bài thảo luận điện toán đám mây đề tài tìm hiểu về an toàn bảo mật trong công nghệ đám mây

Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (1.74 MB, 21 trang )

Trang 1<div class="page_container" data-page="1">

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ GIAO THÔNG VẬN TẢIKHOA: CÔNG NGHỆ THÔNG TIN

BÀI THẢO LUẬN

MÔN: ĐIỆN TỐN ĐÁM MÂY

Đề tài: Tìm hiểu về an tồn bảo mật

trong công nghệ đám mây

Sinh viên thực hiện: Nhóm 1 Thành viên:

</div>Trang 3<div class="page_container" data-page="3">

liệu riêng lẻ, người dùng có thể thuê hoặc sử dụng những tài nguyên này từ các nhà cung cấp dịch vụ đám mây.

- Cơng nghệ đám mây có nhiều loại dịch vụ, bao gồm Cơ sở hạ tầng như Dịch vụ Máy chủ Ảo (Infrastructure as a Service - IaaS), Nền tảng như Nền tảng Dưới dạng Dịch vụ (Platform as a Service - PaaS), và Ứng dụng như Dịch vụ (Software as a Service - SaaS). Các nhà cung cấp đám mây phổ biến bao gồm Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform (GCP), và nhiều công ty khác.

- Các dịch vụ thiết yếu của GCP bao gồm Storage, Compute Engine,Machine Learning, Big Data,… Đặc biệt, GCP cũng đảm bảo độ bảo mậttuyệt đối, giúp dữ liệu của người dùng luôn trong trạng thái an tồn nhất.

2. Các lợi ích nổi bật của điện tốn đám mây

- Tiết kiệm chi phí: Điều này cho phép các tổ chức tránh phải đầu tư lớnvào cơ sở hạ tầng máy tính và trang bị phần cứng riêng. Thay vì mua và duytrì máy chủ và lưu trữ, họ chỉ trả tiền cho tài nguyên và dịch vụ thực sự sửdụng.- Kiểm tra và xây dựng ứng dụng: Giảm chi phí và thời gian phát triểnứng dụng bằng cách sử dụng cơ sở hạ tầng đám mây mà có thể dễ dàng mởrộng và co giãn.

- Khả năng mở rộng linh hoạt: Công nghệ đám mây cho phép tổ chức dễdàng mở rộng hoặc giảm quy mô tài nguyên theo nhu cầu thay đổi. Điều nàygiúp họ tận dụng tối đa tài nguyên mà không gặp rào cản.

- Hiệu suất và hiệu quả cao: Công nghệ đám mây thường cung cấp cáccông cụ và ứng dụng giúp tối ưu hóa quy trình làm việc và nâng cao hiệusuất làm việc.

</div>Trang 4<div class="page_container" data-page="4">

- Truy cập từ xa: Người dùng có thể truy cập dữ liệu và ứng dụng từ bất kỳđâu và bằng bất kỳ thiết bị nào có kết nối internet. Điều này tạo điều kiệncho làm việc từ xa và tính linh hoạt cao.

- Bảo mật và độ tin cậy: Các nhà cung cấp đám mây thường đảm bảo rằngdữ liệu của người dùng được bảo mật và sao lưu định kỳ. Điều này tạo niềmtin trong việc lưu trữ dữ liệu quan trọng.

- Tích hợp dễ dàng: Cơng nghệ đám mây cho phép tích hợp dễ dàng giữacác dịch vụ và ứng dụng khác nhau, tạo ra các giải pháp phức tạp và đadạng.

- Xanh và bền vững: Sử dụng dịch vụ đám mây giúp giảm tác động đến môitrường bởi vì những nhà cung cấp lớn thường tối ưu hóa cơ sở hạ tầng đểtiết kiệm năng lượng.

- Hỗ trợ các cơng nghệ mới: Người dùng có thể dễ dàng tiếp cận và sửdụng các công nghệ mới như trí tuệ nhân tạo, học máy, blockchain và nhiềucơng nghệ khác thơng qua dịch vụ đám mây.

Tóm lại, dịch vụ điện toán đám mây cung cấp một giải pháp linh hoạt,hiệu quả về chi phí và bảo mật cao, giúp các tổ chức tận dụng tối đa côngnghệ thông tin để phát triển và thích nghi với mơi trường kinh doanh thayđổi nhanh chóng.

