Tìm hiểu về DHCP Server Security (phần 1)

Trong phần 1 này, chúng ta sẽ cùng nhau tìm hiểu về các mối hiểm họa đối với hệ thống DHCP server và tìm cách giảm thiểu tối đa các biện pháp an ninh phòng chống. Trong phần 2, chúng ta sẽ tiếp tục với các bước thực hiện và công cụ phổ biến dành cho những người quản trị, qua đó đảm bảo được tính bảo mật của hệ thống DHCP server của Windows 2000 và Windows Server 2003.
Mặc dù tính năng DHCP server vô cùng quan trọng đối với hầu hết hoạt động trong hệ thống mạng của doanh nghiệp, nhưng trên thực tế, DHCP server security lại là phần dễ dàng bị bỏ qua nhất trong khâu cấu hình hệ thống. 1 phần lý do có thể là sự nhầm lẫn về quá trình hoạt động cơ bản của DHCP: các tín hiệu DHCP client sẽ phát tán các “thông điệp” (DHCPDISCOVER) có chứa địa chỉ MAC và DHCP server phản hồi lại bằng cách cung cấp tín hiệu (DHCPOFFER) để gán 1 địa chỉ IP bất kỳ và các thiết lập về TCP/IP mà client có thể dùng để giao tiếp trên hệ thống. Các tín hiệu trả lại từ phía client (DHCPREQUEST) tới địa chỉ gán đầu tiên cung cấp thông tin nhận diện như tín hiệu nhận – trả và xác nhận từ phía máy chủ (DHCPACK) theo yêu cầu, và được đánh dấu trong cơ sở dữ liệu của DHCP. Về cơ bản là như vậy, vậy còn điều gì phải lo lắng về an ninh hoặc bảo mật?
Các kiểu tấn công nhắm vào DHCP
Thật không may, các vấn đề có liên quan tới tính bảo mật DHCP thường rất khó khắc phục và giải quyết. Không hề có quá trình xác thực hoặc nhận dạng tín hiệu giữa quá trình trao đổi dữ liệu giữa DHCP server và DCHP client, do đó hệ thống server không thể biết được tín hiệu gửi đi từ phía client có an toàn hay không trên toàn bộ hệ thống mạng, và ngược lại, client cũng không thể biết được tín hiệu trả về từ phía server có đủ an toàn hay không. Khả năng tín hiệu giả mạo từ phía client và server có thể gây ra những kết quả khó lường.
Ví dụ, tín hiệu DHCP server giả mạo có thể cung cấp cho client hợp pháp thông tin về TCP/IP hoàn toàn không có thật, và qua đó ngăn chặn việc giao tiếp từ phía nạn nhân tới các client khác trong hệ thống. Và sau đó, quá trình Denial Of Service (DoS) sẽ khiến cho toàn bộ người sử dụng không thể kết nối vào hệ thống mạng, cũng như toàn bộ tài nguyên chia sẻ. Việc thiết lập và phát tán các tín hiệu DHCP server giả mạo cũng khá đơn giản như kiểu tấn công nhằm vào mạng xã hội, hoặc có thể kết nối tới laptop và điều chỉnh, cấu hình như 1 DHCP server bình thường.
1 tình huống khác có thể dễ dàng gặp phải liên quan đến những kẻ tấn công sẽ gây ảnh hưởng tới máy tính client trên hệ thống mạng, và qua đó cài đặt các phần mềm liên tục yêu cầu địa chỉ IP mới sử dụng cơ chế MAC giả mạo cho tới khi toàn bộ địa chỉ được cấp phát trong hệ thống DHCP server đầy. Khi tình trạng này xảy ra, toàn bộ các client hợp pháp đều không thể boot trên hệ thống mạng do không được nhận dạng và cấp phát địa chỉ theo yêu cầu, và tất nhiên, người sử dụng không thể truy cập hệ thống tài nguyên và làm việc.
1 kết cục tồi tệ hơn có thể xảy ra khi những kẻ tấn công “bẻ gãy” những chốt an ninh hiện tại và chiếm quyền kiểm soát toàn bộ hệ thống, và chúng sẽ ngay lập tức thay đổi toàn bộ hệ thống DHCP server để gán cho client các thông tin sai lệch về subnet … do đó sẽ tạo ra tiếp 1 đợt tấn công DoS. Hoặc, chúng thay đổi thông số kỹ thuật của server để gán cho client các thông tin DNS sai lệch, và tự động trỏ client tới hệ thống DNS server đã được chuẩn bị sẵn, người dùng sẽ làm việc, thao tác như bình thường trên hệ thống này mà họ không hề biết rằng đang tự cung cấp thông tin cá nhân cho kẻ tấn công thông qua các loại trojan nguy hiểm. Hoặc 1 khả năng nữa, chúng thay đổi toàn bộ thiết lập của server để gán hệ thống địa chỉ IP trỏ về hệ thống của kẻ tấn công thông qua gateway mặc định, qua đó chúng sẽ dễ dàng nắm bắt, truy cập và sử dụng thông tin cá nhân của người sử dụng mà họ không hề biết.
