Chương 2 Quản lý An ninh

Chương 2
Quản lý An ninh
Đọc:
[1] Dieter Gollmann “Bảo mật máy tính ”.
Wiley (xuất bản 2011), trang 13-29, chap2.
[2] Chuck Easttom, “Các nguyên tắc cơ bản về
bảo mật máy tính ”, Ấn bản thứ ba, 2016.
Giới thiệu về bảo mật máy tính

22/4/21 1
503049 - Quản lý bảo mật
Mục tiêu
• Giới thiệu các chính sách bảo mật.
• Giới thiệu ngắn gọn về quản lý bảo mật.
• Bao gồm các khái niệm cơ bản về phân tích rủi ro

và mối đe dọa.

22/4/21 2
Đề cương
2.1 Các cuộc tấn công và những kẻ tấn công

2.2 Quản lý bảo mật
2.3 Phân tích rủi ro và mối đe dọa

22/4/21 3
2.1 Các cuộc tấn công và
những kẻ tấn công
• Thanh toán bằng thẻ tín dụng : lưu lượng giữa khách
hàng và người bán cần được bảo vệ .

22/4/21 4
• Thanh toán bằng thẻ tín dụng :
5
6
7
8
• Các giao thức Internet cơ bản: không cần bảo mật ,
dễ dàng nắm bắt số thẻ và sử dụng chúng sau này để
mua hàng giả.
• Lớp cổng bảo mật (SSL) được phát triển bởi
Netscape vào giữa những năm 1990
9
2.1 Các cuộc tấn công và
những kẻ tấn công
• Tấn công : là bất kỳ nỗ lực nào nhằm vạch trần,
thay đổi, vô hiệu hóa, phá hủy, đánh cắp hoặc
truy cập trái phép hoặc sử dụng trái phép nội
dung.
• Kẻ tấn công (Tin tặc): Bất kỳ người nào có thể

phá hủy, thay đổi hoặc xóa dữ liệu trên hệ
thống và thực hiện các hoạt động bất hợp pháp
trên Internet vì lợi ích của mình như chiếm đoạt
tài khoản để lấy cắp tiền, v.v.
22/4/21
10
Các kiểu tấn công vào hệ thống
• Các cuộc tấn công hệ điều hành

• Các cuộc tấn công cấp độ ứng dụng
• Thu nhỏ các cuộc tấn công mã bọc
• Các cuộc tấn công định cấu hình sai

22/4/21 11
503049 - Giới thiệu
Các cuộc tấn công hệ điều
hành
• Những kẻ tấn công tìm kiếm các lỗ hổng hệ
điều hành và khai thác chúng để truy cập vào
hệ thống mạng.
• Một số lỗ hổng:
– Lỗ hổng tràn bộ đệm
– Lỗi trong hệ điều hành
– Hệ điều hành chưa từng có

22/4/21 12
Các cuộc tấn công hệ điều
hành
Kẻ tấn công hệ
điều hành
Kiểm soát các tệp

và ứng dụng độc
hại
Alice
22/4/21 13
cuộc tấn công ở cấp độ ứng
dụng
• Các ứng dụng phần mềm đi kèm với rất nhiều
chức năng và tính năng
• Có rất ít thời gian để thực hiện kiểm tra hoàn
chỉnh trước khi phát hành sản phẩm
• Kiểm tra lỗi kém hoặc không tồn tại trong các
ứng dụng
– Tấn công tràn bộ đệm
– Tập lệnh trên nhiều trang web

22/4/21 14
dụng
– Từ chối dịch vụ và tấn công SYN
– Các cuộc tấn công đưa vào SQL
– Các chương trình độc hại
• Các cuộc tấn công cấp ứng dụng khác bao
gồm:
– Lừa đảo
– Chiếm quyền điều khiển phiên
– Tấn công trung phong
– Giả mạo tham số / biểu mẫu

22/4/21 15
dụng
Hệ thống
Kẻ tấn công web
Thiết lập trang

web độc hại mà
nạn nhân đã truy
cập; không kiểm
Alice
soát mạng
22/4/21 16
Thu nhỏ các cuộc tấn công mã
bọc
• Khi bạn cài đặt một Hệ điều hành / Ứng dụng,
nó đi kèm với rất nhiều tập lệnh mẫu để giúp
cuộc sống của quản trị viên trở nên dễ dàng
• Vấn đề là "không tinh chỉnh" tùy chỉnh các tập
lệnh này
• Điều này sẽ dẫn đến mã mặc định hoặc thu nhỏ
các cuộc tấn công mã bọc

