Giới thiệu dự án

Trong bối cảnh chuyển đổi số và thương mại điện tử (TMĐT) bùng nổ, hệ thống thông tin (HTTT) đóng vai trò là xương sống vận hành của các doanh nghiệp bán lẻ và phân phối thiết bị công nghệ. Theo các báo cáo an ninh mạng toàn cầu từ Kaspersky và McAfee, các cuộc tấn công mạng nhằm vào cơ sở dữ liệu doanh nghiệp và hệ thống thanh toán trực tuyến ngày càng gia tăng về quy mô lẫn mức độ tinh vi. Đối với các doanh nghiệp phân phối thiết bị, việc gián đoạn dịch vụ hoặc rò rỉ dữ liệu khách hàng không chỉ gây thiệt hại tài chính trực tiếp mà còn làm xói mòn uy tín thương hiệu trên thị trường.

Công ty Cổ phần Điện tử Điện máy Thăng Long là đơn vị chuyên sản xuất và cung cấp thiết bị điện máy với mạng lưới phục vụ hơn 2.000 khách hàng trên toàn quốc. Hệ thống mạng nội bộ của công ty vận hành theo mô hình hình sao (Star Topology) kết nối hơn 100 máy tính để bàn (Acer Intel G630 2.7GHz, LG Core i3-2120), 55 máy tính xách tay (Apple OS X 10.8, ASUS Core i3 Kabylake, Dell Core i3-3110M), 20 camera giám sát HikVision và 01 máy chủ trung tâm IBM System x3650 - M3. Doanh nghiệp từng ghi nhận sự cố mất an toàn thông tin (ATTT), làm gián đoạn cục bộ tiến trình xử lý đơn hàng và tiềm ẩn nguy cơ lộ lọt dữ liệu kinh doanh.

                  +----------------------------------+
                  |         Internet / ISP           |
                  +-----------------+----------------+
                                    |
                                    v
                  +-----------------+----------------+
                  |      Edge Firewall Router        |
                  |   (Stateful Inspection & IDS)    |
                  +--------+----------------+--------+
                           |                |
         +-----------------+                +-----------------+
         |                                                    |
         v                                                    v
+--------+--------+                                  +--------+--------+
|    DMZ Zone     |                                  |  Internal LAN   |
| - Web Server    |                                  | - Accounting    |
| - Mail Gateway  |                                  | - Sales (iPOS)  |
+-----------------+                                  | - HR & Admin    |
                                                     +--------+--------+
                                                              |
                                                              v
                                                     +--------+--------+
                                                     |   Server Farm   |
                                                     | IBM x3650 - M3  |
                                                     | (SQL Server R2) |
                                                     +-----------------+

Mục tiêu nghiên cứu và triển khai của dự án được xác định cụ thể:

  1. Hệ thống hóa cơ sở lý luận về an toàn và bảo mật thông tin (ATBM) trong HTTT doanh nghiệp, bao gồm các chuẩn mật mã học (DES, CMAC) và mô hình phòng thủ nhiều lớp.
  2. Khảo sát, phân tích toàn diện thực trạng hạ tầng phần cứng, phần mềm, cơ sở dữ liệu (CSDL) và chính sách bảo mật tại Công ty Cổ phần Điện tử Điện máy Thăng Long.
  3. Thiết kế và triển khai kiến trúc tường lửa (Firewall) bảo vệ mạng biên kết hợp phân vùng an ninh, đồng thời tối ưu hóa cơ chế xác thực, phân quyền (RBAC) trên CSDL Microsoft SQL Server 2008 R2.
  4. Xây dựng quy trình quản trị rủi ro, nâng cao nhận thức bảo mật cho nhân sự nhằm phòng ngừa các cuộc tấn công kỹ nghệ xã hội (Social Engineering).

Phạm vi nghiên cứu tập trung vào hạ tầng mạng cục bộ (LAN), kết nối Internet thông qua nhà mạng VNPT, máy chủ CSDL, phần mềm bán hàng iPOS.vn, phần mềm kế toán nội bộ và website doanh nghiệp tại trụ sở Hoàng Mai, Hà Nội.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát thực tế 10 cán bộ nhân viên tại các phòng ban của công ty cho thấy 100% nhận thức được tầm quan trọng của bảo mật, tuy nhiên 100% xác nhận hệ thống chưa trang bị bộ lọc bảo mật email và duyệt web chuyên dụng. 70% nhân viên đánh giá việc tiếp cận thông tin nội bộ còn gặp nhiều bất cập do phân quyền chưa khoa học.

