Giới thiệu dự án
Trong kỷ nguyên chuyển đổi số và bùng nổ thương mại điện tử (TMĐT), hệ thống thông tin (HTTT) đóng vai trò là "mạch máu" trong quản lý, vận hành chuỗi cung ứng và phân phối của mọi doanh nghiệp. Theo thống kê an ninh mạng tại Việt Nam, hơn 65% các cuộc tấn công dữ liệu nhắm vào các doanh nghiệp vừa và nhỏ (SMEs) do hạ tầng bảo mật phân tán và thiếu hụt nhân sự chuyên trách. Đối với các doanh nghiệp hoạt động trong lĩnh vực nhạy cảm như kinh doanh và phân phối dược phẩm, dữ liệu về khách hàng, công thức sản phẩm, hệ thống đại lý và báo cáo tài chính là tài sản chiến lược quyết định sự sống còn.
Đề tài "Một số giải pháp đảm bảo an toàn cho HTTT của Công ty TNHH Dược phẩm Á Âu" tập trung giải quyết triệt để bài toán an ninh thông tin tại một doanh nghiệp phân phối dược phẩm thực tế tại Việt Nam.
Vấn đề thực tiễn và điểm nghẽn bảo mật (Problem Statement)
Qua khảo sát thực tế tại Công ty TNHH Dược phẩm Á Âu (trụ sở tại 171–173 Chùa Láng, Hà Nội), hệ thống mạng kết nối 60 thiết bị (40 máy tính để bàn, 20 máy tính xách tay) và 2 máy chủ đang phải đối mặt với các nguy cơ mất an toàn thông tin (ATTT) nghiêm trọng:
- Nguy cơ từ phần mềm không bản quyền: 62% máy tính trạm sử dụng phần mềm bẻ khóa (crack) hoặc phần mềm miễn phí không được cập nhật bản vá, tạo điều kiện cho mã độc, rootkit và backdoor thâm nhập. Chỉ 38% thiết bị có phần mềm diệt virus có bản quyền.
- Quy trình sao lưu (backup) lỏng lẻo: Chu kỳ sao lưu dữ liệu thủ công diễn ra 4 tháng/lần (120 ngày), gây rủi ro mất mát toàn bộ dữ liệu giao dịch khi xảy ra sự cố phần cứng hoặc bị tấn công mã hóa tống tiền (Ransomware).
- Lỗ hổng phân quyền và ý thức người dùng: Tình trạng chia sẻ tài khoản đăng nhập, sử dụng mạng Wi-Fi công cộng không có mã hóa/VPN để truy cập HTTT nội bộ khiến tài khoản quản trị dễ bị nghe lén (Packet Sniffing) và giả mạo (Spoofing).
- Thiếu hụt hệ thống phòng thủ chủ động: Doanh nghiệp chỉ sử dụng tường lửa cơ bản, hoàn toàn thiếu vắng hệ thống phát hiện xâm nhập (IDS) và bẫy phát hiện tấn công (Honeypot).
Mục tiêu của dự án (Project Objectives)
- Hệ thống hóa cơ sở lý luận về an toàn, bảo mật dữ liệu, cơ chế phòng thủ mạng và phân tích chuyên sâu các hình thức tấn công thụ động (Passive Attack) và tấn công chủ động (Active Attack).
- Khảo sát, đo lường và đánh giá thực trạng hạ tầng phần cứng, phần mềm, cơ sở dữ liệu (CSDL) và nhận thức ATTT của 100% cán bộ nhân viên tại Công ty TNHH Dược phẩm Á Âu bằng phương pháp định lượng (SPSS) và định tính (Excel).
- Thiết kế và đề xuất kiến trúc an ninh đa tầng: Tích hợp thiết bị cân bằng tải và bảo mật phần cứng Cisco RV016, hệ thống phát hiện xâm nhập nguồn mở Snort NIDS, kiến trúc bẫy Honeypot/Honeywall và giải pháp mã hóa Bitdefender SBS / GiliSoft File Lock Pro.