22/4/21 17
Thu nhỏ các cuộc tấn công mã
bọc

22/4/21 18
cuộc tấn công cấu hình sai
• Nếu một hệ thống được định cấu hình sai , chẳng

hạn như thay đổi được thực hiện trong quyền đối với
tệp, nó không còn có thể được coi là an toàn
• Các quản trị viên dự kiến sẽ thay đổi cấu hình của các
thiết bị trước khi chúng được triển khai trong mạng.
Không làm được điều này cho phép các cài đặt mặc
định được sử dụng để tấn công hệ thống
• Để tối ưu hóa cấu hình của máy, hãy gỡ bỏ mọi dịch
vụ hoặc phần mềm dư thừa

22/4/21 19
cuộc tấn công cấu hình sai
Kẻ tấn công
mạng
Hệ
thống Chặn và kiểm
soát giao tiếp
mạng
Alice
22/4/21 20
21
Các loại tấn công
• Bị động: Sniffer, ...

• Hoạt động: DDoS, Cổng quét, ...
• Nội bộ
• Ngoài

22/4/21 22
Các giai đoạn tấn công

22/4/21 23
Giai đoạn 1
do thám bị động và chủ động
• Trinh sát: kẻ tấn công tìm cách thu thập thông tin. Có
hai loại Trinh sát:
– Trinh sát thụ động : thu thập thông tin mà không cần tương tác
trực tiếp với mục tiêu.
Ví dụ: Đánh hơi để thu thập IP, miền, máy chủ, dịch vụ,…
– Trinh sát chủ động : liên quan đến việc tương tác trực tiếp với
mục tiêu bằng bất kỳ phương tiện nào
Ví dụ: Superscan, Nessus,…
22/4/21 24
Quét giai đoạn 2
Quét:
– Đó là giai đoạn Tiền tấn công
– Sử dụng Máy quét cổng, Nmap, Máy quét lỗ hổng web
Acunetix, Quét Ip tức giận, v.v.
– Trích xuất thông tin: chẳng hạn như tên máy tính, địa
chỉ IP, tài khoản người dùng, v.v. để khởi động cuộc
tấn công

22/4/21 25
Giai đoạn 3
giành quyền truy cập
• Giành quyền truy cập đề cập đến điểm mà kẻ tấn công

có được quyền truy cập vào hệ điều hành hoặc các ứng
dụng trên máy tính hoặc mạng.
• Kẻ tấn công có thể giành quyền truy cập ở cấp hệ điều

hành, cấp ứng dụng hoặc cấp mạng.
• Kẻ tấn công có thể nâng cấp các đặc quyền để có được

quyền kiểm soát hoàn toàn hệ thống. Ví dụ bao gồm bẻ
khóa mật khẩu, tràn bộ đệm, từ chối dịch vụ, chiếm
quyền điều khiển phiên, v.v.
22/4/21 26
Giai đoạn 4
Duy trì Quyền truy cập
• Duy trì Quyền truy cập đề cập đến giai đoạn khi kẻ tấn
công cố gắng duy trì quyền sở hữu của mình đối với hệ
thống.
• Kẻ tấn công sử dụng hệ thống bị xâm nhập để khởi động
các cuộc tấn công tiếp theo.
• Kẻ tấn công có thể ngăn hệ thống thuộc quyền sở hữu
của những kẻ tấn công khác bằng cách đảm bảo quyền
truy cập độc quyền của họ bằng Backdoor, Rootkit hoặc
Trojan.
• Những kẻ tấn công có thể tải lên, tải xuống hoặc thao tác
dữ liệu, ứng dụngGiớivàthiệu
22/4/21 cấu hình trên hệ thống được27sở
về bảo mật máy tính
Giai đoạn 5
bao phủ theo dõi
• Theo dõi che phủ đề cập đến các hoạt động được thực
hiện bởi kẻ tấn công để che giấu các hành vi độc hại.
• Mục đích của kẻ tấn công bao gồm: Tiếp tục truy cập vào
hệ thống của nạn nhân, không để ý đến và không suy
nghĩ, xóa bằng chứng có thể dẫn đến việc truy tố anh ta.
• Kẻ tấn công ghi đè lên máy chủ, hệ thống và nhật ký ứng
dụng để tránh bị nghi ngờ.
🡺 Những kẻ tấn công luôn che dấu vết để che giấu danh
tính của họ

