Luận Văn Thạc Sĩ: Giải Pháp Bảo Vệ Mạng Bằng Access List Tại Trường Đại Học Khoa Học Tự Nhiên

Luận văn thạc sĩ nghiên cứu áp dụng access list vào bảo vệ mạng trường đại học khoa học tự nhiên, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện pháp hoàn thiện trong lĩnh

• Trường học: Trường Đại Học Khoa Học Tự Nhiên
• Đề tài: Áp Dụng Access List Bảo Vệ Mạng Trường Đại Học Khoa Học Tự Nhiên
• Loại tài liệu: luận văn

Mục lục chi tiết

• 1. CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI
• 1.1. Mục tiêu, nhiệm vụ của đề tài
• 1.2. Các thiết bị, công cụ sử dụng
• 2. CHƯƠNG 2: PHƯƠNG PHÁP NGHIÊN CỨU
• 2.1. Các tác nhân đe dọa đến bảo mật mạng
• 2.1.1. Các tác nhân không có cấu trúc
• 2.1.2. Các tác nhân có cấu trúc
• 2.1.3. Các tác nhân xuất phát từ bên ngoài
• 2.1.4. Các tác nhân xuất phát từ bên trong
• 2.2. Các loại tấn công
• 2.2.1. Tấn công từ chối dịch vụ (DoS)
• 2.2.1.1. Ping Of Death
• 2.2.2. Tấn công từ chối dịch vụ phân tán (DDoS)
• 2.3. Các kỹ thuật phòng chống
• 2.3.1. Cách gán vào một interface
• 2.3.2. Cách xóa Access List
• 2.3.3. CheckPoint Safe@Office 225
• 2.3.4. Cấu hình server
• 2.4. Mô hình mạng trường
• 2.4.1. Mô hình mạng
• 2.4.2. Tình trạng hệ thống website khoa CNTT bị tấn công
• 2.5. Chính sách bảo mật trên Cisco Router để chống DoS, DDoS
• 2.5.1. Sử dụng NetFlow để phát hiện tấn công DoS
• 2.5.2. Lọc lưu lượng - Filtering Traffic
• 2.5.2.1. Lọc lưu lượng cho các dịch vụ trên Router
• 2.5.2.2. Lọc lưu lượng đi qua Router
• 3. CHƯƠNG 3: GIẢI PHÁP VÀ THỰC NGHIỆM
• 3.1. Mô hình ứng dụng
• 3.2. Phương án thực hiện
• 3.3. Giải pháp xử lý
• 4. CHƯƠNG 4: KẾT LUẬN
• 4.1. Những công việc làm được
• 4.2. Những công việc chưa làm được
• 4.3. Hướng phát triển
• PHỤ LỤC
• 5.1. Routing Information Protocol (RIP)
• 5.2. Cách thực thi chương trình
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan luận văn áp dụng Access List bảo vệ mạng trường

Hạ tầng mạng trường đại học giữ vai trò cốt lõi trong công tác quản lý và đào tạo hiện đại. Hệ thống này kết nối hàng nghìn thiết bị của giảng viên, sinh viên và cán bộ nhân viên. Mạng giáo dục liên tục đối mặt với các nguy cơ an ninh nghiêm trọng. Kẻ tấn công thường xuyên xâm nhập để đánh cắp dữ liệu điểm số, tài liệu nghiên cứu và đề thi. Đề tài luận văn thạc sĩ nghiên cứu việc triển khai Access List trên thiết bị mạng nhằm thiết lập rào chắn bảo vệ vững chắc. Access Control List đóng vai trò bộ lọc gói tin tại cổng vào và cổng ra của bộ định tuyến. Cơ chế này kiểm tra từng gói tin dựa trên địa chỉ nguồn, địa chỉ đích, giao thức và số hiệu cổng. Thiết bị chỉ cho phép lưu lượng hợp lệ đi qua và loại bỏ ngay lập tức các luồng dữ liệu độc hại. Việc áp dụng giải pháp này nâng cao tính bảo mật mà không làm phát sinh chi phí đầu tư phần cứng mới. Quản trị viên chủ động giám sát lưu lượng và ngăn chặn các nguy cơ gián đoạn hoạt động đào tạo.

