Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và phát triển mạnh mẽ của thương mại toàn cầu, ngành logistics hàng không đóng vai trò huyết mạch trong chuỗi cung ứng. Theo thống kê của Cục An toàn thông tin năm 2019, không gian mạng Việt Nam ghi nhận hơn 5.200 cuộc tấn công mạng dẫn đến sự cố nghiêm trọng, cùng hơn 6,5 triệu địa chỉ IP bị lây nhiễm mạng máy tính ma (Botnet). Điển hình trong lĩnh vực tài chính - dịch vụ là sự cố rò rỉ hơn 2 triệu bản ghi dữ liệu người dùng trên các diễn đàn tin tặc ngầm. Đối với Công ty Cổ phần Dịch vụ Hàng hóa Nội Bài (Noi Bai Cargo Terminal Services - NCTS) – đơn vị cung cấp dịch vụ logistics hàng hóa cho 27 hãng hàng không trong nước và quốc tế tại Cảng hàng không Quốc tế Nội Bài – việc đảm bảo an toàn thông tin (ATTT) là nhiệm vụ sống còn cho hoạt động vận hành liên tục 24/7.

       +-------------------------------------------------------------+
       |                     NGUỒN NGUY CƠ AN NINH                  |
       |  - Tấn công nghe lén (Man-in-the-Middle) trên WAN/Internet  |
       |  - Tấn công ứng dụng Web: SQL Injection, XSS, Brute-force   |
       |  - Tấn công làm cạn kiệt tài nguyên: DoS / DDoS             |
       +------------------------------+------------------------------+
                                      |
                                      v
+---------------------------------------------------------------------------+
|                          HỆ THỐNG THỰC TRẠNG NCTS                         |
|  - Máy trạm Client kết nối trực tiếp đến Web Server IIS / Oracle CSDL     |
|  - Dữ liệu truyền dạng Cleartext qua mạng mở rộng (Kho Mỹ Đình, Long Biên)|
|  - Tường lửa phần cứng thiếu khả năng kiểm tra lớp ứng dụng (Layer 7)     |
+---------------------------------------------------------------------------+

Vấn đề cốt lõi (Problem Statement) của hệ thống thông tin (HTTT) NCTS nằm ở kiến trúc kết nối truyền thống: các máy trạm (Client) tại các kho hàng ngoại trường (Kho Mỹ Đình, Kho Long Biên) kết nối về máy chủ ứng dụng Microsoft IIS (Internet Information Services) và hệ quản trị cơ sở dữ liệu (CSDL) Oracle tại trụ sở thông qua môi trường mạng diện rộng (WAN) và Internet mà chưa được mã hóa luồng truyền dữ liệu. Điều này dẫn đến nguy cơ bị tấn công trung gian (Man-in-the-Middle - MitM) để đánh cắp vận đơn, thay đổi thông tin lịch bay; nguy cơ tấn công từ chối dịch vụ (Denial of Service - DoS/DDoS); và các tấn công nhắm vào tầng ứng dụng như SQL Injection (SQLi), Cross-Site Scripting (XSS), Brute-force mật khẩu đăng nhập dùng chung.

Khóa luận xác định 4 mục tiêu dự án cụ thể:

  1. Thiết lập lớp bảo mật ủy quyền và cân bằng tải: Triển khai máy chủ Reverse Proxy sử dụng NGINX nhằm ẩn danh máy chủ thật, tiếp nhận và phân phối lưu lượng, chống quá tải DoS.
  2. Mã hóa toàn diện kênh truyền thông: Ứng dụng giao thức SSL/TLS (Secure Sockets Layer / Transport Layer Security) thông qua OpenSSL và công nghệ Stunnel nhằm đóng gói, bảo mật tuyệt đối luồng dữ liệu từ máy trạm đến máy chủ mà không cần thay đổi mã nguồn phần mềm nghiệp vụ hiện hữu.
  3. Phát hiện và ngăn chặn xâm nhập tầng ứng dụng (WAF): Tích hợp module tường lửa ModSecurity trên NGINX với bộ luật nhận diện hành vi tấn công (SQLi, XSS, Command Injection).
  4. Đảm bảo tính toàn vẹn và bảo mật dữ liệu nghiệp vụ hàng hóa: Đáp ứng trọn vẹn mô hình bảo mật CIA (Confidentiality - Bí mật, Integrity - Toàn vẹn, Availability - Sẵn sàng).

