Bối cảnh và vấn đề nghiên cứu

Sự phổ biến nhanh chóng của mạng Internet tạo điều kiện thuận lợi cho các tổ chức và cá nhân trao đổi thông tin, dữ liệu cũng như thực hiện các giao dịch trực tuyến trên diện rộng. Tuy nhiên, sự gia tăng của các kết nối mạng đồng thời làm nảy sinh vấn đề nghiêm trọng về an toàn và toàn vẹn dữ liệu. Số lượng các vụ tấn công mạng ngày càng gia tăng với phương thức ngày càng tinh vi, có tổ chức và hướng tới nhiều mục đích phá hoại khác nhau. Trước thực tế đó, các tài liệu chuyên môn tập trung vào những giải pháp kỹ thuật nhằm thiết lập hàng rào bảo vệ cho các máy tính kết nối Internet. Trong số các giải pháp bảo vệ tính toàn vẹn và an toàn thông tin, việc triển khai hệ thống tường lửa (Firewall) kết hợp với các nguyên tắc an ninh mạng là phương pháp được ứng dụng phổ biến nhờ tính linh hoạt, mềm dẻo và khả năng thích ứng với nhiều mô hình mạng khác nhau.

Đồ án tốt nghiệp "Tìm hiểu về Tường Lửa và An Ninh Mạng" của tác giả Nguyễn Kim Ngọc xác định hai nhiệm vụ nghiên cứu trọng tâm:

  1. Đi sâu tìm hiểu về cơ chế, phân loại và các mô hình kiến trúc của tường lửa (Firewall).
  2. Đi sâu tìm hiểu về sự cần thiết của việc bảo đảm an ninh mạng, bao gồm việc phân loại các mối đe dọa và các hình thức tấn công phổ biến.

Về đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các công nghệ, mô hình kiến trúc tường lửa (Dual-homed host, Bastion host, Screened host, Screened subnet), hệ thống Proxy trung gian và các cơ chế an ninh mạng cơ bản trong môi trường TCP/IP.
  • Phạm vi nghiên cứu: Tập trung vào nền tảng lý thuyết mạng máy tính, mô hình OSI, các phương thức định tuyến, kỹ thuật lọc gói tin và các kịch bản cấu hình bảo mật trên nền tảng hệ điều hành Unix cũng như thiết bị định tuyến Cisco.

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng nội dung dựa trên các khái niệm và mô hình lý thuyết nền tảng trong lĩnh vực mạng máy tính và an toàn thông tin:

  • Khái niệm Tường lửa (Firewall): Hệ thống bao gồm thiết bị phần cứng chuyên dụng kết hợp phần mềm bảo vệ được đặt tại ranh giới giữa mạng nội bộ (Intranet) và mạng bên ngoài (Internet), hoặc giữa các phân vùng an toàn nội bộ.
  • Mô hình tham chiếu OSI và bộ giao thức TCP/IP: Làm cơ sở phân biệt giữa chức năng chuyển tiếp gói tin ở tầng mạng/tầng vận chuyển (IP/TCP) của Router và chức năng kiểm soát, lọc dữ liệu ở tầng ứng dụng (Application Layer) của Tường lửa.
  • Nguyên tắc an ninh mạng cốt lõi: Triển khai triết lý bảo mật "cái gì không nêu rõ là được phép thì có nghĩa là bị cấm" (Default Deny) nhằm giảm thiểu tối đa các rủi ro phát sinh từ các dịch vụ mạng không xác định.

Về phương pháp nghiên cứu, tác giả sử dụng phương pháp nghiên cứu lý thuyết kết hợp phân tích - tổng hợp tài liệu chuyên ngành:

  • Phân tích cấu trúc hệ thống và nguyên lý truyền thông của các mô hình tường lửa.
  • Phân loại, đối chiếu ưu điểm và hạn chế của từng kiến trúc bảo mật mạng (từ mô hình máy chủ hai cửa đơn giản đến mô hình mạng con sàng lọc phức tạp).
  • Khảo sát các quy trình kỹ thuật cấu hình thiết bị định tuyến, kỹ thuật xử lý gói tin và phương thức thiết lập máy chủ trung gian (Proxy).

