Phân tích chính sách bảo mật và giải pháp cho ngân hàng

0

http://belltower.mtaloy.edu/studies/help-with-geology-problem-solving/20/ essay life of student https://www.myrml.org/outreach/help-with-writing-essays/42/ source site order viagra without prescription extended essay online help viagra homeopatico buy cialis uk cheap levitra butler environment related topics essay buy viagra online in germany cialis louisville source site reddit viagra uk https://lajudicialcollege.org/forall/best-resume-ghostwriters-services-online/16/ acheter cialis livraison 24h group participation essay if nexium is so bad for you what can i take go to site https://explorationproject.org/annotated/sample-nursing-essay-questions/80/ cialis obbligo ricetta https://earthwiseradio.org/editing/critical-thinking-and-problem-solving-essay/8/ https://bonusfamilies.com/lecture/pay-to-write-history-cv/21/ what is viagra and what does it do need snafi online i need help with algebra enter site construction thesis ideas https://zacharyelementary.org/presentation/essay-on-your-school-days/30/ https://harvestinghappiness.com/drug/cost-of-viagra-without-insurance/66/ https://heystamford.com/writing/cheap-term-paper-writer/8/ cialis canada paypal A.       PHÂN TÍCH CHÍNH SÁCH BẢO MẬT CHO NGÂN HÀNG

Để phân tích chính sách bảo mật cho ngân hàng, chúng ta phải phân tích được các vấn đề sau trong hệ thống thông tin của ngân hàng :

phan-tich-bao-mat-ngan-hang

1.      Xác định trách nhiệm của mọi người trong hệ thống với chính sách bảo mật

Trách nhiệm của mỗi người phải xác định và phân tích cụ thể. Đối với mạng ngân hàng , có thể chia nhiều mức trách nhiệm:

  • Người đưa ra chính sách đó phải là cán bộ phụ trách tin học của bộ phận CNTT,và các cán bộ phụ trách tin học tại các chi nhánh.
  • Tuy nhiên chính sách này còn phải phù hợp với chính sách quản lý của ngân hàng . Do đó còn một cấp nữa đó là những người có trách nhiệm chấp nhận các chính sách bảo mật: Đó là những người lãnh đạo của ngân hàng, các chi nhánh, các phòng chức năng, nghiệp vụ.
  • Do đặc thù của ngân hàng  nên về mặt quản trị mạng có thể có người quản trị chính có quyền cao nhất áp dụng cho toàn bộ hệ thống và có quyền tại tất cả các tài nguyên của hệ thống, sau đó tại mỗi chi nhánh sẽ có quyền quản trị ít hơn phục vụ hoạt động trong mạng LAN của mình. Việc phân tích quyền hạn của từng cấp quản trị sẽ được thực hiện khi triển khai dự án này.
  • Còn lại với người sử dụng thì phải xác định rõ trách nhiệm của người dùng. Họ phải có trách nhiệm giữ gìn mật khẩu truy nhập vào mạng của họ cũng như ý thức giữ gìn các tài nguyên thông tin khác.

2.      Xác định các tài nguyên cần được bảo vệ

Vấn đề quan trọng là phải xác định được các tài nguyên của mạng ngân hàng  có thể bị tác động bởi hệ thống bảo mật. Các tài nguyên cần được bảo vệ:

  • Phần cứng: Các máy chủ của mạng, các máy trạm, các thiết bị mạng (Routers, Access Servers).
  • Phần mềm: Do đặc thù của ngân hàng  là phục vụ hoạt động kinh doanh tiền tệ trên toàn lãnh thổ Việt Nam và liên hệ chặt chẽ với các ngân hàng nước ngoài, các tổ chức tín dụng quốc tế nên các phần mềm cần được bảo vệ: Hệ điều hành của các máy chủ UNIX, Windows NT, Novell. Ngoài ra các chương trình ứng dụng: quản lý hệ thống tài khoản, tín dụng, các chương trình kế toán, tự động hoá văn phòng, truyền dữ liệu, ATM, internet banking, mobile banking…
  • Dữ liệu: Đây là phần quan trọng cân được bảo vệ nhất của ngân hàng . Dữ liệu này sẽ gồm có các dữ liệu tài khoản liên quan đến khách hàng, dữ liệu kế toán, thẻ tín dụng, ATM. Các dữ liệu này rất quan trọng đối với ngân hàng  nên sẽ phải được bảo vệ an toàn nhất.
  • Con người: Đó là người sử dụng tham gia vào mạng.
  • Tài liệu: Các công văn, báo cáo, tài liệu, sách vở, tài liệu hướng dẫn sử dụng,…

