Showing posts with label Security. Show all posts

Lỗ hổng MySQL Zero-Days mới - Hacker có thể chiếm toàn bộ cơ sở dữ liệu Website



    Hai lỗ hổng zero-day quan trọng này đã được phát hiện trong phần mềm quản lý cơ sở dữ liệu phổ biến thứ hai thế giới là MySQL, điều này giúp kẻ tấn công có thể có toàn quyền kiểm soát trên toàn bộ cơ sở dữ liệu.
   Chuyên gia bảo mật Dawid Golunski ở Ba Lan đã phát hiện ra hai lỗ hổng zero-day này: CVE-2016-6662 và CVE-2016-6663, điều này có ảnh hưởng đến tất cả các phiên bản MySQL đang được hỗ trợ ví dụ như MariaDB và PerconaDB.

   Golunski tiếp tục công bố thông tin chi tiết và một đoạn mã khai thác lỗ hổng CVE-2016-6662 này  sau khi thông báo cho Oracle về hai lỗ hổng này, đồng thời với cả các nhà cung cấp của MariaDB và PerconaDB.
     Cả MariaDB và Percona DB đã khắc phục xong hai lỗ hổng này, nhưng Oracle thì vẫn chưa.

   Một lỗ hổng (CVE-2016-6662) có thể bị khai thác bởi hacker như chèn thêm mã độc vào các tập tin cấu hình MySQL hoặc tạo ra những nguy hiểm trong đó.

Cách thức khai thác:

    Lỗ hổng trên có thể bị khai thác thông qua SQL Injection hoặc bởi các hacker với quyền truy cập xác thực trên cơ sở dữ liệu MySQL (thông qua một kết nối mạng hoặc giao diện web như phpMyAdmin).

   "Một mã khai thác thành công [CVE-2016-6662] có thể cho phép kẻ tấn công thực thi đoạn mã nhị phân với quyền root điều này cho phép chúng hoàn toàn kiểm soát  máy chủ mà trên đó một phiên bản có lỗ hổng của MySQL đang chạy," Golunski giải thích trong một cuộc phỏng vấn công bố hôm nay.

   Các chuyên gia nghiên cứu cũng cảnh báo rằng lỗ hổng này có thể bị khai thác ngay cả khi sử dụng các module bảo mật trong kernel được kích hoạt trên SELinux hoặc Apparmor Linux cho các dịch vụ MySQL trên các bản phân phối Linux.

   Lỗ hổng này thực tế nằm trong kịch bản mysqld_safe được sử dụng bởi nhiều gói mặc định của MySQL hoặc trong quá trình cài đặt sử dụng các dịch vụ MySQL.

Vẫn chưa có một bản vá lỗi từ MySQL.

Biện pháp tạm thời:
"Đây là một cách tạm thời, người sử dụng phải đảm bảo rằng không có tập tin cấu hình MySQL được sở hữu bởi người dùng mysql, hay tạo ra quyền sở hữu root giả mạo trong tập tin my.cnf mà không được phép sử dụng," Golunski viết.

Cách giải quyết trên chỉ là biện pháp tạm thời, vì vậy bạn nên cập nhật các bản vá lỗi từ phía nhà cung cấp ngay sau khi họ phát hành bản vá.

Dung

Tổng quan về Firewall - Phần 2 (END)

TỔNG QUAN VỀ FIREWALL
KIẾN TRÚC VÀ MÔ HÌNH FIREWALL THÔNG DỤNG


1. Một số kiến trúc firewall thông dụng
1.1. Kiến trúc Dual - homed Host
   Firewall kiến trúc kiểu Dual-homed host được xây dựng dựa trên máy tính dual-homed host. Một máy tính được gọi là dual-homed host nếu nó có ít nhât hai network interface, có nghĩa là máy đó có gắn hai card mạng giao tiếp với hai mạng khác nhau, do đó máy tính này đóng vai trò là router mềm. Kiến trúc dual-homed host rất đơn giản, máy dual-homed host ở giữa, một bên được nối với internet va bên còn lại nới với mạng nội bộ (mạng cần được bảo vệ).

Mô hình kiến trúc dual-homed host

  Dual-homed host chỉ có thể cung cấp các dịch vụ bằng cách ủy quyền (proxy) hoặc cho phép user đăng nhập trực tiếp vào dual-homed host. Mọi giao tiếp từ một host trong nội bộ và host bên ngoài đều bị cấm, dual-homed host là nơi giao tiếp duy nhất.
Ưu điểm của Dual-homed host:
– Cài đặt dễ dàng, không yêu cầu phần cứng hoặc phần mềm đặc biệt.
– Dual-homed host chỉ yêu cầu cấm khả năng chuyển các gói tin, do đó trên các hệ điều hành linux chỉ cần cấu hình lại nhân của hệ điều hành là đủ.
Nhược điểm của Dual-homed host:
– Không đáp ứng được những yêu cầu bảo mật ngày càng phức tạp, cũng như những phần mềm mới được tung ra trên thị trường.
– Không có khả năng chống đỡ những cuộc tấn công nhằm vào chính bản thân của dual-homed host, và khi dual-homed host bị đột nhập nó sẽ trở thành nơi lý tưởng để tấn công vào mạng nội bộ, người tấn công (attacker) sẽ thấy được toàn bộ lưu lượng trên mạng.

