Tải bản đầy đủ
Chương 3. PHÂN TÍCH KIẾN TRÚC VÀ CÁC THÀNH PHẦN AN NINH X.805 DO ITU-T ĐỀ XUẤT

Chương 3. PHÂN TÍCH KIẾN TRÚC VÀ CÁC THÀNH PHẦN AN NINH X.805 DO ITU-T ĐỀ XUẤT

Tải bản đầy đủ

55

Hình 3.1 Áp dụng các biện pháp an ninh vào các lớp an ninh

3.2.1 Lớp an ninh cơ sở hạ tầng
Lớp an ninh cơ sở hạ tầng bao gồm tập hợp các phương tiện truyền dẫn cũng như các phần tử mạng
được bảo vệ bằng các biện pháp an ninh. Lớp cơ sở hạ tầng là thành phần cơ bản xây dựng nên mạng,
các dịch vụ mạng và các ứng dụng trên đó. Các thành phần thường thấy trong lớp cơ sở hạ tầng mạng
đó là: router, switch và các server cũng như các tuyến truyền thông nối giữa các thiết bị đó.

3.2.2 Lớp an ninh các dịch vụ
Lớp an ninh các dịch vụ giải quyết các vấn đề an ninh của các dịch vụ mà các nhà cung cấp đưa tới
khách hàng. Những dịch vụ này bao gồm các dịch vụ truyền tải cơ bản cũng như các dịch vụ hỗ trợ
dùng để hỗ trợ các dịch vụ khác (người sử dụng dùng trực tiếp dịch vụ này). Một số dịch vụ hỗ trợ
thường thấy đó là: Dịch vụ hỗ trợ người dùng truy cập Internet (các dịch vụ AAA, dịch vụ DHCP, dịch
vụ DNS,..), một số dịch vụ hỗ trợ giá trị gia tăng như là dịch vụ thông tin vị trí, dịch vụ chat,… Lớp an
ninh dịch vụ được dùng để bảo vệ các nhà cung cấp dịch vụ và khách hàng của họ, cả hai đối tượng
này là mục tiêu của các nguy cơ. Chẳng hạn, kẻ tấn công có thể nhằm vào nhà cung cấp dịch vụ để hạn
chế khả năng cung cấp dịch vụ của họ hay làm gián đoạn dịch vụ cho một khách hàng nào đó (có thể
là một tổng công ty) của nhà cung cấp dịch vụ.

3.2.3 Lớp an ninh các ứng dụng
Lớp an ninh ứng dụng tập trung vào an ninh cho các ứng dụng chạy trên mạng được truy nhập bới
khách hàng. Những ứng dụng này được thực thi nhờ sự hỗ trợ của các dịch vụ mạng và bao gồm một
số ứng dụng điển hình như ứng dụng truyền file (FTP), ứng dụng duyệt Web (HTTP/HTTPS). Một số
ứng dụng cơ bản như tra số điện thoại, ứng dụng thư điện tử và thư thoại, thương mại điện tử,… Các
ứng dụng có thể được cung cấp bởi nhà cung cấp dịch vụ ứng dụng (ASP) thứ 3.

3.3 Phân tích các mặt phẳng (plane) an ninh trong X.805
Trong mạng, để tiện cho việc bảo vệ thông tin người ta phân biệt các hoạt động ra thành các loại hoạt
động khác nhau. Mặt phẳng an ninh là kiểu hoạt động mạng nào đó được bảo vệ bằng các biện pháp an

56
ninh. Trong khuyến nghị này luận văn chỉ đề cập đến 3 kiểu hoạt động cần được bảo vệ ứng với 3 mặt
phẳng an ninh