1.1. Mục tiêu và nhiệm vụ nghiên cứu của đề tài

Mục tiêu trọng tâm của nghiên cứu là xây dựng kiến trúc an ninh mạng vững chắc cho môi trường đại học. Đề tài tập trung phân tích các lỗ hổng mạng phổ biến tại các cơ sở giáo dục hiện nay. Nghiên cứu khảo sát toàn diện hạ tầng mạng hiện hữu của trường. Từ đó, tác giả xác định chính xác các điểm nghẽn an ninh và nguy cơ tấn công tiềm ẩn. Nhiệm vụ cụ thể bao gồm việc thiết kế chính sách lọc dữ liệu thông minh trên thiết bị chuyển mạch và định tuyến. Nghiên cứu kiểm tra hiệu quả ngăn chặn các cuộc tấn công mạng nguy hiểm. Đề tài cung cấp tài liệu kỹ thuật hoàn chỉnh làm tài liệu tham khảo thực tiễn cho các kỹ sư quản trị hệ thống trường học.

1.2. Khái niệm cơ bản về Access Control List trên router

Access Control List là tập hợp các câu lệnh logic được cấu hình trên bộ định tuyến nhằm kiểm soát lưu lượng. Mỗi dòng lệnh chỉ định điều kiện cho phép hoặc từ chối gói tin đi qua giao diện mạng. Bộ định tuyến xử lý các quy tắc theo thứ tự tuần tự từ trên xuống dưới. Ngay khi phát hiện gói tin trùng khớp quy tắc, hệ thống thực thi hành động tương ứng và dừng kiểm tra. Cấu trúc này luôn kết thúc bằng mệnh lệnh ngầm từ chối tất cả dữ liệu không thỏa mãn điều kiện. Quản trị viên phân loại ACL thành hai dạng chính gồm Standard ACL và Extended ACL. Dạng tiêu chuẩn chỉ kiểm tra địa chỉ IP nguồn. Dạng mở rộng kiểm tra chi tiết cả địa chỉ nguồn, đích, giao thức và cổng dịch vụ.

II. Phân tích hiểm họa an ninh và áp dụng Access List bảo vệ mạng

Hạ tầng mạng trường đại học sở hữu quy mô rộng lớn và đặc thù mở. Hệ thống phục vụ đồng thời công tác đào tạo, quản trị hành chính và nghiên cứu khoa học. Tính chất mở này tạo ra nhiều kẽ hở an ninh nguy hiểm. Các cuộc tấn công mạng bắt nguồn từ cả hai phía bên trong và bên ngoài. Mối đe dọa bên ngoài thường đến từ tội phạm mạng chuyên nghiệp hoặc tin tặc quốc tế. Mối đe dọa bên trong xuất phát từ mã độc trên máy tính cá nhân của sinh viên và cán bộ thiếu kiến thức an toàn thông tin. Những phương thức tấn công phổ biến nhất gồm có từ chối dịch vụ DoS và từ chối dịch vụ phân tán DDoS. Điển hình là các hình thức Ping of Death, SYN Flood và Smurf Attack. Kẻ xấu bơm hàng loạt gói tin giả mạo để làm cạn kiệt tài nguyên xử lý của máy chủ web và hệ thống đăng ký tín chỉ. Băng thông đường truyền bị nghẽn khiến người dùng hợp lệ không thể kết nối. Nếu thiếu các chính sách Access List phù hợp, hệ thống thông tin nhà trường sẽ tê liệt hoàn toàn trước các đợt lưu lượng bất thường.

2.1. Phân loại tác nhân đe dọa bảo mật mạng trường

Tác nhân đe dọa bảo mật mạng trường học chia làm hai nhóm: có cấu trúc và không có cấu trúc. Nhóm không có cấu trúc gồm các tin tặc nghiệp dư sử dụng công cụ quét tự động. Nhóm có cấu trúc quy tụ những kẻ tấn công có chuyên môn cao và mục tiêu rõ ràng. Chúng tập trung thâm nhập cơ sở dữ liệu điểm và đánh cắp tài liệu mật. Đồng thời, hệ thống còn chịu rủi ro lớn từ môi trường nội bộ. Thiết bị cá nhân của sinh viên nhiễm mã độc thường biến thành các máy tính ma Zombie. Mạng nội bộ từ đó trực tiếp phát tán các đợt lưu lượng tấn công diện rộng.