Đánh giá về kiến trúc dual-homed host
Để cung cấp dịch vụ cho người sử dụng trong mạng có một số giải pháp như sau:
– Kết hợp với các proxy server cung cấp những proxy service
– Cấp các account cho người sử dụng trên máy dual-homed host, khi người sử dụng muốn sử dụng dịch vụ từ internet hay dịch vụ từ external network thì họ phải đăng nhập bằng username và password được cài sẵn trên dual-homed host.
Nếu dùng proxy server thì khó có thể cung cấp được nhiều dịch vụ cho người sử dụng vì không phải dịch vụ nào cũng có phần mềm proxy server và proxy client. Mặc khác, khi số dịch vụ cung cấp nhiều thì khả năng đáp ứng của hệ thống bị giảm xuống vì tất cả các proxy server đều đặt trên cùng một máy.
Nếu dùng phương pháp account cho người sử dụng trên máy dual-homed host thì người sử dụng không thích vì mỗi lần họ muốn sử dụng dịch vụ phải đăng nhập vào máy dual-homed host.

1.2. Kiến trúc Screened Host
Screened host có cấu trúc ngược lại với cấu trúc dual-homed host. Kiến trúc này cung cấp các dịch vụ từ một host bên trong mạng nội bộ (basstion host) và một router tách rời với mạng bên ngoài. Kiến trúc này kết hợp hai kỹ thuật đó là packet filtering và proxy service. Packet filtering được cài trên router. Bastion host được đặt bên trong mạng nội bộ và nó là hệ thống duy nhất mà những host trên internet có thể kết nối tới, bất kì một hệ thống bên ngoài nào cố gắn truy cập vào hệ thống hoặc các dịch vụ bên trong đều phải kết nối tới host này. Vì thế Bastion host cần được duy trì ở chế độ bảo mật cao, packet filtering cũng cho phép bastion host có thể mở kết nối ra bên ngoài.
Mô hình kiến trúc Screened Host

– Packet filtering: Lọc một số loại dịch vụ mà hệ thống muốn cung cấp sử dụng proxy server, bắng người sử dụng nếu muốn dùng dịch vụ thì phải kết nối đến proxy server mà không được bỏ qua proxy server để kết nối trực tiếp với mạng bên trong/bên ngoài, đồng thời cho phép Bastion host mở một số kết nối tới internel/external host.
– Proxy service: Bastion host sẽ chứa các proxy server để phục vụ một số dịch vụ hệ thống cung cấp cho người sử dụng qua proxy server.

Kiến trúc screened host ưu việt hơn kiến trúc dual-homed host ở một số điểm như sau:
– Dual-homed host: Khó có thể bảo vệ tốt vì máy này cùng lúc cung cấp nhiều dịch vụ, vi phạm quy tắc căn bản là mỗi phần tử hay thành phần nên giữ ít chức năng nếu có thể được, cũng như tốc độ đáp ứng khó có thê cao vì cùng lúc đảm nhận nhiều chức năng.
– Screened host: Đã tách chức năng lọc các gói IP và các Proxy Server ở hai máy riêng biệt. Packet filtering chỉ giữ những chức năng lọc gói nên có thể kiểm soát cũng như khó gây ra lỗi. Proxy server được đặt ở máy khác nên khả năng phục vụ người sử dụng cao hơn ở kiến trúc Dual-homed host.
Tương tự như kiến trúc Dual-homed host, kiến trúc Screened host khi bị đột nhập thành công thì lưu lượng mạng của internal network cũng bị kiểm soát bởi attacker. Từ khuyết điểm chính của hai kiến trúc trên ta có kiến trúc Screened Subnet Host ra đời nhằm giải quyết hai khuyết điểm này.

1.3. Kiến trúc Screened Subnet Host
 Nhằm tăng cường khả năng bảo vệ mạng nội bộ, thực hiện chiến lược phòng thủ theo chiều sâu, tăng cường sự an toàn cho Bastion host, tách bastion host khỏi các host khác người ta đưa ra kiến trúc firewall có tên là Screened Subnet Host.
Mô hình kiến trúc Screened Subnet Host
   Kiến trúc Screened subnet host bắt nguồn từ kiến trúc screened host bằng cách thêm vào phần an toàn: mạng ngoại vi (perimeter network) nhằm cô lập mạng nội bộ ra khỏi mạng bên ngoài, tách bastion host ra khỏi các host thông thường khác. Kiểu screened subnet host đơn giản bao gồm hai screened router:
– Router ngoài (Exterior router): Nằm giữa mạng ngoại vi và mạng ngoài có chức năng bảo vệ cho mạng ngoại vi (Bastion host, interior router). Exterior router chống lại những sự tấn công chuẩn như giả mạo địa chỉ IP và điều khiển truy cập tới Bastion host. Quy luật filtering trên router ngoài yêu cầu sử dụng dịch vụ proxy bằng cách chỉ cho phép thông tin bắt nguồn từ Bastion host.
– Router trong (Interior router): Nằm giữa mạng ngoại vi va mạng nội bộ nhằm bảo vệ mạng nội bộ và mạng ngoại vi. Nó không thực hiện hết các quy tắc packet filtering của toàn bộ firewall. Các dịch vụ mà interior router cho phép giữa Bastion host và mạng nội bộ, giữa bên ngoài và mạng nội bộ không nhất thiết phải giống nhau. Interior router chỉ cho phép các hệ thống bên trong truy cập Bastion host.

