Giới thiệu dự án

Trong bối cảnh chuyển đổi số toàn cầu, an toàn thông tin (ATTT) đã trở thành yếu tố sống còn đối với mọi tổ chức kinh tế. Theo thống kê của Hiệp hội An toàn thông tin Việt Nam (VNISA) và Cục An toàn thông tin, hơn 62% các cuộc tấn công mạng nhắm vào các doanh nghiệp vừa và nhỏ (SMEs) – nhóm đối tượng thường thiếu hụt nguồn lực chuyên trách và hạ tầng phòng vệ chuyên sâu.

Đề tài khóa luận tốt nghiệp ngành Hệ thống thông tin Kinh tế "Một số giải pháp đảm bảo an toàn, bảo mật cho HTTT của công ty TNHH MTV Tùng Bắc" do sinh viên Nguyễn Thị Tường Vi thực hiện (dưới sự hướng dẫn của ThS. Nguyễn Thị Hội) tập trung giải quyết bài toán an ninh thực tế tại Công ty TNHH MTV Tùng Bắc – doanh nghiệp hoạt động trong lĩnh vực xây dựng công trình và chế biến nhiên liệu tại Lục Nam, tỉnh Bắc Giang.

+-----------------------------------------------------------------------------+
|                      MÔ HÌNH TAM GIÁC BẢO MẬT (CIA TRIAD)                  |
|                                                                             |
|                           [Tính Bảo Mật]                                    |
|                           (Confidentiality)                                 |
|                                  /\                                         |
|                                 /  \                                        |
|                                /    \                                       |
|                               /  HTTT \                                     |
|                              / TÙNG BẮC\                                    |
|                             /____________\                                  |
|               [Tính Toàn Vẹn]              [Tính Sẵn Sàng]                  |
|                 (Integrity)                 (Availability)                  |
+-----------------------------------------------------------------------------+

1. Vấn đề thực tiễn (Problem Statement)

Khảo sát thực trạng tại Công ty TNHH MTV Tùng Bắc cho thấy hạ tầng hệ thống thông tin (HTTT) quản lý vận hành trên quy mô 18 máy trạm và 1 máy chủ đang đối mặt với nhiều lỗ hổng nghiêm trọng:

  • Hạ tầng phần cứng xuống cấp: Máy chủ HP ProLiant DL320e Gen8 cấu hình cũ vận hành từ năm 2009 bị nghẽn cổ chai xử lý (50% nhân viên đánh giá tốc độ xử lý ở mức trung bình), không có cơ chế dự phòng RAID tiêu chuẩn.
  • Cấu trúc mạng thiếu phân vùng: Toàn bộ hệ thống máy trạm, máy chủ và mạng không dây (Wi-Fi qua Linksys E2000) vận hành trên một Flat LAN (mạng phẳng), không có tường lửa lọc gói tin chuyên dụng, tiềm ẩn nguy cơ lây nhiễm mã độc chéo giữa 5 phòng ban.
  • Lỗ hổng phân quyền và phần mềm: 80% phần mềm sử dụng là bản miễn phí hoặc thiếu bản quyền kiểm soát (như Effect-Standard), cơ chế kiểm soát truy cập dựa trên vai trò (Role-Based Access Control - RBAC) bị buông lỏng.
  • Kênh truyền và dữ liệu không được mã hóa: Thiếu giao thức bảo mật SSL/TLS trên đường truyền nội bộ và kết nối từ xa; không có quy trình sao lưu (backup) tự động định kỳ, dẫn đến rủi ro mất trắng dữ liệu khi ổ cứng bị hỏng hóc hoặc nhiễm ransomware.

2. Mục tiêu nghiên cứu cụ thể

  1. Chuẩn hóa cơ sở lý luận: Hệ thống hóa các nguyên lý an ninh mạng, tam giác bảo mật CIA (Confidentiality - Integrity - Availability) và mô hình phòng thủ theo chiều sâu (Defense-in-Depth).
  2. Khảo sát định lượng & định tính: Đánh giá thực trạng hạ tầng phần cứng, phần mềm, mạng nội bộ và nhân sự tại 5 phòng ban của công ty thông qua điều tra bảng hỏi và phỏng vấn chuyên gia.
  3. Tái cấu trúc kiến trúc bảo mật: Đề xuất nâng cấp máy chủ HP ProLiant DL160 Gen8 với bộ điều khiển RAID phần cứng, triển khai tường lửa biên nguồn mở pfSense và phân vùng mạng DMZ/VLAN.
  4. Thiết lập quy trình an toàn dữ liệu: Xây dựng giải pháp sao lưu đa tầng (3-2-1 backup), mã hóa kênh truyền SSL/TLS, VPN OpenVPN và nâng cấp hệ thống phần mềm kế toán/quản trị MISA SME.NET.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Hệ thống thông tin quản lý tại Công ty TNHH MTV Tùng Bắc được phân tích toàn diện qua bảng tổng hợp hiện trạng:

Hạng mục Thực trạng ban đầu (Baseline) Rủi ro kỹ thuật Đánh giá mức độ an toàn
Máy chủ (Server) 01 máy chủ HP ProLiant DL320e G8 (Intel Xeon E3-1230v2, 4GB RAM, Non-RAID) Nguy cơ mất trắng dữ liệu khi lỗi ổ cứng vật lý; nghẽn I/O khi xử lý giao dịch đồng thời Thấp (50% phản ánh hiệu năng trung bình/kém)
Tường lửa (Firewall) Chỉ dùng Windows Firewall cục bộ + Tường lửa cơ bản trên Router ADSL Không thể chặn tấn công L7, tấn công từ chối dịch vụ (DoS/DDoS), quét cổng trái phép Nguy cơ cao
Mạng nội bộ (LAN/WLAN) 18 nodes kết nối dạng Bus/Star hỗn hợp, Router Linksys E2000, 01 dải subnet /24 Không phân tách lưu lượng giữa khách vãng lai và máy kế toán/máy chủ; dễ bị tấn công MITM Trung bình (60% đánh giá an toàn mức trung bình)
Phần mềm ứng dụng Office 2010, Effect-Standard (Bản free), BKAV Pro cục bộ Dữ liệu cơ sở dữ liệu (CSDL) không phân quyền chi tiết, thiếu audit log, dễ bị khai thác SQL Injection Kém an toàn (70% đánh giá kém đến trung bình)
Sao lưu & Dự phòng Copy thủ công ngắt quãng ra USB/ổ cứng ngoài Dữ liệu bị phân mảnh, thời gian khôi phục thảm họa (RTO) > 24 giờ Rất nguy hiểm 
+-----------------------------------------------------------------------------+
|                      MÔ HÌNH PHÂN LOẠI YÊU CẦU (MoSCoW)                     |
+-----------------------------------------------------------------------------+
| MUST HAVE (Bắt buộc):                                                       |
|  * Nâng cấp phần cứng máy chủ lên DL160 Gen8 + RAID 1/10 Controller        |
|  * Triển khai Firewall UTM pfSense (Lọc gói L3/L4/L7, NAT/PAT)              |
|  * Thiết lập cơ chế sao lưu tự động (Incremental & Full Backup)             |
+-----------------------------------------------------------------------------+
| SHOULD HAVE (Nên có):                                                       |
|  * Mã hóa đường truyền truy cập từ xa qua OpenVPN / SSL                     |
|  * Chuẩn hóa phần mềm kế toán sang MISA SME.NET có bản quyền                |
|  * Phân quyền thư mục và CSDL theo ma trận phân quyền người dùng (RBAC)    |
+-----------------------------------------------------------------------------+
| COULD HAVE (Có thể mở rộng):                                                |
|  * Đồng bộ dữ liệu lên hạ tầng đám mây (Cloud Backup)                       |
|  * Tích hợp cơ chế cảnh báo qua Email/SMS khi CPU/Network đạt ngưỡng        |
+-----------------------------------------------------------------------------+
| WON'T HAVE (Chưa triển khai ở giai đoạn này):                               |
|  * Hệ thống SIEM tập trung quy mô lớn                                       |
|  * Chứng chỉ bảo mật chuẩn quân sự cứng HSM                                 |
+-----------------------------------------------------------------------------+

Thiết kế hệ thống

Giải pháp tổng thể áp dụng mô hình bảo vệ 4 lớp (Multi-layer Defense-in-Depth), phân định rõ ràng các vùng mạng và điểm kiểm soát luồng dữ liệu:

                          [ INTERNET ]
                               |
                   +-----------v-----------+
                   |  Modem ADSL / Router  |
                   +-----------+-----------+
                               | (WAN IP)
                   +-----------v-----------+
                   |   pfSense Firewall    |
                   |  (NAT/PAT, IDS/IPS,   |
                   |   OpenVPN, L7 Filter) |
                   +-----+-----------+-----+
                         |           |
             (DMZ Subnet)|           |(LAN Subnet: 192.168.1.0/24)
                         |           |
       +-----------------v-+       +-v------------------------------+
       |   Vùng DMZ        |       |      Core Switch (Gigabit)     |
       |  - Web/File Server|       +---+--------+--------+--------+-+
       |  - Reverse Proxy  |           |        |        |        |
       +-------------------+       +---v-+   +--v--+  +--v--+  +--v--+
                                   | P.KT|   |P.KD |  |P.TC |  |P.Kho|
                                   +-----+   +-----+  +-----+  +-----+
                                   (Endpoints: Windows 7/10 + BKAV Pro)

+-----------------------------------------------------------------------------+
|                 BẢNG ĐẶC TẢ CÔNG NGHỆ VÀ PHIÊN BẢN (TECH STACK)             |
+--------------------+----------------------------+---------------------------+
| Phân hệ            | Công nghệ / Thiết bị       | Phiên bản / Thông số      |
+--------------------+----------------------------+---------------------------+
| Máy chủ ứng dụng   | HP ProLiant DL160 Gen8 1U  | Intel Xeon E5-1230v3      |
|                    |                            | (3.3GHz/4-core/8MB Cache),|
|                    |                            | 8GB DDR3-1600 UDIMM,      |
|                    |                            | 2x 1TB SATA Hot-Plug      |
+--------------------+----------------------------+---------------------------+
| Bộ điều khiển RAID | HP Smart Array B120i       | Hỗ trợ RAID 0/1/1+0 SATA  |
+--------------------+----------------------------+---------------------------+
| Tường lửa bảo vệ   | pfSense Appliance Software | pfSense 2.2+ (FreeBSD 10) |
+--------------------+----------------------------+---------------------------+
| Giao thức mạng     | TCP/IP, NAT/PAT, SSL/TLS   | OpenSSL 1.0.2+, TLS 1.2   |
+--------------------+----------------------------+---------------------------+
| Kết nối mạng ảo    | OpenVPN / IPsec            | OpenVPN 2.3+ (AES-256-CBC)|
+--------------------+----------------------------+---------------------------+
| Phần mềm nghiệp vụ | MISA SME.NET 2015 / AMIS   | Kiến trúc Client-Server,  |
|                    |                            | CSDL MS SQL Server Express|
+--------------------+----------------------------+---------------------------+

Phương pháp luận triển khai (Methodology)

Dự án áp dụng chu trình quản lý chất lượng PDCA (Plan - Do - Check - Act) tích hợp quy trình an ninh mạng chuẩn NIST Cybersecurity Framework:

  • Giai đoạn 1: Chuẩn bị & Lập kế hoạch (Milestone 1 - Tuần 1-2): Đánh giá lỗ hổng hệ thống, lập bản sao lưu Image toàn bộ hệ điều hành và CSDL kế toán cũ.
  • Giai đoạn 2: Lắp đặt & Triển khai phần cứng (Milestone 2 - Tuần 3): Lắp đặt máy chủ HP ProLiant DL160 Gen8, cấu hình mảng đĩa RAID 1 thông qua BIOS Smart Array B120i Controller.
  • Giai đoạn 3: Cấu hình Tường lửa & Mạng (Milestone 3 - Tuần 4-5): Cài đặt pfSense lên phần cứng độc lập, thiết lập các luật lọc gói tin, cấu hình NAT Port Forwarding và Reverse Proxy cho dịch vụ nội bộ.
  • Giai đoạn 4: Chuyển đổi dữ liệu & Phần mềm (Milestone 4 - Tuần 6): Nâng cấp phần mềm kế toán sang MISA SME.NET 2015, import dữ liệu danh mục - chứng từ, phân quyền nhóm người dùng (RBAC).
  • Giai đoạn 5: Kiểm thử & Đào tạo (Milestone 5 - Tuần 7-8): Thực hiện kiểm thử thâm nhập (Penetration Test), diễn tập khôi phục thảm họa (Disaster Recovery), ban hành quy chế an toàn thông tin nội bộ.

