Tìm Hiểu Bảo Mật LAN và Triển Khai Iptables trên Linux

Ngày nay, nhu cầu sử dụng dịch vụ trực tuyến ngày càng tăng cao. 67 trang · Đại học Bách Khoa Đà Nẵng · 2013.

• Tác giả: Phùng Văn Đại
• Người hướng dẫn: Ths. Hoàng Hữu Đức
• Trường học: Đại học Bách Khoa Đà Nẵng
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Bảo Mật LAN và Triển Khai Iptables Trên Linux
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2013
• Địa điểm: Đà Nẵng

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI MỞ ĐẦU
• DANH MỤC CÁC TỪ VIẾT TẮT
• DANH MỤC HÌNH ẢNH
• 1. Chương 1: TỔNG QUAN VỀ BẢO MẬT MẠNG MÁY TÍNH
• 1.1. Tổng quan về an ninh mạng máy tính
• 1.1.1. Tình hình an ninh mạng trên thế giới
• 1.1.2. Tình hình an ninh mạng tại Việt Nam
• 1.1.3. Các giải pháp cơ bản đảm bảo an ninh
• 1.2. Các vấn đề bảo mật hệ thống mạng
• 1.2.1. Vấn đề chung về bảo mật hệ thống và mạng
• 1.2.2. Các loại lỗ hổng bảo mật và phương thức tấn công mạng
• 1.3. Vấn đề bảo mật mạng LAN
• 1.3.1. Mạng không dây (Wireless Local Area Network - WLAN)
• 1.3.2. Mạng LAN ảo (Virtual Local Area Network - VLAN)
• 2. Chương 2: GIỚI THIỆU VỀ IPTABLE
• 2.1. Giới thiệu về firewall
• 2.1.1. Các chức năng của Firewall
• 2.1.2. Phân loại Firewall
• 2.1.3. Một số kiến trúc của Firewall
• 2.1.4. Những hạn chế của Firewall
• 2.2. Các chiến lược xây dựng Firewall
• 2.2.1. Quyền hạn tối thiểu
• 2.2.2. Bảo vệ theo chiều sâu
• 2.2.3. Điểm xung yếu
• 2.2.4. Hỏng trong an toàn
• 2.3. Cách thức xây dựng Firewall
• 2.3.1. Xây dựng các nguyên tắc căn bản
• 2.3.2. Xây dựng chính sách an toàn
• 2.3.3. Xây dựng kiến trúc an toàn
• 2.3.4. Thứ tự các quy tắc trong bảng
• 2.3.5. Các quy tắc căn bản
• 2.4. Các thành phần và cơ chế hoạt động tường lửa
• 2.4.1. Cổng ứng dụng
• 2.4.2. Bộ lọc sesion thông minh
• 3. Chương 3: TÌM HIỂU FIREWALL IPTABLES TRONG HỆ ĐIỀU HÀNH LINUX
• 3.1. IPtables trên Redhat
• 3.1.1. Giới thiệu về Iptables
• 3.1.2. Quá trình chuyển gói dữ liệu qua Netfilter
• 3.1.3. Cơ chế xứ lý gói tin trong Iptables
• 3.1.4. Các tham số dòng lệnh thường gặp
• 3.2. Giới thiệu về bảng NAT (Network Address Traslation)
• 3.2.1. Khái niêm căn bản về NAT
• 3.2.2. Cách đổi địa chỉ IP động
• 3.2.3. Cách đóng giả địa chỉ IP
• 3.2.4. Một số ví dụ sử dụng kỹ thuật NAT
• 3.3. Firewall Iptable vùng DMZ
• 3.3.1. Firewall Iptable không có vùng DMZ
• 3.3.2. Firewall Iptable có vùng DMZ
• 4. Chương 4: TRIỂN KHAI VÀ THỰC NGHIỆM FIREWALL IPTABLES TRÊN LINUX
• 4.1. Mô hình mạng thực tế
• 4.2. Mô hình mạng triển khai
• 4.3. Tổng quan các bước thực hiện
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Bảo Mật Mạng LAN Linux Giải Pháp Toàn Diện 55 ký tự

Ngày nay, nhu cầu sử dụng dịch vụ trực tuyến ngày càng tăng cao. Điều này kéo theo sự phát triển của khoa học và công nghệ, buộc các tổ chức phải kết nối vào mạng Internet. An toàn và bảo mật thông tin trở thành vấn đề then chốt, đặc biệt khi kết nối mạng nội bộ (LAN) với Internet. Mặc dù nhiều biện pháp bảo mật đã được nghiên cứu và triển khai, các cuộc tấn công mạng vẫn diễn ra thường xuyên, gây hậu quả nghiêm trọng. Các cuộc tấn công này nhắm vào mọi máy tính trên Internet, website của các tổ chức lớn với nhiều mục đích khác nhau. Phần lớn các vụ tấn công không được thông báo do lo ngại về uy tín hoặc do quản trị viên không nhận biết được. Các phương pháp tấn công ngày càng tinh vi, đòi hỏi các biện pháp phòng ngừa hiệu quả. Việc kết nối mạng nội bộ vào Internet mà không có các biện pháp đảm bảo an ninh sẽ tạo điều kiện cho các cuộc tấn công. Do đó, cần chú trọng đảm bảo an toàn thông tin trong quá trình kết nối.

1.1. Tình Hình An Ninh Mạng Toàn Cầu và Tại Việt Nam

Tình hình an ninh mạng toàn cầu đang diễn biến phức tạp, với sự gia tăng của các cuộc tấn công DDoS (từ chối dịch vụ phân tán) nhắm vào các ngân hàng trực tuyến. Virus mới như Itsoknoproblembro có khả năng lây nhiễm vào các trung tâm dữ liệu, biến máy chủ thành các 'bRobots'. Theo Symantec, tội phạm mạng đã gây thiệt hại hàng tỷ USD. Tại Việt Nam, an ninh mạng vẫn là một vấn đề mới đối với nhiều người sử dụng máy tính và các công ty lập trình website. VNISA đánh giá 78% website tên miền .vn có thể bị tấn công toàn diện. Các lỗ hổng bảo mật chủ yếu do công ty phần mềm chưa quan tâm đến an toàn hệ thống và đầu tư cho an ninh mạng chưa đủ.

1.2. Các Giải Pháp Cơ Bản Đảm Bảo An Ninh Mạng LAN

An ninh mạng LAN có thể bị đe dọa từ nhiều góc độ và nguyên nhân khác nhau, cả từ bên ngoài và bên trong. Do đó, cần nhiều giải pháp cụ thể, bao gồm giải pháp phần cứng (thiết bị chuyên dụng, kênh truyền riêng), giải pháp phần mềm (xác thực, mã hóa, VPN, tường lửa), và giải pháp về con người (chính sách, quy định). Giải pháp phần cứng ít linh hoạt và chi phí cao. Giải pháp phần mềm đa dạng và chi phí thấp hơn. Giải pháp con người là cơ bản và không thể thiếu, đảm bảo thực hiện triệt để các quy định về an ninh.

