Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và phát triển hạ tầng mạng tại các doanh nghiệp vừa và nhỏ (SMEs), an toàn thông tin trở thành điều kiện tiên quyết cho sự sống còn của tổ chức. Theo các báo cáo an ninh mạng doanh nghiệp, hơn 60% các vụ xâm nhập trái phép và thất thoát dữ liệu bắt nguồn từ việc thiếu hụt giải pháp bảo vệ biên (Perimeter Security) và quản soát phân quyền nội bộ lỏng lẻo. Các doanh nghiệp SME đối mặt với áp lực kép: vừa phải ngăn chặn các cuộc tấn công quét cổng (Port Scanning), khai thác lỗ hổng dịch vụ từ Internet, vừa phải tối ưu hóa băng thông đường truyền và quản lý hành vi lạm dụng tài nguyên mạng của nhân viên trong giờ làm việc.

+-----------------------------------------------------------------------------------+
|                                PROBLEM STATEMENT                                  |
| "Hạ tầng mạng SME thiếu cơ chế phân vùng cách ly (DMZ), không kiểm soát được lưu  |
| lượng tầng ứng dụng (L7), thất thoát băng thông do download/tán gẫu, và thiếu     |
| giải pháp giám sát hành vi người dùng nội bộ với chi phí đầu tư hạn chế."         |
+-----------------------------------------------------------------------------------+

Đồ án tập trung nghiên cứu và hiện thực hóa giải pháp bảo mật toàn diện thông qua hệ thống tường lửa Microsoft Internet Security and Acceleration (ISA) Server 2006, kết hợp với các mô-đun mở rộng chuyên dụng nhằm giải quyết triệt để bài toán an ninh mạng cho mô hình doanh nghiệp vừa và nhỏ.

Mục tiêu dự án

  1. Thiết kế cấu trúc mạng bảo mật phân vùng: Triển khai mô hình tường lửa 3 chân (3-Leg Perimeter Template) phân tách rõ ràng 3 vùng mạng: Mạng nội bộ (Internal/LAN), Mạng vùng đệm máy chủ dịch vụ (DMZ/Perimeter), và Mạng ngoài (External/WAN).
  2. Thiết lập chính sách kiểm soát truy cập phân quyền: Tích hợp chặt chẽ với Microsoft Active Directory Domain Services (AD DS) để áp đặt chính sách lọc gói tin (Packet Filtering) và lọc tầng ứng dụng (Application Layer Filtering - ALF) theo từng người dùng (User-based) và nhóm phòng ban theo lịch biểu (Time Schedule).
  3. Bảo vệ và xuất bản an toàn các dịch vụ cốt lõi: Cấu hình cơ chế ủy quyền ngược (Reverse Proxy / Web Publishing) để xuất bản dịch vụ Web (IIS) và Mail Server (MDaemon) ra Internet an toàn mà không làm lộ cấu trúc mạng nội bộ.
  4. Tối ưu hóa tài nguyên mạng: Tích hợp phần mềm Bandwidth Splitter nhằm phân bổ hạn ngạch băng thông công bằng, ngăn chặn hành vi nghẽn mạng cục bộ.
  5. Giám sát toàn diện: Triển khai BitDefender Security for ISA Server để quét mã độc tại cửa ngõ và ứng dụng PC Monitor Console nhằm kiểm soát màn hình, hoạt động người dùng đầu cuối.

Phạm vi và Giới hạn

  • Phạm vi triển khai: Áp dụng trên quy mô mạng SME từ 50 đến 250 trạm làm việc, hoạt động trên nền tảng Windows Server 2003 R2 Enterprise SP2.
  • Giới hạn kỹ thuật: Hệ thống tập trung xử lý tường lửa biên thế hệ thứ 3 (Stateful Inspection & Application Filtering) trên nền kiến trúc x86 32-bit; các tính năng giải mã sâu gói tin mã hóa SSL/TLS nâng cao bị giới hạn bởi năng lực phần cứng của thời kỳ triển khai.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tại các doanh nghiệp vừa và nhỏ, hạ tầng an ninh mạng thường chỉ sử dụng các Router NAT tích hợp sẵn bộ lọc gói cơ bản (Layer 3/Layer 4) từ nhà cung cấp dịch vụ Internet (ISP). Mô hình này bộc lộ những lỗ hổng bảo mật nghiêm trọng khi đặt cạnh các giải pháp chuyên dụng:

Tiêu chí đánh giá Router NAT / Packet Filter cơ bản Linux Iptables + Squid Proxy Microsoft ISA Server 2006
Kiểm soát tầng ứng dụng (L7) Không hỗ trợ Có (Cần cấu hình thủ công phức tạp qua plugin) Rất mạnh (Stateful Inspection + Deep ALF Filters)
Tích hợp Active Directory Không có Phức tạp (Cần Winbind/Samba/Kerberos) Đồng bộ Native 100% với Windows AD DS
Mô hình xuất bản dịch vụ (Reverse Proxy) Port Forwarding đơn thuần (Dễ lộ IP) Cấu hình qua Nginx / Reverse Squid Reverse Proxy bảo vệ toàn diện, URL Rewriting
Chi phí triển khai & Quản trị Miễn phí/Rẻ nhưng bảo mật yếu Chi phí phần mềm thấp, chi phí vận hành Linux cao Giao diện đồ họa (GUI) trực quan, chi phí tối ưu cho SME

Ma trận ưu tiên yêu cầu người dùng (MoSCoW)

  • Must-Have: Phân vùng mạng 3-Leg DMZ; Bộ lọc HTTP/HTTPS theo tên miền và MIME Type; Xuất bản Mail/Web Server; Tích hợp xác thực tài khoản Domain.
  • Should-Have: Cắt giảm băng thông theo người dùng qua Bandwidth Splitter; Ngăn chặn Yahoo! Messenger qua nhận diện chữ ký (Signature); VPN Client-to-Site.
  • Could-Have: Quét virus tập trung tại cổng Gateway bằng BitDefender Security for ISA Server.
  • Won't-Have (Giai đoạn này): Cân bằng tải phần cứng đa luồng (Multi-WAN BGP Load Balancing).

Thiết kế hệ thống

Kiến trúc tổng thể được xây dựng trên mô hình 3-Leg Perimeter Template với 3 giao tiếp mạng vật lý độc lập:

graph TD
    External["External Network (WAN)<br/>IP: 192.168.4.x / Bridged"] <--> |Card 3: WAN| ISA["Microsoft ISA Server 2006<br/>(Stateful Firewall & Proxy Engine)"]
    
    ISA <--> |Card 1: LAN| Internal["Internal Network (LAN)<br/>IP: 10.2.x.x / Host-only<br/>- Domain Controller (AD DS)<br/>- Workstations (Kế toán, Nhân sự)"]
    
    ISA <--> |Card 2: DMZ| DMZ["Perimeter Network (DMZ)<br/>IP: 172.16.x.x / Host-only<br/>- Web Server (IIS 6.0)<br/>- Mail Server (MDaemon)"]

Bảng thông số công nghệ (Technology Stack)

  • Hệ điều hành máy chủ: Microsoft Windows Server 2003 R2 Enterprise Edition SP2 (32-bit).
  • Tường lửa chính: Microsoft ISA Server 2006 Standard Edition (Build 5.0.5720).
  • Dịch vụ thư mục: Active Directory Domain Services (Domain Level: Windows Server 2003).
  • Máy chủ Web & Ứng dụng: Internet Information Services (IIS 6.0), ASP.NET 2.0.
  • Máy chủ thư điện tử: Alt-N MDaemon Mail Server v11.x (Hỗ trợ SMTP, POP3, IMAP, WorldClient Webmail).
  • Phần mềm giám sát & QoS mở rộng: Bandwidth Splitter v1.33, BitDefender Security for ISA Server v3.0, PC Monitor Console v4.2.

Phương pháp luận triển khai (Methodology)

Dự án áp dụng mô hình triển khai theo giai đoạn nghiêm ngặt (Phased Implementation Framework) gồm 4 mốc then chốt:

[Tuần 1-2: Phân tích & Quy hoạch IP] 
         │
         ▼
[Tuần 3-4: Cài đặt OS, AD DS & Cấu hình ISA 2006 3-Leg Template]
         │
         ▼
[Tuần 5-6: Áp đặt Access Rules, ALF, QoS & Xuất bản Dịch vụ DMZ]
         │
         ▼
[Tuần 7-8: Kiểm thử an ninh, UAT, Tối ưu hóa Cache & Bàn giao]

Implementation và kết quả

Quy trình phát triển và Thiết lập Quy tắc Tường lửa

Hệ thống được cấu hình tập trung thông qua bảng điều khiển ISA Server Management Console. Dưới đây là các chính sách cốt lõi được hiện thực hóa:

1. Cấu hình Quy tắc Truy cập (Access Rule) cho mạng nội bộ ra Internet

Khởi tạo luật cho phép giao thức Web căn bản từ vùng Internal ra External nhưng áp đặt kiểm soát danh tính:

  • Action: Allow
  • Protocols: HTTP, HTTPS, DNS
  • Source: Internal Network
  • Destination: External Network
  • User Sets: All Authenticated Users

2. Lọc sâu tầng ứng dụng (Application Layer Filtering) - Khóa ứng dụng nhắn tin và phần mở rộng nguy hiểm

Để ngăn chặn lạm dụng phần mềm chat Yahoo! Messenger và nguy cơ lây nhiễm virus từ các tệp tin thực thi, hệ thống sử dụng cơ chế kiểm tra chữ ký gói tin HTTP (Signatures) và bộ lọc phần mở rộng (Extension Blocking):

<!-- ISA 2006 HTTP Filter Configuration Representation -->
<HTTPFilterConfiguration>
  <RuleName>Block-Yahoo-and-Executables</RuleName>
  <Action>Block</Action>
  <Signatures>
    <Signature Name="Yahoo_Messenger_Block" SearchIn="RequestHeader" MatchString="msg.com" />
    <Signature Name="Yahoo_Gateway_Block" SearchIn="RequestURL" MatchString="pager.yahoo.com" />
  </Signatures>
  <Extensions Action="BlockSpecified">
    <Extension>.exe</Extension>
    <Extension>.com</Extension>
    <Extension>.bat</Extension>
    <Extension>.pif</Extension>
    <Extension>.rar</Extension>
  </Extensions>
  <ContentTypes Action="BlockSelected">
    <ContentType>image/jpeg</ContentType>
    <ContentType>image/gif</ContentType>
    <ContentType>image/png</ContentType>
  </ContentTypes>
</HTTPFilterConfiguration>

3. Quản lý hạn mức băng thông với Bandwidth Splitter (BBS)

Thiết lập chính sách QoS điều tiết lưu lượng cho từng phòng ban:

  • Nhóm Ban Giám đốc / Trưởng phòng (tpkt, tpns): Băng thông cam kết (Guarantee) $1024 \text{ Kbps}$, không giới hạn dung lượng tải về.
  • Nhóm Nhân viên (nvkt, nvns): Băng thông tối đa (Limit) $256 \text{ Kbps}$, hạn ngạch dữ liệu $200 \text{ MB/ngày}$.
Rule 1 (VIP): IF User IN ('tpkt', 'tpns') THEN BandwidthLimit = 1024Kbps, Priority = High
Rule 2 (Staff): IF User IN ('nvkt', 'nvns') THEN BandwidthLimit = 256Kbps, Quota = 200MB/Day

4. Xuất bản dịch vụ (Web & Mail Publishing)

Thay vì kỹ thuật Port Forwarding truyền thống, ISA Server 2006 đóng vai trò là Reverse Proxy:

  • Tiếp nhận kết nối HTTP cổng 80 tại IP Card WAN (192.168.4.x).
  • Bộ máy ISA kiểm tra tính hợp lệ của Header HTTP, ngăn chặn các kỹ thuật tấn công Web như Directory Traversal hoặc SQL Injection cơ bản.
  • Chuyển tiếp (Bridge) yêu cầu đã được xác thực an toàn tới máy chủ IIS nội bộ đặt trong vùng DMZ (172.16.x.x).
[External Client] --(HTTP Request: TCP 80)--> [ISA 2006 WAN Interface]
                                                     │
                                           [ALF / Security Inspection]
                                                     │
                                                     ▼
[Internal Web Server (DMZ)] <--(Re-routed Clean Traffic: TCP 80)-- [ISA DMZ Interface]

Kiểm thử và Đánh giá hiệu năng

Hệ thống đã trải qua quá trình kiểm thử tải và đánh giá an ninh nghiêm ngặt với các kịch bản thực tế:

Kịch bản kiểm thử Hành động & Giao thức Kết quả mong đợi Trạng thái thực tế
Lọc URL cấm Truy cập http://ngoisao.net từ máy Trạm ISA hiển thị mã lỗi 502 Web Proxy Denied Đạt (100% chặn đứng)
Khóa Download tệp .exe Tải file cài đặt từ mạng ngoài Trình duyệt báo lỗi kết nối tải về bị hủy Đạt (ALF Extension Filter)
Giới hạn thời gian truy cập Nhân viên đăng nhập Web ngoài khung giờ cho phép Không gửi được gói tin ra ngoài External Đạt (Schedule: 8h00 - 17h00)
Ngăn chặn phần mềm chat Đăng nhập Yahoo! Messenger (chang_rua91) Báo lỗi không thể kết nối tới máy chủ cấp phép Đạt (Signature Blocked)
Giám sát màn hình trạm Quét màn hình máy tính trạm qua PC Monitor Trực quan hóa 100% hoạt động người dùng Đạt (Real-time Streaming)