Ưu điểm của Screened Subnet Host:
– Kẻ tấn công cần phá vỡ ba tầng bảo vệ: Router ngoài, Bastion Host và Router trong.
– Bởi vì router ngoài chỉ quảng bá Bastion host tới internet nên hệ thống mạng nội bộ không thể nhìn thấy (invisible). Chỉ có một số hệ thống đã được chọn ra trên DMZ là được biết đến bởi Internet qua routing table và DNS information exchange (Domain Name Server).
– Bởi vì router trong chỉ quảng bá Bastion host tới mạng nội bộ nên các hệ thống bên trong mạng nội bộ không thể truy cập trực tiếp tới Internet. Điều này đảm bảo rằng những user bên trong bắt buộc phải truy cập qua Internet qua dịch vụ Proxy.
– Đối với những hệ thống yêu cầu cung cấp dịch vụ nhanh và an toàn cho nhiều người sử dụng đồng thời nâng cao khả năng theo dõi lưu thông của mỗi người sử dụng trong hệ thống và dữ liệu trao đổi giữa các người dùng trong hệ thống cần được bảo vệ thì kiến trúc cơ bản trên là phù hợp.
– Để tăng độ an toàn trong internal network, kiến trúc Screened Subnet Host ở trên sử dụng thêm một dạng ngoại vi (perimeter network) để che phần nào lưu thông bên trong internal network, tách biệt internal network với internet.
Ngoài ra, còn có những kiến trúc biến thể khác như sử dụng nhiều Bastion host, ghép chung router trong và router ngoài, ghép chung Bastion host và router ngoài.

2. Một số Firewall thông dụng
2.1. Check Point (Giới thiệu Check Point Next Generation)
   Là sản phẩm cung cấp một sự kết hợp các công cụ hàng đầu và các ứng dụng trong việc bảo mật hệ thống mạng sử dụng kiến trúc SVN (Secure Vitual Network) cho phép Check Point đưa ra những công cụ bảo đảm sự an toàn cho dữ liệu. VPN-1/Firewall-1 là một phần của NG cung cấp việc bảo mật mạng và hệ thống mạng ảo riêng VPN(Vitual Private Network). Để thực hiện VPN ta cần Secure Remote và Secure Client. Secure Remote – chứng thực người dùng và mã hóa dữ liệu, Secure Client – thêm một personal firewall vào hệ thống.
 
  Mặc dù VPN-1/Firewall-1 là một bản bảo mật cơ bản nhưng nó cung cấp nhiều cách bảo vệ hệ thống mạng, VPN và các nhận dạng trên kỹ thuật SVN. Check Point phát triển siêu IP để cung cấp việc quản lý DNS, dịch vụ DHCP.
Quản lý và chia sẻ các tài khoản và chứng thực thông tin cho các tài khoản truy cập để sử dụng tài nguyên. Để cho việc quản lý các tài khoản dễ dàng hơn hệ thống cung cấp thêm 2 công cụ : Account Management (LDAP – sắp xếp các tài khoản và kết hợp các thông tin) và User Authority (cho phép truy cập đến các tài khoản đặc quyền).

GUI (Graphical User Interface) có khả năng quản lý từ xa Security Policy và cung cấp giao diện chính cho NG. GUI client là công cụ để tạo Security Policy và được sắp xếp trên Management Server. Công cụ Management Module của Management Server không chỉ sắp xếp Security Policy mà còn tạo và phân phát ACLs giống như Routers và Switches.

Nói tóm lại Check Point Next Generation bao gồm các tính năng sau :
- Firewall : hỗ trợ các dịch vụ NAT, điều khiển truy cập (ACLs), logging, bảo mật nội dung, và chứng thực phiên làm việc.
- Mã hóa và hỗ trợ kết nối mạng riêng ảo VPNs (với hai kiểu site-to-site và client-to-site dựa trên hai phương thức FWZ và IKE)
- LDAP Account Management có thể chạy tách rời ứng dụng hoặc kết hợp với Security Dashboard để quản lý LDAP(Lightweight Directory Access Protocol) – sắp xếp cơ sở dữ liệu tài khoản người dùng rất dễ dàng.
- Cung cấp cơ chế chứng thực, mã hóa cho sự thiết lập và duy trì kết nối mạng riêng ảo(VPNs).
- OPSEC (Open Platform for Security) - ứng dụng nền cho việc bảo mật của Check Point. Lọc nội dung gói tin HTTP, SMTP, FTP và URL filtering.
- Check Point High Availability tạo ra nhóm firewalls làm giảm thời gian chết cho hệ thống.
- Cung cấp Quality of Service dành ưu tiên cho lưu lượng trên mạng.
- Siêu IP cung cấp các dịch vụ DNS, DHCP. Ngoài ra còn có các công cụ như Secure DHCP để chứng thực người dùng.
- User Authority mở rộng quyền hạn chứng thực thông tin người dùng thu từ VPN-1/FireWall-1 để giảm bớt tải cho ứng dụng thứ 3.
- Mạng DMZ để cấu hình cho các services trong hệ thống : SMTP, FTP, HTTP hoặc HTTPs
- Cơ chế xử lý sự cố.

