Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ số bùng nổ và mạng lưới thông tin toàn cầu phát triển mạnh mẽ, việc bảo đảm an toàn và bảo mật thông tin đã trở thành một yêu cầu cấp thiết đối với mọi cơ quan, tổ chức và cá nhân. Mặc dù quá trình số hóa mang lại nhiều tiện ích và cơ hội lớn, nhưng đi kèm với đó là sự gia tăng nhanh chóng của các nguy cơ mất an toàn thông tin, các cuộc tấn công mạng ngày càng tinh vi và phức tạp. Trước thực tế đó, báo cáo đồ án môn học An toàn thông tin với đề tài "Tìm hiểu về an toàn và bảo mật thông tin trong thời đại kỹ thuật số" được thực hiện bởi sinh viên Võ Thị Thúy Quyên dưới sự hướng dẫn của ThS. Mai Thanh Tâm tại Khoa Công nghệ Thông tin – Trường Đại học Tài chính – Marketing (tháng 12 năm 2023).

Mục tiêu và nhiệm vụ nghiên cứu

Đề tài xác định rõ hai cấp độ mục tiêu nghiên cứu:

  1. Mục tiêu tổng quát: Hiểu rõ hơn về các thách thức và cơ hội liên quan đến công tác an toàn và bảo mật thông tin trong bối cảnh xã hội và các hoạt động kinh tế đang số hóa nhanh chóng.
  2. Mục tiêu cụ thể:
    • Tập trung phân tích các xu hướng mới, các mô hình và tiêu chuẩn hiện đại trong lĩnh vực an toàn thông tin.
    • Khảo sát, thực nghiệm và đề xuất các giải pháp, chiến lược kỹ thuật nhằm phòng ngừa, ngăn chặn và giảm thiểu tối đa các rủi ro an ninh mạng trên hệ điều hành, hệ thống mạng, cơ sở dữ liệu và tài liệu điện tử.

Đối tượng và phạm vi nghiên cứu

  • Đối tượng nghiên cứu: Tất cả các tổ chức, doanh nghiệp, cơ quan chính phủ và cá nhân đang ứng dụng công nghệ số trong hoạt động quản lý, vận hành và trao đổi dữ liệu.
  • Phạm vi nghiên cứu: Đề tài tập trung nghiên cứu toàn diện trên các khía cạnh trọng yếu của an toàn thông tin, bao gồm: an toàn hệ thống và hệ điều hành máy tính cá nhân (Windows 10), an toàn mạng máy tính (Intranet, Internet, Wifi, IP), an toàn cơ sở dữ liệu (DBMS), chính sách bảo mật, công nghệ chữ ký số/mã hóa và các yếu tố liên quan đến nhận thức, con người.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình nghiên cứu

Tác giả đã tổng hợp và xây dựng nền tảng lý thuyết vững chắc dựa trên các mô hình và nguyên tắc chuẩn mực trong ngành an toàn thông tin:

  • Mô hình bảo mật CIA: Khung tam giác an toàn thông tin bao gồm ba trụ cột: Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability).
  • Quy trình phát triển hệ thống bảo mật (SDLC an toàn): Gồm 5 giai đoạn tuần tự có phản hồi: Điều tra khảo sát (Investigation), Phân tích yêu cầu (Analysis), Thiết kế (Design), Cài đặt (Implementation), Bảo trì và thay đổi (Maintenance and Change).
  • 8 nguyên tắc thiết kế an toàn: Economy of mechanism, Fail-safe defaults, Complete mediation, Open design, Separation of privilege, Least privilege, Least common mechanism, và Psychological acceptability.
  • Các phương pháp và công cụ mô hình hóa mối đe dọa (Threat Modeling): Phương pháp STRIDE của Microsoft, khung phân tích rủi ro PASTA (Process for Attack Simulation and Threat Analysis) gồm 7 giai đoạn, thang đo định lượng lỗ hổng CVSS (Common Vulnerability Scoring System), cây tấn công (Attack trees) và Security Cards.
  • Mô hình kiểm soát truy cập trên hệ điều hành: Kiểm soát truy cập tùy chọn (DAC), kiểm soát truy cập bắt buộc (MAC), kiểm soát truy cập dựa trên vai trò (RBAC) và kiểm soát truy cập dựa trên luật (Rule-Based Access Control).
  • Kiến trúc bảo mật mạng và cơ sở dữ liệu: Mô hình 7 tầng OSI, bộ giao thức bảo mật IPSec (trao đổi key, header/trailer, xác thực, mã hóa dữ liệu), các cơ chế bảo mật CSDL (Authentication, Authorization, Auditing), công nghệ hạ tầng khóa công khai PKI, mã hóa PGP, giao thức SSL/TLS, SET, tiêu chuẩn bảo mật thanh toán PCI DSS.

