Luận văn thạc sĩ: Thiết kế mạng nội bộ an toàn cho doanh nghiệp - ĐHBK Hà Nội

Luận văn thạc sĩ nghiên cứu giải pháp thiết kế mạng nội bộ an toàn, tối ưu bảo mật và hiệu năng cho hệ thống công nghệ thông tin doanh nghiệp lớn.

• Tác giả: Đỗ Xuân Đỉnh
• Người hướng dẫn: PGS. Ngô Hồng Sơn
• Trường học: Trường Đại học Bách khoa Hà Nội
• Chuyên ngành: Kỹ thuật máy tính
• Đề tài: Thiết kế mạng nội bộ an toàn cho doanh nghiệp lớn
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2018
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng quan thiết kế mạng nội bộ an toàn cho doanh nghiệp quy mô lớn

Thiết kế mạng nội bộ an toàn cho doanh nghiệp quy mô lớn đóng vai trò sống còn trong kỷ nguyên số hóa. Hạ tầng mạng hiện đại phục vụ hàng nghìn người dùng phân tán trên nhiều tầng và chi nhánh. Mạng nội bộ không chỉ cung cấp kết nối thông suốt mà còn bảo vệ tài nguyên thông tin cốt lõi. Một hệ thống mạng chuẩn mực phải đáp ứng đồng thời tính sẵn sàng, độ tin cậy và khả năng mở rộng linh hoạt. Mô hình mạng doanh nghiệp thường chia thành các phân vùng chức năng rõ ràng. Các vùng bao gồm mạng LAN tòa nhà, trung tâm dữ liệu và vùng kết nối ngoài. Việc tổ chức này giúp quản trị viên kiểm soát luồng dữ liệu hiệu quả. Ngoài ra, cấu trúc phân tầng hỗ trợ cô lập sự cố cục bộ nhanh chóng. Doanh nghiệp cần xây dựng khung dịch vụ hạ tầng mạng hoàn chỉnh ngay từ giai đoạn đầu. Cơ chế vận hành thống nhất giúp giảm thiểu chi phí bảo trì và nâng cao năng lực giám sát. Đầu tư bài bản vào kiến trúc mạng nội bộ tạo nền tảng vững chắc cho mọi hoạt động sản xuất kinh doanh.

1.1. Kiến trúc phân tầng trong mô hình mạng doanh nghiệp

Mô hình mạng doanh nghiệp tiêu chuẩn áp dụng kiến trúc phân tầng gồm ba lớp cốt lõi: Core, Distribution và Access. Lớp Core đóng vai trò xương sống truyền tải dữ liệu tốc độ cao không nghẽn. Lớp Distribution chịu trách nhiệm định tuyến, áp dụng chính sách bảo mật và gom luồng lưu lượng từ các tầng. Lớp Access cung cấp cổng kết nối trực tiếp cho thiết bị đầu cuối như máy tính, máy in và điểm truy cập không dây. Sự tách biệt chức năng giữa các lớp mạng giúp tối ưu hóa hiệu năng phần cứng. Đồng thời, cấu trúc này giúp đơn giản hóa công tác bảo trì và mở rộng hệ thống khi doanh nghiệp tăng trưởng quy mô.

1.2. Khung dịch vụ hạ tầng và an toàn thông tin toàn diện

Khung dịch vụ hạ tầng mạng tích hợp toàn diện các thành phần kỹ thuật quan trọng của doanh nghiệp. Hệ thống bao gồm mạng cục bộ LAN, mạng diện rộng WAN và mạng di động không dây. Bên cạnh hạ tầng kết nối, hệ thống an ninh thông tin giữ vai trò kiểm soát an toàn dữ liệu. Khung bảo mật kết hợp tường lửa thế hệ mới, hệ thống phát hiện xâm nhập IDS/IPS và xác thực tập trung. Sự phối hợp đồng bộ giữa các thành phần dịch vụ đảm bảo truyền thông hợp nhất ổn định. Nhờ đó, doanh nghiệp duy trì liên lạc liên tục giữa các phòng ban mà vẫn kiểm soát chặt chẽ rủi ro an ninh.

II. Phân tích nguy cơ đe dọa thiết kế mạng nội bộ an toàn doanh nghiệp

Hệ thống mạng nội bộ doanh nghiệp quy mô lớn luôn đối mặt với nhiều hiểm họa an ninh phức tạp. Mối đe dọa không chỉ đến từ bên ngoài Internet mà còn bắt nguồn ngay bên trong mạng nội bộ. Các cuộc tấn công tầng liên kết dữ liệu Layer 2 thường gây ra hậu quả đặc biệt nghiêm trọng. Kẻ tấn công có thể lợi dụng sự tin cậy ngầm định giữa các thiết bị chuyển mạch để khai thác lỗ hổng. Những hình thức tấn công nguy hiểm bao gồm giả mạo ARP, giả mạo máy chủ DHCP và làm tràn bảng địa chỉ MAC. Tấn công giả mạo ARP cho phép kẻ xấu nghe lén hoặc sửa đổi thông tin nhạy cảm. Máy chủ DHCP giả mạo có thể cấp phát cấu hình sai lệch để điều hướng toàn bộ lưu lượng truy cập. Ngoài ra, việc gửi hàng loạt gói tin chứa địa chỉ MAC ngẫu nhiên khiến thiết bị chuyển mạch tê liệt chức năng. Sự cố này biến switch thành hub và làm lộ lọt dữ liệu ra toàn bộ phân đoạn mạng. Do đó, việc nhận diện chính xác các nguy cơ Layer 2 là tiền đề bắt buộc trước khi triển khai giải pháp phòng thủ.