22/4/21 28
Lớp học tin tặc
1. Mũ đen: Những cá nhân có kỹ năng tính toán phi

thường, sử dụng các hoạt động độc hại hoặc phá
hoại và còn được gọi là kẻ bẻ khóa / kẻ tấn công.
2. Mũ trắng: Các cá nhân tuyên bố các kỹ năng của
hacker và sử dụng chúng cho mục đích phòng thủ
và còn được gọi là nhà phân tích bảo mật.
3. Mũ xám : Những người làm việc tấn công và phòng
thủ vào nhiều thời điểm khác nhau.

22/4/21 29
4. Tin tặc tự sát: Những cá nhân nhằm mục đích phá
hủy cơ sở hạ tầng quan trọng vì một “nguyên nhân”
và không lo lắng về việc đối mặt với án tù hoặc bất
kỳ hình phạt nào khác.
5. Script Kiddies: Một tin tặc không có kinh nghiệm đã
xâm nhập hệ thống bằng cách chạy các tập lệnh,
công cụ và phần mềm được phát triển bởi các tin
tặc thực sự.
6. kẻ khủng bố trên mạng : Những cá nhân có nhiều
kỹ năng, được thúc đẩy bởi niềm tin tôn giáo hoặc
chính trị để tạo ra nỗi sợ hãi bằng cách làm gián
đoạn mạng máyGiới
22/4/21
tính
thiệutrên quy
về bảo mật máymô
tính lớn
30
7. Tin tặc được Nhà nước tài trợ: Các cá nhân được
chính phủ thuê để thâm nhập và lấy thông tin tuyệt
mật và làm hỏng hệ thống thông tin của các chính
phủ khác.

22/4/21 31
Hacking đạo đức là gì?
• Hack theo đạo đức bao gồm việc sử dụng các

công cụ, thủ thuật và kỹ thuật hack để xác định
các lỗ hổng nhằm đảm bảo an ninh hệ thống.
• Nó tập trung vào việc mô phỏng các kỹ thuật
được sử dụng bởi những kẻ tấn công để xác
minh sự tồn tại của các lỗ hổng có thể khai
thác trong bảo mật hệ thống.
• Các tin tặc có đạo đức thực hiện đánh giá bảo
mật của tổ chức của họ với sự cho phép của
các cơ quan hữu quan.
22/4/21
32
Tại sao hack đạo đức là cần thiết
"Để đánh bại một hacker, bạn cần phải suy nghĩ như một"
- Hack có đạo đức là cần thiết vì nó cho phép chống lại các cuộc
tấn công từ các tin tặc độc hại bằng cách đoán trước các phương
pháp mà chúng sử dụng để đột nhập vào hệ thống.
❑ Những lý do tại sao các tổ chức tuyển dụng những tin tặc có
đạo đức:
- Để ngăn chặn tin tặc xâm nhập vào hệ thống thông tin của tổ
chức.
- Để phát hiện ra các lỗ hổng trong hệ thống và khám phá các rủi
ro tiềm ẩn của chúng.
- Để phân tích và tăng cường bảo mật của một tổ chức bao gồm
các chính sách, cơ sở hạ tầng bảo vệ mạng và các hoạt động
của người dùng cuối
22/4/21 33
❑ Đạo đức Tin tặc cố gắng trả lời các câu hỏi sau
• Kẻ xâm nhập có thể làm gì xem trên hệ thống mục
tiêu ? (Giai đoạn trinh sát và quét)
• Kẻ xâm nhập có thể làm gì với thông tin đó? (Các giai
đoạn giành quyền truy cập và duy trì quyền truy cập)
• Có ai ở mục tiêu nhận thấy nỗ lực hoặc thành công
của những kẻ xâm nhập không? (Các giai đoạn do
thám và theo dõi bao quát)
• Nếu tất cả các thành phần của hệ thống thông tin
được bảo vệ, cập nhật và vá lỗi.
22/4/21 34
• Cần bao nhiêu công sức, thời gian và tiền bạc để có

được sự bảo vệ hoàn toàn ?
• Các biện pháp bảo mật thông tin có tuân thủ các tiêu
chuẩn của ngành và luật pháp không?