2.2. ISA
   ISA Server 2004 được thiết kế để bảo vệ Network, chống các xâm nhập từ bên ngoài lẫn kiểm soát các truy cập từ bên trong Nội bộ Network của một Tổ chức. ISA Server 2004 Firewall làm điều này thông qua cơ chế điều khiển những gì có thể được phép qua Firewall và những gì sẽ bị ngăn chặn. Chúng ta hình dung đơn giản như sau: Có một quy tắc được áp đặt trên Firewall cho phép thông tin được truyền qua Firewall, sau đó những thông tin này sẽ được “Pass” qua, và ngược lại nếu không có bất kì quy tắc nào cho phép những thông tin ấy truyền qua, những thông tin này sẽ bị Firewall chặn lại.
ISA Server Firewall chứa nhiều tính năng mà các Security Admin có thể dùng để đảm bảo an toàn cho việc truy cập Internet, và cũng bảo đảm an ninh cho các tài nguyên trong Nội bộ Network

Các Network Services và những tính năng trên ISA Server sẽ được cài đặt và cấu hình gồm:

- Cài đặt và cấu hình Microsoft Certificate Services : Dịch vụ cung cấp các chứng từ kĩ thuật số phục vụ nhận dạng an toàn khi giao dịch trên mạng.
- Cài đặt và cấu hình Microsoft Internet Authentication Services (RADIUS) : Dịch vụ xác thực an toàn cho các truy cập từ xa thông qua các remote connections (Dial-up hoặc VPN)
- Cài đặt và cấu hình Microsoft DHCP Services (Dịch vụ cung cấp các xác lập TCP/IP cho các node trên và) và WINS Services (dịch vụ cung cấp giải pháp truy vấn NETBIOS name của các máy tính trên mạng)
- Cấu hình các WPAD entries trong DNS để hỗ trợ chức năng Autodiscovery (tự động khám phá) và Autoconfiguration (tự động cấu hình) cho Web Proxy và Firewall clients. Thuận lợi cho các ISA Clients (Web và Firewall clients) trong một Tổ chức khi họ phải mang máy tính từ một mạng (có một ISA Server) đến mạng khác (có ISA Server khác) mà vẫn tự động phát hiện và làm việc được với Web Proxy Service và Firewall Service trên ISA Server này.
- DNS : Cài đặt Microsoft DNS server trên Perimeter Network server (Mạng chứa các máy chủ cung cấp trực tuyến cho các máy khách bên ngoài, nằm sau Firewall, nhưng cũng tách biệt với LAN)
- Back up và phục hồi thông tin cấu hình của ISA Server Firewall
- Tạo các chính sách truy cập (Access Policy) trên ISA Server Firewall
- Publish Web Server trên một Perimeter Network .
- Dùng ISA Server Firewall đóng vai trò một Spam filtering SMTP relay (trạm trung chuyển e-mails, có chức năng ngăn chặn Spam mails). Publish Microsoft Exchange Server services (hệ thống Mail và làm việc cộng tác của Microsoft, tương tự Lotus Notes của IBM)
- VPN : Cấu hình ISA Server Firewall đóng vai trò một VPN server, tạo kết nối VPN theo kiểu site-to-site giữa hai Networks

2.3. IPCop
- Firewall :Tích hợp IPTable một firewall mạnh của Linux Netfilter.
- Mở rộng cổng giao tiếp hỗ trợ : Analog modem, an ISDN modem, an ADSL modem, hỗ trợ giao thức PPTP(point-to-point-tunneling-protocol) trong dịch vụ SSH…
- Hỗ trợ một card mạng riêng cho phân vùng DMZ để cấu hình cho các services trong hệ thống nếu có.
- Hỗ trợ truy xuất từ xa qua SSH server.
- Tích hợp DHCP Server.
- Caching DNS.
- TCP/UDP port forwarding.
- Hỗ trợ IDS(Intrusion detection system) của Snort :Hệ thống dò tìm và phát hiện xâm nhập trái phép nổi tiếng của Snort.
- Hỗ trợ Free S/WAN IPSec cho phép chúng ta xây dựng các máy chủ VPN cung cấp truy cập tài nguyên nội bộ cho người dùng từ xa thông qua các phiên truyền được mã hóa và chứng thực chặt chẽ.
- Hỗ trợ Squid – Web Proxy: chương trình kiểm soát và tăng tốc truy cập internet được nhiều người yêu thích và áp dụng, giúp tiết kiệm đường truyền.
- Cho phép backup và restore các thông tin cấu hình của IPCop một cách nhanh chóng và dễ dàng do giao diện thao tác là giao diện web.
- Có cơ chế tự vá lỗi và cập nhật các chính sách bảo mật một cách tự động.

3. Tổng kết
Qua các firewall vừa trình bày ở trên, chúng ta đưa ra nhận xét sau :
- Nhiều người cho rằng ISA Server Firewall quả thật là mạnh mẽ trong vấn đề bảo vệ hệ thống cũng như quản lý người dùng ngoại trừ chi phí bản quyền quá cao. Thời gian, chi phí và hiệu quả là 3 yếu tố hàng đầu được các doanh nghiệp và tổ chức quan tâm khi ứng dụng các sản phẩm, giải pháp công nghệ thông tin cho hệ thống của mình. Chúng ta nghĩ đến việc việc xây dựng 1 firewall cũng mạnh mẽ không kém, đầy đủ chức năng nhưng không đòi hỏi cấu hình máy tính phải mạnh mẽ và hoàn toàn miễn phí.
- Để thực hiện điều này, chúng ta có thể sử dụng các thiết bị phần cứng của hãng bảo mật nổi tiếng Juniper, Cisco, CheckPoint hoặc các thiết bị phần mềm như ISA Server của Microsoft. Mỗi sản phẩm có những mặt mạnh, yếu riêng. Tuy nhiên, tất cả đều là những sản phẩm thương mại có giá trị bản quyền cao và đòi hỏi yêu cầu phần cứng mạnh mẽ. Vì vậy, đối với các công ty muốn tiết kiệm chi phí chúng ta có thể dùng một sản phẩm mã nguồn mở thay thế là IPCop Firewall, hoặc IPTables hoặc Endian một giải pháp tối ưu cho viêc tiết kiệm băng thông và tăng cường bảo mật, giúp xóa tan những lo âu về vấn đề chi phí bản quyền khi Việt Nam gia nhập WTO .
- Căn cứ vào bảng so sánh trên chúng ta dễ dàng nhận thấy IPCop Firewall/Router (một công cụ tích hợp điển hình của dòng sản phẩm open source) có nhiều tính năng mạnh mẽ mà ngay cả những sản phẩm tường lửa thương mại hàng đầu như ISA Server cũng không có được như hệ thống phân phối các địa chỉ IP động để client có thể dễ dàng, nhanh chóng truy cập internet. Đặt các giới hạn download/upload. Bên cạnh đó IPCop còn có khả năng phát hiện dò tìm xâm nhập bất hợp pháp hay các chương trình khả nghi trên mạng như ettercap, dsniff thông qua hệ thống SNORT Network IDS, tự động cập nhất các chính sách, quy tắc bảo mật .v.v…