Mặt khác, nếu bạn đang sử dụng, quản lý hệ thống DHCP server bằng domain controller – thực chất đã bị những kẻ tấn công khai thác trước đó, liên tục từ chối yêu cầu truy cập từ các tài khoản trong cơ sở dữ liệu, sẽ gây ra sự xáo trộn và mất cân bằng trong toàn bộ dây chuyền làm việc. Và đây thường là “ác mộng” tồi tệ nhất đối với người quản lý. May mắn thay, có 1 số phương pháp cơ bản và khá đơn giản có thể áp dụng thành công trong những trường hợp như vậy, đảm bảo an toàn và tính bảo mật mang tính “nền móng” của DHCP và hệ thống mạng Windows.
Các mối đe dọa và phương pháp đối phó
Khi đối mặt với những hiểm họa này, các yêu cầu cần có đối với DHCP server của Windows 2000 và Windows Server 2003 sẽ được xác nhận bên trong Active Directory trước khi bắt đầu gán địa chỉ thành phần tới client. Quá trình xác nhận ở đây có nghĩa là khi DHCP server của Windows 2000 hoặc Windows Server 2003 tiến hành boot trên hệ thống Active Directory nếu chúng “giao tiếp” với domain controller trước tiên để kiểm tra xem những địa chỉ IP được tìm thấy trong danh sách DHCP server hợp pháp có đúng là của domain controller hay không. Nếu hệ thống DHCP server này xác nhận những thông tin nhận được từ phía client là chính xác, hệ thống sẽ tiếp tục làm như vậy đối với những yêu cầu tiếp theo. Còn nếu ngược lại, hệ thống sẽ tự động tắt bỏ dịch vụ DHCP Server, và đương nhiên, các máy client sẽ không được gán địa chỉ IP hợp lệ nữa.
Lợi ích thực sự của việc này là để bảo vệ hệ thống mạng của bạn tránh khỏi việc cấu hình sơ sài, không đủ độ bảo mật. Hãy thử tưởng tượng xem chuyện gì sẽ xảy ra khi tin tặc bí mật sử dụng, kết hợp hệ thống mạng của bạn với DHCP server không hoạt động trên nền tảng Windows 2000 hoặc Windows Server 2003? Trong trường hợp này, quá trình xác thực quyền truy cập sẽ không có tác dụng vì hệ thống DHCP server không phải của Microsoft sẽ không cung cấp thông tin phản hồi theo đúng chuẩn của Microsoft tới những tin nhắn DHCPINFORM của Windows được sử dụng để kiểm tra xem DHCP server đã được xác nhận hay chưa. Thậm chí, nếu DHCP server của Windows NT thất bại trong trường hợp này, những kẻ tấn công chỉ cần 1 chiếc laptop sử dụng Windows NT như hệ thống DHCP server giả mạo sẽ dễ dàng phát hiện và tránh khỏi những phương pháp phòng chống của người quản trị (chúng ta sẽ bàn luận trong phần 2).
Các tín hiệu từ phía client giả mạo lại là 1 vấn đề hoàn toàn khác, như việc DHCP được tạo ra để gán địa chỉ IP. 1 trong những cách dễ dàng để đối phó với vấn đề client giả mạo là thời điểm đầu tiên DHCP được đặt ra, đối với những hệ thống mạng với quy mô lớn thì việc thực hiện công đoạn này khá vất vả và phức tạp. Phương pháp phòng chống ở đây là việc thiết lập các chế độ tùy chỉnh, thông qua đó, việc lưu trữ các địa chỉ MAC tới 1 địa chỉ IP bất kỳ mà chỉ có client với thông số MAC cụ thể được chỉ định trước mới được gắn IP tương ứng. Nếu việc bảo mật là 1 trong những khâu quan trọng nhất thì người quản trị có thể áp dụng phương pháp tạo và đặt reservation đối với mỗi máy client trên toàn bộ hệ thống mạng. Do đó, mỗi 1 client giả mạo khi cố gắng boot và truy cập vào hệ thống mạng này sẽ nhận được tín hiệu DHCP không còn địa chỉ IP trống và do đó, không thể truy cập vào mạng của người quản trị.