22/4/21 35
Kỹ năng của một Hacker có đạo đức
1. Kỹ năng Kỹ thuật
• Có kiến thức chuyên sâu về các môi trường điều
hành chính , chẳng hạn như Windows, Unix, Linux và
Macintosh.
• Có kiến thức chuyên sâu về các khái niệm , công nghệ
mạng và phần cứng và phần mềm liên quan.
• Nên là một chuyên gia máy tính về lĩnh vực kỹ thuật.
• Có kiến thức về lĩnh vực an ninh và các vấn đề liên
quan.
• Có kiến thức "kỹ thuật cao" để thực hiện các cuộc tấn
công tinh vi.
22/4/21 Giới thiệu về bảo mật máy tính 36
Kỹ năng của một Hacker có đạo đức
2. Kỹ năng phi kỹ thuật:

Một số đặc điểm phi kỹ thuật của một hacker có đạo đức
bao gồm:
- Khả năng học hỏi và thích ứng công nghệ mới nhanh
chóng.
- Đạo đức làm việc vững vàng , kỹ năng giải quyết vấn
đề và giao tiếp tốt.
- Cam kết với các chính sách bảo mật của tổ chức .
- Nhận thức về các tiêu chuẩn và luật pháp địa phương

22/4/21 37
2.2 Chính sách bảo mật thông
tin
• Chính sách bảo mật là nền tảng của cơ sở hạ
tầng an ninh.
• Chính sách an toàn thông tin xác định các yêu
cầu và quy tắc bảo mật cơ bản được thực hiện
để bảo vệ và an toàn hệ thống thông tin của
tổ chức.

22/4/21 38
Mục tiêu của chính sách bảo
mật
• Duy trì một đề cương cho việc quản lý và điều hành
an ninh mạng.
• Bảo vệ tài nguyên máy tính của tổ chức.
• Ngăn ngừa lãng phí tài nguyên máy tính của công ty.
• Ngăn chặn các sửa đổi trái phép dữ liệu.

22/4/21 39
Mục tiêu của chính sách bảo
mật
• Giảm thiểu rủi ro do sử dụng bất hợp pháp tài
nguyên hệ thống.
• Phân biệt các quyền truy cập của người dùng.
• Bảo vệ thông tin bí mật khỏi bị đánh cắp, lạm dụng,
tiết lộ trái phép

22/4/21 40
Ví dụ về Chính sách Bảo mật
❑ Chính sách kiểm soát truy cập

• Nó xác định các tài nguyên đang được bảo vệ và các
quy tắc kiểm soát quyền truy cập vào chúng.
❑ Chính sách tài khoản người dùng
• Nó xác định quy trình tạo tài khoản và thẩm quyền,
quyền và trách nhiệm của tài khoản người dùng.
❑ Chính sách truy cập từ xa
• Nó xác định ai có thể có quyền truy cập từ xa và xác
định phương tiện truy cập và các biện pháp kiểm soát
bảo mật truy cập từ xa.
22/4/21 41
❑ Chính sách Bảo vệ Thông tin
• Nó xác định mức độ nhạy cảm của thông tin, ai có thể
có quyền truy cập, cách thức lưu trữ và truyền tải
thông tin, và cách xóa thông tin khỏi phương tiện lưu
trữ.
❑ Chính sách quản lý tường lửa
• Nó xác định quyền truy cập, quản lý và giám sát tường
lửa trong tổ chức
❑ Chính sách Quyền truy cập Đặc biệt
• Chính sách này xác định các điều khoản và điều kiện
cấp quyền truy cập
22/4/21
đặc biệt vào tài nguyên hệ thống42
❑ Chính sách kết nối mạng
• Nó xác định ai có thể cài đặt tài nguyên mới trên mạng, phê
duyệt cài đặt thiết bị mới, tài liệu thay đổi mạng, v.v.
❑ Chính sách bảo mật email
• Nó được tạo ra để quản lý việc sử dụng email công ty một cách
hợp lý
❑ Chính sách mật khẩu
• Nó cung cấp các hướng dẫn để sử dụng bảo vệ bằng mật khẩu
trên các tài nguyên của tổ chức
❑ Sự cho phép của chính trị
• Nó xác định việc sử dụng tài nguyên hệ thống có thể chấp nhận
được
22/4/21 43
Đo lường an ninh
Mục tiêu của việc đo lường an ninh:

• Để thuyết phục người quản lý (hoặc khách hàng) về lợi ích của
cơ chế bảo mật mới.
• Để xem xét khả năng bảo mật của hệ thống
• Để đảm bảo rằng các tính năng bảo mật được cung cấp được
sử dụng đúng cách .
• Để đo lường chi phí của các cuộc tấn công:
– thời gian mà kẻ tấn công phải đầu tư vào cuộc tấn công, ví dụ: phân tích
các sản phẩm phần mềm
– chi phí mà kẻ tấn công phải gánh chịu, ví dụ như chu kỳ tính toán hoặc
thiết bị đặc biệt,
– kiến thức cần thiết để tiến hành cuộc tấn công.

