Giáo trình An ninh Mạng trình độ Cao đẳng ngành Tin học ứng dụng - Trường Cao đẳng GTVT Trung ương I

Giáo trình An ninh mạng cao đẳng gtvt trung ương i biên soạn theo chương trình đào tạo chuẩn, phù hợp sinh viên ngành tại Việt Nam

Trường đại học

Trường Cao Đẳng Giao Thông Vận Tải Trung Ương I

Chuyên ngành

An Ninh Mạng

Thể loại

Giáo trình

2019

Phí lưu trữ

30 Point

Mục lục chi tiết

LỜI NÓI ĐẦU

1. CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT VÀ AN TOÀN MẠNG

1.1. Tổng quan về an toàn bảo mật mạng

1.1.1. Giới thiệu về AAA: (Access Control, Authentication và Auditing)

1.1.2. Điều khiển truy cập (Access Control)

1.2. Các dạng tấn công

1.2.1. Minh hoạ khái quát một qui trình tấn công

1.2.2. Tấn công chủ động

1.2.3. Tấn công thụ động

1.2.4. Malicious Code Attacks

1.3. Các phương pháp phòng chống

1.3.1. Giới thiệu công cụ Essential NetTools

1.3.2. Giới thiệu công cụ Microsoft Baseline Security Analyzer

1.3.3. Sử dụng công cụ Tenable NeWT Scanner

1.3.4. Xây dựng Firewall để hạn chế tấn công

2. CHƯƠNG 2: BẢO MẬT VỚI LỌC GÓI IP

2.1. Bảo mật với lọc gói

2.2. Khái quát về lọc gói

2.3. Các bước đề xây dựng luật Bảo Mật trong IPSEC

3. CHƯƠNG 3: IPSEC (Internet protocol security)

3.1. Cấu trúc bảo mật

3.2. Thiết kế theo yêu cầu

3.3. Implementations - thực hiện

4. CHƯƠNG 4: NAT (Network Address Translation)

4.1. Mô hình mạng của dịch vụ Nat

4.2. Nguyên lý hoạt động của NAT

4.3. Triển khai dịch vụ Nat

5. CHƯƠNG 5: VIRUS

5.1. Đặc điểm của B-Virus

5.2. Đặc điểm của F-Virus

5.3. Cài đặt chương trình Symantec Antivirus Server (Server Install)

5.4. Cài đặt chương trình Symantec System Center

5.5. Cài đặt Symantec Antivirus Client

TÀI LIỆU THAM KHẢO

Tóm tắt

I. Hướng dẫn chi tiết giáo trình an ninh mạng CĐ GTVT Trung ương I

Giáo trình an ninh mạng dành cho sinh viên ngành Tin học ứng dụng trình độ Cao đẳng tại Trường Cao đẳng GTVT Trung ương I là một tài liệu học thuật quan trọng, được biên soạn nhằm trang bị kiến thức nền tảng và chuyên sâu về bảo mật. Bối cảnh phát triển mạnh mẽ của công nghệ thông tin đã đặt ra những thách thức lớn về an toàn dữ liệu, đòi hỏi nguồn nhân lực phải có kỹ năng vững chắc để đối phó với các nguy cơ trên không gian mạng. Theo Lời nói đầu của giáo trình, mục tiêu chính là "cung cấp các kiến thức lý thuyết và thực hành về an toàn, bảo mật thông tin; các phương pháp tấn công và các biện pháp bảo mật, khắc phục vấn đề an toàn thông tin mạng máy tính". Nội dung của giáo trình an ninh mạng nghề tin học ứng dụng trình độ cao đẳng CĐ GTVT Trung ương I được cấu trúc một cách logic, đi từ tổng quan đến chi tiết. Sinh viên sẽ bắt đầu với các khái niệm cơ bản về an ninh mạng, sau đó đi sâu vào các kỹ thuật cụ thể như lọc gói tin IP, giao thức IPSEC, và NAT. Tài liệu này không chỉ là giáo án an ninh mạng cho giảng viên mà còn là cẩm nang hữu ích cho sinh viên trong quá trình học tập và nghiên cứu. Việc nắm vững kiến thức từ giáo trình giúp sinh viên đáp ứng chuẩn đầu ra môn an ninh mạng, sẵn sàng tham gia vào thị trường lao động với vai trò quản trị viên hệ thống, chuyên gia bảo mật, hoặc các vị trí liên quan trong lĩnh vực an toàn thông tin.

1.1. Mục tiêu và chuẩn đầu ra môn an ninh mạng tại CĐ GTVT I

Mục tiêu cốt lõi của môn học, như được nêu trong Chương 1, là giúp sinh viên có khả năng "Trình bày đầy đủ các nội dung về an toàn bảo mật mạng; các dạng tấn công và các phương pháp bảo mật trên mạng". Sau khi hoàn thành chương trình, người học phải ghi nhớ và hiểu biết chính xác về các cách thức tấn công, phương pháp bảo mật, và các loại xác thực. Về chuẩn đầu ra môn an ninh mạng, sinh viên được kỳ vọng sẽ đạt được các kỹ năng cụ thể: phân tích được các nguy cơ bảo mật, triển khai được các giải pháp phòng thủ cơ bản như Firewall, cấu hình được các chính sách bảo mật trên hệ thống. Đây là nền tảng vững chắc cho chuyên ngành bảo mật thông tin hệ cao đẳng.

1.2. Phân tích cấu trúc đề cương chi tiết an ninh mạng

Cấu trúc đề cương chi tiết an ninh mạng được chia thành 5 chương chính. Chương 1 giới thiệu tổng quan về bảo mật, các khái niệm nền tảng như AAA (Access Control, Authentication, Auditing) và các dạng tấn công. Chương 2 và 3 đi sâu vào kỹ thuật bảo mật hệ thống thông tin với lọc gói tin IP và giao thức IPSEC. Chương 4 trình bày về NAT (Network Address Translation), một kỹ thuật quan trọng trong quản trị mạng và bảo mật. Cuối cùng, Chương 5 tập trung vào một trong những mối đe dọa phổ biến nhất là Virus. Cấu trúc này đảm bảo sinh viên có cái nhìn toàn diện, từ lý thuyết cơ bản đến các ứng dụng thực tiễn trong ngành tin học ứng dụng.

