Giới thiệu dự án

Trong bối cảnh chuyển đổi số và phát triển kinh tế vùng, các doanh nghiệp vừa và nhỏ (SME) tại Việt Nam đang đối mặt với làn sóng tấn công mạng ngày càng tinh vi. Theo thống kê từ Hiệp hội An toàn thông tin Việt Nam (VNISA), có hơn 68% doanh nghiệp vừa và nhỏ từng ghi nhận sự cố gián đoạn dịch vụ do mã độc (Malware) hoặc tấn công từ chối dịch vụ (DoS/DDoS). Tại Công ty TNHH MTV Tùng Bắc (Bắc Giang) – một doanh nghiệp hoạt động trong lĩnh vực cơ giới xây dựng và chế biến khoáng sản với 30 cán bộ nhân viên và 18 máy trạm kết nối mạng – hạ tầng thông tin đối mặt với nhiều lỗ hổng nghiêm trọng: máy chủ HP ProLiant vận hành từ năm 2009 xuống cấp, hơn 80% phần mềm nghiệp vụ là bản miễn phí không có bản quyền bảo mật, mạng LAN dạng Bus không phân vùng (VLAN) và thiếu hoàn toàn cơ chế mã hóa kênh truyền (SSL/TLS) lẫn chính sách sao lưu dự phòng (Backup & Disaster Recovery).

Đề tài khóa luận "Một số giải pháp đảm bảo an toàn, bảo mật cho Hệ thống thông tin Quản lý của Công ty TNHH MTV Tùng Bắc" (Chuyên ngành Hệ thống Thông tin Kinh tế) tập trung giải quyết bài toán cốt lõi: Làm thế nào để xây dựng một kiến trúc an toàn thông tin toàn diện, đáp ứng bộ tiêu chuẩn tam giác CIA (Confidentiality – Integrity – Availability) với ngân sách tối ưu cho doanh nghiệp SME.

Mục tiêu cụ thể của dự án:

  1. Đánh giá toàn diện thực trạng lỗ hổng phần cứng, phần mềm, kênh truyền và nhận thức con người tại 5 phòng ban doanh nghiệp thông qua phương pháp định lượng và định tính.
  2. Thiết kế và triển khai kiến trúc an ninh mạng đa tầng (Multi-layered Defense) tích hợp tường lửa mã nguồn mở pfSense, phân chia vùng mạng DMZ/Inside/Outside.
  3. Chuẩn hóa hạ tầng máy chủ lên dòng HP ProLiant Gen8 với cấu hình RAID 1/1+0, thiết lập kênh truyền riêng ảo VPN và mã hóa dữ liệu đầu cuối qua giao thức SSL.
  4. Xây dựng quy trình sao lưu dữ liệu tự động 3-2-1 kết hợp lưu trữ cục bộ và điện toán đám mây, nâng cao nhận thức bảo mật cho 100% cán bộ nhân viên.

Phạm vi nghiên cứu tập trung vào hệ thống mạng nội bộ, cơ sở dữ liệu kế toán - bán hàng (Effect-Standard, Perfect Sales, MISA SME) và luồng dữ liệu tác nghiệp tại trụ sở chính Công ty TNHH MTV Tùng Bắc trong giai đoạn 2011–2013 và định hướng mở rộng 5 năm tiếp theo.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực nghiệm từ 10 phiếu điều tra chuyên sâu và phỏng vấn cán bộ quản lý tại Công ty Tùng Bắc ghi nhận: 50% nhân sự đánh giá tốc độ máy chủ ở mức trung bình/kém, 60% đánh giá an toàn mạng nội bộ ở mức trung bình, và 70% phản ánh nguy cơ mã độc/tấn công quá tải mạng thường xuyên diễn ra.

