Nghiên cứu về biện pháp an ninh cho ứng dụng điện toán đám mây saas (tt)

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
---------------------------------------

ĐẶNG ANH TUẤN

NGHIÊN CỨU VỀ BIỆN PHÁP AN NINH CHO
ỨNG DỤNG ĐIỆN TOÁN ĐÁM MÂY SAAS

Chun ngành: Khoa học máy tính

Mã số: 60.48.01.01

TĨM TẮT LUẬN VĂN THẠC SĨ

HÀ NỘI - 2014


Luận văn được hồn thành tại:
HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG

Người hướng dẫn khoa học: TS Nguyễn Trung Kiên
Phản biện 1:
……………………………………………………………………………
Phản biện 2:
…………………………………………………………………………..

Luận văn sẽ được bảo vệ trước Hội đồng chấm luận văn thạc sĩ tại Học viện Cơng
nghệ Bưu chính Viễn thơng
Vào lúc:

....... giờ ....... ngày ....... tháng ....... .. năm ...............

Có thể tìm hiểu luận văn tại:

- Thư viện của Học viện Công nghệ Bưu chính Viễn thơng


1

LỜI NĨI ĐẦU
Với sự phát triển nhanh chóng của hệ thống mạng Internet trên thế giới, cùng
với nhu cầu của con người ngày càng cao các dịch vụ cho thuê phần mềm qua mạng
(Software as a Service, viết tắt là SaaS) dần dần thay thế cho mơ hình bán phần mềm
cổ điển. Ngày nay, Phần mềm như một dịch vụ SaaS được biết đến như mơ hình dịch
vụ Cơng nghệ Thông tin đang ngày càng được sử dụng rộng rãi trên thế giới vì lợi thế
về chi phí và đáp ứng đầy đủ và nhanh chóng đối với nhu cầu của doanh nghiệp. Tuy
nhiên, mơ hình SaaS cũng tiềm ẩn nhiều rủi ro trong vấn đề an ninh.
An ninh cho SaaS được coi như vấn đề quan tâm hàng đầu không chỉ với nhà
cung cấp dịch vụ mà với cả những người sử dụng dịch vụ SaaS. Việc áp dụng các
biện pháp an ninh vào thực tiễn có thể giúp các nhà cung cấp SaaS thuyết phục các
doanh nghiệp và khách hàng sử dụng tin tưởng vào sự an ninh của mình.
Bản thân hiện đang cơng tác tại trường Đại học Phòng cháy chữa cháy, và
trong tương lai gần, nhà trường sẽ tách ra thành các cơ sở giảng dạy ở 03 địa điểm là
tỉnh Hà Nam, tỉnh Hịa Bình và tỉnh Đồng Nai. Trên cơ sở đó, đề tài tìm hiểu về
những biện pháp an ninh cho dịch vụ SaaS nhằm đề xuất, tham mưu cho lãnh đạo nhà
trường xây dựng, hoặc sử dụng một số dịch vụ SaaS thông qua nhà cung cấp SaaS,
nhằm phục vụ công tác giảng dạy cũng như nghiên cứu của cán bộ, giáo viên trong
nhà trường được thuận lợi hơn.
Mục tiêu của đề tài này tập trung vào nghiên cứu những thách thức an ninh
trong triển khai mơ hình dịch vụ SaaS và các giải pháp phòng ngừa, giảm thiểu rủi ro
để phù hợp với những thách thức đó. Qua đó, đề xuất với lãnh đạo nhà trường ứng

dụng mơ hình SaaS vào các mặt công tác, giảng dạy và học tập trong nhà trường. Với
mục tiêu đặt ra như vậy, những nội dung và kết quả nghiên cứu chính của luận văn
sẽ:
- Cung cấp cái nhìn tổng thể về ĐTĐM, những lợi ích, ưu nhược điểm của
ĐTĐM.
- Nghiên cứu mơ hình dịch vụ SaaS trong cơng nghệ ĐTĐM để từ đó đề xuất
mơ hình triển khai đám mây riêng SaaS tại trường Đại học PCCC.


2

- Xác định những thách thức an ninh và giải pháp cho những thách thức đó cho
mơ hình SaaS khi triển khải tại tại trường Đại học PCCC.
Những nội dung chính của luận văn được trình bày trong ba chương như sau:
Chương 1: Trình bày khái qt về điện tốn đám mây, mơ hình điện tốn đám
mây SaaS (tính chất, đặc điểm, thành phần và các dạng triển khai) và vai trị vấn đề
an ninh trong mơi trường ứng dụng SaaS.
Chương 2: Nghiên cứu các nhóm nguy cơ mất an ninh đối với mơ hình đám
mây SaaS, đưa ra những giải pháp tương ứng để giải quyết vấn đề an ninh nói trên.
Chương 3: Áp dụng một trong số những giải pháp trên để kiểm thử vấn đề an
ninh khi triển khai mơ hình SaaS cho cơ sở chính là trường Đại học PCCC tại tỉnh Hà
Nam.
Phần kết luận đưa ra những đánh giá về những kết quả đạt được và thảo luận
về hướng nghiên cứu tiếp của luận văn.
CHƯƠNG 1. NGHIÊN CỨU TỔNG QUAN VỀ SAAS TRONG MƠ HÌNH
ĐIỆN TỐN ĐÁM MÂY
1.1. Tổng quan về điện tốn đám mây
Điện tốn đám mây là một giải pháp trong đó tất cả các tài nguyên điện toán
(phần cứng, phần mềm, mạng, lưu trữ, v.v) được cung cấp nhanh chóng, dễ dàng, ít
tốn kém nhất. Điện tốn đám mây sử dụng cơng nghệ Ảo hóa, các dịch vụ cho thuê

cơ sở hạ tầng, hệ điều hành, ứng dụng người dùng cuối có thể quản trị dễ dàng bởi
người dùng cuối. Yếu tố chính cho các giải pháp này là chúng sở hữu khả năng điều
chỉnh tăng và giảm, để cho người dùng có được những tài ngun mà họ cần: khơng
nhiều hơn và khơng ít hơn (tối ưu).
Theo Wikipedia:
“Điện tốn đám mây là một mơ hình điện tốn có khả năng co giãn (scalable)
linh động và các tài nguyên thường được ảo hóa được cung cấp như một dịch vụ trên
mạng Internet”.