Mặt phẳng an ninh quản lý



Mặt phẳng an ninh điều khiển



Mặt phẳng an ninh người sử dụng

Những mặt phẳng an ninh này đề cập đến các nhu cầu về an ninh kết hợp với các hoạt động quản lý
mạng, hoạt động báo hiệu và điều khiển mạng và hoạt động liên quan đến người sử dụng tương ứng.
Các mạng nên được thiết kế theo cách để làm sao các sự kiện xảy ra đối với mặt phẳng an ninh này
được cách ly hoàn toàn với các mặt phẳng an ninh khác.
3.3.1 Mặt phẳng an ninh quản lý
Mặt phẳng an ninh quản lý liên quan đến việc bảo vệ các chức năng OAM&P của các phần tử mạng,
các phương tiện truyền dẫn, các hệ thống hỗ trợ (các hệ thống hỗ trợ vận hành, hệ thống hỗ trợ kinh
doanh, hệ thống hỗ trợ khách hàng,…) và các trung tâm dữ liệu. Mặt phẳng an ninh quản lý hỗ trợ các
chức năng liên quan đến lỗi hệ thống, dung lượng hệ thống, quản trị hệ thống, độ khả dụng và an ninh
hệ thống.

3.3.2 Mặt phẳng an ninh điều khiển
Mặt phẳng an ninh điều khiển liên quan đến việc bảo vệ các hoạt động nhằm cho phép phân bổ thông
tin, các dịch vụ và ứng dụng một cách hiệu quả trên mạng. Hoạt động trong mặt phẳng điều khiển
thường bao gồm các dòng thông tin giữa các thiết bị trong mạng để xác định đường đi tốt nhất trong
mạng. Kiểu thông tin này thường được gọi là thông tin điều khiển hay báo hiệu. Thành phần mạng
dùng để vận chuyển những kiểu gói tin này có thể dùng chung hay tách rời khỏi lưu lượng người sử
dụng của nhà cung cấp dịch vụ.

3.3.3 Mặt phẳng an ninh người sử dụng
Mặt phẳng an ninh người sử dụng đề cập đến các vấn đề an ninh của việc truy nhập và sử dụng mạng
của nhà cung cấp dịch vụ từ phía khách hàng. Mặt phẳng này liên quan đến dòng lưu lượng của người
sử dụng.

3.4 Phân tích các nguy cơ (threat) an ninh trong X.805
Kiến trúc an ninh xác định nên một lược đồ và một tập các nguyên lý dùng để mô tả giải pháp an ninh
từ đầu cuối đến đầu cuối. Kiến trúc này cũng chỉ ra các vấn đề an ninh cần phải được giải quyết để
ngăn chặn các nguy cơ có chủ định cũng như các nguy cơ ngẫu nhiên. Các nguy cơ được nêu ra ở đây
được mô tả trong ITU-T Rec.X.800 (1991) là


Phá huỷ thông tin hay các tài nguyên khác (Destruction of Information & Resource)



Sửa đổi thông tin (Information Corruption and Modification)



Đánh cắp thông tin hay các tài nguyên khác (Theft of Information)



Làm lộ thông tin (Disclosure of Information)



Làm gián đoạn các dịch vụ (Interruption of Service)

57
3.5 Phân tích các giải pháp (dimension) an ninh trong X.805
Đứng trước các nguy cơ an ninh hiện có, các biện pháp an ninh cần thiết phải được thực hiện một cách
chặt chẽ cho hệ thống. Xem xét một cách có hệ thống, có thể thấy nhìn chung các biện pháp an ninh
được phân chia thành một số biện pháp dưới đây. Mỗi biện pháp có thể được thực hiện bởi các cơ chế
khác nhau, do đó ứng với mỗi biện pháp chúng ta cũng đề cập luôn đến phần cơ chế để thực hiện biện
pháp đó.
3.5.1 Điều khiển truy nhập (Access Control)


Phương pháp này nhằm hạn chế và điều khiển việc truy nhập vào các phần tử mạng, các dịch
vụ và các ứng dụng.



