Một số giải pháp quản trị an toàn cho hệ thống công nghệ thông tin của doanh nghiệp dựa trên mô hình bảo mật đa lớp

Đồ án quản trị an toàn thông tin doanh nghiệp theo mô hình bảo mật đa lớp - ĐH SPKT TP.HCM

• Tác giả: Nguyễn Trung Hảo
• Người hướng dẫn: TS. Huỳnh Nguyên Chính
• Trường học: Trường Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Một số giải pháp quản trị an toàn cho hệ thống công nghệ thông tin của doanh nghiệp dựa trên mô hình bảo mật đa lớp
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: Thành phố Hồ Chí Minh

Tóm tắt

I. Tổng quan an toàn thông tin doanh nghiệp theo mô hình đa lớp

Hệ thống công nghệ thông tin đóng vai trò huyết mạch trong doanh nghiệp hiện đại. Sự bùng nổ dữ liệu thúc đẩy số hóa diễn ra mạnh mẽ. Mối đe dọa an ninh mạng vì thế gia tăng nhanh chóng. Các phương thức tấn công trở nên tinh vi và có tổ chức. Một lỗ hổng đơn lẻ có thể làm tê liệt toàn bộ hạ tầng. Thiệt hại tài chính và uy tín thương hiệu vô cùng nghiêm trọng. Đề tài nghiên cứu tại Đại học Sư phạm Kỹ thuật TP.HCM đề xuất tiếp cận mô hình phòng thủ theo chiều sâu (Defense-in-Depth). Đây là mô hình an toàn thông tin đa lớp. Cơ chế này thiết lập nhiều lớp bảo vệ độc lập. Khi một tầng phòng thủ thất thủ, các tầng tiếp theo tiếp tục ngăn chặn kẻ tấn công. Kiến trúc này bao quát từ bảo mật vật lý, mạng biên, mạng nội bộ, máy chủ, ứng dụng đến dữ liệu cốt lõi. Doanh nghiệp thiết lập quyền kiểm soát nghiêm ngặt tại từng điểm chạm. Mô hình bảo đảm ba mục tiêu cốt lõi: bảo mật, toàn vẹn và khả dụng. Hệ thống duy trì hoạt động liên tục ngay cả khi chịu áp lực xâm nhập.

1.1. Khái niệm và nguyên lý phòng thủ theo chiều sâu

Mô hình phòng thủ chiều sâu bắt nguồn từ chiến lược quân sự truyền thống. Khái niệm này áp dụng vào an toàn thông tin nhằm tạo lập các tuyến phòng thủ nối tiếp. Mỗi lớp bảo vệ sở hữu công nghệ và chính sách kiểm soát riêng biệt. Kẻ tấn công vượt qua tường lửa vẫn gặp rào cản từ hệ thống phát hiện xâm nhập. Sau đó, hệ điều hành và quyền truy cập ứng dụng tiếp tục kiểm soát luồng dữ liệu. Dữ liệu cuối cùng được mã hóa bằng thuật toán tiêu chuẩn cao. Cấu trúc xếp tầng này giúp loại bỏ điểm lỗi duy nhất trong kiến trúc kỹ thuật. Hệ thống phòng vệ kéo dài thời gian phản ứng cho đội ngũ quản trị. Mọi nỗ lực xâm nhập đều được ghi nhận qua nhật ký hệ thống chi tiết.

1.2. Mục tiêu nghiên cứu đồ án tại ĐH SPKT TP.HCM

Đề tài tốt nghiệp tại Đại học Sư phạm Kỹ thuật TP.HCM tập trung xây dựng giải pháp an toàn thông tin thực tiễn. Nghiên cứu do sinh viên Nguyễn Trung Hảo thực hiện dưới sự hướng dẫn của Tiến sĩ Huỳnh Nguyên Chính. Mục tiêu trọng tâm là hệ thống hóa các kỹ thuật bảo mật từ mức phần cứng đến phần mềm. Công trình phân tích thực trạng hạ tầng công nghệ tại các doanh nghiệp vừa và nhỏ. Từ đó, đề tài đưa ra phương án triển khai bảo mật đa lớp với chi phí tối ưu. Nghiên cứu thực hiện nhiều bài kiểm thử thực nghiệm trên môi trường giả lập. Kết quả đánh giá cung cấp quy trình cấu hình chuẩn xác cho quản trị viên mạng. Đồ án tạo tiền đề vững chắc cho việc chuẩn hóa quy trình an toàn thông tin.

II. Thực trạng quản trị an toàn thông tin doanh nghiệp và lỗ hổng

Hạ tầng mạng doanh nghiệp hiện nay đối mặt với nhiều nguy cơ phức tạp. Xu hướng chuyển đổi số mở rộng bề mặt tấn công. Nhiều tổ chức tập trung đầu tư kinh doanh nhưng bỏ quên các chốt chặn bảo mật. Tường lửa biên đơn giản không còn đủ sức ngăn chặn mã độc thế hệ mới. Tin tặc thường xuyên khai thác các lỗ hổng dịch vụ chưa được vá lỗi. Khảo sát từ đồ án ĐH SPKT TP.HCM chỉ ra nhiều điểm yếu nghiêm trọng trong hệ thống nội bộ. Người dùng thường đặt mật khẩu đơn giản và tái sử dụng cho nhiều dịch vụ. Hệ điều hành máy trạm thiếu cập nhật bản vá định kỳ. Quyền hạn quản trị viên bị phân bổ lỏng lẻo và thiếu kiểm soát. Các cổng mạng LAN không có cơ chế lọc địa chỉ MAC hoặc cô lập luồng truyền thông. Dữ liệu lưu trữ nội bộ ở dạng văn bản rõ ràng mà không được mã hóa. Khi mạng biên bị xuyên thủng, toàn bộ tài nguyên cốt lõi sẽ lập tức phơi bày. Hậu quả dẫn tới gián đoạn dịch vụ, rò rỉ bí mật thương mại và vi phạm nghĩa vụ pháp lý.

