Luận văn tốt nghiệp tmu một số giải pháp nâng cao tính an toàn bảo mật httt cho công ty tnhh xuất nhập khẩu thƣơng mại và dịch vụ tân đại dƣơng

Khóa luận tốt nghiệp nghiên cứu Luận văn tốt nghiệp tmu một số giải pháp nâng cao tính an toàn bảo mật httt cho công ty tnhh xuất, vận dụng lý thuyết vào thực tế, đề xuất giải

• Tác giả: Nguyễn Thị Chương
• Người hướng dẫn: TS. Nguyễn Thị Thu Thủy
• Trường học: Đại học Thương Mại
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Một số giải pháp nâng cao tính an toàn bảo mật HTTT cho công ty TNHH xuất nhập khẩu thương mại và dịch vụ Tân Đại Dương
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• DANH MỤC TỪ VIẾT TẮT
• DANH MỤC TỪ VIẾT TẮT TIẾNG VIỆT
• DANH MỤC TỪ VIẾT TẮT TIẾNG ANH
• DANH MỤC BẢNG BIỂU, SƠ ĐỒ, HÌNH
• PHẦN MỞ ĐẦU
• 0.1. Tính cấp thiết của đề tài nghiên cứu
• 0.2. Tổng quan về vấn đề nghiên cứu
• 0.3. Mục tiêu và nhiệm vụ nghiên cứu
• 0.4. Phạm vi nghiên cứu
• 0.5. Phương pháp nghiên cứu
• 0.5.1. Phương pháp thu thập dữ liệu
• 0.5.1.1. Thu thập dữ liệu sơ cấp
• 0.5.1.2. Thu thập dữ liệu thứ cấp
• 0.5.2. Phương pháp phân tích và xử lý số liệu
• 0.6. Kết cấu khóa luận tốt nghiệp
• 1. CHƯƠNG 1: CƠ SỞ LÝ LUẬN VỀ AN TOÀN BẢO MẬT
• 1.1. Một số khái niệm cơ bản
• 1.1.1. Khái niệm chung
• 1.1.2. Khái niệm về an toàn, bảo mật HTTT quản lý
• 1.2. Một số cơ sở lý luận về An toàn bảo mật HTTT
• 1.3. Một số hình thức tấn công đến bảo mật và các nguy cơ mất an toàn thông tin trong HTTT
• 1.4. Một số phương pháp đảm bảo an toàn, bảo mật HTTT
• 2. CHƯƠNG 2: PHÂN TÍCH, ĐÁNH GIÁ THỰC TRẠNG VỀ AN TOÀN BẢO MẬT HTTT CỦA CÔNG TY TNHH XUẤT NHẬP KHẨU THƯƠNG MẠI VÀ DỊCH VỤ TÂN ĐẠI DƯƠNG
• 2.1. Giới thiệu chung về công ty TNHH xuất nhập khẩu thương mại và dịch vụ Tân Đại Dương
• 2.2. Cơ cấu tổ chức
• 2.3. Tình hình hoạt động kinh doanh của công ty
• 2.4. Nguồn nhân lực CNTT
• 2.5. Vấn đề an toàn bảo mật HTTT tại công ty TNHH xuất nhập khẩu thương mại và dịch vụ Tân Đại Dương
• 2.6. Thực trạng vấn đề An toàn bảo mật thông tin
• 2.7. Phân tích các nguyên nhân dẫn đến việc mất an toàn bảo mật HTTT
• 2.8. Đánh giá An toàn bảo mật HTTT tại công ty
• 3. CHƯƠNG 3: CÁC ĐỀ XUẤT VỀ AN TOÀN BẢO MẬT HTTT CHO CÔNG TY TNHH XUẤT NHẬP KHẨU THƯƠNG MẠI VÀ DỊCH VỤ TÂN ĐẠI DƯƠNG
• 3.1. Các phương pháp đề xuất nâng cao an toàn bảo mật HTTT cho công ty
• 3.1.1. Nâng cao an toàn bảo mật thông tin bằng biện pháp phần cứng
• 3.1.2. Nâng cao an toàn bảo mật thông tin bằng biện pháp phần mềm
• 3.2. Một số giải pháp đảm bảo an toàn dữ liệu
• 3.3. Một số biện pháp khắc phục tấn công từ bên ngoài
• 3.4. Triển khai hệ thống tiêu chuẩn ISO
• 3.5. Đào tạo nhân lực, nâng cao nhận thức người dùng
• 3.6. Kết luận và kiến nghị
• 3.6.1. Kết luận chung
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về giải pháp nâng cao an toàn bảo mật hệ thống thông tin

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc đảm bảo an toàn bảo mật cho hệ thống thông tin là một nhiệm vụ cấp thiết. Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương cần áp dụng các giải pháp bảo mật hiệu quả để bảo vệ dữ liệu và thông tin quan trọng. Việc này không chỉ giúp ngăn chặn các cuộc tấn công từ bên ngoài mà còn bảo vệ tài sản trí tuệ của công ty.

1.1. Khái niệm về an toàn thông tin và bảo mật hệ thống

An toàn thông tin là việc bảo vệ thông tin khỏi các mối đe dọa, đảm bảo tính bí mật, toàn vẹn và sẵn sàng của dữ liệu. Bảo mật hệ thống thông tin bao gồm các biện pháp kỹ thuật và quản lý nhằm ngăn chặn truy cập trái phép và bảo vệ dữ liệu khỏi các cuộc tấn công.

1.2. Tầm quan trọng của an toàn bảo mật thông tin trong doanh nghiệp

An toàn bảo mật thông tin không chỉ bảo vệ tài sản của công ty mà còn duy trì uy tín và lòng tin của khách hàng. Một hệ thống thông tin an toàn giúp công ty hoạt động hiệu quả hơn và giảm thiểu rủi ro trong kinh doanh.

