Triển khai các giải pháp an toàn bảo mật mạng LAN cho doanh nghiệp - Nguyễn Lê Anh Khoa

Chuyên khảo phân tích 0230 triển khai các giải pháp an toàn bảo mật trong mạng lan cho doanh nghiệp nguyễn lê anh khoa, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu

• Tác giả: Nguyễn Lê Anh Khoa
• Trường học: Đại Học Quảng Nam
• Đề tài: Triển Khai Các Giải Pháp An Toàn Bảo Mật Trong Mạng Lan Cho Doanh Nghiệp
• Loại tài liệu: Luận Văn

Mục lục chi tiết

• LỜI CẢM ƠN
• DANH MỤC HÌNH ẢNH
• DANH MỤC TỪ VIẾT TẮT
• MỞ ĐẦU
• Lý do chọn đề tài
• Mục tiêu của đề tài
• Đối tượng và phạm vi nghiên cứu
• Phương pháp nghiên cứu
• Lịch sử nghiên cứu
• Đóng góp của đề tài
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MẠNG MÁY TÍNH
• 1.1. Mạng máy tính và mục đích kết nối mạng
• 1.2. Kiến trúc mạng
• 1.3. Các thiết bị mạng thông dụng
• 1.4. Các thiết bị ghép nối
• 1.5. Mô phỏng mô hình mạng LAN của một doanh nghiệp vừa và nhỏ
• 2. CHƯƠNG 2: CÁC LOẠI HÌNH TẤN CÔNG MẠNG
• 2.1. An ninh mạng
• 2.1.1. Khái niệm về an ninh mạng
• 2.1.2. Hacker và ảnh hưởng của việc hack
• 2.1.3. Các giai đoạn tấn công
• 2.2. Các tác nhân đe dọa đến bảo mật mạng
• 2.3. Các loại tấn công mạng chủ yếu
• 2.3.1. Tấn công theo kiểu do thám
• 2.3.2. Tấn công theo kiểu truy xuất
• 2.3.3. Tấn công từ chối dịch vụ
• 3. CHƯƠNG 3: TRIỂN KHAI CÁC GIẢI PHÁP AN TOÀN BẢO MẬT MẠNG
• 3.1. Triển khai mạng VLAN
• 3.2. Triển khai danh sách truy cập Extended ACL trên Router
• 3.3. Triển khai domain trên Server
• 3.4. Triển khai giải pháp bảo mật trên AP
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan giải pháp an toàn bảo mật mạng LAN cho doanh nghiệp

Trong bối cảnh chuyển đổi số, hệ thống mạng LAN (Local Area Network) là xương sống cho mọi hoạt động của doanh nghiệp. Tuy nhiên, việc kết nối với Internet toàn cầu cũng mở ra vô số rủi ro. Luận văn của Nguyễn Lê Anh Khoa tại Đại học Quảng Nam đã phân tích sâu sắc thực trạng này, nhấn mạnh rằng an toàn và bảo mật thông tin là vấn đề sống còn. Dữ liệu khách hàng, tài chính và các quy trình nội bộ là những tài sản vô giá. Bất kỳ sự can thiệp trái phép nào cũng có thể gây ra rối loạn, thiệt hại tài chính và làm suy giảm uy tín nghiêm trọng. Do đó, việc triển khai các giải pháp an toàn bảo mật trong mạng LAN cho doanh nghiệp không chỉ là một lựa chọn, mà là một yêu cầu bắt buộc. Một hệ thống bảo mật toàn diện phải bao gồm cả phần cứng, phần mềm và các chính sách an toàn thông tin về con người. Mục tiêu là xây dựng một lá chắn vững chắc, phòng ngừa và hạn chế tối đa các nguy cơ mất mát dữ liệu hay rò rỉ thông tin, bảo vệ doanh nghiệp trước các mối đe dọa không ngừng gia tăng từ cả bên trong và bên ngoài.

1.1. Vai trò của mạng LAN trong hoạt động doanh nghiệp hiện đại

Mạng LAN là nền tảng cho việc chia sẻ thông tin, tài nguyên và liên lạc nội bộ. Một mạng LAN hiệu quả giúp tối ưu hóa quy trình làm việc, từ chia sẻ máy in, máy chủ tập trung đến các ứng dụng kinh doanh chuyên dụng. Theo nghiên cứu, mô hình mạng LAN cho doanh nghiệp vừa và nhỏ thường bao gồm các thiết bị như Switch, Router, máy chủ và các máy trạm. Việc phân chia hệ thống thành các phòng ban riêng biệt giúp thuận tiện cho việc quản lý. Tuy nhiên, chính sự kết nối này lại tạo ra các điểm yếu nếu không có biện pháp bảo mật hệ thống mạng doanh nghiệp phù hợp. Mỗi thiết bị kết nối đều là một cửa ngõ tiềm năng cho các cuộc tấn công, đòi hỏi một chiến lược quản trị mạng an toàn và chặt chẽ.

1.2. Các rủi ro tiềm ẩn khi thiếu an toàn thông tin mạng LAN

Việc xem nhẹ an toàn thông tin mạng LAN có thể dẫn đến những hậu quả nghiêm trọng. Luận văn chỉ ra rằng các mối đe dọa không chỉ đến từ bên ngoài (hacker, đối thủ cạnh tranh) mà còn từ chính nội bộ. Nhân viên có quyền truy cập hệ thống có thể vô tình hoặc cố ý tạo ra lỗ hổng, gây ra thiệt hại còn lớn hơn các cuộc tấn công từ Internet. Các rủi ro cụ thể bao gồm: bị đánh cắp dữ liệu nhạy cảm, thông tin kinh doanh, bị tấn công từ chối dịch vụ (DoS/DDoS) làm gián đoạn hoạt động, hoặc bị cài cắm mã độc để theo dõi. Thiếu một chiến lược bảo mật endpoint và chính sách rõ ràng, doanh nghiệp sẽ phải đối mặt với tổn thất tài chính, mất uy tín và thậm chí là các vấn đề pháp lý.

II. Top các mối đe dọa an toàn bảo mật mạng LAN doanh nghiệp

An ninh mạng nội bộ đối mặt với vô số hình thức tấn công tinh vi, được phân loại dựa trên mục đích và phương thức thực hiện. Luận văn của Nguyễn Lê Anh Khoa đã hệ thống hóa các loại hình tấn công mạng chủ yếu, giúp người quản trị có cái nhìn tổng quan để xây dựng phương án phòng thủ. Các cuộc tấn công có thể xuất phát từ bên ngoài bởi các hacker chuyên nghiệp, hoặc nguy hiểm hơn là từ bên trong bởi nhân viên bất mãn. Các giai đoạn của một cuộc tấn công điển hình bao gồm: Thăm dò (Reconnaissance) để thu thập thông tin, Quét hệ thống (Scanning) để tìm lỗ hổng, Chiếm quyền điều khiển (Gaining Access), Duy trì quyền truy cập (Maintaining Access) và cuối cùng là Xóa dấu vết (Clearing Tracks). Hiểu rõ các mối đe dọa này là bước đầu tiên và quan trọng nhất trong việc triển khai các giải pháp an ninh mạng cho SME và các doanh nghiệp lớn, đảm bảo một hệ thống phòng thủ đa lớp và hiệu quả.

