Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ liên mạng toàn cầu, mạng máy tính đã trở thành hạ tầng huyết mạch của mọi tổ chức kinh tế, giáo dục và quốc phòng. Theo thống kê an ninh mạng công nghiệp, hơn 70% các vụ tấn công nguy hiểm bắt nguồn từ các lỗ hổng trên đường truyền mạng công cộng thâm nhập vào hệ thống nội bộ, gây thiệt hại hàng triệu USD cho các doanh nghiệp. Trước thực trạng các kỹ thuật tấn công ngày càng phức tạp như IP Spoofing, Packet Sniffing, Denial of Service (DoS/DDoS) và thám thính qua mã độc (Trojan/Virus), việc thiết lập một hàng rào phòng thủ đa tầng trở thành yêu cầu sống còn.

Đồ án tốt nghiệp "Bảo mật mạng máy tính & Firewall" (chuyên ngành Kỹ thuật Điện tử - Viễn thông / Mạng máy tính) giải quyết bài toán cốt lõi: Làm thế nào để xây dựng một kiến trúc an ninh mạng toàn diện, kết hợp chặt chẽ giữa chính sách phân quyền truy cập, cơ chế định tuyến an toàn, tường lửa (Firewall) phần cứng/phần mềm và hệ thống giám sát phát hiện/ngăn ngừa xâm nhập (IDS/IPS).

+-------------------------------------------------------------------------------+
|                             INTERNET (Untrusted - Level 0)                    |
+---------------------------------------+---------------------------------------+
                                        |
                                [ Gateway / Router ]
                                        |
                                 +--------------+
                                 | Choke Point  |
                                 +------+-------+
                                        |
+---------------------------------------v---------------------------------------+
|                    FIREWALL (Cisco PIX / Stateful Inspection)                 |
|   - Default Deny Stance               - NAT / PAT & Static Mapping            |
|   - Packet Filtering (L3/L4)          - Security Levels: Inside 100, DMZ 50   |
+-------------------+---------------------------------------+-------------------+
                    |                                       |
    [ DMZ Network - Security 50 ]               [ Inside LAN - Security 100 ]
    +---------------------------+               +---------------------------+
    | Web / Mail / FTP Servers  |               | Core Switches & Host PCs  |
    | + NIDS Sensors (Sniffing) |               | + HIDS / HIPS Agents      |
    +---------------------------+               +---------------------------+

Mục tiêu nghiên cứu cụ thể

  1. Chuẩn hóa kiến trúc an ninh mạng: Hệ thống hóa toàn diện mô hình 7 lớp OSI và bộ giao thức TCP/IP (IPv4 Datagram, TCP/UDP sockets, ARP, ICMP, routing protocols RIP/OSPF) dưới góc độ an toàn thông tin.
  2. Thiết kế chính sách bảo mật đa tầng: Xây dựng mô hình kiểm soát 5 cấp độ (Network level, Server level, Database level, Field level, Cryptography level) dựa trên hai nguyên tắc cốt lõi: Quyền hạn tối thiểu (Least Privilege) và Phòng thủ theo chiều sâu (Defense in Depth).
  3. Phân loại và tối ưu hóa kiến trúc Firewall: Phân tích chi tiết cơ chế làm việc của Packet Filtering, Circuit-Level Gateway, Application-Level Gateway (Proxy Server) trên các topology: Dual-homed host, Screened host và Screened-subnet (DMZ).
  4. Tích hợp giải pháp phát hiện và ngăn chặn xâm nhập: Nghiên cứu nguyên lý NIDS/NIPS (Network-based) và HIDS/HIPS (Host-based), đặt sensor giám sát tại các điểm nút chiến lược.
  5. Thực thi mô phỏng và kiểm thử thực tế: Xây dựng mô hình tường lửa doanh nghiệp hoàn chỉnh sử dụng thiết bị bảo mật chuyên dụng Cisco PIX Firewall thông qua cấu hình CLI và giao diện quản trị đồ họa Cisco ASDM (Adaptive Security Device Manager).