2.1. Lỗ hổng tại tầng ứng dụng và hệ điều hành máy chủ

Tầng ứng dụng là nơi tiếp xúc trực tiếp với người dùng và đối tác bên ngoài. Các lỗ hổng web phổ biến như SQL Injection và Cross-Site Scripting (XSS) xuất hiện dày đặc. Nguyên nhân xuất phát từ việc thiếu kiểm tra dữ liệu đầu vào trong mã nguồn. Tin tặc lợi dụng sơ hở để chèn mã độc và đánh cắp cơ sở dữ liệu. Song song đó, hệ điều hành máy chủ chứa nhiều dịch vụ thừa thãi chưa được tắt. Cấu hình bảo mật mặc định tạo điều kiện cho các công cụ rà quét như Nessus phát hiện điểm yếu. Các bản vá lỗ hổng nghiêm trọng bị trì hoãn do lo ngại gián đoạn hoạt động. Sự chủ quan này biến hệ điều hành thành bàn đạp mở rộng quyền lực cho kẻ xấu.

2.2. Điểm yếu trong phân đoạn mạng LAN và an ninh vật lý

Mạng cục bộ (LAN) tại nhiều đơn vị được thiết kế theo cấu trúc phẳng. Cấu trúc này không có phân chia VLAN giữa các phòng ban chức năng. Máy tính của nhân viên bình thường có thể kết nối thẳng đến máy chủ tài chính. Khi một thiết bị nhiễm mã độc, lưu lượng độc hại sẽ lan truyền tự do qua mạng nội bộ. Bên cạnh đó, an ninh vật lý thường bị coi nhẹ. Phòng máy chủ thiếu hệ thống kiểm soát ra vào sinh trắc học hoặc camera giám sát. Thiết bị chuyển mạch và cáp mạng không được khóa trong tủ rack an toàn. Người lạ dễ dàng tiếp cận phần cứng để cài đặt phần mềm gián điệp qua cổng USB.

III. Giải pháp mô hình đa lớp trong an toàn thông tin doanh nghiệp

Nghiên cứu từ ĐH SPKT TP.HCM đề xuất triển khai giải pháp phòng thủ đa lớp theo tiêu chuẩn quốc tế ISO 27000:2022. Mô hình phân chia hệ thống thành các tầng kiểm soát độc lập nhưng hỗ trợ chặt chẽ lẫn nhau. Tại tầng vật lý, doanh nghiệp lắp đặt khóa từ, thẻ quẹt và camera kiểm soát quyền truy cập phòng máy chủ. Tại tầng mạng biên, tường lửa thế hệ mới kết hợp hệ thống phát hiện xâm nhập lọc bỏ lưu lượng độc hại. Mạng LAN nội bộ được chia tách thành các vùng độc lập bằng kỹ thuật VLAN và Access Control List. Trên tầng máy trạm và máy chủ, quản trị viên kích hoạt công cụ bảo vệ tích hợp như Windows Defender. Đồng thời, doanh nghiệp định kỳ quét rà lỗ hổng hệ điều hành qua nền tảng Nessus. Tầng ứng dụng áp dụng quy trình kiểm thử mã nguồn nghiêm ngặt nhằm triệt tiêu lỗi SQL Injection. Cuối cùng, tầng dữ liệu được mã hóa toàn diện bằng công cụ VeraCrypt với thuật toán AES-256. Mọi hành vi truy xuất đều được xác thực danh tính nhiều lớp.

3.1. Kỹ thuật mã hóa dữ liệu và phòng vệ hệ điều hành

Dữ liệu là tài sản cốt lõi cần sự bảo vệ nghiêm ngặt nhất. Nghiên cứu hướng dẫn sử dụng công cụ mã hóa VeraCrypt để tạo các phân vùng lưu trữ an toàn. Dữ liệu nhạy cảm được bảo vệ bằng thuật toán mã hóa đối xứng AES tiêu chuẩn quân sự. Ngay cả khi thiết bị lưu trữ bị thất lạc, kẻ trộm cũng không thể giải mã nội dung. Ở cấp độ hệ điều hành, quản trị viên bật tính năng App & Browser Control và Network Protection trong Windows Defender. Hệ thống tự động ngăn chặn tập tin thực thi đáng ngờ ngay khi tải xuống. Định kỳ hàng tháng, hệ thống Nessus quét toàn bộ mạng để tìm lỗ hổng phần mềm chưa vá. Quy trình này duy trì lá chắn phần mềm vững chắc trước các cuộc tấn công tự động.

3.2. Phân đoạn mạng biên và thiết lập chính sách bảo mật

Hạ tầng mạng cần được cô lập thành nhiều vùng chức năng chuyên biệt. Quản trị viên thiết lập hệ thống tường lửa biên để kiểm soát luồng dữ liệu vào ra. Kỹ thuật VLAN chia tách lưu lượng giữa khối văn phòng, máy chủ dữ liệu và mạng khách. Các cổng chuyển mạch được khóa địa chỉ MAC để ngăn cản thiết bị lạ cắm vào mạng nội bộ. Song song với kỹ thuật, doanh nghiệp ban hành chính sách an toàn thông tin theo chuẩn ISO 27001:2022. Chính sách quy định rõ ràng nghĩa vụ đặt mật khẩu mạnh và quy trình sao lưu định kỳ. Các buổi đào tạo nâng cao nhận thức bảo mật được tổ chức thường xuyên cho nhân viên. Sự kết hợp giữa công nghệ và chính sách tạo nên vòng phòng thủ bất khả xâm phạm.

IV. Ứng dụng mô hình đa lớp quản trị an toàn thông tin doanh nghiệp

Mô hình bảo mật đa lớp chứng minh hiệu quả bảo vệ vượt trội cho doanh nghiệp trong kỷ nguyên số. Nghiên cứu từ Đại học Sư phạm Kỹ thuật TP.HCM mở ra lộ trình triển khai chi tiết và khả thi. Các tổ chức không cần đầu tư ngân sách khổng lồ cho các giải pháp đắt đỏ ngay từ đầu. Thay vào đó, doanh nghiệp từng bước chuẩn hóa từng tầng bảo vệ dựa trên các công cụ sẵn có. Việc phối hợp giữa tường lửa, phân đoạn mạng VLAN, mã hóa VeraCrypt và rà quét Nessus tạo nên lá chắn kiên cố. Mọi nỗ lực xâm nhập đều bị làm chậm hoặc ngăn chặn triệt để qua các tầng phòng tuyến. Nghiên cứu thực nghiệm chứng minh hệ thống phát hiện sớm các nguy cơ tiềm ẩn và giảm thiểu thời gian gián đoạn dịch vụ. Sự tương thích với tiêu chuẩn ISO 27000:2022 giúp doanh nghiệp nâng cao uy tín thương hiệu đối với đối tác quốc tế. Quản trị an toàn thông tin không phải là dự án một lần mà là quy trình cải tiến liên tục.