2.1. Lỗ hổng bảo mật tại tầng liên kết dữ liệu Layer 2

Tầng liên kết dữ liệu Layer 2 vốn được thiết kế dựa trên sự tin tưởng lẫn nhau giữa các thiết bị mạng. Giao thức ARP không có cơ chế xác thực nguồn gốc thông điệp phản hồi. Kẻ tấn công dễ dàng gửi các gói tin ARP Reply giả mạo để chiếm quyền điều khiển bảng ARP của máy nạn nhân. Kỹ thuật tấn công Man-in-the-Middle này làm rò rỉ thông tin đăng nhập và dữ liệu mật. Tương tự, giao thức STP có thể bị lạm dụng bằng cách gửi thông điệp cấu hình giả để chiếm quyền Root Bridge, gây gián đoạn toàn bộ cây cấu trúc mạng.

2.2. Nguy cơ từ tấn công từ chối dịch vụ và cạn kiệt tài nguyên

Tấn công từ chối dịch vụ DoS trong mạng LAN trực tiếp đe dọa tính sẵn sàng của hạ tầng công nghệ. Kẻ tấn công sử dụng công cụ tự động gửi hàng nghìn yêu cầu DHCP Discover giả mạo. Hành động này làm cạn kiệt dải địa chỉ IP của máy chủ DHCP hợp lệ trong thời gian ngắn, ngăn cản người dùng mới kết nối. Bên cạnh đó, tấn công tràn bảng MAC ép bộ nhớ CAM của switch hoạt động quá tải. Switch buộc phải chuyển sang chế độ phát quảng bá mọi gói tin nhận được. Điều này không chỉ gây tắc nghẽn băng thông mà còn tạo cơ hội đánh cắp thông tin.

III. Giải pháp thiết kế mạng nội bộ an toàn và dự phòng cho doanh nghiệp

Xây dựng mạng nội bộ an toàn đòi hỏi sự kết hợp chặt chẽ giữa thiết kế kiến trúc dự phòng và kích hoạt các tính năng bảo mật chuyên sâu. Tại lớp lõi Core và Distribution, mô hình triển khai tối thiểu hai switch mạng kết nối chéo đa đường. Cấu hình này loại bỏ hoàn toàn điểm nghẽn đơn lẻ trong hệ thống. Khi một thiết bị hoặc đường truyền gặp sự cố, lưu lượng tự động chuyển hướng tức thì sang nhánh dự phòng. Tại lớp Access, công nghệ Stacking kết hợp đường truyền kép Uplink đảm bảo tính liên tục cho người dùng cuối. Song song với dự phòng phần cứng, doanh nghiệp phải kích hoạt các cơ chế bảo mật chuyển mạch chủ động. Tính năng DHCP Snooping phân định rõ cổng tin cậy và không tin cậy để ngăn chặn máy chủ lạ. Dynamic ARP Inspection dựa trên cơ sở dữ liệu DHCP Snooping để kiểm tra tính hợp lệ của mọi gói tin ARP. Tính năng Port Security giới hạn số lượng địa chỉ MAC trên mỗi cổng truy cập nhằm triệt tiêu nguy cơ MAC Flooding. Việc triển khai đồng bộ các giải pháp này thiết lập hàng rào phòng thủ vững chắc ngay tại cổng vào của mạng nội bộ.

3.1. Thiết kế kiến trúc phần cứng dự phòng đa tầng độc lập

Kiến trúc dự phòng phần cứng bảo đảm tính sẵn sàng cao cho toàn bộ hệ thống mạng doanh nghiệp. Mỗi phân vùng LAN tòa nhà và trung tâm dữ liệu bố trí hai switch Core hoạt động độc lập kết nối chéo. Khi một switch lõi ngừng hoạt động, thiết bị còn lại ngay lập tức duy trì toàn bộ lưu lượng định tuyến. Tại các tầng làm việc, các switch Access được ghép nối theo công nghệ Stacking thông minh. Mỗi cụm Stack duy trì hai đường Uplink kết nối trực tiếp về hai switch Distribution riêng biệt. Mô hình này giúp loại bỏ hoàn toàn rủi ro gián đoạn dịch vụ khi xảy ra sự cố cáp hoặc phần cứng.

3.2. Triển khai các cơ chế bảo mật chuyển mạch lớp Access

Triển khai bảo mật lớp chuyển mạch Access giúp ngăn chặn triệt để các cuộc tấn công nội bộ. Tính năng DHCP Snooping thiết lập danh sách cổng Trusted chỉ dành cho máy chủ DHCP được ủy quyền. Đồng thời, hệ thống tự động ghi nhận bảng ánh xạ IP-MAC của người dùng. Tính năng Dynamic ARP Inspection khai thác dữ liệu này để loại bỏ các bản tin ARP giả mạo. Bên cạnh đó, Port Security khóa chặt số lượng địa chỉ MAC trên mỗi cổng vật lý. Nếu phát hiện lưu lượng bất thường, switch sẽ tự động đóng cổng vi phạm. Các kỹ thuật này bảo vệ an toàn tuyệt đối cho phân đoạn mạng biên.

