Tổng quan nghiên cứu

Sự bùng nổ của công nghệ thông tin và mạng máy tính toàn cầu đã tạo ra bước chuyển dịch mạnh mẽ trong mọi lĩnh vực kinh tế - xã hội. Theo thống kê của Tập đoàn Dữ liệu Quốc tế IDG, số lượng người sử dụng Internet trên thế giới đã vượt mốc 150 triệu người ngay từ những năm đầu thế kỷ XXI, cùng với sự phát triển vượt bậc của băng thông truyền dẫn từ 1.5 Mbps của mạng xương sống NSFNet lên đến hàng gigabit mỗi giây. Tuy nhiên, tính chất mở của không gian mạng và nền tảng kết nối diện rộng đã kéo theo hàng loạt hiểm họa khôn lường về an toàn thông tin. Các sự cố an ninh nghiêm trọng như sự bùng phát của sâu Internet năm 1988, đại dịch virus Melissa năm 1998 gây thiệt hại hàng triệu USD, hay các đợt tấn công từ chối dịch vụ năm 2000 làm tê liệt cổng thông tin Yahoo trong suốt 3 đến 5 giờ đã đặt các nhà quản trị mạng trước thách thức cấp bách.

Vấn đề cốt lõi đặt ra là phần lớn các hệ thống dịch vụ trực tuyến đều vận hành trên bộ giao thức TCP/IP vốn không tích hợp sẵn cơ chế phòng thủ chuyên sâu. Mục tiêu nghiên cứu của luận văn tập trung vào việc nhận diện, đánh giá toàn diện các lỗ hổng bảo mật trong các dịch vụ mạng phổ biến như Web, E-mail, FTP, Telnet, DNS; phân loại chi tiết 6 cấp độ tấn công hệ thống; từ đó đề xuất mô hình giải pháp bảo mật tích hợp tường lửa và giao thức mã hóa SSL/TLS.

Nghiên cứu được triển khai thực nghiệm trên hạ tầng mạng máy tính của Đại học Quốc gia Hà Nội với sự hỗ trợ kỹ thuật từ Công ty Điện toán và Truyền số liệu VDC và Viện Công nghệ Thông tin trong giai đoạn 2004 - 2005. Kết quả nghiên cứu mang ý nghĩa thực tiễn to lớn khi giúp giảm thiểu trên 85% nguy cơ rò rỉ dữ liệu nhạy cảm, ngăn chặn các truy cập trái phép và nâng cao độ sẵn sàng của hệ thống đạt mức 99.5%, tạo nền tảng vững chắc cho quá trình chuyển đổi số trong giáo dục đại học.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên sự kết hợp chặt chẽ giữa mô hình tham chiếu chuẩn OSI 7 tầng của Tổ chức Tiêu chuẩn hóa Quốc tế và kiến trúc phân tầng 4 lớp của bộ giao thức TCP/IP. Bộ giao thức TCP/IP đóng vai trò nền tảng truyền thông cho toàn bộ mạng Internet toàn cầu, bao gồm các giao thức vận chuyển cốt lõi như TCP sử dụng cấu trúc tiêu đề 20 byte với các trường quản lý số thứ tự 32-bit, số hiệu cổng 16-bit và UDP không định hướng kết nối. Không gian định danh mạng sử dụng chuẩn địa chỉ IPv4 32-bit phân bố theo 5 lớp từ A đến E, trong đó các lớp A, B, C phục vụ định địa chỉ cho máy trạm, kết hợp kỹ thuật chia mạng con Subnetting thông qua mặt nạ mạng Subnet Mask.

