mạng xã hội dịch vụ chuyển gói Phƣơng thức công hacker Tin tặc công thiết bị di động tăng 19% Tấn công nhằm mạng xã hội có gia tăng 2.2.4.3 Không có an toàn tuyệt đối môi trường điện toán 2.3 Kết luận chƣơng An toàn thông tin điện toán đám mây ngày trở nên cấp thiết dịch vụ mô hình điện toán đám mây nở rộ vào năm tới Khi nhu cầu sử dụng dịch vụ “đám mây” trở nên cần thiết tính tiện lợi giá thành phù hợp so với việc đầu tư vào thiết bị, vấn đề an toàn thông tin hệ thống mạng máy tính nói chung điện toán đám mây nói riêng vấn đề mà giới công nghệ thông tin tổ chức, cá nhân có nhu cầu sử dụng dịch vụ đám mây quan tâm 17 CHƢƠNG GIẢI PHÁP ĐẢM BẢO AN TOÀN THÔNG TIN TRONG ĐIỆN TOÁN ĐÁM MÂY CHO DOANH NGHIỆP 3.1 An toàn thông tin cho điện toán đám mây doanh nghiệp 3.1.1 Tình hình chung giới 3.1.2 Tình hình ứng dụng Việt Nam 3.1.3 Yêu cầu chung an toàn thông tin 3.2 Nguy an toàn bảo mật điện toán đám mây doanh nghiệp Mất kiểm soát: điện toán đám mây cách sử dụng sở hạ tầng người khác, khách hàng thiết phải nhường quyền kiểm soát cho nhà cung cấp số vấn đề mà ảnh hưởng đến an toàn thông tin Đồng thời, thỏa thuận (hoặc hợp đồng) không đưa cam kết cung cấp dịch vụ phần cung cấp dịch vụ đám mây, để lại khoảng trống phòng thủ an toàn thông tin Sự phụ thuộc: có công cụ, thủ tục liệu tiêu chuẩn định dạng đảm bảo tính di động dịch vụ Điều gây khó khăn cho khách hàng để di chuyển đến nhà cung cấp khác chuyển liệu cho ứng dụng khác khách hàng Điều dẫn đến phụ thuộc vào một nhà cung cấp dịch vụ đám mây, đặc biệt tính linh động liệu, khía cạnh nhất, lại không kích hoạt … Cách li bất thành: dịch vụ tập trung đặc điểm điện toán đám mây Điều dẫn đến rủi ro không tách nhớ lưu trữ khách hàng khác nhau, có công an toàn thông tin làm lẫn lộn liệu khách hàng khác Tuy nhiên cần thấy công vào chế cách ly tài nguyên rất nhiều khó khăn nhiều cho kẻ công so sánh với công hệ điều hành truyền thống Tính tuân thủ: dịch vụ phải đạt yêu cầu loại giấy phép, chứng nhận (ví dụ, tiêu chuẩn ngành công nghiệp yêu cầu pháp lý) có 18 thể có rủi ro di cư ứng dụng đến đám mây: nhà cung cấp dịch vụ điện toán đám mây cung cấp chứng tuân thủ họ với yêu cầu có liên quan nhà cung cấp dịch vụ điện toán đám mây không cung cấp chế kiểm soát dịch vụ cho khách hàng Giao diện bị lộ: Các giao diện bị lộ làm cho nguy bị công ngày gia tăng, đặc biệt kết hợp với truy cập từ xa lỗ hổng trình duyệt web Bảo vệ liệu: điện toán đám mây gây rủi ro cho việc bảo vệ liệu cho khách hàng nhà cung cấp Trong số trường hợp, khó khăn cho khách hàng (trong vai trò điều khiển liệu) để kiểm tra hiệu xử lý liệu nhà cung cấp để đảm bảo liệu xử lý cách hợp pháp Vấn đề làm trầm trọng trường hợp chuyển nhiều liệu, ví dụ, đám mây liên quan Xóa liệu chƣa hết: yêu cầu để xóa nguồn tài nguyên điện toán đám mây thực hiện, với hầu hết hệ điều hành, điều chưa dẫn đến xoá liệu Xóa hết liệu thời điểm không thực được, lý có liệu dự phòng, phần xóa lưu liệu từ khách hàng khác Khi liệu tập trung với chế tái sử dụng nguồn tài nguyên phần cứng, nguy không xóa hết liệu cao Rủi ro từ nội bộ: trường hợp xảy tác hại lớn (ví dụ người quản trị hệ thống điện toán đám mây nhà cung