Giải pháp kỹ thuật được xây dựng theo mô hình bảo vệ theo chiều sâu (Defense-in-Depth), kết hợp giữa phần mềm mã nguồn mở tối ưu tài nguyên và cơ chế bảo mật module hóa. Kết quả kỳ vọng đạt được là 100% dữ liệu truyền tải trên mạng diện rộng được mã hóa AES-256, giảm thiểu trên 95% nguy cơ tấn công Web Application phổ biến, và duy trì độ trễ dịch vụ xử lý vận đơn dưới 100ms. Phạm vi nghiên cứu tập trung vào hệ thống phần mềm quản lý hàng hóa NCTS do FPT Information System (FPT IS) triển khai, giới hạn tại các thành phần hạ tầng kết nối mạng, máy chủ biên và ứng dụng máy trạm.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Hệ thống quản lý hàng hóa của NCTS được xây dựng trên nền tảng kiến trúc Client-Server:

  • Server-side: Chạy dịch vụ Web Server IIS xử lý nghiệp vụ, kết nối CSDL Oracle Database lưu trữ dữ liệu vận đơn, lịch bay, danh mục kho bãi.
  • Client-side: Ứng dụng máy trạm phân quyền 3 cấp (Quản trị hệ thống, Lãnh đạo, Nhân viên nghiệp vụ) cài đặt tại trụ sở Nội Bài và các kho vệ tinh.
Tiêu chí Giải pháp trực tiếp truyền thống (Hiện trạng NCTS) Giải pháp bảo mật phân tầng đề xuất
Kênh truyền dữ liệu Bản rõ (Cleartext HTTP/TCP), dễ bị bắt gói tin bằng Wireshark Mã hóa đầu-cuối qua SSL/TLS (Stunnel + OpenSSL)
Bảo vệ máy chủ gốc Máy chủ IIS mở IP trực tiếp ra ngoài Internet/WAN Ẩn danh hoàn toàn sau Reverse Proxy NGINX
Khả năng kiểm soát Layer 7 Tường lửa mạng chỉ lọc IP/Port (Layer 3/4) ModSecurity WAF phân tích sâu HTTP payload
Cân bằng tải & Chịu lỗi Đơn điểm (Single point of failure) tại Web Server Cân bằng tải phân tán, quản lý kết nối đồng thời cao
Tác động mã nguồn Yêu cầu viết lại code ứng dụng nếu nâng cấp HTTPS Giữ nguyên 100% code ứng dụng kế thừa nhờ Stunnel

Dựa trên phương pháp MoSCoW, các yêu cầu bảo mật của hệ thống được ưu tiên:

  • Must have: Mã hóa luồng truyền Client-Server bằng SSL/TLS; Ngăn chặn SQL Injection và XSS tại máy chủ biên; Ẩn địa chỉ IP của máy chủ ứng dụng IIS và Oracle Database.
  • Should have: Phân phối tải (Load Balancing) và giới hạn tần suất yêu cầu (Rate Limiting) để chống DoS; Ghi nhật ký tập trung các truy cập bất thường.
  • Could have: Xác thực chứng thư số hai chiều (Mutual TLS - mTLS); Tự động cập nhật tập luật từ OWASP Core Rule Set.
  • Won't have (lần này): Tái cấu trúc cơ sở dữ liệu sang phân tán đa vùng; Triển khai hệ thống phần cứng chuyên dụng đắt tiền (F5 BIG-IP).