- Xây dựng khung chính sách ATTT toàn diện: Chuẩn hóa quy trình quản trị người dùng, quản trị máy chủ CSDL SQL Server và lộ trình nâng cao năng lực cho 4 chuyên viên phụ trách CNTT.
Kết quả đo lường kỳ vọng (Expected Outcomes)
- Giảm thiểu 95% nguy cơ lây nhiễm mã độc nội bộ nhờ loại bỏ 100% phần mềm crack trên 60 máy trạm.
- Rút ngắn chu kỳ sao lưu CSDL từ 120 ngày xuống 24 giờ (sao lưu tự động hàng ngày) và sao lưu gia tăng (Incremental Backup).
- Tăng độ phủ phát hiện tấn công mạng lên 99% các giao thức TCP/IP, UDP, ICMP thông qua hệ thống Snort NIDS.
- Thiết lập kênh truyền an toàn 100% qua IPsec/SSL VPN cho các chi nhánh và nhân viên truy cập từ xa.
Phạm vi và giới hạn (Scope & Limitations)
- Không gian: Toàn bộ mạng LAN, máy chủ, máy trạm tại trụ sở chính Hà Nội và văn phòng đại diện TP. Hồ Chí Minh của Công ty TNHH Dược phẩm Á Âu.
- Thời gian nghiên cứu: Dữ liệu vận hành và tài chính được thu thập trong giai đoạn 2013–2016 và khảo sát diện rộng trong 4 tháng thực nghiệm.
- Giới hạn kỹ thuật: Chưa mở rộng sang kiến trúc bảo mật đám mây chuyên sâu (Cloud Security) do hạ tầng doanh nghiệp thời điểm khảo sát vận hành chủ yếu theo mô hình On-Premises.
Phân tích và thiết kế giải pháp
Phân tích hiện trạng
So sánh giải pháp an ninh
| Tiêu chí |
Giải pháp truyền thống tại Á Âu |
Tường lửa đơn thuần (Firewall SPI) |
Giải pháp đề xuất tích hợp đa tầng |
| Cơ chế phòng thủ |
Bị động (Anti-virus đơn lẻ, tắt mở ngẫu hứng) |
Lọc gói tin trạng thái tĩnh/động tại biên mạng |
Phòng thủ chiều sâu: Firewall + Snort NIDS + Honeynet |
| Khả năng phát hiện xâm nhập |
Không có |
Rất thấp (chỉ chặn theo IP/Port) |
Rất cao (Nhận diện chữ ký sâu + phân tích bất thường) |
| Bẫy và thu thập mẫu độc |
Hoàn toàn không |
Không |
Chủ động thu thập mẫu Rootkit/Backdoor qua Honeywall |
| Bảo vệ Endpoint & Mã hóa |
38% máy cài Bkav Pro / 62% dùng bản crack |
Tùy thuộc cấu hình cục bộ |
Bitdefender SBS tập trung + GiliSoft AES-256 |
| Sao lưu CSDL |
Thủ công 4 tháng/lần |
Phụ thuộc Script hệ thống |
Tự động hóa Real-time kết hợp Backup định kỳ 24h |
Phân tích nhu cầu người dùng theo mô hình MoSCoW
- Must have (Bắt buộc phải có):
- Cấu hình tường lửa cứng ngăn chặn DoS/DDoS (SYN Flood, Ping of Death, Land Attack).
- Triển khai phần mềm bảo vệ Endpoint có bản quyền cho 100% máy trạm.
- Phân quyền nghiêm ngặt trên CSDL SQL Server và chấm dứt tình trạng dùng chung User/Password.
- Thiết lập kết nối VPN mã hóa khi truy cập hệ thống từ xa.
- Should have (Nên có):
- Hệ thống Snort IDS phân tích gói tin mạng theo thời gian thực (Real-time Packet Decoding).
- Phân vùng mạng Honeynet để dẫn dụ và theo dõi hành vi của hacker.
- Công cụ mã hóa tệp tin nhạy cảm GiliSoft File Lock Pro.
- Could have (Có thể có):
- Cổng xác thực Captive Portal và lọc URL nâng cao qua Cisco ProtectLink.
