10 lỗi thiết kế bảo mật mạng thường gặp

10 lỗi thiết kế bảo mật mạng thường gặp Quản trị mạng – Có thể cho rằng bảo mật mạng là một trong những chức năng quan trọng nhất của CNTT. Tuy nhiên đôi khi chúng ta lại bắt gặp một số tổ chức bỏ sót những thao tác thiết kế bảo mật tuy đơn giản nhưng lại rất cần thiết. Vậy những lỗi mà các công ty này mắc phải là gì, trong bài này chúng tôi sẽ giới thiệu cho các bạn một số lỗi thường gặp phải và hậu quả của nó là có thể gây ra sự thỏa hiệp cho mạng của bạn cũng như đặt công ty rơi vào tình trạng rủi ro cao. 1. Thiết lập nhưng sau đó bỏ quên Lỗi đầu tiên mà chúng tôi muốn chỉ ra cho các bạn là việc lập kế hoạch. Nó liên quan đến những gì mà chúng ta có thể mô tả qua cụm từ “thiết lập nhưng sau đó bỏ quên”. Đây là những gì xảy ra khi các tổ chức chỉ chuyên tâm vào việc bảo vệ các mạng của họ mà quên đánh giá lại các kế hoạch bảo mật. Những hiểm họa đối với vấn đề bảo mật thường thay đổi nhanh do đó kiến trúc bảo mật của bạn cũng cần phải thay đổi theo sao cho phù hợp. Cách tốt nhất để thực hiện điều này là phải đánh giá lại những nhu cầu bảo mật của công ty theo một cơ sở nào đó. 2. Mở quá nhiều cổng tường lửa so với cần thiết Tất cả chúng ta đều biết rằng, việc mở nhiều cổng quá mức cần thiết sẽ có nhiều tác hại, tuy nhiên đôi khi việc mở cổng là không thể tránh khỏi. Cho ví dụ, lấy một máy chủ Microsoft Office Communications Server 2007 R2. Nếu bạn đang lên kế hoạch để cung cấp sự truy cập bên ngoài, khi đó một số cổng cần phải được mở. Thêm vào đó OCS 2007 R2 sẽ gán một dải rộng các cổng mang tính động. Vậy các quản trị viên bảo mật cần làm gì trong trường hợp này? Một trong những giải pháp tốt nhất là sử dụng một reverse proxy (ví dụ như ForeFront Threat Management Gateway của Microsoft). Một reverse proxy sẽ đứng giữa Internet và máy chủ yêu cầu mở nhiều cổng khác nhau. Khi không thấy được nhu cầu cần thiết mở cổng, reverse proxy có thể chặn và lọc các yêu cầu, sau đó chuyển chúng máy chủ mà chúng được dự định gửi đến. Điều này sẽ làm ẩn máy chủ đối với thế giới bên ngoài và giúp bảo vệ mạng của bạn tránh được các yêu cầu mã độc. 3. Hoạt động quá công suất Với hiện trạng nền kinh tế thế giới đang suy thoái, sức ép đối với các tài nguyên máy chủ đang tồn tại ngày càng tăng. Một máy chủ có thể phải cấu hình nhiều ứng dụng cũng như nhiều role ứng dụng. Tuy cách thức tiến hành này không tồi nhưng có một vấn đề mà chúng ta cần biết là khi kích thước của mã ứng dụng tăng thì nguy cơ xuất hiện các lỗ hổng có khả năng khai thác cũng tăng lên. Việc sử chỉ sử dụng một máy chủ chuyên dụng cho một ứng dụng là không thực tế, bạn cần phải quan tâm về các ứng dụng nào hoặc các role ứng dụng nào nên được cấu hình trên một máy chủ riêng. Cho ví dụ, để giảm tối thiểu, một máy chủ Exchange 2007 yêu cầu đến ba server roles (hub transport, client access và mailbox server). Tuy bạn có thể host tất cả ba role này trên cùng một máy chủ nhưng nên tránh thực hiện điều đó nếu cung cấp Outlook Web Access cho người dùng bên ngoài. Client Access Server role sẽ có hiệu lực cho IIS trong việc cấu hình Outlook Web Access. Chính vì vậy, nếu đặt client access server role trên cùng máy chủ như hub transport và mailbox server roles của mình thì chắc chắn bạn sẽ phơi bày cơ sở dữ liệu mailbox của mình trên Internet. 4. Bỏ qua các máy trạm Có người hỏi rằng, mối đe dọa lớn nhất đối với bảo mật mạng là gì. Câu trả lời của chúng tôi ở đây chính là các máy trạm (workstation). Chúng ta có thể thấy được rất nhiều tổ chức lỗ nực trong việc bảo mật mạng nhưng thực tế lại bỏ quên mất các máy trạm của họ. Trừ khi các máy trạm được bảo vệ một cách tuyệt đối an toàn, bằng không người dùng (hoặc các website mã độc) vẫn có thể cài đặt các phần mềm trái phép mà bạn không hề hay biết. 5. Thất bại trong việc sử dụng mã hóa SSL ở nơi cần thiết Một website cần phải sử dụng mã hóa SSL bất cứ thời điểm nào để bảo vệ những thông tin nhạy cảm mà người dùng đang nhập vào, chẳng hạn như username và password hoặc số thẻ tín dụng. Mặc dù vậy, nhiều tổ chức vẫn đưa ra những quyết định không thích hợp trong quá trình bảo vệ các cổng điện tử của mình. Lỗi bảo mật ở đây chính là các nội dung không an toàn trên một trang web an