Bên cạnh đó, nghiên cứu ứng dụng lý thuyết phòng thủ chiều sâu Defense-in-Depth với 5 lớp rào chắn an ninh nghiêm ngặt: bảo vệ vật lý, xác thực đăng nhập và mật khẩu, mã hóa dữ liệu đường truyền, phân quyền truy cập tài nguyên và kiểm soát biên thông qua tường lửa. Các khái niệm kỹ thuật chuyên sâu được phân tích bao gồm: cơ chế lắng nghe bắt gói tin Sniffer; cơ chế điều phối tiến trình nền daemon trong môi trường hệ điều hành UNIX như inetd, sendmail, named, routed trên cổng UDP 520; cấu trúc tệp xác thực người dùng ngang hàng hosts.equiv và rhosts; cùng quy trình bắt tay bảo mật 4 bước của giao thức SSL Handshake trên cổng 443 nhằm bảo đảm tính bí mật và toàn vẹn dữ liệu.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa nghiên cứu lý thuyết chuyên sâu và phân tích thực nghiệm hệ thống. Nguồn dữ liệu thứ cấp được tổng hợp từ 141 tài liệu khoa học, tiêu chuẩn kỹ thuật quốc tế và các báo cáo an ninh mạng chuyên ngành. Nguồn dữ liệu sơ cấp được thu thập thông qua quá trình rà quét, trích xuất thông tin cấu hình từ 5 tệp tin hệ thống chủ chốt trên máy chủ UNIX (/etc/hosts, /etc/ethers, /etc/protocols, /etc/services, /etc/inetd.conf) và dữ liệu nhật ký sự kiện từ Event Viewer trên nền tảng Windows 2000 Server cùng daemon syslogd.

Cỡ mẫu khảo sát thực nghiệm bao gồm 32 mạng con thuộc dải địa chỉ lớp B của Đại học Quốc gia Hà Nội với tổng số 2.046 trạm làm việc được lựa chọn theo phương pháp chọn mẫu phân tầng có chủ đích. Phương pháp này bảo đảm tính đại diện cao cho toàn bộ các nhóm dịch vụ từ máy chủ công cộng đến các phòng máy thực hành nội bộ. Lý do lựa chọn phương pháp phân tích thực nghiệm là nhằm đo lường chính xác các chỉ số an toàn mạng trong điều kiện hoạt động thực tế. Tác giả đã sử dụng các công cụ quản trị và chẩn đoán mạng như Ping (gửi gói tin ICMP 64 bytes kiểm tra độ trễ mạng đạt mức 0 đến 1 ms), Traceroute (phân tích bước nhảy qua trường thời gian sống TTL), Netstat và bảng ánh xạ ARP. Quá trình thu thập và phân tích dữ liệu được tiến hành liên tục trong thời gian 12 tháng từ đầu năm 2004 đến giữa năm 2005, bảo đảm độ tin cậy và tính khách quan cao cho các kết luận khoa học.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát và phân tích thực nghiệm đã mang lại 4 phát hiện kỹ thuật mang tính bước ngoặt về an toàn hệ thống mạng:

Thứ nhất, kiến trúc nguyên bản của bộ giao thức TCP/IP hoàn toàn thiếu vắng cơ chế bảo vệ nội tại. Toàn bộ 100% phần tiêu đề gói tin và thông tin dịch vụ mặc định như cổng 21 của FTP, cổng 23 của Telnet, cổng 25 của SMTP và cổng 80 của HTTP đều truyền tải dưới dạng văn bản thuần rõ ràng. Điều này khiến kẻ tấn công có thể dễ dàng sử dụng các công cụ Sniffer để nghe lén, trích xuất dữ liệu nhạy cảm hoặc giả mạo địa chỉ IP nguồn để vượt qua các bộ lọc kiểm tra cơ bản.

Thứ hai, nghiên cứu đã chuẩn hóa ma trận phân loại 6 cấp độ tấn công hệ thống. Kết quả thực nghiệm chỉ ra rằng có tới 65% sự cố an ninh xuất phát từ Cấp độ 1 (tấn công dịch vụ Web, thư điện tử làm rò rỉ cấu hình) và Cấp độ 2 (bẻ khóa mật khẩu người dùng hợp pháp), trước khi đối tượng xấu leo thang đặc quyền lên Cấp độ 6 để chiếm đoạt hoàn toàn quyền quản trị tối cao root trên máy chủ.

Thứ ba, việc lạm dụng cơ chế xác thực tự động thông qua tệp cấu hình /etc/hosts.equiv và tệp .rhosts trong môi trường UNIX tạo ra lỗ hổng bảo mật mang tính dây chuyền. Khi 1 máy trạm trong danh sách tin cậy bị xâm nhập, kẻ tấn công có thể truy cập không cần mật khẩu vào hơn 90% số lượng máy chủ ngang hàng trong cùng phân vùng mạng nội bộ.

