Giáo trình An ninh mạng - CĐ GTVT TW I | Ngành Tin học ứng dụng

Giáo trình nghiên cứu an ninh mạng nghề tin học ứng dụng trình độ cao đẳng, trình bày lý thuyết rõ ràng, minh họa ví dụ thực tế, phù hợp sinh viên .

• Trường học: Trường Cao Đẳng Nghề
• Chuyên ngành: An Ninh Mạng
• Đề tài: Giáo Trình An Ninh Mạng Nghề Tin Học Ứng Dụng Trình Độ Cao Đẳng
• Loại tài liệu: Giáo Trình

Mục lục chi tiết

• LỜI NÓI ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT VÀ AN TOÀN MẠNG
• 1.1. Tổng quan về an toàn bảo mật mạng
• 1.2. Giới thiệu về AAA: (Access Control, Authentication và Auditing)
• 1.3. Minh họa khái quát một quy trình tấn công
• 1.4. Tấn công chủ động
• 1.5. Tấn công thụ động
• 1.6. Giới thiệu công cụ Microsoft Baseline Security Analyzer
• 1.7. Sử dụng công cụ Tenable NeWT Scanner
• 1.8. Xây dựng Firewall để hạn chế tấn công
• 2. CHƯƠNG 2: BẢO MẬT VỚI LỌC GÓI IP
• 2.1. Khái quát về lọc gói IP
• 2.2. Thiết lập lọc gói
• 2.3. Mở rộng IPSEC
• 2.4. Implementations - Thực hiện
• 4. CHƯƠNG 4: NAT (Network Address Translation)
• 4.1. NAT là gì?
• 4.2. Mô hình mạng có dịch vụ NAT
• 4.3. Đặc điểm của Virus
• 4.4. Cài đặt chương trình Symantec System Center
• 4.5. Cài đặt Symantec Antivirus Client
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Hướng dẫn toàn diện giáo trình an ninh mạng tin học ứng dụng

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, nhu cầu bảo vệ dữ liệu và hệ thống trở nên cấp thiết. Giáo trình an ninh mạng nghề tin học ứng dụng trình độ cao đẳng được biên soạn nhằm cung cấp kiến thức nền tảng và kỹ năng thực hành chuyên sâu. Mục tiêu của giáo trình là trang bị cho sinh viên ngành quản trị mạng máy tính và cao đẳng công nghệ thông tin khả năng nhận diện, phân tích và phòng chống các nguy cơ an ninh. Nội dung được xây dựng dựa trên chương trình khung an ninh mạng hệ cao đẳng, đảm bảo tính hệ thống và cập nhật. Giáo trình không chỉ là một tài liệu an ninh mạng thông thường mà còn là cẩm nang giúp người học hiểu rõ các phương pháp tấn công tinh vi và các biện pháp bảo mật tiên tiến. Các học phần được thiết kế logic, từ tổng quan về an toàn thông tin, các dạng tấn công, đến các giải pháp cụ thể như lọc gói tin IP, IPSEC, và NAT. Tài liệu gốc, ban hành theo Quyết định số 498/QĐ-CĐGTVTTWVI-ĐT, nhấn mạnh rằng "vấn đề an toàn thông tin cho mạng máy tính và việc nghiên cứu về chiến tranh thông tin trên mạng và giải pháp bảo mật là một nhu cầu cấp bách hiện nay". Điều này cho thấy tầm quan trọng của việc đào tạo nguồn nhân lực chất lượng cao, có khả năng xây dựng và vận hành các hệ thống bảo mật vững chắc cho doanh nghiệp và tổ chức.

1.1. Tầm quan trọng của an toàn và bảo mật hệ thống thông tin

An toàn và bảo mật hệ thống thông tin là yếu tố sống còn đối với mọi tổ chức trong kỷ nguyên số. Sự gia tăng của các cuộc tấn công mạng tinh vi đe dọa trực tiếp đến tính toàn vẹn, tính bảo mật và tính sẵn sàng của dữ liệu. Một hệ thống bị xâm nhập có thể dẫn đến thiệt hại tài chính khổng lồ, mất uy tín thương hiệu và rò rỉ thông tin nhạy cảm. Giáo trình an ninh mạng cung cấp kiến thức cốt lõi để hiểu rõ các nguy cơ này. Tài liệu nhấn mạnh rằng các nguy cơ như rò rỉ thông tin, xâm hại quyền riêng tư là lý do chính khiến người dùng và các cơ quan nhà nước lo ngại. Đối với doanh nghiệp, một cuộc tấn công thành công "đồng nghĩa với việc họ sẽ bị thiệt hại hàng tỷ USD, uy tín trước khách hàng bị giảm sút". Do đó, việc trang bị kiến thức từ các slide bài giảng an ninh mạng và ebook an toàn thông tin pdf là bước đầu tiên để xây dựng một hàng rào phòng thủ vững chắc. Học phần này giúp sinh viên nhận thức đúng đắn về vai trò của an ninh mạng không chỉ là một vấn đề kỹ thuật mà còn là một chiến lược kinh doanh quan trọng.

1.2. Phân tích đề cương chi tiết môn an ninh mạng hệ cao đẳng

Một đề cương chi tiết môn an ninh mạng hiệu quả phải bao quát được cả lý thuyết và thực hành. Cấu trúc của giáo trình này được chia thành các chương rõ ràng, bắt đầu từ những khái niệm cơ bản đến các kỹ thuật chuyên sâu. Chương 1 giới thiệu tổng quan về bảo mật, mô hình AAA và các dạng tấn công. Các chương tiếp theo đi sâu vào các giải pháp kỹ thuật như Bảo mật với lọc gói tin IP (Chương 2), IPSEC (Chương 3), NAT (Chương 4) và Virus (Chương 5). Cách tiếp cận này giúp người học xây dựng kiến thức một cách tuần tự và có hệ thống. Mỗi học phần an ninh mạng đều có mục tiêu rõ ràng: "Trình bày đầy đủ các nội dung về an toàn bảo mật mạng; các dạng tấn công và các phương pháp bảo mật trên mạng". Việc phân chia nội dung chi tiết giúp sinh viên dễ dàng theo dõi và nắm bắt các khái niệm phức tạp, từ đó áp dụng vào các bài thực hành và tình huống thực tế. Đây là nền tảng vững chắc để tiếp tục nghiên cứu các chuyên đề an ninh mạng nâng cao sau này.

II. Các hình thức tấn công mạng và thách thức bảo mật hiện nay

Hiểu rõ kẻ thù là bước đầu tiên để chiến thắng. Trong an ninh mạng, việc nắm vững các phương pháp và kỹ thuật tấn công là yêu cầu bắt buộc đối với mọi chuyên gia. Giáo trình an ninh mạng này dành một phần quan trọng để phân loại và phân tích chi tiết các hình thức tấn công, giúp sinh viên có cái nhìn toàn diện về các mối đe dọa. Các cuộc tấn công được phân loại dựa trên nhiều tiêu chí như mục tiêu, cách thức, và phương pháp. Tài liệu gốc chỉ rõ: "Tuy có rất nhiều phương thức tấn công nhưng có thể tạm xếp chúng vào những nhóm như sau: Theo mục tiêu tấn công, theo cách thức tấn công (Chủ động hay thụ động), theo phương pháp tấn công". Việc phân loại này giúp hệ thống hóa kiến thức và xây dựng các chiến lược phòng chống tấn công mạng tương ứng cho từng loại. Sinh viên sẽ được học về các cuộc tấn công chủ động, nơi kẻ tấn công trực tiếp gây hại hệ thống, và các cuộc tấn công thụ động, tập trung vào việc nghe lén và thu thập thông tin. Kiến thức này là nền tảng để thực hiện phân tích và đánh giá lỗ hổng, một kỹ năng thiết yếu trong ngành.