4.1. Lợi ích kinh tế và vận hành khi áp dụng mô hình

Ứng dụng mô hình đa lớp giúp doanh nghiệp tiết kiệm chi phí xử lý sự cố an ninh mạng. Thiệt hại từ một vụ lộ dữ liệu lớn có thể vượt xa tổng ngân sách đầu tư ban đầu. Mô hình tận dụng tối đa các công cụ mã nguồn mở và tính năng bảo vệ có sẵn trên hệ điều hành. Doanh nghiệp cắt giảm đáng kể chi phí bản quyền phần mềm đắt đỏ. Về mặt vận hành, kiến trúc phân tầng giúp cô lập sự cố trong phạm vi hẹp. Hoạt động kinh doanh của các phòng ban khác vẫn diễn ra bình thường khi một phân đoạn mạng gặp trục trặc. Đội ngũ kỹ thuật viên dễ dàng định vị nguyên nhân và xử lý nhanh chóng.

4.2. Khuyến nghị và hướng phát triển an toàn thông tin

Doanh nghiệp cần duy trì thái độ cảnh giác cao độ trước các mối đe dọa biến chuyển liên tục. Kế hoạch sao lưu dữ liệu ngoại tuyến phải được thực thi nghiêm ngặt hàng tuần nhằm đối phó với mã độc tống tiền. Bên cạnh đó, hướng phát triển tương lai cần tích hợp trí tuệ nhân tạo vào hệ thống giám sát an ninh mạng (SOC). Trí tuệ nhân tạo hỗ trợ phân tích hành vi bất thường và tự động khóa các mối đe dọa tức thời. Nghiên cứu từ ĐH SPKT TP.HCM khuyến nghị doanh nghiệp thường xuyên tổ chức diễn tập ứng phó sự cố thực tế. Việc kết hợp giữa con người, quy trình và công nghệ là chìa khóa duy trì an toàn dữ liệu bền vững.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, công tác an toàn thông tin trở thành yếu tố sống còn đối với các tổ chức và doanh nghiệp nhằm bảo vệ cơ sở dữ liệu quan trọng và duy trì tính liên tục của hoạt động sản xuất kinh doanh. Các hệ thống mạng doanh nghiệp hiện nay phải đối mặt với nhiều mối đe dọa nguy hiểm và ngày càng tinh vi từ tin tặc, phần mềm độc hại, mã độc tống tiền (ransomware) cùng các hình thức tấn công có chủ đích. Để đối phó với thực trạng này, khóa luận tốt nghiệp ngành Công nghệ thông tin của tác giả Nguyễn Trung Hảo (Trường Đại học Sư phạm Kỹ thuật TP.HCM) tập trung nghiên cứu và áp dụng mô hình bảo mật đa lớp (Defense in Depth - DiD) nhằm thiết lập một hệ thống phòng thủ toàn diện cho doanh nghiệp.

Mục tiêu nghiên cứu tổng quát của đề tài là nghiên cứu và đề xuất các giải pháp bảo mật toàn diện cho hệ thống CNTT trong doanh nghiệp dựa trên phương pháp Defense in Depth, đảm bảo an toàn thông tin xuyên suốt từ hạ tầng vật lý cho tới các tầng ứng dụng, dữ liệu và mạng. Các mục tiêu cụ thể được xác định bao gồm:

1. Phân tích và xây dựng chiến lược bảo mật đa lớp: Phân tích các yếu tố rủi ro và áp dụng mô hình bảo mật đa lớp vào từng tầng (vật lý, mạng, dữ liệu, ứng dụng), tích hợp các tầng để tạo hệ thống bảo vệ đồng bộ, giảm thiểu nguy cơ từ bên trong lẫn bên ngoài.
2. Đề xuất các giải pháp bảo mật cho mạng LAN và mạng biên: Đưa ra biện pháp kiểm soát, giám sát truy cập mạng cục bộ và bảo vệ an toàn cho kết nối mạng biên giữa doanh nghiệp với Internet.
3. Cung cấp biện pháp bảo mật cho dữ liệu và ứng dụng: Xây dựng các giải pháp mã hóa, phân quyền truy cập, sao lưu dữ liệu, bảo mật hệ điều hành và ứng dụng nhằm ngăn ngừa các lỗ hổng phần mềm.
4. Xây dựng chính sách bảo mật vật lý và các biện pháp giám sát: Kiểm soát ra vào các khu vực trọng yếu, bảo vệ thiết bị phần cứng và giám sát hoạt động hệ thống.
5. Đánh giá hiệu quả của các giải pháp bảo mật: Đo lường, kiểm tra tính tối ưu và khả năng vận hành liên tục của hệ thống sau khi áp dụng các giải pháp.