Nhưng thực sự thì mọi việc có đơn giản như vậy hay không? Trong khi cách tiếp cận và phòng bị này chỉ có tác dụng đối với những cuộc tấn công ở mức trung bình, thì những tên hacker với nhiều thủ đoạn tinh vi hơn vẫn có thể “lách luật” và thâm nhập được vào hệ thống DHCP. Phương pháp khá đơn giản và phổ biến được tin tặc sử dụng là “lắng nghe” các tín hiệu DHCPDISCOVER phát tán từ phía client và sau đó, thu thập địa chỉ MAC. Và sau khi tín hiệu client hợp pháp ngừng hoạt động, các client giả mạo sẽ ngay lập tức thiết lập lại địa chỉ MAC để phù hợp với những gì client hợp pháp tạo ra, 1 mặt khác, chúng thu thập và tái tạo những thông số kỹ thuật hoàn toàn hợp lệ hoặc cố gắng phá vỡ các mối “giao tiếp” qua lại giữa các client hợp pháp với nhau. Để đối phó với tình trạng này, những người quản trị với kinh nghiệm và ý thức bảo mật cao thường xem xét phương pháp giảm tải DHCP đối với những địa chỉ tĩnh, nhưng phải làm gì để ngăn chặn triệt để tin tặc? Họ có thể áp dụng những phương pháp thủ công, đơn giản nhưng khá hiệu quả như cài đặt, kích hoạt tính năng tường lửa đối với mỗi client trên hệ thống mạng, thiết lập danh sách địa chỉ IP hợp pháp được phép truy cập. Nhưng hãy thử tưởng tượng xem, đội ngũ quản trị sẽ phải đau đầu như thế nào khi thực hiện từng đó thao tác trên mỗi máy trạm? Vì vậy, giải pháp tối ưu nhất vẫn là bảo mật có liên quan tới phần cứng theo chính sách chặt chẽ nhất có thể, và những hành động nghi ngờ, dù là nhỏ nhất cũng sẽ ngay lập tức bị loại bỏ, như việc kết nối các thiết bị lưu trữ ngoại vi (USB, ổ cứng di động … ) hoặc thay đổi dây mạng với máy khác trong hệ thống … mặt khác, đạo tạo toàn bộ hệ thống nhân viên về ý thức bảo mật và kỹ thuật xử lý sự cố từ mức căn bản đến nâng cao.
Tuy nhiên, đối với từng hệ thống và cơ sở hạ tầng mới có thể áp dụng phương pháp bảo mật như trên, về mặt bản chất, chúng ta vẫn cần bảo mật thực sự từ một điểm mấu chốt bất kỳ trong hệ thống mạng. Một khi tin tặc đã xâm nhập vào bên trong hệ thống phòng thủ của người quản trị, việc cấu hình lại hệ thống DHCP sẽ diễn ra âm thầm bộ phận quản trị không hề hay biết, chúng sẽ tìm cách tiếp cận, khai thác và kích hoạt các lỗ hổng bảo mật trong toàn bộ hệ thống, như việc chỉnh sửa lại toàn bộ cơ sở dữ liệu, các bản ghi khi Dynamic DNS (DDNS) đang được sử dụng, thu thập các thông tin nhạy cảm như chi tiết toàn bộ hoạt động của các máy server và client …
Tổng quát
Hãy nhìn qua danh sách và 1 vài tình huống liệt kê bên trên để rút ra kinh nghiệm cho chính bản thân, khi muốn áp dụng vào hệ thống DHCP của bạn. Trong phần 2 tiếp theo, chúng ta sẽ tiếp tục bàn luận sâu hơn về hệ thống Windows networks, nhưng trước tiên, hãy bắt đầu với những gì cơ bản và đơn giản nhất:
Tăng cường thực hiện các biện pháp liên quan tới phần cứng có thể áp dụng, và mở rộng quy mô triển khai các chính sách an ninh có thể, thận trọng trong việc duy trì biện pháp này.
Nâng cấp bất cứ biện pháp bảo mật của Windows NT, để chắc chắn rằng người dùng có thể sử dụng DHCP server qua cơ chế xác thực bên trong Active Directory.
Tránh sử dụng domain controller của Windows 2000 hoặc Windows Server 2003 như DHCP servers.
Sử dụng phương pháp reservation trong việc gán địa chỉ truy cập đối với những server trọng điểm trên hệ thống, hoặc tận dụng những địa chỉ tĩnh để thay thế.
Trong phần tiếp theo, chúng ta sẽ tiếp tục tìm hiểu các phương pháp làm thế nào để kích hoạt tính năng kiểm soát trên DHCP server, theo dõi các thành viên trong nhóm DHCPAdministrators sử dụng tính năng Restricted Groups của Windows Server 2003, bên cạnh đó, đảm bảo rằng hệ thống DNS hoạt động cùng với DHCP, hoặc sử dụng các công cụ khác nhau để phát hiện DHCP server giả mạo trên hệ thống.
Chúc các bạn thành công!