Nghiên cứu phát triển các giải pháp kiểm soát truy nhập đảm bảo an toàn an ninh cho mạng máy tính

...

Bộ giáo dục và đào tạo

Trường đại học Bách khoa hà nội

lê thanh

Nghiên cứu phát triển các giải pháp
KIểM SOáT TRUY NHậP đảm bảo

an toàn an ninh cho mạng máy tính
Chuyên ngành : bảo Đảm toán học cho máy tính và hệ thống tính toán
MÃ số : 62.46.35.01

luận án tiến sÜ to¸n häc

Ng­êi h­íng dÉn khoa häc :
1. GS.TS. Ngun Thúc Hải
2. TS. Nguyễn Văn Ngọc

Hà Nội 2009


a

Lời cam đoan
Tôi xin cam đoan đây là công trình nghiên cứu của
riêng tôi. Các kết quả đạt được của đề tài nghiên cứu
trong luận án là trung thực và chưa từng được công
bố trong bất kỳ công trình nào.

Người cam đoan

Lê Thanh


b

lời cảm ơn
Tôi xin trân trọng cảm ơn Trường Đại học Sư phạm Thể dục Thể thao Hà
Nội, nơi tôi công tác, Khoa Công nghệ Thông tin (nay là Viện Công nghệ Thông tin
và Truyền thông), Viện Đào tạo Sau Đại học, Trường Đại học Bách khoa Hà Nội
đà tạo mọi điều kiện thuận lợi để tôi hoàn thành bản luận án này.
Tôi xin bày tỏ lòng biết ơn sâu sắc đối với GS. TS. Nguyễn Thúc Hải và
TS. Nguyễn Văn Ngọc Những người Thầy đà hướng dẫn tận tình và giúp đỡ tôi
rất nhiều trong quá trình nghiên cứu.
Tôi xin chân thành cám ơn các Thầy Cô trong Hội đồng Khoa học và Đào
tạo Khoa Công nghệ Thông tin, Trường Đại học Bách khoa Hà Nội, các Thầy Cô
trong Hội đồng chấm Luận án Tiến sĩ.
Tôi xin cảm ơn các Thầy Cô trong Khoa Công nghệ Thông tin, Viện Đào tạo
Sau Đại học, Trường Đại học Bách khoa Hà Nội, đặc biệt là PGS. TS. Đặng Văn
Chuyết, PGS. TS. Nguyễn Thị Hoàng Lan, PGS. TS. Nguyễn Thanh Thuỷ, PGS. TS.
Trần Đình Khang, TS. Hà Quốc Trung đà góp ý cho tôi nhiều ý kiến quý báu. Tôi
cũng chân thành biết ơn những góp ý quý báu của PGS. TS. Đỗ Trung Tuấn, PGS.
TS. Nguyễn Đình Việt, Đại học Quốc gia Hà Nội, TS. Võ Thanh Tú, Khoa Công
nghệ Thông tin, Đại học Khoa học Huế, TS. Trần Ngọc Hà, Viện Công nghệ Xạ
hiếm, TS. Nguyễn Đăng Khoa, Học viƯn Hµnh chÝnh Qc gia vµ PGS. TS. Ngun
Gia HiĨu, TS. Vũ Như Lân, Viện Công nghệ Thông tin. Đặc biệt tôi xin bày tỏ tấm
lòng biết ơn đến NGƯT. PGS. TS. Phạm Khắc Học, NGƯT. Đào Ngọc Dũng và TS.
Phạm Xuân Thành, nơi tôi công tác, đà tạo điều kiện, động viên tôi trong quá trình
nghiên cứu.

Với tấm lòng biết ơn đến các Thầy Cô, các Nhà Khoa học, các đồng nghiệp
và bạn bè thân hữu đà giúp đỡ tôi trong quá trình nghiên cứu.
Kính gửi đến Hương hồn Bố, Mẹ tôi tấm lòng biết ơn sâu nặng. Vợ và các
con cùng những người thân trong gia tộc luôn là nguồn động viên to lớn cho tôi.

Lê Thanh


i

Danh mục các thuật ngữ
An toàn an ninh
Biểu thức kích hoạt sự kiện
Biểu thức thời gian chu kỳ
Các giấy phép mâu thuẫn
Các người dùng mâu thuẫn
Các vai mâu thuẫn
Cấp quyền
Chính sách
Chuẩn mật mà dữ liệu
Dịch vụ cấp phát vé
Dịch vụ xác thực
Điều kiện tiên quyết
Định danh hệ thống
Đối tượng
Gán giấy phép cho vai
Gán người dùng vào vai
Giao thức
Giao thức dữ liƯu ng­êi dïng
Giao thøc ®iỊu khiĨn trun

Giao thøc líp cỉng bảo mật
Giao thức liên mạng
Giao thức phân giải địa chỉ
Giao thøc x¸c thùc
GiÊy chøng nhËn
GiÊy phÐp
GiÊy ủ nhiƯm
HƯ thèng ph¸t hiện xâm nhập Linux
Hệ thống quản lý tài nguyên
Kế thừa giấy phép
Kế thừa kích hoạt
Khoá bí mật
Khoá công khai
Khoá phiên
Khoá riêng
Kiểm soát truy nhập
Kiểm soát truy nhập bắt buộc

Security
Trigger
Periodic time expression
Conflicting permissions
Conflicting users
Conflicting roles
Authorization
Policy
Data encryption standard
Ticket granting service
Authentication service
Prerequisite condition

Principal
Object
Permission-role assignment
User-role assignment
Protocol
User datagram protocol
Transmission control protocol
Secure socket layer protocol
Internet protocol
Address resolution protocol
Authentication protocol
Certificate
Permission
Credentials
Linux Intrusion Detection System
Resource management system
Permission inheritance
Activation inheritance
Secret key
Public key
Session key
Private key
Access control
Mandatory access control


ii

Kiểm soát truy nhập dựa trên vai
Kiểm soát truy nhập dựa trên vai

ràng buộc thời gian
Kiểm soát truy nhập dựa trên vai
ràng buộc thời gian tổng quát
Kiểm soát truy nhập tuỳ ý
Kiểm toán
Lớp cổng bảo mật
Luật thực thi sự phủ nhËn tr­íc
M¸y chđ
M¸y kh¸ch
MËt m· dïng kho¸ bÝ mËt
MËt m· dùng khoá công khai
Người dùng
Người dùng quyền hạn cao nhất
Phát hiện xâm nhập
Phân cấp vai
Phân ly trách nhiệm
Phân ly trách nhiệm động
Phân ly trách nhiệm tĩnh
Phần đầu của gói tin
Phiên
Quan hệ suy diễn
Ràng buộc kích hoạt
Ràng buộc phân ly trách nhiệm
Ràng buộc số lượng
Ràng buộc tạo khả năng
Tác tử tự trị
Thao tác
Tiêu chuẩn
Tin tặc
Trạm chủ

