Bối cảnh và vấn đề nghiên cứu

Trong kỷ nguyên số hóa, thông tin và dữ liệu đóng vai trò là tài sản có giá trị then chốt đối với mọi tổ chức, chính phủ, doanh nghiệp và cá nhân. Sự phát triển mạnh mẽ của môi trường Internet và hạ tầng mạng máy tính mang lại phương thức trao đổi dữ liệu nhanh chóng, thuận tiện nhưng đồng thời làm gia tăng các nguy cơ mất an toàn thông tin nghiêm trọng. Dữ liệu lưu trữ trong các kho thông tin hoặc lưu chuyển trên đường truyền đối mặt với nguy cơ bị xâm nhập, đánh cắp, làm sai lệch hoặc giả mạo. Trích dẫn số liệu từ Đội Ứng cứu Sự cố Máy tính (CERT - Computer Emergency Response Team), tác giả chỉ ra rằng số lượng các vụ tấn công mạng ngày càng gia tăng về tần suất, quy mô mở rộng và phương pháp thực hiện ngày càng tinh vi, đe dọa trực tiếp đến bí mật kinh doanh và an ninh vận hành. Trước thực trạng đó, đồ án tập trung nghiên cứu các giải pháp bảo mật mạng thông tin, trọng tâm là hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), nhằm ứng dụng bảo vệ hạ tầng mạng cho Công ty CMC (CMC Telecom).

Mục tiêu nghiên cứu tổng quát của đề tài là khảo sát toàn diện nền tảng mạng máy tính, phân tích chuyên sâu các mối đe dọa an ninh và công nghệ phát hiện xâm nhập, từ đó triển khai thực nghiệm giải pháp giám sát an toàn thông tin phù hợp với điều kiện thực tế.

Nhiệm vụ nghiên cứu được văn bản xác định cụ thể qua 4 yêu cầu cần giải quyết:

  1. Trình bày tổng quan về mạng máy tính và vấn đề an toàn cho mạng máy tính.
  2. Trình bày về các hệ thống phát hiện xâm nhập mạng đã tìm hiểu (IDS/IPS).
  3. Khảo sát hiện trạng máy tính của đơn vị (Công ty CMC Telecom).
  4. Triển khai giải pháp bảo vệ an ninh cho hệ thống mạng.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Lý thuyết mạng máy tính, các phương thức tấn công mạng, kiến trúc và cơ chế hoạt động của hệ thống phát hiện xâm nhập (IDS), hệ thống ngăn chặn xâm nhập (IPS), và phần mềm mã nguồn mở Snort.
  • Phạm vi không gian: Mạng máy tính của đơn vị thực tập tốt nghiệp là Công ty CMC Telecom.
  • Phạm vi thời gian: Đề tài được giao thực hiện từ ngày 07 tháng 11 năm 2022 và hoàn thành vào tháng 02 năm 2023.

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng nền tảng dựa trên các lý thuyết an toàn thông tin kinh điển và các tiêu chuẩn mạng quốc tế:

  • Mô hình bộ ba an ninh thông tin CIA: Phân tích ba thuộc tính nền tảng gồm Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability). Mọi giải pháp an toàn mạng đều phải đảm bảo ba trụ cột này: ngăn chặn truy cập trái phép (bí mật), ngăn ngừa sửa đổi trái phép và đảm bảo tính xác thực (toàn vẹn), duy trì khả năng truy cập dịch vụ không ngắt quãng thông qua các kỹ thuật dự phòng, cân bằng tải (sẵn sàng).
  • Kiến trúc mạng và phân tầng bảo vệ: Khảo sát các mô hình mạng khách/chủ (Client/Server), mạng ngang hàng (Peer-to-Peer); các cấu trúc liên kết mạng (Bus, Star, Ring, Mesh, Tree); mô hình kết nối các hệ thống mở OSI; kiểm soát an ninh theo 5 cấp độ: mức mạng, mức máy chủ (server), mức cơ sở dữ liệu, mức trường thông tin và mức mật mã.
  • Lý thuyết phát hiện và ngăn chặn xâm nhập: Cơ chế phân tích gói tin, nhận dạng bất thường dựa trên dấu hiệu (signature-based), nguyên lý hoạt động của hệ thống giám sát phân tán gồm các cảm biến (sensor), bộ phân tích (detection engine) và bộ cảnh báo (response).
  • Văn bản và tài liệu tham khảo nền tảng: Sử dụng các giáo trình và công trình chuyên khảo uy tín như Mật mã và an toàn thông tin: Lý thuyết và ứng dụng (Hồ Văn Canh, Lê Danh Cường, 2018), Handbook of Applied Cryptography (Menezes, Van Oorschot, Vanstone, 1999), Mật mã và an toàn thông tin (Phan Đình Diệu, 2002), Mật mã và an toàn CSDL (Trịnh Nhật Tiến, 2003).

