TỔNG QUAN VÀ NỘI DUNG GIÁO TRÌNH AN TOÀN VÀ BẢO MẬT THÔNG TIN (MĐ 13)

Tổng quan về giáo trình

Giáo trình An toàn và bảo mật thông tin (Mã mô đun: MĐ 13) được biên soạn theo chương trình đào tạo ban hành năm 2021 của Trường Cao đẳng nghề Cần Thơ, dành cho nghề Ứng dụng phần mềm hệ Cao đẳng. Tài liệu do ông Nguyễn Hoàng Vũ đảm nhiệm vai trò chủ biên.

Về vị trí trong chương trình đào tạo, đây là mô đun chuyên môn nghề bắt buộc và mang tính chất cơ sở ngành. Môn học được bố trí giảng dạy ở giai đoạn đầu khóa học, tạo nền tảng kiến thức và kỹ thuật an ninh mạng trước khi sinh viên tiếp cận các môn học chuyên sâu như: Quản trị mạng, Quản trị cơ sở dữ liệu, Thiết kế Web với ASP.NET, Lập trình Python, và Xây dựng phần mềm quản lý dữ liệu (Bán hàng / Nhân sự / Khách sạn).

Khung thời lượng đào tạo của mô đun là 45 giờ, bao gồm: 15 giờ lý thuyết, 28 giờ thực hành/thảo luận/bài tập, và 2 giờ kiểm tra đánh giá định kỳ.

Mục tiêu học tập (Learning Outcomes) của giáo trình được xác định cụ thể theo ba nhóm năng lực:

  • Kiến thức: Trình bày được các khái niệm cơ bản về an toàn thông tin và mật mã học; mô tả quy trình thực thi an toàn thông tin trong hệ thống; phân biệt các giải pháp chứng thực điện tử; trình bày cấu hình hệ thống bảo vệ dữ liệu chống tấn công; giải thích thiết kế hạ tầng cơ sở an toàn thông tin và mô hình mã hóa khóa công khai.
  • Kỹ năng: Cấu hình hệ thống đảm bảo an toàn dữ liệu; thiết kế hạ tầng cơ sở kỹ thuật; triển khai mô hình bảo mật và toàn vẹn dữ liệu dựa trên hạ tầng khóa công khai; thực hiện quản trị, phân quyền người dùng và khôi phục sự cố mạng.
  • Năng lực tự chủ và trách nhiệm: Rèn luyện phương pháp làm việc khoa học, hệ thống, chính xác, tỉ mỉ và cẩn thận trong việc tiếp nhận kiến thức và thực hành kỹ thuật.

Cấu trúc giáo trình tiếp cận từ nguyên lý cơ bản, phân tích điểm yếu hệ thống, thiết lập hạ tầng bảo vệ, giải thuật mật mã ứng dụng cho đến các biện pháp phòng chống phần mềm độc hại.

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Giáo trình gồm 5 bài học được phân bổ theo trình tự logic từ nhận diện lý thuyết đến thực thi kỹ thuật:

[Bài 1: Khái niệm cơ bản & Quản lý rủi ro] 
[Bài 2: Điểm yếu, Tấn công & Giám sát hệ thống] 
[Bài 3: Hạ tầng mạng an toàn & Lỗ hổng dịch vụ] 
[Bài 4: Mật mã học & Mô hình ứng dụng] 
[Bài 5: Mã độc, Virus & Giải pháp phòng chống]

  • Bài 1: Các khái niệm cơ bản về an toàn thông tin (4 giờ - 2 LT, 2 TH): Trình bày ba nhóm biện pháp bảo vệ (hành chính, kỹ thuật/phần cứng, thuật toán/phần mềm). Giới thiệu các nguyên tắc an ninh: Quyền hạn tối thiểu (Last Privilege), Bảo vệ theo chiều sâu (Defence In Depth), Nút thắt (Choke Point), Điểm nối yếu nhất (Weakest Link), Tính toàn cục và Tính đa dạng bảo vệ. Phân loại kiểm soát truy cập (RBAC, DAC, MAC). Phân tích các giao thức và phương thức xác thực: Kerberos (Kerberos 4 và Kerberos 5 theo RFC 1510 với các thành phần AS, TGS, TGT), CHAP, Chuẩn chứng nhận X.509 (CA, CRL, X.500), Username/Password, Token (Hard/Soft Token, mã OTP), Xác thực đa yếu tố (MFA: 2FA, 3FA) và Xác thực tương hỗ (Mutual Authentication). Trình bày các mô hình topo mạng an toàn: DMZ, Intranet, Extranet, VLANs, NAT (Classic NAT theo RFC 1931 gồm NAT tĩnh, NAT động, NAT Pool), Kỹ thuật Tunneling (IPv6 trên nền IPv4). Giới thiệu quy trình quản lý rủi ro theo tiêu chuẩn ISMS.