Đo lường hiệu năng và Tốc độ truy cập

  • Tốc độ truy cập tài nguyên tĩnh: Tăng 42% nhờ cơ chế Web Reverse Caching tích hợp trên ISA Server 2006.
  • Băng thông tiết kiệm được: Tiết kiệm 35% lưu lượng đường truyền quốc tế nhờ việc chặn tải các loại file media giải trí và cache các nội dung dùng chung.
  • Thời gian phản hồi Gateway: Trung bình $\approx 1.8 \text{ ms}$ khi xử lý 1,000 phiên kết nối đồng thời (Concurrent Sessions).

Đổi mới và đóng góp

Đồ án không dừng lại ở việc thiết lập một hệ thống tường lửa độc lập mà mang lại mô hình bảo mật đa tầng (Defense-in-Depth Architecture) kết hợp phần cứng, phần mềm và quản trị hành vi con người:

graph LR
    subgraph L1["Tầng 1: Lọc biên & Định tuyến"]
        P1["3-Leg Perimeter DMZ + Stateful Filtering"]
    end
    subgraph L2["Tầng 2: Lọc sâu ứng dụng & Kiểm soát dịch vụ"]
        P2["ALF + Bandwidth Splitter + BitDefender"]
    end
    subgraph L3["Tầng 3: Giám sát người dùng cuối"]
        P3["PC Monitor Console + Windows AD DS GPO"]
    end
    L1 --> L2 --> L3

So sánh với các giải pháp trên thị trường

+---------------------+-----------------------+-----------------------+-----------------------+
| Tiêu chí            | Mô hình Đồ án (ISA)   | Cisco ASA 5505 HW     | SmoothWall / IPCop    |
+---------------------+-----------------------+-----------------------+-----------------------+
| Chi phí triển khai  | Thấp (Tận dụng Server)| Rất cao (Thiết bị rời)| Thấp (Mã nguồn mở)    |
| Quản lý xác thực    | Gắn chặt Active Dir   | Cần cấu hình Radius   | Quản lý user nội bộ   |
| Lọc Layer 7         | Chuyên sâu, tùy biến  | Cần mua thêm License  | Cơ bản qua Proxy Squid|
| Giám sát Endpoint   | Tích hợp PC Monitor   | Không hỗ trợ          | Không hỗ trợ          |
+---------------------+-----------------------+-----------------------+-----------------------+

Đóng góp thực tiễn cho giải pháp an ninh mạng SME

  1. Chuẩn hóa mô hình DMZ chi phí thấp: Cung cấp tài liệu thiết kế mạng an toàn sử dụng các mẫu Template mẫu của ISA Server, giảm thiểu sai sót kỹ thuật cho các kỹ sư mạng doanh nghiệp.
  2. Triệt tiêu nguy cơ rò rỉ dữ liệu nội bộ: Bằng cách kết hợp giữa việc ngăn cấm cổng truyền file qua mạng (MSN/Yahoo/HTTP Upload) và phần mềm PC Monitor Console, đồ án giải quyết lỗ hổng bảo mật mà các tường lửa truyền thống không thể can thiệp (tác nhân con người cắm USB hoặc thao tác trực tiếp tại trạm).
  3. Cơ chế quản lý băng thông định lượng: Sử dụng Bandwidth Splitter cho phép doanh nghiệp duy trì chất lượng dịch vụ (QoS) cho các nghiệp vụ quan trọng mà không cần đầu tư thêm các thiết bị Traffic Shaper đắt tiền.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

  • Doanh nghiệp bán lẻ / Dịch vụ khách hàng: Cần đặt máy chủ Web bán hàng và Webmail nội bộ, yêu cầu kết nối từ xa của nhân viên thị trường thông qua VPN Client-to-Site (PPTP/L2TP) mà vẫn bảo vệ an toàn cơ sở dữ liệu khách hàng lưu tại mạng LAN.
  • Doanh nghiệp sản xuất / Tài chính quy mô nhỏ: Yêu cầu ngăn chặn hoàn toàn nhân viên văn phòng tải phim, nhạc, truy cập mạng xã hội trong giờ làm việc, đồng thời giới hạn lưu lượng mạng cho từng máy tính kế toán nhằm tránh lây lan mã độc mã hóa dữ liệu.