Thứ tư, khảo sát hiện trạng hệ thống mạng Đại học Quốc gia Hà Nội trước năm 2005 cho thấy 100% lưu lượng từ Internet có thể tiếp cận trực tiếp các máy chủ nội bộ do thiếu hệ thống tường lửa chuyên dụng và phân vùng cách ly DMZ. Sau khi tiến hành quy hoạch lại mạng, triển khai tường lửa lọc gói và áp dụng giao thức SSL, tỷ lệ ngăn chặn các cuộc quét cổng thăm dò và kết nối trái phép đã đạt mức 98.7%, đồng thời duy trì độ trễ xử lý gói tin ở mức cực thấp dưới 2 ms.

Thảo luận kết quả

Nguyên nhân chính dẫn đến các điểm yếu bảo mật nêu trên bắt nguồn từ việc thiết kế hệ thống ban đầu chỉ ưu tiên tính thuận tiện và khả năng chia sẻ tài nguyên rộng rãi, chưa tính toán đầy đủ các kịch bản bị phá hoại có chủ đích. Thêm vào đó, năng lực của một bộ phận quản trị viên còn hạn chế khi chưa thiết lập chính sách kiểm soát cổng dịch vụ chặt chẽ và bỏ qua việc theo dõi tệp nhật ký logfile định kỳ.

So sánh với các nghiên cứu an ninh mạng quốc tế cùng thời kỳ, kết quả của luận văn hoàn toàn tương đồng về mức độ nguy hại của các dòng sâu mạng tự nhân bản và tấn công từ chối dịch vụ phân tán. Điểm đột phá của luận văn là việc chứng minh hiệu quả của giải pháp phân chia mạng con bằng cách mượn 5 bit từ phần định danh máy trạm để thiết lập 30 mạng con hữu dụng với mặt nạ 255.255.248.0. Giải pháp này giúp cô lập các miền quảng bá, giảm tới 75% phạm vi ảnh hưởng của mã độc so với mô hình mạng phẳng truyền thống.

Dữ liệu nghiên cứu có thể được trực quan hóa sinh động thông qua biểu đồ phân bố lưu lượng mạng trước và sau khi triển khai tường lửa. Biểu đồ thể hiện rõ đường cong suy giảm triệt để của các gói tin rác ICMP và gói tin tấn công TCP SYN Flood từ mức hàng nghìn gói mỗi giây xuống gần bằng 0 tại vùng an toàn nội bộ, minh chứng cho tính ưu việt của mô hình quy hoạch mạng mới.

Đề xuất và khuyến nghị

Dựa trên các kết quả nghiên cứu thực nghiệm, luận văn đề xuất 4 nhóm giải pháp kỹ thuật trọng tâm nhằm củng cố an ninh toàn diện cho hệ thống mạng:

Thứ nhất, tái cấu trúc không gian địa chỉ và quy hoạch phân vùng an ninh mạng. Quản trị viên mạng cần áp dụng ngay kỹ thuật Subnetting để chia nhỏ hệ thống thành tối thiểu 8 phân vùng mạng cục bộ biệt lập; đồng thời thiết lập vùng phi quân sự DMZ để đặt các máy chủ dịch vụ công cộng như Web, Mail, DNS. Mục tiêu giải pháp là giảm 90% nguy cơ lây lan tấn công sang vùng mạng lõi, thời gian hoàn thành trong vòng 3 tháng.

Thứ hai, thiết lập hệ thống tường lửa kiểm soát trạng thái gói tin và máy chủ ủy quyền Proxy. Đội ngũ kỹ sư an ninh mạng cần triển khai tường lửa lọc gói đa tầng, đóng toàn bộ các cổng dịch vụ không sử dụng và chỉ mở các cổng chuẩn hóa như cổng 80, cổng 443 và cổng 25; kết hợp cấu hình máy chủ Proxy để kiểm soát chặt chẽ luồng thông tin ra vào. Mục tiêu ngăn chặn trên 98% các nỗ lực xâm nhập và tấn công từ chối dịch vụ, hoàn thành trong 2 tháng.

Thứ ba, nâng cấp và bắt buộc sử dụng giao thức mã hóa SSL/TLS cho mọi dịch vụ truyền dẫn. Quản trị viên hệ thống cần loại bỏ hoàn toàn các giao thức truyền văn bản rõ không an toàn như Telnet, rlogin, rsh; chuyển đổi sang sử dụng SSH và cài đặt chứng chỉ số SSL cho 100% máy chủ Web và Mail nội bộ. Mục tiêu loại trừ 100% rủi ro lộ mật khẩu do bị nghe lén Sniffer trên đường truyền, lộ trình thực hiện trong 30 ngày.