II. Thách Thức Bảo Mật LAN Các Lỗ Hổng Phương Thức Tấn Công 59 ký tự

Một hệ thống mạng có nhiều người dùng chung và phân tán về mặt địa lý, nên việc bảo vệ tài nguyên trở nên phức tạp hơn so với máy tính đơn lẻ. Quản trị hệ thống mạng phải đảm bảo thông tin tin cậy, sử dụng đúng mục đích và mạng hoạt động ổn định. Tuy nhiên, không mạng nào an toàn tuyệt đối. Đối tượng tấn công mạng là những cá nhân hoặc tổ chức sử dụng kiến thức và công cụ để dò tìm điểm yếu, lỗ hổng bảo mật và xâm nhập trái phép. Các lỗ hổng bảo mật là những điểm yếu trong hệ thống hoặc dịch vụ, cho phép kẻ tấn công xâm nhập. Nguyên nhân có thể do lỗi hệ thống, phần mềm hoặc quản trị viên yếu kém.

2.1. Các Loại Lỗ Hổng Bảo Mật Mạng LAN Phổ Biến

Các lỗ hổng bảo mật được phân loại theo nhiều cách khác nhau. Theo bộ quốc phòng Mỹ, có ba loại: lỗ hổng loại C (cho phép tấn công DoS, ảnh hưởng đến chất lượng dịch vụ), lỗ hổng loại B (cho phép truy cập trái phép, thay đổi dữ liệu) và lỗ hổng loại A (cho phép kiểm soát toàn bộ hệ thống). Mức độ ảnh hưởng của lỗ hổng khác nhau, từ ảnh hưởng đến dịch vụ đến phá hủy toàn bộ hệ thống. Cần xác định và vá các lỗ hổng này để tăng cường bảo mật mạng.

2.2. Các Phương Thức Tấn Công Mạng LAN Thường Gặp

Các phương thức tấn công mạng LAN rất đa dạng và ngày càng tinh vi. Một số phương thức phổ biến bao gồm: tấn công từ chối dịch vụ (DoS/DDoS), tấn công man-in-the-middle (MITM), tấn công sniffing (nghe lén), tấn công SQL injection, tấn công cross-site scripting (XSS). Mỗi phương thức tấn công có cách thức hoạt động và mục tiêu khác nhau. Quản trị viên cần hiểu rõ các phương thức này để có biện pháp phòng ngừa và ứng phó hiệu quả.

III. Iptables Trên Linux Xây Dựng Tường Lửa Mạnh Mẽ Cho LAN 58 ký tự

Iptables là một tường lửa mạnh mẽ được tích hợp trong hệ điều hành Linux. Nó cho phép quản trị viên kiểm soát lưu lượng mạng ra vào hệ thống, bảo vệ khỏi các cuộc tấn công từ bên ngoài. Iptables hoạt động bằng cách sử dụng các bảng (tables) chứa các quy tắc (rules) để kiểm tra và xử lý các gói tin (packets). Các bảng phổ biến bao gồm FILTER (lọc gói tin), NAT (biên dịch địa chỉ mạng) và MANGLE (sửa đổi gói tin). Quản trị viên có thể cấu hình Iptables để cho phép, chặn hoặc sửa đổi các gói tin dựa trên các tiêu chí như địa chỉ IP nguồn/đích, cổng, giao thức,...

3.1. Giới Thiệu Chi Tiết Về Firewall Iptables Linux

Firewall Iptables là một ứng dụng không gian người dùng cho phép quản trị viên hệ thống định cấu hình các bảng do kernel Linux cung cấp và thực hiện bởi các mô-đun khác nhau. Iptables tạo thành một firewall bằng cách cung cấp khả năng kiểm tra và lọc các gói mạng. Nó sử dụng một tập hợp các bảng, mỗi bảng chứa các chuỗi, và mỗi chuỗi chứa một tập hợp các quy tắc. Các quy tắc này xác định cách Iptables sẽ xử lý các gói tin khác nhau, cho phép chỉ các gói tin được ủy quyền mới được phép đi qua.

3.2. Cơ Chế Hoạt Động Của Tường Lửa Iptables Netfilter

Iptables hoạt động dựa trên Netfilter, một framework trong kernel Linux cho phép can thiệp vào các gói tin mạng. Khi một gói tin đi qua hệ thống, Netfilter sẽ kiểm tra nó dựa trên các quy tắc trong các bảng Iptables. Nếu gói tin khớp với một quy tắc, Iptables sẽ thực hiện hành động tương ứng (ví dụ: ACCEPT, DROP, REJECT). Cơ chế này cho phép Iptables kiểm soát lưu lượng mạng một cách linh hoạt và hiệu quả.

IV. Cấu Hình Iptables Trên Linux Hướng Dẫn Bước Từng Bước 56 ký tự

Cấu hình Iptables trên Linux đòi hỏi sự hiểu biết về các lệnh và tham số của nó. Các lệnh cơ bản bao gồm: iptables -A (thêm quy tắc), iptables -D (xóa quy tắc), iptables -L (liệt kê quy tắc), iptables -F (xóa tất cả quy tắc). Các tham số quan trọng bao gồm: -i (giao diện mạng đầu vào), -o (giao diện mạng đầu ra), -s (địa chỉ IP nguồn), -d (địa chỉ IP đích), -p (giao thức), --dport (cổng đích), --sport (cổng nguồn), -j (hành động). Cần cấu hình Iptables một cách cẩn thận để đảm bảo an ninh mạng mà không làm gián đoạn các dịch vụ cần thiết.

4.1. Các Lệnh Iptables Cơ Bản và Cách Sử Dụng

Các lệnh Iptables cho phép quản trị viên thao tác với các quy tắc trong các bảng. Lệnh iptables -A INPUT -s 192.168.1.10 -j DROP sẽ chặn tất cả các gói tin đến từ địa chỉ IP 192.168.1.10. Lệnh iptables -L sẽ liệt kê tất cả các quy tắc hiện có. Cần hiểu rõ cú pháp và ý nghĩa của các lệnh này để cấu hình Iptables một cách chính xác.

4.2. Ví Dụ Cấu Hình Iptables Để Bảo Vệ Mạng LAN

Để bảo vệ mạng LAN, có thể cấu hình Iptables để cho phép lưu lượng từ các máy trong mạng LAN truy cập Internet, nhưng chặn tất cả các kết nối từ bên ngoài vào mạng LAN. Ví dụ, lệnh iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT (với eth0 là giao diện kết nối Internet và eth1 là giao diện kết nối mạng LAN) sẽ cho phép lưu lượng từ mạng LAN ra Internet. Sau đó, lệnh iptables -A INPUT -i eth0 -j DROP sẽ chặn tất cả các kết nối từ Internet vào hệ thống.