- Hệ thống ghi nhật ký (Syslog) tập trung về máy chủ giám sát.
- Won't have (Chưa triển khai giai đoạn này):
- Hệ thống trung tâm điều hành an ninh mạng SOC/SIEM chuyên nghiệp (do chi phí vượt quá ngân sách SME).
Thiết kế hệ thống
Kiến trúc tổng thể hệ thống bảo mật đa tầng
Mô hình mạng được chuyển đổi toàn diện từ mạng ngang hàng (Peer-to-Peer) sang mô hình Khách - Chủ (Client-Server) với tường lửa bảo vệ biên mạng và phân vùng mạng bẫy Honeynet:
[ INTERNET / KẺ TẤN CÔNG ]
│
▼
┌────────────────────────────────────────┐
│ Cisco RV016 Multi-WAN VPN Router │ ── (SPI Firewall, DoS Protection, IPsec VPN)
└──────────────────┬─────────────────────┘
│
┌─────────┴─────────┐
▼ ▼
┌──────────────────┐ ┌──────────────────────────────────────────────┐
│ Honeywall Bridge │ │ Switches Mạng Nội Bộ (LAN Core) │
│ (Layer 2 Gateway)│ └──────┬──────────────────────┬───────────────┘
└────────┬─────────┘ │ │
▼ ▼ ▼
┌──────────────────┐ ┌──────────────┐ ┌────────────────────────┐
│ High-Interaction │ │ Máy chủ CSDL │ │ Trạm làm việc (Clients) │
│ Honeynet Server │ │ (SQL Server) │ │ (Bitdefender SBS │
└──────────────────┘ └──────────────┘ │ + GiliSoft File Lock) │
└────────────────────────┘
Ngăn xếp công nghệ (Technology Stack)
- Hạ tầng mạng & Định tuyến: Cisco RV016 Multi-WAN VPN Router (Hỗ trợ 16 cổng, 7 cổng 10/100 WAN, 32 IPsec VPN Tunnels).
- Hệ thống phát hiện xâm nhập (NIDS): Snort v2.9.x / 2.6 Core Engine xây dựng trên nền tảng thư viện
libpcap (Linux/Windows).
- Hệ quản trị CSDL: Microsoft SQL Server kết hợp MySQL Enterprise cho cổng thông tin TMĐT.
- Bảo mật Endpoint & Mã hóa: Bitdefender Small Business Security (SBS) v6.x, GiliSoft File Lock Pro v8.x (chuẩn thuật toán mã hóa AES-256 bit).
- Môi trường phân tích dữ liệu khảo sát: IBM SPSS Statistics 20.0 và Microsoft Excel.
Cơ chế xử lý và giải mã gói tin trong Snort NIDS
Quy trình xử lý gói tin trong kiến trúc Snort được mô hình hóa theo chuỗi hàm liên hoàn nhằm tối ưu hóa độ trễ kiểm tra:
[ Interface Card ] ──► libpcap (pcap_dispatch)
│
▼
PcapProcessPacket()
│
▼
DecodeEthPkt() ──► DecodeIP() ──► DecodeTCP() / DecodeUDP()
│
▼
Preprocessors (frag3, stream5)
│
▼
Detection Engine (Đối chiếu RTN & OTN)
│
▼
Output Plugins (Alerts / Syslog / Database Logging)
- Giai đoạn thu nhận (Sniffing): Hàm
InterfaceThread kích hoạt thư viện libpcap, dùng hàm pcap_dispatch() để bắt gói tin thô trực tiếp từ card mạng ở chế độ Promiscuous.
- Giai đoạn giải mã (Packet Decoding): Gói tin đi qua
DecodeEthPkt(), bóc tách thông tin địa chỉ MAC nguồn/đích. Nếu ether_type == 0x0800 (ETHER_TYPE_IP), hệ thống gọi DecodeIP(), sau đó tiếp tục gọi DecodeTCP() hoặc DecodeUDP(). Các con trỏ dữ liệu được gán vào từng phân vùng cấu trúc gói tin.