II. Các nguy cơ an ninh mạng mà sinh viên tin học ứng dụng đối mặt

Trong môi trường số hiện nay, các hệ thống thông tin luôn là mục tiêu của nhiều hình thức tấn công tinh vi. Giáo trình nhấn mạnh rằng việc hiểu rõ cách thức hacker tấn công là bước đầu tiên và quan trọng nhất để xây dựng một hệ thống phòng thủ hiệu quả. Theo tài liệu gốc, các cuộc tấn công có thể được phân loại theo nhiều tiêu chí: mục tiêu, cách thức (chủ động hoặc thụ động), và phương pháp. Một quy trình tấn công điển hình được minh họa qua 5 bước: (1) Thăm dò và đánh giá hệ thống, (2) Thâm nhập, (3) Gia tăng quyền hạn, (4) Duy trì truy cập, và (5) Thực hiện tấn công. Sinh viên theo học chương trình đào tạo tin học ứng dụng cần nhận thức rõ những mối đe dọa này. Các cuộc tấn công từ chối dịch vụ (DoS, DDoS) có thể làm tê liệt hoạt động của doanh nghiệp, gây thiệt hại hàng tỷ USD. Trong khi đó, các kỹ thuật như Spoofing hay Man-in-the-Middle lại âm thầm đánh cắp dữ liệu nhạy cảm. Đây không còn là nguy cơ tiềm ẩn mà đã trở thành "chiến tranh thông tin" như giáo trình đã cảnh báo, trích dẫn từ báo Dân Việt về hàng trăm website Việt Nam bị tấn công. Do đó, việc trang bị kiến thức phòng chống tấn công mạng là yêu cầu cấp bách.

2.1. Phân loại các dạng tấn công mạng chủ động và thụ động

Giáo trình phân biệt rõ hai loại tấn công chính. Tấn công chủ động (Active Attacks) là các hành động trực tiếp gây hại đến hệ thống như làm tê liệt dịch vụ (DoS, DDoS), làm tràn bộ đệm (Buffer Overflows), hoặc giả mạo (Spoofing). Kẻ tấn công thay đổi hoặc phá hủy dữ liệu. Ngược lại, tấn công thụ động (Passive Attacks) chỉ đơn thuần là nghe lén (Sniffing) hoặc thu thập thông tin mà không làm thay đổi hệ thống. Mặc dù không gây hại ngay lập tức, tấn công thụ động là bước đệm để chuẩn bị cho các cuộc tấn công chủ động nguy hiểm hơn. Việc hiểu rõ hai hình thái này giúp xây dựng chiến lược an toàn thông tin phù hợp.

2.2. Hiểu rõ về Malicious Code Attacks Virus Worms Trojan

Mã độc (Malicious Code) là một trong những vũ khí phổ biến nhất của tin tặc. Giáo trình dành riêng Chương 5 để nói về Virus, nhưng cũng đề cập đến các dạng khác như Worms, Trojan Horse và Logic Bombs trong phần tổng quan. Virus là các đoạn mã được thiết kế để phá hoại, gắn vào một chương trình khác. Worms nguy hiểm hơn ở khả năng tự nhân bản và lây lan qua mạng. Trojan Horse lại ẩn mình dưới vỏ bọc một phần mềm hữu ích để thực hiện các hành vi gây hại ngầm. Nắm vững đặc điểm của từng loại mã độc là kiến thức cơ bản trong phòng chống tấn công mạng.

2.3. Rủi ro từ Social Engineering và tấn công mật khẩu

Bên cạnh các phương pháp kỹ thuật, giáo trình cũng nhấn mạnh đến Social Engineering – hình thức tấn công phi kỹ thuật nhưng cực kỳ hiệu quả. Đây là nghệ thuật thao túng tâm lý con người để khai thác thông tin. Kẻ tấn công có thể giả danh để lừa người dùng tiết lộ mật khẩu hoặc các dữ liệu nhạy cảm khác. Song song đó, Password Attacks (tấn công mật khẩu) cũng là một mối đe dọa lớn, với hai phương pháp chính là Brute-Force (vét cạn) và Dictionary-based (tấn công từ điển). Đây là những kiến thức thực tiễn giúp sinh viên bảo mật thông tin hệ cao đẳng không chỉ ở góc độ kỹ thuật mà còn ở góc độ nhận thức người dùng.

III. Phương pháp bảo mật với lọc gói tin IP trong giáo trình CĐ GTVT I

Một trong những kỹ năng cốt lõi được đề cập trong giáo trình an ninh mạng nghề tin học ứng dụng trình độ cao đẳng CĐ GTVT Trung ương I là kỹ thuật bảo mật dựa trên lọc gói tin. Đây là phương pháp phòng thủ nền tảng, hoạt động ở tầng mạng, cho phép kiểm soát luồng dữ liệu ra vào một hệ thống dựa trên các quy tắc được định sẵn. Chương 2 của giáo trình tập trung hoàn toàn vào chủ đề này. Về cơ bản, bảo mật lọc gói tin (Packet Filtering) hoạt động bằng cách kiểm tra phần header của mỗi gói tin IP, TCP hoặc UDP. Dựa vào các thông tin như địa chỉ IP nguồn, địa chỉ IP đích, cổng nguồn, cổng đích và giao thức sử dụng, hệ thống (thường là firewall hoặc router) sẽ quyết định cho phép (Permit) hoặc từ chối (Block) gói tin đó. Hiểu được cấu trúc của một gói tin là điều kiện tiên quyết. Giáo trình giải thích chi tiết các trường (field) trong header của gói IP như Version, Header Length, Time To Live, Protocol, Source/Destination Address. Việc nắm vững các khái niệm này không chỉ quan trọng đối với bảo mật hệ thống thông tin mà còn là kiến thức nền tảng cho quản trị mạng và bảo mật nói chung.