+------------------------+------------------------------------+------------------------------------+
| Tiêu chí so sánh       | Giải pháp truyền thống (Hiện trạng)| Giải pháp đề xuất (pfSense & RAID) |
+------------------------+------------------------------------+------------------------------------+
| Tường lửa & Kiểm soát  | NAT cơ bản trên Router ADSL TP-Link| pfSense Firewall L3/L4/L7, Snort   |
| Kênh truyền từ xa      | Không có (Mở port trực tiếp)       | OpenVPN AES-256-CBC, SSL/TLS       |
| Tính sẵn sàng dữ liệu  | Không sao lưu, 1 ổ cứng đơn lẻ     | RAID 1 (HP Smart Array B120i) + NAS|
| Phân quyền truy cập    | Chia sẻ dùng chung (Workgroup)     | Phân quyền thư mục, Reverse Proxy  |
| Chi phí bản quyền      | 0 VNĐ (Dùng phần mềm rủi ro cao)   | Tối ưu (~15 - 20 triệu VNĐ phần cứng)|
+------------------------+------------------------------------+------------------------------------+

Yêu cầu người dùng được phân loại theo ma trận MoSCoW:

  • Must have: Tường lửa ngăn chặn quét cổng và DoS, mã hóa dữ liệu truyền tải SSL, nâng cấp RAM/CPU máy chủ và cơ chế RAID chống hỏng ổ đĩa vật lý.
  • Should have: Thiết lập mạng riêng ảo VPN cho giám đốc và nhân viên kinh doanh truy cập từ xa an toàn, phần mềm kế toán có bản quyền bảo mật (MISA SME.NET 2015).
  • Could have: Tích hợp Reverse Proxy và cân bằng tải WAN song hành (Failover).
  • Won't have: Hệ thống bảo mật phần cứng chuyên dụng cao cấp (Cisco ASA, CheckPoint) do rào cản ngân sách vượt quá định mức đầu tư của doanh nghiệp.

Thiết kế hệ thống

Kiến trúc an ninh tổng thể được thiết kế theo mô hình 4 lớp bảo mật sâu (Defense-in-Depth):

+-------------------------------------------------------------------------+
|                              INTERNET                                   |
+-------------------------------------------------------------------------+
                                    |
                         [Router ADSL / Gateway]
                                    |
             +-----------------------------------------------+
             |     pfSense Open-Source Security Gateway      |
             |  - Packet Filtering (L3/L4/L7) - Snort IDS/IPS |
             |  - NAT/PAT Engine             - OpenVPN Server|
             +-----------------------------------------------+
                     /              |               \
                    /               |                \
   +-------------------+  +-------------------+  +-------------------+
   | Vùng Mạng Inside  |  |   Vùng Mạng DMZ   |  |  Vùng Không Dây   |
   | (192.168.1.0/24)  |  | (192.168.10.0/24) |  |   (WLAN - WPA2)   |
   | - 18 Máy trạm     |  | - Web Server      |  | - Laptop di động  |
   | - Máy in/Phòng ban|  | - Reverse Proxy   |  | - Camera IP       |
   +-------------------+  +-------------------+  +-------------------+
            |                       |
            +-----------+-----------+
                        |
            +-----------------------+
            |  HP ProLiant Server   |
            |  - Database Storage   |
            |  - Smart Array RAID 1 |
            +-----------------------+

Công nghệ và phần cứng triển khai bao gồm:

  • Máy chủ trung tâm: HP ProLiant DL160 Gen8, CPU Intel Xeon E5-2620 (2.0GHz, 6-core, 15MB Cache), 8GB DDR3-1333 ECC UDIMM, HP Smart Array B120i SATA Controller (cấu hình RAID 1 Mirroring).
  • Gateway Firewall OS: pfSense Community Edition v2.2.x nền FreeBSD, tích hợp gói Snort IDS/IPS Engine, Squid Reverse Proxy.
  • Phần mềm nghiệp vụ & Bảo mật: MISA SME.NET 2015, BKAV Pro Endpoint Centralized Management, giao thức truyền thông OpenSSL v1.0.1l (TLS 1.2).

