Nghiên cứu áp dụng khuyến nghị x 805 để đảm bảo an toàn cho dịch vụ HSI trên NGN

BỘ GIÁO DỤC VÀ ĐÀO TẠO TẬP ĐOÀN BƯU CHÍNH VIỄN THÔNG VIỆT NAM
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG




VÕ XUÂN NAM




NGHIÊN CỨU ÁP DỤNG KHUYẾN NGHỊ X.805 ĐỂ ĐẢM
BẢO AN TOÀN CHO DỊCH VỤ HSI TRÊN NGN
CHUYÊN NGÀNH: TRUYỀN DỮ LIỆU VÀ MẠNG MÁY TÍNH
MÃ SỐ: 60.48.15

TÓM TẮT LUẬN VĂN THẠC SỸ KỸ THUẬT



Người hướng dẫn: PGS.TS. Hoàng Minh





HÀ NỘI - NĂM 2010

Luận văn được hoàn thành tại:
Học viện Công nghệ Bưu chính Viễn thông
Tập đoàn Bưu chính Viễn thông Việt Nam

Người hướng dẫn khoa học:
……………… ……………………………………
Phản biện 1: ……………………………………………………
……………………………………………………

Phản biện 2: ……………………………………………………
……………………………………………………

Luận văn sẽ được bảo vệ trước hội đồng chấm luận văn tại Học
viện Công nghệ Bưu chính Viễn thông
Vào lúc: giờ ngày tháng năm…….
Có thể tìm hiểu luận văn tại:
- Thư viện Học viện Công nghệ Bưu chính Viễn thông
1
MỞ ĐẦU
Hiện nay mạng NGN của VNPT đã triển khai và đang cung
cấp 1 số dịch vụ với mục tiêu tiến tới hội tụ hoàn toàn các mạng với
nhau. Khi cung cấp dịch vụ cho khách hàng thì vấn đề đảm bảo an
toàn cho mạng phải được tính đến ngay từ những ngày đầu. Khác với
mạng truyền thống, khi chuyển lên mạng sử dụng IP thì vấn đề về an
toàn bảo mật cho hệ thống mạng sẽ phức tạp hơn rất nhiều, vấn đề
đặt ra là làm thế nào để phân tách cô lập mạng để tránh xảy ra sự cố
cũng như để có thể nhanh chóng phát hiện ra các lỗ hổng phải được
đặt lên hàng đầu.
Dựa vào khuyến nghị X.805, dựa trên hiện trạng cơ chế hoạt
động của các dịch vụ, dựa vào các dịch vụ đang cung cấp trên mạng

NGN của VNPT, luận văn sẽ đưa ra các khuyến nghị cho các dịch
vụ VPN L2.
Trong khuôn khổ bản luận văn này, tác giả sẽ tập trung chủ
yếu vào các vấn đề sau:
Chương 1: Tổng quan, phân tích mô hình tổ chức khai thác
dịch vụ trên mạng NGN của VNPT nhìn từ các góc độ kiến trúc
mạng, dịch vụ, quản lý, thiết bị và nhà cung cấp.
Chương 2: Áp dụng khuyến nghị X.805 của ITU cho phương
án đảm bảm an toàn mạng và dịch vụ trên mạng NGN của VNPT,
phân tích khuyến nghị X.805, đánh giá ưu nhược điểm của X.805,
các miền an ninh, các bổ sung cần thiết cho X.805.
Chương 3:Dựa trên khuyến nghị X.805 để đề xuất các giải
pháp an ninh cho dịch vụ VPN L2 trên mạng NGN của VNPT.

2
CHƯƠNG 1: TỔNG QUAN VỀ MÔ HÌNH TỔ CHỨC VÀ
KHAI THÁC DỊCH VỤ TRÊN NGN VÀ VẤN ĐỀ AN NINH
MẠNG
1.1 Mạng thế hệ kế tiếp - NGN
Từ tình hình mạng viễn thông hiện nay và sự bùng nổ về nhu cầu
dịch vụ băng rộng, việc xây dựng một mạng cung cấp đa loại hình
dịch vụ tốc độ cao băng thông lớn là vấn đề tất yếu của các nhà khai
thác mạng. NGN tập hợp được ưu điểm của các công nghệ mạng
hiện có, tận dụng băng thông rộng và lưu lượng truyền tải cao của
mạng gói để đáp ứng sự bùng nổ nhu cầu lưu lượng thoại truyền
thông hiện nay và nhu cầu truyền thông đa phương tiện của người
dùng đầu cuối. Điện thoại IP là ví dụ điển hình để minh họa cách tín
hiệu thoại được chuyển đổi thành gói dữ liệu rồi truyền trên nền IP
trong mạng NGN như thế nào. Có thể nói truyền thoại trên nền gói là
ưu điểm lớn nhất mà NGN đã thực hiện được hơn hẳn so với các