3. An tồn bảo mật thơng tin là gì?

An tồn bảo mật thơng tin (Information Security) là q trình bảo vệthơng tin quan trọng và nhạy cảm khỏi rủi ro và mối đe dọa có thể gây hạicho tính bảo mật, sự riêng tư và tính nguyên vẹn của thơng tin đó. Mục tiêu

</div>Trang 5<div class="page_container" data-page="5">

chính của an tồn bảo mật thơng tin là đảm bảo rằng thông tin chỉ được truycập bởi những người có quyền và mục đích cụ thể.

Các khía cạnh quan trọng của an tồn bảo mật thơng tin bao gồm:

- Bảo mật hệ thống và dữ liệu: Đây là khía cạnh quan trọng nhất của an tồnbảo mật thơng tin. Nó bao gồm việc đảm bảo rằng hệ thống máy tính, mạngvà dữ liệu được bảo vệ khỏi sự xâm nhập, tấn công và truy cập trái phép.- Xác thực và quản lý quyền truy cập: Để đảm bảo chỉ có những người đượcủy quyền mới có thể truy cập thông tin quan trọng. Các biện pháp như xácthực (authentication) và quản lý quyền truy cập (access control) đảm bảorằng chỉ có người dùng có quyền mới có thể truy cập hệ thống và dữ liệu.- Bảo mật vật lý: Để đảm bảo rằng các thiết bị máy tính, máy chủ và trangthiết bị liên quan được bảo vệ khỏi sự truy cập trái phép, hỏng hóc hoặc mấtmát.

- Bảo mật ứng dụng và phần mềm: Để đảm bảo rằng ứng dụng và phần mềmđược phát triển và triển khai với các biện pháp bảo mật hợp lý và không cólỗ hổng bảo mật nào có thể bị tận dụng.

- Quản lý sự cố và phục hồi sau sự cố: Sự cố bảo mật có thể xảy ra, và do đóquản lý sự cố (incident management) và kế hoạch phục hồi sau sự cố(disaster recovery) là quan trọng để giảm thiểu hậu quả của các sự cố đó.- Giáo dục và nhận thức bảo mật: Đào tạo nhân viên và tạo ra nhận thức bảomật trong tổ chức là rất quan trọng. Nhân viên cần biết về các mối đe dọabảo mật và biện pháp để bảo vệ thơng tin.

An tồn bảo mật thơng tin khơng chỉ đối với các tổ chức kinh doanh màcòn đối với cá nhân, tổ chức chính phủ và xã hội nói chung. Việc duy trì an

</div>Trang 6<div class="page_container" data-page="6">

tồn thông tin là một yếu tố quan trọng để đảm bảo tính bảo mật và quyềnriêng tư của mọi người.

4. Tại sao phải thiết lập bảo mật trong công nghệ cloud?:

Đám mây có thể được truy cập từ bất cứ đâu và do đó, nó dẫn đến giatăng các yếu tố rủi ro. Vì có một số lượng lớn người dùng truy cập vào đámmây cùng lúc nên rủi ro là khá cao. Vì vậy, các giao diện được sử dụng đểquản lý các tài nguyên đám mây công cộng (Public Cloud) phải được đảmbảo về bảo mật. Thiết lập bảo mật trong công nghệ đám mây (cloud) là rấtquan trọng vì có nhiều lý do sau đây:

Bảo vệ thơng tin quan trọng: Công nghệ đám mây thường chứa lượng

lớn dữ liệu quan trọng của tổ chức và khách hàng. Thiếu bảo mật có thểdẫn đến mất mát dữ liệu và tiết lộ thông tin nhạy cảm, ảnh hưởng đến uytín và tài sản của tổ chức.

Xâm nhập và tấn công mạng: Đám mây không phải lúc nào cũng an

tồn khỏi các cuộc tấn cơng và xâm nhập mạng. Việc thiết lập bảo mậtgiúp ngăn chặn các cuộc tấn công, xác định sự xâm nhập và giảm thiểuthiệt hại.

Tuân thủ quy định và quy tắc: Nhiều tổ chức phải tuân thủ các quy định

và quy tắc về bảo mật dữ liệu như GDPR (General Data ProtectionRegulation) ở châu Âu hoặc HIPAA (Health Insurance Portability andAccountability Act) ở Mỹ. Thiết lập bảo mật trong đám mây giúp đảmbảo tuân thủ các quy định này.

Tăng cường kiểm sốt: Cơng nghệ đám mây thường có tính linh hoạt

cao, nhưng điều này cũng tạo ra các rủi ro về việc mất kiểm soát. Thiết

</div>Trang 7<div class="page_container" data-page="7">

lập bảo mật giúp tổ chức duy trì kiểm sốt trên các tài nguyên đám mâyvà dịch vụ.

