Tiêu chuẩn quốc gia TCVN 8051-2:2009 Công nghệ thông tin - Kỹ thuật an ninh

• Số hiệu: TCVN8051-2:2009
• Loại văn bản: Tiêu chuẩn Việt Nam
• Nơi ban hành: ***
• Người ký: ***
• Ngày ban hành: Năm 2009

TIÊU CHUẨN QUỐC GIA

TCVN 8051-2:2009

ISO/IEC 18028-2:2006

CÔNG NGHỆ THÔNG TIN - KỸ THUẬT AN NINH - AN NINH MẠNG IT - PHẦN 2: KIẾN TRÚC AN NINH MẠNG

Information technology - Security techniques - IT network security - Part 2: Network security architecture

Lời nói đầu

TCVN 8051-2:2009 hoàn toàn tương đương với ISO/IEC 18028-2:2006

TCVN 8051-2:2009 do Ban Kỹ thuật Tiêu chuẩn quốc gia TCVN/JTC 1 “Công nghệ thông tin” biên soạn, Tổng cục Tiêu chuẩn Đo lường Chất lượng đề nghị, Bộ Khoa học và Công nghệ công bố.

...

...

...

Information technology - Security techniques - IT network security - Part 2: Network security architecture

1. Phạm vi áp dụng

Tiêu chuẩn này xác định kiến trúc an ninh mạng để cung cấp an ninh mạng đầu mút. Kiến trúc này có thể được áp dụng cho nhiều loại mạng trong đó tập trung vào an ninh mạng đầu mút và không phụ thuộc vào công nghệ nền tảng của mạng. Mục đích của tiêu chuẩn này là cung cấp cơ sở xây dựng các khuyến cáo chi tiết đối với an ninh mạng đầu mút.

2. Tài liệu viện dẫn

Các tài liệu viện dẫn sau là rất cần thiết cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi năm ban hành thì áp dụng bản được nêu. Đối với các tài liệu viện dẫn không ghi năm ban hành thì áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi.

ISO 7498-2:1989, Information processing systems - Open Systems Interconnection - Basic Reference Model - Part 2: Security Architecture (Hệ thống xử lý thông tin - Liên kết nối hệ thống mở - mô hình tham chiếu cơ bản - Phần 2: Kiến trúc an ninh);

Khuyến cáo X800 (1991) của CCITT, Security architecture for Open Systems - Interconnection for CCITT applications (Kiến trúc an ninh của các hệ thống mở - Liên kết nối đối với các ứng dụng CCITT).

3. Thuật ngữ và định nghĩa

Tiêu chuẩn này áp dụng các thuật ngữ đã định nghĩa trong ISO 7498-2:1989 và khuyến cáo Rec.X.800 của CCITT sau đây:

...

...

...

Việc ngăn ngừa sử dụng trái phép tài nguyên, bao gồm cả việc ngăn ngừa sử dụng tài nguyên theo cách trái phép.

3.2. Xác thực nguồn gốc dữ liệu (data origin authentication)

Chứng thực rằng nguồn dữ liệu nhận được theo đúng yêu cầu.

3.3. Xác thực thực thể ngang hàng (peer-entity authentication)

Chứng thực rằng thực thể ngang hàng trong một liên kết là thực thể yêu cầu.

3.4. Tính sẵn có (availability)

Đặc tính có thể truy cập và sử dụng theo nhu cầu bởi thực thể cho phép.

3.5. Tính bảo mật (confidentiality)

Đặc tính mà thông tin không sẵn dùng hoặc không bị lộ đối với các cá nhân, thực thể hoặc quá trình trái phép.

...

...

...

Đặc tính mà dữ liệu không bị thay đổi hoặc phá hoại theo cách trái phép.

3.7. Không từ chối cùng với bằng chứng về nguồn gốc (non-repudiation with proof of origin)

Dịch vụ an ninh trong đó người nhận dữ liệu được đưa ra chứng minh về nguồn gốc của dữ liệu đó.

CHÚ THÍCH 1: Dịch vụ này bảo vệ chống lại mọi sự cố gắng giả dối của người gửi phủ nhận việc gửi dữ liệu hoặc nội dung dữ liệu đó.

CHÚ THÍCH 2: Phù hợp với ISO 7498-2 và khuyến cáo Rec.X.800 của CCITT.

3.8. Không từ chối cùng với bằng chứng về phân phát (non-repudiation with proof of delivery)

Dịch vụ an ninh trong đó người gửi dữ liệu được đưa ra chứng minh về việc phân phát dữ liệu đó.

CHÚ THÍCH 1: Dịch vụ này bảo vệ chống lại mọi sự cố gắng giả dối của người nhận phủ nhận việc nhận dữ liệu hoặc nội dung dữ liệu đó.

CHÚ THÍCH 2: Phù hợp với ISO 7498-2 và khuyến cáo Rec. X.800 của CCITT.

...

...

...

Quyền của các cá nhân để kiểm soát hoặc tác động đối với thông tin có thể được thu thập và lưu trữ bởi hoặc cho người khác mà thông tin có thể bị lộ.

4. Từ viết tắt

ASP

Nhà cung cấp dịch vụ ứng dụng (Application Service Provider)

ATM

Phương thức truyền không đồng bộ (Asynchronous Transfer Mode)

DHCP

Giao thức cấu hình máy chủ động (Dynamic Host Configuration Protocol)

DS-3

...

...

...

IPsec

Giao thức an ninh IP (IP Security protocol)

MD5

Bản tóm lược thông điệp phiên bản 5 (Message Digest Version 5)

OAM&P

Cung cấp và duy trì quản trị điều hành (Operations Administration Maintenance and Provisioning)

OSI

Liên kết nối các hệ thống mở (Open Systems Interconnection)

PSTN

...

...

...

PVC

Mạch ảo vĩnh cửu (Permanent Virtual Circuit)

SHA-1

Thuật toán băm an toàn (Secure Hash Algorithm)

SIP

Giao thức khởi tạo phiên (Session Initiation Protocol)

SMTP

Giao thức truyền thư tin đơn giản (Simple Mail Transfer Protocol)

SONET

...

...

...

SS7

Hệ thống tín hiệu #7 (Signalling System #7)

SSL

Lớp ổ cắm an toàn (mã hóa và giao thức xác thực) (Secure Socket Layer (encryption and authentication protocol))

TLS

An ninh tầng chuyển vận (mã hóa và giao thức xác thực) (Transport Layer Security (encryption and authentication protocol))

VLAN

Mạng cục bộ ảo (Virtual Local Area Network)

5 Kiến trúc tham chiếu an ninh mạng

...

...

...

Về mặt logic, kiến trúc tham chiếu này phân chia bộ phức tạp các đặc tính liên quan đến an ninh mạng đầu mút thành các thành phần kiến trúc riêng biệt một cách hợp lý. Sự phân tách này cho phép một cách tiếp cận hệ thống đối với an ninh đầu mút mà có thể sử dụng cho việc lập kế hoạch các giải pháp an ninh mới cũng như việc đánh giá an ninh của mạng hiện tại.

Kiến trúc tham chiếu hướng vào các nhu cầu an ninh mạng bao hàm các câu hỏi cần thiết sau đây:

1. Loại thông tin nào cần được bảo vệ?

2. Rủi ro an ninh nào và loại bảo vệ nào cần để quản lý rủi ro?

3. Kiểu hoạt động mạng phân biệt nào cần được bảo vệ?

4. Kiểu thiết bị và nhóm phương tiện mạng phân biệt nào cần được bảo vệ?

Đánh giá rủi ro nên chỉ dẫn các yêu cầu bảo vệ ưu tiên và giúp xác định biện pháp an ninh thích hợp đối với kiến trúc an ninh.

Các câu hỏi trên được đưa ra thông qua ba thành phần kiến trúc là: Kích thước an ninh, mặt phẳng an ninh và tầng an ninh.

Các nguyên tắc được mô tả bởi kiến trúc tham chiếu đa khía cạnh này có thể được áp dụng rộng rãi cho nhiều mạng khác nhau độc lập với công nghệ hoặc vị trí của mạng trong ngăn xếp giao thức.

...

...

...

6. Kích thước an ninh

Thông thường, trong quá trình quản lý rủi ro, các biện pháp an ninh thích hợp được định danh để quản lý hoặc giảm bớt các rủi ro được đánh giá. Kích thước an ninh đưa ra việc nhóm các biện pháp an ninh được sử dụng để thực thi các khía cạnh riêng của an ninh mạng. Khái niệm kích thước an ninh không hạn chế đối với mạng, mà có thể được sử dụng trong bối cảnh ứng dụng hoặc thông tin người sử dụng cuối, kích thước an ninh áp dụng đối với các nhà cung cấp dịch vụ hoặc các doanh nghiệp để cung cấp các dịch vụ an ninh cho khách hàng. Kích thước an ninh là: (1) Kiểm soát truy cập, (2) Xác thực, (3) Không từ chối, (4) Bảo mật dữ liệu, (5) An ninh luồng truyền thông, (6) Tính toàn vẹn dữ liệu, (7) Tính sẵn có và (8) Tính bí mật.