Một số cơ chế phổ biến để thực hiện biện pháp này đó là: Sử dụng mật khẩu, sử dụng danh
sách điều khiển truy nhập (ACL), sử dụng Firewall.

3.5.2 Nhận thực người sử dụng (Authentication)


Phương pháp này sử dụng nhận dạng người sử dụng để kiểm tra tính đúng đắn của người sử
dụng.



Một số cơ chế phổ biến để thực hiện biện pháp này: sử dụng khoá chia sẻ, sử dụng hạ tầng
khoá công cộng, sử dụng chữ ký số, sử dụng chứng chỉ số.

3.5.3 Chứng minh tránh phủ nhận (Non-Reputation)


Phương pháp này nhằm ngăn chặn khả năng người sử dụng nào đó từ chối hành động mà họ
đã thực hiện vào mạng.



Một số cơ chế phổ biến để thực hiện biện pháp này chúng ta thường thấy đó là: sử dụng cơ chế
ghi lại sự kiện hệ thống, sử dụng chữ ký số.

3.5.4 Bảo mật dữ liệu (Confidentiality of Data)


Phương pháp này nhằm đảm bảo tính bí mật cho dữ liệu của người sử dụng tránh không được
biết bởi người không mong muốn.



Cơ chế phổ biến để thực hiện biện pháp này đó là: mật mã

3.5.5 Đảm bảo an toàn trong quá trình truyền dữ liệu (Communication)


Phương pháp này nhằm đảm bảo dòng thông tin chỉ đi từ nguồn đến đích mong muốn, các
điểm trung gian không muốn được biết thông tin không thể truy nhập vào dòng thông tin.



Một số cơ chế phổ biến để thực hiện biện pháp này đó là: sử dụng VPN thông qua MPLS hay
một số giao thức như là L2P,..

58
3.5.6 Đảm bảo toàn vẹn dữ liệu (Data Integrity)


Phương pháp này nhằm đảm bảo rằng dữ liệu nhận được và được phục hồi là giống với dữ liệu
đã được gửi đi từ nguồn.



Một số cơ chế phổ biến để thực hiện biện pháp này là: sử dụng thuật toán băm MD5, sử dụng
chữ ký số, sử dụng phần mềm chống Virus.

3.5.7 Đảm bảo tịnh khả dụng (Avaiability)


Phương pháp này nhằm đảm bảo cho người sử dụng hợp lệ luôn có thể sử dụng các phần tử
mạng, các dịch vụ và các ứng dụng.



Một số cơ chế phổ biến để thực hiện biện pháp này là: sử dụng hệ thống phát hiện / ngăn ngừa
truy nhập trái phép (IDS / IPS), sử dụng cơ chế dự phòng (Reduntdance).

3.5.8 Đảm bảo tính riêng tư cho người sử dụng (Privacy)


Phương pháp này nhằm đảm bảo tính riêng tư cho nhận dạng và việc sử dụng mạng của người
sử dụng.



Một số cơ chế phổ biến để thực hiện biện pháp này là: sử dụng NAT, sử dụng mật mã.

3.6 Quan hệ giữa các nguy cơ và các giải pháp an ninh
Phần giao giữa lớp an ninh với mặt phẳng an ninh thể hiện một khía cạnh an ninh (module dịch vụ an
ninh), tại đó các biện pháp an ninh được áp dụng để chống lại các nguy cơ an ninh. Bảng 3.1 đưa ra
mối quan hệ giữa các biện pháp an ninh và nguy cơ an ninh. Quan hệ này có thể áp dụng cho mỗi khía
cạnh an ninh.
Chữ “Y” trong mỗi ô thể hiện việc nguy cơ an ninh ở cột tương ứng sẽ bị ngăn chặn bởi biện pháp an
ninh tại hạ tầng tương ứng. Đây là một bảng rất quan trọng, dựa vào đó có thể tìm ra các loại giải
pháp có thể đối với một loại nguy cơ.