II. Các thách thức trong việc bảo mật hệ thống thông tin hiện nay

Công ty Tân Đại Dương đang đối mặt với nhiều thách thức trong việc bảo mật hệ thống thông tin. Các mối đe dọa từ tội phạm mạng ngày càng gia tăng, cùng với sự phát triển nhanh chóng của công nghệ, tạo ra nhiều lỗ hổng bảo mật. Việc nhận thức và ứng phó kịp thời với các thách thức này là rất quan trọng.

2.1. Các hình thức tấn công phổ biến hiện nay

Các hình thức tấn công như tấn công từ chối dịch vụ (DoS), tấn công lừa đảo (phishing) và mã độc (malware) đang gia tăng. Những hình thức này có thể gây thiệt hại nghiêm trọng cho hệ thống thông tin của công ty.

2.2. Nguyên nhân dẫn đến mất an toàn thông tin

Nguyên nhân chính dẫn đến mất an toàn thông tin bao gồm việc thiếu nhận thức về bảo mật, lỗ hổng trong phần mềm và sự thiếu sót trong quy trình quản lý. Những yếu tố này tạo điều kiện cho các cuộc tấn công xảy ra.

III. Phương pháp nâng cao an toàn bảo mật hệ thống thông tin

Để nâng cao an toàn bảo mật cho hệ thống thông tin, công ty Tân Đại Dương cần áp dụng một số phương pháp hiệu quả. Các giải pháp này bao gồm việc sử dụng công nghệ bảo mật tiên tiến, đào tạo nhân viên và thiết lập quy trình quản lý rủi ro.

3.1. Sử dụng công nghệ bảo mật hiện đại

Công nghệ bảo mật như tường lửa, mã hóa dữ liệu và hệ thống phát hiện xâm nhập (IDS) là những công cụ quan trọng giúp bảo vệ hệ thống thông tin khỏi các mối đe dọa. Việc đầu tư vào công nghệ này sẽ giúp công ty giảm thiểu rủi ro.

3.2. Đào tạo nhân viên về an toàn thông tin

Đào tạo nhân viên về các biện pháp bảo mật và nhận thức về an toàn thông tin là rất cần thiết. Nhân viên cần hiểu rõ các mối đe dọa và cách phòng tránh để bảo vệ thông tin của công ty.

3.3. Thiết lập quy trình quản lý rủi ro

Quy trình quản lý rủi ro giúp công ty xác định, đánh giá và xử lý các rủi ro liên quan đến an toàn thông tin. Việc này giúp công ty chủ động hơn trong việc ứng phó với các mối đe dọa.

IV. Ứng dụng thực tiễn các giải pháp bảo mật tại công ty Tân Đại Dương

Việc áp dụng các giải pháp bảo mật tại công ty Tân Đại Dương đã mang lại nhiều kết quả tích cực. Công ty đã giảm thiểu được các sự cố an ninh và nâng cao được nhận thức của nhân viên về an toàn thông tin.

4.1. Kết quả đạt được từ việc áp dụng công nghệ bảo mật

Sau khi triển khai các công nghệ bảo mật, công ty đã giảm thiểu được số lượng các cuộc tấn công thành công. Hệ thống thông tin hoạt động ổn định và an toàn hơn.

4.2. Tác động của đào tạo nhân viên đến an toàn thông tin

Đào tạo nhân viên đã giúp nâng cao nhận thức về an toàn thông tin. Nhân viên trở nên cẩn trọng hơn trong việc xử lý thông tin và phát hiện các mối đe dọa sớm hơn.

V. Kết luận và hướng phát triển tương lai về an toàn bảo mật thông tin

Việc nâng cao an toàn bảo mật thông tin là một quá trình liên tục. Công ty Tân Đại Dương cần tiếp tục cải thiện các biện pháp bảo mật và cập nhật công nghệ mới để đối phó với các mối đe dọa ngày càng tinh vi.

5.1. Tầm nhìn tương lai về an toàn thông tin

Công ty cần xây dựng một chiến lược dài hạn về an toàn thông tin, bao gồm việc đầu tư vào công nghệ mới và nâng cao năng lực cho nhân viên.

5.2. Đề xuất các giải pháp cải tiến trong tương lai

Cần nghiên cứu và áp dụng các giải pháp bảo mật tiên tiến như trí tuệ nhân tạo và học máy để phát hiện và ngăn chặn các mối đe dọa một cách hiệu quả hơn.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghiệp hóa và hiện đại hóa, công nghệ thông tin (CNTT) đóng vai trò then chốt trong việc hỗ trợ các tổ chức, doanh nghiệp thu thập, xử lý, phân phối dữ liệu và tối ưu hóa hiệu quả kinh doanh. Tuy nhiên, cùng với tốc độ phát triển phần mềm nhanh chóng dẫn đến nhiều lỗ hổng chưa được kiểm tra kỹ trước khi phát hành, sự phân tán của hệ thống mạng đã tạo điều kiện cho các nguy cơ tấn công mạng gia tăng. Theo báo cáo từ Kaspersky Lab vào quý IV/2015, Việt Nam đứng thứ ba trên thế giới về sự nguy hiểm tiềm ẩn khi lướt web với 35% số người dùng từng bị tấn công. Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT) cũng ghi nhận hơn 30.000 sự cố an ninh thông tin trong năm 2015. Bên cạnh đó, các cơ sở pháp lý và sự kiện an ninh quan trọng như Luật An toàn thông tin mạng số 86/2015/QH13 và Hội thảo - Triển lãm quốc gia Security World 2016 đã đặt ra yêu cầu cấp thiết về bảo đảm an toàn hệ thống thông tin (HTTT) cho các doanh nghiệp.