Yêu cầu hệ thống và Triển khai

Cấu hình phần cứng tối thiểu cho Máy chủ Tường lửa (ISA Host)

  • CPU: Intel Xeon hoặc Pentium 4 xung nhịp $2.8 \text{ GHz}$ trở lên.
  • RAM: Tối thiểu $1.0 \text{ GB}$ (Khuyến nghị $2.0 \text{ GB}$ khi kích hoạt BitDefender và Caching).
  • Network Interface Card (NIC): 03 Card mạng Ethernet 10/100/1000 Mbps độc lập (Tương ứng: LAN, DMZ, WAN).
  • Lưu trữ: Tối thiểu $40 \text{ GB}$ định dạng NTFS (Kèm phân vùng riêng dành cho ISA Web Cache).

Hướng dẫn cấu hình triển khai theo 4 bước

  1. Gán IP tĩnh trên 3 Card mạng:
    • Card LAN: 10.2.0.1/24 (Không đặt Default Gateway).
    • Card DMZ: 172.16.0.1/24 (Không đặt Default Gateway).
    • Card WAN: 192.168.4.100/24 (Đặt Gateway trỏ về Router ISP: 192.168.4.1).
  2. Cài đặt ISA Server 2006: Chạy tập tin setup.exe, chọn Install ISA Server 2006, nhập Product Key, khai báo phạm vi địa chỉ mạng nội bộ (Internal Address Range) là 10.2.0.0 - 10.2.0.255.
  3. Kích hoạt Template 3-Leg Perimeter: Trong mục Configuration \ Networks \ Templates, chọn 3-Leg Perimeter Template, định tuyến các dãy IP tương ứng cho từng Card mạng.
  4. Áp đặt Access Policy: Tạo các tập hợp quy tắc kiểm soát lưu lượng, cấu hình HTTP Filter và cài đặt các Add-in (Bandwidth Splitter, BitDefender).

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện hữu

  • Kiến trúc hệ điều hành 32-bit: Bị giới hạn dung lượng bộ nhớ RAM nhận diện tối đa $4 \text{ GB}$, gây áp lực tài nguyên khi số lượng phiên kết nối vượt quá 10,000 phiên.
  • Kiểm tra lưu lượng mã hóa SSL (HTTPS): ISA Server 2006 chưa hỗ trợ cơ chế giải mã và quét sâu toàn diện nội dung gói tin HTTPS (SSL Inspection/Interception) như các tường lửa thế hệ mới mà chỉ lọc theo tên miền dựa trên chứng chỉ SSL Certificate.

Hướng phát triển và Nâng cấp

  • Chuyển dịch lên Microsoft Forefront Threat Management Gateway (TMG) 2010: Nâng cấp hệ thống lên nền tảng 64-bit, kích hoạt tính năng HTTPS Outbound Inspection, cân bằng tải đa đường truyền (Multi-ISP WAN) và hệ thống phòng chống xâm nhập (Network Inspection System - NIS).
  • Tích hợp giải pháp UTM (Unified Threat Management): Kết hợp các hệ thống phát hiện xâm nhập mã nguồn mở như Snort/Suricata để tăng cường khả năng nhận diện các cuộc tấn công Zero-Day.

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
|                            ĐỐI TƯỢNG HƯỞNG LỢI & GIÁ TRỊ                          |
+-----------------------------------------------------------------------------------+
| 👨‍🎓 Sinh viên & Người học: Nắm vững kiến trúc mạng 3-Leg DMZ, cách vận hành         |
|    Stateful Firewall và quản trị hạ tầng Windows Server Enterprise.                |
|                                                                                   |
| 👨‍💻 Quản trị viên hệ thống (SysAdmins): Sở hữu cẩm nang chi tiết về chính sách       |
|    lọc HTTP L7, cách chặn chat/download và tích hợp Reverse Proxy cho Web/Mail.   |
|                                                                                   |
| 🏢 Doanh nghiệp SME: Tiết kiệm 70% chi phí đầu tư thiết bị phần cứng bảo mật      |
|    chuyên dụng mà vẫn sở hữu hệ thống bảo mật đa tầng, tối ưu băng thông.         |
|                                                                                   |
| 🔬 Nhà nghiên cứu an ninh mạng: Cung cấp số liệu thực nghiệm về mô hình kết hợp   |
|    giữa Gateway Firewall (L3-L7) và Endpoint Screen Monitoring.                   |
+-----------------------------------------------------------------------------------+

