Tài liệu Bảo mật mạng doanh nghiệp nhỏ - Phần I pptx

Bảo mật mạng doanh
nghiệp nhỏ - Phần I

Mở đầu

Trong công ty, chúng tôi tự phong cho mình chức “quản trị
mạng”. Bởi vì ngoài việc giấy tờ sổ sách, vốn là việc dĩ nhiên
của một thư ký văn phòng, chúng tôi còn làm đủ mọi việc từ
thổi bụi trong máy vi tính cho đến lắp ráp và cấu hình domain
controller, tóm lại là thiết lập, bảo trì và phát triển mạng máy
tính của công ty.
Các doanh nghiệp nhỏ, vốn dĩ chỉ với vài chiếc (hoặc cùng lắm
vài chục) máy vi tính, không bao giờ có ngân sách chi cho
nhân lực tin học, thường giao luôn chức quản trị mạng cho một
vài nhân viên nào đó kiêm nhiệm. Qua bài này, chúng tôi muốn
chia xẻ những kiến thức tự học hỏi mấy năm nay cho những
bạn đồng nghiệp ở trong hoàn cảnh bất đắc dĩ giống như chúng
tôi, đang ngày ngày lặng lẽ thực hiện nhiệm vụ hữu thực vô
danh này.

Phù hợp với mục đích của HVA, bài này chỉ giới hạn về bảo
mật. Cụ thể là giới thiệu vài giải pháp và trình bày một giải
pháp được chọn cho từng vấn đề trong số (dự kiến) năm vấn đề
sau đây:

Q1. Cấu hình an ninh (security profile)
Q2. Kiểm soát truy nhập (access control)
Q3. Mật mã (crypto) cho đĩa cứng
Q4. Sao lưu (backup) dữ liệu

Q5. Kiểm soát nội dung (contents checking)

Những giải pháp đã chọn nói chung đều có thể áp dụng cho cả
hai loại mạng Windows domain (miền Windows) và Windows
workgroup (nhóm Windows). Hai loại mạng này có thể xem là
hai giải pháp cho một vấn đề thoạt nhìn không liên quan lắm
đến bảo mật, xin tạm gọi là vấn đề “Windows: domain vs
workgroup” hoặc “cấu hình phần mềm mạng”. Lựa chọn giải
pháp của chúng tôi là domain và chúng tôi muốn, hơi lạc đề
một chút, lý giải sự lựa chọn này. Giả sử mạng của chúng tôi
có 10 máy vi tính và 20 người dùng, ai cũng có lúc cần máy,
một số người có khi còn chiếm đồng thời 2-3 chiếc. Hơn nữa,
người dùng còn thường logon qua mạng vào những máy xa để
truy cập dữ liệu chia xẻ trên đó. Vì thế, chúng tôi quy ước
không ai được phân máy riêng, tất cả máy đều dùng chung.
Nếu dùng workgroup, trên mỗi máy chúng tôi phải tạo lập 20
accounts và mỗi người dùng trong công ty có tới 10 accounts,
nhưng cùng tên và mật khẩu để tự động logon vào máy xa. Vì
lý do bảo mật, cứ ba tháng một lần, người dùng phải thay đổi
mật khẩu và tất nhiên là phải đổi trên cả 10 máy. Nếu vì đãng
trí khi đổi mật khẩu, người dùng không thể logon được vào
máy xa thì mọi tội lỗi vẫn đổ hết lên đầu người quản trị mạng.
Thật là một cơn ác mộng (mà thật ra chúng tôi không mơ,
chúng tôi đã thực tế trải qua rồi). Trong khi đó nếu dùng
domain, chúng tôi chỉ cần:

• 20 accounts cho những người dùng, mà thực ra đều có thể tạo
lập từ một account mẫu, và 10 accounts cho máy trạm (cũng
được lập theo mẫu). Các accounts này thực hiện một cấu hình
an ninh (Q1) duy nhất cho mọi người dùng và mọi máy trạm.

Chú ý rằng tùy theo chính sách kiểm soát truy nhập (Q2),
thường tồn tại nhiều nhóm người dùng với quyền truy nhập
khác nhau, nhưng họ vẫn dùng chung 1 cấu hình an ninh;

• 1 hoặc vài account để làm các việc quản trị như là
mount/dismount đĩa mật mã (Q3), backup/restore dữ liệu (Q4),
hay setup/update các tường lửa, IDS/IPS, proxy chặn virus,
spam và nội dung độc hại khác (Q5);

Chi phí cho giải pháp này là thêm 1 máy vi tính làm domain
controller, luôn tiện chứa cả dữ liệu cá nhân của người dùng
(như User Documents, User Profiles, User Application Data)
và một số dữ liệu nào đó của công ty.
Như vậy, so với workgroup, giải pháp domain sẽ thu tóm việc
quản trị vào một mối, nhờ vậy giảm chi phí và (quan trọng
hơn) tăng bảo mật.

