TỔNG QUAN HỌC THUẬT: GIÁO TRÌNH AN TOÀN VÀ BẢO MẬT THÔNG TIN

1. Tổng quan về giáo trình

Giáo trình An toàn và bảo mật thông tin (Mã môn học: MH23, tên gọi khác trong chương trình là môn học An toàn mạng) là học phần chuyên môn bắt buộc thuộc chương trình đào tạo trình độ Cao đẳng ngành Công nghệ thông tin (chuyên ngành Ứng dụng phần mềm và Quản trị mạng). Tài liệu được biên soạn và ban hành theo quyết định của Hiệu trưởng Trường Cao đẳng nghề Đồng Tháp (năm 2017).

Về vị trí đào tạo, môn học được bố trí giảng dạy sau khi người học đã hoàn thành môn học tiên quyết là Mạng máy tính. Tổng thời lượng thực hiện chương trình là 65 giờ, bao gồm 25 giờ lý thuyết, 38 giờ thực hành/thảo luận và 2 giờ kiểm tra định kỳ.

                    CHƯƠNG TRÌNH ĐÀO TẠO CNTT / QUẢN TRỊ MẠNG
                              [Mạng máy tính] (Tiên quyết)
                 [MH23: An toàn và bảo mật thông tin (65 giờ)]
         [Chương 1-2]             [Chương 3-4]            [Chương 5-6]
     Tổng quan & Mật mã         NAT & Tường lửa         ACL & Phòng chống
        (34 giờ)                  (Tích hợp)              Mã độc / Virus

Mục tiêu đào tạo của giáo trình hướng đến ba chuẩn đầu ra cơ bản:

  • Kiến thức: Trình bày được các nguy cơ mất an toàn hệ thống; nắm vững các nguyên lý an toàn thông tin (tính bí mật, tính toàn vẹn, tính xác thực, tính không thể chối bỏ); phân tích được các thành phần trong các mô hình bảo vệ mạng.
  • Kỹ năng: Triển khai được các giải pháp bảo vệ hệ thống mạng đồng bộ; thực hiện cấu hình dịch chuyển địa chỉ mạng (NAT), thiết lập tường lửa (Firewall) và danh sách điều khiển truy cập (ACL); phát hiện và khắc phục các sự cố mất an toàn máy tính ở mức cơ bản.
  • Năng lực tự chủ và trách nhiệm: Hình thành thái độ nghiêm túc trong nghiên cứu, tuân thủ các quy tắc an toàn thông tin và quản trị hệ thống.

Cấu trúc giáo trình được thiết kế theo hình thức tích hợp giữa lý thuyết và bài tập kỹ năng thực hành nghề nghiệp. Điểm đặc thù của tài liệu là gắn liền các nguyên lý bảo mật trừu tượng với các bước triển khai kỹ thuật cụ thể trên nền tảng hệ điều hành máy chủ và thiết bị định tuyến.

2. Nội dung kiến thức cốt lõi

2.1. Các chương và chủ đề chính

Nội dung giáo trình được cấu trúc thành 6 chương chuyên đề với tiến trình logic phát triển từ tổng quan nguyên lý đến kỹ thuật cấu hình phòng thủ:

  • Chương 1: Tổng quan về an toàn và bảo mật thông tin (Mã chương: MH 23-01): Giới thiệu bối cảnh rủi ro trên không gian mạng, các thống kê rủi ro an ninh (dẫn chứng từ tổ chức CERT), phân loại đối tượng tấn công mạng (Hacker, Masquerader - kẻ giả mạo, Eavesdropping - kẻ nghe trộm gói tin) và các nguyên nhân dẫn đến lỗ hổng bảo mật. Phân tích các yêu cầu bảo vệ dữ liệu, tài nguyên và danh tiếng của tổ chức.
  • Chương 2: Mã hóa thông tin (Mã chương: MH23-02): Khái niệm về mật mã học (Cryptography), không gian khóa (Keyspace), văn bản gốc (Plaintext), văn bản mã hóa (Ciphertext). Trình bày thuật toán mật mã cổ điển (mã hóa thay thế Substitution Cipher, mã hóa hoán vị Permutation Cipher), mật mã khóa đối xứng (mã hóa khối Block Cipher, mã hóa dòng Stream Cipher, thuật toán DES, 3DES, AES), mật mã khóa bất đối xứng/công khai (RSA, Diffie-Hellman) và mô hình mật mã khóa lai (Hybrid Cryptosystems sử dụng Session Key).
  • Chương 3: NAT - Network Address Translation (Mã chương: MH23-03): Phân tích cơ chế chuyển đổi địa chỉ mạng theo tài liệu tiêu chuẩn RFC 1931, phân biệt NAT tĩnh ($m=n$) và NAT động ($m \ge n$). Cơ chế phối hợp với giao thức FTP (chế độ passive và non-passive theo RFC 959). Cấu hình dịch vụ NAT trên Windows Server bao gồm ba thành phần: Translation, Address (cấp phát địa chỉ IP dạng DHCP) và Name Resolution (phân giải tên miền qua DNS).
  • Chương 4: Bảo vệ mạng bằng tường lửa (Mã chương: MH23-04): Phân loại các hình thức tấn công (tấn công trực tiếp, nghe trộm, giả mạo địa chỉ nguồn IP source-routing, làm tê liệt hệ thống bằng ICMP Ping, tấn công vào điểm yếu con người). 5 lớp bảo vệ an toàn hệ thống. Cấu trúc và 3 thành phần của tường lửa: Bộ lọc gói tin (Packet filtering router), Cổng ứng dụng (Application-level gateway/Bastion host), Cổng vòng (Circuit-level gateway). Các mô hình kiến trúc: Screened Host Firewall (đơn giao diện và Dual-Homed), kiến trúc vùng mạng phi quân sự Screened-Subnet Firewall (DMZ).
  • Chương 5: Danh sách điều khiển truy cập - ACL (Mã chương: MH23-05): Khái niệm, nguyên tắc hoạt động kiểm tra gói tin tuần tự từ trên xuống dưới trên router. Phân biệt danh sách truy cập chuẩn (Standard Access List) và danh sách truy cập mở rộng (Extended Access List). Cú pháp câu lệnh điều khiển toàn cục và câu lệnh áp dụng cho giao diện (Interface).
  • Chương 6: Virus và cách phòng chống: Tổng quan về virus tin học, các phương thức lây lan, cơ chế phá hoại, phân loại mã độc và quy trình phòng chống virus trên hệ thống máy tính.

2.2. Kiến thức nền tảng được xây dựng

Giáo trình xây dựng hệ thống lý thuyết mật mã và an toàn mạng dựa trên các nền tảng toán học và quy chuẩn mạng:

  • Mô hình mục tiêu bảo mật: Đảm bảo 4 thuộc tính cốt lõi bao gồm Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity), Tính xác thực (Authentication) và Tính không thể chối bỏ (Non-repudiation), bổ sung yêu cầu về tính kịp thời của dữ liệu.
  • Nền tảng toán học của mật mã: Ánh xạ hoán vị trên tập hữu hạn $\pi: \mathbb{Z}{26} \to \mathbb{Z}{26}$ và hoán vị nghịch đảo $\pi^{-1}$; công thức mã hóa tổng quát $E_K(P) = C$ và giải mã $D_K(C) = P$; công thức mã hóa lặp 3DES: $$C = E_{K3}(D_{K2}(E_{K1}(P)))$$ $$P = D_{K1}(E_{K2}(D_{K3}(C)))$$
  • Mô hình toán học chuyển đổi địa chỉ NAT: Công thức tính toán địa chỉ đích trong NAT tĩnh: $$\text{Địa chỉ đích} = \text{Địa chỉ mạng mới} \lor (\text{Địa chỉ nguồn} \land (\neg,\text{netmask}))$$
  • Mô hình phân tầng bảo vệ thông tin 5 lớp:
    1. Quyền truy nhập tài nguyên (áp dụng sâu nhất ở mức tệp tin);
    2. Tài khoản và mật khẩu truy nhập;
    3. Mã hóa dữ liệu;
    4. Bảo vệ vật lý;
    5. Tường lửa ngăn chặn truy cập trái phép.
                      [ Lớp 5: Tường lửa (Firewall) ]