Đối với Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương (TDD Group), việc ứng dụng CNTT vào hoạt động xuất nhập khẩu và kinh doanh thương mại đòi hỏi hệ thống mạng và dữ liệu phải hoạt động liên tục, an toàn. Tuy nhiên, hệ thống mạng của đơn vị vẫn còn tồn tại các lỗ hổng bảo mật, nguy cơ lây nhiễm mã độc và thiếu hụt các giải pháp bảo vệ chuyên sâu. Xuất phát từ thực tế đó, đề tài "Một số giải pháp nâng cao tính an toàn bảo mật HTTT cho công ty TNHH xuất nhập khẩu thương mại và dịch vụ Tân Đại Dương" được thực hiện.

Mục tiêu chung của nghiên cứu là hệ thống hóa cơ sở lý luận về an toàn bảo mật thông tin và phân tích, đánh giá thực trạng hệ thống tại doanh nghiệp để đưa ra các biện pháp khắc phục.

Mục tiêu và nhiệm vụ cụ thể được xác định như sau:

1. Khái quát lý thuyết và cơ sở lý luận về an toàn và bảo mật thông tin trong hệ thống thông tin quản lý.
2. Thu thập, phân tích, xử lý và đánh giá thực trạng an toàn bảo mật HTTT tại Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương, làm rõ các tồn tại dựa trên khảo sát thực tế.
3. Đề xuất các giải pháp kỹ thuật (phần cứng, phần mềm) và quản lý (chính sách, tiêu chuẩn, nhân lực) nhằm khắc phục lỗ hổng, ngăn chặn nguy cơ mất an toàn thông tin tại công ty.

Phạm vi nghiên cứu của khóa luận được xác định:

• Phạm vi không gian: Trụ sở giao dịch của Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương tại Tầng 8, Tòa nhà 315 Trường Chinh, Quận Thanh Xuân, Thành phố Hà Nội.
• Phạm vi thời gian: Dữ liệu khảo sát tình hình kinh doanh và hiện trạng HTTT được thu thập trong giai đoạn từ năm 2014 đến năm 2016, kết hợp quá trình thực tập thực tế của tác giả tại đơn vị vào năm 2017.

Cơ sở lý thuyết và phương pháp

Khóa luận vận dụng các khái niệm và khung lý thuyết nền tảng về HTTT và an toàn dữ liệu:

• Khái niệm cơ bản: Phân định rõ ràng giữa dữ liệu (ký tự, số liệu, tập tin chưa qua xử lý) và thông tin (dữ liệu đã qua xử lý mang ý nghĩa cho người sử dụng). Hệ thống thông tin quản lý (MIS) được định nghĩa là hệ thống mạng máy tính phối hợp thu thập, lưu trữ, tìm kiếm, xử lý và cung cấp thông tin phục vụ điều hành doanh nghiệp.
• Mô hình bảo mật CIA: Hệ thống an toàn thông tin phải bảo đảm đồng thời ba thuộc tính cốt lõi: Tính bảo mật (Confidentiality - chỉ người được cấp quyền mới được truy cập), Tính toàn vẹn (Integrity - thông tin chính xác, không bị chỉnh sửa trái phép), và Tính sẵn sàng (Availability - dữ liệu luôn sẵn sàng phục vụ khi người dùng hợp pháp yêu cầu).
• Bộ tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27000: Trọng tâm là tiêu chuẩn ISO/IEC 27001:2005 (tiền thân từ BS 7799 của Viện Tiêu chuẩn Anh - BSI và ISO/IEC 17799:2000) quy định các yêu cầu thiết lập Hệ thống quản lý an toàn thông tin (ISMS), cùng các tiêu chuẩn thành phần như ISO/IEC 27002, 27003, 27004, 27005, 27006.
• Các mô hình và giao thức kỹ thuật: Giao thức mạng TCP/IP, công nghệ lọc gói tin (Packet Filtering / Stateful Packet Inspection - SPI), mạng riêng ảo VPN (IPSec với hai chế độ Tunnel và Transport), giao thức mã hóa truyền tin (SSL, SET, WEP), cơ chế mã hóa đối xứng và bất đối xứng (PGP).

Phương pháp nghiên cứu được triển khai bao gồm:

• Thu thập dữ liệu sơ cấp: Thiết kế phiếu điều tra trắc nghiệm khảo sát cán bộ nhân viên tại văn phòng giao dịch Thanh Xuân về tình hình ứng dụng CNTT, phần mềm, thói quen đặt mật khẩu và biện pháp bảo vệ dữ liệu.
• Thu thập dữ liệu thứ cấp: Thu thập báo cáo tài chính giai đoạn 2014-2016 từ phòng kinh doanh và phòng kế toán của công ty; nghiên cứu các giáo trình chuyên ngành (Giáo trình mạng máy tính - NXB Thông tin và Truyền thông 2008, Giáo trình an toàn dữ liệu - Đại học Thương Mại 2007), Luật An toàn thông tin mạng 86/2015/QH13 cùng các công trình nghiên cứu trước đó của Nguyễn Minh Quang và Trần Thị Thập.
• Phương pháp phân tích và xử lý số liệu: Ứng dụng phần mềm Microsoft Excel để tổng hợp số liệu khảo sát, tính toán tỷ lệ phần trăm và vẽ biểu đồ phân tích thực trạng.

