Quản lý router
3.3 Quản lý router:
3.3.1 Cơ chế truy cập của Admin:
Điều khiển truy cập đến router dưới quyền admin là một vấn đề quan trọng. Có 2 loại truy cập: cục bộ và từ xa. Truy cập cục bộ là dùng một dump terminal hay laptop kết nối trực tiếp đến cổng console trên router. Truy cập từ xa là dùng một máy tính (trên cùng subnet hay khác subnet) để telnet hay SNMP đến router.Khuyến cáo: Chỉ nên cho truy cập cục bộ vì khi telnet hay SNMP thì password được gởi đến router dưới dạng plain (không được mã hoá)-->Nếu một hacker sniff dòng dữ liệu này thì anh ta cũng sẽ tóm được password của bạn. Tuy nhiên, nếu thực sự cần thiết phải có remote access thì có thể áp dụng các phương pháp sau:
1.Thiết lập một mạng quản lý chuyên dụng. Mạng này chỉ nên có các adminitrator host và các spare interface của mỗi router. Hình vẽ minh hoạ như sau (Hinh 3.6):
2.Mã hoá tất cả thông tin được truyền giữa administrator host và router. (Phần 5.2 là một ví dụ về mã hoá IPSec với Cisco router và Windows 2000, phần 5.3 chỉ cho ta biết cách thiết lập một Cisco router để nó hỗ trợ mã hoá SSH).
Trong cả hai biện pháp trên đây, ta cũng nên thiết lập việc lọc gói, chỉ cho phép những administrator host được định trước có quyền truy cập đến router.
Ngoài cách truy cập vào router, ta cũng cần phải phân quyền cho admin. Tức là có nhiều mức admin và có nhiều vai trò quản lý khác nhau. Ví dụ, “network manager” (quản lý mạng) sẽ có quyền xem xét, chỉnh sửa các thông sổ interface và cấu hình router; “operator” (điều hành mạng) sẽ chỉ có quyền xoá kết nối và bộ đếm. Nhìn chung, ta nên giới hạn số admin toàn quyền đến mức thấp nhất.
3.3.2 Nâng cấp router
Ta cần phải nâng cấp (update) hệ điều hành và file cấu hình của router định kỳ. Lý do: chữa những lỗi bảo mật, tăng hiệu suất hay hỗ trợ các tính năng mới (có thể là những tính năng này cho phép tăng cường chính sách bảo mật).
Trước khi update, admin cần thực hiện các bước như sau:
-Xác định lượng bộ nhớ cần thiết để update, nếu cần thì thêm bộ nhớ.
-Thiết lập và thử khả năng truyền file giữa host cúa admin và router.
-Lập lịch lúc mạng và router không hoạt động để tiến hành update (thường là sau giờ làm việc hành chính).
Sau khi nhận được bản update từ nhà phân phối và kiểm tra, admin cần thực hiện các bước sau:
-Shutdown hay disconnect các interface trên router
-Sao lưu OS và file cấu hình hiện hành vào máy tính của admin.
-Tải bản update lên router.
-Kiểm tra lại để khẳng định việc update tốt đẹp hay không. Nếu tốt thì reconnect các interface trên router, ngược lại thì lấy lại cái cũ (vừa backup xong)
3.3.3 Logging
Logging cung cấp cho ta nhiều tiện ích. Khi sử dụng thông tin trong file log, admin có thể biết được router hoạt động bình thường hay không. Trong vài trường hợp, nó có thể cho ta biết loại tấn công nào đang tấn công router hay mạng của chúng ta.
Nên cấu hình logging trên router một cách cẩn thận và gởi file log đến log host (một máy tính chuyên dùng để lưu trữ file log). Log host nên được nối vào một mạng được bảo vệ hay la một interface riêng của router. Tăng cường bảo mật cho log host bằng cách loại bỏ những dịch vụ hoặc account khong cần thiết. Thiết lập mức log tương ứng với chính sách bảo mật, và thay đổi cách thông sổ log khi mạng thay đổi. Mức log được thay đổi dựa vào việc kiểm tra xem bao nhiêu thông tin log la phù hợp và hữu dụng.Có 2 lĩnh vực cần được log là: (1)phạm vào những qui tắc từ chối truy cập, (2)thay đổi cấu hình router.
