bảo mật trong điện toán đám mây và ứng dụng cho trung tâm dữ liệu điều hành sản xuất kinh doanh của vnpt

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
----------------------------------------

NGUYỄN HUY GIẢNG

BẢO MẬT TRONG ĐIỆN TOÁN ĐÁM MÂY VÀ ỨNG
DỤNG CHO TRUNG TÂM DỮ LIỆU ĐIỀU HÀNH SẢN
XUẤT KINH DOANH CỦA VNPT

Chuyên nghành: Truyền dữ liệu và Mạng máy tính
Mã số: 60.48.15

TĨM TẮT LUẬN VĂN THẠC SỸ

HÀ NỘI – 2011


Luận văn được hồn thành tại:
HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG

Người hướng dẫn khoa học: TS. Vũ Văn Thỏa
Phản biện 1: ……….………………………………..…………………
Phản biện 2: ……………….….……………………….………………

Luận văn sẽ được bảo vệ trước Hội đồng chấm luận văn
thạc sĩ tại Học viện Cơng nghệ Bưu chính Viễn thơng
Vào lúc: …….. giờ ……. ngày ……. tháng …… năm
………
Có thể tìm hiểu luận văn tại:
- Thư viện của Học viện Công nghệ Bưu chính Viễn
thơng

MỞ ĐẦU
Ngày nay, cùng với sự phát triển vũ bão của công nghệ thông tin,
hệ thống phần mềm ứng dụng, hệ thống máy chủ của các tổ chức
doanh nghiệp ngày càng tăng nhanh. Điều đó dẫn tới chi phí đầu
tư cho hạ tầng công nghệ thông tin ngày càng lớn, chi phí cho
việc quản lý hệ thống cũng tăng lên. Để giảm thiểu được các chi
phí đó và tăng khả năng ứng dụng công nghệ thông tin trong sản
xuất kinh doanh của doanh nghiệp, thì ứng dụng điện tốn đám
mây là giải pháp mang lại nhiều lợi ích. Trong mơ hình điện tốn
đám mây, mọi vấn đề liên quan tới công nghệ thông tin đều được
cung cấp dưới dạng các “dịch vụ”. Nhờ đó, các tổ chức, doanh
nghiệp hay cá nhân khi sử dụng dịch vụ công nghệ không cần
phải có kiến thức, kinh nghiệm chun sâu về cơng nghệ, cũng
như không cần phải quan tâm đến cơ sở hạ tầng của cơng nghệ
đó. Hạ tầng cơ sở của điện toán đám mây là sự kết hợp của
những dịch vụ đáng tin cậy được phân phối qua các trung tâm dữ


liệu và được xây dựng trên những máy chủ với cấp độ khác nhau
của các cơng nghệ ảo hóa.
Đề tài “Bảo mật trong điện toán đám mây và ứng dụng cho
trung tâm dữ liệu điều hành sản xuất kinh doanh của VNPT” tìm
hiểu những kiến thức cơ bản về bảo mật thơng tin trong điện
tốn đám mây và đề xuất giải pháp an toàn bảo mật cho trung
tâm dữ liệu điều hành sản xuất kinh doanh của VNPT.
Đề tài bao gồm những nội dung sau:
Chương 1 – Tổng quan về điện tốn đám mây: Cung cấp một cái
nhìn tổng quan về điện tốn đám mây. Q trình phát triển của

điện toán đám mây và một số khái niệm cơ bản và lợi ích của
điện tốn đám mây.
Chương 2 – An tồn bảo mật trong điện tốn đám mây: Trình
bày những nét cơ bản về bảo mật thông tin trong đám mây, các
chuẩn bảo mật và những rủi ro thách thức về an tồn thơng tin
mà người sử dụng cần biết trước khi quyết định sử dụng điện
tốn đám mây. Tìm hiểu về kiến trúc và mục tiêu bảo mật như
thế nào và quản lý bảo mật ra sao. Từ đó, đưa ra phương pháp để
nâng cao khả năng bảo mật thông tin trong đám mây.
Chương 3 – Đề xuất giải pháp an toàn bảo mật trong ứng dụng
triển khai điện toán đám mây vào trong tâm dữ liệu điều hành


sản xuất kinh doanh của VNPT: Trình bày kiến trúc của trung
tâm dữ liệu và đưa ra các giải pháp an toàn bảo mật.