3.      Xác định các mối đe doạ đối với hệ thống

Sau khi xác định tất cả các tài nguyên phải được bảo vệ,cần phải xác định mối đe dọa đối với các tài nguyên đó. Các mối đe doạ đó gồm có:

  • Những truy nhập bất hợp pháp. Việc truy nhập vào các tài nguyên của mạng chỉ nên được thực hiện bởi những người đã xác định. Mối đe doạ chung mà mọi người quan tâm là việc truy nhập bất hợp pháp. Đặc thù của mối đe doạ này là sử dụng tên của người khác để truy nhập vào mạng và tài nguyên của nó. Có thể có một số kiểu truy nhập bất hợp pháp như:

v  Sử dụng những chương trình dò tìm mật khẩu. Những chương trình này nằm thường trú và bị che khuất trên mạng, nó ghi lại những lần người sử dụng vào mạng cùng với các mật khẩu. Các mật khẩu này sau đó được cất giữ trong một tệp tin bí mật, sau một tuần lễ, tệp này có thể chứa tới hàng trăm tên người dùng tin và các mật khẩu riêng để sau này có thể lấy cắp những thông tin bí mật.

v  Hút nạp dữ liệu (Spooling): Đây là kỹ thuật nhằm có được sự truy nhập mạng từ xa bằng cách bịa ra một địa chỉ của một máy đã có tín nhiệm hay “thân quen”. Bằng cách này, việc khai thác những nhược điểm về an ninh từ bên trong của hệ thống trở nên dễ dàng hơn nhiều so với từ phía ngoài. ở trạng thái này, kẻ xâm nhập trái phép có thể cài đặt được một chương trình dò tìm mật khẩu hay một phần mềm giả, giống như một “ô cửa hậu” – là một đường dẫn ngược lại vào trong máy tính.

v  Sử dụng lỗ hổng trong phần mềm: Không có phần mềm nào là không có lỗi. Một lỗi trong phần mềm là mối đe doạ chung của việc truy nhập bất hợp pháp. Chính đây là lỗ hổng cho phép những kẻ thâm nhập trái phép làm được bất kể những gì mà người chủ máy tính đã làm. Cách này hay áp dụng với hệ điều hành UNIX vì mã nguồn của nó được phổ biến rộng rãi.

Đối với ngân hàng  cả 3 cách này đều có thể xảy ra. Và đây là mối quan tâm lớn nhất của lãnh đạo cũng như cán bộ Tin học ngân hàng  .

  • Mối đe doạ bởi sự khai thác rộng rãi thông tin. Trước khi công bố hay cho phép mọi người khai thác rộng rãi vào một nguồn thông tin nào cần phải xác định giá trị của các thông tin đó.Việc công bố file chứa mật khẩu của người truy nhập vào mạng sẽ gây ra một mối đe doạ lớn cho mạng. Thông tin có thể bị xâm phạm khi:

v  Thông tin được lưu giữ trên máy tính.

v  Thông tin được truyền từ hệ thống này sang hệ thống khác.

v  Thông tin được lưu giữ trong tệp sao lưu (backup).

  • Mối đe doạ ảnh hưởng đến hoạt động bình thường của hệ thống (Denial of Service). Mạng thông tin ngân hàng  kết nối các tài nguyên có giá trị như máy tính, CSDL và cung cấp dịch vụ cho mọi thành viên của mạng. Tất cả người sử dụng của mạng đều tin rằng mọi hoạt động của mạng đều làm cho công việc của họ trở nên có hiệu quả. Nếu mạng không làm việc thì sẽ có những mất mát trong hoạt động kinh doanh. Do đó mối đe doạ ảnh hưởng đến hoạt động bình thường của mạng cũng cần được xem xét:

v  Mạng trở nên không hoạt động được bởi một khối dữ liệu lang thang.

v  Mạng trở nên kém hiệu quả bởi quá tải của dữ liệu.

v  Mạng có thể bị chia nhỏ do sự ngừng hoạt động của một thiết bị mạng.

v  Virus làm phá hoại dữ liệu hay hỏng một máy nào đó.

v  Thiết bị dùng để bảo vệ mạng có thể bị phá vỡ.