Kích thước an ninh được thiết kế và thực thi thích hợp hỗ trợ chính sách an ninh được định nghĩa cho mạch riêng biệt và tạo thuận lợi cho bộ các quy tắc thông qua việc quản lý an ninh.

6.1 Kích thước an ninh về kiểm soát truy cập

Kích thước an ninh về kiểm soát truy cập đưa ra việc phân quyền để sử dụng các tài nguyên mạng. Kiểm soát truy cập bảo đảm rằng chỉ cá nhân hoặc thiết bị được cấp phép mới được phép truy cập các phần tử mạng, thông tin lưu trữ, luồng thông tin, dịch vụ và ứng dụng mạng; Kiểm soát truy cập dựa trên vai trò (RBAC) đưa ra các mức độ truy cập khác nhau để bảo đảm rằng các cá nhân và thiết bị chỉ có thể tiến hành truy cập và thực thi điều hành đối với các phần tử mạng, thông tin lưu trữ và luồng thông tin được phân quyền.

6.2. Kích thước an ninh về xác thực

Kích thước an ninh về xác thực sử dụng để xác nhận các định danh hoặc thuộc tính phân quyền khác của các thực thể truyền thống. Xác thực bảo đảm tính hợp lệ của định danh đã tuyên bố được sử dụng bởi việc phân quyền hoặc kiểm soát truy cập của các thực thể tham gia truyền thông (như là; cá nhân, thiết bị, dịch vụ và ứng dụng) và đưa ra việc đảm bảo rằng thực thể không cố gắng giả mạo hoặc xem lại một cách trái phép thông tin trước đó. Các phương pháp xác định sử dụng các kỹ thuật dựa trên cặp định danh và mật khẩu của người sử dụng (ví dụ: mã thông báo), các phương pháp sinh trắc học trong các phương pháp được sử dụng rộng rãi.

6.3. Kích thước an ninh về không từ chối

Kích thước an ninh về không từ chối đưa ra các biện pháp kỹ thuật đối với việc ngăn ngừa cá nhân hoặc thực thể từ chối đã thực hiện một hành động đặc biệt liên quan đến dữ liệu bởi việc tạo ra bằng chứng có hiệu lực về các hành động khác nhau liên quan đến mạng (như là bằng chứng về bổn phận, mục đích hoặc cam kết, bằng chứng về nguồn gốc dữ liệu, bằng chứng về quyền sở hữu, bằng chứng về sử dụng tài nguyên). Nó giúp bảo đảm tính sẵn có của chứng cớ có thể được trình bày cho bên thứ ba như là bằng chứng kỹ thuật rằng một vài sự kiện hoặc hành động nào đó đã xảy ra. Tuy nhiên, chú ý rằng không từ chối được đưa ra bởi biện pháp kỹ thuật không dẫn tới một kết luận luật cần thiết, phương pháp mã hóa thường được sử dụng đối với việc đưa ra về không từ chối.

...

...

...

Kích thước an ninh về bảo mật dữ liệu, bảo vệ dữ liệu khỏi sự làm lộ trái phép. Mật mã hóa là một phương pháp thường được sử dụng để bảo đảm tính bảo mật dữ liệu. Danh sách kiểm soát truy cập và sự cho phép tệp tin là phương pháp giữ bảo mật dữ liệu.

6.5. Kích thước an ninh về luồng truyền thông

Kích thước an ninh về luồng truyền thông bảo đảm rằng các thông tin chỉ truyền giữa các điểm đầu mút cho phép (thông tin đó không bị lệch hướng hoặc bị chặn khi nó truyền giữa các điểm đầu mút này). Cơ chế an ninh của kích thước an ninh về luồng truyền thông không bảo vệ chống lại sự sửa đổi/làm sai lệch; đây là chức năng của tính toàn vẹn dữ liệu. Đường hầm MPLS, VLAN và VPN là các ví dụ về công nghệ có thể đưa ra an ninh luồng truyền thông.

6.6 Kích thước an ninh về tính toàn vẹn dữ liệu

Kích thước an ninh về tính toàn vẹn dữ liệu bảo đảm tính đúng đắn hoặc mức chính xác (nghĩa là; dữ liệu chỉ được xử lý bởi quá trình được phân quyền hoặc hành động của các cá nhân hoặc thiết bị được phân quyền) của dữ liệu. Dữ liệu được bảo vệ chống lại sự sửa đổi, xóa bỏ, tạo ra và sao chép trái phép và đưa ra dấu hiệu về các hoạt động trái phép đó. Phương pháp mã hóa xác thực thông điệp băm (như MD5, SHA-1) thường được sử dụng cho việc đảm bảo tính toàn vẹn dữ liệu.

6.7. Kích thước an ninh về tính sẵn có

Kích thước an ninh về tính sẵn có bảo đảm rằng không từ chối truy cập được phân quyền đối với các phần tử mạng, thông tin lưu trữ, luồng thông tin, dịch vụ và ứng dụng do các sự kiện tác động đến mạng đó. Các giải pháp khắc phục tai họa nằm trong phạm vi kích thước an ninh này.

6.8. Kích thước an ninh về tính bí mật

Kích thước an ninh về tính bí mật bảo vệ mọi thông tin (định danh của bên tham gia truyền thông hoặc mọi dữ liệu bao gồm tiêu đề gói gắn liền với mọi hoạt động được tiến hành bởi bên tham gia đó) có thể tạo ra từ quan sát hoạt động mạng. Ví dụ về thông tin này bao gồm các trang web mà người sử dụng đã vào, địa điểm địa lý của người sử dụng và địa chỉ IP và tên DNS của thiết bị trong mạng nhà cung cấp dịch vụ. Việc chuyển dịch địa chỉ mạng (NAT) và ủy quyền của ứng dụng là ví dụ về các kỹ thuật có thể sử dụng trong việc bảo vệ tính bí mật. Phụ thuộc vào luật và quy chuẩn về bảo vệ dữ liệu và tính bí mật của từng quốc gia, kích thước an ninh về tính bí mật này cũng đưa ra các kiểm soát và cấu trúc bảo vệ thích hợp về thu thập, xử lý và phổ biến thông tin cá nhân.

...

...

...

Để cung cấp giải pháp an ninh đầu cuối, kích thước an ninh đã mô tả ở trên phải được áp dụng cho hệ thống phân cấp thiết bị mạng và nhóm phương tiện được đề cập đến như tầng an ninh. Kiến trúc tham chiếu này xác định ba tầng an ninh; Tầng an ninh hạ tầng, tầng an ninh dịch vụ và tầng an ninh ứng dụng, xây dựng trên một tầng an ninh khác để cung cấp giải pháp trên cơ sở mạng.

Các tầng an ninh là chuỗi các cấp phép đối với giải pháp mạng an toàn: Tầng an ninh hạ tầng cấp phép cho tầng an ninh dịch vụ và tầng an ninh dịch vụ cấp phép cho tầng an ninh ứng dụng. Kiến trúc tham chiếu này hướng vào việc sự việc rằng mỗi tầng có điểm yếu an ninh khác nhau và đòi hỏi tính linh hoạt của việc chống lại các mối đe dọa tiềm ẩn theo cách phù hợp nhất với tầng an ninh riêng. Việc quyết định các mức cao hơn phải giả định rằng an ninh mức thấp hơn đã hoạt động như dự kiến hoặc chúng bao gồm các quy trình để phát hiện lỗi còn lại trong thực thi.

Nên chú ý rằng các tầng an ninh (như định nghĩa ở trên) khác so với ý nghĩa của các tầng OSI.

Các tầng an ninh định danh nơi an ninh phải hướng vào trong các sản phẩm và giải pháp bằng việc đưa ra viễn cảnh tuần tự của an ninh mạng. Ví dụ, điểm yếu an ninh đầu tiên được đề cập đối với tầng an ninh hạ tầng, sau đó đối với tầng an ninh dịch vụ và cuối cùng điểm yếu an ninh được đề cập đối với tầng an ninh ứng dụng. Kích thước an ninh định danh phạm vi cần đề cập trong mỗi tầng an ninh. Hình 1 mô tả cách thức các cơ chế trong mỗi kích thước an ninh được áp dụng cho các tầng an ninh để giảm bớt các điểm yếu tồn tại trong mỗi tầng và do đó giảm bớt tấn công an ninh.

