Lời nói đầu … [Security365] Được xây dựng và phát triển từ năm 2005. Là một thương hiệu về An Tòan Thông Tin, Quản Trị Hệ Thống và Ứng Dụng Nguồn Mở. Security365 luôn đi đầu trong việc áp dụng những công nghệ mới nhằm mang đến cho các bạn những thông tin bổ ích, các hướng dẫn thiết thực có khả năng ứng dụng cao. Qua thăm dò bạn đọc và các sinh viên yêu thích công nghệ thông tin, những học viên, và thành viên trên www.security365.vn hay www.hoctructuyen.org chúng tôi nhận thấy các bạn trẻ đều rất năng động, ham học hỏi, thích nghiên cứu những kỹ thuật mới, kiến thức bổ ích …như các tạp chí bảo mật [IN]Secure, Hakin 9 hay các tài liệu khác. Chỉ có một trở ngại đối với đa số các bạn đọc là những báo hay tài liệu này đa số được viết bằng tiếng Anh, lại không có demo (hướng dẫn thực hành) gây nhiều khó khăn trong quá trình ứng dụng cho nên chúng tôi quyết định cho ra đời một ấn phẩm đặc biệt là Tạp Chí Điện Tử Security365 (S365 EMAG), là một tạp chí điện tử nên các bạn có thể đọc ở bất kỳ nơi đâu và đặc biệt là có thể tham khảo bài hướng dẫn thực hành trực tiếp trên trong khi tham khảo. Đây là ưu điểm mà chưa có tạp chí nào về CNTT cung cấp. S365 EMAG là một tạp chí hòan tòan miễn phí, xuất bản 2 chuyên đề hàng tháng vào các ngày 10 và 25. Ban biên tập và đội ngũ kỹ thuật là những thành viên tâm huyết của CLB Tin Học Đông Dương (118 Hùng Vương, TpBMT). Các ý kiến đóng góp hãy gởi về địa chỉ BanBienTap@Security365.VN, các bài viết hãy gởi về BaiViet@Security365.VN

Các chủ đề chính của SECURITY 365 EMAG 1 8 Kỹ Năng Bảo Mật Thực Dụng (đã đăng trên pcworld số 10.2010) - Ứng Dụng KeePass Safer Để Bảo Vệ Mật Khẩu - Đóng Các Cổng Nhạy Cảm - Sử Dụng HotPotShield Để Truy Cập Wifi An Tòan - Thủ Thuật Chuyển Tiếp Mail - Truy Cập Ẩn Danh Với Phần Mềm Nguồn Mở TOR … Khai Thác Lổ Hỗng Bảo Mật Của Hệ Điều Hành Windows Kiểm Lỗi Bảo Mật Với Nessus

Tổng Quan Về FireWall (Phần 1)

8 Kỹ năng bảo mật thực dụng Ứng dụng nguồn mở và Bảo mật thông tin trong năm 2010 nhận được sự quan tâm của tất cả mọi người, từ các cấp thẩm quyền cao nhất là thủ tướng chính phú cho đến người sử dụng bình thường. Nhằm bảo đảm sự an toàn cho những dữ liệu nhạy cảm, riêng tư của mình các bạn cần biết một số phương pháp bảo mật thực dụng dựa trên ứng dụng mã nguồn mở và các thủ thuật của Security365 sau đây : 1.Khóa Màn Hình Khi Không Sử Dụng Máy Tính : Nhưng lúc giải lao hay tạm ngưng làm việc các bạn nên khóa màn hình lại để phòng ngừa người khác xem trộm thông tin nhạy cảm trên màn hình máy tính của mình cũng như sự dụng máy tính của chúng ta trái phép, điều này thực hiện khá đơn giãn bằng cách nhấn tổ hợp phím Ctrl – Alt – Del và chọn Lock Computer trên hộp thoại hiển thị.

Ngoài ra, có một cách thực hiện nhanh hơn là tải chương trình LockScreen tại địa chỉ http://hoctructuyen.org/Security365/LockScreen.exe đặt tại desktop và chỉ cần double click vào ứng dụng trên để khóa màn hình của mình. (Lưu ý : Ứng dụng được viết bằng ngôn ngữ kịch bản AutoIT, vì vậy sẽ bị BKAV cảnh báo, mặc dù đây là một ứng dụng hòan tòan sạch và không bị những chương trình phòng chống virus khác cảnh báo).

2.Sử Dụng Hộp Thư Điện Tử Trung Gian Ở Môi Trường Công Cộng Hãy gõ vào cụm từ sniff password trên Google sẽ thấy rất nhiều kết quả trả về từ các diễn đàn hay các trang thông tin của Việt Nam với những hướng dẫn chi tiết, cặn kẽ. Tuy nhiên các hướng dẫn phòng ngừa bị mất thông tin nhạy cảm lại rất ít. Điều này cho thấy khả năng bị đánh cắp các dữ liệu bí mật là rất lớn, cho dù các bạn sử dụng máy tính trong văn phòng hay ở các mạng wifi của quán café, sân ga, bến tàu …Vậy làm cách nào để bảo vệ những hộp thư quý giá của mình? Vì nếu bị chiếm quyền điều khiển các hộp thư mà chúng ta thườg dùng để đăng kí các tài khoảo ngân hàng, hay các tài khoản trực tuyến quan trọng như PayPal, Web Hosting thì hacker có khả năng chiếm luôn cả những tài khoản quản trị trên. Giải pháp thay đổi mật khẩu thường xuyên không giúp ích gì được trong những trường hợp này, mà đôi khi nó còn gây ra những rắc rối vì bạn không thể nhớ nổi mình đã thay đổi mật khẩu là gì. Cách tốt nhất là sử dụng một hộp thư trung gian để check mail, một hộp thư tạm mà nếu bị đánh cắp thì sự thiệt hại cũng không lớn. Đây là giải pháp mà tôi thường trình bày trong các chương trình đào tạo về an toàn thông tin cho các công ty và nhận được nhiều người áp dụng. Cách thực hiện thật sự đơn giãn, lấy ví dụ các bạn có một hộp thư rất quan trọng như asktheguider@gmail.com, các bạn hãy tạo thêm một hộp thư thứ cập dạng như doanhnghiep24g@hoctructuyen.org và cấu hình forward những email gởi đến asktheguider@gmail.com về địa chỉ DoanhNghiep24G@HocTrucTuyen.Org . Đa số các hệ thống email đều cho phép chúng ta cấu hình chuyển tiếp dễ dàng, ví dụ bạn sử dụng email của Google hay hệ thống mail Google App thì hãy đăng nhập vào tài khoản của mình và chọn Setting sau đó chọn tab Forwarding and POP/IMAP. Trong ô Forwarding hãy chọn Forward a copy of incoming mail to : và nhập địa chỉ email muốn chuyển tiếp.