Phạm vi và giới hạn của đề tài

  • Phạm vi: Thiết kế cấu hình phân vùng an ninh mạng doanh nghiệp (Inside - Outside - DMZ), kiểm soát lưu lượng TCP/IP L3-L4, NAT/PAT, cấu hình Access Control Lists (ACL) và kiểm thử tấn công giả lập.
  • Giới hạn: Tập trung vào ngăn chặn các cuộc tấn công mạng phổ biến ở lớp Network và Transport trên nền tảng IPv4; chưa tích hợp giải mã sâu lưu lượng mã hóa SSL/TLS ở tầng ứng dụng nâng cao (Next-Generation Deep Packet Inspection).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp bảo vệ biên mạng hiện nay tồn tại nhiều ưu nhược điểm kỹ thuật khác nhau, đòi hỏi sự kết hợp tối ưu giữa hiệu năng xử lý và độ sâu kiểm tra gói tin:

Giải pháp bảo mật Cơ chế hoạt động Ưu điểm Nhược điểm
Static Packet Filtering Kiểm tra Header L3/L4 (IP nguồn/đích, Port, Protocol Flags). Tốc độ xử lý dây chuyền (wire-speed), chi phí tài nguyên thấp. Không lưu trạng thái kết nối; dễ bị qua mặt bởi IP Spoofing, Fragment attacks.
Application Proxy Gateway Đóng vai trò trung gian tại L7, tái tạo toàn bộ phiên kết nối. Kiểm tra sâu payload nội dung, ẩn hoàn toàn cấu trúc mạng bên trong. Độ trễ cao (latency), tiêu tốn CPU/RAM, hạn chế khả năng mở rộng giao thức mới.
Circuit-Level Gateway Xác thực bắt tay TCP (3-way handshake) trước khi cho phép circuit kết nối. Bảo vệ mạch truyền tin tốt hơn Packet Filtering, nhẹ hơn Proxy L7. Không kiểm tra được nội dung gói tin sau khi phiên đã thiết lập.
Stateful Packet Inspection (SPI) Theo dõi bảng trạng thái phiên (State Table), kiểm tra context gói tin. Cân bằng hoàn hảo giữa tốc độ và bảo mật, chống giả mạo TCP SYN/FIN. Yêu cầu quản lý bộ nhớ bảng trạng thái; dễ chịu tải khi bị tấn công SYN Flood lớn.

Ma trận ưu tiên yêu cầu hệ thống theo mô hình MoSCoW

  • Must Have (Bắt buộc): Cơ chế Default Deny (chặn toàn bộ, chỉ mở cổng cần thiết); Phân chia vùng an ninh độc lập (Inside: Level 100, DMZ: Level 50, Outside: Level 0); Dịch chuyển địa chỉ mạng NAT/PAT; Chặn IP Spoofing và ICMP flood.
  • Should Have (Nên có): Tích hợp NIDS sensor ở chế độ Promiscuous Mode trên vùng DMZ; Giao diện quản trị đồ họa trực quan qua ASDM song song với CLI; Quản lý phiên làm việc tập trung.
  • Could Have (Có thể có): Cảnh báo thời gian thực qua Syslog/SNMP trap; Khả năng fail-safe chuyển trạng thái an toàn khi mất nguồn.
  • Won't Have (Chưa thực hiện đợt này): Tích hợp máy học phát hiện bất thường hành vi không có chữ ký; Kiểm tra toàn vẹn chữ ký số cấp L7 trên lưu lượng HTTPS.

Thiết kế hệ thống

Kiến trúc Screened-Subnet Firewall (DMZ Architecture)

Hệ thống lựa chọn kiến trúc mạng con được bảo vệ (Screened-Subnet Host Architecture). Đây là giải pháp an toàn bậc nhất trong mạng doanh nghiệp, cô lập hoàn toàn các máy chủ dịch vụ công cộng (Web Server, Mail Server) ra khỏi vùng mạng lõi nội bộ:

[ OUTSIDE: Internet ] 
          | (Level 0)
    +-----v-----+
    | Ext Router|
    +-----+-----+
          |
    +-----v---------------------------------------+
    |        CISCO PIX SECURITY APPLIANCE         |
    +-----+---------------------------------+-----+
          | (Level 50)                      | (Level 100)
    +-----v-----+                     +-----v-----+
    |  DMZ LAN  |                     | INSIDE LAN|
    |  Servers  |                     | Clients/DB|
    +-----------+                     +-----------+