Trung tâm phân phối khoá
Trung tâm phân phối khoá uỷ nhiệm
Tường lửa
Vai
Vị từ trạng thái
Xác thực

Role-based access control
Temporal role-based access control
Generalized temporal role-based access control
Discretionary access control
Audit
Secure socket layer
Denials-take-precedence rule
Server
Client
Secret key encryption
Public key encryption
User
Super-user
Intrusion detection
Role hierarchy
Separation of duty
Dynamic separation of duty
Static separation of duty
Header
Session
Derived relation
Activation constraint
Separation of duty constraint

Cardinality constraint
Enable constraint
Autonomous agent
Operation
Criterion
Hacker
Host
Key distribution center
Proxy Key distribution center
Firewall
Role
Status predicate
Authentication


iii

Bảng viết tắt các cụm từ, thuật ngữ
* Các định danh vai :
vaiCBCT

vai Cán bộ coi thi

vaiCBDT

vai Cán bộ đề thi

vaiGKNK

vai Giám khảo năng khiếu

vaiNVMT

vai Nhân viên máy tính

vaiPTMT

vai Phụ trách máy tính

vaiTBCNK

vai Trưởng ban chấm thi năng khiếu

vaiTBCT

vai Trưởng ban coi thi

vaiTBDT

vai Tr­ëng ban ®Ị thi

vaiTBTK

vai Tr­ëng ban th­ ký

vaiTRDT

vai Trưởng điểm thi

vaiTTGK

vai Tổ trưởng giám khảo

vaiUVTK

vai Uỷ viên thư ký

* Các cụm từ, thuật ngữ:
ARP

Address Resolution Protocol

BAN

Logic do Michael Burrows, Martin Abadi and Roger Needham ®Ị xt

BNF

Backus-Naur Form (ngữ pháp do John Backus và Peter Naur đề xuất)

DAC

Discretionary Access Control

DES

Data Encryption Standard

DNS

Domain Name System

DSD

Dynamic Separation of Duty

GTRBAC

Generalized Temporal Role-Based Access Control

https

hypertext transfer protocol over secure socket layer

IP

Internet Protocol

KDC

Key Distribution Center

LIDS

Linux Intrusion Detection System

MAC

Media Access Control (ví dụ: địa chØ MAC)

iv

MAC

Mandatory Access Control

NIST

National Institute of Standards and Technology

PA

Permission-role Assignment

PKDC

Proxy Key Distribution Center

RBAC

Role-Based Access Control

RH

Role Hierarchy

RMS

Resource Management System

RSA

ThuËt to¸n m· ho¸ khoá công khai do Rivest, Shamir và Adelman đề xuất

SAML

Security Assertion Markup Language

SoD

Separation of Duty

SSD

Static Separation of Duty

SSL

Secure Socket Layer

TCP

Transmission Control Protocol

TRBAC

Temporal Role-Based Access Control

UA

User-role Assignment

UDP

User Datagram Protocol

XACML

eXtensible Access Control Markup Language

XML

eXtensible Markup Language


v

Danh mục các bảng

Bảng 3.1 Các tiêu chuẩn người dïng trong hƯ thèng tun sinh ................... 110
B¶ng 3.2 – Mét tËp con ng­êi dïng víi tiªu chn ng­êi dïng
trong hƯ thèng tun sinh................................................................. 110
B¶ng 3.3 – Mét tËp con vai và yêu cầu tiêu chuẩn người dùng
trong phép gán ng­êi dïng vµo vai trong hƯ thèng tun sinh ........ 111
Bảng 3.4 Một tập con người dùng và các vai được gán cho người dùng
trong hệ thống tuyển sinh................................................................. 113
B¶ng 3.5 – Mét tËp con giÊy phÐp trong hƯ thèng tun sinh ........................... 114
B¶ng 3.6 – Mét tËp con vai và các giấy phép được gán cho vai
trong hệ thèng tuyÓn sinh................................................................. 116

vi

Danh mục các hình vẽ

Hình 1.1 Kiểm soát truy nhập và các dịch vụ an toàn an ninh khác .................. 8
Hình 1.2 Hệ thống an toàn an ninh nhiều lớp cho mạng nội bộ (Intranet) ...... 19
Hình 1.3 Xác thực ba bước trong Kerberos....................................................... 25
Hình 1.4 Minh hoạ giao thức Kerberos theo thời gian ..................................... 26
Hình 1.5 Kiểm soát luồng thông tin đảm bảo tính bảo mật .............................. 30
Hình 1.6 Kiểm soát luồng thông tin đảm bảo tính toàn vẹn ............................. 31
Hình 1.7 Mô hình kiểm soát truy nhập dựa trên vai RBAC96 .......................... 33
Hình 2.1 Xác thực hai bước trong Kerberos-role.............................................. 42
Hình 2.2 Minh hoạ giao thức Kerberos-role theo thời gian ............................. 43
Hình 2.3 Minh hoạ giao thức con đăng ký định danh ....................................... 45
Hình 2.4 Minh hoạ giao thức con lấy vé dịch vụ .............................................. 46
Hình 2.5 Minh hoạ giao thức con yêu cầu dịch vụ ........................................... 48
Hình 2.6 Minh hoạ giao thức con cập nhật định danh ..................................... 49
Hình 2.7 Biểu diễn thời gian có khả năng của các vai trong quan hệ
phân cấp ............................................................................................ 65
Hình 3.1 Các thành phần RBAC và các mối quan hệ của chúng .................. 103
Hình 3.2 Một phần của ngữ pháp X-BNF dùng cho ngôn ngữ đặc tả
ATRBAC-XML ................................................................................. 106
Hình 3.3 Phân cấp vai chức năng trong hệ thống tuyển sinh. ....................... 109
Hình 3.4 Người dùng với tiêu chuẩn và gán người dùng vào vai.................... 117
Hình 3.5 Thông tin vai và gán giấy phép cho vai .......................................... 117
Hình 3.6 Kiểm soát truy nhập của người dùng tới tài nguyên hệ thống ......... 118

