Tổng quan về giáo trình

Tài liệu học tập Giám sát an toàn hệ thống mạng do TS. Vạn Thiên Hoàng và tác giả Dương Minh Chiến biên soạn, được lưu hành nội bộ tại Đại học Công nghệ TP.HCM (HUTECH) thuộc Bộ Giáo dục và Đào tạo vào năm 2021. Trong chương trình đào tạo bậc đại học các ngành Mạng máy tính và An toàn thông tin, môn học này giữ vị trí học phần chuyên ngành mang tính ứng dụng thực hành cao. Nội dung giáo trình được thiết kế nhằm đáp ứng yêu cầu đảm bảo an toàn thông tin khi các ứng dụng vận hành trên môi trường Internet ngày càng mở rộng.

Mục tiêu đào tạo của giáo trình hướng tới việc trang bị cho sinh viên hệ thống kiến thức toàn diện về các mối đe dọa an ninh mạng hiện hành, các nguyên lý và kỹ thuật giám sát hạ tầng mạng, cùng khả năng ứng dụng công cụ chuyên dụng để duy trì trạng thái vận hành ổn định ("up and running") của hệ thống. Đồng thời, tài liệu chuẩn bị nền tảng năng lực thực tế tương đương vị trí Chuyên viên phân tích cảnh báo cấp 1 (Tier 1 Alert Analyst) trong các trung tâm điều hành an ninh mạng.

Cấu trúc giáo trình bao gồm 7 bài học được sắp xếp theo trình tự sư phạm chặt chẽ: từ nhận thức tổng quan về công cụ giám sát, thiết lập các giải pháp giám sát mạng diện rộng (SolarWinds, NetFlow Analyzer), tiếp cận mô hình Trung tâm Điều hành An ninh (SOC), cho đến phân tích an toàn hệ điều hành máy trạm/máy chủ (Windows, Linux), các giai đoạn trong chuỗi tấn công mạng và giải pháp hạ tầng phòng thủ (Firewall, IPS). Điểm đặc thù của tài liệu là phương pháp tiếp cận trực quan, kết hợp lý thuyết nền tảng với biểu đồ hệ thống, giao diện điều khiển thực tế và các tập lệnh cấu hình cụ thể trên thiết bị định tuyến Cisco.

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Nội dung học thuật của giáo trình được triển khai tuần tự qua 7 bài học trọng tâm:

  • Bài 1: Tổng quan về giám sát hệ thống mạng: Trình bày mục đích của công tác giám sát hạ tầng như kiểm tra liên kết thiết bị, đo lường lưu lượng, phát hiện xâm nhập và thực hiện dự phòng mạng. Bài học giới thiệu tổng quan 6 bộ công cụ giám sát thông dụng dựa trên giao thức SNMP: Wireshark (phân tích gói tin), SolarWinds, NetFlow Analyzer (phân tích luồng), PRTG Network Monitor (giám sát băng thông và phần cứng qua giao diện web), Cacti (thu thập dữ liệu SNMP lưu trữ trên Round Robin Database - RRD) và OpManager (tích hợp SNMP cùng Network Mapper - NMAP).
  • Bài 2: Công cụ giám sát hệ thống mạng SolarWinds và NetFlow: Khảo sát chi tiết 7 phân hệ chức năng của SolarWinds gồm Network Discovery, Network Monitoring, IP Address Management, Cisco-Specific Network, SNMP, Security, Ping and Diagnostic. Đồng thời, bài học phân tích giao thức NetFlow của Cisco, phân tích cấu trúc 13 trường dữ liệu trong mẫu tin NetFlow phiên bản 5 (CFLOW) và hướng dẫn cấu hình chi tiết trên router Cisco (ip route-cache flow, ip flow-export destination).
  • Bài 3: An toàn hệ thống mạng: Phân loại các nhóm tác nhân đe dọa (nghiệp dư/script kiddies, hacktivists, tội phạm tài chính, gián điệp thương mại và nhà nước bảo trợ). Phân tích các ca điển hình như sâu máy tính Stuxnet tấn công hệ thống PLC Siemens Step 7 và mã độc IoT Dyn DDoS năm 2016. Bài học định hình cấu trúc Trung tâm điều hành an ninh (SOC) theo tiêu chuẩn Viện SANS (Tier 1 đến Tier 3 và SOC Manager), hệ thống quản lý sự kiện và thông tin bảo mật (SIEM), cùng sự cân bằng giữa tính khả dụng ("five nines" - 99.999%) và an ninh mạng.
  • Bài 4: An toàn hệ điều hành Windows: Khái quát lịch sử từ MS-DOS đến kiến trúc Windows NT 32-bit và 64-bit; phân biệt hai chế độ thực thi CPU: Chế độ người dùng (User Mode) và Chế độ hạt nhân (Kernel Mode) thông qua Lớp trừu tượng phần cứng (Hardware Abstraction Layer - HAL). Phân tích các lỗ hổng hệ điều hành và khuyến nghị bảo mật trên Windows Defender, tường lửa, dịch vụ nền và cơ chế phân quyền tài khoản giám sát.
  • Bài 5: An toàn hệ điều hành Linux: Xác định vai trò của Linux trong hạ tầng máy chủ SOC; hướng dẫn thao tác trên môi trường dòng lệnh Shell, quản trị tập tin cấu hình văn bản, mô hình truyền thông Client - Server và cơ chế quản lý cổng dịch vụ mạng.
  • Bài 6: Quy trình tấn công hệ thống mạng và biện pháp bảo vệ: Hệ thống hóa 5 bước tấn công cơ bản của tin tặc gồm: (1) Thu thập thông tin (footprinting, scanning, enumeration); (2) Tăng đặc quyền (Escalating Privileges); (3) Tạo và duy trì backdoor; (4) Che giấu tập tin độc hại; (5) Xóa dấu vết. Trình bày biện pháp đối phó kỹ thuật crack password và phòng ngừa tài khoản đặc quyền.
  • Bài 7: An toàn hạ tầng mạng: Đề xuất lộ trình xây dựng mô hình mạng an toàn, phương pháp hoạch định chính sách an toàn thông tin, chức năng và mô hình triển khai thiết bị tường lửa (Firewall), cùng kiến trúc, phân loại và kỹ thuật nhận biết của hệ thống ngăn chặn xâm nhập (IPS).

Kiến thức nền tảng được xây dựng

Giáo trình xây dựng nền tảng lý thuyết trên ba trụ cột:

  • Mô hình kiến trúc mạng và giao thức truyền thông: Khái quát hóa mô hình mạng phân tầng (Router biên, Switch Core, Switch Distribution, Switch Access, vùng DMZ) và nguyên lý trao đổi thông tin qua giao thức Simple Network Management Protocol (SNMPv1, SNMPv2, SNMPv3, MIB, OID, Trap).
  • Kiến trúc hệ điều hành và bảo mật phần cứng: Phân định ranh giới không gian bộ nhớ giữa mã ứng dụng và mã hệ thống thông qua kiến trúc HAL, cơ chế bảo vệ nhân hệ điều hành chống xung đột trình điều khiển (drivers).
  • Mô hình tổ chức an ninh phòng thủ: Thiết lập nhận thức quản trị an ninh thông tin theo mô hình tích hợp ba thành tố Con người - Quy trình - Công nghệ trong các tổ chức SOC cấp doanh nghiệp.