Đối tượng nghiên cứu của đề tài là hệ thống CNTT của các doanh nghiệp vừa và lớn, bao gồm các thiết bị phần cứng (máy chủ, thiết bị mạng), các ứng dụng vận hành trọng yếu, cùng các giải pháp an ninh mạng, dữ liệu và hạ tầng vật lý. Phạm vi nghiên cứu bao quát 7 tầng bảo mật trong mô hình Defense in Depth, kết hợp với các thử nghiệm mô phỏng trên nền tảng máy ảo và hệ điều hành cá nhân. Khóa luận được hoàn thành vào tháng 12 năm 2024 tại Khoa Công nghệ Thông tin, Trường Đại học Sư phạm Kỹ thuật TP.HCM.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết nền tảng của khóa luận dựa trên mô hình bảo mật đa lớp Defense in Depth (DiD), một chiến thuật phân lớp có nguồn gốc từ chiến lược quân sự làm chậm đà tiến của đối phương và được Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) chuẩn hóa cho lĩnh vực bảo mật thông tin. Mô hình DiD trong tài liệu được thiết lập với 7 lớp phòng thủ độc lập nhưng có mối liên kết chặt chẽ:

• Lớp Chính sách (Policy): Các quy định, hướng dẫn và quy trình an toàn thông tin nội bộ.
• Lớp Vật lý (Physical): Thiết bị phần cứng và môi trường đặt hệ thống thông tin.
• Lớp Mạng biên (Perimeter/Edge Network): Vùng kết nối trung gian giữa hệ thống nội bộ và Internet.
• Lớp Mạng nội bộ (Network/LAN): Hạ tầng kết nối các thiết bị trong mạng cục bộ.
• Lớp Thiết bị đầu cuối và Hệ điều hành (Host): Máy chủ và các máy trạm người dùng.
• Lớp Ứng dụng và Người dùng (App & User): Các phần mềm quản lý, ứng dụng vận hành và tài khoản người dùng.
• Lớp Dữ liệu (Data): Dữ liệu lưu trữ và luân chuyển của hệ thống.

Bên cạnh mô hình DiD, tác giả viện dẫn các tiêu chuẩn quốc tế và khung pháp lý gồm: Bộ tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27000:2022 (trọng tâm là ISO 27001 và ISO 27002), Quy định bảo vệ dữ liệu chung (GDPR), Đạo luật bảo vệ quyền riêng tư người tiêu dùng California (CCPA), Đạo luật về trách nhiệm giải trình và cung cấp thông tin bảo hiểm y tế (HIPAA) và Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (PCI DSS).

Về mặt kỹ thuật, đề tài sử dụng lý thuyết mật mã học gồm: thuật toán mã hóa đối xứng AES (các độ dài khóa 128-bit, 192-bit, 256-bit), thuật toán mã hóa bất đối xứng RSA, hàm băm an toàn SHA; các mô hình mã hóa dữ liệu tĩnh (Data at Rest), mã hóa trong truyền tải (Data in Transit với SSL/TLS, HTTPS) và mã hóa đầu cuối (E2EE); các công nghệ quản lý khóa chuyên dụng như HSM (Hardware Security Module) và KMS (Key Management Systems); giải pháp ngăn chặn thất thoát dữ liệu (DLP); kế hoạch phục hồi sau thảm họa (DRP) gắn liền với hai chỉ số mục tiêu thời gian phục hồi (RTO) và mục tiêu điểm phục hồi (RPO).

Phương pháp nghiên cứu thực tế bao gồm hai nhóm chính:

• Phương pháp phân tích - tổng hợp lý luận: Khảo sát cấu trúc hệ thống thông tin doanh nghiệp (phần cứng, phần mềm, dữ liệu, con người, quy trình, môi trường); phân loại các hình thức tấn công mạng (DDoS, Phishing, Zero-day, Ransomware, Spyware, Trojan, SQL Injection, Cross-Site Scripting - XSS, hiểm họa từ nội bộ).
• Phương pháp thực nghiệm mô phỏng: Triển khai các công cụ bảo mật thực tế trên môi trường phòng thí nghiệm và máy ảo giả lập. Dữ liệu thực nghiệm được thu thập trực tiếp qua các phiên thực thi phần mềm mã hóa VeraCrypt, công cụ bảo vệ tích hợp Windows Defender trên hệ điều hành Windows 11 Home, và công cụ rà quét lỗ hổng bảo mật Tenable Nessus (phiên bản chạy trên cổng 8834) kết nối với máy ảo Metasploitable chạy trên nền tảng ảo hóa VMware Workstation.

Nội dung chính theo từng chương

Chương 1: Mở đầu

Chương này thiết lập cơ sở tổng quan cho toàn bộ công trình nghiên cứu. Tác giả chỉ rõ tính cấp thiết của an toàn thông tin trong bối cảnh các hiểm họa từ không gian mạng ngày càng gia tăng đối với tổ chức kinh tế. Nội dung chương công bố rõ ràng 5 mục tiêu nghiên cứu cụ thể, xác định đối tượng nghiên cứu là hệ thống CNTT của các doanh nghiệp quy mô vừa và lớn, vạch ra các nội dung nghiên cứu theo phương pháp Defense in Depth, và kết thúc bằng phần tóm lược ngắn gọn nội dung của 6 chương trong khóa luận.

Chương 2: Tổng quan về an toàn thông tin

Chương 2 đi sâu vào bản chất của hệ thống thông tin (HTTT) doanh nghiệp, xác định HTTT gồm 6 thành phần cốt lõi: phần cứng, phần mềm, dữ liệu (cấu trúc và phi cấu trúc), con người, quy trình và môi trường vận hành. HTTT hiện đại mang ba đặc trưng cơ bản: tích hợp đa kênh (Multichannel Integration), tính tương tác (Interactivity) và tính linh hoạt - đa dạng (Flexibility and Versatility).

Tác giả định nghĩa an toàn thông tin dựa trên bộ ba thuộc tính CIA: tính bảo mật (Confidentiality), tính toàn vẹn (Integrity) và tính khả dụng (Availability). Chương này phân tích chi tiết các hiểm họa kỹ thuật như tấn công DDoS, Phishing, Zero-day, virus, mã độc tống tiền Ransomware, mã độc gián điệp Spyware, Trojan, lỗi lập trình SQL Injection, XSS, cùng hiểm họa nội bộ (insider threats) và các rủi ro thiên tai, mất điện.

Khi khảo sát thực trạng, tác giả chỉ ra sự tương phản giữa hai nhóm doanh nghiệp: doanh nghiệp nhỏ thường lơ là, thiếu hụt ngân sách và không có chính sách bảo mật đồng bộ; trong khi doanh nghiệp lớn có hạ tầng bảo mật mạnh hơn nhưng gặp thách thức nghiêm trọng về độ phức tạp trong phân quyền truy cập và quản lý các lỗ hổng tồn đọng. Cuối chương, mô hình Defense in Depth 7 lớp của NSA được giới thiệu chi tiết như một giải pháp phân tầng phòng ngự phối hợp.