Vấn đề quan trọng nhất là ta phải xem file log thường xuyên. Bằng cách kiểm tra file log thường xuyên, ta có thể cảm nhận đươc trạng thái hoạt động bình thường của mạng và khi có một sự bất thường nào đó xảy ra thì ta có thể biết được.
Dấu thời gian (timestamp)rất quan trọng trong logging. Tuy rằng router có đồng hồ riêng, nhưng như vậy là không đủ, ta phải hướng router đến ít nhất là 2 time server để đảm bảo tính chính xác của dấu thời gian. Như vậy, ta cần hướng router đến các time server ổ định và kèm theo thời gian trong mỗi message log. Điều này cho phép ta tin tưởng lần theo các cuộc tấn công. Ta cũng cần xem xét đến việc lưu các file log này vào thiết bị lưu trữ chỉ ghi 1 lần hay in ra giấy (phòng khi log host có vấn đề).
3.3.4Quản lý bảo mật trong thời gian hoạt động:
Để đạt được bảo mật trong thời gian hoạt động, cần phải đánh giá, kiểm tra và chỉnh sửa thường xuyên.
Một vấn đề khác là cần phải sẵn sàng cho các sự cố xảy ra: Ta phải backup cấu hình router và IOS hiện hành (ta sẽ dùng backup này để restore lại trạng thái ban đầu khi bị hack hay bị hư hỏng phần cứng nhẹ). Đồng thời, phải lập ra một kế hoạch thực hiện phục hồi, thảo ra các thủ tục, luyện tập kế hoạch định kỳ để tất cả các thành viên hiểu được vai trò của họ. Kế hoạch phục hồi phải phù hợp với chính sách bảo mật của bạn.
Trong trường hợp bị xâm nhập, cần phải trử các bằng chứng để thực hiện điều tra hoặc truy tố. Nhớ đính kèm các bước để thấy trạng thái router bị xâm nhập trong kế hoạch phục hồi của bạn.
3.4.Chính sách bảo mật cho router:
Router là một phần quan trọng của mạng, và bảo mật của nó là một phần quan trọng trong hệ thống bảo mật toàn mạng mà router phục vụ. Nhưng router được bảo mật là như thế nào? Một cách đơn giản để định nghĩa bảo mật cho router là: quản lý, cấu hình, hoạt động của router có thoả mãn được chính sách bảo mật của bạn hay không.
3.4.1Cơ bản về chính sách bảo mật của router:
Hình 3.7 dưới đây sẽ cho ta thấy cấu trúc lớp về bảo mật của router. Bảo mật của một lớp phụ thuộc vào bảo mật của lớp bên trong nó.
Lớp trong cùng là lớp bảo mật về vật lý của router. Một hacker có khả năng truy xuất vật lý router sẽ có thể làm nguy hại đến router, do đó, ta phải quản lý tốt việc truy cập về mặt vật lý nhằm tạo ra một nền tảng vững chắc cho bảo mật của toàn bộ hệ thống. Hầu hết router cung cấp một hoặc nhiều kết nối trực tiếp thông qua port Console hay Control, những port này tạo ra một cơ chế đặc biệt để điều khiển router. Do đó ta phải thiết lập các qui tắc (rule) để kiểm soát những port này được dùng ở đâu và như thế nào.
Lớp kế tiếp là lớp lưu trữ cấu hình tĩnh và phần mềm của router. Nếu hacker có thể xâm nhập vào phần này (đặc biệt là phần cấu hình tĩnh) thì anh ta cũng có thể điều khiển được hai lớp còn lại bên ngoài. Vài thông số quan trọng của cấu hình tĩnh là địa chỉ giao tiếp (interface address), username, password, và những điều khiển truy cập để truy xuất trực tiếp đến command interface (phần nhận lệnh của người sdụng) của router. Do đó ta cần thiết lập rule thật chặt cho lớp này ở cả cơ chế hoạt động của mạng lẫn vai trò của admin.
Lớp tiếp theo là lớp cấu hình động của router, gồm: route table, interface status, ARP table, audit log,...Nếu hacker có thể xâm nhập vào lớp này thì anh ta cũng có thể xâm nhập được vào lớp ngoài cùng. Do đó nên thiết lập rule cho lớp này, tuy nhiên đôi khi nó bị bỏ qua.