2.2. Nguy cơ từ các hình thức tấn công DoS và DDoS

Tấn công từ chối dịch vụ DoS và DDoS gây thiệt hại nặng nề cho các dịch vụ trực tuyến của trường. Phương thức Ping of Death gửi các gói tin ICMP có kích thước vượt quá giới hạn giao thức IP. Thao tác này làm tràn bộ đệm khiến hệ điều hành máy chủ bị sập ngay lập tức. Trong khi đó, tấn công Smurf lợi dụng tính chất broadcast để khuếch đại lưu lượng phản hồi ICMP. Hàng nghìn máy trạm gửi phản hồi dồn dập khiến băng thông cạn kiệt. Những cuộc tấn công phân tán còn huy động hàng loạt botnet tấn công đồng thời vào dịch vụ web. Cơ sở dữ liệu và cổng thông tin đào tạo lập tức rơi vào trạng thái quá tải. Hoạt động học tập gián đoạn nghiêm trọng, gây tổn thất lớn cho nhà trường.

III. Giải pháp áp dụng Access List bảo vệ mạng trường toàn diện

Giải pháp đề xuất trong luận văn tập trung vào việc áp dụng chính sách lọc lưu lượng chuyên sâu trên thiết bị định tuyến Cisco. Mô hình triển khai kết hợp đồng bộ giữa lọc gói tin đi qua router và kiểm soát truy cập trực tiếp vào các dịch vụ quản trị nội bộ. Kỹ thuật viên thiết lập các tập luật Standard và Extended Access List nhằm phân tách ranh giới an toàn giữa các phân vùng mạng. Các phân vùng trọng yếu bao gồm khu vực máy chủ dịch vụ, khu vực phòng thực hành máy tính và hệ thống mạng không dây dành cho sinh viên. Quản trị viên chỉ cho phép các cổng dịch vụ tiêu chuẩn như HTTP, HTTPS, DNS và SSH hoạt động bình thường. Tất cả các luồng dữ liệu bất thường hoặc chứa địa chỉ IP giả mạo bị chặn đứng tại ranh giới ngoài cùng. Bên cạnh đó, đề tài kết hợp công nghệ giám sát NetFlow nhằm nhận diện sớm dấu hiệu tấn công DoS và DDoS. Hệ thống phân tích dòng dữ liệu giúp nhận biết đột biến lưu lượng theo thời gian thực. Nhờ đó, người quản trị mạng chủ động cập nhật các quy tắc lọc kịp thời, bảo vệ tối đa độ ổn định của toàn bộ hệ thống mạng trường.

3.1. Thiết lập chính sách lọc lưu lượng trên Cisco Router

Quá trình thiết lập chính sách lọc lưu lượng trên Cisco Router đòi hỏi tính toán thứ tự câu lệnh chuẩn xác. Quản trị viên sử dụng Extended ACL để lọc chi tiết các gói tin nguy hại. Hệ thống ngăn chặn hoàn toàn các gói tin ICMP kích thước lớn gửi đến địa chỉ máy chủ nội bộ. Các lưu lượng broadcast có nguy cơ gây tấn công khuếch đại Smurf cũng bị vô hiệu hóa lập tức trên các cổng giao tiếp. Bên cạnh việc bảo vệ dữ liệu đi qua thiết bị, bộ định tuyến cũng cần tự bảo vệ. Quản trị viên áp dụng Access List lên các đường truyền ảo VTY. Biện pháp này ngăn chặn truy cập Telnet và SSH trái phép từ các địa chỉ IP ngoài danh sách quản trị được ủy quyền.

3.2. Ứng dụng NetFlow phát hiện và ngăn chặn tấn công DoS

NetFlow là công nghệ phân tích lưu lượng mạng mạnh mẽ do Cisco phát triển. Công cụ này thu thập và theo dõi các thông số quan trọng của từng luồng dữ liệu. Các trường thông tin bao gồm IP nguồn, IP đích, giao thức và số lượng gói tin trên giây. Quản trị viên sử dụng NetFlow để giám sát luồng lưu lượng di chuyển qua router theo thời gian thực. Khi xảy ra hiện tượng tấn công DoS hoặc Smurf, bảng ghi NetFlow lập tức hiển thị mật độ gói tin tăng vọt bất thường từ một dải IP cụ thể. Hệ thống quản trị ghi nhận các dấu hiệu này và tự động phát cảnh báo. Dựa trên dữ liệu thống kê chính xác, chuyên viên kỹ thuật cấu hình bổ sung quy tắc Access List mới nhằm chặn đứng luồng lưu lượng độc hại.

