Tổng quan về giáo trình

Giáo trình môn học An toàn bảo mật hệ thống thông tin (Mã môn học: MH 3101311) do Thạc sĩ Võ Đào Thị Hồng Tuyết (Chủ nhiệm đề tài) cùng cử nhân Nguyễn Ngọc Kim Phương biên soạn vào năm 2020, trực thuộc Khoa Công nghệ Thông tin – Trường Cao đẳng Kinh tế - Kỹ thuật Thành phố Hồ Chí Minh. Môn học được bố trí giảng dạy tại học kỳ 5 trong chương trình đào tạo trình độ Cao đẳng ngành Hệ thống thông tin dưới hình thức môn học chuyên ngành tự chọn, với tổng thời lượng thực hiện là 60 giờ (gồm 30 giờ lý thuyết, 28 giờ thực hành và 2 giờ kiểm tra).

Về mục tiêu đào tạo, giáo trình trang bị cho sinh viên hệ thống kiến thức toàn diện về an toàn và bảo mật hệ thống thông tin, bao gồm: phân biệt các khái niệm an toàn thông tin, bảo mật thông tin, bảo mật dữ liệu và bảo vệ dữ liệu; nhận diện các hình thức tấn công hệ thống và website; nắm vững các phương pháp bảo mật đa tầng (cấp độ chương trình, hệ điều hành, web, mạng); hiểu rõ nguyên lý hoạt động của các thuật toán mã hóa cổ điển, thuật toán mã hóa hiện đại, cơ chế chữ ký điện tử và chứng chỉ số; đồng thời mô tả chức năng của các giao thức ứng dụng bảo mật.

Cấu trúc giáo trình gồm 5 chương được thiết kế theo lộ trình từ tổng quan lý thuyết, cơ chế phòng thủ đa tầng, nền tảng mật mã học đến các ứng dụng xác thực và giao thức thực tế. Điểm đặc thù của tài liệu là việc chuẩn hóa nội dung lý thuyết song hành với các mô hình kỹ thuật chi tiết (như sơ đồ mạng Feistel, cấu trúc hàm S-box của DES, cú pháp cấu hình tệp máy chủ và mã lệnh xử lý an toàn dữ liệu).

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

  • Chương 1: Tổng quan: Cung cấp định nghĩa về Hệ thống thông tin (IS), An toàn thông tin (Information Security) và Bảo mật hệ thống thông tin (Information Systems Security). Thiết lập 4 yêu cầu bảo mật cơ bản: Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity), Tính sẵn sàng (Availability), và Tính chống thoái thác (Non-repudiation). Phân loại các mối đe dọa thường gặp (lỗi người dùng, gian lận, mã độc, DoS/DDoS, Social Engineering); chuẩn hóa mô hình quy trình tấn công 5 bước (Reconnaissance, Scanning, Gaining access, Maintaining access, Covering tracks); phân loại đối tượng tấn công (hacker mũ trắng, mũ xám, mũ đen/cracker, internet scammer, tội phạm khủng bố).
  • Chương 2: Các loại bảo mật và cách phòng chống: Trình bày giải pháp an ninh theo 4 cấp độ kỹ thuật:
    • Cấp độ chương trình: Cơ chế tường lửa (Firewall); cấu trúc và vòng đời hoạt động của virus máy tính (không hoạt động, lan truyền, kích hoạt, thực thi); phân loại virus (ký sinh, boot sector, multi-partite, macro, email virus).
    • Cấp độ hệ điều hành: Quản lý I/O và BIOS password; cơ chế bảo vệ bộ nhớ thông qua Phân đoạn (Segmentation) và Phân trang (Paging); quản lý quyền truy cập tệp tin trên hệ điều hành UNIX/Linux (chủ sở hữu, nhóm, quyền R/W/E, setid); cơ chế xác thực người dùng bằng mật khẩu và sinh trắc học.
    • Cấp độ Web: Phòng chống tấn công SQL Injection thông qua truy vấn tham số hóa (Prepared Statements); phòng chống Cross-Site Scripting (XSS) bằng mã hóa dữ liệu đầu ra và Chính sách bảo mật nội dung (Content Security Policy - CSP); xử lý tệp tin tải lên an toàn (đổi tên, vô hiệu hóa quyền thực thi chmod 0666, kiểm soát qua .htaccess hoặc lưu trữ ngoài webroot); triển khai HTTPS và HSTS; ứng dụng công cụ kiểm thử thâm nhập (Netsparker, OpenVAS, Xenotix XSS Framework, Fiddler).
    • Cấp độ Mạng: Phân tích mô hình an toàn mạng (Alice – Bob – Trudy); các kiểu đe dọa (nghe lén, chèn gói tin, giả danh, chiếm quyền kết nối, từ chối dịch vụ).
  • Chương 3: Các phương pháp mã hóa: Phân tích sơ đồ hệ thống mã hóa tổng quát (Plaintext, Ciphertext, Enciphering/Deciphering Algorithm, Keys). Hệ thống hóa hai nhóm thuật toán:
    • Mã hóa cổ điển: Thuật toán thay thế đơn bảng Caesar ($C = (p + k) \pmod{26}$); thay thế đa bảng Vigenère và kỹ thuật thám mã Babbage; kỹ thuật Tabula recta của Trithemius; mã hóa Belasco có sử dụng khóa tọa độ.
    • Mã hóa hiện đại: Hệ mã hóa đối xứng DES (cấu trúc mạng Feistel 16 vòng, khối dữ liệu 64-bit, khóa chính 56-bit, thuật toán sinh khóa con 48-bit, hàm biến đổi F với các khối mở rộng Expand, 8 hộp S-box và P-box; đánh giá khả năng chống tấn công vét cạn brute-force, thám mã vi sai Biham - Shamir và thám mã tuyến tính Matsui); Hệ mã hóa khóa công khai RSA (nguyên lý cặp khóa Public Key/Private Key và ứng dụng trong phân phối khóa bí mật).
  • Chương 4: Chữ ký điện tử và chứng chỉ số: Trình bày khái niệm, kiến trúc và quy trình vận hành của hệ thống chữ ký điện tử; thuật toán chữ ký số chuẩn DSA (Digital Signature Algorithm); các hàm băm bảo mật SHA-1 và SHA-2; định nghĩa, vai trò và lợi ích của chứng chỉ số (Digital Certificate) trong việc xác thực danh tính số.
  • Chương 5: Ứng dụng bảo mật: Cung cấp kiến thức về hệ thống và các phương pháp xác thực; ứng dụng an ninh trong thanh toán điện tử; nguyên lý hoạt động của các giao thức bảo mật tầng truyền tải SSL (Secure Sockets Layer) và SET (Secure Electronic Transaction).
graph TD
    A[Kiến thức An toàn Bảo mật HTTT] --> B[Chương 1: Tổng quan & Mô hình An ninh CIA/Non-repudiation]
    A --> C[Chương 2: Phòng chống Đa tầng: OS, Program, Web, Network]
    A --> D[Chương 3: Mật mã học: Cổ điển Caesar/Vigenère & Hiện đại DES/RSA]
    A --> E[Chương 4: Tính toàn vẹn & Xác thực: DSA, SHA-1/2, Digital Certificate]
    A --> F[Chương 5: Ứng dụng & Giao thức: SSL, SET, Thanh toán Điện tử]

