Giáo Trình Xây Dựng Hệ Thống Firewall Nghề Quản Trị Mạng Máy Tính Trình Độ Cao Đẳng

Giáo trình xây dựng hệ thống firewall cho nghề quản trị mạng máy tính tại trường cao đẳng nghề An Giang, cung cấp kiến thức chuyên sâu và thực tiễn.

• Tác giả: Lê Thị Ngọc Trâm
• Người hướng dẫn: Phương Phương Thúy
• Trường học: Trường Cao Đẳng Nghề An Giang
• Chuyên ngành: Quản Trị Mạng
• Đề tài: Giáo Trình Xây Dựng Hệ Thống Firewall Cho Nghề Quản Trị Mạng
• Loại tài liệu: Giáo Trình
• Năm xuất bản: 2019
• Địa điểm: An Giang

Mục lục chi tiết

• LỜI GIỚI THIỆU
• 1. BÀI 1: GIỚI THIỆU FIREWALL
• 1.1. Mô hình triển khai
• 1.2. Các thành phần cơ bản của Firewall
• 1.3. Nguyên lý hoạt động của Firewall
• 2. BÀI 2: TĂNG CƯỜNG BẢO MẬT CHO THIẾT BỊ
• 2.1. Các loại tấn công vào hệ thống mạng
• 2.2. Cấu hình bảo mật
• 3. BÀI 3: TRIỂN KHAI HỆ THỐNG FIREWALL
• 3.1. Giới thiệu Cisco IOS Firewall
• 3.2. Cấu hình Cisco IOS Firewall
• 4. BÀI 4: GIỚI THIỆU VỀ FOREFRONT THREAT MANAGERMENT GATEWAY (TMG)
• 4.1. Tìm Hiểu Forefrent TMG
• 4.2. Triển khai cài đặt TMG
• THUẬT NGỮ CHUYÊN MÔN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Giáo Trình Xây Dựng Hệ Thống Firewall

Giáo trình này cung cấp kiến thức cơ bản về hệ thống firewall cho nghề quản trị mạng. Nội dung bao gồm các khái niệm, nguyên lý hoạt động và các mô hình triển khai thực tế. Mục tiêu là giúp sinh viên nắm vững các thành phần cơ bản của firewall và cách thức bảo vệ mạng máy tính.

1.1. Giới thiệu về Hệ Thống Firewall

Hệ thống firewall là một phần quan trọng trong việc bảo mật mạng máy tính. Nó giúp kiểm soát lưu lượng truy cập và bảo vệ thông tin khỏi các cuộc tấn công từ bên ngoài.

1.2. Mục tiêu của Giáo Trình

Mục tiêu của giáo trình là cung cấp cho sinh viên kiến thức về các loại firewall, cách cấu hình và triển khai chúng trong môi trường thực tế.

II. Các Vấn Đề và Thách Thức trong Quản Trị Mạng

Quản trị mạng đối mặt với nhiều thách thức, đặc biệt là trong việc bảo mật thông tin. Các cuộc tấn công mạng ngày càng tinh vi, đòi hỏi các chuyên gia phải có kiến thức vững vàng về bảo mật mạng.

2.1. Các Loại Tấn Công Thường Gặp

Các loại tấn công như DDoS, man-in-the-middle, và buffer overflow là những mối đe dọa lớn đối với hệ thống mạng. Hiểu rõ về chúng giúp quản trị viên có biện pháp phòng ngừa hiệu quả.

2.2. Nguy Cơ Từ Các Giao Thức Quản Trị Mạng

Các giao thức như SNMP và NTP có thể trở thành điểm yếu trong hệ thống. Việc bảo mật các giao thức này là rất cần thiết để ngăn chặn các cuộc tấn công.

III. Phương Pháp Triển Khai Hệ Thống Firewall Hiệu Quả

Triển khai hệ thống firewall là một bước quan trọng trong việc bảo vệ mạng. Các phương pháp triển khai cần được thực hiện một cách cẩn thận để đảm bảo an toàn cho hệ thống.

3.1. Mô Hình Triển Khai Firewall

Có nhiều mô hình triển khai firewall như Bastion Host, Back-End Firewall và 3-legged Firewall. Mỗi mô hình có ưu điểm và nhược điểm riêng, phù hợp với từng loại hình doanh nghiệp.

3.2. Cấu Hình Firewall Để Tăng Cường Bảo Mật

Cấu hình các chính sách bảo mật cho firewall là rất quan trọng. Việc thiết lập các quy tắc và chính sách phù hợp giúp ngăn chặn các cuộc tấn công hiệu quả.

IV. Ứng Dụng Thực Tiễn của Hệ Thống Firewall

Hệ thống firewall không chỉ là lý thuyết mà còn có ứng dụng thực tiễn trong việc bảo vệ thông tin. Các doanh nghiệp cần áp dụng các giải pháp bảo mật này để bảo vệ dữ liệu của mình.