Nguồn dữ liệu của đồ án được tổng hợp từ các tài liệu kỹ thuật chuyên môn về an toàn mạng, tài liệu quản trị hệ điều hành Unix, hướng dẫn cấu hình thiết bị mạng Cisco và số liệu thống kê về an ninh mạng từ Viện An ninh Máy tính (Computer Security Institute - CIS).

Nội dung chính theo từng chương

CHƯƠNG I : CƠ SỞ LÝ THUYẾT TƯỜNG LỬA

Chương này trình bày tổng quan về định nghĩa, nguồn gốc và chức năng kỹ thuật căn bản của hệ thống tường lửa:

  • Khái niệm và sự khác biệt với Router: Tường lửa xuất phát từ kỹ thuật ngăn chặn hỏa hoạn trong xây dựng, được tích hợp vào công nghệ mạng để ngăn chặn truy cập trái phép. Tác giả chỉ rõ sự khác biệt bản chất: Router IP chuyển tiếp mọi gói tin dựa trên bảng định tuyến (Routing table) ở tầng mạng, trong khi Tường lửa là một dạng máy chủ đa kết nối đặc biệt (Multi-homed host), xử lý và kiểm tra gói tin qua tầng ứng dụng, không làm nhiệm vụ chuyển tiếp gói tin thuần túy và sẽ bỏ qua các gói tin không rõ địa chỉ đích.
  • Các chức năng chính của tường lửa:
    • Dịch vụ tên miền (DNS) có giới hạn: Cung cấp dịch vụ phân giải tên miền cho mạng bên ngoài nhưng không cung cấp thông tin chi tiết về cấu trúc hoặc địa chỉ của các máy chủ nội bộ.
    • Chuyển tiếp thư điện tử (Email Forwarding): Sử dụng bí danh (alias) để che giấu tên đăng nhập (login) thực của người dùng nội bộ, viết lại tiêu đề thư khi gửi ra mạng ngoài nhằm ngăn chặn lộ thông tin hệ thống.
    • Dịch vụ chuyển tệp (FTP) và truy cập từ xa (Telnet/rlogin): Mọi yêu cầu kết nối đều phải đi qua và xác thực trên thiết bị tường lửa trước khi được chuyển tiếp đến máy chủ đích.

CHƯƠNG II : TÌM HIỂU CÁC LOẠI TƯỜNG LỬA (Firewall)

Chương này đi sâu khảo sát các mô hình cấu hình tường lửa và các phương thức phòng thủ mạng:

  • Máy chủ Dual-Homed (Máy tính chủ hai cửa): Là máy chủ có hai giao diện mạng kết nối vào hai mạng khác nhau nhưng chức năng định tuyến IP bị vô hiệu hóa hoàn toàn. Lưu lượng giữa hai mạng chỉ có thể trao đổi thông qua các tác nhân chuyển tiếp ứng dụng (Application forward agents). Tác giả cảnh báo nguy cơ nghiêm trọng khi cho phép người dùng đăng nhập trực tiếp (login) vào máy chủ Dual-Homed vì sẽ biến máy chủ thành điểm rủi ro mở rộng.
  • Quy trình làm sạch hệ thống (Hardening) trên Unix: Đưa ra danh mục kiểm tra để loại bỏ các nguy cơ xâm nhập: xóa bỏ công cụ biên dịch/liên kết (compilers, linkers), xóa các tập tin có quyền SUID/SGID không cần thiết, thực hiện phân vùng đĩa (disk partition) để cô lập dữ liệu, xóa tài khoản hệ thống và tắt các dịch vụ mạng dư thừa.
  • Hệ thống ký hiệu mô tả cấu hình tường lửa:
Ký hiệu Mô tả chức năng
S Bộ định tuyến sàng lọc (Screening Router)
R Bộ định tuyến thông thường (Standard Router)
F1 / F2 Tường lửa có 1 kết nối / 2 kết nối tới mạng
B1 / B2 Máy tính chủ thành trì với 1 đường liên kết / 2 đường liên kết mạng
  • Máy tính chủ thành trì (Bastion Hosts): Máy chủ trọng yếu đóng vai trò trung tâm trong chính sách an ninh mạng của tổ chức, cần được củng cố nghiêm ngặt và theo dõi nhật ký truy cập (access logs) liên tục.
  • Cổng nối máy tính chủ sàng lọc (Screened Host Gateway - Cấu hình SB1): Kết hợp một bộ định tuyến sàng lọc (S) làm hàng phòng vệ thứ nhất và một Bastion Host (B1) làm hàng phòng vệ thứ hai. Mọi lưu lượng từ Internet phải được router lọc và chuyển tiếp tới Bastion Host trước khi vào mạng nội bộ.
  • Bảo vệ bảng định tuyến của Router: Nếu bảng định tuyến của bộ định tuyến sàng lọc bị tấn công hoặc cấu hình sai (ví dụ loại bỏ quy tắc chuyển tiếp gói tin mạng 199.0 tới địa chỉ IP 199.10 của Bastion Host), lưu lượng sẽ đi thẳng vào mạng nội bộ, làm mất tác dụng phòng thủ của Bastion Host. Tác giả đưa ra các khai báo cấu hình bảo mật mẫu trên bộ định tuyến Cisco:
    • No ip redirects (Vô hiệu hóa thông báo chuyển hướng ICMP).
    • No ip route-cache (Vô hiệu hóa bộ đệm định tuyến).
    • No mop enabled (Tắt giao thức MOP).
    • No service finger (Tắt dịch vụ cung cấp thông tin người dùng Finger).
    • Vô hiệu hóa truy cập từ xa TELNET bằng danh sách điều khiển truy nhập (Access Control Lists - ACL) và thiết lập bảng ARP tĩnh thủ công để ngăn ngừa giả mạo ARP.
  • Máy chủ thành trì với hai giao diện mạng (Cấu hình SB2): Thiết lập mạng ngoại vi tạo thành vùng phi quân sự hóa (DMZ). Kiến trúc này khắc phục nhược điểm của cấu hình SB1 bằng cách buộc toàn bộ lưu lượng vật lý phải đi qua Bastion Host, ngăn chặn kẻ tấn công bỏ qua máy chủ thành trì ngay cả khi bảng định tuyến của Router bị sửa đổi.
  • Các mạng con được sàng lọc (Screened Subnets - Cấu hình SB1S): Sử dụng hai bộ định tuyến sàng lọc để cô lập hoàn toàn một mạng con trung gian chứa Bastion Host. Cấu hình này giúp cô lập hoàn toàn địa chỉ IP của mạng nội bộ với Internet, đặc biệt hữu ích cho các đơn vị chưa được gán số mạng chính thức từ Trung tâm Thông tin Mạng (NIC).
Kiến trúc Thành phần cấu hình Cơ chế vận hành chính Mức độ an toàn và rủi ro
Dual-Homed Host (B2) 1 máy chủ 2 card mạng Vô hiệu hóa IP forwarding; dùng Application Forward Agents Trung bình; rủi ro cao nếu người dùng login trực tiếp
Screened Host (SB1) 1 Router sàng lọc + 1 Bastion Host Router lọc gói lớp mạng; Bastion Host kiểm soát lớp ứng dụng Khá; có nguy cơ bị bỏ qua nếu bảng định tuyến Router bị sửa đổi
Screened Host DMZ (SB2) 1 Router sàng lọc + 1 Bastion Host (2 card) Tạo vùng ngoại vi DMZ; bắt buộc lưu lượng qua Bastion Host Cao; chống được việc tấn công cấu hình định tuyến Router
Screened Subnet (SB1S) 2 Router sàng lọc + 1 Mạng con cô lập Hai lớp lọc gói tách biệt mạng nội bộ và mạng bên ngoài Rất cao; che giấu hoàn toàn cấu trúc và IP nội bộ

CHƯƠNG III : KHÁI NIỆM PROXY

Chương này làm rõ cơ chế hoạt động và vai trò của máy chủ Proxy trong hệ thống bảo mật:

  • Khái niệm và sự cần thiết: Proxy Server hoạt động như một cầu nối trung gian ở tầng ứng dụng (Application-level Gateway). Người dùng không cần phải đăng nhập trực tiếp vào hệ thống Dual-Homed Host phức tạp mà vẫn truy cập được các dịch vụ Internet thông qua Proxy, giúp duy trì trải nghiệm liền mạch mà vẫn bảo đảm tính an toàn.
  • Quy trình xử lý kết nối của Proxy Application:
    1. Thiết lập kết nối tầng ứng dụng giữa Client và Firewall.
    2. Proxy Application tiếp nhận thông tin kết nối và yêu cầu từ phía người dùng.
    3. Xác thực và kiểm tra tính hợp lệ của yêu cầu; nếu hợp lệ, Proxy tạo kết nối thứ hai từ Firewall đến máy chủ đích thật.
    4. Thực hiện vai trò truyền nhận dữ liệu trung gian giữa Client và Server.
  • Khả năng ghi nhật ký (Logging): Proxy cho phép ghi nhật ký chi tiết và hiệu quả ở mức lệnh (ví dụ FTP Proxy chỉ ghi lại các lệnh phát ra và phản hồi từ server thay vì ghi toàn bộ luồng dữ liệu thô).
  • Khuyết điểm của Proxy: Độ trễ trong việc hỗ trợ các dịch vụ mạng mới; mỗi giao thức đòi hỏi một phần mềm proxy chuyên biệt; không bảo vệ được hệ thống trước các giao thức có thiết kế kém an toàn (như giao thức X-Windows).
  • Hai phương thức triển khai Proxy:
    • Sử dụng phần mềm Client tùy biến (Custom client software): Phần mềm client được lập trình riêng để tự động kết nối qua Proxy (ví dụ gói phần mềm Packet Gateway của Sun dành cho FTP/Telnet, hoặc phần mềm Anarchie trên hệ điều hành Macintosh). Nhược điểm là phụ thuộc nền tảng và khó thuyết phục người dùng thay đổi phần mềm quen thuộc.
    • Sử dụng quy trình người dùng tùy biến (Custom user procedure): Người dùng sử dụng các phần mềm client tiêu chuẩn nhưng phải tuân thủ quy trình kết nối đặc thù (ví dụ khi sử dụng FTP Client tiêu chuẩn kết nối qua Proxy, người dùng phải khai báo địa chỉ máy chủ đích ngay tại dấu nhắc tên người dùng username).

CHƯƠNG IV : AN NINH MẠNG

Chương này tập trung phân tích các nguy cơ và các phương thức tấn công phá hoại trên môi trường mạng:

  • Tầm quan trọng của An ninh mạng: Tác giả trích dẫn số liệu nghiên cứu từ Viện An ninh Máy tính (Computer Security Institute - CIS): 70% các tổ chức bị mất mát thông tin có hệ thống an ninh mạng tồn tại lỗ hổng, và 60% trong số các vụ việc đó có nguyên nhân xuất phát từ chính nội bộ tổ chức.
  • Bốn mối đe dọa chính đối với an ninh mạng:
    • Mối đe dọa không có cấu trúc: Do những cá nhân thiếu kinh nghiệm thực hiện bằng các công cụ đơn giản có sẵn trên mạng (Script kiddies), thường có động cơ thể hiện bản thân hoặc phá hoại bộc phát.
    • Mối đe dọa có cấu trúc: Do các tin tặc (hackers) có chuyên môn kỹ thuật cao, am hiểu thiết kế hệ thống và có khả năng tự viết mã thâm nhập thực hiện.
    • Mối đe dọa từ bên ngoài: Xuất phát từ các cá nhân hoặc tổ chức bên ngoài không có quyền truy cập hợp lệ, tìm cách đột nhập qua Internet hoặc kết nối quay số (dial-up).
    • Mối đe dọa từ bên trong: Xuất phát từ những người có quyền truy cập hợp lệ vào hệ thống hoặc môi trường vật lý (nhân viên bất mãn, tài khoản nội bộ bị lạm dụng).
  • Ba phương thức tấn công qua mạng:
    • Tấn công theo kiểu thăm dò (Reconnaissance): Thu thập thông tin, quét cổng và lập bản đồ mạng mục tiêu.
    • Tấn công theo kiểu truy cập (Access): Chiếm đoạt quyền truy cập tài khoản, khai thác lỗ hổng hệ thống để đọc dữ liệu trái phép.
    • Tấn công theo kiểu từ chối dịch vụ (DoS - Denial of Service): Làm tê liệt khả năng đáp ứng dịch vụ của máy chủ hoặc hạ tầng mạng.