V. Triển Khai Tường Lửa Iptables Thực Nghiệm Đánh Giá 58 ký tự

Việc triển khai tường lửa Iptables cần được thực hiện theo một quy trình rõ ràng, bắt đầu từ việc xác định các yêu cầu bảo mật, thiết kế cấu hình Iptables, triển khai cấu hình trên hệ thống, và kiểm tra và đánh giá hiệu quả của cấu hình. Cần thường xuyên cập nhật và điều chỉnh cấu hình Iptables để đối phó với các mối đe dọa mới. Việc thực nghiệm và đánh giá giúp đảm bảo Iptables hoạt động đúng như mong đợi và không gây ra các vấn đề không mong muốn.

5.1. Mô Hình Mạng Thực Tế Cho Triển Khai Iptables

Việc triển khai cần dựa trên mô hình mạng cụ thể của doanh nghiệp. Ví dụ, một mô hình mạng có một máy chủ đóng vai trò là tường lửa, kết nối giữa Internet và mạng LAN. Máy chủ này sẽ chạy Linux và được cấu hình Iptables. Các máy trong mạng LAN sẽ kết nối Internet thông qua máy chủ này.

5.2. Các Bước Thực Hiện Triển Khai và Thực Nghiệm Iptables

Các bước thực hiện bao gồm: cài đặt và cấu hình Linux, cấu hình địa chỉ IP cho các giao diện mạng, cấu hình Iptables theo thiết kế, kiểm tra kết nối mạng, kiểm tra khả năng bảo mật bằng cách thử nghiệm các cuộc tấn công mô phỏng. Cần ghi lại kết quả thực nghiệm và điều chỉnh cấu hình Iptables nếu cần thiết.

VI. Nâng Cao Bảo Mật LAN Advanced Iptables Giám Sát 55 ký tự

Ngoài các cấu hình cơ bản, Iptables còn cung cấp nhiều tính năng nâng cao để tăng cường bảo mật LAN, bao gồm: sử dụng các module mở rộng (ví dụ: iptables -m state), cấu hình NAT (biên dịch địa chỉ mạng), cấu hình giới hạn tốc độ (rate limiting), và cấu hình log (ghi nhật ký). Việc giám sát lưu lượng mạng và nhật ký Iptables giúp phát hiện và ứng phó kịp thời với các cuộc tấn công.

6.1. Sử Dụng Các Module Mở Rộng Của Iptables

Các module mở rộng của Iptables cung cấp các tính năng bổ sung, ví dụ: module state cho phép kiểm tra trạng thái của kết nối (NEW, ESTABLISHED, RELATED), module limit cho phép giới hạn tốc độ kết nối. Việc sử dụng các module này giúp Iptables kiểm soát lưu lượng mạng một cách chi tiết hơn.

6.2. Giám Sát Lưu Lượng Mạng và Nhật Ký Iptables Linux

Việc giám sát lưu lượng mạng giúp phát hiện các hoạt động bất thường, ví dụ: lưu lượng tăng đột biến, kết nối đến các địa chỉ IP lạ. Việc phân tích nhật ký Iptables giúp xác định các cuộc tấn công và nguồn gốc của chúng. Các công cụ giám sát và phân tích nhật ký có thể giúp tự động hóa quá trình này.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự phát triển của các dịch vụ trực tuyến và nhu cầu kết nối mạng nội bộ (LAN) của các cơ quan, tổ chức, doanh nghiệp với mạng toàn cầu Internet làm gia tăng các nguy cơ mất an toàn thông tin. Tác giả chỉ ra rằng các cuộc tấn công mạng diễn ra thường xuyên nhằm vào các máy chủ, hệ thống mạng và website với nhiều mục đích khác nhau. Nhiều vụ việc không được công bố do lo ngại mất uy tín hoặc do quản trị viên không phát hiện được sự xâm nhập. Bên cạnh đó, các phương thức tấn công liên tục thay đổi và trở nên tinh vi hơn, trong khi nhận thức và mức độ cảnh giác của đội ngũ quản trị hệ thống còn hạn chế.

Đề tài xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể sau:

1. Nghiên cứu tổng quan về an toàn mạng máy tính, các dạng lỗ hổng bảo mật, các phương thức tấn công phổ biến và giải pháp an ninh cho mạng cục bộ (WLAN, VLAN).
2. Phân tích lý thuyết tường lửa (firewall), bao gồm các chức năng, phân loại kiến trúc, chiến lược thiết lập chính sách an toàn và cơ chế hoạt động của các bộ lọc.
3. Nghiên cứu sâu về kiến trúc Netfilter/Iptables trong nhân hệ điều hành Linux (phiên bản RedHat), bao gồm các bảng (tables), chuỗi (chains), quy tắc xử lý gói tin và kỹ thuật biên dịch địa chỉ mạng (NAT).
4. Xây dựng mô hình thực nghiệm, cấu hình tập luật tường lửa Iptables trên máy chủ Linux với 3 giao tiếp mạng kết nối Internet, mạng LAN và vùng DMZ; tiến hành thử nghiệm kiểm soát dịch vụ và ngăn chặn tấn công mạng.

• Đối tượng nghiên cứu: Cơ chế bảo mật mạng LAN và giải pháp tường lửa mã nguồn mở Iptables/Netfilter trên nền tảng Linux.
• Phạm vi nghiên cứu: Mô hình mạng trường Cao đẳng Công nghệ Thông tin Hữu nghị Việt - Hàn; hệ điều hành Linux RedHat với nhân 2.4/2.x; các dịch vụ mạng cơ bản (Web, Mail, FTP, DNS); dữ liệu an ninh mạng cập nhật đến giai đoạn 2012–2013.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đồ án dựa trên các khái niệm tiêu chuẩn về mạng máy tính TCP/IP và mô hình phân loại an toàn thông tin:

• Phân loại lỗ hổng bảo mật theo Bộ Quốc phòng Mỹ: Lỗ hổng loại A (cho phép truy cập trái phép từ bên ngoài, nguy cơ phá hủy hệ thống), Lỗ hổng loại B (cho phép người dùng nâng đặc quyền trong nội bộ mà không cần xác thực), Lỗ hổng loại C (cho phép tấn công từ chối dịch vụ DoS làm ngưng trệ hệ thống).
• Chuẩn bảo mật mạng không dây (WLAN): Chuẩn WEP (sử dụng thuật toán dòng đối xứng RC4 và vector khởi tạo IV), WLAN VPN (IPSec với mã hóa DES, 3DES), chuẩn truy cập 802.1X kết hợp giao thức xác thực EAP (hỗ trợ MD5, TLS, OTP), chuẩn WPA (sử dụng mã hóa 128 bit và cơ chế thay đổi khóa động TKIP) và WPA2 (chuẩn mã hóa nâng cao AES với thuật toán khối Rijndael kích thước 128, 192 hoặc 256 bit).
• Kỹ thuật phân chia mạng LAN ảo (VLAN): Các tính năng bảo mật Port security, Private LANs, STP root guard/BPDU guard, SSH, VMPS và Wire-rate ACLs.
• Kiến trúc hệ thống Netfilter/Iptables trong Linux: Cấu trúc 4 bảng xử lý gói tin gồm FILTER (lọc gói), NAT (biên dịch địa chỉ), MANGLE (sửa đổi các thông số gói tin, QOS bit) và CONNTRACK (theo dõi trạng thái kết nối).