Technology Stack và Phiên bản Kỹ thuật

  • Thiết bị cốt lõi: Cisco PIX 515E / PIX 525 Security Appliance (OS Software Version 7.2 / 8.0).
  • Phần mềm quản trị: Cisco Adaptive Security Device Manager (ASDM) Version 6.3.
  • Công cụ mô phỏng & phân tích: Dynamips / GNS3 Engine v0.8.6, Wireshark Network Protocol Analyzer v1.12.
  • Hệ thống giám sát: Snort NIDS Engine v2.9 tích hợp card mạng Promiscuous Mode.
  • Nền tảng máy chủ dịch vụ: Red Hat Enterprise Linux / Windows Server 2003 R2 (IIS 6.0, Apache HTTPD 2.2, BIND DNS 9.x).

Cấu trúc và xử lý gói tin IP Datagram

Tường lửa kiểm soát chặt chẽ cấu trúc 32-bit của gói IPv4 Datagram theo tiêu chuẩn RFC 791:

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Version|  IHL  |Type of Service|          Total Length         |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|         Identification        |Flags|      Fragment Offset    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|  Time to Live |    Protocol   |        Header Checksum        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                       Source IP Address                       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Destination IP Address                     |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  • Xác thực độ toàn vẹn: Tính toán lại Header Checksum (16-bit CRC) để phát hiện gói tin lỗi/bị can thiệp.
  • Chống phân mảnh tấn công (Anti-Teardrop/Frag): Kiểm tra Flags (DF, MF) và Fragment Offset để ráp gói tin trước khi cho phép đi qua bảng trạng thái.
  • Kiểm soát vòng lặp: Giảm trừ giá trị Time To Live (TTL) và hủy bỏ các gói có TTL <= 1.

Methodology

Quy trình phát triển và kiểm thử an ninh mạng tuân thủ mô hình phân kỳ nghiêm ngặt (4 giai đoạn):

+-------------------------------------------------------------------------+
| Phase 1: Phân tích yêu cầu & Lập mô hình luồng dữ liệu (Tuần 1 - 3)     |
+------------------------------------+------------------------------------+
                                     |
+------------------------------------v------------------------------------+
| Phase 2: Thiết kế Topology & Thiết lập chính sách bảo mật (Tuần 4 - 7)  |
+------------------------------------+------------------------------------+
                                     |
+------------------------------------v------------------------------------+
| Phase 3: Cấu hình Thiết bị, Routing, NAT & ACL Rules (Tuần 8 - 11)     |
+------------------------------------+------------------------------------+
                                     |
+------------------------------------v------------------------------------+
| Phase 4: Kiểm thử Stress-test, Penetration Test & Audit (Tuần 12 - 14)  |
+-------------------------------------------------------------------------+

Ma trận đánh giá rủi ro và giải pháp khắc phục

  1. Nghẽn cổ chai tại Firewall (Choke Point Bottleneck):
    • Rủi ro: Tải kiểm tra trạng thái vượt quá năng lực xử lý CPU của PIX.
    • Khắc phục: Tối ưu hóa thứ tự Access-list (đặt các rule khớp nhiều nhất lên đầu), bật cơ chế tăng tốc phần cứng (Cut-Through Proxy).
  2. Lỗi cấu hình sai gây lộ lọt dữ liệu (Configuration Drift):
    • Rủi ro: Cấp quyền quá mức cho phép từ Outside vào Inside.
    • Khắc phục: Áp dụng quy chuẩn Default Deny Stance và kiểm tra chéo hai chiều (Inbound/Outbound ACL Auditing).
  3. Mạo danh địa chỉ IP nội bộ từ bên ngoài (IP Spoofing):
    • Rủi ro: Hacker giả mạo dải mạng 192.168.1.0/24 gửi vào cổng Outside.
    • Khắc phục: Kích hoạt tính năng Unicast Reverse Path Forwarding (uRPF) và bộ lọc chống Spoofing ngay tại interface Outside.