  • Bài 2: Những điểm yếu và phương pháp tấn công vào hệ thống (8 giờ - 3 LT, 5 TH): Phân tích các hình thức tấn công mạng: DoS/DDoS (tấn công tiêu hao tài nguyên băng thông, bộ nhớ, hoặc tấn công cấu trúc gói tin dị dạng; kiến trúc Master - Zombie qua các công cụ như Trin00, TFN/TFN2K, Shaft; thực hành script Hammer.py trên nền Python 3), Cửa sau (Back Door), Giả mạo (ARP Spoofing), Tấn công xen giữa (Man in the Middle), Chiếm quyền điều khiển phiên (TCP/IP Hijacking), Đoán mật khẩu (Password Guessing). Phân loại mã độc: Virus (ăn bám, cư trú bộ nhớ, boot sector, lén lút, đa hình - polymorphic, biến hóa), Trojan Horses, Bom logic (Logic Bombs), Sâu mạng (Worms: sâu Morris 1988, Code Red, Code Red 2, Nimda, SQL Slammer, Sobig, Mydoom). Phân tích hình thức tấn công phi kỹ thuật (Social Engineering: mạo danh, lục thùng rác, giả mạo người dùng cuối) và tấn công kỹ thuật (Popup-Windows, Phishing). Thiết lập quy trình giám sát nhật ký (Auditing – Logging, Event Viewer, Security Log trên Windows Server 2019).

  • Bài 3: Hạ tầng cơ sở an toàn thông tin (8 giờ - 3 LT, 4 TH, 1 KT): Nghiên cứu các công nghệ truy cập từ xa: Chuẩn IEEE 802.1x, Mạng riêng ảo (VPN). Các dịch vụ xác thực tập trung: RADIUS, TACACS/TACACS+ (hoạt động trên cổng TCP 49, phân tách ba thành phần xác thực, cấp quyền, tính cước AAA). Các giao thức tạo đường hầm: PPTP, L2TP. An toàn giao vận qua SSL/TLS (chuẩn RFC 2246 với 4 thủ tục: Record Protocol, Handshake Protocol, Alert Protocol, Change Cipher Spec Protocol; tích hợp các thuật toán IDEA, RC2, DES, 3DES, RC4). Khảo sát các lỗ hổng trên môi trường Web: Thư rác (Spam), giả mạo địa chỉ IP, đoạn mã JavaScript độc hại, ActiveX, tấn công kịch bản liên trang (Reflected XSS), và lỗi lập trình tràn bộ đệm (Buffer Overflow được minh họa qua mã nguồn C checkserial() tác động lên cấu trúc bộ nhớ Stack và con trỏ lệnh).

  • Bài 4: Mật mã công khai mô hình ứng dụng (16 giờ - 4 LT, 12 TH): Trình bày cơ sở toán học mật mã; các hàm băm đơn giản, tính an toàn của hàm Hash và mã xác thực thông điệp MAC, giải thuật băm SHA (Secure Hash Algorithm). Phân loại hệ mật mã đối xứng và bất đối xứng (RSA, Diffie-Hellman, DES, 3DES). Phân tích giải thuật DES: Hoán vị khởi đầu (Initial Permutation), Khóa chuyển đổi (Key Schedule), Hoán vị mở rộng (Expansion Permutation), Hộp thay thế S (S-box), Hộp hoán vị P (P-box), Hoán vị cuối cùng (Final Permutation), các chế độ hoạt động và đánh giá độ phức tạp tính toán của DES.

