Giáo Trình Môn Học An Toàn Hệ Thống Thông Tin Ngành Thương Mại Điện Tử

Giáo trình an toàn hệ thống thông tin ngành thương mại điện tử trung cấp cung cấp kiến thức cần thiết về bảo mật và quản lý thông tin.

• Trường học: Trường Cao Đẳng Thương Mại Và Du Lịch
• Chuyên ngành: Thương Mại Điện Tử
• Đề tài: Giáo Trình An Toàn Hệ Thống Thông Tin
• Loại tài liệu: Giáo Trình
• Năm xuất bản: 2022
• Địa điểm: Thái Nguyên

Mục lục chi tiết

• LỜI GIỚI THIỆU
• 1. CHƯƠNG 1: GIỚI THIỆU CHUNG
• 1.1. Khái quát về an toàn thông tin
• 1.2. An toàn thông tin
• 1.3. Hệ thống thông tin
• 1.4. Một số khái niệm liên quan
• 1.5. Một số nhìn nhận và sự cần thiết của an toàn bảo mật thông tin
• 1.6. Các yêu cầu đảm bảo An toàn thông tin và Hệ thống thông tin
• 1.7. Chống thoái thác (Non-repudiation)
• 1.8. Các thành phần của an toàn thông tin
• 1.9. An toàn máy tính và dữ liệu (Computer & data security)
• 1.10. An ninh mạng (Network security)
• 1.11. Quản lý an toàn thông tin (Management of information security)
• 1.12. Chính sách an toàn thông tin (Policy)
• 1.13. Các mối đe dọa và nguy cơ trong các vùng hạ tầng Công nghệ thông tin
• 1.14. Bảy vùng trong cơ sở hạ tầng CNTT
• 1.15. Các mối đe dọa và nguy cơ trong các vùng hạ tầng CNTT
• 1.16. Mô hình tổng quát đảm bảo an toàn thông tin và hệ thống thông tin
• 1.17. Nguyên tắc đảm bảo an toàn thông tin, hệ thống và mạng
• 1.18. LỖ HỔNG BẢO MẬT VÀ CÁC ĐIỂM YẾU HỆ THỐNG
• 1.19. Tổng quan về lỗ hổng bảo mật và các điểm yếu hệ thống
• 1.20. Khái quát về điểm yếu hệ thống và lỗ hổng bảo mật
• 1.21. Điểm yếu hệ thống và lỗ hổng bảo mật
• 1.22. Một số thống kê về lỗ hổng bảo mật
• 1.23. Các dạng lỗ hổng trong hệ điều hành và phần mềm ứng dụng
• 1.24. Lỗi tràn bộ đệm
• 1.25. Lỗi không kiểm tra đầu vào
• 1.26. Các vấn đề với điều khiển truy nhập
• 1.27. Các điểm yếu trong xác thực, trao quyền
• 1.28. Các điểm yếu trong các hệ mật mã
• 1.29. Các lỗ hổng bảo mật khác
• 1.30. Quản lý, khắc phục các lỗ hổng bảo mật và tăng cường khả năng đề kháng cho hệ thống
• 1.31. Nguyên tắc chung
• 1.32. Các biện pháp cụ thể
• 1.33. Một số công cụ rà quét điểm yếu và lỗ hổng bảo mật
• 1.34. Công cụ rà quét lỗ hổng bảo mật hệ thống
• 1.35. Công cụ rà quét lỗ hổng ứng dụng web
• 1.36. CÁC DẠNG TẤN CÔNG VÀ PHẦN MỀM ĐỘC HẠI
• 1.37. Khái niệm về mối đe dọa và tấn công
• 1.38. Các công cụ hỗ trợ tấn công
• 1.39. Công cụ quét cổng dịch vụ
• 1.40. Công cụ nghe lén
• 1.41. Công cụ ghi phím gõ
• 1.42. Các dạng tấn công thường gặp
• 1.43. Tấn công vào mật khẩu
• 1.44. Tấn công bằng mã độc
• 1.45. Tấn công từ chối dịch vụ
• 1.46. Tấn công từ chối dịch vụ phân tán
• 1.47. Tấn công giả mạo địa chỉ
• 1.48. Tấn công nghe lén
• 1.49. Tấn công bằng bom thư và thư rác
• 1.50. Tấn công sử dụng các kỹ thuật xã hội
• 1.51. Tấn công Pharming
• 1.52. Các dạng phần mềm độc hại
• 1.53. Adware và Spyware
• 1.54. ĐẢM BẢO AN TOÀN THÔNG TIN DỰA TRÊN MÃ HÓA
• 1.55. Khái quát về mã hóa thông tin và ứng dụng
• 1.56. Các khái niệm cơ bản
• 1.57. Các thành phần của một hệ mã hóa
• 1.58. Mã hóa dòng và mã hóa khối
• 1.59. Sơ lược lịch sử mật mã
• 1.60. Ứng dụng của mã hóa
• 1.61. Các phương pháp mã hóa
• 1.62. Phương pháp thay thế
• 1.63. Phương pháp XOR
• 1.64. Phương pháp Vernam
• 1.65. Phương pháp sách hoặc khóa chạy
• 1.66. Phương pháp hàm băm
• 1.67. CÁC KỸ THUẬT VÀ CÔNG NGHỆ ĐẢM BẢO AN TOÀN THÔNG TIN
• 1.68. Điều khiển truy nhập
• 1.69. Khái niệm điều khiển truy nhập
• 1.70. Các biện pháp điều khiển truy nhập
• 1.71. Một số công nghệ điều khiển truy nhập
• 1.72. Giới thiệu tường lửa
• 1.73. Các loại tường lửa
• 1.74. Các kỹ thuật kiểm soát truy nhập
• 1.75. Các hạn chế tường lửa
• 1.76. Các hệ thống phát hiện và ngăn chặn xâm nhập
• 1.77. Các kỹ thuật phát hiện xâm nhập
• 1.78. Các công cụ rà quét phần mềm độc hại
• Danh mục tài liệu tham khảo

