Bối cảnh và vấn đề nghiên cứu

Trong hoạt động vận hành của các tổ chức và doanh nghiệp, việc duy trì hệ thống mạng nội bộ hoạt động ổn định, nhanh chóng, an toàn và tin cậy đóng vai trò thiết yếu. Đối với các doanh nghiệp vừa và nhỏ (SMEs), hạ tầng mạng thường xuyên phải đối mặt với các nguy cơ mất an toàn thông tin xuất phát từ cả môi trường bên ngoài lẫn nội bộ. Từ phía bên ngoài Internet, hệ thống luôn có nguy cơ bị các đối tượng xấu (hacker) dò tìm các lỗ hổng trên các cổng dịch vụ (port) để xâm nhập trái phép. Từ phía nội bộ, việc nhân viên sử dụng Internet không hợp lý trong giờ làm việc (truy cập các website giải trí, sử dụng ứng dụng trò chuyện trực tuyến, chiếm dụng băng thông) làm suy giảm hiệu suất lao động và gây nghẽn đường truyền. Thêm vào đó, nguy cơ lây nhiễm mã độc hoặc thất thoát dữ liệu thông qua các thiết bị lưu trữ di động như USB và yếu tố con người là vấn đề mà các tường lửa mạng thông thường không thể kiểm soát triệt để.

Nhằm giải quyết các yêu cầu thực tiễn đó, đồ án tốt nghiệp "Thiết kế và xây dựng giải pháp quản trị an ninh mạng với phần mềm Firewall ISA Server 2006 cho mô hình doanh nghiệp vừa và nhỏ" được thực hiện bởi nhóm sinh viên Lê Thái Giang, Đặng Quốc Quân, Nguyễn Anh Dũng, Nguyễn Triều Tiên dưới sự hướng dẫn của giảng viên Nguyễn Duy tại Trường Đại học Công nghệ Thông tin (Đại học Quốc gia Thành phố Hồ Chí Minh – Chi nhánh Trung tâm Phát triển Công nghệ Thông tin tại Cần Thơ, năm 2011).

Mục tiêu và nhiệm vụ nghiên cứu của đồ án được xác định cụ thể như sau:

  1. Thiết kế và triển khai giải pháp quản trị an ninh mạng nội bộ sử dụng phần mềm Microsoft Internet Security and Acceleration (ISA) Server 2006 nhằm ngăn chặn các hành vi xâm nhập từ Internet và bảo vệ hệ thống mạng doanh nghiệp.
  2. Thiết lập các chính sách truy cập (Access Rules) có sẵn và các mô-đun mở rộng (Add-ins) của ISA Server 2006 nhằm kiểm soát, hạn chế việc sử dụng Internet không hợp lý của nhân viên (giới hạn thời gian, phân quyền người dùng, lọc nội dung web, chặn ứng dụng chat và quản lý băng thông).
  3. Cấu hình xuất bản an toàn các dịch vụ mạng như Web Server và Mail Server ra Internet (Web/Mail Publishing) nhằm phục vụ hoạt động tác nghiệp, đồng thời xây dựng kết nối mạng riêng ảo (VPN Client-to-Site) cho người dùng truy cập từ xa.
  4. Kết hợp phần mềm giám sát màn hình PC Monitor Console để theo dõi trực tiếp hoạt động sử dụng máy tính của nhân viên, khắc phục hạn chế của tường lửa trước các rủi ro từ yếu tố con người và thiết bị ngoại vi.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Giải pháp quản trị an ninh mạng dựa trên tường lửa phần mềm Microsoft ISA Server 2006, hệ thống máy chủ thư điện tử MDaemon, công cụ quản lý băng thông Bandwidth Splitter, giải pháp phòng chống mã độc Bitdefender Security và phần mềm giám sát PC Monitor Console.
  • Phạm vi nghiên cứu: Mô hình mạng doanh nghiệp vừa và nhỏ sử dụng kiến trúc phân vùng mạng ba lớp (3-Leg Perimeter Template) bao gồm vùng mạng nội bộ (LAN), vùng mạng ngoại vi (DMZ) và vùng mạng Internet công cộng (WAN), triển khai thực nghiệm trên hệ điều hành Windows Server 2003.