cấp) Một sai sót họ gây hậu lớn Tuy nhiên, điều khó xảy nhà cung cấp dịch vụ đám mây có nguyên tắc bảo mật cao, cá nhân không đủ quyền để làm hỏng hệ thống 3.3 Giải pháp đảm bảo an toàn thông tin điện toán đám mây cho doanh nghiệp 3.3.1 Những lí luận chung giải pháp an toàn thông tin  Tính tin cẩn thận (Confidentiality)  Tính sẵn sàng (Availability) 19  Tính an ninh (Security) 3.3.2 Đề xuất khung quy chế để xây dựng, triển khai hệ thống đám mây đảm bảo an toàn thông tin cho doanh nghiệp Việt Nam Yêu cầu chung với nhà cung cấp ĐTĐM Do tính chất quan trọng liệu quan nhà nước, hệ thống điện toán đám mây việc cung cấp môi trường linh hoạt, ổn định cần phải đảm bảo an toàn cho thông tin liệu luân chuyển hệ thống Chính vậy, xin đề xuất theo hướng cần có quy định quản lý nhà nước đối vơí tổ chức, doanh nghiệp cung cấp giải pháp để xây dựng triển khai hệ thống đám mây quan nhà nước sau: - Có Giấy chứng nhận đăng ký doanh nghiệp có hiệu lực, Giấy chứng nhận đăng ký kinh doanh có hiệu lực, Giấy chứng nhận đầu tư có hiệu lực, có ghi ngành, nghề kinh doanh kinh doanh dịch vụ điện toán đám mây - Hệ thống trang thiết bị để xây dựng hệ thống hạ tầng điện toán đám mây phải có giấy chứng nhận chứng minh đảm bảo an toàn thông minh tuân thủ c ác tiêu chuẩn bảo mật - Có phương án dự phòng đảm bảo trì hoạt động an toàn, liên tục khắc phục có cố xảy - Có biện pháp đảm bảo an toàn, bảo mật thông tin, bí mật thông tin, liệu - Có áp dụng hệ thống quản lý chất lượng, hệ thống quản lý an toàn, bảo mật thông tin theo tiêu chuẩn hành Đối với quan nhà nước xây dựng hệ thống đám mây - Việc đầu tư xây dựng hệ thống đám mây quan nhà nước phải tuân thủ theo quy hoạch, đảm bảo yêu cầu kỹ thuật, chất lượng, an toàn, bảo mật thông tin, phạm vi phục vụ đủ lớn, khả thi quản lý khai thác, đảm bảo hiệu đầu tư - Phải tuân thủ nghiêm ngặt quy định chuẩn kết nối, chuẩn liệu, trang thiết bị phần cứng phần mềm, yêu cầu hạ tầng, mức đảm bảo kỹ thuật, 20 chất lượng dịch vụ, an toàn, bảo mật thông tin theo quy định - Đảm bảo không truyền tải, lưu trữ đám mây thông tin quan nhà nước thuộc danh mục bí mật nhà nước; - Phải tuân thủ nghiêm quy định pháp luật viễn thông, công nghệ thông tin, lưu trữ bảo mật thông tin quan nhà nước; - Việc sử dụng dịch vụ điện toán đám mây quan nhà nước phải bảo đảm khai thác hiệu tài nguyên mạng máy tính nâng cao chất lượng ứng dụng công nghệ thông tin hoạt động quan Nhà nước Đối với tổ chức, doanh nghiệp cung cấp dịch vụ ĐTĐM nhằm đảm bảo yêu cầu an toàn bảo mật cần phải có quy định trách nhiệm nội dung sau: - Có trách nhiệm công bố công khai hợp đồng sử dụng dịch vụ điện toán đám mây mẫu trang thông tin điện tử tổ chức, doanh nghiệp - Cung cấp đầy đủ thông tin dịch vụ cho người sử dụng dịch vụ: chất lượng dịch vụ, giá dịch vụ, nguyên tắc mức độ bồi thường thiệt hại, quyền nghĩa vụ tổ chức, doanh nghiệp cung cấp dịch vụ; quyền nghĩa vụ người sử dụng dịch vụ; thông tin khác liên quan - Đảm bảo trì chất lượng dịch vụ mức công bố Thường xuyên tự kiểm tra chất lượng dịch vụ cung ứng Khi phát mức chất lượng dịch vụ không phù hợp với mức công bố phải thực biện pháp khắc phục để đảm bảo chất lượng