2.1. Phân loại tấn công Do thám truy xuất và tấn công DoS DDoS

Tấn công mạng được chia thành nhiều loại. Tấn công do thám (Reconnaissance) là hành động thu thập thông tin về hệ thống mục tiêu như địa chỉ IP, các port đang mở thông qua các kỹ thuật như Ping quét hay bắt gói tin (packet sniffing). Tấn công truy xuất (Access Attack) là bước tiếp theo, khai thác các lỗ hổng để chiếm quyền truy cập, ví dụ như tấn công dò mật khẩu (brute-force) hoặc tấn công giả mạo (man-in-the-middle). Đặc biệt nguy hiểm là các cuộc tấn công từ chối dịch vụ (DoS/DDoS), với mục đích làm quá tải tài nguyên hệ thống, khiến dịch vụ bị ngưng trệ, gây thiệt hại trực tiếp đến hoạt động kinh doanh. Việc phòng chống tấn công DoS/DDoS là một ưu tiên hàng đầu trong bảo mật hệ thống mạng doanh nghiệp.

2.2. Nguy cơ từ nội bộ Mối đe dọa từ chính người dùng

Luận văn nhấn mạnh rằng "mối đe dọa bên trong tổ chức xảy ra lớn hơn bên ngoài". Nguyên nhân chính là do nhân viên có sẵn quyền truy cập hợp pháp vào hệ thống. Họ có thể vô tình gây ra lỗ hổng bảo mật bằng cách sử dụng mật khẩu yếu, truy cập các trang web không an toàn, hoặc cố ý đánh cắp, phá hoại dữ liệu khi bất mãn hoặc bị đối thủ mua chuộc. Đây là một thách thức lớn vì các biện pháp bảo vệ vành đai như tường lửa thường không hiệu quả với các mối đe dọa nội bộ. Do đó, việc phân quyền người dùng một cách chặt chẽ và triển khai giám sát an ninh mạng liên tục là cực kỳ quan trọng.

2.3. Lỗ hổng từ thiết bị và cấu hình sai cần được đánh giá

Không chỉ người dùng, bản thân các thiết bị mạng như router, switch, access point cũng là nguồn gốc của các lỗ hổng. Việc không cập nhật firmware, sử dụng mật khẩu mặc định hoặc cấu hình sai các quy tắc bảo mật là những sai lầm phổ biến. Kẻ tấn công có thể khai thác những điểm yếu này để xâm nhập vào hệ thống. Do đó, quy trình đánh giá lỗ hổng bảo mật định kỳ là rất cần thiết. Quá trình này bao gồm việc quét toàn bộ hệ thống để tìm kiếm các điểm yếu đã biết, kiểm tra lại các cấu hình và đảm bảo mọi thiết bị đều tuân thủ chính sách an toàn thông tin của tổ chức.

III. Hướng dẫn triển khai VLAN Giải pháp phân đoạn an ninh mạng

Một trong những giải pháp nền tảng và hiệu quả nhất để nâng cao an toàn thông tin mạng LAN là triển khai Mạng LAN ảo (VLAN). Theo luận văn, VLAN cho phép chia một mạng vật lý thành nhiều phân đoạn mạng logic độc lập. Mỗi VLAN hoạt động như một miền quảng bá (broadcast domain) riêng biệt. Điều này có nghĩa là lưu lượng broadcast từ một VLAN sẽ không thể lan sang các VLAN khác. Lợi ích chính của việc này là tiết kiệm băng thông, tăng hiệu suất mạng và quan trọng nhất là tăng cường bảo mật. Bằng cách nhóm các phòng ban (ví dụ: Kế toán, Nhân sự, Kinh doanh) vào các VLAN riêng, doanh nghiệp có thể cô lập dữ liệu và hạn chế quyền truy cập trái phép giữa các bộ phận. Nếu một VLAN bị tấn công, thiệt hại sẽ được giới hạn trong phạm vi của VLAN đó, không ảnh hưởng đến toàn bộ hệ thống. Đây là một bước cơ bản nhưng vô cùng quan trọng trong việc xây dựng một kiến trúc an ninh mạng nội bộ vững chắc.

3.1. Các lợi ích chính của việc phân chia mạng LAN ảo VLAN

Triển khai VLAN mang lại ba lợi ích cốt lõi. Thứ nhất, tăng cường bảo mật: các máy tính trong các VLAN khác nhau không thể giao tiếp trực tiếp với nhau nếu không có sự cho phép của router, giúp ngăn chặn sự lây lan của mã độc và truy cập trái phép. Thứ hai, tối ưu hiệu suất: bằng cách giới hạn lưu lượng broadcast trong từng VLAN, băng thông mạng được sử dụng hiệu quả hơn, giảm độ trễ và tăng tốc độ truyền dữ liệu. Thứ ba, tăng tính linh hoạt: việc thay đổi vị trí làm việc của nhân viên trở nên đơn giản hơn. Người quản trị chỉ cần cấu hình lại cổng switch thuộc về VLAN tương ứng mà không cần phải thay đổi hệ thống cáp vật lý, giúp việc quản trị mạng an toàn trở nên dễ dàng hơn.

3.2. Cấu hình VTP và Trunking để quản lý VLAN tập trung

Để quản lý hiệu quả hệ thống nhiều VLAN trên nhiều switch, Giao thức Trunking VLAN (VTP) và kết nối Trunk là không thể thiếu. Một kết nối Trunk cho phép truyền tải lưu lượng của nhiều VLAN khác nhau qua một liên kết vật lý duy nhất giữa các switch hoặc giữa switch và router. Trong khi đó, VTP giúp đồng bộ hóa thông tin cấu hình VLAN (thêm, xóa, sửa) trên toàn bộ hệ thống mạng. Người quản trị chỉ cần cấu hình trên một switch VTP Server, các switch VTP Client khác sẽ tự động cập nhật, giảm thiểu sai sót và tiết kiệm thời gian quản lý. Việc kết hợp này tạo ra một hệ thống an ninh mạng nội bộ có khả năng mở rộng và quản lý tập trung.

IV. Phương pháp cấu hình ACL bảo mật truy cập trên Router

Nếu VLAN là giải pháp bảo mật ở Lớp 2 (Data Link), thì Danh sách kiểm soát truy cập (Access Control List - ACL) là công cụ bảo mật mạnh mẽ ở Lớp 3 (Network). Router, thiết bị hoạt động ở Lớp 3, có nhiệm vụ chính là định tuyến các gói tin giữa các mạng khác nhau, bao gồm cả các VLAN. Theo luận văn, ACL là một tập hợp các quy tắc được áp dụng trên các cổng của router để lọc lưu lượng truy cập. Các quy tắc này xác định gói tin nào được phép đi qua và gói tin nào sẽ bị từ chối, dựa trên các tiêu chí như địa chỉ IP nguồn, địa chỉ IP đích, giao thức (TCP, UDP) và số cổng. Việc triển khai ACL là một phần không thể thiếu của cấu hình bảo mật router. Bằng cách định nghĩa các luật truy cập chặt chẽ, doanh nghiệp có thể ngăn chặn các truy cập không mong muốn từ bên ngoài vào mạng nội bộ, hoặc hạn chế giao tiếp giữa các VLAN, tạo ra một lớp phòng thủ quan trọng cho hệ thống.