Kỹ năng phát triển

Thông qua việc nghiên cứu giáo trình, người học được rèn luyện các kỹ năng thực tiễn:

  • Kỹ năng kỹ thuật: Cài đặt, thiết lập và vận hành các phần mềm giám sát mạng (Wireshark, PRTG, NetFlow Analyzer); thực thi các lệnh quản trị và bảo mật trên giao diện dòng lệnh Windows (cmd) và Linux Shell; thực hiện các lệnh cấu hình xuất dữ liệu luồng NetFlow trên thiết bị mạng Cisco.
  • Kỹ năng phân tích: Bóc tách các trường tin trong bản tin CFLOW (SrcAddr, DstAddr, SrcPort, DstPort, Protocol, Packets, Octets); nhận diện dấu hiệu bất thường về lưu lượng mạng (như sâu Code Red giả mạo IP hay tấn công DDoS từ mạng botnet thiết bị IoT); phân tích dữ liệu cảnh báo tại hàng đợi của hệ thống SIEM.
  • Kỹ năng vận hành: Thiết lập quy tắc tường lửa máy trạm, quản lý nhật ký hệ thống Syslog qua cổng UDP 514, xây dựng quy trình phân loại và chuyển tiếp vé sự cố (ticketing) giữa các cấp bậc vận hành an ninh.

Phương pháp giảng dạy và học tập

Giáo trình định hướng phương pháp giảng dạy tích hợp giữa lý thuyết chuyên sâu và phân tích tình huống thực tiễn (case studies). Nội dung lý thuyết về nguy cơ an toàn mạng được minh chứng thông qua các sự cố có thật trong lịch sử an ninh mạng thế giới, tiêu biểu như phân tích cơ chế sâu Stuxnet lây nhiễm qua USB nhắm vào hệ thống điều khiển ly tâm hạt nhân, cuộc tấn công từ chối dịch vụ vào hệ thống máy chủ tên miền Dyn năm 2016 bắt nguồn từ camera giám sát và DVR, hay phương thức sâu Code Red phát tán lưu lượng qua cổng TCP 80 vào năm 2001.

Đối với phần thực hành, tài liệu sử dụng phương pháp hướng dẫn từng bước (step-by-step) gắn liền với mô hình mạng cụ thể. Điển hình như tại Bài 2, sinh viên được tiếp cận một kịch bản mạng gồm hai router, máy chủ Web và máy trạm phân tích. Giáo trình cung cấp trực tiếp cú pháp lệnh Cisco IOS:

router1(config)#interface FastEthernet f1/0
router1(config-if)#ip route-cache flow
router1(config)#ip flow-export destination 10.1 9996
router1(config)#ip flow-export source Loopback 1
router1(config)#ip flow-cache timeout active 1
router1(config)#ip flow-cache timeout inactive 15

Phương pháp này giúp người học đối chiếu ngay giữa cấu hình thiết bị với biểu đồ hiển thị lưu lượng trên giao diện web của phần mềm NetFlow Analyzer và gói tin bắt được qua Wireshark.

Phương pháp đánh giá học phần được quy định rõ ràng với tỷ trọng phân bổ cụ thể:

  • Điểm quá trình (50%): Bao gồm điểm kiểm tra thường xuyên trong quá trình học tập, điểm kiểm tra giữa học phần, điểm đánh giá bài tập thực hành trên lớp và điểm chuyên cần.
  • Điểm thi kết thúc học phần (50%): Thi theo hình thức tự luận với thời lượng 90 phút. Quy chế thi yêu cầu sinh viên không được mang tài liệu vào phòng thi; nội dung đề thi bao quát các câu hỏi lý thuyết, bài tập phân tích tình huống tương tự các nội dung bài tập đã giao trong suốt khóa học.

Để học tập hiệu quả, sinh viên được hướng dẫn đọc trước nội dung bài giảng trước khi lên lớp, tích cực tham gia thảo luận về các khái niệm, chủ động thực hành lại các bài tập mô phỏng trên thiết bị mạng và tra cứu thêm các tài liệu liên quan.