The end.

Dung

Tổng quan về Firewall - Phần 1

TỔNG QUAN VỀ FIREWALL



1. Firewall là gì ?
  • Firewall (hay tường lửa) vốn có nguồn gốc từ trong thiết kế và xây dựng để chống hỏa hoạn. Trong ngành CNTT, Firewall có thể là một thiết bị, hệ thống phần cứng hoặc phần mềm đều có mục đích chung là để phòng chống và ngăn căn sự truy cập trái phép, ngoài mong muốn vào hệ thống cần được bảo vệ. Nó chốt chặn tại các vị trí xung yếu (như điểm vào – ra) của luồng dữ liệu để kiểm soát, lọc, hay chặn nếu cần thiết. Cũng có thể hiểu Firewall là một cơ chế để bảo vệ mạng tin tưởng (Trusted Network) khỏi các mạng không tin tưởng (Untrusted Network).
  • Mọi Firewall đều phải có ít nhất hai giao tiếp mạng, một đầu ra nối với hệ thống mạng cần bảo vệ, một đầu vào nối với hệ thống mạng bên ngoài. Nó có thế ở gateway, bridge,… 

2. Phân loại Firewall
Tường lửa được chia làm 2 loại: firewall cứng và firewall mềm.

   2.1. Firewall cứng
Là loại firewall được tích hợp trực tiếp lên phần cứng (như Router Cisco, Check point , Planet, Juniper…).
Đặc điểm:
  • Không được linh hoạt như firewall mềm vì hầu như các firewall cứng đều hướng theo xu hướng tích hợp tất cả trong một( ví dụ : không thể thêm quy tắc hay chức năng ngoài những chức năng đã được tích hợp sẵn…) đối với những firewall cứng trước kia.Hiện tại xuất hiện xu hướng mới của firewall cứng mà đi đầu là dòng sản phẩm PIX ASA 5500 của Cisco. Tuy là firewall cứng nhưng có khả năng tích hợp những module khác ngoài module có sẵn.
  • Adaptive tích hợp cơ bản hầu hết các tính năng chính của 1 firewall như DHCP, HTTPS, VPNs, hỗ trợ DMZ, PAT, NAT…và các interface trên nó. Một Adaptive có thể hoạt động độc lập mà không cần bất kỳ module nào khác. Adaptive hỗ trợ nhiều cách cấu hình : Cấu hình thông qua giao diện web hoặc cấu hình qua cổng consol …
  • Các module riêng lẻ : mỗi module thực hiện một chức năng chuyên biệt và kết nối trực tiếp với Adaptive thông qua cable. Nếu thiết bị đầu cuối nào muốn sử dụng thêm chức năng của module nào thì sẽ được kết nối trực tiếp với module đó.Có nhiều loại module thực hiện nhiều chức năng khác nhau : cung cấp các giao tiếp đến các thiết bị có giao tiếp đặc biệt, cung cấp hệ thống cảnh báo cao cấp IPS,… 
  • Có khả năng hoạt động ở mọi lớp với tốc độ cao nhưng giá cả rất cao.
   2.2. Firewall mềm
Là những phần mềm được cài đặt trên máy tính đóng vai trò làm firewall.
Có ba loại tường lửa cơ bản tùy theo:
  1. Truyền thông được thực hiện giữa một nút đơn và mạng, hay giữa một số mạng.
  2. Truyền thông được chặn tại tầng mạng, hay tại tầng ứng dụng.
  3. Tường lửa có theo dõi trạng thái của truyền thông hay không.
  • Phân loại theo phạm vi của các truyền thông được lọc:
  1. Tường lửa cá nhân hay tường lửa máy tính, một ứng dụng phần mềm với chức năng thông thường là lọc dữ liệu ra vào một máy tính đơn.
  2. Tường lửa mạng, thường chạy trên một thiết bị mạng hay máy tính chuyên dụng đặt tại ranh giới của hai hay nhiều mạng hoặc các khu phi quân sự (mạng con trung gian nằm giữa mạng nội bộ và mạng bên ngoài). Một tường lửa thuộc loại này lọc tất cả truyền thông dữ liệu vào hoặc ra các mạng được kết nối qua nó.
Loại tường lửa mạng tương ứng với ý nghĩa truyền thống của thuật ngữ "tường lửa" trong ngành mạng máy tính.
  • Phân loại theo các tầng giao thức nơi giao thông dữ liệu có thể bị chặn:
  1. Tường lửa tầng mạng: Firewall này hoạt động ở tầng mạng trong mô hình OSI hoặc IP của TCP/IP. Ở đây, các gói tin đến và đi sẽ đi qua bộ lọc, chỉ những gói tin nào phù hợp mới được đi tiếp, còn không chúng sẽ bị loại bỏ. Các Firewall hiện đại ngày nay có thể tiến hành lọc các gói tin dựa trên rất nhiều trường như theo địa chỉ IP, port nguồn, port đích, dịch vụ đích, giá trị Time to live…Ví dụ một số loại Firewall nổi tiếng loại này đó là ipf (Unix), ipfw (FreeBSD / Mac OS X), pf (Open BSD), iptables (Ubuntu / Linux)...
  2. Tường lửa tầng ứng dụng: Đây là một dạng của firewall quản lý, vào, ra, bởi một phần mềm hoặc dịch vụ. Chúng có thể lọc các gói tin ở tầng ứng dụng trong mô hình OSI chẳng hạn như các Http GET / POST; ghi lại các hoạt động vào ra, login logout của user. Điều này không thể thực hiện được với các Firewall tầng dưới. Nó cũng giúp cho một ứng dụng xác định xem liệu có nên chấp nhận một kết nối nào kết nối tới không.Ví dụ TCP Wrappers...
  3. Tường lửa ứng dụng: Ví dụ: hạn chế các dịch vụ ftp bằng việc định cấu hình tại tệp /etc/ftpaccess.
Các loại tường lửa tầng mạng và tường lửa tầng ứng dụng thường trùm lên nhau, mặc dù tường lửa cá nhân không phục vụ mạng, nhưng một số hệ thống đơn đã cài đặt chung cả hai.
  • Phân loại theo tường lửa theo dõi trạng thái của các kết nối mạng:
  1. Tường lửa có trạng thái (Stateful firewall):
    - Loại Firewall này lưu lại trạng thái của các phiên làm việc đang hoạt động. Nó sử dụng thông tin trạng thái để tăng tốc xử lý các gói tin. Bất kỳ các kết nối đang diễn ra đều có rất nhiều các thuộc tính kèm theo, như địa chỉ IP nguồn, đích, cổng TCP hoặc UDP, trạng thái của kết nối đó (thông tin khởi tạo phiên, quá trình handshake, dữ liệu chuyển qua loại).