Phương pháp nghiên cứu thực tế bao gồm:

  • Phương pháp phân tích - tổng hợp lý thuyết: Thu thập, phân loại và hệ thống hóa các tài liệu khoa học về các giao thức mạng, các dạng tấn công phổ biến, cơ chế hoạt động của tường lửa và hệ thống IDS/IPS.
  • Phương pháp thực nghiệm kỹ thuật và mô phỏng: Thiết lập mô hình thử nghiệm hệ thống phát hiện xâm nhập trên môi trường hệ điều hành mạng (Windows Server 2008), cấu hình phần mềm Snort ở chế độ NIDS, biên soạn tập luật phát hiện và tiến hành mô phỏng kịch bản tấn công (sử dụng lệnh ping và gửi các gói tin ICMP kích thước lớn) để đánh giá khả năng bắt gói và phát cảnh báo.
  • Nguồn dữ liệu: Dữ liệu kỹ thuật trích xuất trực tiếp từ các gói tin mạng, log cảnh báo từ phần mềm Snort và tài liệu ghi nhận từ tổ chức CERT.

Nội dung chính theo từng chương

Chương 1: Tổng quan về mạng máy tính và vấn đề an toàn mạng

Chương này khái quát định nghĩa, ứng dụng và các thành phần phần cứng, môi trường truyền dẫn, phần mềm trao đổi dữ liệu của mạng máy tính. Tác giả phân tích chi tiết hai kiến trúc chính (Client/Server, Peer-to-Peer), năm cấu trúc liên kết mạng (Bus, Star, Ring, Mesh, Tree) cùng các dịch vụ Internet tiêu biểu (Email, WWW, FTP, Telnet, Chat, NewsGroup, Usenet, VoIP, Video Conference, WAP).

Về an ninh mạng, chương làm rõ mô hình bộ ba CIA và phân tích chi tiết quy trình tấn công của tin tặc qua 5 giai đoạn:

  1. Thăm dò (Reconnaissance): Thu thập thông tin thụ động (vị trí, email) và chủ động (địa chỉ IP, tên miền, DNS).
  2. Quét hệ thống (Scanning): Quét cổng, quét mạng và quét các điểm yếu an ninh.
  3. Chiếm quyền điều khiển (Gaining Access): Xâm nhập mức hệ điều hành, mức ứng dụng hoặc gây từ chối dịch vụ.
  4. Duy trì điều khiển (Maintaining Access): Cài cắm trojan, rootkit, backdoor để kiểm soát lâu dài.
  5. Xóa dấu vết (Clearing Tracks): Dùng kỹ thuật che giấu thông tin (steganography), tạo đường hầm (tunneling) và chỉnh sửa tệp nhật ký (altering log file).

Chương 1 cũng tổng hợp các dạng tấn công phổ biến: phần mềm độc hại (Malware: spyware, ransomware, virus, worm); tấn công giả mạo (Phishing qua email và website, giới thiệu các công cụ hỗ trợ như SpoofGuard, Anti-phishing Domain Advisor, Netcraft); tấn công trung gian (Man-in-the-middle qua Sniffing, Packet Injection, SSL Stripping); tấn công từ chối dịch vụ (DoS/DDoS qua UDP Flood, Ping Flood, TCP SYN Flood, khuếch đại DNS); tấn công chèn mã SQL Injection; khai thác lỗ hổng Zero-Day. Đồng thời, tác giả phân chia 5 cấp độ bảo vệ (quyền truy nhập, tài khoản/mật khẩu, mã hóa dữ liệu, bảo vệ vật lý, tường lửa) và đề xuất các nhóm giải pháp bảo vệ chuyên sâu gồm: bảo mật ứng dụng (WAF, chống giả mạo giao dịch), bảo mật dữ liệu, bảo mật mạng (tường lửa UTM, phòng chống spam/virus gateway, mã hóa đường truyền L2/Voice/Fax, giám sát APTs), bảo mật đầu cuối (giám sát truy cập, mật khẩu dùng một lần OTP 30s-60s) và quản lý bảo mật tập trung (quản lý phân tích log và chính sách an ninh).