IV. Đánh giá kết quả ứng dụng Access List bảo vệ mạng trường

Thực nghiệm thực tế khẳng định việc áp dụng Access List mang lại hiệu quả bảo vệ vượt trội cho mạng trường. Hệ thống phòng thủ ngăn chặn thành công các đợt kiểm thử tấn công giả lập DoS, DDoS và quét cổng trái phép. Tải xử lý của máy chủ trung tâm duy trì ở ngưỡng an toàn ngay cả trong giờ cao điểm học tập. Băng thông đường truyền được giải phóng khỏi các luồng dữ liệu rác, giúp cổng dịch vụ đào tạo phản hồi mượt mà. Mô hình kỹ thuật trong luận văn chứng minh tính khả thi và khả năng mở rộng cao. Giải pháp tận dụng tối đa năng lực phần cứng sẵn có của hệ thống router mạng Cisco. Nhà trường không cần đầu tư thêm ngân sách lớn cho các thiết bị tường lửa chuyên dụng đắt đỏ. Kết quả nghiên cứu mở ra hướng đi bền vững cho công tác bảo mật tại các cơ sở giáo dục đào tạo. Quá trình nâng cấp trong tương lai có thể tích hợp thêm các hệ thống phòng ngừa xâm nhập chuyên sâu như IPS và tường lửa thế hệ mới để tăng cường bảo vệ.

4.1. Hiệu quả thực nghiệm và những ưu điểm đạt được

Thử nghiệm thực tế chứng minh hiệu năng xử lý của mạng trường duy trì ổn định cao sau khi kích hoạt các chính sách Access List. Thời gian phản hồi của hệ thống thông tin nội bộ giảm rõ rệt. Đường truyền không còn tình trạng nghẽn mạch do các truy vấn giả mạo. Các gói tin ICMP độc hại bị triệt tiêu hoàn toàn ngay từ cổng định tuyến ranh giới. Ưu điểm nổi bật nhất của phương án là khả năng vận hành trực tiếp trên thiết bị sẵn có. Đề tài giúp nhà trường tiết kiệm đáng kể kinh phí bảo mật mà vẫn đảm bảo tính an toàn mạng. Mô hình cung cấp giải pháp quản lý linh hoạt, cho phép người quản trị dễ dàng bổ sung dải địa chỉ tin cậy bất cứ lúc nào.

4.2. Hạn chế còn tồn tại và hướng phát triển hệ thống

Mặc dù đạt nhiều kết quả tích cực, giải pháp lọc bằng Access List vẫn tồn tại một số hạn chế nhất định. Danh sách Access List tĩnh thiếu khả năng tự động hóa khi đối phó các cuộc tấn công DDoS phân tán quy mô lớn. Kỹ thuật viên phải can thiệp thủ công để phân tích log và bổ sung luật mới. Ngoài ra, việc thiết lập danh sách luật quá dài có thể làm giảm hiệu năng xử lý của router đời cũ. Hướng nghiên cứu tiếp theo sẽ tập trung tích hợp các giải pháp tường lửa thế hệ mới và hệ thống phát hiện xâm nhập IDS/IPS. Sự kết hợp này mang lại khả năng phân tích gói tin ở tầng ứng dụng. Hệ thống mạng sẽ tự động nhận diện hành vi bất thường và ngăn chặn hiểm họa hiệu quả hơn.

Nội dung chính

Tổng quan nghiên cứu

Bảo mật hệ thống mạng tại các cơ sở giáo dục đại học đang trở thành bài toán cấp thiết trong bối cảnh tấn công mạng gia tăng mạnh mẽ. Cuộc tấn công DoS nổi tiếng nhất diễn ra vào tháng 9/1996 khiến nhà cung cấp dịch vụ Internet PANIX bị tê liệt hơn một tuần, từ chối dịch vụ cho khoảng 6.000 cá nhân và 1.000 công ty — con số đủ để minh chứng sức tàn phá khổng lồ của loại tấn công này. Những cái tên lớn như Yahoo, eBay cũng đã từng là nạn nhân của DoS, cho thấy không hệ thống nào hoàn toàn miễn nhiễm.

Luận văn thạc sĩ "Áp dụng Access List vào bảo vệ mạng trường Đại học Kỹ thuật Công nghệ TP.HCM" được thực hiện bởi Phạm Văn Tâm và Đỗ Lê Mỹ Hạnh dưới sự hướng dẫn của Th.S Lê Mạnh Hải, tập trung giải quyết ba vấn đề cốt lõi: phân tích toàn diện các hình thức tấn công mạng phổ biến, nghiên cứu chuyên sâu về Access Control List (ACL), và triển khai giải pháp thực nghiệm bảo vệ Web Server của Khoa Công nghệ Thông tin trước các cuộc tấn công DoS và DDoS.