3

Theo Viện quốc gia về Tiêu chuẩn và Công nghệ Mỹ (NIST - National
Institute of Standards and Technology):
“Điện toán đám mây là một mơ hình cho phép ở một vị trí thuận tiện, khách
hàng có thể truy cập mạng theo yêu cầu và được chia sẻ tài nguyên máy tính (mạng,
máy chủ, lưu trữ, ứng dụng và dịch vụ) được nhanh chóng từ nhà cung cấp và cung
cấp sự quản lý tối thiểu hoặc tương tác được ở mức dịch vụ. Mơ hình điện tốn đám
mây này bao gồm 5 đặc điểm, 3 mơ hình dịch vụ, và 4 mơ hình triển khai.”.
1.1.1. Các đặc điểm của Điện tốn đám mây
1.1.1.1. Tự phục vụ theo nhu cầu (On-Demand Self-Rervice):
Một người dùng có thể tự tính tốn khả năng dự phịng của mình, chẳng hạn
như lưu trữ mạng, bởi vì khi cần thiết sẽ tự động thực hiện mà không cần sự tương
tác của con người đối với mỗi nhà cung cấp dịch vụ .
1.1.1.2. Truy xuất diện rộng (Broad Network Access)
Khả năng sẵn có trên mạng và truy cập thơng qua các cơ chế tiêu chuẩn khuyến
khích sử dụng bởi các nền tảng thiết bị đầu cuối không đồng nhất. như điện thoại di
động, máy tính bảng, máy tính xách tay, và máy trạm.
1.1.1.3. Dùng chung tài nguyên (Resource Pooling)
Tài ngun tính tốn của nhà cung cấp được gộp lại để phục vụ cho nhiều

người dùng sử dụng một mô hình nhiều người thuê, với nguồn tài nguyên vật lý và ảo
khác nhau được tự động phân công và bố trí theo nhu cầu của người dùng. Nguồn tài
nguyên này là độc lập với người sử dụng thông thường.
1.1.1.4. Khả năng co giãn (Rapid Elasticity)
Khả năng co giãn có thể được cung cấp và phát hành một cách linh hoạt, tự
động trong một số trường hợp, mở rộng nhanh chóng ra ngoài và bên trong tương
xứng với nhu cầu. Khả năng sẵn có, cho phép cung cấp khơng giới hạn và có thể
được khai thác với bất kỳ số lượng nào tới người sử dụng.
1.1.1.5. Điều tiết dịch vụ (Measured Service)
Hệ thống điện toán đám mây tự động kiểm soát và tối ưu hóa sử dụng tài
nguyên bằng cách tận dụng một khả năng điều tiết tại một số mức độ phù hợp với


4

loại hình dịch vụ. Tài ngun được sử dụng có thể được theo dõi, kiểm soát và báo
cáo, cung cấp sự minh bạch cho cả nhà cung cấp và người sử dụng của các dịch vụ.
1.1.2. Mơ hình dịch vụ của Điện toán đám mây
1.1.2.1. Phần mềm như một dịch vụ (SaaS)
Khả năng cung cấp cho người sử dụng các ứng dụng của nhà cung cấp đang
chạy trên một cơ sở hạ tầng đám mây. Các ứng dụng có thể truy cập từ các thiết bị
khác nhau của người sử dụng hoặc thông qua một giao diện khách hàng hoặc một
giao diện chương trình phần mềm..
1.1.2.2. Nền tảng như một dịch vụ ( PaaS )
Khả năng cung cấp cho người sử dụng để triển khai cho cơ sở hạ tầng điện
toán đám mây người sử dụng tạo ra hoặc mua lại các ứng dụng được tạo ra sử dụng
các ngôn ngữ lập trình, thư viện, dịch vụ, và các cơng cụ hỗ trợ của nhà cung cấp.
1.1.2.3. Cơ sở hạ tầng như một dịch vụ (IaaS)
Khả năng cung cấp cho người sử dụng khả năng cung cấp, lưu trữ, mạng, và tài
nguyên máy tính cơ bản khác, nơi mà người sử dụng có thể triển khai và chạy bất kỳ

phần mềm nào, có thể bao gồm các hệ điều hành và các ứng dụng.
1.1.3. Mơ hình phát triển của Điện toán đám mây
1.1.3.1. Đám mây riêng (Private Cloud)
Cơ sở hạ tầng đám mây được cung cấp để sử dụng độc quyền bởi một tổ chức
bao gồm nhiều người sử dụng (ví dụ: các đơn vị kinh doanh). Nó có thể được sở hữu,
quản lý và hoạt động bởi tổ chức, một bên thứ ba, hoặc một số sự kết hợp của họ, và
nó có thể tồn tại ở bên trong hoặc bên ngồi tổ chức, doanh nghiệp.
1.1.3.2. Đám mây cơng cộng (Public Cloud)
Cơ sở hạ tầng đám mây được cung cấp mở rộng cho người sử dụng chung cơng
cộng. Nó có thể được sở hữu, quản lý và điều hành bởi một doanh nghiệp, tổ chức
chính phủ, hoặc một số sự kết hợp của họ. Nó tồn tại trên phía của các nhà cung cấp
mây.
1.1.3.3. Đám mây hỗn hợp (Hybrid Cloud)


5

Cơ sở hạ tầng điện toán đám mây là một thành phần của hai hoặc nhiều cơ sở
hạ tầng điện toán đám mây khác nhau (tư nhân, cộng đồng, hoặc công cộng) mà vẫn
tồn tại như một thực thể duy nhất, nhưng bị ràng buộc với nhau bởi công nghệ tiêu
chuẩn hoặc công nghệ độc quyền cho phép ứng dụng dữ liệu và tính di động.
1.1.3.4. Đám mây cộng đồng (Community Cloud)
Cơ sở hạ tầng điện toán đám mây được cung cấp để sử dụng độc quyền bởi
một cộng đồng cụ thể của người sử dụng từ các tổ chức chia sẻ mối quan tâm (ví dụ:
nhiệm vụ, yêu cầu bảo mật, chính sách và cân nhắc tuân thủ).
1.2. Nghiên cứu về dạng điện toán đám mây SaaS
1.2.1. Khái niệm SaaS
SaaS cung cấp các ứng dụng hoàn chỉnh như một dịch vụ theo yêu cầu cho
nhiều khách hàng thông qua Internet. Trong SaaS cần một server đóng vai trị hosting
quản lý ứng dụng. Server này có thể là một “Cloud” hoặc một “Mainframe”. Người

dùng truy xuất ứng dụng này thông qua trình duyệt web. SaaS cho phép khách hàng
có thể sử dụng một ứng dụng trên cơ sở “chỉ trả tiền cái bạn dùng” (pay-as-you-go)
và loại bỏ sự bắt buộc phải cài đặt và chạy các ứng dụng trên phần cứng riêng của
khách hàng. Khách hàng chỉ cần truy cập vào các ứng dụng thơng qua một trình
duyệt Web thơng qua Internet. SaaS được sử dụng như là các thuê bao và tất cả đều
được hỗ trợ, bảo trì và nâng cấp bởi các nhà cung cấp SaaS.
1.2.2. Lịch sử hình thành mơ hình SaaS
Trước khi mơ hình SaaS xuất hiện, chúng ta đã từng nghe nói tới mơ hình nhà
cung cấp dịch vụ phần mềm (Application Service Provider - ASP). ASP được định
nghĩa là nhà cung cấp dịch vụ cho thuê ứng dụng (phần mềm), giúp khách hàng loại
bỏ đáng kể các chi phí liên quan đến việc mua và tự bảo dưỡng các ứng dụng.
1.2.3. Những mơ hình triển khai đám mây SaaS
1.2.3.1. Đám mây riêng (Private Cloud)
On site Private Cloud: Doanh nghiệp hay tổ chức tự triển khai dịch vụ đám
mây riêng SaaS dựa trên căn cứ theo nhu cầu của doanh nghiệp, tổ chức mà có thể tự