Nội dung chính theo từng chương

Chương 1: Cơ sở lý luận về an toàn bảo mật

Chương 1 hệ thống hóa toàn diện các khái niệm, cơ chế tấn công và phương thức bảo đảm an toàn bảo mật HTTT trong doanh nghiệp:

• Hình thức tấn công HTTT: Phân loại thành tấn công thụ động và tấn công chủ động. Tấn công thụ động gồm dạng ngoại tuyến (truy cập trực tiếp, trộm mật khẩu lưu không mã hóa) và trực tuyến (như lừa đảo trực tuyến - Phishing). Tấn công chủ động bao gồm tấn công từ chối dịch vụ (DoS), từ chối dịch vụ phân tán (DDoS), tấn công tràn bộ đệm, tấn công qua ký tự điều khiển đồng bộ SYN, tấn công giả mạo và người đứng giữa (Man-in-the-Middle - MITM).
• Các nguy cơ mất an toàn thông tin: Bao gồm nguy cơ vật lý (sự cố điện, nhiệt độ, độ ẩm, cháy nổ, phá hoại phần cứng); nguy cơ mất, hỏng, sửa đổi nội dung; nguy cơ từ phần mềm độc hại (Virus, Worm, Trojan, Spyware, Adware); lỗ hổng bảo mật hệ điều hành; nguy cơ dò quét phá mật khẩu bằng các công cụ tự động (như phần mềm Xavior, Authforce, Hypnopaedia); và nguy cơ bị can thiệp gói tin trên đường truyền.
• Các phương pháp bảo đảm an toàn, bảo mật:
  • Phân quyền người sử dụng: Thiết lập 5 nhóm quyền truy cập gồm Quyền quản trị (Administrators), Quyền sao lưu và khôi phục (Backup Operators), Quyền thêm người dùng (Power Users), Nhóm người dùng thông thường (Users) và Nhóm khách (Guests).
  • Công nghệ tường lửa (Firewall): Kiểm soát luồng dữ liệu dựa trên IP nguồn/đích, cổng TCP/UDP, giao thức truyền tin (TCP, UDP, ICMP); phân tích các giải pháp của Cisco, Safe@Office (Check Point), Juniper Netscreen-5GT.
  • Sao lưu dữ liệu: Nêu dẫn số liệu khảo sát thực tế tại Việt Nam (69% doanh nghiệp gặp sự cố mất mát dữ liệu, 58% từng mất dữ liệu quan trọng, 100% chịu tổn thất tài chính, 2/3 doanh nghiệp mất thiết bị di động trong vòng 1 năm) để nhấn mạnh sự cần thiết của các phương pháp sao lưu đầy đủ, sao lưu khác biệt (Differential Backup) và sao lưu bổ sung (Incremental Backup).
  • Giải pháp quản lý và con người: Xây dựng chính sách an ninh thông tin, mã hóa kênh truyền (SSL/TLS), đào tạo nhận thức và triển khai khung quản lý ISMS theo tiêu chuẩn ISO/IEC 27001.

Chương 2: Phân tích, đánh giá thực trạng về an toàn bảo mật HTTT của Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương

Chương này trình bày tổng quan về tổ chức, tình hình sản xuất kinh doanh và đi sâu khảo sát hạ tầng, chính sách bảo mật tại đơn vị:

• Thông tin doanh nghiệp: Công ty hoạt động theo Giấy chứng nhận đăng ký doanh nghiệp cấp ngày 22/04/2009, mã số thuế 0103734612, do ông Đoàn Mạnh Dương làm Tổng Giám đốc. Lĩnh vực hoạt động chính gồm xuất nhập khẩu máy văn phòng, thiết bị công nghiệp khai khoáng, máy thủy, phụ tùng điện máy và đầu tư xây dựng.
• Tình hình hoạt động kinh doanh: Kết quả kinh doanh giai đoạn 2014-2016 duy trì tăng trưởng, tạo điều kiện tài chính cho đầu tư CNTT.

Chỉ tiêu tài chính	Năm 2014 (VNĐ)	Năm 2015 (VNĐ)	Năm 2016 (VNĐ)
Doanh thu thuần	6.600	Tăng trưởng	Tăng trưởng
Doanh thu từ TMĐT	1.000	Tăng trưởng	Tăng trưởng
Lợi nhuận trước thuế	685.000	Tăng trưởng	Tăng trưởng
Lợi nhuận sau thuế	514.680	Tăng trưởng	Tăng trưởng

• Nguồn nhân lực CNTT: Đội ngũ kỹ thuật gồm 3 nhân sự phần cứng, 7 nhân sự dịch vụ phần mềm và 4 nhân sự phát triển phần mềm; tỷ lệ có bằng đại học và trên đại học đạt 37,8%. Bộ phận quản trị HTTT có 7 cán bộ chuyên trách (chiếm 2,3% tổng nhân sự công ty). Về kỹ năng sử dụng phần mềm của nhân viên toàn công ty: 30% thành thạo, 60% khá, 9% trung bình và 1% yếu.
• Hạ tầng phần cứng và mạng: Doanh nghiệp sở hữu 3 máy chủ chuyên dụng (Web server, Mail server, File server); 5 máy in; thiết bị mạng gồm 2 Modem Wi-Fi TP-Link (4 cổng + wireless) và 2 Switch TP-Link (16 cổng), kết nối 1 đường truyền ADSL. Mạng nội bộ kết hợp có dây (20 máy tính) và không dây Wi-Fi (11 máy tính).
• Hạ tầng phần mềm và lưu trữ: Máy chủ cài đặt Windows Server 2007 quản lý dịch vụ DNS, Domain và File server. Máy trạm sử dụng Windows XP, Windows 7, Windows 8, bộ ứng dụng Office 2010 và phần mềm kế toán Misa.
• Thực trạng tồn tại và nguyên nhân mất an toàn:
  • Tỷ lệ sử dụng phần mềm không bản quyền (bẻ khóa, tải miễn phí) chiếm tới 65%, trong khi phần mềm có bản quyền chỉ chiếm 35%.
  • Biện pháp bảo vệ dữ liệu còn phân tán: 30% máy tính dùng ổ cứng độ bền cao, 45% đồng bộ qua mạng và 25% thực hiện sao lưu.
  • Phần mềm diệt virus tại các máy trạm là bản miễn phí Bkav Home Plus, hạn chế khả năng bóc tách mã độc và xử lý các loại virus mới.
  • Hệ thống mạng thả nổi truy cập Internet, nhân viên sử dụng mạng xã hội (Facebook, Twitter), đọc báo, chơi game trong giờ làm việc; tình trạng đặt mật khẩu đơn giản, dùng chung tài khoản và kết nối Wi-Fi công cộng không an toàn diễn ra phổ biến.
  • Máy chủ đã sử dụng lâu năm, từng phát sinh lỗi tràn bộ nhớ và suy giảm hiệu năng; mạng nội bộ chưa có thiết bị tường lửa phần cứng chuyên dụng bảo vệ.

