THÔNG TIN TỔNG QUAN VÀ MÔ TẢ HỌC THUẬT GIÁO TRÌNH AN TOÀN MẠNG VÀ BẢO MẬT DỮ LIỆU

Tổng quan về giáo trình

  • Môn học và vị trí trong chương trình đào tạo: Giáo trình An toàn mạng và bảo mật dữ liệu (Mã mô đun: MĐ20) là tài liệu đào tạo chuyên ngành thuộc chương trình đào tạo nghề Quản trị mạng máy tính, trình độ Trung cấp. Tài liệu do tập thể giáo viên Khoa Công nghệ thông tin – Trường Trung cấp nghề Quang Trung (TP. Hồ Chí Minh) biên soạn theo Quyết định ban hành số 342/QĐ-QT ngày 28 tháng 10 năm 2021, với vị trí chủ biên do thầy Trần Bảo Xuyên đảm nhiệm và thẩm định chuyên môn bởi ThS. Phạm Đắc Hậu. Mô đun đóng vai trò cốt lõi trong khối kiến thức chuyên môn bắt buộc, cung cấp các nguyên lý và kỹ năng kỹ thuật để bảo vệ hạ tầng mạng và dữ liệu số.
  • Mục tiêu học tập (Learning Outcomes): Sau khi hoàn thành mô đun, người học có khả năng:
    • Xác định các thành phần của hệ thống bảo mật, nhận diện các đối tượng và hình thức tấn công mạng.
    • Phân tích cấu trúc các loại gói tin (IP, UDP, TCP) và thiết kế hệ thống luật bảo mật với cơ chế lọc gói.
    • Cấu hình chính sách bảo mật IPSec (IP Security) ở các chế độ Transport mode và Tunnel mode.
    • Triển khai hạ tầng xác thực, chứng thực số (Certification Authority - CA), thiết lập SSL cho máy chủ Web và mã hóa thư điện tử (Email Security).
    • Trình bày nguyên lý các thuật toán mật mã cổ điển, mật mã đối xứng, bất đối xứng, hàm băm và hệ thống mã hóa lai.
    • Thực hiện các biện pháp phòng chống mã độc và virus máy tính.
  • Cấu trúc và cách tiếp cận: Giáo trình được tổ chức thành 5 bài học tích hợp, kết hợp đồng bộ giữa lý thuyết giao thức mạng, toán học mật mã và các bài thực hành định hướng cấu hình (Step-by-step Lab) trên hệ điều hành Windows Server, máy chủ dịch vụ và thiết bị mạng chuyên dụng.
  • Điểm đặc sắc của giáo trình: Tài liệu thiết kế hệ thống bài tập thực nghiệm giả lập các tình huống tấn công và phòng thủ thực tế (như kiểm chứng tính toàn vẹn của tệp tin thư điện tử qua việc sửa đổi trực tiếp file .msg trên máy chủ, bắt gói tin qua Network Monitor Tool), gắn liền các khái niệm trừu tượng với các bước triển khai trực quan trên phần mềm quản trị.

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Giáo trình gồm 5 bài học chính với tiến trình logic từ tổng quan an toàn mạng, an ninh tầng mạng/ứng dụng, lý thuyết mật mã, quản lý chứng chỉ số cho đến phòng chống mã độc:

[Bài 1: Tổng quan bảo mật] ➔ [Bài 2: An ninh mạng & IPSec/Firewall] ➔ [Bài 3: Mật mã & Dữ liệu] ➔ [Bài 4: Chứng nhận & Quản lý khóa] ➔ [Bài 5: Phòng chống Virus]
  • Bài 1 - Tổng quan về bảo mật và an toàn mạng (Mã bài: MĐ20 - 01):
    • Nội dung cốt lõi: Khái niệm đối tượng tấn công mạng (Intruder) gồm Hacker, Masquerader (kẻ giả mạo định danh, IP, tên miền), Eavesdropping (nghe trộm thông tin bằng sniffer); phân tích các nguyên nhân và mức độ ảnh hưởng của lỗ hổng bảo mật.
    • Mô hình phân cấp: Phân loại 6 mức độ tấn công từ Mức 1 (tấn công dịch vụ Web/Mail, DoS, spam) đến Mức 2 (sử dụng tài khoản hợp pháp, đọc file /etc/passwd), Mức 3–5 (nâng quyền kích hoạt dịch vụ) và Mức 6 (chiếm quyền điều khiển tối cao root).
    • Kiến trúc phòng thủ: Mô hình 5 lớp rào chắn bảo vệ (quyền truy nhập tệp tin, tài khoản/mật khẩu, mã hóa dữ liệu, bảo vệ vật lý, bức tường lửa).
    • 6 thuộc tính an toàn thông tin: Authentication (xác thực), Authorization (phân quyền qua ACL và Policy), Confidentiality (tính bí mật theo kiến trúc end-to-end hoặc link-by-link), Integrity (tính toàn vẹn), Non-repudiation (tính không thể chối bỏ), Availability (tính sẵn sàng).
  • Bài 2 – An ninh mạng (Mã bài: MĐ20 - 02):
    • Cấu trúc gói tin: Giải phẫu chi tiết IP Header (các trường Version, Header Length, Type of Service với các bit D/T/R/M/Z, Total Length, Identification, cờ DF/MF, Fragment Offset, TTL, Protocol ID 6/17, Header Checksum, IP nguồn/đích, Options), UDP Header và TCP Header (Sequence number, Acknowledgment number, 6 bit cờ URG/ACK/PSH/RST/SYN/FIN, Window, CRC Checksum với pseudo-header, Urgent pointer).
    • Lọc gói IP & Thiết bị: Cơ chế lọc gói dựa trên tiêu đề; cấu hình bộ lọc IP Filter Lists và Filter Actions (Permit, Block, Negotiate Security) trong Local Security Policy; cấu hình tính năng tường lửa phần cứng trên modem DrayTek 2800 (IM blocking, P2P blocking cho eMule, DoS defense, URL/Web filter).
    • Kiến trúc IPSec: Bộ giao thức tiêu chuẩn IETF; phân tích thành phần ESP (Encapsulating Security Payload), AH (Authentication Header), IKE (Internet Key Exchange), ISAKMP và Security Association (SA); quy trình vận hành IPSec qua 5 bước (kiểm tra gói tin, IKE Phase 1 Main/Aggressive mode, IKE Phase 2 thỏa thuận khóa, tạo đường hầm truyền dữ liệu mã hóa, giải phóng SA khi hết phiên); phân biệt chi tiết giữa IPSec (tầng Mạng, OS level, cấu hình phức tạp) và SSL (giữa tầng Giao vận và Ứng dụng, phục vụ giao dịch Web).
    • Tường lửa (Firewall): Khái niệm theo William Cheswick và Steven Bellovin; khả năng ngăn chặn truy cập bất hợp pháp và các giới hạn (không chống được tấn công dial-up, data-driven attack như bom thư, virus); kiến trúc Dual-homed host.
    • Thực hành chuyên sâu: Triển khai ISA Server 2006 (cấu hình Rule "Truong Phong" giới hạn Content Type cấm đọc Text nhưng cho phép Audio/Video; Rule "Nhan Vien" giới hạn khung giờ 12h-2h, chặn HTTP Signature chat Yahoo, chặn download *.wmv, chặn website ngoisao.net, buonchuyen.com). Cấu hình đường hầm IPSec với Preshare Key "123" trên Windows Server kết hợp Network Monitor kiểm chứng gói ESP; cài đặt Enterprise/Stand-alone Root CA cấp chứng chỉ số cho máy chủ IIS (HTTPS port 443) và ký số/mã hóa thư điện tử trên MDaemon Mail Server và Outlook Express.
  • Bài 3 – Mật mã và bảo mật dữ liệu (Mã bài: MĐ20 - 03):
    • Cơ bản về mật mã: Khái niệm Plaintext (P), Ciphertext (C), Key (K), Keyspace, Cryptosystem; các công thức chuyển đổi $E_K(P) = C$ và $D_K(C) = P$; hạn chế của thuật toán phụ thuộc tính bí mật (Restricted Algorithm) so với hệ thống mật mã hiện đại dựa trên khóa.
    • Hệ thống mã hóa cổ điển: Mã hóa thay thế (Substitution Cipher như Caesar dịch chuyển 3 ký tự) và mã hóa hoán vị (Transposition Cipher).
    • Mã hóa đối xứng (Symmetric Cryptography): Phân loại Block Cipher (khối 64-bit) và Stream Cipher (mã hóa dòng từng bit); nguyên lý các thuật toán DES (khóa 64-bit gồm 56-bit khóa và 8-bit kiểm tra chẵn lẻ), Triple DES ($C = E_{K3}(D_{K2}(E_{K1}(P)))$), AES (độ dài khóa từ 128-bit đến 256-bit), RC4.
    • Mã hóa bất đối xứng (Asymmetric Cryptography): Nguyên lý cặp khóa Public Key/Private Key (thuật toán RSA, Diffie-Hellman); giải quyết bài toán phân phối khóa của mã hóa đối xứng.
    • Hệ thống mã hóa lai (Hybrid Cryptosystems): Cơ chế kết hợp tốc độ của mã hóa đối xứng và tính an toàn phân phối khóa của mã hóa công khai thông qua khóa phiên (Session Key).
  • Bài 4 – Chứng nhận và quản lý khóa (Mã bài: MĐ20 - 04):
    • Hạ tầng chữ ký số & CA: Khái niệm chữ ký điện tử, chữ ký số dựa trên mật mã bất đối xứng, chứng thư điện tử; vai trò và cấu trúc của tổ chức chứng nhận thẩm quyền (Certification Authorities - CA).
    • Quản lý vòng đời khóa: Phân bổ, sao lưu, phục hồi khóa qua định dạng tệp tin PKCS#12 (.pfx), thu hồi khóa hỏng; phân biệt cơ chế lưu trữ, truy xuất giữa Cơ sở dữ liệu khóa (Key Database) và Thư mục (Directories); thiết lập Password Policy trên Domain Controller.
  • Bài 5 – Virus và cách phòng chống:
    • Tổng quan mã độc: Khái niệm virus máy tính, cơ chế lây lan, phân loại virus và các biện pháp kỹ thuật ngăn chặn sự xâm nhập mã độc trong hệ thống mạng doanh nghiệp.