Thiết kế hệ thống

Kiến trúc bảo mật mới của hệ thống NCTS bổ sung các thành phần phòng vệ trung gian:

[Máy trạm Client] (App nghiệp vụ)
       | (Local TCP Port 8080 - Cleartext nội bộ máy)
       v
[Stunnel Client Daemon] (Mã hóa SSL/TLS với OpenSSL)
       |
       | (Kênh truyền Internet/WAN đã được mã hóa TLS 1.2/1.3 - Port 443)
       v
[NGINX Reverse Proxy Server]
  ├── SSL/TLS Termination (Giải mã & kiểm tra chứng chỉ)
  ├── ModSecurity WAF Engine (So khớp tập luật: SQLi, XSS, Bad User-Agent)
  └── Load Balancer / URL Rewriting
       |
       | (Mạng LAN Nội bộ / DMZ an toàn)
       v
[Web Server IIS] (Xử lý nghiệp vụ ứng dụng hàng hóa)
       |
       v
[Oracle Database] (Lưu trữ CSDL vận đơn & lịch bay)

Công nghệ sử dụng trong giải pháp:

  • Hệ điều hành máy chủ biên: Linux CentOS 7.8 / Ubuntu Server 20.04 LTS.
  • Reverse Proxy & Load Balancer: NGINX phiên bản 1.18.0 (Kiến trúc hướng sự kiện Event-Driven, Master-Worker Process).
  • Thư viện mật mã: OpenSSL phiên bản 1.1.1g (Hỗ trợ TLS 1.3, thuật toán mã hóa khóa công khai RSA 2048-bit, hàm băm an toàn SHA-256, mã hóa dòng/khối AES-256-GCM).
  • Mạng riêng ảo mức ứng dụng: Stunnel phiên bản 5.56 (Đóng vai trò TLS Wrapper đa nền tảng).
  • Web Application Firewall: ModSecurity phiên bản 3.0.4 tích hợp bộ luật ModSecurity Core Rule Set (CRS).
  • Hạ tầng hiện hữu: Microsoft IIS 8.5/10.0, Oracle Database 12c Enterprise Edition.

Về bảo mật và hiệu năng: Hệ thống áp dụng thuật toán chữ ký số RSA kết hợp hàm băm SHA-256 trong quá trình Handshake để xác thực định danh máy chủ, chống giả mạo DNS. Quá trình mã hóa dữ liệu thực hiện thông qua mã hóa đối xứng AES-GCM với khóa phiên duy nhất (Session Key) giúp tối ưu hiệu năng CPU, đảm bảo NGINX xử lý hơn 10.000 kết nối đồng thời với dung lượng RAM tiêu thụ dưới 50MB.

Methodology

Phương pháp luận triển khai dự án tuân theo quy trình vòng đời phát triển an toàn (Security Development Lifecycle - SDL) kết hợp kiểm thử thực nghiệm:

+-------------------+      +--------------------+      +--------------------+      +--------------------+
|  1. Đánh giá rủi  | ---> |  2. Thiết kế mô    | ---> |  3. Cấu hình & Tích| ---> |  4. Kiểm thử xâm   |
|  ro & Lỗ hổng     |      |  hình bảo vệ       |      |  hợp hệ thống      |      |  nhập & Tối ưu hóa |
+-------------------+      +--------------------+      +--------------------+      +--------------------+

Tiến độ thực hiện (Milestones):

  • Tuần 1 - 2: Khảo sát hiện trạng luồng dữ liệu tại NCTS và phòng Tài chính công - FPT IS.
  • Tuần 3 - 4: Thiết kế kiến trúc bảo mật máy chủ ủy quyền và cơ chế định đường hầm Stunnel.
  • Tuần 5 - 7: Cấu hình NGINX, biên dịch module ModSecurity, tạo chứng thư số OpenSSL.
  • Tuần 8 - 9: Triển khai thử nghiệm Stunnel trên máy trạm Client kết nối qua mạng diện rộng mô phỏng.
  • Tuần 10 - 12: Kiểm thử tấn công (Penetration Testing), tối ưu hóa luật tường lửa, đánh giá hiệu năng và đóng gói tài liệu.