Lớp bảo vệ (DiD)	Phạm vi và đối tượng kỹ thuật	Giải pháp và công nghệ tiêu biểu
Chính sách (Policy)	Quy tắc vận hành, con người	Đào tạo chống Phishing, quy định mật khẩu
Vật lý (Physical)	Thiết bị, cơ sở hạ tầng, môi trường	Sinh trắc học, thẻ từ, camera, UPS, máy phát điện
Mạng biên (Edge)	Ranh giới giữa LAN và Internet	Tường lửa (Firewall), IDPS, vùng phi quân sự (DMZ)
Mạng LAN (Network)	Mạng cục bộ nội bộ doanh nghiệp	Phân đoạn mạng VLAN, chuẩn xác thực 802.1X
Hệ điều hành (Host)	Máy trạm, máy chủ dịch vụ	Giảm thiểu dịch vụ, Least Privilege, BitLocker, SELinux
Ứng dụng & Người dùng	Ứng dụng nghiệp vụ, tài khoản	Đổi mật khẩu 60-90 ngày, xóa phần mềm crack, MFA
Dữ liệu (Data)	Dữ liệu lưu trữ, truyền tải	Mã hóa AES/RSA, sao lưu (Full, Inc, Diff), DRP, DLP

Chương 3: Bảo mật tầng dữ liệu, ứng dụng và hệ điều hành

Chương 3 tập trung vào ba tầng trung tâm, nơi lưu trữ tài sản số và trực tiếp tương tác với người dùng.

• Về bảo mật dữ liệu: Trình bày ba trạng thái mã hóa (Data at Rest, Data in Transit, End-to-End Encryption - E2EE) với các thuật toán AES, RSA, SHA. Tác giả phân tích các thách thức của mã hóa: quản lý khóa (cần dùng HSM, KMS), sự suy giảm hiệu năng xử lý, tính tương thích với hệ thống cũ (legacy systems), nguy cơ thuật toán lỗi thời trước sự phát triển của điện toán lượng tử và chi phí vận hành. Kỹ thuật sao lưu dữ liệu gồm sao lưu toàn bộ (Full backup), sao lưu gia tăng (Incremental backup) và sao lưu phân biệt (Differential backup), kết hợp giải pháp lưu trữ đám mây, offsite và offline. Kế hoạch DRP được trình bày cùng các tiêu chí RTO, RPO. Công cụ chống rò rỉ dữ liệu (DLP) được phân tích theo 4 chức năng: phân loại/giám sát, ngăn chặn rò rỉ, bảo vệ dữ liệu khi sử dụng và bảo vệ dữ liệu khi truyền tải.
• Về bảo mật ứng dụng: Nhấn mạnh việc đổi mật khẩu định kỳ 60-90 ngày với độ phức tạp cao; loại bỏ hoàn toàn phần mềm bẻ khóa (crack) nhằm triệt tiêu nguy cơ cài cắm mã độc; quy trình cập nhật và vá lỗi định kỳ sử dụng công cụ quét Nessus, Qualys. Tác giả trích dẫn lỗ hổng EternalBlue năm 2017 bị khai thác trong các chiến dịch tấn công WannaCry và Petya như minh chứng cho thiệt hại khi chậm trễ vá lỗi.
• Về bảo mật hệ điều hành: Đề xuất nguyên tắc quyền hạn tối thiểu (Least Privilege), tắt các dịch vụ không cần thiết (như dịch vụ SMB khi không sử dụng), đổi mật khẩu mặc định. Đối với Windows, áp dụng BitLocker, Windows Defender, Windows Firewall, User Account Control (UAC) và Group Policy. Đối với Linux, triển khai SELinux, AppArmor, quản lý quyền tệp bằng lệnh chmod/chown, cấu hình khóa SSH và vô hiệu hóa đăng nhập root từ xa. Về giám sát, đề xuất hệ thống IDS/IPS (Snort, Suricata), hệ thống quản lý nhật ký tập trung (Splunk, ELK stack, Graylog) và giải pháp giám sát hành vi tự động (OSSEC, Wazuh).
• Phần thực nghiệm: Tác giả triển khai 3 kịch bản cụ thể:
  1. Mã hóa ổ đĩa bằng VeraCrypt trên Windows 11 Home: Tạo tệp chứa mã hóa (Standard VeraCrypt volume định dạng .vc), sử dụng thuật toán AES, thiết lập mật khẩu bảo vệ, định dạng phân vùng FAT32/NTFS, mount vào hệ thống như một ổ đĩa logic và kiểm tra cơ chế bảo mật khi ngắt kết nối.
  2. Kiểm thử Windows Defender: Khảo sát 5 phân hệ (Virus & Threat Protection, Account Protection, Firewall & Network Protection, App & Browser Control, Device Security) và thực nghiệm tải xuống các tệp mô phỏng virus qua trình duyệt; hệ thống tự động cảnh báo tệp không an toàn và thực thi lệnh ngăn chặn, xóa tệp độc hại.
  3. Quét lỗ hổng bằng Nessus: Cài đặt Nessus trên Windows 11 (IP 192.9..., truy cập qua giao diện quản trị localhost:8834), khởi tạo kịch bản quét nâng cao (Advanced Scan) nhắm vào máy ảo Metasploitable chạy trên VMware để phát hiện các cổng mở, cấu hình yếu và dịch vụ tồn tại lỗ hổng.

Chương 4: Bảo mật mạng LAN và mạng biên

Nội dung chương 4 làm rõ ranh giới và mối liên kết kỹ thuật giữa mạng cục bộ và mạng biên.