Phạm vi nghiên cứu bao gồm hệ thống mạng thực tế tại Trường ĐHKTCN TP.HCM, với hạ tầng kết nối Internet qua DSU/CSU và phân vùng mạng có địa chỉ 203.0/24. Thông qua thử nghiệm kiểm soát bằng công cụ Apache DoS, nhóm nghiên cứu đã xác nhận website Khoa CNTT bị sập hoàn toàn — kết quả này khẳng định tính cấp thiết và giá trị thực tiễn của đề tài trong việc xây dựng chính sách bảo mật phù hợp với quy mô và ngân sách của trường đại học.

---

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu xây dựng trên nền tảng hai khung lý thuyết chính:

Mô hình bảo mật mạng phân lớp (Layered Network Security Model): Dựa trên mô hình OSI 7 lớp, nghiên cứu xác định các điểm tấn công tại từng tầng — từ tầng mạng (Layer 3) với Ping of Death và Smurf, đến tầng vận chuyển (Layer 4) với SYN Flood, nhằm áp dụng biện pháp phòng thủ đúng lớp. Ping of Death khai thác giới hạn kích thước gói tin TCP/IP tối đa 65.536 byte, trong khi SYN Flood tấn công vào cơ chế bắt tay ba bước của giao thức TCP.

Lý thuyết kiểm soát truy cập (Access Control Theory): ACL được tiếp cận như một hệ thống quy tắc lọc gói tin tuyến tính — mỗi gói tin được so khớp từ trên xuống dưới theo danh sách điều kiện. Khi thỏa điều kiện permit thì gói tin được chuyển tiếp; khi thỏa điều kiện deny thì bị loại bỏ; khi không khớp bất kỳ dòng nào thì mặc định bị khóa (implicit deny any). Ba khái niệm kỹ thuật cốt lõi được phân tích gồm: Standard ACL (lọc theo địa chỉ IP nguồn, số từ 1–99 và 1300–1999), Extended ACL (lọc đồng thời địa chỉ nguồn, đích, giao thức, port — số từ 100–199 và 2000–2699), Named ACL (sử dụng tên thay vì số, hỗ trợ xóa từng dòng lệnh linh động), cùng với cơ chế TCP Intercept và kỹ thuật Wildcard Mask trong tính toán điều kiện lọc.

Phương pháp nghiên cứu

Nguồn dữ liệu: Nghiên cứu kết hợp hai nguồn — dữ liệu sơ cấp từ khảo sát hệ thống mạng thực tế của Trường ĐHKTCN TP.HCM (bao gồm sơ đồ mạng, cấu hình Router 2511 hiện tại, log hệ thống), và dữ liệu thứ cấp từ tài liệu kỹ thuật của Cisco, Microsoft, cùng 12 tài liệu tham khảo chuyên ngành bảo mật mạng.

Phương pháp chọn mẫu và cỡ mẫu: Nghiên cứu sử dụng phương pháp chọn mẫu có chủ đích (purposive sampling) — chọn hệ thống mạng Trường ĐHKTCN làm đối tượng nghiên cứu vì đây là môi trường đại diện tiêu biểu cho cơ sở giáo dục quy mô vừa tại Việt Nam, nơi Router 2511 đang bộc lộ hạn chế bảo mật rõ ràng. Môi trường thực nghiệm sử dụng phần mềm Dynamips giả lập Router Cisco 7200 — lựa chọn này cho phép kiểm thử tính năng TCP Intercept của ACL mà không cần đầu tư phần cứng thực tế.

Phương pháp phân tích: Kết hợp phân tích định tính (mô tả cơ chế tấn công, xây dựng chính sách ACL) và thực nghiệm kiểm chứng (mô phỏng tấn công SYN Flood, đo lường kết quả trước/sau khi áp dụng ACL). Lý do lựa chọn phương pháp thực nghiệm là vì bảo mật mạng đòi hỏi bằng chứng vận hành thực tế, không thể chỉ dừng ở lý thuyết. NetFlow được kích hoạt trên các interface có nguy cơ cao để giám sát lưu lượng theo thời gian thực, xuất dữ liệu qua UDP đến NetFlow Server để phân tích bảng biểu.

---

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Phát hiện 1 — Hệ thống mạng hiện tại của trường có nguy cơ bị tê liệt hoàn toàn trước tấn công DoS. Qua thực nghiệm bằng công cụ Apache DoS, Web Server Khoa CNTT của Trường ĐHKTCN TP.HCM bị sập 100% với thông báo "Server cannot be found". Router 2511 đang sử dụng có tốc độ xử lý thấp và không có chính sách ACL bảo vệ, khiến toàn bộ hệ thống bên trong gần như không có khả năng chống chịu tấn công từ bên ngoài.