Phương pháp nghiên cứu kết hợp giữa phân tích tài liệu lý thuyết, tổng hợp số liệu thống kê an toàn thông tin và phương pháp thực nghiệm triển khai hệ thống:

• Phương pháp phân tích - tổng hợp: Hệ thống hóa lý thuyết về bảo mật mạng, kiến trúc tường lửa và cấu trúc gói tin TCP/IP.
• Phương pháp mô hình hóa và thực nghiệm: Thiết lập hệ thống tường lửa đa cổng mạng trên Linux, viết kịch bản cấu hình Iptables, kiểm thử thông tuyến dịch vụ và dùng công cụ mô phỏng tấn công (httpdos) để đánh giá khả năng phòng vệ.
• Nguồn dữ liệu: Báo cáo khảo sát của Symantec (giai đoạn 7/2011 - 7/2012), công ty an ninh mạng Prolexic, khảo sát của Hiệp hội An toàn thông tin Việt Nam (VNISA) tháng 5/2012 và ngày An toàn thông tin 16/11/2012, cùng tài liệu kỹ thuật của Netfilter Organization.

Thiết kế và triển khai

Hệ thống tường lửa Iptables được thiết kế để bảo vệ mô hình mạng nội bộ kết hợp vùng mạng trung gian (Demilitarized Zone - DMZ).

Thành phần hệ thống	Giao tiếp mạng	Địa chỉ mạng / Vai trò	Dịch vụ triển khai
Mạng ngoài (Internet/WAN)	Card eth0	Kết nối Internet, địa chỉ IP Public	Cung cấp luồng dữ liệu vào/ra
Vùng DMZ	Card eth1	Vùng máy chủ công cộng	Web Server (Port 80), FTP Server (Port 21), Mail Server (POP3: Port 110, IMAP: Port 143, SMTP: Port 25), DNS Server (Port 53)
Mạng nội bộ (LAN)	Card eth2	Mạng người dùng nội bộ (Trusted Network)	Máy trạm client (PC1, PC2)

Hệ thống được cấu hình và vận hành theo quy trình:

1. Kích hoạt chuyển tiếp gói tin (IP Forwarding): Cấu hình nhân Linux qua file /proc/sys/net/ipv4/ip_forward để cho phép hệ thống định tuyến các gói tin giữa 3 giao tiếp mạng.
2. Khởi tạo và thiết lập chính sách mặc định: Làm sạch các luật mặc định (iptables -F), đặt chính sách đóng (DROP) cho chain INPUT và FORWARD theo nguyên tắc "Default Deny".
3. Cấu hình định tuyến và NAT:
   • Cấu hình Source NAT (SNAT) và MASQUERADE trên chain POSTROUTING để ánh xạ địa chỉ IP riêng của mạng LAN sang IP công cộng trên card eth0 khi truy cập Internet.
   • Cấu hình Destination NAT (DNAT) trên chain PREROUTING để chuyển hướng các luồng truy cập từ Internet hoặc LAN đến các máy chủ Web, FTP, Mail và DNS đặt trong vùng DMZ (eth1).
4. Cấu hình bộ lọc kiểm soát dịch vụ:
   • Cho phép các kết nối HTTP, FTP, POP3, SMTP, DNS hợp lệ đi từ LAN (eth2) sang DMZ (eth1) và Internet (eth0).
   • Duy trì trạng thái các kết nối đã thiết lập qua module -m state --state ESTABLISHED,RELATED.
5. Cấu hình chống tấn công:
   • Khóa các cổng không an toàn hoặc có nguy cơ lây nhiễm mã độc (như chặn Port 25 trực tiếp từ LAN).
   • Thiết lập giới hạn tần suất gói tin ICMP bằng tham số -m limit --limit và --limit-burst để chống tấn công ICMP Flood (Ping Flood).
   • Thiết lập bộ lọc gói TCP với cờ SYN và module limit nhằm phòng chống tấn công từ chối dịch vụ phân tán kiểu SYN Flood.
6. Kiểm thử thực nghiệm:
   • Kiểm tra kết nối Internet từ máy trạm nội bộ (PC1, PC2).
   • Kiểm tra phân giải tên miền DNS và truy cập các dịch vụ Web Server, FTP Server trong DMZ.
   • Kiểm tra gửi/nhận thư điện tử qua giao thức POP3 và SMTP giữa các máy trạm.
   • Sử dụng công cụ httpdos phát động tấn công từ chối dịch vụ vào Web Server và quan sát hiệu quả chặn gói tin SYN từ máy tấn công thông qua bảng giám sát của Iptables.

Nội dung chính theo từng chương

Chương 1: Tổng quan về bảo mật mạng máy tính

Chương 1 khái quát bức tranh toàn cảnh về an ninh mạng trên phạm vi toàn cầu và tại Việt Nam:

• Số liệu an ninh mạng quốc tế: Báo cáo Symantec (7/2011 – 7/2012) ghi nhận tội phạm mạng gây thiệt hại 110 tỷ USD trên toàn cầu; riêng tại Hoa Kỳ thiệt hại 20 tỷ USD với 70 triệu nạn nhân; tổng cộng 556 triệu người trên thế giới chịu ảnh hưởng từ tin tặc (lớn hơn dân số châu Âu thời điểm đó). Thống kê cho thấy 15% tài khoản mạng xã hội từng bị xâm nhập, 10% người dùng truy cập phải liên kết chứa mã độc và 75% lỗ hổng bắt nguồn từ các website. Vụ tấn công năm 2012 vào các ngân hàng Mỹ sử dụng biến thể virus mang tên Itsoknoproblembro làm tê liệt máy chủ đám mây và trung tâm dữ liệu thành mạng botnet phát động tấn công DDoS.
• Tình hình an ninh mạng tại Việt Nam: Khảo sát ngẫu nhiên 100 website tên miền .vn do VNISA thực hiện tháng 5/2012 cho thấy 78% website có nguy cơ bị tấn công toàn diện. Tỷ lệ máy tính nhiễm mã độc ở mức cao (18,1/1000 máy tính). Các tổ chức, doanh nghiệp trong nước thường đầu tư dưới 10% chi phí CNTT cho bảo mật, mật khẩu yếu và mở nhiều dịch vụ không cần thiết.
• Các giải pháp an ninh cơ bản: Tác giả phân chia thành 3 nhóm giải pháp gồm Phần cứng (thiết bị chuyên dụng, mạng riêng), Phần mềm (mã hóa, xác thực, VPN, tường lửa) và Con người (chính sách, quy định, hành lang pháp lý).
• Phân loại đối tượng và hình thức tấn công: Phân tích 3 nhóm đối tượng (Hacker, Masquerader, Eavesdropping); các hình thức tấn công phổ biến gồm Scanner, Password Cracker, Sniffer và Trojan (với các ví dụ virus boot sector và file như Jerusalem, Cascade, Disk Killer, Michelangelo, Stoned).
• Bảo mật mạng cục bộ: Trình bày các chuẩn an ninh không dây (WEP, WLAN VPN, 802.1X/EAP, WPA, WPA2) và các cơ chế bảo vệ mạng LAN ảo (VLAN) gồm Port security, Private VLANs, STP root guard, SSH, VMPS.