CHƯƠNG 1 - TỔNG QUAN VỀ ĐIỆN TOÁN ĐÁM MÂY
1.1. Khái niệm về điện tốn đám mây

1.1.1. Qúa trình phát triển của điện tốn đám mây
Q trình phát triển của điện tốn đám mây có thể tóm tắt như
Hình 1.1 (dẫn theo Voas và Zhang 2009) dưới đây:

Hình 1.1. Sự phát triển của điện toán đám mây
1.1.2. Định nghĩa điện tốn đám mây
Khái qt lại, có thể hiểu điện tốn đám mây như sau :


“Điện toán đám mây là một dạng hệ thống song song phân tán

bao gồm tập hợp các máy chủ ảo kết nối với nhau, các máy chủ
ảo này được cấp phát tự động và thể hiện như một hay nhiều tài
ngun tính tốn độc lập dựa trên sự đồng thuận ở mức dịch vụ
(service – level agrrement) được thiết lập thơng qua q trình
đàm phán giữa người sử dụng và nhà cung cấp.” [Cloud
Security and Privacy - An Enterprise Perspective on Risk and
Compliance - O'Reilly, 2009]
Một số định nghĩa:
Theo Wikipedia: “Điện tốn đám mây (cloud computing) là một
mơ hình điện tốn có khả năng co giãn (scalable) linh động và
các tài nguyên thường được ảo hóa được cung cấp như một dịch
vụ trên mạng Internet”.
Theo Gartner ( : “Một mơ
hình điện toán nơi mà khả năng mở rộng và linh hoạt về công
nghệ thông tin được cung cấp như một dịch vụ cho nhiều khách
hàng đang sử dụng các công nghệ trên Internet”.
Theo Ian Foster: “Một mơ hình điện tốn phân tán có tính co
giãn lớn mà hướng theo co giãn về mặt kinh tế, là nơi chứa các
sức mạnh tính tốn, kho lưu trữ, các nền tảng (platform) và các
dịch vụ được trực quan, ảo hóa và co giãn linh động, sẽ được


phân phối theo nhu cầu cho các khách hàng bên ngồi thơng qua
Internet”.
1.2. Các tầng dịch vụ đám mây

Điện tốn đám mây là sự kết hợp giữa các khái niệm Hạ tầng
hướng dịch vụ (IaaS), Nền tảng hướng dịch vụ (PaaS), Phần
mềm hướng dịch vụ (SaaS) và một số khái niệm công nghệ mới.
SaaS (Software-as-a-Service, phần mềm như một dịch vụ): SaaS

cho phép người dùng chạy các ứng dụng từ xa của đám mây.
Đây là một mơ hình triển khai ứng dụng mà ở đó người cung cấp
cho phép người dụng sử dụng dịch vụ theo yêu cầu.
IaaS (Infrastructure-as-a-Service, hạ tầng cơ sở như một dịch vụ)
là tài nguyên tính toán được cung cấp như là một dịch vụ, bao
gồm cả máy chủ, thiết bị mạng, bộ nhớ, CPU, không gian đĩa
cứng, trang thiết bị trung tâm dữ liệu với năng lực xử lý được
đảm bảo và băng thông dự trữ đủ để lưu trữ và truy nhập
Internet.
PaaS (Platform-as-a-Service, nền tảng như một dịch vụ) tương tự
IaaS, ngồi ra cịn có các hệ điều hành và dịch vụ cần thiết cho
một ứng dụng cụ thể, PaaS là IaaS cộng thêm một số phần mềm
riêng dành cho một ứng dụng cho trước.