Kết quả và đóng góp

Đồ án tổng hợp và hệ thống hóa các kết quả nghiên cứu cụ thể sau:

  • Làm rõ các nguyên lý vận hành tường lửa: Phân định rõ ràng ranh giới chức năng giữa thiết bị định tuyến tầng mạng (Router) và tường lửa tầng ứng dụng (Firewall), chỉ ra các cơ chế bảo vệ cốt lõi gồm DNS giới hạn, chuyển tiếp thư điện tử ẩn danh và kiểm soát FTP/Telnet.
  • Hệ thống hóa 4 mô hình kiến trúc tường lửa: Phân tích chi tiết cấu trúc, ưu điểm và nhược điểm kỹ thuật của các cấu hình Dual-Homed Host (B2), Screened Host Gateway (SB1), Screened Host có DMZ (SB2) và Screened Subnet (SB1S).
  • Đề xuất các biện pháp kỹ thuật bảo vệ hệ thống:
    • Quy trình làm sạch hệ điều hành Unix cho máy chủ hai cửa (loại bỏ compiler, gỡ quyền SUID/SGID, phân vùng đĩa, xóa tài khoản không cần thiết).
    • Danh mục lệnh cấu hình bảo mật trực tiếp trên Router Cisco nhằm vô hiệu hóa các giao thức dễ bị tấn công (no ip redirects, no ip route-cache, no mop enabled, no service finger, tắt TELNET qua ACL, cấu hình ARP tĩnh).
  • Phân loại toàn diện các rủi ro an ninh mạng: Làm rõ cơ chế Proxy tầng ứng dụng và cấu trúc hóa các nguy cơ mạng dựa trên dữ liệu thống kê thực tế của CIS (70% tổ chức có lỗ hổng bảo mật, 60% xuất phát từ nội bộ).

Đóng góp của đồ án thể hiện ở việc xây dựng một tài liệu tổng quan, có tính hệ thống cao về mặt lý thuyết và kỹ thuật triển khai tường lửa, giúp người đọc nắm bắt đầy đủ các mô hình phân vùng an ninh mạng trong bối cảnh mạng máy tính đang phát triển mạnh mẽ.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Đồ án chủ yếu tập trung vào việc nghiên cứu tài liệu lý thuyết, phân tích nguyên lý và khảo sát các mô hình cấu hình tường lửa. Nội dung chưa bao gồm phần triển khai thực nghiệm mô phỏng trên hệ thống mạng thực tế có đo lường hiệu năng (throughput, độ trễ) hoặc kiểm thử xâm nhập trực tiếp để đánh giá mức độ chịu tải của từng kiến trúc.
  • Hướng nghiên cứu tiếp:
    • Triển khai xây dựng và thử nghiệm thực tế các mô hình Screened Host và Screened Subnet trên các thiết bị mạng phần cứng và phần mềm cụ thể.
    • Mở rộng nghiên cứu các giải pháp tự động hóa phòng chống đối với 3 hình thức tấn công mạng (thăm dò, truy cập trái phép, DoS).
    • Khảo sát các giải pháp proxy thế hệ mới tương thích với các giao thức mạng hiện đại.

Giá trị tham khảo

Tài liệu đồ án mang lại giá trị tham khảo hữu ích cho các đối tượng:

  • Sinh viên ngành Công nghệ thông tin, An toàn thông tin, Mạng máy tính: Sử dụng làm tài liệu học tập, nghiên cứu nền tảng về nguyên lý phân tầng của mô hình OSI, cơ chế hoạt động của tường lửa và các phương thức phòng thủ mạng.
  • Kỹ sư và cán bộ quản trị mạng: Tham khảo các mô hình phân chia vùng mạng (DMZ, Screened Subnets), các bước kiểm tra làm sạch hệ điều hành Unix và các câu lệnh cấu hình bảo mật trực tiếp cho bộ định tuyến Cisco.
  • Nội dung đáng tham khảo nhất: Chương II với hệ thống ký hiệu phân loại kiến trúc tường lửa (S, R, B1, B2, SB1, SB2, SB1S) và các chỉ dẫn cấu hình phòng ngừa tấn công định tuyến.

