Bảo mật mạng doanh nghiệp nhỏ - Phần I

Bảo mật mạng doanh nghiệp nhỏ - Phần I Mở đầu Trong công ty, chúng tôi tự phong cho mình chức “quản trị mạng”. Bởi vì ngoài việc giấy tờ sổ sách, vốn là việc dĩ nhiên của một thư ký văn phòng, chúng tôi còn làm đủ mọi việc từ thổi bụi trong máy vi tính cho đến lắp ráp và cấu hình domain controller, tóm lại là thiết lập, bảo trì và phát triển mạng máy tính của công ty. Các doanh nghiệp nhỏ, vốn dĩ chỉ với vài chiếc (hoặc cùng lắm vài chục) máy vi tính, không bao giờ có ngân sách chi cho nhân lực tin học, thường giao luôn chức quản trị mạng cho một vài nhân viên nào đó kiêm nhiệm. Qua bài này, chúng tôi muốn chia xẻ những kiến thức tự học hỏi mấy năm nay cho những bạn đồng nghiệp ở trong hoàn cảnh bất đắc dĩ giống như chúng tôi, đang ngày ngày lặng lẽ thực hiện nhiệm vụ hữu thực vô danh này. Phù hợp với mục đích của HVA, bài này chỉ giới hạn về bảo mật. Cụ thể là giới thiệu vài giải pháp và trình bày một giải pháp được chọn cho từng vấn đề trong số (dự kiến) năm vấn đề sau đây: Q1. Cấu hình an ninh (security profile) Q2. Kiểm soát truy nhập (access control) Q3. Mật mã (crypto) cho đĩa cứng Q4. Sao lưu (backup) dữ liệu Q5. Kiểm soát nội dung (contents checking) Những giải pháp đã chọn nói chung đều có thể áp dụng cho cả hai loại mạng Windows domain (miền Windows) và Windows workgroup (nhóm Windows). Hai loại mạng này có thể xem là hai giải pháp cho một vấn đề thoạt nhìn không liên quan lắm đến bảo mật, xin tạm gọi là vấn đề “Windows: domain vs workgroup” hoặc “cấu hình phần mềm mạng”. Lựa chọn giải pháp của chúng tôi là domain và chúng tôi muốn, hơi lạc đề một chút, lý giải sự lựa chọn này. Giả sử mạng của chúng tôi có 10 máy vi tính và 20 người dùng, ai cũng có lúc cần máy, một số người có khi còn chiếm đồng thời 2-3 chiếc. Hơn nữa, người dùng còn thường logon qua mạng vào những máy xa để truy cập dữ liệu chia xẻ trên đó. Vì thế, chúng tôi quy ước không ai được phân máy riêng, tất cả máy đều dùng chung. Nếu dùng workgroup, trên mỗi máy chúng tôi phải tạo lập 20 accounts và mỗi người dùng trong công ty có tới 10 accounts, nhưng cùng tên và mật khẩu để tự động logon vào máy xa. Vì lý do bảo mật, cứ ba tháng một lần, người dùng phải thay đổi mật khẩu và tất nhiên là phải đổi trên cả 10 máy. Nếu vì đãng trí khi đổi mật khẩu, người dùng không thể logon được vào máy xa thì mọi tội lỗi vẫn đổ hết lên đầu người quản trị mạng. Thật là một cơn ác mộng (mà thật ra chúng tôi không mơ, chúng tôi đã thực tế trải qua rồi). Trong khi đó nếu dùng domain, chúng tôi chỉ cần: • 20 accounts cho những người dùng, mà thực ra đều có thể tạo lập từ một account mẫu, và 10 accounts cho máy trạm (cũng được lập theo mẫu). Các accounts này thực hiện một cấu hình an ninh (Q1) duy nhất cho mọi người dùng và mọi máy trạm. Chú ý rằng tùy theo chính sách kiểm soát truy nhập (Q2), thường tồn tại nhiều nhóm người dùng với quyền truy nhập khác nhau, nhưng họ vẫn dùng chung 1 cấu hình an ninh; • 1 hoặc vài account để làm các việc quản trị như là mount/dismount đĩa mật mã (Q3), backup/restore dữ liệu (Q4), hay setup/update các tường lửa, IDS/IPS, proxy chặn virus, spam và nội dung độc hại khác (Q5); Chi phí cho giải pháp này là thêm 1 máy vi tính làm domain controller, luôn tiện chứa cả dữ liệu cá nhân của người dùng (như User Documents, User Profiles, User Application Data) và một số dữ liệu nào đó của công ty. Như vậy, so với workgroup, giải pháp