Giải mã bí mật của một hệ thống an toàn

Website Việt Nam bị hacker Thổ Nhĩ Kỳ tấn công, hơn 60% website các cơ quan Nhà nước bị tấn công… Những thông tin kiểu này những tuần qua chỉ là một phần rất nhỏ trong hàng ngàn, hàng trăm ngàn cuộc tấn công trên thế giới thời gian qua. Làm thế nào đây khi mà chúng ta đã không thể dừng cuộc chơi mà cả thế giới này trong đó có Việt Nam không thể đứng ngoài cuộc?

Chương trình Sự lựa chọn cho tương lai sẽ“Tiếp tục câu chuyện an ninh mạng”. Các chuyên gia đến từ tập đoàn an ninh mạng hàng đầu Juniper Networks sẽ giúp chúng ta hiểu hơn về các nội dung an ninh mạng cơ bản.

Cập nhật cảnh báo an ninh mạng

“Với doanh nghiệp lớn họ có cách phòng ngự của họ vì họ có rất nhiều kỹ sư tin học. Nhưng cũng có những người dùng doanh nghiệp nhỏ và vừa thì họ không hề biết nhiều về tin học. Và dĩ nhiên họ là những người dễ bị tấn công nhất”-Tổng Giám đốc Juniper Networks Việt Nam Hà Huy Hào khẳng định.

Thiệt hại từ các vụ tấn công trên mạng không chỉ là thời gian để điều tra, để khôi phục hệ thống mà còn là hiệu quả sản xuất kinh doanh, chất lượng và dịch vụ. Những thiệt hại như vậy có thể được quy đổi thành các con số cụ thể. Chỉ tính riêng các thiệt hại do virus gây ra, theo Reuter, năm 2001 là 13 tỷ USD, năm 2002 là 25 tỷ, năm 2003 là 55 tỷ USD.

Đằng sau những thiệt hại về mọi mặt chính là nỗi lo về khả năng đảm bảo an ninh thông tin cho các doanh nghiệp tổ chức khi mà họ đang phải đương đầu với sự thiếu hụt cả về nhân lực CNTT lẫn sự hiểu biết cần thiết về an ninh mạng.

“Vì an ninh là cái mà các doanh nghiệp tổ chức cần phải học hỏi, cần phải hiểu một cách sâu sắc, cặn kẽ trước khi thực sự áp dụng an ninh cho hệ thống mạng. Trong khi đó, nhiều công ty, đa phần là doanh nghiệp vừa và nhỏ không đủ kinh nghiệm nhiều tri thức để bảo vệ hệ thống mạng của mình. Khi chúng tôi nói về hoạt động tấn công, chỉ riêng virus mỗi tuần để có thêm 700 virus mới. Tức là hãy tưởng tượng, nếu bạn chỉ mua bức tường lửa hay phần mềm diệt virus và không làm gì ngoài việc chờ nó bảo vệ bạn thì bạn sẽ gặp nguy vì chỉ sau 1 tuần hệ thống sẽ bị tới 700 virus mới tấn công”-Abby Tang - Giám đốc giải pháp Doanh nghiệp Juniper Networks khu vực CA-TBD cho biết.

Thị trường an ninh mạng Việt Nam: tăng tốc!

Thị trường an ninh mạng Việt Nam tuy quy mô còn nhỏ bé so với thị trường thế giới đã chín muồi nhưng lại có tốc độ tăng trưởng thuộc vào loại cao nhất trên thế giới. Dự báo của Frost & Sullivan cho thấy, thị trường an ninh bảo mật mạng ở Việt Nam, từ nay đến 2011, sẽ đạt tốc độ tăng trưởng bình quân năm là 32%. Trong khi đó, thị trường các sản phẩm phát hiện và ngăn chặn xâm nhập trái phép IDP ở nước ta được dự đoán sẽ tăng 52,3% bình quân năm.

Abby Tang - Giám đốc giải pháp Doanh nghiệp Juniper Networks khu vực CA-TBD khẳng định: “An ninh mạng là một xu hướng lớn hiện nay, đặc biệt ở Việt Nam. Chúng tôi nhìn nhận tốc độ phát triển là 92% trong năm 2004 so với năm 2003. Chúng tôi cũng thấy là nhiều hệ thống đóng lâu nay bắt đầu mở ra với Internet, với thế giới. Vấn đề nảy sinh khi nhiều người tham gia vào mạng chính là an ninh. Đó là lý do tại sao mọi người phải cẩn trọng khi đưa mạng kết nối cùng Internet. Đó là lý do tại sao chúng tôi thấy có sự phát triển mạnh mẽ ở đây”.