Trong các phần tiếp theo, chúng tôi sẽ lần lượt bàn đến 5 vấn
đề kể trên.

Đối với nhiều bạn là quản trị mạng doanh nghiệp nhỏ, thường
ít có thời gian để đào sâu nghiên cứu, nâng cao nghiệp vụ, và
cũng là đối tượng của bài này, chúng tôi hy vọng cung cấp
được những thông tin thực tiễn, giúp bạn nhanh chóng làm chủ
được công việc của mình.

Mặt khác, những thông tin đó hoàn toàn dựa vào kinh nghiệm
bản thân, cho nên bài này hẳn là chủ quan, phiến diện và nông
cạn. Mong các bạn thẳng thắn phê bình và tranh luận để chúng
tôi được dịp học hỏi thêm.

Ý thức bảo mật

Ai ũng biết rằng sau khi điều chỉnh mạng, tiêu chuẩn kiểm tra
là mạng phải thông và các chương trình phải chạy. Bởi vì đó
cũng là điều kiện cần phải khẳng định trước khi điều chỉnh.
Nhưng đó có phải là điều kiện duy nhất để tiến hành điều chỉnh
nhằm mục đích tăng cường bảo mật hay không?

Xin thưa rằng không! Cần một điều kiện nữa rất quan trọng, nó
nằm trong ý thức của người dùng và, tất nhiên, của người quản
trị.

Ở một nơi có điều kiện kết nối Internet liên tục 24/24, một cậu
nhỏ muốn tỏ ra mình là hacker “thứ dữ” đã dùng một security
scanner để scan subnet của cậu ta, lần ra địa chỉ IP của cô bé
nhà hàng xóm (dựa vào tên máy), lấy danh sách người dùng,
chọn một admin account không có mật khẩu để logon và
connect vào C$, rồi chúng tôi không muốn kể tiếp nữa.

Cô bé đó quá ngờ nghệch! Cô không thể bị hack một cách ngớ
ngẩn như vậy nếu cô ta chịu làm ít nhất một trong mấy việc
sau:

(1) Đặt mật khẩu với độ dài hợp lý.

(2) Tắt NetBIOS, ít ra là trên network interface đi vào Internet.

(3) Tắt File and Printer Sharing, ít ra là trên network interface
đi vào Internet.

(4) Đổi LAN manager authentication protocol từ LM, NTLM
thành NTLMv2.

Bài học của cô bé trên có thể áp dụng vào môi trường doanh
nghiệp nhỏ. Tại doanh nghiệp của mình, chúng tôi đã áp dụng
tất cả bốn thủ pháp trên. Doanh nghiệp của chúng tôi nhỏ xíu
nhưng cũng đã có nhiều năm hoạt động và sử dụng một vài
phần mềm viết cho Windows 95, thậm chí cho MS-DOS, tóm
lại là phần mềm legacy (đồ cũ mèm, nhưng không thể vứt đi
được vì không có tiền mua đồ mới). Thế mà tắt NetBIOS (trên
toàn bộ mạng) vẫn chẳng thiệt hại gì, các phần mềm đó vẫn
chạy.

Tất nhiên, File and Printer Sharing không thể tắt trên các file
server và print server. Thủ pháp (3) là một thí dụ cho rất nhiều
thủ pháp bảo mật mà chắc chắn là không thể thi hành nếu ta
không phân biệt rạch ròi hai loại máy: máy chủ (server) và máy
làm việc (workstation). Ở rất nhiều mạng workgroup vả cả
mạng domain, chúng tôi thấy người ta chia xẻ tài nguyên
(file/printer) trên các máy làm việc. Họ không ý thức được
rằng họ đã biến máy làm việc thành máy chủ, hay nói một cách
tương đương, đã chiếm dụng máy chủ để làm việc. Bắt một
máy vi tính đảm nhiệm cả hai vai trò là một quyết định bất
hạnh. Tại một máy làm việc bị biến thành máy chủ như vậy,
khi một người dùng xa (remote) truy cập tài nguyên chia xẻ,
máy chạy chậm lại khiến cho người dùng tương tác
(interactive) rất khó chịu. Hơn nữa tại máy chủ có người dùng
tương tác, một thao tác vụng về của người này có thể làm máy
ngừng chia xẻ tài nguyên, từ chối phục vụ khiến cho những
người dùng xa bực mình. Như vậy phân biệt máy chủ với máy

làm việc là thiết yếu không những trên phương diện security
mà còn cả functionality nữa.