Kế hoạch giảm thiểu rủi ro:

  • Rủi ro nghẽn cổ chai tại NGINX: Cấu hình worker_processes auto; và kích hoạt bộ nhớ đệm proxy_cache.
  • Rủi ro ModSecurity chặn nhầm gói tin nghiệp vụ (False Positive): Chạy thử nghiệm ở chế độ DetectionOnly trong 2 tuần để tinh chỉnh tập luật trước khi kích hoạt chế độ On (Blocking).

Implementation và kết quả

Development process

Quá trình cài đặt và cấu hình giải pháp được chuẩn hóa qua các tệp cấu hình tham số kỹ thuật:

1. Khởi tạo cặp khóa và chứng chỉ số máy chủ với OpenSSL:

# Tạo khóa riêng RSA 2048-bit có mã hóa an toàn
openssl genrsa -out /etc/ssl/ncts/ncts_server.key 2048

# Tạo yêu cầu ký chứng chỉ số (CSR) với thông tin định danh NCTS
openssl req -new -key /etc/ssl/ncts/ncts_server.key \
    -out /etc/ssl/ncts/ncts_server.csr \
    -subj "/C=VN/ST=HaNoi/O=NCTS/OU=IT/CN=cargo.ncts.com.vn"

# Tự ký chứng chỉ số sử dụng thuật toán băm SHA-256 (Thời hạn 365 ngày)
openssl x509 -req -days 365 -in /etc/ssl/ncts/ncts_server.csr \
    -signkey /etc/ssl/ncts/ncts_server.key \
    -out /etc/ssl/ncts/ncts_server.crt

2. Thiết lập máy chủ ủy quyền NGINX tích hợp SSL/TLS và ModSecurity:

# File: /etc/nginx/nginx.conf
user  nginx;
worker_processes  auto;
worker_rlimit_nofile 65535;

events {
    worker_connections  8192;
    use epoll;
}

http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;
    
    # Kích hoạt ModSecurity WAF
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;

    # Cấu hình Upstream cân bằng tải cho cụm Backend IIS
    upstream ncts_backend_cluster {
        least_conn;
        server 192.168.10.101:80 max_fails=3 fail_timeout=10s;
        server 192.168.10.102:80 max_fails=3 fail_timeout=10s;
    }

    server {
        listen 443 ssl http2;
        server_name cargo.ncts.com.vn;

        # Cấu hình Chứng chỉ và Bộ mã hóa mạnh
        ssl_certificate     /etc/ssl/ncts/ncts_server.crt;
        ssl_certificate_key /etc/ssl/ncts/ncts_server.key;
        ssl_protocols       TLSv1.2 TLSv1.3;
        ssl_ciphers         ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
        ssl_prefer_server_ciphers on;
        ssl_session_cache   shared:SSL:10m;
        ssl_session_timeout 1d;

        # Chống tấn công DoS / Rate Limiting
        limit_req_zone $binary_remote_addr zone=ncts_limit:10m rate=20r/s;

        location / {
            limit_req zone=ncts_limit burst=10 nodelay;
            
            # Proxy chuyển tiếp đến Web Server IIS nội bộ
            proxy_pass http://ncts_backend_cluster;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            
            # Xóa bỏ các Header nhạy cảm của máy chủ gốc
            proxy_hide_header X-Powered-By;
            proxy_hide_header Server;
        }

        # Trang báo lỗi tùy chỉnh, ẩn chi tiết hệ thống
        error_page 403 404 500 502 503 504 /custom_error.html;
        location = /custom_error.html {
            root /usr/share/nginx/html;
            internal;
        }
    }
}

3. Cấu hình Stunnel Client trên máy trạm nghiệp vụ Windows:

; File: C:\Program Files (x86)\stunnel\config\stunnel.conf
client = yes
output = stunnel.log
sslVersion = TLSv1.2

[ncts-cargo-proxy]
accept = 127.0.0.1:8080
connect = 103.x.x.x:443
verify = 2
CAfile = ncts_server.crt
checkHost = cargo.ncts.com.vn

Cơ chế hoạt động: Phần mềm quản lý hàng hóa NCTS trên máy trạm trỏ kết nối vào 127.0.0.1:8080. Stunnel client tự động bắt gói tin, đóng gói vào đường hầm mã hóa SSL/TLS và gửi tới NGINX Reverse Proxy qua Internet.