Lúc này các bạn có thể cấu hình Outlook hay ThunderBird để nhận mai từ hộp mail phụ. Và các bạn vẫn có thể sử dụng hộp phụ này để giao dịch bằng cách thiết lập các tham số tài thích hợp, và đặt địa chỉ Reply-to-Address là hộp thư chính của bạn như hình minh họa sau:

Cấu hình Account Name và Reply-toAddress trên ứng dụng nguồn mở ThunderBird Như vậy các bạn có thể yên tâm hơn khi cần check mail ở những môi trường công cộng, vì trong tình huống xấu nhất thì chúng ta cũng chỉ bị mất tài khoản phụ còn tài khoản thư điện tử chính vẫn không sao, và đương nhiên là ta có thể tạo một tài khoản phụ khác. 3. Ngăn Ngừa Tấn Công Hijacking Trong Môi Trường Wifi Hijacking theo nghĩa đen là “không tặc”, làm chúng ta liên tưởng đến vụ khủng bố kinh hoàng xảy ra vào ngày 11.9.2001. Tuy nhiên trong không gian số thì đây là một thuật ngữ nói về dạng tấn công theo kiểu đánh cắp cookie và chiếm phiên làm việc của người dùng thường được các hacker sử dụng trong môi trường mạng Wifi. Vì dụ khi các bạn truy cập vào tài khoản Yahoo, HotMail …đã được mã hóa với https thì các attacker vẫn có thể đột nhập vào tài khoản của bạn thông qua quá trình đánh cắp cookie mà không cần phải tiến hành xác thực như hình minh họa sau đây:

Hacker đánh cắp cookie tài khoản asktheguider@gmail.com

Sau đó dột nhập vào bên trong tài khoản àm không cần xác thực Vậy làm cách nào có thể ngăn ngừa trường hợp tấn công trên? Hãy nhìn trước ngó sau xem có kẽ khả nghi nào hay không trước khi đăng nhập? Cách này rõ ràng là không hiệu quả vì các hacker rất biết cách ẩn mình. Vậy chúng ta hãy thử dùng một giải pháp được ưa chuộn là ứng dụng các hệ thống VPN miễn phí cho các mạng wifi như Hot Pot Shiel, một lá chắn đúng nghĩa giúp bạn bảo vệ thông tin của mình thông qua một mạng riêng ảo mà các attacker không thể nào tương tác vào được. Hãy tải chương trình hot pot shield tại địa chỉ sau

và tiến hành cài đặt theo hướng dẫn trong video sau: Để chắc chắn đã kết nối thành công với VPN Server hãy kiểm tra lại ipvới lệnh IPCONFIG /ALL, như hình minh họa sau đây ta thấy máy tính có thêm một địa chỉ mới trong VPN là 10.10.128.73, lúc này các bạn hoàn toàn yên tâm truy cập.

4. Tạm Thời Đóng Các Cổng Nhạy Cảm Khi máy tính hoạt động, có một số cổng nhạy cảm được mở mặc định có thể là miếng mồi ngon cho hacker, virus. Vì vậy, những lúc online trong các môi trường công cộng các bạn nên tạm thời đóng các cổng này lại và chỉ mở ra khi ở trong môi trường Trusted - Zone (như trong cơ quan hay ở nhà). Bạn có thể trở nên “tàng hình” bằng cách đóng cổng dành cho dịch vụ NetBios, đây là một trong những điểm nhạy cảm từng được thống kê bị các hacker và virus tấn công nhiều nhất. Điều này có thể thực hiện dễ dàng trên các mày tính chạy hệ điều hành Windows bằng cách mở khung thuộc tính của card mạng và chọn chức năng Advance sau đó trong tab WINS hãy chọn Diasable Netbios Over TCP/IP và nhấn OK như hình minh họa sau :

Để thao tác dễ dàng hơn, hãy tải về công cụ Block_NullSession tại địa chỉ

http://hoctructuyen.org/Security365/Block_Nullsession.exe http://hoctructuyen.org/Security365/Enable_Nullsession.exe Hãy tạo một thư mục đặt tên Security365 trên máy tính và lưu trữ các ứng dụng trên, khi muốn tắt chức năng null session hãy double click vàp tập tin Block_Nullsession.exe, ngược lại hãy chạy Enable_Nullsession.exe để có thể chia sẽ file, máy in… Với tính năng khóa chặt các dịch vụ kết nối không thông qua xác thực như trên chúng ta còn ngăn ngừa được khá nhiều mối hiểm nguy khi đang truy cập internet, hạn chế được những cặp mắt tò mò luôn rình rập đển đánh cắp dữ liệu của bạn hay chọc phá bằng cách ngắt kết nối … 5. Kiểm tra các lổ hỗng hệ thống với Nessus Nếu kịp thời cập nhật các bản vá, bít các lỗ hổng bảo mật thì khả năng bị tấn công bởi virus hay hacker có thể hạn chế ở mức tối đa. Nhưng làm sao có thể biết được tình trạng các bản vá cho máy tính của bạn hay toàn mạng máy tính của công ty một cách nhanh chóng, chính xác? Ứng dụng bảo mật nguồn mở Nessus chính là đáp án cho câu hỏi này, đây cũng là nguyên nhân mà Nessus được cả các hacker và nhà quản trị bình chọn là công cụ bảo mật số 1 thế giới trong danh sách 100 công cụ hàng đầu, các bạn có thể tham khảo danh sách những ứng dụng này tại đây www.sectools.org. 6. Quản trị mật khẩu an toàn hơn với phần mềm nguồn mở KeePassSafe

