Giới thiệu dự án

Trong bối cảnh chuyển đổi số và phát triển mạnh mẽ của kinh tế số, an toàn và bảo mật thông tin đã trở thành yếu tố sống còn đối với mọi tổ chức kinh tế. Theo các báo cáo an ninh mạng quốc tế, hơn 70% các cuộc tấn công mạng nhắm vào các doanh nghiệp vừa và nhỏ (SMEs) do hạ tầng bảo mật lỏng lẻo và nhận thức an toàn thông tin còn nhiều hạn chế. Đề tài "Một số giải pháp đảm bảo an toàn, bảo mật cho hệ thống thông tin (HTTT) quản lý của Công ty TNHH MTV Tùng Bắc" (do sinh viên Nguyễn Thị Tường Vi thực hiện, GVHD: ThS. Nguyễn Thị Hội, Khoa Hệ thống thông tin Kinh tế) tập trung giải quyết bài toán thực tế về bảo vệ tài sản dữ liệu doanh nghiệp trong điều kiện kinh phí tối ưu.

+-------------------------------------------------------------------------------+
|                       TAM GIÁC BẢO MẬT THÔNG TIN (CIA TRIAD)                   |
+-------------------------------------------------------------------------------+
|   [Tính bí mật - Confidentiality]  --> Kiểm soát truy cập, mã hóa SSL/TLS, VPN |
|   [Tính toàn vẹn - Integrity]      --> Chữ ký số, RAID 1, kiểm soát phân quyền |
|   [Tính sẵn sàng - Availability]   --> Sao lưu 3-2-1, Tường lửa pfSense, NIPS  |
+-------------------------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Khảo sát thực tế tại Công ty TNHH MTV Tùng Bắc (doanh nghiệp sản xuất, xây dựng và thương mại tại Lục Nam, Bắc Giang với 30 nhân sự và 18 thiết bị đầu cuối) cho thấy những lỗ hổng nghiêm trọng trong HTTT:

  • 80% phần mềm sử dụng là bản miễn phí hoặc dùng thử (như phần mềm kế toán Effect-standard miễn phí, phần mềm bán hàng Perfect Sales 2.4 chưa khai thác hết tính năng), tiềm ẩn nguy cơ chèn mã độc, thiếu hỗ trợ bảo mật và không có cơ chế mã hóa CSDL.
  • Hạ tầng phần cứng xuống cấp: Máy chủ HP ProLiant DL320e G8 (Intel Xeon E3-1230v2, 4GB RAM) vận hành liên tục từ năm 2009-2010, hiệu năng suy giảm nghiêm trọng; 50% nhân viên đánh giá tốc độ xử lý ở mức trung bình và 10% đánh giá kém.
  • Kiến trúc mạng lỏng lẻo: Mạng nội bộ kết hợp cáp và Wi-Fi sử dụng Router Linksys E2000 và modem ADSL dân dụng, không phân đoạn mạng (không có vùng DMZ), không có hệ thống phát hiện/ngăn ngừa xâm nhập chuyên dụng (IDS/IPS), dễ bị tê liệt bởi tấn công từ chối dịch vụ (DoS/DDoS), nhiễm virus lây lan nội bộ và tấn công bắt gói tin (Sniffing/Man-in-the-Middle).
  • Thiếu quy trình sao lưu và bảo vệ kênh truyền: Dữ liệu kinh doanh, kế toán - tài chính không được sao lưu tự động theo chu kỳ, không có quy trình khôi phục sau thảm họa (Disaster Recovery) và không ứng dụng giao thức mã hóa kênh truyền (SSL/TLS, VPN).
  • Nhân sự không chuyên trách: 100% sự cố mạng và phần mềm được xử lý thủ công, phân quyền người dùng theo tài khoản cá nhân chưa có cơ chế kiểm soát tập trung.

Mục tiêu của dự án

  1. Hệ thống hóa cơ sở lý luận về an toàn, bảo mật HTTT quản lý doanh nghiệp dựa trên mô hình bảo mật chuẩn CIA (Confidentiality - Integrity - Availability) và mô hình phòng thủ theo chiều sâu (Defense-in-Depth).
  2. Khảo sát, phân tích định lượng và định chất hiện trạng hạ tầng kỹ thuật (phần cứng, phần mềm, mạng, con người) tại Công ty TNHH MTV Tùng Bắc thông qua phiếu điều tra và phỏng vấn chuyên gia.
  3. Đề xuất nâng cấp phần cứng máy chủ tối ưu chi phí với dòng máy chủ chuyên dụng HP ProLiant DL160 Gen8 Server hỗ trợ RAID phần cứng bảo vệ dữ liệu.
  4. Thiết kế và triển khai giải pháp tường lửa mã nguồn mở pfSense tích hợp quản lý lưu lượng, phân vùng mạng (LAN, WAN, DMZ), lọc gói tin L3/L4/L7, chống DoS/DDoS và cấu hình NAT/PAT, Reverse Proxy.
  5. Xây dựng giải pháp an toàn kênh truyền và ứng dụng với mạng riêng ảo (VPN OpenVPN/IPsec), mã hóa dữ liệu SSL/TLS và chuyển đổi phần mềm quản lý kế toán sang hệ thống chuyên nghiệp có bản quyền (MISA SME.NET / AMIS).
  6. Thiết lập quy trình sao lưu dữ liệu chu kỳ 3-2-1 và chính sách an toàn thông tin nội bộ.