2.1. Nhận diện các phương pháp tấn công mạng chủ động Active

Tấn công chủ động là những hành động mà kẻ tấn công trực tiếp thay đổi, làm gián đoạn hoặc phá hủy tài nguyên hệ thống. Các dạng phổ biến nhất được đề cập trong giáo trình bao gồm DoS (Denial of Service), DDoS (Distributed Denial of Service), Buffer Overflows, và Spoofing. Cuộc tấn công DoS và DDoS nhằm mục đích làm quá tải hệ thống, khiến dịch vụ không thể truy cập. Buffer Overflows khai thác lỗi lập trình để thực thi mã độc hại. Trong khi đó, Spoofing là kỹ thuật giả mạo danh tính (như IP Spoofing, ARP Spoofing) để vượt qua các cơ chế xác thực. Một hình thức nguy hiểm khác là Man-in-the-Middle, nơi kẻ tấn công xen vào giữa hai bên giao tiếp để nghe lén hoặc sửa đổi dữ liệu. Việc hiểu rõ cơ chế hoạt động của từng loại tấn công giúp người quản trị lựa chọn và cấu hình các công cụ bảo mật như Firewall hay IDS/IPS một cách hiệu quả.

2.2. Phân tích các kỹ thuật tấn công mạng thụ động Passive

Trái ngược với tấn công chủ động, tấn công thụ động tập trung vào việc thu thập thông tin một cách bí mật mà không làm thay đổi hệ thống. Mục tiêu chính là nghe lén (Sniffing) và quét lỗ hổng (Scanning). Sniffing là hành động bắt các gói tin lưu thông trên mạng để trích xuất thông tin nhạy cảm như tên người dùng, mật khẩu nếu chúng không được mã hóa. Công cụ như Network Monitor hay Cain & Abel thường được sử dụng cho mục đích này. Scanning là quá trình sử dụng các công cụ như NMAP để thăm dò hệ thống, phát hiện các cổng đang mở, dịch vụ đang chạy và phiên bản hệ điều hành. Những thông tin thu thập được từ các cuộc tấn công thụ động là tiền đề quan trọng để kẻ tấn công lên kế hoạch cho một cuộc tấn công chủ động phức tạp hơn. Do đó, việc mã hóa dữ liệu và giám sát lưu lượng mạng là hai biện pháp cốt lõi để chống lại các mối đe dọa này.

III. Nền tảng bảo mật Mật mã học và kiểm soát truy cập AAA

Để xây dựng một hệ thống phòng thủ vững chắc, việc nắm vững các nguyên tắc bảo mật nền tảng là điều kiện tiên quyết. Giáo trình an ninh mạng tập trung vào hai trụ cột chính: mô hình kiểm soát truy cập AAA và các nguyên lý của mật mã học ứng dụng. Mô hình AAA (Authentication, Access Control, Auditing) là khái niệm cơ bản của an ninh mạng, được dùng để đảm bảo các tính năng bảo mật thông tin, toàn vẹn dữ liệu và tính sẵn sàng của hệ thống. Đây là cơ chế xác định ai được phép truy cập, họ được làm gì và ghi lại mọi hoạt động của họ. Song song đó, mật mã học cung cấp các công cụ để bảo vệ dữ liệu, đảm bảo tính bí mật và toàn vẹn trong quá trình lưu trữ và truyền tải. Việc kết hợp giữa kiểm soát truy cập chặt chẽ và mã hóa mạnh mẽ tạo ra một lớp bảo vệ đa tầng, gây khó khăn cho kẻ tấn công. Những kiến thức này không chỉ quan trọng trong quản trị mạng máy tính cơ bản mà còn là nền tảng cho các lĩnh vực chuyên sâu như bảo mật web và an toàn ứng dụng.

3.1. Tìm hiểu mô hình AAA trong quản trị mạng máy tính cơ bản

AAA là viết tắt của ba thành phần cốt lõi. Authentication (Xác thực) là quá trình xác minh danh tính của người dùng hoặc hệ thống, thường thông qua tên đăng nhập/mật khẩu, thẻ thông minh, hoặc sinh trắc học. Access Control (Điều khiển truy cập), hay còn gọi là Authorization, là quá trình cấp quyền cho người dùng đã được xác thực, quy định họ có thể truy cập tài nguyên nào và thực hiện hành động gì. Tài liệu gốc mô tả ba mô hình điều khiển truy cập chính: MAC (Mandatory Access Control), DAC (Discretionary Access Control), và RBAC (Role-Based Access Control). Cuối cùng, Auditing (Giám sát), hay Accounting, là quá trình ghi lại các hoạt động của người dùng để phục vụ cho việc kiểm tra, phát hiện xâm nhập và truy vết sự cố. Việc triển khai đầy đủ mô hình AAA giúp tổ chức kiểm soát chặt chẽ tài nguyên và tuân thủ các chính sách bảo mật.

3.2. Giới thiệu về mật mã học ứng dụng và chứng chỉ số

Mật mã học ứng dụng là ngành khoa học về việc bảo mật thông tin bằng cách biến đổi nó thành dạng không thể đọc được nếu không có khóa giải mã. Giáo trình giới thiệu các khái niệm cơ bản như mã hóa đối xứng, mã hóa bất đối xứng (khóa công khai) và hàm băm. Mã hóa bảo vệ tính bí mật của dữ liệu, trong khi hàm băm đảm bảo tính toàn vẹn. Một thành phần quan trọng khác là Chứng chỉ số (Digital Certificates). Như tài liệu đề cập, chứng chỉ số "là một dạng dữ liệu số chứa các thông tin để xác định một thực thể". Chúng hoạt động như một chứng minh thư điện tử, được cấp bởi một bên thứ ba tin cậy (Certificate Authority - CA), cho phép xác thực danh tính của máy chủ và người dùng, tạo nền tảng cho các giao thức truyền thông an toàn như SSL/TLS.

IV. Cách xây dựng hệ thống phòng chống tấn công mạng hiệu quả

Lý thuyết suông là chưa đủ; một chuyên gia an ninh mạng cần biết cách triển khai các giải pháp cụ thể để bảo vệ hệ thống. Giáo trình an ninh mạng này cung cấp các hướng dẫn thực tiễn về cách xây dựng một hệ thống phòng thủ đa lớp. Trọng tâm của chương này là các kỹ thuật và công nghệ cốt lõi giúp ngăn chặn, phát hiện và phản ứng với các cuộc tấn công. Các giải pháp được trình bày bao gồm việc sử dụng Firewall để kiểm soát luồng truy cập, áp dụng kỹ thuật lọc gói tin IP để chặn lưu lượng không mong muốn, và triển khai IPSEC để tạo các kênh truyền thông được mã hóa. Bên cạnh đó, việc sử dụng các công cụ phân tích và đánh giá lỗ hổng cũng được nhấn mạnh như một phần không thể thiếu của quy trình bảo mật chủ động. Theo tài liệu, "Để ngăn chặn sự xâm nhập bất hợp pháp của người dùng mạng, chúng ta cần xây dựng các hệ thống phòng thủ. Firewall là một giải pháp tốt cho vấn đề này". Cách tiếp cận thực tế này giúp sinh viên chuyển đổi kiến thức lý thuyết thành kỹ năng có thể áp dụng ngay trong công việc.