vii

Mục lục
Trang
Danh mục các thuật ngữ ............................................................................................ i
Bảng viết tắt các cụm từ, thuật ngữ ....................................................................... iii
Danh mục các bảng ................................................................................................... v
Danh mục các hình vẽ .............................................................................................. vi
Mục lục .....................................................................................................................vii
Phần mở đầu ........................................................................................................ 1
Chương 1 các phương pháp kiểm soát truy nhập
áp dụng cho mạng máy tính
1.1. Mối quan hệ giữa các dịch vụ an toàn an ninh mạng máy tính................. 7
1.1.1. Xác thực, phát hiện xâm nhập và kiĨm so¸t truy nhËp ............................. 7
1.1.2. KiĨm so¸t truy nhËp và các dịch vụ an toàn an ninh khác........................ 8
1.2. Phát hiện xâm nhập ..................................................................................... 10
1.2.1. Phân tích các hệ thống phát hiện xâm nhập theo chức năng .................. 11
1.2.1.1. Phát hiện xâm nhập mức mạng ..................................................... 11
1.2.1.2. Phát hiện xâm nhập mức máy ....................................................... 14
1.2.1.3. Phát hiện xâm nhập mức nhân ...................................................... 16
1.2.2. ưu nhược điểm của các loại hệ thống phát hiện xâm nhập .................... 17
1.2.2.1. Hệ thống phát hiện xâm nhập mức mạng ..................................... 17
1.2.2.2. Hệ thống phát hiện xâm nhập mức máy ....................................... 17
1.2.3. Mô hình an toàn an ninh mạng Intranet với nhiều lớp bảo vệ ................ 18
1.3. Xác thực và logic xác thực ........................................................................... 19
1.3.1. Các phương pháp xác thực ...................................................................... 19
1.3.2. Logic xác thực BAN ............................................................................... 22
1.3.2.1. Các khái niệm và ký pháp cđa logic BAN .................................... 22
1.3.2.2. C¸c lt suy diƠn cđa logic BAN .................................................. 23
1.3.3. HƯ thèng x¸c thùc Kerberos ................................................................... 23

viii

1.4. Kiểm soát truy nhập .................................................................................... 27
1.4.1. Mục đích của kiĨm so¸t truy nhËp.......................................................... 27
1.4.2. C¸c chÝnh s¸ch kiĨm so¸t truy nhËp ....................................................... 27
1.4.3. KiĨm so¸t truy nhËp t ý ...................................................................... 27
1.4.3.1. Nguyên lý kiểm soát truy nhập tuỳ ý ............................................ 27
1.4.3.2. Quản trị cấp quyền trong kiểm soát truy nhập tuỳ ý ..................... 28
1.4.4. Kiểm soát truy nhập bắt buộc ................................................................. 29
1.4.4.1. Nguyên lý kiểm soát truy nhập bắt buộc ...................................... 29
1.4.4.2. Quản trị cấp quyền trong kiểm soát truy nhập bắt buộc ............... 31
1.4.5. Kiểm soát truy nhập dựa trên vai ............................................................ 32
1.4.5.1. Mô hình kiểm soát truy nhập dựa trên vai RBAC96 ..................... 33
1.4.5.2. Mô hình kiểm soát truy nhập dựa trên vai ràng buộc thời
gian TRBAC ................................................................................. 34
1.4.5.3. Mô hình kiểm soát truy nhập dựa trên vai ràng buộc thời
gian tổng quát GTRBAC .............................................................. 35
1.4.5.4. Quản trị cấp quyền trong kiểm soát truy nhập dựa trên vai .......... 37
1.5. KÕt luËn Ch­¬ng 1 ....................................................................................... 39
Ch­¬ng 2 xác thực, kiểm soát truy nhập dựa trên vai
ràng bc thêi gian
2.1. HƯ thèng x¸c thùc Kerberos-role ............................................................... 40
2.1.1. Giao thøc Kerberos-role ......................................................................... 41
2.1.2. C¸c giao thøc con cđa Kerberos-role ...................................................... 43
2.1.2.1. Giao thức đăng ký định danh ........................................................ 44
2.1.2.2. Giao thøc lÊy vÐ dÞch vơ................................................................ 46
2.1.2.3. Giao thøc yêu cầu dịch vụ ............................................................. 47
2.1.2.4. Giao thức cập nhật định danh........................................................ 49

2.1.2.5. Giao thức làm mới vé .................................................................... 50
2.1.3. ¸p dơng logic BAN ph©n tÝch giao thøc Kerberos-role ......................... 51
2.1.3.1. Phân tích giao thức Kerberos-role trường hợp tổng quát .............. 51
2.1.3.2. Phân tích các giao thức con của Kerberos-role ............................. 54


ix

2.2. Phân cấp vai trong mô hình kiểm soát truy nhập dựa trên vai
GTRBAC ..................................................................................................... 58
2.2.1. Các vị từ trạng thái.................................................................................. 58
2.2.2. Sự phân cấp vai theo thời gian dạng không hạn chế ............................... 60
2.2.3. Sự phân cấp vai theo thời gian dạng hạn chế .......................................... 62
2.2.4. Các luật suy diễn trong phân cấp vai với ràng buộc thời gian ................ 68
2.3. Ràng buộc số lượng và phân ly trách nhiệm trong mô hình
GTRBAC ..................................................................................................... 74
2.3.1. Biểu thức thời gian chu kỳ ...................................................................... 74
2.3.2. Toán tử chiếu trên miền trị của vị từ trạng thái ...................................... 76
2.3.3. Biểu diễn các ràng buộc số lượng trong mô hình GTRBAC .................. 78
2.3.4. Phân loại các ràng buộc số lượng, phân ly trách nhiệm trong mô
hình GTRBAC ........................................................................................ 78
2.3.4.1. Các ràng buộc trong việc tạo khả năng, làm mất khả năng
của vai ........................................................................................... 79
2.3.4.2. Các ràng buộc trong các phép gán người dùng vào vai ................. 80
2.3.4.3. Các ràng buộc trong các phép gán giấy phép cho vai ................... 83
2.3.4.4. Các ràng buộc hạn chế kích hoạt vai............................................. 84
2.3.4.5. Các ràng buộc hạn chế khả năng kích hoạt vai ............................. 90
2.3.4.6. Các ràng buộc hạn chế khả năng có được giấy phép cho
người dïng .................................................................................... 94
2.4. KÕt luËn Ch­¬ng 2 ....................................................................................... 99

Ch­¬ng 3 xÂY DựNG KHUNG LàM VIệC CHO Hệ THốNG
KIểM SOáT TRUY NHậP THEO MÔ HìNH
GTRBAC trong mạng nội bộ
3.1. Phân cấp vai và ràng buộc số lượng trong mô hình GTRBAC ............. 102
3.2. Xây dựng khung làm việc ATRBAC-XML ............................................. 104
3.2.1. Ngữ pháp X-BNF dùng cho ngôn ngữ đặc tả khung lµm viƯc
ATRBAC-XML .................................................................................... 105


x

3.2.2. Đặc tả chính sách của khung làm việc ATRBAC-XML cho hệ
thống tuyển sinh ................................................................................... 107
3.2.2.1. Đặc tả các tài liƯu chÝnh s¸ch ...................................................... 108
3.2.2.2. ChÝnh s¸ch tun sinh trong ATRBAC-XML ............................. 115
3.2.3. Đánh giá hệ thống tuyển sinh trong ATRBAC-XML .......................... 119
3.3. KÕt luËn Ch­¬ng 3 ..................................................................................... 120
KÕt luËn và kiến nghị .............................................................................. 121
các công trình khoa học liên quan đến luận án ................. 123
Tài liệu tham khảo .................................................................................... 124
Phô lôc ............................................................................................................... 130