Phòng tránh sự cố: Bất kỳ sự cố bảo mật nào trong môi trường đám mây

cũng có thể dẫn đến hậu quả nghiêm trọng. Việc thiết lập bảo mật tốt cóthể giúp phịng tránh những sự cố không mong muốn.

Bảo vệ dịch vụ và khả năng hoạt động liên tục: Bảo mật đám mây cũng

đảm bảo rằng các dịch vụ và ứng dụng trên đám mây hoạt động mộtcách liên tục và không bị gián đoạn bởi các vấn đề bảo mật.

Đảm bảo tính riêng tư: Bảo vệ thông tin cá nhân và quyền riêng tư của

người dùng là một phần quan trọng của việc thiết lập bảo mật trong cơngnghệ đám mây.

Tóm lại, bảo mật là một phần quan trọng của việc triển khai và quản lýcơng nghệ đám mây. Nó giúp bảo vệ thông tin, đảm bảo tuân thủ cácquy định và quy tắc, và duy trì tính hoạt động của tổ chức trong mơitrường đám mây.

CHƯƠNG 2: HÌNH THỨC TẤN CƠNG NHẮM VÀO CLOUD SERVER PHỔ BIẾN NHẤT

Hơn 80% doanh nghiệp, tổ chức đã và đang sử dụng dịch vụ từ 2 haynhiều nhà cung cấp cơ sở hạ tầng đám mây công cộng. (Thống kê của tổchức bảo mật CSO). Cũng chính sự bùng nổ của nền tảng của công nghệđám mây, lượng dữ liệu khổng lồ, giá trị cao được tải lên đám mây. Đồngthời lượng dữ liệu này đang tăng trưởng theo cấp số nhân.

</div>Trang 8<div class="page_container" data-page="8">

Cloud Server được nhiều người sử dụng vì sự thuận tiện, ít tốn chi phí, dễ

sử dụng,… Tuy nhiên, bản chất của điện tốn đám mây cũng khiến nó dễ bịtấn công bởi tội phạm mạng, tin tặc,.. Do thông tin được lưu trữ trênInternet, nên khi sử dụng công nghệ đám mây doanh nghiệp có thể bị đánhmất thơng tin. Các Hacker có thể xâm nhập, lấy cắp thông tin, dữ liệu của tổchức, doanh nghiệp.

Đã có khơng ít doanh nghiệp bị xâm phạm trong đám mây, bị đánh cắpnhiều dữ liệu quý giá như Marketing Data, hồ sơ sức khỏe, thông tin kháchhàng,… Các hình thức tấn cơng này có thể gây thiệt hại vô cùng nghiêmtrọng cho các đơn vị sở hữu dữ liệu.

1. Những phương pháp tấn công trong công nghệ cloud:1.1. Tấn công API

Một khi thông tin xác thực API bị rị rỉ hoặc bị định cấu hình sai, Hackersẽ có thể tận dụng lỗ hổng này để xâm nhập vào nền tảng đám mây. Từ đóchiếm truy cập và kiểm soát một phần máy chủ, thực hiện lệnh gọi API leothang đặc quyền hệ thống, hoặc dùng với các hoạt động độc hại. Thôngthường, các thông tin xác thực API được chia sẻ, hoặc rò rỉ thông quaBitBucket, GitHub,… dưới dạng ảnh chụp nhanh, ảnh được chia sẻ,…

1.2. Giả mạo yêu cầu máy chủ (SSRF)

Giả mạo yêu cầu phía máy chủ, hay SSRF (Server Side Request Forgery)là hình thức tấn cơng Cloud Server phổ biến hiện nay. Hình thức tấn cơngnày liên quan thực tiếp đến thông tin đăng nhập, quyền truy cập nhật ký, cấuhình, nhiều loại dữ liệu khác trong cơ sở hạ tầng Cloud. Tin tặc có thể thựchiện thay đổi tham số sử dụng trên ứng dụng Web, từ đó kiểm sốt các ucầu từ máy chủ dễ bị tấn cơng.

1.3. Cấu hình sai

</div>Trang 9<div class="page_container" data-page="9">

Tài nguyên dựa trên điện toán đám mây, Cloud Server thay đổi liên tục vàrất phức tạp. Vì thế khiến người quản lý hệ thống dễ gặp khó khăn khi cấuhình. Một khi máy chủ, cơ sở dữ liệu bị định cấu hình sai, các Hacker rất dễtấn công và gây nên những thảm họa bảo mật đám mây. Các tin tặc có thểnhắm vào lỗ hổng cấu hình sai để triển khai Backdoor, Ransomware đểđánh cắp dữ liệu nhạy cảm.