Triển khai và kết quả

Quá trình triển khai kỹ thuật

1. Cấu hình mảng đĩa chịu lỗi trên HP Smart Array B120i

Để đảm bảo tính liên tục của dữ liệu (High Availability) tại tầng lưu trữ máy chủ, hệ thống thiết lập cơ chế ghi đĩa song song RAID 1 (Mirroring):

+-------------------------------------------------------------+
|         HP Smart Array B120i RAID Controller                |
|                           |                                 |
|            +--------------+--------------+                  |
|            |                             |                  |
|     +------v-------+              +------v-------+          |
|     |  Port 1:     |  Mirroring   |  Port 2:     |          |
|     |  HDD 0 (1TB) | <==========> |  HDD 1 (1TB) |          |
|     |  Primary OS  |  (RAID 1)    |  Redundant   |          |
|     |  & Database  |              |  Copy Data   |          |
|     +--------------+              +--------------+          |
+-------------------------------------------------------------+

2. Cấu hình luật tường lửa pfSense (Packet Filtering & NAT Rule)

Hệ thống pfSense được cấu hình để drop toàn bộ các gói tin không rõ nguồn gốc trên giao diện WAN, chỉ cho phép luồng lưu lượng đã được xác thực qua VPN và phân giải qua Reverse Proxy:

<!-- Trích đoạn cấu hình pfSense Filter Rule chặn truy cập bất thường và định tuyến an toàn -->
<filter>
  <rule>
    <id>10001</id>
    <type>pass</type>
    <interface>lan</interface>
    <ipprotocol>inet</ipprotocol>
    <statetype>keep state</statetype>
    <direction>in</direction>
    <source>
      <network>lan</network>
    </source>
    <destination>
      <any></any>
    </destination>
    <descr><![CDATA[Allow LAN to Internet with State Tracking]]></descr>
  </rule>
  <rule>
    <id>10002</id>
    <type>block</type>
    <interface>wan</interface>
    <max-src-conn-rate>10</max-src-conn-rate>
    <max-src-conn-rates>5</max-src-conn-rates>
    <descr><![CDATA[Mitigate DoS/Syn-Flood on WAN Interface]]></descr>
  </rule>
</filter>

3. Script tự động hóa quy trình sao lưu dữ liệu (Automated Differential Backup)

Để giải quyết triệt để tình trạng backup thủ công, hệ thống sử dụng kịch bản PowerShell kết hợp nén mã hóa 7-Zip và đẩy lên hạ tầng lưu trữ phân tách:

# Kịch bản sao lưu định kỳ CSDL và Mã hóa bảo mật AES-256
$SourceDir = "C:\MISA_Data\Backup\"
$DestinationDir = "\\BackupServer\SecureBackup\"
$LogFile = "C:\Scripts\Logs\BackupLog_$(Get-Date -Format 'yyyyMMdd').log"
$Password = "TungBac@Sec2015#Encrypted"

Try {
    Add-Content $LogFile "[$(Get-Date)] Bắt đầu tiến trình trích xuất và nén CSDL..."
    $ArchiveName = "$DestinationDir\DB_Backup_$(Get-Date -Format 'yyyyMMdd_HHmm').7z"
    
    # Thực hiện nén mã hóa chuẩn AES-256
    & "C:\Program Files\7-Zip\7z.exe" a -p$Password -mhe=on $ArchiveName $SourceDir
    
    Add-Content $LogFile "[$(Get-Date)] Sao lưu thành công: $ArchiveName"
} Catch {
    Add-Content $LogFile "[$(Get-Date)] LỖI: $($_.Exception.Message)"
}

Kiểm thử và đánh giá hiệu năng

Hệ thống được đưa vào kiểm thử tải (Stress test), quét lỗ hổng bằng Nmap và thử nghiệm ngắt kết nối vật lý để đo lường khả năng chịu lỗi:

+-----------------------------------------------------------------------------+
|                   KẾT QUẢ ĐO LƯỜNG HIỆU NĂNG VÀ BẢO MẬT                     |
+------------------------------+--------------------+-------------------------+
| Chỉ số đo lường (Benchmark)  | Hệ thống cũ (2013) | Hệ thống sau nâng cấp   |
+------------------------------+--------------------+-------------------------+
| Số cổng dịch vụ hở trên WAN  | 8 cổng (RDP, HTTP) | 0 cổng (Chỉ mở OpenVPN) |
| Độ trễ xử lý máy chủ (MS SQL)| 185 ms             | 22 ms (Giảm 88.1%)      |
| Thời gian khôi phục (RTO)    | > 24 giờ           | < 25 phút               |
| Điểm phục hồi dữ liệu (RPO)  | 7 - 30 ngày        | <= 24 giờ               |
| Thông lượng mạng LAN         | 100 Mbps           | 1000 Mbps (Gigabit)     |
| Khả năng chịu lỗi ổ cứng     | 0% (Hỏng là mất)   | 100% (Hot-swap RAID 1)  |
+------------------------------+--------------------+-------------------------+