Câu hỏi thường gặp

1. Sự khác biệt căn bản giữa một bộ định tuyến IP (Router) và một hệ thống Tường lửa (Firewall) được tác giả phân biệt như thế nào?
Router IP điều khiển các gói tin ở tầng mạng (IP layer) và tự động chuyển tiếp gói tin dựa trên địa chỉ đích trong bảng định tuyến. Ngược lại, Tường lửa là một dạng máy chủ đa kết nối đặc biệt hoạt động ở tầng ứng dụng, không tự ý chuyển tiếp gói tin, chỉ tiếp nhận và xử lý các gói tin có địa chỉ xác định và tự động loại bỏ các gói tin không rõ đích đến.

2. Điểm yếu lớn nhất của kiến trúc Cổng máy tính chủ sàng lọc (Cấu hình SB1) là gì?
Điểm yếu của cấu hình SB1 nằm ở sự phụ thuộc vào tính toàn vẹn của bảng định tuyến trên bộ định tuyến sàng lọc. Nếu bảng định tuyến bị kẻ tấn công sửa đổi hoặc bị cấu hình sai (lưu lượng không được chuyển hướng tới máy chủ thành trì mà đi thẳng vào mạng nội bộ), máy chủ thành trì sẽ bị bỏ qua và vùng rủi ro sẽ bao trùm toàn bộ mạng bên trong.

3. Tại sao cấu hình Máy chủ thành trì với hai giao diện mạng (Cấu hình SB2) lại khắc phục được nhược điểm của cấu hình SB1?
Trong cấu hình SB2, máy chủ thành trì kết nối giữa mạng ngoại vi (DMZ) và mạng nội tại. Kẻ tấn công dù có tấn công hay sửa đổi bảng định tuyến của bộ định tuyến sàng lọc thì lưu lượng vẫn bắt buộc phải đi qua máy chủ thành trì mới có thể thâm nhập vào mạng bên trong.

4. Khảo sát của Viện An ninh Máy tính (CIS) được trích dẫn trong đồ án chỉ ra số liệu nào về nguy cơ an ninh mạng nội bộ?
Theo nghiên cứu của CIS, 70% các tổ chức bị mất mát thông tin là do hệ thống an ninh mạng có lỗ hổng, và đáng chú ý là 60% trong số các sự cố này có nguyên nhân xuất phát từ chính bên trong nội bộ tổ chức.

5. Tác giả đề xuất những lệnh cấu hình cụ thể nào trên bộ định tuyến Cisco để gia tăng an toàn cho hệ thống sàng lọc?
Các lệnh cấu hình mẫu gồm: No ip redirects (tắt trả lời chuyển hướng ICMP), No ip route-cache (tắt bộ đệm đường truyền), No mop enabled (vô hiệu hóa giao thức MOP), No service finger (tắt dịch vụ finger), áp dụng ACL để ngăn chặn truy cập TELNET và thiết lập bảng ARP tĩnh thủ công.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu về Tường Lửa và An Ninh Mạng" của sinh viên Nguyễn Kim Ngọc đã hệ thống hóa một cách chi tiết các cơ sở lý thuyết và mô hình kỹ thuật trọng yếu trong an toàn mạng máy tính. Thông qua việc phân tích từ các kiến trúc tường lửa (Dual-homed host, Bastion host, Screened subnet) cho đến các giải pháp Proxy và phân loại các mối đe dọa, công trình làm nổi bật tầm quan trọng của việc kiểm soát lưu lượng đa lớp trong hệ thống mạng. Các phân tích kiến trúc và chỉ dẫn cấu hình trong văn bản là nguồn dữ liệu tham khảo nền tảng, có giá trị học thuật rõ ràng cho sinh viên và người làm công tác quản trị mạng.