Tóm tắt

I. Tổng Quan Về Giáo Trình An Toàn Hệ Thống Thông Tin

Giáo trình "An toàn hệ thống thông tin" dành cho trình độ trung cấp là một tài liệu quan trọng trong lĩnh vực công nghệ thông tin. Mục tiêu của giáo trình là cung cấp cho học sinh những kiến thức cơ bản về an toàn thông tin, giúp họ hiểu và áp dụng các biện pháp bảo vệ hệ thống thông tin khỏi các mối đe dọa. Nội dung giáo trình bao gồm các khái niệm về bảo mật mạng, bảo mật dữ liệu và quản lý rủi ro, từ đó giúp học sinh có cái nhìn tổng quan về tầm quan trọng của bảo mật thông tin trong môi trường làm việc thực tế.

1.1. Mục Tiêu Của Giáo Trình An Toàn Hệ Thống Thông Tin

Giáo trình nhằm trang bị cho học sinh kiến thức về các mối đe dọa và tấn công mạng, cũng như các biện pháp bảo vệ thông tin. Học sinh sẽ học cách xác định và đánh giá các lỗ hổng bảo mật, từ đó áp dụng các biện pháp bảo mật phù hợp.

1.2. Nội Dung Chính Của Giáo Trình

Nội dung giáo trình bao gồm các chương như: Giới thiệu chung, Lỗ hổng bảo mật, Các dạng tấn công, Đảm bảo an toàn thông tin dựa trên mã hóa, và Các kỹ thuật bảo mật thông tin. Mỗi chương đều có mục tiêu rõ ràng và bài tập thực hành để củng cố kiến thức.

II. Vấn Đề An Toàn Thông Tin Trong Thực Tế

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng, an toàn thông tin trở thành một thách thức lớn đối với các tổ chức. Các mối đe dọa như virus, tấn công mạng và lừa đảo trực tuyến ngày càng tinh vi hơn. Điều này đòi hỏi các tổ chức phải có những biện pháp bảo vệ hiệu quả để đảm bảo an toàn cho hệ thống thông tin của mình.

2.1. Các Mối Đe Dọa Chính Đối Với An Toàn Thông Tin

Các mối đe dọa chính bao gồm virus máy tính, tấn công từ chối dịch vụ (DoS), và các cuộc tấn công lừa đảo. Những mối đe dọa này có thể gây ra thiệt hại lớn cho tổ chức nếu không được xử lý kịp thời.

2.2. Tác Động Của Các Mối Đe Dọa Đến Doanh Nghiệp

Các cuộc tấn công mạng không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của doanh nghiệp. Việc mất mát dữ liệu quan trọng có thể dẫn đến sự sụp đổ trong lòng tin của khách hàng và đối tác.