22/4/21 44
Tiêu chuẩn quản lý bảo mật
Những tiêu chuẩn quản lý an ninh nào phải được

thực hiện trong một tổ chức.
🡺 Các tiêu chuẩn này là ISO 27002
Các chủ đề chính trong ISO 27002 như sau:

• Chính sách bảo mật
• Tổ chức bảo mật thông tin
• Quản lý tài sản
22/4/21 45
Tiêu chuẩn quản lý bảo mật
• Bảo mật nguồn nhân lực.
• An ninh vật chất và môi trường
• Truyền thông và quản lý hoạt động.
• Kiểm soát truy cập
• Quản lý sự cố an toàn thông tin

22/4/21 46
2.3 Phân tích rủi ro và mối đe dọa
• Rủi ro: là khả năng xảy ra một số sự cố hoặc một số

cuộc tấn công có thể gây ra thiệt hại cho doanh
nghiệp của bạn.
• Nó có thể được tiến hành trong các giai đoạn sau:

– Giai đoạn thiết kế của một hệ thống,
– trong giai đoạn thực hiện,
– và trong quá trình hoạt động

22/4/21 47
Tài sản
❑ Phần cứng : máy tính xách tay, máy chủ, bộ định tuyến,
điện thoại di động, netbook, thẻ thông minh, v.v.;
❑ Phần mềm: ứng dụng, hệ điều hành, hệ quản trị cơ sở
dữ liệu, mã nguồn, mã đối tượng, v.v.;
❑ Dữ liệu và thông tin: dữ liệu cần thiết để điều hành và
lập kế hoạch kinh doanh, tài liệu thiết kế, nội dung kỹ
thuật số, dữ liệu về khách hàng của bạn, v.v.;
❑ Danh tiếng .

22/4/21 48
Các mối đe dọa
❑ Giả mạo danh tính : một đặc vụ giả danh người khác;
điều này có thể được thực hiện để trốn tránh trách
nhiệm hoặc lạm dụng quyền hạn được trao cho người
khác.
❑ Giả mạo dữ liệu: vi phạm tính toàn vẹn của nội dung; ví
dụ: cài đặt bảo mật được thay đổi để cung cấp cho kẻ
tấn công nhiều đặc quyền hơn.
❑ Từ chối : một đại lý phủ nhận đã thực hiện một hành
động để trốn tránh trách nhiệm.

22/4/21 49
Các mối đe dọa
❑ Tiết lộ thông tin - vi phạm tính bảo mật của tài sản;
thông tin tiết lộ cho các bên sai có thể bị mất giá trị của
nó (ví dụ: bí mật thương mại); tổ chức của bạn có thể
phải đối mặt với các hình phạt nếu nó không bảo vệ
thông tin đúng cách (ví dụ: thông tin cá nhân về cá
nhân).
❑ Từ chối dịch vụ - vi phạm tính khả dụng của một tài sản;
các cuộc tấn công từ chối dịch vụ có thể làm cho các
trang web tạm thời không hoạt động; các phương tiện
truyền thông đã báo cáo rằng các cuộc tấn công như vậy
đã được sử dụng để tống tiền.
❑22/4/21
Nâng cao đặc quyền - một đại lý nhận được nhiều đặc
50
Các lỗ hổng
Các lỗ hổng điển hình của hệ thống CNTT là:

• Các tài khoản có đặc quyền hệ thống chưa thay đổi mật
khẩu mặc định , chẳng hạn như 'MANAGER';
• chương trình với các đặc quyền không cần thiết ;
• các chương trình có lỗi đã biết ;
• cài đặt kiểm soát truy cập yếu trên tài nguyên
• cấu hình tường lửa yếu cho phép truy cập vào các dịch
vụ dễ bị tấn công.

