19/09/2013
1
An toàn bảo mật HTTT
Chương 3
Điều khiển truy cập vào hệ thống,
ứng dụng và Truy cập dữ liệu
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
(Tham khảo thêm slides của FPT Polytechnique)
Mục tiêu
Mô tả vai trò của điều khiển truy nhập trong
việc xây dựng chính sách bảo mật cho hệ
thống thông tin
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 2
19/09/2013
2
Nội dung
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 2
 Khái niệm về điều khiển truy cập
 Các mô hình điều khiển truy cập
 Các công nghệ xác thực và nhận dạng
người dùng
Điều khiển truy cập
 Cấp phép hoặc từ chối phê duyệt sử dụng các
tài nguyên đã biết
 Cơ chế của hệ thống thông tin cho phép hoặc
hạn chế truy cập đến dữ liệu hoặc các thiết bị
 Bốn mô hình tiêu chuẩn
 Các phương pháp thực tiễn để thực thi điều
khiển truy cập

• Ví dụ: người dùng máy tính
 Thao tác: Hành động do chủ thể gây ra đối với
một đối tượng
• Ví dụ: xóa một file
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 3
Hành động Mô tả Ví dụ tình huống Quá trình trên
máy tính
Nhận diện Xem xét các ủy Người vận chuyển Người dùng nhập
quyền hàng xuất trình thẻ tên đăng nhập
nhân viên
Xác thực Xác minh các ủy Mia đọc thông tin Người dùng cung
quyền có thực sự trên thẻ để xác định cấp mật khẩu
chính xác hay không những thông tin đó
có thực hay không
Ủy quyền Cấp quyền cho phép Mia mở cửa cho Người dùng đăng
phép người vận nhập hợp lệ
chuyển hàng đi vào
Truy cập Quyền được phép Người vận chuyển Người dùng được
truy cập tới các tài hàng chỉ có thể lấy phép truy cập tới
nguyên xác định các hộp ở cạnh cửa các dữ liệu cụ thể
Các bước điều khiển truy cập
cơ bản
19/09/2013
5
Vai trò Mô tả Trách nhiệm Ví dụ
Chủ sở hữu Người chịu trách Xác định mức bảo Xác định rằng chỉ
nhiệm về thông tin mật cần thiết đối với những người quản
dữ liệu và giao phó lý của cơ quan mới
các nhiệm vụ bảo có thể đọc được

Bốn mô hình điều khiển truy cập chính
 Điều khiển truy cập bắt buộc
Mandatory Access Control - MAC
 Điều khiển truy cập tùy ý
Discretionary Access Control - DAC
 Điều khiển truy cập dựa trên vai trò
Role Based Access Control - RBAC
 Điều khiển truy cập dựa trên quy tắc
Rule Based Access Control - RBAC
19/09/2013
7
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Điều khiển truy cập bắt buộc -
MAC
 Điều khiển truy cập bắt buộc
• Là mô hình điều khiển truy cập nghiêm ngặt nhất
• Thường bắt gặp trong các thiết lập của quân đội
• Hai thành phần: Nhãn và Cấp độ
 Mô hình MAC cấp quyền bằng cách đối chiếu nhãn
của đối tượng với nhãn của chủ thể
• Nhãn cho biết cấp độ quyền hạn
 Để xác định có mở một file hay không:
• So sánh nhãn của đối tượng với nhãn của chủ thể
• Chủ thể phải có cấp độ tương đương hoặc cao hơn đối
tượng được cấp phép truy cập
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Điều khiển truy cập bắt buộc –
MAC (tiếp)

• Mọi đối tượng đều có một chủ sở hữu
• Chủ sở hữu có toàn quyền điều khiển đối với đối tượng của
họ
• Chủ sở hữu có thể cấp quyền đối với đối tượng của mình
cho một chủ thể khác
• Được sử dụng trên các hệ điều hành như Microsoft
Windows và hầu hết các hệ điều hành UNIX
19/09/2013
9
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Điều khiển truy cập tùy quyền
(DAC) (tiếp)
 Nhược điểm của DAC
• Phụ thuộc vào quyết định của người dùng để thiết
lập cấp độ bảo mật phù hợp
o Việc cấp quyền có thể không chính xác
• Quyền của chủ thể sẽ được “thừa kế” bởi các
chương trình mà chủ thể thực thi
• Trojan là một vấn đề đặc biệt của DAC
19/09/2013
10
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Điều khiển truy cập dựa trên vai
trò (RBAC)
 Điều khiển truy cập dựa trên vai trò
(Role Based Access Control – RBAC)
• Còn được gọi là Điều khiển Truy cập không tùy ý
• Quyền truy cập dựa trên chức năng công việc

Điều khiển truy cập dựa Tự động gán vai trò cho Được sử dụng để quản lý
trên quy tắc các chủ thể dựa trên tập truy cập người dùng tới
các quy tắc do người một hoặc nhiều hệ thống
giám sát qui định
Tóm tắt các mô hình điều khiển
truy cập
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Các cách thực hiện hay đối với
điều khiển truy cập
 Thiết lập các thủ tục tối ưu để hạn chế truy cập
• Có thể giúp đảm bảo an toàn cho hệ thống và dữ liệu
 Các ví dụ về phương pháp tối ưu
• Tách nhiệm vụ (separation of duties)
• Luân chuyển công việc (job rotation)
• Đặc quyền tối thiểu (least privilege)
• Từ chối ngầm định (implicit deny)
• Các ngày nghỉ lễ bắt buộc (mandatory vacation)
19/09/2013
12
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Tách nhiệm vụ
 Hành vi gian lận có thể bắt nguồn từ việc tin cậy vào
một cá nhân và cho phép họ toàn quyền điều khiển
một quá trình
 Yêu cầu phải có ít nhất hai người chịu trách nhiệm
cho các hoạt động liên quan tới quản lý tiền
 Giúp hệ thống không bị xâm hại do hành vi của một
cá nhân đơn lẻ