Phát hiện 2 — Tấn công SYN Flood và Smurf là hai mối đe dọa nghiêm trọng nhất đối với mô hình mạng trường đại học. SYN Flood khai thác cơ chế bắt tay ba bước của TCP: kẻ tấn công gửi hàng nghìn gói SYN với địa chỉ IP giả mạo, buộc server giữ hàng đợi half-open connection cho đến khi tràn — sau đó server từ chối toàn bộ kết nối hợp lệ. Smurf sử dụng địa chỉ broadcast (ví dụ 172.29.255.255 cho mạng 172.0/16) để khuếch đại lưu lượng ICMP ECHO REQUEST, làm nghẽn đường truyền của nạn nhân theo hệ số nhân bằng số lượng máy trong cùng subnet.

Phát hiện 3 — Extended ACL kết hợp TCP Intercept là giải pháp hiệu quả nhất cho môi trường đại học. Router Cisco 7200 hỗ trợ tính năng TCP Intercept trong ACL — khi kích hoạt, router đóng vai trò trung gian xác thực mỗi kết nối TCP trước khi chuyển tiếp đến server. Lệnh ip route-cache flow kích hoạt NetFlow giám sát lưu lượng theo từng luồng (flow), cho phép phân biệt traffic DoS qua chỉ số Total Flows, Packets/Sec, và Active(Sec)/Flow.

Phát hiện 4 — Chi phí tường lửa chuyên dụng vượt khả năng của nhiều trường đại học, ACL là giải pháp thay thế kinh tế. Một firewall đủ mạnh như NetGreen có giá hơn 75 triệu đồng, trong khi mô hình Netscreen-5GT Wireless dao động từ 700 đến 2.000 USD. ACL tích hợp sẵn trên Cisco Router hoàn toàn miễn phí và đã đáp ứng đủ yêu cầu lọc lưu lượng cho mạng quy mô trường đại học.

Thảo luận kết quả

Kết quả phát hiện thứ nhất lý giải tại sao nhiều hệ thống giáo dục tại Việt Nam vẫn dễ bị tấn công: sự thiếu hụt không đến từ công nghệ mà đến từ chính sách cấu hình. Router 2511 không phải thiết bị lỗi thời — vấn đề là chưa có ACL nào được gán vào interface.

Đáng chú ý, FortiGate tích hợp khả năng ngăn chặn hơn 1.300 kiểu xâm nhập, nhưng chi phí và độ phức tạp vận hành vượt xa năng lực của đơn vị giáo dục công lập. Kết quả này đồng thuận với quan điểm trong tài liệu kỹ thuật Cisco: giải pháp ACL trên router tích hợp dịch vụ (series 1800, 2800) là lựa chọn phù hợp nhất với quy mô doanh nghiệp vừa và nhỏ tại Việt Nam.

Kết quả có thể được trực quan hóa qua biểu đồ cột so sánh lưu lượng gói tin trước và sau khi kích hoạt TCP Intercept, kết hợp bảng NetFlow hiển thị các trường SrclPaddress, DstlPaddress, Pkts để định danh nguồn tấn công. Tuy nhiên, nghiên cứu thừa nhận giới hạn: tấn công xuất phát từ bên trong mạng LAN (insider threat) với địa chỉ nguồn và đích giống nhau — kiểu Land Exploit — không thể bị ngăn hoàn toàn bằng ACL trên router biên.

---

Đề xuất và khuyến nghị

1. Triển khai Extended ACL với TCP Intercept trên router biên ngay lập tức (chủ thể: Phòng Quản trị Mạng, thời hạn: trong vòng 30 ngày). Cấu hình access-list 110 deny tcp any any log kết hợp ip tcp intercept để chặn SYN Flood trước khi gói tin chạm đến Web Server. Mục tiêu: giảm tỷ lệ half-open connection xuống dưới ngưỡng TCPMaxHalfOpen mặc định là 100 kết nối đang chờ.

2. Kích hoạt NetFlow trên tất cả interface có lưu lượng Internet, xuất dữ liệu về máy chủ phân tích (chủ thể: Bộ phận kỹ thuật, thời hạn: trong vòng 15 ngày). Sử dụng cú pháp ip flow-export [IP_address] [UDP_port] version 5 để bổ sung số tuần tự cho từng segment, giúp NetFlow Server xác định được tỷ lệ mất gói và phát hiện sớm pattern tấn công Smurf qua lệnh show ip cache flow | include 0000.