Chương 2: Giới thiệu về Iptable

Chương 2 tập trung xây dựng cơ sở lý thuyết tổng quan về tường lửa:

• Chức năng và phân loại: So sánh chi tiết giữa firewall phần cứng (tích hợp trên router, lọc nhanh ở tầng mạng/giao vận, không kiểm tra được nội dung gói tin, chi phí cao) và firewall phần mềm (hoạt động dựa trên proxy hoặc dịch vụ thường trú trên máy chủ, kiểm tra sâu, linh hoạt nhưng tốc độ xử lý phụ thuộc tài nguyên máy chủ).
• Các kiến trúc tường lửa:
  • Dual-Homed Host: Máy chủ có 2 card mạng, tắt tính năng chuyển tiếp IP, buộc người dùng đăng nhập hoặc qua proxy trung gian.
  • Screened Host: Kết hợp thiết bị lọc gói (Packet Filtering Router) và máy chủ phòng vệ (Bastion Host).
  • Screened Subnet Host: Sử dụng 2 router (Exterior Router và Interior Router) cô lập vùng mạng DMZ ở giữa, cung cấp 3 tầng bảo vệ độc lập.
  • Các biến thể: Kiến trúc sử dụng nhiều Bastion Host, kiến trúc gộp router trong và router ngoài, kiến trúc gộp Bastion Host với router ngoài.
• Chiến lược xây dựng tường lửa: Phân tích các nguyên tắc an ninh cốt lõi: Quyền hạn tối thiểu (Least Privilege), Bảo vệ theo chiều sâu (Defense in Depth), Nút thắt (Choke Point), Điểm xung yếu (Weakest Link), Tính đa dạng (Diversity) và Hỏng trong an toàn (Fail-Safe Stance với hai trường phái Default Deny Stance và Default Permit Stance).
• Cách thức xây dựng chính sách và quy tắc: Khuyến nghị bộ luật tường lửa không nên vượt quá 30 quy tắc căn bản để tránh làm chậm tốc độ xử lý và xung đột luật. Trình bày thứ tự kiểm tra gói tin tuần tự và tầm quan trọng của việc đặt các quy tắc đặc biệt lên trước quy tắc tổng quát.
• Các thành phần và cơ chế hoạt động: Phân tích 4 cơ chế gồm Bộ lọc gói (Packet-filtering router), Cổng ứng dụng (Application gateway / Proxy server), Cổng mạch (Circuit gateway hoạt động ở tầng 4 OSI) và Bộ lọc Session thông minh (Intelligent Session Filters kết hợp kiểm soát trạng thái hai chiều).

Chương 3: Tìm hiểu firewall Iptables trong hệ điều hành Linux

Chương 3 đi sâu vào kiến trúc kỹ thuật và cơ chế hoạt động của Iptables trên nền tảng Linux nhân 2.4/2.x:

• Sự phát triển của Iptables/Netfilter: Khắc phục các hạn chế chia tách giữa lọc gói và NAT của các công cụ cũ (ipfwadm trên nhân 2.0 và ipchains trên nhân 2.2). Netfilter hoạt động trực tiếp trong không gian nhân (kernel space), còn Iptables là tiện ích trong không gian người dùng (user space).
• Luồng xử lý gói tin: Chi tiết đường đi của gói tin qua các chain: Gói tin vào card mạng qua PREROUTING (xử lý Mangle/DNAT) $\rightarrow$ phân nhánh: nếu gửi đến máy cục bộ sẽ qua INPUT $\rightarrow$ ứng dụng xử lý $\rightarrow$ OUTPUT $\rightarrow$ POSTROUTING (SNAT/Masquerade); nếu chuyển tiếp qua máy khác sẽ qua FORWARD $\rightarrow$ POSTROUTING $\rightarrow$ ra card mạng.
• Cấu trúc 4 bảng (Tables) và chuỗi (Chains):
  • Bảng FILTER: gồm các chuỗi FORWARD, INPUT, OUTPUT.
  • Bảng NAT: gồm các chuỗi PREROUTING, POSTROUTING, OUTPUT.
  • Bảng MANGLE: thay đổi cờ hiệu, ToS/QoS trong IP header.
  • Bảng CONNTRACK: theo dõi trạng thái kết nối.
• Cú pháp tham số dòng lệnh: Mô tả chi tiết các tùy chọn -t, -j, -A, -F, -P, -N, -X, -Z, -p, -s, -d, -i, -o, --sport, --dport, --syn, --icmp-type, -m multiport, module trạng thái (-m state với 3 trạng thái NEW, ESTABLISHED, RELATED), và module giới hạn (--limit, --limit-burst).
• Kỹ thuật biên dịch địa chỉ mạng (NAT): Khái niệm, ưu nhược điểm của NAT; cơ chế NAT động (Dynamic NAT), cơ chế đóng giả địa chỉ IP (Masquerade) dùng cho IP động, Source NAT (SNAT) và Destination NAT (DNAT), cùng tùy chọn -j REDIRECT.

Chương 4: Triển khai và thực nghiệm firewall Iptables trên Linux

Chương 4 mô tả toàn bộ quá trình áp dụng vào thực tế:

• Mô hình triển khai: Thiết lập cấu hình mạng tại trường CĐ CNTT Hữu Nghị Việt - Hàn với máy chủ Firewall chạy Linux RedHat kết nối 3 vùng qua card mạng eth0 (Internet), eth1 (DMZ chứa Server và MailServer), eth2 (LAN chứa PC1, PC2).
• Thiết lập kịch bản cấu hình:
  • Bật tính năng định tuyến echo 1 > /proc/sys/net/ipv4/ip_forward.
  • Cấu hình SNAT và Masquerade cho dải mạng nội bộ đi ra ngoài Internet.
  • Cấu hình DNAT chuyển hướng các cổng dịch vụ 80, 21, 110, 143, 25 và 53 từ Internet/LAN vào máy chủ DMZ.
  • Cấu hình bộ luật lọc gói: Cho phép các gói có trạng thái ESTABLISHED,RELATED, khóa cổng 25 trực tiếp từ dải IP nội bộ để kiểm soát phát tán thư rác, đặt ngưỡng giới hạn ICMP.
  • Cấu hình ngăn chặn tấn công SYN Flood bằng cách giới hạn số lượng kết nối TCP khởi tạo mới (--syn).
• Thực nghiệm và đánh giá: Thực hiện các kịch bản kiểm thử phân giải tên miền DNS, duyệt Web qua HTTP, truyền file qua FTP, gửi nhận thư điện tử bằng POP3/SMTP trên PC1 và PC2. Tiến hành thử nghiệm tấn công từ chối dịch vụ Web Server bằng công cụ httpdos và ghi nhận Iptables đã chặn các gói tin SYN bất thường từ máy tấn công.