III. Phương Pháp Bảo Vệ An Toàn Hệ Thống Thông Tin

Để đảm bảo an toàn thông tin, các tổ chức cần áp dụng nhiều phương pháp khác nhau. Việc xây dựng một chính sách bảo mật thông tin rõ ràng và hiệu quả là rất cần thiết. Các biện pháp bảo vệ bao gồm mã hóa dữ liệu, kiểm soát truy cập và giám sát hệ thống.

3.1. Mã Hóa Dữ Liệu Là Giải Pháp Hiệu Quả

Mã hóa dữ liệu giúp bảo vệ thông tin khỏi việc truy cập trái phép. Các phương pháp mã hóa hiện đại như AES và RSA được sử dụng rộng rãi để bảo vệ dữ liệu nhạy cảm.

3.2. Kiểm Soát Truy Cập Để Ngăn Chặn Rủi Ro

Kiểm soát truy cập là một phần quan trọng trong việc bảo vệ hệ thống thông tin. Các biện pháp như xác thực đa yếu tố và phân quyền truy cập giúp giảm thiểu rủi ro từ các cuộc tấn công.

IV. Ứng Dụng Thực Tiễn Của An Toàn Hệ Thống Thông Tin

Việc áp dụng các biện pháp an toàn thông tin trong thực tế là rất quan trọng. Các tổ chức cần thực hiện các chương trình đào tạo cho nhân viên về nhận thức an toàn thông tin và cách phòng tránh các mối đe dọa. Điều này không chỉ giúp bảo vệ thông tin mà còn nâng cao hiệu quả làm việc.

4.1. Đào Tạo Nhân Viên Về An Toàn Thông Tin

Đào tạo nhân viên về các mối đe dọa và biện pháp bảo vệ là cần thiết. Nhân viên cần hiểu rõ vai trò của mình trong việc bảo vệ thông tin của tổ chức.

4.2. Thực Hiện Các Chính Sách Bảo Mật

Các tổ chức cần xây dựng và thực hiện các chính sách bảo mật thông tin rõ ràng. Điều này bao gồm việc thiết lập quy trình xử lý sự cố và các biện pháp khắc phục khi xảy ra sự cố.

V. Kết Luận Về Giáo Trình An Toàn Hệ Thống Thông Tin

Giáo trình "An toàn hệ thống thông tin" cung cấp nền tảng vững chắc cho học sinh trong việc hiểu và áp dụng các biện pháp bảo vệ thông tin. Với sự phát triển không ngừng của công nghệ, việc nắm vững kiến thức về bảo mật thông tin là rất cần thiết để đối phó với các mối đe dọa hiện tại và tương lai.

5.1. Tầm Quan Trọng Của An Toàn Thông Tin Trong Tương Lai

Trong tương lai, an toàn thông tin sẽ tiếp tục là một lĩnh vực quan trọng. Các tổ chức cần không ngừng cập nhật và cải tiến các biện pháp bảo vệ để đối phó với các mối đe dọa mới.

5.2. Khuyến Khích Nghiên Cứu Và Phát Triển

Khuyến khích nghiên cứu và phát triển trong lĩnh vực an toàn thông tin sẽ giúp tạo ra các giải pháp bảo mật hiệu quả hơn. Điều này không chỉ bảo vệ thông tin mà còn thúc đẩy sự phát triển bền vững của các tổ chức.

Nội dung chính

Tổng quan về giáo trình

Giáo trình An toàn hệ thống thông tin (mã môn học: MH19) được biên soạn bởi tập thể giảng viên Trường Cao đẳng Thương mại và Du lịch (Thành phố Thái Nguyên), ban hành chính thức theo Quyết định số 403/QĐ-CĐKT ngày 05 tháng 07 năm 2022. Môn học có khối lượng 02 tín chỉ với tổng thời lượng 30 giờ (gồm 22 giờ lý thuyết, 07 giờ thực hành và 01 giờ kiểm tra), nằm trong khối Môn học chuyên môn thuộc chương trình đào tạo ngành Thương mại điện tử và đối tượng Trung cấp Công nghệ thông tin (Ứng dụng phần mềm).

Mục tiêu đào tạo của giáo trình hướng tới ba chuẩn đầu ra cơ bản:

• Về kiến thức (A1–A4): Trang bị hiểu biết về các mối đe dọa, phương thức tấn công mạng; quy trình bảo mật mạng và hệ thống; cơ chế nhận diện lỗ hổng; phương pháp đánh giá rủi ro an toàn thông tin và lập kế hoạch ứng phó sự cố xâm nhập.
• Về kỹ năng (B1–B2): Rèn luyện năng lực phân tích hệ thống và mạng nhằm phát hiện điểm yếu; triển khai các biện pháp kỹ thuật như cấu hình hệ thống, thiết lập quy tắc tường lửa (firewall rules), mã hóa dữ liệu và quản trị quyền truy nhập.
• Về năng lực tự chủ và trách nhiệm (C1–C5): Phát triển khả năng quản lý thời gian, trách nhiệm nghề nghiệp, năng lực làm việc độc lập và tự chủ trong xử lý vấn đề an toàn thông tin.