Quy mô mạng máy tính doanh nghiệp ngày một mở rộng. Bên trong công ty đã đành, còn mở rộng ra phía ngoài với bản thân đội ngũ nhân công làm việc di động, các chi nhánh và cả với đối tác, với khách hàng….

Một khi biên giới mạng được mở rộng, thì điều đó cũng đồng nghĩa với việc gia tăng các nguy cơ bị tấn công, dẫn đến nhu cầu ngày càng cao về an ninh mạng. Một so sánh: doanh số dịch vụ dữ liệu ở khu vực châu Á chỉ tăng 5% năm 2004, trong khi doanh số thị trường mạng riêng ảo tăng tới 40%.

Cùng với băng rộng, mạng LAN không dây đang trên đà tăng tốc. Khu vực châu Á –TBD trừ Nhật Bản từ 2002 đến 2008 dự kiến mức tăng trưởng thiết bị LAN không dây bình quân năm là 50%, đình điểm là 59% trong năm 2008. Riêng Việt Nam, trong hai năm trở lại đây, tâm điểm chính là sự tăng tốc của kết nối băng rộng.

Brad Gray -Phó chủ tịch Juniper Networks khu vực châu Á TBD cho biết:”Thị trường Internet băng rộng ở Viêt Nam phát triển với tốc độ nhanh thuộc loại nhất trên thế giới. Lượng thuê bao Internet dự kiến sẽ tăng gấp đôi trong năm nay và trong vòng 3 năm tới nó sẽ là gấp 5 lần. Và dĩ nhiên với sự phát triển của Internet băng rộng, sẽ xuất hiện rất nhiều nhu cầu về an ninh mạng”.

Một câu hỏi mà các doanh nghiệp tổ chức luôn trăn trở, đó là làm thế nào để thiết lập một hệ thống an ninh đủ khả năng bảo vệ mình trước các cuộc tấn công. Đối với không ít đơn vị, đặc biệt với một thị trường an ninh, bảo mật mạng còn non trẻ như nước ta, câu trả lời không dễ dàng gì có được một khi ngay đến những mô hình an ninh cơ bản, họ vẫn chưa biết tới!

Cơ bản công nghệ an ninh mạng

Một phần mềm diệt virus, một thiết bị an ninh mạng nào đó hay một đội ngũ chuyên gia an ninh mạng là đủ để đảm bảo sự an toàn cho cả hệ thống mạng của doanh nghiệp? Cho đến thời điểm này và có lẽ mãi về sau cũng vậy, con người là yếu tố then chốt, nhưng nếu thiếu những công cụ cần thiết tối thiểu thì yếu tố con người cũng phải bó tay. Dù đó có là những chuyên gia giỏi nhất trong lĩnh vực này.

Các công nghệ an ninh phổ biến hiện nay là chống virus, bức tường lửa, kiểm soát truy cập, an ninh mức vật lý, phát hiện xâm nhập trái phép. Đầu tiên là tường lửa chiều sâu, cung cấp công cụ mạnh kiểm soát truy cập, ngăn chặn tấn công, bảo vệ mạng vùng biên và mạng lõi.

Abby Tang - Giám đốc giải pháp Doanh nghiệp Juniper Networks khu vực CA-TBD cho biết: “Bức tường lửa cũng giống như bức tường và cửa ra vào để bảo vệ lưu lượng vào ra mạng. Nhưng liệu an ninh có thể đảm bảo một khi bạn đóng chặt nhiều lớp cửa ra vào ngôi nhà nhưng lại mở trong một trong các cửa sổ của ngôi nhà. Vì vậy, chúng tôi muốn chắc rằng tất cả mọi lỗ hổng bảo mật đều được vá, bức tường lửa hoạt động giúp cho mạng được an toàn”.

Nhưng một mình công nghệ tường lửa đã đủ đảm bảo an toàn cho hệ thống? Có thể kể đến thiết bị phát hiện xâm nhập trái phép IDS.

IDS giống như hệ thống báo trộm, cảnh báo bạn khi có các cuộc tấn công. Tuy nhiên đây là một giải pháp giám sát thụ động, nó không ngăn chặn được việc tấn công phá hoại hệ thống mạng. Chính vì vậy các IDS đang dần được thay thế bằng các giải pháp phát hiện và ngăn chặn tấn công IDP.

Hệ thống phát hiện và ngăn chặn xâm nhập trái phép IDP giám sát lưu thông trên mạng theo nhiều cách thức khác nhau để xác định đó là những kết nối thực sự hay là các cuộc tấn công xâm nhập. Và cách duy nhất để ngăn chặn cuộc tấn công là loại bỏ lưu thông tấn công ngay khi phát hiện ra nó trước khi nó có thể tấn công được tới đích.