2. Phương pháp chủ đạo hacker thường sử dụng để tấn công kho dữ liệutrong điện toán đám mây:

2.1. Một số phương pháp cụ thể:

Phishing: Đây là một trong những phương pháp tấn công phổ biến nhất.

Hacker sẽ gửi email giả mạo hoặc tin nhắn nhằm mục tiêu người dùng củadịch vụ đám mây. Email hoặc tin nhắn này thường sẽ yêu cầu người dùngcung cấp thông tin đăng nhập hoặc bấm vào các liên kết độc hại.

Injection Attacks: Hacker sử dụng các kỹ thuật như SQL injection hoặc

NoSQL injection để chèn mã độc hại vào các ứng dụng hoặc giao diện webtrong môi trường đám mây. Mục tiêu của họ là truy cập dữ liệu cơ sở dữ liệuhoặc kiểm soát hệ thống.

Brute Force Attacks: Hacker sử dụng phương pháp thử tất cả các tổ hợp

có thể của tên người dùng và mật khẩu để đăng nhập vào tài khoản trongmơi trường đám mây. Điều này có thể thành công nếu người dùng sử dụngmật khẩu yếu.

Session Hijacking: Hacker cố gắng chiếm quyền kiểm soát phiên làm

việc của người dùng sau khi họ đã đăng nhập vào dịch vụ đám mây. Khihacker chiếm quyền kiểm soát phiên, họ có thể truy cập dữ liệu và hoạtđộng của người dùng.

</div>Trang 10<div class="page_container" data-page="10">

XSS (Cross-Site Scripting): Hacker chèn mã độc hại vào các trang web

hoặc ứng dụng web trong môi trường đám mây. Khi người dùng truy cậpcác trang này, mã độc hại có thể thực hiện các hành động khơng mong muốntrên máy tính của họ hoặc đánh cắp thông tin cá nhân.

CSRF (Cross-Site Request Forgery): Hacker gửi các yêu cầu giả mạo từ

máy tính của họ hoặc từ các trang web đã bị xâm nhập để thực hiện các thaotác không mong muốn trên tài khoản của người dùng khi họ đã đăng nhập.

Privilege Escalation: Hacker cố gắng tăng quyền truy cập của họ trong

hệ thống đám mây để truy cập và kiểm sốt nhiều dữ liệu hơn.

Zero-Day Exploits: Hacker tìm cách tận dụng các lỗ hổng bảo mật mới

mà các nhà cung cấp dịch vụ đám mây chưa biết đến hoặc chưa có cách válỗ hổng.

Malware và Ransomware: Hacker tiêm malware hoặc ransomware vào

hệ thống đám mây để gây hại hoặc mã hóa dữ liệu và địi tiền chuộc.

Social Engineering: Hacker sử dụng các kỹ thuật xã hội để lừa đảo nhân

viên hoặc người dùng cuối để tiết lộ thông tin quan trọng.

Để bảo vệ khỏi các tấn công này, tổ chức cần triển khai nhiều lớp bảomật, bao gồm mã hóa dữ liệu, kiểm tra tự động lỗ hổng bảo mật, quản lýdanh sách kiểm tra an toàn, đào tạo nhân viên về an ninh thông tin, và theodõi liên tục để phát hiện và đối phó với các mối đe dọa tiềm ẩn.

2.2. Các tác vụ tấn cơng vào đám mấy có thể tránh được:

</div>Trang 11<div class="page_container" data-page="11">

Theo báo cáo mới nhất về cảnh quan mối đe dọa an tồn thơng tin đámmây (Cloud Security Threat Landscape) của IBM Security X-Force, ⅔ sự cốbảo mật đám mây có thể tránh được nếu cấu hình ứng dụng, cơ sở dữ liệu vàchính sách bảo mật được thực hiện đúng.

Theo nghiên cứu, hai trong số ba mơi trường đám mây bị tấn cơng "có thểđã được ngăn chặn bằng cách tăng cường hệ thống mạnh mẽ hơn, chẳng hạnnhư thực hiện đúng các chính sách bảo mật và hệ thống vá lỗi".

Trong khi lấy mẫu môi trường đám mây được quét, trong mọi trường hợpkiểm tra thâm nhập, nhóm nghiên cứu phát hiện ra vấn đề đều nằm ở thơngtin xác thực hoặc chính sách bảo mật.

Số lượng các ứng dụng đám mây chứa lỗ hổng bảo mật được theo dõi.

Các nhà nghiên cứu tin rằng hơn một nửa số vụ vi phạm bảo mật đám mâygần đây liên quan đến các ứng dụng và dịch vụ khơng được các nhómCNTT trung tâm quản lý hoặc giám sát.