Chương 3: Các đề xuất về an toàn bảo mật HTTT cho Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương

Tác giả đề xuất hệ thống giải pháp đồng bộ kết hợp giữa kỹ thuật phần cứng, phần mềm, chính sách và đào tạo:

• Biện pháp phần cứng - Triển khai tường lửa Cisco ASA:
  • Đề xuất trang bị thiết bị tường lửa phần cứng Cisco ASA (mẫu đại diện ASA 5510 / dòng tích hợp Cisco ASA with FirePOWER Services, công nghệ NGIPS và AMP từ SourceFire) đặt tại cửa ngõ giữa mạng nội bộ và Internet.
  • Xây dựng mô hình kiểm thử và hướng dẫn chi tiết quy trình giả lập Cisco ASA phiên bản hệ điều hành 8.4.2 trên phần mềm GNS3 thông qua máy ảo QEMU (sử dụng 2 tệp tin asa842-initrd và asa842-vmlinuz), kích hoạt bản quyền lệnh và quản trị qua giao diện ASDM hoặc CLI.
• Phát triển mạng riêng ảo VPN:
  • Thay thế mô hình Private Network truyền thống vốn đòi hỏi thuê kênh truyền cố định (Dedicated Line) tốn kém khi công ty mở thêm chi nhánh thứ hai tại Hà Nội vào cuối năm 2018.
  • Thiết lập kênh truyền VPN mã hóa trên nền Internet sử dụng giao thức IPSec (áp dụng cơ chế Tunnel/Transport) kết hợp kỹ thuật NAT/PAT và DNS, cho phép người dùng từ xa và chi nhánh kết nối an toàn vào mạng nội bộ.
• Biện pháp phần mềm và bảo vệ dữ liệu:
  • Thay thế phần mềm diệt virus miễn phí bằng phiên bản thương mại có bản quyền Bkav Pro Internet Security 2015 tích hợp công nghệ chống mã độc tống tiền (Anti-Ransomware) giúp ngăn chặn các loại mã độc như CryptoLocker hoặc CTB-Locker.
  • Đề xuất mô hình giải pháp sao lưu tập trung Vbackup kết hợp phương pháp đẩy (push method) và phân tích dữ liệu mô phỏng.
• Áp dụng tiêu chuẩn quản lý và nâng cao nhận thức con người:
  • Triển khai áp dụng tiêu chuẩn hệ thống quản lý an toàn thông tin ISO/IEC 27001:2005.
  • Ban hành quy chế phân quyền chặt chẽ theo vai trò (cấu hình chứng thực ProfTDD), kiểm soát thiết bị lưu trữ ngoài, xây dựng chính sách phòng ngừa thất thoát dữ liệu (DLP), tổ chức định kỳ các khóa tập huấn nâng cao nhận thức an toàn thông tin cho toàn thể cán bộ nhân viên.

Kết quả và đóng góp

Khóa luận đã hoàn thành các nhiệm vụ nghiên cứu đặt ra và đạt được các kết quả cụ thể:

• Khảo sát định lượng cụ thể hiện trạng doanh nghiệp: Phản ánh chính xác thực trạng hạ tầng CNTT của Công ty Tân Đại Dương với quy mô 3 máy chủ, 31 máy trạm, 2 Switch, 2 Modem Wi-Fi và 7 cán bộ quản trị HTTT. Chỉ ra các con số thực tế về nguy cơ: 65% phần mềm không có bản quyền, thói quen sao lưu mới đạt 25%, và kỹ năng sử dụng phần mềm của nhân viên còn 10% ở mức trung bình và yếu.
• Đề xuất giải pháp kỹ thuật có tính ứng dụng: Thiết kế cấu hình giải pháp tường lửa Cisco ASA có kiểm chứng qua mô phỏng trên phần mềm GNS3; đề xuất phương án VPN IPSec giải quyết bài toán kết nối chi nhánh dự kiến vào cuối năm 2018 nhằm tiết kiệm chi phí đường truyền chuyên dụng; đưa ra phương án nâng cấp giải pháp phòng chống mã độc tống tiền với Bkav Pro 2015.
• Đóng góp so với các nghiên cứu trước: Khác với công trình của Nguyễn Minh Quang (chỉ tập trung vào mã hóa giao dịch thương mại điện tử) hay nghiên cứu của Trần Thị Thập (chỉ tiếp cận lý thuyết tổng thể mô hình B2B), khóa luận này đã đi sâu vào một doanh nghiệp xuất nhập khẩu cụ thể, kết hợp đồng bộ giữa giải pháp kỹ thuật thiết bị (Cisco, VPN), phần mềm diệt virus, chính sách người dùng và quy chuẩn quốc tế ISO/IEC 27001.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế: Phạm vi nghiên cứu mới chỉ tập trung tại trụ sở giao dịch quận Thanh Xuân của công ty; dữ liệu khảo sát giới hạn trong giai đoạn 2014-2016. Mặt khác, các cấu hình đề xuất cho tường lửa Cisco ASA mới dừng lại ở mức độ thử nghiệm giả lập trên môi trường mạng ảo GNS3 (QEMU), chưa có điều kiện thử nghiệm tải thực tế trên thiết bị phần cứng thật tại doanh nghiệp.
• Hướng nghiên cứu tiếp: Mở rộng đánh giá khi doanh nghiệp thành lập chi nhánh mới tại Hà Nội vào cuối năm 2018; đo lường hiệu năng thực tế của đường truyền VPN IPSec và kiểm tra tính tương thích của thiết bị tường lửa phần cứng khi triển khai trực tiếp vào hệ thống mạng doanh nghiệp.