Hãy thường xuyên thay đổi mật khẩu (password) là lời khuyên của các chuyên gia bảo mật.Nhưng tôi không chắc là bạn sẽ nhớ hết các mật khẩu mà bạn đã tạo ra, vậy hãy sử dụng Kee Pass để lưu trữ tất cả các mật mã này theo hướng dẫn sau:

Tải về Kee Pass Portable: http://hoctructuyen.org/Security365/KeePassPortable.rar. Sau khi giải nén và chạy ứng dụng lần đầu hãy chọn New trên thanh công cụ.

Đặt Master Password, các bạn chỉ cần nhớ mật mã này để mở dữ liệu lưu trữ tất cả các mật mã còn lại.

Tiếp theo, các bạn hãy lưu trữ các thông tin mật khẩu của những dịch vụ vào các thư mục tương ứng, ví dụ bạn có các tài khoản email với những password khác nhau vậy hãy chọn eMail và nhấn chuột phải vào khung bên phải và chọn Add Entry.

Nhập các thông tin của hộp thư vào các ô tương ứng ví dụ User name là asktheguider, nhập mật khẩu vào khung Password và xác nhận trong ô Repeat. Trong ô URL là đường dẫn đến trang web Gmail, sau khi hoàn tất hãy chọn OK, trước khi thoát khỏi ứng dụng nhớ nhấn nút Save để lưu lại thay đổi.

Như vậy, khi cần truy cập vào các tài khoản trong môi trường Un-Trust Zone chúng ta chỉ cần mở ứng dụng Kee Pass nằm trên ổ USB và nhập vào Master Password, chọn tài khoản tương ứng rồi tiến hành copy User name và Password vào trang đăng nhập, hoặc bạn có thể chọn Open URL và sau đó tiến hành Perform Auto-Type để chương trình tự động nhập thông tin tài khoản.

Với phương pháp này bạn không lo việc quên mật khẩu mà còn bảo đảm an toàn tối đa cho các thông tin bí mật. Đây chính là lý do mà Kee Pass được tải về nhiều nhất trên trang web cung cấp các ứng ụng mã nguồn mở Sourceforge.

7. Ẩn danh trên môi trường Internet với phần mềm nguồn mở TOR

Đôi khi chúng ta muốn hoàn toàn ẩn danh khi truy cập Internet như giấu địa chỉ IP hay xóa sạch dấu vết.

Hãy sử dụng ứng dụng nguồn mở và hoàn toàn miễn phí Tor, với Tor các thông tin truy cập của bạn tuyệt đối bí mật, cho dù hacker có đột nhập được vào các máy chủ trung gian mà bạn đã đi qua thì vẫn không tìm kiếm được gì

vì các dấu vết đều được mã hóa và Tor liên tục thay đổi máy chủ trung gian như các hình mình họa các gói tin được bắt giữ với WireShare sau đây:

Khi truy cập trang web www.hoctructuyen.org không dùng Tor, ta thấy rõ quá trình three-way-handshake giữa 192.168.11.5 với máy chủ 208.113.162.27.

Khi ứng dụng Tor truy cập lại trang web trên thì ta thấy thông tin hoàn toàn khác hẳn, kết nối thông qua máy chủ trung gian 62.212.74.134.

Lần truy cập tiếp theo các bạn lại thấy các thông tin mã hóa qua SSH với máy chủ 86.214.160.7.

Như vậy các thông tin truy cập hoàn toàn được dấu kín, rất an toàn nhưng có điểm hạn chế là tốc độ truy cập sẽ chậm hơn so với bình thường.

Nhưng nếu các bạn dành ưu tiên sự bí mật lên hàng đầu thì hãy tải về trình duyệt Opera đã được tích hợp Tor là Opera Tor tại địa chỉ: http://hoctructuyen.org/Security365/OperaTor-3.5.zip, đây là ứng dụng portable vì vậy các bạn chỉ cần giải nén và sử dụng mà không cần cài đặt.

8. Giao dịch trực tuyến với thẻ Debit kết hợp Paypal

Khi mua hàng trực tuyến, thật khó để có thể bảo đảm an toàn tuyệt đối cho tài khoản ngân hàng của mình, cho dù các bạn đã tuân thủ đầy đủ các nguyên tắc bảo mật. Vì các thông tin như credit card hay tài khoản PayPal của chúng ta đều được lưu giữ trong database của nhà cung cấp. Tuy nhiên, chúng ta có thể an toàn hơn nếu như “không có gì để mất”. Điều này nghe hơi khó hiểu nhưng thật sự đơn giản.

Bạn hãy đăng kí tài khoản ngân hàng và thẻ tín dụng, ví dụ như ACB Visa Debit, sau đó tạo một tài khoản PayPal miễn phí tại địa chỉ www.paypal.com rồi liên kết tài khoản PayPal vừa tạo với thẻ ACB Visa Debit của bạn, việc này tương đối dễ dàng. Mỗi lần mua hàng bạn hãy chuyển khoản vừa đủ số tiền để thanh toán vào tài khoản thẻ và sử dụng PayPal để mua hàng từ website của nhà cung cấp. Điều này giúp giao dịch diễn ra nhanh chóng hơn vì các website thương mại trên thế giới đều tin tưởng PayPal, sẽ không yêu cầu bạn phải xác nhận thông tin bằng cách chụp hình thẻ hay những thao tác rắc rối khác.