Kết quả và đóng góp

Đồ án đã đạt được các kết quả cụ thể sau:

• Kết quả kỹ thuật:
  • Thiết lập thành công hệ thống tường lửa 3 chân (Three-homed Firewall) phân tách rõ ràng 3 vùng mạng: LAN (eth2), DMZ (eth1) và Internet (eth0).
  • Cấu hình hoàn chỉnh các kịch bản NAT (SNAT, DNAT, Masquerade) giúp các máy trạm LAN truy cập Internet bằng IP dùng chung và cho phép người dùng bên ngoài truy cập an toàn các dịch vụ trong DMZ.
  • Ngăn chặn thành công cuộc tấn công thử nghiệm từ chối dịch vụ (DoS) bằng công cụ httpdos thông qua cơ chế giới hạn gói tin SYN của Iptables.
• Giải pháp và kiến nghị đề xuất:
  • Doanh nghiệp và tổ chức cần kết hợp đồng bộ 3 giải pháp: Phần cứng, Phần mềm và nâng cao nhận thức con người; không nên đầu tư dưới mức 10% ngân sách CNTT cho bảo mật.
  • Nên áp dụng nguyên tắc "Default Deny Stance" trong cấu hình tường lửa và bố trí các máy chủ công cộng (Web, Mail, DNS) vào vùng mạng DMZ độc lập để bảo vệ vùng mạng nội bộ.
  • Cần tối ưu hóa bảng quy tắc tường lửa (dưới 30 quy tắc căn bản), ưu tiên sắp xếp các luật đặc biệt lên trước các luật tổng quát.
• Đóng góp của đồ án: Hệ thống hóa lý thuyết về cơ chế hoạt động của Netfilter/Iptables trên nhân Linux 2.4/2.x; xây dựng tài liệu hướng dẫn kịch bản cấu hình tường lửa chi tiết và quy trình thực nghiệm phòng chống tấn công DoS/SYN Flood cho hệ thống mạng cục bộ.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế:
  • Tường lửa Iptables thuần túy lọc gói ở tầng mạng và giao vận (IP Header, Port, Flag), chưa thể phân tích sâu nội dung dữ liệu bên trong gói tin để phát hiện mã độc, virus ẩn trong luồng dữ liệu ứng dụng.
  • Hệ thống chưa tích hợp các cơ chế phòng thủ nâng cao như hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS) hay tường lửa ứng dụng web (WAF).
  • Thử nghiệm tấn công DoS mới dừng lại ở quy mô công cụ đơn lẻ (httpdos) trong môi trường mạng nội bộ, chưa thử nghiệm trên môi trường phân tán (DDoS) diện rộng.
• Hướng nghiên cứu tiếp:
  • Nghiên cứu kết hợp Iptables với các hệ thống phát hiện xâm nhập mã nguồn mở (như Snort IDS/IPS) để kiểm soát sâu nội dung gói tin.
  • Xây dựng giao diện đồ họa quản trị tập trung và cơ chế tự động phân tích log để phát hiện bất thường trong thời gian thực.
  • Mở rộng mô hình bảo mật tích hợp mạng riêng ảo (VPN) và kiểm soát truy cập cho người dùng di động.

Giá trị tham khảo

Đồ án là tài liệu tham khảo phù hợp cho:

• Sinh viên chuyên ngành Mạng máy tính, An toàn thông tin và Công nghệ thông tin: Cung cấp tài liệu học tập về nguyên lý hoạt động của Netfilter/Iptables trong nhân Linux, các mô hình kiến trúc tường lửa và kỹ thuật phân tích gói tin.
• Quản trị viên hệ thống mạng tại các trường học, cơ quan, doanh nghiệp quy mô vừa và nhỏ: Tham khảo cấu hình thực tế mô hình tường lửa phân vùng DMZ, kỹ thuật NAT động, các quy tắc bảo vệ dịch vụ mạng cơ bản (Web, Mail, DNS, FTP) và thiết lập kịch bản chống tấn công DoS/SYN Flood.
• Phần nội dung có giá trị tham khảo cao nhất: Chương 3 (hệ thống hóa toàn bộ cú pháp lệnh, chuỗi và bảng trong Iptables) và Chương 4 (các kịch bản cấu hình dòng lệnh trực tiếp trên các giao tiếp mạng eth0, eth1, eth2).

Câu hỏi thường gặp

1. Sự khác biệt cốt lõi giữa Netfilter và Iptables trong hệ điều hành Linux là gì?

Netfilter là một khung làm việc (framework) nằm trực tiếp bên trong nhân Linux (kernel space) thực hiện chức năng chặn và lọc các gói dữ liệu ở mức IP với tốc độ cao. Iptables là công cụ nằm ngoài nhân (user space) đóng vai trò giao diện dòng lệnh giúp người quản trị tạo lập, chỉnh sửa và đẩy các tập quy tắc (rules) vào cho Netfilter xử lý.

2. Các built-in chain trong bảng FILTER và bảng NAT của Iptables gồm những gì?

Bảng FILTER (dùng để lọc gói tin) gồm 3 built-in chain: INPUT (gói tin đi vào máy chủ firewall), OUTPUT (gói tin xuất phát từ firewall đi ra ngoài) và FORWARD (gói tin chuyển tiếp qua firewall sang mạng khác). Bảng NAT (dùng để biên dịch địa chỉ mạng) gồm 3 built-in chain: PREROUTING (thực hiện DNAT trước khi định tuyến), POSTROUTING (thực hiện SNAT/Masquerade sau khi định tuyến) và OUTPUT (thực hiện NAT cho các gói tin xuất phát từ chính firewall).

3. Tại sao tác giả khuyến nghị nên sử dụng chính sách "Default Deny Stance" khi xây dựng tường lửa?

Chính sách "Default Deny Stance" tuân thủ nguyên tắc khóa toàn bộ lưu lượng theo mặc định và chỉ cho phép những dịch vụ, địa chỉ được định nghĩa rõ ràng. Cách tiếp cận này đảm bảo tính an toàn cao nhất, ngăn chặn các truy cập không xác định hoặc lỗ hổng phát sinh ngoài ý muốn, trái ngược với "Default Permit Stance" (cho phép tất cả, chỉ chặn cái đã biết) vốn tiềm ẩn nhiều rủi ro bị bỏ sót.