IV. Đánh giá hiệu quả và ứng dụng thiết kế mạng nội bộ an toàn thực tế

Mô hình thiết kế mạng nội bộ an toàn mang lại giá trị thực tiễn to lớn cho các tổ chức quy mô lớn. Kết quả kiểm thử thực nghiệm trên mô hình giả lập chứng minh khả năng kháng cự vượt trội trước các kịch bản tấn công nguy hiểm. Hệ thống hoàn toàn miễn nhiễm với tấn công đầu độc ARP Cache, cô lập thành công máy chủ DHCP giả và loại bỏ nguy cơ làm tràn bảng CAM. Khả năng phục hồi đường truyền diễn ra gần như tức thì, đảm bảo phiên làm việc của người dùng không bị gián đoạn. Ứng dụng giải pháp vào thực tế giúp doanh nghiệp xây dựng nền tảng công nghệ thông tin vững chắc. Các phân vùng mạng được quản lý tập trung, minh bạch và dễ dàng giám sát hiệu năng. Doanh nghiệp có thể linh hoạt mở rộng thêm văn phòng, người dùng hoặc tích hợp các dịch vụ đám mây mới mà không phá vỡ cấu trúc an ninh hiện hữu. Việc tuân thủ quy trình thiết kế chuẩn hóa không chỉ bảo vệ tài sản số quý giá mà còn tối ưu hóa chi phí đầu tư dài hạn cho hạ tầng mạng.

4.1. Kết quả kiểm thử thực nghiệm các kịch bản tấn công

Quá trình kiểm thử mô phỏng khẳng định độ tin cậy của các giải pháp kỹ thuật đã triển khai. Trong kịch bản tấn công giả mạo ARP bằng công cụ chuyên dụng, switch kích hoạt DAI và chặn đứng mọi gói tin sai lệch. Bảng ARP của các máy nạn nhân luôn duy trì trạng thái chính xác. Tương tự, khi xuất hiện DHCP Server lạ, tính năng DHCP Snooping ngăn chặn việc phát tán cấu hình độc hại ngay tại cổng vào. Đối với tấn công MAC Flooding, Port Security lập tức chuyển cổng vi phạm sang trạng thái Shutdown. Mạng lưới duy trì hoạt động thông suốt mà không gặp hiện tượng nghẽn mạch.

4.2. Khuyến nghị vận hành và mở rộng mạng nội bộ doanh nghiệp

Vận hành hệ thống mạng nội bộ quy mô lớn đòi hỏi quy trình kiểm soát chặt chẽ và liên tục. Đội ngũ kỹ trị cần thiết lập chính sách sao lưu định kỳ cấu hình thiết bị Core và Distribution. Việc giám sát nhật ký sự kiện thông qua máy chủ Syslog tập trung giúp phát hiện sớm các dấu hiệu xâm nhập bất thường. Khi mở rộng quy mô chi nhánh, doanh nghiệp cần giữ vững nguyên tắc phân tầng và quy hoạch dải VLAN mạch lạc. Đồng thời, việc cập nhật firmware định kỳ cho thiết bị chuyển mạch đóng vai trò then chốt trong việc vá các lỗ hổng bảo mật mới phát sinh.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số, hạ tầng mạng nội bộ đóng vai trò là mạch máu thông tin quyết định trực tiếp đến hiệu suất vận hành và an toàn dữ liệu của các tổ chức quy mô lớn. Luận văn thạc sĩ kỹ thuật của tác giả Đỗ Xuân Đỉnh tại Trường Đại học Bách Khoa Hà Nội tập trung giải quyết bài toán thiết kế hệ thống mạng cục bộ an toàn, có tính sẵn sàng cao và khả năng phục hồi vượt trội cho doanh nghiệp lớn. Đối tượng nghiên cứu thực nghiệm là tòa nhà trụ sở chính gồm 11 tầng nổi và 2 tầng hầm, với tổng diện tích sàn lên tới hơn 39.000 m2 (trung bình 3.000 m2 mỗi sàn), phục vụ trực tiếp 1.300 nhân sự làm việc đồng thời cùng một Trung tâm dữ liệu nội bộ với 425 nút mạng chuyên dụng.

Vấn đề cốt lõi đặt ra là phần lớn các vụ tấn công nguy hiểm trong doanh nghiệp xuất phát từ bên trong mạng nội bộ thông qua các giao thức lớp 2 vốn thiếu cơ chế xác thực mặc định như ARP, DHCP và bảng chuyển mạch MAC. Mục tiêu cụ thể của nghiên cứu là xây dựng mô hình mạng 2 lớp tối ưu, thiết lập các ranh giới bảo mật logic, triển khai chính sách phòng vệ đa tầng trên thiết bị chuyển mạch và mô phỏng thực nghiệm các kịch bản tấn công phức tạp. Nghiên cứu mang ý nghĩa thực tiễn to lớn khi giúp doanh nghiệp giảm thiểu tới 35% chi phí đầu tư thiết bị so với mô hình 3 lớp truyền thống, đảm bảo thời gian chuyển mạch dự phòng dưới 50 mili-giây và nâng cao độ sẵn sàng của toàn hệ thống đạt mức 99,99%.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu ứng dụng khung kiến trúc dịch vụ doanh nghiệp chuẩn mực kết hợp các mô hình phân lớp mạng tiên tiến của Cisco và chuẩn giao thức IEEE. Về mặt kiến trúc, khung bảo vệ hạ tầng mạng tập trung vào 4 trụ cột: bảo vệ nền tảng mạng, bảo vệ vùng biên, bảo vệ trung tâm dữ liệu và kiểm soát truy cập đầu cuối. Các khái niệm và mô hình lý thuyết chủ đạo được đưa vào vận hành bao gồm:

Thứ nhất, mô hình mạng phân cấp rút gọn kết hợp tầng lõi và tầng phân phối thành một khối chuyển mạch logic, giúp tập trung hóa chính sách định tuyến và kiểm soát quảng bá. Thứ hai, lý thuyết bảo mật lớp liên kết dữ liệu bao gồm chuẩn IEEE 802.1Q phân chia mạng LAN ảo, cơ chế xác thực người dùng cổng IEEE 802.1X kết hợp giao thức EAP, cùng chuẩn mã hóa dữ liệu đường truyền IEEE 802.1AE MACsec. Thứ ba, các giải pháp ngăn chặn lạm dụng giao thức mạng như Port Security giới hạn địa chỉ vật lý, DHCP Snooping ngăn chặn máy chủ cấp IP giả mạo, Dynamic ARP Inspection chống nhiễm độc bộ nhớ đệm ARP và BPDU Guard bảo vệ cây Spanning Tree.

Phương pháp nghiên cứu

Phương pháp nghiên cứu được triển khai theo quy trình kỹ thuật hệ thống 5 bước: khảo sát hiện trạng hạ tầng mặt bằng, xác định nhu cầu dịch vụ, lựa chọn công nghệ, thiết kế kiến trúc tổng thể và cấu hình chi tiết giải pháp an toàn thông tin. Về dữ liệu khảo sát, cỡ mẫu phân tích bao gồm toàn bộ 1.300 người dùng phân bổ trên 13 tầng nhà và 425 cổng kết nối máy chủ, thiết bị lưu trữ, tường lửa tại Trung tâm dữ liệu. Phương pháp chọn mẫu là chọn mẫu định lượng toàn phần theo yêu cầu tải thực tế của tòa nhà trụ sở tập đoàn công nghệ.

Lý do lựa chọn phương pháp phân tích thực nghiệm mô phỏng kết hợp kiểm thử thâm nhập là nhằm đánh giá chính xác các lỗ hổng giao thức trong môi trường kiểm soát trước khi triển khai trên hệ thống sản xuất. Tác giả sử dụng các công cụ tấn công chuyên dụng như Kali Linux, Ettercap, Wireshark, Yersinia và Macof để mô phỏng 3 kịch bản tấn công điển hình: giả mạo thông điệp ARP, tấn công làm cạn kiệt dịch vụ DHCP và tấn công làm tràn ngập bảng địa chỉ MAC của thiết bị chuyển mạch. Toàn bộ quá trình nghiên cứu và đo lường hiệu năng được thực hiện trong thời gian 12 tháng với các tiêu chí định lượng rõ ràng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình mô phỏng và kiểm thử bảo mật trên mô hình thiết kế thực tế đã mang lại 4 phát hiện kỹ thuật mang tính đột phá:

Thứ nhất, kịch bản tấn công giả mạo thông điệp ARP nhằm thực hiện kỹ thuật tấn công đứng giữa chuyển hướng gói tin đã bị vô hiệu hóa hoàn toàn 100%. Khi kích hoạt tính năng Dynamic ARP Inspection kết hợp cơ sở dữ liệu DHCP Snooping Binding, thiết bị chuyển mạch tự động đối chiếu và hủy bỏ ngay lập tức các gói tin ARP giả mạo trong thời gian xử lý chưa tới 0,01 giây, ngăn chặn triệt để hành vi đánh cắp dữ liệu đăng nhập và phiên làm việc.

Thứ hai, thử nghiệm tấn công làm tràn bảng MAC bằng công cụ Macof với tốc độ hơn 10.000 gói tin rác mỗi giây đã không thể làm tê liệt hệ thống. Nhờ cấu hình Port Security giới hạn tối đa 2 địa chỉ MAC trên mỗi cổng truy cập của người dùng và thiết lập cơ chế khóa cổng tự động khi xảy ra vi phạm, bảng MAC của switch vẫn duy trì trạng thái ổn định với mức tải CPU luôn dưới ngưỡng 15%.

Thứ ba, cuộc tấn công cấp phát DHCP giả mạo và làm cạn kiệt dải địa chỉ IP đã bị ngăn chặn tuyệt đối. Tính năng DHCP Snooping phân định rõ ràng các cổng tin cậy dành riêng cho máy chủ DHCP hợp lệ tại Trung tâm dữ liệu và các cổng không tin cậy tại tầng người dùng, giúp 100% yêu cầu nhận IP của máy trạm được bảo vệ an toàn.

Thứ tư, hiệu năng truyền dẫn và tính sẵn sàng của hệ thống mạng 2 lớp đạt mức tối ưu. Băng thông đường trục từ các tầng về Trung tâm dữ liệu đạt tốc độ 10 Gbps với 2 đường cáp quang chạy song song ở chế độ dự phòng chủ động, thời gian tự động chuyển mạch khi xảy ra sự cố đứt cáp hoặc lỗi thiết bị lõi ghi nhận thực tế chỉ mất dưới 50 mili-giây.

Thảo luận kết quả

Các kết quả thực nghiệm khẳng định rằng việc loại bỏ tầng phân phối độc lập để chuyển sang mô hình 2 lớp Collapsed Core kết hợp Stacking switch lõi không chỉ giúp giảm đáng kể độ trễ truyền gói tin giữa các VLAN mà còn triệt tiêu các điểm nghẽn cổ chai. Việc phân chia ranh giới vật lý và logic thành 2 vùng mạng độc lập gồm Vùng sử dụng dịch vụ của 1.300 người dùng tòa nhà và Vùng cung cấp dịch vụ của Trung tâm dữ liệu đã tạo ra một mô hình phòng thủ theo chiều sâu chặt chẽ.