6

thiết lập cơ sở hạ tầng, dịch vụ cho đám mây để phục cho các client bên trong đám
mây.
Outsource Private Cloud: Đây là bước phát triển tiếp theo của mô hình On
Site Private Cloud với việc người sử dụng truy cập vào tài nguyên đám mây từ bên
ngoài vành đai đám mây.
Doanh nghiệp có sử dụng dịch vụ đám mây của nhà cung cấp dịch vụ đám mây
(Cloud Service Provider, gọi tắt là CSP).
1.2.3.2. Đám mây cộng đồng (Community Cloud)
On-site Community Cloud: Các doanh nghiệp vừa cung cấp dịch vụ đám
mây và sử dụng dịch vụ đám mây của doanh nghiệp khác.
Outsourced Community Cloud: Mơ hình này là sự kết hợp của On-site

Community Cloud và Outsource Private Cloud. CSP hỗ trợ On-site Private Cloud cho
các doanh nghiệp.
1.2.3.3. Đám mây công cộng (Public Cloud)
Doanh nghiệp sử dụng hoàn toàn dịch vụ đám mây của CSP.
1.3. Vai trò của vấn đề an ninh trong triển khai cung cấp dịch vụ SaaS
An ninh trong mơi trường đám mây có thể nói là chính là an ninh thông thường
cộng với an ninh đặc thù của điện toán đám mây. An ninh trong triển khai mơ hình
cung cấp dịch vụ SaaS là an ninh phụ thuộc vào kiến trúc của mơ hình triển khai
SaaS và các lĩnh vực liên quan khác nhau trong đó bao gồm: An ninh và Tính riêng
tư; Sự tuân thủ quy định; Pháp lý hoặc Hợp đồng ràng buộc. Một phần trong việc
quản lý kiến trúc khi sử dụng dịch vụ đám mây SaaS là xuất hiện những vấn đề nảy
sinh như là: quản trị CNTT nội bộ; quản lý rủi ro.
Ngoài vấn đề về kiến trúc ra, một loạt các lĩnh vực khác phải quan tâm như:
- Lĩnh vực về quản lý và những chỉ dẫn thực hiện: Quản lý rủi ro của doanh
nghiệp; Quản lý liên quan tới việc để lộ về điện tử và pháp lý; Quản lý sự tn thủ và
kiểm tốn; Quản lý vịng đời thơng tin - dữ liệu từ khi tạo cho tới khi xóa; Tính khả
chuyển và tính tương hợp mà chỉ có thể giải quyết được bằng các chuẩn mở.


7

- Lĩnh vực hoạt động và những chỉ dẫn thực hiện: An ninh truyền thống; tính
liên tục; phục hồi thảm họa; vận hành trung tâm dữ liệu; phản ứng, thông báo, xử lý
tình huống; an ninh ứng dụng; mã hóa và quản lý khóa; nhận dạng và quản lý truy
cập; ảo hóa.
1.4. Kết luận chương
Kết thúc chương, luận văn đã cung cấp cái nhìn tổng thể về điện tốn đám
mây, những lợi ích, ưu nhược điểm và mơ hình triển khai cũng cách thức hoạt động
của điện toán đám mây. Mơ hình SaaS trong cơng nghệ điện tốn đám mây cung cấp,
hỗ trợ người dùng trong công việc, học tập nghiên cứu, chiến lược kinh doanh là rất

cần thiết. Tuy nhiên, mơ hình SaaS cũng tồn tại những thách thức an ninh của riêng
nó.
CHƯƠNG 2. NGHIÊN CỨU VẤN ĐỀ BẢO MẬT CHO SAAS
Trong môi trường Internet hay nội bộ, hệ thống phần mềm truyền thống hay
điện toán đám mây, vấn đề an ninh cốt lõi vẫn là bảo vệ thông tin. Trong đám mây
SaaS, thông tin được lưu ở nhiều nơi, có thể lưu ở trung tâm dữ liệu hoặc ở đâu đó
trong “đám mây”. Framework an ninh X805 của ITU là một công cụ tốt được rất
nhiều tổ chức sử dụng để phân tích các nguy cơ và đưa ra giải pháp bảo vệ cho các hệ
thống hay giải pháp mạng, trong chương 2 này, học viên sẽ phân tích nguy cơ mất an
tồn bảo mật theo Framework anh ninh X.805 cho mơ hình On Site Private Cloud
SaaS đã đưa ra trong Chương I.
2.1. Một số vấn đề an ninh đối với SaaS
2.1.1. Khi triển khai mơ hình SaaS
Các thách thức an ninh SaaS có sự khác nhau tùy thuộc vào mơ hình triển khai
được sử dụng bởi các nhà cung cấp SaaS, các nhà cung cấp có thể chọn để triển khai
các giải pháp, hoặc bằng cách sử dụng một nhà cung cấp đám mây công cộng hoặc tự
lưu trữ. Các nhà cung cấp đám mây công cộng chuyên dụng như Amazon giúp đỡ
xây dựng các giải pháp SaaS an toàn bằng cách cung cấp các dịch vụ cơ sở hạ tầng
mà hỗ trợ trong việc bảo đảm môi trường và vành đai an ninh.


8

2.1.2. An ninh dữ liệu
Trong một mơ hình triển khai ứng dụng truyền thống trước đây, dữ liệu nhạy
cảm của từng doanh nghiệp được cư trú trong phạm vi ranh giới doanh nghiệp và nó
được bảo đảm về cả mặt vật lý, logic và nhân viên và các chính sách kiểm sốt truy
cập. Tuy nhiên, trong mơ hình SaaS, dữ liệu doanh nghiệp được lưu trữ bên ngoài
ranh giới doanh nghiệp, tại các nhà cung cấp SaaS đầu cuối.
2.1.3. An ninh mạng

Trong một mơ hình triển khai SaaS, dữ liệu nhạy cảm được thu được từ các
doanh nghiệp, xử lý bởi các ứng dụng SaaS và được lưu trữ ở cuối nhà cung cấp
SaaS.
2.1.4. Tách biệt dữ liệu
Trong một kiến trúc SaaS hoàn thiện nhiều người thuê, các trường hợp ứng
dụng và lưu trữ dữ liệu có thể được chia sẻ giữa các doanh nghiệp. Điều này cho phép
nhà cung cấp SaaS khiến cho việc sử dụng các nguồn tài nguyên hiệu quả hơn và
giúp đạt được chi phí thấp hơn. Song cần phải áp dụng kiểm tra an ninh đầy đủ để
đảm bảo an ninh dữ liệu và ngăn chặn truy cập dữ liệu trái phép từ một người thuê
bởi những người sử dụng từ người thuê khác.
2.1.5. Tiêu chuẩn cho điện tốn đám mây cịn yếu
SAS 70 là một tiêu chuẩn kiểm toán được thiết kế để các nhà cung cấp dịch vụ
có đủ quyền kiểm sốt dữ liệu. Song vấn đề ở chỗ là tiêu chuẩn này khơng được tạo
ra để áp dụng đối với điện tốn đám mây, nhưng nó lại trở thành tiêu chuẩn duy nhất
trong tiêu trong trường hợp khơng có tiêu chuẩn dành riêng cho điện toán đám mây.
Tốt hơn so với SAS 70 là tiêu chuẩn ISO 27001, một tiêu chuẩn kỹ thuật bảo
mật thông tin được công bố bởi Tổ chức tiêu chuẩn quốc tế ở Thụy Sĩ. Tiêu chuẩn
ISO 27001 là một tiêu chuẩn khá toàn diện bao gồm rất nhiều khía cạnh hoạt động
bảo mật mà khách hàng có thể quan tâm.
2.1.6. Vấn đề về bí mật thơng tin