“Vì an ninh mạng không chỉ được đảm bảo bằng 1 công cụ duy nhất, nên chúng ta cần tới nhiều thiết bị khác nhau hoạt động liên kết với nhau trên cùng một mạng, để đảm bảo thực hiện triệt để an ninh mạng. Mỗi thiết bị sẽ có nhiệm vụ riêng. Bức tường lửa sẽ có nhiệm vụ ngăn chặn, giám sát lực lượng vào ra mạng. Trong khi đó bộ định tuyến sẽ có trách nhiệm duy nhất là đảm bảo là những ai không có quyền truy cập hợp pháp sẽ không được vào. Chúng ta cũng có thể thấy những công cụ khác nhau như IDP có nhiệm vụ không chỉ quét lực lượng xem có hacker tấn công hay không, mà nếu có sẽ phải ngăn chặn lực lượng đó ngay lại”-Abby Tang nói.

Mạng riêng ảo dùng công nghệ Ipsec cung cấp kết nối bảo mật trực tiếp giữa các điểm kết nối site-to-site bằng cách sử dụng công nghệ mã hoá để bảo mật đường truyền dữ liệu thay cho việc sử dụng mạng Frame Relay hoặc đường truyền riêng, chi phí cao.

Trong khi đó, mạng riêng ảo dựa trên lớp bảo mật gói SSL lại sử dụng công nghệ bảo mật SSL có sẵn trong trình duyệt web, cho phép truy cập bảo mật tới những nhân viên làm việc di động, các đối tác, và các khách hàng thông qua việc cung cấp công cụ kiểm soát truy cập tập trung người sử dụng hay nhóm sử dụng ở các ứng dụng và tài nguyên mạng.

Abby Tang cho biết: ”Mạng riêng ảo SSL là công nghệ cần thiết cho truy cập từ xa. Vì giờ đây các bạn có thể thấy rất nhiều người đang truy cập vào Internet có thể từ Kiosk, từ nhà vì mọi người hiện nay không chỉ làm việc 12 giờ ở cơ quan mà thậm chí còn mang việc về nhà. Vì vậy khi người dùng truy cập và mạng công ty từ bên ngoài mạng phải qua công nghẹ mạng riêng ảo SSL, để đảm bảo hệ thống mạng của họ là an toàn và được bảo vệ khi truy cập vào mạng”.

“Công nghệ mạng riêng ảo SSL giúp cho doanh nghiệp kết nối với người dùng một cách hiệu quả hơn, nhanh chóng hơn công nghệ VPN IPsec vì không cần cài đặt ở phía người dùng. Vào năm 2006, sẽ có khoảng 80% các giải pháp truy cập từ xa sử dụng công nghệ riêng ảo SSL thay vì Ipsec” - Francis Teo cho biết.

Một giải pháp thứ 3 là mạng riêng ảo chuyển mạch đa giao thức MPLS. Công nghệ này sử dụng chuyển mạch nhãn để định tuyến, chuyển tiếp hay chuyển mạch lưu thông nhằm kiểm soát các gói thông tin được lưu chuyển trên mạng.

Theo cách này, thay vì sử dụng các kỹ thuật mã hoá trong Ipsec để tạo ra một kết nối riêng biệt, MPLS lại dùng kỹ thuật định tuyến dẫn đường để đảm bảo kết nối gói dữ liệu là riêng biệt. Tuy nhiên, hiện tại, thị trường công nghệ mạng riêng ảo VPN đang thuộc về SSL, chứ không phải là Ipsec hay MPLS.

Công nghệ an ninh: từ “đa trong một” cho đến “nhiều lớp”

Các giải pháp bảo mật hiện đang theo hướng tích hợp đa công nghệ trong một. Chẳng hạn giải pháp Netscreen của Juniper Networks tích hợp hầu hết các công nghệ bảo mật then chốt hiện nay: bức tường lửa, mạng riêng ảo dùng công nghệ Ipsec, SSL. Bên cạnh đó phải kể đến các tính năng bảo vệ từ chối dịch vụ, chống virus và chống xâm nhập bất hợp pháp cũng như bảo mật hội nghị trực tuyến.