Implementation và kết quả

Development process

Quá trình hiện thực hóa giải pháp bảo mật tập trung vào việc cấu hình thiết bị an ninh chuyên dụng Cisco PIX với bộ quy tắc kiểm soát luồng dữ liệu chặt chẽ qua giao diện dòng lệnh (CLI).

1. Định cấu hình Phân vùng và Giao tiếp Mạng

Khởi tạo 3 giao diện vật lý tương ứng 3 vùng tin cậy:

! Thiết lập tên và Security Level cho từng Interface
pixfirewall(config)# interface ethernet0 auto
pixfirewall(config)# interface ethernet1 auto
pixfirewall(config)# interface ethernet2 auto

pixfirewall(config)# nameif ethernet0 outside security0
pixfirewall(config)# nameif ethernet1 inside security100
pixfirewall(config)# nameif ethernet2 dmz security50

! Gán địa chỉ IP tương ứng cho các Interface
pixfirewall(config)# ip address outside 203.162.1.2 255.255.255.248
pixfirewall(config)# ip address inside 192.168.1.1 255.255.255.0
pixfirewall(config)# ip address dmz 172.16.1.1 255.255.255.0

2. Cấu hình Cơ chế Dịch địa chỉ IP (NAT/PAT & Static Mapping)

Bảo vệ IP nội bộ thông qua Dynamic NAT/PAT và công khai các dịch vụ Web/Mail trong DMZ bằng Static NAT:

! Cấu hình dải IP động cho toàn bộ Inside LAN khi truy cập Internet
pixfirewall(config)# nat (inside) 1 192.168.1.0 255.255.255.0
pixfirewall(config)# global (outside) 1 203.162.1.3-203.162.1.5 netmask 255.255.255.248

! Public dịch vụ Web Server và Mail Server trong DMZ ra Internet
pixfirewall(config)# static (dmz,outside) 203.162.1.6 172.16.1.10 netmask 255.255.255.255
pixfirewall(config)# static (dmz,outside) 203.162.1.7 172.16.1.20 netmask 255.255.255.255

3. Thiết lập Bộ quy tắc Kiểm soát truy cập (Access Control Lists - ACL)

Triển khai chính sách Default Deny và chỉ cho phép lưu lượng hợp lệ:

! Khởi tạo Access-List kiểm soát lưu lượng từ ngoài vào DMZ
pixfirewall(config)# access-list OUTSIDE_TO_DMZ extended permit tcp any host 203.162.1.6 eq www
pixfirewall(config)# access-list OUTSIDE_TO_DMZ extended permit tcp any host 203.162.1.7 eq smtp
pixfirewall(config)# access-list OUTSIDE_TO_DMZ extended permit icmp any host 203.162.1.6 echo-reply
pixfirewall(config)# access-list OUTSIDE_TO_DMZ extended deny ip any any

! Áp dụng Access-List vào Interface Outside theo chiều Inbound
pixfirewall(config)# access-group OUTSIDE_TO_DMZ in interface outside

! Kích hoạt cơ chế kiểm tra trạng thái và chống tấn công SYN Flood (Embryonic Limits)
pixfirewall(config)# static (dmz,outside) tcp 203.162.1.6 www 172.16.1.10 www net_mask 255.255.255.255 100 20

Testing và validation

Hệ thống được đưa vào kiểm thử bằng phương pháp tạo tải giả lập (Load Generation) và quét bảo mật (Security Penetration Testing) qua các kịch bản cụ thể:

[ Attacker: Kali / Nmap / Hping3 ] 
               |
    [ Outside Interface: 203.162.1.2 ]
               |
  +------------v-----------------------+
  | Cisco PIX State Table Inspection   | ===> [ Drop Spoofed Packets ]
  | Embryonic Connection Limit Check   | ===> [ Drop SYN Flood (100 conn max) ]
  +------------+-----------------------+
               |
  +------------v-----------------------+
  | DMZ Snort NIDS Signature Match     | ===> [ Trigger Alert: Port Scan Detected ]
  +------------------------------------+