Methodology

Dự án áp dụng phương pháp triển khai thác nước kết hợp kiểm thử lặp (Waterfall with Iterative Validation):

  1. Khảo sát & Phân tích (Tuần 1 - 2): Thu thập dữ liệu qua bảng hỏi 10 CBNV và phỏng vấn chuyên gia quản trị; lập hồ sơ rủi ro hệ thống.
  2. Thiết kế & Lập cấu hình mẫu (Tuần 3 - 4): Xây dựng sơ đồ phân vùng mạng, cấu hình tường lửa pfSense trên máy ảo kiểm thử, tính toán tải I/O cho máy chủ.
  3. Triển khai & Chuyển giao (Tuần 5 - 6): Lắp ráp server HP Gen8, đóng gói dữ liệu kế toán, triển khai pfSense thực địa, cấu hình phân quyền người dùng.
  4. Đánh giá & Tối ưu (Tuần 7 - 8): Kiểm thử tải, rà quét lỗ hổng và tổ chức đào tạo nhận thức an toàn thông tin cho nhân sự.

Implementation và kết quả

Development process

Quá trình hiện thực hóa giải pháp tập trung vào 3 mắt xích công nghệ trọng yếu: cấu hình phân luồng tường lửa, mã hóa đường truyền VPN và tự động hóa sao lưu cơ sở dữ liệu.

Cấu hình mẫu tường lửa pfSense bằng tệp tin quy tắc lọc gói tin và dịch địa chỉ mạng (NAT/PAT):

<!-- pfSense NAT/PAT & Port Forwarding Configuration Rule -->
<nat>
  <rule>
    <source><any></any></source>
    <destination>
      <network>wanip</network>
      <port>443</port>
    </destination>
    <protocol>tcp</protocol>
    <target>192.168.10.15</target>
    <local-port>443</local-port>
    <interface>wan</interface>
    <descr>NAT Inbound HTTPS to DMZ Internal Reverse Proxy</descr>
    <associated-rule-id>pass_dmz_ssl</associated-rule-id>
  </rule>
</nat>
<filter>
  <rule>
    <id>pass_dmz_ssl</id>
    <action>pass</action>
    <interface>wan</interface>
    <protocol>tcp</protocol>
    <source><any></any></source>
    <destination>
      <address>192.168.10.15</address>
      <port>443</port>
    </destination>
    <descr>Allow External Secure Access to DMZ</descr>
  </rule>
</filter>

Kịch bản tự động sao lưu dữ liệu kế toán định kỳ sử dụng PowerShell kết hợp nén và kiểm tra mã băm SHA-256:

# Automated Backup & Integrity Check Script for SME Database
$SourceDir = "C:\Data\MISA_DB"
$BackupDest = "\\192.168.1.200\Backup_NAS\Daily"
$DateStamp = Get-Date -Format "yyyyMMdd_HHmmss"
$ArchiveFile = "$BackupDest\DB_Backup_$DateStamp.zip"

# Nén dữ liệu
Compress-Archive -Path $SourceDir -DestinationPath $ArchiveFile -CompressionLevel Optimal

# Tạo mã Hash SHA-256 xác thực tính toàn vẹn (Integrity Check)
$FileHash = (Get-FileHash -Path $ArchiveFile -Algorithm SHA256).Hash
Set-Content -Path "$BackupDest\DB_Backup_$DateStamp.sha256" -Value $FileHash

Write-Output "Backup completed successfully at $DateStamp with SHA256: $FileHash"

Testing và validation

Hiệu năng hệ thống được kiểm thử thực tế qua các kịch bản mô phỏng áp lực tải và quét an ninh:

  • Kiểm thử rà quét cổng (Nmap Port Scan): Khi chưa có pfSense, 100% các cổng mở (80, 445, 139, 3389) bị lộ ra Internet. Sau khi kích hoạt pfSense, toàn bộ các cổng chuyển sang trạng thái Filtered/Closed, ngăn chặn hoàn toàn 15 đợt quét thăm dò bên ngoài.
  • Tốc độ đọc ghi cơ sở dữ liệu (I/O Performance): Hệ thống RAID 1 trên HP Smart Array B120i đạt tốc độ đọc tuần tự 185 MB/s và ghi 142 MB/s, tăng 140% so với ổ cứng đơn SATA II đời cũ (58 MB/s).
  • Kiểm thử sao lưu phục hồi (Disaster Recovery): Thời gian khôi phục toàn bộ 25 GB dữ liệu kế toán và kinh doanh từ bản sao lưu NAS chỉ mất 18 phút, đáp ứng chỉ tiêu RTO (Recovery Time Objective) < 30 phút.
+------------------------------+---------------+----------------+--------------+
| Chỉ số đo lường (Metrics)   | Trước cải tiến| Sau triển khai | Mức cải thiện|
+------------------------------+---------------+----------------+--------------+
| Tốc độ phản hồi CSDL (ms)    | 120 - 150 ms  | 25 - 35 ms     | Nhanh hơn 78%|
| Thời gian gián đoạn mạng/tháng| 14.5 giờ      | < 0.5 giờ      | Giảm 96.5%   |
| Tỷ lệ phát hiện mã độc tập trung| 35% (Rời rạc) | 98.5% (BKAV SE)| Tăng 181%    |
| Tần suất sao lưu dữ liệu     | Thủ công/Tháng| Tự động/Ngày   | Nâng 30 lần  |
+------------------------------+---------------+----------------+--------------+

Kết quả đạt được

Dự án đã hoàn thành 100% các mục tiêu đề ra:

  • Khắc phục triệt để tình trạng nghẽn cổ chai dữ liệu tại máy chủ phòng giám đốc, nâng cao năng suất tác nghiệp tại 5 phòng ban.
  • Thiết lập hàng rào phòng thủ đa tầng ngăn chặn 99.2% các hành vi xâm nhập trái phép qua mạng ADSL.
  • Hoàn thiện tài liệu hóa quy định an toàn thông tin nội bộ, nâng tỷ lệ nhân viên nhận thức về tấn công kỹ thuật xã hội (Social Engineering/Phishing) từ 30% lên 90%.

Đổi mới và đóng góp

  1. Ứng dụng tường lửa mã nguồn mở thế hệ mới cho SME: Thay vì đầu tư các thiết bị phần cứng đóng gói đắt đỏ (vượt quá ngân sách 50–100 triệu VNĐ), việc tùy biến pfSense trên phần cứng tiêu chuẩn giúp doanh nghiệp tiết kiệm 80% chi phí CAPEX mà vẫn sở hữu đầy đủ tính năng của tường lửa doanh nghiệp (NAT/PAT, Stateful Packet Inspection, VPN IPsec/OpenVPN, Dynamic DNS, Traffic Shaping).
  2. Chuẩn hóa quy trình an toàn thông tin theo chu trình khép kín: Đồ án không chỉ dừng lại ở giải pháp kỹ thuật đơn lẻ mà đề xuất mô hình quản trị an toàn thông tin tổng thể kết hợp "Con người – Quy trình – Công nghệ", từ cơ chế phòng vệ chủ động (Proactive Protection) đến quy trình ứng cứu sự cố ổ cứng và khôi phục sau thảm họa.
  3. Giải pháp đường truyền mã hóa chi phí thấp: Mô hình kết nối chi nhánh và người dùng di động thông qua OpenVPN SSL kết hợp Reverse Proxy giúp giải quyết bài toán truy cập dữ liệu máy chủ từ xa an toàn tuyệt đối mà không cần thuê kênh truyền riêng Leased Line đắt đỏ.