4.1. Kỹ thuật bảo mật với lọc gói tin IP và giao thức IPSEC

Bảo mật dựa trên lọc gói tin IP là phương pháp kiểm soát lưu lượng mạng ở tầng mạng (Layer 3). Kỹ thuật này hoạt động bằng cách kiểm tra thông tin trong phần header của mỗi gói tin, chẳng hạn như địa chỉ IP nguồn/đích và cổng dịch vụ, sau đó quyết định cho phép hoặc từ chối gói tin đó dựa trên một tập hợp các quy tắc đã định sẵn. Đây là chức năng cơ bản của hầu hết các Firewall. Để tăng cường bảo mật, giao thức IPSEC (Internet Protocol Security) được sử dụng. IPSEC hoạt động ở tầng mạng, cung cấp các dịch vụ bảo mật toàn diện như xác thực, toàn vẹn dữ liệu và mã hóa cho tất cả các gói tin IP. Nó có thể hoạt động ở hai chế độ: Transport mode (bảo vệ dữ liệu truyền giữa hai máy chủ) và Tunnel mode (thường dùng trong VPN để tạo một đường hầm an toàn giữa hai mạng). Việc kết hợp lọc gói tin và IPSEC tạo ra một lớp phòng thủ mạnh mẽ ở cấp độ mạng.

4.2. Hướng dẫn xây dựng Firewall và sử dụng NAT để bảo mật

Xây dựng Firewall là bước cơ bản nhất để bảo vệ mạng nội bộ khỏi các mối đe dọa từ Internet. Firewall có thể là thiết bị phần cứng chuyên dụng hoặc phần mềm cài đặt trên máy chủ (ví dụ: Microsoft ISA Server, Kerio WinRoute). Chức năng chính của nó là tạo ra một rào cản giữa mạng tin cậy (nội bộ) và mạng không tin cậy (bên ngoài). Song song với Firewall, NAT (Network Address Translation) cũng là một kỹ thuật bảo mật quan trọng. NAT cho phép che giấu cấu trúc địa chỉ IP của mạng nội bộ bằng cách ánh xạ nhiều địa chỉ IP riêng thành một hoặc một vài địa chỉ IP công cộng. Điều này không chỉ giúp tiết kiệm địa chỉ IP mà còn ngăn chặn các kết nối trực tiếp từ bên ngoài vào các máy tính trong mạng nội bộ, từ đó làm giảm bề mặt tấn công.

4.3. Top công cụ phân tích và đánh giá lỗ hổng bảo mật

Bảo mật là một quá trình liên tục, đòi hỏi phải thường xuyên kiểm tra và vá các điểm yếu. Giáo trình giới thiệu các công cụ cần thiết cho việc này. Microsoft Baseline Security Analyzer (MBSA) là một công cụ miễn phí từ Microsoft, giúp quét các hệ điều hành Windows để tìm các lỗi cấu hình bảo mật, các bản vá còn thiếu và các điểm yếu phổ biến. Tenable NeWT Scanner (tiền thân của Nessus) là một công cụ quét lỗ hổng mạnh mẽ hơn, có khả năng phát hiện hàng nghìn lỗ hổng trên nhiều nền tảng và ứng dụng khác nhau. Ngoài ra, các công cụ như NMAP được dùng để quét và lập bản đồ mạng, trong khi Essential NetTools cung cấp một bộ tiện ích mạng để giám sát và chẩn đoán. Việc sử dụng thành thạo các công cụ này giúp các chuyên gia chủ động tìm và khắc phục sự cố trước khi chúng bị kẻ tấn công khai thác.

V. Lộ trình phát triển sự nghiệp với chứng chỉ an ninh mạng

Hoàn thành giáo trình an ninh mạng nghề tin học ứng dụng trình độ cao đẳng là một bước khởi đầu vững chắc, nhưng để tiến xa hơn trong sự nghiệp, việc sở hữu các chứng chỉ quốc tế là vô cùng quan trọng. Các chứng chỉ an ninh mạng không chỉ xác nhận kiến thức và kỹ năng của một cá nhân mà còn là minh chứng cho sự cam kết với ngành, giúp tăng khả năng cạnh tranh trên thị trường lao động. Nhà tuyển dụng thường ưu tiên các ứng viên có chứng chỉ vì nó đảm bảo một trình độ chuyên môn nhất định và sự am hiểu về các tiêu chuẩn bảo mật toàn cầu. Quá trình ôn luyện và thi lấy chứng chỉ cũng là cơ hội để hệ thống hóa lại kiến thức, cập nhật các công nghệ và xu hướng tấn công mới nhất. Các chứng chỉ phổ biến như CompTIA Security+ cung cấp kiến thức nền tảng, trong khi các chứng chỉ nâng cao hơn như CEH (Certified Ethical Hacker) tập trung vào kỹ năng tấn công có đạo đức. Việc lựa chọn lộ trình chứng chỉ phù hợp sẽ giúp các chuyên gia định hình rõ con đường sự nghiệp của mình, dù là trong lĩnh vực phòng thủ (Blue Team), tấn công (Red Team), hay quản lý an ninh.

5.1. Vai trò của chứng chỉ an ninh mạng quốc tế hiện nay

Trong một ngành thay đổi nhanh chóng như an ninh mạng, các chứng chỉ quốc tế đóng vai trò như một thước đo tiêu chuẩn về năng lực. Chúng cung cấp một lộ trình học tập có cấu trúc, được công nhận rộng rãi trên toàn cầu. Sở hữu chứng chỉ giúp chuyên gia chứng minh khả năng của mình trong các lĩnh vực cụ thể như pentesting cho người mới bắt đầu, điều tra số (digital forensics), hay quản trị mạng Linux an toàn. Hơn nữa, nhiều tổ chức, đặc biệt là các tập đoàn lớn và cơ quan chính phủ, yêu cầu nhân viên an ninh phải có các chứng chỉ nhất định để đảm bảo tuân thủ các tiêu chuẩn ngành. Do đó, chứng chỉ không chỉ là một lợi thế mà đôi khi còn là một yêu cầu bắt buộc để có được những vị trí công việc hấp dẫn với mức lương cao.

5.2. So sánh CompTIA Security và CEH Certified Ethical Hacker

CompTIA Security+ được coi là chứng chỉ khởi đầu lý tưởng cho bất kỳ ai muốn bước vào lĩnh vực an ninh mạng. Nó bao quát một loạt các chủ đề nền tảng, từ quản lý rủi ro, mật mã học, đến an ninh mạng và hạ tầng. Security+ tập trung vào các kiến thức và kỹ năng phòng thủ, phù hợp cho các vị trí như quản trị viên hệ thống, chuyên viên phân tích bảo mật cấp độ đầu. Ngược lại, CEH (Certified Ethical Hacker) là chứng chỉ dành cho những người muốn chuyên sâu về lĩnh vực tấn công có đạo đức (ethical hacking). Người sở hữu CEH được đào tạo để suy nghĩ và hành động như một hacker, sử dụng các công cụ và kỹ thuật tấn công để tìm ra lỗ hổng trong hệ thống của tổ chức. Trong khi Security+ xây dựng nền tảng phòng thủ, CEH cung cấp tư duy tấn công để chủ động tăng cường khả năng bảo vệ. Cả hai chứng chỉ đều có giá trị cao và thường bổ trợ cho nhau trên con đường sự nghiệp của một chuyên gia an ninh mạng.

Nội dung chính

GIÁO TRÌNH AN NINH MẠNG (TRÌNH ĐỘ CAO ĐẲNG) – TRƯỜNG CAO ĐẲNG GIAO THÔNG VẬN TẢI TRUNG ƯƠNG I

---

Tổng quan về giáo trình

Môn học và vị trí trong chương trình đào tạo

Giáo trình môn An ninh mạng (Mã tài liệu: THUD - MH28) được ban hành chính thức theo Quyết định số 498/QĐ-CĐGTVTTWI-ĐT ngày 25/03/2019 của Hiệu trưởng Trường Cao đẳng Giao thông Vận tải Trung ương I. Môn học giữ vị trí học phần chuyên môn nòng cốt thuộc chương trình đào tạo ngành Tin học ứng dụng trình độ Cao đẳng. Tài liệu được thiết kế nhằm trang bị cho người học khối kiến thức có hệ thống về an toàn thông tin, bảo mật mạng nội bộ và mạng diện rộng trong các cơ quan, đơn vị và doanh nghiệp.