công nghệ mạng trước đây.
Đặc điểm của NGN là cấu trúc phân lớp theo chức năng và phân tán
các tài nguyên trên mạng. Điều này đã làm cho mạng được mềm hóa
và sử dụng các giao diện mở API để kiến tạo các dịch vụ mà không
phụ thuộc nhiều vào các nhà cung cấp thiết bị và dịch vụ mạng.
Kiến trúc của mạng NGN là sự tổ hợp pha trộn của các mạng
hiện có và có thêm những phần tử mới để cung cấp các dịch vụ cho
người dùng. Thực tế vấn đề an ninh mạng đã được đề cập và quan
tâm ngay khi thiết lập mạng. Song song với sự phát triển của hệ
thống mạng thì các nguy cơ về an ninh cũng ngày càng nhiều lên và
các nhà mạng cũng phải đầu tư nhiều hơn cho vấn đề này. Thực tế
khi xây dựng 1 hệ thống mạng IP thì 3 vấn đề cần phải quan tâm là:
3
- Tính sẵn sàng: thực tế trong mạng IP thì TE (Traffic
Engineering) đã giải quyết được vấn đề đảm bảo tính sẵn sàng cao
cho những kết nối quan trọng.
- Vấn đề an toàn bảo mật: khởi tạo thiết lập các phương thức
bảo vệ cho hệ thống mạng đảm bảo dịch vụ được thông suốt. Trên
thực tế thì 90% các lỗ hổng đã được các nhà cung cấp thiết bị hỗ trợ
sẵn, vấn đề là làm sao tận dụng tối đa các chức năng này.
- Vấn đề thứ 3 phải quan tâm đó là QoS thực hiện phân mức
ưu tiên chuyển tải trong mạng theo các mức độ ưu tiên được định
nghĩa trước đó. Thực tế các dịch vụ và lưu lượng quan trọng như
điều khiển, thoại, video sẽ phải có mức độ cao hơn so với các dịch
vụ khác như HSI.
Bản thân kiến trúc mạng NGN khá phức tạp, ngoài hạ tầng mạng
lõi IP (một mạng với rất nhiều vấn đề an ninh) còn có khá nhiều loại
mạng truy nhập khác nhau và rất nhiều điểm liên kết nối ra bên ngoài
(với mạng Internet, với nhà cung cấp dịch vụ khác, với nhà cung cấp
dịch vụ thứ 3…), trong thời gian ngắn chúng ta cũng không thể bao

hàm hết tất cả các phân đoạn mạng, việc thực hiện cần theo lộ trình
làm tuần tự, ưu tiên các mạng truy nhập hiện đang có kết nối với
NGN và các điểm kết đã và có thể kết nối ra ngoài trong thời gian
sắp tới.
1.2 Mô hình tổ chức khai thác dịch vụ trên mạng NGN của
VNPT
Trong tài liệu này chỉ đề cập đến những nét khái quát về mô
hình tổ chức và quy trình khai thác trên mạng của VNPT.
Nếu nhìn từ góc độ kiến trúc, mạng NGN của VNPT sẽ có
kiến trúc như sau:
4

Hình 1.1. Mạng NGN của VNPT nhìn từ góc độ kiến trúc
Về mô hình tổ chức phân công chức năng nhiệm vụ của các
đơn vị Tập đoàn đang thực hiện và dần hoàn thiện quy trình, tương
lai sẽ có mô hình như sau:

Mạng truy nhập
Dịch vụ VOIP
Dịch vụ IPTV
VPN
Mạng chuyển tải băng rộng
Khách hàng
Dịch vụ HSI
Giao diện điều
khiển (logic)
Mạng chuyển tải
băng rộng do
VTN quản lý
Nội hạt Liên tỉnh

Phần truy nhập và hạ tầng thiết bị
Metro do VTNP tỉnh quản lý
Dịch vụ VPN do
VTN hoặc VDC
quản lý
Dịch vụ VoIP do
VTN quản lý
Dịch vụ
IPTV do
VASC quản lý
Dịch vụ HSI do
VDC quản lý

Hình 1.2. Cấu trúc mạng NGN xét từ góc độ mô hình tổ chức
Cấu trúc mạng NGN bao gồm 5 lớp chức năng, lớp truy
nhập, lớp chuyển tải, lớp điều khiển, lớp ứng dụng/dịch vụ và lớp
quản lý.
5

Hình 1.3. Cấu trúc mạng NGN phân theo các lớp chức năng
1.3 Tóm tắt chương
Như vậy trong chương 1 đã giới thiệu chung về mạng NGN,
khảo sát qua các mạng viễn thông hiện có và qua đó có những đánh
giá về vấn đề an toàn bảo mật. Trong chương 1 cũng đã trình bầy về
mô hình tổ chức khai thác dịch vụ trên mạng NGN của VNPT, nhìn
từ góc độ kiến trúc mạng, dịch vụ cung cấp, mô hình tổ chức quản lý,
các thiết bị được sử dụng trong mạng NGN của VNPT được tổng
hợp và cập nhật lại từ nhiều nguồn tài liệu khác nhau.