Cơ sở lý thuyết và phương pháp

Cơ sở lý thuyết của đề tài được xây dựng trên nền tảng kỹ thuật mạng máy tính, giao thức truyền thông và kiến trúc an toàn hệ thống thông tin. Tác giả phân tích các khái niệm cốt lõi bao gồm:

  • Khái niệm và cơ chế hoạt động của Firewall: Tường lửa là kỹ thuật tích hợp vào hệ thống mạng đặt giữa mạng nội bộ (Intranet) và mạng bên ngoài (Internet) nhằm kiểm soát luồng dữ liệu, chống truy cập trái phép. Tác giả phân loại tường lửa thành hai nhóm: Tường lửa cứng (tích hợp trên router, hoạt động ở tầng Network và Transport, không kiểm tra được nội dung gói tin, tính linh hoạt thấp) và Tường lửa mềm (cài đặt trên máy chủ, hoạt động ở tầng Ứng dụng, có thể lọc nội dung gói tin dựa trên từ khóa, tính linh hoạt cao).
  • Cấu trúc và thành phần tường lửa: Hệ thống bao gồm máy chủ kết nối bộ định tuyến cùng các phần mềm quản lý an ninh vận hành cơ chế Xác thực (Authentication), Cấp quyền (Authorization) và Ghi nhận/Kế toán (Accounting). Các thành phần chức năng gồm: Bộ lọc gói (Packet-filtering router), Cổng tầng ứng dụng (Application-level gateway/Proxy server) và Cổng tầng mạch (Circuit-level gateway).
  • Nguyên lý lọc gói tin (Packet Filtering): Dựa trên bộ giao thức TCP/IP, bộ lọc gói kiểm tra thông tin tiêu đề (packet header) để chấp nhận hoặc từ chối gói tin dựa trên 8 thông số: Địa chỉ IP nguồn (IP Source address), Địa chỉ IP đích (IP Destination address), Giao thức truyền tin (TCP, UDP, ICMP, IP tunnel), Cổng TCP/UDP nguồn, Cổng TCP/UDP đích, Dạng thông báo ICMP, Giao diện nhận gói tin (incoming interface) và Giao diện gửi gói tin (outgoing interface).
  • Công nghệ lọc tầng ứng dụng (Application Layer Filtering - ALF): Điểm mạnh của ISA Server 2006 cho phép can thiệp sâu vào tầng ứng dụng, kiểm soát lưu lượng HTTP inbound/outbound, chặn tập tin thực thi (.com, .exe), giới hạn dung lượng tải về, lọc nội dung theo chữ ký (signature) và phương thức truy cập.
  • Các cơ chế nâng cao trên ISA Server 2006: Giao thức định tuyến mảng bộ nhớ đệm (Cache Array Routing Protocol - CARP), cơ chế cân bằng tải mạng (Network Load Balancing - NLB), công nghệ lưu trữ cấu hình tập trung thông qua Active Directory Application Mode (ADAM) và mô hình vùng mạng ngoại vi (Demilitarized Zone - DMZ).

Phương pháp nghiên cứu được áp dụng là phương pháp thiết kế và xây dựng hệ thống kỹ thuật kết hợp thực nghiệm. Nhóm tác giả tiến hành khảo sát yêu cầu mô hình doanh nghiệp vừa và nhỏ, thiết kế sơ đồ phân vùng mạng, cấu hình các dịch vụ máy chủ, thiết lập các tập luật bảo mật (Access Rules, Publishing Rules) và kiểm thử thực tế khả năng chặn lọc, điều phối lưu lượng và giám sát người dùng trên hệ thống máy trạm và máy chủ. Nguồn dữ liệu thực nghiệm bao gồm các bản ghi lưu lượng (traffic log), danh mục địa chỉ IP phân lớp, danh sách tài khoản định danh người dùng từ hệ thống Active Directory Domain Controller (DC), danh mục chữ ký giao thức mạng và các tập luật thời gian biểu.