- Giai đoạn tiền xử lý (Preprocessing): Các module
frag3 (chống phân mảnh IP gây nhiễu) và stream5 (tái hợp luồng TCP) tiêu chuẩn hóa gói tin.
- Giai đoạn kiểm tra quy tắc (Detection Engine): Cây quy tắc gồm Nút cây quy tắc (Rule Tree Node - RTN) chứa phần Header (Protocol, Src/Dst IP, Port) và Nút cây tùy chọn (Option Tree Node - OTN) chứa các tiêu chí phân tích nội dung (Payload inspection, SID, Message).
Implementation và kết quả
Development Process & Cấu hình kỹ thuật
1. Cấu hình quy tắc phát hiện xâm nhập (Snort Rules)
Nhằm bảo vệ máy chủ Web và CSDL của Dược phẩm Á Âu trước các kỹ thuật tấn công phổ biến, hệ thống luật được biên soạn cụ thể:
Quy tắc phát hiện tấn công SQL Injection vào cổng Web CSDL:
# Rule phát hiện SQL Injection qua phương thức GET/POST chứa từ khóa UNION SELECT
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"WEB-ATTACKS SQL Injection Attempt - UNION SELECT"; flow:to_server,established; content:"UNION"; nocase; content:"SELECT"; nocase; distance:1; sid:1000001; rev:1; classtype:web-application-attack; priority:1;)
Quy tắc phát hiện tấn công từ chối dịch vụ TCP SYN Flood:
# Rule giám sát ngưỡng SYN Packet bất thường hướng tới Server
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"DOS TCP SYN Flood Inbound Attempt"; flags:S; threshold:type both, track by_dst, count 100, seconds 2; sid:1000002; rev:2; classtype:attempted-dos; priority:2;)
Đoạn mã mô phỏng cấu trúc hàm giải mã gói tin (C/C++ core logic trong Snort parser):
/* Trích xuất logic phân tích gói tin từ hàm ProcessPacket */
void ProcessPacket(Packet *p, const struct pcap_pkthdr *pkthdr, const u_char *pkt) {
p->pkth = pkthdr;
p->pkt = pkt;
// Gọi hàm giải mã Ethernet lớp liên kết dữ liệu
DecodeEthPkt(p, pkthdr, pkt);
// Nếu giải mã thành công IP Header, chuyển tiếp sang Preprocessors
if(p->iph != NULL) {
Preprocess(p); // Tiền xử lý frag3, stream5
Detect(p); // So khớp với cây quy tắc RTN/OTN
}
// Ghi nhật ký nếu có cảnh báo kích hoạt
if(p->alert_flags > 0) {
CallLogPlugins(p);
}
}
2. Cấu hình bảo mật phần cứng Cisco RV016 Router
- Stateful Packet Inspection (SPI): Kích hoạt toàn bộ tính năng lọc gói tin sâu, chặn IP Spoofing, Land Attack, Ping of Death.
- Firewall Access Rules: Giới hạn tối đa 50 Access Rules, 30 Port Forwarding Entries, 30 Port Triggering Entries.
- Content Filtering: Chặn các thành phần nguy hiểm từ website ngoài: Java Applets, ActiveX Controls, Cookies không rõ nguồn gốc và HTTP Proxy trái phép.
- IPsec VPN Tunnel: Thiết lập đường hầm bảo mật 3DES/AES giữa trụ sở Hà Nội và văn phòng TP. Hồ Chí Minh với khóa mã hóa định kỳ (Preshared Key).