4.1. Các Giải Pháp Bảo Mật Thực Tế

Các giải pháp như proxy server, NAT và VPN giúp tăng cường bảo mật cho hệ thống mạng. Chúng cho phép kiểm soát lưu lượng và bảo vệ thông tin nhạy cảm.

4.2. Kết Quả Nghiên Cứu Về Firewall

Nghiên cứu cho thấy việc triển khai firewall giúp giảm thiểu rủi ro tấn công mạng. Các doanh nghiệp đã ghi nhận sự cải thiện rõ rệt trong an toàn thông tin.

V. Kết Luận và Tương Lai của Hệ Thống Firewall

Hệ thống firewall sẽ tiếp tục đóng vai trò quan trọng trong việc bảo vệ mạng máy tính. Tương lai của công nghệ này sẽ hướng đến việc cải tiến và phát triển các giải pháp bảo mật mới.

5.1. Xu Hướng Phát Triển Firewall

Công nghệ firewall đang phát triển nhanh chóng với sự xuất hiện của các giải pháp bảo mật mới như Next-Generation Firewall. Điều này giúp nâng cao khả năng bảo vệ mạng.

5.2. Tầm Quan Trọng Của Đào Tạo Nhân Lực

Đào tạo nhân lực về bảo mật mạng là rất cần thiết. Các chuyên gia cần được trang bị kiến thức và kỹ năng để đối phó với các mối đe dọa ngày càng gia tăng.

Nội dung chính

THÔNG TIN THƯ MỤC VÀ MÔ TẢ NỘI DUNG GIÁO TRÌNH XÂY DỰNG HỆ THỐNG FIREWALL (MĐ 24)

---

Tổng quan về giáo trình (250-300 từ)

Giáo trình Xây dựng hệ thống Firewall (Mã mô đun: MĐ 24) là tài liệu giảng dạy chuyên ngành bắt buộc thuộc chương trình đào tạo nghề Quản trị mạng máy tính ở trình độ Cao đẳng và Trung cấp. Tài liệu do tác giả Lê Thị Ngọc Trâm chủ biên, Phương Phương Thúy phản biện, được ban hành chính thức vào năm 2019 theo Quyết định của Hiệu trưởng Trường Cao đẳng Nghề An Giang (trực thuộc Ủy ban Nhân dân Tỉnh An Giang). Trong chương trình đào tạo, mô đun này được bố trí giảng dạy sau khi sinh viên đã hoàn thành các học phần nền tảng: Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, cùng Cấu hình và quản trị thiết bị mạng.

Về mục tiêu học tập (learning outcomes), giáo trình trang bị cho người học hệ thống tri thức về an toàn thông tin mạng, các thành phần cơ bản của tường lửa, mô hình mạng và các hình thức tấn công hệ thống; đồng thời rèn luyện kỹ năng thực hành cấu hình bảo mật trên thiết bị mạng Cisco và triển khai máy chủ tường lửa biên Forefront Threat Management Gateway (TMG) 2010 trên nền tảng Windows Server. Về năng lực tự chủ và trách nhiệm, giáo trình định hướng người học xây dựng tác phong làm việc khoa học, bảo đảm an toàn cho người và phương tiện học tập.

Cấu trúc tài liệu gồm 4 bài học chính, đi từ lý thuyết nguyên lý hoạt động đến các bước thực thi cấu hình chi tiết trên phần cứng và phần mềm. Điểm đặc sắc của giáo trình là sự tích hợp trực tiếp giữa lý thuyết an ninh mạng và các kịch bản triển khai kỹ thuật cụ thể (Cisco IOS Firewall, Cisco SDM, Microsoft Forefront TMG 2010), kèm theo hệ thống câu hỏi ôn tập và bài tập tình huống thực tế có bảng phân bổ địa chỉ IP chi tiết.

---

Nội dung kiến thức cốt lõi (500-600 từ)

Các chương/chủ đề chính

Cấu trúc nội dung giáo trình được phân bổ qua 4 bài học với tiến trình logic từ tổng quan đến chuyên sâu:

• Bài 1: Giới thiệu Firewall: Trình bày các mô hình triển khai tường lửa gồm Bastion Host (máy phòng thủ 2 card mạng hoặc 1 card mạng nối với gateway mức ứng dụng, kiến trúc screening subnet), Back-End Firewall, và mô hình 3-leg (Three-homed) phân định mạng Internal, External, DMZ. Giới thiệu các thành phần cơ bản: cơ chế lọc gói tin Packet Filter (Stateless packet filtering và Stateful Packet Filtering / Stateful Inspection dựa trên bảng trạng thái); cơ chế Proxy Server (Application Proxy với các dạng kết nối trực tiếp, phần mềm Proxy Client, Transparent Proxy); cơ chế xác thực người dùng (kết hợp Multi-factor authentication) và chuyển đổi địa chỉ mạng Network Address Translation (NAT). Phân loại tường lửa cứng (Cisco ASA, Cisco PIX, Nokia Checkpoint, Juniper, Crossbeam, Fortigate, Virgo...) và tường lửa mềm (ZoneAlarm, Norton Firewall, ISA Server, Winroute).
• Bài 2: Tăng cường bảo mật cho thiết bị: Phân loại các hình thức tấn công mạng: Reconnaissance (Packet sniffers, Port scans, Ping sweeps); Access attacks (Man-in-the-middle, Buffer overflow, DoS/DDoS thông qua IP Spoofing); Worm, Virus, Trojan; tấn công tầng ứng dụng (Application Layer attacks với công cụ Netcat); và nguy cơ từ các giao thức quản trị mạng dạng chữ thô (SNMP, Syslog, TFTP, NTP). Cung cấp giải pháp phòng ngừa: Anti-spoof (unicast reverse path forwarding theo RFC 3704), Anti-DoS (giới hạn kết nối TCP half-open), sử dụng công cụ Blue's PortScanner, Wireshark, Microsoft Baseline Security Analyzer. Trình bày cấu hình thiết bị Cisco: công cụ AutoSecure (Interactive và Non-interactive mode), Cisco Security Device Manager (SDM) với One-Step Lockdown và Security Audit wizard, cấu hình độ dài mật khẩu tối thiểu (yêu cầu 10 ký tự), mã hóa mật khẩu, thiết lập Banner Message (sử dụng biến $hostname, $(domain), $(line), $(line-desc)), và bảo mật tập tin cấu hình running-config cùng Cisco IOS image.
• Bài 3: Triển khai hệ thống Firewall: Giới thiệu tổng quan về Cisco IOS Firewall trên router, bảng duy trì phiên kết nối (state table), tính năng Authentication Proxy (xác thực HTTP, HTTPS, FTP, Telnet qua TACACS+ và RADIUS), và hệ thống Cisco IOS Firewall IPS với hơn 700 dấu hiệu nhận dạng tấn công (hành động Alarm, Drop, Reset, Block). Phân tích sự khác biệt giữa Access Control List (ACL) và Cisco IOS Firewall. Hướng dẫn chi tiết các bước cấu hình Basic Firewall và Advanced Firewall (cấu hình giao diện vùng DMZ, lọc dịch vụ TCP/UDP, kiểm tra Audit Trails qua Syslog) bằng công cụ Cisco SDM.
• Bài 4: Giới thiệu về Forefront Threat Management Gateway (TMG): Trình bày phiên bản Microsoft Forefront TMG 2010 (kế thừa ISA Server 2006). Khảo sát các tính năng: Enhanced VoIP, ISP Link Redundancy, Web anti-malware, URL filtering, HTTPS inspection, E-mail protection (tích hợp Forefront Protection 2010 for Exchange Server), Network Inspection System (NIS), Network Access Protection (NAP), VPN SSTP trên Windows Server 2008 / Windows Server 2008 R2 64-bit. Hướng dẫn các yêu cầu phần cứng (CPU 2–4 cores, RAM tối thiểu 2GB, phân vùng NTFS, tối thiểu 2 card mạng) và phần mềm (AD LDS, Network Policy Server, NLB, .NET Framework 3.5 SP1). Hướng dẫn quy trình cài đặt Preparation Tool, Wizard TMG, và kỹ thuật thiết lập Access Rules (chế độ mặc định Deny, chuyển đổi Allow cho các nhóm Outbound Traffic, Selected Protocols).

Kiến thức nền tảng được xây dựng

Giáo trình cung cấp các khối lý thuyết nền tảng về:

• Lý thuyết kiểm soát truy cập và phân tích gói tin: Kiểm tra thông tin điều khiển (Header) gồm địa chỉ IP nguồn/đích, cổng TCP/UDP, loại thông điệp ICMP, và các cờ phân mảnh (SYN, ACK) trên mô hình mạng TCP/IP.
• Nguyên lý phân vùng an ninh: Thiết lập vùng mạng nội bộ (Internal), vùng mạng ngoài không tin cậy (External), và vùng mạng dịch vụ trung gian (Demilitarized Zone - DMZ).
• Mô hình phòng thủ chiều sâu (Defense-in-depth): Phối hợp giữa tường lửa lọc gói tin tại biên mạng, máy chủ proxy ủy thác ứng dụng, hệ thống ngăn chặn xâm nhập (IPS/IDS), và các cơ chế chứng thực người dùng đa yếu tố.