Trong tình huống xấu nhất, nếu hacker chiếm được thông tin tài khoản của bạn và sử dụng vào mục đích phi pháp thì vẫn không thể lấy được gì do thẻ ghi nợ của chúng ta hoàn toàn trống. Nếu các bạn thường xuyên giao dịch trực tuyến thì hãy thử ứng dụng phương pháp này nhé!

Đây là một số kinh nghiệm thực tế đúc kết từ quá trình làm việc, hy vọng sẽ giúp bạn đọc có thêm những kiến thức trong vấn đề bảo mật thông tin, an toàn dữ liệu. Nếu bạn đọc có câu hỏi liên quan đến bài viết xin gửi đến địa chỉ emag@security365.vn để được giải đáp.

HỆ THỐNG CỦA BẠN CÓ AN TÒAN KHÔNG ? HÃY KIỂM TRA VỚI NESSUS POWER TOOL Ngày xưa, trước mỗi trận chiến thì các tướng lãnh thường cho quân sĩ đi thám thính các điểm yếu của đối phương để có thể đề ra các chiến sách thích hợp. Ngược lại, những chỉ huy tài ba cũng phải biết được những điểm trọng yếu của mình để có thể cũng cố lại tuyến phòng thủ cho vững chắc hơn.Vì vậy Tôn Tử, nhà quân sự tài ba có câu ”Biết Người Biết Ta Trăm Trận Không Nguy”, câu nói này vẫn đúng ngay cả trong thời đại công nghệ thông tin hiện nay, đặc biệt trong vấn đề bảo đảm an tòan cho hệ thống trước ácc đợt tấn công của hacker, virus, trojan... Một trong những mối quan tâm hàng đầu của các nhà quản trị hệ thống là làm sao biết được hệ thống của mình bị hổng ở chổ nào để có thể vá lại hoặc để tấn công hay đột nhập vào nếu người quan tâm đến chúng là các hacker. Có rất nhiều công cụ trợ giúp trong việc xác định các lỗi bảo mất và những điểm nhạy cảm của hệ thống như Retina của Eeye, hay GFI N.S.S của GFI …Nhưng công cụ được các hacker và những nhà quản trị hệ thống yêu thích hơn cả vẫn là nessus, công cụ được xếp hạng thứ nhất trong 75 công cụ bảo mật được đánh giá bởi tổ chức Insecure (www.insecure.org). Lý do mà nessus được yêu thích như vậy bởi vì chúng có một cơ sở dữ liệu rất lớn về lổ hổng hệ thống được cập nhật thường xuyên, giao diện dễ sử dụng và kết quả có thể được lưu lại dưới nhiều dạng khác nhau như biểu đồ, XML hay PDF để có thể dễ dàng tham khảo. Ngòai ra khi sử dụng nessus chúng ta không phải lo lắng về vấn đề bản quyền vì đây là một chương trình miễn phí. Trong bài viết này tôi sẽ trình bày phương pháp cấu hình và cài đặt nessus trên một hệ thống Linux FC2 và tiến hành kiểm tra lỗi của một số máy chủ chạy hệ điều hành Windows, cùng với giải pháp phòng chống nessus cũng như các trường hợp tấn công DOS dựa vào honeypot. Để nắm cách sử dụng công cụ số 1 trong danh sách 100 tool hàng đầu thế giới các bạn hãy tham khảo bài hướng dẫn sau:

HỆ THỐNG CỦA BẠN CÓ AN TÒAN KHÔNG ? HÃY KIỂM TRA VỚI NESSUS POWER TOOL Ngày xưa, trước mỗi trận chiến thì các tướng lãnh thường cho quân sĩ đi thám thính các điểm yếu của đối phương để có thể đề ra các chiến sách thích hợp. Ngược lại, những chỉ huy tài ba cũng phải biết được những điểm trọng yếu của mình để có thể cũng cố lại tuyến phòng thủ cho vững chắc hơn.Vì vậy Tôn Tử, nhà quân sự tài ba có câu ”Biết Người Biết Ta Trăm Trận Không Nguy”, câu nói này vẫn đúng ngay cả trong thời đại công nghệ thông tin hiện nay, đặc biệt trong vấn đề bảo đảm an tòan cho hệ thống trước ácc đợt tấn công của hacker, virus, trojan... Một trong những mối quan tâm hàng đầu của các nhà quản trị hệ thống là làm sao biết được hệ thống của mình bị hổng ở chổ nào để có thể vá lại hoặc để tấn công hay đột nhập vào nếu người quan tâm đến chúng là các hacker. Có rất nhiều công cụ trợ giúp trong việc xác định các lỗi bảo mất và những điểm nhạy cảm của hệ thống như Retina của Eeye, hay GFI N.S.S của GFI …Nhưng công cụ được các hacker và những nhà quản trị hệ thống yêu thích hơn cả vẫn là nessus, công cụ được xếp hạng thứ nhất trong 75 công cụ bảo mật được đánh giá bởi tổ chức Insecure (www.insecure.org). Lý do mà nessus được yêu thích như vậy bởi vì chúng có một cơ sở dữ liệu rất lớn về lổ hổng hệ thống được cập nhật thường xuyên, giao diện dễ sử dụng và kết quả có thể được lưu lại dưới nhiều dạng khác nhau như biểu đồ, XML hay PDF để có thể dễ dàng tham khảo. Ngòai ra khi sử dụng nessus chúng ta không phải lo lắng về vấn đề bản quyền vì đây là một chương trình miễn phí. Trong bài viết này tôi sẽ trình bày phương pháp cấu hình và cài đặt nessus trên một hệ thống Linux FC2 và tiến hành kiểm tra lỗi của một số máy chủ chạy hệ điều hành Windows, cùng với giải pháp phòng chống nessus cũng như các trường hợp tấn công DOS dựa vào honeypot. Để nắm cách sử dụng công cụ số 1 trong danh sách 100 tool hàng đầu thế giới các bạn hãy tham khảo bài hướng dẫn sau:

Sau khi tham khảo bài ISA 2006 LAB, nhiều bạn cho rằng ISA Server 2006 Firewall quả thật là mạnh mẽ trong vấn đề bảo vệ hệ thống cũng như quản lý người dùng ngọai trừ chi phí bản quyền

quá cao so với chúng ta, khi mà Việt Nam sắp sữa gia nhập WTO.