domain sẽ thu tóm việc quản trị vào một mối, nhờ vậy giảm chi phí và (quan trọng hơn) tăng bảo mật. Trong các phần tiếp theo, chúng tôi sẽ lần lượt bàn đến 5 vấn đề kể trên. Đối với nhiều bạn là quản trị mạng doanh nghiệp nhỏ, thường ít có thời gian để đào sâu nghiên cứu, nâng cao nghiệp vụ, và cũng là đối tượng của bài này, chúng tôi hy vọng cung cấp được những thông tin thực tiễn, giúp bạn nhanh chóng làm chủ được công việc của mình. Mặt khác, những thông tin đó hoàn toàn dựa vào kinh nghiệm bản thân, cho nên bài này hẳn là chủ quan, phiến diện và nông cạn. Mong các bạn thẳng thắn phê bình và tranh luận để chúng tôi được dịp học hỏi thêm. Ý thức bảo mật Ai ũng biết rằng sau khi điều chỉnh mạng, tiêu chuẩn kiểm tra là mạng phải thông và các chương trình phải chạy. Bởi vì đó cũng là điều kiện cần phải khẳng định trước khi điều chỉnh. Nhưng đó có phải là điều kiện duy nhất để tiến hành điều chỉnh nhằm mục đích tăng cường bảo mật hay không? Xin thưa rằng không! Cần một điều kiện nữa rất quan trọng, nó nằm trong ý thức của người dùng và, tất nhiên, của người quản trị. Ở một nơi có điều kiện kết nối Internet liên tục 24/24, một cậu nhỏ muốn tỏ ra mình là hacker “thứ dữ” đã dùng một security scanner để scan subnet của cậu ta, lần ra địa chỉ IP của cô bé nhà hàng xóm (dựa vào tên máy), lấy danh sách người dùng, chọn một admin account không có mật khẩu để logon và connect vào C$, rồi.... chúng tôi không muốn kể tiếp nữa. Cô bé đó quá ngờ nghệch! Cô không thể bị hack một cách ngớ ngẩn như vậy nếu cô ta chịu làm ít nhất một trong mấy việc sau: (1) Đặt mật khẩu với độ dài hợp lý. (2) Tắt NetBIOS, ít ra là trên network interface đi vào Internet. (3) Tắt File and Printer Sharing, ít ra là trên network interface đi vào Internet. (4) Đổi LAN manager authentication protocol từ LM, NTLM thành NTLMv2. Bài học của cô bé trên có thể áp dụng vào môi trường doanh nghiệp nhỏ. Tại doanh nghiệp của mình, chúng tôi đã áp dụng tất cả bốn thủ pháp trên. Doanh nghiệp của chúng tôi nhỏ xíu nhưng cũng đã có nhiều năm hoạt động và sử dụng một vài phần mềm viết cho Windows 95, thậm chí cho MS-DOS, tóm lại là phần mềm legacy (đồ cũ mèm, nhưng không thể vứt đi được vì không có tiền mua đồ mới). Thế mà tắt NetBIOS (trên toàn bộ mạng) vẫn chẳng thiệt hại gì, các phần mềm đó vẫn chạy. Tất nhiên, File and Printer Sharing không thể tắt trên các file server và print server. Thủ pháp (3) là một thí dụ cho rất nhiều thủ pháp bảo mật mà chắc chắn là không thể thi hành nếu ta không phân biệt rạch ròi hai loại máy: máy chủ (server) và máy làm việc (workstation). Ở rất nhiều mạng workgroup vả cả mạng domain, chúng tôi thấy người ta chia xẻ tài nguyên (file/printer) trên các máy làm việc. Họ không ý thức được rằng họ đã biến máy làm việc thành máy chủ, hay nói một cách tương đương, đã chiếm dụng máy chủ để làm việc. Bắt một máy vi tính đảm nhiệm cả hai vai trò là một quyết định bất hạnh. Tại một máy làm việc bị biến thành máy chủ như vậy, khi một người dùng xa (remote) truy cập tài nguyên chia xẻ, máy chạy chậm lại khiến cho người dùng tương tác (interactive) rất khó chịu. Hơn nữa tại máy chủ có người dùng tương tác, một thao tác vụng về của người này có thể làm máy ngừng chia xẻ tài nguyên, từ chối phục vụ khiến cho những người dùng xa bực mình. Như vậy phân biệt máy chủ với máy làm việc là thiết yếu không những trên phương diện security mà còn cả functionality nữa. Chi phí cho sự phân biệt