BÀI 7.

THIẾT KẾ AN TOÀN BẢO MẬT CHO

HỆ THỐNG MẠNG
Bùi Trọng Tùng, SoICT, HUST

Nội dung
• Khái niệm chung về thiết kế hệ thống mạng
• Quá trình thiết kế an toàn bảo mật cho mạng
• Phân tích một số mô hình thiết kế an toàn bảo mật

1
 1. TỔNG QUAN VỀ QUY TRÌNH THIẾT KẾ
HỆ THỐNG MẠNG
Bùi Trọng Tùng, SoICT, HUST

Quy trình thiết kế

• Lập kế hoạch (Planning)
• Xây dựng tiến trình công việc
• Dự trù chi phí
• Dự đoán rủi ro
• Thiết kế (Design)
• Thu thập yêu cầu, khảo sát hiện trạng
• Phân tích
• Đề xuất giải pháp
• Xây dựng sơ đồ thiết kế
• Lập tài liệu

2
 Quy trình thiết kế(tiếp)
• Triển khai cài đặt (Implementation)
• Cài đặt phần cứng : triển khai hệ thống cáp mạng, lắp đặt,
cấu hình thiết bị nối kết mạng (hub, switch, router)
• Cài đặt phần mềm
• Cấu hình server, máy trạm
• Cài đặt, cấu hình các dịch vụ mạng
• Tạo người dùng, phân quyền sử dụng
• Vận hành (Operation)
• Kiểm tra
• Sự kết nối giữa các máy tính
• Hoạt động của các dịch vụ
• Mức độ an toàn của hệ thống
 Dựa vào bảng đặc tả yêu cầu
• Giám sát : hiệu năng, hiệu suất, độ an toàn mạng
5

Quy trình thiết kế(tiếp)

• Tối ưu hóa (Optimization)
• Đánh giá hiệu năng, hiệu quả mạng
• Xây dựng giải pháp tăng cường hiệu năng, cải thiện hiệu
quả mạng
• Chuẩn bị mở rộng mạng
• Bảo trì (Retirement)
• Khắc phục những vấn đề nảy sinh

3
 Mô hình thiết kế
• Mô hình phân cấp 3 lớp (3-layer hierarchical topology)

Mô hình phân cấp 3 lớp

• Lớp lõi (Core layer)
• Lưu lượng mạng lớn
• Tin cậy, nhanh, chịu lỗi
• Lưu ý :
• Hạn chế thực hiện các cấu hình làm chậm tốc độ xử lý : định
tuyến VLAN, ACL, lọc gói tin...
• Không kết nối trực tiếp máy trạm
• Switch layer 2 : nhanh, dễ mở rộng, rẻ
• Switch layer 3, router : cân bằng tải, giám sát dữ liệu
quảng bá

4
 Mô hình phân cấp 3 lớp
• Lớp phân phối (Distribution Layer)
• Triển khai các chính sách của mạng
• ACL, lọc gói, QoS
• Firewall
• Cân bằng tải
• VLAN routing
• Cung cấp các kết nối dự phòng cho lớp truy cập
• Lớp truy cập (Access Layer)
• Có thể triển khai thêm các chính sách từ lớp phân phối
• Cung cấp kết nối tới các nhóm máy trạm
• Phân đoạn mạng
• Lưu ý : không sử dụng router tại lớp này

Mô hình mạng doanh nghiệp(1)

10

10

5
 Mô hình mạng doanh nghiệp(2)
• Enterprise Core: phần mạng hạ tầng có vai trò
gắn kết tất cả các phân vùng trong mạng
• Intranet Data Center: phân vùng tập trung các
máy chủ lưu trữ dữ liệu và các ứng dụng
• Phục vụ cho người dùng bên trong, không cho phép
truy cập từ bên ngoài
• Yêu cầu ATBM:
• Tính sẵn sàng của các máy chủ
• Ngăn chặn các hành vi tấn công DoS, lạm quyền, xâm
nhập trái phép, rò rỉ dữ liệu, giả mạo thông tin
• Đảm bảo an toàn dữ liệu
• Giám sát, kiểm duyệt dữ liệu
11

11

Mô hình mạng doanh nghiệp(3)

• Enterprise Campus: hạ tầng kết nối mạng cho
người dùng đầu cuối. Yêu cầu ATBM:
• Tính sẵn sàng của hạ tầng
• Chống các hành vi truy cập trái phép, lạm quyền, xâm
nhập, rò rỉ dữ liệu và giả mạo
• Đảm bảo an toàn dữ liệu
• Phân nhóm người dùng
• Áp đặt các chính sách truy cập
• Bảo vệ người dùng và thiết bị đầu cuối