Trong phân tích thực nghiệm, dữ liệu về lưu lượng và tải hệ thống được biểu diễn trực quan qua các bảng thống kê cổng kết nối và biểu đồ đường theo dõi hiệu năng CPU của thiết bị chuyển mạch. Biểu đồ đường so sánh tải CPU trước và sau khi kích hoạt cơ chế Control Plane Policing cho thấy đỉnh tải giảm từ 98% xuống mức ổn định 12% khi xảy ra bão gói tin phát sóng. So với các mô hình mạng truyền thống chỉ dựa vào tường lửa tại cổng biên Internet, giải pháp triển khai an ninh trực tiếp tại các cổng chuyển mạch truy cập lớp 2 của luận văn đã lấp kín khoảng trống bảo mật nội bộ nguy hiểm nhất hiện nay.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu, 4 giải pháp khuyến nghị kỹ thuật được đề xuất nhằm xây dựng và nâng cấp hệ thống mạng cho các doanh nghiệp lớn:

Thứ nhất, chuyển đổi kiến trúc mạng sang mô hình 2 lớp với cặp thiết bị chuyển mạch lõi chạy cơ chế ảo hóa dự phòng 1-1, thiết lập liên kết đường trục cáp quang 10 Gbps kép tới từng tầng. Mục tiêu hướng tới là đạt thời gian phục hồi dịch vụ dưới 1 giây khi có sự cố phần cứng, hoàn thành triển khai trong vòng 90 ngày do Đội ngũ Kỹ sư Hạ tầng mạng chủ trì.

Thứ two, cấu hình chuẩn hóa gói chính sách an ninh lớp 2 bắt buộc bao gồm Port Security, DHCP Snooping, Dynamic ARP Inspection và BPDU Guard trên 100% cổng switch truy cập. Mục tiêu loại bỏ hoàn toàn các vụ tấn công nội bộ phát sinh từ cổng người dùng, tiến hành áp dụng trên toàn bộ hạ tầng trong thời hạn 60 ngày dưới sự giám sát của Chuyên viên Bảo mật mạng.

Thứ ba, phân tách ranh giới logic chi tiết giữa Vùng người dùng và Vùng Trung tâm dữ liệu bằng hệ thống VLAN chuyên biệt kết hợp tường lửa thế hệ mới kiểm soát luồng dữ liệu truy cập theo vai trò. Mục tiêu duy trì tỷ lệ 0 sự cố lây nhiễm mã độc chéo giữa máy trạm và máy chủ, hoàn thành trong vòng 120 ngày do Quản trị viên Hệ thống thực hiện.

Thứ tư, xây dựng hệ thống giám sát an ninh mạng tập trung sử dụng giao thức quản lý mã hóa SNMPv3 kết hợp tính năng Port Mirroring để dẫn luồng dữ liệu về hệ thống phát hiện xâm nhập IDS chuyên dụng. Mục tiêu giảm thời gian phát hiện hành vi bất thường xuống dưới 5 phút, đưa vào vận hành liên tục trong quý tiếp theo do Bộ phận Giám sát An toàn thông tin đảm nhiệm.

Đối tượng nên tham khảo luận văn

Luận văn thạc sĩ này mang lại giá trị học thuật và ứng dụng thực tiễn cao cho 4 nhóm đối tượng chính:

Thứ nhất, các Kỹ sư Thiết kế và Quy hoạch Hạ tầng Mạng tại các tập đoàn lớn, ngân hàng và cơ quan chính phủ. Họ có thể sử dụng toàn bộ bản vẽ thiết kế, bảng tính toán số lượng cổng, mô hình dự phòng uplink kép và sơ đồ phân tầng mạng 2 lớp làm mẫu chuẩn để triển khai cho các tòa nhà văn phòng có quy mô từ 1.000 đến 5.000 nhân sự.

Thứ hai, các Chuyên gia Phân tích An toàn Thông tin và Kiểm thử Thâm nhập mạng nội bộ. Nhóm này có thể ứng dụng chi tiết các kịch bản tấn công thực nghiệm cùng bộ quy tắc cấu hình phòng vệ ARP Spoofing, DHCP Snooping và Port Security để củng cố hệ thống phòng thủ lớp 2 của tổ chức.

Thứ ba, các Quản trị viên Hệ thống và Trung tâm Dữ liệu Doanh nghiệp. Luận văn cung cấp phương pháp phân chia vùng dịch vụ khoa học, quản trị 425 kết nối máy chủ an toàn và thiết lập chính sách kiểm soát truy cập nghiêm ngặt giữa máy trạm và máy chủ.

Thứ tư, Giảng viên, Nhà nghiên cứu và Học viên Cao học chuyên ngành Kỹ thuật Máy tính, An toàn Mạng và Truyền thông Dữ liệu. Công trình là tài liệu tham khảo chất lượng về phương pháp luận nghiên cứu thực nghiệm, kết hợp giữa lý thuyết mạng phân tầng của Cisco và các tiêu chuẩn bảo mật quốc tế IEEE.

Câu hỏi thường gặp

Tại sao mô hình mạng 2 lớp lại vượt trội hơn mô hình 3 lớp trong thiết kế trụ sở doanh nghiệp này? Mô hình 2 lớp kết hợp tầng phân phối và tầng lõi giúp tiết kiệm 35% chi phí đầu tư thiết bị chuyển mạch trung gian cho tòa nhà 11 tầng. Kiến trúc này giảm độ trễ truyền dữ liệu, đơn giản hóa cấu hình quản trị tập trung và tối ưu hóa hiệu năng chuyển mạch với đường trục 10 Gbps kép.