Phương pháp tiếp cận và kết quả kỳ vọng

  • Phương pháp tiếp cận: Kết hợp giữa công nghệ nguồn mở chi phí thấp nhưng hiệu năng cao (pfSense, OpenSSL, OpenVPN) với thiết bị máy chủ doanh nghiệp tiêu chuẩn, tạo ra giải pháp "vừa túi tiền" cho khối SME.
  • Kết quả kỳ vọng:
    • Nâng cấp tốc độ xử lý dữ liệu và truy xuất CSDL lên gấp 2.5 lần;
    • Đảm bảo tính sẵn sàng (Availability) của hệ thống đạt 99.9%;
    • Bảo vệ 100% luồng dữ liệu truyền nhận từ xa qua kênh mã hóa an toàn;
    • Thời gian khôi phục dữ liệu (RTO - Recovery Time Objective) dưới 2 giờ và điểm khôi phục dữ liệu (RPO - Recovery Point Objective) dưới 24 giờ.

Phạm vi và giới hạn

  • Phạm vi: Áp dụng cho toàn bộ HTTT quản lý gồm 5 phòng ban (Ban Giám đốc, Kế toán - Tài chính, Kinh doanh - Bán hàng, Kỹ thuật, Kho) tại trụ sở chính và các kênh kết nối di động/từ xa.
  • Giới hạn: Đề tài tập trung vào lớp mạng, máy chủ dịch vụ và ứng dụng nội bộ; chưa mở rộng triển khai cụm cân bằng tải đa trung tâm dữ liệu (Multi-datacenter Clustering) do giới hạn ngân sách doanh nghiệp nhỏ.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Đánh giá ưu nhược điểm của các giải pháp hiện hữu

Thành phần HTTT Hiện trạng tại Tùng Bắc Ưu điểm Hạn chế cốt tử Nguy cơ bảo mật
Máy chủ (Server) HP DL320e G8 (Xeon E3-1230v2, 4GB RAM, Non-RAID) Chi phí đầu tư ban đầu thấp, đáp ứng tác vụ văn phòng cơ bản Thiếu khả năng dự phòng đĩa cứng, RAM 4GB không đủ chạy ảo hóa/đa tác vụ Hỏng ổ cứng gây mất toàn bộ dữ liệu CSDL kế toán
Tường lửa & Định tuyến Router Linksys E2000 + Windows Firewall + NAT cơ bản Dễ cấu hình, chi phí thiết bị dân dụng rẻ Không kiểm soát gói tin chuyên sâu L7, không có tính năng IDS/IPS, bảng định tuyến hạn chế Quá tải khi bị tấn công SYN Flood/DDoS, không chặn được mã độc mạng
Bảo mật kênh truyền Giao thức HTTP/TCP thông thường qua ADSL, không VPN Kết nối nhanh, không cần cấu hình phức tạp Dữ liệu truyền dạng rõ (Cleartext), không xác thực điểm cuối Bị nghe lén (Sniffing), tấn công Man-in-the-Middle (MitM)
Phần mềm quản lý Effect-standard (Free), Perfect Sales 2.4, BKAV Pro Giao diện thân thiện, chi phí bản quyền = 0 đồng Dữ liệu phân mảnh, không phân quyền theo nhóm vai trò chi tiết, không tích hợp bảo mật CSDL Lỗ hổng SQL Injection, nhân viên truy xuất trái phép dữ liệu nhạy cảm 
+-------------------------------------------------------------------------------+
|                    MA TRẬN ƯU TIÊN YÊU CẦU BẢO MẬT (MoSCoW)                   |
+-------------------------------------------------------------------------------+
| [M - MUST HAVE]   : Nâng cấp Server RAID 1, Tường lửa pfSense, Backup tự động |
| [S - SHOULD HAVE] : Mã hóa VPN OpenVPN, Reverse Proxy/NAT-PAT, Chuẩn hóa SSL  |
| [C - COULD HAVE]  : Chuyển đổi ERP/MISA AMIS đám mây, WPA2-Enterprise RADIUS  |
| [W - WON'T HAVE]  : Phần cứng Cisco ASA đắt tiền, Dual-WAN SD-WAN phức tạp   |
+-------------------------------------------------------------------------------+

Phân tích khoảng cách (Gap Analysis)

Doanh nghiệp đang tồn tại khoảng cách lớn giữa hạ tầng CNTT thực tế và tiêu chuẩn an toàn thông tin ISO/IEC 27001:

  1. Khoảng cách phân đoạn mạng: Không có mạng nội bộ cách ly (VLAN/DMZ) khiến mã độc từ máy trạm nhân viên có thể lây lan trực tiếp vào máy chủ CSDL.
  2. Khoảng cách công nghệ: Sử dụng phần mềm diệt virus cục bộ không có máy chủ quản lý chính sách tập trung (Endpoint Central Management).
  3. Khoảng cách quy trình: Chưa thiết lập chính sách kiểm soát mật khẩu mạnh, chu kỳ thay đổi mật khẩu và nhật ký kiểm toán truy cập (Audit Logs).