Virtualization (tầng ảo hóa): Hệ thống hạ tầng mạng, máy chủ,
lưu trữ được ảo hóa để tăng tính linh hoạt trong việc mở rộng và
cung cấp các dịch vụ trong điện toán đám mây.
dSaaS (data-Storage-as-a-Service, lưu trữ dữ liệu như là dịch vụ)
cung cấp không gian lưu trữ mà khách hàng có thể sử dụng, bao
gồm cả băng thơng cho lưu trữ.
1.3. Các mơ hình điện tốn đám mây

Có 3 kiểu mơ hình chung: public cloud (đám mây cơng cộng),
private cloud (đám mây riêng), hybrid cloud (đám mây lai).
Trong mô hình Public cloud computing (hoặc external cloud
computing), tài ngun tính tốn được cung cấp linh hoạt trên
Internet thơng qua các Web applications hoặc Web Services từ
một nhà cung cấp thứ ba phi trực tuyến (offsite third-party
provider).

Private cloud (hoặc internal cloud) tham chiếu tới tính tốn đám
mây trên các private networks (mạng riêng). Cơ sở hạ tầng và
các dịch vụ được xây dựng để phục vụ cho một tổ chức (doanh
nghiệp) duy nhất.
Một môi trường Hybrid cloud kết hợp nhiều mô hình Public và
Private clouds. Doanh nghiệp sẽ đưa ra ngồi các chức năng
nghiệp vụ và dữ liệu không quan trọng, sử dụng các dịch vụ


Public Cloud để giải quyết và xử lý các dữ liệu này. Đồng thời,
doanh nghiệp sẽ giữ lại các chức năng nghiệp vụ và dữ liệu tối
quan trọng trong tầm kiểm sốt (Private Cloud).
1.4. Lợi ích và thách thức

Lợi ích: Tiết kiệm, giảm chi phí, đa phương tiện, chia sẻ, độ tin
cậy, co giãn linh động, hiệu suất cao, bảo mật, khả năng chịu
đựng.
Thách thức: Chi phí, cơng tác quản lý, tính sẵn sang, tính riêng
tư, vấn đề tuân thủ.

CHƯƠNG 2 - AN TOÁN BẢO MẬT TRONG ĐIỆN TOÁN
ĐÁM MÂY
2.1. Quản lý bảo mật trong điện tốn đám mây

2.1.1. Mơ hình chung
Mơ hình điện tốn đám mây hiện được triển khai bởi nhiều nhà
cung cấp khác nhau, nhưng nhìn chung có thể quy ra một mơ
hình chung gồm ba lớp sau :

Hình 2.1. Kiến trúc điện tốn đám mây
Với một đám mây công cộng, một phần lớn mạng, hệ thống, ứng
dụng và dữ liệu sẽ được chuyển đến bên cung cấp thứ ba để kiểm
soát. Các đám mây dịch vụ chuyển mơ hình sẽ tạo ra các đám
mây ảo cũng như một mơ hình bảo mật với trách nhiệm chia sẻ
giữa khách hàng và nhà cung cấp dịch vụ đám mây (CSP).
Mặc dù khách hàng có thể chuyển giao một số trách nhiệm hoạt
động cho các nhà cung cấp, nhưng mức độ trách nhiệm khác
nhau phụ thuộc vào nhiều yếu tố, bao gồm các mơ hình cung cấp
dịch vụ (SPI), nhà cung cấp các loại hợp đồng dịch vụ (SLA), và
nhà cung cấp các khả năng đặc biệt để hỗ trợ các phần mở rộng
của quy trình nội bộ quản lý bảo mật và các công cụ. Để bảo mật
cho dữ liệu, các tổ chức công nghệ thông tin sử dụng khung quản


lý bảo mật như ISO / IEC 27000 và thư viện cơ sở hạ tầng công
nghệ thông tin (ITIL).

2.1.2. Mục tiêu bảo mật thơng tin trên đám mây
 Tính an tồn.
 Tính đáng tin cậy.
 Khả năng tồn tại : đó là khẳ năng kháng lại hoặc chịu
được các cuộc tấn cơng và có khả năng phục hồi nhanh
nhất có thể cũng như gây tổn hại ít nhất có thể.
Ngồi ra cịn có bảy ngun tắc bổ sung để đảm bảo hỗ trợ an
tồn thơng tin là bảo mật, tồn vẹn, tính sẵn có, chứng thực, cấp
phép, kiểm tra và trách nhiệm.
2.1.3. Các tiêu chuẩn quản lý bảo mật
ITIL – thư viện cơ sở hạ tầng công nghệ thông tin: ITIL chia
thơng tin bảo mật thành:

 Chính sách : là các mục tiêu tổng thể của một tổ chức
đang cố gắng để đạt được.
 Quy trình: điều gì xảy ra để đạt được các mục tiêu.
 Thủ tục: ai làm gì và khi nào để đạt được các mục tiêu.
 Hướng dẫn hoạt động: hướng dẫn cho những hành động
cụ thể.