CHƯƠNG 2: ÁP DỤNG KHUYẾN NGHỊ X.805 CHO

PHƯƠNG ÁN ĐẢM BẢO AN TOÀN MẠNG VÀ DỊCH VỤ
TRÊN MẠNG NGN CỦA VNPT.
2.1 Đặt vấn đề
Hiện tại có thể nói các chuẩn công nghệ về an ninh trong
NGN đang thu hút nhiều sự quan tâm của nhiều tổ chức nghiên cứu,
song đa số vẫn đang còn nằm ở dưới dạng các tài liệu nghiên cứu.
Việc áp dụng trực tiếp các chuẩn công nghệ để xây dựng nên giải
pháp an ninh là khá khó khăn. Chính vì lý do trên việc nghiên cứu
Lớp truy nhập
Lớp chuyển tải
Lớp điều

khi
ển

Lớp dịch vụ

Media
Gateway

Softswitch

Chuy
ển mạch

kênh

Lớp
quả
n lý

HSI

VOIP

IPTV

6
tìm hiểu lựa chọn các chuẩn công nghệ để có thể áp dụng làm
framework trong việc xây dựng giải pháp an ninh cho kiến trúc mạng
NGN hiện tại cũng như trong tương lai của VNPT là một vấn đề
quan trọng.
2.2 Hiện trạng nghiên cứu về an ninh trong mạng NGN của các
tổ chức chuẩn hóa
Trong nước hiện tại các công việc nghiên cứu liên quan đến
lý thuyết cũng như các liên quan đến xây dựng phương án thực tế
nhằm đảm bảo an toàn cho mạng NGN còn rất hạn chế.
Ngoài nước các hãng đã tập trung khá nhiều vào việc nghiên
cứu an ninh cho NGN, các chủ đề nghiên cứu trong an ninh cho
NGN được thực hiện khá đa dạng, tuy nhiên hiện các chuẩn công
nghệ hoàn chỉnh giải quyết đến những vấn đề cụ thể trong an ninh
NGN thì gần như chưa có.
2.3 Lựa chọn framework an ninh
Khuyến nghị X.805 của ITU về Kiến trúc an ninh từ đầu
cuối đến đầu cuối cho các hệ thống truyền thông là một trong những
nền tảng cho việc nghiên cứu vấn đề an ninh trong các mạng gói và
cũng là nền tảng để xây dựng các khuyến nghị khác về an ninh từ
đầu cuối đến đầu cuối. Mặc dù chuẩn công nghệ này áp dụng một
cách tương đối tổng quát cho mọi công nghệ mạng bên dưới (không
phải với mục đích sử dụng cho riêng mạng NGN) và hiện tại vẫn

chưa có một tài liệu nào công bố về việc áp dụng chuẩn này cho
mạng NGN. Qua quá trình nghiên cứu các tài liệu chuẩn về vấn đề
an ninh của một số tổ chức đó, chúng tôi xác định sẽ sử dụng khuyến
nghị này để xây dựng một cơ sở lý thuyết chính cho việc xây dựng
giải pháp an ninh đối vói mạng NGN. Chính vì những lý do trên tôi
7
sẽ đi sâu phân tích nội dung của khuyến nghị X.805, làm rõ được
quy trình cách thức áp dụng của chúng
2.4 Phân tích khuyến nghị X.805
1.2.1 Đánh giá ưu nhược điểm của X.805
Ưu điểm:
Là một Framework rất rõ ràng và bài bản, đưa ra đầy đủ định
nghĩa về các nguy cơ và các giải pháp tổng quát tương ứng rất thuận
lợi cho việc xây dựng các giải pháp an ninh end-to-end cho một đối
tượng.
Nhược điểm:
Chưa chỉ rõ loại nguy cơ xuất phát từ bên trong hay từ các
tương tác bên ngoài. Chỉ áp dụng đảm bảo an ninh theo kiến trúc
end-to-end nên có thể bỏ sót các đối tượng an ninh trong nội bộ đối
tượng. Như vậy X.805 chỉ có hiệu quả khi đối tượng đầu vào được
phân tích kỹ càng thành các đối tượng nhỏ hơn đảm bảo không bỏ
sót các giao diện tiềm ẩn nguy cơ.
1.2.2 Miền an ninh
Bản thân miền an ninh là một khái niệm không được nêu ra
trong khuyến nghị X.805, nó không là một thành phần an ninh trong
kiến trúc an ninh mà khuyến nghị X.805 đưa ra, nó chỉ được đề cập
gần đây trong các kiến trúc an ninh của 3GPP hay của TISPAN. Sở
dĩ lựa chọn đưa khái niệm này vào trình bày trong phần này bởi vì
các giải pháp an ninh thực tế đều dựa trên khái niệm này, và theo ý
kiến chủ quan thì việc thực hiện kỹ thuật phân miền an ninh sẽ làm

cho việc phân tích các vấn đề an ninh trở nên bớt phức tạp đi rất
nhiều so với áp kiến trúc an ninh đầy đủ đến từng thực thể chức năng
trong mạng, đồng thời cũng làm cho giải pháp an ninh được đơn giản
hơn.
8
Khái niệm miền an ninh có thể được hiểu là một tập các
phần tử cần có độ an toàn tương đương, được quản trị bởi một nhà
quản lý duy nhất. Một mạng sẽ được phân chia thành nhiều miền an
ninh, mỗi miền bao gồm một vài phần tử, các miền được phân cách
nhau bởi một phần tử biên, có nghĩa là lưu lượng liên miền đều phải
đi qua phần tử biên đặt giữa 2 miền đó. Phần tử biên này sẽ thực hiện
một số biện pháp an ninh chung cho cả những phần tử bên trong nó.
Khi chúng ta thực hiện cơ chế phân miền an ninh và sử dụng
các phần tử biên như vậy sẽ khắc phục được 2 vấn đề gặp phải như
đã nói ở trên khi áp dụng đối với từng phần tử riêng biệt. Đó là do
chỉ tập trung vào thực hiện chức năng an ninh cho nên có thể yêu cầu
phần tử biên này có năng lực xử lý chức năng an ninh khá lớn, chúng
ta sẽ có thể tăng cường áp dụng biện pháp an ninh cho toàn miền nhờ
việc thực hiện chức năng an ninh trên phần tử này. Mặt khác cũng
tránh được sự chồng lặp về việc phải xử lý các biện pháp an ninh nhờ
việc đẩy các biện pháp an ninh chung cần áp dụng cho các phần tử ra
phần tử biên.
2.5 Các bổ sung cho X.805
2.5.1 Bổ sung về phân loại nguy cơ
X.805 đưa ra 5 nguy cơ nhưng chưa chỉ rõ nguồn gốc các
nguy cơ này, để dễ nhìn nhận và thuận tiện cho việc đánh giá mức độ
quan trọng, các nguy cơ cần phải được phân loại thành:
Nguy cơ nội bộ: Là loại nguy cơ xảy ra khi đối tượng mạng
hoạt động độc lập, không có sự tương tác với các đối tượng khác.
Trên thực tế loại nguy cơ này có nguồn gốc từ các hoạt động liên