1

Phần mở đầu
Cùng với sự bùng nổ của công nghệ thông tin và viễn thông, các dịch vụ và
giao dịch trên mạng ngày càng phát triển nhanh chóng với qui mô rộng khắp. Nhu
cầu đảm bảo an toàn an ninh thông tin trở nên cấp thiết. Trong bối cảnh mạng
Internet phát triển mạnh mẽ và tình hình xâm phạm an ninh mạng ngày càng nhiều

thì yêu cầu về bảo vệ an toàn truy nhập mạng trở nên cấp bách và việc nghiên cứu
phát triển các giải pháp kiểm soát truy nhập mạng đang thu hút sự quan tâm của
nhiều nhà khoa häc trªn thÕ giíi. HiƯn nay cã nhiỊu h­íng tiếp cận và giải pháp kỹ
thuật đà được nghiên cứu và triển khai về vấn đề này.
Một mô hình kiểm soát truy nhập xuất hiện trong những năm gần đây là mô
hình kiểm soát truy nhập dựa trên vai RBAC (Role-Based Access Control). Mô hình
RBAC là một lựa chọn tốt thay thế các mô hình kiểm soát truyền thống : kiĨm so¸t
truy nhËp t ý DAC (Discretionary Access Control), kiĨm soát truy nhập bắt buộc
MAC (Mandatory Access Control). Mặc dù còn có một số hạn chế về đặc tính kế
thừa, nhưng RBAC đà thể hiện một số đặc tính ưu việt như : chính sách trung lập,
trợ giúp đặc quyền tối thiểu, quản lý kiểm soát truy nhập hiệu quả hơn các mô hình
kiểm soát truyền thống [33], [42]. Các mô hình kiểm soát truy nhập dựa trên vai
hiện đang được nhiều nhà nghiên cứu quan tâm trong việc phân tích và lập mô hình
về mặt lý thuyết cũng như trong việc thiết kế cơ sở hạ tầng an toàn, an ninh cho hệ
thống quản lý tài nguyên của một tỉ chøc [28], [29], [31], [37], [47].
Trong kiĨm so¸t truy nhập, kiểm soát các ràng buộc về thời gian để kiểm
soát việc sử dụng tài nguyên là một yêu cầu bắt buộc. Đề cập về các yêu cầu kiểm
soát truy nhập theo thời gian, Bertino và cộng sự đề xuất một mô hình kiểm soát
truy nhập dựa trên vai ràng bc thêi gian TRBAC (Temporal Role-Based Access
Control) [3], mµ míi đây đà được Joshi và cộng sự tổng quát hoá trong mô hình
kiểm soát truy nhập dựa trên vai ràng bc thêi gian tỉng qu¸t GTRBAC
(Generalized Temporal Role-Based Access Control) [15]. Tầm quan trọng của các
quan hệ phân cấp vai và việc nghiên cứu, sử dụng chúng trong các mô hình RBAC
đà được chú ý đến trong một số công trình [9], [12], [13], [22], [26], [35].
Mô hình GTRBAC có một tập ràng buộc thời gian đáp ứng tất cả các mặt
cần cho kiểm soát truy nhập. Các cấu trúc ngôn ngữ của mô hình này cho phép đặc
tả các ràng buộc thời gian trên các vai, trong việc gán người dùng vào vai và gán
giấy phép cho vai, trong viƯc kÝch ho¹t vai.

2

Trong mäi hƯ thèng kiĨm so¸t truy nhËp, x¸c thùc là điều kiện tiên quyết,
nghĩa là trước hết một người dùng cần được xác thực định danh, sau đó hệ thống
mới thực thi kiểm soát truy nhập để cấp quyền cho người dùng này. Yong Yan và
cộng sự - Phòng thí nghiệm Các hệ thống Phương tiện và Di động, Công ty HewlettPackard, Mỹ - năm 2002 đà mô tả kết quả cài đặt thực nghiệm một giao thức xác
thực kiểu Kerberos, tích hợp thông tin vai của các định danh hệ thống vào vé dịch
vụ nhằm thực hiện xác thực kết hợp với kiểm soát truy nhập dựa trên vai [46]. Tuy
nhiên, trong báo cáo kỹ thuật này, Yong Yan và cộng sự dùng phương pháp thực
nghiệm để xây dựng giao thức, mà không sử dụng phương pháp giải tích để đưa ra
chứng minh hình thức tính đúng đắn, tính hội tụ của giao thức này. Hơn nữa, kiểm
soát truy nhập dựa trên vai mà Yong Yan và cộng sự sử dụng dựa trên mô hình
RBAC, không có các ràng buộc thời gian trong việc tạo khả năng cho vai, trong
việc gán người dùng vào vai, gán giấy phép cho vai, trong việc hạn chế khả năng
kích hoạt vai của mô hình GTRBAC.
Dựa trên mô tả kết quả cài đặt thực nghiệm giao thức xác thực do Yong Yan
và cộng sự đề xuất, chúng tôi trình bày một giao thức xác thực kiểu Kerberos đÃ
tích hợp thông tin vai (role) của định danh người dùng vào trong vé dịch vụ nhằm
thực hiện xác thực kết hợp với kiểm soát truy nhập dựa trên vai theo mô hình
GTRBAC. Chúng tôi gọi giao thức xác thực này là Kerberos-role. Để chứng minh
tính đúng đắn, tính hội tụ của Kerberos-role bằng phương pháp giải tích, chúng tôi
biểu diễn các thông báo của giao thức Kerberos-role dưới dạng hình thức bằng ký
pháp của logic BAN (logic do Michael Burrows, Martin Abadi vµ Roger Needham
đề xuất năm 1989) và dùng logic BAN để phân tích giao thức này. Kerberos-role
được cải tiến từ giao thức x¸c thùc Kerberos, thùc hiƯn x¸c thùc hai b­íc, nh­ng
vÉn đảm bảo an toàn như giao thức xác thực Kerberos. Luận án cũng đi sâu nghiên
cứu phát triển các quan hệ phân cấp vai, các ràng buộc số lượng, phân ly trách
nhiệm của mô hình GTRBAC. Từ đó đề xuất, xây dựng khung làm việc thực thi
kiểm soát truy nhập dựa trên vai dùng cho mạng nội bộ của một tổ chức.
Dựa trên phân tích các nghiên cứu ở trên, đề tài luận án định ra mục tiêu :

Nghiên cứu phát triển mô hình xác thực, kiểm soát truy nhập dựa trên vai ràng
buộc thời gian, nhằm đảm bảo an toàn an ninh cho mạng máy tính.
Để đạt được mục tiêu của đề tài luận án, cần thực hiện các nhiƯm vơ sau:


3

Thứ nhất: Biểu diễn dạng hình thức giao thức xác thực Kerberos-role và các
giao thức con của nó; dùng phương pháp giải tích để chứng minh hình thức tính
đúng đắn, tính hội tụ của giao thức Kerberos-role và các giao thức con này.
Thứ hai: Nghiên cứu phát triển các quan hệ phân cấp vai của mô hình kiểm
soát truy nhập dựa trên vai ràng buộc thời gian tổng quát GTRBAC; chứng minh
tính bắc cầu của các loại phân cấp vai, tính đúng đắn của tập luật suy diễn trong
khoảng thời gian chu kỳ đối với các quan hệ phân cấp vai theo thời gian. Mục đích
của các luật suy diễn là để có được tất cả các quan hệ suy diễn trong một tập vai. Từ
đó cũng xác định được tập tối thiểu các quan hệ phân cấp giữa các vai trong một tập
vai dùng cho mục đích cài đặt thực tế.
Thứ ba: Biểu diễn hình thức các ràng buộc số lượng chủ yếu của mô hình
GTRBAC bằng biểu thức toán học so sánh số phần tử của một tập hợp với một số
nguyên dương n. Biểu diễn các ràng buộc phân ly trách nhiệm - trường hợp đặc biệt
của các ràng buộc số lượng khi n =1. Từ đó chứng minh các mối quan hệ tương
đương giữa một số ràng buộc phân ly trách nhiệm SoD (Separation of Duty) nhằm
tối thiểu hoá tập ràng buộc SoD này trong cài đặt thực tế.
Thứ tư: Phát triển khung làm việc cho mô hình GTRBAC, đề xuất khung làm
việc thực thi kiểm soát truy nhập dựa trên vai ràng buộc thời gian căn cứ theo nội
dung thông tin và thông tin ngữ cảnh dùng cho mạng nội bộ của một tổ chức.
Thứ năm: Kiểm nghiệm kết quả nghiên cứu lý thuyết về các quan hệ phân
cấp vai, các ràng buộc số lượng, phân ly trách nhiệm trong khung làm việc đề xuất
ở trên bằng thực nghiệm.
Luận án đà sử dụng hai phương pháp nghiên cứu chủ yếu là :

Phương pháp giải tích: áp dụng logic BAN trong việc phân tích và chứng
minh hình thức tính đúng đắn, tÝnh héi tơ cđa giao thøc Kerberos-role. Chøng minh
tÝnh b¾c cầu của các loại quan hệ phân cấp vai, tính đúng đắn của tập luật suy diễn
đối với các quan hƯ ph©n cÊp vai theo thêi gian, mèi quan hƯ tương đương giữa một
số ràng buộc phân ly trách nhiệm.
Phương pháp thực nghiệm: Kiểm nghiệm kết quả nghiên cứu lý thuyết về các
quan hệ phân cấp vai, các ràng buộc số lượng và phân ly trách nhiệm trong khung
làm việc cho hệ thống kiểm soát truy nhập theo mô hình GTRBAC trong mạng nội
bộ của một tổ chức thông qua thử nghiệm cài đặt.
Về mặt khoa học, đề tài sử dụng phương pháp giải tích chứng minh hình thức
tính ®óng ®¾n, tÝnh héi tơ cđa giao thøc Kerberos-role, mét giải pháp tích hợp bước



4

đầu giữa xác thực và kiểm soát truy nhập dựa trên vai. Nghiên cứu phát triển mô
hình kiểm soát truy nhập dựa trên vai GTRBAC về các mặt:
Chứng minh tính bắc cầu của các loại phân cấp vai, tính đúng đắn của tập
luật suy diễn trong các quan hệ phân cấp vai theo thời gian, xác định trong khoảng
thời gian chu kỳ.
Biểu diễn hình thức dưới dạng biểu thức toán học các ràng buộc số lượng chủ
yếu của mô hình GTRBAC và chứng minh mối quan hệ tương đương giữa một số
ràng buộc phân ly trách nhiệm của mô hình này.
Phát triển khung làm việc của mô hình GTRBAC: Đề xuất khung làm việc
ATRBAC-XML thực thi kiểm soát truy nhập dựa trên vai căn cứ theo nội dung
thông tin và thông tin ngữ cảnh dùng cho mạng néi bé cđa mét tỉ chøc.
 KiĨm nghiƯm kÕt qu¶ nghiên cứu lý thuyết về các quan hệ phân cấp vai, các
ràng buộc số lượng và phân ly trách nhiệm trong khung làm việc ATRBAC-XML.
Về mặt thực tiễn, khung làm việc này bước đầu được kiểm nghiệm trong hệ

thống kiểm soát truy nhập thông tin tuyển sinh của một trường đại học ở Việt Nam
có thi môn năng khiếu.
Về mặt cấu trúc, luận án bao gồm phần mở đầu, ba chương nội dung, phần
kết luận, tài liệu tham khảo, phụ lục. Trong mỗi chương đều có dẫn nhập và tóm tắt
nội dung của chương.
Chương 1 trình bày về phát hiện xâm nhập, xác thực, kiểm soát truy nhập
mạng máy tính và mối liên quan mật thiết giữa chúng. Đặc biệt là kiểm soát truy
nhập dựa trên vai ràng buộc thời gian.
Chương 2 trình bày về các vấn đề sau:
Giao thức xác thực kiểu Kerberos, do Yong Yan và cộng sự đề xuất, được chúng
tôi gọi là Kerberos-role, cải tiến từ giao thức xác thực Kerberos, tích hợp thông
tin vai của định danh người dùng vào trong vé dịch vụ nhằm thực hiện xác thực
kết hợp với kiểm soát truy nhập dựa trên vai. Sử dụng logic BAN để phân tích và
chứng minh hình thức tính đúng đắn của giao thức Kerberos-role.
Nghiên cứu phát triển các quan hệ phân cấp vai trong mô hình kiểm soát truy
nhập dựa trên vai ràng buộc thời gian tổng quát GTRBAC. Chứng minh tính bắc
cầu của các loại quan hệ phân cấp vai, tính đúng đắn của tập luật suy diễn trong
khoảng thời gian chu kỳ đối với các quan hệ phân cấp vai theo thời gian.
Biểu diễn hình thức dưới dạng biểu thức toán học các ràng buộc số lượng của mô
hình GTRBAC, trường hợp đặc biệt là các ràng buộc phân ly trách nhiệm, nhằm