Mục tiêu học tập (Learning Outcomes)

Căn cứ theo chuẩn đầu ra được xác định trong văn bản, sau khi hoàn thành học phần, người học đạt được các năng lực:

• Kiến thức: Trình bày đầy đủ bản chất an toàn thông tin, các mô hình điều khiển truy cập, các hình thức tấn công mạng (chủ động và thụ động), cơ chế xác thực, cấu trúc phân tích gói tin mạng và các chuẩn bảo mật IPsec, NAT.
• Kỹ năng: Vận hành thành thạo các công cụ rà quét lỗ hổng, bắt và phân tích lưu lượng gói tin; thiết lập thành công chính sách lọc gói IP, cấu hình IPsec, cài đặt dịch vụ chuyển đổi địa chỉ mạng (NAT) trên Windows Server và quản trị hệ thống phòng chống mã độc tập trung.
• Thái độ: Hình thành tư duy bảo mật có cấu trúc, tuân thủ đạo đức nghề nghiệp và quy trình an toàn thông tin.

+-------------------------------------------------------------------------+
|                  LỘ TRÌNH NỘI DUNG 5 CHƯƠNG GIÁO TRÌNH                   |
+-------------------------------------------------------------------------+
| Chương 1: Tổng quan về bảo mật và an toàn mạng (AAA, Tấn công, Công cụ) |
|                                    ↓                                    |
| Chương 2: Bảo mật với lọc gói IP (Header IP/TCP/UDP, Local Security)    |
|                                    ↓                                    |
| Chương 3: IPsec (Transport/Tunnel mode, AH/ESP, RFC 4301-4309, Keys)   |
|                                    ↓                                    |
| Chương 4: NAT - Network Address Translation (RRAS, Static IP, Routing)  |
|                                    ↓                                    |
| Chương 5: Virus (Quản trị tập trung Symantec System Center & Client)    |
+-------------------------------------------------------------------------+

Cấu trúc và cách tiếp cận

Giáo trình được biên soạn thành 5 chương với cách tiếp cận đi từ nguyên lý nền tảng, phân tích kỹ thuật ở cấp độ giao thức (protocol level), đến quy trình thao tác cấu hình từng bước (step-by-step) trên hệ điều hành và thiết bị mạng.

Điểm đặc sắc của giáo trình

Tài liệu kết hợp giữa phân tích kỹ thuật chuyên sâu về cấu trúc gói tin (IP, TCP, UDP header) với các kịch bản thao tác trên phần mềm thực tế (Nmap, Cain & Abel, MBSA, ISA Server 2004, Routing and Remote Access Service).

---

Nội dung kiến thức cốt lõi

Các chương và chủ đề chính

Chương 1: Tổng quan về bảo mật và an toàn mạng

• Mô hình AAA (Access Control, Authentication, Auditing):
  • Điều khiển truy cập (Access Control): Phân tích 3 mô hình gồm MAC (Mandatory Access Control - áp dụng theo chủ sở hữu và gán quyền cứng), DAC (Discretionary Access Control - quản trị qua Access Control List), và RBAC (Role Based Access Control - phân quyền dựa trên vai trò công việc).
  • Xác thực (Authentication): Khảo sát các cơ chế: Mật khẩu (chính sách độ dài, ký tự phức tạp); Giao thức CHAP (thực hiện bắt tay 3 bước 3-Way Handshake gửi thông điệp Challenge kèm hàm băm một chiều); Chứng chỉ số (Certificates); Xác thực hai chiều (Mutual Authentication); Sinh trắc học (Biometrics - vân tay, hình học bàn tay, võng mạc, giọng nói, chữ ký); Xác thực đa yếu tố (Multi-Factor); Giao thức Kerberos (hoạt động thông qua bên thứ ba tin cậy, cấp vé Ticket, tích hợp trong Active Directory của Windows Server).
• Phân loại các dạng tấn công mạng:
  • Tấn công chủ động (Active Attacks): Tấn công từ chối dịch vụ DoS (khai thác tài nguyên băng thông, CPU, RAM, ổ đĩa hoặc lỗi xử lý gói tin dị dạng Malformed Packet); Tấn công DDoS (mô hình gồm Zombie cài Daemon và Master cài Client điều khiển qua các công cụ như Trin00, TFN, TFN2K, Stacheldraht); Tràn bộ đệm (Buffer Overflow); Giả mạo danh tính (Blind Spoofing, Informed Spoofing, IP Spoofing, ARP Poisoning); Tấn công SYN Attack (khai thác trạng thái kết nối nửa mở Half-open connection trong bắt tay 3 bước TCP); Tấn công xen giữa (Man-in-the-Middle); Tấn công phát lại (Replay Attacks); Tấn công phi kỹ thuật (Social Engineering) và Dumpster Diving.
  • Tấn công thụ động (Passive Attacks): Rà quét thăm dò hệ thống bằng công cụ Nmap (hỗ trợ TCP Connect -sT, TCP SYN -sS, FTP Proxy Bounce, ICMP Ping Sweep, ACK Scan -sA, UDP Scan -sU, IP Protocol Scan -sO); Kỹ thuật nghe lén (Sniffing) sử dụng công cụ Network Monitor trên Windows và phần mềm Cain & Abel (yêu cầu cài đặt thư viện WinPcap v3.1 beta 4); Tấn công mật khẩu bằng phương pháp vét cạn (Brute-Force Attack) và từ điển (Dictionary-Based Attack) nhằm giải mã LM & NTLM Hash qua Cain & Abel hoặc LC5.
• Mã độc hại (Malicious Code): Phân biệt cơ chế hoạt động của Virus, Trojan Horse, Logic Bombs (điển hình như biến thể Chernobyl kích hoạt ngày 26/4), Worms (mã độc độc lập tự nhân bản qua mạng/email) và Backdoor.
• Công cụ đánh giá và giải pháp phòng thủ:
  • Công cụ rà quét: Essential NetTools (tích hợp Netstat, Nslookup, Traceroute, Ping), Microsoft Baseline Security Analyzer (MBSA), Tenable NeWT Security Scanner.
  • Tường lửa phần cứng: Router DrayTek Vigor 3300V với các tính năng IP Filter, DoS Defense, URL Filter, Bind IP to MAC, IM/P2P Blocking.
  • Tường lửa phần mềm: Microsoft ISA Server 2004, Kerio WinRoute Firewall, ZoneAlarm.