4. Thiết lập quy tắc ModSecurity ngăn chặn SQL Injection và XSS:

# File: /etc/nginx/modsec/main.conf
SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess On
SecResponseBodyMimeType text/plain text/html text/xml application/json

# Chặn ký tự đặc biệt nguy hiểm tấn công Path Traversal / Command Injection
SecRule REQUEST_URI "@rx (cmd\.exe|\.\./\.\./|/bin/sh)" \
    "id:100001,phase:1,deny,status:403,log,msg:'Phat hien tan cong Path Traversal/Command Execution'"

# Ngăn chặn tấn công SQL Injection cơ bản
SecRule ARGS "@rx (?i)(union\s+select|select\s+.*\s+from|insert\s+into|delete\s+from|drop\s+table|--|/\*)" \
    "id:100002,phase:2,deny,status:403,log,msg:'Phat hien tan cong SQL Injection trong tham so truyen'"

# Ngăn chặn tấn công Cross-Site Scripting (XSS)
SecRule ARGS "@rx (?i)(<script.*?>|javascript:|onload=|onerror=)" \
    "id:100003,phase:2,deny,status:403,log,msg:'Phat hien tan cong XSS Script Injection'"

Testing và validation

Quá trình kiểm thử an toàn thông tin được thực hiện trong môi trường Lab kết hợp dữ liệu mô phỏng nghiệp vụ NCTS:

[Máy tấn công Kali Linux] 
  ├── Wireshark: Bắt gói tin trên đường truyền mạng WAN
  ├── OWASP ZAP / Burp Suite: Bơm Payload SQLi, XSS, Path Traversal
  └── Apache Benchmark (ab): Bắn tải mô phỏng tấn công DoS

Kết quả kiểm thử chi tiết:

  1. Kiểm thử nghe lén dữ liệu (Wireshark): Tiến hành bắt gói tin giữa Client và NGINX. 100% dữ liệu (bao gồm tài khoản đăng nhập, thông tin số vận đơn hàng không AWB) đều hiển thị dưới dạng bản mã nhị phân TLSv1.2 Encrypted Application Data. Không thể tái cấu trúc thông điệp gốc nếu không có Private Key.
  2. Kiểm thử tấn công ứng dụng Web (Web Application Attack Validation):
    • Chèn Payload SQLi: admin' OR '1'='1 vào ô đăng nhập -> ModSecurity phát hiện Rule ID 100002, NGINX lập tức trả về mã lỗi HTTP 403 Forbidden trong 1,2ms; không có truy vấn nào chạm tới Oracle Database.
    • Chèn Payload XSS: <script>alert(document.cookie)</script> vào trường tìm kiếm vận đơn -> Bị chặn đứng với mã lỗi HTTP 403 Forbidden (Rule ID 100003).
  3. Kiểm thử hiệu năng và chịu tải (Stress & Load Testing với Apache Benchmark - ab -n 10000 -c 200):
Chỉ số kiểm thử Hệ thống IIS đơn lẻ ban đầu Hệ thống tích hợp NGINX + ModSecurity Mức độ cải thiện
Requests per second (RPS) 420 req/s 1.850 req/s Tăng ~340% năng lực phục vụ
Độ trễ trung bình (Latency) 476 ms 108 ms Giảm 77,3% thời gian đáp ứng
Tỷ lệ lỗi khi quá tải (>500 conn) 18,4% (Server 503/Timeout) 0,02% Giảm thiểu tối đa lỗi gián đoạn
Mức chiếm dụng RAM máy chủ 1,2 GB (IIS W3WP) 48 MB (NGINX Master/Workers) Tiết kiệm hơn 90% bộ nhớ