22/4/21 51
Các cuộc tấn công

22/4/21 52
53
54
55
Phân tích rủi ro định lượng và định tính
❑ Định lượng phân tích rủi ro lấy xếp hạng từ một miền toán học chẳng hạn như
không gian xác suất.
❑ Định tính phân tích rủi ro lấy các giá trị từ các miền không có cấu trúc toán học
cơ bản.
• Nội dung có thể được đánh giá trên thang điểm
A. Quan trọng> B. Rất quan trọng> C. Quan trọng> D. Không quan trọng.
• Các lỗ hổng có thể được đánh giá theo thang điểm:
A. Phải sửa ngay> B. Phải sửa sớm> C. Nên sửa> D. Sửa nếu thuận tiện.
• Các mối đe dọa có thể được đánh giá theo thang điểm:
A. rất có thể> B. Rất có thể> C. Không có khả năng> D. Rất khó.

22/4/21 56
Các biện pháp đối phó - Các biện pháp đối
phó giảm thiểu rủi ro -
giảm thiểu rủi ro
❑ Kết quả của phân tích rủi ro là danh sách các mối đe dọa được
ưu tiên và các biện pháp đối phó được khuyến nghị để giảm
thiểu rủi ro.
❑ Tuy nhiên:
▪ Việc phân tích rủi ro cho một tổ chức lớn hơn sẽ mất nhiều thời gian.
▪ Hệ thống CNTT trong tổ chức và thế giới bên ngoài sẽ tiếp tục thay
đổi.
▪ Chi phí của một phân tích rủi ro đầy đủ có thể khó được chứng minh
cho ban giám đốc.
❑ Các tổ chức có thể chọn bảo vệ đường cơ sở như một giải pháp
thay thế
▪ Phân tích các yêu cầu bảo mật cho các trường hợp điển hình.
▪ Đề xuất các biện pháp bảo mật thích hợp
22/4/21 57
Người giới thiệu
Tài liệu tham khảo chính

[1] Dieter Gollmann “Bảo mật máy tính ”. Wiley (xuất bản 2011),
trang 13-29.
[2] Chuck Easttom, “Các nguyên tắc cơ bản về bảo mật máy tính ”,
Ấn bản thứ ba, 2016.

22/4/21 58

Chương 2 Quản lý An ninh

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Chương 2 Quản lý An ninh

Uploaded by

Copyright:

Available Formats

Chương 2

Giới thiệu về bảo mật máy tính

• Giới thiệu các chính sách bảo mật.

• Giới thiệu ngắn gọn về quản lý bảo mật.

• Bao gồm các khái niệm cơ bản về phân tích rủi ro

Giới thiệu về bảo mật máy tính

2.1 Các cuộc tấn công và những kẻ tấn công

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

• Kẻ tấn công (Tin tặc): Bất kỳ người nào có thể

• Các cuộc tấn công hệ điều hành

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Kiểm soát các tệp

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Kẻ tấn công web

Thiết lập trang

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

• Nếu một hệ thống được định cấu hình sai , chẳng

Giới thiệu về bảo mật máy tính

• Bị động: Sniffer, ...

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

• Giành quyền truy cập đề cập đến điểm mà kẻ tấn công

• Kẻ tấn công có thể giành quyền truy cập ở cấp hệ điều

• Kẻ tấn công có thể nâng cấp các đặc quyền để có được

Giới thiệu về bảo mật máy tính

1. Mũ đen: Những cá nhân có kỹ năng tính toán phi

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

• Hack theo đạo đức bao gồm việc sử dụng các

• Cần bao nhiêu công sức, thời gian và tiền bạc để có

Giới thiệu về bảo mật máy tính

2. Kỹ năng phi kỹ thuật:

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

❑ Chính sách kiểm soát truy cập

Mục tiêu của việc đo lường an ninh:

Giới thiệu về bảo mật máy tính

Những tiêu chuẩn quản lý an ninh nào phải được

Các chủ đề chính trong ISO 27002 như sau:

Giới thiệu về bảo mật máy tính

• Rủi ro: là khả năng xảy ra một số sự cố hoặc một số

• Nó có thể được tiến hành trong các giai đoạn sau:

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Các lỗ hổng điển hình của hệ thống CNTT là:

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Giới thiệu về bảo mật máy tính

Tài liệu tham khảo chính

Giới thiệu về bảo mật máy tính

You might also like