+ Tổng quan an toàn bảo mật n_ An tồn hệ thống thơng tin la gi ? n Mục tiêu bảo vệ hệ thống thông tin n Các yêu cầu an tồn bảo mật hệ thong thơng tin : có u cầu + n Đảm bảo tính tin cậy (Confidenftiality): Thông tin bị truy nhập trái phép người khơng có thẩm quyền n Đảm bảo tính ngun ven(/ntegrity): Thơng tin khơng thể bị sửa đổi, bị làm giả người khơng có thẩm quyền + n Đảm bao tinh san sang (Availability): Thông tin san sàng để đáp ứng sử dụng cho người có thẩm quyền › Đảm bảo tính khơng thể từ chối (Nonrepudiarion): Thông tin cam kết mặt pháp luật người cung cap + n Các nguyên tắc thiết kế giải pháp bảo vệ hệ thống thông tin n Các bước xây dựng "chương trình bảo thơng tin" : có bước Xây dựng sách an tồn thơng tin (Policy) Phân tích rủi ro hệ thống thơng tin (Risk Analysis) Xây dựng biện pháp phòng chống (Prevention) Xây dựng biện pháp phát (Detection) Xây dựng biện pháp đáp ứng - phản ung (Response) Xay dung "van hoa" canh giac (Vigilance) + Xây dựng sách an tồn thơng tin › Bộ sách ATTT nhằm xác đỉnh: Confidentiality (Tinh bao mat), Integrity (Tinh toan ven), Availability (Tinh san sang) 4 Ví dụ: sách ATTT Loai thong tin Chiên lược kinh doanh Thong tin tài nội bo Tinh hinh nop thue Tính bí | Tínhtồn | mật ven v v ⁄ ⁄ ý Tinh san sang ca0 ⁄ Phân tích - đánh giá rủi ro n Các mối de doa (Threats) » Cac diém yéu (Vulnerabilites) n Cac rui ro (Risk) Risk= Trong đó: bó, > (Asset Value * Probability) Thread=l - Risk: Tong ri ro - Asset value: Gia phai tra phai thay thê tài sản - Probability: Xac suat de doa xay doi voi mot tai san 4 Hién trang an toan bao mat n Nhận thức đầu tư cho Security State nh Federal Gov 8% = 2° Other Legal 8% 1% Utility 3% Education 6% Manufacturing Retail 11% 2% Medical 8% Financial 19% High-Tech 19% Telecomm Transportation °% 2% CSI/FBI 2002 Computer Crime and Security Survey Source: Computer Security Institute 2002: 503 Respondents/100% Respondents by Number of Employees Respondents by Gross Income 10,000 or more 24% Over billion 37% 5,001 to 9,999 to 99 12% 16% Under 10 million 20% 501 million to 100 to 499 1,000 to 5,000 14% 27% 100 to 500 million 16% 500 to 999 7% CSVFBI 2002 Computer Crime and Security Survey Souroa: Computer Security Institute billion 8% 2002: 484 Respondents/96% CSI/FBI 2002 Computer Crime and Security Survey Source: Computer Securty Inetitute 11-99 million 19% 2002: 369 Respondents/7 2% Mục tiêu ngn gốc tần cơng ~J So Internet Connection is Increasingly Cited as a Frequent Point of Attack i Percentage of Respondents & L] LỊ] L] E] E [i Internal Systems 18 Remote Dial-in HH Internet 2002 2001 200o 1sœ 1s 1997 Likely Sources of Attack 100 i 82 8177 80 70 7681 745573 75— " [_] 2002 [_] KH [ij Hj Bi Foreign Govt _—_ Foreign Corp Independent Hackers US Competitors 2001 zooo 1999 1998 1997 Disgruntled Employees 2022 414 Respondents82% 2000: 1996 1996 583 Respondentso0% 460 Respondents66% 428 Respondentso4% 2001: 484 Respondents91% CSVFBI 2002 Computer Crime and Securty Survey Source: Computer Security Institute 1997: SOG Respondents8o% Thiệt hại Thett of propnetary mfo Sabotage of data of networks