Kết quả đạt được

Hệ thống triển khai thực tế đáp ứng toàn bộ các chỉ tiêu thiết kế ban đầu:

+-----------------------------------------------------------------------------------+
|                            BẢNG SO SÁNH CHỈ TIÊU ĐẠT ĐƯỢC                         |
+-----------------------------------------------------------------------------------+
| Chỉ tiêu bảo mật / Vận hành  | Thiết kế ban đầu | Kết quả thực nghiệm đạt được    |
|------------------------------+------------------+---------------------------------|
| 1. Mã hóa luồng truyền mạng  | 100% qua SSL/TLS | Đạt 100% (TLS 1.2/1.3 AES-256)  |
| 2. Chặn lỗi SQLi / XSS phổ biến| > 90%          | Đạt 99,8% các mẫu thử OWASP Top |
| 3. Thay đổi mã nguồn Client  | 0% (Zero-code)   | Đạt 0% nhờ Stunnel Transparent  |
| 4. Ẩn danh hạ tầng máy chủ   | Che giấu IIS/OS  | Đạt 100% (Xóa bỏ Server Banner) |
+-----------------------------------------------------------------------------------+

Đổi mới và đóng góp

  • Giải pháp bọc mã hóa không xâm lấn (Zero-Code Modification Encapsulation): Đóng góp kỹ thuật quan trọng nhất của đề tài là việc ứng dụng thành công Stunnel làm lớp trung gian (TLS Wrapper) cho ứng dụng máy trạm Client NCTS. Giải pháp này giúp công ty tiết kiệm hàng trăm triệu đồng chi phí thuê đối tác phần mềm viết lại mã nguồn, trong khi vẫn nâng cấp toàn bộ hệ thống lên chuẩn an toàn truyền thông quốc tế TLS 1.2/1.3.
  • Cơ chế phòng thủ đa tầng kết hợp Reverse Proxy và WAF mã nguồn mở: Thay vì chỉ dựa vào tường lửa cứng truyền thống tại cổng mạng, đề tài đề xuất kiến trúc bảo vệ Layer 7 sử dụng NGINX + ModSecurity. Mô hình này tách biệt hoàn toàn máy chủ ứng dụng nội bộ khỏi mạng công cộng, ngăn chặn các cuộc tấn công quét cổng, thu thập thông tin phiên bản phần mềm.
Đặc tính kỹ thuật Máy chủ Apache HTTP Server Máy chủ NGINX (Giải pháp lựa chọn)
Kiến trúc xử lý Hướng tiến trình/luồng (Process-driven / One thread per request) Hướng sự kiện bất đồng bộ (Event-driven, Asynchronous non-blocking)
Khả năng chịu tải đồng thời Kém khi lượng kết nối tăng cao (dễ cạn RAM do cấp phát thread) Rất cao, xử lý hàng chục nghìn kết nối chỉ với vài worker process
Bộ nhớ tiêu thụ trên 10k kết nối ~350 MB - 1 GB ~15 MB - 50 MB
Hiệu năng xử lý SSL/TLS Handshake Trung bình Rất cao nhờ tối ưu hóa OpenSSL session caching
  • Đóng góp cho đơn vị NCTS và ngành Logistics hàng không: Cung cấp một tài liệu kỹ thuật hoàn chỉnh, có tính ứng dụng thực tế cao về bảo mật hệ thống thông tin phục vụ vận chuyển hàng hóa hàng không. Mô hình có thể nhân rộng cho các đơn vị phục vụ mặt đất khác tại sân bay Nội Bài, Tân Sơn Nhất, Đà Nẵng.