Về cấu trúc và cách tiếp cận, giáo trình được thiết kế thành 5 chương tuần tự. Mỗi chương đều tuân thủ cấu trúc sư phạm chặt chẽ gồm: Mục tiêu chương, Nội dung bài giảng lý thuyết, và Hệ thống bài tập vận dụng/câu hỏi củng cố. Điểm đặc thù của tài liệu là phương pháp tiếp cận cân bằng giữa lý thuyết nền tảng và kỹ thuật thực thi, gắn liền các nội dung an ninh hệ thống với môi trường công nghệ thông tin và các hoạt động kinh tế số.

---

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Cấu trúc nội dung của giáo trình được phân bổ qua 5 chương chuyên đề:

1. Chương 1: Giới thiệu chung (Thời lượng: 02 giờ lý thuyết): Khái quát các định nghĩa về thông tin, sản phẩm nội dung thông tin số theo Nghị định 71/2007/NĐ-CP, hệ thống thông tin và an toàn thông tin. Trình bày chi tiết bốn yêu cầu an toàn cốt lõi: Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity), Tính sẵn dùng (Availability) và Tính chống thoái thác (Non-repudiation). Giới thiệu 7 vùng hạ tầng công nghệ thông tin (Vùng người dùng, Máy trạm, Mạng LAN, LAN-to-WAN, Mạng WAN, Truy nhập từ xa, Hệ thống và ứng dụng) cùng mô hình phòng thủ 7 lớp và mô hình 3 lớp chính (Plant Security, Network Security, System Integrity).
2. Chương 2: Lỗ hổng bảo mật và các điểm yếu hệ thống (Thời lượng: 04 giờ lý thuyết): Phân tích khái niệm điểm yếu (weaknesses) và lỗ hổng (vulnerabilities); thang phân loại mức độ nghiêm trọng gồm 4 cấp độ (Nguy hiểm - Critical, Quan trọng - Important, Trung bình - Moderate, Thấp - Low). Đi sâu vào cơ chế của lỗi tràn bộ đệm (Buffer overflow) với điển cứu sâu SQL Slammer (2003); lỗi không kiểm tra đầu vào (Unvalidated input) và kỹ thuật tấn công SQL Injection trên cơ sở dữ liệu; các khiếm khuyết trong xác thực, trao quyền, hệ mật mã và điều kiện đua tranh (Race conditions). Giới thiệu các công cụ rà quét chuẩn như MBSA, Nessus, Acunetix Web Vulnerability Scanner, IBM AppScan, Beyond Security AVDS và SQLmap.
3. Chương 3: Các dạng tấn công và phần mềm độc hại (Thời lượng: 06 giờ lý thuyết): Khảo sát các công cụ hỗ trợ tấn công (quét cổng dịch vụ, nghe lén, ghi phím gõ); các phương thức tấn công phổ biến gồm tấn công mật khẩu (vét cạn, từ điển), tấn công từ chối dịch vụ (DoS/DDoS), giả mạo địa chỉ (IP Spoofing), nghe lén (Eavesdropping), bom thư/thư rác, tấn công kỹ thuật xã hội (Social Engineering), tấn công Pharming; phân loại các dạng mã độc như Adware, Spyware, Virus, Trojan, Ransomware.
4. Chương 4: Đảm bảo an toàn thông tin dựa trên mã hóa (Thời lượng: 14 giờ, gồm 06 giờ lý thuyết, 07 giờ thực hành, 01 giờ kiểm tra): Cung cấp cơ sở lý thuyết về hệ mật mã, phân biệt mã hóa dòng (Stream cipher) và mã hóa khối (Block cipher); các phương pháp mã hóa cổ điển và hiện đại gồm phương pháp thay thế, phép biến đổi XOR, mật mã Vernam, mật mã sách/khóa chạy (Running key), và các thuật toán hàm băm (Hash functions).
5. Chương 5: Các kỹ thuật và công nghệ đảm bảo an toàn thông tin (Thời lượng: 04 giờ lý thuyết): Trình bày nguyên lý điều khiển truy nhập (Access Control); cấu trúc và phân loại tường lửa (Firewall), kỹ thuật kiểm soát truy nhập và các hạn chế của tường lửa; hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS); các công cụ rà quét phần mềm độc hại.