Kỹ năng phát triển

Người học được rèn luyện các kỹ năng kỹ thuật và năng lực thực hành:

• Kỹ năng kỹ thuật (Technical skills): Thao tác cấu hình bảo mật thiết bị định tuyến Cisco thông qua giao diện dòng lệnh và giao diện đồ họa Cisco SDM; cài đặt và quản trị các vai trò trên Windows Server (Active Directory Lightweight Directory Services, Network Policy and Access Server); thiết lập chính sách kiểm soát lưu lượng trên Microsoft Forefront TMG 2010.
• Kỹ năng phân tích (Analytical skills): Đánh giá và nhận diện các dấu vết tấn công mạng (Reconnaissance, Buffer overflow, IP Spoofing); phân tích lưu lượng gói tin qua phần mềm Wireshark và Blue's PortScanner; rà soát lỗ hổng bảo mật với Microsoft Baseline Security Analyzer và Nmap.
• Kỹ năng thực hành chuyên môn (Practical competencies): Triển khai giải pháp phòng vệ điểm biên cho doanh nghiệp; sao lưu và phục hồi tập tin cấu hình, hình ảnh hệ điều hành (IOS Image); xuất và nhập các chính sách tường lửa phục vụ quản trị mạng.

---

Phương pháp giảng dạy và học tập (300-350 từ)

Giáo trình được biên soạn theo phương pháp tiếp cận mô đun tích hợp (Modular Competency-Based Training), gắn liền giữa cơ sở lý thuyết an ninh mạng và các quy trình thao tác kỹ thuật thực nghiệm. Giảng viên sử dụng tài liệu để hướng dẫn sinh viên phân tích bản chất của từng kỹ thuật lọc gói tin và chuyển đổi địa chỉ mạng trước khi cho sinh viên thao tác trực tiếp trên thiết bị hoặc hệ thống máy ảo mô phỏng.

Hệ thống bài tập và nghiên cứu tình huống trong tài liệu được thiết kế bám sát thực tế vận hành mạng doanh nghiệp:

• Bài tập tình huống cấu hình thiết bị (Bài 2 & Bài 3): Yêu cầu người học thiết lập mô hình mạng đa router, cấu hình các giao thức định tuyến động như RIPv2, EIGRP; cấu hình mật khẩu bí mật (Secret password); cấu hình chứng thực Local AAA cho cổng Console và truy cập từ xa qua Telnet trên Router R1; thiết lập Access Control List (ACL) để hạn chế quyền truy cập quản trị thiết bị từ các máy trạm không được cấp phép.
• Bài tập triển khai mô hình tường lửa nâng cao (Bài 3 & Bài 4): Yêu cầu người học sử dụng tính năng AutoSecure để cấu hình Context-Based Access Control (CBAC) Firewall, triển khai Zone-Based Policy Firewall (ZBF/ZPF/ZFW) qua công cụ Cisco SDM, phân hoạch vùng DMZ, và sử dụng công cụ Nmap trên máy trạm PC-A, PC-C để kiểm tra tính toàn vẹn của hệ thống.
• Quy trình thực hành phần mềm (Bài 4): Cung cấp từng bước hướng dẫn bằng hình ảnh chụp giao diện thực tế (Wizard-based steps) từ khâu chạy công cụ chuẩn bị Preparation Tool, chọn lựa vai trò Enterprise Management Server (EMS), gán card mạng nội bộ (Internal Adapter), cho đến việc khởi tạo các Access Rules trên Forefront TMG 2010.

Về phương pháp đánh giá, giảng viên căn cứ vào câu hỏi ôn tập lý thuyết cuối mỗi bài (kiểm tra khả năng phân biệt Stateful/Stateless, nguyên lý Proxy, nhận diện tấn công) kết hợp đánh giá kết quả cấu hình chính sách mạng thông qua các bài kiểm tra rà quét cổng và kiểm tra thông tuyến thực tế. Sinh viên được yêu cầu tuân thủ các chỉ dẫn tự học: rèn luyện quy trình an toàn với thiết bị máy tính, chủ động thực nghiệm các bài quét cổng mạng trong phòng thí nghiệm ảo và tự sao lưu dữ liệu cấu hình.

---

Điểm nổi bật và cập nhật (250-300 từ)

Giáo trình ghi nhận các nội dung kỹ thuật mang tính thực tiễn tại thời điểm biên soạn (năm 2019):