Phương pháp nghiên cứu và nguồn dữ liệu

  • Phương pháp thu thập và tổng hợp tài liệu: Thu thập, phân tích và hệ thống hóa các tài liệu học thuật, văn bản quy phạm pháp luật Việt Nam (Luật An toàn thông tin mạng, các quy định về ngăn chặn phần mềm độc hại, bảo vệ tài nguyên viễn thông) và các tiêu chuẩn kỹ thuật an ninh quốc tế.
  • Phương pháp thực nghiệm - mô phỏng (Lab Implementation): Cài đặt và thực hành cấu hình bảo mật trực tiếp trên môi trường Windows 10, cấu hình tường lửa Windows Firewall, thao tác dòng lệnh (Command Prompt), can thiệp hệ thống qua Registry và Group Policy (GPO), bắt và phân tích gói tin bằng Wireshark, mô phỏng lỗ hổng SQL Injection, tạo và quản lý khóa/chữ ký số trên Kleopatra (Gpg4win), mã hóa dữ liệu qua CyberChef.

Nội dung chính theo từng chương

CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI

Chương này phác thảo toàn diện bức tranh nghiên cứu, trình bày lý do lựa chọn đề tài xuất phát từ nhu cầu thực tiễn trong kỷ nguyên số. Tác giả thiết lập mục tiêu nghiên cứu tổng quát và cụ thể, xác định đối tượng phục vụ là các cá nhân, doanh nghiệp và tổ chức nhà nước, đồng thời giới hạn phạm vi nghiên cứu đa tầng từ hệ thống, mạng, cơ sở dữ liệu cho đến chính sách bảo mật và hành vi con người.

CHƯƠNG 2: CƠ SỞ LÝ THUYẾT

Nội dung Chương 2 cung cấp bức tranh lý luận chi tiết về các lĩnh vực cốt lõi của an toàn và bảo mật thông tin (ATBM TT):

  • Khái niệm và quy trình ATBM TT: Định nghĩa mối đe dọa (Threat), lỗ hổng (Vulnerability), cuộc tấn công (Attack), rủi ro (Risk), các tác nhân đe dọa (gian lận, nội gián, tin tặc, mã độc). Quy định cấu trúc một chính sách bảo mật gồm: Phạm vi (Scope), Mục tiêu (Purpose), Trách nhiệm (Responsibilities), Tiêu chuẩn/Quy trình (Standards & Procedures), Tuân thủ (Compliance) và Đánh giá (Review).
  • Quy trình SDLC và 8 nguyên tắc an toàn: Hệ thống hóa các giai đoạn xây dựng hệ thống thông tin an toàn.
  • Mô hình hóa mối đe dọa: Cơ chế hoạt động của STRIDE, PASTA, CVSS.
  • ATBM trên máy tính cá nhân và hệ điều hành: Quản lý trung gian phần cứng/phần mềm, mục tiêu bảo vệ các đối tượng hệ thống, phân loại 4 cơ chế kiểm soát truy cập (DAC, MAC, Role-based, Rule-based).
  • ATBM trên mạng máy tính: Cấu trúc mạng TCP/IP, mô hình OSI 7 lớp; phân tích 8 điểm yếu mạng máy tính (lỗi thiết kế, quản lý kém, triển khai sai, lỗ hổng công nghệ Internet, thay đổi công nghệ, khó khăn khắc phục, hạn chế giải pháp phản ứng, kỹ thuật lừa đảo Social Engineering); an toàn mạng Intranet; kiểm soát Cookie trên trình duyệt; 10 biện pháp bảo mật Wifi (đổi SSID, đặt mật khẩu mạnh WPA2, đổi mật khẩu định kỳ, tắt mạng Guest, tắt WPS, bật Firewall Router, cập nhật firmware, tắt quản trị từ xa); cơ chế giao thức bảo mật IPSec.
  • Bảo mật cơ sở dữ liệu: Lý do cần bảo mật DBMS; 3 cơ chế an toàn cốt lõi (Authentication, Authorization, Auditing); khái niệm và nguy cơ của tấn công SQL Injection.
  • Chữ ký số và an toàn thanh toán điện tử: Bảo vệ chứng từ điện tử qua mật khẩu, phân quyền RMS, mã hóa, MFA, lưu trữ đám mây; ứng dụng mã hóa trong hạ tầng PKI, PGP, SSL/TLS, VPN; vai trò của chữ ký số (Digital Signature) và chứng thực số (Digital Certificate); các biện pháp bảo đảm an toàn giao dịch trực tuyến từ góc độ người dùng (không lưu thông tin thẻ, tránh Wifi công cộng, bảo mật 2 lớp) và góc độ doanh nghiệp (giao thức SSL/HTTPS, chuẩn SET, tuân thủ PCI DSS).