3. Hiệu chỉnh registry TCP/IP trên Windows Server theo hướng dẫn Microsoft để tăng cường khả năng tự vệ của Web Server (chủ thể: Quản trị viên hệ thống, thời hạn: trong vòng 7 ngày). Thiết lập SynAttackProtect = 1 trong HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters, điều chỉnh TCPMaxHalfOpen = 100 và TCPMaxHalfOpenRetried = 80 để rút ngắn timeout phản hồi kết nối khi hệ thống phát hiện tấn công SYN Flood.

4. Xây dựng chính sách bảo mật phân lớp tích hợp ACL, IDS và giám sát định kỳ (chủ thể: Ban Giám hiệu và Phòng CNTT, thời hạn: trong vòng 90 ngày). Phân tách rõ vùng DMZ cho Web Server công cộng và Intranet nội bộ theo mô hình firewall chuẩn. Cài đặt Network-based IDS để giám sát dấu hiệu bất thường theo mẫu (signature-based detection), kết hợp quét định kỳ bằng công cụ như SARA hoặc Saint để phát hiện phần mềm DDoS zombie đã được cài trên các máy trong mạng. Thiết lập mật khẩu mạnh cho các dịch vụ có nguy cơ cao như Telnet và SNMP, hoặc hạn chế hoàn toàn qua Named ACL.

---

Đối tượng nên tham khảo luận văn

1. Quản trị viên mạng tại các trường đại học và cao đẳng: Luận văn cung cấp quy trình từng bước cấu hình Standard ACL, Extended ACL và Named ACL trực tiếp trên Cisco IOS với cú pháp lệnh đầy đủ. Đặc biệt hữu ích khi đơn vị đang sử dụng router Cisco series 1800, 2800 hoặc 7200 và cần bảo vệ Web Server mà không cần mua thêm thiết bị chuyên dụng. Người đọc có thể áp dụng ngay mô hình Wildcard Mask và cấu hình TCP Intercept vào hạ tầng thực tế trong vòng vài ngày.

2. Sinh viên và học viên ngành An toàn Thông tin, Mạng máy tính: Đây là tài liệu thực nghiệm minh họa rõ ràng cách SYN Flood, Ping of Death, Smurf, Land Exploit và DDoS vận hành ở mức kỹ thuật — bao gồm cả cấu trúc gói tin TCP/IP header, cờ SYN/ACK/RST, và cơ chế broadcast address. Kết hợp với phần mềm Dynamips giả lập Router 7200, sinh viên có thể tái hiện toàn bộ kịch bản tấn công và phòng thủ trong môi trường lab mà không cần phần cứng thực.

3. Chuyên gia tư vấn bảo mật cho doanh nghiệp vừa và nhỏ: Luận văn phân tích so sánh chi phí và tính năng giữa các giải pháp tường lửa phổ biến — từ FortiGate với khả năng ngăn chặn hơn 1.300 kiểu xâm nhập, đến CheckPoint Safe@Office 225, Netscreen-5GT Wireless, SonicWall PRO 2040 và giải pháp ACL trên Cisco Router — giúp tư vấn lựa chọn phương án phù hợp ngân sách.

4. Nhà hoạch định chính sách CNTT trong giáo dục: Nghiên cứu minh chứng cụ thể rằng một hệ thống mạng trường đại học có thể bị tê liệt hoàn toàn bởi tấn công DoS cơ bản, trong khi giải pháp phòng thủ hiệu quả hoàn toàn khả thi với ngân sách hạn chế. Đây là căn cứ kỹ thuật để xây dựng quy định bắt buộc về tiêu chuẩn bảo mật tối thiểu trong hạ tầng mạng giáo dục quốc gia.

---

Câu hỏi thường gặp

1. Access List (ACL) là gì và tại sao quan trọng trong bảo mật mạng đại học?

ACL là tập danh sách điều kiện kiểm soát truy cập, hoạt động trên Cisco Router để lọc gói tin theo địa chỉ IP, giao thức và số cổng. Mỗi gói tin được so khớp tuần tự từ trên xuống dưới — nếu không khớp bất kỳ điều kiện nào thì mặc định bị khóa. Trong môi trường đại học nơi Web Server phải chạy liên tục 24/24 phục vụ hàng nghìn người dùng, ACL là lớp bảo vệ đầu tiên hiệu quả và không tốn thêm chi phí phần cứng.