3.1. Nguyên tắc cơ bản về cấu trúc gói tin TCP UDP và IP

Trước khi xây dựng bộ lọc, sinh viên phải hiểu rõ dữ liệu được đóng gói và truyền đi như thế nào. Giáo trình trình bày chi tiết cấu trúc của ba loại gói tin phổ biến. Gói IP chịu trách nhiệm định tuyến từ máy đến máy. Gói TCP đảm bảo truyền dữ liệu tin cậy, có cơ chế bắt tay ba bước. Gói UDP thì ngược lại, truyền dữ liệu không cần kết nối, nhanh nhưng không đảm bảo. Mỗi loại gói tin có phần header chứa các thông tin quan trọng để bộ lọc có thể phân tích và ra quyết định, tạo nền tảng vững chắc cho việc học cybersecurity for college.

3.2. Các bước xây dựng luật Bảo Mật trong IPSEC cho hệ cao đẳng

Giáo trình cung cấp một hướng dẫn thực hành chi tiết để xây dựng các quy tắc bảo mật sử dụng IPSEC trên Windows. Quy trình gồm ba bước chính. Bước 1 là xác định bộ lọc gói tin (IP Filter List), nơi định nghĩa các tiêu chí cho luồng dữ liệu cần kiểm soát (ví dụ: tất cả traffic từ một IP cụ thể đến cổng 80). Bước 2 là xác định hành động của bộ lọc (Filter Action), bao gồm "Permit" (cho phép), "Block" (chặn), và "Negotiate security" (mã hóa). Bước 3 là xây dựng luật (Rule) bằng cách kết hợp một bộ lọc với một hành động tương ứng. Hướng dẫn này là một phần quan trọng của tài liệu an ninh mạng thực hành.

IV. Bí quyết quản trị mạng và bảo mật với giao thức IPSEC hiệu quả

IPSEC (Internet Protocol Security) là một bộ giao thức bắt buộc trong IPv6 và tùy chọn trong IPv4, được thiết kế để cung cấp cơ chế bảo mật mạnh mẽ ở tầng mạng. Chương 3 của giáo trình đi sâu vào kiến trúc và cách triển khai IPSEC. Không giống như SSL hay TLS hoạt động ở các tầng trên, IPSEC bảo vệ toàn bộ gói tin IP, giúp nó trở nên minh bạch với các ứng dụng. Điều này có nghĩa là các ứng dụng không cần phải sửa đổi mã nguồn để được bảo mật bởi IPSEC. Giao thức này cung cấp bốn dịch vụ bảo mật chính: mã hóa dữ liệu, đảm bảo tính toàn vẹn, xác thực các bên giao tiếp, và chống tấn công phát lại (replay attacks). Đây là một công cụ cực kỳ mạnh mẽ trong lĩnh vực quản trị mạng và bảo mật. Việc triển khai IPSEC yêu cầu sự hiểu biết về Security Association (SA), Security Parameter Index (SPI) và các thuật toán mã hóa như AES, 3DES. Các slide bài giảng an ninh mạng CĐ GTVT 1 thường minh họa chi tiết các khái niệm này để sinh viên dễ hình dung và áp dụng vào thực tế.

4.1. Cấu trúc bảo mật và các mode hoạt động của IPsec

IPSEC hoạt động ở hai chế độ chính: Transport Mode và Tunnel Mode. Transport Mode chỉ mã hóa và/hoặc xác thực phần dữ liệu (payload) của gói tin, trong khi phần header IP gốc vẫn được giữ nguyên. Chế độ này thường được sử dụng cho giao tiếp giữa hai máy chủ (end-to-end). Ngược lại, Tunnel Mode mã hóa toàn bộ gói tin IP gốc (cả header và payload) rồi đóng gói nó vào một gói tin IP mới. Chế độ này lý tưởng cho việc tạo các mạng riêng ảo (VPN) giữa hai mạng (site-to-site) hoặc giữa một máy khách và một mạng (host-to-site). Việc lựa chọn mode hoạt động phù hợp là yếu tố then chốt trong an toàn thông tin.

4.2. Tìm hiểu Authentication Header AH và ESP trong an toàn thông tin

IPSEC sử dụng hai giao thức chính để cung cấp bảo mật: Authentication Header (AH) và Encapsulating Security Payload (ESP). AH (giao thức số 51) cung cấp tính toàn vẹn dữ liệu và xác thực nguồn gốc nhưng không mã hóa dữ liệu. Nó bảo vệ gói tin khỏi bị thay đổi trên đường truyền. ESP (giao thức số 50) cung cấp cả ba dịch vụ: bảo mật (mã hóa), tính toàn vẹn và xác thực. ESP linh hoạt hơn và được sử dụng phổ biến hơn trong thực tế. Sinh viên cần phân biệt rõ chức năng của AH và ESP để thiết kế giải pháp bảo mật hệ thống thông tin tối ưu.

4.3. Nguyên tắc cơ bản về mật mã học và quản lý khóa

Nền tảng của IPSEC là các thuật toán mật mã học cơ bản. Giáo trình giới thiệu về khái niệm cặp khóa Công khai - Riêng tư (Public-Private Key). Một thông điệp được mã hóa bằng khóa công khai chỉ có thể được giải mã bằng khóa riêng tư tương ứng và ngược lại. Quá trình trao đổi và quản lý các khóa này được thực hiện thông qua giao thức IKE (Internet Key Exchange). Việc hiểu rõ cơ chế hoạt động của mã hóa bất đối xứng và cách IKE thiết lập các liên kết bảo mật (Security Associations) là kiến thức chuyên sâu, giúp sinh viên vượt qua các yêu cầu cơ bản của chương trình đào tạo tin học ứng dụng.