4.1. Nguyên tắc hoạt động của Access Control List ACL

ACL hoạt động như một người gác cổng cho mạng. Khi một gói tin đi vào hoặc đi ra một cổng router có áp dụng ACL, router sẽ kiểm tra thông tin của gói tin đó với từng quy tắc trong danh sách theo thứ tự từ trên xuống dưới. Ngay khi tìm thấy một quy tắc khớp, router sẽ thực hiện hành động tương ứng (cho phép hoặc từ chối) và ngừng kiểm tra các quy tắc còn lại. Nếu không có quy tắc nào khớp, gói tin sẽ bị từ chối theo một quy tắc ẩn mặc định ở cuối mỗi ACL. Hiểu rõ nguyên tắc này là điều kiện tiên quyết để xây dựng các bộ lọc hiệu quả, tránh tạo ra các lỗ hổng do cấu hình sai.

4.2. Triển khai Extended ACL để kiểm soát truy cập chi tiết

Có hai loại ACL chính: Standard và Extended. Standard ACL chỉ có thể lọc dựa trên địa chỉ IP nguồn, rất hạn chế. Trong khi đó, Extended ACL cung cấp khả năng kiểm soát chi tiết hơn nhiều. Nó có thể lọc dựa trên cả địa chỉ IP nguồn và đích, loại giao thức (IP, TCP, UDP, ICMP), và số cổng nguồn/đích. Điều này cho phép người quản trị tạo ra các quy tắc rất cụ thể, ví dụ: cho phép máy tính A trong VLAN Kế toán truy cập máy chủ Web (cổng 80) trong VLAN Kinh doanh, nhưng chặn tất cả các truy cập khác. Việc sử dụng Extended ACL là phương pháp tối ưu để thực thi chính sách an toàn thông tin một cách chi tiết.

4.3. Kết hợp ACL và cấu hình tường lửa Firewall cơ bản

Trên nhiều thiết bị router hiện đại, chức năng ACL có thể được coi là một dạng tường lửa cơ bản (stateless firewall). Nó kiểm tra từng gói tin một cách độc lập mà không quan tâm đến trạng thái của kết nối. Để tăng cường bảo mật, doanh nghiệp nên kết hợp ACL với các giải pháp tường lửa chuyên dụng (stateful firewall). Tuy nhiên, ngay cả việc cấu hình tường lửa (Firewall) cơ bản bằng ACL trên router cũng đã tạo ra một rào cản ban đầu hiệu quả, giúp giảm tải cho các thiết bị bảo mật phía sau và ngăn chặn các loại hình tấn công phổ biến, góp phần xây dựng một hệ thống bảo mật hệ thống mạng doanh nghiệp toàn diện.

V. Tích hợp các giải pháp an toàn bảo mật mạng LAN toàn diện

Để xây dựng một hệ thống phòng thủ chiều sâu, việc chỉ dựa vào VLAN và ACL là chưa đủ. Một chiến lược an toàn bảo mật trong mạng LAN cho doanh nghiệp hiệu quả đòi hỏi sự kết hợp của nhiều công nghệ và chính sách khác nhau. Luận văn của Nguyễn Lê Anh Khoa cũng đề cập đến các giải pháp bổ sung như triển khai Domain trên Server và bảo mật cho điểm truy cập không dây (AP). Ngoài ra, các công nghệ hiện đại như mạng riêng ảo (VPN), hệ thống phát hiện xâm nhập (IDS), và hệ thống phòng chống xâm nhập (IPS) đóng vai trò quan trọng trong việc bảo vệ dữ liệu khi truy cập từ xa và giám sát các hoạt động bất thường bên trong mạng. Việc triển khai đồng bộ các giải pháp này, từ bảo mật endpoint với phần mềm diệt virus cho doanh nghiệp đến mã hóa dữ liệu trên đường truyền, sẽ tạo ra một môi trường mạng an toàn và có khả năng chống chịu cao trước các cuộc tấn công ngày càng tinh vi.

5.1. Triển khai Domain và chính sách phân quyền người dùng

Việc triển khai một Domain Controller (sử dụng Active Directory) cho phép quản lý tập trung tài khoản người dùng, máy tính và các tài nguyên mạng. Đây là nền tảng để thực thi chính sách phân quyền người dùng theo nguyên tắc đặc quyền tối thiểu (least privilege). Mỗi người dùng chỉ được cấp quyền truy cập vào những dữ liệu và ứng dụng cần thiết cho công việc của họ. Điều này giúp giảm thiểu rủi ro khi một tài khoản bị xâm phạm và là một phần cốt lõi của chính sách an toàn thông tin, đặc biệt hiệu quả trong việc chống lại các mối đe dọa từ nội bộ.

5.2. Bảo mật truy cập từ xa với Mạng riêng ảo VPN

Với xu hướng làm việc từ xa, việc đảm bảo an toàn cho các kết nối vào mạng nội bộ từ Internet là tối quan trọng. Mạng riêng ảo (VPN) tạo ra một đường hầm được mã hóa an toàn qua môi trường mạng công cộng. Mọi dữ liệu trao đổi giữa người dùng từ xa và mạng công ty đều được bảo vệ, ngăn chặn các hành vi nghe lén (eavesdropping) và tấn công man-in-the-middle. Sử dụng VPN là một giải pháp an ninh mạng cho SME và các tập đoàn lớn không thể thiếu để đảm bảo tính toàn vẹn và bí mật của thông tin.

5.3. Tăng cường an toàn mạng không dây Wi Fi Security

Mạng Wi-Fi là một điểm yếu thường bị bỏ qua. Việc sử dụng các giao thức mã hóa mạnh như WPA2/WPA3, kết hợp với các kỹ thuật như lọc địa chỉ MAC, và tạo mạng Wi-Fi riêng cho khách (Guest Wi-Fi) là các bước cơ bản để đảm bảo an toàn mạng không dây (Wi-Fi Security). Việc cô lập mạng khách khỏi mạng nội bộ bằng VLAN đảm bảo rằng khách truy cập không thể tiếp cận các tài nguyên nhạy cảm của công ty. Đây là một yếu tố quan trọng để hoàn thiện chiến lược bảo mật hệ thống mạng doanh nghiệp.