Trình tự nội dung phát triển từ nhận thức tổng quan về an toàn thông tin và các vùng hạ tầng, chuyển sang phân tích bản chất các điểm yếu/lỗ hổng và hình thức tấn công, sau đó thiết lập các giải pháp bảo vệ kỹ thuật thông qua mã hóa và các công nghệ kiểm soát truy nhập, tường lửa, IDS/IPS.

Kiến thức nền tảng được xây dựng

Giáo trình xây dựng hệ thống tri thức dựa trên các lý thuyết và nguyên tắc an toàn thông tin chuẩn tắc:

• Lý thuyết nền tảng: Mô hình tam giác bảo mật CIA (Bí mật – Toàn vẹn – Sẵn dùng) kết hợp thuộc tính Chống thoái thác; Lý thuyết phân vùng cấu trúc hạ tầng CNTT thành 7 vùng chức năng; Mô hình chu trình quản lý an toàn thông tin lặp lại gồm 4 giai đoạn: Lập kế hoạch (Plan) – Thực thi (Implement) – Giám sát (Monitor) – Kiểm soát (Control).
• Nguyên tắc thiết kế cốt lõi: Nguyên tắc phòng vệ chiều sâu (Defence in Depth) triển khai qua nhiều tầng bảo vệ độc lập; Nguyên tắc cân bằng hệ thống giữa ba yếu tố: An toàn (Security), Tính hữu dụng (Usability) và Chi phí đầu tư (Cost); Nguyên tắc đặc quyền tối thiểu (Least Privilege) trong cấp phát quyền người dùng và tiến trình ứng dụng.
• Khung tiêu chuẩn và quy định: Tích hợp các định nghĩa pháp lý theo Nghị định 71/2007/NĐ-CP; tham chiếu các tiêu chuẩn bảo mật quốc tế như ISO 27001, HIPAA, GDPR; sử dụng hệ thống phân loại lỗ hổng CVE (Common Vulnerabilities and Exposures) và các tiêu chuẩn bảo mật web từ tổ chức OWASP.

Kỹ năng phát triển

Nội dung đào tạo hướng tới việc hình thành ba nhóm kỹ năng chuyên môn:

• Kỹ năng kỹ thuật (Technical skills): Thiết lập cấu hình hệ thống an toàn (System hardening); cài đặt các quy tắc lọc gói tin trên tường lửa; triển khai các cơ chế bảo vệ bộ nhớ như DEP (Data Execution Prevention) và ngẫu nhiên hóa sơ đồ địa chỉ (ASLR); áp dụng kỹ thuật lọc dữ liệu đầu vào chống chèn mã SQL; sử dụng các công cụ chuyên dụng (Nessus, MBSA, Acunetix, SQLmap) để rà quét và phân tích điểm yếu hệ thống và ứng dụng web; thực thi các thuật toán mã hóa cơ bản (XOR, Vernam, băm dữ liệu).
• Kỹ năng phân tích (Analytical skills): Đánh giá mức độ rủi ro và phân loại cấp độ nghiêm trọng của lỗ hổng bảo mật; phân tích log hệ thống và lưu lượng mạng để nhận diện dấu hiệu xâm nhập; nhận diện các điểm yếu trong khâu xác thực, trao quyền và điều kiện đua tranh (Race conditions).
• Kỹ năng thực tiễn (Practical competencies): Xây dựng chính sách an toàn thông tin ở ba cấp độ (vật lý, tổ chức, logic); lập phương án sao lưu dự phòng ngoại vi (offsite backup); xây dựng quy trình ứng phó và khắc phục sự cố sau tấn công mạng.

