TỔNG QUAN HỌC THUẬT VÀ MÔ TẢ NỘI DUNG GIÁO TRÌNH AN NINH MẠNG (MĐ 27)

Tổng quan về giáo trình (250-300 từ)

Giáo trình An ninh mạng (Mã mô đun: MĐ 27) là tài liệu đào tạo chuyên môn được biên soạn bởi tập thể tác giả Thái Kim Ngân và Huỳnh Thị Mỹ Ngọc, ban hành năm 2019 tại Trường Cao đẳng Nghề An Giang. Trong chương trình đào tạo nghề Quản trị mạng máy tính trình độ cao đẳng, mô đun này giữ vị trí môn học chuyên ngành bắt buộc, được bố trí giảng dạy sau khi sinh viên đã hoàn thành các môn học chung và các mô đun cơ sở chuyên ngành mạng.

Mục tiêu đào tạo của giáo trình hướng tới việc trang bị cho người học hệ thống kiến thức toàn diện về an toàn thông tin: hiểu rõ các khái niệm về an ninh mạng; nhận biết các dạng tấn công mạng, phần mềm độc hại và phương thức lây lan; nắm vững cơ chế phát hiện thâm nhập trên máy tính đơn lẻ, hệ thống mạng nội bộ và hệ phân tán; đồng thời làm chủ các kỹ thuật bảo mật hạ tầng mạng.

Về mặt cấu trúc, tài liệu được tổ chức thành 3 bài học chính theo trình tự logic chặt chẽ:

  • Bài 1: Tổng quan về bảo mật mạng (cung cấp cơ sở lý luận về mạng, phân loại lỗ hổng bảo mật, phần mềm độc hại và các dạng tấn công từ chối dịch vụ).
  • Bài 2: Mã hóa (nghiên cứu lịch sử, nguyên lý mật mã học, các thuật toán mã hóa đối xứng, bất đối xứng, hệ mã lai và ứng dụng xác thực PKI).
  • Bài 3: Bảo mật hạ tầng mạng (hướng dẫn thiết kế và cấu hình an ninh thông qua Proxy, VLAN, NAT trên Windows Server và chính sách IPSec).

Điểm đặc sắc của giáo trình là sự kết hợp giữa mô hình phân loại bảo mật theo chuẩn Bộ Quốc phòng Mỹ với các hướng dẫn kỹ thuật triển khai trên hệ điều hành và thiết bị thực tế, phục vụ trực tiếp cho hoạt động quản trị mạng tại các đơn vị, doanh nghiệp.

Nội dung kiến thức cốt lõi (500-600 từ)

Các chương và chủ đề chính

  • Bài 1: Tổng quan về bảo mật mạng: Khái quát mô hình tham chiếu OSI 7 tầng và bộ giao thức TCP/IP 4 tầng trong đối sánh với an toàn dữ liệu. Phân loại lỗ hổng bảo mật theo 3 cấp độ chuẩn của Bộ Quốc phòng Mỹ (Loại C: gây tấn công DoS/spam; Loại B: leo thang đặc quyền cục bộ do lỗi lập trình như tràn bộ đệm trong ngôn ngữ C hoặc dịch vụ Sendmail; Loại A: xâm nhập trái phép từ xa như lỗi script test-cgi trên Web Server Apache hay convert.bas trên Novell). Phân loại phần mềm độc hại theo cơ chế lây nhiễm (Virus, Worm, Fileless malware dựa trên PowerShell/Registry, Adware) và hành vi (Ransomware, Spyware, Trojan). Phân tích chi tiết tấn công từ chối dịch vụ (DoS/DDoS) với các hình thức: Ping of Death, LAND Attack, WinNuke (Out of Bound - OOB), CPU Hog, Bubonic, khai thác RPC Locator, tấn công khuếch đại DNS, mạng Botnet/P2P, và sâu máy tính Conficker (MS08-067).