VI. Kết luận Xây dựng chiến lược bảo mật mạng LAN bền vững

Luận văn "Triển khai các giải pháp an toàn bảo mật trong mạng LAN cho doanh nghiệp" đã cung cấp một cái nhìn tổng thể và thực tiễn về việc bảo vệ hạ tầng mạng. Kết quả cho thấy không có một giải pháp duy nhất nào là hoàn hảo. Thay vào đó, một chiến lược bảo mật hiệu quả phải là sự kết hợp đa tầng, đa lớp, từ các biện pháp kỹ thuật như VLAN, ACL, Firewall đến các chính sách quản lý con người. An ninh mạng không phải là một dự án có điểm kết thúc, mà là một quá trình liên tục. Các mối đe dọa luôn tiến hóa, đòi hỏi doanh nghiệp phải không ngừng cập nhật, đánh giá lỗ hổng bảo mật và cải tiến hệ thống phòng thủ. Việc đầu tư vào an ninh mạng nội bộ không chỉ là chi phí mà là sự đầu tư vào sự ổn định, uy tín và tương lai phát triển bền vững của chính doanh nghiệp.

6.1. Tóm tắt hiệu quả của các giải pháp bảo mật đã triển khai

Các giải pháp như VLAN và ACL đã chứng minh hiệu quả rõ rệt trong việc phân đoạn mạng và kiểm soát luồng dữ liệu, giúp cô lập các mối đe dọa và thực thi chính sách bảo mật. Việc kết hợp với quản lý danh tính và truy cập thông qua Domain Controller giúp giảm thiểu rủi ro từ nội bộ. Các công nghệ như VPN và bảo mật Wi-Fi đảm bảo an toàn cho các kết nối từ xa và không dây. Tổng hợp lại, các giải pháp này tạo thành một lá chắn vững chắc, nâng cao đáng kể khả năng phòng thủ của hệ thống mạng doanh nghiệp.

6.2. Tầm quan trọng của giám sát an ninh mạng và cập nhật liên tục

Việc triển khai các giải pháp bảo mật chỉ là bước khởi đầu. Để duy trì một môi trường an toàn, công tác giám sát an ninh mạng phải được thực hiện liên tục. Điều này bao gồm việc theo dõi nhật ký hệ thống (log), phân tích lưu lượng mạng để phát hiện các hoạt động bất thường bằng các công cụ như hệ thống phát hiện xâm nhập (IDS), và thường xuyên cập nhật các bản vá lỗi cho phần mềm và thiết bị. Sự cảnh giác và chủ động ứng phó là chìa khóa để đối phó với các kỹ thuật tấn công mới.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh kinh tế số, dữ liệu và tài nguyên số đóng vai trò là huyết mạch luân chuyển các dòng tài chính và thông tin khách hàng của mọi tổ chức. Theo báo cáo nghiên cứu an ninh mạng toàn cầu từ Symantec, các sự cố xâm nhập hệ thống gây thiệt hại bình quân khoảng 2,2 triệu USD mỗi năm cho một doanh nghiệp lớn. Đáng chú ý, hơn 60% các rủi ro bảo mật nghiêm trọng không xuất phát từ bên ngoài mà bắt nguồn từ chính các lỗ hổng bên trong mạng nội bộ do nhân viên quản trị hoặc người dùng có quyền truy cập gây ra. Mạng cục bộ (LAN) tại phần lớn các đơn vị vẫn duy trì cấu trúc phẳng, thiếu các tầng phòng thủ cô lập, khiến nguy cơ mất mát dữ liệu và tê liệt dịch vụ luôn thường trực.

Luận văn tập trung nghiên cứu và xây dựng mô hình phòng thủ đa lớp cho hạ tầng mạng LAN của doanh nghiệp vừa và nhỏ, quy mô từ 50 đến 200 nút mạng. Mục tiêu cụ thể là phân tích toàn diện các dạng tấn công phổ biến như nghe lén gói tin (Sniffing), giả mạo địa chỉ (IP/ARP Spoofing), tấn công từ chối dịch vụ (DoS/DDoS) và tấn công trung gian (Man-in-the-Middle). Trên cơ sở đó, nghiên cứu triển khai thực nghiệm các giải pháp kỹ thuật bao gồm: phân đoạn mạng bằng mạng cục bộ ảo (VLAN), kiểm soát truy cập mở rộng (Extended ACL), bảo mật điểm truy cập không dây (AP) qua lọc địa chỉ MAC và xác thực tập trung qua Active Directory. Kết quả ứng dụng giúp giảm thiểu từ 85% đến 95% nguy cơ rò rỉ dữ liệu nội bộ, tối ưu hóa hơn 30% hiệu năng sử dụng băng thông và thiết lập môi trường trao đổi thông tin an toàn, liên tục cho doanh nghiệp.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng vững chắc của hai mô hình truyền thông kinh điển: mô hình tham chiếu kết nối các hệ thống mở 7 tầng (OSI) và bộ giao thức 4 tầng TCP/IP. Trong đó, trọng tâm bảo mật tập trung vào Tầng liên kết dữ liệu (Data Link - Tầng 2) và Tầng mạng (Network - Tầng 3), nơi trực tiếp điều phối lưu lượng qua địa chỉ MAC 48-bit và địa chỉ IP 32-bit (IPv4). Không gian địa chỉ IPv4 cung cấp khoảng 4,29 tỷ địa chỉ, được phân chia thành 5 lớp từ A đến E, trong đó các mạng nội bộ doanh nghiệp thường vận hành trên dải địa chỉ lớp C với tối đa 254 máy trạm trên mỗi phân mạng.

Khung lý thuyết vận dụng sâu ba trụ cột công nghệ then chốt:

• Công nghệ mạng LAN ảo (VLAN) theo chuẩn IEEE 802.1Q: Cho phép phân chia một hạ tầng switch vật lý thành tối đa 4.096 miền quảng bá (broadcast domain) độc lập về mặt logic, ngăn chặn hoàn toàn việc truy xuất trái phép giữa các phân hệ mạng khác nhau.
• Giao thức trung kế VLAN (VTP - VLAN Trunking Protocol): Hoạt động ở tầng 2 giúp đồng bộ hóa 100% cấu hình phân vùng mạng trên toàn bộ hệ thống switch thông qua các chế độ Server, Client và Transparent.
• Cơ chế kiểm soát truy cập mở rộng (Extended Access Control List - Extended ACL): Hoạt động ở tầng 3 và tầng 4, cho phép bộ định tuyến (Router) kiểm tra gói tin dựa trên địa chỉ IP nguồn, IP đích, cũng như số hiệu cổng dịch vụ (như Port 80 HTTP, Port 443 HTTPS, Port 21 FTP) để ra quyết định cho phép hoặc từ chối truyền gói tin.

Phương pháp nghiên cứu

Nghiên cứu kết hợp chặt chẽ giữa phương pháp tổng hợp tài liệu học thuật và phương pháp thực nghiệm mô phỏng trên nền tảng thiết bị chuyên dụng. Nguồn dữ liệu sơ cấp được thu thập từ quá trình đo kiểm lưu lượng và nhật ký kết nối trực tiếp trên các thiết bị mạng Cisco. Cỡ mẫu thực nghiệm đại diện cho một mô hình doanh nghiệp điển hình bao gồm 1 hệ thống máy chủ quản trị, 1 bộ định tuyến Cisco Router đóng vai trò Gateway, 3 thiết bị chuyển mạch Switch và 1 điểm truy cập Access Point không dây phục vụ 24 máy trạm phân bổ theo 3 phòng ban chức năng.