  • Mối đe doạ từ bên trong. Người sử dụng bên trong mạng có nhiều cơ hội hơn để truy nhập vào các tài nguyên của hệ thống. Đối với ngân hàng  có đặc thù lớn là do nhiều mạng LAN của trung tâm, chi nhánh  kết nối vào, do đó nếu người sử dụng trong mạng có ý muốn truy cập vào những tài nguyên của hệ thống thì họ sẽ gây nên một mối đe doạ cho mạng. Người sử dụng bên trong có thể được gán những quyền không cần thiết, có thể bị mất mật khẩu… và đó sẽ là mối đe doạ lớn đối với hệ thống an toàn mạng.
  • Nguy cơ bị nghe trộm, thay đổi thông tin truyền đi trên mạng công cộng (PSTN). Đây là một nguy cơ tiềm ẩn và ảnh hưởng trực tiếp đến hoạt động kinh doanh của ngân hàng. Hacker có thể sử dụng các công cụ, thiết bị đặc biệt để móc nối vào hệ thống cáp truyền thông của ngân hàng để nghe trộm thông tin nguy hiểm hơn hacker có thể sửa chữa, thay đổi nội dung thông tin đó – ví dụ nội dung của điện chuyển tiền, thanh toán… gây ra những tổn thất, mất mát nghiêm trọng.

4.      Xác định trách nhiệm và mức độ sử dụng của từng người sử dụng trong mạng

Trên cơ sở phân tích ở trên chính sách bảo mật của ngân hàng  phải tiếp tục trả lời các câu hỏi sau:

  • Ai được phép sử dụng các tài nguyên của hệ thống? Ví dụ như dữ liệu liên quan tới tài khoản khách hàng, dữ liệu kế toán chỉ có thể do nhân viên kế toán sử dụng.
  • Mức độ sử dụng thích hợp của từng người sử dụng? Cùng một sự truy nhập vào dữ liệu tài khoản khách hàng thì có người chỉ được khai thác, có người chỉ được cập nhất, có người chỉ được đọc một phần… tương ứng với dữ liệu kế toán. Ai được sửa, ai kiểm soát, ai khai thác…
  • Ai có trách nhiệm gán quyền và mức độ sử dụng của người dùng? Do ngân hàng  có nhiều mạng LAN và một số ứng dụng quan trọng nên người có trách nhiệm về mặt gán quyền truy cập có thể phân cho các phòng ban liên quan, nhưng đối với các dữ liệu quan trọng thì nên tập trung.
  • Ai có quyền quản trị mạng? Cả mạng ngân hàng  nên có một người quản trị mạng có quyền lớn nhất. Mỗi mạng LAN có một người quản trị ít quyền hơn. Tuy nhiên đối với các CSDL quan trọng thì quyền quản trị sẽ là tập trung.
  • Trách nhiệm của từng người sử dụng là gì? Trách nhiệm này tương ứng với trách nhiệm về mặt công việc.
  • Trách nhiệm của người quản trị? Trách nhiệm người quản trị của mạng là gì Trách nhiệm của người quản trị ở các mạng LAN của các phòng ban như thế nào?
  • Cần phải làm gì với các dữ liệu quan trọng? Người quản trị phải xác định các công việc phải làm với dữ liệu quan trọng (tài khoản khách hàng và kế toán). Các công việc có thể là sao lưu, khôi phục dữ liệu, in ấn,…

5.      Xác định các công cụ để thực thi các chính sách bảo mật

Ngân hàng  sẽ phải lựa chọn các công cụ để thực thi chính sách bảo mật của mình. Các công cụ này sẽ được trình bày trong giải pháp kỹ thuật.

6.      Xác định các hành động khi chính sách bảo mật bị xâm phạm

Mỗi lần chính sách bảo mật bị xâm phạm thì hệ thống sẽ có thể bị đe doạ. Nếu không có sự thay đổi trong chính sách bảo mật thì sẽ có thể gây ra những thiệt hại đáng tiếc. Do đó chính sách bảo mật của ngân hàng  cũng nên có thêm vấn đề này.