Telecom eavesdroppmg System penetration by outsider Insider abuse of Net access Financial fraud Denial of Service Spoofing Vuus Unauthorized insider access Telecom fraud Active wiretapping Laptop theft No of Respondents Highest Lost ($) 2000 | 2001 | 2002 | 2000 | 2001 | 2002 22 34 41} 25M| 50M| 50M 28 15 29 91 34 46 va 26 16 42 99) 21 35 va 43| 20} 70 103} 40; 75 na I5M| 500K] 5M| ISM| 21M] 5M| va 3M} 500K} 10M|] I10M{[ 40M} 2M| 1⁄4 10M 5M 5M 10M 50M 50M na 22 31} 20M} SM| 15M 5M 162} 186] 19 18 31 143} 145) 20 l 174} 1855| I10M| 3M| 12M} 20M|L 9M 8M} 100K 2M| SM 0 » Tinh trung bình số tiền thiệt hại tổ chức, doanh nghiệp dịch vụ thống kê bảng đây: Theft of proprietary info Sabotage of data of networks Telecom eavesdropping System penetration by outsider Insider abuse of Net access Financial fraud Demial of Service Spoofmng Vuus Unauthonzed msider access Telecom fraud Active wiretapping Laptop theft Average Losses ($) 2000 2001 3,032,818 | 4,447,900 969,577 199.350} 66,080 244,965 307,524 1,646,941} 106,717 n/a 180,092 1,124,725 212,000 5M 58,794 2002 6,571 541,000 55,375} 1,205,000 453,967} 226,000 357,160 | 536,000 4,420,738 | 4,632,000 122,389 | 297,000 na 243,845 | 275,636} 502.278 61,881 na 283,000 300,000 22,000 89,000 › Tổng số tiền thiệt hại hàng năm tổ chức doanh nghiệp thống kê bảng sau: Theft of proprietary info sabotage of data of networks Telecom eavesdropping system penetration by outsider Insider abuse of Net access Financial fraud Denial of Service spoofing Virus Unauthorized insider access Telecom fraud Active wiretapping Laptop theft Total Annual losses Total Annual Losses 2.000 2.001 66,708,000 | 151,230,100] 27,148,000 5,183,100] 991 200 886,000} 7,104,000] 19,066,600] 27,984,740] 35,001,650} 55,996,000} 92,935,500 | 8,247 500} 4,283,600] n/a na (8) 2002 170,828,000 15,134,000 6,015,000 13,055,000 50,099,000 115,753,000 18,370,500 na 29,171,700] 22 554.500 028 000 45,288,150] 6,064,000] 041,000 49979 000 4,503,000 346,000 104041300| 8949000| 11766,500 5,000 000 0 265,586 240 | 377,828,700 | 455,348,000 Các kiểu công thiệt hại n Denial no of Service Virus n Unauthorized insider access cac công nghệ lựa chọn n n n n Bức tường lửa (Firewall) Phong chOng virus Bảo vỆ vật lý hệ thông phát xâm nhập (IDS) + * Mô Hình Bảo Mật Head Office Remote Users High Availability Ae Management i số > ” Z \ © Backup ~ ane Gatew ay VPN Tunnel IPSEC Branch O ffice PT _ eer ES Wireless Client REALSECURE’ Gig Internet Scanner* THANKS ... 20M} SM| 15 M 5M 16 2} 18 6] 19 18 31 143} 14 5) 20 l 17 4} 18 55| I10M| 3M| 12 M} 20M|L 9M 8M} 10 0K 2M| SM 0 » Tinh trung bình số tiền thiệt hại tổ chức, doanh nghiệp dịch vụ thống kê bảng đây: Theft... 34 41} 25M| 50M| 50M 28 15 29 91 34 46 va 26 16 42 99) 21 35 va 43| 20} 70 10 3} 40; 75 na I5M| 500K] 5M| ISM| 21M] 5M| va 3M} 500K} 10 M|] I10M{[ 40M} 2M| 1? ??4 10 M 5M 5M 10 M 50M 50M na 22 31} 20M}... 66,080 244,965 307,524 1, 646,9 41} 10 6, 717 n/a 18 0,092 1, 124,725 212 ,000 5M 58,794 2002 6,5 71 5 41, 000 55,375} 1, 205,000 453,967} 226,000 357 ,16 0 | 536,000 4,420,738 | 4,632,000 12 2,389 | 297,000 na