Các ứng dụng kế thừa Nhiều ứng dụng được phát triển trong nội bộ tổ
chức và không còn được bảo trì hoặc là ứng dụng
của một bên thứ ba không còn được hỗ trợ. Việc
xây dựng lại các ứng dụng này có thể mất chi phí
lớn; một cách thay thế là chạy các ứng dụng đó trên
một môi trường ảo
Các nhiệm vụ quản trị Những công việc quản trị hệ thống cơ bản được
chung thực hiện bởi người dùng; nếu không có đặc quyền
cao, người dùng phải liên hệ với trợ lý kỹ thuật để
thực hiện những nhiệm vụ này
Cài đặt/Nâng cấp phần Việc cập nhật phần mềm không được triển khai tập
mềm trung có thể đòi hỏi đặc quyền cao, nghĩa là cần tới
sự hỗ trợ từ trợ lý kỹ thuật; điều này thường dẫn tới
làm giảm năng suất và tăng chi phí hỗ trợ
Ưu tiên ít nhất – Những thách thức
19/09/2013
14
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Từ chối ngầm định
 Nếu một điều kiện không đáp ứng rõ ràng, yêu cầu
truy cập sẽ bị từ chối
 Ví dụ: bộ định tuyến mạng từ chối các truy cập ngoại
trừ khi điều kiện phù hợp với các quy tắc giới hạn
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Các kỳ nghỉ bắt buộc
 Hạn chế gian lận vì thủ phạm phải có mặt hàng ngày
để che dấu hành vi gian lận của mình
 Lên kế hoạch kiểm tra hành vi của nhân viên giữ

(tiếp)
 Mỗi một mục trong bảng danh sách điều khiển truy
cập được gọi là một mục điều khiển (ACE)
 Cấu trúc ACE (trong Windows)
• Nhận dạng bảo mật (Access identifier) cho tài khoản người
dùng hoặc tài khoản nhóm hoặc phiên đăng nhập
• Mặt nạ truy cập (access mask) xác định quyền truy cập do
ACE điều khiển
• Cờ (Flag) cho biết kiểu của ACE
• Tập các cờ (Set of flags) xác định đối tượng có thể kế thừa
các quyền hay không
19/09/2013
17
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Chính sách nhóm
 Tính năng của Microsoft Windows
• Cho phép sử dụng Active Directory (AD) để quản lý và cấu
hình tập trung cho các máy tính và người dùng từ xa
• Thường được sử dụng trong các môi trường doanh nghiệp
• Các thiết lập được lưu trữ trong các GPO (Group Policy
Objects – Đối tượng chính sách nhóm)
 Local Group Policy
• Có ít tùy chọn hơn so với Group Policy
• Được sử dụng để cấu hình các thiết lập cho các hệ thống
không phải là một phần của AD
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Giới hạn tài khoản
 Giới hạn thời gian trong ngày (time of day restriction)

• Quản lý nhật ký (file log)
 Các tài khoản “mồ côi” vẫn là một vấn đề nan giải
đối các tổ chức hiện nay
 Account expiration (thời gian hiệu lực của tài khoản)
• Thiết lập hết hạn cho một tài khoản người dùng (hết hiệu
lực)
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com
Giới hạn tài khoản (tiếp)
 Password expiration (thời gian hiệu lực của mật
khẩu) thiết lập khoảng thời gian mà người dùng phải
thay đổi một mật khẩu mới
• Khác với account expiration (thời gian hiệu lực của tài
khoản)
 Account expiration có thể được thiết lập bằng số
ngày mà người dùng không có bất cứ hành động
truy cập nào
19/09/2013
20
CÁC DỊCH VỤ XÁC THỰC
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 3
Kịch bản 1
 Xác định các phương pháp điều khiển truy
cập cho hệ thống mạng của Bộ Quốc Phòng
19/09/2013
21
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 3
Giải pháp

Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 3
Giải pháp
 Chứng thực dựa trên:
• Truy cập theo vai trò
• Single sign-on
• Quay số xác thực từ xa cho các dịch vụ
người dùng: RADIUS
• Các mật khẩu mạnh
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 3
Các đặc điểm
Loại điều khiển truy cập Giải pháp?
Sinh trắc học
Token
Mật khẩu
Single sign-on
19/09/2013
24
Fundamentals of Information Systems Security
© 2012 Jones and Bartlett Learning, LLC www.jblearning.com Page 3
Các đặc điểm của điều khiển truy
cập
Loại điều khiển
truy cập
Giải pháp
Sinh trắc học
• Tĩnh: vân tay, mống mắt, mặt, bàn tay
• Động: tiếng nói, gõ bàn phím, các chuyển động, cử
chỉ

RADIUS
 RADIUS (Remote Authentication Dial In User
Service - Bộ quay số xác thực từ xa trong dịch vụ
người dùng)
• Được giới thiệu vào năm 1992
• Trở thành một tiêu chuẩn công nghiệp
• Phù hợp cho các ứng dụng kiểm soát dịch vụ cỡ lớn
o Ví dụ như truy cập quay số tới mạng doanh nghiệp
• Hiện nay xẫn đang được sử dụng
 RADIUS client
• Thường là một thiết bị như điểm truy cập không dây (AP)
o Có nhiệm vụ gửi các thông tin về người dùng cùng với
các tham số kết nối tới máy chủ RADIUS
Xác thực RADIUS