Thiết kế hệ thống

Kiến trúc tổng thể và sơ đồ phân tầng mạng

                                +-----------------------+
                                |  Internet / Remote    |
                                |  Users (Laptop/Mobile)|
                                +-----------+-----------+
                                            |
                                            v (ADSL / FTTH WAN IP)
                     +---------------------------------------------+
                     |         TƯỜNG LỬA CHUYÊN DỤNG PFSENSE       |
                     |  - Statefull Packet Filtering (L3/L4/L7)   |
                     |  - Snort NIPS/NIDS & Anti-DDoS Engine       |
                     |  - OpenVPN Server (AES-256-CBC / SHA-256)   |
                     |  - Reverse Proxy & NAT (PAT) Port Forwarding|
                     +-------+-----------------------------+-------+
                             |                             |
              [DMZ Zone - 192.168.2.0/24]   [LAN Zone - 192.168.1.0/24]
                             |                             |
                             v                             v
             +-------------------------------+   +--------------------+
             | HP ProLiant DL160 Gen8 Server |   | Managed Switch L2  |
             | - Intel Xeon E5-1230v3 / 8GB  |   +---------+----------+
             | - Hardware RAID 1 (SmartArray)|             |
             | - MISA SME.NET / SQL Database |    +--------+--------+
             | - Web/File Server (SSL/TLS)   |    |                 |
             +-------------------------------+    v                 v
                                            [Phòng Ban 1-5]  [WLAN WPA2-PSK]
                                            (18 Máy trạm)    (AP Linksys E2000)

Danh mục công nghệ và phiên bản (Technology Stack)

  • Firewall & Routing Platform: pfSense Community Edition v2.2.x (xây dựng trên nền tảng FreeBSD 10-RELEASE), tích hợp Packet Filter (pf), Snort IDS/IPS v2.9, Squid Proxy và OpenVPN Server v2.3.
  • Server Hardware: HP ProLiant DL160 Gen8 1U Rack Server:
    • CPU: Intel® Xeon® Processor E5-1230v3 (3.30 GHz, 4 Cores, 8 Threads, 8MB SmartCache);
    • RAM: 8GB (1x8GB) PC3-10600E DDR3 ECC Unbuffered UDIMM;
    • Storage Controller: HP Smart Array B120i SATA RAID Controller (chạy cấu hình RAID 1 Mirroring);
    • Network Adapter: HP Dual Port 1Gb 361i/360i Ethernet Adapter;
    • Power Supply: 350W Auto-sensing Power Factor Correction (PFC).
  • Hệ điều hành & Cơ sở dữ liệu: Windows Server 2012 R2 Standard 64-bit, Microsoft SQL Server 2014 Express / Standard.
  • Phần mềm nghiệp vụ: MISA SME.NET 2015 / MISA AMIS tích hợp phân quyền vai trò (Role-Based Access Control - RBAC).
  • Giao thức bảo mật: OpenSSL v1.0.1+, TLS v1.2, IPsec IKEv2, OpenVPN giao thức UDP Port 1194, thuật toán mã hóa đối xứng AES-256-CBC, hàm băm SHA-256, khóa trao đổi RSA 2048-bit.
-- Cấu trúc phân quyền bảo mật (RBAC) trên CSDL Quản lý Tùng Bắc
CREATE ROLE Role_KeToanTruong;
CREATE ROLE Role_NhanVienBanHang;
CREATE ROLE Role_NhanVienKho;

-- Cấp quyền truy xuất tối thiểu (Principle of Least Privilege)
GRANT SELECT, INSERT, UPDATE ON dbo.HoaDonBanHang TO Role_NhanVienBanHang;
GRANT SELECT, INSERT, UPDATE, DELETE ON dbo.SoCaiKeToan TO Role_KeToanTruong;
GRANT SELECT, UPDATE(SoLuongTonKho) ON dbo.DanhMucVatTu TO Role_NhanVienKho;
DENY DELETE ON dbo.HoaDonBanHang TO Role_NhanVienBanHang;

Thiết kế mạng bảo mật: NAT/PAT và Reverse Proxy

Để máy trạm bên ngoài truy cập ứng dụng nội bộ mà không làm lộ địa chỉ IP thật của máy chủ:

  • Port Address Translation (PAT): Ánh xạ cổng dịch vụ WAN (ví dụ WAN_IP:4433) về cổng HTTPS an toàn của máy chủ nội bộ (192.168.2.10:443).
  • Reverse Proxy: Đứng trước máy chủ web/app để kiểm tra tính hợp lệ của Header HTTP/HTTPS, loại bỏ các payload độc hại (chống tấn công XSS, SQL Injection và Cross-Site Request Forgery - CSRF) trước khi chuyển vào máy chủ backend.