quan đến quá trình OA&M.
Nguy cơ từ bên ngoài: Là loại nguy cơ xảy ra khi đối tượng
mạng tham gia vào hoạt động tương tác với các đối tượng khác.
9
Nguy cơ từ bên
trong
Nguy cơ từ bên
ngoài
Đối tượng an ninh
Hình 2.1 Phân loại nguy cơ an ninh
2.5.2 Bổ sung về phân loại giải pháp
Giải pháp bảo vệ
dưới sự hỗ trợ của
đối tượng khác
Giải pháp tự
bảo vệ
Giải pháp đảm
bảo quy trình hoạt
động
Hình 2.2 Phân loại giải pháp an ninh
Tương ứng với việc phân loại nguồn gốc nguy cơ, 8 giải
pháp X.805 đưa ra cũng cần được chia làm 2 loại:
- Giải pháp OAM: Trong nhiều trường hợp, nguy cơ mất an
ninh xảy ra do chính nội bộ đối tượng, cụ thể là thông qua
các lỗ hổng OAM. Người thực hiện OAM vô tình hay hữu ý
có thể gây ra sai sót ở nhiều mức độ khác nhau. Đồng thời
đôi khi sự bảo đảm an toàn trong quy trình OAM cũng làm
giảm thiểu rất nhiều nguy cơ mất an ninh (phòng trước khi
chống).
10

- Giải pháp tự bảo vệ: Loại giải pháp này được áp dụng cho
bản thân NeE chứ không phải các NSE. Giải pháp bảo vệ
dưới sự hỗ trợ của các NSE.
2.6 Quy trình thực hiện đảm bảo an ninh
Như đã nêu trong phần phân tích khuyến nghị X.805, bản
thân X.805 chỉ là một framework an ninh thực hiện từ đầu cuối đến
đầu cuối (end-to-end), mà bài toán an ninh đặt ra thường thì không
phải dạng này, vì nguy cơ có thể đến từ bất kỳ đoạn mạng nào, trên
bất kỳ giao diện nào. Như vậy, việc phân rã đối tượng mạng thành
các đối tượng nhỏ hơn rồi áp dụng X.805 là một bước cần thiết để có
thể phát hiện đầy đủ các nguy cơ đồng thời giảm thiểu độ phức tạp
xử lý trong quá trình xây dựng giải pháp an ninh cho bất kỳ mạng
nào.
Dưới đây là quy trình thực hiện đề xuất.
Tiền xử lý (TXL)
X.805
Dữ liệu mạng

Tối ưu hoá (TUH)
Giải pháp
Cập nhật dữ
liệu mạng
Cập nhật tiêu
chí tiền xử lý
Cập nhật tiêu
chí tối ưu hoá
Hình 2.3 Quy trình xây dựng giải pháp
2.7 Tóm tắt chương
Chương 2 đưa ra hiện trạng nghiên cứu về an ninh trong
mạng NGN của các tổ chức chuẩn hóa, qua đó đề xuất phương án tại

sao lại lựa chọn khuyến nghị X.805 làm Framewwork để định hướng
cho việc triển khai.
11
Trong chương 2 cũng đã đánh giá ưu nhược điểm của
khuyến nghị X.805, các điểm cần bổ sung và đặc biệt là đề xuất 1
quy trình cho việc triển khai khuyến nghị vào trong mạng thực.

CHƯƠNG 3: ÁP DỤNG KHUYẾN NGHỊ X.805 CHO CÁC
MIỀN AN NINH CỦA DỊCH VỤ VPN TRÊN MẠNG NGN
CỦA VNPT (DỊCH VỤ E-LINE)
Chương này sẽ thực hiện việc áp dụng khuyến nghị X.805
với các miền an ninh cho dịch vụ VPN L2 trên NGN. Do thời gian có
hạn nên phần này sẽ tập trung vào 2 dịch vụ cơ bản là E-LINE nội
tỉnh và E-LINE liên tỉnh. Nội dung cần thực hiện là xác định các
giao diện giữa các miền an ninh, các giao thức sử dụng, các nguy cơ
có thể xẩy ra và đưa ra các giải pháp nhằm đảm bảo an ninh mạng.
3.1 Dịch vụ E - LINE nội tỉnh
3.1.1 Mô hình cung cấp dịch vụ
Về lý thuyết thì có khá nhiều loại cấu hình truy cập có thể sử
dụng dịch vụ này nhưng trên thực tế khai thác, đối tượng sử dụng
dịch vụ này đa phần là các doanh nghiệp sử dụng đầu cuối là
L2Switch (L2SW) hoặc Router, điển hình nhất là dùng L2SW (hiện
nay Bưu điện Hà nội cũng đã cung cấp dịch vụ với cấu hình này).
Chú ý: Cấu hình này không liên quan đến giải pháp Tripple-Play.
Đặc điểm cấu hình của dịch vụ:
 Khách hàng sử dụng thiết bị L2SW/Router. Cấu hình này
thường được sử dụng cho khách hàng doanh nghiệp. Cáp
thuê bao là cáp quang.
 Thiết bị phía nhà khai thác sẽ là Access Switch thu gom lưu
lượng trước khi đẩy lên UPE.