9

Khi doanh nghiệp, tổ chức muốn sử dụng dịch vụ đám mây, điều khiến họ trăn
trở là những thông tin nhạy cảm của mình liệu có được giữ bí mật khi mà chúng được
lưu trữ và quản lý bởi các quản trị viên của các nhà cung cấp điện toán đám mây.
2.1.7. Dễ dàng truy cập nhưng tăng rủi ro
Một lợi ích chính của phần mềm như một dịch vụ là các ứng dụng kinh doanh
có thể được truy cập bất cứ nơi nào có kết nối Internet, song nó cũng đặt ra những rủi

ro mới. Cùng với sự gia tăng của máy tính xách tay và điện thoại thơng minh, SaaS
làm cho nó thậm chí cịn quan trọng hơn cho các cửa hàng CNTT để đảm bảo thiết bị
đầu cuối .
2.1.8. Khách hàng không biết nơi lưu trữ dữ liệu của mình
Thơng thường mỗi quốc gia đều có các luật quản lý an ninh thơng tin riêng của
mình để giữ cho dữ liệu nhạy cảm trong nước. Mặc dù việc giữ dữ liệu bên trong biên
giới của quốc gia có vẻ như một nhiệm vụ tương đối đơn giản, song các nhà cung cấp
điện toán đám mây thường sẽ khơng đảm bảo điều đó.
2.2. Phân loại các nguy cơ chính về an ninh đối với SaaS
Theo kiến trúc an ninh X.805 thì những mối nguy hại về an ninh bảo mật thơng
tin do tình cờ hay cố ý được phân loại thành 5 nhóm nguy cơ chính. Chúng ta sẽ xem
xét từng nguy cơ được trình bày dưới đây.
2.2.1. Nhóm nguy cơ đánh cắp thơng tin.
Việc các doanh nghiệp, tổ chức hay cá nhân chuyển sang sử dụng công nghệ
đám mây (đám mây công cộng hay với đám mây riêng) thì nguy cơ bị mất thơng tin
đều có thể xẩy ra. Với mơ hình đám mây cơng cộng thì việc bị đánh cắp thông tin của
cá nhân, doanh nghiệp, tổ chức có nguy cơ rất cao bởi đám mây này hoạt động trong
môi trường Internet. Nơi mà thông tin rất dẽ bị đánh cắp khi chúng được truyền đi
giữa các máy chủ trong đám mây. Đối với mơ hình đám mây riêng, mặc dù không
hoạt động trong môi trường Internet, nhưng vẫn cịn đó nhưng mối nguy như bị cài
virus, Trojan…bởi mối nguy về con người trong nội bộ hệ thống CNTT của doanh
nghiệp, tổ chức.
2.2.2. Nhóm nguy cơ về sửa đổi làm sai lệch thông tin.


10

Trong môi trường Internet, thông tin di chuyển trong đám mây SaaS công cộng
rất dễ bị Hacker sử dụng các kiểu tấn công Man in the midle, Packet sniffing… để
nghe lén tài khoản và mật mã người dùng, sau đó dùng những thơng tin đó truy cập

vào cơ sở dữ liệu rồi tiến hành sửa đổi và giả mạo thông tin để có lợi cho mình hoặc
gây tổn thất cho doanh nghiệp. Cịn trong mơ hình triển khai đám mây SaaS riêng thì
nguy cơ này rất hiếm khi xảy ra, bởi các Client là ở bên trong đám mây, những truy
cập này chịu sự ảnh hưởng của các chính sách, quy trình an ninh bảo mật.
2.2.3. Nhóm nguy cơ về phá hủy thơng tin.
Trong mơi trường đám mây SaaS thì nguy cơ này ít có khả năng xảy ra, song
khơng có nghĩa là khơng có. Nội bộ nhân viên quản trị hệ thống, mối rủi ro xuất phát
từ nội bộ nhân viên quản trị thường cao hơn và mức độ nguy hiểm hơn nhiều so với
việc một người dùng cố ý đưa virus hay malware vào để phá hủy dữ liệu của trung
tâm dữ liệu.
2.2.4. Nhóm nguy cơ về phát tán thông tin
Bản thân các nhà cung cấp SaaS khi cung cấp các phần mềm đều đã qua những
cuộc kiểm tra chất lượng, tìm lỗi, lỗ hổng an ninh trong phần mềm và hệ thống của
mình cung cấp. Hoặc các nhà cung cấp SaaS có thể hợp tác với bên thứ 3 chuyên
kiểm thử tìm ra lỗi bảo mật trong các hệ thống phần mềm. Nguy cơ chính ở đây là
liệu những người tìm ra được những lỗi bảo mật đó có thơng báo cho nhà cung cấp
SaaS biết hay khơng mà giữ lại để sử dụng có lợi cho bản thân.
2.2.5. Nhóm nguy cơ về làm gián đoạn dịch vụ.
Trong môi trường SaaS, tấn công từ chối dịch vụ sẽ gây khó khăn khơng chỉ
cho các nhà cung cấp dịch vụ SaaS mà cả đối với người dùng, doanh nghiệp, nó làm
cho mọi hoạt động của các phía liên quan bị ảnh hưởng, gây thiệt hại nặng về kinh tế,
chính trị, ảnh hưởng uy tín của nhà cung cấp.
2.3. Nghiên cứu các biện pháp an ninh cho ứng dụng SaaS
Áp dụng Kiến trúc an ninh X.805 cho hệ thống SaaS như đã phân tích các nguy
cơ chính ở mục 2.2 và an ninh theo những đặc trưng của mô hình SaaS. Theo bảng 2-


11

1 dưới đây sẽ đưa ra mối quan hệ giữa các biện pháp an ninh kiến trúc và nguy cơ an

ninh.
Bảng 2-1: Mối quan hệ giữa các nguy cơ và giải pháp an ninh.
Mối đe dọa an ninh
Phương hướng
Đánh cắp
Sửa đổi
Phá hủy Lỗ hổng Từ chối
an ninh
thông tin
thông tin thông tin an ninh dịch vụ
Kiểm soát truy
X
X
X
X
cập
Xác thực người
X
X
dùng
Chứng minh
X
X
X
X
X
tránh phủ nhận
Bảo mật dữ liệu
X
X