• Nâng cấp giải pháp máy chủ bảo mật: Giáo trình cung cấp bảng phân tích so sánh chi tiết giữa phiên bản cũ ISA Server 2006 và Microsoft Forefront Threat Management Gateway (TMG) 2010. Tài liệu chỉ rõ các cải tiến của TMG 2010 như: hỗ trợ kiến trúc 64-bit trên Windows Server 2008 SP2 và Windows Server 2008 R2, cho phép mở rộng khả năng khai thác phần cứng đa nhân (từ 2 đến 4 core) và bộ nhớ dung lượng lớn.
• Tích hợp các cơ chế bảo mật biên hiện đại: Tài liệu đưa vào nội dung các công nghệ kiểm soát an ninh chuyên sâu gồm:
  • HTTPS Inspection: Cho phép kiểm tra và giải mã các gói tin mã hóa SSL/TLS nhằm ngăn chặn mã độc ẩn giấu và xác thực tính hợp lệ của SSL Certificate.
  • Network Inspection System (NIS): Ngăn chặn các cuộc tấn công nhắm vào các lỗ hổng bảo mật đã được công bố của Microsoft.
  • Web Anti-malware & URL Filtering: Kiểm soát truy cập web dựa trên phân loại nội dung danh mục (Content Categorization) và quét phần mềm độc hại theo thời gian thực.
  • ISP Link Redundancy: Hỗ trợ cân bằng tải và chịu lỗi (Load balancing & Failover) cho doanh nghiệp sử dụng nhiều đường truyền Internet.
• Kết nối giải pháp doanh nghiệp: Giáo trình tích hợp giải pháp của các nhà cung cấp giải pháp mạng lớn: giải pháp định tuyến bảo mật trên Cisco IOS Router (sử dụng SDM, CBAC, Zone-Based Firewall) kết hợp hệ thống kiểm soát thư điện tử qua Forefront Protection 2010 for Exchange Server và Exchange Edge Transport Server.

---

Đối tượng sử dụng giáo trình (200-250 từ)

Giáo trình Xây dựng hệ thống Firewall được thiết kế cho các nhóm đối tượng và mục đích học tập cụ thể:

• Sinh viên: Phục vụ trực tiếp cho sinh viên năm thứ hai hoặc năm thứ ba đang theo học trình độ Cao đẳng và Trung cấp nghề thuộc chuyên ngành Quản trị mạng máy tính, Công nghệ thông tin.
• Điều kiện tiên quyết (Prerequisites): Người học bắt buộc phải hoàn thành các học phần: Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, và Cấu hình và quản trị thiết bị mạng. Người học cần nắm vững kiến thức về mô hình TCP/IP, cấu trúc gói tin, bảng định tuyến, và các câu lệnh quản trị thiết bị cơ bản.
• Giảng viên: Tài liệu đóng vai trò là khung giáo trình chuẩn để xây dựng đề cương bài giảng, kế hoạch bài dạy tích hợp và ngân hàng đề thi đánh giá kỹ năng nghề cho mô đun MĐ 24 tại các cơ sở giáo dục nghề nghiệp.
• Tự học và tham khảo: Kỹ thuật viên mạng, quản trị viên hệ thống có thể sử dụng giáo trình như một tài liệu tham khảo kỹ thuật để tra cứu các quy trình chuẩn hóa về cấu hình Cisco IOS Firewall, sử dụng Cisco SDM, thiết lập phân vùng DMZ, và cài đặt hệ thống máy chủ Forefront TMG 2010.

---

Câu hỏi thường gặp (250-300 từ)

1. Giáo trình này phù hợp với ai?

Giáo trình được biên soạn chuyên biệt cho học sinh, sinh viên bậc Cao đẳng và Trung cấp nghề thuộc ngành Quản trị mạng máy tính; đồng thời là tài liệu tham khảo cho giảng viên và kỹ thuật viên quản trị mạng tại các doanh nghiệp vừa và nhỏ.

2. Cần kiến thức nền nào để học?

Người học cần hoàn thành các mô đun tiên quyết bao gồm Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, và Cấu hình và quản trị thiết bị mạng; có hiểu biết về giao thức mạng (IP, TCP, UDP, ICMP), kỹ thuật định tuyến (RIPv2, EIGRP), và kiến thức quản trị hệ điều hành Windows Server.

3. Điểm khác biệt của giáo trình so với các tài liệu khác?

Tài liệu tập trung vào kỹ năng cấu hình và triển khai kỹ thuật thực tế trên cả hai nền tảng: tường lửa phần cứng (Cisco IOS Router qua Cisco SDM) và tường lửa phần mềm máy chủ (Microsoft Forefront TMG 2010 trên Windows Server 2008), cung cấp các chỉ dẫn từng bước qua hình ảnh giao diện thực tế thay vì chỉ trình bày lý thuyết khái niệm.

4. Làm sao để tự học hiệu quả với tài liệu này?

Người học cần kết hợp đọc hiểu lý thuyết cơ chế (Stateless/Stateful, Proxy, NAT) và tiến hành thực hành song song trên môi trường lab ảo (sử dụng phần mềm giả lập mạng cho thiết bị Cisco và máy ảo Windows Server 2008 để cài đặt TMG 2010); đồng thời giải quyết toàn bộ các bài tập tình huống cấu hình hệ thống mạng và rà quét bảo mật có trong giáo trình.

