<![CDATA[Latest posts for the topic "Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống."]]> /hvaonline/posts/list/8.html JForum - http://www.jforum.net Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống. con người, quy trình, thiết kế và công cụ. 2 lĩnh vực khó control nhất là 2 cái đầu tiên, tuy con người có thể thuê được và quy trình thì tư vấn có thể áp đặt được, nhưng nó là "văn hoá CNTT" trong doanh nghiệp, 1 ngày ko thể làm xong, 1 tháng cũng chưa chắc, 1 năm thì có thể. Cái thứ 3 đi thuê được và cái thứ 4 thì mua được. Cách tiếp cận bảo mật top-down, chỉ có mục tiêu là giảm rủi ro tới mức có thể, không triệt tiêu được nguy cơ. Cứ thế phân rã tiếp, sẽ thành: - Con người: Security Policy/Access Control + Training + ép buộc tuân thủ Process. - Quy trình: Change/Config/Assessment/Disaster Recovery/Audit/Monitoring + hàng loạt standard. - Thiết kế: Multi-layer protection/Encryption/AAA/Availability/Capacity + được kiểm định độc lập (tỉ dụ kiểm toán). - Công cụ: FW/OS/IDS... cái này hàng tá. Đây chỉ là ví dụ, liệt kê ra thì khá nhiều, và mỗi cái lại tiếp tục phân rã tiếp, cái nào thì làm thế nào. Mọi thứ trong hệ thống đều được xem xét và lựa chọn phương pháp bảo mật phù hợp. Cái này khác hẳn với bottom-up, chỉ nhìn vào đúng 1 vấn đề trong cái mớ ở trên. Dĩ nhiên kết hợp cả 2 cái sẽ ra 1 cách làm tuyệt vời về bảo mật, CSO quan tâm đến cái top-down, còn SSA thì là bottom-up. Trường hợp của HVA, nếu Assessment Procedure được thực hiện và hiệu quả hơn, đánh giá rằng nguy cơ remote access là có thể xảy ra khi máy tính của Admin bị dính trojan và lúc đó hậu quả sẽ rất lớn, do đó cần phải tìm cách giảm rủi ro ở điểm đó đi, thì chắc hậu quả sẽ nhỏ hơn. Vài mẹo để giảm nó, tỉ dụ máy tính sử dụng để quản trị luôn là cái chỉ dùng để quản trị, được phân tách vật lý riêng biệt. Rồi thì remote access cần thêm 1 authentication factor, token hoặc smart card, không chỉ fixed IP + user + password (hoặc SSH key lưu trên file ko an toàn, lưu trên token thì tốt hơn). Nguy cơ mất cái token đó sẽ nhỏ hơn nhiều và tổng lại toàn bộ rủi ro sẽ thấp đi, dĩ nhiên chi phí phải có nhưng có thể rẻ hơn nhiều so với hậu quả nếu có. Một cái nữa, đó là bản backup của HVA DB. Chỉ đơn giản là nếu nó được mã hoá khi lưu trên thiết bị sao lưu (ở đây là máy tính của admin), thì sẽ khó khăn hơn nhiều để khai thác nó. Mã hoá hiện tại rất hiệu quả và dễ dàng, tại sao không áp dụng nó?]]> /hvaonline/posts/list/35845.html#220492 /hvaonline/posts/list/35845.html#220492 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống. /hvaonline/posts/list/35845.html#220612 /hvaonline/posts/list/35845.html#220612 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống. /hvaonline/posts/list/35845.html#220620 /hvaonline/posts/list/35845.html#220620 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống.