An ninh truyền
X
X
dữ liệu
Đảm bảo toàn
X
X
vẹn dữ liệu
Đảm bảo tính
X
X
sẵn sàng
Đảm bảo tính
riêng tư

X

2.3.1. Kiến trúc an ninh SaaS
2.3.1.1. Kiểm soát truy cập (Access Control)
Phương pháp này bảo vệ chống sử dụng trái phép tài nguyên mạng. Kiểm soát
truy cập đảm bảo nhân viên hoặc các thiết bị chỉ có thẩm quyền mới được phép truy
cập vào mạng, thông tin được lưu trữ, truyền thông tin, dịch vụ và các ứng dụng.
Một số cơ chế phổ biến để thực hiện biện pháp này đó là: Sử dụng mật khẩu,
sử dụng danh sách điều khiển truy nhập (ACL), tiêu chuẩn Ngơn ngữ đánh dấu có
xác nhận an toàn bảo mật (SAML).
2.3.1.2. Xác thực người sử dụng (Authentication)
Phương pháp này phục vụ để xác nhận danh tính những người sử dụng khi truy
cập vào đám mây SaaS. Nó đảm bảo xác thực tính hợp lệ các danh tính của các đối

12

tượng tham gia liên lạc thông và cung cấp sự bảo đảm một người dùng nào đó cố
gắng giả mạo hoặc phát lại trái phép các thông tin mà thu được trước đó.
2.3.1.3. Chứng minh tránh phủ nhận (Non-Reputation)
Phương pháp này nhằm chống lại việc thoái thác cung cấp phương tiện để
ngăn chặn một cá nhân hoặc tổ chức phủ nhận đã thực hiện một hành động cụ thể liên
quan đến dữ liệu bằng cách sử dụng bằng chứng sẵn có khác nhau của hành động liên
quan đến. Nó đảm bảo bằng chứng trình bày với bên thứ ba và được sử dụng để
chứng minh rằng một số loại sự kiện hay hành động đã diễn ra.
2.3.1.4. Bảo mật dữ liệu (Confidentiality of Data)
Phương pháp này nhằm bảo vệ dữ liệu không bị tiết lộ trái phép, đảm bảo nội
dung dữ liệu không thể được hiểu bởi các đơn vị không được phép.
2.3.1.5. An ninh trong truyền dữ liệu (Communication Security)
Phương pháp này nhằm đảm bảo dịng thơng tin chỉ đi từ nguồn đến đích mong
muốn, các điểm trung gian không muốn được biết thông tin không thể truy nhập vào
dịng thơng tin.
2.3.1.6. Đảm bảo tồn vẹn dữ liệu (Data Integrity)
Phương pháp này nhằm đảm bảo rằng dữ liệu nhận được và được phục hồi là
giống với dữ liệu đã được gửi đi từ nguồn.
2.3.1.7. Đảm bảo tính sẵn sàng (Avaiability)
Phương pháp này nhằm đảm bảo cho người sử dụng hợp lệ ln có thể sử dụng
các phần tử mạng, các dịch vụ và các ứng dụng.
2.3.1.8. Đảm bảo tính riêng tư cho người sử dụng (Privacy)
Phương pháp này nhằm đảm bảo tính riêng tư cho nhận dạng và việc sử dụng
mạng của người sử dụng.
2.3.2. An ninh đặc trưng cho SaaS
2.3.2.1. Quản lý định danh và quá trình đăng nhập (Identity Management and
Sign-on Process)
Để quản lý danh tính và quá trình đăng nhập đối với người dùng của các nhà

cung cấp SaaS bằng cách sử dụng bất kỳ các mơ hình sau:


13

- Sử dụng ngăn xếp Quản lý danh tính (Identity Management – IDM) độc lập:
Các nhà cung cấp SaaS cung cấp toàn bộ ngăn xếp dịch vụ quản lý nhân dạng
và q trình đăng nhập. Tất cả các thơng tin liên quan đến tài khoản người dùng, mật
khẩu, ... là hoàn toàn được giữ lại bởi nhà cung cấp SaaS.
- Đồng bộ hóa thư ủy nhiệm:
Các nhà cung cấp SaaS cung cấp bản sao các thông tin tài khoản người dùng và
các thư ủy nhiệm giữa doanh nghiệp và ứng dụng SaaS. Xác thực sẽ xảy ra vào nhà
cung cấp SaaS bằng cách sử dụng các thông tin bản sao thư ủy nhiệm.
- Đăng nhập một lần (SSO):
Tồn bộ thơng tin tài khoản của người sử dụng bao gồm cả các thông tin được
quản lý và lưu trữ độc lập bởi mỗi người sở hữu. Xác thực người dùng xảy ra trong
ranh giới doanh nghiệp.
2.3.2.2. Tuân thủ quy định (Regulatory Compliance)
Việc triển khai SaaS cần phải được đánh giá định kỳ cho phù hợp với tiêu
chuẩn quy định và công nghiệp. Phiên bản tiêu chuẩn SAS 70 bao gồm các thủ tục
hoạt động an ninh vật lý và logic của trung tâm dữ liệu và các nhà cung cấp dịch vụ.
Truy cập, lưu trữ và xử lý dữ liệu nhạy cảm cần phải được kiểm soát cẩn thận và
được điều chỉnh theo các quy định như tiêu chuẩn ISO-27001 ...
2.3.2.3. Tách biệt dữ liệu (Data Segregation)
Trong một kiến trúc SaaS hoàn thiện nhiều người thuê, các trường hợp ứng
dụng và lưu trữ dữ liệu có thể được chia sẻ giữa các doanh nghiệp. Điều này cho phép
nhà cung cấp SaaS khiến cho việc sử dụng các nguồn tài nguyên hiệu quả hơn và
giúp đạt được chi phí thấp hơn. Đồng thời, áp dụng kiểm tra an ninh đầy đủ để đảm
bảo an ninh dữ liệu và ngăn chặn truy cập dữ liệu trái phép từ một người thuê bởi
những người sử dụng từ người thuê khác.

2.3.2.4. Bảo mật ứng dụng web
SaaS là phần mềm được triển khai trên mạng Internet hoặc được triển khai để
chạy đằng sau một bức tường lửa trong mạng nội bộ hoặc máy tính cá nhân. Phần
mềm đó được cung cấp như một dịch vụ nằm trong đám mây và không phụ thuộc vào