12
 Cáp giữa thiết bị người sử dụng và switch thu gom thường là
cáp quang.
 Trong cấu hình sử dụng FTTx thì OLT sẽ đóng vai trò
switch thu gom.

Miền an
ninh
thiết bị
Access
Miền an ninh thiết bị MAN-E Miền an
ninh
thiết bị
Access
Cus A
Site 1

FE/GE
Intra Province E-LINE Topology
UPE UPE
GPON GPON

Cus A
Site 2

L2Switch

OLT
802.1q
FE/GE

802.1q
VLL
Ethernet
QinQ
TE
GE
L2Switch

OLT

Hình 3.1 Mô hình cung cấp dịch vụ VPN L2 – ELINE nội tỉnh
3.1.2 Miền an ninh thiết bị Access
Các thiết bị thực tế trong miền này bao gồm:
 Các switch thu gom (L2SW) hoặc các OLT.
 Cáp quang cho thuê bao
3.1.2.1 Bước 1: Ma trận lớp-mặt phẳng để phát hiện giao diện
Mặt phẳng an
ninh quản lý
Mặt phẳng an
ninh điều khiển
Mặt phẳng an ninh người
sử dụng
Lớp an ninh các ứng
dụng

Lớp an ninh các dịch
vụ
Lớp an ninh cơ sở hạ
tầng
(1) Giao diện với

hệ thống quản lý
thiết bị Access
Switch

(2) Giao diện
UPE của miền
MANE
(3) Giao diện Access
Switch với miền thiết bị
người sử dụng

Các giao diện:
13
- Giao diện với hệ thống quản lý thiết bị Access Switch là
giao diện nội bộ không cần xét đến
- Giao diện với UPE của miền MANE là giao diện nội bộ
không xét đến
- Giao diện downlink trên Access Switch với miền thiết bị
khách hàng là giao diện quan trọng cần phải xét.
3.1.2.2 Bước 2: Xử lý an ninh cho giao diện với miền thiết bị
khách hàng
Bảng 3.1 Tổng hợp các giao thức trên giao diện với miền thiết bị
khách hàng
Lớp (OSI) Giao thức
1 Cáp quang
2 Ethernet, 802.1D STP(Spanning tree protocol), CDP (Cisco Dicovery
Protocol), ARP(Address Resolution Protocol), 802.1Q (ISL) Trunking ,
Ethernet
2,5 802.1Q
Bảng 3.2 Bảng tổng hợp các nguy cơ

Mã số Loại Lớp
(OSI)

Giao thức

Nguy cơ Giải pháp
DES_ELI_NT_A_W
ire_01
Destruction
L
ớp 1 Cáp sợi
quang
Đứt hoặc cắt trộm cáp Access
Control,
Avaiability
CRP_ELI_NT_A_S
TP_01
Corruption
L
ớp 2 STP Giả mạo Root Bride Access
Control
CRP_ELI_NT_A_S
TP_02
Corruption
L
ớp 2 STP Phát tràn các bản tin
cấu hình Spanning
Tree
Access
Control

CRP_ELI_NT_A_S
TP_03
Corruption
L
ớp 2 STP Phát tràn các bản tin
thông báo sự thay đổi
Spanning Tree
Access
Control
RMV_ELI_NT_A_C Removal
L
ớp 2 CDP Đánh cắp thông tin Access
14
DP_01 cấu hình Layer 2
Switch (L2SW)
Control
CRP_ELI_NT_A_C
DP_01
Corruption
L
ớp 2 CDP Cạn kiệt tài nguyên
bộ nhớ của L2SW
Access
Control
CRP_ELI_NT_A_A
RP_01
Corruption
L
ớp 2 ARP Đầu độc bộ nhớ ARP
Cache của L2SW

Access
Control
CRP_ELI_NT_A_1
Q_01
Corruption
L
ớp 2 802.1Q
Trunking
Tấn công Vlan khách
hàng
Access
Control
CRP_ELI_NT_A_1
Q_02
Corruption
L
ớp 2 802.1Q
Tunneling
Tấn công Vlan khách
hàng
Access
Control
3.1.2.2.1 Đứt hoặc cắt trộm cáp
Kịch bản:
- Cáp đứt do sự cố vô tình
- Cáp đứt do có kẻ phá hoại
Đối chiếu vào bảng Quan hệ giữa biện pháp an ninh và nguy cơ an
ninh, với loại nguy cơ này là nguy cơ phá hủy có thể áp dụng biện
pháp an ninh điều khiển truy nhập.
Giải pháp:

- Cần có biện pháp cách ly cáp tránh đứt đoạn (ví dụ, hạ ngầm
cáp)
- Cần có cáp rỗi dự phòng trong trường hợp đứt cáp nhưng
chưa xử lý kịp
3.1.2.2.2 Giả mạo Root Bride

L2S 1


BPDU (Rogue R
oo
t)

2

C
us
tomer
A
site1

Hacker
L2S 2

L2S 3

UPE 1

M
etr

o Acc
es
s

C
us
tomer
C
site
1

Root

1

C
us
tomer
B
site
1

Root

3

Hình 3.2 Kịch bản giả mạo Root Bride
15
Kịch bản:
- Kịch bản này xảy ra ở VTT triển khai kết chuỗi nhiều L2SW

đến UPE, có dùng STP
- Hacker ở trong mạng khách hàng dùng 1 phần mềm giả lập
Switch gửi đến L2SW các bản tin BPDU nhằm bầu cử
Switch giả lập làm Root Bridge. Nếu việc bầu cử này thành
công, lưu lượng mạng từ các L2SW sẽ được gửi đến Switch
giả lập
Đối chiếu vào bảng quan hệ giữa biện pháp an ninh và nguy cơ an
ninh ta sẽ có giải pháp
- Ngăn chặn các bản tin BPDU gửi đến L2SW phía giao diện
khách hàng (BPDU Filtering)
- Bảo vệ Root Bridge, không cho Switch giả lập của khách
hàng làm Root Bridge (Root Guard)
3.1.2.2.3 Phát tràn các bản tin cấu hình Spanning Tree
Kịch bản:
- Kịch bản này xảy ra ở VTT triển khai kết chuỗi nhiều L2SW
đến UPE, có dùng STP
- Hacker ở trong mạng khách hàng dùng 1 phần mềm giả lập
Switch gửi tới L2SW các bản tin cấu hình STP với tần xuất
lớn. Các bản tin này có địa chỉ MAC nguồn, Root ID, Root
Path Cost, Bridge IP, Port ID được sinh ngẫu nhiên với mục
đích giả lập hàng nghìn thiết bị mới đang kết nối vào mạng
và tham gia STP. L2SW phải tiêu tốn rất nhiều tài nguyên về
CPU, bộ nhớ RAM để xử lý các bản tin này, dẫn đến bị treo
(Crash) hoặc khởi động lại (Reboot).
Đối chiếu vào bảng quan hệ giữa biện pháp an ninh và nguy cơ an
ninh ta sẽ có giải pháp
16
- Ngăn chặn các bản tin BPDU gửi đến L2SW phía giao diện
khách hàng (BPDU Filtering).
- Không cho phép các bản tin BPDU phía giao diện khách

hàng ảnh hưởng đến STP đã được cấu hình cho các L2SW
(BPDU Guard)
- Giới hạn tốc độ gửi các gói tin BPDU đến L2SW phía giao
diện khách hàng (Layer 2 PDU Rate Limiting)
3.1.2.2.4 Phát tràn các bản tin thông báo sự thay đổi Spanning
Tree
Kịch bản:
- Kịch bản này tương tự kịch bản gửi các bản tin cấu hình STP
với tần xuất lớn.
- Hacker ở trong mạng khách hàng gửi đến L2SW các bản tin
TCN thông báo sự thay đổi Topology mạng với tần xuất
lớn. Các L2SW phải tiêu tốn rất nhiều tài nguyên về CPU,
RAM để xác định lại Root Bridge, dẫn đến bị treo (Crash)
hoặc khởi động lại (Reboot).
Giải pháp:
- Tương tự như nguy cơ phát tràn các bản tin cấu hình
spanning tree.
3.1.2.2.5 Đánh cắp thông tin cấu hình Access Switch (L2SW)
Kịch bản:
- Kịch bản này xảy ra đối với VTT dùng L2SW của Cisco
hoặc các hãng khác có dùng giao thức CDP (Cisco Dicovery
Protocol).
- Hacker ở trọng mạng khách hàng dùng 1 phần mềm giả lập
thiết bị của Cisco gửi đi bản tin thăm dò thiết bị Cisco.
L2SW khi nhận được bản tin này sẽ gửi trả lời 1 bản tin
17
trong đó có các trường thông tin như: Địa chỉ IP (IP
Address), tên miền VTP (VTP domain).
Đối chiếu vào bảng quan hệ giữa biện pháp an ninh và nguy cơ an
ninh ta có giải pháp:

- Không kích hoạt giao thức CDP trên Access Switch
3.1.2.2.6 Cạn kiệt tài nguyên bộ nhớ của L2SW
Kịch bản:
- Kịch bản này xảy ra đối với VNPT tỉnh/thành dùng Access
Switch Cisco.
- Hacker ở trọng mạng khách hàng dùng 1 phần mềm giả lập
thiết bị của gửi tới Access Switch các bản tin giả mạo CDP
với tần xuất lớn. Các bản tin này có giá trị trường Device ID,
IP Address, Port ID khác nhau với mục đích giả lập nhiều
thiết bị Cisco mới tham gia vào mạng. IP-DSLAM phải tiêu
tốn nhiều tài nguyên bộ nhớ RAM để xử lý các bản tin này,
dẫn đến bị lỗi và khởi động lại. Đây chính là lỗ hổng cho
kịch bản tấn công từ chối dịch vụ.
Đối chiếu vào bảng quan hệ giữa biện pháp an ninh và nguy cơ an
ninh ta có giải pháp:
- Không kích hoạt giao thức CDP trên Access Switch
3.1.2.2.7 Đầu độc bộ nhớ ARP Cache của Access Switch
Kịch bản:
- Kịch bản này xảy ra khi địa chỉ IP của Access Switch bị lộ
(ví dụ thông qua CDP)
- Hacker ở trong mạng khách hàng dùng 1 phần mềm giả lập
gói tin ARP (ví dụ Arpspoof) gửi đến Access Switch các bản
tin ARP Reply. Mục đích của tấn công là làm sai lệch các
ánh xạ 1-1 giữa địa chỉ IP và địa chỉ MAC tương ứng trong
18
bộ nhớ ARP Cache của Access Switch, làm tràn bộ nhớ ARP
Cache.
Đối chiếu vào bảng quan hệ giữa biện pháp an ninh và nguy cơ
an ninh ta có giải pháp:
- Access Switch chỉ nhận các bản tin ARP Reply trên các giao

diện được cấu hình là tin cậy (Dynamic ARP Inspection)
3.1.2.2.8 Tấn công VLAN khách hàng

CustomerA site1
Hacker
UPE 1


M
etr
o
Acc
es
s

C
us
tomer
B
site
1

Adv
er
tisment Requ
es
t

1

Vlans
inf
ormation
w
ill be mod
if
ied

2

Advertisment Reply
Sum
ar
y Adv
er
tisment

3

Subset Adv
er
tisment

4

Joint

5

3

L2S

Auto Trunking

Hình 3.3 Kịch bản tấn công VLAN khách hàng
Kịch bản:
- Nếu giao diện phía khách hàng trên Access Switch có tính
năng Auto Trunking, khi đó Switch của khách hàng có khả
năng gia vào các VLAN khác (thông suốt VLan). Hacker có
thể gửi gói tin VTP đến port được cấu hình trunking trên
giao diện khách hàng tại Access Switch với giá trị trường
VTP revision numbers lớn nhằm thay đổi thông tin về Vlan
của các khách hàng.
Đối chiếu vào bảng quan hệ giữa biện pháp an ninh và nguy cơ an
ninh ta có giải pháp:
- Không kích hoạt chức năng Auto Trunking giao diện phía
khách hàng trên Access Switch
19
- Cấu hình Vlan Trunking Protocol (VTP) chế độ transparent
trên Access Switch
- Tạo riêng 1 Vlan trên Access Switch với các cổng Trunk
tách biệt với các Vlan của khách hàng
3.1.2.3 Bước 3: Đưa ra các Yêu cầu an ninh
3.1.2.3.1 Đối với đường dây thuê bao
- Cần có biện pháp cách ly cáp tránh đứt đoạn (ví dụ như hạ
ngầm cáp, trang bị các loại cáp có gia cố để chịu va đập)
- Cần có phương án cáp dự phòng trong trường hợp đứt cáp
nhưng chưa xử lý kịp
3.1.2.3.2 Yêu cầu đối với Access Switch

- Access Switch chỉ nhận các bản tin ARP Reply trên các giao
diện được cấu hình là tin cậy.
- Không kích hoạt giao thức CDP trên Access Switch.
- Ngăn chặn các bản tin BPDU gửi đến Access Switch từ phía
giao diện khách hàng (BPDU Filtering)
- Bảo vệ Root Bridge, không cho Switch giả lập của khách
hàng làm Root Bridge (Root Guard)
- Không cho phép các bản tin BPDU phía giao diện khách
hàng ảnh hưởng đến STP đã được cấu hình cho các Access
Switch (BPDU Guard)
- Cấu hình Vlan Trunking Protocol (VTP) chế độ transparent
trên Access Switch
- Tạo riêng 1 Vlan trên L2S với các cổng Trunk tách biệt với
các Vlan của khách hàng
3.1.2.4 Bước 4: Đưa ra các khuyến nghị về thiết bị phụ trợ
- Không cần thiết sử dụng thiết bị an ninh phụ trợ trong trường
hợp này.
20
3.1.2.5 Bước 5: Tổng hợp giải pháp

ELI_NT_A
Miền thiết bị người sử dụng
Các giao diện chưa xét
L2SW
Thiết bị
khách hàng
B
ộ
Y
ê

u c
ầu
an ninh cho
L2SW/OLT cho dịch vụ
ELINE nội tỉnh
802.1Q/
GPON/c
áp

quang
B
ộ
Y
ê
u c
ầu
an ninh cho
đường cáp quang của thuê
bao dịch vụ ELINE nội tỉnh
Hình 3.4 Mô hình giải pháp an ninh cho miền Access dịch vụ VPN -
L2 ELINE nội tỉnh
3.1.3 Miền thiết bị MANE
Miền này không có giao diện trực tiếp với thiết bị khách hàng nên
không cần phải xét đến.
3.1.4 Miền thiết bị IPCore và dành riêng
Đối với dịch vụ E-LINE nội tỉnh miền này không tham gia cung cấp
dịch vụ. Như vậy có thể bỏ qua ngay mà không cần xét đến
3.2 Dịch vụ E-LINE liên tỉnh
3.2.1 Mô hình cung cấp dịch vụ
- Phần truy nhập: Cấu hình phần mạng truy nhập của dịch vụ

này cũng tương tự phần tương ứng của dịch vụ ELINE nội
tỉnh.
- Phần mạng lõi: Sử dụng IPCore VN2 của VNPT trên kết
nối
o VLL nếu không có đường dự phòng
21
o VPLS nếu có dự phòng, khi đó SR sẽ phải học
MAC khách hàng.