2. Sự khác biệt giữa tấn công DoS và DDoS là gì?

DoS (Denial of Service) xuất phát từ một nguồn duy nhất, làm cạn kiệt tài nguyên hệ thống (CPU, RAM, băng thông) bằng lưu lượng giả. DDoS (Distributed DoS) là phiên bản nâng cấp: hacker điều khiển đồng thời hàng trăm đến hàng nghìn máy zombie — được cài phần mềm như Trinoo, TFN2K — để đồng loạt tấn công cùng một mục tiêu. Cuộc tấn công PANIX năm 1996 tê liệt 1.000 công ty chỉ từ một nguồn DoS đơn giản, minh chứng sức tàn phá ngay cả ở quy mô nhỏ.

3. TCP Intercept hoạt động như thế nào để chống SYN Flood?

Khi TCP Intercept được kích hoạt trên Cisco Router 7200, router đứng ra làm trung gian thay vì để server xử lý trực tiếp. Router hoàn thành quá trình bắt tay ba bước với client — nhận SYN, gửi SYN-ACK, chờ ACK. Chỉ khi kết nối hoàn tất hợp lệ, router mới chuyển tiếp đến Web Server. Các half-open connection từ IP giả mạo bị router hủy sau timeout, bảo vệ hàng đợi kết nối của server khỏi bị tràn ngập.

4. Tại sao luận văn chọn Dynamips giả lập Router 7200 thay vì phần cứng thực?

Router Cisco 7200 hỗ trợ tính năng TCP Intercept — tính năng chống SYN Flood được tích hợp trong ACL — mà nhiều dòng router phổ thông khác không có. Phần mềm Dynamips giả lập đầy đủ môi trường IOS của 7200, cho phép cấu hình và kiểm thử toàn bộ lệnh ACL (access-list, ip access-group, ip tcp intercept) trong môi trường lab mà không cần đầu tư phần cứng thực, giảm chi phí thực nghiệm xuống gần bằng 0.

5. Làm thế nào để phát hiện sớm một cuộc tấn công DDoS đang xảy ra?

Ba dấu hiệu nhận biết rõ ràng nhất: (1) Số lượng lớn gói SYN xuất hiện trên mạng mà không có gói ACK trả lời tương ứng; (2) NetFlow báo cáo Packets/Sec tăng đột biến bất thường trên một giao thức cụ thể; (3) Lệnh netstat hiển thị hàng loạt half-open connection ở trạng thái SYN_RECV. Khi phát hiện, cần ngay lập tức kích hoạt công cụ quét zombie như Find_DDoS, đồng thời xem xét dùng lệnh show ip cache flow để định danh địa chỉ IP nguồn bất thường.

---

Kết luận

Luận văn đã hoàn thành những đóng góp thiết thực sau:

• Hệ thống hóa toàn diện các mối đe dọa bảo mật mạng từ tác nhân không có cấu trúc đến tác nhân có tổ chức, bao gồm 6 hình thức tấn công phổ biến: IP Spoofing, DoS, DDoS, SYN Flood, Smurf và Ping of Death với phân tích cơ chế kỹ thuật chi tiết
• Chứng minh thực nghiệm rằng hệ thống mạng Trường ĐHKTCN TP.HCM dễ bị tê liệt hoàn toàn trước tấn công DoS với công cụ phổ thông
• Xây dựng và kiểm thử mô hình bảo mật tích hợp ACL + NetFlow + TCP Intercept trên nền tảng Cisco Router 7200 giả lập
• Cung cấp thư viện lệnh cấu hình đầy đủ cho Standard, Extended và Named ACL kèm Wildcard Mask — có thể áp dụng trực tiếp vào môi trường thực tế
• Đề xuất lộ trình bảo mật phân lớp phù hợp ngân sách cơ sở giáo dục, ưu tiên giải pháp ACL trên router tích hợp thay cho firewall chuyên dụng chi phí cao

Bước tiếp theo trong vòng 6 tháng: mở rộng nghiên cứu sang triển khai IDS kết hợp với ACL động (Dynamic ACL) và nghiên cứu áp dụng IPv6 ACL cho hạ tầng mạng thế hệ mới. Các nhà nghiên cứu, quản trị mạng và hoạch định chính sách CNTT trong giáo dục có thể khai thác ngay tài liệu này như một hướng dẫn triển khai thực tế — từ khảo sát hiện trạng đến cấu hình bảo vệ Web Server trong thời gian ngắn nhất có thể.