2.3. Kỹ năng phát triển cho người học

  • Kỹ năng kỹ thuật: Thiết lập và cấu hình dịch vụ Routing and Remote Access trên Windows Server; định tuyến tĩnh (Static Route); xuất bản dịch vụ Web (HTTP cổng 80 qua IIS) từ mạng nội bộ ra ngoài Internet thông qua cơ chế Port Mapping; viết và thiết lập cấu hình danh sách truy cập ACL trên bộ định tuyến.
  • Kỹ năng phân tích: Phân tích các trường thông tin trong Packet Header (địa chỉ IP nguồn/đích, giao thức TCP/UDP, số hiệu cổng nguồn/đích, thông điệp ICMP, giao diện vào/ra); đánh giá bảng luật tường lửa (Rule Table); phân tích đường đi của gói tin thông qua công cụ dòng lệnh tracert và ping.
  • Kỹ năng vận hành thực tế: Nhận dạng các dấu hiệu tấn công mạng; phát hiện và phân lập các điểm yếu bảo mật do lỗi quản trị; thực hiện tính toán kiểm tra Checksum trên gói tin IP/TCP.

3. Phương pháp giảng dạy và học tập

Giáo trình triển khai theo mô hình sư phạm tích hợp (integrated pedagogical approach), kết hợp giảng dạy lý thuyết cơ bản với thực hành trực tiếp tại phòng máy. Thời lượng thực hành chiếm 58,4% tổng thời lượng môn học (38/65 giờ), đảm bảo người học có thời gian thao tác thực tế sau mỗi khối kiến thức lý thuyết.

                  CƠ CẤU PHÂN BỔ THỜI LƯỢNG MÔN HỌC

Hệ thống bài tập và nghiên cứu tình huống (case studies) trong giáo trình được phân cấp rõ ràng:

  • Bài tập tính toán và giải thuật mật mã: Yêu cầu người học tự thực hiện mã hóa và giải mã chuỗi ký tự bản rõ (như "khoacongnghethongtin", "sinhviencongnghethongtin", "nguyenthanhnhut") bằng phương pháp thay thế bảng mã hoặc hoán vị khối dữ liệu.
  • Tình huống phân tích bảng luật tường lửa: Người học phân tích tập luật mẫu gồm 5 quy tắc (Rule A đến Rule E) với các trường dữ liệu cụ thể (S_Addr, D_Addr, Service, Action, Log, NAT) để xác định gói tin nào được phép đi qua hoặc bị chặn lại:
Rule Địa chỉ nguồn (S_Addr) Địa chỉ đích (D_Addr) Dịch vụ (Service) Hành động (Action) Ghi log NAT
A Firewall Any Any Permit Yes -
B 192.0 (LAN) Firewall Any Permit No -
C 255.15 Any Any Permit No NAT (LAN)
D Any Firewall TCP/80 Permit Yes MAP 192.15
E Any Any Any Deny No -
  • Bài tập thực hành cấu hình hệ thống: Giáo trình cung cấp quy trình cấu hình chi tiết theo từng bước (step-by-step) trên hệ thống phòng máy thử nghiệm:
    1. Cấu hình máy chủ NAT Server (gán nhãn máy PC09) trên dịch vụ Routing and Remote Access, thiết lập Public interface và Private interface;
    2. Định tuyến tĩnh ra cổng Gateway mạng Internet;
    3. Thiết lập Web Server chạy dịch vụ IIS trên máy trạm PC08 (tạo trang thử nghiệm index.htm);
    4. Mở cổng dịch vụ Web Server (HTTP) trong bảng Services and Ports trên NAT Server;
    5. Dùng máy trạm PC10 kiểm tra kết quả truy cập và sử dụng lệnh tracert để kiểm tra định tuyến.

Phương pháp đánh giá kết quả học tập gồm 2 giờ kiểm tra định kỳ kết hợp đánh giá thường xuyên thông qua mức độ hoàn thành bài thực hành tại phòng máy và trả lời hệ thống câu hỏi ôn tập cuối mỗi chương. Đối với việc tự học, sinh viên được định hướng đọc các tài liệu tiêu chuẩn kỹ thuật quốc tế (RFC) và giải quyết các bài toán thiết kế bảng lọc truy cập router.