+-----------------------------------------------------------------------+
|                CẤU TRÚC CHI TIẾT CỦA IP HEADER (CHƯƠNG 2)             |
+-----------------------------------------------------------------------+
| Trường dữ liệu  | Độ dài    | Chức năng kỹ thuật                      |
+-----------------+-----------+-----------------------------------------+
| Version         | 4 bit     | Xác định phiên bản IP (IPv4 hoặc IPv6)  |
| Header Length   | 4 bit     | Số word 32-bit trong IP header (20-24B) |
| Type of Service | 1 byte    | Precedence (ưu tiên), bit D, T, R, M   |
| Total Length    | 2 byte    | Độ dài toàn bộ datagram (20-65535 B)    |
| Identification  | 16 bit    | Định danh gói tin phục vụ phân mảnh     |
| Flags (DF, MF)  | 3 bit     | Cờ Don't Fragment và More Fragment      |
| Fragment Offset | 13 bit    | Vị trí khối dữ liệu phân mảnh (8-byte)  |
| Time To Live    | 1 byte    | Thời gian sống (số bước nhảy qua router)|
| Protocol        | 1 byte    | Giao thức tầng trên (TCP, UDP, ICMP)    |
| Header Checksum | 16 bit    | Kiểm tra lỗi phần đầu (thuật toán CRC)  |
| Source/Dest IP  | 32 bit/tr | Địa chỉ IP máy gửi và máy nhận          |
+-----------------------------------------------------------------------+

Chương 2: Bảo mật với lọc gói IP

• Phân tích cấu trúc gói tin mạng:
  • Gói tin IP: Phân tích chi tiết 14 trường thông tin kỹ thuật trong IP Datagram Header (như bảng trên).
  • Gói tin UDP: Giao thức không liên kết (Connectionless), cấu trúc header gồm Source Port, Destination Port, UDP Length và UDP Checksum (vùng kiểm tra lỗi tùy chọn).
  • Gói tin TCP: Giao thức hướng liên kết, phân tích các trường Sequence Number, Acknowledgement Number, Hlen, Window, Checksum, Urgent Pointer và 6 cờ điều khiển: URG, ACK, PSH, RST, SYN, FIN.
• Quy trình xây dựng bộ lọc bảo mật trên Windows:
  • Thao tác qua công cụ Administrative Tools -> Local Security Policy -> IP Security Policies.
  • Bước 1: Khởi tạo danh sách lọc (IP Filter List) xác định IP nguồn/đích, giao thức và cổng dịch vụ (IP Protocol Port).
  • Bước 2: Thiết lập hành động lọc (Filter Action) gồm 3 trạng thái: Permit (Cho phép), Block (Ngăn chặn), và Negotiate Security (Thương lượng mã hóa).
  • Bước 3: Áp dụng luật (Rule Properties) gán phạm vi mạng (All network, Local Area Network, Remote Access).

Chương 3: IPsec (Internet Protocol Security)

• Vị trí và đặc tính hoạt động: Hoạt động tại tầng Network (Layer 3 mô hình OSI), cung cấp tính trong suốt đối với mã nguồn ứng dụng (khác với SSL/TLS/SSH hoạt động từ tầng 4 đến tầng 7).
• Cấu trúc quản lý và tiêu chuẩn kỹ thuật:
  • Quản lý trạng thái bảo mật thông qua cơ sở dữ liệu Security Parameter Index (SPI) và Security Association Database (SADB).
  • Tiến trình chuẩn hóa theo RFC: Thế hệ 1 (RFC 1825 - 1829 năm 1995), Thế hệ 2 (RFC 2401 - 2412 năm 1998), Thế hệ 3 (RFC 4301 - 4309, định nghĩa chuẩn ESPbis và RFC 4305 quy định thuật toán mã hóa HMAC-SHA1 cho tính toàn vẹn, 3DES-CBC và AES-CBC cho tính bảo mật).
• Hai chế độ hoạt động (Modes):
  • Transport Mode: Bảo vệ kết nối Host-to-Host; chỉ mã hóa phần payload dữ liệu, giữ nguyên IP Header gốc.
  • Tunnel Mode: Bảo vệ kết nối Network-to-Network hoặc VPN Router-to-Router; đóng gói toàn bộ gói tin IP ban đầu vào một gói IP mới.
• Hai giao thức nòng cốt:
  • Authentication Header (AH - Protocol 51): Đảm bảo tính toàn vẹn và xác thực nguồn gốc thông qua trường Integrity Check Value (ICV), chống Replay Attack bằng Sequence Number và kỹ thuật Sliding Windows; không hỗ trợ mã hóa bảo mật dữ liệu.
  • Encapsulating Security Payload (ESP - Protocol 50): Cung cấp đồng thời dịch vụ mã hóa, xác thực và toàn vẹn dữ liệu (bao gồm các trường SPI, Sequence Number, Payload Data, Padding, Pad Length, Next Header, Authentication Data).
• Hạ tầng khóa mã hóa và triển khai:
  • Quản lý phiên qua ISAKMP/IKE.
  • Triển khai nhân hệ điều hành: Dự án FreeS/WAN (KLIPS) trên Linux, Openswan, strongSwan; KAME trên NetBSD/FreeBSD; daemon isakmpd trên OpenBSD.
  • Cơ chế mã hóa bất đối xứng: Cặp khóa Public Key/Private Key và kỹ thuật tạo khóa bí mật chia sẻ (Shared Secret) trong trao đổi dữ liệu.

+--------------------------------------------------------------------+
|               SO SÁNH HAI GIAO THỨC IPSEC NÒNG CỐT                |
+-----------------------------------+--------------------------------+
| Tiêu chí so sánh | AH (Giao thức 51)      | ESP (Giao thức 50)     |
+------------------+------------------------+------------------------+
| Tính bí mật      | Không hỗ trợ mã hóa    | Có (3DES-CBC, AES-CBC) |
| Tính toàn vẹn    | Có (HMAC-SHA1, ICV)    | Có (HMAC-SHA1)         |
| Xác thực nguồn   | Có                     | Có                     |
| Chống phát lại   | Có (Sequence Number)   | Có (Sequence Number)   |
| Vị trí thực thi  | Chèn sau IP Header gốc | Bọc toàn bộ Payload IP |
+--------------------------------------------------------------------+

Chương 4: NAT (Network Address Translation)

• Bản chất kỹ thuật: Kỹ thuật giải quyết vấn đề cạn kiệt không gian địa chỉ IPv4 (IP shortage).
• Nguyên lý hoạt động: Hoạt động như router biên, thực hiện chuyển đổi địa chỉ IP nguồn/đích của các máy con (Client) trong mạng cục bộ sang địa chỉ IP công cộng (Public Static IP) của máy chủ NAT và theo dõi thông tin phiên qua các cổng dịch vụ. Hỗ trợ đặc biệt cho giao thức FTP (WinGate).
• Quy trình triển khai trên Windows Server:
  • Yêu cầu hệ thống: Máy chủ cài đặt Windows Server trang bị từ 2 giao tiếp mạng (Network Interface) trở lên hoặc 1 card mạng kết nối modem Dial-up.
  • Cấu hình qua tiện ích Routing and Remote Access: Kích hoạt dịch vụ NAT/Basic Firewall, thiết lập giao tiếp mạng kết nối Internet công cộng (Public interface connect with internet).

Chương 5: Virus và phòng chống mã độc

• Mô hình phòng thủ mã độc tập trung: Hướng dẫn cài đặt và vận hành hệ thống bảo vệ điểm cuối doanh nghiệp qua bộ phần mềm chuyên dụng:
  • Cài đặt máy chủ quản trị trung tâm Symantec System Center.
  • Triển khai và phân phối chính sách xuống các máy trạm thông qua Symantec Antivirus Client.

Progression Logic của nội dung

Nội dung giáo trình được thiết kế theo tiến trình sư phạm tuyến tính chặt chẽ:

1. Xác lập nhận thức toàn diện về an toàn mạng, mô hình AAA và các mối đe dọa (Chương 1).
2. Đi sâu vào bản chất kỹ thuật của dữ liệu qua cấu trúc các trường header gói tin và kỹ thuật lọc gói mức cơ bản (Chương 2).
3. Nâng cấp giải pháp an ninh lên tầng mạng thông qua hệ thống giao thức mã hóa IPsec chuẩn hóa (Chương 3).
4. Thiết lập định tuyến, bảo vệ không gian mạng nội bộ qua công nghệ NAT trên máy chủ (Chương 4).
5. Hoàn thiện hệ thống bảo vệ toàn diện bằng giải pháp kiểm soát mã độc tập trung tại các máy trạm đầu cuối (Chương 5).