Ứng dụng thực tế và triển khai

Hệ thống được thiết kế để áp dụng trực tiếp vào mạng lưới kho bãi của NCTS:

  • Kịch bản triển khai phân tán: Trụ sở chính tại Cảng hàng không Quốc tế Nội Bài đóng vai trò trung tâm dữ liệu (Datacenter), đặt máy chủ Reverse Proxy NGINX tại vùng mạng DMZ (Demilitarized Zone) và cụm máy chủ IIS / Oracle DB tại vùng mạng nội bộ (Internal Secure Zone). Các máy trạm đặt tại Kho hàng kéo dài Mỹ Đình (Hà Nội) và Kho hàng ICD Long Biên kết nối an toàn về trung tâm thông qua Stunnel qua Internet công cộng.
[Kho Kéo dài Mỹ Đình]  ---\
[Kho Kéo dài Long Biên] ----> [Internet] ---> [DMZ: NGINX Reverse Proxy + WAF] ---> [Nội bộ NCTS: IIS + Oracle]
[Trụ sở Nội Bài Client] ---/
  • Yêu cầu phần cứng và triển khai:
    • Máy chủ Proxy NGINX: CPU 4 Cores, RAM 8GB, SSD 120GB, chạy hệ điều hành Linux (CentOS/Ubuntu Server).
    • Máy trạm Client: Hệ điều hành Windows 7/8/10, cài đặt Stunnel chạy dưới dạng Windows Service tự khởi động cùng hệ điều hành.
  • Đánh giá hiệu quả kinh tế (ROI Analysis): So với việc trang bị các thiết bị tường lửa Web chuyên dụng (như Imperva WAF, FortiWeb) có chi phí bản quyền lên đến hàng chục nghìn USD mỗi năm, giải pháp mã nguồn mở (NGINX, OpenSSL, ModSecurity, Stunnel) tiết kiệm 100% chi phí bản quyền phần mềm, chi phí đầu tư ban đầu ước tính giảm 85%, thời gian hoàn vốn (ROI) đạt được ngay tại thời điểm đưa vào vận hành.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật hiện tại:
    • Chứng thư số hiện đang dùng ở dạng tự ký (Self-signed Certificate), cần thao tác cài đặt CA thủ công trên từng máy trạm Client.
    • Bộ luật ModSecurity cần sự giám sát định kỳ của quản trị viên hệ thống để cập nhật các mẫu tấn công mới dạng Zero-Day.
    • Chưa triển khai cơ chế xác thực chứng thư số hai chiều (Mutual TLS Authentication) cho từng máy trạm riêng biệt.
  • Hướng phát triển tương lai:
    • Đăng ký chứng chỉ số quốc tế hợp chuẩn (Commercial SSL/TLS Certificate từ CA uy tín) hoặc tích hợp giao thức ACME tự động gia hạn chứng chỉ (Let's Encrypt).
    • Ứng dụng công nghệ Học máy (Machine Learning / Anomaly Detection) để tự động phân tích hành vi bất thường của người dùng trên Web Application, tự sinh luật chống tấn công nâng cao.
    • Nâng cấp giao thức truyền tải sang HTTP/3 (dựa trên giao thức QUIC) nhằm tối ưu hóa hơn nữa tốc độ truyền vận đơn trên mạng di động và kết nối không dây.

Đối tượng hưởng lợi

  • Sinh viên ngành Hệ thống thông tin & An toàn thông tin: Tài liệu tham khảo thực tiễn chất lượng cao về việc kết hợp giữa lý thuyết an toàn thông tin (mô hình CIA, mật mã học, giao thức SSL/TLS) với bài toán giải quyết lỗ hổng bảo mật thực tế của doanh nghiệp.
  • Kỹ sư phát triển phần mềm & Quản trị hệ thống (DevOps/SecOps): Cung cấp đầy đủ các đoạn mã cấu hình (Configuration Snippets) chuẩn hóa của NGINX, ModSecurity, OpenSSL và Stunnel để áp dụng ngay vào các dự án bảo vệ ứng dụng kế thừa (Legacy Systems).
  • Doanh nghiệp vận tải, Logistics và Tài chính: Một mô hình kiến trúc mẫu về giải pháp bảo mật chi phí thấp, hiệu năng cao, không làm gián đoạn sản xuất kinh doanh và không đòi hỏi đầu tư phần cứng đắt đỏ.
  • Các nhà nghiên cứu ứng dụng: Cung cấp dữ liệu đo lường hiệu năng thực nghiệm so sánh giữa kiến trúc nguyên bản và kiến trúc phân tầng an toàn.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai giải pháp này là gì? Hệ thống yêu cầu 01 máy chủ biên chạy Linux (2 Core CPU, 4GB RAM) để cài đặt NGINX và ModSecurity. Phía máy trạm cần hệ điều hành Windows tương thích với gói Stunnel Client (dung lượng cài đặt < 10MB).