Giá trị tham khảo

Khóa luận là tài liệu tham khảo hữu ích cho sinh viên các chuyên ngành Hệ thống thông tin kinh tế, Thương mại điện tử và Công nghệ thông tin ứng dụng khi thực hiện đề tài tốt nghiệp liên quan đến an toàn mạng doanh nghiệp. Đối với các nhà quản trị mạng tại các doanh nghiệp vừa và nhỏ (SMEs) ngành thương mại - dịch vụ, đề tài cung cấp tài liệu tham khảo thiết thực về quy trình khảo sát an ninh thông tin, quy trình giả lập cấu hình thiết bị Cisco ASA trên GNS3 và giải pháp kết nối VPN đa điểm tiết kiệm chi phí.

Câu hỏi thường gặp

1. Tỷ lệ sử dụng phần mềm có bản quyền tại Công ty Tân Đại Dương vào thời điểm khảo sát là bao nhiêu?
Theo kết quả khảo sát xử lý qua Excel tại Chương 2, công ty có 65% phần mềm đang sử dụng là phần mềm không bản quyền (bản crack hoặc tải miễn phí từ mạng Internet) và chỉ có 35% là phần mềm có bản quyền.

2. Đề tài đề xuất giải pháp tường lửa phần cứng nào và được kiểm thử bằng công cụ gì?
Tác giả đề xuất trang bị giải pháp tường lửa Cisco ASA (dòng sản phẩm ASA 5510 / Cisco ASA with FirePOWER Services). Giải pháp này được xây dựng và kiểm thử giả lập trên phần mềm GNS3 phiên bản IOS ASA 8.4.2 thông qua máy ảo QEMU với 2 tệp tin khởi tạo asa842-initrd và asa842-vmlinuz.

3. Tại sao tác giả lại đề xuất giải pháp VPN thay cho việc tiếp tục sử dụng Private Network khi công ty mở chi nhánh mới?
Vì công ty dự kiến mở chi nhánh thứ hai tại Hà Nội vào cuối năm 2018. Nếu duy trì Private Network truyền thống kết nối giữa các địa điểm khác nhau, doanh nghiệp bắt buộc phải thuê đường truyền chuyên dụng cố định (Dedicated Line) với chi phí định kỳ rất cao. Giải pháp VPN trên nền Internet vừa bảo đảm mã hóa dữ liệu (IPSec Tunnel/Transport), vừa tiết kiệm ngân sách hoạt động.

4. Khóa luận ghi nhận công ty sử dụng những phần mềm hệ thống và phần mềm nghiệp vụ nào?
Về hệ điều hành máy chủ, công ty sử dụng Windows Server 2007 để quản trị DNS, Domain và File server. Máy trạm sử dụng Windows XP, Windows 7, Windows 8, bộ ứng dụng văn phòng Microsoft Office 2010, phần mềm kế toán Misa và phần mềm diệt virus Bkav Home Plus.

5. Khung tiêu chuẩn quốc tế nào được tác giả đề xuất để quản lý an toàn thông tin tại doanh nghiệp?
Tác giả đề xuất áp dụng tiêu chuẩn ISO/IEC 27001:2005 (nằm trong bộ tiêu chuẩn ISO/IEC 27000, phát triển từ tiêu chuẩn BS 7799) để xây dựng Hệ thống quản lý an toàn thông tin (ISMS) toàn diện cho công ty.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Thị Chương đã hệ thống hóa đầy đủ cơ sở lý luận về an toàn, bảo mật hệ thống thông tin quản lý và phân tích chi tiết thực trạng hạ tầng CNTT tại Công ty TNHH Xuất nhập khẩu Thương mại và Dịch vụ Tân Đại Dương. Nghiên cứu đã chỉ rõ các điểm yếu về tỷ lệ phần mềm bẻ khóa cao, nguy cơ lây nhiễm mã độc và việc thiếu vắng thiết bị tường lửa chuyên dụng. Trên cơ sở đó, tác giả đưa ra hệ thống giải pháp mang tính khả thi cao bao gồm triển khai tường lửa Cisco ASA, thiết lập mạng riêng ảo VPN IPSec cho chi nhánh mới, nâng cấp phần mềm Bkav Pro 2015 và áp dụng chuẩn ISO/IEC 27001 nhằm nâng cao năng lực an ninh mạng cho doanh nghiệp.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: CƠ SỞ LÝ LUẬN VỀ AN TOÀN BẢO MẬT 1.1 Một số khái niệm cơ bản 1.1 Khái niệm chung Dữ liệu có rất nhiều những khái niệm cơ bản về thông tin hiện nay, tuy nhiên phần lớn những khái niệm đều có chung một quan điểm đúng đắn về vấn đề, dữ liệu là những ký tự, số liệu, các tập tin rời rạc hoặc các dữ liệu chung chung…dữ liệu chưa mang cho con người sự hiểu biết mà phải thông qua quá trình xử lý dữ liệu thành thông tin thì con người mới có thể hiểu được về đối tượng mà dữ liệu đang biểu hiện. Thông tin theo nghĩa thông thường, thông tin là điều hiểu biết về một sự kiện, một hiện tượng nào đó, thu nhận được qua khảo sát, đo lường, trao đổi, nghiên cứu…. Thông tin là những dữ liệu đã được xử lý sao cho nó thực sự có ý nghĩa đối với người sử dụng. Thông tin được coi như là một sản phẩm hoàn chỉnh thu được sau quá trình xử lý dữ liệu.