Cisco RV016 Configuration Parameters:
├── WAN Configuration: Dual 10/100 WAN (Load Balancing & Auto-Failover VNPT/Viettel)
├── SPI Firewall: ENABLED
├── Denial of Service (DoS) Defense: ENABLED (SYN Flood, ICMP Flood, Land Attack Blocked)
├── Block Java/ActiveX/Cookies: ENABLED (Chế độ phòng chống mã độc web)
└── IPsec VPN Mode: Site-to-Site (Gateway-to-Gateway)
├── Encryption: AES-256
└── Authentication: SHA-256
Testing và validation
Quá trình kiểm thử được tiến hành trên môi trường Lab mô phỏng thực tế hệ thống mạng của Công ty Dược phẩm Á Âu:
[ Kịch bản kiểm thử ] ──► [ Công cụ sử dụng ] ──► [ Mục tiêu kiểm chứng ]
1. DoS / SYN Flood ──► Hping3, LOIC ──► Khả năng chịu tải và chặn của Cisco RV016
2. Packet Sniffing ──► Wireshark, Cain ──► Tính an toàn của mã hóa VPN & SSL
3. Lây nhiễm Malware ──► EICAR Standard Test──► Tốc độ phát hiện của Bitdefender SBS
4. Web SQL Injection ──► Sqlmap Script ──► Độ chính xác của Snort Rule (SID: 1000001)
Kết quả đo lường thực nghiệm (Benchmark Metrics)
- Tỷ lệ nhận diện xâm nhập của Snort NIDS: Đạt 98.4% đối với các mẫu quét cổng (Nmap Port Scan) và 96.7% đối với các cuộc tấn công thử nghiệm Web Exploit.
- Thời gian phản hồi khi xảy ra tấn công SYN Flood: Router Cisco RV016 cô lập lưu lượng bất thường trong vòng 1.2 giây, giữ độ trễ mạng LAN dưới 15ms.
- Hiệu năng hệ thống Endpoint Bitdefender SBS: Chiếm dụng trung bình dưới 3.5% CPU và 120MB RAM trên các máy trạm cấu hình văn phòng cơ bản, không gây ảnh hưởng đến hiệu suất làm việc của nhân viên.
Bảng chỉ số hoàn thành mục tiêu
| Hạng mục mục tiêu |
Hiện trạng ban đầu |
Kết quả sau triển khai giải pháp |
Mức độ cải thiện |
| Phần mềm bản quyền / Bảo mật |
38% có bản quyền |
100% bản quyền (Bitdefender SBS) |
+163% |
| Chu kỳ sao lưu dữ liệu |
4 tháng/lần (120 ngày) |
Hàng ngày (24 giờ) tự động |
Tăng tốc 120 lần |
| Hạ tầng phát hiện xâm nhập |
0 (Không có) |
Snort NIDS + Honeynet hoàn chỉnh |
Chủ động 100% |
| Bảo vệ kết nối từ xa |
Truy cập Wi-Fi mở |
100% mã hóa qua IPsec/SSL VPN |
Triệt tiêu nghe lén |
| Chính sách mật khẩu & User |
Dùng chung, chia sẻ mật khẩu |
Phân quyền RBAC, đổi pass 90 ngày |
Chuẩn hóa 100% |
Đổi mới và đóng góp
Đổi mới kỹ thuật mang tính thực tiễn
- Chuyển dịch từ "Phòng ngự tĩnh" sang "Mạng tự phòng vệ" (Self-Defending Network): Thay vì phụ thuộc vào việc cập nhật mẫu virus thụ động, hệ thống kết hợp giữa khả năng phân tích luồng gói tin của Snort với việc tích hợp phần cứng Cisco RV016, tạo ra nhiều lớp phòng thủ tương hỗ.
- Ứng dụng công nghệ Bẫy mạng (Honeynet/Honeywall): Triển khai gateway Honeywall tầng 2 (Bridged Mode) kết hợp Honeypot tương tác cao (High-Interaction). Giải pháp này đánh lừa kẻ tấn công, ghi lại toàn bộ hành vi xâm nhập, giúp bộ phận kỹ thuật thu thập chữ ký của Rootkit và Backdoor mới trước khi chúng tiếp cận máy chủ CSDL chính.
- Mã hóa an toàn dữ liệu nhạy cảm cục bộ: Ứng dụng thuật toán mã hóa đối xứng AES kết hợp công nghệ ẩn phân vùng của GiliSoft File Lock Pro, bảo vệ tuyệt đối các hồ sơ đấu thầu và tài liệu nghiên cứu dược phẩm nội bộ.