Nghiên cứu áp dụng phương pháp chọn mẫu có chủ đích (purposive sampling) nhằm mô phỏng chuẩn xác ba phân hệ nghiệp vụ có yêu cầu bảo mật khác nhau: Phân hệ Nhân sự (VLAN 10), Phân hệ Kế toán (VLAN 20) và Phân hệ Kinh doanh (VLAN 30). Lý do lựa chọn phương pháp phân tích thực nghiệm trên mô hình mạng giả lập kết hợp thiết bị thật là nhằm đảm bảo tính xác thực cao, khả năng đo lường chính xác các gói tin ICMP, TCP, UDP và đánh giá mức độ an toàn trước các đợt tấn công thử nghiệm mà không gây ảnh hưởng đến hoạt động sản xuất kinh doanh thực tế. Toàn bộ quá trình nghiên cứu và thực nghiệm được tiến hành liên tục trong khung thời gian 6 tháng, từ tháng 11 năm 2016 đến tháng 04 năm 2017.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình triển khai cấu hình và kiểm thử thực nghiệm trên hệ thống đã ghi nhận 4 phát hiện kỹ thuật quan trọng:

1. Triệt tiêu xung đột và lưu lượng rác: Việc chia tách mạng LAN vật lý thành 3 phân vùng VLAN độc lập (VLAN 10, VLAN 20, VLAN 30) đã thu hẹp hoàn toàn các miền quảng bá riêng biệt. Lưu lượng bão hòa quảng bá (broadcast storm) trên toàn hệ thống giảm khoảng 75% so với cấu trúc mạng phẳng ban đầu, giúp giải phóng băng thông truyền tải cho các ứng dụng lõi.

2. Ngăn chặn 100% kết nối vật lý trái phép: Thông qua việc cấu hình Static MAC Address trên các cổng Switch kết hợp bảng CAM (Content Addressable Memory) và bộ lọc MAC Filtering trên Access Point, hệ thống đã khóa cứng cổng kết nối khi phát hiện thiết bị lạ. Khi một máy tính lạ cắm vào cổng mạng hoặc cố gắng kết nối sóng Wi-Fi, cổng kết nối tự động từ chối phục vụ, loại bỏ hoàn toàn nguy cơ xâm nhập vật lý.

3. Kiểm soát phân quyền luồng dữ liệu liên vùng: Triển khai danh sách mở rộng Extended ACL trên Router định tuyến giúp kiểm soát chặt chẽ luồng dữ liệu giữa các phân mạng. Cụ thể, các máy trạm thuộc VLAN 30 (Kinh doanh) bị chặn 100% khả năng truy cập vào máy chủ cơ sở dữ liệu nội bộ của VLAN 20 (Kế toán), trong khi vẫn duy trì kết nối Internet bình thường qua cổng 80 và 443.

4. Nâng cao tính toàn vẹn và xác thực người dùng: Cấu hình phân cấp máy chủ thông qua Active Directory kết hợp mã hóa chuỗi băm MD5 (Message-Digest Algorithm 5) trên các tệp cấu hình thiết bị đã ngăn chặn thành công 100% các cuộc tấn công rò quét mật khẩu dạng Brute-force qua cổng dòng lệnh Telnet truyền thống.

Thảo luận kết quả

Các kết quả thực nghiệm chứng minh rằng an ninh mạng LAN không chỉ đơn thuần là việc trang bị tường lửa ở cổng biên Internet mà cốt lõi nằm ở kiến trúc phòng thủ chiều sâu từ bên trong. Trên các biểu đồ phân tích lưu lượng mạng, trước khi triển khai VLAN, mọi gói tin phát tán từ một máy tính nhiễm mã độc có thể làm nghẽn toàn bộ đường truyền nội bộ với độ trễ gói tin lên tới trên 45ms. Sau khi thiết lập VLAN và cấu hình VTP, độ trễ trung bình giữa các trạm làm việc giảm mạnh xuống dưới 12ms nhờ việc phân luồng dữ liệu cục bộ.

So sánh với các mô hình bảo mật truyền thống chỉ dựa vào tường lửa biên của một số nghiên cứu trước đây, mô hình phân đoạn mạng kết hợp Extended ACL trong luận văn thể hiện ưu thế vượt trội trong việc ngăn chặn kỹ thuật tấn công Man-in-the-Middle và ARP Spoofing. Khi kẻ tấn công nằm cùng một switch nhưng ở hai VLAN khác nhau, switch từ chối chuyển tiếp khung tin tầng 2 trực tiếp mà bắt buộc phải qua router xử lý tầng 3, nơi các bộ lọc Extended ACL lập tức nhận diện và hủy bỏ gói tin giả mạo. Điều này lý giải vì sao các doanh nghiệp triển khai giải pháp này có thể nâng cao độ sẵn sàng của hệ thống lên mức 99,9%, bảo vệ toàn diện các giao dịch tài chính và tài nguyên nội bộ.

Tiêu chí đánh giá	Mô hình mạng LAN phẳng truyền thống	Mô hình mạng LAN bảo mật đa lớp
Kiểm soát miền quảng bá (Broadcast Domain)	01 miền chung cho toàn bộ mạng	Tách biệt theo từng VLAN (3 miền riêng)
Nguy cơ tấn công nghe lén (Sniffing/MITM)	Rất cao (trên 80% gói tin bị bắt)	Triệt tiêu hoàn toàn giữa các phân vùng
Kiểm soát thiết bị lạ truy cập	Không có (kết nối tự do)	Chặn 100% qua Static MAC và MAC Filter
Phân quyền truy xuất dữ liệu liên phòng ban	Không phân quyền ở tầng mạng	Kiểm soát chi tiết theo Port và IP qua ACL

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, luận văn đề xuất 4 nhóm giải pháp kỹ thuật có tính ứng dụng cao cho các doanh nghiệp:

• Tái cấu trúc và phân đoạn hệ thống mạng logic: Tiến hành phân chia mạng nội bộ thành tối thiểu 3 đến 5 mạng VLAN riêng biệt tương ứng với từng khối chức năng (Ban Giám đốc, Kế toán, Nhân sự, Kinh doanh, Khách vãng lai). Đặt mục tiêu cách ly hoàn toàn 100% các sự cố lây nhiễm mã độc trong vòng 30 ngày kể từ khi triển khai, do bộ phận Kỹ thuật hạ tầng mạng chịu trách nhiệm thực hiện.
• Thiết lập chế độ khóa cổng truy cập (Port Security và Static MAC): Cấu hình gán cứng địa chỉ MAC cố định trên 100% các cổng chuyển mạch tại các khu vực làm việc công cộng và kích hoạt bộ lọc MAC trên thiết bị Access Point Wi-Fi. Thời gian hoàn thành trong vòng 45 ngày nhằm loại bỏ nguy cơ cắm trộm thiết bị thu phát trái phép.
• Triển khai bộ lọc Extended ACL nghiêm ngặt trên thiết bị định tuyến: Xây dựng chính sách lọc gói tin chỉ cho phép các luồng thông tin hợp lệ đi qua, chặn toàn bộ các cổng dịch vụ có rủi ro cao như Telnet (Port 23), NetBIOS (Port 137-139) và SMB (Port 445). Mục tiêu giảm thiểu 90% lưu lượng quét lỗ hổng mạng, thực hiện định kỳ kiểm tra quy tắc 6 tháng một lần do Chuyên viên An toàn thông tin giám sát.
• Chuẩn hóa quản trị tài khoản tập trung và chính sách người dùng: Triển khai giải pháp Active Directory trên máy chủ Windows Server, áp dụng chính sách mật khẩu mạnh có chu kỳ thay đổi 90 ngày, kết hợp mã hóa bảo mật toàn bộ dữ liệu cấu hình thiết bị qua chuẩn MD5 hoặc SHA-256. Ban Giám đốc cùng Trưởng phòng CNTT chịu trách nhiệm ban hành quy chế an toàn thông tin nội bộ trong vòng 60 ngày.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả nghiên cứu của luận văn mang lại giá trị thực tiễn sâu sắc cho 4 nhóm đối tượng chính:

• Kỹ sư quản trị mạng và chuyên viên an toàn thông tin: Cung cấp tài liệu hướng dẫn từng bước (step-by-step) về phương pháp cấu hình VLAN, thiết lập trung kế VTP, viết quy tắc Extended ACL và cấu hình lọc MAC trên thiết bị Cisco, giúp tối ưu hóa 50% thời gian thiết kế và xử lý sự cố an ninh mạng.
• Sinh viên, học viên cao học chuyên ngành Mạng máy tính và An toàn thông tin: Cung cấp khung lý thuyết chuẩn hóa, mô hình toán học về phân lớp địa chỉ IP, cơ chế đóng gói dữ liệu TCP/IP và phương pháp xây dựng bài thực nghiệm mô phỏng đạt chuẩn học thuật.
• Giám đốc Công nghệ Thông tin (CIO) và chủ doanh nghiệp vừa và nhỏ: Cung cấp góc nhìn chiến lược về an ninh nội bộ, giúp doanh nghiệp tiết kiệm khoảng 40% chi phí đầu tư phần cứng chuyên dụng đắt đỏ bằng cách khai thác tối đa các tính năng an toàn có sẵn trên thiết bị mạng hiện hữu.
• Các đơn vị tư vấn và triển khai tích hợp hệ thống ICT: Sử dụng tài liệu như một bộ tiêu chuẩn kỹ thuật mẫu để tư vấn thiết kế hạ tầng mạng an toàn, đáp ứng các tiêu chuẩn bảo mật cho hơn 100 dự án văn phòng và nhà xưởng vừa và nhỏ.

Câu hỏi thường gặp

Triển khai VLAN có thể thay thế hoàn toàn thiết bị tường lửa (Firewall) chuyên dụng hay không? VLAN không thể thay thế hoàn toàn tường lửa chuyên dụng mà đóng vai trò bổ trợ trong mô hình phòng thủ theo chiều sâu. VLAN chịu trách nhiệm phân đoạn và cô lập lưu lượng ở Tầng 2, trong khi tường lửa chuyên dụng kiểm soát lưu lượng sâu từ Tầng 4 đến Tầng 7. Kết hợp VLAN với các quy tắc Extended ACL giúp giảm tới 70% tải xử lý cho tường lửa biên của doanh nghiệp.

Tại sao các mối đe dọa an ninh mạng từ bên trong lại nguy hiểm hơn từ bên ngoài? Các tác nhân đe dọa bên trong đặc biệt nguy hiểm vì người dùng nội bộ đã sở hữu sẵn quyền truy cập vật lý và quyền đăng nhập hợp lệ vào hệ thống mạng. Các cuộc tấn công nội bộ thường bỏ qua các lớp bảo vệ biên, cho phép kẻ xấu dễ dàng thu thập gói tin nhạy cảm qua giao thức ARP và khai thác điểm yếu hệ thống mà không bị phát hiện trong thời gian dài.

Việc thiết lập gán cứng địa chỉ MAC tĩnh có gây khó khăn cho tính linh hoạt của văn phòng không? Phương pháp gán cứng địa chỉ MAC tĩnh (Static MAC) có thể làm phát sinh thêm thời gian quản trị khi thay đổi thiết bị, nhưng bù lại mang lại mức độ an toàn gần như tuyệt đối cho các phân khu trọng yếu như phòng Kế toán hay Máy chủ. Đối với khu vực làm việc linh hoạt, doanh nghiệp có thể áp dụng cơ chế 802.1X hoặc gán VLAN động để cân bằng giữa bảo mật và tính tiện dụng.

Sự khác biệt căn bản giữa Standard ACL và Extended ACL là gì? Standard ACL chỉ kiểm tra địa chỉ IP nguồn của gói tin và thường được đặt gần đích đến, do đó khả năng kiểm soát rất hạn chế. Ngược lại, Extended ACL cho phép kiểm tra đồng thời địa chỉ IP nguồn, địa chỉ IP đích, loại giao thức (TCP/UDP) và số hiệu cổng ứng dụng cụ thể, giúp quản trị viên thiết lập các chính sách lọc dữ liệu chính xác đến từng dịch vụ mạng.

Làm thế nào để phát hiện sớm một hệ thống mạng LAN đang bị tấn công nghe lén hoặc DoS? Quản trị viên cần thường xuyên theo dõi hiệu năng hệ thống qua các thông số tải CPU trên Router/Switch vượt quá 80%, bảng ARP xuất hiện nhiều địa chỉ IP trỏ về cùng một địa chỉ MAC bất thường, hoặc lưu lượng mạng đột ngột tăng vọt trên 200%. Ngoài ra, việc thiết lập cảnh báo tự động khi xuất hiện tài khoản người dùng lạ có UID bằng 0 là biện pháp then chốt để phát hiện xâm nhập kịp thời.