14

loại người sử dụng. Và lỗ hổng bảo mật trong các ứng dụng web có thể tạo ra lỗ hổng
an ninh đối với các ứng dụng SaaS. Lúc này, các lỗ hổng an ninh có thể gây khả năng
tác động bất lợi trên tất cả các khách hàng sử dụng điện tốn đám mây.
Các ứng dụng web có thể chỉ ra những nguy cơ bảo mật mới có thể khơng hiệu
quả được bảo vệ ở cấp độ mạng mà cần phải bảo vệ ở mức độ ứng dụng.
2.4. Tìm hiểu tình hình nghiên cứu và chuẩn hố về bảo mật cho SAAS
Hiện nay chưa có tài liệu chuẩn hóa chính thức về an tồn bảo mật cho điện
tốn đám mây và có nhiều tổ chức tham gia nghiên cứu và phát triển an tồn bảo mật
cho điện tốn đám mây, trong đề tài này lựa chọn hai tổ chức uy tín nhất hiện nay là
NIST và CSA làm tham khảo.
2.4.1. An tồn bảo mật cho điện tốn đám mây của NIST
Đối với an tồn bảo mật cho SaaS thì doanh nghiệp và các nhà cung cấp dịch
vụ cần quan tâm những vấn đề sau:
- Rủi ro đến từ các trình duyệt Web được sử dụng đối với các ứng dụng phát triển
theo dịch vụ Web.
- Sự tin cậy trong vấn đề đảm bảo tính bí mật của dữ liệu trên các kết nối trong môi
trường Internet giữa doanh nghiệp và nhà cung cấp dịch vụ.
- Mức độ an toàn của điện tốn đám mây tỷ lệ nghịch với chi phí doanh nghiệp bỏ ra
để chi trả cho nhà cung cấp dịch vụ trong vấn đề đảm bảo sự cách ly về dữ liệu và
ứng dụng của doanh nghiệp với các doanh nghiệp khác.
Những khuyến nghị của NIST đối với nhà cung cấp dịch vụ đám mây.
- Bảo vệ dữ liệu: Mã hóa dữ liệu, xóa dữ liệu khơng cịn được sử dụng.

- Bảo vệ ứng dụng của doanh nghiệp và các thiết bị phía Client.
2.4.2. An tồn bảo mật cho điện toán đám mây của CSA
Kết quả nghiên cứu của CSA trong lĩnh vực an toàn bảo mật cho điện tốn đám
mây là những phân tích nguy cơ về mất an toàn bảo mật và hướng dẫn về giải pháp


15

kỹ thuật cũng như các chính sách để đảm bảo an tồn cho điện tốn đám mây dưới
hình thức an tồn bảo mật cho điện tốn đám mây như một dịch vụ (Security as a
Service). Đối với nhà cung cấp dịch vụ đám mây gồm những nội dung dưới đây:
- Quản lý định danh tài nguyên điện toán đám mây và kiểm soát truy cập theo định
danh (Identity and Access Management)
- Giám sát hành vi thâm nhập trái phép (Intrusion Management)
- Đảm bảo an toàn hạ tầng mạng (Network Security)
- Giám sát và đảm bảo an tồn bảo mật thơng tin (Security Information and Event
Management)
- Đánh giá mức độ an toàn bảo mật của hệ thống (Security Assessments)
- An toàn bảo mật cho Website, Email (Website, Email Security)
- Ngăn chặn những nguy cơ dẫn đến làm mất dữ liệu (Data Loss Prevention)
- Mã hóa dữ liệu (Encyption)
2.4.3. Tìm hiểu một số giải pháp an ninh cụ thể của các Hãng lớn
2.4.3.1. Giải pháp của VMware
2.4.3.2. Giải pháp của Trend Micro
2.5. Kết luận chương
Kết thúc chương, luận văn đã cung cấp tổng quát cái nhìn về những nguy cơ
mất an ninh an tồn thơng tin trong mơ hình điện tốn đám mây SaaS. Những phương
pháp an ninh theo kiến trúc an ninh famework X.805 và đặc trưng của điện toán đám
mây SaaS. Ở đây, vấn đề an ninh cho điện toán đám mây SaaS được xem xét trên mơ
hình kiến trúc đám mây SaaS với đặc trưng của mơ hình đám mấy SaaS và sử dụng

các khuyến nghị trong ISO/IEC 27001:2005 để xác định các biện pháp ngăn ngừa về
mặt kỹ thuật cũng như thực thi chính sách về mặt quản lý.


16

CHƯƠNG 3. XÂY DỰNG GIẢI PHÁP VÀ THỬ NGHIỆM BẢO MẬT CHO
SAAS TẠI ĐẠI HỌC PCCC
3.1. Giới thiệu về trường Đại học Phòng cháy chữa cháy và vấn đề đặt ra cho
bảo mật ứng dụng CNTT của trường.
3.1.1. Giới thiệu về trường Đại học PCCC
Trường Đại học PCCC là trường đào tạo các kỹ sư về Cứu nạn cứu hộ và
Phòng cháy chữa cháy bậc đại học và trung cấp thuộc Bộ cơng an. Ngày 14/10/1999
Thủ tướng Chính phủ đã ký Quyết định 203/1999/QĐ-TTg thành lập Trường Đại học
PCCC trên cơ sở Trường Cao đẳng PCCC.
3.1.2. Hiện trạng về hệ thống CNTT của Nhà trường
3.1.2.1. Hiện trạng phần cứng
Nhằm phục vụ công tác đào tạo, năm 2005 nhà trường đã đầu tư hệ thống Thư
viện điện tử và hạ tầng CNTT, 02 phòng học thực hành mỗi phòng 30 máy tính để
phục vụ giảng dạy và học tập, hệ thống mạng nội bộ, hệ thống mạng Internet theo mơ
hình cũ. Với sự mở rộng phạm vi và nhân sự của nhà trường, an ninh an tồn thơng
tin cho hệ thống đã xuất hiện nhiều bất cập, chưa đáp ứng nhu cầu trao đổi nhanh
chóng trong tình hình hiện nay.
3.1.2.2. Hiện trạng phần mềm
Mơ hình hoạt động hiện nay của nhà trường được chia thành nhiều bộ phận,
thực hiện các công tác chun mơn riêng biệt. Vì vậy, mỗi bộ phận lại có các chương
trình phần mềm riêng biệt phục vụ chun mơn của mình và các phần mềm, chương
trình, chức năng phục vụ công tác chung của nhà trường
3.1.2.3. Mô hình tổng thể
Dự kiến mơ hình tổng thể ứng dụng CNTT cho trường Đại học PCCC là mơ

hình điện tốn đám mây SaaS. Đám mây SaaS được xây dựng theo mơ hình đám mây
riêng, trong đó các Client truy cập tới tài nguyên nằm trong đám mây (DataCenter DC) tương ứng với mơ hình On site Private Cloud đã giới thiệu ở Chương 1. Người