Ứng dụng thực tế và triển khai

Giải pháp được đóng gói để sẵn sàng triển khai tại Công ty TNHH MTV Tùng Bắc và các doanh nghiệp SME có quy mô từ 15 đến 50 máy trạm với lộ trình 3 giai đoạn:

+------------------------------------------------------------------------------------+
|                         LỘ TRÌNH TRIỂN KHAI VÀ ĐẦU TƯ                              |
+------------------------------------------------------------------------------------+
| Giai đoạn 1: Chuẩn hóa nền tảng (Tháng 1 - Tháng 2)                                 |
| - Lắp đặt Server HP ProLiant Gen8, thiết lập RAID 1.                               |
| - Cài đặt pfSense Gateway, cấu hình tách VLAN phòng Kế toán & Kinh doanh.          |
| - Chi phí ước tính: 18.500.000 VNĐ.                                                |
+------------------------------------------------------------------------------------+
| Giai đoạn 2: Nâng cấp phần mềm & Mã hóa (Tháng 3 - Tháng 4)                        |
| - Triển khai phần mềm MISA SME.NET 2015 bản quyền.                                 |
| - Kích hoạt SSL/TLS trên hệ thống mạng và cài đặt BKAV Endpoint Server.             |
| - Chi phí ước tính: 12.000.000 VNĐ.                                                |
+------------------------------------------------------------------------------------+
| Giai đoạn 3: Giám sát, Sao lưu Đám mây & Đào tạo (Tháng 5 - Tháng 6)               |
| - Thiết lập Cloud Backup tự động (Google Workspace/AWS S3).                        |
| - Tổ chức tập huấn an toàn thông tin định kỳ cho 30 nhân viên.                     |
| - Chi phí ước tính: 4.500.000 VNĐ/năm.                                             |
+------------------------------------------------------------------------------------+

Phân tích hiệu quả tài chính (Cost-Benefit Analysis): Tổng mức đầu tư giai đoạn đầu khoảng 35.000.000 VNĐ. Giải pháp giúp loại bỏ rủi ro thất thoát dữ liệu kế toán (ước tính thiệt hại trung bình 150.000.000 VNĐ nếu xảy ra sự cố hỏng hóc hay tấn công mã hóa tống tiền Ransomware), mang lại tỷ suất hoàn vốn ROI đạt trên 300% ngay trong năm đầu tiên vận hành.

Hạn chế và hướng phát triển

Mặc dù giải pháp đạt hiệu quả thực tiễn cao, một số hạn chế nội tại cần được nhìn nhận:

  • Ràng buộc phần cứng: Chưa trang bị hệ thống máy chủ dự phòng vật lý (Failover Cluster); khi máy chủ chính gặp sự cố bo mạch chủ, thời gian chờ thay thế linh kiện có thể kéo dài.
  • Hạ tầng đường truyền: Công ty vẫn phụ thuộc vào một đường truyền ADSL đơn lẻ của VNPT, chưa cấu hình cân bằng tải đa nhà mạng (Dual-WAN Load Balancing).
  • Hệ điều hành máy trạm: Đa số máy tính văn phòng vẫn chạy hệ điều hành Windows 7 (đã dần hết hạn hỗ trợ cập nhật bảo mật từ Microsoft).

Hướng nghiên cứu và nâng cấp tiếp theo:

  1. Nâng cấp toàn diện máy trạm lên Windows 10/11 64-bit có kích hoạt BitLocker Drive Encryption.
  2. Thiết lập đường truyền Internet thứ hai (Viettel/FPT) tích hợp tính năng Multi-WAN Failover trên pfSense để đảm bảo tính sẵn sàng 99.9%.
  3. Nghiên cứu tích hợp hệ thống xác thực tập trung Windows Server Active Directory kết hợp cơ chế xác thực đa yếu tố (2FA/MFA) cho toàn bộ phiên truy cập VPN từ xa.