ISO 27001/27002: ISO/IEC 27001 định nghĩa những yêu cầu cơ
bản nhất bắt buộc đối với một hệ thống bảo mật thơng tin
(ISMS). Nó là một tiêu chuẩn chứng nhận, và sử dụng tiêu chuẩn
ISO/IEC 27002 để kiểm sốt thơng tin bảo mật phù hợp trong
ISMS. Các tiêu chuẩn bảo mật giúp các tổ chức về IT trả lời một
số câu hỏi:
 Làm thế nào để đảm bảo rằng mức độ bảo mật hiện tại là
phù hợp.
 Làm thế nào để áp dụng một nền tảng bảo mật vững chắc
cho tất cả mọi hoạt động của khách hàng.
 Làm thế nào đảm bảo rằng dịch vụ của mình là an tồn.
Quản lý bảo mật trong điện toán đám mây: dựa trên các tiêu
chuẩn quản lý bảo mật:
 Quản lý tính sẵn sàng (ITIL)
 Kiểm soát truy cập (ISO/IEC 27002, ITIL)
 Quản lý tính dễ bị xâm phạm (ISO/IEC 27002)
 Quản lý đường dẫn (ITIL)
 Quản lý cấu hình (ITIL)
 Phản ứng sự cố (ISO/IEC 27002)
 Hệ thống sử dụng và theo dõi truy cập (ISO/IEC 27002)
2.2. Xem xét kiến trúc bảo mật trong điện toán đám mây

Các yếu tố ảnh hưởng đến việc thực hiện kiến trúc bảo
mật cho điện toán đám mây: những vấn đề liên quan đến yêu cầu
pháp lý, tuân thủ các tiêu chuẩn, quản lý bảo mật, thông tin phân
loại, và nâng cao nhận thức về an ninh. Cụ thể hơn bao gồm cả
phần cứng và phần mềm đáng tin cậy, cung cấp một mơi trường
thực thi an tồn, thiết lập bảo mật thông tin, và mở rộng phần
cứng từ những kiến trúc nhỏ nhất. Khi xem xét kiến trúc bảo mật
trong điện toán đám mây cần quan tâm tới các yếu tố:
 Tuân thủ các quy định.
 Quản lý và kiểm sốt an ninh.
 Phân loại thơng tin.
 Nhận thức về bảo mật, đào tạo và giáo dục.
2.3. Những biện pháp để bảo mật điện toán đám mây

Các phần mềm về bảo mật cần có 3 yêu cầu sau:
 Phải được tin cậy trong các điều kiện hoạt động như dự
kiến, và vẫn đáng tin cậy trong điều kiện hoạt động nguy
hiểm.
 Phải đáng tin cậy trong mọi hành động của mình và
khơng có khả năng bị xâm nhập bởi một kẻ tấn công
thông qua khai thác các lỗ hổng hoặc chèn các mã độc
hại.


 Phải linh hoạt, đủ để phục hồi nhanh chóng đến khả năng
hoạt động đầy đủ với việc hạn chế tối thiểu những thiệt
hại xảy ra, các nguồn tài nguyên và dữ liệu được xử lý và
các thành phần tương tác bên ngoài.
2.4. Phát triển bảo mật thực tiễn

Việc phát triển bảo mật thực tiễn dựa trên các yếu tố:
 Xử lý dữ liệu : một số dữ liệu nhạy cảm hơn và yêu cầu
cần xử lý đặc biệt.
 Thực hành mã: phải ln chăm sóc dữ liệu để tránh lộ
thơng tin ra ngồi để những kẻ tấn cơng tranh thủ sơ hở.
 Lựa chọn ngôn ngữ: xem xét những điểm mạnh và điểm
yếu của ngôn ngữ được sử dụng.
 Xác nhận đầu vào và dữ liệu nhập vào: dữ liệu được nhập
vào bởi người dùng khơng bao giờ có thể truy cập trực
tiếp bởi một lệnh hay một truy vấn.
 An ninh của hệ thống: những yếu tố vật lý truy cập đến
các máy chủ điện toán đám mây nên phải giới hạn.