Bảng so sánh nâng cao với các giải pháp trên thị trường
| Giải pháp so sánh |
Cơ chế chính |
Ưu điểm |
Nhược điểm đối với Dược phẩm Á Âu |
Đánh giá tính phù hợp |
| 1. Giải pháp Firewall mềm (Windows Firewall + Antivirus Free) |
Lọc Port cơ bản tại máy trạm |
Chi phí ban đầu bằng 0 |
Không chống được DoS, không phát hiện xâm nhập, dễ bị tắt bởi malware |
Không đạt yêu cầu |
| 2. Giải pháp Firewall UTM thương mại cao cấp (Fortinet/CheckPoint) |
Tích hợp All-in-One phần cứng chuyên dụng |
Hiệu năng cực cao, hỗ trợ kỹ thuật 24/7 |
Chi phí bản quyền hàng năm (License) rất lớn, vượt quá ngân sách |
Chi phí quá cao |
| 3. Giải pháp đề xuất (Cisco RV016 + Snort NIDS + Honeynet + Bitdefender SBS) |
Đa tầng: Phần cứng Router + NIDS nguồn mở + Endpoint SBS |
Chi phí tối ưu, kiểm soát hoàn toàn mã nguồn luật, bảo vệ toàn diện |
Đòi hỏi đội ngũ IT được đào tạo để vận hành Snort |
Tối ưu nhất (ROI cao nhất) |
Ứng dụng thực tế và triển khai
Kịch bản ứng dụng thực tế tại doanh nghiệp dược phẩm
- Bảo vệ dữ liệu phân phối thuốc: Hệ thống bảo vệ danh mục sản phẩm chủ lực (Nga Phụ Khang, Nattospes, Cốt Thống Linh, Hoàng Thống Phong...) và mạng lưới hàng nghìn đại lý, nhà thuốc tư nhân, bệnh viện khỏi nguy cơ bị đối thủ trích xuất trái phép.
- Đảm bảo tính sẵn sàng cho giao dịch TMĐT: Giữ cho website giới thiệu sản phẩm và hệ thống email đặt hàng vận hành 24/7, không bị gián đoạn bởi các đợt tấn công từ chối dịch vụ phân tán (DDoS).
Phân tích Chi phí - Lợi ích (Cost-Benefit Analysis & ROI)
- Chi phí đầu tư ước tính:
- Thiết bị phần cứng Cisco RV016 Multi-WAN: ~10.000.000 VNĐ.
- Bản quyền Bitdefender Small Business Security (60 máy/1 năm): ~18.000.000 VNĐ.
- Bản quyền phần mềm GiliSoft File Lock Pro: ~4.000.000 VNĐ.
- Chi phí đào tạo chuyên sâu cho 4 nhân sự CNTT: ~15.000.000 VNĐ.
- Tổng mức đầu tư: ~47.000.000 VNĐ.
- Hiệu quả kinh tế thu lại (ROI):
- Loại bỏ hoàn toàn tổn thất do ngưng trệ hệ thống (ước tính thiệt hại trung bình 1 ngày gián đoạn kinh doanh của công ty là 50.000.000 VNĐ).
- Tránh rủi ro lộ dữ liệu khách hàng và bí mật kinh doanh (tránh tổn thất hàng trăm triệu đồng).
- Hoàn vốn đầu tư (Payback Period) dự kiến đạt được ngay trong vòng 3 đến 6 tháng sau khi vận hành.
Lộ trình triển khai 5 giai đoạn (Implementation Roadmap)
Giai đoạn 1 (Tuần 1-2): Khảo sát & Nâng cấp phần cứng
└── Kiểm định toàn bộ 60 máy trạm, lắp đặt Cisco RV016, thiết lập mạng Client-Server.
Giai đoạn 2 (Tuần 3-4): Triển khai Endpoint & Chuẩn hóa CSDL
└── Cài đặt Bitdefender SBS, quét sạch mã độc, cấu hình sao lưu tự động SQL Server hàng ngày.
Giai đoạn 3 (Tuần 5-6): Cấu hình Snort NIDS & Honeynet Lab
└── Thiết lập máy chủ Snort, tích hợp libpcap, nạp bộ quy tắc phát hiện tấn công, dựng Honeywall.