Kiến thức nền tảng và kỹ năng phát triển

• Kiến thức nền tảng: Nắm vững lý thuyết mật mã học (khóa đối xứng, khóa công khai, hàm băm một chiều), cơ chế bắt tay 3 bước TCP/IP, các chuẩn RFC của IETF (RFC 1825 đến RFC 4309) và mô hình phân quyền hệ điều hành.
• Kỹ năng phát triển: Thành thạo kỹ thuật phân tích gói tin, quét cổng và phát hiện lỗ hổng bằng Nmap/MBSA; thiết lập chính sách bảo mật IPsec và bộ lọc IP Filter List trên Windows; cấu hình hệ thống NAT đa giao tiếp và triển khai phần mềm quản trị mã độc Symantec.

---

Phương pháp giảng dạy và học tập

Tiếp cận sư phạm (Pedagogical Approach)

Giáo trình áp dụng mô hình giảng dạy kết hợp giữa trang bị lý thuyết nguyên lý và thực hành trực tiếp tại phòng máy (Lab-based learning). Giảng viên đóng vai trò phân tích kiến trúc giao thức và định hướng kịch bản, sinh viên trực tiếp thao tác cấu hình trên hệ thống giả lập và máy chủ thực.

+------------------------------------------------------------------------+
|                      MÔ HÌNH THỰC HÀNH TẠI PHÒNG LAB                   |
+------------------------------------------------------------------------+
|                                                                        |
|   +-------------------+                     +----------------------+   |
|   |  MÁY TRẠM CLIENT  |                     | MÁY CHỦ QUẢN TRỊ     |   |
|   |  - Nmap           |                     | - Windows Server     |   |
|   |  - Cain & Abel    | <-----------------> | - IP Security Policy |   |
|   |  - Network Monitor|                     | - RRAS (NAT Service) |   |
|   |  - Symantec Client|                     | - Symantec Center    |   |
|   +-------------------+                     +----------------------+   |
|                                                                        |
+------------------------------------------------------------------------+

Bài tập và kịch bản thực hành (Practical Exercises & Case Studies)

Giáo trình cung cấp các bài thực hành chi tiết theo quy trình thao tác:

• Thực hành rà quét an ninh: Sử dụng Nmap trên Windows/Linux thực thi các câu lệnh quét với các tùy chọn -sS, -sT, -PA, -PU, -sO để nhận diện cổng mở và hệ điều hành máy đích.
• Thực hành phân tích và bắt gói tin: Khởi chạy Network Monitor và Cain & Abel (tích hợp WinPcap), thực hiện bắt lưu lượng mạng LAN, trích xuất LM/NTLM Hash và chạy thử nghiệm kỹ thuật bẻ khóa Brute-force/Dictionary.
• Thực hành đánh giá lỗ hổng: Cài đặt công cụ Microsoft Baseline Security Analyzer (MBSA) và Tenable NeWT Scanner, quét kiểm tra máy tính cục bộ, phân tích chỉ số rủi ro (Score) và tra cứu hướng dẫn vá lỗi trong mục Result details.
• Thực hành thiết lập chính sách mạng: Cấu hình quy tắc IP Security Policy chặn/cho phép lưu lượng mạng theo cổng dịch vụ trên Windows; cấu hình dịch vụ Routing and Remote Access để biến máy chủ Windows Server thành trạm NAT định tuyến Internet cho mạng nội bộ.

Phương pháp đánh giá và tự học (Assessment & Self-study)

• Hình thức đánh giá: Kết hợp kiểm tra lý thuyết (hiểu biết về cấu trúc gói tin, giao thức AAA, RFC IPsec) và kiểm tra thực hành trực tiếp trên phòng lab (đánh giá khả năng cấu hình đúng chính sách tường lửa, thiết lập thành công dịch vụ NAT và khắc phục lỗ hổng bảo mật).
• Chỉ dẫn tự học: Sinh viên cần xây dựng môi trường ảo hóa (như VMware hoặc VirtualBox) thiết lập mô hình mạng gồm máy chủ Windows Server và các máy trạm Windows/Linux để thực hiện lại toàn bộ các bước cấu hình có trong giáo trình.

---

Điểm nổi bật và cập nhật

+---------------------------------------------------------------------+
|                  TIẾN TRÌNH CẬP NHẬT CHUẨN IPSEC RFC                |
+---------------------------------------------------------------------+
| Giai đoạn 1 (1995):  RFC 1825 - RFC 1829 (Định nghĩa ban đầu)       |
|                               ↓                                     |
| Giai đoạn 2 (1998):  RFC 2401 - RFC 2412 (Nâng cấp cấu trúc)        |
|                               ↓                                     |
| Giai đoạn 3 (2005+): RFC 4301 - RFC 4309 & RFC 4305                 |
|                      (Chuẩn ESPbis, thuật toán HMAC-SHA1, 3DES, AES)|
+---------------------------------------------------------------------+

Cập nhật tiêu chuẩn kỹ thuật

• Giáo trình hệ thống hóa lịch sử phát triển các phiên bản chuẩn IPsec quốc tế từ RFC 1825–1829 (1995), RFC 2401–2412 (1998) đến thế hệ thứ 3 gồm RFC 4301–4309 và RFC 4305, phân tích sự thay đổi giữa chuẩn ESP ban đầu và chuẩn ESPbis.
• Cập nhật các thuật toán mã hóa hiện đại gồm HMAC-SHA1 cho tính toàn vẹn dữ liệu, TripleDES-CBC và AES-CBC cho mã hóa bảo mật thông tin.

Tích hợp công cụ và giải pháp thực tế

• Giới thiệu các công cụ quản trị bảo mật phổ biến trong môi trường doanh nghiệp: Nmap, Cain & Abel, Microsoft Baseline Security Analyzer (MBSA), Tenable NeWT Security Scanner, Essential NetTools.
• Cung cấp giải pháp bảo vệ hệ thống đa tầng: từ tường lửa thiết bị phần cứng (Load Balance Router DrayTek Vigor 3300V với 5 tính năng kiểm soát lưu lượng) đến giải pháp phần mềm (Microsoft ISA Server 2004, Kerio WinRoute).
• Hướng dẫn cấu hình hệ thống phòng chống mã độc theo mô hình tập trung cấp doanh nghiệp với Symantec System Center.

---

Đối tượng sử dụng giáo trình

+--------------------------------------------------------------------+
|                     ĐỐI TƯỢNG SỬ DỤNG GIÁO TRÌNH                   |
+-------------------+------------------------------------------------+
| Nhóm đối tượng    | Mục đích sử dụng chính                         |
+-------------------+------------------------------------------------+
| Sinh viên Cao đẳng| Tài liệu học tập chính khóa môn An ninh mạng   |
| (Ngành THUD)      | (Mã học phần: THUD - MH28)                     |
+-------------------+------------------------------------------------+
| Giảng viên        | Khung biên soạn bài giảng, đề thi và thiết kế  |
| chuyên ngành CNTT | bài thực hành phòng lab                        |
+-------------------+------------------------------------------------+
| Kỹ thuật viên /   | Tài liệu tra cứu quy trình cấu hình IPsec,     |
| Quản trị mạng     | NAT, bộ lọc gói IP và rà quét lỗ hổng hệ thống |
+-------------------+------------------------------------------------+

Yêu cầu kiến thức tiên quyết (Prerequisites)

Để tiếp thu hiệu quả nội dung giáo trình, người học cần hoàn thành các học phần nền tảng:

• Kiến trúc máy tính và Hệ điều hành (Windows, Linux).
• Mạng máy tính căn bản và mô hình tham chiếu OSI.
• Bộ giao thức mạng TCP/IP và kỹ thuật định tuyến cơ bản.
• Kỹ năng quản trị hệ thống cơ bản trên môi trường Windows Server.