Chương 2: Các hệ thống phát hiện và ngăn chặn xâm nhập mạng

Chương 2 đi sâu vào cấu trúc và nguyên lý vận hành của IDS và IPS:

  • Hệ thống IDS: Là hệ thống giám sát lưu lượng nhằm phát hiện hoạt động trái phép, kiểm tra điểm yếu tường lửa, nhận biết tấn công nội bộ và cảnh báo cho quản trị viên. IDS gồm 3 thành phần cốt lõi: Bộ sưu tập gói tin (Information collection), Bộ phân tích xử lý gói tin (Detection - với cảm biến sensor đóng vai trò quyết định, lưu trữ profile hành vi và chữ ký tấn công) và Bộ phận cảnh báo (Response).
  • Phân loại IDS: Tác giả lập luận chi tiết về hai dòng sản phẩm chính là NIDS (giám sát mạng) và HIDS (giám sát máy chủ).
Tiêu chí Hệ thống phát hiện xâm nhập mạng (NIDS) Hệ thống phát hiện xâm nhập máy chủ (HIDS)
Vị trí thu thập Đặt tại phân đoạn mạng, card mạng ở chế độ hỗn tạp (promiscuous). Cài đặt trực tiếp trên hệ điều hành của máy chủ lưu trữ.
Nguồn dữ liệu Toàn bộ lưu lượng gói tin đi qua phân đoạn mạng kết nối. Nhật ký hệ thống (log files), kiểm toán tiến trình, lời gọi hệ thống.
Ưu điểm Giám sát diện rộng, không chiếm dụng tài nguyên máy chủ, tính độc lập cao, khó bị tấn công làm tê liệt dịch vụ sản xuất. Phân tích sâu hành vi cụ thể (lệnh thực thi, tệp tin mở), độ chính xác cao đối với truy cập nội bộ, chạy độc lập.
Nhược điểm Không đọc được gói tin mã hóa phiên (SSL/TLS), gặp khó khăn khi mạng chuyển sang IPv6, không giám sát được phân đoạn mạng khác. Chiếm dụng CPU, RAM của máy chủ; nguy cơ bị tin tặc vô hiệu hóa khi chiếm được quyền cao nhất; cấu hình cục bộ phức tạp.
  • Hệ thống IPS: Được định nghĩa là bước phát triển mở rộng của IDS, được đặt trực tiếp trên đường truyền (inline) để ngăn chặn tức thời các hoạt động độc hại theo thời gian thực kết hợp cùng tường lửa. Phân loại gồm NIPS (triển khai trước hoặc sau tường lửa để bảo vệ vùng DMZ hoặc mạng nội bộ) và HIPS (hoạt động như giải pháp antivirus chuyên sâu, ngăn chặn thay đổi tệp tin cấu hình máy chủ).

Chương 3: Ứng dụng và giải pháp bảo mật cho mạng máy tính của Công ty CMC

Chương 3 trình bày việc chuyển giao lý thuyết vào môi trường thực tế tại Công ty CMC Telecom. Tác giả lựa chọn công cụ Snort – phần mềm phát hiện xâm nhập mạng mã nguồn mở phổ biến. Nội dung tập trung làm rõ kiến trúc phân tích gói tin của Snort, cấu trúc cú pháp luật (Rule Header gồm hành động, giao thức, địa chỉ IP nguồn/đích, cổng và Rule Options gồm các thông điệp cảnh báo, kích thước gói tin).