Chi phí cho sự phân biệt server – workstation là:

- Thêm một máy vi tính làm file server chứa tất cả dữ liệu chia
xẻ. Nếu mạng domain thì không cần phải thêm; domain
controller có thể đảm trách tốt mọi vai trò server, kể cả file
server.

- 1 cổng print server, hoặc 1 card mạng, cho mỗi máy in. (Vài
chục USD cho mỗi máy in).

Thủ pháp (2) và (3) minh họa cho một nguyên tắc bảo mật cơ
bản, đó là cắt bỏ mọi dịch vụ không cần thiết. Các dịch vụ thừa
không những gây lãng phí tài nguyên (CPU, RAM) mà còn là
những mối nguy cho bảo mật. Điều này thiết nghĩ không cần
phải nói thêm nữa. Vai trò máy càng phân biệt rõ ràng bao
nhiêu thì càng có cơ hội cắt bỏ dịch vụ thừa bấy nhiêu.


Quay lại nơi có điều kiện kết nối Internet liên tục 24/24 nói
trên. Doanh nghiệp nọ có một ông giám rất thông minh, có thể
cùng một lúc vừa voice chat với vợ, vừa tay chat với bồ, vừa
theo dõi tin tức thời sự trên Net (nghĩa là ông ta đọc e-báo
trong giờ làm việc), vừa cài đặt và thử các chương trình đủ
loại.

Một lần kiểm tra định kỳ về bảo mật của công ty, sử dụng 5
spyware scanners, tất cả các máy đều không tìm thấy con spy

nào, ngoại trừ một máy tìm thấy 100 con (hơn 500 security
threads).

Chiếc máy này, giống như mọi máy khác, cũng được trang bị
đầy đủ antivirus, tường lửa cá nhân, (phần mềm gì? Chúng
tôi sẽ tiết lộ trong phần Q5.) Điều khác biệt là trong khi mọi
máy khác chỉ có một local admin, chiếc máy này có tới hai
local admins: người thứ nhất là Admin (mật khẩu do người
quản trị mạng nắm giữ), người thứ hai là một domain user
khỏi cần nói thì cũng biết là ai.

Nói như thế thì cũng chưa đúng hẳn. Có ít nhất hai người
không biết đó là ai đấy. Trong bảo mật, luôn luôn ý thức được
mình là ai là nghĩa vụ của mọi admin. Chính sách bảo mật của
họ là đúng đắn khi cấp cho mọi người cái quyền domain user
“mạt hạng” chỉ đủ để check mail, lướt web, nghe nhạc, voice
chat, tay chat, Chính sách đó sai lầm khi ban cho một người
đặc quyền local admin, một đặc quyền “thừa mứa”, chỉ để
người đó cảm thấy được độc lập, tự do trên chiếc máy vi tính
“của mình”.

Sai lầm này thật nghiêm trọng. Mặc dù spyware scanner chỉ
nhận dạng được những spyware đã biết, nhưng dùng tới 5
scanners cũng đủ cơ sở để chúng tôi tin chắc 99,99% rằng
không có backdoor nào trên các máy còn lại, mặt khác, kết
luận chắc 99,99% rằng trên chiếc máy bất hạnh mà hacker(s)
đã tỏ đường đi lối về kia, sau khi đã xóa sạch 100 con spy tìm
được, vẫn còn sót lại dăm bảy cái backdoors.

Trường hợp cô bé ngờ nghệch và ông giám đốc thông minh nói

trên không phải là cá biệt. Chúng tôi đã làm một cuộc điều tra
nho nhỏ. Trong một dải 256 địa chỉ IP của một nhà cung cấp
dịch vụ Internet với khoảng 120 máy vi tính khách hàng đang
chạy, có khoảng 30 cô bé ngờ nghệch. Trong số 10 doanh
nghiệp nhỏ có mạng LAN, mà chúng tôi có quan hệ thân cận,
có 8 ông giám đốc thông minh.


Tóm lại, trước khi bàn luận giải pháp cho các vấn đề bảo mật
(Q1)-(Q5), chúng tôi muốn nhấn mạnh:

1. Vai trò máy cần phải phân minh. Chức phận người dùng cần
phải phân minh. Ấy là chữ “minh”.

2. Mọi máy chỉ được trang bị một số dịch vụ tối thiểu, vừa đủ
để thực hiện vai trò của mình. Mọi người chỉ nên thi hành chức
phận của mình với đặc quyền tối thiểu. Ấy là chữ “thiểu”.

3. Chữ “minh” là điều kiện cần có trước khi đặt ra chính sách
bảo mật. Chữ “thiểu” sẽ là phương châm xuyên suốt chính sách
đó.

Tham khảo:

NSA Security Configuration
Guides. : The 60 Minute Network
Security Guide.
(còn nữa)