• Bảo mật mạng LAN: Đề xuất phân đoạn lưu lượng mạng bằng VLAN để cô lập các vùng mạng khi xảy ra sự cố lây nhiễm; triển khai giao thức IEEE 802.1X để xác thực thiết bị trước khi cấp quyền truy cập hạ tầng mạng; kích hoạt tính năng DHCP Snooping trên bộ chuyển mạch nhằm ngăn chặn máy chủ DHCP giả mạo; áp dụng danh sách kiểm soát truy cập (ACL) và lọc địa chỉ MAC (chỉ cho phép các thiết bị được đăng ký trước tham gia mạng nội bộ).
• Bảo mật mạng biên: Xây dựng cấu hình tường lửa (Firewall) kiểm soát lưu lượng vào/ra; thiết lập vùng phi quân sự (Demilitarized Zone - DMZ) để cách ly các máy chủ dịch vụ công cộng (như máy chủ Web, FTP) khỏi mạng máy tính nội bộ; triển khai các hệ thống phát hiện và ngăn chặn xâm nhập (IDPS). Kênh truyền từ xa được bảo vệ thông qua mạng riêng ảo VPN (IPSec/SSL-VPN) và giao thức TLS/SSL.
• Phần thử nghiệm mạng: Chương này ghi nhận các thử nghiệm thực tế gồm thiết lập mạng ảo với RAdmin VPN (tạo mạng, cấp quyền người dùng, kiểm tra chia sẻ thư mục bảo mật); cài đặt OpenVPN Access Server trên nền tảng VMware, cấu hình WebUI, tạo khóa kích hoạt, tải profile cấu hình và kết nối client qua OpenVPN Connect; cấu hình sửa lỗi hệ thống "SMB Signing Not Required"; thực thi câu lệnh tắt phản hồi mốc thời gian ICMP (ICMP timestamps); và cấu hình biến HOME_NET cùng tập luật trên Snort để phát hiện, ghi nhật ký các gói tin ICMP ping xuất hiện trong mạng.

Chương 5: Bảo mật vật lý và áp dụng các chính sách bảo mật

Chương 5 phân tích lớp phòng thủ vòng ngoài của mô hình Defense in Depth. Bảo mật vật lý bao gồm kiểm soát ra vào các trung tâm dữ liệu và phòng máy chủ bằng hệ thống xác thực sinh trắc học (vân tay, quét võng mạc), khóa thẻ từ, hệ thống camera quan sát khép kín. Về quản lý môi trường hạ tầng, tác giả chỉ rõ yêu cầu giám sát nhiệt độ, độ ẩm, hệ thống điều hòa chuyên dụng, hệ thống cảnh báo và phòng cháy chữa cháy, cùng giải pháp duy trì nguồn điện liên tục thông qua bộ lưu điện (UPS) và máy phát điện dự phòng.

Về mặt quản trị và chính sách, chương này hướng dẫn xây dựng các quy chế, quy trình bảo mật nội bộ, nâng cao nhận thức người dùng và áp dụng bộ tiêu chuẩn ISO/IEC 27000:2022. Trọng tâm là việc triển khai hệ thống quản lý an ninh thông tin (ISMS) theo tiêu chuẩn ISO 27001 và vận dụng các biện pháp kiểm soát an toàn theo hướng dẫn của ISO 27002. Ngoài ra, chương này cũng hệ thống hóa các bước xây dựng Kế hoạch phục hồi sau thảm họa (DRP), xác định quy trình kích hoạt dự phòng và kiểm thử mô phỏng sự cố định kỳ.

Chương 6: Kết luận

Chương kết luận tổng kết toàn bộ kết quả nghiên cứu lý thuyết và các kịch bản thực nghiệm quản trị an toàn thông tin đã thực hiện trong khóa luận, khẳng định tính khả thi của mô hình bảo mật đa lớp trong doanh nghiệp, đồng thời đưa ra các đề xuất về hướng nghiên cứu và phát triển tiếp theo của đề tài.

Kết quả và đóng góp

Khóa luận đã tổng hợp và đạt được các kết quả kỹ thuật cụ thể có trong tài liệu:

• Xây dựng hoàn chỉnh kiến trúc an toàn thông tin doanh nghiệp dựa trên mô hình Defense in Depth 7 lớp, bao quát từ chính sách, bảo vệ vật lý, mạng biên, mạng LAN, hệ điều hành máy chủ/máy trạm, ứng dụng cho đến dữ liệu.
• Hoàn thành quy trình thực nghiệm mã hóa dữ liệu tĩnh trên hệ điều hành Windows 11 Home bằng phần mềm VeraCrypt sử dụng thuật toán AES, tạo container mã hóa độc lập (tệp .vc) với định dạng tệp tin FAT32 hoặc NTFS, đảm bảo dữ liệu chỉ có thể đọc khi được mount bằng mật khẩu chính xác.
• Kiểm thử và xác minh tính hiệu quả của 5 phân hệ phòng thủ trong Windows Defender khi đối mặt với các tệp độc hại mô phỏng được tải từ Internet.
• Thiết lập môi trường thử nghiệm kiểm thử bảo mật bao gồm máy chủ Tenable Nessus (giao diện quản trị web cổng 8834 trên Windows 11 host có địa chỉ IP 192.9...) kết nối với mục tiêu giả lập nhiều lỗ hổng Metasploitable chạy trên phần mềm ảo hóa VMware Workstation.
• Thực hiện cấu hình hệ thống thực tế nhằm khắc phục lỗ hổng "SMB Signing Not Required", thực thi câu lệnh vô hiệu hóa thông điệp ICMP timestamps để ngăn chặn thu thập thông tin mạng, và thiết lập luật nhận diện ICMP ping trên hệ thống giám sát Snort thông qua trường cấu hình HOME_NET.
• Triển khai kết nối mạng riêng ảo mã hóa phục vụ làm việc từ xa sử dụng RAdmin VPN và OpenVPN (trên VMware với phần mềm OpenVPN Connect).

Về mặt giải pháp quản trị, tác giả đề xuất:

• Triển khai phân quyền truy cập theo nguyên tắc Least Privilege, tuyệt đối không sử dụng tài khoản Administrator/root cho các tác vụ thường ngày.
• Bắt buộc thực hiện chính sách mật khẩu mạnh, chu kỳ thay đổi từ 60 đến 90 ngày.
• Loại bỏ hoàn toàn phần mềm vi phạm bản quyền (crack, lậu) và thiết lập cơ chế rà quét lỗ hổng định kỳ để cập nhật bản vá hệ thống.
• Áp dụng kiểm soát an ninh vật lý đa tầng kết hợp chuẩn quản trị ISO 27000:2022 (ISO 27001, ISO 27002).