V. Ứng dụng NAT trong chương trình đào tạo tin học ứng dụng CĐ GTVT

NAT (Network Address Translation) là một kỹ thuật được trình bày trong Chương 4 của giáo trình, đóng vai trò quan trọng trong việc giải quyết vấn đề thiếu hụt địa chỉ IPv4 và tăng cường một lớp bảo mật cơ bản. Về bản chất, NAT cho phép nhiều máy tính trong một mạng cục bộ (LAN) sử dụng chung một địa chỉ IP công cộng duy nhất để truy cập Internet. Khi một máy tính trong mạng LAN gửi một gói tin ra ngoài, thiết bị NAT (thường là router) sẽ thay thế địa chỉ IP nguồn riêng tư bằng địa chỉ IP công cộng của nó. Nó cũng ghi lại thông tin này vào một bảng phiên (session table). Khi nhận được gói tin phản hồi, NAT sẽ dựa vào bảng phiên để chuyển tiếp gói tin về đúng máy tính trong mạng LAN. Kỹ thuật này giúp che giấu cấu trúc mạng nội bộ khỏi thế giới bên ngoài, gây khó khăn cho kẻ tấn công khi muốn nhắm mục tiêu trực tiếp vào một máy tính cụ thể. Đối với sinh viên ngành tin học ứng dụng, hiểu và triển khai được NAT là một kỹ năng thực tế cần thiết, thường được yêu cầu trong các công việc quản trị mạng và bảo mật.

5.1. Nguyên lý hoạt động của Network Address Translation NAT

Nguyên lý của NAT xoay quanh việc ánh xạ địa chỉ và cổng. Thiết bị NAT hoạt động như một router trung gian. Nó duy trì một bảng trạng thái để theo dõi các kết nối đi ra. Mỗi kết nối được xác định bởi một bộ năm thông tin (tuple): địa chỉ IP nguồn, cổng nguồn, địa chỉ IP đích, cổng đích, và giao thức. Khi chuyển đổi địa chỉ, NAT có thể chỉ thay đổi địa chỉ IP (Static NAT), hoặc thay đổi cả địa chỉ IP và cổng (Dynamic NAT hoặc PAT - Port Address Translation). PAT là hình thức phổ biến nhất, cho phép hàng nghìn máy nội bộ chia sẻ một IP công cộng duy nhất.

5.2. Hướng dẫn triển khai dịch vụ NAT trên hệ thống Windows Server

Giáo trình cung cấp hướng dẫn từng bước để cấu hình NAT trên Windows Server thông qua dịch vụ Routing and Remote Access (RRAS). Các bước chính bao gồm: khởi động dịch vụ, chọn giao tiếp mạng kết nối với Internet (public interface) và giao tiếp mạng kết nối với mạng nội bộ (private interface). Sau khi dịch vụ được kích hoạt, quản trị viên có thể cấu hình các tùy chọn bảo mật cơ bản ngay trên giao tiếp Internet, chẳng hạn như bật firewall tích hợp. Đây là một bài thực hành hữu ích, giúp sinh viên áp dụng lý thuyết bảo mật thông tin hệ cao đẳng vào môi trường thực tế.

VI. Tầm quan trọng của giáo trình và tuân thủ Luật An ninh mạng VN

Hoàn thành giáo trình an ninh mạng nghề tin học ứng dụng trình độ cao đẳng CĐ GTVT Trung ương I không chỉ là việc tích lũy tín chỉ mà còn là trang bị hành trang thiết yếu cho sự nghiệp trong kỷ nguyên số. Kiến thức và kỹ năng được cung cấp giúp sinh viên có khả năng bảo vệ tài sản thông tin quý giá của cá nhân và tổ chức. Các khái niệm từ tổng quan như AAA, các dạng tấn công, đến các kỹ thuật chuyên sâu như lọc gói tin, IPSEC, và NAT đều là những viên gạch nền móng cho bất kỳ chuyên gia an toàn thông tin nào. Hơn nữa, việc học và thực hành an ninh mạng còn phải gắn liền với bối cảnh pháp lý. Tại Việt Nam, Luật an ninh mạng Việt Nam đã có hiệu lực, quy định rõ ràng về các hành vi bị cấm trên không gian mạng, trách nhiệm của các cơ quan, tổ chức và cá nhân trong việc bảo vệ an ninh mạng quốc gia. Việc hiểu biết luật pháp không chỉ giúp các chuyên gia tương lai hoạt động đúng khuôn khổ mà còn nâng cao ý thức trách nhiệm đối với cộng đồng và xã hội.

6.1. Tổng kết kiến thức cốt lõi về bảo mật hệ thống thông tin

Nhìn lại toàn bộ giáo trình, các kiến thức cốt lõi về bảo mật hệ thống thông tin bao gồm: (1) Nhận diện và phân loại các mối đe dọa; (2) Hiểu và triển khai các cơ chế xác thực, phân quyền; (3) Cấu hình các biện pháp phòng thủ ở tầng mạng như Firewall, IPSEC, NAT; (4) Nhận biết và phòng chống các loại mã độc. Đây là bộ kỹ năng toàn diện, giúp sinh viên có thể tự tin đảm nhận các công việc liên quan đến vận hành và bảo vệ hạ tầng công nghệ thông tin.

6.2. Nguồn tài liệu an ninh mạng và slide bài giảng bổ sung

Để củng cố và mở rộng kiến thức, sinh viên nên chủ động tìm kiếm thêm các nguồn tài liệu an ninh mạng uy tín khác. Các trang web như Cybrary, SANS Institute, hoặc các khóa học trên Coursera, Udemy cung cấp kiến thức cập nhật về các xu hướng tấn công và phòng thủ mới nhất. Ngoài ra, việc tham khảo các bộ slide bài giảng an ninh mạng CĐ GTVT 1 từ các khóa trước hoặc từ các giảng viên khác cũng là một cách hiệu quả để có thêm góc nhìn và ví dụ minh họa. Việc học không ngừng nghỉ là chìa khóa để thành công trong lĩnh vực an ninh mạng luôn thay đổi không ngừng.

Tóm tắt và mô tả trên trang này được tạo với sự hỗ trợ của AI. Nếu bạn thấy nội dung không chính xác hoặc có vấn đề, vui lòng Báo lỗi nội dung.