5

xây dựng một khung làm việc chi tiết cho việc biểu diễn các ràng buộc số lượng
nói chung và các ràng buộc phân ly trách nhiệm nói riêng. Chứng minh mối quan
hệ tương đương giữa một số ràng buộc phân ly trách nhiệm.
Chương 3 trình bày về các vấn đề sau:
Xây dựng khung làm việc thực thi kiểm soát truy nhập dựa trên vai căn cứ vào
nội dung thông tin và thông tin ngữ cảnh, cụ thể là thời gian truy nhËp, trong

m¹ng néi bé cđa mét tỉ chøc theo mô hình GTRBAC, có bổ sung khái niệm
tiêu chuẩn người dùng trong điều kiện gán người dùng vào vai.
Xây dựng ngữ pháp X-BNF (XML kết hợp với kiểu ngữ pháp Backus-Naur
Form) dùng cho ngôn ngữ đặc tả tập các người dùng, tập các vai, tập các giấy
phép và các mối quan hệ của chúng, làm tăng hiệu quả của khung làm việc này.
Kiểm nghiệm kết quả nghiên cứu lý thuyết về các quan hệ phân cấp vai, các ràng
buộc số lượng và phân ly trách nhiệm trong khung làm việc ATRBAC-XML mà
bước đầu được kiểm nghiệm trong hệ thống kiểm soát truy nhập thông tin tuyển
sinh của một trường đại học ở Việt Nam có thi môn năng khiếu.
Nội dung cơ bản của luận án đà được trình bày và thảo luận tại các xê-mi-na
khoa học, hội nghị, hội thảo về công nghệ thông tin quốc gia. Các kết quả chính của
luận án đà được công bố trong 5 bài báo đăng trong tạp chí chuyên ngành và kỷ yếu
hội thảo quốc gia về công nghệ thông tin.
Bước đầu, chúng tôi đánh giá các kết quả đạt được của luận án và so sánh với
các công trình có liên quan của các tác giả khác như sau:
Mô hình TRBAC đặc tả các ràng buộc thời gian trong việc tạo khả năng cho
vai, cung cấp một cơ chế để thực thi kiểm soát truy nhập ràng buộc thời gian [3].
Mô hình GTRBAC là mở rộng của mô hình TRBAC [15]. Nó có khả năng cung cấp
một miền ràng buộc thời gian rộng lớn bao gồm các ràng buộc thời gian chu kỳ
cũng như các ràng buộc độ dài thời gian trong việc gán người dùng vào vai, gán
giấy phép cho vai và kích hoạt vai; đồng thời đưa ra các loại phân cấp kế thừa giấy
phép, phân cấp kÕ thõa kÝch ho¹t vai [36]. Trong [4], Rafae Bhatti và cộng sự đưa ra
một khung làm việc kiểm soát truy nhập trong xí nghiệp lớn dựa trên mô hình
GTRBAC, cã bỉ sung kh¸i niƯm “giÊy chøng nhËn” (certificate) cđa người dùng
trong việc gán người dùng vào vai. Cụ thể điều kiện tiên quyết cho phép gán vai cấp
trên cho một người dùng là người dùng này đang là thành viên của vai cấp dưới kề
cận. Điều này gây cứng nhắc trong phép gán người dùng vào vai. Chúng tôi khắc
phục điều này bằng việc đưa ra khái niệm tiêu chuÈn” ng­êi dïng, bao gåm c¸c

6

tiêu chí về trình độ, năng lực chuyên môn, lĩnh vực và đơn vị công tác, với sự linh
hoạt trong những điều kiện gán người dùng vào vai.
Một số công trình công bố gần đây về kiểm soát truy nhập nhận biết ngữ
cảnh và an toàn an ninh dựa trên XML (eXtensible Markup Language) [51], đáng
chú ý là Ngôn ngữ định dạng xác nhận an toàn SAML (Security Assertion Markup
Language) [48] và Ngôn ngữ định dạng kiểm soát truy nhập XACML (Extensible
Access Control Markup Language) [49]. Trong khi SAML chñ yếu định hướng như
là một cơ chế xác nhận thì XACML lại nhằm mục đích cấp quyền dựa trên Web.
XACML dựa trên sự mở rộng XML để xác định một đặc tả kiểm soát truy nhập trợ
giúp các khái niệm tương tự với các khái niệm về giấy chứng nhận người dùng và
các phép gán đặc quyền dựa trên ngữ cảnh. Tuy nhiên nó không trợ giúp trực tiếp
khái niệm về các vai và vì thế không có các đặc tính chủ yếu như là các ràng buộc
số lượng và phân ly trách nhiệm, sự phân cấp vai như trong mô hình GTRBAC.
Trong mô hình GTRBAC, Joshi và cộng sự biểu diễn các ràng buộc phân ly
trách nhiệm khi dùng quan hệ kéo theo giữa các vị từ trạng thái [18]. Phương pháp
này gặp nhiều khó khăn khi áp dụng cho các ràng buộc số lượng với số nguyên
dương n t ý (n = 1, 2,...). Chóng t«i dïng biĨu thức toán học so sánh số phần tử
của một tập hợp với một số nguyên dương n để biểu diễn các ràng buộc số lượng,
trường hợp đặc biệt khi n =1 sẽ được các ràng buộc phân ly trách nhiệm SoD. Từ đó
bằng các phép toán tập hợp, chứng minh được các mối quan hệ tương đương giữa
một số ràng buộc SoD nhằm tối thiểu hoá tập ràng buộc này trong cài đặt thực tế.
Việc thực thi các ràng buộc ngữ cảnh nói chung và khung làm việc thực thi kiểm
soát truy nhập với các ràng buộc địa điểm truy nhập trong mô hình RBAC nhận biết
ngữ cảnh đà được một số tác giả đề cập đến [23], [30]. Trong luận án này, chúng tôi
đề cập đến khung làm việc thực thi kiểm soát truy nhập dựa trên nội dung thông tin
và thông tin ngữ cảnh là các ràng buộc thêi gian.

7

Chương 1 các phương pháp kiểm soát truy nhập
áp dụng cho mạng máy tính
Chương này đưa ra cái nhìn tổng quan về mối quan hệ mật thiết giữa các
dịch vụ an toàn an ninh chủ yếu: xác thực, phát hiện xâm nhập và kiểm soát truy
nhập, hình thành cơ sở hạ tầng an toàn an ninh cho mạng máy tính. Đặc biệt là quan
hệ không thể tách rời giữa xác thực và kiểm soát truy nhập: xác thực là điều kiện
tiên quyết của kiểm soát truy nhập; kiểm soát truy nhập công nhận người dùng đÃ
được xác thực là người dùng hợp pháp và tiếp tục xem xét việc cấp quyền cho người
dùng này trong hệ thống tài nguyên được bảo vệ. Mục tiêu đầu tiên của luận án là
nghiên cứu giải pháp tích hợp các dịch vụ an toàn an ninh này trong một khung làm
việc kiểm soát truy nhËp cho m¹ng néi bé cđa mét tỉ chøc. Vì vậy, chương này cần
phải làm rõ nội dung, đánh giá ưu nhược điểm của các phương pháp xác thực, các
kiểu phát hiện xâm nhập, các mô hình kiểm soát truy nhập kinh điển và tiên tiến.
1.1. Mối quan hệ giữa các dịch vụ an toàn an ninh mạng máy tính
1.1.1. Xác thực, phát hiện xâm nhập và kiểm soát truy nhập
Trong một hệ thống quản lý tài nguyên của một tổ chức RMS (Resource
Management System), hạ tầng cơ sở an toàn an ninh là một trong những thành phần
quan trọng nhất. Các bộ phận chính cấu thành lên cơ sở hạ tầng an toàn, an ninh
cho một hệ thống thông tin đó là: xác thực, kiểm soát truy nhập và kiểm toán.
Xác thực nhằm xác minh định danh của một đối tác cho một đối tác khác.
Cách xác thực thông thường nhất là chứng minh định danh của một người dùng khi
đăng nhập hệ thống, thường là bằng mật khẩu. Nói chung, xác thực có thể là máy
tính với máy tính, tiến trình với tiến trình và xác thực theo hai hướng.
Trong kiểm soát truy nhập, người dùng hợp pháp bị hạn chế chỉ được truy
nhập vào những tài nguyên và đối tượng nào đó, với những thao tác nhất định. Kiểm
soát truy nhập thường đòi hỏi xác thực như là một điều kiện tiên quyết, tức là điều
kiện bắt buộc phải hoàn thành trước khi thực thi kiểm so¸t truy nhËp.