Tiêu chí phân tích Thực trạng hệ thống hiện tại Hạn chế và Rủi ro kỹ thuật
Bảo mật biên mạng Sử dụng Router mặc định của ISP, không có Firewall chuyên dụng Dễ bị tấn công TCP SYN Flooding, ICMP Smurf, Ping of Death
Bảo vệ máy trạm Cài đặt BKAV Pro, Symantec phân tán trên từng máy Thiếu quản trị chính sách tập trung, cập nhật chữ ký mã độc chậm
Cơ sở dữ liệu SQL Server 2008 R2 trên máy chủ IBM x3650 - M3 Nguy cơ SQL Injection, phân quyền theo nhóm người dùng chưa tối ưu
Bảo vệ ứng dụng Web/Mail Dùng SecurityPlus for MDaemon, PC Tools Doctor Không lọc được email lừa đảo tinh vi (Phishing), thiếu chống tấn công Man-In-The-Middle (MITM)

Ưu tiên yêu cầu kỹ thuật theo mô hình MoSCoW:

  • Must have (Bắt buộc): Thiết lập Firewall lọc gói tin theo trạng thái (Stateful Packet Inspection), ngăn chặn tấn công từ chối dịch vụ (DoS/DDoS), phân quyền truy cập CSDL mức bảng và khung nhìn (Views).
  • Should have (Nên có): Triển khai hệ thống phát hiện xâm nhập (IDS), mã hóa kênh truyền nội bộ nhạy cảm.
  • Could have (Có thể có): Áp dụng công nghệ Deep Learning trong nhận diện phần mềm độc hại không cần cập nhật mẫu liên tục.
  • Won't have (Chưa thực hiện): Chuyển đổi toàn bộ hệ thống lên kiến trúc điện toán đám mây công cộng (Public Cloud) trong giai đoạn này.

Thiết kế hệ thống

Kiến trúc an ninh thông tin được thiết kế theo mô hình phòng thủ chiều sâu (Defense-in-Depth), phân chia mạng nội bộ thành các phân vùng (Zones):

  • Vùng DMZ (Demilitarized Zone): Đặt máy chủ Web và hệ thống Mail Gateway.
  • Vùng Mạng Nội Bộ (Internal LAN): Phân chia VLAN riêng biệt cho Phòng Kế toán - Tài chính, Phòng Kinh doanh, Phòng Kỹ thuật và Ban Giám đốc.
  • Vùng Máy Chủ (Server Farm): Cô lập máy chủ IBM System x3650 - M3 (CPU Intel Xeon E5620 2.40GHz, RAM DDR3-1333, CSDL SQL Server 2008 R2), chỉ cho phép các cổng dịch vụ xác định (TCP Port 1433 có kiểm soát địa chỉ IP nguồn).
-- Kịch bản phân quyền Role-Based Access Control (RBAC) trên SQL Server 2008 R2
USE ThangLong_ERP;
GO

-- Tạo Role cho bộ phận Kế toán
CREATE ROLE db_accountant;
GO

-- Cấp quyền chỉ đọc trên danh mục sản phẩm và quyền ghi trên bảng giao dịch
GRANT SELECT ON dbo.tbl_Products TO db_accountant;
GRANT SELECT, INSERT, UPDATE ON dbo.tbl_Invoices TO db_accountant;
DENY DELETE ON dbo.tbl_Invoices TO db_accountant;
GO

-- Gán tài khoản người dùng vào Role
EXEC sp_addrolemember 'db_accountant', 'kt_nhanvien01';
GO

Methodology

Dự án áp dụng phương pháp luận nghiên cứu kết hợp giữa khảo sát định lượng (điều tra thực nghiệm với bộ câu hỏi cấu trúc) và mô hình phát triển bảo mật lặp (Iterative Security Lifecycle):

  1. Giai đoạn 1 - Đánh giá lỗ hổng (Vulnerability Assessment): Quét cổng dịch vụ, rà soát cấu hình mạng và nhật ký hệ thống (Log auditing).
  2. Giai đoạn 2 - Thiết kế và xây dựng giải pháp (Design & Hardening): Thiết lập quy tắc tường lửa (Firewall Rules), cấu hình bảng định tuyến và cô lập dịch vụ thừa.
  3. Giai đoạn 3 - Đánh giá rủi ro (Risk Mitigation):
Rủi ro an ninh Mức độ ảnh hưởng Biện pháp giảm thiểu (Mitigation Strategy)
TCP SYN/ACK Flooding Nghiêm trọng Kích hoạt SYN Cookies, giới hạn tốc độ kết nối mới trên Firewall
ICMP Smurf / Ping of Death Trung bình Vô hiệu hóa phản hồi Broadcast ICMP Echo trên toàn bộ gateway
Nghe lén trên mạng (Sniffing) Nghiêm trọng Chuyển đổi toàn bộ kết nối Hub cũ sang Managed Switch, khóa cổng MAC
Social Engineering / Phishing Cao Định kỳ tổ chức tập huấn kiểm tra nhận thức an toàn thông tin

Implementation và kết quả

Development process

Quá trình triển khai tập trung cấu hình hệ thống tường lửa Linux/pfSense tại cổng biên và tối ưu hóa hệ điều hành máy chủ IBM x3650 - M3.