12

12

6
 Mô hình mạng doanh nghiệp(4)
• Enterprise Internet Edge: phần hạ tầng mạng cung
cấp kết nối Internet, bao gồm cả phân vùng DMZ
cung cấp dịch vụ công cộng, kết nối vào trong mạng
cho người dùng ở xa, kết nối tới các mạng chi nhánh
Yêu cầu ATBM:
• Tính sẵn sàng của hạ tầng và dịch vụ
• Phòng chống tấn công DoS, xâm nhập, rò rỉ dữ liệu, giả mạo
• Bảo đảm an toàn dữ liệu
• Bảo vệ máy chủ và dịch vụ
• Phân nhóm máy chủ, dịch vụ, người dùng
• Giám soát, kiểm duyệt dữ liệu

13

13

Mô hình mạng doanh nghiệp(5)

• Enterprise WAN Edge: phân vùng kết nối WAN.
Yêu cầu ATBM:
• Tính sẵn sàng của hạ tầng và dịch vụ
• Phòng chống tấn công DoS, lạm dụng truy cập, xâm
nhập, rò rỉ dữ liệu, giả mạo
• An toàn dữ liệu truyền qua kết nối WAN
• Phân nhóm người dùng

14

14

7
 Mô hình mạng doanh nghiệp(6)
• Enterprise Branch: Hệ thống mạng chi nhánh ở
xa, có thể nối tới mạng trung tâm qua kết nối
WAN hoặc Internet. Các yêu cầu về ATBM tương
tự như phân vùng Enterprise Campus
• Management: Phân vùng mạng phục vụ cho
công tác quản trị mạng
• Out-of-band (OOB) Management: đường truyền dữ liệu
quản trị tách biệt với đường truyền dữ liệu người dùng
• In-band (IB) Management: dữ liệu quản trị và dữ liệu
người dùng chung đường truyền

15

15

2. THIẾT KẾ AN TOÀN BẢO MẬT HỆ

THỐNG MẠNG
Bùi Trọng Tùng, SoICT, HUST

16

16

8
 Thiết kế an toàn bảo mật cho mạng
• Phân tích yêu cầu
• Khảo sát hệ thống mạng, các tài nguyên trong mạng cần
bảo vệ
• Phân tích các nguy cơ
• Phát triển kế hoạch và chính sách ATBM cho mạng
• Xây dựng giải pháp thiết kế
• Triển khai và vận hành
• Đào tạo người dùng

17

17

Quy trình thiết kế

18

18

9
 Phân tích yêu cầu
• Tìm hiểu các đặc điểm chung của tổ chức (hoạt động, cơ
cấu tổ chức...)
• Nhu cầu kết nối với mạng công cộng ?
• Nhu cầu truy cập từ bên ngoài ?
• Nhu cầu hỗ trợ các người dùng “di động” ?
• Các ứng dụng trong mạng?

Tên ƯD Loại ƯD Yêu cầu an toàn bảo mật Ghi chú

• Yêu cầu về bảo mật, tính sẵn sàng ?

• Các yếu tố khác ảnh hưởng đến dự án : chính sách công
ty, tài chính, thời gian hoàn thành...

19

19

Khảo sát hệ thống mạng

• Mô tả hạ tầng mạng
• Sơ đồ vật lý : vị trí thiết bị, sơ đồ đường dây, đặc điểm
các đường cáp
• Sơ đồ logic mạng
• Giao thức
• Băng thông
• Dịch vụ hạ tầng đang sử dụng
• Định địa chỉ/Định danh

20

20

10
 Phân tích các tài nguyên trong mạng
• Tài nguyên cần bảo vệ:
• Thiết bị hạ tầng của mạng: switch, router, firewall,…
• Dịch vụ mạng và các máy chủ cung cấp dịch vụ: DHCP, DNS,…
• Thiết bị và người dùng đầu cuối
• Dữ liệu
• Các phân vùng trong mạng
• Thông tin về các máy chủ và dịch vụ trong mạng
• Phân tích luồng dữ liệu tới các phân vùng
• Nguồn truy cập
• Các nhóm người dùng chính
• Luồng dữ liệu của hệ thống mạng đang sử dụng

Tên ứng Luồng dữ Giao thức Nhóm người Kho dữ liệu

dụng liệu dùng
21

21

Phân tích các nguy cơ ATBM

• Các nguy cơ đối với dịch vụ mạng trên phân vùng
DMZ(Web, Email, DNS, DHCP,...)
• Các nguy cơ đối với truy cập từ bên ngoài vào phân vùng
nội bộ
• Các nguy cơ khi người dùng bên trong truy cập tới mạng
Internet
• Các nguy cơ từ trong mạng
• Các nguy cơ khác phát sinh do sự cố