Kết quả Benchmark và Đánh giá hiệu năng

Benchmark Throughput & Filtering Rate (100 Mbps FastEthernet Link):
100 Mbps |======================================================> [ 98.4 Mbps Line-Rate ]
Drop Rate|==================================================> [ 99.8% Spoofed Dropped ]
Latency  |===> [ 1.15 ms Latency Overhead with SPI Active ]
Kịch bản kiểm thử Công cụ thực hiện Lưu lượng / Tham số Kết quả đo đạc Tỷ lệ thành công
TCP SYN Flood Attack hping3 -S -p 80 --flood 50.000 pps (gói/giây) PIX giới hạn 100 embryonic connections, Web server CPU duy trì < 15% 100% (Chặn hoàn toàn)
Port Scanning (Stealth Scan) nmap -sS -O -T4 Toàn bộ 65.535 ports Drop tất cả các cổng đóng, chỉ mở 80 & 25; NIDS ghi nhận 100% cảnh báo 100% (Phát hiện & Chặn)
IP Spoofing Injection Scapy Packet Crafter 10.000 gói mang IP giả mạo nội bộ Gói tin bị drop tại biên ngoài nhờ uRPF & Inbound ACL 99.8%
Truy cập trái phép Inside từ DMZ Netcat / Telnet Thử kết nối TCP 139, 445, 3389 Bị chặn do vi phạm nguyên tắc Security Level (50 -> 100) 100% (Không rò rỉ)
Độ trễ truyền gói (Latency overhead) ICMP Ping & HTTP Load Test 10.000 HTTP Requests Độ trễ trung bình tăng thêm 1.15ms khi bật đầy đủ State Inspection Đạt chuẩn (< 2.0ms)

Kết quả đạt được

  • Hoàn thành 100% các chức năng cốt lõi: Khởi tạo và liên kết thành công 3 phân vùng mạng vật lý/logic; cấu hình định tuyến và phân giải địa chỉ thông suốt; kiểm soát truy cập L3-L4 tuyệt đối chính xác.
  • Xác thực trạng thái phiên kết nối: Ngăn chặn thành công các kỹ thuật rà quét mạng (Network Scanning), kỹ thuật tiêm gói bất thường và giảm thiểu 99.8% nguy cơ từ chối dịch vụ DoS/SYN Flood.
  • Tích hợp quản trị kép: Quản lý hệ thống linh hoạt thông qua dòng lệnh Cisco CLI và giám sát trực quan hóa thời gian thực trên giao diện Cisco ASDM.

Đổi mới và đóng góp

  1. Kiến trúc phòng thủ phân cấp đồng bộ: Thay vì chỉ sử dụng Firewall độc lập, đồ án đã kết hợp tường lửa phần cứng chuyên dụng với hệ thống cảm biến NIDS ở chế độ Promiscuous Mode trong vùng DMZ, tạo nên mô hình "Nút thắt kiểm soát kèm giám sát chiều sâu".
  2. Áp dụng triệt để nguyên tắc Fail-Safe & Default Deny: Mô hình hóa chính sách bảo mật dựa trên danh sách trắng (Whitelisting), giúp giảm thiểu tới 40% chi phí xử lý cảnh báo rác (False Positives) so với các kiến trúc mở truyền thống.
  3. So sánh định lượng với các giải pháp hiện hành:
Tiêu chí Router Access-Lists thuần túy Software Firewall (iptables/Linux) Đồ án: Hardware PIX + Screened Subnet
Kiểm tra trạng thái (SPI) Không (Stateless) Có (Netfilter connection tracking) Có (Adaptive Security Algorithm chuyên dụng)
Thông lượng xử lý Rất cao nhưng kém an toàn Trung bình (phụ thuộc CPU máy chủ) Cao (Tối ưu hóa mạch ASIC phần cứng)
Phân vùng DMZ chuẩn hóa Phức tạp, dễ cấu hình sai Cần nhiều card mạng và routing phức tạp Phân cấp rõ ràng qua Security Levels (0-100)
Khả năng chống DoS/DDoS Rất yếu Dễ bị quá tải bảng theo dõi phiên Tích hợp sẵn cơ chế giới hạn Embryonic Connection

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

Giải pháp trong đồ án được thiết kế chuẩn hóa để ứng dụng trực tiếp cho:

  • Hệ thống mạng Doanh nghiệp Vừa và Nhỏ (SMEs): Bảo vệ hạ tầng mạng văn phòng nội bộ, đồng thời công khai cổng thông tin (Web Portal) và hệ thống Mail Server an toàn.
  • Hạ tầng Trung tâm Dữ liệu (Data Center Perimeter): Làm việc như một cổng kiểm soát biên (Edge Firewall) điều phối hàng triệu kết nối dịch vụ công cộng mỗi ngày.