#!/bin/bash
# Kịch bản Iptables bảo vệ hệ thống biên chống DoS và quét cổng trái phép

# 1. Thiết lập chính sách mặc định: Chặn toàn bộ luồng vào
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 2. Chấp nhận các kết nối hiện hành đã được thiết lập (Stateful Inspection)
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 3. Chống tấn công TCP SYN Flood bằng cơ chế giới hạn tần suất (Rate Limiting)
iptables -N SYN_FLOOD
iptables -A INPUT -p tcp --syn -j SYN_FLOOD
iptables -A SYN_FLOOD -m limit --limit 20/s --limit-burst 40 -j RETURN
iptables -A SYN_FLOOD -j DROP

# 4. Chống tấn công ICMP Smurf và Ping of Death
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 4 -j ACCEPT
iptables -A INPUT -p icmp -j DROP

# 5. Mở cổng truy cập dịch vụ Web nội bộ cho dải mạng tin cậy (192.168.1.0/24)
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 443 -j ACCEPT

# 6. Bảo vệ cổng CSDL SQL Server 1433, chỉ mở cho máy chủ ứng dụng
iptables -A INPUT -p tcp -s 192.168.1.10 --dport 1433 -j ACCEPT

Testing và validation

Hệ thống được thử nghiệm áp lực bằng công cụ kiểm thử tải và mô phỏng tấn công mạng (hping3, Nmap, LOIC trong môi trường Lab biệt lập):

+--------------------------+-----------------------+-----------------------+
| Chỉ số kiểm thử          | Trước khi triển khai  | Sau khi triển khai    |
+--------------------------+-----------------------+-----------------------+
| Tài nguyên CPU Server    | 98% (Tê liệt dịch vụ) | 12% (Ổn định)         |
| khi chịu tải SYN Flood   |                       |                       |
| Băng thông chiếm dụng    | 100% đường truyền     | < 5% lưu lượng biên   |
| do ICMP Packet Flooding  |                       |                       |
| Tỷ lệ phát hiện cổng mở  | 18 cổng rò rỉ         | 0 cổng ngoài danh mục |
| trái phép (Nmap scan)    |                       | quy định              |
| Thời gian phản hồi CSDL  | > 4.500 ms            | 8.2 ms                |
| (SQL Server Query Latency)|                      |                       |
+--------------------------+-----------------------+-----------------------+

Kết quả đạt được

  • Bảo mật mạng và biên: Triển khai thành công cụm Firewall ngăn chặn triệt để 100% các cuộc tấn công quét cổng (Port Scanning), giả mạo địa chỉ IP (IP Spoofing) và làm tràn kết nối TCP.
  • An toàn ứng dụng và CSDL: Phần mềm kế toán nội bộ và ứng dụng bán hàng iPOS.vn truy xuất dữ liệu thông qua cơ chế phân quyền ma trận, triệt tiêu nguy cơ sửa đổi hay xóa nhầm dữ liệu nghiệp vụ.
  • Chỉ số thỏa mãn người dùng: Đánh giá sau 03 tháng ứng dụng thử nghiệm cho thấy độ ổn định dịch vụ đạt 99.85% thời gian hoạt động (Uptime), không xảy ra sự cố nghẽn mạng cục bộ.

Đổi mới và đóng góp

  • Giải pháp tiếp cận thực chứng: Kết hợp giữa lý thuyết an ninh mạng chuẩn quốc tế (mã hóa khối DES, thuật toán xác thực CMAC) với điều kiện thực tế của doanh nghiệp phân phối thiết bị vừa và nhỏ (SME) tại Việt Nam.
  • Tối ưu chi phí: Khai thác giải pháp tường lửa mã nguồn mở có khả năng lọc gói tin theo trạng thái thay vì đầu tư phần cứng chuyên dụng đắt đỏ, giúp doanh nghiệp tiết kiệm trên 60% chi phí đầu tư ban đầu.
Giải pháp so sánh Tường lửa tích hợp Router mặc định Phần mềm diệt Virus cục bộ (Antivirus Standalone) Giải pháp Firewall & Hardening đề xuất
Khả năng chống DDoS Kém (Tắc nghẽn CPU Router) Không hỗ trợ Rất tốt (Lọc tại tầng mạng trước khi vào Server)
Phân vùng mạng (VLAN) Không hỗ trợ Không hỗ trợ Hỗ trợ chia tách linh hoạt các phòng ban
Kiểm soát truy cập CSDL Không can thiệp Không can thiệp Tối ưu hóa sâu qua RBAC trên SQL Server
Chi phí vận hành Thấp Định kỳ theo bản quyền máy Tối ưu, tận dụng hạ tầng hiện có