  • Bài 5: Virus và cách phòng chống (9 giờ - 3 LT, 5 TH, 1 KT): Phân loại cơ chế lây nhiễm của virus vào Bảng thư mục (Root directory), Vùng dữ liệu, Tệp thực thi, và Bộ nhớ RAM. Phân biệt các chủng loại virus đa hình (Polymorphic), virus lừa dọa (Hoaxes), B-virus, F-virus, Macro virus và Trojan. Triển khai phần mềm phòng chống mã độc Symantec Antivirus trên mô hình máy chủ - máy trạm.

Kiến thức nền tảng được xây dựng

  • Mô hình toán học của hệ mật mã: Định nghĩa hệ mật là bộ 5 phần tử:

$$\mathcal{S} = (P, C, K, E, D)$$

Trong đó $P$ là không gian bản rõ, $C$ là không gian bản mã, $K$ là không gian khóa, $e_K \in E$ là quy tắc mã hóa ($e_K: P \to C$), và $d_K \in D$ là quy tắc giải mã ($d_K: C \to P$) thỏa mãn điều kiện:

$$d_K(e_K(x)) = x \quad (\forall x \in P)$$

  • Nguyên lý hàm một chiều: Cơ sở toán học cho phép tính toán thuận $y = f(x)$ khả thi nhưng bài toán tìm nghịch đảo $x = f^{-1}(y)$ không thể giải quyết trong thời gian đa thức nếu không có khóa bổ trợ.
  • Mô hình kiểm soát truy cập: Thiết lập ma trận truy cập gồm Chủ thể (Subject), Đối tượng (Object), và Quyền truy cập (Permission); phân định cơ chế điều khiển truy cập dựa trên vai trò (RBAC) so với điều khiển truy cập tùy quyền (DAC) và bắt buộc (MAC).
  • Khung xác thực X.509: Cấu trúc phân cấp chứng chỉ số do Nhà cấp phát chứng chỉ (CA) ký duyệt, cơ chế quản lý danh sách thu hồi chứng chỉ (CRL) và các giao thức xác thực một chiều, hai chiều, ba chiều.

Kỹ năng phát triển

  • Kỹ năng kỹ thuật (Technical skills): Cài đặt và cấu hình dịch vụ mạng NAT tĩnh, NAT động trên Windows Server 2019; thiết lập phân quyền và xác thực Kerberos; cấu hình chính sách kiểm toán cục bộ (Audit Policy); triển khai phần mềm bảo vệ Symantec Antivirus; thực hiện kiểm thử tải an ninh bằng script Python 3.
  • Kỹ năng phân tích (Analytical skills): Phân tích các gói tin và luồng dữ liệu trên mạng; nhận diện dấu vết tấn công thông qua Windows Event Viewer (phân tích Application Log, Security Log, System Log); đánh giá điểm yếu mã nguồn phần mềm qua phân tích cơ chế tràn bộ đệm trên Stack.
  • Năng lực thực tế (Practical competencies): Thiết kế phân vùng mạng an toàn (kết hợp DMZ, VLAN, Intranet, Extranet); lập phương án kiểm soát truy cập cho tổ chức; ứng cứu và khôi phục hoạt động hệ thống sau sự cố mã độc.

Phương pháp giảng dạy và học tập

Giáo trình áp dụng mô hình đào tạo theo mô đun nghề nghiệp kỹ thuật với cơ cấu phân bổ thời lượng:

Thành phần hoạt động Số giờ Tỷ lệ (%)
Lý thuyết chuyên môn 15 33,3%
Thực hành, thí nghiệm, thảo luận 28 62,2%
Kiểm tra đánh giá định kỳ 2 4,5%
Tổng cộng 45 100%