server – workstation là: - Thêm một máy vi tính làm file server chứa tất cả dữ liệu chia xẻ. Nếu mạng domain thì không cần phải thêm; domain controller có thể đảm trách tốt mọi vai trò server, kể cả file server. - 1 cổng print server, hoặc 1 card mạng, cho mỗi máy in. (Vài chục USD cho mỗi máy in). Thủ pháp (2) và (3) minh họa cho một nguyên tắc bảo mật cơ bản, đó là cắt bỏ mọi dịch vụ không cần thiết. Các dịch vụ thừa không những gây lãng phí tài nguyên (CPU, RAM) mà còn là những mối nguy cho bảo mật. Điều này thiết nghĩ không cần phải nói thêm nữa. Vai trò máy càng phân biệt rõ ràng bao nhiêu thì càng có cơ hội cắt bỏ dịch vụ thừa bấy nhiêu. Quay lại nơi có điều kiện kết nối Internet liên tục 24/24 nói trên. Doanh nghiệp nọ có một ông giám rất thông minh, có thể cùng một lúc vừa voice chat với vợ, vừa tay chat với bồ, vừa theo dõi tin tức thời sự trên Net (nghĩa là ông ta đọc e-báo trong giờ làm việc), vừa cài đặt và thử các chương trình đủ loại. Một lần kiểm tra định kỳ về bảo mật của công ty, sử dụng 5 spyware scanners, tất cả các máy đều không tìm thấy con spy nào, ngoại trừ một máy tìm thấy 100 con (hơn 500 security threads). Chiếc máy này, giống như mọi máy khác, cũng được trang bị đầy đủ antivirus, tường lửa cá nhân,... (phần mềm gì? Chúng tôi sẽ tiết lộ trong phần Q5.) Điều khác biệt là trong khi mọi máy khác chỉ có một local admin, chiếc máy này có tới hai local admins: người thứ nhất là Admin (mật khẩu do người quản trị mạng nắm giữ), người thứ hai là một domain user... khỏi cần nói thì cũng biết là ai. Nói như thế thì cũng chưa đúng hẳn. Có ít nhất hai người không biết đó là ai đấy. Trong bảo mật, luôn luôn ý thức được mình là ai là nghĩa vụ của mọi admin. Chính sách bảo mật của họ là đúng đắn khi cấp cho mọi người cái quyền domain user “mạt hạng” chỉ đủ để check mail, lướt web, nghe nhạc, voice chat, tay chat,.... Chính sách đó sai lầm khi ban cho một người đặc quyền local admin, một đặc quyền “thừa mứa”, chỉ để người đó cảm thấy được độc lập, tự do trên chiếc máy vi tính “của mình”. Sai lầm này thật nghiêm trọng. Mặc dù spyware scanner chỉ nhận dạng được những spyware đã biết, nhưng dùng tới 5 scanners cũng đủ cơ sở để chúng tôi tin chắc 99,99% rằng không có backdoor nào trên các máy còn lại, mặt khác, kết luận chắc 99,99% rằng trên chiếc máy bất hạnh mà hacker(s) đã tỏ đường đi lối về kia, sau khi đã xóa sạch 100 con spy tìm được, vẫn còn sót lại dăm bảy cái backdoors. Trường hợp cô bé ngờ nghệch và ông giám đốc thông minh nói trên không phải là cá biệt. Chúng tôi đã làm một cuộc điều tra nho nhỏ. Trong một dải 256 địa chỉ IP của một nhà cung cấp dịch vụ Internet với khoảng 120 máy vi tính khách hàng đang chạy, có khoảng 30 cô bé ngờ nghệch. Trong số 10 doanh nghiệp nhỏ có mạng LAN, mà chúng tôi có quan hệ thân cận, có 8 ông giám đốc thông minh. Tóm lại, trước khi bàn luận giải pháp cho các vấn đề bảo mật (Q1)-(Q5), chúng tôi muốn nhấn mạnh: 1. Vai trò máy cần phải phân minh. Chức phận người dùng cần phải phân minh. Ấy là chữ “minh”. 2. Mọi máy chỉ được trang bị một số dịch vụ tối thiểu, vừa đủ để thực hiện vai trò của mình. Mọi người chỉ nên thi hành chức phận của mình với đặc quyền tối thiểu. Ấy là chữ “thiểu”. 3. Chữ “minh” là điều kiện cần có trước khi đặt ra chính sách bảo mật. Chữ “thiểu” sẽ là phương châm xuyên suốt chính sách đó. Tham khảo: NSA Security Configuration Guides. : The 60 Minute Network Security Guide. (còn nữa)