Kiến thức nền tảng được xây dựng

  • Lý thuyết mạng và giao thức truyền thông: Cơ chế đóng gói dữ liệu của chồng giao thức TCP/IP; chi tiết cấu trúc trường dữ liệu tầng Internet và Giao vận; các phương pháp kiểm soát lỗi dữ liệu (CRC Checksum).
  • Nguyên lý mật mã học: Cơ chế toán học của các phép thế, hoán vị; nguyên tắc quản lý không gian khóa (Keyspace); giải thuật mật mã đối xứng khối (Block Cipher), mật mã dòng (Stream Cipher) và mật mã khóa công khai.
  • Khung kiến trúc kiểm soát an toàn: Mô hình kiểm soát truy cập (Access Control List - ACL), hạ tầng khóa công khai (PKI), kiến trúc liên kết bảo mật (Security Association - SA) trong đường hầm IPSec.

Kỹ năng phát triển

  • Kỹ năng kỹ thuật (Technical Skills):
    • Cấu hình chính sách bảo mật mạng IP Security Policies thông qua Microsoft Management Console (MMC).
    • Cài đặt, quản trị dịch vụ chứng thực Active Directory Certificate Services (Enterprise Root CA và Stand-alone Root CA).
    • Thiết lập chính sách bảo mật nội dung, phân quyền truy cập, kiểm soát dịch vụ mạng trên Microsoft ISA Server 2006.
    • Vận hành hệ thống máy chủ thư điện tử MDaemon Server kết hợp ứng dụng client (Outlook Express) có xác thực chữ ký số và mã hóa thông điệp.
    • Sử dụng công cụ Microsoft Network Monitor Tool để bắt, phân tích và giải mã các gói tin mạng (ICMP, ESP).
  • Kỹ năng phân tích (Analytical Skills):
    • Phân tích cấu trúc chi tiết các trường trong IP Header (TTL, cờ phân mảnh DF/MF, Type of Service) để phát hiện bất thường đường truyền.
    • Đánh giá rủi ro an ninh mạng dựa trên 6 cấp độ tấn công.
    • So sánh, lựa chọn giao thức bảo mật phù hợp (IPSec so với SSL) tùy theo mô hình ứng dụng mạng (VPN mạng riêng ảo hoặc giao dịch thương mại điện tử).
  • Năng lực thực hành nghề nghiệp (Practical Competencies):
    • Xuất (Export) và nhập (Import) chứng thư số cá nhân định dạng .pfx kèm khóa bí mật (Private Key) để phục hồi khả năng đọc dữ liệu đã mã hóa khi xảy ra sự cố người dùng.
    • Thiết lập luật kiểm soát lưu lượng trên thiết bị định tuyến phần cứng (Modem DrayTek 2800).
    • Xây dựng hệ thống phòng thủ nhiều lớp cho mạng máy tính cục bộ (LAN) và máy chủ dịch vụ doanh nghiệp.