Thiết kế và triển khai giải pháp kỹ thuật

Đồ án tập trung thiết kế và triển khai hệ thống an ninh mạng dựa trên kiến trúc mạng ba vùng kết nối (3-Leg Perimeter Template) trên nền tảng Microsoft ISA Server 2006 kết hợp các dịch vụ mạng bổ trợ.

Yêu cầu hệ thống và thông số cấu hình mạng

Hệ thống máy chủ cài đặt ISA Server 2006 được thiết lập theo các yêu cầu phần cứng và phần mềm chuẩn:

Thành phần Yêu cầu kỹ thuật trong đồ án
Hệ điều hành Microsoft Windows Server 2003 32-bit Service Pack 1 / Service Pack 2 hoặc Windows Server 2003 R2 32-bit
Bộ nhớ RAM Tối thiểu 512 MB
Giao tiếp mạng (3 Card) • Card mạng LAN (chế độ Host-only, dải IP: 10.2.x.x)
• Card mạng DMZ (chế độ Host-only, dải IP: 172.1.x.x)
• Card mạng WAN (chế độ Bridged, dải IP: 192.4.x.x)
Thiết bị cài đặt Ổ đĩa quang CD-ROM hoặc DVD-ROM

Kiến trúc phân vùng 3-Leg Perimeter Template

Mô hình chia tách không gian mạng của doanh nghiệp thành ba phân vùng riêng biệt nhằm tối ưu hóa an ninh:

  1. Vùng mạng nội bộ (Internal / LAN Network): Dành cho các máy tính người dùng nội bộ, máy chủ quản lý miền (Domain Controller - DC). Đây là phân vùng có mức độ bảo mật cao nhất, không cho phép truy cập trực tiếp từ Internet.
  2. Vùng mạng ngoại vi (Perimeter / DMZ Network): Nơi đặt các máy chủ công cộng như Mail Server (MDaemon) và Web Server (IIS). Vùng này cho phép người dùng từ bên ngoài Internet truy cập vào các dịch vụ được chỉ định thông qua cơ chế ủy quyền của ISA Server mà không làm ảnh hưởng đến vùng LAN.
  3. Vùng mạng bên ngoài (External / WAN Network): Môi trường mạng Internet công cộng không được bảo vệ.

Tích hợp các giải pháp phần mềm bổ trợ

  • Microsoft Internet Information Services (IIS): Được cài đặt trên Application Server để triển khai các ứng dụng web nội bộ trước khi xuất bản ra bên ngoài.
  • MDaemon Mail Server: Đặt tại vùng DMZ, tiếp nhận và gửi thư điện tử, hỗ trợ truy cập webmail an toàn qua cấu hình Web/Mail Publishing của ISA Server.
  • Bandwidth Splitter: Mô-đun mở rộng tích hợp trực tiếp vào ISA Server 2006 nhằm thiết lập các hạn mức băng thông cho từng nhóm người dùng mạng nội bộ, tránh tình trạng nghẽn mạch cục bộ.
  • Bitdefender Security for ISA Server: Bổ sung cơ chế quét mã độc, ngăn chặn người dùng nội bộ tải về các tập tin nguy hại được định sẵn.
  • PC Monitor Console: Hệ thống giám sát màn hình máy trạm nội bộ từ xa theo thời gian thực nhằm phát hiện các hành vi vi phạm quy định sử dụng máy tính và hạn chế nguy cơ lây lan virus qua thiết bị USB.

Nội dung chính theo từng chương

CHƯƠNG I : TỔNG QUAN VỀ FIREWALL

Chương I cung cấp nền tảng lý thuyết tổng quan về tường lửa mạng. Tác giả trình bày nguồn gốc thuật ngữ firewall từ kỹ thuật xây dựng ngăn ngừa hỏa hoạn, từ đó định nghĩa vai trò của tường lửa trong việc kiểm soát luồng thông tin giữa mạng nội bộ (Intranet) và mạng bên ngoài (Internet).