    - Nếu một gói tin gửi đến, nó sẽ bị kiểm tra xem có phù hợp với các luật của một kết nối đang có hay không, nếu có, nó sẽ được pass qua mà không xử lý gì thêm, nếu không nó sẽ được xử lý và coi như của một kết nối mới.
     
  2. Tường lửa phi trạng thái (Stateless firewall):Ưu điểm của loại này đó là đòi hỏi ít về bộ nhớ, có tốc độ lọc nhỉnh hơn nếu chỉ cần lọc gói tin ở mức độ thấp (không mất thời gian tìm kiếm session). Tuy nhiên, nó không thể đưa ra các quyết định phức tạp dựa trên trạng thái của kết nối.

3. Nguyên lý hoạt động của Firewall

Lấy giao thức TCP/IP làm nền tảng, Firewall chủ yếu xử lý các luồng dữ liệu đi và đến thông qua việc kiểm soát các gói tin (data packet). Bằng bộ lọc của mình, chúng có thể từ chối, hủy bỏ các gói tin nó nhận được dựa vào việc nó có phù hợp với các luật hay các giới hạn được thiết đặt cho Firewall.
Một số tiêu chí cụ thể thường được quan tâm trong các hệ thống Firewall, cụ thể như sau:
  • Địa chỉ IP nguồn (IP Source)
  • Cổng TCP (hoặc UDP) nguồn
  • Địa chỉa IP đích (IP Destination)
  • Cổng TCP (hoặc UDP) đích
  • Protocol của gói tin (HTTP, TCP, ICMP, UDP, …)
  • Độ dài gói tin (Length)
  • Các thông tin phụ khác …

Có hai cách thức đặt luật lọc gói tin của Firewall đó là whitelist và blacklist:
  • Whitelist: chỉ các gói tin phù hợp với các luật trong Firewall mới được coi là hợp lệ và cho phép đi qua, các gói tin khác mặc định sẽ bị loại bỏ.
  • Blacklist: các gói tin mặc định sẽ được cho phép đi qua, các gói tin “match” với các luật trong Firewall sẽ bị loại bỏ

Tùy từng nhu cầu, mục đích sử dụng mà người quản trị sẽ sử dụng hình thức whitelist, blacklist hoặc cả hai cách thức nói trên.

 4. Chức năng
Chức năng chính của firewall là kiểm soát luồng dữ liệu qua nó ra vào giữa intranet và internet. Nó thiết lập cơ chế điều khiển dòng thông tin lưu thông giữa intranet và internet. Cụ thể là:
  • Quản lý và điều khiển luồng dữ liệu trên mạng.
  • Xác thực quyền truy cập
  • Hoạt động như một thiết bị trung gian
  • Bảo vệ tài nguyên
  • Ghi nhận và báo cáo các sự kiện
   4.1. Quản lý và điều khiển luồng dữ liệu trên mạng
Việc đầu tiên và cơ bản nhất mà tất cả các Firewall đều có là quản lý và kiểm soát luồng dữ liệu trên mạng, Firewall kiểm tra các gói tin và giám sát các kết nối đang thực hiện và sau đó lọc các kết nối dựa trên kết quả kiểm tra gói tin và các kết nối được giám sát. 
  • Packet inspection (kiểm tra gói tin): là quá trình chặn và xử lý dữ liệu trong một gói tin để xác định xem nó được phép hay không được phép đi qua Firewall. Kiểm tra gói tin có thể dựa vào các thông tin sau:
    - Địa chỉ IP nguồn
    - Port nguồn.
    - Địa chỉ IP đích
    - Port đích
    - Giao thức IP
    - Thông tin trong header (sequence numbers, checksums, data flags, payload information…)
  • Connections và State: Khi hai TCP/IP host muốn giao tiếp với nhau, chúng cần thiêt lập một số kết nối với nhau. Các kết nối phục vụ hai mục đích. Thứ nhất, nó dùng để xác thực bản thân các host với nhau. Friewall dùng các thông tin kết nối này để xác định kết nối nào được phép và các kết nối nào không được phép. Thứ hai, các kết nối dùng để xác định cách thức mà hai host sẽ liên lạc với nhau (dùng TCP hay dùng UDP…).
  • Stateful Packet Inspection (giám sát gói tin theo trạng thái): Statefull Packet Inspection không những kiểm tra gói tin bao gồm cấu trúc, dữ liệu gói tin … mà kiểm tra cả trạng thái gói tin.
    4.2. Xác thực quyền truy cập
  