4. Trong mô hình triển khai ở Chương 4, vùng DMZ được kết nối qua card mạng nào và chứa những máy chủ gì?

Vùng mạng trung gian DMZ được kết nối qua card mạng eth1 của máy chủ tường lửa Linux. Vùng này bố trí hai máy chủ: máy chủ SERVER (cung cấp dịch vụ Web Server trên cổng 80 và FTP Server trên cổng 21) và máy chủ MailServer (cung cấp dịch vụ thư điện tử qua các giao thức POP3 trên cổng 110, IMAP trên cổng 143, SMTP trên cổng 25, cùng dịch vụ DNS trên cổng 53).

5. Đồ án sử dụng giải pháp nào để ngăn chặn tấn công DoS / SYN Flood trên Iptables?

Tác giả sử dụng module limit trong Iptables kết hợp với cờ hiệu TCP --syn. Cấu hình này giới hạn số lượng yêu cầu khởi tạo kết nối mới (SYN packets) được tiếp nhận trong một đơn vị thời gian thông qua các tham số --limit (tốc độ tiếp nhận) và --limit-burst (ngưỡng chịu tải tối đa), từ đó loại bỏ các gói tin SYN vượt ngưỡng để bảo vệ máy chủ dịch vụ.

Kết luận

Đồ án tốt nghiệp của sinh viên Phùng Văn Đại đã hệ thống hóa toàn diện cơ sở lý thuyết về an toàn mạng máy tính, phân loại kiến trúc tường lửa và phân tích sâu cơ chế hoạt động của Netfilter/Iptables trên nhân hệ điều hành Linux. Tác giả đã thiết kế và triển khai thành công mô hình tường lửa 3 vùng mạng (Internet, LAN, DMZ) trên nền tảng Linux RedHat, áp dụng đầy đủ các kịch bản định tuyến, NAT và lọc gói tin bảo vệ dịch vụ. Kết quả thực nghiệm cho thấy hệ thống vận hành ổn định, kiểm soát chính xác luồng dữ liệu và ngăn chặn hiệu quả các cuộc tấn công từ chối dịch vụ thử nghiệm.

Trích đoạn nội dung tài liệu

Chương 1: TỔNG QUAN VỀ BẢO MẬT MẠNG MÁY TÍNH 1. Tổng quan về an ninh mạng máy tính 1.1 Tình hình an ninh mạng trên thế giới Với sự xuất hiện của hàng loạt các cuộc tấn công trực tuyến trong thời gian qua, báo hiệu thời kì khó khăn cho các ngân hàng trực tuyến trên toàn thế giới. Năm 2012, một số cuộc tấn công nhằm vào các ngân hàng Mỹ, khiến cho các website của các ngân hàng này ngừng trệ hoặc dừng hẳn. Theo Prolexic, một công ty về hạn chế các cuộc tấn từ chối dịch vụ phân tán (DDoS).

Cụ thể là một loại virus mới có tên Itsoknoproblembro, có khả năng gây lây nhiễm cho các máy chủ tại các trung tâm dữ liệu, các nhà cung cấp dịch vụ đám mây, biến các máy chủ đó thành các “bRobots” mà hầu như không chương trình chống virus nào hiện nay dò tìm ra được chúng. Bằng việc gây lây nhiễm cho các trung tâm dữ liệu thay vì các máy tính đơn lẻ, những kẻ tấn công đã giành lấy sức mạnh tính toán để dựng lên vô số các cuộc tấn công từ chối dịch vụ. Khi nói đến vấn đề bảo mật, hầu hết các chuyên gia bảo mật đều chú trọng đến sự an toàn của hệ thống mạng và hệ điều hành. Để bảo vệ cho hệ thống, phương pháp thường được chọn là sử dụng tường lửa.

Theo khảo sát của tập đoàn Symantec cho thấy trong giai đoạn từ tháng 7/2011 tới 7/2012 tội phạm mạng đã thực hiện các vụ tấn công gây thiệt hại lên tới 110 tỷ USD. Tại Hoa Kỳ, khoảng 20 tỷ USD của 70 triệu nạn nhân đã không cánh mà bày do các hành động phá hoại từ các hacker. Khảo sát cũng cho thấy khoảng 556 triệu người đã từng hứng chịu các hành động phá hoại của tin tặc, con số này thậm chí còn lớn hơn dân số Châu Âu ở thời điểm hiện tại. Thống kê cho thấy 15% số tài khoản mạng xã hội từng bị xâm nhập, 10% người dùng bị dính phải các link website chứa mã độc hại, 75% lổ hổng từ các website.2 Tình hình an ninh mạng tại Việt Nam An ninh mạng là một vấn đề mới đối với đa số người sử dụng máy tính.

Những công ty lập trình website cũng chưa ý thức đầy đủ về vấn đề này. Ở công ty nước ngoài, mỗi lập trình viên sau khi tuyển dụng phải qua một khoá đào tạo lập trình đặc biệt về an ninh mạng một số chứng chỉ như: CCNA (Cisco Certified Network Associate), CCNP (Cisco Certified Network Professional). Tìm được công ty thiết kế website ở Việt Nam làm điều này rất khó. Việc đầu tư thời gian và công sức vào bảo mật có thể làm chậm tiến độ triển khai dự án, hiệu quả lại khó kiểm chứng.

Tuy đã SVTH: Phùng Văn Đại Trang 1 Tìm hiểu bảo mật LAN và triển khai IPtables trên Linux được các chuyên gia máy tính liên tục cảnh báo nhưng nhận thức về nguy cơ, tính rủi ro và hậu quả của tình trạng mất an ninh mạng vẫn chưa được quan tâm tìm hiểu đúng mức. Tình trạng lơ là, mất cảnh giác đối với nguy cơ virus tấn công các trang web xảy ra khá phổ biến trong giới quản trị website, thậm chí ngay cả đối với website của các doanh nghiệp CNTT. Tại ngày an toàn thông tin 2012 do hiệp hội an toàn thông tin Việt Nam VNISA (Vietnam Information Security Association) tổ chức ở Thành phố Hồ Chí Minh ngày 16/11, nhiều chuyên gia an ninh mạng đều có chung một đánh giá tình hình an toàn thông tin trên thế giới và cả Việt Nam năm qua không có quá nhiều các sự kiện nổi cộm, nhưng các cuộc tấn công xâm nhập, các hành vi vụ lợi thông qua sử dụng công nghệ cao và mạng internet vẫn xảy ra phổ biến. Tháng 5/2012, VNISA đánh giá ngẫu nhiên 100 website tên miền .vn cho thấy 78% số website có thể bị tấn công toàn diện.

Việt Nam, với sự đầu tư cho an toàn thông tin chưa nhiều, sẽ có nguy cơ chịu không ít rủi ro. Đặc biệt, trong năm 2012, không chỉ các website của doanh nghiệp, chính phủ, mà cả những website của các công ty bảo mật hàng đầu Việt Nam cũng bị tấn công. Trong năm nay, số lượng các máy tính bị nhiễm mã độc cũng không có dấu hiệu giảm (18,1/1000 máy tính), đây chính là các “trái bom” trong hệ thống thông tin chưa thể loại trừ được. Hiện nay, phần lớn các doanh nghiệp Việt Nam chưa có sự đầu tư đúng mức về công nghệ bảo mật cũng như về con người do chi phí cho lĩnh vực này khá cao.