CHƯƠNG 3 - ĐỀ XUẤT GIẢI PHÁP AN TOÀN BẢO MẬT
TRONG ỨNG DỤNG TRIỂN KHAI ĐIỆN TOÁN ĐÁM
MÂY VÀO TRUNG TÂM DỮ LIỆU ĐIỀU HÀNH SẢN
XUẤT KINH DOANH CỦA TẬP ĐỒN VNPT
3.1.

Khảo sát hiện trạng ứng dụng cơng nghệ thơng tin,

nền tảng cơ sở hạ tầng mạng và dữ liệu của trung tâm dữ
liệu trong Tập đoàn VNPT, khả năng ứng dụng điện tốn
đám mây
3.1.1. Mơ hình kiến trúc mạng
Mạng ĐHSXKD của VNPT được thiết kế phân lớp theo mơ
hình mạng NGN, gồm 6 lớp: lớp biên, lớp lõi, lớp truyền tải, lớp
truy nhập, lớp bảo mật và lớp quản lý; sử dụng 02 Distribution

Switch cho mạng IP người sử dụng; lớp truyền tải bao gồm 02
cặp Switch, 01 cặp cho mạng IP người sử dụng và 01 cặp cho
Data Center.


Hình 3.2. Sơ đồ logic hệ thống IT
3.1.2. Kiến trúc trung tâm dữ liệu điều hành sản xuất kinh
doanh


Hình 3.3. Sơ đồ logic các ứng dụng và thiết bị lưu trữ
3.1.3. Phân chia hệ thống máy chủ theo lớp chức năng
3.1.3.1. Lớp ứng dụng

 Hệ thống máy chủ thư điện tử.
 Hệ thống máy chủ cổng thông tin Portal.
 Hệ thống máy chủ quản lý công văn AIS
 Hệ thống máy chủ quản lý báo cáo VRS.
3.1.3.2. Lớp dịch vụ

Máy chủ dịch vụ thư mục (Directory Server)
3.1.3.3. Máy chủ dịch vụ khác


 Máy chủ DHCP/DNS.
 Máy chủ File.
 Máy chủ sao lưu Backup.
3.1.3.4. Lớp bảo mật

Hệ thống máy chủ bảo mật và quét virus: nhóm máy chủ antivirus; nhóm máy chủ dò quét điểm yếu và vá lỗi.

3.1.3.5. Lớp quản trị

Máy chủ quản trị mạng đảm nhận các nhiệm vụ sau:
 Quản trị mạng TCP/IP.
 Hỗ trợ hiển thị Network topology dưới dạng bản đồ.
 Cung cấp tài liệu trực tuyến và dễ sử dụng (HTML).
 Khả năng phát hiện, hiển thị thay đổi của mạng trên bản
đồ.
 Quản lý lỗi (Fault management).
 Quản trị cấu hình (Configuration management).
 Quản trị thống kê (Accounting management).
 Quản trị hiệu năng (Performance management).
 Quản trị bảo mật (Security management).
 Hỗ trợ khả năng tích hợp với các hệ thống quản trị khác.


3.2.

Đề xuất giải pháp an toàn bảo mật trong triển khai

điện toán đám mây cho trung tâm dữ liệu của Tập đồn
VNPT
3.2.1. Mơ hình tổng thể giải pháp an tồn bảo mật
Để đảm bảo độ an toàn dữ liệu cao nhất, tất cả các lớp đều có độ
bảo mật cao. Kết hợp với các khối chuyển mạch thông thường,
khối dịch vụ cung cấp các phương án can thiệp quản lý cho các
lưu lượng trao đổi trong và ngoài hệ thống, bao gồm: Firewall,
VPN, IPS/IDS, DDoS detector, quản lý điểm yếu, cập nhật các
bản vá lỗi, ngăn chặn các phần mềm nguy hiểm, khả năng quản
lý hệ thống.