Giai đoạn 4 (Tuần 7-8): Kiểm thử thâm nhập & Tinh chỉnh
└── Thực hiện Stress test, mô phỏng tấn công DoS/SQLi, tinh chỉnh loại bỏ cảnh báo giả (False Positive).
Giai đoạn 5 (Tuần 9 trở đi): Đào tạo, Ban hành chính sách & Chuyển giao
└── Tổ chức khóa huấn luyện ATTT cho toàn bộ nhân viên, bàn giao tài liệu kỹ thuật cho đội IT 4 người.
Hạn chế và hướng phát triển
Hạn chế kỹ thuật hiện tại
- Xử lý gói tin đơn luồng của Snort: Khi lưu lượng băng thông nội bộ tăng đột biến, thư viện
libpcap có thể xảy ra hiện tượng drop gói tin, làm giảm khả năng nhận diện đòn tấn công trong thời gian thực.
- Phụ thuộc vào cập nhật chữ ký (Signatures): Snort dựa nhiều vào Rulebase có sẵn, đối với các cuộc tấn công Zero-day hoàn toàn mới chưa có chữ ký, hệ thống chủ yếu dựa vào bẫy Honeynet để phân tích thủ công sau sự cố.
- Nguồn lực vận hành còn mỏng: Bộ phận CNTT của công ty chỉ có 4 nhân sự, cần thời gian để làm chủ hoàn toàn các tập lệnh phân tích log nâng cao.
Hướng phát triển trong tương lai
- Tích hợp Trí tuệ nhân tạo (AI/Machine Learning): Ứng dụng các mô hình học máy (như Random Forest, Deep Autoencoders) vào engine của Snort để phân tích hành vi bất thường (Anomaly-based Detection), phát hiện tấn công Zero-day.
- Chuyển đổi sang kiến trúc Zero Trust: Tích hợp xác thực đa yếu tố (MFA/2FA) và giải pháp kiểm soát truy cập định danh (Identity and Access Management - IAM) trên toàn bộ thiết bị đầu cuối.
- Triển khai Trung tâm giám sát tập trung (SIEM nguồn mở): Tích hợp Elasticsearch, Logstash, Kibana (ELK Stack) hoặc Wazuh để trực quan hóa toàn bộ cảnh báo an ninh thời gian thực trên giao diện Dashboard trực quan.
Đối tượng hưởng lợi
- Sinh viên & Học viên chuyên ngành HTTT / An toàn thông tin: Được cung cấp tài liệu tham khảo chi tiết về quy trình khảo sát thực tế tại doanh nghiệp, từ phương pháp thu thập số liệu qua phiếu điều tra đến thiết kế kiến trúc bảo mật đa tầng.
- Kỹ sư mạng & Quản trị viên hệ thống (System/Network Administrators): Nắm bắt phương pháp triển khai thực tế của Snort NIDS, cơ chế bóc tách gói tin bằng thư viện
libpcap, cấu hình thiết bị Multi-WAN Cisco và giải pháp Honeynet.
- Các doanh nghiệp vừa và nhỏ (SMEs), đặc biệt ngành Dược phẩm: Mô hình tham chiếu điển hình giúp tối ưu hóa chi phí đầu tư bảo mật, đảm bảo tuân thủ tính bí mật, toàn vẹn và sẵn sàng (mô hình CIA) của dữ liệu kinh doanh.
- Giảng viên và Nhà nghiên cứu: Tài liệu minh chứng thực tiễn về ứng dụng phương pháp nghiên cứu kết hợp giữa lý thuyết an ninh mạng và giải quyết bài toán vận hành doanh nghiệp cụ thể.
Câu hỏi thường gặp
1. Yêu cầu phần cứng tối thiểu để triển khai hệ thống Snort NIDS cho mạng 60–100 máy là gì?
Máy chủ chạy Snort NIDS cần tối thiểu CPU Dual-Core 2.5GHz (khuyến nghị Quad-Core), 4GB RAM (khuyến nghị 8GB), 2 Card mạng (NIC) 1Gbps (1 card nhận luồng traffic từ cổng Mirror/SPAN của Switch, 1 card quản trị) và ổ cứng SSD 120GB để lưu trữ log cảnh báo.