BKIS cho biết, các lổ hổng bảo mật trên các trang web của Việt Nam phần lớn là do các công ty viết phần mềm chưa quan tâm đến an toàn hệ thống và đầu tư cho an ninh mạng chưa đủ ngưỡng. Người quản trị mạng chưa làm tốt những công việc như: Đặt mật khẩu yếu, mở nhiều dịch vụ không cần thiết, các doanh nghiệp và tổ chức ở Việt Nam thường đầu tư dưới 10% chi phí CNTT cho bảo mật, một tỷ lệ dưới mức đảm bảo an toàn cho hệ thống thông tin. Các giải pháp cơ bản đảm bảo an ninh An ninh mạng máy tính có thể bị đe dọa từ rất nhiều góc độ và nguyên nhân khác nhau. Đe dọa an ninh có thể xuất phát từ bên ngoài mạng nội bộ hoặc cũng có thể xuất phát từ ngay bên trong tổ chức.

Do đó, việc đảm bảo an ninh an toàn cho mạng máy SVTH: Phùng Văn Đại Trang 2 Tìm hiểu bảo mật LAN và triển khai IPtables trên Linux tính cần phải có nhiều giải pháp cụ thể khác nhau. Tuy nhiên, tổng quan có ba giải pháp cơ bản sau:  Giải pháp về phần cứng  Giải pháp về phần mềm  Giải pháp về con người Đây là ba giải pháp tổng quát mà bất kì một nhà quản trị an ninh nào cũng phải tính đến trong công tác đảm bảo an ninh mạng máy tính. Mỗi giải pháp có một ưu nhược điểm riêng mà người quản trị an ninh cần phải biết phân tích, tổng hợp và chọn lựa để tạo khả năng đảm bảo an ninh tối ưu nhất cho tổ chức mình. o Giải pháp về phần cứng: - Giải pháp phần cứng là giải pháp sử dụng các thiết bị vật lý như các hệ thống máy chuyên dụng, cũng có thể là các thiết lập trong mô hình mạng (thiết lập kênh truyền riêng, mạng riêng).

Giải pháp phần cứng thông thường đi kèm với nó là hệ thống phần mềm điều khiển tương ứng. Đây là một giải pháp không phổ biến, vì không linh hoạt trong việc đáp ứng với sự phát triển và thay đổi của các công nghệ, các dịch vụ mới xuất hiện và chi phí rất cao. o Giải pháp về phần mềm: - Khác với giải pháp phần cứng, giải pháp phần mềm hết sức đa dạng. Giải pháp phần mềm có thể phụ thuộc hay không phụ thuộc vào phần cứng.

Cụ thể các giải pháp về phần mềm như: Các phương pháp xác thực, các phương pháp mã hoá, mạng riêng ảo, các hệ thống bức tường lửa. Các phương pháp xác thực và mã hoá đảm bảo cho thông tin truyền trên mạng một cách an toàn nhất. Vì với cách thức làm việc của nó, thông tin thật trên đường truyền được mã hoá mà những kẻ trộm không thể thấy được, hoặc nếu thông tin bị sửa đổi thì tại nơi nhận có cơ chế phát hiện sự sửa đổi đó. Còn phương pháp sử dụng hệ thống bức tường lửa lại đảm bảo an ninh ở góc độ khác.

- Bằng cách thiết lập các luật tại một điểm đặc biệt (gọi là điểm nghẹt) giữa hệ thống mạng bên trong (mạng cần bảo vệ) với hệ thống mạng bên ngoài (mạng được coi là không an toàn về bảo mật), hệ thống bức tường lửa hoàn toàn có thể kiểm soát các kết nối trao đổi thông tin giữa hai mạng. Với cách thức này, hệ thống tường lửa đảm bảo an ninh khá tốt cho hệ thống mạng cần bảo vệ. Như thế, giải pháp về phần mềm gần như hoàn toàn gồm các chương trình máy tính, do đó chi phí cho giải pháp này ít hơn so với giải pháp về phần cứng. SVTH: Phùng Văn Đại Trang 3 Tìm hiểu bảo mật LAN và triển khai IPtables trên Linux o Giải pháp về con người: - Bên cạnh hai giải pháp trên, giải pháp về chính sách con người là một giải pháp hết sức cơ bản và không thể thiếu được.

Vì như phần trên đã trình bày, vấn đề an ninh mạng máy tính hoàn toàn là vấn đề con người, do đó việc đưa ra một hành lang pháp lý và các quy nguyên tắc làm việc cụ thể là cần thiết. Ở đây, hành lang pháp lý có thể gồm: Các điều khoản trong bộ luật của nhà nước, các văn bản dưới luật, còn các quy định có thể do từng tổ chức đặt ra cho phù hợp với từng đặc điểm riêng. Các quy định có thể như: Quy định về nhân sự, việc sử dụng máy, sử dụng phần mềm. Và như vậy, sẽ hiệu quả nhất trong việc đảm bảo an ninh an toàn cho hệ thống mạng máy tính một khi ta thực hiện triệt để giải pháp về chính sách con người.

Tóm lại, vấn đề an ninh mạng máy tính là một vấn đang được các nhà quản lý internet, người quản trị và người sử dụng rất quan tâm, lo ngại về tình hình an ninh mạng hiện nay, nó yêu cầu cần phải kết hợp các giải pháp: Phần cứng, phần mềm và con người. Do đó, một trong những vấn đề mấu chốt của việc đảm bảo tính an toàn, an ninh khi sử dụng mạng internet là vấn đề tự giáo dục và nâng cao ý thức của người sử dụng cũng như trách nhiệm của những nhà cung cấp dịch vụ trong bối cảnh internet được phát triển mạnh và không kiểm soát được như ngày nay. Các vấn đề bảo mật hệ thống mạng 1.Vấn đề chung về bảo mật hệ thống và mạng Đặc điểm chung của một hệ thống mạng là có nhiều người sử dụng chung và phân tán về mặt địa lý nên việc bảo vệ tài nguyên (mất mát hoặc sử dụng không hợp lệ) phức tạp hơn nhiều so với việc môi trường một máy tính đơn lẻ, hoặc một người sử dụng. Hoạt động của người quản trị hệ thống mạng phải đảm bảo các thông tin trên mạng là tin cậy và được sử dụng đúng mục đích, đối tượng đồng thời đảm bảo mạng hoạt động ổn định không bị tấn công bởi những kẻ phá hoại.

Nhưng trên thực tế là không một mạng nào đảm bảo là an toàn tuyệt đối, một hệ thống dù được bảo vệ chắc chắn đến mức nào thì cũng có lúc bị vô hiệu hóa bởi những kẻ có ý đồ xấu.