Chính vì vậy chúng tôi cover lại bài viết đăng trên PC World của Nguyễn Trần Tường Vinh về việc xây dựng 1 Firewall cũng mạnh mẽ không kém nhưng không đòi hỏi cấu hình máy tính phải mạnh mẽ và hòan tòan miễn phí. Lưu ý, đây là bài Lab tham khảo các bạn hãy cẩn thận khi triển

khai vì quá trình cài đặt sẽ format tòan bộ ổ cứng có thể gây mất mát dữ liệu.

www.ipcop.org

TỐI ƯU HÓA BĂNG THÔNG VÀ TĂNG CƯỜNG BẢO MẬT ỨNG DỤNG

VỚI IPCOP FIREWALL/ROUTER

Phần I : Cài Đặt Và Cấu Hình IPCOP Firewall

Thời gian, chi phí và hiệu quả là 3 yếu tố hàng đầu được các doanh nghiệp và tổ chức quan tâm khi ứng dụng các sản phẩm, giải pháp công nghệ thông tin cho hệ thống của mình. Và một trong những giải pháp được quan tâm nhiều nhất là làm sao “Tối ưu hóa băng thông và Tăng cường bảo mật cho các ứng dụng”.

Để thực hiện điều này, chúng ta có thể sử dụng các thiết bị phần cứng của hãng bảo mật nổi tiếng Juniper, hay Cisco, CheckPoint hoặc các thiết bị phần mềm như ISA Server 2004 của Microsoft.

Mỗi sản phẩm có những mặt mạnh, yếu riêng. Tuy nhiên, tất cả đều là những sản phẩm thương mại có giá trị bản quyền cao và đòi hỏi yêu cầu phần cứng mạnh mẽ. Vì vậy, đối với các công ty muốn tiết kiệm chi phí chúng ta có thể dùng một sản phẩm mã nguồn mở thay thế là IPCop Firewall, một giải pháp tối ưu cho viêc tiết kiệm băng thông và tăng cường bảo mật, giúp xóa tan những lo âu về vấn đề chi phí bản quyền khi Việt Nam đang đứng trước ngưỡng cửa gia nhập sân chơi Thương mại Quốc tế WTO .

IPCop là một bản phân phốI Linux thuần túy có đính kèm nhiều chức năng mạnh mẽ của một firewall chuyên nghiệp nhằm bảo vệ hệ thống mạng của một tổ chức trước các nguy cơ về hacker, virus và những sự xâm nhập bất hợp pháp thông qua các chức năng dò tìm và phát hiện xâm phạm. Ngòai ra, IPCop Firewall không đòi hỏi phải có một máy chủ cấu hình cao mà có thể được cài đặt trên những máy tính đời cũ với cấu hình thấp như PC i486, điều này cho phép bạn tận dụng các máy tính cũ đã được cất vào kho hay không còn dùng đến nữa. Tuynhiên, trước khi cài đặt và triển khai IPCop cho hệ thống của mình, các bạn nên tham khảo danh sách các phần cứng tương thích với IPCop tại địa chỉ trang web:

http://ipcop.sourceforge.net/cgi-bim/twiki/view/IPCopHCLv01

Cấu hình phần cứng tối thiểu của máy tính dùng để cài đặt IPCop như sau:

Hệ thống PC 386 với 16MB Ram (nên có nhiều hơn nếu sử dụng chức năng IDS của Snort, và tăng tốc độ truy cập internet của Squid)

Ổ đĩa cứng ATA dung lượng tối thiểu125MB + 2x RAM Ngòai ra IPCop là một hệ thống firewall cho nên cần có ít nhất 2 NIC một cho môi

trường bên ngòai (RED) và một cho hệ thống nội bộ (GREEN).

Để tăng cường bảo mật cho các ứng dụng và tối ưu hóa băng thông, IPCop đã tích hợp những chương trình bảo mật hàng đầu với những tính năng hữu ích như:

1.Linux Netfilter - Stateful Packet Inspection: là một ứng dụng Firewall nổi tiếng và mạnh mẽ được xây dựng trên hệ thống Linux bảo vệ hệ thống trước các sự tấn công và xâm nhập của hacker, virus..

2. Snort -Network IDS : hệ thống dò tìm và phát hiện sự xâm nhập trái phép của các phần mềm nguy hiểm, trojan, attacker...

3. Squid – Web Proxy : chương trình kiểm sóat và tăng tốc truy cập internet được nhiều người yêu thích và áp dụng, giúp tiết kiệm đường truyền.

4. Hổ trợ FreeS/WAN IPSec cho phép chúng ta xây dựng các máy chủ VPN cung cấp truy cập tài nguyên nội bộ cho người dùng từ xa thông qua các phiên truyền được mã hóa và chứng thực chặt chẽ.

5. Ngòai ra còn có các dịch vụ mạng phổ biến và quan trọng như DHCP server cung cấp địa chỉ IP động, hỗ trợ chức năng đăng ký tên miền tự động thông qua cơ chế Dynamic DNS,..