Phương pháp giảng dạy và học tập

  • Phương pháp tiếp cận sư phạm (Pedagogical Approach): Giáo trình áp dụng phương pháp đào tạo tích hợp (kết hợp lý thuyết chuyên ngành với bài tập thực hành theo định hướng năng lực). Mỗi bài học đi từ việc làm rõ bản chất lý thuyết (như nguyên lý hoạt động của giao thức, định dạng gói tin) đến việc cung cấp quy trình cấu hình cụ thể từng bước trên phần mềm và hệ điều hành máy chủ.
  • Hệ thống bài tập thực hành và tình huống giả định (Case Studies & Labs):
    • Tình huống quản trị chính sách người dùng trên ISA Server 2006: Thiết lập luật phân quyền chi tiết cho nhóm "Truongphong" (cho phép duyệt Web qua FTP, HTTP, HTTPS nhưng cấm hiển thị văn bản/đọc báo qua bộ lọc Content Type, chỉ cho phép tải nội dung Audio, Video, Image) và nhóm "Nhanvien" (chỉ cho phép truy cập mạng trong khung giờ nghỉ từ 12h đến 14h, cấm giao thức chat Yahoo qua tính năng HTTP Signature, cấm tải tệp tin định dạng *.wmv, cấm truy cập các tên miền http://ngoisao.net/, http://buonchuyen.com/).
    • Kịch bản kiểm chứng tính toàn vẹn email: Người học thực hiện gửi email giữa người dùng U1 và U2 qua Mail Server MDaemon; đóng vai trò Administrator truy cập trực tiếp đường dẫn lưu trữ C:\Mdaemon\users\domX.com\U2 để sửa đổi nội dung tệp tin md5xxxxxxxxxxxxxx.msg; qua đó quan sát phản ứng của phần mềm thư điện tử ở hai trường hợp: thư gửi không mã hóa (người nhận không phát hiện bị sửa đổi) và thư có ký số (hệ thống lập tức cảnh báo nội dung đã bị can thiệp).
    • Kịch bản giả lập thất lạc khóa bí mật: Xóa toàn bộ User Profile của tài khoản để chứng minh mất khóa riêng sẽ không thể đọc được các email đã mã hóa trước đó, sau đó tiến hành phục hồi thông qua thao tác Import khóa từ tệp lưu trữ cuti.pfx.
  • Phương pháp kiểm tra, đánh giá (Assessment Methods):
    • Đánh giá qua kết quả kiểm thử hệ thống: Người học sử dụng lệnh ping -t kết hợp công cụ bắt gói Microsoft Network Monitor Tool để chứng minh dữ liệu ping từ dạng rõ (ICMP data: abc...) chuyển đổi thành dữ liệu mã hóa (giao thức ESP) sau khi áp dụng chính sách IPSec (gpupdate /force).
    • Đánh giá khả năng triển khai dịch vụ: Kiểm tra trạng thái cấp phát chứng chỉ trong bảng điều khiển Certification Authority (certsrv), kiểm tra khả năng truy cập website mặc định qua cổng an toàn HTTPS (Port 443).
  • Hướng dẫn tự học (Self-study Guidelines): Học viên cần chuẩn bị môi trường ảo hóa với mô hình mạng tối thiểu 3 máy trạm/máy chủ (như sơ đồ mô phỏng PC01, PC02, PC03 trong Bài 2), thực hiện tuần tự các bước cấu hình MMC, dịch vụ chứng chỉ và ghi nhận nhật ký kết quả sau mỗi phiên thực nghiệm.