Firewall có thể xác thực quyền truy cập bằng nhiều cơ cấu xác thực khác nhau:
  • Thứ nhất, firewall có thể yêu cầu username và password của người dùng khi người dùng truy cập (thường được biết đến như là extended authentication hoặc xauth). Sau khi Firewall xác thực xong người dùng, Firewall cho phép người dùng thiết lập kết nối và sau đó không hỏi username và password lại cho các lần truy cập sau (thời gian Firewall hỏi lại username và password phụ thuộc vào cách cấu hình của người quản trị).
  • Thứ hai, Firewall có thể xác thực người dùng bằng Certificates và public key.
     
  • Thứ ba, Firewall có thể dùng pre-shared keys (PSKs) để xác thực người dùng.
   4.3. Hoạt động như một thiết bị trung gian
Khi user thực hiện kết nối trực tiếp ra bên ngoài sẽ đối mặt với vô số nguy cơ về bảo mật như bị virus tấn công, nhiễm mã độc hại v.v.. do đó việc có một thiết bị trung gian đứng ra thay mặt user bên trong để thực hiện kết nối ra bên ngoài là cần thiết để đảm bảo an toàn. Firewall được cấu hình để thực hiện chức năng này và firewall được ví như một proxy trung gian.

    4.4. Bảo vệ tài nguyên
Nhiệm vụ quan trọng nhất của một Firewall là bảo vệ tài nguyên khỏi các mối đe dọa bảo mật. Việc bảo vệ này được thực hiện bằng cách sử dụng các quy tắc kiểm soát truy cập, kiểm tra trạng thái gói tin, dùng Application Proxies hoặc kết hợp tất cả để bảo vệ tài nguyên khỏi bị truy cập bất hợp pháp hay bị lạm dụng. Tuy nhiên, Firewall không phải là một giải pháp toàn diện để bảo vệ tài nguyên của chúng ta.

    4.5. Ghi nhận và báo cáo các sự kiện
Ta có thể ghi nhận các sự kiện của Firewall bằng nhiều cách nhưng hầu hết các Firewall sử dụng hai phương pháp chính là Syslog và Proprietaty Logging Format. Bằng cách sử dụng một trong hai phương pháp này, chúng ta có thể dễ dàng báo cáo các sự kiện xảy ra trong hệ thống mạng.


5. Ưu nhược điểm của firewall 

   5.1. Ưu điểm
  • Firewall do con người cấu hình có thể che dấu mạng nội bộ bên trong, lọc dữ liệu và nội dung của dữ liệu để ngăn chặn được các ý đồ xấu từ bên ngoài như : muốn đánh cắp thông tin mật, muốn gây thiệt tê liệt hệ thống đối thủ của mình để gây thiệt hại về kinh tế …
  • Firewall có thể ngăn chặn các cuộc tấn công vào các server gây tổn thất lớn cho các doanh nghiệp.
  • Ngoài ra firewall còn có khả năng quét virus, chống spam … khi được tích hợp những công cụ cần thiết. 

    5.2. Nhược điểm
Tuy Firewall có những ưu điểm nổi trội nhưng vẫn tồn tại những hạn chế khiến Firewall không thể bảo vệ hệ thống an toàn một cách tuyệt đối. Một số hạn chế của firewall có thể kể ra như sau:
  • Firewall không thể bảo vệ chống lại các cuộc tấn công bỏ qua tường lửa. Ví dụ như một hệ thống bên trong có khả năng dial-out kết nối với một ISP hoặc mạng LAN bên trong có thể cung cấp một modem pool có khả năng dial-in cho các nhân viên di động hay các kiểu tấn công dạng social engineering nhắm đếm đối tượng là các người dùng trong mạng.
  • Firewall không bảo vệ chống lại các đe dọa từ bên trong nội bộ ví dụ như một nhân viên cố ý hoặc một nhân viên vô tình hợp tác với kẻ tấn công bên ngoài.
  • Firewall không thể bảo vệ chống lại việc chuyển giao giữa các chương trình bị nhiễm virus hoặc các tâp tin. Bởi vì sự đa dạng của các hệ điều hành và các ứng dụng được hỗ trợ từ bên trong nội bộ. Sẽ không thực thế và có lẽ là không thể cho các Firewall quét các tập tin gởi đến, email… nhằm phát hiện virus.

- Hết Phần 1 -

Dung

DDos và các nguyên tắc chống chọi DDos

DDoS và nguyên tắc chống chọi DDOS

   Trong bài này tôi sẽ tóm tắt những điểm tối quan trọng trong việc chống chọi với DDoS (distributed denial of service attack) cho những ai đang quan tâm về kiểu tấn công này. DDoS có nhiều dạng, nhiều biến thể tấn công nhưng tựu chung có một mục đích: làm cho người dùng hệ thống không thể sử dụng được dịch vụ của hệ thống.