Mi
ền
thi
ết
b
ị
d
ành

riêng
Mi
ền

thiết bị
Access
Mi
ền
thi
ết
b
ị

MAN
-
E

Mi
ền
thi
ết
b
ị
MAN
-
E

Mi
ền

thiết bị
Access
Cus A
Site 1
G
E

FE
/GE

Int
er
Province E

-
Line Topology

UPE

UPE

ADSL

ADSL

Cus A
Site 2

PE
-
AGG
G
E

PE
-
AGG
L2S
W

OLT
L2S
W

OLT
802.1q

FE

SR

SR

10
G
E

G
E

G
E

802.1q

VLL

VLL
/VPLS

VLL

Eth
er

net

QinQ

TE

TE

SR ph
ải
h
ọc
MAC n
ếu
trong VN2 c
ấu
h
ình

VPLS để dự phòng

Hình 3.5 Mô hình cung cấp dịch vụ VPN L2 – ELINE liên tỉnh
3.2.2 Miền an ninh thiết bị Access
Có thể thấy, mặc dù phân chia theo quy mô địa lý nhưng
giao diện giữa miền Access của dịch vụ ELINE liên tỉnh cũng tương
tự như trường hợp dịch vụ ELINE nội tỉnh. Như vậy, hoàn toàn có
thể sử dụng các kết quả X.805 cho miền an ninh Access của dịch vụ
ELINE nội tỉnh cho miền an ninh Access của dịch vụ ELINE liên
tỉnh.
3.2.3 Miền an ninh thiết bị MANE

Miền này không có giao diện trực tiếp với thiết bị khách
hàng nên không cần xét đến.
3.2.4 Miền an ninh thiết bị IPCore
Thiết bị thuộc miền này chính là các SR nằm ở biên của
miền thiết bị IPCore. Trong trường hợp trong VN2 cấu hình VPLS
để dự phòng, SR sẽ phải học MAC của switch khách hàng.
22
3.2.4.1 Bước 1: Ma trận lớp-mặt phẳng để phát hiện giao diện
Mặt phẳng an ninh
quản lý
Mặt phẳng an ninh
điều khiển
Mặt phẳng an ninh
người sử dụng
Lớp an ninh các
ứng dụng

Lớp an ninh các
dịch vụ
Lớp an ninh cơ sở
hạ tầng
(1) Giao diện với hệ
thống quản lý thiết bị
SR

(2) Giao diện UPE
của miền MANE
(3) Giao diện SR với
miền thiết bị người sử
dụng

3.2.4.2 Bước 2: Xử lý an ninh cho giao diện
Bảng 3.10 Bảng tổng hợp các giao thức
Lớp (OSI) Giao thức
Layer 2 Ethernet
Bảng 3.11 Bảng tổng hợp các nguy cơ
Mã số Loại Lớp
(OSI)
Giao thức Nguy cơ Giải pháp
(dự kiến)
CRP_ELI_NT_A_E
th_01
Corruption Lớp 2 Ethernet Giả mạo địa chỉ
MAC làm tràn
bảng CAM
Access
Control
Nguy cơ CRP_ELI_LT_S_Eth_01

IP DSLAM


Êther
net (S
ou
rce MAC X, Y )

1

CAM

Port MAC
1 X
2 Y
…………
CAM Ov
er
lapping

2

C
us
tomer
A
site1

Hacker
Hình 3.6 Mô hình cung cấp dịch vụ VPN L2 - ELINE liên tỉnh
Kịch bản tấn công:
- Hacker ở trong mạng khách hàng gửi đến SR các bản tin
Ethernet có địa chỉ MAC nguồn liên tục thay đổi (giả mạo).
23
- Trong trường hợp SR có học địa chỉ MAC nguồn của các
bản tin Ethernet từ mạng khách hàng gửi đến, bảng CAM
(Content Address Memory) của SR sẽ bị tràn trong một
khoảng thời gian ngắn với hình thức tấn công giả mạo địa
chỉ MAC.
- Khi bảng CAM của SR bị tràn, thông thường SR sẽ gửi
quảng bá (Broadcast) các bản tin Ethernet nhận được ra tất

cả các cổng phía giao diện với khách hàng.
Giải pháp CRP_ELI_LT_S_Eth_01_AC_01
- Trường hợp SR phải học địa chỉ MAC nguồn các bản tin
Ethernet từ mạng khách hàng, khi đó SR PHẢI cấu hình
danh sách giới hạn những địa chỉ MAC nguồn được chấp
nhận.
3.2.4.3 Bước 4: Đưa ra các yêu cầu an ninh
Đối với thiết bị SR
- Trong trường hợp cấu hình VPLS trong VN2 để đảm bảo dự
phòng cho dịch vụ ELINE liên tỉnh, các SR tham gia cung
cấp dịch vụ PHẢI được cấu hình danh sách giới hạn những
địa chỉ MAC nguồn được chấp nhận để tránh tràn bảng
CAM
3.2.4.4 Bước 5: Đưa ra các khuyến nghị về thiết bị an ninh phụ
trợ
Không có