Kết luận

• Luận văn đã hệ thống hóa toàn diện cơ sở lý thuyết về kiến trúc mạng máy tính TCP/IP, các giao thức định tuyến và phân tích chi tiết các kỹ thuật tấn công mạng nội bộ nguy hiểm.
• Nghiên cứu đã thiết kế và triển khai thực nghiệm thành công mô hình an ninh mạng đa lớp tích hợp VLAN, Extended ACL, VTP và bảo mật Access Point trên hạ tầng mạng doanh nghiệp vừa và nhỏ.
• Kết quả thực nghiệm khẳng định giải pháp giúp triệt tiêu 100% các kết nối trái phép, giảm 75% lưu lượng bão hòa quảng bá và cô lập hoàn toàn các luồng dữ liệu nhạy cảm giữa các phòng ban.
• Trong giai đoạn tiếp theo từ 6 đến 12 tháng tới, hệ thống cần được nghiên cứu mở rộng để tích hợp giao thức bảo mật thế hệ mới IPv6, cơ chế xác thực chứng chỉ số 802.1X và hệ thống phát hiện xâm nhập thời gian thực (IDS/IPS).
• Các tổ chức và doanh nghiệp cần nhanh chóng rà soát lại toàn bộ hạ tầng mạng LAN hiện tại, áp dụng ngay mô hình phân đoạn mạng và chính sách kiểm soát truy cập mở rộng để bảo vệ an toàn tối đa cho tài sản thông tin của đơn vị.

Trích đoạn nội dung tài liệu

UBND TỈNH QUẢNG NAM TRUONG PAI HOC QUANG NAM KHOA: CONG NGHE THONG TIN NGUYEN LE ANH KHOA TRIEN KHAI CÁC GIẢI PHÁP AN TOÀN BẢO MẬT MẠNG TRONG MẠNG LAN CHO DOANH NGHIỆP KHOÁ LUẬN TÓT NGHIỆP ĐẠI HỌC Quảng Nam, tháng 04 năm 2017 UBND TỈNH QUẢNG NAM TRƯỜNG ĐẠI HỌC QUẢNG NAM KHOA: CÔNG NGHỆ THÔNG TIN KHÓA LUẬN TÓT NGHIỆP Tân đề tài: Ö. ` Ö TRIEN KHAI CAC GIAI PHAP AN TOAN BAO MAT MANG TRONG MANG LAN CHO DOANH NGHIỆP Sinh vién thuc hién: NGUYEN LE ANH KHOA MSSV: 2113021010 CHUYÊN NGÀNH CONG NGHE THONG TIN KHOA: 2013-2017 Cán bệ hướng dẫn ThS. VÕ THANH THỦY Quảng Nam, ngày 14 tháng 04 năm 2017 Z#ÙN$-ze LOI CAM ON Được sự phân công của Khoa Công Nghệ Thông Tin, trường Dai hoc Quảng Nam và sự đồng ý của thầy hướng dẫn Th.S Võ Thanh Thủy, tôi đã thực hiện đề tài: ““Tyiển khai các giải pháp an toàn bảo mật mạng trong mạng LAN cho doanh nghiệp”. Trước hết, tôi xin bày tỏ lòng biết ơn sâu sắc về sự hướng dẫn, giúp đỡ, chỉ bảo nhiệt tình và tận tâm của thầy Võ Thanh Thủy.

Tôi xin chân thành cảm ơn các thầy, cô giáo đã tận tình hướng dẫn, giảng đạy trong suết quá trình học tập, nghiên cứu và rèn luyện ở trường Đại học Quảng Nam. Mặc dù đã có nhiều cố gắng đẻ thực hiện đề tài một cách hoàn chỉnh nhất. Song do buổi đầu mới làm quen với công tác nghiên cứu khoa học, tiếp cận với thực tế cũng như hạn chế về kiến thức và kinh nghiệm nên không thể tránh khỏi những thiếu sót nhất định mà bản thân chưa thấy được. Tôi rất mong được sự góp ý của quý thầy, cô giáo để khoá luận được hoàn chỉnh hơn.

Một lần nữa, xin chân thành cảm ơn! MỤC LỤC A: MỎ ĐÃ mm 1. Lý do chọn tà 1. Mục tiêu của để tài. Đối tượng và phạm vi nghiên cứu.

Phương pháp nghiên cứu. Lịch sử nghiên cứu Yew 1. Đóng góp của đề tài. B: NOI DUNG RR CHUONG 1: TONG QUAN VE MANG MAY TINH 1.

Mạng máy tinh và mục đích kết nối mạng. Kiến trúc mạng. Các thiết bị mạng thông dụng 1. Các thiết bị ghép nối 1.

Mô phỏng mô hình mạng LAN của một doanh nghiệp vừa và nhỏ. 24 Chương 2: CÁC LOẠI HÌNH TẤN CÔNG MẠNG 2. An ninh mạng. Khái niệm về an ninh mang.

Hacker và ảnh hưởng của việc hack. Các giai đoạn tấn công, 2. Các tác nhân đe dọa đến bảo mật mang 2. Các loại tấn công mạng chủ yếu.

Tấn công theo kiểu do thám 2. Tan công theo kiểu truy xuấ 2. Tấn công từ chối dịch wu. Triển khai mạng VLAN.

Triển khai danh sách truy cập Extended ACL trên Router. Triển khai domain trên Server. Triển khai giải pháp bảo mật trên AP. D: TÀI LIỆU THAM KHẢO.

DANH MUC HiNH ANH Hình 1. 3 : Mang hinh vong.4: Mạng hôn hợp. 5 : MÔ hình OSI và mô hình TCPP. 6 : Câu trúc gói đữ liệu TCP/IP.

7 : À4Ó hình mạng doanh nghiệp. 1 : M6 hinh mang LAN. 3:Giao dién gan VIAN.4: Mạng LAN kết nói ra bên ngoài Hình 3. 5: Giao diện cời dét AD.

6: Giao điện hoàn thành cời đột Hình 3. T: Kết nối lên miễn. 8: Nhập Ler, password chứa lên miền Hình 3. 9: Hoàn thành kết Hình 3.

10: Giao diện đăng nhập AP Hình 3. 11: Nhập địa chỉ MÁC cần lọc Hình 3. 12: Tinh trang kết nối se Hình 3. 13: Tình trạng kết nói wifi sau khi loc dia chi MAC.

DANH MỤC TỪ VIẾT TẮT Viết tắt Tiếng anh Tiếng Việt AP Access Point Điểm truy cập ACL Access Control List Danh sách câu lệnh AD Active Directory Dich vu thu muc ARPAnet | Advanced Research Projects | Mang lưới cơ quan với các đề Agency án nghiên cứu tân tiền ARP Address Resolution Protocol | Phương thức chuyền địa chỉ BGP Border Gateway Protocol Giao thức tìm đường nòng cốt trên Intemet. CDP Cisco Discovery Protocol Giao thức riêng của Cisco DNS Domain Name System Hệ thống phân giải tên miền DHCP Dynamic Host Configuration | Giao thức cấu hình động máy Protocol chủ DoS Denial of Service Tấn công từ chối dịch vụ HTTP HyperText Transfer Protocol | Giao thức truyền tải siêu văn bản LAN Local Area Network Mạng diện rộng NIC Network Interface Card Card giao tiếp mạng MAC Media Access Control Giao thức đa truy nhập OSPF Open Shortest Path First Giao thức định tuyển theo liên kết trạng thái OSI Open Systems Mê hình tham chiêu kết nối các Interconnection hệ thông mở PCMCIA | Personal Coputer Memory Hiệp hội quốc tế thẻ nhớ máy Card Intenatinal Association | tính cá nhân Qos Quality of Service Chất lượng dịch vu RIP Routing Information Protocol | Giao thức định tuyến vector khoảng cách SMTP Simple Mail Transfer Giao thức truyền tải thư tín Protocol STP Shielded Twisted Pair Cáp xoắn đôi có vỏ bọc chống nhiễu TCP Transmission Control Giao thức điều khiển truyền vận UTP Unshielded Twisted Pair Cáp xoắn đôi không có vỏ bọc chống nhiễu TP Internet Protocol Giao thire Internet Ipv6 Internet Protocol Version Giao thức liên mạng thể hệ 6 Number 6 IETF Internet Engineering Task Lực lượng đặc nhiệm kỹ thuật Force Internet Ipv4 Internet Protocol Version Giao thức liên mạng thế hệ 4 Number 4 A. Lý do chon dé tài Với các doanh nghiệp hiện nay sở hữu các dữ liệu và tài nguyên rất lớn nhưng với nhu cầu trao đổi thông tin, bất buộc các cơ quan, tổ chức phải hoà mình vào mạng toàn cầu Internet. Các dữ liệu và tài nguyên này là nơi lưu trữ và xử lý các số liệu liên quan đến khách hàng và của doanh nghiệp với giá trị rất lớn.