30/09/2025

Bạn đang xem trước tài liệu:

Giáo trình an ninh mạng nghề tin học ứng dụng trình độ cao đẳng cđ gtvt trung ương i

Tải đầy đủ

Nội dung chính

Tổng quan về giáo trình

Giáo trình An ninh Mạng (Mã tài liệu: THUD – MH28) là học liệu chính thức được ban hành theo Quyết định số 498/QĐ-CĐGTVTTWI-ĐT ngày 25/03/2019 của Hiệu trưởng Trường Cao đẳng Giao thông Vận tải Trung ương I. Môn học thuộc khối kiến thức chuyên ngành của chương trình đào tạo trình độ Cao đẳng ngành Tin học ứng dụng. Về mặt vị trí, học phần được bố trí sau các môn học cơ sở về mạng máy tính và hệ điều hành, đóng vai trò hoàn thiện năng lực bảo đảm an toàn dữ liệu và vận hành hệ thống mạng cho người học.

Mục tiêu học tập (learning outcomes) của giáo trình hướng tới việc trang bị cho sinh viên:

Kiến thức lý thuyết tổng quát về an toàn thông tin, các mô hình điều khiển truy cập, phương thức xác thực và các cơ chế tấn công mạng.
Khả năng phân tích cấu trúc gói tin (IP, TCP, UDP), giải thích các trường thông tin trong phần header và cơ chế hoạt động của các giao thức bảo mật.
Kỹ năng triển khai các chính sách bảo mật thực tế bao gồm lọc gói tin IP, cấu hình giao thức IPsec, thiết lập dịch vụ NAT (Network Address Translation) và cài đặt giải pháp phòng chống virus máy tính tập trung.
Thái độ học tập nghiêm túc, tư duy phân tích hệ thống và tuân thủ các quy định về an toàn, bản quyền thông tin.

Cấu trúc giáo trình gồm 5 chương chuyên đề:

Chương 1: Tổng quan về an toàn bảo mật mạng
Chương 2: Bảo mật với lọc gói IP
Chương 3: IPSEC (Internet Protocol Security)
Chương 4: NAT (Network Address Translation)
Chương 5: VIRUS

Giáo trình tiếp cận kiến thức theo mô hình kết hợp giữa lý thuyết nền tảng giao thức (mô hình OSI, các chuẩn RFC của TCP/IP) và hướng dẫn thực nghiệm trực tiếp trên các hệ điều hành (Windows Server, Linux/Unix), thiết bị mạng (DrayTek, Router TP-Link) cùng các công cụ quản trị bảo mật chuyên dụng.

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Nội dung giáo trình được triển khai qua 5 chương có sự liên kết chặt chẽ về mặt kỹ thuật:

[Chương 1: Tổng quan & Khảo sát mối đe dọa]
[Chương 2: Cấu trúc Giao thức & Lọc gói IP]
[Chương 3: Giao thức Bảo mật Tầng Mạng (IPsec)]
[Chương 4: Dịch vụ Chuyển đổi Địa chỉ Mạng (NAT)]
[Chương 5: Quản lý Mã độc & Phòng chống Virus]

Chương 1: Tổng quan về an toàn bảo mật mạng: Khảo sát khung bảo mật AAA (Access Control, Authentication, Auditing); phân tích 3 mô hình điều khiển truy cập (MAC, DAC, RBAC); các cơ chế xác thực (Username/Password, CHAP với cơ chế bắt tay 3 bước, Chứng chỉ số, Xác thực lẫn nhau Mutual Authentication, Sinh trắc học Biometrics, Multi-factor, Kerberos tích hợp Active Directory). Khảo sát phân loại tấn công: tấn công chủ động (DoS, DDoS với mạng máy tính zombie/master daemon, Buffer Overflow, Spoofing gồm IP Spoofing và ARP Poisoning, SYN Attack lợi dụng TCP 3-way handshake, Man-in-the-Middle, Replay Attack) và tấn công thụ động (dò quét cổng, nghe lén Sniffing, Dumpster Diving, Social Engineering, các dạng mã độc như Virus, Trojan horse, Logic Bomb như Chernobyl ngày 26/4, Worms, Backdoor). Giới thiệu các công cụ khảo sát: Nmap (với các tùy chọn quét -sS, -sT, -sU, -sO, -sP, -PA, -PU), Network Monitor, Cain & Abel, LC5, Essential NetTools, MBSA (Microsoft Baseline Security Analyzer), Tenable NeWT Scanner; giải pháp tường lửa phần cứng (DrayTek Vigor 3300V) và phần mềm (ISA Server 2004, Kerio WinRoute).
Chương 2: Bảo mật với lọc gói IP: Định nghĩa khái niệm gói tin và header; phân tích cấu trúc chi tiết của gói IP (Version, Header Length, Type of Service - TOS, Total Length, Identification, cờ DF, MF, Fragment Offset, TTL, Protocol, Header Checksum, Source/Destination IP, Options, Padding); cấu trúc gói UDP (Source/Destination Port, Length, Checksum) và gói TCP (Sequence Number, Acknowledgement Number, Hlen, các cờ URG, ACK, PSH, RST, SYN, FIN, Window, Checksum, Urgent Pointer). Trình bày quy trình 3 bước xây dựng chính sách lọc gói IP Security Policy trên Windows: Tạo danh sách bộ lọc (IP Filter List), cấu hình hành động bộ lọc (Filter Action: Permit, Block, Negotiate security), và tạo luật bảo mật (Rule) áp dụng cho các phạm vi kết nối (All network connections, LAN, Remote access).
Chương 3: IPSEC (Internet protocol security): Định vị IPsec hoạt động tại tầng 3 (Network Layer) của mô hình OSI; so sánh với các giao thức SSL/TLS/SSH hoạt động từ tầng 4 đến tầng 7. Phân tích kiến trúc bảo mật với các tham số Security Parameter Index (SPI), cơ sở dữ liệu Security Association Database (SADB). Trình bày 2 chế độ hoạt động: Transport mode (host-to-host) và Tunnel mode (network-to-network, VPN); 2 giao thức cốt lõi: Authentication Header (AH - Protocol 51) và Encapsulating Security Payload (ESP - Protocol 50). Trình bày hệ thống mã hóa bất đối xứng khóa công khai/khóa bí mật (Public/Private Key) và cơ chế tạo khóa chia sẻ chung (Shared Secret). Lược sử triển khai trên mã nguồn mở: FreeS/WAN (KLIPS, 03/2004), Openswan, strongSwan, dự án KAME (racoon), OpenBSD isakmpd.
Chương 4: NAT (Network Address Translation): Nguyên lý hoạt động của NAT giải quyết vấn đề khan hiếm địa chỉ IP; cơ chế chuyển đổi địa chỉ IP nguồn thành IP công cộng và theo dõi bảng phiên; yêu cầu cấu hình (tối thiểu 2 giao tiếp mạng hoặc 1 card mạng + 1 modem dialup, hệ điều hành Windows Server, địa chỉ IP tĩnh); hướng dẫn triển khai từng bước trên dịch vụ Routing and Remote Access (RRAS), cấu hình máy chủ Server-Radius, thiết lập giao tiếp Internet và Basic Firewall.
Chương 5: VIRUS: Phân loại các biến thể virus (B-Virus, F-Virus); cấu hình và triển khai hệ thống quản trị diệt virus tập trung của Symantec gồm: Symantec Antivirus Server, Symantec System Center và Symantec Antivirus Client.