22

22

11
 Các cơ chế ATBM(nhắc lại)
• Mật mã học:
• Bảo vệ bí mật
• Xác thực toàn vẹn
• Xác thực nguồn gốc
• Định danh
• Xác thực danh tính Kiểm soát truy cập
• Phân quyền
• Nhật ký(Logging)
• Kiểm toán(Auditing)
• Ngụy trang

23

23

Các giải pháp công nghệ

• Các giải pháp xác thực tài khoản
• Giao thức: CHAP, EAP, OpenID…
• Cơ chế: xác thực đa yếu tố
• Dịch vụ: RADIUS, LDAP, TACACS/TACACS++…
• Các mô hình phân quyền: DAC, MAC, RBAC
• Các giải pháp bảo vệ dữ liệu:
• Giao thức: WPA/WPA2, IPSec, SSL/TLS
• Dịch vụ: VPN
• PKI
• IDPS
• Honeypot
• Firewall
• SIEM(System Information and Event Management)

24

24

12
 Các nguyên tắc khi thiết kế
• Phân nhóm người dùng và quyền truy cập
• Tối thiểu hóa quyền
• Phân tách mạng thành các phân vùng cho các nhóm người
dùng khác nhau
• Phân vùng hệ thống mạng theo chức năng và thiết
kế giải pháp cho từng phân vùng
• Cách ly các phân vùng có mức độ an ninh khác nhau
và giám sát đầy đủ lưu lượng giữa các phân vùng
• Phòng thủ theo chiều sâu
• Thiết kế có dự phòng tài nguyên để nâng cao tính
sẵn sàng
• Giữ cho thiết kế đơn giản

25

25

Thiết kế ATBM cho Enterprise Core

• Dự phòng kết nối và thiết bị

• Tách biệt các kết nối tới phân vùng Management

• Gia cố các thiết bị mạng
• Cài đặt các giao thức định tuyến có cơ chế xác
thực(RIPv2, OSPF, EIGRP), lọc thông tin định tuyến
• Giám sát đầy đủ các trạng thái hoạt động của thiết bị

26

26

13
 Thiết kế ATBM cho Intranet Data Center

27

27

Thiết kế ATBM cho Intranet Data Center

Firewall Firewall

28

28

14
 Thiết kế ATBM cho Enterprise Campus

NAC: Network
Access Control

IDPS
IDPS

29

29

Thiết kế ATBM cho Enterprise Campus

• Triển khai các biện pháp phòng chống tấn công cho lớp
truy cập (Access Layer):
• Tấn công Spanning Tree Protocol
• DHCP Starvation, DHCP Spoofing
• ARP Spoofing
• IP Spoofing
• MAC Flooding
• Broadcast storm
• Tấn công VLAN
• Phân tách nhóm người dùng và (nếu cần) thiết lập ACL
để kiểm soát lưu lượng
• Phòng chống tấn công tới máy trạm người dùng

30

30

15
 Thiết kế ATBM cho Enterprise Internet
Edge

BGP
Routing
31

31

Giám sát luồng dữ liệu

firewall

32

32

16
 Giám sát luồng dữ liệu Web

33

33

Giám sát dịch vụ email

Email Inspector

34

34

17
 Thiết kế ATBM cho Enterprise Branch

Firewall /
VPN Gateway

35

35

Thiết kế ATBM cho Management

36

36

18
 Thiết kế an toàn bảo mật mức vật lý
• Sử dụng các biện pháp bảo vệ cho các thiết bị
phần cứng và hạ tầng kết nối
• Thiết kế an toàn bảo mật mức vật lý:
• Phòng và tủ chứa thiết bị cần được khóa
• Thiết lập chính sách, quy định về việc vào ra phòng
• Hệ thống camera giám sát khu vực đặt thiết bị
• Đường truyền cần đặt ngầm hoặc đặt trong ống bảo vệ
• Hệ thống nguồn điện dự phòng
• Hệ thống phát hiện và phòng cháy, chữa cháy
• Hệ thống chống sét

37

37

3. MỘT SỐ MẪU THIẾT KẾ AN TOÀN BẢO

MẬT CHO HỆ THỐNG MẠNG VÀ DỊCH VỤ
http://www.opensecurityarchitecture.org/

38

38

19
 Tài liệu tham khảo
• Bài giảng sử dụng hình ảnh minh họa từ tài liệu “Cisco
SAFE Reference Guide”, 2009 Cisco Systems

39

39

20