Điểm nổi bật và cập nhật

  • Bám sát khung năng lực vận hành SOC chuẩn quốc tế: Giáo trình tích hợp trực tiếp khung chức danh và quy trình phân cấp xử lý sự cố của Viện SANS (Mỹ). Nội dung phân tách rõ trách nhiệm của Chuyên viên phân tích cảnh báo cấp 1 (lọc cảnh báo giả, mở vé sự cố), Cấp 2 (điều tra sâu, tư vấn khắc phục) và Cấp 3 (săn tìm mối đe dọa, phân tích mã độc dịch ngược), giúp chương trình đào tạo liên kết sát sao với thị trường lao động an toàn thông tin.
  • Cập nhật các mối đe dọa hiện đại và an toàn IoT: Không chỉ dừng lại ở các cuộc tấn công mạng máy tính truyền thống, tài liệu cập nhật vấn đề an ninh thiết bị IoT gia dụng (webcam, DVR, thiết bị đeo thông minh), nguy cơ từ mã độc tấn công hạ tầng trọng yếu quốc gia, cùng các quy định pháp lý về bảo vệ dữ liệu cá nhân (PII) và hồ sơ y tế điện tử (PHI) theo tiêu chuẩn Đạo luật HIPAA của Hoa Kỳ.
  • Tích hợp công nghệ giám sát đa nền tảng: Nội dung kết hợp đồng bộ các giải pháp mã nguồn mở và thương mại phổ biến trong doanh nghiệp như Cacti (sử dụng cơ sở dữ liệu RRD), PRTG Network Monitor, ManageEngine OpManager và bộ công cụ chuyên sâu SolarWinds (bao gồm các tính năng đặc thù như MAC Address Discovery, WAN Killer, Switch Port Mapper, SNMP Trap Editor).
  • Phân tích kỹ thuật ở mức độ sâu: Giáo trình cung cấp cấu trúc chi tiết của các gói tin mạng thực tế, chỉ rõ các trường định dạng trong tiêu đề NetFlow v5, cơ chế giải thuật của NBAR (Network Based Application Recognition) khi phân loại cổng dịch vụ RTP, cũng như phân định cơ chế kiểm soát tiến trình giữa User Mode và Kernel Mode trên hệ điều hành Windows NT.

Đối tượng sử dụng giáo trình

Giáo trình Giám sát an toàn hệ thống mạng được biên soạn hướng tới các nhóm đối tượng sử dụng cụ thể:

  • Sinh viên đại học chuyên ngành: Tài liệu phục vụ trực tiếp cho sinh viên năm thứ 3 và năm thứ 4 thuộc ngành Mạng máy tính, An toàn thông tin, Kỹ thuật mạng hoặc Công nghệ thông tin. Giáo trình cung cấp kiến thức thực hành nghiệp vụ cần thiết trước khi sinh viên bước vào kỳ thực tập tốt nghiệp và đồ án chuyên ngành.
  • Yêu cầu kiến thức tiền đề (Prerequisites): Người học bắt buộc phải hoàn thành các học phần cơ sở về mạng máy tính. Sinh viên cần có hiểu biết khái quát về mô hình OSI, bộ giao thức TCP/IP, phương pháp định tuyến IP, cấu hình cơ bản thiết bị switch/router và các dịch vụ mạng thông dụng (DNS, DHCP, HTTP).
  • Giảng viên và cán bộ giảng dạy: Tài liệu là căn cứ xây dựng đề cương chi tiết môn học, biên soạn bài giảng lý thuyết, giáo án thực hành phòng Lab mạng và thiết kế ngân hàng câu hỏi phục vụ bài thi tự luận 90 phút.
  • Kỹ sư quản trị mạng và chuyên viên an ninh mạng: Là tài liệu tham khảo kỹ thuật hữu ích cho các chuyên viên mới tiếp cận công việc giám sát mạng, kỹ sư vận hành hệ thống IT tại doanh nghiệp và nhân sự đang chuẩn bị tham gia kỳ thi tuyển dụng vị trí SOC Tier 1 Analyst.