Độ trễ truy vấn CSDL (ms):
Hệ thống cũ:       [==================================================] 185 ms
Hệ thống đề xuất:  [======] 22 ms (-88.1%)

Thời gian khôi phục thảm họa RTO (phút):
Hệ thống cũ:       [==================================================] 1440 ph (24h)
Hệ thống đề xuất:  [=] 25 ph (-98.2%)

Đổi mới và đóng góp

1. Cải tiến kỹ thuật nổi bật

  • Triển khai giải pháp Tường lửa nguồn mở lớp doanh nghiệp (Enterprise UTM) chi phí 0 đồng tiền bản quyền: Thay vì đầu tư các dòng tường lửa phần cứng đắt đỏ ngoài ngân sách của một SME, đề tài đã chứng minh tính khả thi vượt trội của pfSense trong việc chặn đứng các cuộc tấn công quét cổng, kiểm soát băng thông theo lịch trình và quản lý truy cập VPN từ xa an toàn.
  • Kiến trúc chuyển đổi phần cứng tối ưu chi phí: Lựa chọn dòng máy chủ HP ProLiant DL160 Gen8 với CPU Intel Xeon E5-1230v3 (3.3GHz/4-core/8-thread) mang lại hiệu năng gấp đôi nhưng mức chi phí chỉ tương đương 15.5 triệu đồng, tương thích hoàn toàn với cấu trúc mạng hiện tại.
  • Mô hình phân quyền đa tầng và sao lưu 3-2-1: Thiết lập quy chế an ninh dữ liệu khép kín: Dữ liệu được mã hóa đường truyền bằng SSL/TLS, xác thực người dùng qua phân quyền chi tiết của MISA SME.NET 2015, và sao lưu tự động định kỳ 3 cấp độ (Local -> Storage Server -> Cloud Archive).

2. So sánh với các giải pháp trên thị trường

+-----------------------------------------------------------------------------+
|            SO SÁNH CÁC GIẢI PHÁP BẢO VỆ BIÊN CHO DOANH NGHIỆP VỪA VÀ NHỎ   |
+--------------------+--------------------+--------------------+--------------+
| Tiêu chí so sánh   | Cisco ASA 5505 /   | Microsoft TMG /    | pfSense      |
|                    | PIX Firewall       | ISA Server         | (Giải pháp)  |
+--------------------+--------------------+--------------------+--------------+
| Chi phí bản quyền  | Rất cao (>30 triệu)| Cao (Yêu cầu CALs) | 0 VNĐ        |
| Tính linh hoạt     | Phụ thuộc phần cứng| Chạy trên Windows  | Độc lập trên |
|                    | chuyên dụng        | Server             | nền FreeBSD  |
| Hỗ trợ OpenVPN/SSL | Giới hạn kết nối   | Cấu hình phức tạp  | Không giới   |
|                    | theo license       |                    | hạn kết nối  |
| Tiêu tốn phần cứng | Cố định            | Yêu cầu RAM/CPU cao| Rất nhẹ      |
+--------------------+--------------------+--------------------+--------------+

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

Hệ thống sau khi thiết kế đáp ứng hoàn hảo cho chuỗi quy trình tác nghiệp của Công ty TNHH MTV Tùng Bắc:

  • Nhân viên kinh doanh & Kỹ thuật tại công trường: Truy cập dữ liệu khối lượng, tiến độ công trình từ xa thông qua kênh truyền mạng riêng ảo OpenVPN được mã hóa AES-256 trên thiết bị di động/laptop mà không làm lộ địa chỉ IP nội bộ của máy chủ.
  • Phòng Kế toán - Tài chính: Xử lý hóa đơn, báo cáo thuế và chứng từ thu chi trên phần mềm MISA SME.NET được bảo vệ sau vùng mạng LAN bảo mật, tách biệt với lưu lượng mạng khách vãng lai qua cơ chế VLAN.
  • Ban Giám đốc: Giám sát camera an ninh (Sony SSC-G103), theo dõi báo cáo doanh thu tức thời từ xa an toàn 24/7 thông qua Reverse Proxy tích hợp chứng chỉ SSL.
+-----------------------------------------------------------------------------+
|                  TÍNH TOÁN HIỆU QUẢ KINH TẾ (COST-BENEFIT / ROI)            |
+------------------------------------+----------------------------------------+
| Hạng mục chi phí                   | Giá trị ước tính (VNĐ)                 |
+------------------------------------+----------------------------------------+
| Nâng cấp Server HP ProLiant Gen8   | 15,500,000 VNĐ                         |
| Thiết bị mạng & Cáp Gigabit        | 3,500,000 VNĐ                          |
| Bản quyền MISA SME.NET 2015        | 9,900,000 VNĐ                          |
| Chi phí triển khai pfSense & Backup| 0 VNĐ (Tận dụng nguồn mở)              |
| TỔNG MỨC ĐẦU TƯ                   | ~ 28,900,000 VNĐ                       |
+------------------------------------+----------------------------------------+
| LỢI ÍCH ĐỊNH LƯỢNG MANG LẠI (ROI):                                          |
|  - Tránh nguy cơ gián đoạn hoạt động: Tiết kiệm ước tính ~120,000,000 VNĐ/năm |
|    (Chi phí phạt chậm tiến độ công trình hoặc mất dữ liệu kế toán thuế).    |
|  - Thời gian hoàn vốn đầu tư (Payback Period): < 4 tháng vận hành.          |
+-----------------------------------------------------------------------------+

Hạn chế và hướng phát triển

Hạn chế còn tồn tại

  • Hạ tầng đường truyền đơn lẻ: Hệ thống vẫn phụ thuộc vào 01 đường truyền ADSL duy nhất của một nhà mạng, chưa triển khai cơ chế Multi-WAN cân bằng tải và chịu lỗi khi đứt cáp quang.
  • Phụ thuộc vào ý thức người dùng: Khảo sát cho thấy yếu tố con người (Social Engineering) vẫn là mắt xích yếu; nhân viên vẫn có thói quen chia sẻ mật khẩu truy cập nội bộ hoặc cắm thiết bị lưu trữ ngoài chưa qua quét virus.

Hướng phát triển trong tương lai

  1. Nâng cấp Multi-WAN Failover: Bổ sung đường truyền dự phòng thứ 2 (kết hợp mạng cáp quang FTTH và 4G/5G Gateway) trên pfSense để đảm bảo mạng thông suốt 99.99%.
  2. Chuyển đổi số toàn diện lên Cloud ERP: Định hướng di chuyển phần mềm kế toán sang nền tảng đám mây hợp nhất MISA AMIS nhằm đồng bộ dữ liệu đa chi nhánh theo thời gian thực.
  3. Tích hợp hệ thống quản lý danh tính tập trung (LDAP / Active Directory): Quản lý định danh, chính sách bảo mật máy trạm và tự động hóa cập nhật bản vá bảo mật (Windows Update / Patch Management) trên quy mô toàn công ty.

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------+
|                          ĐỐI TƯỢNG HƯỞNG LỢI DỰ ÁN                          |
+-------------------+---------------------------------------------------------+
| Đối tượng         | Giá trị mang lại                                        |
+-------------------+---------------------------------------------------------+
| Sinh viên &       | Cung cấp case-study mẫu về giải bài toán bảo mật HTTT   |
| Giảng viên        | cho doanh nghiệp SMEs với số liệu thực nghiệm đầy đủ.   |
+-------------------+---------------------------------------------------------+
| Chuyên viên Quản  | Kiến trúc tham chiếu chi tiết về triển khai pfSense,    |
| trị Mạng / SysAdmin| cấu hình phần cứng máy chủ HP và kịch bản backup tự động|
+-------------------+---------------------------------------------------------+
| Doanh nghiệp vừa  | Mô hình an toàn thông tin tối ưu chi phí, hoàn vốn nhanh|
| và nhỏ (SMEs)     | và bảo vệ an toàn tài sản dữ liệu cốt lõi.              |
+-------------------+---------------------------------------------------------+

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai tường lửa pfSense trong mô hình này là gì?

pfSense hoạt động trên nền tảng FreeBSD được tối ưu hóa cao. Để đáp ứng quy mô từ 20-50 máy trạm, chỉ cần một máy tính xách tay/PC cũ hoặc máy chủ chuyên dụng cấu hình tối thiểu: CPU Intel Core 2 Duo hoặc tương đương, 2GB RAM, ổ cứng 40GB và bắt buộc có ít nhất 02 cổng mạng Ethernet (1 cổng WAN kết nối Modem, 1 cổng LAN kết nối Switch nội bộ).