8

Tiến trình kiểm toán thu lượm thông tin dữ liệu về các hoạt động diễn ra
trong hệ thống và phân tích nó để phát hiện các vi phạm an toàn an ninh và chẩn
đoán nguyên nhân dẫn đến các vi phạm này. Việc phân tích có thể xảy ra độc lËp
sau sù kiƯn hc trùc tun trong thêi gian thùc, song song với diễn tiến của sự
kiện. Tiến trình phân tích các sự kiện được thực hiện đồng thời với diễn tiến của sự
kiện theo thời gian thực thì được gọi là phát hiện xâm nhập. Phát hiện xâm nhập
nhằm giám sát và ngăn chặn những truy nhập trái phép vào mạng. Các truy nhập
này thường làm tổn hại hệ thống hay lạm dụng tài nguyên của hệ thống [40].
1.1.2. Kiểm soát truy nhập và các dịch vụ an toàn an ninh khác
Nhân viên quản
trị an toàn

Cơ sở dữ liệu
cấp qun
------ ----------- --------------------------------------------------- ----------- ------------------------------- ------ ---------------------

Bé gi¸m s¸t
tham chiÕu
Ng­êi dùng

Xác thực

Bản ghi
hoạt động
------------------------------------------------

Đối tượng

Kiểm soát
truy nhập
Kiểm toán,
phát hiện xâm nhập

Hình 1.1 Kiểm soát truy nhập và các dịch vụ an toàn an ninh khác
Kiểm soát truy nhập dựa trên các dịch vụ an toàn an ninh khác và tồn tại
cùng với chúng trong một hệ thống máy tính (Hình 1.1). Kiểm soát truy nhập hạn
chế hoạt động của người dùng hợp pháp, chỉ cho phép họ truy nhập vào những tài
nguyên và đối tượng nhất định, với các thao tác nhất định. Nó được thực thi bởi bộ
giám sát tham chiếu; bộ này là trung gian giữa các truy nhËp cña mét ng­êi dïng


9

hoặc các chương trình thực hiện nhân danh người dùng với những đối tượng trong
hệ thống.
Bộ giám sát tham chiếu tra cứu một sơ sở dữ liệu cấp quyền để xác định xem
người dùng đang cố gắng thực hiện một thao tác thì có thực sự được cấp quyền để
thực hiện thao tác này hay không. Người quản trị an toàn quản lý và bảo trì cơ sở dữ
liệu cấp quyền. Người quản trị thiết lập các cấp quyền này trên cơ sở chính sách an
toàn an ninh của tổ chức. Người dùng cũng có khả năng thay đổi một phần của cơ
sở dữ liệu cấp quyền, chẳng hạn như thiết lập các giấy phép cho các tệp sở hữu
riêng của họ. Kiểm toán giám sát và lưu giữ bản ghi của các hoạt động có liên quan
trong hệ thống [32].
Hình 1.1 đưa ra bức tranh logic về các dịch vụ an toàn an ninh và sự tương
tác giữa chúng. Tuy nhiên, trên thực tế cơ sở dữ liệu cấp quyền thường được đặt
cùng với các đối tượng được bộ giám sát tham chiếu bảo vệ hơn là được cất giữ
trong một vùng vật lý tách riêng. Trong thực tế, sự phân tách giữa xác thực, kiểm

soát truy nhập, kiểm toán và các dịch vụ quản trị có thể không tách biệt rõ ràng như
trong Hình 1.1. Nó không phải luôn được cài đặt chính xác như vậy trong tất cả các
hệ thống.
Điều quan trọng là tạo ra một sự phân biệt rõ ràng giữa xác thực và kiểm soát
truy nhập. Việc xác minh đúng định danh người dùng là trách nhiệm của dịch vụ
xác thực. Kiểm soát truy nhập thừa nhận rằng việc xác thực người dùng đà được
kiểm tra thành công trước khi thi hành kiểm soát truy nhập thông qua bộ giám sát
tham chiếu. Tính hiệu quả của kiểm soát truy nhập dựa trên việc định danh người
dùng cụ thể và dựa trên tính chính xác của các cấp quyền quản lý bộ giám sát tham
chiếu [32].
Thông thường tiến trình ký xác thực trên hệ thống máy tính thông qua việc
cung cấp một định danh và một mật khẩu. Trong một môi trường mạng, việc xác
thực trở lên khó khăn hơn vì nhiều nguyên nhân. Nếu như kẻ xâm nhập có thể quan
sát lưu thông mạng thì chúng có thể đối phó với các giao thức xác thực để giả danh
là người dùng hợp pháp. Do vậy, máy tính trên mạng cần được xác thực lẫn nhau.


10

Kiểm soát truy nhập không phải là một giải pháp đầy đủ để đảm bảo an toàn
cho một hệ thống. Nó phải được thực thi đi kèm với kiểm toán. Kiểm toán bao gồm
việc phân tích tất cả các yêu cầu và hoạt động của người dùng trong hệ thống. Kiểm
toán đòi hỏi sự lưu giữ tất cả các yêu cầu và hoạt động của người dùng để phân tích
chúng. Kiểm toán thì hữu ích cả với nghĩa ngăn chặn (người dùng có thể được cảnh
báo để không có các vi phạm cố tình nếu họ biết rằng các yêu cầu của họ đang bị
theo dõi) cũng như là một phương tiện để phân tích hành vi người dùng sử dụng hệ
thống để tìm hiểu về các vi phạm đà xảy ra và các vi phạm tiềm tàng. Hơn nữa,
kiểm toán có thể hữu ích trong việc xác định các lỗ hổng trong hệ thống an toàn.
Cuối cùng, kiểm toán thực chất là để đảm bảo rằng người dùng được cấp quyền thì
sẽ không lạm dụng đặc quyền của họ. Nói một cách khác, nó giữ cho người dùng