5. Có tài liệu và bài tập bổ trợ nào kèm theo?

Giáo trình tích hợp sẵn hệ thống câu hỏi ôn tập lý thuyết cuối mỗi bài, bảng thông số phân hoạch địa chỉ IP cho các kịch bản mạng thực hành, các hướng dẫn sử dụng công cụ kiểm tra an ninh (Wireshark, Blue's PortScanner, Nmap, MBSA) và phần mục lục tra cứu thuật ngữ chuyên môn cùng danh mục tài liệu tham khảo.

---

Kết luận (150 từ)

Giáo trình Xây dựng hệ thống Firewall (Mã mô đun: MĐ 24) của Trường Cao đẳng Nghề An Giang là tài liệu học thuật hoàn chỉnh, đáp ứng chuẩn đầu ra của chương trình đào tạo nghề Quản trị mạng máy tính. Giá trị cốt lõi của tài liệu thể hiện qua cấu trúc bài giảng mang tính ứng dụng cao, liên kết chặt chẽ giữa các khái niệm an toàn thông tin với quy trình triển khai kỹ thuật thực tế trên thiết bị Cisco và hệ điều hành Windows Server.

Lộ trình học tập đề xuất cho người học là tiếp cận tuần tự: bắt đầu từ việc nắm vững mô hình kiến trúc mạng (Bài 1), thực hành bảo mật thiết bị định tuyến (Bài 2), làm chủ quy trình cấu hình Cisco IOS Firewall (Bài 3), và hoàn thiện kỹ năng triển khai máy chủ bảo mật biên Forefront TMG 2010 (Bài 4). Người học có thể mở rộng thực hành bằng cách kết hợp tài liệu này với các công cụ kiểm tra an ninh chuyên dụng như Wireshark, Nmap và hệ thống tài liệu tham khảo kỹ thuật đi kèm.

Trích đoạn nội dung tài liệu

ỦY BAN NHÂN DÂN TỈNH AN GIANG TRƯỜNG CAO ĐẲNG NGHỀ AN GIANG GIÁO TRÌNH D H T NGHỀ QUẢN TRỊ MẠNG MÁY TÍNH T ì độ c o đẳ (Ban hành theo Quyết định số: /QĐ-CĐN ngày tháng năm 20 của Hiệu trưởng trường Cao đẳng nghề An Giang) Tên tác giả : Lê Thị Ngọc Trâm Năm ban hành: 2019 TUYÊN BỐ BẢN QUYỀN Tài liệu này thuộc loại sách giáo trình nên các nguồn thông tin có thể được phép dùng nguyên bản hoặc trích dùng cho các mục đích về đào tạo và tham khảo. Mọi mục đích khác mang tính lệch lạc hoặc sử dụng với mục đích kinh doanh thiếu lành mạnh sẽ bị nghiêm cấm. LỜI GIỚI THIỆU An toàn thông tin là nhu cầu rất quan trọng đối với các cá nhân cũng như xã hội và các quốc gia trên thế giới. Mạng máy tính an toàn thông tin được tiến hành thông qua các phương pháp vật lý và hành chính.

Từ khi ra đời cho đến nay mạng máy tính đã đem lại hiệu quả vô cùng to lớn trong tất cả các lĩnh vực của đời sống. Bên cạnh đó người sử dụng phải đối mặt với các hiềm họa do thông tin trên mạng của họ bị tấn công. An toàn thông tin trên mạng máy tính bao gồm các phương pháp nhằm bảo vệ thông tin được lưu giữ và truyền trên mạng. An toàn thông tin trên mạng máy tính là một lĩnh vực đang được quan tâm đặc biệt đồng thời cũng là một công việc hết sức khó khăn và tphức tạp.

Thực tế đã chứng tỏ rằng có một tình trạng rất đáng lo ngại khi bị tấn công thông tin trong quá trình xử lý, truyền và lưu giữ thông tin. Những tác động bất hợp pháp lên thông tin với mục đích làm tổn thất, sai lệch, lấy cắp các tệp lưu giữ tin, sao chép các thông tin mật, giả mạo người được phép sử dụng thông tin trong các mạng máy tính. Tường lửa (Firewall) không chỉ là một dạng phần mềm (như tường lửa trên Windows) mà nó còn có thể là phần cứng chuyên dụng trong các mạng doanh nghiệp. Các tường lửa là phần cứng này giúp máy tính của các công ty có thể phân tích dữ liệu ra để đảm bảo rằng malware không thể thâm nhập vào mạng, kiểm soát hoạt động trên máy tính mà nhân viên của họ đang sử dụng.