Hình 1 - Việc áp dụng kích thước an ninh cho tầng an ninh

7.1. Tầng an ninh hạ tầng

Tầng an ninh hạ tầng bao gồm các phương tiện truyền tải mạng cũng như các phần tử mạng riêng lẻ được bảo vệ bởi cơ chế được thực thi đối với kích thước an ninh. Tầng an ninh hạ tầng trình bày các khối xây dựng mạng nền tảng, dịch vụ và ứng dụng của chúng. Ví dụ về các thành phần thuộc tầng an ninh hạ tầng là bộ định tuyến, chuyển mạch và máy chủ riêng lẻ, cũng như các đường liên kết truyền thông giữa bộ định tuyến, chuyển mạch và máy chủ riêng lẻ đó.

7.2. Tầng an ninh dịch vụ

...

...

...

7.3. Tầng an ninh ứng dụng

Tầng an ninh ứng dụng tập trung vào tính an toàn của các ứng dụng trên cơ sở mạng được truy cập bởi khách hàng của nhà cung cấp dịch vụ. Các ứng dụng này được cho phép bởi các dịch vụ mạng và bao gồm truyền tải tệp tin cơ sở (như là, FTP) và các ứng dụng trình duyệt web, các ứng dụng nền tảng như hỗ trợ thư mục, truyền thông điệp thoại trên cơ sở mạng, thư điện tử/email, cũng như ứng dụng đầu trên quản lý quan hệ khách hàng, thương mại điện tử/di động, đào tạo trên cơ sở mạng, cộng tác video, v.v…Các ứng dụng trên cơ sở mạng có thể được đưa ra bởi bên thứ ba như nhà cung cấp dịch vụ ứng dụng (ASP), nhà cung cấp dịch vụ hoạt động giống như nhà cung cấp dịch vụ ứng dụng (ASP) hoặc bởi các máy chủ doanh nghiệp trong các trung tâm dữ liệu mà họ sở hữu (hoặc thuê). Tại tầng này, có bốn mục tiêu tiềm tàng cho các cuộc tấn công an ninh; người sử dụng ứng dụng, nhà cung cấp ứng dụng, phần sụn được cung cấp bởi bên hợp nhất thứ ba (như là, dịch vụ máy chủ web) và nhà cung cấp dịch vụ.

8. Mặt phẳng an ninh

Mặt phẳng an ninh là một kiểu hoạt động mạng nào đó được bảo vệ bởi cơ chế thực thi kích thước an ninh. Kiến trúc tham chiếu này xác định ba mặt phẳng an ninh đại diện cho ba kiểu hoạt động được bảo vệ tiến hành trên một mạng. Các mặt phẳng an ninh là: (1) Mặt phẳng an ninh quản lý, (2) Mặt phẳng an ninh kiểm soát và (3) Mặt phẳng an ninh người sử dụng cuối. Các mặt phẳng an ninh này hướng vào nhu cầu an ninh cụ thể tương ứng với hoạt động quản lý mạng, các hoạt động truyền tín hiệu hoặc kiểm soát mạng và các hoạt động người sử dụng cuối tương ứng.

Mạng nên được thiết kế theo cách các sự kiện trên mặt phẳng an ninh được duy trì càng nhiều càng tốt và được cách ly thích hợp với mặt phẳng an ninh khác. Ví dụ, tra cứu DNS trên mặt phẳng an ninh người sử dụng cuối bị tràn, được khởi tạo bởi các yêu cầu người sử dụng cuối nên không đóng giao diện OM&P trong mặt phẳng an ninh quản lý để cho phép người quản trị chỉnh sửa vấn đề đó.

Hình 2 minh họa kiến trúc tham chiếu với các mặt phẳng an ninh. Mỗi kiểu hoạt động mạng được mô tả có các nhu cầu an ninh của riêng nó. Khái niệm mặt phẳng an ninh cho phép phân biệt các vấn đề an ninh cụ thể tương ứng với các hoạt động đó và khả năng đề cập chúng một cách độc lập. Ví dụ, dịch vụ VoIP được đề cập bởi tầng an ninh dịch vụ. Bảo vệ việc quản lý của dịch vụ VoIP (như là, việc cung cấp người sử dụng) phải độc lập với bảo vệ việc kiểm soát dịch vụ đó (như là, các giao thức SIP) và cũng phải độc lập với việc bảo vệ dữ liệu người sử dụng cuối đang được truyền tải bởi dịch vụ đó (như là; tín hiệu thoại của người sử dụng).

Hình 2 - Mặt phẳng an ninh phản ánh các kiểu hoạt động mạng khác nhau

8.1. Mặt phẳng an ninh quản lý

...

...

...

8.2. Mặt phẳng an ninh kiểm soát

Mặt phẳng an ninh kiểm soát liên quan đến việc bảo vệ các hoạt động cho phép sự truyền phát tín hiệu quả thông tin, dịch vụ và ứng dụng qua mạng. Thông thường, nó bao gồm truyền thông tin từ máy đến máy (như là; tổng đài chuyển mạch hoặc bộ định tuyến) cho phép các máy xác định cách thức tốt nhất lưu lượng chuyển mạch hoặc định tuyến qua mạng truyền tải cơ sở. Kiểu thông tin này đôi khi được xem như thông tin kiểm soát hoặc truyền tín hiệu. Mạng mang các kiểu thông điệp này có thể nằm trong dải hoặc ngoài dải đối với lưu lượng người sử dụng của nhà cung cấp dịch vụ. Ví dụ, các mạng IP mang thông tin kiểm soát trong dải, trong khi PSTN mang thông tin kiểm soát trong mạng tín hiệu riêng (mạng SS7). Ví dụ về lưu lượng kiểu này gồm: giao thức định tuyến, DNS, SIP, SS7, Megacol/H.248, v.v…

8.3. Mặt phẳng an ninh người sử dụng cuối

Mặt phẳng an ninh người sử dụng cuối hướng vào an ninh truy cập và việc sử dụng mạng của nhà cung cấp dịch vụ bởi khách hàng. Mặt phẳng này liên quan đến việc bảo vệ các luồng dữ liệu người sử dụng cuối hiên thời. Người sử dụng cuối có thể sử dụng mạng chỉ cung cấp kết nối, có thể sử dụng các dịch vụ giá trị gia tăng như VPN, hoặc sử dụng để truy cập các ứng dụng dựa trên mạng.

9. Đe dọa an ninh

Kiến trúc tham chiếu xác định kế hoạch và bộ các nguyên tắc mô tả cấu trúc an ninh cho giải pháp an ninh đầu mút. Kiến trúc này định danh vấn đề an ninh cần thiết phải hướng vào để ngăn ngừa các mối đe dọa có chủ ý cũng như ngẫu nhiên. Các mối đe dọa sau đây được mô tả trong ISO 7498-2:1989 và Rec. X.800 (1991) của CCITT:

- Phá hoại thông tin và/hoặc nguồn tài nguyên khác;

- Sửa đổi hoặc làm sai lạc thông tin;

- Đánh cắp, xóa bỏ hoặc làm mất thông tin và/hoặc nguồn tài nguyên khác;

...

...

...

- Ngắt dịch vụ.

Phần giao của mỗi tầng an ninh với mặt phẳng an ninh biểu diễn một viễn cảnh an ninh trong đó kích thước an ninh được áp dụng để chống lại các mối đe dọa. Bảng 1 đưa ra việc ánh xạ kích thước an ninh vào mối đe dọa an ninh. Việc ánh xạ này là giống nhau đối với mỗi viễn cảnh an ninh.

Ký tự “Y” trong mỗi ô được tạo ra bởi phần giao giữa các cột và hàng định rõ ràng một mối đe dọa nào đó được bảo vệ bởi kích thước an ninh tương ứng.

Bảng 1 - Việc ánh xạ kích thước an ninh vào mối đe dọa an ninh

Kích thước an ninh

Mối đe dọa an ninh

Phá hoại thông tin và/hoặc nguồn tài nguyên khác

Sửa đổi hoặc làm sai lạc thông tin

Đánh cắp, xóa bỏ hoặc làm mất thông tin và/hoặc nguồn tài nguyên khác

...

...

...

Ngắt dịch vụ

Kiểm soát truy cập

Y

Y

Y

Y

Xác thực

...

...

...

Y

Y

Không từ chối

Y

Y

Y

Y

Y

...

...

...

Y

Y

An ninh luồng truyền thông

Y

...

...

...

Tính toàn vẹn dữ liệu

Y

Y

Tính sẵn có

Y

...

...

...

Y

Tính bí mật

Y

...

...

...