Phương pháp luận (Methodology)

Dự án áp dụng mô hình triển khai cuốn chiếu kết hợp chuẩn bảo mật PDCA (Plan - Do - Check - Act):

+-------------------------------------------------------------------------------+
|                    LỘ TRÌNH 12 TUẦN TRIỂN KHAI BẢO MẬT HTTT                   |
+-------------------------------------------------------------------------------+
| Tuần 1 - 2   : Khảo sát, phỏng vấn, đánh giá lỗ hổng hệ thống (Vulnerability) |
| Tuần 3 - 5   : Mua sắm máy chủ HP DL160 Gen8, cấu hình pfSense Lab Testing    |
| Tuần 6 - 8   : Phân vùng mạng VLAN/DMZ, cấu hình RAID 1, chuyển dữ liệu CSDL  |
| Tuần 9 - 10  : Triển khai OpenVPN, SSL/TLS, cài đặt MISA SME.NET 2015         |
| Tuần 11 - 12 : Kiểm thử thâm nhập, diễn tập sự cố, đào tạo nhân viên & UAT   |
+-------------------------------------------------------------------------------+

Đánh giá rủi ro và giải pháp giảm thiểu

Rủi ro kỹ thuật Mức độ Khả năng Giải pháp kiểm soát & giảm thiểu
Mất mát dữ liệu khi nâng cấp Server Cao Thấp Tạo Disk Clone Image (Ghost/Acronis) nguyên bản máy chủ cũ trước khi thực hiện bất kỳ thao tác phần cứng nào.
Xung đột cấu hình mạng làm gián đoạn kinh doanh Trung bình Trung bình Xây dựng môi trường mô phỏng (Staging/Lab) độc lập; chuyển đổi hệ thống vào ngày nghỉ cuối tuần.
Nhân viên kháng cự quy trình bảo mật mới Trung bình Cao Đào tạo trực quan, chuẩn hóa tài liệu hướng dẫn đăng nhập VPN 1-Click, cơ chế Single Sign-On.

Implementation và kết quả

Quá trình phát triển và cấu hình kỹ thuật

1. Cấu hình quy tắc lọc gói tin và phát hiện xâm nhập trên pfSense

# Trích xuất đoạn cấu hình pfSense Rules lọc gói tin an toàn (XML format / Packet Filter Syntax)
# 1. Chặn toàn bộ kết nối trực tiếp từ Internet vào mạng LAN nội bộ
block in quick on igb0 from any to 192.168.1.0/24 label "BLOCK_DIRECT_WAN_TO_LAN"

# 2. Cho phép kết nối VPN an toàn qua cổng UDP 1194
pass in on igb0 proto udp from any to (self) port 1194 keep state label "PASS_OPENVPN_INBOUND"

# 3. Cho phép Reverse Proxy chuyển tiếp gói tin HTTPS vào vùng DMZ an toàn
pass in on igb0 proto tcp from any to 192.168.2.10 port 443 flags S/SA synproxy state label "PASS_HTTPS_DMZ_APP"

# 4. Giới hạn tần suất kết nối chống tấn công Brute-force & TCP SYN Flood
pass in on igb0 proto tcp to 192.168.2.10 port 443 flags S/SA keep state (max-src-conn 50, max-src-conn-rate 15/5, overload <bad_hosts> flush)

2. Kịch bản sao lưu dữ liệu SQL Server tự động và mã hóa

# Script PowerShell tự động hóa sao lưu cơ sở dữ liệu kế toán và mã hóa định kỳ
$DBName = "TungBac_Ketoan_2015"
$BackupDir = "D:\SQL_Backups\Daily"
$Timestamp = Get-Date -Format "yyyyMMdd_HHmmss"
$BackupFile = "$BackupDir\$DBName`_$Timestamp.bak"
$EncryptedFile = "$BackupDir\$DBName`_$Timestamp.bak.enc"

# 1. Thực hiện Full Database Backup với nén (Compression)
Invoke-Sqlcmd -Query "BACKUP DATABASE [$DBName] TO DISK = N'$BackupFile' WITH NOFORMAT, NOINIT, COMPRESSION, STATS = 10;"

# 2. Mã hóa file Backup bằng thuật toán OpenSSL AES-256-CBC
& "C:\Program Files\OpenSSL-Win64\bin\openssl.exe" enc -aes-256-cbc -salt -in $BackupFile -out $EncryptedFile -pass pass:TungBacSecKey@2015!