Hình 3.4. Mơ hình tổng thể giải pháp an tồn bảo mật
3.2.2. Đảm bảo an toàn mức vật lý
 Hệ thống điều khiển cửa ra vào
 Hệ thống camera an ninh
 Trực và các quy trình vận hành 24/7
 Các hệ thống cảnh báo về điện, điều hòa, sitescan
3.2.3. Bảo mật mức mạng
3.2.3.1. Hệ thống bảo mật lớp biên với IOS zone based firewall

 Thiết lập danh sách truy cập (access-list) ngăn ngừa các
kết nối bất thường tới hệ thống mạng nội bộ.
 Thiết lập kiểm tra (inspection) ngăn ngừa tấn cơng.
 Đảm bảo dự phịng lớp biên với 2 đường kết nối vật lý ra
internet và megawan.
3.2.3.2. Hệ thống chống Ddos

Sử dụng giải pháp của cisco với các thiết bị ADM (phát hiện các
bất thường), AGM (ngăn ngừa các kết nối DdoS):


Hình 3.5. Mơ hình hoạt động hệ thống chống tấn công DDoS
3.2.3.3. Hệ thống ngăn ngừa xâm nhập ( IPS)

Mô hình:

Hình 3.6. Dữ liệu trao đổi thơng qua IPS

Hệ thống phòng chống xâm nhập được thiết kế với khả năng
giám sát, phát hiện và ngăn chặn các nguy cơ xâm nhập trái
phép, bảo vệ tài nguyên hệ thống mạng. IPS tăng cường giám
sát, chống tấn công và xâm nhập từ Internet vào lớp ứng dụng
mà hệ thống Firewall mạng khơng có khả năng phát hiện.
3.2.3.4. Hệ thống phát hiện xâm nhập IDS

Hệ thống phát hiện xâm nhập sử dụng bộ công cụ mã nguồn mở
OSSIM (open sources sim). Bao gồm nhiều công cụ hỗ trợ trong
việc phát hiện các bất thường và xâm nhập.

Hình 3.7. Mơ hình phân phối các cảm biến được triển khai tại
DC VNPT
Các cảm biến IDS sử dụng các dấu hiệu, rằng buộc đã được định
nghĩa về các bất thường trong mạng để đưa ra các cảnh báo.


3.2.3.5. Hệ thống Firewall tại Datacenter (FWSM)

Firewall sử dụng: Firewall services module của cisco 6509 dạng
module. Với mơ hình:

Hình 3.8. Mơ hình triển khai FWSM tại DC VNPT
3.2.3.6. Các hệ thống giám sát (Network Monitor)

Sử dụng Hệ thống PRTG: Hệ thống PRTG là một hệ thống
giám sát mạng thông qua giao thức smtp, giám sát băng thông,
lưu lượng, kết nối, giúp quản trị mạng cái nhìn trực quan về mức
độ sẵn sàng và khả năng đáp ứng của hệ thống, các bất thường
về băng thông, các đột biến về băng thông và lưu lượng trọng hệ

thống mạng.


Một số hệ thống khác được sử dụng: Hệ thống LMS, Hệ thống
theo dõi Solarwind, Hệ thống theo dõi phân tích syslog.
3.2.4. Bảo mật máy chủ ứng dụng
3.2.4.1. Hệ thống phát hiện điểm yếu

Giải pháp sử dụng: McAfee FoundStone là giải pháp quản lý
đánh giá mức độ an toàn an ninh trong hệ thống.

Hình 3.11. Mơ hình triển khai FoundStone tại mạng VNPT-NET
 Công cụ được đưa vào mạng như một node mạng bình
thường với 1 địa chỉ IP.
 Xác định, phân loại mức độ quan trọng tài nguyên hệ
thống.
 Xác định điểm yếu an ninh, nguy hại trên từng tài nguyên.