  • Bài 2: Mã hóa: Trình bày tiến trình phát triển của mật mã học từ thời cổ đại (mật mã chữ tượng hình Ai Cập 2000 TCN, thuật toán Atbash của người Hebrew, gậy mật mã Sparte 400 TCN, mã vòng Caesar, máy Enigma thời Thế chiến II) đến mật mã hiện đại. Phân loại hai kỹ thuật mã hóa nền tảng: thay thế (substitution) và chuyển vị (transposition). Phân tích chi tiết các thuật toán mã hóa đối xứng: DES (khóa 64-bit, 56-bit hiệu dụng), Triple DES (3DES), AES (độ dài khóa 128, 192, 256-bit). Phân tích hệ mã hóa bất đối xứng (Public-Key Cryptography) và thuật toán RSA (quy trình thiết lập 6 bước dựa trên độ khó của bài toán phân tích thừa số nguyên tố, hàm số Euler $\phi(n)$, định lý Fermat nhỏ, khuyến nghị khóa $n \ge 1024/2048$ bit, tham số công khai $e \in {3, 7, 65537}$) cùng hệ mật ElGamal (bài toán logarithm rời rạc). Ứng dụng mã hóa trong hạ tầng khóa công khai (PKI), tiêu chuẩn chứng chỉ X.509, danh sách thu hồi chứng chỉ (CRL), giao thức kiểm tra trực tuyến OCSP, mã hóa tập tin EFS trên Windows (.PST, .OST), OpenPGP, các giao thức mạng riêng ảo VPN (PPTP, OpenVPN, L2TP/IPSec, IKEv2/IPSec) và chuẩn mã hóa không dây (WEP, WPA, WPA2-PSK).

  • Bài 3: Bảo mật hạ tầng mạng: Giới thiệu các nguyên tắc phòng thủ hệ thống gồm "Bảo vệ có chiều sâu" (Defense in Depth) và "Sử dụng đa dạng hóa công nghệ". Phân tích chức năng và phân loại Proxy Server (Transparent Proxy, Anonymous Proxy, Distorting Proxy, High Anonymity Proxy/TOR). Kỹ thuật phân vùng mạng cục bộ ảo (VLAN) nhằm giới hạn miền quảng bá (broadcast domain) trên Switch. Hướng dẫn cơ chế hoạt động và cấu hình Network Address Translation (NAT) trên Windows Server, cùng việc khởi tạo, áp dụng các chính sách và quy tắc bảo mật IPSec.

+-----------------------------------------------------------------------------------+
|                        TIẾN TRÌNH NỘI DUNG GIÁO TRÌNH                             |
+-----------------------------------------------------------------------------------+
|  [BÀI 1] NHẬN DIỆN NGUY CƠ & LỖ HỔNG                                              |
|  - Mô hình mạng (OSI/TCP-IP) -> Phân loại lỗ hổng (A, B, C)                       |
|  - Phân loại phần mềm độc hại (Virus, Worm, Fileless, Ransomware, Trojan...)       |
|  - Cơ chế tấn công DoS/DDoS & Khung phòng thủ (theo vị trí, giao thức, thời điểm) |
+-----------------------------------------+-----------------------------------------+
                                          |
                                          v
+-----------------------------------------------------------------------------------+
|  [BÀI 2] BẢO VỆ DỮ LIỆU BẰNG MẬT MÃ HỌC                                           |
|  - Mật mã cổ điển -> Mật mã đối xứng (DES, 3DES, AES)                             |
|  - Mật mã bất đối xứng (RSA, ElGamal) & Hệ mã lai (Hybrid Cryptosystem)           |
|  - Ứng dụng: Xác thực PKI (X.509, CRL, OCSP), EFS, Email (OpenPGP), WPA2, VPN     |
+-----------------------------------------+-----------------------------------------+
                                          |
                                          v
+-----------------------------------------------------------------------------------+
|  [BÀI 3] THIẾT KẾ & BẢO VỆ HẠ TẦNG MẠNG                                           |
|  - Nguyên tắc Defense in Depth & Tiêu chuẩn ISO/IEC 15408, FIPS-140               |
|  - Cơ chế Proxy Server (Transparent, Anonymous, Distorting, High Anonymity)       |
|  - Phân tách Broadcast Domain qua VLAN trên Switch                                |
|  - Triển khai NAT trên Windows Server & Cấu hình chính sách, quy tắc IPSec        |
+-----------------------------------------------------------------------------------+