Bộ đôi tính năng DHCP Snooping và Dynamic ARP Inspection ngăn chặn tấn công đứng giữa như thế nào? DHCP Snooping theo dõi các gói tin cấp IP hợp lệ để xây dựng bảng ánh xạ tin cậy giữa địa chỉ IP, MAC và cổng vật lý. Dynamic ARP Inspection sử dụng cơ sở dữ liệu này để kiểm tra tính hợp lệ của mọi bản tin ARP, tự động loại bỏ 100% các thông điệp ARP giả mạo trong 0,01 giây.

Giải pháp nào đảm bảo hệ thống mạng 1.300 người dùng duy trì hoạt động liên tục khi xảy ra sự cố phần cứng? Hệ thống sử dụng cặp switch lõi ảo hóa thành một thực thể logic duy nhất kết hợp 2 đường kết nối uplink cáp quang riêng biệt từ mỗi tầng. Khi một đường cáp hoặc một switch lõi gặp sự cố, lưu lượng tự động chuyển đổi trong thời gian dưới 50 mili-giây mà không làm gián đoạn kết nối của người dùng.

Làm thế nào để vô hiệu hóa hoàn toàn nguy cơ tấn công làm cạn kiệt bảng địa chỉ MAC của thiết bị chuyển mạch? Quản trị viên kích hoạt tính năng Port Security trên các cổng truy cập, thiết lập giới hạn tối đa 2 địa chỉ MAC trên một cổng và áp dụng cơ chế khóa cổng khi có vi phạm. Nhờ đó, các công cụ sinh địa chỉ MAC giả lập ngập lụt với tốc độ 10.000 gói mỗi giây đều bị ngăn chặn tức thì.

Vì sao cần phân tách độc lập Vùng mạng người dùng và Vùng Trung tâm dữ liệu? Phân tách thành 2 vùng mạng riêng biệt giúp cô lập miền quảng bá và thiết lập tường lửa kiểm soát chặt chẽ luồng truy cập tới 425 kết nối máy chủ. Điều này ngăn ngừa mã độc lây lan từ các máy tính cá nhân ở các tầng văn phòng vào hệ sinh thái máy chủ ứng dụng cốt lõi của doanh nghiệp.

Kết luận

Công trình nghiên cứu đã giải quyết trọn vẹn và khoa học bài toán xây dựng hạ tầng mạng nội bộ an toàn cho doanh nghiệp quy mô lớn thông qua 5 đóng góp chính:

• Hoàn thiện thiết kế mạng phân lớp tối ưu đáp ứng toàn diện nhu cầu làm việc của 1.300 nhân sự và 425 nút mạng máy chủ tại Trung tâm dữ liệu.
• Chuẩn hóa và áp dụng thành công bộ giải pháp an ninh lớp 2 chuyên sâu gồm Port Security, DHCP Snooping, Dynamic ARP Inspection và Spanning Tree Guard.
• Kiểm chứng thực nghiệm thành công 100% khả năng miễn nhiễm của hệ thống trước các phương thức tấn công giả mạo ARP, phá hoại DHCP và làm ngập bảng MAC.
• Tối ưu hóa hiệu quả tài chính khi cắt giảm 35% ngân sách phần cứng nhờ kiến trúc mạng rút gọn mà vẫn đảm bảo thời gian chuyển mạch dự phòng dưới 50 mili-giây.
• Định hình kế hoạch phát triển 12 tháng tiếp theo nhằm mở rộng tích hợp mô hình bảo mật không tin cậy Zero Trust và xác thực người dùng tập trung chuẩn IEEE 802.1X trên nền tảng đám mây.

Các nhà quản lý CNTT và chuyên gia hạ tầng hãy nhanh chóng áp dụng khung thiết kế và các chính sách an ninh lớp 2 từ luận văn này để nâng tầm an toàn thông tin cho doanh nghiệp của mình ngay hôm nay.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. GIỚI THIỆU CHUNG Chương này chúng tôi trình bày tổng quan về các dịch vụ trên hệ thống mạng (mô hình khung dịch vụ mạng cho doanh nghiệp), từ đó tập trung trình bày về dịch vụ hạ tầng mạng nội bộ cho doanh nghiệp. Mô hình hệ thống khung dịch vụ. Cấu trúc khung dịch vụ là mạng lưới dịch vụ cơ bản mà tất cả các dịch vụ, ứng dụng và giải pháp của các doanh nghiệp cần sử dụng để tương tác và kết nối với nhau.

Đây là quan điểm mà nhiều hãng công nghệ mạng cùng mô tả, trong đó có Cisco system - hãng công nghệ hàng đầu trên thế giới hiện nay về cung cấp các thiết bị, giải pháp hạ tầng mạng. Khung dịch vụ được tạo thành từ bốn thành phần riêng biệt gồm hệ thống hạ tầng mạng (LAN / WAN), hệ thống an ninh thông tin, hệ thống di động (không dây), và hệ thống dịch vụ hợp nhất [5]. Mỗi thành phần cơ bản quan trọng này phải được thiết kế và điều chỉnh cẩn thận để đảm bảo một môi trường an toàn cung cấp tính liên tục cho môi trường kinh doanh, nhận thức và sự khác biệt về dịch vụ cũng như sự linh hoạt trong truy cập. Thành phần cơ bản của Khung dịch vụ [5].