6. Giao diện quản lý, cấu hình thân thiện và dễ sử dụng thông qua môi trường Web.

7. Cơ chế tự vá lỗi và cập nhật các chính sách bảo mật một cách tự động.

8. Cho phép Backup và Restore các thông tin cấu hình của IPCop khi có sự cố xảy ra một cách nhanh chóng.

Chúng ta dễ dàng nhận thấy IPCop Firewall/Router có nhiều tính năng mạnh mẽ mà ngay cả những sản phẩm tường lửa thương mại hàng đầu như ISA Server cũng không có được như hệ thống phân phối các địa chỉ IP động để client có thể dễ dàng, nhanh chóng truy cập internet. Đặt các giới hạn downlaod/upload. Bên cạnh đó IPCop còn có khả năng phát hiện dò tìm xâm nhập bất hợp pháp hay các chương trình khả nghi trên mạng như ettercap, dsniff thông qua hệ thống SNORT Network IDS, tự động cập nhất các chính sách, quy tắc bảo mật…

TRIỂN KHAI IPCOP FIREWALL /ROUTER

Chú ý: khi cài đặt IPCop trên một đĩa cứng đang dùng thì tòan bộ dữ liệu sẽ bị xóa do đĩa cứng sẽ bị format và phân vùng lại

Lấy mô hình mạng Công ty iICT có 1 đường truyền ADSL với địa chỉ modem ADSL là 192.168.8.1 và hệ thống của công ty được chia làm 4 phần như sau:

• Red : lớp mạng giao tiếp với hệ thống bên ngoài như internet, kết nối với IPCop qua NIC red 192.168.8.2

• Orange : đây là vùng DMZ chứa các server quan trọng của công ty như web server, mail serevr kết nối với IPCop qua NIC orange 192.168.3.1

• Blue : đây là vùng dành riêng cho các thiết bị wireless nhằm tăng cường tính năng an tòan cho các máy tính và dữ liệu được truyền thông trong môi trường này, giao tiếp với IPCop qua NIC blue 192.168.2.1

• Green : hệ thống mạng nội bộ của công ty, gồm máy tính của các nhân viên, các phòng ban, tổ chức .. kết nối với IPCop qua NIC green 192.168.1.1

Mô hình mạng LAN Của công ty IICT

1.Download và Cài đặt IPCop Firewall:

Chú ý: khi cài đặt IPCop trên một đĩa cứng đang dùng thì tòan bộ dữ liệu sẽ bị xóa do đĩa cứng sẽ bị format và phân vùng lại

Chúng ta có thể download tập tin cài đặt IPCop từ web site www.ipcop.org sau đó dùng chương trình ghi đĩa như Nero Burn ghi tập tin image này lên đĩa CD. Khởi động máy tính dùng làm IPCop Firewall/Router (có ít nhất 2 card mạng cho Green và Red) từ ổ đĩa CD Rom màn hình cài đặt với thông báo sẽ xóa sạch tòan bộ dữ liệu được hiển thị như sau:

Nhấn Enter để tiếp tục quá trình cài đặt, các thông số khởi động sẽ xuất hiện, sau đó chúng ta cần xác định ngôn ngữ hiển thị cho IPCop, chúng ta chọn English và nhấn OK.

Chương trình cài đặt sẽ xác nhận lại một lần nữa, nhấn OK để tiếp tục, và sau đó chọn cài đặt từ CD ROM trên khung Select installation media

Thông báo cuối cùng sẽ xuất hiện, nhấn OK để tiếp tục tiến trình cài đặt IPCop Firewall và tiến hành phân chia partition/dev/had cho đĩa cứng trên IPCop Firewall

Sau khi hệ thống tập tin được khỏi tạo, một màn hình nhắc nhở có cần phục hồi IPCop Firewall từ một đĩa mềm lưu giữ các thôn gtin cấu hình của hệ thống OPCop Firewall trước đó hay không, ở đây ta chọn Skip.

Tiếp theo chúng ta cần xác định các driver và tham số cho các giao tiếp mạng của mình như GREEN, RED, chọn Probe để hệ thống tự động dò tìm hoặc chọn Select nếu như muốn tự mình xác định.

Sau khi trình điều khiển cho GREEN interface được nạp, chúng ta sẽ cấu hình các tham số TCP/IP cho card mạng này, theo mô hình ở trên chúng ta sẽ nhập vào:

• IP address : 192.168.1.1

• Network mask : 255.255.255.0

Lúc này tất cả các thành phần cần thiết của IPCop đã được cài đặt, thông báo Remove CDROM sẽ xuất hiện, hãy nhấn OK để bắt đầu khởi tạo các thông tin cấu hình cơ bản.

Hãy chọn kiểu keyboard là us và chọn time zone thìch hợp, có thể tham khảo về time zone ở trang web http://www.ipcop.org để xác định time zone theo ý mình.

Đặt tên và domain cho IPCop Firewall của mình, ví dụ IPCop và local domain chọn OK, chúng ta có thể thay đổi các thông tin này trong phần quản trị IPCop

Trong trường hợp này chúng ta sử dụng đường truyền ADSL nên tôi chọn disable ISDN

Sau đó chúng ta xác định thêm về các thông tin như TCP/IP của RED interface, dãy địa chỉ động cấp cho các client, địa chỉ DNS, gateway, mật mã đăng nhập hệ thống và web site quản trị (những phần này tôi sẽ trình bày trong phần quản trị IPCop) và khởi động lại hệ thống.

Như vậy,trong vòng 15 phút chúng ta đã xây dựng xong một hệ thống phòng thủ mạnh mẽ dựa trên IPCOP. Giúp cho hệ thống truy cập Internet nhanh chóng và an tòan hơn đồng thời vẫn tiết kiệm được chi phí vì có thể triển khai phần mềm IPCop Firewall/Router hòan tòan miễn phí, đồng thời tận dụng được các hệ thống máy tính cũ với cấu hình yếu, một điều không thể khi các bạn sử dụng những sản phẩm tường lữa thương mại khác như ISA 2004 Firewall, Check Point Firewall..