Hình 3 - Kiến trúc tham chiếu đối với an ninh mạng đầu mút

10. Mô tả mục tiêu đạt được bởi việc ứng dụng kích thước an ninh cho tầng an ninh

Kiến trúc tham chiếu có thể áp dụng đối với tất cả các khía cạnh và giai đoạn của chương trình an ninh như mô tả trong Hình 4. Trong Hình 4, một chương trình an ninh bao gồm các chính sách và thủ tục bổ sung cho công nghệ và tiến trình thông qua 3 giai đoạn trong thời gian tồn tại: (1) giai đoạn định nghĩa và lập kế hoạch, (2) giai đoạn thực thi, (3) giai đoạn duy trì. Kiến trúc tham chiếu này cùng với các hướng dẫn trong ISO/IEC 13335 có thể được áp dụng cho các chính sách và thủ tục an ninh cũng như công nghệ cho toàn bộ 3 giai đoạn của một chương trình an ninh.

Dựa trên các yêu cầu kinh doanh, kiến trúc mạng, định nghĩa chính sách, phản hồi rắc rối và các kế hoạch khôi phục được xác định. Trong quá trình này, kiến trúc tham chiếu có thể hướng dẫn xây dựng định nghĩa chính sách an ninh toàn diện, phản hồi rắc rối và kế hoạch khôi phục và kiến trúc công nghệ bằng việc tính đến mỗi kích thước an ninh tại mỗi tầng an ninh và mặt phẳng an ninh trong giai đoạn định nghĩa và lập kế hoạch. Kiến trúc an ninh này cũng có thể được sử dụng như cơ sở đánh giá an ninh để nghiên cứu cách thực thi các chương trình an ninh hướng vào kích thước an ninh, tầng an ninh và mặt phẳng an ninh như các chính sách và thủ tục được giới thiệu và công nghệ được triển khai. Ngay khi chương trình an ninh được triển khai, nó có thể được duy trì để giữ trạng thái hiện tại trong môi trường an ninh luôn thay đổi. Tham chiếu an ninh này có thể hỗ trợ việc quản lý các chính sách và thủ tục an ninh, phản hồi rắc rối, kế hoạch khôi phục và kiến trúc công nghệ bằng việc đảm bảo rằng sửa đổi đối với chương trình an ninh hướng vào từng kích thước an ninh tại mỗi tầng và mặt phẳng an ninh.

Hình 4 - Việc áp dụng kiến trúc an ninh tham chiếu đối với chương trình an ninh

Ngoài ra, kiến trúc tham chiếu có thể được áp dụng cho mọi kiểu mạng tại mọi mức ngăn xếp giao thức. Ví dụ, mạng IP tập trung tại 3 tầng ngăn xếp giao thức an ninh hạ tầng, kiến trúc an ninh này đề cập đến các bô định tuyến riêng rẽ, truyền thông điểm-điểm liên kết giữa các bô định tuyến (như là: NET, ATM PVCs, v.v…), và các nền tảng máy chủ được sử dụng để cung cấp dịch vụ hỗ trợ được yêu cầu bởi một mạng IP. Tầng an ninh dịch vụ, đề cập đến bản thân dịch vụ IP cơ sở (như là; tính kết nối mạng toàn cầu), dịch vụ hỗ trợ IP (như là: AAA, DNS, DHCP, v.v…) và các dịch vụ giá trị gia tăng tiên tiến được đưa ra bởi nhà cung cấp dịch vụ (như là: VoIP, QoS, VPN, v.v…). Cuối cùng, tầng an ninh ứng dụng đề cập đến an ninh ứng dụng người được truy cập qua mạng IP (như là; thư điện tử, v.v….).

Tương tự, đối với mạng ATM nằm tại tầng đôi của ngăn xếp giao thức, tầng an ninh hạ tầng đề cấp đến chuyển mạch riêng và truyền thông điểm- điểm liên kết giữa các chuyển mạch (phương tiện mạng, ví dụ DS-3). Tầng an ninh dịch vụ đề cập tới các tầng truyền tải khác nhau được cung cấp bởi dịch vụ ATM (tốc độ bít bất biến, tốc độ bít biến đổi - thời gian thực, tốc độ bít biến đổi - thời gian phi-thực, tốc độ bít hiệu dụng và tốc độ bít không xác định). Cuối cùng, tầng an ninh ứng dụng đề cập tới người sử dụng cuối ứng dụng đang sử dụng mạng ATM để truy cập, như ứng dụng hội nghị video.

...

...

...

Hình 5 - Kiến trúc tham chiếu ở dạng bảng

Cần chú ý là khái niệm bảo vệ được sử dụng trong bảng bao hàm việc tạo ra các cơ chế để phát hiện ra nơi mà các cơ chế kiểm soát lỗi và để bảo đảm rằng sự kiện được báo cáo đối với các hành động và/hoặc thiết bị/quá trình mà tại đó chỉnh sửa mọi hệ quả của lỗi như vậy.

10.1. Tầng an ninh hạ tầng

Việc bảo vệ mặt phẳng an ninh quản lý của tầng an ninh hạ tầng liên quan đến việc bảo vệ các thao tác, việc quản trị, duy trì và cung cấp (OAM&P) cũng như cấu hình phần tử mạng riêng, liên kết truyền thông, nền tảng máy chủ bao gồm mạng đó. Ví dụ về quản lý hạ tầng cần được bảo vệ là cấu hình của bộ định tuyến hoặc chuyển mạch riêng bởi các cá nhân hoạt động mạng. Bảng 2 mô tả mục tiêu của việc áp dụng kích thước an ninh vào tầng an ninh hạ tầng, mặt phẳng an ninh quản lý.

Bảng 2 - Việc áp dụng kích thước an ninh cho tầng an ninh hạ tầng, mặt phẳng an ninh quản lý

Mô đun 1: Tầng an ninh hạ tầng, mặt phẳng an ninh quản lý

Kích thước an ninh

Mục tiêu an ninh

...

...

...

Bảo đảm rằng chỉ cá nhân hoặc thiết bị được cho phép (như là; thiết bị được quản lý SNMP) được phép thực hiện hoặc cố gắng thực hiện các hoạt động quản trị hoặc quản lý trên thiết bị mạng hoặc liên kết truyền thông. Điều này áp dụng cho cả quản lý trực tiếp các thiết bị qua một cổng và quản lý thiết bị từ xa.

Xác thực

Kiểm tra định danh của con người hoặc thiết bị thực hiện hoạt động quản trị hoặc quản lý trên thiết bị mạng hoặc liên kết truyền thông. Các kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

Không từ chối

Đưa ra bản ghi định danh cá nhân hoặc thiết bị thực hiện từng hoạt động quản trị hoặc quản lý trên thiết bị mạng hoặc liên kết truyền thông và hành động đã tiến hành. Bản ghi này có thể sử dụng như bằng chứng của người khởi tạo hoạt động quản trị hoặc quản lý.

Bảo mật dữ liệu

Bảo vệ thông tin cấu hình thiết bị mạng hoặc liên kết truyền thông khỏi việc truy cập hoặc xem một cách trái phép. Điều này áp dụng đối với thông tin cấu hình lưu trú trong thiết bị mạng hoặc liên kết truyền thông, thông tin cấu hình đang được truyền tới thiết bị mạng hoặc liên kết truyền thông cũng như thông tin cấu hình sao lưu dự phòng được lưu trữ ngoại tuyến.

Bảo vệ thông tin xác thực quản trị (như là, định danh quản trị và mật khẩu) khỏi sự truy cập và xem một cách trái phép. Các kỹ thuật được sử dụng để hướng vào kiểm soát truy cập có thể góp phần cung cấp tính bảo mật dữ liệu.

An ninh luồng truyền thông

...

...

...

Áp dụng việc xem xét tương tự đối với thông tin xác thực quản trị (như là, định danh người quản trị và mật khẩu).

Tính toàn vẹn dữ liệu

Bảo vệ thông tin cấu hình của thiết bị mạng và liên kết truyền thông chống lại việc sửa đổi trái phép. Việc bảo vệ này áp dụng đối với thông tin kết cấu hình lưu trú trên thiết bị mạng hoặc liên kết truyền thông cũng như thông tin cấu hình đang chuyển tiếp hoặc được lưu trữ trong hệ thống ngoại tuyến.

Áp dụng việc xem xét tương tự đối với thông tin xác thực quản trị (như là, các định danh người quản trị và các mật khẩu).

Tính sẵn có

Bảo đảm khả năng quản lý thiết bị mạng hoặc liên kết truyền thông bởi cá nhân hoặc các thiết bị được cho phép không thể bị từ chối. Điều này bao gồm việc bảo vệ chống lại hoạt động tấn công như tấn công từ chối dịch vụ (DoS) cũng như bảo vệ chống lại tấn công bị động như việc sửa đổi hoặc xóa bỏ thông tin xác thực quản trị (như là, định danh người quản trị và mật khẩu).