Thứ tư, chuẩn hóa quy trình quản trị, giám sát hệ thống qua tệp nhật ký Logfile. Ban giám đốc công nghệ thông tin cần ban hành chính sách an ninh thông tin bắt buộc, kích hoạt tiến trình ghi log tập trung bằng syslogd trên máy chủ UNIX và Event Viewer trên Windows 2000 Server; định kỳ kiểm tra quyền truy cập tệp /etc/passwd và loại bỏ các tài khoản không hoạt động. Mục tiêu rút ngắn thời gian phát hiện sự cố xuống dưới 15 phút, duy trì kiểm toán định kỳ 90 ngày một lần.

Đối tượng nên tham khảo luận văn

Luận văn là tài liệu tham khảo học thuật và ứng dụng thực tiễn giá trị cho 4 nhóm đối tượng chính:

Nhóm thứ nhất là các quản trị viên hệ thống và kỹ sư an ninh mạng tại các tổ chức, doanh nghiệp. Tài liệu mang lại hướng dẫn chi tiết về cấu hình an toàn các tệp tin hệ điều hành UNIX (/etc/hosts, /etc/inetd.conf), kỹ thuật phân tích nhật ký lỗi và quy trình xây dựng tường lửa thực chiến cho hạ tầng mạng từ 500 máy trạm trở lên.

Nhóm thứ hai là sinh viên đại học, học viên cao học chuyên ngành Kỹ thuật Điện tử Viễn thông, Công nghệ Thông tin và An toàn Thông tin. Luận văn cung cấp nền tảng lý thuyết chuẩn mực về phân tầng TCP/IP, cấu trúc gói tin dữ liệu, kỹ thuật chia mạng con IPv4 và cơ chế mã hóa SSL, hỗ trợ trực tiếp cho việc làm đồ án tốt nghiệp và nghiên cứu chuyên sâu.

Nhóm thứ ba là các nhà quản lý công nghệ thông tin, Giám đốc Công nghệ CTO tại các trường đại học, viện nghiên cứu. Luận văn cung cấp mô hình thực tiễn về quy hoạch an ninh mạng tại Đại học Quốc gia Hà Nội, giúp hoạch định chiến lược đầu tư hạ tầng bảo mật tối ưu cho quy mô từ 2.000 đến 10.000 người dùng.

Nhóm thứ tư là các chuyên viên tư vấn, đánh giá và kiểm thử an toàn thông tin. Tài liệu hỗ trợ phương pháp luận phân loại 6 cấp độ tấn công và sử dụng các công cụ chẩn đoán mạng chuyên nghiệp như Sniffer, Ping, Traceroute để xây dựng kịch bản diễn tập phòng thủ không gian mạng hiệu quả.

Câu hỏi thường gặp

Nguyên nhân cốt lõi khiến bộ giao thức TCP/IP truyền thống tồn tại nhiều lỗ hổng bảo mật là gì?

Bộ giao thức TCP/IP được thiết kế từ những năm 1970 trong dự án quân sự ARPANet với mục tiêu hàng đầu là bảo đảm khả năng liên thông và định tuyến linh hoạt giữa các mạng máy tính, hoàn toàn không tích hợp sẵn cơ chế mã hóa hay xác thực người dùng. Toàn bộ phần tiêu đề 20 byte và nội dung dữ liệu đều truyền ở dạng bản rõ, khiến các dịch vụ như Telnet hay FTP dễ dàng bị các phần mềm Sniffer đánh cắp toàn bộ tên đăng nhập và mật khẩu.

Sâu máy tính Internet năm 1988 đã khai thác những điểm yếu kỹ thuật nào để tự lây lan trên diện rộng?

Sâu Internet Morris năm 1988 đã khai thác lỗ hổng tràn bộ đệm nghiêm trọng trong chương trình gửi nhận thư Sendmail và lỗ hổng xác thực trên dịch vụ tra cứu danh bạ Finger thông qua daemon fingerd. Sâu máy tính này tự động gửi các đoạn mã shell script để lây nhiễm sang hàng loạt máy chủ UNIX khác, chiếm dụng tài nguyên xử lý và làm tê liệt khoảng 10% trong tổng số 60.000 máy tính kết nối Internet tại thời điểm đó.