Đóng góp của khóa luận nằm ở việc hệ thống hóa một khung phương pháp tiếp cận an toàn thông tin đa tầng có tính ứng dụng thực tiễn cao cho doanh nghiệp, thay vì triển khai các giải pháp chắp vá đơn lẻ. Tác giả tự đóng góp các quy trình thử nghiệm trực quan, có thể tái lập bằng các công cụ mã nguồn mở và công cụ tích hợp sẵn, giúp các nhà quản trị mạng doanh nghiệp vừa và nhỏ có thể tham chiếu trực tiếp.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận chỉ ra một số hạn chế gắn liền với quá trình thực hiện:

• Tác giả tự nhận định kiến thức bản thân và kinh nghiệm thực tiễn còn những giới hạn nhất định.
• Quá trình thực nghiệm mã hóa với VeraCrypt cho thấy tốc độ xử lý bị suy giảm khi làm việc với các tệp dữ liệu có dung lượng lớn, đòi hỏi cấu hình phần cứng tương thích cao hơn.
• Công cụ VeraCrypt đáp ứng tốt các nhu cầu bảo vệ cơ bản nhưng chưa tích hợp giải pháp quản trị khóa mã hóa tập trung (HSM/KMS) phục vụ quy mô doanh nghiệp lớn.
• Các kịch bản thử nghiệm bảo mật (Nessus, Snort, OpenVPN, Metasploitable) chủ yếu được tiến hành trong môi trường phòng lab giả lập và máy ảo cá nhân, chưa được triển khai và đo lường áp lực lưu lượng trên hệ thống mạng doanh nghiệp thực tế đang vận hành.

Hướng nghiên cứu tiếp theo mà tác giả đề xuất bao gồm việc tiếp tục phát triển và mở rộng các giải pháp bảo mật của đề tài vào môi trường thực tiễn tại doanh nghiệp; tối ưu hóa hiệu năng mã hóa; nghiên cứu tích hợp sâu các hệ thống quản lý khóa tập trung và hoàn thiện cơ chế phản ứng tự động của các hệ thống IDPS trước các nguy cơ tấn công mới.

Giá trị tham khảo

Tài liệu khóa luận này là tài liệu tham khảo hữu ích cho:

• Sinh viên các ngành Công nghệ thông tin, An toàn thông tin, Kỹ thuật mạng máy tính và truyền thông đang thực hiện khóa luận tốt nghiệp hoặc đồ án môn học liên quan đến an ninh mạng doanh nghiệp và quản trị hệ thống.
• Các chuyên viên quản trị hệ thống (System Administrator) và kỹ sư an toàn thông tin tại các doanh nghiệp vừa và nhỏ đang tìm kiếm giải pháp phân tầng an ninh với chi phí hợp lý.

Các nội dung có giá trị tham khảo ứng dụng cao nhất trong tài liệu gồm:

• Quy trình từng bước hướng dẫn thiết lập ổ đĩa mã hóa dữ liệu cục bộ bằng công cụ VeraCrypt.
• Mô hình và quy trình kết nối công cụ rà quét lỗ hổng Nessus với máy ảo mục tiêu Metasploitable trên nền tảng VMware để kiểm tra an toàn hệ điều hành.
• Bảng tổng hợp các kỹ thuật bảo mật trên hệ điều hành Windows và Linux (phân quyền Least Privilege, SELinux, AppArmor, bảo mật SSH, BitLocker).

Câu hỏi thường gặp

1. Mô hình Defense in Depth trong khóa luận bao gồm bao nhiêu lớp và có nguồn gốc từ đâu?
Mô hình Defense in Depth được trình bày trong khóa luận gồm 7 lớp: Chính sách (Policy), Vật lý (Physical), Mạng biên, Mạng nội bộ (LAN), Hệ điều hành/Thiết bị đầu cuối (Host), Ứng dụng & Người dùng (App & User), và Dữ liệu (Data). Khái niệm này ban đầu là một chiến lược quân sự nhằm làm chậm bước tiến của đối phương, sau đó được Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) đề xuất áp dụng vào lĩnh vực bảo mật thông tin.

2. Trong thực nghiệm bảo mật tầng dữ liệu, tác giả sử dụng phần mềm nào và cấu hình ra sao?
Tác giả sử dụng phần mềm mã hóa mã nguồn mở VeraCrypt trên hệ điều hành Windows 11 Home. Kịch bản thực nghiệm tạo một phân vùng mã hóa độc lập (Standard VeraCrypt volume dưới dạng tệp .vc), áp dụng thuật toán mã hóa đối xứng AES, thiết lập mật khẩu truy cập và chọn định dạng hệ thống tệp là FAT32 hoặc NTFS trước khi mount thành một ổ đĩa logic trong hệ thống.

3. Khóa luận khuyến nghị chu kỳ thay đổi mật khẩu và nguyên tắc phân quyền tài khoản như thế nào?
Tác giả khuyến nghị người dùng và doanh nghiệp cần thay đổi mật khẩu định kỳ từ 60 đến 90 ngày một lần, kết hợp độ phức tạp cao (chữ hoa, chữ thường, số, ký tự đặc biệt). Về phân quyền, hệ thống phải tuân thủ nghiêm ngặt nguyên tắc quyền hạn tối thiểu "Least Privilege", chỉ cấp quyền quản trị (Administrator hoặc root) khi thực sự cần thiết để hạn chế phạm vi tác động nếu tài khoản bị xâm nhập.

4. Môi trường thực nghiệm rà quét lỗ hổng hệ điều hành của tác giả được thiết lập bằng những công cụ nào?
Môi trường thực nghiệm sử dụng công cụ rà quét lỗ hổng bảo mật Tenable Nessus cài đặt trên máy host chạy Windows 11 Home (địa chỉ IP 192.9..., quản trị qua cổng localhost:8834). Mục tiêu quét là máy ảo Metasploitable đóng vai trò hệ thống chứa nhiều lỗ hổng giả lập, được cài đặt và vận hành trên nền tảng ảo hóa VMware Workstation.