dịch vụ 3.3.3 Đề xuất mô hình điện toán đám mây triển 3.3.3.1 Mô hình tổng thể Đám mây xây dựng theo mô hình đám mây riêng có phạm vi cung cấp dịch vụ cho quan, tổ chức thuê hạ tầng, dịch vụ cung cấp đám mây bao gồm: Dịch vụ lưu trữ liệu cung cấp cho quan Dịch vụ máy ảo cung cấp tài nguyên tính toán cho đơn vị phục vụ triển khai ứng dụng CNTT Dịch vụ mạng ảo giúp đơn vị xây dựng nhóm máy ảo có kết nối mạng để triển khai ứng dụng mang tính tương tác Tất dịch vụ cung cấp cho quan, doanh nghiệp thống 21 tảng sở hạ tầng 3.3.3.2 Mô hình triển khai sở hạ tầngCấu trúc mạng Phần lõi trung tâm liệu bao gồm: lớp kết nối mạng ngoại vi, lớp mạng quy tụ, lớp mạng truy cập Cấu trúc ảo hóa Toàn hệ thống ảo hóa điều khiển giám sát hệ quản trị sở hạ tầng, quản trị dịch vụ ĐTĐM tập trung Mô hình hệ thống quản lý hạ tầng đám mây Mô hình hệ thống quản lý hạ tầng đám mây bao gồm chức quản lý hạ tầng Mô hình phụ thuộc vào công nghệ cụ thể hãng cung cấp hạ tầng triển khai 3.3.4 Đề xuất giải pháp hạ tầng hệ thống đám mây Giải pháp sàn nâng cho phòng máy chủ Giải pháp nguồn cung cấp Giải pháp làm mát Giải pháp giám sát bảo mật phòng máy chủ Giải pháp Phòng cháy chữa cháy Giải pháp cắt lọc set 3.3.5 Đề xuất giải pháp công nghệ lƣu trữ hệ thống đám mây 3.3.5.1 Công nghệ lưu trữ Hiện có số loại hình lưu trữ liệu như: - DAS (Direct Attached Storage): lưu trữ liệu qua thiết bị gắn trực tiếp - NAS (Network Attached Storage): lưu trữ liệu vào thiết bị lưu trữ thông qua mạng IP - SAN (Storage Area Network): lưu trữ liệu qua mạng lưu trữ chuyên dụng riêng 3.3.5.2 Sao lưu dự phòng liệu 3.3.6.1 Mô hình AAA Các dịch vụ AAA chia làm ba phần, xác thực (authentication), điều khiển truy cập (access control) tính cước (accounting) Ta tìm hiểu khác ba phần cách thức chúng làm việc Nhận dạng xác thực (Identification & Authentication ) 22 Nhận dạng phương pháp người dùng báo cho hệ thống biết họ Bộ phận nhận dạng người dùng hệ thống quản lý chế tương đối đơn giản, hoạt động dựa hệ thống tên người dùng (username) định danh người dùng (userID) Những yêu cầu nhận dạng đòi hỏi định danh dùng để nhận dạng: - Phải định danh - Không để dùng để xác định địa vị hay tầm quan trọng người dùng tổ chức Ví dụ không để lộ username CEO hay Giám đốc… Xác thực dùng để nhận dạng (identify) người dùng Chẳng hạn cách so sánh mật mà người dùng đăng nhập với mật lưu trữ hệ thống trước Điều khiển truy cập(Access Control) Điều khiển truy cập bước kiểm tra xem người dùng phép tr uy cập vào khu vực liệu server hay đám mây Nó liên quan đến việc quản lý truy cập user, thông qua việc xác thực, kết hợp với luật(Rule) quản lý người quản lý mà cho phép hay không cho phép user thực hành động định Access Control gồm bước: bước ủy quyền(authorization) bước Approve Access control sử dụng để thiết lập mối quan hệ chủ thể(users, process, program) đối tượng(file, database, devices), dựa xác đị nh quyền truy cập vào đối tượng Sự ủy quyền (authorization) hay gọi thức hóa định nghĩa quyền người dùng hệ thống Tính cước(Accounting) Accounting hành động thu thập liệu lượng tiêu thụ tài nguyên cho mục đíc h: phân tích xu hướng, phân bổ lực toán, kiểm toán định