Tính bí mật

Bảo đảm thông tin có thể được sử dụng để định danh thiết bị mạng hoặc liên kết truyền thông không sẵn dùng đối với cá nhân hoặc thiết bị trái phép. Ví dụ về kiểu thông tin này bao gồm địa chỉ IP của thiết bị mạng hoặc tên miền DNS. Ví dụ, khả năng định danh thiết bị mạng cung cấp thông tin đích đối với người tấn công. Bảo đảm rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân theo các quy chuẩn và pháp lý về bảo vệ dữ liệu cục bộ.

Việc bảo vệ mặt phẳng an ninh kiểm soát của tầng an ninh hạ tầng bao gồm việc bảo vệ thông tin truyền tín hiệu hoặc kiểm soát lưu trú trong các phần tử mạng và nền tảng máy chủ bao gồm mạng đó cũng như bảo vệ việc xác nhận và truyền thông tin truyền tín hiệu hoặc kiểm soát bởi các phần tử mạng và nền tảng máy chủ. Ví dụ, việc chuyển các bảng lưu trú trong các chuyển mạch mạng cần được bảo vệ khỏi sự can thiệp hoặc làm lộ một cách trái phép. Một ví dụ khác, các bộ định tuyến cần phải được bảo vệ khỏi việc nhận và truyền bá các cập nhật định tuyến không có thật hoặc việc phản hồi đối với các yêu cầu định tuyến không có thật bắt nguồn từ các bộ định tuyến giả mạo. Bảng 3 mô tả các mục tiêu áp dụng kích thước an ninh đối với tầng an ninh hạ tầng, mặt phẳng an ninh kiểm soát.

...

...

...

Mô đun 2: Tầng an ninh hạ tầng, mặt phẳng an ninh kiểm soát

Kích thước an ninh

Mục tiêu an ninh

Kiểm soát truy cập

Bảo đảm chỉ cá nhân hoặc thiết bị được cấp phép mới được phép truy cập, hoặc thử truy cập, kiểm soát thông tin lưu trú trong thiết bị mạng (như là, bảng định tuyến) hoặc trong lưu trữ ngoại tuyến. Bảo đảm rằng thiết bị mạng chỉ chấp nhận thông tin kiểm soát thông điệp cho phép các thiết bị mạng (ví dụ sự cập nhật định tuyến).

Xác thực

Kiểm soát định danh của con người hoặc thiết bị quan sát hoặc sửa đổi thông tin kiểm soát lưu trú trên thiết bị mạng. Kiểm tra định danh của thiết bị gửi thông tin kiểm soát tới thiết bị mạng. Các Kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

Không từ chối

Cung cấp bản ghi định danh cá nhân hoặc thiết bị được quan sát hoặc sửa đổi thông tin kiểm soát trên thiết bị mạng và hành động đã thực hiện. Bản ghi này có thể sử dụng như bằng chứng cho sự truy cập hoặc cải biến thông tin kiểm soát. Đưa ra sự định danh bản ghi thiết bị khởi tạo thông điệp kiểm soát gửi đến thiết bị mạng và hành động đã thực hiện. Bản ghi này có thể sử dụng như bằng chứng mà thiết bị khởi tạo thông điệp kiểm soát.

...

...

...

Bảo vệ thông tin kiểm soát lưu trú trong một thiết bị mạng hoặc lưu trữ ngoại tuyến khỏi sự truy cập hoặc xem trái phép. Các kỹ thuật thường được hướng vào Kiểm soát truy cập có thể đóng góp vào tính bảo mật dữ liệu đối với thông tin kiểm soát lưu trú trên thiết bị mạng. Bảo vệ thông tin kiểm soát dành riêng cho một thiết bị mạng khỏi sự truy cập hoặc xem trái phép khi nó đang truyền qua mạng.

An ninh luồng truyền thông

Bảo đảm thông tin kiểm soát đang được truyền qua mạng (ví dụ cập nhật định tuyến) chỉ chảy giữa nguồn thông tin kiểm soát và đích mong muốn của nó. Thông tin kiểm soát không bị chệch hướng hoặc bị chặn khi truyền giữa các điểm đầu mút này.

Tính toàn vẹn dữ liệu

Bảo vệ thông tin kiểm soát lưu trú trên thiết bị mạng, trên sự truyền qua mạng, hoặc lưu trữ ngoại tuyến chống lại việc sửa đổi trái phép.

Tính sẵn có

Bảo đảm rằng thiết bị mạng luôn có giá trị để nhận thông tin kiểm soát từ nguồn cho phép, bảo đảm này bao gồm việc bảo vệ chống tại tấn công chủ ý như tấn công từ chối dịch vụ (DoS) và sự cố ngẫu nhiên (ví dụ như việc sửa đổi hoặc xóa bỏ thông tin xác thực quản trị (như là, sự vỡ định tuyến).

Tính bí mật

Bảo đảm thông tin có thể được dùng để định danh thiết bị mạng và liên kết truyền thông không sẵn dùng đối với cá nhân hoặc các thiết bị trái phép, ví dụ về kiểu thông tin này bao gồm địa chỉ IP của thiết bị mạng hoặc tên miền DNS. Ví dụ, có khả năng để định danh thiết bị mạng hoặc liên kết truyền thông cung cấp thông tin đích cho người tấn công. Bảo đảm rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

...

...

...

Bảng 4 - Việc áp dụng kích thước an ninh đối với tầng an ninh hạ tầng, mặt phẳng an ninh người sử dụng cuối

Mô đun 3: Tầng an ninh hạ tầng, mặt phẳng an ninh người sử dụng cuối

Kích thước an ninh

Mục tiêu an ninh

Kiểm soát truy cập

Bảo đảm chỉ cá nhân hoặc thiết bị được cấp phép mới được phép truy cập, hoặc thử truy cập dữ liệu người sử dụng cuối đang truyền trên phần tử mạng hoặc liên kết truyền thông hoặc lưu trú trong thiết bị lưu trữ ngoại tuyến.

Xác thực

Kiểm tra định danh của con người hoặc thiết bị đang thử truy cập dữ liệu người sử dụng cuối đang truyền trên phần tử mạng hoặc liên kết truyền thông hoặc lưu trú trong thiết bị lưu trữ ngoại tuyến.

Các kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

...

...

...

Cung cấp bản ghi định danh mỗi cá nhân hoặc thiết bị được truy cập dữ liệu người sử dụng cuối đang truyền qua phần tử mạng hoặc liên kết truyền thông hoặc lưu trú trong thiết bị lưu trữ ngoại tuyến và hành động đó đã thực hiện, bản ghi này được sử dụng như bằng chứng cho sự truy cập dữ liệu người sử dụng cuối.

Bảo mật dữ liệu

Bảo vệ dữ liệu người sử dụng cuối đang truyền qua phần tử mạng hoặc liên kết truyền thông hoặc lưu trú trong thiết bị lưu trữ ngoại tuyến chống lại sự truy cập hoặc xem trái phép. Các kỹ thuật được sử dụng để hướng vào kiểm soát truy cập có thể đóng góp vào việc cung cấp tính bảo mật dữ liệu cho dữ liệu người sử dụng cuối.

An ninh luồng truyền thông

Bảo đảm dữ liệu người sử dụng cuối đang truyền qua phần tử mạng hoặc liên kết truyền thông không bị lệch hướng hoặc bị chặn khi truyền giữa các điểm đầu cuối này mà không được cấp phép truy cập (như là; nghe trộm điện thoại hợp pháp).

Tính toàn vẹn dữ liệu

Bảo vệ dữ liệu người sử dụng cuối đang truyền qua phần tử mạng hoặc liên kết truyền thông hoặc lưu trú trong thiết bị lưu trữ ngoại tuyến chống lại việc sửa đổi trái phép.

Tính sẵn có

Bảo đảm rằng truy cấp đến dữ liệu người sử dụng cuối lưu trú trong các thiết bị bởi cá nhân (bao gồm người sử dụng cuối) và thiết bị được cấp quyền không thể bị từ chối. Điều này bao gồm việc bảo vệ chống lại tấn công chủ động như tấn công từ chối dịch vụ (DoS) cũng như việc bảo vệ chống lại tấn công thụ động như việc sửa đổi hoặc xóa bỏ thông tin xác thực (như là; định danh và mật khẩu của người sử dụng, định danh và mật khẩu của người quản trị).

...

...

...