---

Câu hỏi thường gặp (FAQ)

1. Giáo trình này được biên soạn cho đối tượng nào?

Giáo trình được thiết kế chuyên biệt cho sinh viên hệ Cao đẳng ngành Tin học ứng dụng thuộc Trường Cao đẳng Giao thông Vận tải Trung ương I, đồng thời là tài liệu tham khảo cho giảng viên và kỹ thuật viên quản trị mạng tại các tổ chức, doanh nghiệp.

2. Người học cần chuẩn bị kiến thức nền tảng gì trước khi học?

Người học cần có kiến thức cơ bản về mạng máy tính, cấu trúc mô hình OSI, nguyên lý phân tầng của bộ giao thức TCP/IP và kỹ năng sử dụng, quản trị các hệ điều hành Windows và Windows Server.

3. Giáo trình này có điểm gì khác biệt về mặt cấu trúc so với các tài liệu lý thuyết thuần túy?

Khác với các tài liệu thuần lý thuyết, giáo trình chú trọng hướng dẫn thực hành chi tiết từng bước (step-by-step) với các thông số cấu hình cụ thể trên các công cụ rà quét (Nmap, MBSA, NeWT), phần mềm phân tích (Cain & Abel, Network Monitor), thiết bị định tuyến (DrayTek) và hệ điều hành Windows Server (IP Security Policy, RRAS NAT).

4. Phương pháp tự học giáo trình này như thế nào để đạt hiệu quả cao?

Người học cần kết hợp đọc hiểu lý thuyết về cấu trúc header gói tin và cơ chế bảo mật (như AH, ESP, AAA) với việc xây dựng phòng lab ảo hóa (Virtual Lab) để thực hành trực tiếp các bài tập cấu hình bộ lọc IP, thiết lập dịch vụ NAT và quét lỗ hổng theo hướng dẫn trong từng chương.

5. Giáo trình có đề cập đến các tài liệu chuẩn quốc tế nào không?

Giáo trình trích dẫn và đối chiếu trực tiếp với các tiêu chuẩn RFC của IETF về IPsec bao gồm RFC 1825 đến 1829, RFC 2401 đến 2412, RFC 4301 đến 4309, và tiêu chuẩn thuật toán mã hóa RFC 4305.

---

Kết luận

Giáo trình môn An ninh mạng (Mã tài liệu: THUD - MH28) của Trường Cao đẳng Giao thông Vận tải Trung ương I là tài liệu đào tạo chuyên môn chuẩn hóa, cân đối giữa nền tảng lý thuyết giao thức mạng và năng lực thực hành cấu hình bảo mật hệ thống.

Lộ trình học tập được thiết kế mạch lạc: đi từ nhận thức rủi ro an ninh và mô hình AAA -> phân tích cấu trúc gói tin và lọc IP -> triển khai các giao thức mã hóa IPsec -> cấu hình định tuyến bảo vệ mạng qua NAT -> vận hành hệ thống phòng chống mã độc tập trung. Tài liệu cung cấp cơ sở kiến thức và kỹ năng thực tế cho sinh viên ngành Tin học ứng dụng trong công tác quản trị và bảo vệ hạ tầng mạng máy tính.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TONG QUAN VỀ BẢO MẬT VÀ AN TOÁN MẠNG. "Mặc tiêu: “Sau khi học xong chương này, sinh viến có khả năng: - Trình bày đầy đủ các nội dung vẻ an toàn bảo một mạng; các dạng tấn công và các phương pháp bảo mật tiên mạng: ~ Ghi nhớ và Hiểu biết về các cách thức tấn công trên mạng, các phương pháp bảo mật trên mạng, các loại xác thục trên mạng một cách chính xác ~ Rèn luyện tư duy và thấ độ học tập nghiêm túc "Nội dụng: 1. Tổng quan vỀ an toàn bảo mặt Mạng ILA. Giới thigu vé AAA: (Access Control, Authentication vat Auditing): Khi hệ thống mạng được ra đời nhu cầu cần trao đổi tài nguyên được đật m và những người sử dụng hệ thống mạng đồ được trao đổi tài nguyên với nhau.

Sau một khoảng thời gian sử dụng, hệ thing mang 46 ngày cảng được mỡ rộng và số lượng tham. gia vào mạng ngày cảng tăng, do đó việc thực hiện các chính sách bảo mặt, thiết lập các. -chính sách trong việc truy xuất tài nguyễn mạng được đặt ra. “Công nghệ thông in được ấp dụng rong nhiễu ĩnh vực như thương mại, hng bải, “Trong sự phát triển đó “thông tủn” là một phần quan trong nhất.

Mọi thiết bị mây tính. như (Ram, CPU, Min hình, Đĩa cứng .) cũng như hạ tằng mạng (router, switch, .được tạo ra để hỗ tự iệc xử lý, lưu ữ, ình bày, vận chuyển thông tin. Vì vậy việc bảo đảm tính an toàn của dữ liệu được lưu tữ trên máy tính cũng như ính bí mật và toàn vẹn của thông tin được truyền trên mạng có ý nghĩa rất lớn đối với sự tổn tại và phát triển .của công nghệ thông tín. "ĐỂ hỗ trợ cho iệc bảo mật nhằm hạn chễ truy cắp đữ liệu côa người khác, tinh sy mắt mắt dữ liệu, thuật ngỡ AAA (Aeeess Conol, Autheniesion và Andiing) đã ra đời [AAA duge viết tắc tức Access Control, Authentication va Auditing.

AAA là khái niệm eơ bản của an ỉnh mấy nh và an ninh mạng, Những khải niệm này được dùng đề bảo đảm các ính năng bảo mặt thông tin, toàn vẹn liệ và tính sẵn sảng của hệ thống. Điều khiến mạ cập (Ace* Control: Điều khiển truy cập là một chính sách, được sự hỗ trợ của phẫn mềm hay phẩn cứng được dàng để cho phép hay từ chối truy cập đến tài nguyên, qui định mức độ truy xuất ên ải nguyên.Có ba mô hình được sử dụng để giái thích cho mô hình điều khiển truy cập: ~ MAC (Mandatory Access Control) ~ DAC (Diseretionary Access Control) = RBAC ( Role Based Access Control) 12.1 MAC (Mandatory Access Conro): Mô hình MAC là một mô hình tình sử dụng các quyển hạn truy cập đến tập tin .được định nghĩa trước trên hệ thẳng. Người quản tr bệ thống thiết lập các tham số này và kết hợp chủng với một tải khoản, với nhiều tập tin hay tài nguyên. Mô hình MÁC có thể bị hạn chế nhiễu.

Trong mô hinh MAC người quản trị thiết lập việc truy cập và người cquân tị cũng là người cỏ thể thay đổi sự uy cắp đó. Người dùng không thể chị sẽ tải nguyên được trừ khi có một mỗi quan hệ với tài nguyên đã tồn tại trước. Vid: ‘Déi với Unix hệ thống qui định một tập tin hay thư mục sẽ về một chủ sở hữu (Owne. Khi đó ta không thể định nghĩa một tập in hay thư mục thuộc quyển sở hữu của hai hay nhiều người.

Quyền tập tin, thư mục trên Windows 2000 (Full control, Write, Read, List folder content.22, DAC Wiscreionary Access Control) Là tập các quyển truy cập trên một đối tượng mà một người đùng hay một ứng. ‘dung dinh nghia. Mô hình DẠC cho phép người dàng chỉa sẻ tập ti và sử dựng tập tin do người khác chỉa sẻ, Mô bình DAC thiết lập một danh sich điều khiển truy cập (Acces ‘control list) ding để nhận ra người đùng nảo được quyển truy cập đến tải nguyên nào. Ngoài ra, mô hình này cho phép người dùng gán hay loại bỏ quyển truy cấp đến mỗi cá nhân hay nhôm đựatrê từng trường hợp cụ thể, 1.