Định cấu hình sai, lỗi API hoặc lỗi tiếp xúc và giám sát trong việc bảo mậtmôi trường đám mây cũng đã dẫn đến việc tạo ra một thị trường ngầm thịnh

</div>Trang 12<div class="page_container" data-page="12">

vượng cho hacker khai thác quyền truy cập ban đầu vào đám mây cơngcộng.

IBM cho biết: “Nhiều doanh nghiệp khơng có độ tự tin và kiến thứcchun mơn khi định cấu hình các biện pháp kiểm sốt bảo mật trong mơitrường điện tốn đám mây so với mơi trường tại chỗ, điều này dẫn đến mộtmôi trường bảo mật phân mảnh và phức tạp hơn, khó quản lý hơn”. Do đó,các tổ chức cần quản lý cơ sở hạ tầng phân tán của họ như một môi trườngduy nhất để loại bỏ sự phức tạp và đạt được khả năng hiển thị mạng tốt hơntừ đám mây.

3. Thiết lập mã hóa, bảo mật trên đám mây:

Bảo mật đám mây là trách nhiệm chung giữa các nhà cung cấp dịch vụđiện toán đám mây và khách hàng. Trách nhiệm giải trình khác nhau tùythuộc vào loại dịch vụ được cung cấp:

Môi trường nền tảng điện tốn đám mây cơng cộng:

Do nhà cung cấp dịch vụ điện tốn đám mây vận hành. Trong mơi trườngnày, máy chủ được chia sẻ nhiều đối tượng thuê.

Môi trường nền tảng điện tốn đám mây riêng tư:

Có thể nằm trong trung tâm dữ liệu do khách hàng sở hữu hoặc do nhà cungcấp dịch vụ điện toán đám mây công cộng vận hành. Trong cả hai trườnghợp, máy chủ là đối tượng thuê duy nhất và các tổ chức không phải chia sẻkhông gian với các công ty khác.

Mơi trường nền tảng điện tốn đám mây kết hợp:

Là sự kết hợp giữa các trung tâm dữ liệu tại chỗ và đám mây của bên thứ ba.

Môi trường đa đám mây:

Bao gồm hai dịch vụ đám mây trở lên do các nhà cung cấp dịch vụ đám mâykhác nhau điều hành.

</div>Trang 13<div class="page_container" data-page="13">

Bất kể tổ chức sử dụng loại môi trường nào hay kết hợp môi trường nào thìbảo mật đám mây cũng nhằm bảo vệ các mạng vật lý, bao gồm bộ địnhtuyến và hệ thống điện, dữ liệu, lưu trữ dữ liệu, máy chủ dữ liệu, ứng dụng,phần mềm, hệ điều hành và phần cứng.

Thiết lập mã hóa, bảo mật trên đám mây có trong nhiều ứng dụng như: Google Driver, One Driver, Dropbox, …..

3.1. Google Driver:

Để cụ thể hơn về việc thiết lập bảo mật và mã hóa dữ liệu trên Google Drive:

Mã Hóa Dữ Liệu trong Google Driver:

Google Drive khơng cung cấp mã hóa mạnh cho dữ liệu lưu trữ trên nó.Dữ liệu trong Google Drive được mã hóa ở mức truyền tải (mã hóa trongq trình gửi và nhận dữ liệu giữa máy tính của bạn và máy chủ Google),nhưng nó khơng được mã hóa ở mức lưu trữ (Google có thể truy cập dữ liệucủa bạn).

Tuy nhiên, bạn có thể sử dụng các dịch vụ bên ngoài để thêm một lớp bảovệ bổ sung cho dữ liệu của mình trên Google Drive. Ví dụ, bạn có thể sửdụng các dịch vụ mã hóa dữ liệu trước khi tải lên Google Drive. Một số vídụ bao gồm Boxcryptor, Cryptomator và rất nhiều dịch vụ khác.

Quản Lý Quyền Truy Cập và Chia Sẻ An Tồn:

Quản Lý Thư Mục và Tệp: Bạn có thể tạo các thư mục riêng tư trên GoogleDrive và quản lý quyền truy cập cho từng thư mục và tệp riêng lẻ. Nhấpchuột phải vào một thư mục hoặc tệp và chọn "Chia sẻ" để chỉnh sửa quyềntruy cập.

Chia Sẻ với Mật Khẩu: Bạn có thể tạo các liên kết chia sẻ có mật khẩu. Điềunày đảm bảo rằng người nhận cần nhập mật khẩu để truy cập dữ liệu.

</div>