2. Triển khai bẫy Honeynet có tạo thêm rủi ro cho mạng nội bộ của doanh nghiệp không?
Nếu được cấu hình đúng qua cổng Honeywall hoạt động ở Layer 2 Bridged Mode, toàn bộ lưu lượng ra/vào Honeypot đều bị kiểm soát nghiêm ngặt. Honeywall có cơ chế giới hạn số lượng kết nối gửi ra ngoài, ngăn chặn hacker lợi dụng Honeypot làm bàn đạp (Zombie/Botnet) để tấn công các mục tiêu khác.
3. Làm thế nào để giải quyết tình trạng cảnh báo giả (False Positives) trong Snort?
Cần thực hiện quá trình tinh chỉnh (Tuning) trong giai đoạn chạy thử nghiệm: Tắt bỏ các bộ rule không liên quan đến dịch vụ của công ty (ví dụ: tắt rule dành cho Oracle DB/IIS nếu công ty dùng SQL Server/Apache), sử dụng từ khóa threshold để giới hạn tần suất cảnh báo và định nghĩa chính xác các biến $HOME_NET, $EXTERNAL_NET, $HTTP_SERVERS trong file cấu hình snort.conf.
4. Giải pháp này có đáp ứng được khi doanh nghiệp mở rộng quy mô lên 200 nhân viên không?
Router Cisco RV016 hỗ trợ tối đa 32 IPsec VPN Tunnel và thông lượng cao, hoàn toàn đáp ứng được quy mô 200 người dùng. Đối với Snort NIDS, khi lưu lượng vượt quá 500Mbps, có thể nâng cấp phần cứng hoặc chuyển đổi sang giải pháp Snort 3 / Suricata hỗ trợ xử lý đa luồng (Multi-threading).
5. Tại sao không sử dụng toàn bộ giải pháp Cloud Security thay vì triển khai On-Premises?
Đối với doanh nghiệp dược phẩm quy mô vừa tại Việt Nam thời điểm khảo sát, phần lớn hệ thống máy chủ CSDL và phần mềm kế toán Fast vận hành nội bộ. Giải pháp kết hợp On-Premises với thiết bị bảo mật biên giúp doanh nghiệp nắm toàn quyền kiểm soát dữ liệu, không phát sinh chi phí duy trì thuê bao điện toán đám mây đắt đỏ hàng tháng.
Kết luận
Đề tài "Một số giải pháp đảm bảo an toàn cho HTTT của Công ty TNHH Dược phẩm Á Âu" do sinh viên Lê Thị Ngọc Ánh thực hiện dưới sự hướng dẫn của ThS. Bùi Quang Trường (Trường Đại học Thương Mại) đã giải quyết toàn diện bài toán cấp thiết về an toàn thông tin tại một doanh nghiệp phân phối thực tế. Bằng việc kết hợp chặt chẽ giữa khảo sát thực trạng khoa học và thiết kế kỹ thuật chuyên sâu, công trình đã đề xuất thành công mô hình an ninh mạng đa tầng:
- Tầng biên mạng: Bảo vệ bằng tường lửa SPI và phòng chống DoS với Cisco RV016.
- Tầng giám sát nội bộ: Phát hiện sớm các hành vi thâm nhập và quét cổng bằng Snort NIDS và Honeynet.
- Tầng máy trạm & Dữ liệu: Chuẩn hóa bảo mật Endpoint với Bitdefender SBS, mã hóa dữ liệu với GiliSoft AES-256 và tối ưu hóa chính sách vận hành CSDL SQL Server.
Giải pháp mang lại giá trị kinh tế và kỹ thuật vượt trội, giúp doanh nghiệp loại bỏ nguy cơ gián đoạn kinh doanh với mức chi phí đầu tư hợp lý, tạo tiền đề vững chắc cho chiến lược mở rộng thị trường và chuyển đổi số bền vững trong tương lai.