# 3. Xóa file sao lưu chưa mã hóa để đảm bảo an toàn tuyệt đối
if (Test-Path $EncryptedFile) {
    Remove-Item $BackupFile
    Write-Host "Backup và mã hóa thành công CSDL: $EncryptedFile" -ForegroundColor Green
}

3. Quy trình 10 bước nâng cấp máy chủ bảo vệ dữ liệu

Trong quá trình triển khai nâng cấp lên máy chủ HP ProLiant DL160 Gen8, đội ngũ thực hiện nghiêm ngặt 10 quy tắc chuẩn:

  1. Luôn thẩm định bản Backup dữ liệu trước khi thay đổi phần cứng.
  2. Tạo Disk Image hoàn chỉnh bằng công cụ chuyên dụng.
  3. Không thực hiện nhiều thay đổi cấu hình đồng thời trong một chu kỳ khởi động.
  4. Kiểm tra chi tiết Event Viewer và System Log sau khi khởi động lại.
  5. Xác nhận phiên bản và tính tương thích của hệ điều hành 64-bit.
  6. Thẩm tra danh mục hỗ trợ phần cứng chính hãng (HP QuickSpecs).
  7. Không phụ thuộc vào cơ chế tự nhận "Plug-and-Play".
  8. Tinh chỉnh hiệu năng OS và SQL Server sau khi nâng cấp RAM/CPU.
  9. Ưu tiên sử dụng linh kiện đạt chuẩn doanh nghiệp (ECC RAM, Enterprise SAS/SATA HDD).
  10. Cập nhật đầy đủ hồ sơ nhật ký nâng cấp, số Serial và thời hạn bảo hành thiết bị.

Kiểm thử và đánh giá hiệu năng (Testing & Validation)

Hệ thống sau khi triển khai được kiểm thử toàn diện qua các kịch bản thực nghiệm:

  • Kiểm thử tấn công DoS/DDoS (SYN Flood): Sử dụng công cụ hping3 phát sinh 50,000 gói tin TCP SYN/giây nhắm vào cổng dịch vụ. Tường lửa pfSense kích hoạt cơ chế synproxy, mức sử dụng CPU của pfSense duy trì dưới 18%, máy chủ cơ sở dữ liệu vùng DMZ vẫn phản hồi bình thường mà không bị quá tải.
  • Kiểm thử quét cổng và dò lỗ hổng: Sử dụng Nmap và Nessus. Toàn bộ các cổng dịch vụ không thiết yếu trên WAN đều ở trạng thái Filtered hoặc Closed; ngăn chặn thành công 100% các nỗ lực truy cập trái phép vào cổng CSDL SQL (Port 1433).
  • Đo lường băng thông và độ trễ qua VPN: Đường truyền OpenVPN qua mạng cáp quang FTTH cho độ trễ (Latency) trung bình 12ms, thông lượng dữ liệu đạt 85 Mbps, hoàn toàn đáp ứng nghiệp vụ kế toán từ xa mà không xảy ra hiện tượng rớt phiên làm việc.
+-------------------------------------------------------------------------------+
|             KẾT QUẢ ĐO LƯỜNG HIỆU NĂNG TRƯỚC VÀ SAU TRIỂN KHAI                |
+-------------------------------------------------------------------------------+
| Chỉ số đo lường                 | Trước cải tiến     | Sau cải tiến (pfSense) |
|---------------------------------+--------------------+------------------------|
| Tỷ lệ tải CPU máy chủ trung bình| 78% (Xeon E3-1230) | 28% (Xeon E5-1230v3)   |
| Bộ nhớ RAM khả dụng             | 4GB (Thường nghẽn) | 8GB ECC (Dư địa 45%)   |
| Tốc độ đọc/ghi dữ liệu (IOPS)   | 110 IOPS (Single)  | 230 IOPS (RAID 1 Array)|
| Tỷ lệ máy trạm bảo mật an toàn  | 20%                | 95%                    |
| Thời gian phục hồi sự cố (RTO)  | > 24 giờ           | < 1.5 giờ              |
+-------------------------------------------------------------------------------+

Kết quả đạt được

  1. Về mặt kỹ thuật:
    • Hoàn thành thiết lập phân vùng mạng 3 lớp (Inside LAN, Outside WAN, DMZ) ngăn cách an toàn bằng tường lửa pfSense.
    • Nâng cấp thành công máy chủ HP ProLiant DL160 Gen8 trang bị bộ nhớ đệm RAID Smart Array B120i, loại bỏ hoàn toàn nguy cơ mất trắng dữ liệu do lỗi vật lý một ổ cứng.
    • 100% luồng truyền nhận chứng từ kế toán và báo cáo doanh thu giữa các máy trạm và máy chủ được mã hóa bằng chứng chỉ bảo mật SSL/TLS.
  2. Về mặt vận hành & sự hài lòng:
    • Kết quả khảo sát lại 30 cán bộ nhân viên cho thấy: Tỷ lệ đánh giá tốc độ truy cập "Rất tốt" và "Tốt" tăng từ 20% lên 83.3%.
    • Mức độ an tâm về an toàn dữ liệu kế toán và thông tin khách hàng đạt 90%.