Kiến thức nền tảng được xây dựng

  • Lý thuyết phân tầng mạng: Nguyên lý vận hành các đơn vị dữ liệu (Bit, Frame, Packet, Segment) qua 7 tầng OSI và 4 tầng TCP/IP.
  • Lý thuyết mật mã học và toán học rời rạc: Ứng dụng số học mô-đun, số nguyên tố lớn, hoán vị, bài toán phân tích thừa số nguyên tố và logarithm rời rạc trong thiết kế thuật toán mã hóa.
  • Nguyên lý phân cấp an ninh: Khung đánh giá lỗ hổng bảo mật của Bộ Quốc phòng Mỹ và kiến trúc mạng lưới tín nhiệm trong chứng thực số (X.509, Root CA, Sub-CA).

Kỹ năng phát triển

  • Kỹ năng kỹ thuật: Thiết lập mã hóa mạng không dây WPA2-PSK trên router; cấu hình Proxy Client trên trình duyệt web; thiết lập mã hóa tập tin EFS trên Windows; phân chia VLAN logic trên thiết bị chuyển mạch; cài đặt cấu hình dịch vụ NAT và thiết lập các rule bảo mật IPSec trên hệ điều hành Windows Server.
  • Kỹ năng phân tích hệ thống: Nhận diện các dấu hiệu bất thường của lưu lượng DoS/DDoS thông qua công cụ bắt gói tin (Wireshark); đánh giá cấp độ nguy hiểm của các lỗ hổng phần mềm (Sendmail, Apache test-cgi, Novell convert.bas, lỗi bộ đệm mã nguồn C).
  • Năng lực vận hành thực tế: Khả năng lựa chọn và kết hợp các biện pháp phòng vệ theo chiều sâu (kết hợp Firewall, IDS/IPS, Proxy, VLAN) đáp ứng yêu cầu vận hành mạng nội bộ của cơ quan, doanh nghiệp.

Phương pháp giảng dạy và học tập (300-350 từ)

Giáo trình áp dụng phương pháp tiếp cận sư phạm tích hợp giữa thuyết giảng lý thuyết quy chuẩn và thực hành kỹ thuật có hướng dẫn:

  • Phương pháp sư phạm: Đi từ việc phân tích bản chất kỹ thuật (cơ chế gói tin, cấu trúc giải thuật toán học) đến việc mô phỏng các tình huống tấn công và giải pháp khắc phục. Tài liệu sử dụng các sơ đồ minh họa quy trình mã hóa, mô hình tấn công phản xạ khuếch đại DNS, sơ đồ triển khai hệ thống Proxy và kiến trúc phân tách mạng VLAN nhằm hỗ trợ trực quan hóa kiến thức trừu tượng.
  • Nghiên cứu tình huống (Case studies): Tài liệu đưa vào các sự kiện thực tế mang tính điển hình trong lịch sử an toàn thông tin:
    • Sự cố tấn công DoS/DDoS nhằm vào website BKAV ngày 06/02/2012 và cổng thông tin Cục Tình báo Trung ương Mỹ (CIA) ngày 10/02/2012 bởi nhóm tin tặc Anonymous.
    • Phân tích sự cố tê liệt hệ thống diện rộng giai đoạn 2011-2012 do virus Conficker/Kido khai thác lỗ hổng Microsoft Security Bulletin MS08-067, kết hợp phương pháp sử dụng Wireshark để phân tích lưu lượng bất thường.
    • Tình huống khai thác lỗ hổng cấu hình biến môi trường QUERY_STRING trong file test-cgi của Web Server Apache phiên bản trước 1.1 và file convert.bas trên hệ điều hành Novell.
  • Hệ thống bài tập và thực hành: Bao gồm các bài tập tính toán định lượng tham số mã hóa RSA (tính khóa $e, d$, bản mã $c$, bản rõ $m$), bài tập mã hóa hoán vị văn bản, cùng các bài thực hành thiết lập cấu hình bảo mật trực tiếp trên giao diện Windows và thiết bị mạng.
  • Đánh giá và tự học: Hệ thống câu hỏi ôn tập cuối mỗi bài học yêu cầu người học so sánh các mô hình mạng (OSI vs TCP/IP), đối chiếu các thuật toán mã hóa (RSA, ECC, DES, AES), và đề xuất giải pháp xử lý sự cố an ninh. Hướng dẫn tự học nhấn mạnh việc theo dõi các bản tin cảnh báo từ các tổ chức chuyên trách quốc tế như CERT (Computer Emergency Response Team), CIAC (Computer Incident Advisory Capability), và diễn đàn FIRST (Forum of Incident Response and Security Teams).

Điểm nổi bật và cập nhật (250-300 từ)

  • Tích hợp các dạng thức đe dọa mạng hiện đại: Giáo trình cập nhật chi tiết các khái niệm mã độc thế hệ mới như phần mềm độc hại không có tệp (Fileless malware) — loại mã độc không ghi lên hệ thống tệp mà chỉ hoạt động trên bộ nhớ tạm thời thông qua việc khai thác API và PowerShell của hệ điều hành; phân tích chi tiết cơ chế hoạt động của Ransomware gắn liền với yêu cầu thanh toán bằng tiền điện tử.
  • Phân tích kỹ thuật phòng thủ DoS/DDoS đa tầng: Cung cấp khung phòng vệ toàn diện dựa trên 3 tiêu chí phân loại độc lập:
    • Phân loại theo vị trí triển khai (tại nguồn tấn công, tại mạng đích, tại hệ thống đích).
    • Phân loại theo giao thức (tầng IP: kỹ thuật Pushback, SIP defender; tầng TCP: điều chỉnh Backlogs, giảm thời gian TCP-SYN time-out, triển khai SYN Cache, SYN Cookies; tầng Ứng dụng: giám sát hành vi phiên HTTP).
    • Phân loại theo thời điểm can thiệp (trước, trong và sau khi diễn ra tấn công).
  • Kết nối tiêu chuẩn công nghiệp: Giáo trình liên kết trực tiếp kiến thức học thuật với các tiêu chuẩn an toàn thông tin quốc tế và khuyến nghị của các hãng công nghệ lớn (Microsoft, Cisco, Juniper), bao gồm tiêu chuẩn đánh giá Common Criteria (ISO/IEC 15408:2005 EAL4), tiêu chuẩn mã hóa FIPS-140, và chứng nhận ICSA Firewall/VPN.

Đối tượng sử dụng giáo trình (200-250 từ)

  • Sinh viên chuyên ngành: Phù hợp cho sinh viên năm thứ hai hoặc năm thứ ba hệ Cao đẳng chuyên ngành Quản trị mạng máy tính, Công nghệ thông tin hoặc Kỹ thuật mạng.
  • Yêu cầu kiến thức tiên quyết (Prerequisites): Người học cần hoàn thành các học phần đại cương về Tin học cơ sở, Mạng máy tính căn bản (đã nắm rõ mô hình OSI, cơ chế định tuyến, địa chỉ IP), Kiến trúc máy tính và Quản trị hệ điều hành (Windows, Linux/UNIX).
  • Ứng dụng đối với giảng viên: Giảng viên sử dụng tài liệu làm khung chương trình chính thức cho mô đun MĐ 27; làm căn cứ thiết kế giáo án lý thuyết, xây dựng bài giảng điện tử và thiết kế các bài thực hành trong phòng lab (Lab cấu hình Proxy, NAT, IPSec, VLAN).
  • Giá trị tự học và tham khảo: Cung cấp cho kỹ thuật viên quản trị hệ thống, quản trị viên mạng tại các doanh nghiệp tài liệu tra cứu các thuật ngữ chuyên môn, cấu trúc thuật toán mật mã và quy trình phòng thủ sự cố an ninh mạng.