Hệ thống thông tin là một tập hợp và kết hợp của các phần cứng, phần mềm và các hệ mạng truyền thông được xây dựng và sử dụng để thu thập, tạo, tái tạo, phân phối và chia sẻ các dữ liệu, thông tin và tri thức nhằm phục vụ các mục tiêu của tổ chức. Các tổ chức có thể sử dụng các hệ thống thông tin với nhiều mục đích khác nhau. Trong việc quản trị nội bộ, hệ thống thông tin sẽ giúp đạt được sự thông hiểu nội bộ, thống nhất hành động, duy trì sức mạnh của tổ chức, đạt được lợi thế cạnh tranh.Với bên ngoài, hệ thống thông tin giúp nắm bắt được nhiều thông tin về khách hàng hơn hoặc cải tiến dịch vụ, nâng cao sức cạnh tranh, tạo đà cho phát triển. Hệ thống thông tin quản lý (MIS- Management Information System) được hiểu như là một hệ thống dùng để tiến hành quản lý cùng với những thông tin được cung cấp thường xuyên.

Ngày nay, do công nghệ máy tính đã tham gia vào tất cả các hoạt động quản lý nên nói đến MIS là nói đến hệ thống thông tin quản lý được trợ giúp của máy tính. Theo quan điểm của các nhà công nghệ thông tin, MIS là một mạng lưới máy tính có tổ chức nhằm phối hợp việc thu thập, xử lý và truyền thông tin. MIS là tập hợp các phương tiện, các phương pháp và các bộ phận có liên hệ chặt chẽ với nhau, nhằm đảm bảo cho việc thu thập, lưu trữ, tìm kiếm xử lý và cung cấp những thông tin cần thiết cho quản lý. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 7 GVHD :TS.

Nguyễn Thị Thu Thủy Nguồn: Giáo trình mạng máy tính, 2008 , NXB Thông tin và Truyền thông.2 Khái niệm về an toàn, bảo mật HTTT quản lý An toàn bảo mật thông tin là vấn đề cơ bản của một HTTT quản lý, có rất nhiều sách báo, giáo trình đưa ra khái niệm này. Tổng kết từ nhiều giáo trình trong nước về khái niệm này ta đi tới một khái niệm phổ thông nhất, được biên soạn trong các giáo trình đại học như sau : An toàn thông tin được hiểu như sau an toàn khi thông tin đó không bị làm hỏng hóc, không bị sửa đổi, thay đổi, sao chép hoặc xóa bỏ bởi người không được phép. Bảo mật thông tin là duy trì tính bí mật, tính toàn vẹn và tính sẵn sàng của thông tin. Tính bảo mật (confidentially): Đảm bảo chỉ có những cá nhân được cấp quyền mới được phép truy cập vào hệ thống.

Đây là yêu cầu quan trọng của bảo mật thông tin bởi vì đối với các tổ chức doanh nghiệp thì thông tin là tài sản có giá trị hàng đầu, việc các cá nhân không được cấp quyền truy nhập trái phép vào hệ thống sẽ làm cho thông tin bị thất thoát đồng nghĩa với việc tài sản của công ty bị xâm hại, có thể dẫn đến phá sản. Tính toàn vẹn (integrity): Đảm bảo rằng thông tin luôn ở trạng thái đúng, chính xác, người sử dụng luôn được làm việc với các thông tin tin cậy chân thực. Chỉ các cá nhân được cấp quyền mới được phép chỉnh sửa thông tin. Kẻ tấn công không chỉ có ý định đánh cắp thông tin mà còn mong muốn làm cho thông tin bị mất giá trị sử dụng bằng cách tạo ra các thông tin sai lệch gây thiệt hại cho công ty.

Tính sẵn sàng (availabillity): Đảm bảo cho thông tin luôn ở trạng thái sẵn sàng phục vụ, bất cứ lúc nào người sử dụng hợp pháp có nhu cầu đều có thể truy nhập được vào hệ thống. Có thể nói rằng đây yêu cầu quan trọng nhất, vì thông tin chỉ hữu ích khi người sử dụng cần là có thể dùng được, nếu 2 yêu cầu trên được đảm bảo nhưng yêu cầu cuối cùng không được đảm bảo thì thông tin cũng trở nên mất giá trị. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 8 GVHD :TS. Nguyễn Thị Thu Thủy Hình 2.1 : Mối quan hệ giữa các yếu tố của một HTTT an toàn, bảo mật Bảo mật HTTT quản lý Tính sẵn sàng Tính toàn vẹn Tính bảo mật (Nguồn: Giáo trình an toàn dữ liệu, Bộ môn CNTT, Trường Đại học Thương mại Hà Nội, 2007) Một HTTT nói chung và một HTTT quản lý nói riêng được coi là bảo mật khi tính riêng tư của nội dung thông tin được đảm bảo theo đúng các tiêu chí trong một thời gian xác định.