RBAC (Role Based Access Contr): "Trong RBÁC, việc quyết định quyền truy cập dựa trên vai trỏ của mỗi cá nhân và trách nhiệm của họ trong tổ chức “Quyển hạn dựa tên công việc và phân nhỏm người dũng Tuỷ thuộc vào từng quyền hạn của người dùng mã chúng ta sẽ phân quyển cho phủ hợp. Vidk Người quản tị cỏ toàn quyền quản trị trên hệ thống mạng, được quyền thêm, xoá, sữa thông la trên mạng. Những nhân viên bình thường trong mạng sẽ chỉ cổ quyển sử. dụng máy tính mà không được phép lâm gì cả.3 Xée thực (Authentication): ‘Qui trình dùng để xác nhận một máy tinh hay một người dùng cổ gắng truy cập.

đến tải nguyên, cũng như cách thức đăng nhập và sử dụng bệ thống. “Quá trình xác thực rất đa dạng, từ cách xác nhận thông thường như kiểm tra tên đăng nhập/ mật khẩu đến việc sử dụng các công nghệ tiên tiễn như thể thông mình, thiết bị sinh học để nhận dạng người đồng.1, Username/ Password: "Đây là phương thức xác nhận cổ điền và được sử dụng rất phổ biến (do tinh ning cđơn giản và đễ quản lý). Mỗi người đùng sẽ được xác nhận bằng một tên truy cập và thông thường được lưu trong cơ sở dữ liệu đưới dạng mã hoá boặc “hiên mật khâu có thế để đăng bị đoán bằng các phương phập vết cạn. Chính sách mật khẩu: ~ _ Mức độ không an toàn ít hơn 06 ký tự ~_ Mắc độ an toàn trung bình: 0§ đến 13 ký tự ~_ Mắc độ an toàn caol4: ý tự “Ngoài ra mật khẩu cần tuân theo một số yêu cầu sau: ~_ Kếthợp giữa các kỹ ty boa và thường, ~_ Sử dụng số, ký tự đặc biệt, không sử dụng các từ có trong tự điền.

~_ Không sử dụng thông tín cá nhân để đặt mật khẩu (ngày sinh, số điện thoại. tên người thân. CHAP: ‘Do diém yéu ca Usee/ Pas [ashing in để dàng bị mắt khi chuyển trên mạng do đổ ccần phải có một phương pháp để đảm bảo ring dữ liệu được truyển thông an toàn trong quá trình chững thực. CHAP là một giao thức đáp ứng được yê cầu rên.

CHAP thường được dòng để bảo vệ các thông tn xác nhận và kiểm tra kết nỗi đến tài nguyên hợp lệ, sử dụng một đầy các thách thức và trả lời được mã hoá. Đây là nghỉ thúc _xác nhận truy cập từ xa mà không cần gửi mật khấu qua mạng. CHAP được sử đụng đễ xác định sự bợp lệ bằng cách sử dụng cơ chế bắttay 3 - Way. “Cơ chế này được sử dụng khí kết nối được khởi tạo và được sử dụng nhiễu lần để duy trì kết nỗi `Nơi cần xác nhận sẽ gửi một thông điệp “Challenee” "Bên nhận sẽ sử dụng mật khẩu và một hàm bm một chiễu để ínhra kết quả và tr lời cho bên cần xác nhận.

Bên cần xác nhận sẽ tính toán hàm bảm tương ứng và đỗ chiếu với giá tị trả về, Nếu giá tr là đồng việc xác nhận hợp lẽ, ngược lạ kế ni sẽ kết thúc. ‘Vito mt thời điểm ngẫu nhền bên cạnh xác nhận sẽ gửi một Challenge mới để kiểm. trà sự hợp lệ của kết nối 1. Chios chi (Certificates) “Trong cuộc sống chủng ta sử dụng CMND hay hộ chiếu để giao tiếp với người khắc trong xã hội như sử dụng để đi d lịch, tâu xe.

Trong máy tính chúng ta sử dụng “chứng chỉ để xác nhận với những máy khác rằng người dùng và máy tính hợp lệ và giáp cho các mấy tính truyễn thông với nhau được an toàn, “Chứng chỉ điện tử là một dạng dữ liệu số chứa các hông tn để xác định một thực thể (hực thể có th là một cá nhân, một server, một thế bị hay pin mé. ) Chỉ tiết về chứng chí chúng ta sẽ tham khảo trong các phần sau. Mulual Authewicotion (Xác nhộn lẫn nha): Đa số các cơ chế chứng thực đều thực biện một chiều, ki đ việc xá thực rắt dễ bị giả lập và dễ bị Hackertấn công bằng phương pháp giá lập cách thức kết nổi (như Reply Attack .) Trong thực tế có rất nhiều ứng dụng đòi hỏi cơ chế xác nhận qua lại. vi dụ một "người đùng có một tải khoản tại Ngân hàng.

Khi người đùng truy xuất để kiếm tra ngày nạp tiền vào Ngân hằng sẽ kiểm ta tính hợp lệ còa Ngân hàng đang thao te, Nếu thông tin kiễm tra là bợp lệ thì quả nh đăng nhập thành công và người dùng có thể thay đổi thông tin tài khoản của mình. Mỗi thành phẫn trong một giao tiếp điện tử có thể xác nhận thành phi kia. Khi đó, không chỉ xảc nhận người đồng với bệ thẳng mả còn xác nhận tỉnh hợp lệ của bệ thống đối với người đùng.35, Biomerics: 'Các thiết bị sinh học có thể cung cắp một cơ chế xác nhận an toàn rất cao bằng. cách sử đụng các đặc tính về vật ý cũng như bảnh vi của mỗi cá nhản để chứng thực, duge sử dụng ở các khu vực cằn sự an toàn cao.

ˆ* Cách thức hot động của Biometfc: ~Ghỉ nhận đặc điểm nhận dạng sinh bọc _+ Các đặc điểm nhận dạng của đối tượng được quết và kiểm tra. + Ce thing tn v8 sinh học được phản ch và ưu ại thành các mẫu, -Kiêm tra + DSi tượng cần được kiểm tr sẽ được quết + May tính sẽ phân tích dữ liệu quét vào vả đối chiếu với đữ liệu mẫu. + Nếu dữ liệu mẫu đối chiếu phù hợp tì người dùng được xác định hợp lệ và có “quyển truy xuất vào hệ thống. Một dạng: - Các đặc điểm vật lý: - Dấu văn hy ~ Hand eomety ~ Quết khuôn mặt ~ Quét võng mạc mắt ~ Quết rồng đen mắt ~ Cá đặc tính và hành v: - Chữ ký tay - Giọng nồi - Hiện nay cơ chế xác nh sinh học được xem à cơ chế mang tính an toàn rất cao, "Tuy nhiên để xây dụng cơ chế xác nhận này tỉchỉ phi rit cao.36, Muli Factor: - Khi một bệ thống sử dụng hai hay nhiễu phương pháp chứng thực khác nhau để Xiễm tra việc User đăng nhập hợp lệ hay không thì được gọi Ia muti ~ factor.

Một hệ thắng vữa sử dụng thể thông mình vừa sử dụng phương pháp chứng thục bằng username và password thì được gọi là một hệ thống chứng thye two — factor. Khi đó ta có thể kết hợp hai hay nhiều cơ chế xác nhận đ tạo ra một cơ chế xác nhận phi hop vi nhu clu, ~ Chỉ danh của một cá nhân được xác định sử dụng ít nhất bai ong các fictors xác hận sau + Bạn biết gì (một mật khẩu hay số pin) + Ban cgi (smart card hay token) + Ban ai (du vn tay, ving mye .