Các nội dung trọng tâm của chương gồm:

  • Phân loại tường lửa: Phân tích chi tiết ưu - nhược điểm của tường lửa cứng (hoạt động ở tầng mạng/giao vận, ví dụ NAT, xử lý nhanh nhưng thiếu linh hoạt, không lọc được nội dung) và tường lửa mềm (hoạt động ở tầng ứng dụng, ví dụ ISA Server 2006, ZoneAlarm, Norton Firewall, cho phép tùy biến luật sâu theo nội dung).
  • Chức năng chính của tường lửa: Thiết lập cơ chế điều khiển dòng thông tin hai chiều giữa Intranet và Internet; cho phép hoặc từ chối các dịch vụ mạng; theo dõi và giám sát lưu lượng; kiểm soát và khóa các địa chỉ truy cập; kiểm soát định danh người dùng; kiểm tra nội dung dữ liệu lưu chuyển.
  • Cấu trúc và thành phần: Phân tích 3 thành phần kỹ thuật chủ yếu gồm Bộ lọc gói (Packet filtering router), Cổng ứng dụng (Application-level gateway) và Cổng mạch (Circuit level gateway).
  • Nguyên lý bộ lọc gói: Trình bày chi tiết cơ chế đối soát tiêu đề gói tin TCP/IP với 8 tiêu chí lọc (IP nguồn/đích, cổng nguồn/đích, giao thức, loại thông báo ICMP, giao diện vào/ra). Tác giả chỉ ra ưu điểm chi phí thấp và tính trong suốt của bộ lọc gói.
  • Những hạn chế của tường lửa: Tác giả thẳng thắn chỉ ra các giới hạn kỹ thuật: Tường lửa không thể phân tích ngữ nghĩa thông minh như con người; không ngăn chặn được các cuộc tấn công không đi qua nó (như đường quay số dial-up hoặc sao chép dữ liệu trái phép qua đĩa mềm/USB); không thể phòng ngừa triệt để các cuộc tấn công hướng dữ liệu (data-driven attack) qua email nếu dữ liệu bị mã hóa hoặc chứa mã độc mới.

CHƯƠNG II : GIỚI THIỆU ISA SERVER 2006

Chương II là phần trọng tâm của đồ án, trình bày cấu trúc, tính năng kỹ thuật và quy trình triển khai thực tế trên phần mềm Microsoft ISA Server 2006.

Nội dung chương được cấu trúc qua các phần chính:

  • So sánh hai phiên bản Standard và Enterprise: Tác giả lập luận rõ ràng về sự khác biệt giữa hai phiên bản. Trong khi bản Standard lưu trữ cấu hình cục bộ trong Registry và yêu cầu cấu hình thủ công cho từng máy chủ, bản Enterprise hỗ trợ 3 tính năng vượt trội:
    1. Centralized storage of configuration data: Lưu trữ tập trung thông tin cấu hình trên máy chủ chuyên dụng sử dụng ADAM (Active Directory Application Mode), tự động nhân bản (replicate) dữ liệu giữa các máy chủ lưu trữ.
    2. Support for Cache Array Routing Protocol (CARP): Kết nối khả năng lưu trữ đệm của một mảng gồm nhiều máy chủ ISA thành một không gian logic duy nhất, phân phối luân phiên việc lưu cache các trang web cho các máy trạm, tối ưu hóa hiệu năng truy xuất web.
    3. Integration of Network Load Balancing (NLB): Tích hợp cơ chế cân bằng tải mạng trực tiếp trên ISA Server Management Console, đảm bảo tính sẵn sàng cao (High Availability) và khả năng dự phòng (redundancy) khi một máy chủ trong cụm gặp sự cố.
  • Các đặc tính nổi bật của ISA Server 2006: Đồ án phân tích sâu các tính năng như Multi-networking, tạo vùng mạng ngoại vi DMZ riêng biệt (Unique per-network policies), kiểm tra trạng thái toàn bộ lưu lượng (Stateful inspection), chuyển đổi địa chỉ mạng và định tuyến (NAT and route), thư viện mẫu kiến trúc mạng (Network templates), quản lý truy cập từ xa VPN, bộ nhớ đệm Web thông minh và bộ lọc tầng ứng dụng (Application Layer Filtering - ALF).
  • Tiến trình cài đặt và cấu hình mẫu 3-Leg Perimeter: Trình bày từng bước thiết lập ISA Server 2006 với 3 card mạng (LAN, DMZ, WAN), nhập khóa bản quyền, gán dải địa chỉ IP cho Internal Network và DMZ Network, sao lưu cấu hình hệ thống.
  • Thiết lập các tập luật truy cập (Access Rules): Tác giả xây dựng chi tiết các kịch bản quản trị an ninh thực tế cho doanh nghiệp:
    1. Cho phép vùng LAN truy cập Internet: Tạo luật Cho phép (Allow) giao thức HTTP và HTTPS từ vùng Internal sang vùng External. Kiểm tra thành công bằng việc truy cập trang http://google.com từ máy chủ Domain Controller (DC).
    2. Cấm truy cập trang web cụ thể: Tạo URL Set chứa tên miền http://ngoisao.net, tạo Access Rule từ chối (Deny) giao thức HTTP/HTTPS từ máy DC đến URL Set này.
    3. Cấm nhóm người dùng truy cập Internet theo giờ làm việc: Tạo User Set liên kết với tài khoản Windows người dùng từ máy DC gồm nvkt (nhân viên kế toán) và nvns (nhân viên nhân sự), áp dụng luật Deny HTTP/HTTPS kèm theo lịch biểu thời gian (Schedule) trong giờ làm việc.
    4. Phân quyền cho cấp quản lý kèm kiểm soát nội dung: Cấu hình cho nhóm tpkt (trưởng phòng kế toán) và tpns (trưởng phòng nhân sự) được phép ra Internet (Allow HTTP/HTTPS), nhưng áp dụng bộ lọc nội dung HTTP (Selected content types) để chặn tải hình ảnh và vào mục Configure HTTP Extensions chọn Block specified Extensions để chặn tải các tập tin thực thi .exe và tập tin nén .rar.
    5. Cấm ứng dụng chat Yahoo! Messenger: Cấu hình bộ lọc HTTP (Configure HTTP Signatures), thêm chữ ký chuỗi msg.com. Kết quả kiểm thử thực tế chứng minh người dùng tài khoản chang_rua91 không thể đăng nhập vào ứng dụng Yahoo! Messenger.
  • Cấu hình xuất bản Website (Web Publishing): Trình bày nguyên lý Reverse Proxy của ISA Server, cài đặt dịch vụ Application Server (IIS) trên Windows Server 2003, thiết lập Web Publishing Rule hỗ trợ ủy quyền truy cập, chuyển hướng đường dẫn (Path redirection), Link Translator và các cơ chế xác thực an toàn (SecurID, RADIUS, Basic Authentication).
  • Mạng riêng ảo (VPN Client-to-Site): Cấu hình cho phép nhân viên truy cập an toàn vào tài nguyên nội bộ từ xa qua Internet.
  • Quản lý băng thông và phòng chống virus: Trình bày cài đặt và cấu hình Bandwidth Splitter để giới hạn lưu lượng người dùng nội bộ, cùng việc cài đặt Bitdefender Security để thiết lập luật cấm tải các tập tin nguy hại được chỉ định.

CHƯƠNG III : TÌM HIỂU VÀ TRIỂN KHAI PHẦN MỀM PC MONITOR CONSOLE

Chương III dành riêng để giải quyết bài toán lỗ hổng an ninh do yếu tố con người và các thiết bị ngoại vi vật lý (đặc biệt là USB) gây ra – những yếu tố mà tường lửa mạng không thể can thiệp. Tác giả giới thiệu chức năng, tiến trình cài đặt và triển khai phần mềm PC Monitor Console. Ứng dụng này cho phép người quản trị mạng quan sát trực tiếp màn hình của tất cả các máy trạm kết nối trong mạng LAN, theo dõi quá trình sử dụng máy tính của nhân viên trong thời gian thực, kịp thời phát hiện và ngăn chặn các hành vi sử dụng tài nguyên trái quy định hoặc đưa dữ liệu nguy hại từ bên ngoài vào hệ thống.