Câu hỏi thường gặp (250-300 từ)

1. Giáo trình này được thiết kế phục vụ cho đối tượng nào?
Tài liệu phục vụ trực tiếp cho sinh viên hệ cao đẳng nghề ngành Quản trị mạng máy tính, đồng thời là tài liệu tham khảo kỹ thuật cho nhân sự đang phụ trách vận hành, bảo mật hạ tầng mạng tại các cơ quan, doanh nghiệp.

2. Cần chuẩn bị những kiến thức nền tảng nào trước khi học mô đun này?
Người học cần có kiến thức vững về kiến trúc mạng máy tính, mô hình OSI/TCP-IP, nguyên lý định tuyến, kiến thức cơ bản về toán logic (để tiếp cận các phép toán mô-đun trong mật mã) và kỹ năng thao tác trên hệ điều hành Windows Server, Linux.

3. Điểm khác biệt của giáo trình so với các tài liệu an ninh mạng đại cương khác là gì?
Giáo trình sử dụng chuẩn phân loại lỗ hổng của Bộ Quốc phòng Mỹ (Loại A, B, C), trình bày chi tiết từng bước thuật toán RSA kèm ví dụ số học cụ thể, và tập trung vào các công nghệ hạ tầng cốt lõi (Proxy, NAT, IPSec, VLAN) thay vì chỉ dàn trải lý thuyết chung.

4. Phương pháp tự học giáo trình này như thế nào để đạt hiệu quả cao nhất?
Người học nên kết hợp đọc lý thuyết từng bài với việc thiết lập môi trường máy ảo để thực hành: cài đặt và cấu hình Proxy trên trình duyệt, thiết lập dịch vụ NAT/IPSec trên Windows Server, cấu hình WPA2 trên router, và giải các bài tập tính toán mã hóa RSA được cung cấp ở cuối mỗi bài học.

5. Giáo trình có kèm theo tài liệu bổ trợ nào không?
Cuối giáo trình có bảng tổng hợp các thuật ngữ chuyên môn về an ninh mạng, danh mục tài liệu tham khảo và hệ thống câu hỏi ôn tập, bài tập tính toán sau mỗi bài học.

Kết luận (150 từ)

Giáo trình An ninh mạng (MĐ 27) của Trường Cao đẳng Nghề An Giang cung cấp một khung tài liệu học thuật hoàn chỉnh, chuẩn hóa về mặt kiến thức an toàn thông tin ở cấp độ đào tạo nghề cao đẳng. Giá trị cốt lõi của tài liệu nằm ở sự liên kết chặt chẽ giữa cơ sở lý luận an ninh mạng, nguyên lý toán học của mật mã học và quy trình triển khai các công nghệ bảo mật hạ tầng thực tế.

Lộ trình học tập đề xuất cho người học là tiếp cận tuần tự từ nhận diện lỗ hổng và mã độc (Bài 1), làm chủ kỹ thuật bảo vệ dữ liệu bằng mật mã (Bài 2), đến thực thi các giải pháp phân vùng, kiểm soát lưu lượng và thiết lập chính sách hạ tầng (Bài 3). Để mở rộng kiến thức, người học được khuyến nghị tra cứu thường xuyên các cơ sở dữ liệu lỗ hổng bảo mật quốc tế từ CERT, CIAC, FIRST cùng hệ thống tiêu chuẩn X.509, ISO/IEC 15408.