2. Khi một ổ cứng trên máy chủ HP ProLiant DL160 Gen8 bị hỏng, quy trình xử lý như thế nào?

Nhờ cơ chế RAID 1 trên bộ điều khiển HP Smart Array B120i, khi một ổ cứng gặp sự cố, hệ thống vẫn hoạt động liên tục bình thường từ ổ cứng còn lại mà không bị gián đoạn (zero downtime). Quản trị viên chỉ cần rút nóng (hot-swap) ổ cứng hỏng, thay thế bằng một ổ cứng mới có cùng dung lượng; mảng RAID sẽ tự động đồng bộ lại dữ liệu (auto-rebuild).

3. Giải pháp pfSense và OpenVPN có thể chống lại các cuộc tấn công từ chối dịch vụ (DDoS) không?

pfSense tích hợp các bộ lọc stateful packet tracking giúp giới hạn số lượng kết nối đồng thời từ một địa chỉ IP (max-src-conn-rate), ngăn chặn hiệu quả các đợt tấn công SYN Flood và Ping of Death quy mô vừa và nhỏ. Với kết nối từ xa, OpenVPN sử dụng giao thức mã hóa HMAC (TLS-Auth) giúp loại bỏ hoàn toàn các gói tin giả mạo trước khi chúng kịp tiếp cận tới tầng giải mã.

4. Chi phí bảo trì hàng năm của hệ thống an toàn bảo mật này là bao nhiêu?

Hệ sinh thái đề xuất chủ yếu dựa trên nền tảng mã nguồn mở (pfSense, OpenSSL, 7-Zip script) nên chi phí bản quyền bảo mật định kỳ bằng 0 VNĐ. Chi phí duy trì hàng năm chỉ bao gồm: gia hạn bản quyền phần mềm kế toán MISA, phần mềm diệt virus BKAV Pro (~300,000 VNĐ/máy trạm/năm) và chi phí bảo dưỡng vật lý phần cứng máy chủ.

5. Tại sao không chuyển toàn bộ dữ liệu lên Public Cloud (Google Drive, Dropbox) thay vì dùng máy chủ nội bộ?

Đối với doanh nghiệp sản xuất và xây dựng như Tùng Bắc, dữ liệu tài chính, hồ sơ đấu thầu và kế toán đòi hỏi tính bảo mật cao và tốc độ truy xuất cục bộ tức thời qua mạng LAN. Việc triển khai máy chủ nội bộ kết hợp mã hóa sao lưu định kỳ lên đám mây (Mô hình Hybrid Backup) vừa đảm bảo tốc độ làm việc cao nhất, vừa tuân thủ quyền riêng tư dữ liệu và kiểm soát toàn bộ hạ tầng.

Kết luận

Đề tài khóa luận tốt nghiệp của sinh viên Nguyễn Thị Tường Vi đã giải quyết thành công và trọn vẹn bài toán hóc búa về đảm bảo an toàn, bảo mật thông tin cho Công ty TNHH MTV Tùng Bắc. Bằng phương pháp tiếp cận thực tế, kết hợp hài hòa giữa cơ sở lý luận an ninh thông tin chuẩn mực và hiện trạng thực tiễn tại doanh nghiệp, nghiên cứu đã đề xuất một hệ thống giải pháp toàn diện trên cả 3 trụ cột: Phần cứng - Phần mềm - Con người.

Việc chuyển đổi sang máy chủ HP ProLiant DL160 Gen8 với mảng đĩa RAID 1, thiết lập "lá chắn thép" tường lửa pfSense, chuẩn hóa phần mềm nghiệp vụ MISA SME.NET 2015 và tự động hóa quy trình sao lưu dữ liệu đã nâng cấp mức độ sẵn sàng và tin cậy của hệ thống lên hơn 99%. Đây không chỉ là công trình nghiên cứu có giá trị khoa học cao phục vụ tốt nghiệp mà còn là cẩm nang hướng dẫn chuyển đổi số an toàn, hiệu quả kinh tế có thể nhân rộng cho hàng ngàn doanh nghiệp vừa và nhỏ tại Việt Nam.