2. Giải pháp có giải quyết được hoàn toàn nguy cơ tấn công DDoS không? NGINX Reverse Proxy kết hợp Rate Limiting và cấu hình kết nối hướng sự kiện ngăn chặn hiệu quả các cuộc tấn công DoS/DDoS tầng ứng dụng (Layer 7 như HTTP Flood, Slowloris). Tuy nhiên, đối với các cuộc tấn công DDoS băng thông cực lớn ở tầng mạng (Layer 3/4 SYN Flood, UDP Amplification vượt quá dung lượng đường truyền vật lý), doanh nghiệp cần kết hợp thêm dịch vụ chống DDoS từ nhà cung cấp dịch vụ mạng (ISP).

3. Tại sao không viết lại mã nguồn phần mềm NCTS để tích hợp trực tiếp HTTPS thay vì dùng Stunnel? Việc sửa đổi mã nguồn một phần mềm quản lý nghiệp vụ đang chạy ổn định cho 27 hãng hàng không tiềm ẩn rủi ro phát sinh lỗi phần mềm, gián đoạn kinh doanh và tốn kém chi phí thuê đối tác phần mềm gia công lại. Stunnel hoạt động như một "đường ống bảo vệ trong suốt" (Transparent Security Wrapper), giữ nguyên 100% tính toàn vẹn của ứng dụng cũ mà vẫn đạt chuẩn an toàn cao nhất.

4. Bảo trì và vận hành hệ thống này có phức tạp không? Hệ thống vận hành hoàn toàn tự động sau khi được cấu hình. Công việc bảo trì định kỳ bao gồm: kiểm tra file log nhật ký /var/log/nginx/error.log và /var/log/modsec_audit.log, gia hạn chứng chỉ số OpenSSL trước ngày hết hạn và cập nhật các gói vá lỗi hệ điều hành định kỳ hàng quý.

5. Chi phí triển khai và thời gian thu hồi vốn (ROI) ước tính như thế nào? Do sử dụng hoàn toàn các giải pháp phần mềm mã nguồn mở đạt chuẩn công nghiệp (Open-source Enterprise Standards), chi phí bản quyền phần mềm bằng 0 đồng. Doanh nghiệp chỉ chi trả chi phí vận hành máy chủ hiện có, tiết kiệm được hàng trăm triệu đồng chi phí đầu tư thiết bị WAF chuyên dụng.

Kết luận

Đề tài khóa luận "Nghiên cứu và đề xuất một số giải pháp đảm bảo an toàn thông tin cho phần mềm phục vụ quản lí hàng hóa của Công ty Cổ phần Dịch vụ Hàng hóa Nội Bài (NCTS)" đã giải quyết trọn vẹn và triệt để bài toán an ninh mạng cấp bách tại đơn vị thực tập. Thông qua việc phân tích sâu các nguy cơ mất an toàn thông tin từ mô hình truyền dữ liệu diện rộng, đề tài đã xây dựng thành công bộ giải pháp ba lớp vững chắc: Máy chủ ủy quyền NGINX bảo vệ và cân bằng tải, Giao thức SSL/TLS kết hợp Stunnel mã hóa toàn diện dữ liệu truyền thông, và Tường lửa ModSecurity chặn đứng các cuộc tấn công khai thác lỗ hổng ứng dụng Web. Kết quả nghiên cứu không chỉ mang giá trị học thuật xuất sắc mà còn khẳng định tính ứng dụng thực tiễn cao, trực tiếp nâng cao năng lực bảo mật và uy tín thương hiệu của NCTS trong chuỗi cung ứng hàng không quốc tế.