CHƯƠNG IV : TỔNG QUAN VỀ MDAEMON

Chương IV tập trung vào việc triển khai hệ thống thư điện tử cho doanh nghiệp vừa và nhỏ. Nhóm tác giả trình bày tổng quan về máy chủ thư điện tử MDaemon, tiến trình cài đặt ứng dụng MDaemon Mail Server, đồng thời phân tích chi tiết các điểm mạnh và điểm yếu của các tính năng trong MDaemon. Sau khi cài đặt hoàn chỉnh trên phân vùng mạng DMZ, hệ thống được tích hợp với ISA Server 2006 thông qua kỹ thuật Public Mail MDaemon, cho phép người dùng từ Internet gửi và nhận thư an toàn qua tường lửa mà vẫn bảo vệ tuyệt đối vùng mạng nội bộ.

Kết quả và đóng góp

Đồ án đã hoàn thành đầy đủ các mục tiêu thiết kế và xây dựng giải pháp an ninh mạng cho mô hình doanh nghiệp vừa và nhỏ với các kết quả cụ thể:

  • Thiết lập hoàn chỉnh hạ tầng mạng 3 vùng an toàn: Xây dựng thành công hệ thống tường lửa phần mềm ISA Server 2006 hoạt động ổn định trên nền Windows Server 2003 với 3 card mạng phân định rõ ràng giữa vùng mạng nội bộ (LAN - 10.2.x.x), vùng mạng ngoại vi (DMZ - 172.1.x.x) và vùng mạng Internet (WAN - 192.4.x.x).
  • Thực thi các chính sách an ninh mạng chi tiết và đa tầng:
    • Triển khai thành công các tập luật lọc địa chỉ web (chặn thành công tên miền ngoisao.net).
    • Kiểm soát người dùng dựa trên xác thực định danh Windows User/Group từ Active Directory (cấm truy cập mạng Internet đối với nhóm nvkt, nvns theo khung giờ làm việc).
    • Áp dụng thành công công nghệ lọc tầng ứng dụng (ALF) để kiểm soát định dạng dữ liệu (chặn hình ảnh, chặn tải tập tin thực thi .exe và tập tin nén .rar đối với nhóm quản lý tpkt, tpns).
    • Vô hiệu hóa thành công ứng dụng chat Yahoo! Messenger thông qua việc phát hiện chữ ký HTTP msg.com (ngăn chặn đăng nhập tài khoản kiểm thử chang_rua91).
  • Xuất bản an toàn các dịch vụ cốt lõi: Xuất bản thành công hệ thống Web Server IIS và Mail Server MDaemon ra ngoài Internet thông qua cơ chế Reverse Proxy và Public Mail, đồng thời xây dựng kết nối VPN Client-to-Site phục vụ làm việc từ xa.
  • Bổ sung cơ chế giám sát toàn diện: Tích hợp thành công các giải pháp bổ trợ gồm Bandwidth Splitter (quản lý phân bổ băng thông), Bitdefender Security (chống tải tập tin độc hại) và PC Monitor Console (giám sát màn hình máy trạm trực tiếp để kiểm soát rủi ro từ thiết bị ngoại vi USB và nhân tố con người).

Về mặt đóng góp, công trình mang lại một giải pháp an ninh mạng tổng thể, kết hợp chặt chẽ giữa tường lửa tầng mạng/tầng ứng dụng (ISA Server) với giải pháp giám sát hành vi người dùng trực tiếp (PC Monitor Console) và các tiện ích kiểm soát băng thông, diệt virus. Đây là mô hình kỹ thuật có tính ứng dụng cao, giúp các doanh nghiệp vừa và nhỏ tối ưu hóa chi phí đầu tư phần mềm mà vẫn đảm bảo tính an toàn cho hệ thống mạng nội bộ.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung trình bày trong đồ án, một số hạn chế kỹ thuật và hướng mở rộng được ghi nhận như sau:

  • Hạn chế kỹ thuật:
    • Hệ thống được triển khai và thử nghiệm trên nền tảng hệ điều hành Microsoft Windows Server 2003 (32-bit SP1/SP2/R2) và ISA Server 2006 – các phiên bản công nghệ có vòng đời giới hạn, đòi hỏi nghiên cứu chuyển đổi tương thích khi nâng cấp lên các nền tảng máy chủ mới hơn.
    • Cơ chế lọc gói và lọc chữ ký trên tường lửa vẫn đòi hỏi người quản trị phải xác định chính xác các thông số địa chỉ IP, cổng, tên miền hoặc chuỗi ký tự định danh (signature), chưa có khả năng tự động học hỏi hoặc phát hiện các biến thể tấn công mới chưa được định nghĩa.
    • Các giải pháp giám sát màn hình (PC Monitor Console) đòi hỏi băng thông mạng nội bộ và tài nguyên hệ thống máy trạm để duy trì luồng truyền tải hình ảnh liên tục.
  • Hướng nghiên cứu tiếp theo:
    • Nghiên cứu nâng cấp giải pháp an ninh mạng lên các thế hệ tường lửa tiếp nối của Microsoft (như Microsoft Forefront Threat Management Gateway - TMG) hoặc các nền tảng tường lửa thế hệ mới (Next-Generation Firewall).
    • Tích hợp các giải pháp phòng chống thất thoát dữ liệu (Data Loss Prevention - DLP) tự động hóa cao hơn để thay thế việc giám sát màn hình thủ công.
    • Mở rộng nghiên cứu cơ chế phòng thủ mạng trước các cuộc tấn công từ chối dịch vụ phân tán (DDoS) và kiểm soát an toàn trên các giao thức mã hóa toàn phần.

Giá trị tham khảo

Đồ án là tài liệu kỹ thuật có giá trị tham khảo thiết thực cho:

  • Sinh viên chuyên ngành Công nghệ thông tin, An toàn thông tin, Mạng máy tính: Cung cấp tài liệu hướng dẫn thực hành chi tiết từ bước cài đặt, quy hoạch dải IP, thiết lập mô hình 3-Leg Perimeter Template đến việc xây dựng các tập luật Access Rules, Web Publishing Rules, Mail Publishing Rules và VPN trên nền tảng máy chủ Windows Server.
  • Quản trị viên hệ thống tại các doanh nghiệp vừa và nhỏ (SMEs): Đóng vai trò là bản thiết kế mẫu giúp doanh nghiệp tự xây dựng một hệ thống an ninh mạng đa lớp với chi phí tối ưu, bao gồm đầy đủ các tính năng lọc nội dung, kiểm soát thời gian truy cập của nhân viên, giới hạn băng thông và giám sát hành vi người dùng.
  • Các phần đáng tham khảo nhất: Quy trình từng bước cấu hình mô hình 3-Leg Perimeter Template; các thao tác thiết lập bộ lọc HTTP Filter (chặn extension .exe, lọc content type hình ảnh, chặn chữ ký chat msg.com); và giải pháp kết hợp PC Monitor Console để giải quyết rủi ro an ninh cục bộ.

Câu hỏi thường gặp

1. Điểm khác biệt kỹ thuật cơ bản giữa hai phiên bản ISA Server 2006 Standard Edition và Enterprise Edition là gì?
Về các chức năng cơ bản, hai phiên bản tương đương nhau. Tuy nhiên, bản Enterprise hỗ trợ thêm ba tính năng nâng cao mà bản Standard không có: (1) Centralized storage of configuration data – lưu trữ cấu hình tập trung trên máy chủ riêng biệt sử dụng ADAM và tự động nhân bản giữa các máy chủ; (2) Support for CARP (Cache Array Routing Protocol) – chia sẻ và phân phối bộ nhớ đệm luân phiên giữa một dãy các máy chủ ISA; (3) Integration of Network Load Balancing (NLB) – tích hợp và quản lý trực tiếp tính năng cân bằng tải mạng từ giao diện quản trị của ISA Server thay vì phải cấu hình thủ công.