Đổi mới và đóng góp

Các điểm cải tiến kỹ thuật nổi bật

  1. Ứng dụng giải pháp bảo mật nguồn mở chi phí tối ưu (FOSS Security Appliance): Thay vì đầu tư hàng nghìn USD cho các thiết bị tường lửa cứng độc quyền đắt đỏ (như Cisco ASA 5505 hoặc Fortinet FortiGate) vốn vượt quá khả năng tài chính của doanh nghiệp nhỏ, đề tài đã hiện thực hóa việc cài đặt và tối ưu hóa hệ điều hành tường lửa pfSense trên phần cứng linh hoạt, đạt hiệu năng xử lý hàng trăm nghìn kết nối đồng thời với chi phí bản quyền bằng 0.
+-------------------------------------------------------------------------------+
|               SO SÁNH CÁC GIẢI PHÁP TƯỜNG LỬA DOANH NGHIỆP                    |
+-------------------------------------------------------------------------------+
| Tiêu chí so sánh       | Cisco ASA 5505      | MS TMG / ISA Server| pfSense Appliance |
|------------------------+---------------------+--------------------+-------------------|
| Chi phí bản quyền      | Rất cao (>35tr VNĐ) | Rất cao (License)  | Miễn phí (FOSS)   |
| Yêu cầu phần cứng      | Thiết bị chuyên dụng| Windows Server     | PC / Server x86   |
| Thông lượng VPN        | ~ 100 Mbps (Giới hạn| Phụ thuộc OS       | > 450 Mbps        |
| Phân vùng VLAN/DMZ     | Bị giới hạn license | Hỗ trợ tốt         | Không giới hạn    |
| Chi phí nâng cấp/bảo trì| Đắt đỏ hàng năm     | Cao                | Cực kỳ thấp       |
+-------------------------------------------------------------------------------+

  1. Mô hình bảo mật đa lớp (Multi-layer Defense) đồng bộ:

    • Lớp 1 (Edge): pfSense lọc gói tin L3/L4, chặn truy cập theo danh sách IP đen và chống DoS.
    • Lớp 2 (Network): NIPS Snort giám sát lưu lượng vào/ra Internet, phát hiện dấu hiệu bất thường.
    • Lớp 3 (Perimeter): Phân chia vùng DMZ cô lập máy chủ dịch vụ, kết hợp Reverse Proxy và NAT/PAT.
    • Lớp 4 (Host/Application): Cấu hình RAID 1 phần cứng, mã hóa SSL/TLS đường truyền, xác thực VPN OpenVPN và kiểm soát phân quyền RBAC trên CSDL MISA SME.NET 2015.

  2. Tự động hóa hoàn toàn quy trình bảo vệ dữ liệu: Xây dựng chuỗi kịch bản sao lưu tự động (Automated Backup Pipeline) kết hợp nén CSDL, mã hóa OpenSSL AES-256 và đồng bộ hóa đa tầng, giảm thiểu 95% sự can thiệp thủ công từ nhân sự không chuyên.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế tại Công ty Tùng Bắc

[Giám Đốc / NV Bán Hàng từ xa]
         |
         | (1) Kết nối mạng di động 4G / Wi-Fi công cộng
         v
[OpenVPN Client (Xác thực Chứng chỉ SSL + User/Pass)]
         |
         | (2) Đường hầm mã hóa AES-256-CBC qua Internet
         v
[Tường lửa pfSense Trụ sở Lục Nam]
         |
         | (3) Giải mã, kiểm tra an ninh NIPS Snort
         v
[Vùng Mạng DMZ: Máy chủ MISA SME.NET 2015]
         |
         | (4) Truy xuất báo cáo tài chính / Đơn hàng theo thời gian thực
         v
[Dữ liệu được bảo vệ an toàn tuyệt đối]

Phân tích Chi phí - Lợi ích và Hoàn vốn đầu tư (Cost-Benefit & ROI)

+-------------------------------------------------------------------------------+
|                       DỰ TOÁN CHI PHÍ TRIỂN KHAI HỆ THỐNG                     |
+-------------------------------------------------------------------------------+
| Hạng mục đầu tư                              | Số lượng | Thành tiền (VNĐ)    |
|----------------------------------------------+----------+---------------------|
| Máy chủ HP ProLiant DL160 Gen8 (Chính hãng)  | 01 bộ    | 22.500.000          |
| Ổ cứng Enterprise SATA 1TB (Chạy RAID 1)     | 02 chiếc | 5.200.000           |
| Thiết bị chạy tường lửa pfSense chuyên dụng  | 01 bộ    | 6.500.000           |
| Bản quyền phần mềm MISA SME.NET 2015 / AMIS   | 01 gói   | 9.900.000           |
| Dây mạng Cat6, Switch chia cổng & Vật tư     | Gói phụ  | 2.800.000           |
| Chi phí cài đặt, kiểm thử & đào tạo nội bộ   | Tự thực  | 0 (Nội lực)         |
|----------------------------------------------+----------+---------------------|
| TỔNG CHI PHÍ ĐẦU TƯ TOÀN BỘ GIẢI PHÁP        |          | 46.900.000 VNĐ      |
+-------------------------------------------------------------------------------+

Đánh giá hiệu quả kinh tế (ROI):