Thông qua các đữ liệu này, nguồn tài chính được luân chuyển theo một trình tự và qui tắc chặt chẽ. Nếu các dữ liệu và các tiến trình này bị can thiệp không hợp lệ, chắc chắn sẽ xảy ra sự rối loạn và thiệt hại đáng kể cho doanh nghiệp cũng như mat mát uy tín của chính doanh nghiệp đó. Vay nén an toàn và bảo mật thông tin là một trong những vấn đề quan trọng hàng đầu, khi thực hiện kết nối mạng nội bệ của các cơ quan, doanh nghiệp, tổ chức với Internet. Ngày nay, các biện pháp an toàn thông tin cho máy tính cá nhân cũng như các mạng nội bộ đã được nghiên cứu và triển khai.

Tuy nhiên, vẫn thường xuyên có các mạng bị tấn công có các tổ chức bị đánh cấp thông tin,. gây nên những hậu quả vô cùng nghiêm trọng. Hơn nữa, những con số này chỉ là phần nổi của tảng băng trôi. Một phần lớn các tấn công không được thông báo vì nhiều lý do, trong đó có thể kể đến nỗi lo mắt uy tín hoặc chỉ đơn giản những người quản trị dự án không hề hay biết những vụ tấn công nhằm vào hệ thông của họ.

Không chỉ các vụ tấn công tăng lên nhanh chóng mà các phương pháp tân công cũng liên tục được hoàn thiện. Điều đó một phần do các nhân viên quản trị hệ thống ngày càng đề cao cảnh giác. Vì vậy, việc kết nếi mạng nội bộ của cơ quan, doanh nghiệp vào mạng Internet mà không có các biện pháp đảm bảo an ninh cũng được xem là tự sát. Nhưng thực tế de doa an ninh không chỉ ở bên ngoài tổ chức, mà bên trong tổ chức vấn đề cũng hết sức nghiêm trọng.

Đe doạ bên trong tổ chức xảy ra lớn hơn bên ngoài, nguyên nhân chính là do các nhân viên có quyền truy nhập hệ thống gây ra. Vì họ có quyền truy nhập hệ thống nên họ có thể tìm được các điểm yếu của hệ thống, hoặc vô tình họ cũng có thể phá hủy hay tạo cơ hội cho 1 những kẻ khác xâm nhập hệ thống. Và nguy hiểm hơn, một khi họ là kẻ bất mãn hay phản bội thì hậu quả không thể lường trước được. Tóm lại, vấn đề an ninh an toàn mạng máy tính hoàn toàn là vấn dé con người và không ngừng gia tăng, nó có thể bị đe doa từ bên ngoài hoặc bên trong tổ chức.

Vấn dé nay đã trở thành mối lo ngại lớn cho bắt kì chủ thể nào tham gia vào mạng máy tính toàn cầu. Và như vậy, để đảm bảo việc trao đổi thông tin an toàn và an ninh cho mạng máy tính, buộc các tổ chức doanh nghiệp đó phải triển khai các biện pháp bảo vệ đảm bảo an ninh, mà trước hết là cho chính mình. Bởi vậy, em đã chon dé tai:‘‘Trién khai các giải pháp an toàn bảo mật trong mang LAN cho doanh nghiép”. An ninh an toàn mạng LAN cho doanh nghiệp là một vấn đề lớn, nó yêu cầu cần phải có một giải pháp tổng thé, không chỉ phần mềm, phần cứng máy tính mà nó đòi hỏi cả vấn đề chính sách về con người.

Và van dé nay cần phải được thực hiện mệt cách thường xuyên liên tục, không bao giờ triệt để được vì nó luôn nảy sinh theo thời gian. Tuy nhiên, bằng các giải pháp tổng thẻ hợp lý, đặc biệt là giải quyết tốt vấn đề chính sách về con người ta có thể tạo ra cho mình sự an toàn chắc chắn hơn. Mục tiêu của để tài Triển khai các giải pháp an toàn bảo mật mạng trong mạng LAN cho doanh nghiệp giúp cho các tổ chức, doanh nghiệp cũng như người sử dụng phòng ngừa hạn chế đến mức thấp nhất việc mắt mát đữ liệu, rò rỉ thông tin ra bên ngoài khi tham gia kết nối mạng LAN. Đối tượng và phạm vi nghiên cứu Tìm hiểu mạng cục bộ và van dé an ninh mạng, tập trung nghiên cứu các giải pháp an toàn bảo mật mạng trong mạng LAN, xây dựng các giải pháp bảo mật cho người dùng, doanh nghiệp.

Phương pháp nghiên cứu - Kết hợp phương pháp nghiên cứu tài liệu và phương pháp nghiên cứu thực nghiệm. - Trên cơ sở nghiên cứu lý thuyết cơ bản về phương pháp an toàn bao mat mạng trong mạng LAN, triển khai cấu hình trên các thiết bị trong mô hình mạng. Lịch sử nghiên cứu Nội dung này đã được nghiên cứu rất nhiều ở các góc độ khác nhau, ở đây tôi tập trung nghiên cứu một số giải pháp an toàn, bảo mật trong mạng LAN. Đóng góp của để tài Đề tài nghiên cứu trình bày những kiến thức cơ bản về mạng và các giải pháp phần mềm, phần cứng đồng thời được triển khai trong mạng LAN nhằm nâng cao tính năng an toàn, bảo mật cho hệ thông mạng LAN của doanh nghiệp.

B: NỘI DUNG CHUONG 1: TONG QUAN VE MANG MAY TINH 1. Mạng máy tính và mục đích kết nối mạng - Mạng máy tính là một tập hợp các máy tính được nối với nhau bởi đường truyền theo một cấu trúc nào đó và thông qua đó các máy tính trao đồi thông tin qua lại cho nhau.