1

Giải pháp Data Loss Prevention

cho doanh nghiệp
NHÓM 2 :
TRỊNH VĂN ĐẠT – 16520207
NGUYỄN ANH TUẤN – 16521375
NGUYỄN THỊ HỒNG NGÂN - 16520793
NGUYỄN VĂN CHÂU – 16520112
NGUYỄN NGỌC TÂM - 16521063

GVHD : NGUYỄN DUY

Mục lục 2

 1. Phân tích những điểm yếu trong mô hình mạng hiện tại.
 2. Phân tích những rủi ro mất mát dữ liệu
 a. Attacker
 b. Nhân viên
 3. Thiết kế lại hệ thống – mạng với tính bảo mật tốt nhất có thể (hướng tới giải pháp chống
thất thoát dữ liệu)
 a. Vẽ mô hình tổng thể
 b. Vẽ mô hình chi tiết cho từng phần (Web Security, Email Security, IDS/IPS
Security,…)
 c. Thuyết minh giải pháp cho từng phần
 4. Xây dựng qui trình và chính sách để phối hợp với các công nghệ được sử dụng trong hệ
thống để giảm thiểu tối đa khả năng mất mất dữ liệu trong hệ thống
1. Phân tích những điểm yếu trong mô hình mạng hiện tại. 3