  • Thiệt hại tiềm tàng tránh được: Chi phí khắc phục sự cố khi máy chủ hỏng ổ cứng hoặc bị mã hóa dữ liệu kế toán ước tính từ 150.000.000 - 300.000.000 VNĐ (bao gồm chi phí khôi phục dữ liệu chuyên sâu, thất thoát đơn hàng, gián đoạn kinh doanh và rủi ro phạt thuế do mất chứng từ kế toán).
  • Thời gian hoàn vốn (Payback Period): Dưới 6 tháng vận hành an toàn liên tục.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Chưa có cơ chế dự phòng nóng đa tường lửa (CARP / High Availability): Hệ thống pfSense hiện chạy trên một node phần cứng duy nhất; nếu thiết bị tường lửa gặp sự cố vật lý, toàn bộ kết nối Internet sẽ tạm thời gián đoạn.
  • Hạ tầng đường truyền WAN đơn lẻ: Doanh nghiệp mới sử dụng 1 đường truyền Internet ADSL/FTTH, chưa cấu hình cân bằng tải đa nhà mạng (Multi-WAN Load Balancing & Failover).
  • Lưu trữ sao lưu ngoại vi chưa tích hợp hoàn toàn lên Cloud: Dữ liệu sao lưu hiện tại mới chỉ luân chuyển giữa máy chủ và thiết bị lưu trữ gắn ngoài (External HDD/NAS), chưa tự động đồng bộ hóa lên các nền tảng đám mây lớn (Google Drive Enterprise / AWS S3) do tốc độ đường truyền hạn chế.

Hướng phát triển và mở rộng

  1. Triển khai kiến trúc dự phòng kép (HA Dual-Firewall): Bổ sung 1 máy chủ pfSense thứ hai chạy cơ chế đồng bộ trạng thái CARP/pfsync (Active - Passive), đảm bảo thời gian chuyển mạch khi có lỗi (Failover Time) < 1 giây.
  2. Nâng cấp bảo mật Wi-Fi doanh nghiệp: Chuyển đổi toàn bộ hệ thống phát Wi-Fi Linksys sang chuẩn WPA2/WPA3 Enterprise, xác thực người dùng qua máy chủ RADIUS/Active Directory tập trung thay vì dùng chung mật khẩu Pre-Shared Key (PSK).
  3. Mở rộng mô hình Giám sát an ninh tập trung (SIEM): Ứng dụng công nghệ mã nguồn mở Wazuh hoặc ELK Stack để thu thập, phân tích log bảo mật theo thời gian thực và tự động gửi cảnh báo qua Telegram/Email cho quản trị viên khi phát hiện hành vi xâm nhập trái phép.

Đối tượng hưởng lợi

+-------------------------------------------------------------------------------+
|                      MA TRẬN GIÁ TRỊ VÀ ĐỐI TƯỢNG HƯỞNG LỢI                   |
+-------------------------------------------------------------------------------+
| [SINH VIÊN & HỌC VIÊN]    --> Tài liệu mẫu chuẩn mực về giải pháp bảo mật SME |
| [KỸ SƯ HỆ THỐNG / DEVS]   --> Kịch bản cấu hình thực chiến pfSense, RAID, SSL |
| [DOANH NGHIỆP VỪA VÀ NHỎ] --> Lộ trình chuyển đổi số an toàn, chi phí cực thấp|
| [CÁC NHÀ NGHIÊN CỨU]      --> Dữ liệu khảo sát định lượng thực tế tại địa phương |
+-------------------------------------------------------------------------------+
  • Sinh viên ngành Hệ thống thông tin & An toàn thông tin: Nắm vững phương pháp luận khảo sát thực tế, phân tích định lượng dữ liệu điều tra và kỹ thuật kết hợp hài hòa giữa cơ sở lý luận an ninh mạng với ứng dụng thực tế tại một doanh nghiệp cụ thể.
  • Chuyên viên IT / Quản trị hệ thống doanh nghiệp: Sở hữu tài liệu hướng dẫn kỹ thuật chi tiết từ việc lựa chọn cấu hình máy chủ HP ProLiant, cấu hình phân vùng mạng DMZ, cài đặt tường lửa pfSense đến kịch bản mã hóa sao lưu CSDL tự động.
  • Chủ doanh nghiệp & Ban Giám đốc các công ty SMEs: Có cái nhìn rõ nét về tầm quan trọng của an toàn thông tin; nhận được bản kế hoạch triển khai khả thi với mức chi phí đầu tư minh bạch, hợp lý và tối đa hóa hiệu quả bảo vệ tài sản doanh nghiệp.

Câu hỏi thường gặp

1. Doanh nghiệp quy mô dưới 30 máy tính có bắt buộc phải đầu tư thiết bị tường lửa cứng đắt tiền không?

Không bắt buộc. Với các doanh nghiệp quy mô vừa và nhỏ (dưới 1000 người dùng), giải pháp sử dụng tường lửa mã nguồn mở pfSense cài đặt trên máy tính chuyên dụng hoặc máy chủ x86 là giải pháp tối ưu nhất. pfSense cung cấp đầy đủ các tính năng bảo mật doanh nghiệp cao cấp (Stateful Packet Inspection, IDS/IPS Snort, OpenVPN, Reverse Proxy, Anti-DDoS) với hiệu năng xử lý hàng trăm nghìn kết nối đồng thời mà hoàn toàn không mất chi phí mua bản quyền phần mềm hàng năm.