Thiết bị mạng Lan không dây 5GT của Juniper có cơ chế phân quyền truy cập dối với người dùng thuộc các cấp độ các nhau. Những tính năng này kết hợp cùng mạng riêng ảo, bức tường lửa, khả năng quản trị dễ dàng làm nên một giải pháp an ninh tích hợp rất mạnh. 5GT có khả năng tạo ra các khu vực an ninh riêng biệt, một tính năng cho phép DN thiết lập 4 khu vực không dây. Mỗi khu vực có giao diện riêng biệt, có các tính năng mã hoá và xác thực độc lập. 5GT tích hợp giải pháp chống virus có khả năng tự cập nhật. 5GT đồng thời là một modem ADSL.

Abby Tang cho biết: ”Vì các văn phòng từ xa thường là các doanh nghiệp vừa và nhỏ thường là thiếu nguồn nhân lực công nghệ thông tin. Sự quan tâm dành cho công nghệ thông tin là rất tối thiểu. Đó là lý do tại sao chúng tôi đưa ra một giải pháp duy nhất giải quyết mọi vấn đề. Chẳng hạn giải pháp chống Virus, bảo mật chiều sâu kèm theo IPSec, bức tường lửa, hệ thống phát hiện và ngăn ngừa xâm nhập IDP... Tất cả những giải pháp an ninh mạng đó được tích hợp vào 1 sản phẩm. Nó cho phép các nhà quản trị có thể quản lý từ xa một cách dễ dàng những điểm cách trụ sở chính 2 giờ bay”.

Cách thức bảo mật hiệu quả nhất hiện nay được triển khai theo lớp trên toàn hệ thống mạng nhằm cung cấp các mức bảo mật cần thiết cho hệ thống mạng và các ứng dụng. Các giải pháp bảo mật phải đáp ứng việc cung cấp truy cập bảo mật cho các nhân viên, đối tác và khách hàng cho dù phải kết nối qua những hệ thống mạng không tin cậy.

“Chúng tôi tin tưởng vào gọi là cách tiếp cận an ninh theo lớp. Về cơ bản an ninh không nên là 1 giải pháp đơn nhất mà cần phải có một cách tiếp cận tổng thể về an ninh mạng. Chẳng hạn với một doanh nghiệp lớn có nhiều điểm truy cập khác nhau, yêu cầu kỹ thuật an ninh ở các điểm truy cập từ xa là khác với mạng chính ở trụ sở nhưng cách tiếp cận an ninh mạng theo lớp là như nhau”-Francis Teo khẳng định.

Liệu rằng sẽ có một cách tiếp cận chung về an ninh mạng cho các loại hình tổ chức, doanh nghiệp khác nhau? Chắc chắn sẽ là không. Sự khác biệt về quy mô tổ chức mạng, phạm vi hoạt động của hệ thống thông tin cũng như khả năng tài chính, nguồn lực CNTT dẫn đến các nhu cầu khác nhau về an ninh bảo mật mạng.

Francis Teo cho rằng:”Với các DN vừa và nhỏ, loại giải pháp họ cần lựa chon là giải pháp dễ triển khai, dễ quản lý. Lý do là họ luôn luôn không có lực lượng chuyên gia CNTT để quản trị những giải pháp đó. Các bạn nên khai thác các bức tường lửa ở mức cơ bản. Thiết bị lọai này sẽ đảm bảo các chức năng an ninh như phát hiện và ngăn chặn xâm nhập. Và khi có nhu cầu truy cập từ xa thì hãy trang bị một thiết bị VPN SSL loại nhỏ và đặt phía sau bức tường lửa”.

Francis Teo cho rằng: “Nếu bạn là doanh nghiệp lớn, hệ thống mạng của bạn chắc chắn là sẽ phức tạp. Trong trường hợp đó bạn cần đến các giải pháp dành riêng cho doanh nghiệp: Một bức tường lửa dành cho doanh nghiệp cho phép hỗ trợ nhiều gói thông tin hơn và lưu lượng vào ra nhanh hơn...Tiếp theo bạn nên có 1 thiết bị IDP phía sau bức tường lửa. Thiết bị này là mức chặn truy cập ở mức 2. Nếu bạn cần truy cập từ xa thì cần có thêm một thiết bị VPN/SSL sau bức tường lửa và đứng trước thiết bị phát hiện, ngăn chặn xâm nhập trái phép IDP”.

Những nội dung trên chúng tôi đưa ra không nhằm tới việc xây dựng một mô hình mẫu về an ninh, bảo mật mạng mà chỉ mang tính chất tham khảo. Mỗi một doanh nghiệp, tổ chức cần có một cách tiếp cận cụ thể và hoạch định một chiến lược đảm bảo an ninh mạng một cách có hệ thống và dài hơi cả về đầu tư công nghệ, lẫn đào tạo nguồn nhân lực. Đối với doanh nghiệp nhỏ thì có thể sử dụng dịch vụ an ninh mạng thay vị tự làm.