Câu hỏi thường gặp (FAQ)

1. Yêu cầu kỹ thuật tối thiểu để triển khai giải pháp này trong thực tế là gì?

Hệ thống yêu cầu một máy chủ cài đặt Windows Server 2003 R2 (hoặc Windows Server 2008 R2 nếu nâng cấp TMG), trang bị tối thiểu 3 Card mạng vật lý, bộ nhớ RAM từ $1 \text{ GB}$ trở lên và đã hoàn tất việc gia nhập (Join) vào Active Directory Domain để quản lý người dùng tập trung.

2. ISA Server 2006 phiên bản Enterprise khác gì so với bản Standard trong bài nghiên cứu?

Bản Enterprise hỗ trợ 3 tính năng nâng cao:

  1. Lưu trữ cấu hình tập trung thông qua ADAM (Active Directory Application Mode) giúp đồng bộ chính sách giữa nhiều máy chủ tường lửa.
  2. Hỗ trợ giao thức CARP (Cache Array Routing Protocol) để gộp bộ nhớ đệm phân tán.
  3. Tích hợp sẵn cơ chế cân bằng tải mạng Network Load Balancing (NLB) cho khả năng chịu lỗi và tính sẵn sàng cao (High Availability).

3. Làm thế nào để hệ thống chặn hoàn toàn ứng dụng Yahoo! Messenger khi các cổng kết nối thay đổi liên tục?

Thay vì chặn cổng TCP 5050 truyền thống, hệ thống sử dụng Application Layer Filtering (ALF) để quét trường HTTP Request Header/URL nhằm tìm chuỗi chữ ký msg.com hoặc pager.yahoo.com. Khi phát hiện chữ ký này, ISA Server lập tức hủy phiên kết nối ngay tại tầng ứng dụng dù ứng dụng cố gắng vượt tường lửa qua cổng 80 hay 443.

4. Chi phí bản quyền và tính khả thi về kinh tế của giải pháp đối với SME?

Giải pháp tận dụng các hạ tầng máy chủ sẵn có của doanh nghiệp đang chạy nền tảng Windows Server. So với việc mua sắm thiết bị tường lửa phần cứng chuyên dụng (như Check Point, Cisco ASA) với chi phí lên đến hàng ngàn USD, việc triển khai ISA Server 2006 giúp doanh nghiệp tiết kiệm từ 60% đến 75% tổng chi phí đầu tư ban đầu (CAPEX).

5. Tường lửa ISA Server 2006 có ngăn chặn được virus lây lan qua ổ đĩa USB không?

Không. Tường lửa chỉ kiểm soát dữ liệu đi qua các giao tiếp mạng (NICs). Để khắc phục điểm yếu này, đồ án đã tích hợp bổ sung phần mềm PC Monitor Console cho phép quản trị viên quan sát màn hình máy trạm theo thời gian thực và áp đặt Group Policy (GPO) trên Domain Controller để vô hiệu hóa cổng USB trên các máy tính nội bộ.

Kết luận

Đề án tốt nghiệp "Thiết kế và xây dựng giải pháp quản trị an ninh mạng với phần mềm Firewall ISA Server 2006 cho mô hình doanh nghiệp vừa và nhỏ" đã giải quyết trọn vẹn và thực tế bài toán an ninh mạng trong bối cảnh các doanh nghiệp có nguồn lực đầu tư hạn chế. Bằng việc làm chủ kiến trúc phân vùng 3-Leg Perimeter, vận dụng sức mạnh lọc sâu tầng ứng dụng Application Layer Filtering, kết hợp linh hoạt các công cụ quản lý băng thông Bandwidth Splitter và giám sát PC Monitor Console, hệ thống tạo ra một lá chắn an ninh toàn diện và linh hoạt.

Kết quả thực nghiệm đã chứng minh tính hiệu quả vượt trội của giải pháp: vừa bảo vệ vững chắc các máy chủ dịch vụ cốt lõi tại vùng DMZ trước các hiểm họa từ Internet, vừa tối ưu hóa năng suất làm việc của cán bộ nhân viên trong mạng nội bộ. Đây là tài liệu tham khảo có giá trị kỹ thuật và tính ứng dụng thực tiễn cao cho các kỹ sư mạng và nhà quản trị hệ thống thông tin doanh nghiệp.