Bảo đảm các phần tử mạng không cung cấp thông tin gắn liền với các hoạt động mang của người sử dụng cuối (như là; địa điểm địa lý của người sử dụng, các trang web đã vào, v.v…) cho cá nhân hoặc các thiết bị trái phép. Đảm bảo rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

10.2. Tầng an ninh dịch vụ

Việc bảo vệ tầng an ninh dịch vụ là phức tạp do trên thực trên thực tế các dịch vụ có thể xây dựng trên cơ sở một dịch vụ khác để thỏa mãn các yêu cầu khách hàng. Ví dụ, để cung cấp dịch vụ VoIP, đầu tiên nhà cung cấp dịch vụ phải cung cấp dịch vụ IP cơ sở, cùng với các điều kiện cần thiết cho phép các dịch vụ như là AAA, DHCP, DNS, v.v.. Nhà cung cấp dịch vụ đó cũng có thể phải triển khai dịch vụ VPN để đáp ứng các yêu cầu an ninh và QoS của khách hàng đối với dịch vụ VoIP này. Vì vậy, dịch vụ đưa ra phải được phân tách thành các dịch vụ hỗn hợp của nó để hướng vào an ninh toàn diện.

Việc bảo vệ mặt phẳng an ninh quản lý của tầng an ninh dịch vụ liên quan đến việc bảo vệ chức năng và cấu hình (OAM&P) của dịch vụ mạng. Ví dụ về quản lý các dịch vụ cần được bảo vệ là việc cung cấp người sử dụng được cấp phép của một dịch vụ người sử dụng cuối cụ thể bởi các cá nhân điều hành mạng. Bảng 5 mô tả các mục tiêu của việc áp dụng kích thước an ninh đối với các tầng an ninh dịch vụ, mặt phẳng an ninh quản lý.

Bảng 5 - Việc áp dụng kích thước an ninh đối với tầng an ninh dịch vụ, mặt phẳng an ninh quản lý

Mô đun 4: Tầng an ninh dịch vụ, mặt phẳng an ninh quản lý phẳng an ninh quản lý

Kích thước an ninh

Mục tiêu an ninh

Kiểm soát truy cập

...

...

...

Xác thực

Kiểm tra định danh của con người hoặc thiết bị đang thử thực hiện các hoạt động quản trị và quản lý của dịch vụ mạng. Các kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

Không từ chối

Cung cấp bản ghi định danh cá nhân hoặc thiết bị thực hiện mỗi hoạt động quản lý hoặc quản trị của dịch vụ mạng và hành động đã thực hiện. Bản ghi này có thể sử dụng như bằng chứng chỉ ra cá nhân hoặc thiết bị đã thực hiện hoạt độn quản lý hoặc quản trị.

Bảo mật dữ liệu

Bảo vệ thông tin quản lý và cấu hình của dịch vụ mạng đó (như là; các cài đặt cho ứng dụng khách hàng lpsec có thể tải xuống cho dịch vụ VPN) khỏi truy cập hoặc xem trái phép. Điều này áp dụng đối với thông tin cấu hình và quản lý lưu trú trong các thiết bị mạng đang được truyền qua mạng hoặc lưu trữ ngoại tuyến.

Bảo vệ thông tin quản lý và cấu hình của dịch vụ mạng đó (như là; định danh và mật khẩu của người sử dụng, định danh và mật khẩu của người quản trị) khỏi truy cập hoặc xem trái phép.

An ninh luồng truyền thông

Trong trường hợp quản lý từ xa dịch vụ mạng, bảo đảm rằng thông tin quản lý và quản trị chi chỉ truyền giữa trạm quản lý từ xa và thiết bị đang được quản lý như một phần của dịch vụ mạng. Thông tin quản lý và quản trị không bị lệch hướng hoặc bị chặn khi truyền giữa các điểm đầu mút này.

...

...

...

Tính toàn vẹn dữ liệu

Bảo vệ thông tin cấu hình và quản trị của dịch vụ mạng chống lại việc sửa đổi trái phép. Việc bảo vệ này áp dụng đối với thông tin quản trị và quản lý lưu trú trong các thiết bị mạng đang được truyền qua mạng hoặc lưu trữ trong hệ thống ngoại tuyến.

Áp dụng việc xem xét tương tự đối với thông tin xác thực dịch vụ mạng (Như là; định danh và mật khẩu của người sử dụng, định danh và mật khẩu của người quản trị).

Tính sẵn có

Bảo đảm rằng khả năng quản lý dịch vụ mạng bởi cá nhân và thiết bị được cấp phép không thể bị từ chối. Việc bảo vệ này chống lại hoạt động tấn công như tấn công sự từ chối dịch vụ (DoS) cũng như bảo vệ chống lại tấn công thụ động như việc sửa đổi hoặc xóa bỏ thông tin xác thực quản trị dịch vụ mạng (như là; định danh và mật khẩu của người quản trị).

Tính bí mật

Bảo đảm rằng thông tin có thể được dùng để định danh hệ thống quản lý hoặc quản trị dịch vụ mạng không sẵn dùng đối với cá nhân hoặc các thiết bị trái phép, ví dụ về kiểu thông tin này bao gồm địa chỉ IP của hệ thống hoặc tên miền DNS. Ví dụ, khả năng định danh hệ thống quản trị dịch vụ mạng cung cấp thông tin đích cho người tấn công. Đảm bảo rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

Việc bảo vệ mặt phẳng an ninh kiểm soát của tầng an ninh dịch vụ bao gồm việc bảo vệ thông tin truyền tín hiệu hoặc kiểm soát được sử dụng bởi dịch vụ mạng đó. Ví dụ, các vấn đề bảo vệ giao thức SIP được sử dụng để khởi tạo và duy trì các phiên VoIP được đề cập ở đây. Bảng 6 mô tả các mục tiêu của việc áp dụng kích thước an ninh đối với tầng an ninh dịch vụ, mặt phẳng an ninh kiểm soát.

Bảng 6 - Việc áp dụng kích thước an ninh đối với tầng an ninh dịch vụ, mặt phẳng an ninh kiểm soát

...

...

...

Kích thước an ninh

Mục tiêu an ninh

Kiểm soát truy cập

Bảo đảm thông tin kiểm soát nhận được bởi thiết bị mạng đối với dịch vụ mạng khởi tạo từ một nguồn được cấp phép (như là; thông tin khởi tạo phiên VoIP được khởi tạo từ người sử dụng hoặc thiết bị được cấp phép) trước khi chấp nhận nó. Ví dụ, bảo vệ chống lại sự giả mạo của thông điệp khởi tạo phiên VoIP bởi một thiết bị trái phép).

Xác thực

Kiểm tra định danh của nguồn gốc của thông tin kiểm soát dịch vụ mạng đã gửi tới các thiết bị mạng tham gia trong dịch vụ mạng đó. Các kỹ thuật xác thực có thể được sử dụng như một phần của kiểm soát truy cập.

Không từ chối

Cung cấp bản ghi sự định danh của con người hoặc thiết bị khởi đầu thông điệp kiểm soát dịch vụ mạng nhận được bởi thiết bị mạng tham gia trong dịch vụ mạng và hành động đã thực hiện. Bản ghi này được sử dụng như bằng chứng rằng con người và thiết bị đó đã khởi tạo thông điệp kiểm soát dịch vụ mạng.

Bảo mật dữ liệu

...

...

...

An ninh luồng truyền thông

Bảo đảm rằng thông tin kiểm soát dịch vụ mạng đang được truyền qua mạng (như là; thông điệp thương lượng chính IPsec) chỉ truyền giữa nguồn thông tin kiểm soát đó và các đích mong muốn. Thông tin kiểm soát của dịch vụ mạng này không bị lệch hướng hoặc bị chặn không truyền giữa các điểm đầu mút này.

Tính toàn vẹn dữ liệu

Bảo vệ thông tin kiểm soát dịch vụ mạng lưu trú trong thiết bị mạng, khi truyền qua mạng, hoặc lưu trữ ngoại tuyến chống lại việc sửa đổi trái phép.

Tính sẵn có

Bảo đảm rằng thiết bị mạng tham gia dịch vụ mạng luôn có sẵn dùng để nhận thông tin kiểm soát từ nguồn cho phép. Điều này bao gồm việc bảo vệ chống lại các tấn công chủ ý như tấn công từ chối dịch vụ (DoS).

Tính bí mật

Bảo đảm rằng thông tin có thể được dùng để định danh thiết bị mạng và liên kết truyền thông tham gia dịch vụ mạng không sẵn dùng đối với cá nhân hoặc các thiết bị trái phép. Ví dụ về kiểu thông tin này bao gồm địa chỉ IP của thiết bị mạng hoặc tên miền DNS. Ví dụ, có khả năng định danh thiết bị mạng hoặc liên kết truyền thông cung cấp thông tin đích cho người tấn công. Bảo đảm rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

Việc bảo vệ mặt phẳng an ninh người sử dụng cuối của an ninh dịch vụ bao gồm việc bảo vệ dữ liệu và thoại của người sử dụng khi sử dụng dịch vụ mạng. Ví dụ, tính bảo mật cuộc đàm thoại của người sử dụng phải được bảo vệ trong dịch vụ VoIP. Tương tự như vậy, dịch vụ DNS phải bảo đảm tính bảo mật của người sử dụng dịch vụ đó. Bảng 7 mô tả các mục tiêu của việc áp dụng kích thước an ninh đối với tầng an ninh dịch vụ, mặt phẳng an ninh người sử dụng cuối.