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?

Giáo trình được thiết kế chuẩn hóa cho sinh viên đại học ngành An toàn thông tin và Mạng máy tính. Đồng thời, nội dung tài liệu phù hợp cho các quản trị viên hệ thống, kỹ sư IT muốn nắm vững nguyên lý hoạt động của các công cụ giám sát lưu lượng và chuẩn bị kiến thức nền tảng để vận hành tại Trung tâm điều hành an ninh mạng (SOC).

2. Cần chuẩn bị những kiến thức nền tảng nào trước khi học môn này?

Sinh viên cần có kiến thức khái quát về mạng máy tính, bao gồm: hiểu rõ mô hình truyền thông Client - Server, cơ chế phân tầng giao thức TCP/IP, cách chia mạng con (subnetting), nguyên lý hoạt động của các thiết bị mạng cơ bản như router, switch, và khái niệm cổng logic (TCP/UDP port).

3. Giáo trình này có điểm gì khác biệt so với các tài liệu quản trị mạng thông thường?

Thay vì chỉ tập trung vào việc cấu hình thiết bị để mạng thông suốt, giáo trình này tiếp cận hạ tầng mạng dưới lăng kính an ninh thông tin: tập trung giám sát bất thường, phân tích lưu lượng chuyên sâu bằng NetFlow/SNMP, giải thích 5 bước tấn công của tin tặc và xây dựng các tầng phòng thủ mạng kết hợp giữa tường lửa, hệ thống IPS và quy trình vận hành trung tâm SOC.

4. Phương pháp tự học giáo trình như thế nào để đạt hiệu quả cao nhất?

Người học nên kết hợp việc đọc hiểu lý thuyết trong từng bài với việc thiết lập môi trường giả lập mạng (sử dụng các phần mềm mô phỏng hệ thống mạng). Sau đó, thực hành cấu hình bật NetFlow trên router, sử dụng Wireshark bắt và bóc tách các trường thông tin gói tin CFLOW, cũng như hoàn thành toàn bộ các bài tập tình huống ở cuối mỗi bài học.

5. Có tài liệu hoặc công cụ bổ trợ nào đi kèm với giáo trình không?

Tài liệu học tập đi kèm với các khuyến nghị thực hành trên những phần mềm chuyên dụng như Wireshark, SolarWinds Engineer's Toolset, NetFlow Analyzer, PRTG, Cacti và OpManager. Ngoài ra, giáo trình tham chiếu tới các khung kiến thức bảo mật chuẩn quốc tế từ Viện SANS (sans.org) và tài liệu kỹ thuật mạng từ Cisco Systems.

Kết luận

Giáo trình Giám sát an toàn hệ thống mạng của TS. Vạn Thiên Hoàng và Dương Minh Chiến là tài liệu học thuật hoàn chỉnh, chuẩn hóa hệ thống tri thức về quản trị và giám sát an ninh hạ tầng mạng theo yêu cầu thực tế của doanh nghiệp.

Lộ trình học tập xuyên suốt giáo trình dẫn dắt người học qua 4 giai đoạn logic:

  1. Làm chủ công cụ thu thập và phân tích lưu lượng mạng (Bài 1, Bài 2).
  2. Hiểu rõ bức tranh đe dọa an ninh toàn cầu và mô hình vận hành trung tâm SOC (Bài 3).
  3. Quản trị an toàn hệ điều hành máy chủ và máy trạm (Bài 4, Bài 5).
  4. Nhận diện chuỗi hành vi tấn công và triển khai hệ thống phòng thủ mạng an toàn (Bài 6, Bài 7).

Để đóng góp ý kiến chuyên môn hoàn thiện tài liệu học tập, người đọc có thể gửi phản hồi trực tiếp tới ban biên tập qua thư điện tử chính thức: tailieuhoctap@hutech.vn.