giá chi phí, theo dõi mô hình sử dụng người dùng cá nhân, máy chủ, dịch vụ… Accounting cho phép nhà quản trị thu thập thông tin thời gian bắt đầu, thời gian kết thúc người dùng truy cập vào hệ thống, câu lệnh thực thi, thống kê lưu lượng sau lưu trữ thông tin hệ thống sở liệu quan hệ 23 Nói cách khác, accounting cho phép giám sát dịch vụ tài nguyên người dùng sử dụng Việc sử dụng AAA vấn đề bảo mật an toàn thông tin Các nhà cung cấp dịch vụ tích hợp liệu dựa công nghệ đám mây ngày phải điều khiển việc truy cập giám sát thông tin mà người dùng đầu cuối thao tác Những việc làm đưa đến thành công hay thất bại dịch vụ ĐTĐM Với ý tưởng đó, AAA cách thức tốt để giám sát mà người dùng đầu cuối làm mạng Ta xác thực, cấp quyền, điều khiển truy cập cho người dùng tập hợp thông tin thời gian bắt đầu hay kết thúc người dùng Như ta thấy, bảo mật vấn đề quan trọng.Với mức độ điều khiển, thật dễ dàng để cài đặt bảo mật quản trị mạng Ta định nghĩa vai trò (role) đưa cho người dùng lệnh mà họ cần để hoàn thành nhiệm vụ họ theo dõi thay đổi mạng Với khả log lại kiện, ta có điều chỉnh thích hợp với yêu cầu đặt Tất thành phần cần thiết để trì tính an toàn, bảo mật cho mạng 3.3.6.2 Kỹ thuật quản lý truy cập liệu Quản lý truy cập sách hay thủ tục cho phép, từ chối hạn chế quyền truy cập tới hệ thống Nó thực quản lý theo dõi ghi lại hành động có liên quan đến hoạt động truy cập vào hệ thống có chế xác định người cố gắng vào cách trái phép Hiện có nhiều loại mô hình quản lý truy cập, phổ biến là: Điều khiển truy cập tùy quyền (Discre tionnary Access Control – DAC) Điều khiển truy cập bắt buộc (Mandatory Access Control - MAC) Điều khiển truy cập dựa vai trò (Role -based Access Control - RBAC) 3.4 Kết luận chƣơng Trong chương số nguy tiềm ẩn yêu cầu an toàn thông tin người dùng doanh nghiệp, đem lại số khuyến cáo, đề xuất chi tiết từ xây dựng biện pháp để đảm bảo an toàn thông tin cho điện toán đám mây doanh nghiệp 24 toàn thông tin ệ ậ ộ toàn thông tin trướ n ệ ệ an toàn thông tin ậ ệ ầ ệ ệ toàn thông tin an toàn thông tin toàn thông tin y ệ Với mục tiêu đặt vậy, luận văn tiến hành nghiên cứu kết sau đây:  Nghiên cứu tổng quan điện toán đám mây  Các vấn đề an toàn thông tin điện toán đám mây  Một số giải pháp đảm bảo an toàn thông tin điện toán đám mây Em xin chân thành cảm ơn PGS.TS Nguyễn Tiến Ban giúp đỡ em hoàn thành luận văn Dù cố gắng nhiên luận văn em nhiều thiếu sót, em mong nhận góp ý thầy cô ... biện pháp để đảm bảo an toàn thông tin cho điện toán đám mây doanh nghiệp 24 toàn thông tin ệ ậ ộ toàn thông tin trướ n ệ ệ an toàn thông tin ậ ệ ầ ệ ệ toàn thông tin an toàn thông tin toàn thông. .. thông tin Điện toán đám mây Kết cấu luận văn chia làm chương: Chƣơng 1: Tổng quan điện toán đám mây Chƣơng 2: Vấn đề an toàn thông tin điện toán đám mây Chƣơng 3: Giải pháp đảm bảo an toàn thông. ..  Bảo mật thông tin mua hàng trực tuyến 2.1.2 An toàn thông tin điện toán đám mây An ninh toàn thông tin toán điện toán đám mây lĩnh vực phát triển bảo mật máy tính, an ninh mạng, rộng rãi an

Ngày đăng: 27/04/2017, 13:30

Từ khóa liên quan

Tài liệu cùng người dùng

  • Đang cập nhật ...

Tài liệu liên quan