---

Phương pháp giảng dạy và học tập

Giáo trình quy định cụ thể định hướng sư phạm và phương thức học tập tích cực:

• Phương pháp giảng dạy của người dạy: Áp dụng kết hợp thuyết trình ngắn, phương pháp nêu vấn đề, dạy học theo tình huống (case-based teaching), hướng dẫn đọc tài liệu và phân chia nhóm nhỏ để thảo luận bài tập.
• Phân tích điển cứu (Case studies): Giáo trình sử dụng các sự kiện thực tế có số liệu xác thực để minh họa bài giảng:
  • Phân tích cơ chế phát tán của sâu SQL Slammer (ngày 25/01/2003) khai thác lỗi tràn bộ đệm trên cổng UDP 1434 của dịch vụ Microsoft SQL Server 2000, lây nhiễm 74.855 máy chủ trong 30 phút.
  • Phân tích ví dụ câu lệnh SQL Injection cụ thể: SELECT * FROM tbl_products WHERE product_name like '%iPhone 7';DELETE FROM tbl_products;--%' để minh họa lỗi không kiểm tra đầu vào.
  • Khảo sát số liệu thống kê sự cố an toàn thông tin báo cáo về US-CERT giai đoạn 2006–2014 (tăng từ 5.503 vụ lên hơn 67.000 vụ) và báo cáo thiệt hại do virus máy tính tại Việt Nam của Tập đoàn Bkav năm 2015 (ước tính 8.700 tỷ đồng).
• Tổ chức thực hành (Practical exercises): Dành 07 giờ thực hành trực tiếp tại phòng máy trang bị máy tính và máy chiếu, tập trung vào kỹ thuật mã hóa dữ liệu, quét phát hiện lỗ hổng bằng Acunetix và cấu hình điều khiển truy nhập.
• Phương pháp kiểm tra và đánh giá: Thực hiện theo Thông tư 04/2022/TT-BLĐTBXH của Bộ Lao động – Thương binh và Xã hội và Quyết định số 246/QĐ-CĐTMDL của Nhà trường:
  • Điểm đánh giá quá trình (Trọng số 40%): Gồm điểm kiểm tra thường xuyên (hệ số 1, hỏi miệng/thuyết trình sau 15 giờ) và điểm kiểm tra định kỳ (hệ số 2, viết tự luận/trắc nghiệm sau 20 giờ).
  • Điểm thi kết thúc môn học (Trọng số 60%): Tổ chức sau 30 giờ bằng hình thức thi viết (kết hợp tự luận và trắc nghiệm).
  • Kết quả chấm theo thang điểm 10, quy đổi sang điểm chữ và thang điểm 4 theo quy chế đào tạo tín chỉ.
• Hướng dẫn tự học đối với người học: Nghiên cứu bài giảng trước khi đến lớp; duy trì tỷ lệ tham dự tối thiểu 80% số tiết lý thuyết (vắng trên 20% phải học lại môn học); chủ động tổ chức học nhóm, phân công nhóm trưởng ghi chép và tổng hợp báo cáo chuyên đề.

---

Điểm nổi bật và cập nhật

Nội dung giáo trình phản ánh các dữ liệu thực tế và xu hướng kỹ thuật trong an ninh mạng:

• Hệ thống dữ liệu thống kê chuyên ngành: Tích hợp số liệu dự báo của Forbes về sự gia tăng thiết bị kết nối mạng từ 15 tỷ (năm 2015) lên 28 tỷ thiết bị (năm 2021) do sự phát triển của công nghệ IoT (Internet of Things); trích xuất số liệu từ Cơ sở dữ liệu lỗ hổng quốc gia Hoa Kỳ (NVD) năm 2012 cho thấy phân bố lỗ hổng tập trung chủ yếu ở phần mềm ứng dụng (86%), hệ điều hành (10%) và phần cứng (4%).
• Thống kê lỗ hổng trên các nền tảng phổ biến: Cung cấp bảng dữ liệu chi tiết về lỗ hổng giai đoạn 2011–2012 trên các hệ điều hành (Apple iOS, Microsoft Windows 7/8/XP/Server, Linux Kernel, Oracle Solaris, Cisco IOS XE, VMware ESXi, Citrix Xen) và các ứng dụng trình duyệt, phần mềm văn phòng (Mozilla Firefox, Google Chrome, Apple Safari, Adobe Flash Player, Oracle Java).
• Gắn kết với môi trường ứng dụng thực tế: Phân tích các mối đe dọa trực tiếp đến hệ thống giao dịch số, máy chủ cơ sở dữ liệu và ứng dụng thương mại điện tử. Giới thiệu các giải pháp công nghệ tiêu chuẩn đang được doanh nghiệp sử dụng để đánh giá an ninh hệ thống như bộ công cụ Nessus, Acunetix, IBM AppScan và SQLmap.