Một số cơ sở lý luận về An toàn bảo mật HTTT 1. Một số hình thức tấn công đến bảo mật và các nguy cơ mất an toàn thông tin trong HTTT 1.1 Một số hình thức tấn công HTTT Các hình thức tấn công có thể kể đến là hình thức tấn công thụ động và tấn công chủ động. Có thể hiểu đó là hình thức lấy cắp hoặc thay đổi, phá hoại dữ liệu trái phép. Vi phạm tính toàn vẹn, sẵn sàng dữ liệu.

Hình thức tấn công thụ động là việc kẻ tấn công lấy được thông tin trên đường truyền mà không gây ảnh hưởng gì đến thông tin được truyền từ nguồn đến đích. Tấn công thụ động rất khó phát hiện và khó phòng tránh nên rất nguy hiểm. Hiện nay tấn công thụ động đang ngày càng phát triển do đó cần có các biện pháp phòng tránh trước khi tấn công xảy ra. Tấn công thụ động là loại tấn công mà thông tin tài khoản bị đánh cắp được lưu lại để sử dụng sau.

Loại tấn công này lại có hai dạng đó là tấn công trực tuyến SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 9 GVHD :TS. Nguyễn Thị Thu Thủy (online) và tấn công ngoại tuyến (offline), đây là những mối đe dọa an ninh mạng khó phát hiện nhất. + Tấn công ngoại tuyến có mục tiêu cụ thể, thực hiện bởi thủ phạm truy cập trực tiếp đến tài sản nạn nhân, có phạm vi hạn chế và hiệu suất thấp. Đây là dạng đánh cắp tài khoản đơn giản nhất, không yêu cầu có trình độ cao và cũng không tốn bất kỳ chi phí nào.

Người dùng có thể trở thành nạn nhân của kiểu tấn công này đơn giản chỉ vì họ để lộ mật khẩu hay lưu ở dạng không mã hóa trong tập tin có tên dễ đoán trên đĩa cứng. + Tấn công trực tuyến không có mục tiêu cụ thể. Kẻ tấn công nhắm đến số đông người dùng trên Intrenet, hy vọng khai thác những hệ thống lỏng lẻo hay lợi dụng sự cả tin của người dùng để đánh cắp tài khoản.Hình thức phổ biến nhất của tấn công trực tuyến là phishing. Phishing là một loại tấn công phi kỹ thuật, dùng đánh cắp các thông tin nhạy cảm bằng cách giả mạo người gửi, cách phòng tránh duy nhất là ý thức của người dùng.

Tấn công chủ động là các cuộc tấn công mà người tấn công hoàn toàn công khai và chủ động trong tổ chức và thực hiện cuộc tấn công với mục đích làm giảm hiệu năng hoặc làm tê liệt hoạt động của mạng máy tính hoặc hệ thống, là hình thức tấn công có sự can thiệp vào dữ liệu nhằm sửa đổi, thay thế làm lệch đường đi của dữ liệu. Đặc điểm của nó là có khả năng chặn các gói tin trên đường truyền, dữ liệu từ nguồn đến đích sẽ bị thay đổi. Tấn công chủ động tuy nguy hiểm nhưng lại dễ phát hiện được. Tấn công chủ động là dạng tấn công tinh vi đánh cắp và sử dụng tài khoản trong thời gian thực.

Tấn công chủ động khá tốn kém và yêu cầu trình độ kỹ thuật cao. Tấn công chủ động bao gồm các phương pháp tấn công từ chối dịch vụ (DoS), tấn công từ chối dịch vụ phân tán (DDoS), Tấn công tràn bộ đệm, tấn công qua ký tự điều khiển đồng bộ SYN (Synchronous Idle Character), giả mạo, người trung gian (MITM- Man in the Middle), giả mạo giao thức điều khiển truyền tin qua Internet, tự động kết nối đường truyền. Hình thức này có nghĩa là lục lại thông tin từ các vùng rác và đệm thông tin, để có được những thông tin quan trọng và tấn công nhờ các công cụ của các mạng xã hội. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 10 GVHD :TS.

Nguyễn Thị Thu Thủy Tấn công HTTT trên thực tế thường là sử dụng virus, trojan để ăn cắp thông tin, lợi dụng các lỗ hổng trong các phần mềm ứng dụng, tấn công phi kỹ thuật. Với mục đích nhằm lấy cắp hoặc phá hỏng dữ liệu, thông tin cũng như các chương trình ứng dụng. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 11 GVHD :TS. Nguyễn Thị Thu Thủy 1.2 Các nguy cơ mất ATTT trong HTTT Một số nguy cơ về khả năng mất an toàn thông tin mà Hệ thống CNTT cần cảnh báo là: + Nguy cơ mất an toàn thông tin về khía cạnh vật lý là nguy cơ mất an toàn thông tin về khía cạnh vật lý là nguy cơ do mất điện, nhiệt độ, độ ẩm không đảm bảo, hỏa hoạn, thiên tai, thiết bị phần cứng bị hư hỏng, các phần tử phá hoại như nhân viên xấu bên trong và kẻ trộm bên ngoài.

+ Nguy cơ bị mất, hỏng, sửa đổi nội dung thông tin: người dùng có thể vô tình để lộ mật khẩu hoặc không thao tác đúng quy trình tạo cơ hội cho kẻ xấu lợi dụng để lấy cắp hoặc làm hỏng thông tin. Kẻ xấu có thể sử dụng công cụ hoặc kỹ thuật của mình để thay đổi nội dung thông tin (các file) nhằm sai lệnh thông tin của chủ sở hữu hợp pháp.