Gia cố hệ thống hạ tầng CNTT

COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 1 HIENLTH
Network Security
Lương Trần Hy Hiến
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 2 HIENLTH
Chương 2: (tt)
Gia cố hệ thống
(System Hardening)
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 3 HIENLTH
Nội dung
• Khái niệm
• Gia cố hệ điều hành
• Gia cố hệ thống mạng
• Gia cố ứng dụng
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 4 HIENLTH
Gia cố hệ thống là gì?
• Gia cố hệ thống:
– Là tiến trình theo từng bước để làm cho hệ thống
an toàn nhằm chống lại các truy cập trái phép, đồng
thời giúp cho hệ thống đáng tin cậy hơn.
• Gia cố hệ thống gồm:
– Gia cố hệ điều hành.
– Gia cố hệ thống mạng.
– Gia cố ứng dụng.
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 5 HIENLTH
Tại sao phải gia cố hệ thống?
• Tính toàn vẹn của dữ liệu được đảm bảo.
• Khi hiệu suất cải tiến giúp ta rút ra được kinh nghiệm về
việc nhận biết các dịch vụ không cần thiết; phát hiện
được cấu hình hệ thống thiếu hiệu quả.
• Nếu có một lỗi hệ thống, bạn có thể phục hồi nhanh hơn
-> giảm tối đa thiệt hại khi có sự cố xảy ra.

• Danh tiếng của công ty được bảo vệ (các công ty cho
thuê server, thuê host…).
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 6 HIENLTH
Các bước chính khi gia cố hệ thống
• Bước 1: Đảm bảo rằng phần cứng đó được mạnh mẽ
– Nó phải đủ mới để được coi là đáng tin cậy.
– Xác định các liên kết yếu và có biện pháp tăng cường
(đĩa dự phòng, máy chủ clustering v v).
– Đảm bảo môi trường là máy tính thân thiện (khí hậu,
vị trí v v).
– Cung cấp bảo mật vật lý để loại bỏ giả mạo hoặc
trộm cắp.
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 7 HIENLTH
Các bước chính khi gia cố hệ thống
• Bước 2: Chọn và cài đặt một hệ điều hành vững chắc
– Hệ điều hành mới chưa được thăm dò ồ ạt của tin
tặc. Hệ điều hành đáng tin cậy.
– Có những tính năng quan trọng gồm khả năng hỗ trợ,
các biện pháp chịu đựng lỗi như hỗ trợ UPS, đĩa
RAID, logging, và kiểm soát truy cập (đăng nhập, xác
thực và bảo vệ file).
– Hệ điều hành chỉ hỗ trợ dịch vụ cần thiết.
– Vô hiệu hoá không cần thiết giao thức và hệ thống
con.
– Hủy bỏ, vô hiệu hóa, hoặc đổi tên gọi các tài khoản
“mục tiêu”.
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 8 HIENLTH
Các bước chính khi gia cố hệ thống
– Yêu cầu xác thực mạnh mẽ để truy cập từ xa và từ
nội bộ.

– Quản lý chặt chẽ người dùng và các nhóm để kiểm
soát các quyền không thích hợp.
– Kích hoạt tính năng kiểm toán để theo dõi sự kiện
quan trọng.
– Cài đặt một tường lửa bên thứ 3 và theo dõi các bản
ghi (logs).
– Áp dụng tất cả bản sữa chữa (hot-fixes), bản vá lỗi
(patches) và gói dịch vụ (and service packs) có liên
quan.
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 9 HIENLTH
Các bước chính khi gia cố hệ thống
• Bước 3: Cài đặt và cấu hình hệ thống tập tin
– Cấu hình Access Control Lists (ACL) để loại bỏ quyền
mạnh mẽ và không thích hợp (nhất là Privilege).
– Kích hoạt tính năng kiểm toán để theo dõi sự kiện
quan trọng.
– Bắt đầu bằng cách khóa chặt các thư mục và sau đó
cung cấp quyền điều khiển truy cập cho từng nhóm
sử dụng (user groups).
– Truy cập cho những người sử dụng cụ thể chỉ nên
được thực hiện trên cơ sở ngoại lệ.
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 10 HIENLTH
Các bước chính khi gia cố hệ thống
• Bước 4: Cấu hình ứng dụng / dịch vụ
– Chỉ cài đặt các ứng dụng và dịch vụ cần thiết.
– Chỉ cài đặt phần mềm đã thử nghiệm và được phê
duyệt.
– Hủy bỏ hoặc vô hiệu hóa các ứng dụng không cần
thiết và dịch vụ được cài đặt theo mặc định - loại bỏ
các tập tin nếu có thể.

– Đặt điều khiển truy cập trong các ứng dụng / dịch vụ,
nếu có.
– Áp dụng tất cả bản sữa chữa (hot-fixes), bản vá lỗi
(patches) và gói dịch vụ (and service packs) có liên
quan.
– Xóa đi một vài dữ liệu mẫu (các kịch bản, mẫu trang
web, vv).
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 11 HIENLTH
Các bước chính khi gia cố hệ thống
• Bước 5. Cấu hình máy chủ bên applets / script
– Chỉ cài đặt các ứng dụng thiết yếu, các applet và các
kịch bản.
– Cài đặt thử nghiệm và chỉ được phê duyệt phần mềm.
– Xác minh rằng các applet và các kịch bản chỉ có chức
năng thực hiện dự định của mình.
– Áp dụng tất cả bản sữa chữa (hot-fixes), bản vá lỗi
(patches) và gói dịch vụ (and service packs) có liên
quan
COMP1049 - Bảo mật và An ninh Mạng – Network Security C2 – Part 3 – 12 HIENLTH
Q & A