được kiểm toán về các hoạt động của họ. Việc kiểm toán muốn đạt hiệu quả cao
bao giờ cũng đòi hỏi việc xác thực được thực thi hoàn hảo chính xác. Trong trường
hợp việc phân tích kiểm toán diễn ra trực tuyến trong thêi gian thùc, song song víi
diƠn tiÕn cđa sù kiện thì tiến trình phân tích trực tuyến thường được gọi là phát hiện
xâm nhập.
Trong chương này sẽ phân tích các hệ thống phát hiện xâm nhập theo chức
năng và đánh giá ưu nhược điểm của các loại hệ thống phát hiện xâm nhập mức
mạng, mức máy ở Mục 1.2. Tiếp đó, luận án đề cập đến logic xác thực và các loại
xác thực ở Mục 1.3. Trong Mục 1.4 ®Ị cËp ®Õn c¸c chÝnh s¸ch kiĨm so¸t truy nhËp
kinh điển được sử dụng phổ biến trong các hệ thống mạng máy tính ngày nay: kiểm
soát truy nhập tuỳ ý; kiểm soát truy nhập bắt buộc và đặc biệt là kiểm soát truy
nhập dựa trên vai được đề xuất trong những năm gần đây (Mục 1.4.5).
1.2. Phát hiện xâm nhập
Cùng với sự phát triển của Internet, nhu cầu về các hệ thống an toàn an ninh
cho một mạng máy tính nói chung và cho từng máy tính nói riêng ngày càng trở
nên cấp thiết, với đòi hỏi luôn luôn phải hoàn thiện hơn. Một dạng phần mềm an
toàn đáp ứng nhu cầu này, đó là các hệ thống phát hiện xâm nhập. Về mặt ngữ
nghĩa, phát hiện xâm nhập là cố gắng giám sát và ngăn chặn những cuộc truy nhập
trái phép không được cấp quyền, dù là của đối tượng nào, vào một mạng nói chung


11

và vào một máy tính nói riêng, làm tổn hại hệ thống hay lạm dụng các tài nguyên
của hệ thống [8], [40].
Để ngăn chặn sự truy nhập không được cấp quyền, một số công cụ đà được
sử dụng như: tường lửa (Firewall), các hệ thống xác thực [43]. Tuy nhiên, việc thiết
lập các bức tường lửa đơn giản hoặc các hệ thống xác thực đôi khi cũng bị các tin
tặc giỏi chọc thủng. Chính vì thế cần có hệ thống phát hiện xâm nhập bổ sung thêm
cho cơ chế an ninh. Nó là một tập các cơ chế được đặt vào vị trí báo động khi xuất

hiện các truy nhập không được cấp quyền. Nó cũng có thể có một số biện pháp cấm
truy nhập đối với những kẻ xâm nhập.
Khi đặt bộ phát hiện xâm nhập mức mạng giữa tường lửa và hệ thống cần
bảo vệ, nó tạo thêm một lớp bảo vệ cho hệ thống này. Chẳng hạn việc giám sát các
truy nhập từ Internet vào các cổng dữ liệu nhạy cảm của hệ thống được bảo vệ có
thể xác định được hai điều: hoặc tường lửa có thể đà bị làm tổn hại, hoặc một cơ
chế chưa từng biết đến đà vượt qua được các cơ chế kiểm soát của tường lửa để truy
nhập trái phép vào mạng cần bảo vệ.
1.2.1. Phân tích các hệ thống phát hiện xâm nhập theo chức năng
Các hệ thống phát hiện xâm nhập có thể được chia thành 3 loại chủ yếu: phát
hiện xâm nhập mức mạng; phát hiện xâm nhập mức máy; phát hiện xâm nhập mức
nhân (kernel) [8].
1.2.1.1. Phát hiện xâm nhập mức mạng
Các hệ thống loại này được đặt trên mạng, gần kề hệ thống đang được giám
sát bảo vệ. Chúng kiểm soát lưu thông trên toàn bộ phân đoạn mạng chứa hệ thống
cần bảo vệ và xác định xem sự lưu thông này có nằm trong phạm vi được phép hay
không. Cạc giao diện mạng có thể hoạt động ở một trong hai phương thức sau:
ã

Phương thức thường: Các gói tin đi tới máy tính cần bảo vệ (được xác định
bởi địa chỉ MAC của gói tin) thì được phát sinh lại qua trạm chủ (Host).

ã

Phương thức chung: Tất cả các gói tin được bắt gặp trên phân đoạn mạng thì
được phát sinh lại qua trạm chủ.


12

Cạc mạng có thể được chuyển mạch từ phương thức thường sang phương
thức chung và ngược lại. Để tạo ra sự chuyển đổi này, phải dùng chức năng mức
thấp của hệ điều hành để giao tiếp trực tiếp với cạc mạng. Thông thường các hệ
thống phát hiện xâm nhập đòi hỏi cạc giao diện mạng ở phương thức chung.
Các bộ rà gói tin và các bộ giám sát mạng:

Các bộ rà gói tin (Packet sniffer) và bộ giám sát mạng (Network Monitor)
nắm bắt tất cả các gói tin mà chúng bắt gặp trên phân đoạn mạng. Một khi các gói
tin đà bị nắm bắt, thì có một số khả năng sau:
ã

Các gói tin có thể bị đếm: Đếm số lần một gói tin đà đi qua và gắn con số đó
vào phần đầu (header) của gói tin này trên một chu kỳ thời gian. Điều này sẽ
cung cấp một chỉ báo cụ thể về tình hình chịu tải của mạng nặng nề ra sao.

ã

Các gói tin có thể bị kiểm tra chi tiết, chẳng hạn nếu muốn nắm bắt một tập
gói tin đi tới một máy chủ Web để chẩn đoán một số vấn đề liên quan tới
máy chủ này (Server).
Hiện nay có những bộ giám sát mạng có thể phân rà những thành phần bên

trong của nhiều loại gói tin để tìm ra các kiểu thông tin xuất hiện trong gói tin này.
Tuy nhiên, các bộ rà gói tin có thể được sử dụng cho cả mục đích tốt cũng như mục
đích xấu. Chẳng hạn, việc rà gói tin có thể được dùng để tìm ra mật khẩu của một
người dùng nào đó bằng cách rà các gói tin gửi tới máy mà chúng kết nối. Một khi
kẻ tấn công đà làm tổn hại một mạng, điều đầu tiên chúng có thể làm là cài đặt bộ
rà gói tin.
Rà gói tin và phương thức chung:

Tất cả các bộ rà gói tin đều đòi hỏi cạc giao diện mạng tuân theo phương
thức chung. Bởi vì chỉ ở phương thức này thì mỗi gói tin nhận được từ cạc mạng
mới được đi tới bộ rà gói tin. Thông thường, bộ rà gói tin đòi hỏi quyền ưu tiên
quản trị hệ thống trên máy dùng cho mục đích rà gói tin này. Do vậy, phần cứng
của cạc mạng có thể được điều khiển ở phương thức chung.