59

Bảng 3.1 Mối quan hệ giữa các nguy cơ và biện pháp an ninh

3.7 Kết luận chương
Có thể thấy bảng phân loại các nguy cơ và giải pháp an ninh của ITU-T X.805 là một gợi ý rất quan
trọng dù không đưa ra các giải pháp cụ thể. Dựa trên các đặc điểm này, trong các chương sau Học viên
sẽ đưa ra đề xuẩt về cách thức áp dụng ITU-T X.805 để giải quyết bài toán an ninh mạng NGN.

60

Chương 4. PHÂN TÍCH ÁP DỤNG KHUYẾN NGHỊ X.805 CHO THIẾT KẾ
AN NINH MẠNG NGN
4.1 Tóm tắt chương
Chương này trình bày cách tiếp cận và những bổ sung cần thiết cho X.805 do nhóm nghiên cứu và học
viên tại CDiT đề xuất. Kết quả của chương này là đưa ra được một quy trình có độ tin cậy cao làm sở
cữ khoa học vững chắc cho việc đề xuất giải pháp và những khuyến nghị đảm bảo an ninh cho các
thiết bị mạng trong NGN của SP.

4.2 Một số thuật ngữ khái niệm cần thống nhất
4.2.1 Phần tử mạng (NE: Network Element)
Là một thành phần cấu thành mạng, thông thường đó là một thiết bị mạng (IP DSLAM, MSAN, UPE,
PEAGG, BRAS…)

4.2.2 Yêu cầu an ninh (SR: Security Requirement)
Để đảm bảo an ninh, mạng nói chung và các NE cần đảm bảo các SR (có khả năng chống tràn bảng
CAM, chống giả mạo MAC hay VLAN,…). Các SR được chia làm 3 cấp độ theo thứ tự tăng dần của
độ bắt buộc bao gồm:
-

NÊN (SHOULD)

-

CÓ THỂ (MAY)

-

PHẢI hoặc BẮT BUỘC (MUST)

hoặc ở dạng phủ định như:
-

KHÔNG NÊN (SHOULD NOT)

-

CÓ THỂ KHÔNG (MAY NOT)

-

KHÔNG ĐƯỢC (MUST NOT)

4.2.3 Phần tử an ninh (NSE: Security Element)
NSE là một NE đặc biệt, nó chỉ thực hiện chức năng an ninh. Mục đích của NSE là đảm bảo an ninh
cho các NE khác trong mạng. Trong các giải pháp an ninh cho mạng, ngoài Yêu cầu về an ninh cho
các NE của mạng, đối với các mạng bản thân các NE tự thân không thể đảm bảo được an ninh từ các
nguy cơ bên ngoài thì cần có sự trợ giúp của các NSE. Ví dụ điển hình của NSE có thể kể đến như
Firewall, IPS, IDS, SBG,….

4.2.4 Miền an ninh (SD: Security Domain)
SD là một khái niệm logic, nó có thể là một phân đoạn mạng, một thiết bị, hay đơn thuần chỉ là một
phân lớp (theo mô hình OSI) hay một giao thức,… Một SD là một đối tượng cần đảm bảo an ninh và
có những yêu cầu an ninh đặc thù. Đây là khái niệm do CDiT đề xuất và sử dụng xuyên suốt báo cáo

61
này. Mạng NGN trước khi áp dụng X.805 để xây dựng giải pháp an ninh cần được phân rã ra các SD
phù hợp.