Tác giả tiến hành cài đặt Snort trên hệ điều hành Windows Server 2008, cấu hình tệp snort.conf và kích hoạt hệ thống vận hành ở chế độ IDS. Trong phần mô phỏng kịch bản tấn công, đồ án ghi lại quá trình máy attacker thực hiện gửi các gói tin ICMP kích thước lớn (1300 byte) nhằm kiểm tra khả năng phát hiện của bộ luật Snort. Kết quả hiển thị cho thấy Snort đã ghi lại vết tấn công vào tệp log và đưa ra thông báo cảnh báo tức thời trên giao diện dòng lệnh.

Bên cạnh giải pháp kỹ thuật, chương 3 đề xuất bộ quy trình 8 bước nhằm đảm bảo an toàn thông tin cho người dùng đầu cuối tại đơn vị:

  1. Đặt mật khẩu máy tính và ứng dụng đủ độ phức tạp.
  2. Cài đặt và sử dụng phần mềm diệt virus có bản quyền.
  3. Cập nhật hệ điều hành và phần mềm thường xuyên để vá lỗ hổng.
  4. Mã hóa các dữ liệu tối quan trọng trên thiết bị lưu trữ.
  5. Thiết lập bảo mật cho mạng không dây tại nơi làm việc và gia đình.
  6. Thiết lập cơ chế bảo vệ máy tính, chống truy cập vật lý trái phép từ người khác.
  7. Sử dụng công cụ xóa hoàn toàn tập tin nhạy cảm để tránh khôi phục trái phép.
  8. Thiết lập các chính sách an toàn thông tin tập trung trên hệ thống máy tính.

Thiết kế và triển khai

Hệ thống giám sát an ninh mạng được thiết kế và triển khai theo mô hình NIDS thực nghiệm với các thành phần cụ thể:

  • Công nghệ nền tảng: Sử dụng phần mềm Snort hoạt động ở chế độ phát hiện xâm nhập (IDS Mode), phối hợp với công cụ thu thập gói tin tầng mạng WinPcap.
  • Môi trường triển khai: Hệ thống máy chủ cài đặt hệ điều hành Windows Server 2008, đóng vai trò trạm giám sát (sensor kiêm trạm phân tích log).
  • Kiến trúc phân tích của Snort: Gói tin từ card mạng được đưa qua bộ phận giải mã (Packet Decoder), chuyển tiếp tới các bộ tiền xử lý (Preprocessors), so khớp với cơ sở dữ liệu luật tại động cơ phát hiện (Detection Engine), và gửi dữ liệu tới các module xuất kết quả (Output Plugins).
  • Cấu hình luật phát hiện (Snort Rule): Xây dựng luật bắt gói tin ICMP dựa trên cấu trúc:
    • Header luật: Chỉ định hành động cảnh báo (alert), giao thức kiểm soát mạng icmp, địa chỉ nguồn/đích và cổng giao tiếp.
    • Thân luật (Rule Options): Thiết lập tham số kiểm tra tải trọng gói tin (payload size) để phát hiện gói tin ICMP có kích thước bất thường (lớn hơn ngưỡng gói tiêu chuẩn).
  • Kịch bản kiểm thử thực nghiệm:
    • Bước 1: Khởi chạy Snort trên Windows Server 2008 với tập luật tùy biến, xác nhận hệ thống hiển thị thông báo sẵn sàng lắng nghe lưu lượng mạng.
    • Bước 2: Sử dụng một máy trạm đóng vai trò Attacker trong mạng LAN thực hiện gửi các yêu cầu ICMP Ping tiêu chuẩn tới máy chủ mục tiêu.
    • Bước 3: Máy Attacker gửi liên tục các gói tin Ping có kích thước tùy chỉnh lên tới 1300 byte (ping -l 1300 [IP_Server]).
    • Bước 4: Động cơ Snort bắt gói tin, nhận dạng gói tin vượt ngưỡng quy định, ghi nhận địa chỉ IP nguồn của attacker, thời gian thực thi và xuất thông báo cảnh báo ping kích thước lớn trực tiếp lên màn hình quản trị cùng tệp nhật ký giám sát.