5. Lỗ hổng EternalBlue được tác giả trích dẫn nhằm minh họa cho vấn đề gì?
Lỗ hổng EternalBlue xuất hiện năm 2017 được tác giả trích dẫn làm ví dụ điển hình cho tầm quan trọng của việc cập nhật và vá lỗi phần mềm định kỳ. Lỗ hổng này đã bị khai thác trong các cuộc tấn công mã độc WannaCry và Petya gây thiệt hại quy mô toàn cầu do nhiều hệ thống của các tổ chức không được cài đặt bản vá kịp thời dù Microsoft đã phát hành bản sửa lỗi trước đó.

Kết luận

Khóa luận tốt nghiệp của sinh viên Nguyễn Trung Hảo đã hệ thống hóa một cách mạch lạc cơ sở lý luận và các biện pháp kỹ thuật quản trị an toàn thông tin cho doanh nghiệp dựa trên mô hình bảo mật 7 lớp Defense in Depth. Đề tài không chỉ phân tích chi tiết các hiểm họa từ cấp độ vật lý, mạng biên, mạng nội bộ đến hệ điều hành, ứng dụng và dữ liệu mà còn triển khai thành công nhiều kịch bản thực nghiệm mô phỏng cụ thể như mã hóa tập tin với VeraCrypt, phòng vệ mã độc với Windows Defender và quét lỗ hổng bằng Nessus trên nền tảng máy ảo VMware. Mặc dù các thử nghiệm chủ yếu dừng lại ở môi trường lab giả định, công trình nghiên cứu đã mang lại một tài liệu kỹ thuật có giá trị tham khảo rõ ràng, thiết thực cho sinh viên công nghệ thông tin và cán bộ quản trị mạng tại các tổ chức kinh tế.

Trích đoạn nội dung tài liệu

Mở đầu – trình bày về bối cảnh, mục tiêu, đối tượng và nội dung nghiên cứu của đề tài. Tập trung vào tầm quan trọng của việc bảo mật hệ thống CNTT trong doanh nghiệp và áp dụng mô hình bảo mật đa lớp (Defense in Depth). Chương 2 - Tổng quan về an toàn thông tin – trình bày về khái niệm, vai trò của hệ thống CNTT và an toàn thông tin trong doanh nghiệp, phân tích thực trạng bảo mật tại 10 doanh nghiệp, đồng thời giới thiệu mô hình bảo mật đa lớp cùng với các phương pháp triển khai. Chương 3 – Bảo mật tầng dữ liệu, ứng dụng và hệ điều hành – trình bày về các biện pháp bảo mật ở tầng dữ liệu, ứng dụng và hệ điều hành, bao gồm mã hóa, sao lưu dữ liệu, sử dụng công cụ kiểm soát thất thoát dữ liệu, kiểm thử bảo mật ứng dụng và cập nhật hệ điều hành.

Chương 4 – Bảo mật mạng LAN và mạng biên – trình bày về các giải pháp bảo mật mạng LAN (quản lý VLAN, kiểm soát truy cập) và mạng biên (tường lửa, IDS/IPS, vùng DMZ), kết nối an toàn qua VPN, TLS/SSL và các thử nghiệm thực tế. Chương 5 – Bảo vật lý và áp dụng chính sách bảo mật – trình bày về các giải pháp bảo mật vật lý cho cơ sở hạ tầng CNTT, xây dựng các chính sách và quy trình bảo mật theo tiêu chuẩn quốc tế (ISO 27001, 27002) và lập kế hoạch phục hồi thảm họa (DRP). Chương 6 – Kết luận – tóm tắt kết quả đạt được, đánh giá hiệu quả của các giải pháp bảo mật và đề xuất hướng phát triển cho các nghiên cứu hoặc triển khai trong tương lai. CHƯƠNG 2: TỔNG QUAN VỀ AN TOÀN THÔNG TIN 2.

Tổng quan về hệ thống CNTT và an toàn thông tin trong doanh nghiệp 2. Khái niệm về hệ thống CNTT của doanh nghiệp Hệ thống thông tin là tập hợp các thành phần hữu hình và vô hình phối hợp hoạt động để thu thập, xử lý, lưu trữ và truyền đạt thông tin. Mục đích của hệ thống thông tin là phục vụ cho nhu cầu cụ thể của cá nhân, tổ chức hay doanh nghiệp. Ngày nay, nhờ công nghệ thông tin, hệ thống thông tin được lưu trữ và quản lý dễ dàng bằng phần mềm và phần cứng.

Cấu trúc của hệ thống thông tin bao gồm các thành phần cơ bản cùng với cách chúng tương tác với nhau để tạo ra một môi trường hỗ trợ thông tin hiệu quả. Cấu trúc của một hệ thống thông tin Hệ thống thông tin là một tập hợp phức tạp bao gồm nhiều thành phần tương tác với nhau để xử lý và quản lý thông tin một cách hiệu quả. Phần cứng (hardware) là nền tảng vật lý của hệ thống, bao gồm máy tính, máy chủ, thiết bị lưu trữ như ổ cứng và USB, cùng với các thiết bị đầu vào/đầu ra như bàn phím, chuột, máy in, và màn hình. Những thiết bị này đóng vai trò quyết định trong việc thu thập, truyền tải và hiển thị dữ liệu, đảm bảo rằng các yêu cầu của người dùng được thực hiện một cách nhanh chóng và hiệu quả[1].

Bên cạnh phần cứng, phần mềm (software) là yếu tố then chốt giúp điều khiển và quản lý tài nguyên của hệ thống. Hệ điều hành đóng vai trò như một trung gian giữa phần cứng và người dùng, cung cấp một giao diện thân thiện và dễ sử dụng. Các ứng dụng phần mềm khác nhau, từ trình duyệt web đến các ứng dụng văn phòng, đồ họa và quản lý dữ liệu, giúp người dùng xử lý, tạo ra và truy cập thông tin nhanh chóng, hiệu quả hơn. Một thành phần không thể thiếu trong hệ thống thông tin là dữ liệu (data).