Kiến thức nền tảng được xây dựng

Giáo trình cung cấp hệ thống lý thuyết chuẩn mực của khoa học mạng và an toàn thông tin:

Lý thuyết kiểm soát truy cập và xác thực: Khung khái niệm AAA, cơ chế phân quyền Mandatory Access Control (MAC), Discretionary Access Control (DAC) và Role Based Access Control (RBAC); giao thức trao đổi thách thức - phản hồi CHAP; kiến trúc xác thực tập trung Kerberos thông qua máy chủ KDC/Active Directory.
Lý thuyết cấu trúc gói tin TCP/IP: Định dạng khung dữ liệu tầng mạng và tầng giao vận; chức năng và ý nghĩa từng bit/byte trong các trường header phục vụ kiểm tra lỗi (CRC/Checksum), phân mảnh gói tin (Fragmentation) và quản lý trạng thái kết nối.
Mật mã học ứng dụng và giao thức bảo mật: Cơ chế băm một chiều (Hash), thuật toán toàn vẹn dữ liệu HMAC-SHA1, thuật toán mã hóa đối xứng (TripleDES-CBC, AES-CBC theo RFC 4305), mã hóa khóa công khai RSA/Diffie-Hellman (Public/Private Key, Shared Secret), cấu trúc gói tin xác thực AH và mã hóa ESP.

Kỹ năng phát triển

Qua các nội dung lý thuyết và bài tập thực hành, người học hình thành các nhóm năng lực:

Kỹ năng kỹ thuật:
- Khởi tạo, cấu hình và quản trị bộ lọc gói IP trên hệ điều hành Windows thông qua Local Security Policy.
- Cấu hình dịch vụ định tuyến và biên dịch địa chỉ NAT trên nền tảng Windows Server Routing and Remote Access.
- Cài đặt, phân phối và quản lý các thành phần máy chủ, máy trạm thuộc hệ thống diệt virus doanh nghiệp Symantec.
Kỹ năng phân tích và chẩn đoán:
- Khảo sát, quét cổng và kiểm tra trạng thái mạng bằng công cụ Nmap (sử dụng các tham số dòng lệnh) và Essential NetTools.
- Bắt và giải mã gói tin truyền thông bằng công cụ Network Monitor, Cain & Abel.
- Đánh giá lỗ hổng hệ thống và diễn giải báo cáo rà quét bảo mật từ các phần mềm Microsoft Baseline Security Analyzer (MBSA) và Tenable NeWT Scanner.
Năng lực vận hành thực tế:
- Thiết lập chính sách bảo vệ mật khẩu, ngăn chặn các hình thức tấn công vét cạn (Brute-Force) và từ điển (Dictionary Attack).
- Cấu hình các tính năng bảo mật trên thiết bị tường lửa phần cứng DrayTek (IP Filter, DoS, URL Filter, Bind IP to MAC, IM/P2P Blocking) và tường lửa phần mềm ISA Server 2004.

Phương pháp giảng dạy và học tập

Giáo trình áp dụng phương pháp sư phạm định hướng thực hành kỹ thuật (lab-based technical approach), trong đó mỗi nội dung lý thuyết về giao thức đều đi kèm quy trình cấu hình, cài đặt hoặc khảo sát cụ thể.

Tiếp cận sư phạm: Cung cấp kiến thức lý thuyết có cấu trúc từ mức bản chất gói tin đến mức ứng dụng dịch vụ; minh họa các bước cấu hình bằng hình ảnh giao diện thực tế (hộp thoại thuộc tính, dòng lệnh console, menu tác vụ).
Bài tập và case studies:
- Bài tập khảo sát tấn công mạng: Thực hiện kịch bản giải mã mật khẩu LM/NTLM hash bằng công cụ Cain & Abel theo phương pháp Brute-Force; phân tích lỗi bắt tay ba bước trong tấn công SYN Flood.
- Bài tập cấu hình chính sách bảo mật: Thực hành 3 bước tạo luật IP Security Policy trên Windows Local Security Policy (định nghĩa IP Traffic Source, IP Traffic Destination, IP Protocol Type, Port và Filter Action: Permit/Block/Negotiate).
- Bài tập triển khai dịch vụ hệ thống: Triển khai dịch vụ NAT trên Windows Server (khởi động dịch vụ RRAS, lựa chọn giao tiếp mạng công cộng/quay số demand-dial, thiết lập Basic Firewall).
Phương pháp đánh giá: Đánh giá kết quả học tập thông qua khả năng phân tích các bản báo cáo lỗ hổng (Score/Result details trên MBSA, báo cáo Tenable NeWT), kỹ năng xử lý lỗi cấu hình trên card mạng và mức độ hoàn thành các kịch bản phòng thủ hệ thống.
Hướng dẫn tự học: Tài liệu yêu cầu người học tự cài đặt các môi trường máy ảo hoặc phòng máy tính thực hành (Windows 2000/2003/XP, Windows Server, Linux), sử dụng các công cụ phân tích mạng để quan sát trực tiếp các gói tin truyền thông và đối chiếu với các chuẩn RFC tương ứng.