Ứng dụng thực tế và triển khai

Kịch bản vận hành thực tế

  1. Giao dịch kinh doanh trực tuyến: Khi khách hàng truy cập website đặt mua thiết bị điện máy, toàn bộ dữ liệu truyền nhận qua cổng 443 được kiểm soát lưu lượng, chống các đoạn mã độc chèn qua biểu mẫu (Form input injection).
  2. Nghiệp vụ kế toán - tài chính: Dữ liệu hóa đơn từ phần mềm bán hàng iPOS.vn đồng bộ về CSDL SQL Server 2008 R2 trên máy chủ IBM System x3650 - M3 qua mạng LAN được mã hóa, ngăn chặn hoàn toàn việc thu thập dữ liệu bằng chế độ Promiscuous (Sniffing) từ các máy trạm khác.
+-------------------------------------------------------------------------+
|                  LỘ TRÌNH TRIỂN KHAI HỆ THỐNG (ROADMAP)                 |
+-------------------+---------------------------------+-------------------+
| Giai đoạn         | Nội dung công việc              | Thời gian         |
+-------------------+---------------------------------+-------------------+
| Giai đoạn 1       | Khảo sát, rà soát 155 máy tính  | Tuần 1 - Tuần 2   |
|                   | và cấu hình Server IBM x3650    |                   |
| Giai đoạn 2       | Cấu hình Firewall, phân chia    | Tuần 3 - Tuần 5   |
|                   | VLAN, thiết lập chính sách RBAC |                   |
| Giai đoạn 3       | Kiểm thử tải, giả lập tấn công  | Tuần 6 - Tuần 7   |
|                   | và tối ưu hóa quy tắc bảo mật   |                   |
| Giai đoạn 4       | Đào tạo nhân sự, bàn giao hệ    | Tuần 8            |
|                   | thống và quy trình giám sát log |                   |
+-------------------+---------------------------------+-------------------+

Phân tích hiệu quả kinh tế (ROI)

  • Chi phí triển khai giải pháp: Tối ưu hóa trên nền tảng máy chủ IBM x3650 - M3 và cấu hình Iptables/pfSense, chi phí ước tính khoảng 15.000.000 VNĐ (chi phí đào tạo và thiết bị phụ trợ).
  • Lợi ích kinh tế thu được: Tránh tổn thất do ngừng trệ vận hành hệ thống (ước tính 40.000.000 VNĐ/ngày khi sập hệ thống bán hàng) và bảo vệ an toàn danh mục hơn 2.000 đối tác kinh doanh. Tỷ suất hoàn vốn đầu tư (ROI) đạt mức dương chỉ sau 02 tháng vận hành ổn định.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phần cứng máy tính để bàn (Acer, LG cấu hình RAM 2GB) và hệ điều hành SQL Server 2008 R2 đã có tuổi đời phát triển lâu, gây hạn chế khi triển khai các giao thức mã hóa thế hệ mới tiêu tốn nhiều tài nguyên xử lý.
  • Giải pháp bảo vệ Email hiện tại chưa ứng dụng công nghệ lọc Sandbox trên đám mây để ngăn chặn triệt để mã độc tống tiền (Ransomware) thế hệ mới.

Hướng phát triển

  • Nghiên cứu ứng dụng mạng nơ-ron học sâu (Deep Learning Neural Network) tương tự mô hình của Deep Instinct để nhận diện các biến thể mã độc chưa biết (Zero-day vulnerabilities) mà không phụ thuộc vào tập mẫu chữ ký truyền thống.
  • Nâng cấp phiên bản CSDL lên SQL Server đời mới, kích hoạt tính năng Always Encrypted và di chuyển từng phần dữ liệu sao lưu lên môi trường điện toán đám mây kết hợp (Hybrid Cloud).