DDoS có hai dạng chính:
  1. Làm ngập băng thông khiến cho người dùng không thể truy cập dịch vụ.
  2. Làm cho dịch vụ hoàn toàn tê liệt vì hết tài nguyên khiến cho người dùng không thể truy cập dịch vụ.
Chống đỡ hai dạng trên đều đòi hỏi gia tăng tài nguyên (băng thông, CPU, diskspace, memory). Tài nguyên càng phát tán rộng ra nhiều network càng tốt.

Giảm thiểu tác hại của DDoS có hai hướng chính:  
  1. Giảm thiểu bằng cách cản lọc những đặc điểm cụ thể.
  2. Giảm thiểu bằng cách cản lọc theo ấn định số lần truy cập trong một khoản thời gian (nếu không tìm ra được đặc điểm cụ thể).
  • Giảm thiểu bằng cách cản lọc những đặc điểm cụ thể: dựa trên những thông tin lấy từ logs (tổng quát về IP, user-agents, số lần truy cập trong một khoảng thời gian nào đó) hoặc từ packet capturing bằng tcpdump hoặc wireshark (chi tiết tính chất trong các packet header và payload). Làm việc này đòi hỏi am hiểu đặc tính của log và tính chất của các gói tin.
  • Giảm thiểu bằng cách cản lọc theo ấn định số lần truy cập trong một khoản thời gian: dựa trên kết quả phân tích số lần truy cập đi từ một IP trong một khoảng thời gian. Làm việc này đòi hỏi am hiểu đặc tính của log.

Bốn điểm cần lưu ý:
  1. Cản trên tầng IP cho những đặc điểm cụ thể trên tầng IP (ví dụ: iptables). Cản trên tầng application cho những đặc điểm trên tầng application (ví dụ: mod_security). Tránh đừng cản lọc những thứ thuộc về tầng application trên tầng IP và ngược lại, tránh đừng cản lọc những thứ thuộc tầng IP trên tầng application vì chúng không hiệu suất.
  2. Nếu blackhole (/dev/null) được ngay trên router thì thực hiện ngay thay vì cản lọc trên firewall.
  3. Cản lọc không dừng lại ở MỖI TẦNG mà ở trên TẤT CẢ CÁC TẦNG GIAO THỨC bất cứ nơi đâu có thể được, thậm chí phối hợp giữa các tầng.
  4. Tính hiệu suất, gọn nhẹ là chìa khoá để bảo tồn tài nguyên.

                                                                                                                HOÀNG NGỌC DIÊU (Conmale HVA)

Dung

Chứng chỉ SSL/TLS miễn phí đã được chấp nhận trong các trình duyệt web lớn



Chứng chỉ SSL/TLS miễn phí đã được chấp nhận trong các trình duyệt Web lớn


SSL và SSL Certificate là gì?

SSL là viết tắt của từ Secure Sockets Layer. Đây là một tiêu chuẩn an ninh công nghệ toàn cầu tạo ra một liên kết được mã hóa giữa máy chủ web và trình duyệt. Liên kết này đảm bảo tất cả các dữ liệu trao đổi giữa máy chủ web và trình duyệt luôn được bảo mật và an toàn.
SSL đảm bảo rằng tất cả các dữ liệu được truyền giữa các máy chủ web và các trình duyệt được mang tính riêng tư, tách rời. SSL là một chuẩn công nghiệp được sử dụng bởi hàng triệu trang web trong việc bảo vệ các giao dịch trực tuyến với khách hàng của họ

Let’s Encrypt vừa có một bước tiến gần hơn đến mục tiêu cung cấp chứng chỉ HTTPS miễn phí dành cho bất cứ ai. Let’s Encrypt – cơ quan chứng thực (Certificate authority) chứng chỉ mã nguồn mở miễn phí, tự động – vừa mới thông báo rằng, chứng chỉ của họ đã được tin cậy và hỗ trợ bởi tất cả các trình duyệt Web lớn.

  • Let’s Encrypt cho phép bất kì website nào cũng có thể bảo vệ người dùng với chứng chỉ SSL/TLS (Secure Socket Layer/Transport Layer Security), mã hóa toàn bộ lưu lượng giữa người dùng và website. Không chỉ miễn phí, sáng kiến mới có giúp thực thi HTTPS được dễ dàng hơn. Người dùng có thể hoạt động trực tuyến, thanh toán mua hàng một cách an toàn.
  • Trang chứa bản chứng minh của chứng chỉ miễn phí https://helloworld.letsencrypt.org/ nay đã hoạt động bình thường trên các trình duyệt Mozilla, IE, Safari, Chrome …  mà không đưa ra cảnh báo lỗi. Dự kiến Let’s Encrypt sẽ đi vào hoạt động chính thức vào thấng 11 sắp tới.
  • Let’s Encrypt thử nghiệm phát hành chứng chỉ miễn phí đầu tiên vào cuối tháng trước và tích cực hợp tác và các nhà cung cấp trình duyệt nhằm ghi nhận chứng chỉ của họ. Cơ quan chứng thực mã nguồn mở được điều hành bởi nternet Security Research Group (ISRG) , hỗ trợ bởi tổ chức Electronic Frontier Foundation (EFF), Mozilla, Cisco, Akamai, và nhiều đơn vị khác.

Dung

Subscribe to: Posts (Atom)