Kết quả và đóng góp

Đồ án đạt được các kết quả cụ thể thông qua số liệu và cấu hình thực tế được ghi nhận trong văn bản:

  • Kết quả thực nghiệm kỹ thuật: Cài đặt hoàn chỉnh hệ thống Snort IDS trên máy chủ thử nghiệm Windows Server 2008. Thực nghiệm cho thấy hệ thống hoạt động ổn định, bắt giữ thành công lưu lượng mạng nghi vấn và kích hoạt cảnh báo chính xác khi máy tấn công gửi gói tin ICMP kích thước 1300 byte, chứng minh tính khả thi của việc sử dụng chữ ký dấu hiệu để giám sát các hành vi quét mạng hoặc DoS dạng Ping Flood cơ bản.
  • Đóng góp về mặt quản trị: Xây dựng hệ thống giải pháp an ninh phân lớp toàn diện cho tổ chức từ mức ứng dụng (WAF), mức mạng (UTM, NIDS), đến mức đầu cuối (OTP, Hosted-IPS). Cung cấp khung 8 quy trình kiểm soát an toàn dữ liệu cụ thể dành cho cán bộ, nhân viên văn phòng tại CMC Telecom nhằm hạn chế các nguy cơ từ yếu tố con người và tấn công giả mạo (Phishing).
  • Đóng góp so với nghiên cứu: Tác giả tự đánh giá đồ án đã xâu chuỗi được cơ sở lý luận vững chắc về an toàn mạng theo mô hình chuẩn CIA và 5 giai đoạn tấn công của hacker, đồng thời gắn kết với mô hình triển khai thực tế của một công cụ mã nguồn mở kinh điển (Snort), tạo tiền đề cho việc xây dựng hệ thống phòng thủ có chiều sâu tại doanh nghiệp viễn thông.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung kỹ thuật được văn bản trình bày, đề tài còn tồn tại một số điểm hạn chế và hướng mở:

  • Hạn chế:
    • Thực nghiệm kỹ thuật chỉ dừng lại ở quy mô thử nghiệm phòng lab trên hệ điều hành Windows Server 2008, chưa đo lường hiệu năng thực tế trên đường truyền băng thông lớn của nhà mạng viễn thông.
    • Kịch bản tấn công thử nghiệm mới chỉ bao gồm các lệnh ping ICMP đơn giản (gói tin 1300 byte), chưa mô phỏng các đợt tấn công phân tán quy mô lớn (DDoS), tấn công khai thác tầng ứng dụng phức tạp (SQL Injection, Zero-day) hay tấn công mã độc APT.
    • Hệ thống Snort mới được vận hành ở chế độ thụ động (IDS - chỉ ghi log và cảnh báo), chưa triển khai cơ chế ngăn chặn chủ động theo thời gian thực (IPS) liên kết trực tiếp với thiết bị tường lửa biên.
    • Hệ thống NIDS bộc lộ hạn chế cố hữu trong việc phân tích các gói tin bị mã hóa (SSL/TLS) và chưa giải quyết được bài toán phân tích lưu lượng khi chuyển đổi hạ tầng sang IPv6 như lý thuyết đã chỉ ra.
  • Hướng nghiên cứu tiếp:
    • Nâng cấp Snort sang mô hình ngăn chặn xâm nhập inline (NIPS), tự động kích hoạt luật chặn địa chỉ IP trên tường lửa khi phát hiện hành vi xâm nhập.
    • Bổ sung các tập luật chuyên sâu để phát hiện mã độc nâng cao, chống tấn công dò quét cổng (port scan) và các kỹ thuật vượt rào an ninh.
    • Nghiên cứu cơ chế giải mã lưu lượng SSL/TLS tại trạm trung gian (SSL Offloading) để nâng cao hiệu quả giám sát gói tin của cảm biến IDS.

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho các nhóm đối tượng cụ thể:

  • Sinh viên ngành Công nghệ thông tin và An toàn thông tin: Nguồn tài liệu hệ thống hóa rõ ràng về kiến trúc mạng, các giao thức cơ bản, nguyên lý bộ ba CIA, 5 giai đoạn tấn công của tin tặc và các dạng tấn công mạng phổ biến.
  • Người làm đồ án hoặc nghiên cứu về IDS/IPS: Phần nội dung chương 2 và chương 3 cung cấp bảng so sánh chi tiết giữa NIDS và HIDS, nguyên lý vận hành của bộ cảm biến (sensor), cú pháp xây dựng luật (rule header, rule options) và các bước cài đặt, cấu hình phần mềm Snort trên môi trường Windows.
  • Cán bộ quản trị mạng tại các doanh nghiệp vừa và nhỏ: Khung 8 bước quy trình đảm bảo an toàn thông tin đầu cuối và danh mục các giải pháp bảo vệ phân tầng (WAF, UTM, OTP, mã hóa L2) có thể được ứng dụng ngay vào việc xây dựng chính sách an ninh nội bộ tại đơn vị.