Nó cũng có thể lọc dữ liệu để chỉ cho phép một máy tính chỉ có thể lướt web, vô hiệu hóa việc truy cập vào các loại dữ liệu khác. Nội dung cuốn sách được dùng để giảng dạy bậc cao đẳng và trung cấp chuyên ngành công nghệ thông tin. Giúp cho sinh viên có kiến thức cơ bản nhất về tường lửa (Firewall). Tài liệu gồm các nội dung chính sau: - Bài 1: Giới thiệu Firewall - Bài 2: Tăng cường bảo mật cho thiết bị - Bài 3: Triển khai hệ thống Firewall - Bài 4: Giới thiệu về Forefront Threat Managerment Gateway (TMG) Do thời gian còn hạn chế, tài liệu chắc chắn không thể tránh khỏi những thiếu sót.

Rất mong nhận được các ý kiến đóng góp và xây dựng của bạn đọc. Xin chân thành cảm ơn! An Giang, ngày tháng năm 2019 Tham gia biên soạn 1. Chủ biên: Lê Thị Ngọc Trâm 2. Phản biện: Phương Phương Thúy 1 MỤC LỤC ĐỀ MỤC TRANG Lời giới thiệu.

2 BÀI 1: GIỚI THIỆU FIREWALL. Mô hình triển khai. Các thành phần cơ bản của Firewall. Nguyên lý hoạt động của Firewall .9 BÀI 2: TĂNG CƯỜNG BẢO MẬT CHO THIẾT BỊ.

Các loại tấn công vào hệ thống mạng. Cấu hình bảo mật. 17 BÀI 3: TRIỂN KHAI HỆ THỐNG FIREWALL. Giới thiệu Cisco IOS Firewall.

Cấu hình Cisco IOS Firewall. 24 BÀI 4: GIỚI THIỆU VỀ FOREFRONT THREAT MANAGERMENT GATEWAY (TMG). Tìm Hiểu Forefrent TMG. Triển khai cài đặt TMG.

36 Thuật ngữ chuyên môn. 65 Tài liệu tham khảo. 66 2 GIÁO TRÌNH MÔN HỌC/MÔ ĐUN Tên mô đun: XÂY DỰNG HỆ THỐNG FIREWALL Mã mô đun: MĐ 24 Vị trí, tính chất, ý nghĩa và vai trò của môn học/mô đun: - Vị trí: Mô đun được bố trí sau khi sinh viên học xong môn học, mô đun Mạng máy tính, Quản trị mạng 1, Công nghệ mạng không dây, Cấu hình và quản trị thiết bị mạng. - Tính chất: Là môn học chuyên ngành bắt buộc.

- Ý nghĩa và vai trò của môn học/mô đun: Mục tiêu của môn học/mô đun: - Về Kiến thức: + Nhận biết được các thành phần cơ bản Firewall, mô hình triển khai thực tế. + Trình bày các loại tấn công vào hệ thống mạng. + Trình bày được vai trò các kỹ thuật packet filtering. + Trình bày được vai trò và ứng dụng của proxy.

+ Trình bày được tầm quan trọng của TMG trong việc bảo vệ hệ thống mạng + Hiểu được các tính năng trên TMG + Hiểu được khái quát các khả năng và nét đặc trưng của TMG - Về kỹ năng: + Cài đặt và cấu hình được các chính sách mặc định của Firewall, thực hiện chính xác thao tác sao lưu cấu hình mặc định của Firewall; + Thực hiện được thao tác xuất, nhập các chính sách của Firewall ra thành file; + Cài đặt và cấu hình được ISA Server trên windows Server. + Cài đặt được TMG trên Windows Server theo đúng qui định + Thiết lập được các rule để bảo mật cho hệ thống + Thiết lập Web Client Protection để bảo vệ các mối đe dọa duyệt Web + Thiết lập E-mail Protection để bảo vệ người dùng khỏi các mối đe dọa từ e-mail + Thiết lập Network Intrusion System để bảo vệ máy tính và các máy chủ khỏi các nổ lực xâm nhập - Về năng lực tự chủ và trách nhiệm: Bố trí làm việc khoa học đảm bảo an toàn cho người và phương tiện học tập. Nội dung của môn học/mô đun: được thể hiện qua các bài sau: - Bài 1: Giới thiệu Firewall - Bài 2: Tăng cường bảo mật cho thiết bị - Bài 3: Triển khai hệ thống Firewall - Bài 4: Giới thiệu về Forefront Threat Managerment Gateway (TMG) 3 BÀI 1: GIỚI THIỆU FIREWALL -------------- Giới thiệu Qua bài này trình bày được giới thiệu Firewall, các mô hình triển khai và nguyên lý hoạt động của Firewall. Mục tiêu: - Nhận biết được các thành phần cơ bản của Firewall, mô hình triển khai thực tế - Trình bày được vai trò và các kỹ thuật packet filtering - Trình bày được vai trò và ứng dụng của proxy - Thực hiện các thao tác an toàn với máy tính.