Kiến thức nền tảng được xây dựng

  • Lý thuyết an toàn thông tin: Mô hình bảo vệ 4 tiêu chuẩn (Bảo mật, Toàn vẹn, Khả dụng, Chống thoái thác) cùng các nguyên lý tối thiểu quyền hạn (Least Privilege), mô hình phòng thủ theo chiều sâu.
  • Lý thuyết mật mã học: Nguyên lý thay thế (Substitution), hoán vị (Permutation), cấu trúc mạng Feistel, các phép toán số học Modulo và cơ chế biến đổi phi tuyến tính trong mật mã khối.
  • Nguyên lý cách ly và kiểm soát tài nguyên: Cơ chế quản lý bảng đoạn/bảng trang bộ nhớ của nhân hệ điều hành, phân quyền danh sách điều khiển truy cập (ACL) trong hệ thống tệp tin UNIX/Linux.

Kỹ năng phát triển

  • Kỹ năng kỹ thuật (Technical skills): Cài đặt và tính toán thủ công/lập trình các giải thuật mã hóa cổ điển và hiện đại; thiết lập các quy tắc tường lửa máy chủ; cấu hình kiểm soát truy cập tệp tin .htaccess và phân quyền hệ thống.
  • Kỹ năng phân tích (Analytical skills): Phân tích các vector tấn công phổ biến như chèn mã SQL Injection, tấn công kịch bản chéo trang XSS; đánh giá độ an toàn của độ dài khóa mã hóa trước các phương pháp thám mã brute-force, vi sai và tuyến tính.
  • Kỹ năng thực hành (Practical competencies): Khai thác và vận hành các công cụ quét lỗ hổng và bắt gói tin (Netsparker, OpenVAS, Fiddler, Nessus, Acunetix); triển khai mã nguồn PHP an toàn với chuẩn PDO; tích hợp và áp dụng chứng chỉ bảo mật HTTPS/SSL vào hệ thống ứng dụng web.