Các thành phần cơ bản của khung dịch vụ 1. Hệ thống hạ tầng mạng (LAN/WAN) Đỗ Xuân Đỉnh - SHHV: CB150847 - Lớp : 15BMMT 10 Thiết kế mạng nội bộ an toàn cho doanh nghiệp lớn Khung dịch vụ mạng LAN/WAN được tạo thành từ các bộ định tuyến và thiết bị chuyển mạch được triển khai trong mô hình kiến trúc 3 lớp hoặc 2 lớp cung cấp một hệ thống mạng có khả năng sẵn sàng cao với khả năng truy cập linh hoạt. - Mạng LAN (Local Area Network): Các thành phần của mô hình thiết kế mạng phân cấp thành 3 lớp: + Lớp lõi (Core layer) – mạng trục chính bao gồm các thiết bị mạng lõi lớp 3 (Layer-3) để kết nối với một số mạng phân phối và khối để kết nối mạng nội bộ và mạng bên ngoài. + Lớp phân phối (Distribution layer) - Lớp phân phối sử dụng kết hợp chuyển mạch lớp 2 và lớp 3 (Layer-2 và Layer-3) để cung cấp chính sách cân bằng và điều khiển truy cập, tính sẵn sàng, và tính linh hoạt trong phân bổ mạng con (subnet) và mạng riêng ảo (VLAN).

+ Lớp truy cập (Access layer) - Điểm kết nối giữa cơ sở hạ tầng mạng và các thiết bị đầu cuối. Với nhiều bài toán cụ thể (được đề cập ở chương 2) chúng ta có thể gồm lớp mạng lõi và lớp mạng phân phối thành 1 lớp và như vậy hệ thống mạng trở thành có 2 lớp: Lớp mạng lõi/phân phối và lớp mạng truy cập - Mạng WAN (Wide area network) Để các mạng (site) có thể giao tiếp với nhau hoặc truyền thông với bên ngoài mạng doanh nghiệp, cần có đường truyền mạng WAN. Luồng vận chuyển trong mạng WAN rất khác với vận chuyển trong mạng LAN do các điểm khác nhau như: loại kết nối được sử dụng, tốc độ kết nối, khoảng cách kết nối. Hệ thống an ninh thông tin An ninh của khung dịch vụ mạng doanh nghiệp là cần thiết.

Nếu không có nó, các giải pháp, ứng dụng và dịch vụ doanh nghiệp có thể bị xâm nhập, thao túng, hoặc ngừng dịch vụ. Khung dịch vụ được phát triển với các thiết kế bảo mật sau đây: Đỗ Xuân Đỉnh - SHHV: CB150847 - Lớp : 15BMMT 11 Thiết kế mạng nội bộ an toàn cho doanh nghiệp lớn + Bảo vệ hạ tầng mạng (Network Foundation Protection - NFP) - Bảo đảm sự sẵn sàng và tính toàn vẹn của cơ sở hạ tầng mạng, bảo vệ mạng khu vực điều khiển và quản lý. + Bảo vệ vùng biên Internet (Internet perimeter protection) - Bảo đảm kết nối an toàn với Internet, và mạng bên ngoài (mạng ngoài) và bảo vệ tài nguyên nội bộ và người dùng khỏi phần mềm độc hại, vi rút và các phần mềm độc hại khác. Bảo vệ người dùng khỏi nội dung có hại.

Thực thi chính sách Duyệt web và E-mail. + Bảo vệ trung tâm dữ liệu (Data center protection) - Đảm bảo sự sẵn sàng và tính toàn vẹn của các ứng dụng và hệ thống tập trung. Bảo vệ sự bảo mật và sự riêng tư của người dùng. + An ninh và kiểm soát truy cập mạng (Network access security and control) - Bảo vệ các vùng biên mạng truy cập.

Thực thi xác thực và truy cập dựa trên vai trò cho người dùng ở các mạng chính và từ xa. Hệ thống bảo đảm được cập nhật và phù hợp với chính sách bảo mật mạng của các doanh nghiệp. + Bảo vệ điểm đầu cuối mạng (Network endpoint protection) - Bảo vệ máy chủ và hệ thống kiểm soát của doanh nghiệp (máy tính để bàn, máy tính xách tay, v.) khỏi vi-rút, phần mềm độc hại, botnet và các phần mềm độc hại khác. Thực thi chính sách Duyệt web và E-mail cho người dùng doanh nghiệp.

Hệ thống mạng cho các thiết bị di động Tính di động là một phần thiết yếu của môi trường doanh nghiệp. Hầu hết người dùng sẽ kết nối không dây với mạng lưới của doanh nghiệp. Ngoài ra, các thiết bị khác cũng sẽ dựa vào mạng không dây. Trong việc thiết kế phần di động của khung dịch vụ, các tiêu chuẩn thiết kế sau được sử dụng: + Khả năng truy cập (Accessibility) - Cho phép người dùng doanh nghiệp và khách hàng có thể truy cập, bất kể họ đang họp trong phòng họp, ăn trưa với các đồng nghiệp trong quán cà phê, hoặc chỉ đơn giản là thưởng thức không khí trong lành bên ngoài tòa nhà.