Phương pháp sư phạm và hoạt động thực hành

  • Phân tích ca sự cố lịch sử (Case studies): Nghiên cứu các sự kiện an ninh mạng thực tế như sự cố sâu Morris (1988), mã độc khai thác dịch vụ mạng Code Red (2001), sâu SQL Slammer, và các kịch bản tấn công phi kỹ thuật (Social Engineering) thông qua giả mạo nhân sự nội bộ.
  • Bài tập phân tích mã nguồn: Kiểm tra luồng thực thi của chương trình viết bằng ngôn ngữ C; tính toán độ dài ô nhớ để xác định lỗi tràn mảng và khả năng ghi đè thanh ghi lệnh RET:
void checkserial() {
    char sn[16];
    printf("Enter a serial number\n");
    scanf("%s", sn);
    if (!strncmp(sn, "S123N456", 8)) {
        printf("Serial number is correct");
    }
}
  • Bài tập thực hành môi trường máy chủ (Practical Exercises):
    1. Cấu hình NAT: Thực hiện cài đặt và thiết lập NAT tĩnh / NAT động trên Windows Server 2019, cho phép máy client nội bộ kết nối Internet an toàn.
    2. Cấu hình Audit Policy: Mở Local Policies trên Windows Server 2019, kích hoạt các chính sách kiểm toán tài khoản, truy cập hệ thống và theo dõi các bản ghi phát sinh trong Event Viewer.
    3. Mô phỏng DoS/DDoS: Thực thi công cụ kiểm thử hammer.py viết bằng Python 3 trong môi trường phòng lab thử nghiệm cục bộ để quan sát hiện tượng nghẽn tài nguyên cổng dịch vụ.
    4. Cài đặt phần mềm diệt virus: Thiết lập Symantec Antivirus trên máy chủ quản trị và các máy trạm thành viên.

Phương pháp đánh giá và tự học

  • Đánh giá kiến thức: Kiểm tra viết, trắc nghiệm hoặc vấn đáp về cơ sở lý thuyết mật mã, các chuẩn giao thức và mô hình mạng.
  • Đánh giá kỹ năng: Kiểm tra trực tiếp thao tác cài đặt, cấu hình dịch vụ mạng và độ chính xác trong xử lý lỗi trên hệ điều hành máy chủ.
  • Đánh giá năng lực tự chủ: Xem xét mức độ tỉ mỉ, cẩn thận, khả năng làm việc độc lập và tuân thủ các quy tắc an toàn bảo mật.
  • Hướng dẫn tự học: Sinh viên tra cứu các tài liệu tiêu chuẩn RFC (RFC 959, RFC 1510, RFC 1931, RFC 2246), thực hành dựng hệ thống mạng trên phần mềm ảo hóa và hoàn thành hệ thống bài tập mở rộng sau mỗi bài học.

Điểm nổi bật và cập nhật

  • Môi trường thực hành chuẩn hóa: Giáo trình sử dụng trực tiếp hệ điều hành Windows Server 2019 làm nền tảng triển khai các bài tập thực hành về chính sách an ninh (Audit Policy), dịch vụ định tuyến (NAT), và dịch vụ giám sát nhật ký (Event Viewer).
  • Hệ thống hóa các tiêu chuẩn kỹ thuật quốc tế: Nội dung đào tạo tích hợp trực tiếp các tiêu chuẩn kỹ thuật của IETF, IEEE và CCITT:
    • Chuẩn Kerberos phiên bản 5 theo RFC 1510;
    • Chuẩn dịch vụ chứng thực phân cấp X.509 (CCITT X.500);
    • Chuẩn an toàn tầng vận chuyển TLS theo RFC 2246;
    • Chuẩn điều khiển truy cập dựa trên cổng IEEE 802.1x;
    • Chuẩn chuyển đổi địa chỉ mạng Classic NAT theo RFC 1931;
    • Chuẩn giao thức truyền tệp FTP theo RFC 959.
  • Gắn kết mật thiết với kỹ năng phát triển phần mềm: Không giới hạn ở bảo mật hạ tầng mạng, giáo trình phân tích các lỗ hổng lập trình ứng dụng như tràn bộ đệm (Buffer Overflow) trong ngôn ngữ C, lỗi kịch bản trang web liên trang (XSS), và các cơ chế xử lý dữ liệu đầu vào. Điều này giúp sinh viên ngành Ứng dụng phần mềm xây dựng tư duy lập trình an toàn trước khi học các môn lập trình chuyên ngành tiếp theo.