---- Xem Tiếp Phần 2 ----

TỐI ƯU HÓA BĂNG THÔNG VÀ TĂNG CƯỜNG BẢO MẬT ỨNG DỤNG

VỚI IPCOP FIREWALL/ROUTER

Phần II: Quản Trị IPCop Firewall/Router

Trong phần trước chúng ta đã cài đặt hệ thống IPCop Firewall/Router để giúp cho các doanh nghiệp vừa và nhỏ có thể bảo vệ hệ thống mạng nội bộ của mình khi kết nối với Internet. Tuy nhiên, cũng như các hệ thống khác, để chúng họat động hiệu quả và phù hợp với nhu cầu tổ chức thì chúng ta cần phải thường xuyên giám sát và quản trị hệ thống Firewall của mình, cập nhập các bản vá lỗi mới…

Chúng ta có thể quản trị IPCOP bằng giao diện web từ bất cứ máy tính nào trên hệ thống của ,ngọai trừ chính nó. Vì là một Firewall nên các bạn có thể tháo bỏ các thiết bị ngọai vi như chuột, bàn phím và cả màn hình khỏi IPCop Firewall để tiết kiệm chi phí và nâng cao tính bảo mật. Từ trên máy tính dùng để quản trị, hãy nhập vào địa chỉ sau http://ipcop:81 hoặc http://192.168.1.1:81 tùy theo địa chỉ mạng trong của firewall để đăng nhập vào màn hình quản trị. Sau khi cung cấp thông tin tài khoản quản trị IPCop hợp lệ chúng ta sẽ kết nối với IPCop tiếnhành các thao tác quản trị của mình.

Lúc này hệ thống đã kết nối với Internet nên chúng ta thấy xuất hiện dòng chữ Connected, nếu không các bạn phải nhấn vào Connect để kết nối thiết bị ADSL của mình với nhà cung cấp dịch vụ.

Giao diện web này được dùng để quản trị hệ thống IPCOP Firewall của chúng ta, trên thanh công cụ chúng ta thấy có các menu điều khiển như sau:

1 - System :

Trong trình đơn này sẽ có các công cụ Home dùng để quay về trang quản trị chính. Updates để chúng ta cập nhật những bản vá mới cho firewall củamình. Password dùng để thay đổi thông tin tài khỏan quản trị. SSH Access dùng để enable/disable SecureShell để có thể kết nối đến IPCop bằng các tiện ích SSH Client như Putty tiến hành các thay đổi trực tiếp trên những tập tin cấu hình của Firewall. Ngòai ra trong trình đơn nàu còn có các nút điều khiển khác như Shutdown chp phép chúngta tắt firewall, hay Backup dùng để sao lưu tòan bộ thông tin cấu hình IPCop nhăm phòng khi có sự cố xảy ra.Và nếu như bạn muốnthay đổi giao diện trang Web quản trị của IPCop thành tiếng Việt thì có thể chọn GUI Settings.

• Updates:

Để cập nhật hệ thống IPCop của mình, các bạn hãy nhấn vào Updates trong menu System:

Trong dòng Available Updates chúng ta thấy có những bản cập nhật mới, hãy truy cập vào web site www.ipcop.org và tải về tập tin cập nhật này và lưu chúng trên máy dùng để quản trị. Sau đó chọn nút Browse trong phần Install new update để chọn tập tin này và Upload chúng lên Firewall tiên trình cài đặt sẽ tự động thực thi. Tùy theo bản cập nhật mà chúng at có cần phải reboot lại hệ thống firewall của mình hay không.

• SSH Access:

Nhằm hổ trợ cho quá trình quản trị IPCop firewall./router ở mức sâyu hơn chúng ta cần phải enable SSH Server thông qua menu SSH Access và chọn enable (mặc định disaable):

Lưu ý: SSH server trên IPCop sử dụng port 222 cho nên chúg ta cần phải kết nối SSH Client đến port 222 thay vì port 22 như th6ng thường ví dụ $ ssh –p 222 root@192.168.1.192 với 192.168.1.192 là địa chỉ mạng trong của firewall.

• GUI Settings:

Nếu các bạn muốnthay đổi sang giao diện tiếng Việt thì có thể chọn GUI Settings và chọn ngông ngữ VietNamese trong phần Select the language you wish IPCop to display in và chọn Save.

• Backup:

Để có thể phục hồi khi có sự cố xảy ra, chúng ta nên backup các thông tin cấu hình của IPCop ra một đĩa mềm thông qua menu Backup trong System

Hãy chọn Create và chọn Backup to floopy rồi đưa đĩa mềm được định dạng bằng Linux vào rồi chọn backup to floopy(dòng lệnh định dạng đĩa mềm trên hệ thống Linux #fdfomat /dev/fd0, các bạn có thể chạy thông qua SSH Client)

2. Status

Khi hệ thống đã họat động, chúng ta cần xem xét trạng thái hiện tại của firewall, những dịch vụ nào đang chạy .. các bạn hãy chọn phần Satus từ trang web quản trị chính. Trong menu này có nhiều menu con, ví dụ để giám sát những dịch vụ đang họat động trên IPCop, quá trình sử dụng bộ nhớ, đĩa.. chúng ta chọn System Status

2.1 System Status

Các dịch vụ đang họat động:

Quá trình sử dụng bộ nhớ:

Quá trình sử dụng đĩa cứng:

Những module được nạp:

Phiênbản hiện hành của kernel

2.2 Network Satus:

Trong phần Network Satus sẽ trình bày nhữgn giao tiếp mạng và địa chỉ IP của chúng và một số thông số trong qua 1 trình họat động.

Trong phần này chúng ta có thể giám sát những địa chỉ IP động được thuê bao bởi các client trong phần Curent Dynamic Lease. Tuy nhiên bạn phải enable DHCP Server cùng với các thông số đầy đủ chúng ta mới thấy đượ cphần này.