Đối tượng hưởng lợi

  • Doanh nghiệp vừa và nhỏ (SME): Nhận được một bản thiết kế hệ thống an toàn thông tin hoàn chỉnh, khả thi, chi phí thấp, giúp bảo vệ dữ liệu kinh doanh và nâng cao vị thế uy tín trên thị trường.
  • Sinh viên ngành Hệ thống Thông tin / CNTT: Cung cấp tài liệu tham khảo thực tế về phương pháp luận khảo sát, phân tích số liệu điều tra và kỹ thuật cấu hình hệ thống bảo mật doanh nghiệp thực chiến.
  • Kỹ sư mạng & Quản trị hệ thống (System Administrators): Nắm bắt kiến trúc tích hợp pfSense, kỹ thuật cấu hình RAID Server HP và quy trình tự động hóa sao lưu dự phòng đáng tin cậy.
  • Nhà nghiên cứu: Bổ sung dữ liệu thực nghiệm về thực trạng an toàn thông tin tại các doanh nghiệp ngoài đô thị lớn tại Việt Nam.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai tường lửa pfSense cho doanh nghiệp 30–50 người là gì?
pfSense hoạt động rất tối ưu. Doanh nghiệp chỉ cần một máy tính chuyên dụng hoặc mini-PC có vi xử lý Intel Core i3 (hoặc Atom/Celeron đa nhân), 4GB RAM, 64GB SSD và tối thiểu 2 cổng mạng Gigabit Ethernet (1 cổng WAN kết nối Modem, 1 cổng LAN kết nối Switch nội bộ).

2. Làm thế nào để đảm bảo dữ liệu kế toán không bị lộ lọt khi nhân viên làm việc từ xa?
Toàn bộ kết nối từ xa bắt buộc phải đi qua đường hầm OpenVPN sử dụng thuật toán mã hóa AES-256-CBC và chứng chỉ số SSL/TLS. Người dùng phải xác thực bằng tài khoản riêng biệt, không mở trực tiếp cổng máy chủ cơ sở dữ liệu (Database Port) ra Internet.

3. Tại sao doanh nghiệp nên dùng RAID 1 thay vì sao lưu thông thường qua USB?
RAID 1 sử dụng cơ chế ghi đĩa song song (Mirroring) trên 2 ổ cứng độc lập theo thời gian thực. Khi một ổ cứng bị hỏng đột ngột, hệ thống vẫn hoạt động liên tục mà không gián đoạn dịch vụ hay mất mát bất kỳ byte dữ liệu nào, trong khi sao lưu qua USB có độ trễ lớn và tiềm ẩn nguy cơ lây nhiễm mã độc chéo.

4. Chi phí duy trì hệ thống an toàn thông tin đề xuất hàng năm là bao nhiêu?
Chi phí duy trì rất thấp, chủ yếu bao gồm phí bản quyền phần mềm diệt virus tập trung (khoảng 3–5 triệu VNĐ/năm cho 20–30 máy), gói lưu trữ đám mây Cloud Backup (khoảng 1.5–2 triệu VNĐ/năm) và chi phí bảo dưỡng vệ sinh phần cứng định kỳ.

5. Thời gian hoàn vốn (ROI) của dự án được tính toán dựa trên những yếu tố nào?
ROI được tính toán dựa trên chi phí đầu tư ban đầu (~35 triệu VNĐ) so với chi phí tổn thất trực tiếp khi hệ thống ngừng trệ do virus (mất 2–3 ngày làm việc của 30 nhân viên ~ 25 triệu VNĐ) và chi phí phục hồi dữ liệu chuyên dụng nếu bị tấn công phá hoại (~50–100 triệu VNĐ/vụ).

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Thị Tường Vi dưới sự hướng dẫn của ThS. Nguyễn Thị Hội đã giải quyết trọn vẹn bài toán thực tiễn về an toàn bảo mật hệ thống thông tin tại Công ty TNHH MTV Tùng Bắc. Bằng việc kết hợp hài hòa giữa nâng cấp phần cứng máy chủ HP ProLiant Gen8 với cấu hình RAID, khai thác sức mạnh của tường lửa mã nguồn mở pfSense và chuẩn hóa quy trình phân quyền, sao lưu dữ liệu tự động, công trình đã đem lại một giải pháp an ninh thông tin đa tầng hiệu quả, chi phí thấp và giàu tính ứng dụng. Đây là mô hình chuẩn mực mà các doanh nghiệp vừa và nhỏ tại Việt Nam có thể tham khảo và áp dụng trực tiếp để bảo vệ tài sản số trong kỷ nguyên kinh tế công nghệ số.