2. Sự khác biệt cốt lõi giữa cấu hình máy chủ HP DL320e cũ và HP DL160 Gen8 đề xuất là gì?

Máy chủ HP DL160 Gen8 vượt trội hoàn toàn về năng lực bảo vệ dữ liệu và hiệu năng:

  • Bộ điều khiển RAID Smart Array B120i: Cho phép thiết lập mảng đĩa gương RAID 1, đảm bảo nếu 1 trong 2 ổ cứng bị cháy hỏng vật lý, toàn bộ dữ liệu CSDL vẫn hoạt động liên tục 100% không bị gián đoạn.
  • Bộ vi xử lý Xeon E5-1230v3 & RAM 8GB ECC: Tăng tốc độ tính toán lên 3.3GHz, 8 luồng xử lý và bộ nhớ RAM có khả năng tự sửa lỗi (Error-Correcting Code), ngăn chặn lỗi treo máy chủ bất ngờ do xung đột bộ nhớ.

3. Việc triển khai OpenVPN có gây chậm tốc độ truy cập phần mềm kế toán của nhân viên từ xa không?

Hoàn toàn không. Nhờ sử dụng giao thức truyền vận UDP trên cổng 1194 kết hợp thuật toán mã hóa tối ưu phần cứng AES-256-CBC, độ trễ bổ sung qua đường hầm VPN chỉ dao động từ 5ms - 15ms trên hạ tầng mạng cáp quang thông dụng. Tốc độ này đảm bảo trải nghiệm thao tác nhập liệu hóa đơn và kết xuất báo cáo trên phần mềm MISA SME.NET diễn ra mượt mà tương đương như đang kết nối trực tiếp trong mạng LAN nội bộ.

4. Tại sao doanh nghiệp phải thay thế các phần mềm kế toán miễn phí (Effect-standard Free) sang phần mềm có bản quyền?

Các phần mềm kế toán phiên bản miễn phí thường không được nhà sản xuất cập nhật các bản vá bảo mật, không hỗ trợ giao thức mã hóa dữ liệu CSDL, thiếu tính năng kiểm soát phân quyền chi tiết và dễ bị khai thác lỗ hổng để trích xuất dữ liệu tài chính nhạy cảm. Việc chuyển sang phần mềm có bản quyền như MISA SME.NET 2015 / AMIS đảm bảo tính pháp lý, hỗ trợ mã hóa bảo vệ sổ sách kế toán và tích hợp sẵn cơ chế phân quyền bảo mật chặt chẽ.

5. Thời gian cần thiết để khôi phục toàn bộ hệ thống máy chủ và dữ liệu khi gặp sự cố thảm họa là bao lâu?

Nhờ quy trình sao lưu định kỳ kết hợp tạo ảnh đĩa (Disk Clone Image) và sao lưu CSDL SQL tự động hàng ngày:

  • RTO (Thời gian khôi phục): Dưới 1.5 giờ để đưa máy chủ dự phòng vào hoạt động với đầy đủ cấu hình.
  • RPO (Điểm khôi phục dữ liệu): Tối đa 24 giờ (doanh nghiệp chỉ mất tối đa dữ liệu phát sinh trong ngày xảy ra sự cố; có thể rút ngắn xuống 1 giờ nếu cấu hình sao lưu Transaction Log liên tục).

Kết luận

Đề tài khóa luận tốt nghiệp "Một số giải pháp đảm bảo an toàn, bảo mật cho HTTT của công ty TNHH MTV Tùng Bắc" đã giải quyết triệt để bài toán hóc búa giữa yêu cầu bảo mật cấp cao và ngân sách đầu tư có hạn của các doanh nghiệp vừa và nhỏ tại Việt Nam. Bằng việc kết hợp nhuần nhuyễn giữa nâng cấp hạ tầng phần cứng máy chủ HP ProLiant đạt chuẩn RAID 1, triển khai tường lửa mã nguồn mở pfSense đa năng, mã hóa kênh truyền OpenVPN/SSL và thiết lập quy trình quản trị bảo mật 3-2-1, dự án đã thiết lập một "lá chắn" an ninh mạng vững chắc cho toàn bộ dữ liệu kinh doanh của doanh nghiệp.

Đây không chỉ là công trình nghiên cứu học thuật thuần túy mà là một bộ giải pháp kỹ thuật có tính ứng dụng thực tiễn cao, đóng vai trò như một cẩm nang thiết kế và triển khai an toàn thông tin mẫu cho hàng trăm nghìn doanh nghiệp vừa và nhỏ trong tiến trình hội nhập và phát triển kinh tế số bền vững.