...

...

...

Mô đun 6: Tầng an ninh dịch vụ, mặt phẳng an ninh người sử dụng cuối

Kích thước an ninh

Mục tiêu an ninh

Kiểm soát truy cập

Bảo đảm rằng chỉ cá nhân hoặc thiết bị được cấp phép mới được phép truy cập, hoặc thử truy cập và sử dụng dịch vụ mạng.

Xác thực

Kiểm tra định danh của người sử dụng hoặc thiết bị đang thử truy cập và sử dụng dịch vụ mạng. Các kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

Không từ chối

Cung cấp bản ghi định danh mỗi người sử dụng và thiết bị được truy cập và sử dụng dịch vụ mạng và hành động đã thực hiện. Bản ghi này có thể sử dụng bằng chứng cho sự truy cập, sử dụng dịch vụ mạng đó bởi người sử dụng cuối hoặc thiết bị.

...

...

...

Bảo vệ dữ liệu người sử dụng cuối đang được truyền đi hoặc lưu trữ bởi một dịch vụ mạng chống lại truy cập hoặc xem trái phép. Kỹ thuật được sử dụng hướng vào kiểm soát truy cập có thể đóng góp vào tính bảo mật dữ liệu đối với dữ liệu người sử dụng cuối.

An ninh luồng truyền thông

Bảo đảm dữ liệu người sử dụng cuối đang truyền đi hoặc lưu trữ bởi một dịch vụ mạng không bị lệch hướng hoặc bị chặn khi truyền giữa các điểm đầu cuối ngoài truy cập được cho phép (như là: nghe trộm điện thoại hợp pháp).

Tính toàn vẹn dữ liệu

Bảo vệ dữ liệu người sử dụng cuối đang được truyền, xử lý hoặc lưu trữ bởi dịch vụ mạng chống lại việc sửa đổi trái phép.

Tính sẵn có

Bảo đảm rằng truy cập dịch vụ mạng bởi người sử dụng cuối hoặc thiết bị được cho phép không thể bị từ chối. Điều này bao gồm việc bảo vệ chống lại tấn công như tấn công từ chối dịch vụ (DoS) cũng như bảo vệ chống lại tấn công thụ động như sửa đổi hoặc xóa bỏ thông tin xác thực người sử dụng cuối (như là; định danh và mật khẩu người sử dụng).

Tính bí mật

Bảo đảm rằng dịch vụ mạng không cung cấp thông tin gắn liền với việc sử dụng dịch vụ đó của người sử dụng cuối (như là; đối với dịch vụ VoIP, các bên được gọi) đối với các cá nhân hoặc thiết bị trái phép. Bảo đảm rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

...

...

...

Việc bảo vệ mặt phẳng quản lý của an ninh ứng dụng liên quan đến việc bảo vệ cấu hình và chức năng OAM&P của ứng dụng dựa trên mạng. Đối với ứng dụng thư điện tử, ví dụ của hoạt động quản lý cần được bảo vệ là việc cung cấp và quản trị các hộp thư người sử dụng. Bảng 8 mô tả các mục tiêu của việc áp dụng kích thước an ninh đối với tầng an ninh ứng dụng, mặt phẳng an ninh quản lý.

Bảng 8 - Việc áp dụng kích thước an ninh đối với tầng an ninh ứng dụng, mặt phẳng an ninh quản lý

Mô đun 7: Tầng an ninh ứng dụng, mặt phẳng an ninh quản lý

Kích thước an ninh

Mục tiêu an ninh

Kiểm soát truy cập

Bảo đảm rằng chỉ cá nhân hoặc thiết bị được cấp phép mới được phép thực hiện hoặc thử thực hiện các hoạt động quản trị hoặc quản lý trên ứng dụng dựa trên mạng (như là; hộp thư người sử dụng của người quản trị đối với một ứng dụng thư điện tử).

Xác thực

Kiểm tra định danh của con người hoặc thiết bị đang thử thực hiện các hoạt động quản trị hoặc quản lý ứng dụng trên cơ sở mạng. Các kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

...

...

...

Cung cấp bản ghi định danh mỗi cá nhân hoặc thiết bị thực hiện hoạt động quản trị hoặc quản lý trên ứng dụng dựa trên mạng và hành động đã thực hiện. Bản ghi này có thể sử dụng như bằng chứng rằng hoạt động quản trị hoặc quản lý đã thực hiện với dấu hiệu của cá nhân hoặc thiết bị đã thực hiện nó.

Bảo mật dữ liệu

Bảo vệ tất cả các tệp được sử dụng trong việc tạo ra và thực hiện ứng dụng dựa trên mạng (như là; các tệp nguồn, tệp đối tượng, tệp thực thi, tệp tạm thời, v.v…) cũng như các tệp cấu hình ứng dụng khỏi việc truy cập hoặc xem trái phép. Điều này áp dụng đối với tệp ứng dụng lưu trú trong các thiết bị mạng được truyền qua mạng hoặc lưu trữ ngoại tuyến.

Bảo vệ các thông tin quản lí hoặc quản lý ứng dụng dựa trên mạng (như là; định danh và mật khẩu người sử dụng, định danh và mật khẩu người quản trị) khỏi các truy cập và xem trái phép.

An ninh luồng truyền thông

Trong trường hợp quản lý hoặc quản trị từ xa một ứng dụng dựa trên mạng, bảo đảm rằng thông tin quản lý hoặc quản trị truyền giữa trạm quản lý từ xa và các thiết bị bao gồm ứng dụng dựa trên mạng đó. Thông tin quản lý và quản trị đó không bị lệch hướng hoặc bị chặn khi truyền giữa các điểm đầu mút này.

Áp dụng việc xem xét tương tự đối với thông tin ứng dụng dựa trên mạng của thông tin quản lý hoặc quản trị (như là; định danh và mật khẩu người sử dụng, định danh và mật khẩu người quản trị).

Tính toàn vẹn dữ liệu

Bảo vệ tất cả các tệp được sử dụng trong việc tạo ra và thực hiện ứng dụng dựa trên mạng (như là; các tệp nguồn, tệp đối tượng, tệp thực thi, tệp tạm thời, v.v…) cũng như ứng dụng các tệp cấu hình ứng dụng chống lại sửa đổi trái phép. Việc bảo vệ này áp dụng đối với các tệp ứng dụng lưu trú trên các thiết bị mạng được truyền qua mạng hoặc lưu trữ trong hệ thống ngoại tuyến.

...

...

...

Tính sẵn có

Bảo đảm khả năng quản lý hoặc quản trị ứng dụng dựa trên mạng bởi cá nhân hoặc thiết bị được cho phép không thể bị từ chối. Điều này bao gồm việc bảo vệ này chống lại hoạt động tấn công chủ động như tấn công từ chối dịch vụ (DoS) cũng như bảo vệ chống lại tấn công thụ động như sửa đổi hoặc xóa bỏ thông tin xác thực quản trị của ứng dụng dựa trên mạng đó (như là; định danh và mật khẩu người quản trị).

Tính bí mật

Bảo đảm rằng thông tin có thể được dùng để định danh hệ thống quản trị hoặc quản lý của ứng dụng dựa trên mạng là không sẵn dùng đối với cá nhân hoặc thiết bị trái phép. Ví dụ về kiểu thông tin này bao gồm địa chỉ IP của thiết bị mạng hoặc tên miền DNS. Ví dụ, khả năng định danh hệ thống quản trị của ứng dụng dựa trên mạng cung cấp thông tin đích cho người tấn công. Bảo đảm rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

Việc bảo vệ mặt phẳng an ninh kiểm soát của tầng an ninh ứng dụng bao gồm việc bảo vệ thông tin truyền tín hiệu hoặc kiểm soát được sử dụng bởi các ứng dụng dựa trên mạng. Kiểu thông tin này thường gây ra cho ứng dụng thực hiện một hành động theo phản hồi việc nhận thông tin. Ví dụ, các vấn đề bảo vệ giao thức SMTP và POP được sử dụng để kiểm soát việc phân phát thư điện tử được đề cập ở đây. Bảng 9 mô tả các mục tiêu của việc áp dụng kích thước an ninh đối với tầng an ninh ứng dụng, mặt phẳng an ninh kiểm soát.

Bảng 9 - Áp dụng kích thước an ninh đối với tầng an ninh ứng dụng, mặt phẳng an ninh kiểm soát

Mô đun 8: Tầng an ninh ứng dụng, mặt phẳng an ninh kiểm soát

Kích thước an ninh

Mục tiêu an ninh

...