Lớp ngoài cùng biểu diễn lượng thông tin (của mạng cục bộ lẫn bên ngoài) mà router quản lý.Chính sách bảo mật mạng có thể qui định rule cho lớp này: xác định những giao thức và dịch vụ nào được cho phép, xác định cơ chế truy cập và vai trò quản lý. Những yêu cầu quan trọng của chính sách quản lý mạng phải được phản ánh thông qua cấu hình router và chính sách bảo mật của router.
3.4.2Chính sách bảo mật router và chính sách bảo mật toàn bộ hệ thống:
Thông thường, mạng mà router phục vụ sẽ có một chính sách bảo mật, định nghĩa vai trò (role), quyền, rule và trách nhiệm.Chính sách bảo mật của router phải phù hợp với chính sách của toàn mạng. Vại trò được định nghĩa trong chính sách bảo mật của router phải là một tập con của chính sách bảo mật của toàn mạng. Rule để quản trị router nên rõ ràng đối với ứng dụng của network rule.
Ví dụ: Một chính sách bảo mật mạng định nghĩa 3 vai trò: admin, perator, user. Chính sách bảo mật router có thể chỉ có 2: admin và operator. Mỗi một vai trò phải được gán đặc quyền trong chính sách bảo mật của router để nó có thể hoàn thành được trách nhiệm được nên rõ trong chính sách bảo mật của mạng. Ví dụ, operator sẽ được cấp quyền login vào router để xem router log-->anh ta sẽ hoàn thành được trách nhiệm xem định kỳ audit log mà chính sách bảo mật mạng đã giao phó cho anh ta.
Mặt khác, chính sách bảo mật router phải chi tiết hơn chính sách bảo mật mạng. Trong vài trường hợp, router ảnh hưởng đến chính sách bảo mật của mạng và chính sách bảo mật của router phải phản ánh rõ điều này.
Ví dụ, chính sách bảo mật mạng yêu cầu chỉ được quản lý router từ mạng LAN thì chính sách bảo mật của router phải thiết lập những rule thích hợp để cấm quản lý router từ xa.
3.4.3Tạo một chính sách bảo mật cho router:
Có nhiều lời khuyên khi tạo chính sách bảo mật cho router:
-Xác định những mục đích bảo mật chứ khong phải xác định lệnh hay cơ chế cụ thể --> chính sách sẽ trở nên khả chuyển giữa các version phần mềm router khác nhau hay giữa các loại router khác nhau.
-Xác định chính sách cho tất cả các lớp, bắt đầu từ lớp vật lý đi ra ngoài.
-Những giao thức và dịch vụ không được cho phép một cách rõ ràng thì nên cấm chúng. Khi dùng chính sách bảo mật của router phản ánh chính sách bảo mật của mạng, cần tìm những giao thức và dịch vụ cần thiết cho hoạt đọng của mạng, cho phép chúng một cách tường minh và cấm hoàn toàn những cái còn lại.
Trong vài trường hợp, ta không thể làm được như trên. Ví dụ, backbone router (phải định tuyến cho nhiều mạng con khác nhau) không thể làm như trên được vì vấn đề hiệu suất và sự khác nhau trong các chính sách bảo mật của các mạng con. Trong những trường hợp như vậy, cần định rõ những giới hạn hay hạn chế bị ảnh hưởng. Khi phác thảo một chính sách, cần mô tả mục đích chứ khong môt tả cơ chế một cách rõ ràng.
Một chính sách bảo mật phải là một tài liêu sống. Phải thường xuyên xem xét lại các chính sách bảo mật (của router và của toàn mạng). Cập nhật lại chính sách bảo mật của router khi chính sách bảo mật của mạng thay đổi hay khi mục đích bảo mật của router thay đổi.Cần xem xét lại chính sách bảo mật router khi kiến trúc mạng thay đổi hay cấu trúc quản lý mạng thay đổi. Đặc biệt, xem lại chính sách bảo mật trong các trường hợp sau:
-Có kết nối mới giữa mạng cục bộ và mạng bên ngoài.
-Thay đổi lớn về cơ cấu, thủ tục, hoạt động quản lý.
-Thay đổi lớn về chính sách bảo mật toàn mạng.