Mô hình mạng hiện tại

 4
 Thông tin chi tiết:
 - Quản trị theo mô hình Domain
 - Router Cisco tích hợp firewall
 - Thiết bị cân bằng tải kết nối internet
 - Không có phần mềm antivirus, firewall chuyên dụng cũng như các chính sách bảo
mật khác.
 - Chưa có chính sách vận hành hệ thống
 - Chưa có chính sách về vấn đề an toàn thông tin trong hệ thống
 - Chưa có chính sách sao lưu và phục hồi dữ liệu
 - Tất cả các máy chủ đặt tại Data Center
 Phân tích mô hình hiện tại: 5
 - Không có firewall chuyên dụng dễ bị tấn công DoS, DdoS … để đánh cắp dữ liệu
 - Không có phần mềm antivirus nên dễ bị lây nhiễm virus qua các thiết bị di động hoặc
truy cập mạng, attacker có tình tấn công …
 - Hệ thống mạng không có tính dự phòng
 - Khó khăn trong việc sao lưu và phục hồi dữ liệu khi có sự cố xảy ra.
 - Không có chính sách an ninh, nhân viên có thể sao chép dữ liệu qua USB, gửi thông
tin qua các internet mà không bị pháp hiện
 - Không có sự phân chia luận lý giữa các phòng ban
 - Chưa có hệ thống chủ động tìm kiếm, phát hiện và ngăn ngừa xâm nhập.
 - Thiếu cơ chế bảo mật web, mail chuyên dụng tại gateway
 - Thiếu cơ chế quản lý các nhân viên truy cập từ xa
 - Thiếu việc triển khai các hệ thống giám sát hệ thống mạng (Network Monitoring)
cũng như chính sách triển khai baseline và theo dõi, ghi log toàn bộ sự kiện xảy ra
trong hệ thống.
2. Phân tích những rủi ro mất mát dữ liệu 6
a/Attacker
 Tấn công vào lỗ hổng bảo mật: Hacker lợi dụng các lỗ hổng bảo mật mạng, các giao thức
cũng như các lỗ hổng của hệ điều hành… để tấn công ăn cắp dữ liệu. Ví dụ như attacker lợi
dụng lỗ hổng SQL injection của máy chủ web để tấn công và get cơ sở dữ liệu trong SQL.
 Tấn công giả mạo: Đây là thủ đoạn của kẻ tấn công nhằm giả dạng một nhân vật đáng tin
cậy để dò la và lấy cắp thông tin, ví dụ như các attacker dùng email tự xưng là các ngân
hàng hoặc tổ chức hợp pháp thường được gởi số lượng lớn. Nó yêu cầu người nhận cung
cấp các thông tin khá nhạy cảm như tên truy cập, mật khẩu, mã đăng ký hoặc số PIN bằng
cách dẫn đến một đường link tới một website nhìn có vẻ hợp pháp, điều đó giúp cho tên
trộm có thể thu thập được những thông tin của quý khách để tiến hành các giao dịch bất
hợp pháp sau đó.
 Phần mềm độc hại, Virut, Worm, Trojans: Attacker sử dụng các phần mềm độc hại, hoặc
các loại virut được tiêm vào các phần mềm trông như vô hại để dụ người sử dụng nhiễm
phải. Chúng có thể ăn cắp thông tin, phá hoại dữ liệu máy tính và lây lan qua các máy khác.
 7
 Tấn công trực tiếp qua các kết nối vật lí: Bằng cách này hay cách khác kẻ tấn công tìm cách
tiếp cận với mạng nội bộ, chúng có thể dung một số công cụ nghe lén để bắt các gói tin,
phân tích chúng để ăn cắp dữ liệu. Ví dụ như thông tin tài khoản đăng nhập, chiếm quyền
điều khiển của các máy để lấy dữ liệu hoặc tấn công máy chủ…
 Tấn công thăm dò: Attacker giả dạng các công ty về bán sản phẩm tin học để hỏi thăm nhân
viên về một số thông tin của phòng server, có bao nhiêu thiết bị, thiết bị dùng hãng nào, có
firewall hay không… để từ đó làm cơ sở cho tấn công và đánh cắp dữ liệu.
 Thông qua các kỹ thuật nghe lén: Các thông tin nhạy cảm dưới dạng bản cứng không được
hủy bỏ một cách thích hợp, thường thì chỉ được vứt vào sọt rác. Attacker có thể thu thập
được các thông tin này một cách dễ dàng.
 Phishing và Pre-Phishing: Attacker có thể dễ dàng lừa nhân viên truy cập vào trang web
độc hại, tải và cài đặt các keylogger ghi lại toàn bộ thông tin trong máy nạn nhân.
b/ Nhân Viên 8
 Nhân viên tiết lộ thông tin nội bộ ra bên ngoài trong quá trình sử dụng : skype, yahoo, điện
thoại… Nhân viên có thể dễ dàng đính kèm tài liệu nội bộ của công ty và gửi nó đi thông
qua các trình tin nhắn nhanh chuyên dụng. Bằng cách tương tự, người dùng có thể gửi tiết
lộ thông tin bí mật thông qua phiên hội thoại (chat text)
 Chia sẻ file ngang hàng P2P: Nhân viên có thể dễ dàng sử dụng giao thức P2P để gửi file ra
ngoài.
 Web mail: Nhân viên có thể sử dụng web mail như Yahoo, Google, Hotmail có thể đính
kèm file hay coppy nội dung vào phần message text để gửi ra ngoài.Tuy nhiên, các phiên
làm việc với web mail được mã hóa, nên khó bị phát hiện hơn.
 Có thể do sự vô ý của nhân viên: Nhân viên đính kèm nhầm file, nhân viên chọn sai người
gửi (tính năng AutoComplete trên Outlook, nếu như nhân viên không kiểm tra kỹ thì nguy
cơ nhân viên gửi nhầm mail quan trọng rất có khả năng xảy ra), nhân viên bị lừa để gửi
thông tin ra ngoài. Hoặc thông qua các dịch vụ cloud storage miễn phí: Nhân viên có thể
upload dữ liệu nhạy cảm lên các hệ thống lưu trữ đám mây miễn phí như dropbox hay
Skydriver.
 9

 Nhân viên có thể upload dữ liệu lên một FTP server trên internet để gửi thông tin ra ngoài.
 In tài liệu, photocopy tự do không được quản lý tập trung. Đem tài liệu in, copy ra bên
ngoài
 Dùng điện thoại, camera chụp lại tài liệu của công ty.
 Nhân viên ra ngoài không log off tài khoản hay tắt máy tính để nhân viên khác chép dữ liệu
của mình đem ra bên ngoài
 Thiết bị USB chứa dữ liệu quan trọng bị mất hay để quên tại nơi làm việc.
3. Thiết kế hệ thống mới. 10
a. Mô hình tổng quát
11
3. Thiết kế hệ thống mới. 12
b. Mô hình từng phần.