2.3 Conecctions

Trong Status menu các bạn còn có thể giám sát các máy tính đang truy cập và kết nối với Fiewall thông qua menu Connections

Trong menu Network từ trang quản trị các bạn có thể tiến hành những thao tác cấu hình và chỉnh sữa cho thiết bị Dial-Up hay Modem ADSL của mình như cập nhật các trình điều khiển, upload những phần mềm firmware mới hay thay đổi các thông tin kết nối với nhà cung cấp dịch vụ...

3. Services

Đây là menu dùng để quản lý các dịch vụ như Web Proxy, Instruction Detect, DHCP với những submenu như sau:

3.1 Quản trị Web Proxy :

Thông qua giao diện này các bạn có thể xác định kích thước cache, bật tắt chức năng web proxy trên ácc giao diện Green (mặc định enable) và Blue (mặc định disable)

3.2 Quản trị DHCP Server:

Chúng ta có thể thay đổi cấu hình máy chủ DHCP dùng để cấp phát địa chỉ IP động thông qua trang quản trị DHCP. Các bạn có thể xác định dãy địa chỉ IP cho hệ thống mạng của mình bắt đầu trong phần Start address ví dụ 192.168.1.2 và kết thúc ở End address ví dụ 192.168.1.254.

Bên cạnh đó bạn còn có thể gán thêm các thông số khác cho DHCP client như địa chỉ DNS dùng để phân giải tên, chúng ta có thể sử dụng DNS Server nội bộ hoặc của nhà cung cấp như 203.162.4.191, 210.245.31.130..

Trong trường hợp đặc biệt, đối với một số DHCP Client chúng ta không muốn thay đổi IP của chúng thì các bạn chọn Add a new fixed lease và nhập vào MAC Address của DHCP Client này trong ô MAC Address và địa chỉ IP động với thời gian thuê bao vô hạn trong IP Address.

Để xem MAC Address của các DHCP Client các bạn sử dụng dòng lệnh ipconfig /all trên ácc máy chạy Windows hoặc ifconfig trên những máy dùng hệ điều hành Linux/Unix.

3.4 Instruction Detect System

Với tính năng mạnh mẽ của mình IPCop hổ trợ dịch vụ Network Instruction Detect System dựa trên phần mềm phát hiện và dò tìm xâm nhập nổi tiếng SNORT để phòng ngừa và phát hiện các trường hợp tấn công của hacker/attacker, mặc định hệ thống IDS chỉ họat động trên Red Interface, theo tôi chúng ta nên enable Snort cho cả GREEN và BLUE interface vì theo thống kê có đến 80% các trường hợp tấn công, xâm nhập trái phép và đặc biệt là nghe lén với những phần mềm như dsniff có nguồn gốc từ nội bộ. Để cập nhật các Rule mới của IDS hã sử dụng chức năng Download new ruleset

Trong quá trình sử dụng IPCop cho hệ thống của mình tôi nhận thấy rằng đây là một hệ thống Firewall/VPN rất hiệu quả có thể đáp ứng đầy đủ các nhu cầu bảo mật và chia sẽ Internet cho các doanh nghiệp vừa và nhỏ ở Việt Nam . Đặc biệt trong quá trình hổ trợ cho DHCP Client sẽ đơn giản và hiệu quả hơn so với khi chúng ta sử dụng phần mềm Firewall/Proxy thương mại như ISA Server vì không cần phải thực hiện thêm bất kỳ thao tác nào như cấu hình WPAD hay thay đổi port của proxy server..Khi hệ thống nội bộ có những họat động trái phép như Spoofing ARP hay nghe lén password, bắt giữa tập tin.. với các phần mềm nguy hiểm thì IPCop đều có thể phát hiện và đưa ra cảnh báo cho SysAdmin rất hiệu quả.

Tuy nhiên đối với các hệ thống lớn đòi hỏi có sự đáp ứng cho hàng ngàn user kết nối Internet, truy cập từ xa qua IPSEC/VPN thì chúng ta cũng có những giải pháp tương tự ở các thhiết bị Firewall, IPSEC/VPN của hãng bảo mật JUNIPER như NetScreen 5000, J-Serires..

Lời kết … Trong số mở đầu chúng tôi đăng tải một số chủ đề được nhiều người quan tâm như Firewall, An Tòan Thông Tin, Bảo vệ mật khẩu …Trong số tới chúng tôi sẽ giới thiệu các kiến thức về mạng và an toàn thông tin theo các bước cơ bản đến nâng cao để mọi người dễ dàng theo dõi và tiếp cận vấn đề. Để xem các video hướng dẫn trực tiếp trên tạp chí các bạn cần cài đặt chương trình đọc file Acrobat là Acrobat Reader (đây là ứng dụng hòan tòan miễn phí, các bạn có thể tải về từ trang chủ của Acrobat hoặc từ website www.security365.vn) Mặc dù, Security365 emagazine là một chuyên đề miễn phí nhưng chúng tôi sẽ cố gắng thực hiện tạp chí một cách đầy đủ, chuyên nghiệp nhất. Nếu các bạn có những bài viết hay muốn gởi đăng hãy gởi bài viết của mình về địa chỉ DongDuongICT@Gmail.Com. Nếu các bạn muốn tham gia vào đội ngũ biên tập viên hay cộng tác viên xin vui lòng gởi hồ sơ về cho anh Nguyễn Trần Tường Vinh qua địa chỉ nttvinh@gmail.com. Thay mặt Câu Lạc Bộ Tin Học Đông Dương và những thành viên trong ban biên tập, đội ngũ kỹ thuật đã thực hiện chuyên đề chúng tôi xin gởi lời cảm ơn đến tất cả các bạn độc giả đã quan tâm và dành thời gian đón đọc, theo dõi chuyên đề của Security365.