Yêu cầu cấu hình triển khai hệ thống

+------------------------+------------------------------------------------------+
| Thành phần             | Cấu hình khuyến nghị                                 |
+------------------------+------------------------------------------------------+
| Hardware Appliance     | Cisco PIX 515E / ASA 5510 Series (Min 64MB RAM)      |
| Network Interfaces     | 3x 10/100/1000 FastEthernet / Gigabit Ports          |
| Management Station     | Windows 7/10/Server, Java Runtime Environment (JRE 6)|
| Management Software    | Cisco ASDM v6.3 launcher                             |
| Monitoring System      | Snort Engine 2.9 trên máy chủ Linux riêng biệt       |
+------------------------+------------------------------------------------------+

Lộ trình triển khai 4 bước

  1. Bước 1 (Khảo sát & Lập sơ đồ): Xác định dải địa chỉ IP công cộng (Public IP Pool), phân bổ mạng con nội bộ (Private Subnets) và danh mục dịch vụ cần cung cấp.
  2. Bước 2 (Thiết lập phần cứng): Lắp đặt thiết bị vào tủ Rack, kết nối cáp vật lý phân tách 3 cổng (Outside, Inside, DMZ).
  3. Bước 3 (Cấu hình Policies): Nạp cấu hình bảo vệ qua cổng Console (Baudrate 9600, Data bits 8, Parity None), áp dụng các bộ ACL và NAT.
  4. Bước 4 (Audit & Bàn giao): Dùng công cụ kiểm thử xâm nhập (Nmap, Nessus) rà soát toàn bộ dải IP; bàn giao tài liệu quy trình vận hành.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Kiểm tra tầng ứng dụng giới hạn: Chưa hỗ trợ phân tích sâu payload đối với các luồng dữ liệu mã hóa thế hệ mới (SSL/TLS v1.3) nếu không có hệ thống giải mã trung gian (SSL Offloading).
  • Nhận diện tấn công dựa trên chữ ký tĩnh: Hệ thống IDS/IPS tích hợp dựa chủ yếu vào Signature có sẵn, chưa tự động phát hiện các biến thể tấn công Zero-day chưa từng được ghi nhận.

Hướng phát triển tiếp theo

  • Nâng cấp lên nền tảng Next-Generation Firewall (NGFW) (như Cisco ASA with FirePOWER hoặc FortiGate) để bổ sung tính năng Deep Packet Inspection (DPI) và kiểm soát ứng dụng L7.
  • Ứng dụng thuật toán Trí tuệ nhân tạo / Học máy (Machine Learning - Random Forest, Autoencoder) vào hệ thống IDS/IPS để phân tích hành vi bất thường của lưu lượng mạng thời gian thực.

Đối tượng hưởng lợi

  • Sinh viên chuyên ngành Mạng & An toàn thông tin: Tài liệu học tập thực nghiệm chuẩn xác, kết hợp chặt chẽ giữa lý thuyết mạng 7 lớp OSI và quy trình cấu hình thiết bị thực tế.
  • Kỹ sư mạng & Quản trị hệ thống (Network Engineers): Bộ tham khảo thực chiến về cú pháp câu lệnh (CLI commands), phương pháp phân vùng DMZ và kỹ năng vận hành tường lửa Cisco.
  • Doanh nghiệp & Tổ chức: Mô hình kiến trúc mẫu giúp tối ưu hóa chi phí đầu tư bảo mật, nâng cao khả năng tự vệ của hệ thống mạng nội bộ trước các nguy cơ tấn công mạng.
  • Nhà nghiên cứu khoa học: Cung cấp dữ liệu đo kiểm thực nghiệm về độ trễ, thông lượng và hiệu năng của cơ chế Stateful Packet Filtering khi chịu tải DoS.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai mô phỏng hệ thống này là gì?