*IDS/IPS security
 Ta đặt 1 thiết bị IPS giữa vùng DMZ với Firewall
ngăn chặn các tấn công từ internet vào DMZ.
 Đặt 1 thiết bị IPS nằm giữa core switch và vùng
Server Farm để phát hiện và ngăn chặn các cuộc
tấn công từ bất kỳ đâu vào Server Farm.
 Đặt 1 thiết bị IPS trươc hệ thông mạng LAN để
phát hiện và ngăn chặn các cuộc tấn công từ bên
ngoài vào.
3. Thiết kế hệ thống mới. 13
b. Mô hình từng phần.

*Hệ thống lưu trữ SAN(Storage Area Network).

 SAN là một mạng riêng tốc độ cao dùng cho việc truyền
dữ liệu giữa các server tham gia vào hệ thống lưu trữ cũng
như giữa các thiết bị lưu trữ với nhau.
 SAN viết các block dữ liệu trực tiếp vào các ổ đĩa bằng
việc sử dụng giao thức Fibre Channel over Ethernet.
 SAN nổi bật với: khả năng chia sẻ tài nguyên rất cao, khả
năng phát triển dễ dàng, thông lượng lớn, hỗ trợ và quản
lý việc truyền dữ liệu lớn và tính an ninh dữ liệu cao,
giảm thiểu rủi ro cho dữ liệu.
3. Thiết kế hệ thống mới. 14
13
b. Mô hình từng phần.

*Web security: sử dụng McAfee Web Gateway.

• User gửi yêu cầu duyệt web tới server.
• Web server sẽ tiến hành gửi các luồng dữ liệu
duyệt web đến McAfee Web Gateway.
• McAfee Web Gateway sẽ phân tích luồng dữ
liệu vừa đến với các luật đã được thiết lập trước
đó, nếu phát hiện vi phạm từ các chính sách
McAfee Web Gateway đề ra, nó sẽ chuyển tiếp
luồng dữ liệu đến Web Server và chặn lại.
• Nếu ngược lại các yêu cầu đều được phép, Web
Server sẽ thực hiện yêu cầu và trả kết quả về
cho user.
3. Thiết kế hệ thống mới. 15
b. Mô hình từng phần.

*File security: Sử dụng Audit Policy .

 Audit Policy cho phép ta giám sát hoạt động của hệ thống, cũng như tương tác của người
dùng, ghi nhận các hoạt động đó một cách có chọn lọc vào Security log.
 Audit Policy cung cấp chức năng giám sát hoạt động, ghi nhận các sự kiện để xác định
nguồn gốc và thiệt hại của hệ thống để phòng tấn công trong server.
 Tuy nhiên làm công việc xử lý trên file server diễn ra chậm hơn do mỗi lần có các sự kiện
xảy ra phải ghi lại những sự kiện đó.
3. Thiết kế hệ thống mới. 16
b. Mô hình từng phần.

*Email security: sử dụng GFI Archive

 Cài đặt GFI Archiver trên Windows Server, kết
nối Database Server với Storage của vùng SAN.
 Khi có 1 email đến, dữ liệu từ email sẽ được lưu
vào Database Server.
 Sau đó được đưa qua GFI Archiver tích hợp IIS.
 Cuối cùng mới được truy cập thông qua GFI
Archiver đó.
4. Xây dựng qui trình và chính sách để phối hợp với các
17
công nghệ được sử dụng trong hệ thống để giảm thiểu
tối đa khả năng mất mất dữ liệu trong hệ thống
 A. Xây dựng qui trình 18