4. Điểm nổi bật và cập nhật kỹ thuật

Tài liệu thể hiện tính cập nhật và đối chiếu kỹ thuật thông qua việc phân tích các tiêu chuẩn công nghệ mạng và mật mã học:

  • Sự chuyển dịch của các tiêu chuẩn mật mã: Giáo trình đối chiếu thuật toán hạn chế (Restricted Algorithm - thuật toán giữ bí mật cách thức hoạt động) với mật mã hiện đại dựa trên độ dài của khóa bí mật. Tài liệu chỉ rõ giới hạn kỹ thuật của chuẩn DES (khóa 56 bits không còn an toàn trước năng lực tính toán của các bộ xử lý mới) và phân tích giải pháp thay thế bằng chuẩn 3DES (sử dụng 3 khóa) cùng chuẩn AES (độ dài khóa từ 128 bits đến 256 bits).
  • Kết hợp mật mã khóa lai (Hybrid Cryptosystems): Giáo trình trình bày giải pháp kỹ thuật giải quyết bài toán hiệu năng: sử dụng mật mã bất đối xứng (RSA, Diffie-Hellman) để trao đổi khóa phiên ngẫu nhiên (Session Key), sau đó sử dụng khóa phiên này kết hợp thuật toán đối xứng để mã hóa khối dữ liệu lớn nhằm tối ưu hóa tốc độ xử lý.
                      MÔ HÌNH HỆ THỐNG MÃ HÓA KHÓA LAI
    [ Bên gửi ]                                              [ Bên nhận ]
  • Phân tích bối cảnh chuyển dịch giao thức mạng: Giáo trình làm rõ vai trò của NAT trong bối cảnh thiếu hụt không gian địa chỉ IPv4; giải thích lý do IPv4 vẫn tiếp tục tồn tại song song trong thời gian dài do những khó khăn trong việc chuyển đổi đồng bộ sang IPv6.
  • Phân loại kiến trúc phòng thủ mạng chuyên sâu: Giáo trình phân tích tường tận ưu và nhược điểm của 3 mô hình tường lửa nâng cao:
    • Screened Host Firewall (Single-Homed): Kết hợp Packet-filtering router và một Bastion host;
    • Dual-Homed Bastion Host: Tách biệt hoàn toàn hai giao diện mạng nội bộ và bên ngoài, ngăn chặn định tuyến trực tiếp;
    • Screened-Subnet Firewall (Khu vực phi quân sự - DMZ): Sử dụng 2 router lọc gói (Router ngoài và Router trong) kết hợp Bastion host để cô lập các máy chủ cung cấp thông tin công cộng (Information server), buộc kẻ tấn công phải vượt qua ba lớp phòng vệ độc lập.

5. Đối tượng sử dụng giáo trình

Giáo trình được biên soạn phục vụ các nhóm đối tượng cụ thể trong hệ thống giáo dục nghề nghiệp và kỹ thuật mạng:

  • Sinh viên chuyên ngành: Học sinh, sinh viên trình độ Cao đẳng nghề và Cao đẳng kỹ thuật thuộc các ngành:
    • Công nghệ thông tin (chuyên ngành Ứng dụng phần mềm);
    • Quản trị mạng máy tính;
    • Kỹ thuật phần cứng và mạng.
  • Yêu cầu điều kiện tiên quyết (Prerequisites): Người học cần hoàn thành học phần Mạng máy tính, nắm vững mô hình mạng TCP/IP, cấu trúc gói tin, phân chia địa chỉ IP mạng con (Subnet Mask), cổng dịch vụ và các giao thức mạng cơ bản (HTTP, FTP, DNS, Telnet, SMTP).
  • Giảng viên chuyên ngành: Tài liệu đóng vai trò là khung chương trình chuẩn chi tiết để thiết kế đề cương bài giảng, phân bổ thời gian thực hành theo tỷ lệ 25 giờ lý thuyết / 38 giờ thực hành và biên soạn ngân hàng đề thi đánh giá năng lực nghề.
  • Kỹ thuật viên và người tự học: Tài liệu là nguồn tham khảo kỹ thuật cho các quản trị viên hệ thống mạng nội bộ quy mô vừa và nhỏ, người cần tra cứu cú pháp bộ lọc gói tin ACL, cấu hình dịch chuyển địa chỉ NAT trên Windows Server, hoặc xây dựng mô hình mạng DMZ bảo vệ máy chủ dịch vụ.