17

sử dụng có thể truy nhập Internet nhưng từ ngồi Internet không được phép truy nhập
vào mạng.
DataCenter được đặt tại CS1 và các ứng dụng trên DataCenter này có thể truy
xuất từ 3 cơ sở 1,2,3 qua mạng LAN.
3.1.2.4. Đánh giá về các nguy cơ bảo mật của mơ hình này
Theo cấu hình và chức năng ứng dụng SaaS dự kiến trên đây có thể thấy các
đặc trưng và giới hạn của đối tượng cần bảo vệ như sau:
- Đám mây riêng (private), truy cập Internet hạn chế, các nguy cơ chính sẽ xuất phát
từ các cá nhân sử dụng trong khuôn viên nhà trường hoặc từ công tác quản lý.
- Ba cơ sở được kết nối qua hạ tầng th ngồi nên có thể bị tấn cơng ngang (vd:
nghe lén, DoS..) trên các kết nối này,
- Tấn công cũng có thể phát sinh từ người sử dụng cuối,
3.2. Xây dựng giải pháp bảo mật SaaS cho trường ĐH PCCC
3.2.1. Mức độ quan trọng của các biện pháp đối với các ứng dụng
Dựa trên đặc trưng của mơ hình đám mây SaaS ở chương 1, với các giới hạn
phạm vi đã chỉ ra ở phần trên và sử dụng phương pháp xây dựng bảo mật cho hệ
thống SaaS ở chương 2 có thể thấy các ứng dụng của Trường PCCC có nhiều loại và
mỗi loại có 1 số nhóm nguy cơ khác nhau trong nhóm nguy cơ chỉ ra của bảng 2.1
(Ví dụ: Phần mềm Website chủ yếu chịu nguy cơ sửa dổi thông tin và tấn công DoS).
Bảng 3-1 dưới đây mô tả các nguy cơ đối với các ứng dụng cụ thể và cấp độ
của nguy cơ (với số 1 là cao nhất):

Bảng 3-1: nguy cơ đối với các ứng dụng và cấp độ
Nguy cơ Phá huỷ Sửa đổi

Làm lộ
Đánh cắp
thông
thông
thông
thông tin
Ứng dụng
tin
tin
tin
Dịch vụ lưu trữ
1
2
1
1
dữ liệu

Gián
đoạn
dịch vụ
2


18

Dịch vụ mail
Dịch vụ ứng
dụng Web nội bộ
Chương trình
quản lý đào tạo

2

3

1

1

2

2

1

3

3

2

1

1

1

1

2

Để bảo vệ cho sự an toàn các ứng dụng SaaS trong hệ thống thì ngồi việc bảo
vệ các ứng dụng SaaS này cũng cần bảo vệ cả cơ sở hạ tầng mạng. Học viên đề xuất
giải pháp bảo mật cho hệ thống CNTT của trường ĐH PCCC như sau.
3.2.2. Giải pháp tổng thể bảo vê hạ tầng CNTT cho trường PCCC
Giải pháp bảo mật tổng thể từ hạ tầng đến ứng dụng có cấu trúc như sau:

Hình 3-3: Mơ hình bảo mật hệ thống
Các lớp cơ sở hạ tầng chính:
* Lớp truy cập (Access): Cung cấp cho cán bộ, giáo viên (người sử dụng)
kết nối mạng riêng ảo (VPN) sử dụng giao thức IP Sec, SSL VPN cho những kết nối
bởi người sử dụng ở bên ngoài cơ sở 1 truy xuất dịch vụ từ xa và đối với những người
sử dụng ở bên trong cơ sở 1 thơng qua các chính sách chung và riêng cho mỗi người
dùng.
* Lớp phịng vệ tấn cơng (Attack prevents): Được xây dựng nhằm phát hiện và
chống lại sự xâm nhập, tấn công hệ thống như chống lại tấn công Dos/DDos từ những
người sử dụng bên ngoài và bên trong. Lớp này sẽ sử dụng các server IDs/Ips cho


19

phép quan sát luồng lưu lượng tới nhóm máy chủ quan trọng, nhanh chóng phát hiện
ra các lưu lượng có hại để đưa ra cảnh báo và thông báo.
* Lớp an ninh mạng (Network security): Sử dụng hệ thống firewall cho phép
phân tách các vùng bảo mật như Inside, Outside. Firewall đưa ra các chính sách truy
nhập giữa các phân vùng mạng trên với nhau.
* Lớp an ninh ứng dụng (Application security): Sử dụng giao thức HTTPS và
mã hóa thơng tin để đảm bảo thông tin từ ứng dụng người sử dụng tới dịch vụ ứng
dụng được an toàn.
* Lớp an ninh người sử dụng (User security): Lớp này sẽ sử dụng các cơ chế

về quản lý người sử dụng, sử dụng máy chủ xác thực người sử dụng tập trung để
nhận diện đúng đối tượng mới có khả năng truy cập hệ thống.
* Lớp máy chủ ứng dụng và cơ sở dữ liệu (Application zone & Database): Đây
là lớp đặt hệ thống máy chủ ứng dụng cung cấp các dịch vụ và các máy chủ lưu trữ
(Datacenter).
Các lớp về chính sách tương ứng với hạ tầng:
* Access Policy (Chính sách truy cập): Các chính sách áp dụng cho lớp truy
cập, sử dụng phương pháp bảo mật như IP Sec, SSL VPN.
* Documents Sercurity (Các quy tác an ninh) : Các quy tắc, cảnh báo được tạo
ra để phòng chống lại tấn cơng DDos, sử dụng IDS.
* Communication Policy (Chính sách về mạng): Các chính sách an ninh mạng
đảm bảo q trình truyền thơng tin trong mạng, sử dụng Firewall, ACLs để điều tiết
luồng thơng tin.
* User Policy (Chính sách với người dùng): Chính sách với người dùng, yêu
cầu bắt buộc sử dụng mã hóa dữ liệu, giao thức duyệt web an toàn HTTPS.
* Operation & Management (Các hoạt động và quản lý): Chính sách đối với
các hoạt động người quản trị, người sử dụng nhằm xác thực tính hợp lệ đối với người
dùng, sử dụng kỹ thuật xác thực, khóa điện tử, mật khẩu một lần.


20

* Backup & Recover (Về sao lưu và phục hồi): Chính sách quy định về việc
sao lưu dữ liệu, xây dựng kế hoạch dự phòng để kịp thời khắc phục khi có sự cố thiên
tai ngồi ý muốn.
3.2.2.1. Giải pháp về phần cứng.
* Xây dựng và cài đặt máy chủ IDs: cảnh báo khi có dấu hiệu tấn (đối với các
dấu hiệu đã được định nghĩa trong máy chủ IDs), đồng thời ghi nhật ký để kiểm tra
lại khi cần nhằm xác định bổ sung dấu hiệu xâm nhập, tấn cơng từ bên ngồi vào hệ
thống.

* Xây dựng và cài đặt thiết bị chống xâm nhập IPS của Cisco: chống lại sự
xâm nhập, tấn công dịch vụ khi máy chủ IDs xác định được dựa trên các dấu hiệu.
* Cài đặt và cấu hình Firewall cứng: Sử dụng Cisco PIX 515E cấu hình phân
chia các vùng Inside và Outside, nâng cao hiệu quả giám sát, ngăn chặn những truy
cập trái phép từ ngồi và có các chính sách truy cập trong mạng.
* Sử dụng Switch: Cấu hình quản lý các cổng, chứng thực bảo vệ người dùng
cuối. Cấu hình lại SNMP, sử dụng AAA để quản lý cấu hình, cấu hình an ninh cho
các cổng, tắt các cổng khơng sử dụng.
* Xây dựng và cài đặt các máy chủ lưu trữ: Thiết lập hệ thống các máy chủ vật
lý dành cho việc lưu trữ dữ liệu, kết hợp với máy chủ chuyên dụng để sao lưu và
phục hồi dữ liệu.
3.2.2.2. Giải pháp về phần mềm.
* Trên máy chủ IDs cài đặt Snort, một phần mềm mã nguồn mở cho phép
người quản trị có thể tùy biến các luật dựa trên các dấu hiệu khi các gói tin được
truyển qua trước khi vào tới bên trong các máy chủ dịch vụ. Người quản trị chỉ cần
dựa vào các tệp tin nhật ký và các cơng cụ bắt gói tin để từ đó dựa trên các dấu hiệu
đó mà cài đặt cho bộ lọc.
* Sử dụng bộ phần mềm của Cisco để cấu hình thiết bị IPS và thơng qua các
báo cáo, cảnh báo của máy chủ IDs mà cấu hình để chống lại các cuộc tấn công, xâm
nhập vào hệ thống.