Điểm nổi bật và cập nhật

  • Tính chuẩn hóa văn bản đào tạo: Giáo trình được biên soạn và chuẩn hóa theo chương trình khung của Trường Trung cấp nghề Quang Trung, ban hành chính thức theo Quyết định số 342/QĐ-QT năm 2021, đảm bảo tính thống nhất trong công tác giảng dạy chuyên ngành CNTT tại nhà trường.
  • Tích hợp đầy đủ các tiêu chuẩn an ninh mạng quốc tế: Tài liệu hệ thống hóa các giao thức bảo mật tiêu chuẩn do IETF quy định như bộ giao thức IPSec (gồm các chuẩn ESP, AH, IKE, ISAKMP), các giải thuật mật mã đối xứng tiêu chuẩn của Viện Tiêu chuẩn và Kỹ thuật Quốc gia Hoa Kỳ (DES, 3DES, AES với độ dài khóa từ 128 đến 256-bit), mật mã bất đối xứng (RSA, Diffie-Hellman), và các hàm băm phổ biến (MD5, SHA).
  • Tính thực tiễn qua các ứng dụng chuyên dụng: Giáo trình không dừng lại ở mức mô tả lý thuyết chung mà hướng dẫn cấu hình chi tiết trên các nền tảng phần mềm và thiết bị mạng phổ biến trong quản trị hệ thống, bao gồm:
    • Hệ điều hành mạng Microsoft Windows Server (Active Directory, MMC Snap-in IP Security Policy Management, Certificate Services).
    • Máy chủ tường lửa doanh nghiệp Microsoft ISA Server 2006.
    • Thiết bị định tuyến phần cứng Modem DrayTek 2800.
    • Hệ thống Mail Server chuyên dụng MDaemon 6 và trình duyệt/mail client hỗ trợ SSL/TLS (Internet Explorer, Outlook Express).
    • Công cụ phân tích lưu lượng mạng chuyên dụng Microsoft Network Monitor Tool.
  • Trực quan hóa cấu trúc dữ liệu: Hệ thống tài liệu đi kèm phụ lục gồm hơn 40 hình ảnh chụp màn hình giao diện cấu hình thực tế và các sơ đồ cấu trúc chi tiết (như sơ đồ cấu trúc trường gói tin IP, UDP, TCP; sơ đồ quy trình 5 bước của IPSec; sơ đồ mã hóa đối xứng, bất đối xứng và mô hình kiến trúc Dual-homed host của Cheswick & Bellovin).

Đối tượng sử dụng giáo trình

  • Sinh viên / Học viên: Học sinh, sinh viên theo học hệ Trung cấp nghề hoặc Cao đẳng nghề ngành Quản trị mạng máy tính, Công nghệ thông tin có nhu cầu hoàn thành mô đun An toàn mạng và bảo mật dữ liệu.
  • Yêu cầu kiến thức tiên quyết (Prerequisites):
    • Đã hoàn thành các mô đun cơ sở về Mạng máy tính căn bản và Kiến trúc máy tính.
    • Nắm vững mô hình tham chiếu OSI và bộ giao thức TCP/IP (đặc biệt là địa chỉ IP, cổng port, cơ chế định tuyến cơ bản).
    • Có kỹ năng quản trị hệ điều hành Windows Server (cài đặt hệ điều hành, quản trị người dùng và nhóm trong Active Directory, quản lý dịch vụ DNS).
  • Giảng viên chuyên ngành: Sử dụng làm giáo trình giảng dạy chính thức, xây dựng giáo án lý thuyết, tổ chức các bài lab thực hành trên phòng máy mạng và làm căn cứ đánh giá kết quả học tập của người học.
  • Kỹ thuật viên quản trị mạng và người tự học: Dùng làm tài liệu tham khảo kỹ thuật khi triển khai các chính sách bảo mật nội bộ, cấu hình máy chủ chứng thực số, thiết lập tường lửa và mã hóa dữ liệu truyền thông trong các doanh nghiệp quy mô vừa và nhỏ.