1. Xác định đối tượng

• Đối với ban lãnh đạo, giám đốc điều hành

• Bộ phận IT

• Các trưởng phòng của các phòng ban

• Nhân viên, thực tập sinh

 19
2. Xác định mục tiêu

Tính liên tục của doanh nghiệp

Phù hợp luật pháp

Quản lý rủi ro được cải thiện

Tăng khả năng cạnh trạnh với các doanh nghiệp

 20
Chính sách đáp ứng và duy trì:

• Tính bảo mật của thông tin

• Tính toàn vẹn của thông tin

• Tính sẵn sàng của thông tin

• Nhận thức và trách nhiệm của nhân viên về nhiệm vụ

của mình trong việc bảo đảm an toàn thông tin trong
doanh nghiệp

• Cung cấp cơ sở chung cho tổ chức phát triển, thực

hiện và đánh giá thực hành quản lý an toàn thông tin
 21
3. Xác định phương pháp

• Cho phép chia sẻ thông tin an toàn.

• Bảo vệ thông tin của tổ chức từ tất cả các mối đe dọa:

nội bộ hoặc bên ngoài, cố tình hay vô ý.

• Tính bảo mật của thông tin sẽ được đảm bảo

• Tính toàn vẹn của thông tin sẽ được duy trì.

• Tính sẵn có của thông tin đối với các quá trình kinh
doanh có liên quan sẽ được duy trì.

• Các yêu cầu về pháp luật và chế định, các ràng buộc
hợp đồng với khách hàng sẽ được đáp ứng.

• Việc đào tạo an toàn thông tin là sẵn có đối với mọi
nhân viên.
 B. Xây dựng chính sách 22

1. Quản lý thiết bị

• Firewall (Tường lửa)

• IDS/IPS (Thiết bị phát hiện/phòng, chống xâm nhập)

• Thiết đặt và cấu hình hệ thống máy chủ an toàn

 Hệ thống máy chủ Linux

 Hệ thống máy chủ Windows

• Quản lý các thiết bị lưu trữ di động

 23
2. Quản lý con người

• Trước khi làm việc

• Trong khi làm việc

• Chấm dứt và thay đổi việc làm

 24
3. Quản lý truy cập

• Các nhân viên có thể truy cập, sử dụng hoặc chia sẻ thông tin độc quyền chỉ trong phạm
vi được ủy quyền và nó thực sự cần thiết để thực hiện nhiệm vụ công việc được giao.

• Bộ phận IT có trách nhiệm tạo các hướng dẫn liên quan đến sử dụng của các cá nhân trên các
hệ thống mạng Internet/Intranet/Extranet.

• Mọi hoạt động của người dùng trong hệ thống đều sẽ được ghi log lại

• Tất cả các thiết bị di động và máy tính có kết nối với mạng nội bộ phải tuân thủ các chính
sách quyền truy cập tối thiểu.

• Mức độ sử dụng mật khẩu phải tuân thủ các chính sách mật khẩu.
 25
3. Quản lý truy cập

• Tất cả các nhân viên phải cực kỳ cẩn trọng khi mở các file đính kèm trong email nhận được từ
người gửi không rõ, vì có thể chứa phần mềm độc hại.

• Cấm sao chép trái phép các tài liệu có bản cứng.

• Các nhân viên không được phép tiết lộ mật khẩu tài khoản của mình cho người khác hoặc cho phép
những người khác sử dụng tài khoản của minh, bao gồm cả gia đình khi đang thực hiện công việc
tại nhà.

• Cấm mọi hành vi vi phạm an ninh hay làm gián đoạn truyền thông mạng bao gồm: cài đặt các
malicious code, tấn công từ chối dịch vụ, giả mạo hay ăn cắp các thông tin của các nhân viên khá

• Nhân viên bị cấm trong việc tiết lộ các thông tin bí mật của công ty trên các trang blog, trên các
mạng xã hội như Facebook, Twitter, Google Plus,…
 26
4. Quản lý thông tin

• Thông tin bình thường

• Thông tin nhạy cảm

• Thông tin mật

• Thông tin tuyệt mật