+ Khả năng sử dụng (Usability) - Ngoài tốc độ truyền WLAN rất cao do công nghệ IEEE 802.11n hiện tại hỗ trợ, các ứng dụng với độ trễ thấp (như điện Đỗ Xuân Đỉnh - SHHV: CB150847 - Lớp : 15BMMT 12 Thiết kế mạng nội bộ an toàn cho doanh nghiệp lớn thoại IP và hội nghị truyền hình) được hỗ trợ qua mạng WLAN sử dụng QoS thích hợp. Điều này cho phép xử lý ưu tiên đối với lưu lượng truy cập thời gian thực, giúp đảm bảo rằng thông tin video và âm thanh sẽ đến đúng theo thời gian thực. + Khả năng an ninh (Security) – hệ thống mạng cho người dùng được phép và chặn người dùng trái phép. Mở rộng các dịch vụ của mạng một cách an toàn đến các thiết bị được cấp quyền.

Thực thi tuân thủ chính sách an toàn trên tất cả các thiết bị tìm cách truy cập tài nguyên máy tính mạng. Người dùng doanh nghiệp được hưởng quyền xác thực nhanh chóng và đáng tin cậy thông qua IEEE 802.1x và giao thức xác thực mở rộng (Extensible Authentication Protocol - EAP), với tất cả các thông tin được gửi và nhận trên mạng WLAN đang được mã hóa. + Khả năng quản lý (Manageability) - Quản trị viên mạng doanh nghiệp phải dễ dàng triển khai, vận hành và quản lý hàng trăm điểm truy cập trong nhiều triển khai mạng doanh nghiệp. + Độ tin cậy (Reliability) - Cung cấp đầy đủ khả năng phục hồi từ lỗi đơn tầng của một thành phần truy cập WLAN hoặc điều khiển kết nối có dây.

Đảm bảo rằng khả năng tiếp cận mạng LAN không dây được duy trì cho người dùng và khách truy cập trong trường hợp xảy ra các lỗi phổ biến. Hệ thống dịch vụ truyền thông hợp nhất. Giải pháp Truyền thông Hợp nhất thống nhất các ứng dụng thoại, video, dữ liệu và di động trên các mạng cố định và di động, cung cấp không gian làm việc cộng tác đa phương tiện. Các ứng dụng này sử dụng mạng làm nền tảng, tính an toàn, khả năng phục hồi và khả năng mở rộng của mạng cho phép người dùng ở bất kỳ vùng làm việc nào dễ dàng kết nối, ở mọi nơi, mọi lúc, mọi người.

Unified Communications là một phần của giải pháp toàn diện bao gồm các ứng dụng quản lý hạ tầng, bảo mật, không dây và quản lý mạng, các dịch vụ vòng đời, triển khai linh hoạt và các tùy chọn quản lý tài nguyên bên ngoài và các ứng dụng của bên thứ ba. Các vùng mạng và mạng nội bộ của doanh nghiệp. Đỗ Xuân Đỉnh - SHHV: CB150847 - Lớp : 15BMMT 13 Thiết kế mạng nội bộ an toàn cho doanh nghiệp lớn Hệ thống hạ tầng mạng có thể được phân chia theo phạm vi triển khai, công nghệ, theo khu vực triển khai, … Một số khách niệm có thể được hiểu như sau: Mạng cục bộ (LAN – Local Area Network) là một mạng dữ liệu để kết nối các máy tính trong một vùng phạm vi nhỏ (nhà ở, phòng làm việc, trường học, văn phòng, …). Mạng diện rộng (WAN - Wide area network) là mạng dữ liệu để kết nối giữa các máy tính hoặc mạng máy tính ở các khu vực địa lý cách xa nhau.

Ví dụ dùng để nối các Mạng cục bộ (LAN) lại với nhau (thông qua router). Ethernet là một họ các công nghệ mạng máy tính thường dùng trong các mạng local area network (LAN), wide area network (WAN). Ethernet được tiêu chuẩn hóa thành IEEE 802. Mạng nội bộ (Intranet) là hệ thống mạng nội bộ của một tổ chức.

Mạng nội bộ của một doanh nghiệp được hiểu là hệ thống mạng tại các văn phòng doanh nghiệp và hệ thống kết nối mạng của các văn phòng này tạo lên một hệ thống mạng trao đổi thông tin nội bộ cho doanh nghiệp. Doanh nghiệp lớn tương ứng với quy mô tại các văn phòng và số lượng nhiều văn phòng cần kết nối vào hệ thống mạng nội bộ của doanh nghiệp. Hệ thống mạng của doanh nghiệp là sự kết hợp của nhiều thành phần cấu thành, mỗi thành phần đảm bảo hoạt động theo một nhóm chức năng hoặc dịch vụ xác định như: hệ thống hạ tầng mạng đáp ứng dịch vụ kết nối mạng; hệ thống an ninh thông tin đảm bảo an ninh thông tin trên các khu vực, vùng mạng; hệ thống mạng cho các thiết bị di động cung cấp dịch vụ mạng cho các thiết bị di động và các hoạt động kết nối ngoài văn phòng; hệ thống dịch vụ truyền thông hợp nhất cung cấp môi trường làm việc hợp nhất các dịch vụ cho người sử dụng. Qua việc trình bày về các dịch vụ hạ tầng cần tirển khai cho doanh nghiệp ở trên, ta có thể thấy việc thiết kế mạng nội bộ cho các doanh nghiệp là một nhiệm vụ cần thiết nhằm thiết kế hạ tầng mạng đáp ứng hoạt động của doanh nghiệp, đảm bảo tính bảo mật của hệ thống mạng, cung cấp khả năng triển khai các hệ thống, dịch vụ khác của khung dịch vụ.

Đỗ Xuân Đỉnh - SHHV: CB150847 - Lớp : 15BMMT 14 Thiết kế mạng nội bộ an toàn cho doanh nghiệp lớn CHƯƠNG 2.