Câu hỏi thường gặp (FAQ)

1. Giáo trình này phù hợp với đối tượng học tập nào?

Giáo trình được biên soạn chuyên biệt cho học viên trình độ Trung cấp chuyên ngành Quản trị mạng máy tính thuộc Khoa Công nghệ thông tin, đồng thời phù hợp làm tài liệu thực hành cho sinh viên các trường đào tạo nghề kỹ thuật và kỹ thuật viên quản trị hệ thống mới vào nghề.

2. Cần chuẩn bị kiến thức nền tảng nào trước khi học mô đun này?

Người học cần nắm vững kiến thức về mạng máy tính cơ bản, mô hình TCP/IP, phương thức gán địa chỉ IP/Subnet mask, cách thức hoạt động của các dịch vụ mạng (DNS, Web, Mail) và kỹ năng quản trị tài khoản người dùng trên môi trường Microsoft Windows Server.

3. Điểm khác biệt của giáo trình này so với các tài liệu lý thuyết an toàn thông tin thuần túy là gì?

Tài liệu tập trung sâu vào kỹ năng thực nghiệm với các kịch bản Lab từng bước (Step-by-step) trên các phần mềm và thiết bị cụ thể (như modem DrayTek 2800, ISA Server 2006, Windows Server CA, Mail Server MDaemon, Network Monitor Tool) thay vì chỉ trình bày thuật toán trên phương diện lý thuyết trừu tượng.

4. Làm thế nào để tự học và thực hành hiệu quả theo giáo trình?

Người học nên xây dựng một mô hình phòng lab ảo hóa (sử dụng VMware hoặc VirtualBox) gồm 3 máy tính (như mô hình PC01, PC02, PC03 trong Bài 2). Tiến hành cấu hình tuần tự các bài lab từ cơ bản (lọc gói IP, cấu hình IPSec bằng Preshared Key) đến nâng cao (triển khai Root CA, ký số email), sau đó dùng công cụ bắt gói tin Network Monitor để đối chiếu và kiểm chứng kết quả mã hóa.

5. Giáo trình có cung cấp các tài liệu bổ trợ hoặc minh chứng trực quan không?

Giáo trình tích hợp hệ thống phụ lục hình ảnh minh họa chi tiết từ Hình 1-1 đến Hình 4-19, thể hiện rõ các bước thao tác trên màn hình cấu hình MMC, các tùy chọn trong hộp thoại ISA Management, IIS Manager và bảng theo dõi log của công cụ Network Monitor.

Kết luận

  • Giá trị cốt lõi: Giáo trình An toàn mạng và bảo mật dữ liệu (MĐ20) của Trường Trung cấp nghề Quang Trung cung cấp một tài liệu đào tạo có tính ứng dụng kỹ thuật cao, chuẩn hóa kiến thức bảo mật mạng từ mức độ gói tin, chính sách truy cập đến các thuật toán mã hóa dữ liệu hiện đại và hạ tầng chứng thực số.
  • Lộ trình học tập khuyến nghị:
    1. Nghiên cứu nguyên lý: Nắm vững 6 thuộc tính bảo mật và mô hình phòng thủ 5 lớp tại Bài 1.
    2. Phân tích giao thức & thực hành mạng: Nghiên cứu cấu trúc gói IP/TCP/UDP, triển khai IPSec và Tường lửa ISA Server 2006 tại Bài 2.
    3. Nắm vững mật mã học: Hiểu rõ cơ chế mã hóa đối xứng (DES, 3DES, AES), mã hóa bất đối xứng (RSA) và mã hóa lai tại Bài 3.
    4. Ứng dụng chứng thực số: Xây dựng hệ thống Enterprise/Stand-alone Root CA và quản lý vòng đời chứng chỉ số tại Bài 4.
    5. Bảo vệ hệ thống: Nhận diện và ngăn chặn mã độc tại Bài 5.
  • Tài nguyên bổ trợ: Khuyến nghị người học kết hợp tài liệu với hệ thống phòng máy ảo hóa mạng, phần mềm bắt gói tin Microsoft Network Monitor, hệ thống Mail Server MDaemon 6 và các tài liệu chuẩn hóa RFC về giao thức IPSec từ IETF.