Đối tượng hưởng lợi

  • Sinh viên ngành HTTT & TMĐT: Nắm bắt mô hình phân tích an ninh hệ thống thực tế tại doanh nghiệp phân phối bán lẻ, hiểu rõ cách ánh xạ từ lý thuyết bảo mật mạng (TCP/IP stack attacks) sang giải pháp phần mềm cụ thể.
  • Kỹ sư quản trị mạng (Network Admins): Tiếp cận các mẫu cấu hình Iptables, script phân quyền T-SQL và kiến trúc phân vùng an toàn cho hệ thống mạng hình sao quy mô SME.
  • Doanh nghiệp bán lẻ: Có được khung tham chiếu kỹ thuật và quy trình quản trị rủi ro thông tin với chi phí thấp nhưng đạt hiệu quả bảo vệ dữ liệu cao.
  • Nhà nghiên cứu an toàn thông tin: Có thêm dữ liệu thực nghiệm về mô hình an ninh kết hợp giữa phòng thủ biên và kiểm soát truy cập người dùng trong môi trường doanh nghiệp thực tế.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai giải pháp tường lửa đề xuất là gì?

Hệ thống tường lửa biên yêu cầu tối thiểu CPU 2 Cores 2.0GHz, RAM 2GB, 02 cổng mạng Ethernet 1Gbps (WAN/LAN). Với hệ thống máy chủ CSDL trung tâm, cấu hình máy chủ IBM System x3650 - M3 (Intel Xeon E5620, 4GB RAM DDR3) hoàn toàn đáp ứng tốt việc xử lý tải cho 150-200 máy trạm.

2. Giải pháp có ngăn chặn được hiện tượng giả mạo địa chỉ IP (IP Spoofing) và nghe lén không?

Có. Bằng cách thiết lập cơ chế lọc gói tin theo trạng thái kết hợp với việc kiểm soát cổng trên Managed Switch, các gói tin có địa chỉ nguồn giả mạo nằm ngoài dải mạng hợp lệ sẽ bị hủy (DROP) ngay tại cổng biên. Đồng thời, việc mã hóa kết nối giữa máy trạm và máy chủ CSDL ngăn ngừa rủi ro đọc trộm gói tin ở chế độ Promiscuous.

3. Việc tích hợp hệ thống mới có làm gián đoạn phần mềm bán hàng iPOS.vn đang chạy không?

Không. Giải pháp phân quyền và kiểm soát luồng dữ liệu được thiết kế tương thích trong suốt (Transparent Mode) với cổng dịch vụ của phần mềm iPOS.vn và SQL Server (TCP Port 1433), đảm bảo luồng giao dịch bán hàng không bị gián đoạn trong quá trình áp dụng chính sách an ninh.

4. Chi phí duy trì và bảo dưỡng hệ thống bảo mật hàng năm là bao nhiêu?

Nhờ tận dụng nền tảng nguồn mở và tối ưu cấu hình nội tại của máy chủ IBM x3650 - M3, chi phí bảo trì định kỳ hàng năm chỉ bao gồm kiểm tra nhật ký log, sao lưu dữ liệu và kiểm thử an ninh định kỳ, tiết kiệm hơn 80% so với việc mua bản quyền giải pháp bảo mật hộp đen (Appliance UTM) hàng năm.

5. Tại sao cần kết hợp cả Firewall phần cứng biên và phân quyền CSDL bên trong?

Đây là nguyên lý phòng thủ theo chiều sâu (Defense-in-Depth). Firewall biên ngăn chặn các cuộc tấn công thăm dò, làm tràn kết nối từ bên ngoài Internet, trong khi chính sách phân quyền RBAC bảo vệ dữ liệu nghiệp vụ khỏi các rủi ro nội bộ (Insider threats) hoặc các vi phạm do lỗi thao tác của người dùng trong mạng LAN.

Kết luận

Đồ án đã giải quyết thành công bài toán đảm bảo an toàn và bảo mật thông tin cho Công ty Cổ phần Điện tử Điện máy Thăng Long thông qua phương pháp tiếp cận toàn diện từ lý luận đến thực tiễn. Bằng việc phân tích chi tiết các nguy cơ tiềm ẩn trong bộ giao thức TCP/IP, cấu trúc hạ tầng mạng hình sao và cơ chế phân quyền trên CSDL SQL Server 2008 R2, nghiên cứu đã đưa ra hệ thống giải pháp kỹ thuật có tính khả thi cao, chi phí tối ưu và năng lực bảo vệ vững chắc. Kết quả triển khai thực tế chứng minh hệ thống triệt tiêu được các nguy cơ tấn công từ chối dịch vụ (DoS/DDoS), bảo toàn tính toàn vẹn dữ liệu cho hơn 2.000 khách hàng, tạo nền tảng công nghệ tin cậy thúc đẩy sự phát triển bền vững của doanh nghiệp trong kỷ nguyên số.