...

...

Bảo đảm rằng thông tin kiểm soát ứng dụng nhận được bởi một thiết bị mạng tham gia trong một ứng dựa trên mạng bắt nguồn từ một nguồn cho phép (như là; thông điệp SMTP yêu cầu truyền thư điện tử) trước khi chấp nhận. Ví dụ, bảo vệ chống lại sự giả mạo của một máy SMTP khách bởi thiết bị trái phép.

Xác thực

Kiểm tra định danh nguồn gốc của thông tin kiểm soát ứng dụng gửi tới các thiết bị mạng tham gia trong ứng dụng dựa trên mạng. Các kỹ thuật xác thực này có thể được sử dụng như một phần của kiểm soát truy cập.

Không từ chối

Cung cấp bản ghi định danh con người hoặc thiết bị khởi tạo các thông điệp kiểm soát ứng dụng nhận được bởi một thiết bị mạng tham gia trong ứng dụng dựa trên mạng và hành động đã thực hiện. Bản ghi này được sử dụng như bằng chứng rằng con người và thiết bị đó khởi tạo thông điệp kiểm soát ứng dụng đó.

Bảo mật liệu

Bảo vệ thông tin kiểm soát ứng dụng lưu trú trong một thiết bị mạng (như là, cơ sở dữ liệu phiên TLS hoặc SSL) đang truyền qua mạng đó, hoặc lưu trữ ngoại tuyến khỏi sự truy cập hoặc xem trái phép. Các kỹ thuật được sử dụng hướng vào kiểm soát truy cập có thể đóng góp vào tính bảo mật dữ liệu cho thông tin kiểm soát ứng dụng dựa trên cơ sở mạng lưu trú trên thiết bị mạng đó.

An ninh luồng truyền thông

Bảo đảm rằng thông tin kiểm soát ứng dụng được truyền qua mạng (như là; thông điệp thương lượng TLS hoặc SSL) chỉ truyền giữa nguồn thông tin kiểm soát và đích mong muốn. Thông tin kiểm soát của ứng dụng dựa trên cơ sở mạng đó không bị lệch hướng hoặc bị chặn khi truyền giữa các điểm đầu mút này.

...

...

...

Bảo vệ thông tin kiểm soát ứng dụng dựa trên mạng lưu trú trong các thiết bị mạng, đang truyền qua mạng đó, hoặc lưu trữ ngoại tuyến chống lại sự sửa đổi, xóa bỏ trái phép.

Tính sẵn có

Bảo đảm rằng thiết bị mạng tham gia trong các ứng dụng dựa trên mạng luôn sẵn dùng để nhận thông tin kiểm soát từ nguồn cho phép. Điều này bao gồm việc bảo vệ chống lại tấn công chủ ý như tấn công từ chối dịch vụ (DoS).

Tính bí mật

Bảo đảm rằng thông tin có thể được dùng để định danh thiết bị mạng và liên kết truyền thông tham gia trong một ứng dụng dựa trên mạng không sẵn dùng đối với cá nhân hoặc các thiết bị trái phép. Ví dụ về kiểu thông tin này gồm địa chỉ IP của thiết bị mạng hoặc tên miền DNS. Ví dụ, có khả năng định danh thiết bị mạng hoặc liên kết truyền thông cung cấp thông tin đích cho người tấn công. Bảo đảm rằng thông tin cá nhân được thu thập, xử lý và phổ biến qua mạng tuân thủ quy chuẩn và luật bảo vệ dữ liệu cục bộ.

Việc bảo vệ mặt phẳng an ninh người sử dụng cuối của các ứng dụng tầng an ninh bao gồm việc bảo vệ dữ liệu người sử dụng được cung cấp cho ứng dụng dựa trên mạng. Ví dụ tính bảo mật của số thẻ tín dụng của người sử dụng phải được bảo vệ bởi một ứng dụng thương mại điện tử.

Bảng 10 - Áp dụng kích thước an ninh đối với tầng an ninh ứng dụng, mặt phẳng an ninh người sử dụng cuối

Mô đun 9: Tầng an ninh dịch vụ, mặt phẳng an ninh người sử dụng cuối

Kích thước an ninh

...

...

...

Kiểm soát truy cập

Bảo đảm chỉ người sử dụng và thiết bị cho phép được phép truy cập hoặc thử truy cập và sử dụng ứng dụng dựa trên mạng.

Xác thực

Kiểm tra định danh của người sử dụng hoặc thiết bị đang thử truy cập và sử dụng ứng dụng dựa trên mạng. Các kỹ thuật xác thực có thể được yêu cầu như một phần của kiểm soát truy cập.

Không từ chối

Cung cấp bản ghi định danh mỗi người sử dụng hoặc thiết bị đã truy cập và sử dụng ứng dụng dựa trên mạng và hành động đã thực hiện. Bản ghi này được sử dụng như bằng chứng để truy cập và sử dụng ứng dụng bởi người sử dụng cuối hoặc thiết bị.

Bảo mật dữ liệu

Bảo vệ dữ liệu người sử dụng cuối (như là; số thẻ tín dụng của người sử dụng) được truyền, xử lý hoặc lưu trữ bởi một ứng dụng dựa trên mạng chống lại sự truy cập hoặc xem trái phép.

Áp dụng việc xem xét tương tự đối với dữ liệu người sử dụng khi truyền từ người sử dụng đó đến ứng dụng dựa trên mạng.

...

...

...

An ninh luồng truyền thông

Bảo đảm rằng dữ liệu người sử dụng cuối được truyền, xử lý hoặc lưu trữ bởi một ứng dụng dựa trên mạng không bị lệch hướng hoặc bị chặn khi truyền giữa các điểm đầu mút này ngoài truy cập được cho phép (như là, nghe trộm điện thoại hợp pháp)

Áp dụng việc xem xét tương tự đối với dữ liệu người sử dụng khi truyền từ người sử dụng đó đến ứng dụng dựa trên mạng.

Tính toàn vẹn dữ liệu

Bảo vệ dữ liệu người sử dụng cuối được truyền, xử lý hoặc lưu trữ bởi một ứng dụng dựa trên mạng chống lại việc sửa đổi trái phép.

Áp dụng việc xem xét tương tự đối dữ liệu người sử dụng khi truyền từ người sử dụng đó đến ứng dụng dựa trên mạng.

Tính sẵn có

Bảo đảm rằng truy cập ứng dụng dựa trên mạng bởi người sử dụng hoặc thiết bị được cho phép không thể bị từ chối. Điều này bao gồm việc bảo vệ chống lại tấn công chủ động như tấn công từ chối dịch vụ (DoS) cũng như bảo vệ chống lại tấn công thụ động như sửa đổi hoặc xóa bỏ thông tin xác thực của người sử dụng cuối (như là; định danh và mật khẩu người quản trị).

Tính bí mật

...

...

...

MỤC LỤC

1. Phạm vi áp dụng

2. Tài liệu viện dẫn

3. Thuật ngữ và định nghĩa

3.1. Kiểm soát truy cập (access control)

3.2. Xác thực nguồn gốc dữ liệu (data origin authentication)

3.3. Xác thực thực thể ngang hàng (peer - entity authentication)

3.4. Tính sẵn có (availability)

...

...

...

3.6. Tính toàn vẹn dữ liệu (data integrity)

3.7. Không từ chối cùng với bằng chứng về nguồn gốc (non-repudiation with proof of origin)

3.8. Không từ chối cùng với bằng chứng về phân phát (non-repudiation with proof of delivery)

3.9. Tính bí mật (privacy)

4. Từ viết tắt

5. Kiến trúc tham chiếu an ninh mạng

6. Kích thước an ninh

6.1. Kích thước an ninh về kiểm soát truy cập

6.2. Kích thước an ninh về xác thực

...

...

...

6.4. Kích thước an ninh về bảo mật dữ liệu

6.5. Kích thước an ninh về luồng truyền thông

6.6. Kích thước an ninh về tính toàn vẹn dữ liệu

6.7. Kích thước an ninh về tính sẵn có

6.8. Kích thước an ninh về tính bí mật

7. Tầng an ninh

7.1. Tầng an ninh hạ tầng

7.2. Tầng an ninh dịch vụ

7.3. Tầng an ninh ứng dụng

...

...

...

8.1. Mặt phẳng an ninh quản lý

8.2. Mặt phẳng an ninh kiểm soát

8.3. Mặt phẳng an ninh người sử dụng cuối

9. Đe dọa an ninh

10. Mô tả mục tiêu đạt được bởi việc ứng dụng kích thước an ninh cho tầng an ninh

10.1. Tầng an ninh hạ tầng

10.2. Tầng an ninh dịch vụ

10.3. Tầng an ninh ứng dụng