6. Câu hỏi thường gặp (FAQ)

1. Giáo trình này phù hợp với đối tượng người học nào?

Giáo trình được thiết kế chuẩn hóa cho sinh viên trình độ Cao đẳng ngành Công nghệ thông tin (Ứng dụng phần mềm và Quản trị mạng), đồng thời phù hợp cho kỹ thuật viên mạng cần tài liệu hướng dẫn thực hành bảo mật hệ thống.

2. Cần chuẩn bị kiến thức nền tảng nào trước khi học giáo trình này?

Người học bắt buộc phải hoàn thành học phần Mạng máy tính. Các kiến thức cần có bao gồm: kiến trúc mạng TCP/IP, nguyên lý định tuyến, cách cấu hình địa chỉ IP/Subnet Mask và chức năng của các giao thức thông dụng như HTTP, FTP, DNS, Telnet.

3. Điểm khác biệt của giáo trình này so với các tài liệu lý thuyết an toàn thông tin thuần túy?

Giáo trình áp dụng mô hình đào tạo nghề tích hợp, dành hơn 58% thời lượng cho thực hành. Mọi kiến thức lý thuyết (từ mật mã học đến tường lửa) đều đi kèm bài tập giải thuật hoặc kịch bản triển khai từng bước (lab step-by-step) trên Windows Server và router.

                    ĐẶC ĐIỂM TIẾP CẬN CỦA GIÁO TRÌNH

4. Phương pháp tự học giáo trình này đạt hiệu quả cao nhất?

Người học nên kết hợp đọc lý thuyết nguyên lý và thực hiện tuần tự các bài tập cuối chương:

  • Tự tính toán các bài tập mã hóa hoán vị và thay thế để hiểu bản chất mật mã;
  • Cài đặt môi trường máy ảo chạy Windows Server để thực hành bài lab cấu hình NAT, xuất bản Web Server và kiểm tra bằng lệnh tracert/ping;
  • Phân tích các tình huống bảng luật tường lửa và viết lệnh ACL mẫu.

5. Giáo trình có những tài liệu và tiêu chuẩn kỹ thuật bổ trợ nào?

Giáo trình tích hợp và dẫn chiếu đến các tiêu chuẩn kỹ thuật quốc tế:

  • Tài liệu RFC 1931 (đặc tả kỹ thuật NAT cổ điển);
  • Tài liệu RFC 959 (giao thức truyền tệp FTP chế độ passive/non-passive);
  • Báo cáo thống kê sự cố an ninh mạng của tổ chức CERT;
  • Cú pháp lệnh tiêu chuẩn của danh sách truy cập mạng TCP/IP (access-list và access-group).

7. Kết luận

Giáo trình An toàn và bảo mật thông tin (MH23) của Trường Cao đẳng nghề Đồng Tháp là tài liệu đào tạo chuyên môn cung cấp hệ thống kiến thức toàn diện về phòng thủ và bảo mật mạng. Giá trị cốt lõi của tài liệu nằm ở sự cân bằng giữa lý thuyết mật mã chuẩn hóa và quy trình cấu hình hệ thống thực tế.

Lộ trình học tập được thiết kế khoa học: đi từ việc nhận diện các mối đe dọa an ninh, nắm vững công cụ mật mã dữ liệu, triển khai kỹ thuật che giấu địa chỉ NAT, đến việc thiết lập rào chắn tường lửa đa lớp, xây dựng vùng mạng DMZ, cấu hình bộ lọc ACL và kiểm soát mã độc virus.

Nguồn tài liệu tham khảo dựa trên các tiêu chuẩn kỹ thuật RFC và thống kê thực tế giúp người học trang bị đầy đủ năng lực kỹ thuật để quản trị, vận hành và bảo vệ hệ thống mạng máy tính an toàn.