toàn. Khi xảy ra điều này, người dùng sẽ nhận một nhắc nhở yêu cầu xem liệu họ có muốn hiển thị cả nội dung an toàn và không an toàn hay không. Vấn đề này sẽ làm cho người dùng có thói quen cho phép Internet Explorer cung cấp những nội dung không an toàn. Một vấn đề kém nhận biết hơn nhưng lại rất điển hình đó là các tổ chức thường thất bại trong việc mã hóa các trang quan trọng bên trong website của họ. Theo quan điểm của chúng tôi, bất cứ trang nào cung cấp các thông tin quan trọng, lời khuyên bảo mật hoặc các thông tin liên hệ đều cần được mã hóa SSL. Tuy nhiên điều đó không có nghĩa rằng những trang này đặc biệt nhạy cảm mà nó có nghĩa rằng, chứng chỉ được sử dụng bởi quá trình mã hóa sẽ bảo vệ người dùng đang truy cập một website hợp lệ thay cho một trang mà ai đó đã thiết lập như một phần trong mưu đồ giả mạo. 6. Việc sử dụng các chứng chỉ tự ký Do một số tổ chức bỏ qua hoàn toàn tầm quan trọng của mã hóa SSL, chính vì vậy Microsoft đã nhóm các chứng chỉ tự ký với một số sản phẩm của họ. Bằng cách này, giao diện web có thể được sử dụng mã hóa SSL dù tổ chức vẫn chưa có chứng chỉ riêng của họ. Tuy các chứng chỉ tự ký có khắc phục được một số vấn đề nhưng chúng không phải là cách thay thế cho chứng chỉ SSL hợp lệ được cấp từ các cơ quan thẩm định đích thực. Mục đích chính Của các chứng chỉ tự ký được dự định để trợ giúp nâng cao độ bảo mật của sản phẩm cho tới khi quản trị viên có thể bảo vệ được nó. Quả thực một chứng chỉ tự ký có thể cung cấp mã hóa SSL nhưng người dùng sẽ nhận được các thông báo báo cảnh trong trình duyệt của họ vì các máy tính của họ không tin tưởng các chứng chỉ này. Thêm vào đó, một số dịch vụ web dựa trên SSL (chẳng hạn như ActiveSync) không tương thích với các chứng chỉ tự ký vì vấn đề tin cậy. 7. Tình trạng thừa đối với bản ghi bảo mật Mặc dù các sự kiện bản ghi là rất quan trọng trong mạng, nhưng nếu ghi quá nhiều lại là chuyện khác và có thể gây hại cho mạng của bạn. Quá nhiều bản ghi có thể dẫn đến khó khăn hay có thể nói là không thể xác định được các sự kiện bảo mật mà bạn đang quan tâm. Thay cho việc phải thử toàn bộ mọi thứ, bạn hãy làm sao để có thể tập trung vào các sự kiện thực sự có ý nghĩa. 8. Nhóm ngẫu nhiên các máy chủ ảo Các máy chủ ảo thường được nhóm trên các máy chủ cấu hình do vấn đề hiệu suất của chúng. Cho ví dụ, một máy chủ ảo mức cao có thể được ghép cặp trên máy chủ với một máy chủ ảo mức thấp. Đứng trên quan điểm hiệu suất, đây là một cách làm khá tốt, tuy nhiên điều này có thể lại là một ý tưởng tồi đối với vấn đề bảo mật. Tốt nhất các bạn nên sử dụng các host ảo chuyên dụng cho bất cứ máy chủ ảo Internet nào. Nếu bạn có ba máy chủ ảo cung cấp các dịch vụ cho người dùng Internet, bạn có thể xem xét đến việc nhóm các máy chủ này trên cùng một host ảo, tuy nhiên không được đặc các máy chủ cơ sở hạ tầng (chẳng hạn như các bộ điều khiển miền) trên host. Thực hiện theo cách làm trên sẽ cung cấp sự bảo vệ để mạng của bạn có thể chống lại đối với các tấn công rò rỉ. Tấn công rò rỉ chính là cách thức tấn công mà hacker gây ra trên máy ảo và chiếm quyền điều khiển của host. Tuy chưa một ai có thể chỉ ra cách thực hiện một tấn công rò rỉ trong thế giới thực như thế nào nhưng có thể nó sẽ xuất hiện trong ngày một ngày hai tới đây. 9. Đặt các máy chủ thành viên trong DMZ Nếu bạn có thể tránh được điều này, hãy không đặt bất cứ máy chủ thành viên nào trong DMZ của bạn. Vì nếu bị thỏa hiện, máy chủ thành viên có thể tiết lộ các thông tin về Active Directory của bạn. 10. Phụ thuộc vào người dùng trong việc cài đặt các nâng cấp Một lỗi thường gặp nữa được nhắc đến trong bài này là phụ thuộc vào người dùng trong việc triển khai các bản vá bảo mật. Có một số triển khai mạng gần đây sử dụng WSUS để vá các máy trạm trong mạng của họ. Tuy nhiên, nhiều triển khai này lại dựa vào người dùng kích tùy chọn cài đặt các nâng cấp mới nhất. Vấn đề ở đây là người dùng biết rằng cứ mỗi khi thực hiện nâng cấp thì máy tính của họ lại phải khởi động lại. Chính vì vậy một số người sẽ không thực hiện nâng cấp. Để khắc phục nhược điểm này, chúng ta nên sử dụng một giải pháp quản lý bản vá để đẩy các bản vá lỗi một cách tự động mà không cần để ý đến sự lựa chọn của người dùng trong vấn đề này.