Nội dung chính: I. MÔ HÌNH TRIỂN KHAI 1. Mô hình Bastion Host: Bastion Host Firewall là một trạm được cấu hình để chặn đứng mọi cuộc tấn công từ phía bên ngoài vào. Đây là điểm giao tiếp trực tiếp với mạng không tin cậy bên ngoài, do đó dễ bị tấn công nhất.

Có hai dạng của máy phòng thủ: Máy phòng thủ có hai card mạng, một nối với hệ thống bên trong (mạng nội bộ) và card còn lại nối với bên ngoài mạng Internet. Đây là dạng tường lửa có từ rất sớm, nó yêu cầu người sử dụng bên trong phải kết nối với tường lửa trước khi làm việc với mạng bên ngoài. Với giải pháp này tường lửa đã cô lập được mạng bên trong với mạng bên ngoài bằng những máy phòng thủ (host) nhưng nó cũng tạo ra một sự thiếu tự nhiên trong việc kết nối giữa người sử dụng bên trong với mạng bên ngoài. Dạng thứ hai của cơ cấu phòng thủ này là máy phòng thủ có một card mạng được nối trực tiếp đến một hệ riêng biệt trên mạng – gateway mức ứng dụng.

Gateway này cung cấp điều khiển vào ra. Bộ định tuyến (rounter) có nhiều chức năng trong cấu hình này. Nó không chỉ định hướng các gói đến hệ nội bộ, mà còn cho phép các hệ thống nội mở kết nối với Internet hoặc không cho phép kết nối. Kiến trúc screening subnet còn bổ sung thêm tầng an toàn để tách mạng nội bộ với Internet.

Lý do để làm việc này là tránh cho mạng nội bộ khỏi bị tấn công nếu như bastion host bị đánh sập. Mô hình Back-End Firewall: Back-End Firewall có một NIC nối với external interface và NIC còn lại nối với mạng internal interface. Back-end firewall này có nhiệm vụ kiểm soát traffic từ external và Internet tới mạng internal. Mô hình 3-leg (Three-homed) Cần tới một thiết bị có ba NIC (network interface card).

Trong đó, một NIC nối với mạng external, NIC thứ hai nối với mạng DMZ, và NIC còn lại nối với mạng internal. Đó là lý do tại sao người ta gọi nó là “3-legged firewall” (mỗi “chân” của firewall chính là một NIC của nó). Lúc này “3- legged firewall” phải có khả năng kiểm soát toàn bộ traffic vào/ra giữa ba mạng (internal, external và DMZ) và nó trở thành điểm chịu lỗi duy nhất (single point of failure) cho toàn hệ thống mạng. Nếu có sự cố xảy ra với “3- legged firewall” này thì cả DMZ và mạng internal đều không còn được bảo vệ nhưng bù lại không phải tốn chi phí đầu tư thêm một firwewall nữa.

CÁC THÀNH PHẦN CƠ BẢN CỦA FIREWALL 1. Packet Filter: - Là chức năng chính của Firewall, điều khiển truy cập mạng bằng phân tích các gói tin đi vào/ đi ra. - Thành phần quan trọng trong bảo mật ở mạng vành đai (Perimeter Security) - Ưu điểm: Không làm tốn băng thông - Packets bao gồm 2 loại nội dung chính: Thông tin điều khiển (Header), dữ liệu (Data). - Nội dung Header trong Packet được dùng để cho phép hoặc cấm packet đó khi đi qua firewall trên 5 cơ sở Port, IP address và Protocol.

Các thiết bị hỗ trợ Packet Filtering - Router: Packet Filter ngăn chặn các traffic xâm nhập trái phép. - Hệ điều hành: Windows và Linux xây dựng sẵn công cụ thực thi Packet Filtering trên chồng giao thức TCP/IP. Ví dụ: ZoneAlarm, Check Point Firewall – 1 đều hỗ trợ packet filtering. Các loại Packet Filtering - Stateless (static) packet filtering + Xem nội dung trong header của packet và quyết định cho phép hoặc loại bỏ packet đó.

+ Cấm traffic từ một subnet. - Stateful Packet Filtering (Stateful Inspection): duy trì trạng thái của kết nối trong khi thực thi tất cả chức năng của Stateful Packet Filtering. - Không quan tâm đến kết nối đã được thiết lập hay không. - Kỹ thuật này thường dùng khi muốn ngăn cấm hoàn toàn một traffic xác định.

- Cấu hình Stateful Packet Filtering dựa trên: + Thông tin IP header + TCP/UDP Port number + ICMP message type + Fragmentation flags (ACK, SYN) - Duy trì bảng trạng thái của các kết nối hiện tại. - Kiểm tra tính hợp lệ của gói tin trên cơ sở bảng trạng thái và các luật. - Cho phép các Packets trên cơ sở các Packets mới trước đây đã được chấp nhận.