Phương pháp giảng dạy và học tập

Căn cứ theo đề cương chi tiết môn học MH 3101311, chương trình áp dụng phương pháp đào tạo kết hợp giữa thuyết giảng lý thuyết định lượng và thực hành kỹ thuật trực tiếp trong phòng máy:

Thành phần Thời lượng Trọng tâm phương pháp
Lý thuyết 30 giờ Giảng dạy tập trung vào các nguyên lý cốt lõi, mô hình toán học giải thuật mã hóa (DES, RSA, Vigenère), cấu trúc virus, và phân tích các giao thức bảo mật mạng (SSL, SET).
Thực hành 28 giờ Sinh viên thực hiện cài đặt thuật toán, cấu hình hệ điều hành, thực thi các kịch bản kiểm thử thâm nhập web và quét lỗ hổng bằng phần mềm chuyên dụng.
Kiểm tra 2 giờ Đánh giá tổng hợp năng lực nhận thức lý thuyết và kỹ năng giải quyết sự cố kỹ thuật.

Phương pháp triển khai bài tập và tình huống thực hành dựa trên các ca điển hình:

  • Case study mô phỏng hệ thống ngân hàng: Dùng để phân tích yêu cầu tính toàn vẹn (ngăn chặn khách hàng tự sửa số dư) và tính chống thoái thác (xác thực lịch sử giao dịch chuyển tiền/rút tiền).
  • Phân tích mẫu mã độc và lỗ hổng: Thực hành phân tích đoạn mã mẫu virus giả lập; phân tích cú pháp khai thác lỗi SQL Injection dạng ' or '1'='1 và viết lại mã nguồn bằng đối tượng $pdo->prepare() cùng tham số ràng buộc.
  • Thực nghiệm công cụ kiểm thử: Sử dụng các phần mềm quét bảo mật (Nessus, OpenVAS, Acunetix, Paros, Havij) và công cụ can thiệp proxy (Fiddler) để kiểm tra tham số HTTP GET/POST, URL và cookie.

Về phương pháp tự học, giáo trình yêu cầu sinh viên hoàn thành hệ thống câu hỏi ôn tập cuối mỗi chương, tự giác thực hiện các quy trình cấu hình an toàn trên máy trạm (như cập nhật cơ sở dữ liệu nhận dạng virus, thiết lập mật khẩu BIOS, định cấu hình sao lưu định kỳ và kiểm soát quyền thư mục).

Điểm nổi bật và cập nhật

Nội dung giáo trình phản ánh các khía cạnh kỹ thuật sát với thực tế vận hành hệ thống thông tin tại thời điểm biên soạn năm 2020:

  • Cập nhật các nguy cơ an ninh hiện đại: Giáo trình phân tích cụ thể các dạng thức tấn công mạng mang tính thời sự như tấn công từ chối dịch vụ phân tán (DDoS) thông qua mạng máy tính ma (Zombie host/Botnet), mã độc tống tiền (Ransomware), và tình trạng máy chủ bị chiếm dụng để gửi thư rác hoặc khai thác tiền mã hóa (Bitcoin mining).
  • Tích hợp các tiêu chuẩn an toàn web đương đại: Cập nhật các khuyến nghị phòng thủ từ các tổ chức an toàn thông tin quốc tế như OWASP (Open Web Application Security Project) và Mozilla; hướng dẫn triển khai giao thức mã hóa toàn diện HTTPS thông qua dịch vụ tự động hóa chứng chỉ Let's Encrypt; thiết lập tiêu đề phản hồi máy chủ HTTP Strict Transport Security (HSTS) và Content Security Policy (CSP).
  • Trích dẫn dữ liệu và sự kiện thực tế: Dẫn chứng số liệu thiệt hại do tội phạm mạng từ Symantec (trung bình 2,2 triệu USD đối với doanh nghiệp lớn); viện dẫn các mốc lịch sử phát triển kỹ thuật như cỗ máy phá mã DES song song của tổ chức Electronic Frontier Foundation (EFF) năm 1998; trích xuất các ý kiến chuyên môn của nhà nghiên cứu an ninh Marta Janus từ Kaspersky Lab.
  • Mô tả chi tiết các giải thuật giải mã: Cung cấp đầy đủ các bảng hoán vị khởi tạo/kết thúc, bảng mở rộng Expand, bảng dịch vòng $r_i$ và 8 bảng hộp thế S-box của chuẩn mã hóa dữ liệu DES, giúp người học có đầy đủ cơ sở toán học để lập trình mô phỏng thuật toán mà không cần tra cứu tài liệu ngoài.