-Cài đặt các khả năng mới (ví dụ như VPN mới) hay thiết bị mạng mới (vd như firewall mới)
-Phát hiện một cuộc tấn công hay bị xâm nhập.
Khi xem xét chính sách bảo mật của router, cần báo cho tất cả những người quản trị router và tất cả những người có quyền truy cập vật lý đến nó.Giữ những hiểu biết về chính sách rất quan trọng trong việc tương thích giữa các chính sách.
Cuối cùng, có vài tổ chức áp đặt một số các chính sách bảo mật trên các mạng con, do đó, cần phải kiểm tra kỹ xem các chính sách bảo mật của bạn có phù hợp với chính sách bảo mật ở cấp cao hơn hay không, nếu không phải sửa lại cho phù hợp.
3.4.4Những yêu cầu khi kiểm tra chính sách bảo mật của router:
Những yêu cầu này được thiết lập để trợ giúp bạn tạo ra được một chính sách bảo mật router tốt. Sau khi phác thảo chính sách, lần lượt kiểm tra từng mục một trong danh sách sau.
Bảo mật về mặt vật lý:
-Xác định ai có quyền cài đặt, di chuyển hay bỏ router.
-Xác định ai có quyền bảo trì phần cứng và thay đổi cấu hình vật lý của router.
-Xác định ai có quyền thiết lập kết nối vật lý đến router.
-Chỉ ra điều khiển về nơi đặt và sự sử dụng console hay các kết nối cổng trực tiếp khác.
-Chỉ ra những thủ tục phục hồi khi phần cứng bị hư hay khi có dấu hiệu router bị phá hoại.
Bảo mật cấu hình tĩnh:
-Xác định ai có quyền kết nối trực tiếp vào router thông qua console hay kết nối cổng trực tiếp khác.
-Xác định ai có quyền admin trên router.
-Xác định thủ tục và bài thực hành để thay đổi cấu hình tĩnh của router.
-Xác định chính sách về password cho user password và admin password, bao gồm cả những điều kiện để yêu cầu phải đổi password (vd, lúc bị xâm nhập, lúc thay đổi admin, lúc hết thời gian tồn tại password)
-Xác định ai có quyền truy cập router từ xa.
-Xác định những giao thức, thủ tục để truy cập router từ xa.
-Xác định thủ tục phục hồi, và ai có trách nhiêm phuc hồi khi có sự cố.
-Xác định chính sách log, chỉ ra thủ tục quản lý log và trách nhiệm xem log.
-Xác định những thủ tuc và đưa ra những giới hạn trong việc sử dụng các công cụ theo dõi và quản lý tự động (vd, SNMP)
-Vạch ra cách đáp ứng hay hướng dẫn phát hiện router bị xâm nhập.
-Định ra các chính sách quản lý và khoảng thời gian cập nhật longterm secrect cho routing protocol, NTP, TACAS+, RADIUS, SNMP,...
-Định ra chính sách quản lý chính cho chìa khoá mã hoá dài hạn (nếu có)
Bảo mật cấu hình động:
-Xác định các dịch vụ cấu hình động được chạy trên router và những mạng được truy cập đến những dịch vụ này.
-Xác định các routing protocol cần được sử dụng và những vấn đề bảo mật cần được thiết lập trên mối protocol.
-Xác định cơ chế và chính sách để thiết lập đồng hồ của router (bằng tay hay dùng NTP)
-Xác định thuật toán mã hoá và key tương ứng để dùng trong các phiên kết nối VPN với các mạng khác.
Bảo mật dịch vụ mạng:
-Liệt kê các giao thức, cổng, dịch vụ được router cho phép ở mỗi interface hay kết nối (vd, inbound hay outbound) và đưa ra những thủ tục để xác nhận quyền.
-Mô tả thủ tục và vai trò bảo mật khi tương tác với nhà cung cấp dịch vụ hay nhân viên bảo hành ben ngoài.
Đáp ứng khi bị xâm hại:
-Liệt kê các nhân hay tổ chức sẽ được thông báo khi có xâm hại.
-Định ra những thông tin cấu hình cần thiết phải giữ lại.
-Định ra những thủ tuc đáp ứng, kiểm tra quyền, và mục đích của đáp ứng sau khi mạng bị xâm nhập, bao gồm cả việctìm hiểu để lưu bằng chứng và để thực thi luật pháp.