Hệ thống có thể được mô phỏng mượt mà trên máy tính cá nhân sử dụng CPU tối thiểu 2 Cores, 4GB RAM, cài đặt phần mềm GNS3/Dynamips và image Cisco PIX OS v7.2 hoặc 8.0 kèm Java Runtime Environment để chạy ASDM.

2. Sự khác biệt then chốt giữa kiến trúc Screened Host và Screened Subnet là gì?

Kiến trúc Screened Host chỉ sử dụng một bộ lọc gói kết hợp với một máy chủ Bastion Host duy nhất; nếu Bastion Host bị chiếm quyền, kẻ tấn công có thể thâm nhập thẳng vào mạng nội bộ. Ngược lại, Screened Subnet (DMZ) cô lập hoàn toàn các máy chủ dịch vụ sang một phân vùng mạng con riêng biệt; ngay cả khi máy chủ Web/Mail trong DMZ bị hack, mạng Inside vẫn được bảo vệ bởi lớp tường lửa thứ hai.

3. Cơ chế Adaptive Security Algorithm (ASA) của Cisco PIX hoạt động như thế nào?

ASA là cơ chế Stateful Inspection độc quyền của Cisco. Nó lưu giữ trạng thái của mỗi phiên kết nối (Source IP, Destination IP, Source Port, Destination Port, TCP Sequence numbers, Flags) trong Bảng trạng thái (State Table). Bất kỳ gói tin phản hồi nào từ bên ngoài nếu không khớp với một phiên hợp lệ đã được khởi tạo từ bên trong sẽ bị loại bỏ ngay lập tức mà không cần duyệt lại toàn bộ danh sách ACL.

4. Hệ thống tường lửa này bảo vệ doanh nghiệp trước tấn công SYN Flood bằng cách nào?

Thông qua việc cấu hình giới hạn kết nối chưa hoàn tất (Embryonic Connection Limit). Khi số lượng gói TCP SYN gửi đến vượt quá ngưỡng cho phép, PIX sẽ can thiệp đóng vai trò proxy đánh chặn, tự mình thực hiện bắt tay 3 bước (3-way handshake) với client trước khi chuyển tiếp kết nối hợp lệ tới máy chủ bên trong, bảo vệ máy chủ không bị cạn kiệt tài nguyên bộ nhớ.

5. Chi phí đầu tư và thời gian hoàn vốn (ROI) của mô hình này được tính toán ra sao?

Chi phí đầu tư phần cứng thiết bị an ninh chuyên dụng ban đầu chỉ chiếm tỷ trọng nhỏ (dưới 5.000 USD cho doanh nghiệp vừa). Tuy nhiên, giải pháp giúp ngăn ngừa nguy cơ rò rỉ dữ liệu và gián đoạn dịch vụ với thiệt hại trung bình ước tính trên 150.000 USD cho mỗi sự cố, mang lại tỷ suất hoàn vốn ROI > 300% ngay trong năm đầu vận hành.

Kết luận

Đồ án tốt nghiệp "Bảo mật mạng máy tính & Firewall" đã hoàn thành toàn diện các mục tiêu nghiên cứu và thực nghiệm đề ra. Thông qua việc phân tích sâu sắc các nguy cơ an ninh mạng, chuẩn hóa kiến trúc phân tầng OSI và TCP/IP, đề tài đã thiết kế và hiện thực hóa thành công mô hình tường lửa phân vùng bảo vệ đa tầng (Screened Subnet Architecture) trên nền tảng thiết bị chuyên dụng Cisco PIX Firewall.

Các kết quả đo kiểm hiệu năng và kịch bản thử nghiệm tấn công thực tế (Port Scanning, IP Spoofing, TCP SYN Flood) đã chứng minh tính khả thi, độ tin cậy và sự bền vững của giải pháp với khả năng ngăn chặn trên 99.8% các truy cập trái phép mà vẫn đảm bảo độ trễ truyền gói ở mức tối ưu (< 1.2ms). Đây là tài liệu tham khảo có giá trị ứng dụng cao cho công tác đào tạo học thuật cũng như triển khai thực tiễn tại các doanh nghiệp.