Câu hỏi thường gặp

1. Hệ thống phát hiện xâm nhập mạng (NIDS) và máy chủ (HIDS) khác nhau căn bản ở điểm nào?
NIDS sử dụng các cảm biến đặt tại phân đoạn mạng với card mạng ở chế độ quảng bá (promiscuous mode) để giám sát toàn bộ lưu lượng qua lại trên đường truyền, độc lập với máy chủ sản xuất. Ngược lại, HIDS cài đặt trực tiếp trên hệ điều hành của từng máy chủ, lấy dữ liệu từ tệp nhật ký (log) và cơ chế kiểm toán cục bộ để phát hiện hành vi leo thang đặc quyền hoặc thay đổi tệp tin trái phép.

2. Nhược điểm kỹ thuật lớn nhất của NIDS được tác giả chỉ ra trong đồ án là gì?
NIDS chỉ kiểm tra được lưu lượng trên phân đoạn mạng kết nối trực tiếp, gặp khó khăn lớn trong việc xử lý và đọc nội dung các cuộc tấn công diễn ra trong các phiên dữ liệu được mã hóa (SSL/TLS), tạo ra lưu lượng mạng bổ sung lớn khi chuyển dữ liệu về trạm trung tâm và sẽ gặp nhiều thách thức hơn khi hạ tầng mạng chuyển đổi sang giao thức IPv6.

3. Tại sao trong kịch bản kiểm thử Snort, tác giả lại sử dụng gói tin ping kích thước 1300 byte?
Gói tin ping ICMP chuẩn thông thường có kích thước nhỏ. Việc máy tấn công cố ý gửi gói tin ping có kích thước lớn 1300 byte nhằm mô phỏng hành vi bất thường (dấu hiệu của các cuộc tấn công gây nghẽn mạng dạng Ping Flood/ICMP Flood). Điều này giúp kiểm tra xem động cơ so khớp luật của Snort có nhận diện chính xác độ dài trường dữ liệu vượt ngưỡng và phát cảnh báo hay không.

4. Khi triển khai hệ thống ngăn chặn xâm nhập mạng (NIPS), vị trí đặt trước hay sau tường lửa mang lại lợi ích gì?
Theo phân tích trong đồ án, khi đặt NIPS trước tường lửa, hệ thống có thể bảo vệ toàn bộ mạng bên trong bao gồm cả chính tường lửa và vùng DMZ, đồng thời giảm tải nguy cơ tấn công DoS nhằm vào tường lửa. Khi đặt NIPS sau tường lửa, hệ thống giúp lọc sâu và ngăn chặn các nguy cơ khai thác lỗ hổng từ các thiết bị di động kết nối nội bộ qua kênh VPN.

Kết luận

Đồ án tốt nghiệp của sinh viên Nguyễn Hữu Mạnh đã hoàn thành đầy đủ các nhiệm vụ nghiên cứu đặt ra, hệ thống hóa toàn diện cơ sở lý thuyết về mạng máy tính, mô hình an ninh CIA và các cơ chế phòng thủ chuyên sâu. Nghiên cứu phân tích thấu đáo nguyên lý hoạt động của các hệ thống IDS/IPS, đồng thời triển khai thực nghiệm thành công giải pháp phát hiện xâm nhập mã nguồn mở Snort trên hệ điều hành Windows Server 2008 với kịch bản cảnh báo gói tin ICMP bất thường. Kết hợp với bộ quy trình 8 bước bảo mật cho người dùng cuối tại CMC Telecom, đồ án mang lại giá trị thực tiễn rõ ràng trong công tác quản trị và bảo đảm an toàn thông tin cho doanh nghiệp.