Đối tượng sử dụng giáo trình

  • Sinh viên: Phục vụ sinh viên trình độ Cao đẳng nghề ngành Ứng dụng phần mềm. Mô đun được giảng dạy ở giai đoạn đầu khóa học để chuẩn bị kiến thức nền tảng về an toàn hệ thống.
  • Điều kiện tiên quyết (Prerequisites): Người học cần hoàn thành các học phần tin học cơ sở, hiểu biết về kiến trúc máy tính, nguyên lý hệ điều hành và các khái niệm cơ bản về mạng máy tính (mô hình client/server, địa chỉ IP, giao thức TCP/IP, cổng dịch vụ).
  • Giảng viên: Sử dụng làm tài liệu giảng dạy chính thức cho mô đun MĐ 13 (45 giờ); cung cấp đề cương chi tiết, cấu trúc bài giảng lý thuyết và hệ thống kịch bản bài tập thực hành trên máy tính.
  • Tự học và tham khảo: Kỹ thuật viên quản trị mạng sơ cấp, lập trình viên phần mềm và người tự học muốn hệ thống hóa kiến thức về an toàn thông tin, các giải thuật mật mã cổ điển/hiện đại và các phương thức phòng thủ hệ thống.

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?
Tài liệu được thiết kế cho sinh viên trình độ Cao đẳng ngành Ứng dụng phần mềm, đồng thời phù hợp cho học viên các ngành Công nghệ thông tin cần trang bị kiến thức cơ sở về bảo mật hệ thống mạng và lập trình an toàn.

2. Cần kiến thức nền nào để học mô đun này?
Người học cần nắm vững kiến thức tin học cơ bản, thao tác trên hệ điều hành Windows, nguyên lý mạng máy tính (phân lớp giao thức, IP, Port) và tư duy logic lập trình căn bản (đặc biệt là ngôn ngữ C).

3. Điểm khác biệt của giáo trình này so với các tài liệu lý thuyết an toàn thông tin khác?
Giáo trình dành hơn 62% thời lượng (28/45 giờ) cho thực hành và thảo luận. Nội dung lý thuyết gắn liền với các kịch bản cấu hình trực tiếp trên Windows Server 2019, kiểm thử với script Python 3 và phân tích lỗi mã nguồn thực tế thay vì chỉ trình bày thuật toán trừu tượng.

4. Làm sao để tự học hiệu quả theo tài liệu này?
Người học nên xây dựng môi trường phòng lab ảo hóa (sử dụng máy ảo Windows Server 2019 và máy trạm client), làm theo các hướng dẫn từng bước của giáo trình (như cấu hình NAT, phân tích Event Viewer), đồng thời đọc thêm các chuẩn RFC kỹ thuật được trích dẫn.

5. Có tài liệu bổ trợ nào kèm theo giáo trình?
Giáo trình cung cấp hệ thống câu hỏi ôn tập, bài tập nâng cao sau mỗi bài học, kịch bản thực hành kiểm thử DoS bằng công cụ hammer.py, hướng dẫn cài đặt phần mềm diệt virus Symantec Antivirus, bảng tra cứu thuật ngữ chuyên môn và danh mục tài liệu tham khảo kỹ thuật.

Kết luận

Giáo trình An toàn và bảo mật thông tin (MĐ 13) xác lập khung kiến thức cơ sở chuẩn mực về an toàn dữ liệu, kết hợp giữa nền tảng lý thuyết mật mã học, các nguyên tắc quản lý an ninh và kỹ năng thực hành bảo vệ hệ thống mạng.

Lộ trình học tập đề xuất:

[MĐ 13: An toàn & Bảo mật thông tin]
       [Khối Quản trị Hệ thống]        [Khối Phát triển Ứng dụng]
       - Quản trị mạng                 - Lập trình Python
       - Quản trị cơ sở dữ liệu        - Thiết kế Web ASP.NET
                                       - Phần mềm quản lý dữ liệu

Tài nguyên bổ trợ được khuyến nghị bao gồm: các tiêu chuẩn kỹ thuật RFC của IETF (RFC 959, RFC 1510, RFC 1931, RFC 2246), tài liệu quản trị hệ điều hành Windows Server của Microsoft, và các tài liệu hướng dẫn kỹ thuật kiểm thử an toàn thông tin.