---

Đối tượng sử dụng giáo trình

Giáo trình An toàn hệ thống thông tin phục vụ các nhóm đối tượng cụ thể trong cơ sở giáo dục nghề nghiệp:

• Người học: Học sinh, sinh viên trình độ Trung cấp thuộc ngành Thương mại điện tử hoặc chuyên ngành Công nghệ thông tin (Ứng dụng phần mềm).
• Yêu cầu kiến thức tiên quyết (Prerequisites): Người học cần hoàn thành các môn học nền tảng trong khung chương trình gồm: Tin học (MH05), Thương mại điện tử căn bản (MH08), Mạng máy tính (MH10) và Quản trị cơ sở dữ liệu (MH12).
• Giảng viên chuyên ngành: Sử dụng tài liệu làm khung bài giảng chuẩn 30 giờ, định hướng xây dựng đề cương chi tiết, thiết kế phiếu bài tập tình huống, kịch bản thực hành và ngân hàng câu hỏi kiểm tra đánh giá định kỳ.
• Tham khảo và tự học: Tài liệu cung cấp cấu trúc kiến thức cơ bản cho kỹ thuật viên quản trị mạng sơ cấp, nhân sự phụ trách vận hành hệ thống thương mại điện tử tại doanh nghiệp nhỏ và vừa, hoặc người học cần củng cố kiến thức nền tảng về an toàn thông tin.

---

Câu hỏi thường gặp

1. Giáo trình này phù hợp với đối tượng đào tạo nào?
Tài liệu được thiết kế riêng cho người học trình độ Trung cấp ngành Thương mại điện tử và Trung cấp Công nghệ thông tin (Ứng dụng phần mềm), theo khung chương trình đào tạo của Trường Cao đẳng Thương mại và Du lịch.

2. Người học cần chuẩn bị kiến thức nền tảng nào trước khi tiếp cận môn học?
Người học cần nắm vững kiến thức cơ bản về tin học đại cương, kiến trúc mạng máy tính căn bản (giao thức mạng, địa chỉ IP, mô hình kết nối), các khái niệm về thương mại điện tử và kỹ thuật truy vấn cơ sở dữ liệu (ngôn ngữ SQL).

3. Giáo trình có cấu trúc điểm gì khác biệt so với các tài liệu lý thuyết thuần túy?
Giáo trình tích hợp thời lượng thực hành (07 giờ) trực tiếp trên phần mềm rà quét và thuật toán mã hóa; nội dung lý thuyết đi kèm các ca điển cứu (case studies) có dữ liệu định lượng (sâu SQL Slammer, dữ liệu NVD, US-CERT) và mã lệnh mô phỏng cụ thể.

4. Phương pháp tự học giáo trình đạt hiệu quả theo yêu cầu của chương trình?
Người học cần đọc trước nội dung từng chương, hoàn thành 10 câu hỏi ôn tập ở cuối mỗi chương, thực hành lại các thao tác rà quét lỗ hổng theo hướng dẫn, và tổ chức thảo luận nhóm theo các chủ đề về chính sách an toàn thông tin.

5. Giáo trình có danh mục tài liệu tham khảo bổ trợ nào?
Tài liệu được biên soạn dựa trên các nguồn tham khảo chính:

• Bài giảng An toàn hệ thống thông tin – Bộ môn CNTT, Trường Cao đẳng Thương mại và Du lịch.
• Giáo trình An toàn hệ thống thông tin – Đại học Bách khoa Hà Nội.
• Giáo trình An toàn bảo mật hệ thống thông tin – Cao đẳng Kinh tế kỹ thuật TP. Hồ Chí Minh.
• Giáo trình An toàn bảo mật dữ liệu – Trường Đại học Công nghệ thông tin và Truyền thông (Đại học Thái Nguyên).
• Các giáo trình chuyên khảo quốc tế: Principles of Information Security, Fundamentals of Information Systems Security.
• Cơ sở dữ liệu trực tuyến từ CVE, NVD và tổ chức OWASP.

---

Kết luận

Giáo trình An toàn hệ thống thông tin cung cấp hệ thống kiến thức nền tảng về an ninh thông tin, bao quát từ khái niệm tam giác CIA, mô hình phân vùng 7 lớp hạ tầng, đến cơ chế nhận diện lỗ hổng phần mềm, kỹ thuật mã hóa và công nghệ tường lửa, IDS/IPS.

Lộ trình học tập khuyến nghị cho người học là tiếp thu tuần tự từ nhận thức lý thuyết tổng quan (Chương 1), nhận diện điểm yếu và phương thức tấn công (Chương 2, Chương 3), trước khi triển khai các biện pháp bảo vệ kỹ thuật bằng mật mã và thiết bị chuyên dụng (Chương 4, Chương 5).