4.3 Hiện trạng nghiên cứu về an ninh NGN của các tổ chức chuẩn hoá
Tại Việt Nam, các công việc nghiên cứu liên quan đến lý thuyết cũng như các liên quan đến xây dựng
phương án thực tế nhằm đảm bảo an toàn cho mạng NGN còn rất hạn chế.
Trên thế giới, vấn đề an ninh NGN trở thành tâm điểm và thu hút rất nhiều sự quan tâm của cả các tổ
chức chuẩn hoá cũng như các nhà sản xuất thiết bị viễn thông.
Sau những nỗ lực chuẩn hoá về kiến trúc mạng cũng như những vấn đề xung quanh các tổ chức chuẩn
hoá lớn như ITU, ETSI, 3GPP… đã tập trung khá nhiều vào việc nghiên cứu an ninh cho NGN, các
chủ đề nghiên cứu trong an ninh cho NGN được thực hiện khá đa dạng, tuy nhiên hiện các chuẩn công
nghệ hoàn chỉnh giải quyết đến những vấn đề cụ thể trong an ninh NGN thì gần như chưa có.
Các nhà sản xuất thiệt bị lớn như Alcatel, Cisco, Huawei… bên cạnh giải pháp NGN mà họ đưa ra thì
đều cũng giới thiệu giải pháp an ninh cho mạng NGN. Gần như tất cả các hãng đều nhận ra tầm quan
trọng của vấn đề an ninh cho NGN khi được triển khai trên quy mô rộng, họ cho đó là điều bắt buộc
cần phải triển khai chứ không còn là sự tuỳ chọn, tuy nhiên qua các tài liệu mà học viên nghiên cứu
được thì các hãng chỉ đưa ra những vấn đề chung mang tính chất nguyên tắc và gợi mở còn chi tiết và
cách thức thực hiện giải pháp luôn là bí mật của từng hãng và không được công bố rộng rãi.

4.3.1 Lựa chọn framework an ninh
Trước hết chúng ta xem xét các công việc mà các tổ chức chuẩn hóa đã thực hiện liên quan đến vấn đề
an ninh cho NGN.


ITU: Trước đây trong phần phụ lục của khuyến nghị Y.2012 (Functional requirements and
architecture of the NGN release 1) có nêu ra chức nnăg của phần tử SBC - Session/border
control (S/BC) và gần đây ban hành khuyến nghị chính thức Y.2701 (4/2007) về Yêu cầu an
ninh cho NGN. Ngoài ra các chuẩn liên quan đến an ninh NGN của ITU gần như không có.
Một tập các khuyến nghị liên quan đến vấn đề an ninh của ITU đó là tập X.8xx, trong đó đáng
chú ý là X805 (10/2003): Kiến trúc an ninh từ đầu cuối đến đầu cuối cho mạng chuyển mạch
gói nói chung.



IETF: Các chuẩn công nghệ giải quyết vấn đề an ninh cho phần mạng truyền tải IP, không phải
cho các ứng dụng trên đó.



3GPP: Kiến trúc an ninh cho mạng truy nhập di động với kiến trúc điều khiển theo lõi IMS
hướng đến mạng hội tụ, tuy nhiên cũng chưa rõ ràng.



ETSI: Tổ chức này đã đưa ra các chuẩn công nghệ liên quan đến một số vấn đề an ninh của
NGN như: Phân tích nguy cơ, Yêu cầu an ninh, và Kiến trúc an ninh cho NGN theo IMS
nhưng còn rất chung chung mang tính nguyên tắc chưa thể áp dụng được.



Nhìn chung có thể thấy là khuyến nghị X.805 của ITU về Kiến trúc an ninh từ đầu cuối đến
đầu cuối cho các hệ thống truyền thông là một trong những nền tảng cho việc nghiên cứu vấn
đề an ninh trong các mạng gói và cũng là nền tảng để xây dựng các khuyến nghị khác về an
ninh từ đầu cuối đến đầu cuối. Mặc dù chuẩn công nghệ này áp dụng một cách tương đối tổng
quát cho mọi công nghệ mạng bên dưới (không phải với mục đích sử dụng cho riêng mạng
NGN) và hiện tại vẫn chưa có một tài liệu nào công bố về việc áp dụng chuẩn này cho mạng
NGN. Qua quá trình nghiên cứu các tài liệu chuẩn về vấn đề an ninh của một số tổ chức đó,