2. Mô hình kiến trúc 3-Leg Perimeter Template trong đồ án được thiết lập nhằm mục đích gì và sử dụng bao nhiêu card mạng?
Mô hình này sử dụng 3 card mạng trên máy chủ ISA Server (gồm card LAN kết nối mạng nội bộ 10.2.x.x, card DMZ kết nối mạng ngoại vi 172.1.x.x và card WAN kết nối Internet 192.4.x.x). Mục đích nhằm chia tách hệ thống mạng thành hai phân vùng bảo vệ: phân vùng DMZ chứa các máy chủ công cộng (Web Server IIS, Mail Server MDaemon) cho phép người dùng Internet truy cập an toàn, và phân vùng LAN nội bộ chứa máy tính nhân viên cùng máy chủ DC được bảo vệ nghiêm ngặt nhất.

3. Làm thế nào để ngăn chặn nhân viên sử dụng ứng dụng chat Yahoo! Messenger thông qua ISA Server 2006?
Người quản trị mở thuộc tính của tập luật cho phép ra Internet, chọn mục Configure HTTP, chuyển đến thẻ Signatures, nhấn Add và nhập chuỗi nhận dạng msg.com. Khi áp dụng chính sách này, ISA Server sẽ kiểm tra sâu nội dung gói tin HTTP và chặn đứng việc kết nối của ứng dụng Yahoo! Messenger (đã được kiểm thử thực tế với tài khoản chang_rua91).

4. Vì sao đồ án lại kết hợp phần mềm PC Monitor Console cùng với tường lửa ISA Server 2006?
Tường lửa ISA Server 2006 chỉ có thể ngăn chặn các luồng thông tin đi qua nó trên mạng nhưng không thể kiểm soát các rủi ro xuất phát từ nhân tố con người tại chỗ hoặc các cuộc tấn công/lây nhiễm virus thông qua thiết bị lưu trữ vật lý như USB cắm trực tiếp vào máy trạm. Việc kết hợp PC Monitor Console cho phép người quản trị quan sát trực quan màn hình các máy tính trong mạng nội bộ theo thời gian thực để ngăn chặn các hành vi sử dụng máy tính không hợp lý và hạn chế nguy cơ mất an toàn dữ liệu.

5. Cơ chế Application Layer Filtering (ALF) trên ISA Server 2006 có những khả năng lọc sâu nào?
Khác với bộ lọc gói truyền thống chỉ kiểm tra tiêu đề gói tin, ALF cho phép: thiết lập bộ lọc HTTP hai chiều (inbound và outbound); chặn các tập tin thực thi chạy trên nền Windows (như đuôi .com, .exe); giới hạn dung lượng tải về qua HTTP; điều khiển và hạn chế quyền truy cập web dựa trên chữ ký (signature) hoặc phương thức truy cập HTTP; và lọc nội dung web dựa trên loại nội dung (Content Types) như hình ảnh hoặc tài liệu.

Kết luận

Đồ án tốt nghiệp của nhóm tác giả đã xây dựng thành công giải pháp quản trị và an ninh mạng toàn diện cho mô hình doanh nghiệp vừa và nhỏ dựa trên nền tảng Microsoft ISA Server 2006 kết hợp với Windows Server 2003, MDaemon Mail Server và PC Monitor Console. Công trình đã thiết lập một kiến trúc mạng 3 vùng (3-Leg Perimeter) an toàn, triển khai hiệu quả các tập luật lọc dữ liệu tầng ứng dụng, quản lý phân quyền người dùng theo nhóm và thời gian biểu, đồng thời giải quyết bài toán kiểm soát rủi ro nội bộ từ thiết bị ngoại vi. Các kết quả thực nghiệm chi tiết và quy trình cấu hình cụ thể trong đồ án cung cấp tài liệu tham khảo có giá trị cao cho công tác nghiên cứu học thuật cũng như triển khai hạ tầng an ninh mạng trong thực tế doanh nghiệp.