Đối tượng sử dụng giáo trình

  • Sinh viên: Tài liệu được biên soạn phục vụ trực tiếp cho sinh viên năm thứ ba (học kỳ 5) chuyên ngành Hệ thống thông tin trình độ Cao đẳng. Sinh viên các ngành liên quan như Công nghệ Thông tin, Kỹ thuật Phần mềm, Mạng máy tính cũng có thể sử dụng làm tài liệu môn học chuyên ngành.
  • Kiến thức tiên quyết (Prerequisites): Để tiếp thu hiệu quả nội dung giáo trình, người học cần có kiến thức nền tảng về:
    • Kiến trúc máy tính & Hệ điều hành: Hiểu về cơ chế quản lý bộ nhớ, tiến trình, hệ thống tệp tin và các lệnh điều khiển cơ bản.
    • Mạng máy tính: Nắm vững mô hình OSI/TCP-IP, cơ chế định tuyến, cổng dịch vụ, giao thức HTTP/DNS.
    • Lập trình & Cơ sở dữ liệu: Nắm được cú pháp ngôn ngữ lập trình cơ bản, cách thức giao tiếp dữ liệu web (HTML/PHP) và cú pháp truy vấn ngôn ngữ SQL.
  • Giảng viên: Sử dụng làm giáo trình giảng dạy chuẩn cho môn học An toàn bảo mật hệ thống thông tin (MH 3101311); làm căn cứ phân bổ giờ dạy lý thuyết (30 giờ), thiết kế bài tập thực hành phòng máy (28 giờ) và biên soạn đề thi kết thúc học phần.
  • Tự học và tham khảo kỹ thuật: Dành cho các kỹ thuật viên quản trị mạng, lập trình viên ứng dụng web sơ cấp cần tra cứu các nguyên tắc viết mã an toàn, cơ chế mã hóa dữ liệu và phương thức phòng chống các lỗ hổng hệ thống cơ bản.

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?

Giáo trình được thiết kế chuẩn hóa cho sinh viên trình độ Cao đẳng chuyên ngành Hệ thống thông tin (học kỳ 5) tại Trường Cao đẳng Kinh tế - Kỹ thuật TP.HCM, đồng thời là tài liệu tham khảo nền tảng cho sinh viên khối ngành Công nghệ Thông tin cần nắm bắt các kiến thức cơ sở về an ninh mạng và mật mã học.

2. Cần kiến thức nền nào để học giáo trình này?

Người học cần hoàn thành các môn học cơ sở ngành bao gồm: Hệ điều hành (cơ chế phân đoạn, phân trang, phân quyền tệp tin), Mạng máy tính (giao thức truyền thông, cổng kết nối), Kiến trúc máy tính (xử lý I/O, BIOS) và Lập trình ứng dụng web cơ bản (PHP, hệ quản trị cơ sở dữ liệu MySQL).

3. Điểm khác biệt của giáo trình so với các tài liệu khác là gì?

Tài liệu cân bằng giữa lý thuyết giải thuật mật mã (cung cấp đầy đủ các bước tính toán modulo, bảng thế S-box của DES, ma trận Tabula recta) và hướng dẫn phòng thủ kỹ thuật ứng dụng thực tế (cấu hình tệp .htaccess, thiết lập mã PHP chuẩn PDO, phân tích chi tiết quy trình kiểm thử thâm nhập bằng công cụ).

4. Làm sao để tự học và nghiên cứu giáo trình hiệu quả?

Người học nên kết hợp song song việc giải các bài tập giải thuật (mã hóa và thám mã Caesar, Vigenère, phân tích vòng lặp Feistel) với việc dựng môi trường máy chủ cục bộ (localhost) để kiểm nghiệm thực tế các nguy cơ SQL Injection, XSS, cũng như thực hành quét cổng và quét lỗ hổng bằng các công cụ được giới thiệu trong giáo trình.

5. Có tài liệu bổ trợ nào kèm theo trong giáo trình?

Giáo trình tích hợp sẵn danh mục hình ảnh minh họa quy trình, danh mục từ viết tắt chuyên ngành, hệ thống câu hỏi kiểm tra đánh giá sau mỗi chương và định hướng tham khảo các chuẩn an toàn từ OWASP, tài liệu hướng dẫn kỹ thuật bảo mật từ Mozilla Developer Network.

Kết luận

Giáo trình An toàn bảo mật hệ thống thông tin (MH 3101311) cung cấp một khung kiến thức học thuật và kỹ thuật thực hành hoàn chỉnh về an ninh hệ thống thông tin. Nội dung tài liệu thể hiện tính sư phạm rõ ràng thông qua việc liên kết từ các khái niệm tổng quan (mô hình bảo mật CIA), kỹ thuật phòng thủ đa tầng (chương trình, hệ điều hành, web, mạng) đến cơ chế toán học của các hệ mật mã (cổ điển, DES, RSA) và các giao thức chứng thực số (DSA, SHA, SSL, SET).

Lộ trình học tập đề xuất cho người học là nghiên cứu tuần tự từ Chương 1 đến Chương 5, kết hợp giữa việc nắm vững định nghĩa học thuật và thực thi kiểm thử trên hệ thống máy trạm, đồng thời mở rộng nghiên cứu dựa trên các tài liệu kỹ thuật chuẩn hóa của OWASP và các tiêu chuẩn bảo mật mạng hiện hành.