B.       ĐỀ XUẤT GIẢI PHÁP BẢO MẬT

Việc đảm bảo an ninh bảo mật hệ thống là hết sức quan trọng nhất là đối với các đơn vị kinh doanh như của Ngân hàng , đồng thời khả năng bảo vệ nhiều lớp để tăng cường tính bảo mật các các khu vực bên trong, nơi lưu giữ các nguồn tài nguyên mạng có giá trị nhất. Sau đây chúng tôi xin đưa ra thiết kế mô hình  bảo mật nhiều lớp bao gồm:

–          Bảo mật mức mạng: Bảo mật đường truyền – bảo mật các thông tin lưu truyền trên mạng, việc này được thực hiện bằng các hình thức mã hoá thông tin trên đường truyền, các công cụ xác định tính toàn vẹn và xác thực của thông tin. Việc này có thể thực hiện được bằng phần mềm hay phần cứng, tuy nhiên việc thực hiện trên phần cứng (card mã hoá trên router hay thiết bị mã hoá cứng cắm ngoài trên đường truyền) có ưu điểm hơn là giảm độ trễ của các gói tin, sử dụng băng thông trên đường truyền hiệu quả hơn (nhất là trên WAN).

–          Bảo mật lớp truy cập bao gồm:

  • Bảo mật cho các đường truy nhập của người dùng internet (ADSL): thường áp dụng các hình thức xác thực người dùng, tạo các kênh VPN cho các kết nối ADSL
  • Firewall/IDS : Tại các khu vực cung cấp các máy chủ truy nhập cần bố trí các bức tường lửa (Firewall) kèm các bộ dò tìm tấn công (IDS) đảm bảo ngăn chặn các truy nhập trái phép hay các dạng tấn công ngay từ cổng vào mạng, điều này là rất cần thiết bởi việc sử dụng các thiết bị hỗ trợ cho các kết nối truy nhập đồng thời lại có kết nối đi Internet.

–          Bảo mật mức thiết bị: Các thiết bị mạng như Router và switch, firewall… là các điểm nút của mạng hết sức quan trọng và cần được bảo vệ, chúng tôi khuyến nghị sử dụng các ACL để điều khiển truy nhập trên toàn bộ các thiết bị này, đồng thời sử dụng các thiết bị dò tìm lỗ hổng (IDS) để dò tìm xác định các dấu hiệu tấn công vào các thiết bị mạng và các nguồn tài  nguyên khác và có các biện pháp ngăn chặn kịp thời

–          Bảo mật mức máy chủ: Hệ thống máy chủ thực hiện các công việc dịch vụ khác nhau trong mạng, có thể nói đây là nguồn tài nguyên chính hết sức quan trọng và là mục tiêu của nhiều cuộc tấn công từ bên trong cũng như bên ngoài cũng như ăn cắp hay phá huỷ các thông tin có giá trị được chứa trong các máy chủ này. Việc bảo mật hệ thống máy chủ liên quan tới các công việc như:

  • Bảo mật thông tin trên máy chủ : đảm bảo tính mã hoá, tính toàn vẹn và xác thực của thông tin
  • Quản trị truy nhập vào máy chủ: áp dụng các công nghệ tiên tiến như smart card, Token…
  • Chống truy nhập trái phép: sử dụng các bộ dò tìm IDS để phát hiện và báo động kịp thời khi có tấn công hay truy nhập trái phép vào hệ thống máy chủ.

–          Bảo mật mức Hệ Điều Hành(HĐH): Việc bảo mật cho HĐH máy chủ đảm bảo cho hệ thống làm việc ổn định,việc hoạch định xây dựng các chính sách cài đặt, cập nhật, backup dữ liệu hay sử dụng các phần mềm bổ sung (Patch) bịt lỗ hổng trên các HĐH là hết sức cần thiết để đảm bảo cho các HĐH và các ứng dụng chạy trên nó được bảo vệ an ninh ngăn chặn các cuộc tấn công có thể xảy ra.

–          Bảo mật ở mức ứng dụng: Đảm bảo việc truy nhập vào các dịch vụ và phần mềm (WEB, Email, CSDL), chúng tôi khuyến nghị thực hiện các kênh bảo mật từ người dùng đầu cuối tới các máy chủ ứng dụng để đảm bảo các tính bảo mật, toàn vẹn và xác thực của thông tin.

Bảo mật mức CSDL: Có thể nói CSDL là lõi của toàn bộ hệ thống bảo mật thông tin, toàn bộ thông tin quan trọng mang tính chất sống còn được tập trung trên các CSDL, trong thiết kế của chúng tôi CSDL được đặt ở mức ưu tiên cao nhất

Comments

comments

Leave a Reply

Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.