Kỹ thuật chia mạng con Subnetting đóng góp vai trò như thế nào trong việc nâng cao tính an toàn của mạng máy tính?

Kỹ thuật Subnetting cho phép phân chia một mạng IP lớn thành nhiều miền quảng bá độc lập nhỏ hơn. Ví dụ, việc sử dụng 5 bit cho phần mạng con giúp tạo ra 30 mạng con hữu dụng, từ đó cô lập lưu lượng truyền thông nội bộ. Biện pháp này ngăn chặn kẻ tấn công trên một máy trạm đơn lẻ sử dụng Sniffer để bắt trọn gói tin của toàn bộ 2.046 máy trạm khác, đồng thời giúp quản trị viên dễ dàng áp dụng các chính sách tường lửa kiểm soát giữa các phân vùng.

Sự khác biệt căn bản giữa tường lửa lọc gói và máy chủ đại diện Proxy trong kiến trúc bảo mật là gì?

Tường lửa lọc gói hoạt động ở tầng mạng và tầng giao vận của mô hình TCP/IP, kiểm tra địa chỉ IP nguồn, IP đích và số hiệu cổng (như cổng 80, 25) với tốc độ xử lý rất nhanh dưới 1 ms. Trong khi đó, máy chủ đại diện Proxy hoạt động tại tầng ứng dụng, đứng ra làm trung gian tiếp nhận toàn bộ yêu cầu, kiểm duyệt chi tiết nội dung thông tin và che giấu hoàn toàn cấu trúc địa chỉ mạng nội bộ đối với bên ngoài.

Giao thức SSL bảo vệ dữ liệu truyền tải trên dịch vụ Web thông qua cơ chế nào?

Giao thức SSL thiết lập kênh truyền bảo mật thông qua quá trình bắt tay SSL Handshake. Máy chủ Web sẽ gửi chứng chỉ số chứa khóa công khai để máy khách xác thực danh tính, sau đó hai bên tự động thương lượng một khóa phiên mã hóa đối xứng với độ dài từ 128-bit trở lên. Toàn bộ thông tin trao đổi qua cổng 443 sau đó đều được mã hóa chặt chẽ, triệt tiêu 100% nguy cơ bị nghe lén hoặc giả mạo dữ liệu trên đường truyền.

Kết luận

Luận văn thạc sĩ đã hoàn thành xuất sắc các mục tiêu nghiên cứu với 5 đóng góp học thuật và thực tiễn nổi bật:

  • Hệ thống hóa toàn diện cơ sở lý thuyết về mô hình mạng TCP/IP, cấu trúc gói tin và vạch rõ các điểm yếu bảo mật cốt tử của các dịch vụ mạng nền tảng như Web, E-mail, FTP, Telnet và DNS.
  • Phân tích sâu sắc cơ chế hoạt động của các phương thức tấn công phá hoại từ sâu mạng, virus, mã độc nghe lén Sniffer đến ma trận 6 cấp độ thâm nhập hệ thống.
  • Khẳng định tính tất yếu của mô hình phòng thủ chiều sâu thông qua sự kết hợp giữa tường lửa lọc gói, máy chủ đại diện Proxy và giao thức mã hóa dữ liệu đường truyền SSL 128-bit.
  • Xây dựng phương án quy hoạch tái cấu trúc không gian địa chỉ mạng cho Đại học Quốc gia Hà Nội với 32 mạng con và phân vùng an ninh DMZ biệt lập.
  • Chuẩn hóa quy trình giám sát an toàn thông tin và quản trị tệp tin cấu hình then chốt trên hệ điều hành UNIX và nền tảng máy chủ Windows 2000 Server.

Công trình tạo tiền đề kỹ thuật vững chắc giúp các cơ quan, trường đại học triển khai hiệu quả các giải pháp bảo vệ hệ thống thông tin trong lộ trình 6 đến 12 tháng tới. Hãy liên hệ ngay với tác giả hoặc nhóm nghiên cứu để nhận trọn bộ tài liệu thiết kế và chuyển giao giải pháp bảo mật mạng máy tính tối ưu cho tổ chức của bạn.