myquartz wrote:
Hi! Tớ đã từng chứng kiến công ty, nói rằng tôi đầu tư bảo mật rất nhiều tiền, mua đủ thiết bị, trang bị tới tận răng, thuê 1 SSA có trình độ cực đỉnh về cấu hình firewall và network security. Cơ mà, khi xem cấu hình của firewall, tôi mới phát hiện ra rằng, họ có 1 cái rule rất là hay, đó là any -> any (fw admin do yêu cầu phải chạy 1 dịch vụ nào đó, ko biết được port của dịch vụ đó cần những gì, thế là mở any cho nó chắc ăn).  
Mất tiền thuê expert mà kiểu này thì ... chắc là doanh nghiệp bị lừa mất rồi. Theo cá nhân mình thấy việc access vào hệ thống mà vẫn tiếp tục dùng phương pháp bảo mật dạng 1 lớp thì vô cùng nguy hiểm. Để hạn chế bớt những rủi ro từ yếu tố con người thì nên force tất cả các phương thức access vào hệ thống phải là 2 lớp như sử dụng Token code + PIN hay Pub key + PIN để chứng thực. Ngoài ra, thì đúng là quy trình và ý thức "quân đội" là rất quan trọng trong vấn đề an toàn thông tin.]]> /hvaonline/posts/list/35845.html#220629 /hvaonline/posts/list/35845.html#220629 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống. /hvaonline/posts/list/35845.html#220681 /hvaonline/posts/list/35845.html#220681 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống. /hvaonline/posts/list/35845.html#220683 /hvaonline/posts/list/35845.html#220683 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống.

hmrdung wrote:
Ngay cả con Firewall Fortigate , em cũng chưa đụng tới nhưng mà cứ "ừ" đại với sếp :D  
Cái này là chết chắc rồi, không cần nói tới bottomup hay topdown... chết tuốt. ]]> /hvaonline/posts/list/35845.html#220698 /hvaonline/posts/list/35845.html#220698 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống. /hvaonline/posts/list/35845.html#220731 /hvaonline/posts/list/35845.html#220731 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống.

conmale wrote:
Bữa nào rảnh, tớ sẽ viết 1 bản tóm lược những "security measurement" mà tớ đã thực hiện sau vụ chủ quan chết người vừa rồi :). 
Không một ai trong chúng ta khẳng định tôi không có những sai sót, quan trọng sau những sai sót đó chúng ta rút ra được bài học và kinh nghiệm gì? để sau này những sai sót đấy không lặp lại đó là điều quan trọng. Tặng anh câu ngôn: "Khi 1 người sống hết mình vì người khác, thì cũng đồng nghĩa với việc người đó đã quên đi chính bản thân mình." Cám ơn Anh.]]> /hvaonline/posts/list/35845.html#220736 /hvaonline/posts/list/35845.html#220736 GMT Phương thức tiếp cận bảo mật hệ thống nào? Cụ thể 1 tình huống.

dexxa wrote:
@ hmrdung : sao bạn không nói về hệ thống của bạn có những gì và cách bạn tiếp quản nó ra sao để mọi người cùng giúp. Đối với 1 hệ thống dù lớn hay nhỏ mình không rõ nhưng với 7 ngày để tiếp quản thì thật bạn pro quá rồi :) 
Bạn quá khiêm tốn đó thôi ! Mình cũng chả pro , thứ nhất hệ thống vẫn chưa có gì là phức tạp ngoài quản lý các user trên DC ,.... Nghĩa là những gì cơ bản nhất của Microsoft . Thứ 2 sự minh bạch trong thông tin của các IT đi trước đã giúp mình rất nhiều trong việc rút ngắn thời gian tiếp quản hệ thống . Điều này rất là quan trọng vì 1 số anh IT khác cứ cho hệ thống là 1 cái gì đó rất là "huyền bí " nhưng nếu sếp có kiến thức IT thì điều đó là tối kị . Đơn giản vậy thôi Còn việc về hệ thống của mình thì chắc chắn sẽ chia sẻ nhưng mình cần thời gian . Nếu có gì thắc mắc mong bà con chỉ giáo]]> /hvaonline/posts/list/35845.html#220737 /hvaonline/posts/list/35845.html#220737 GMT