21

* Cài đặt máy chủ Proxy với phần mềm ISA server để quản lý luồng thông tin
đi từ bên trong ra trên các thiết bị, máy tính khi truy cập.
* Cài đặt phần mềm diệt virus trên máy chủ tập trung, đưa ra các lịch quét định
kỳ đồng thời cài đặt phần mềm diệt virus trên các máy tính cá nhân trong mạng thuộc
trường Đại học PCCC trên cả 3 cơ sở để đảm bảo việc các phần mềm độc hại không
lây nhiễm vào các máy chủ dịch vụ.

* Sử dụng phần mềm chuyên dụng Smart Backup để sao lưu và phục hồi dữ
liệu trên máy chủ Storages. Điều này nhằm đảm bảo an tồn dữ liệu khi có sự cố xảy
ra.
* Sử dụng bộ phần mềm ảo hóa VMware để ảo hóa các máy chủ vật lý thành
các máy chủ ảo, từ đó cài đặt các máy chủ dịch vụ phần mềm.
3.2.2.3. Giải pháp về chính sách, quy định.
* Chính sách bảo mật người sử dụng:
Bên cạnh triển khai các cơng nghệ an ninh an tồn tối ưu đối với một hệ thống
cơng nghệ thơng tin thì việc áp dụng các chính sách bảo mật là rất cần thiết. Trong
mơi trường mạng trường Đại học PCCC, một số chính sách về an ninh thông tin sau
đây cần quan tâm:
- Các yêu cầu quản lý tập trung: Các chính sách có quy định cụ thể về nhóm
người và phân quyền cho nhóm người dùng truy cập vào những vùng tài nguyên nhất
định hay không? Người dùng đã được phổ biến về những chính sách hay quy định
quản lý truy cập hay chưa?
- Quản lý truy cập người sử dụng
- Trách nhiệm người sử dụng:
- Giám sát mạng:
- Kiểm soát truy cập ứng dụng:
- Theo dõi truy cập và sử dụng hệ thống:
- Kết nối từ xa và làm việc qua mạng:
* Các chính sách về hệ thống:


22

- Chính sách bảo mật nhân sự: Mục tiêu là để giảm bớt các rủi ro về mặt nhân
sự, trộm cắp, gian lận hoặc lạm dụng trang thiết bị. Bao gồm 4 chính sách: chính sách
tuyển dụng; chính sách đào tạo và sử dụng nhân sự; chính sách sa thải.
- Chính sách về quản lý thiết bị: Mục tiêu nhằm duy trì sự hoạt động ổn định,

an tồn của các thiết bị đang được triển khai trên hệ thống mạng cũng như các thiết bị
nằm tại các cơ sở nhằm mục đích cung cấp sự an tồn, bảo mật thơng tin.
- Chính sách về quản lý truy cập: Mục tiêu cung cấp các chính sách ràng buộc
về phương thức truy nhập vào hệ đám mây của nhà trường.
- Chính sách bảo mật tài liệu: Mục tiêu là cung cấp các nguyên tắc bảo mật cho
các loại tài liệu (tài liệu phần cứng, tài liệu phần mềm) lưu hành, ban hành trong nhà
trường.
3.3. Thử nghiệm giải pháp
3.3.1. Giới hạn phạm vi
Do giải pháp của Đại học PCCC mới đang trong giai đoạn thiết kế nên chưa có
các thiết bị thực đầy đủ để thử nghiệm nên học viên giới hạn thử nghiệm trên môi
trường giả lập gần giống mạng thực tế và kiểm tra giải pháp phịng chống tấn cơng từ
Client bên trong đám mây.
Thử nghiệm tấn công đơn giản vào hệ thống bằng cách tấn công Ping of Death,
Dos vào dịch vụ web server nội bộ.

3.3.2. Kịch bản thử nghiệm
3.3.3. Thử nghiệm và đánh giá kết quả thử nghiệm
Trong các hình thức tấn cơng hay các hình thức xâm nhập đều có những dấu
hiệu riêng của chúng. Các thơng tin này sẽ là dấu hiệu để IDS có thể phát hiện tấn
công, xâm nhập.


23

3.3.3.1. Cấu trúc luật của Snort.
3.3.3.2. Thử nghiệm việc phát hiện tấn công Ping of Death vào web server
Kịch bản tấn cơng Ping of Death:
- Các gói tin Ping thường có dung lượng khoảng 64 byte. Với hình thức tấn công
Ping of Death kẻ tấn công liên tục gửi các gói tin Ping với dung lượng lớn và ồ ạt gây

sự quá tải của server.
- Trên máy tấn công sử dụng lệnh:
ping 192.168.2.100 –s 1000 – f
Qua việc bắt và phân tích gói tin bằng Wireshark, ta có thể định nghĩa rule cho
IDS nhằm phát hiện tấn công Ping of Death như sau:
alert icmp any any -> any any (dsize: > 1000; msg: “Ping of Death”;
threshold: type both, track by_src,count 100, seconds 10;sid:22222222;)
3.3.3.3. Thử nghiệm việc phát hiện tấn công Dos vào hệ thống web
Trên máy có vai trị là Attacker sử dụng công cụ hping3 để thực hiện tấn công.
Bằng cách sử dụng lệnh:
hping3 -S -p 80 --flood 192.168.2.100
Sử dụng Wireshark để bắt các gói tin ta thấy có rất nhiều các kết nối SYN được
gửi từ máy tấn cơng tới máy chủ web. Đây là hình thức tấn cơng liên tiếp gửi các gói
tin SYN nhưng khơng nhận lại gói tin ACK, làm cho máy chủ cứ tiếp tục chờ gói tin
ACK, gây tiêu tốn băng thơng, khơng phục vụ được người dùng bình thường.
Ta có thể định nghĩa một luật để phát hiện hình thức tấn cơng trên dựa vào
cách thức định nghĩa luật của Snort, ví dụ:
alert tcp any any -> any 80 (msg:"you are under attack";flags: S; threshold:
type both, track by_src, count 100, seconds 10; sid:10000002;)
3.3.3.4. Đánh giá kết quả
Qua thử nghiệm giải pháp cảnh báo tấn công vào dịch vụ dựa trên các luật
được thiết lập bởi Snort trên máy chủ IDS bước đầu thành công. Qua đây cho ta thấy