Sau khi hoàn thành môn học này, người học có thể tiếp tục phát triển năng lực chuyên môn thông qua các môn học thực hành tiếp nối trong chương trình đào tạo như Thực hành mạng và quản trị mạng (MH20) và Rủi ro trong thương mại điện tử (MH26).

Trích đoạn nội dung tài liệu

CHƯƠNG 1 1. Khái quát về an toàn thông tin 1. Thông tin * Thông tin là gì? Có rất nhiều khái niệm thông tin nhưng khái niệm thông tin là gì chính xác nhất đó là: Thông tin là những gì con người thu nhận được từ thế giới xung quanh như sự vật, sự kiện,…Thông tin đem lại nhiều kiến thức, sự hiểu biết cho con người. Theo wikipedia, 13 định nghĩa thông tin là giải quyết sự không chắc chắn; đó là câu trả lời cho câu hỏi “thực thể là gì”.

Do đó, xác định được cả bản chất của các đặc tính đó. Thông tin được liên kết với các dữ liệu vì dữ liệu đại diện cho các giá trị sẽ được quy cho các tham số. Về mặt truyền thông, thông tin được thể hiện dưới dạng nội dung của tin nhắn hoặc thông qua sự quan sát trực tiếp, gián tiếp. Thông tin cũng có thể được mã hóa thành nhiều dạng khác nhau để truyền và giải thích.

Tựu chung, khái niệm về thông tin là sự phản ánh sự vật, sự việc, hiện tượng của thế giới khách quan, các hoạt động của con người trong đời sống xã hội. Điều cơ bản là con người sẽ tiếp nhận thông tin để làm tăng hiểu biết cho mình và tiến hành những hoạt động có ích cho cộng đồng. * Thông tin số là gì? Thông tin số được định nghĩa tại Khoản 11 Điều 3 Nghị định 71/2007/NĐ-CP Hướng dẫn Luật công nghệ thông tin về công nghiệp công nghệ thông tin đó là: Sản phẩm nội dung thông tin số bao gồm các văn bản, dữ liệu, hình ảnh, âm thanh được thể hiện dưới dạng thông tin số, được lưu giữ, truyền đưa trên môi trường mạng. (Bài giảng điện tử được thực hiện dưới dạng thông tin số) Theo quy định pháp luật hiện hành thì sản phẩm nội dung thông tin số hiện nay bao gồm các loại sản phẩm sau: a) Giáo trình, bài giảng, tài liệu học tập dưới dạng điện tử; b) Sách, báo, tài liệu dưới dạng số; 14 c) Các loại trò chơi điện tử bao gồm trò chơi trên máy tính đơn, trò chơi trực tuyến, trò chơi trên điện thoại di động; trò chơi tương tác qua truyền hình; d) Sản phẩm giải trí trên mạng viễn thông di động và cố định; đ) Thư viện số, kho dữ liệu số, từ điển điện tử; e) Phim số, ảnh số, nhạc số, quảng cáo số; g) Các sản phẩm nội dung thông tin số khác.

Hiểu một cách đơn giản, thông tin số là thông tin được tạo lập bằng phương pháp dùng tín hiệu số. * Khái niệm tổ chức thông tin trong máy tính là gì? Chức năng chính của máy tính hiện nay là xử lý thông tin. Trong quá trình xử lý, máy tính cần tìm đến, đọc và ghi các thông tin trên thiết bị lưu trữ. Nếu tổ chức thông minh một cách hợp lý thì việc truy cập đến sẽ rất nhanh chóng nhất là khi khối lượng thông tin lớn.

Để thực hiện được, hệ điều hành tổ chức thông tin cần phải theo cấu trúc hình cây gồm các tệp và thư mục. An toàn thông tin An toàn thông tin (Information security) là việc bảo vệ chống truy nhập, sử dụng, tiết lộ, sửa đổi, hoặc phá hủy thông tin một cách trái phép, theo trang Wikipedia (https://en.org/wiki/Information_security). Theo cuốn Principles of Information Security [1], An toàn thông tin là việc bảo vệ các thuộc tính bí mật (confidentiality), tính toàn vẹn (integrity) và tính sẵn dùng (availability) của các tài sản thông tin trong quá trình chúng được lưu trữ, xử lý, hoặc truyền tải. An toàn công nghệ thông tin, hay còn gọi là An toàn máy tính (Computer security) là việc đảm bảo an toàn cho các hệ thống công nghệ thông tin, bao gồm các hệ thống máy tính và mạng, chống lại các cuộc tấn công phá hoại.