Điểm nổi bật và cập nhật

Hệ thống hóa chuẩn giao thức IPsec theo tiến trình lịch sử: Giáo trình cập nhật đầy đủ các thế hệ tiêu chuẩn kỹ thuật của IPsec qua các giai đoạn:
- Thế hệ 1: Định nghĩa từ RFC 1825 đến RFC 1829 (công bố năm 1995).
- Thế hệ 2: Nâng cấp tại RFC 2401 đến RFC 2412 (năm 1998).
- Thế hệ 3: Chuẩn RFC 4301 đến RFC 4309 (tháng 12/2005) với chuẩn IKE v2 và quy định ESPbis; tích hợp các thuật toán mật mã theo RFC 4305 (HMAC-SHA1 cho tính toàn vẹn, TripleDES-CBC và AES-CBC cho mã hóa).
Dẫn chứng sự kiện thực tế: Tích hợp các dữ liệu thực tế về an toàn mạng tại Việt Nam (dẫn nguồn báo Dân Việt ngày 14/06/2011 về hàng trăm website Việt Nam bị tấn công); phân tích các trường hợp mã độc kinh điển như virus/logic bomb Chernobyl kích hoạt phá hoại vào ngày 26/4.
Tích hợp giải pháp thiết bị và phần mềm đa dạng:
- Về phần cứng: Phân tích các tính năng bảo mật trên thiết bị Load Balance Router DrayTek Vigor 3300V (lọc IP, chống DoS, lọc URL, ràng buộc IP với MAC, chặn ứng dụng IM/P2P).
- Về phần mềm: Hướng dẫn thiết lập trên Microsoft ISA Server 2004, Kerio WinRoute Firewall, ZoneAlarm, Microsoft Baseline Security Analyzer (MBSA).
Mở rộng nền tảng mã nguồn mở: Cung cấp tư liệu về các dự án triển khai IPsec trên nhân Linux và Unix như FreeS/WAN (khởi động từ 03/2004 với nhân KLIPS), Openswan, strongSwan, dự án KAME (trình quản lý khóa racoon trên NetBSD/FreeBSD) và daemon isakmpd trên OpenBSD.

Đối tượng sử dụng giáo trình

Sinh viên: Dành cho học sinh - sinh viên ngành Tin học ứng dụng trình độ Cao đẳng tại Trường Cao đẳng Giao thông Vận tải Trung ương I và các cơ sở đào tạo giáo dục nghề nghiệp có chương trình tương đương.
Kiến thức tiên quyết: Người học cần nắm vững kiến thức căn bản về mạng máy tính (mô hình OSI, phân chia địa chỉ IP subnet, giao thức TCP/UDP), kỹ năng sử dụng và quản trị cơ bản các hệ điều hành họ Windows (Windows XP, Windows 2000/2003 Server) và hiểu biết cơ bản về dòng lệnh trên Unix/Linux.
Giảng viên: Sử dụng làm tài liệu giảng dạy chính khóa trên lớp, khung tham chiếu để thiết kế bài giảng lý thuyết, xây dựng hệ thống bài tập thực hành phòng Lab và biên soạn ngân hàng câu hỏi kiểm tra, đánh giá học phần.
Cán bộ kỹ thuật và người tự học: Tài liệu tham khảo cho quản trị viên hệ thống mạng, kỹ thuật viên tin học tại các trường học, cơ quan hoặc doanh nghiệp có nhu cầu thiết lập cơ chế lọc gói, xây dựng VPN IPsec, triển khai NAT chia sẻ kết nối Internet và quản lý hệ thống phần mềm diệt virus tập trung.

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?

Giáo trình được biên soạn chuyên biệt cho sinh viên hệ Cao đẳng ngành Tin học ứng dụng, đồng thời là tài liệu tham khảo kỹ thuật cho giảng viên và cán bộ quản trị mạng tại các cơ quan, trường học, doanh nghiệp vừa và nhỏ.

2. Cần kiến thức nền nào để học?

Người học cần hoàn thành các môn học cơ sở về Mạng máy tính, hiểu rõ mô hình OSI 7 tầng, nắm vững cấu trúc địa chỉ IPv4, nguyên lý hoạt động của giao thức TCP/IP và có kỹ năng thao tác trên các hệ điều hành Windows Client, Windows Server.

3. Điểm khác biệt của giáo trình này so với các tài liệu lý thuyết chung là gì?

Tài liệu đi sâu vào phân tích chi tiết từng trường dữ liệu trong header của gói tin (IP, TCP, UDP) và cung cấp hướng dẫn thực hành từng bước trên các công cụ, dịch vụ thực tế như Windows Local Security Policy, Windows Server RRAS, phần mềm ISA 2004, thiết bị DrayTek Vigor 3300V, thay vì chỉ trình bày khái niệm lý thuyết trừu tượng.

4. Làm sao để tự học và thực hành hiệu quả theo giáo trình?

Người học nên xây dựng môi trường mạng ảo hóa (sử dụng VMware hoặc VirtualBox) cài đặt các hệ điều hành Windows Server, Windows trạm và Linux; thực hành lần lượt các bài lab quét hệ thống (Nmap, MBSA), phân tích gói tin (Network Monitor, Cain & Abel), cấu hình chính sách lọc gói IPsec và thiết lập dịch vụ NAT.

5. Giáo trình đề cập đến những công cụ và giải pháp bổ trợ nào?

Giáo trình hướng dẫn trực tiếp nhiều công cụ và phần mềm chuyên dụng, bao gồm: Nmap, Network Monitor, Cain & Abel, LC5, Essential NetTools, MBSA, Tenable NeWT Scanner, ISA Server 2004, Symantec Antivirus Corporate Edition (Server, System Center, Client) cùng các gói mã nguồn mở như FreeS/WAN, Openswan, strongSwan.

Kết luận

Giáo trình An ninh Mạng (THUD – MH28) của Trường Cao đẳng Giao thông Vận tải Trung ương I cung cấp một hệ thống kiến thức toàn diện và có cấu trúc về an toàn thông tin mạng máy tính. Giá trị cốt lõi của tài liệu nằm ở việc kết hợp chặt chẽ giữa lý thuyết giao thức mạng chuẩn hóa (RFC, mô hình OSI) và quy trình thực thi kỹ thuật trực tiếp trên hệ điều hành và thiết bị.

Lộ trình học tập được thiết kế mạch lạc: đi từ nhận diện mối đe dọa và mô hình kiểm soát truy cập (Chương 1), giải phẫu cấu trúc gói tin và thiết lập bộ lọc (Chương 2), triển khai bảo mật tầng mạng bằng IPsec (Chương 3), cấu hình dịch vụ chuyển đổi địa chỉ NAT (Chương 4), đến thiết lập hệ thống phòng chống mã độc tập trung (Chương 5). Để nâng cao hiệu quả tiếp thu, người học cần kết hợp nghiên cứu các tài liệu tiêu chuẩn RFC liên quan (RFC 1825, RFC 2401, RFC 4301, RFC 4305) cùng tài liệu hướng dẫn kỹ thuật của các nền tảng Windows Server và các dự án mã nguồn mở IPsec.

Trích đoạn nội dung tài liệu

Chương 1. Tổng quan về an toàn về bảo mật và an toàn mạng Chương 2. Bảo mật với lọc gói tin IP Chương 3. IPSEC Chương 4.

NAT Chương 5. VIRUS Tài liệu được dùng làm giáo trình tham khảo cho GV lên lớp và được dùng làm tài liệu học tập cho các bạn học sinh- sinh viên ngành Tin học ứng dụng trình độ Cao đẳng Trường Cao đẳng GTVT Trung ương I nói riêng và những người muốn xây dựng hệ thống bảo mật thông tin trong mạng máy tính Nhà trường hoặc trong các công ty, doanh nghiệp sử dụng mạng máy tính. Có thể còn nhiều thiếu sót trong trình bày và biên soạn do khả năng, trình độ, những người biên soạn mạnh dạn giới thiệu giáo trình này và mong nhận được sự góp ý của bạn đọc, để giáo trình ngày càng hoàn thiện hơn. Xin chân thành cảm ơn.! NHÓM BIÊN SOẠN MỤC LỤC CHUONG 1: TONG QUAN VE BAO MAT VA AN TOAN MANG 1.

Tổng quan về an toàn bao mat Mang. Giới thiệu về AAA: (Access Control, Authentication và Auditing): 1. Điều khiển truy cập (Access Control):. Các dạng tân công.

Minh hoạ khái quát một qui trình tân công 2. Tấn công chủ động:. Tấn công thụ động: 2. Malicous Code Attacks:.

Các phương pháp phòng chống 3. Giới thiệu công cụ Essential NetTools:. Giới thiệu công cụ Microsoft Baseline Security Analyzer 3. Sử dụng công cụ Tenable NeWT Scanner: 3.

Xây dựng Firewall để hạn chế tắn công: CHƯƠNG 2: BẢO MẬT VỚI LỌC GÓI IP. Bảo mật với Lọc gói 2. Khái quát về lọc gói 2. Các bước đề xây dựng luật Bảo Mật trong IPSEC: .33 Chương 3: IPSEC (Internet protocol security).

Cấu trúc bảo mật. Thiết kế theo yêu cầu. Implementations - thực hiện. CHƯƠNG 4: NAT (Network Address Translation) 1.

Mô hình mạng của dịch vụ Nat 3. Nguyên lý hoạt động của NAT. Triển khai dịch vụ Nat.3 Đặc Điểm Của B-Virus:.4 Đặc Điêm Của F-Virus:.1 Cài Đặt Chương Trinh Symantec Antivirus Server (Server Intall): .2 Cai Dat Chuong Trinh Symantec System Center:. Cai Dat Symantec Antivirus Client : TAI LIEU THAM KHAO CHUONG 1: TONG QUAN VE BAO MAT VA AN TOAN MANG Mục tiêu: Sau khi học xong chương này, sinh viên có khả năng: - Trình bày đầy đủ các nội dung về an toàn bảo mật mạng; các dạng tắn công và các phương pháp bảo mật trên mạng; - Ghi nhớ và Hiểu biết về các cách thức tấn công trên mạng, các phương pháp bảo mật trên mạng, các loại xác thực trên mạng một cách chính xác - Rèn luyện tư duy và thái độ học tập nghiêm túc Nội dung: 1.

Tống quan về an toàn bảo mật Mạng 1. Giới thiệu về AAA: (Access Control, Authentication và Auditing): Khi hệ thống mạng được ra đời nhu cầu cần trao đổi tài nguyên được đặt ra và những người sử dụng hệ thống mạng đó được trao đổi tài nguyên với nhau. Sau một khoảng thời gian sử dụng, hệ thống mạng đó ngày càng được mở rộng và số lượng tham gia vào mạng ngày càng tăng, do đó việc thực hiện các chính sách bảo mật, thiết lập các chính sách trong việc truy xuất tài nguyên mạng được đặt ra. Công nghệ thông tin được áp dụng trong nhiều lĩnh vực như thương mại, hàng hải,.

Trong sự phát triển đó “thông tin” là một phần quan trọng nhất. Mọi thiết bị máy tính như (Ram, CPU, Màn hình, Đĩa cứng .) cũng như hạ tầng mang (router, switch, .) được tạo ra đề hỗ trợ việc xử lý, lưu trữ, trình bày, vận chuyền thông tin. Vì vậy việc bảo đảm tính an toàn của đữ liệu được lưu trữ trên máy tính cũng như tính bí mật và toàn vẹn của thông tin được truyền trên mạng có ý nghĩa rất lớn đối với sự tồn tại và phát triển của công nghệ thông tin.

Nội dung được bảo vệ bản quyền — Tải xuống đầy đủ