CHƯƠNG 3: KẾT QUẢ NGHIÊN CỨU

Chương 3 là phần trọng tâm với các kết quả phân tích lý thuyết chuyên sâu và báo cáo thực nghiệm kỹ thuật đa dạng:

1. Lý luận và phân tích lịch sử, pháp lý, thuật ngữ

  • Lịch sử ATTT: Tổng hợp 5 giai đoạn phát triển:
    • Thế chiến II: Máy tính mainframe giải mã tin nhắn, bảo mật tập trung vào vật lý và phân loại tài liệu.
    • 1960 - 1970: Ra đời mạng ARPANET (1968) thời kỳ Chiến tranh Lạnh.
    • 1970 - 1980: Nghiên cứu an ninh của Robert M. Metcalfe, Báo cáo RAND R-609, sự phát triển của UNIX và MULTICS.
    • 1990 - 2000: Bùng nổ PC và mạng máy tính, ra đời các phần mềm diệt virus độc lập.
    • 2000 đến nay: Internet toàn cầu, chiến tranh thông tin, các đạo luật như Sarbanes-Oxley và sự siết chặt lập pháp sau sự kiện 11/9/2001.
  • Phân tích các tình huống vi phạm nguyên tắc CIA:
    • John chép bài của Mary: Vi phạm tính toàn vẹn và tính sẵn có.
    • Paul đánh sập hệ thống của Linda: Vi phạm tính bảo mật và tính toàn vẹn.
    • Carol thay đổi số tiền thanh toán từ 100$ thành 1.000$: Vi phạm tính toàn vẹn và tính bảo mật.
    • Gina giả mạo chữ ký của Roger: Vi phạm tính bảo mật và tính toàn vẹn.
    • Rhonda chiếm quyền tên miền "AddisonWesley.com": Vi phạm tính sẵn có và tính toàn vẹn.
  • Tổng kết cơ sở pháp lý tại Việt Nam: Tóm tắt nội dung 3 luật chính liên quan đến ATTT: Luật An toàn thông tin mạng, Luật Phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại, Luật Bảo đảm an toàn tài nguyên viễn thông.

2. So sánh các phương pháp mô hình hóa mối đe dọa

Tác giả đã lập bảng đối chiếu cụ thể giữa ba phương pháp STRIDE, PASTA và CVSS:

Tiêu chí STRIDE PASTA CVSS
Năm ra đời 1990 2015 2005 (Version 4.1)
Người sáng lập Koren Kohnfelder và Praerit Garg Tony Uceda Vélez NIAC
Độ phức tạp 3 bậc (chậm, thoải mái, nhanh) Không phân rõ cấp bậc 4 bậc (thấp, trung, cao, quan trọng)
Mức độ sử dụng Được biết đến rộng rãi, dễ áp dụng và đồng hóa Ít phổ biến hơn, mất nhiều thời gian thực hiện Áp dụng rộng rãi (kể cả các cơ quan an ninh chính phủ như CISA/DHS)
Mục đích Tìm và ngăn chặn các mối đe dọa nhằm xây dựng ứng dụng an toàn Xác định mối đe dọa tiềm ẩn trong phạm vi đối tượng gắn với rủi ro Đánh giá và chấm điểm mức độ nghiêm trọng của lỗ hổng bảo mật
Môi trường hoạt động Ứng dụng, hệ thống, quy trình kinh doanh CNTT Ứng dụng di động, web, hệ thống kết nối Internet Toàn bộ môi trường CNTT và hệ thống mạng
Ưu điểm Dễ hiểu, dễ đào tạo cho nhân sự phi kỹ thuật, nhanh chóng xác định mối đe dọa cấp cao Kết quả toàn diện, tích hợp tốt với hoạt động kinh doanh, báo cáo chi tiết Cung cấp thang điểm số rõ ràng, nắm bắt đặc điểm lỗ hổng nhanh, miễn phí
Khuyết điểm Dễ bỏ sót các mối đe dọa tiềm ẩn chi tiết, không tích hợp chuẩn NIST CSF Đòi hỏi nhân sự phải am hiểu tư duy kẻ tấn công, cần tính linh hoạt cao Không phản ánh rủi ro thực tế theo ngữ cảnh riêng của từng doanh nghiệp

3. Mô hình hóa mối đe dọa với Microsoft Threat Modeling Tool

Tác giả triển khai mô hình hệ thống và trích xuất tổng cộng 32 mối đe dọa (Threats), phân loại theo các nhóm:

  • Spoofing (Giả mạo): 8 mối đe dọa.
  • Tampering (Can thiệp/Sửa đổi trái phép): 7 mối đe dọa.
  • Repudiation (Từ chối trách nhiệm): 3 mối đe dọa.
  • Information Disclosure (Lộ lọt thông tin): 11 mối đe dọa.
  • Denial of Service (Từ chối dịch vụ): Có ghi nhận trong mô hình.
  • Elevation of Privileges (Leo thang đặc quyền): 3 mối đe dọa.

Báo cáo phân tích chi tiết 10 mối đe dọa tiêu biểu (Threat 1 đến Threat 10), bao gồm: giả mạo cơ sở dữ liệu SQL (Destination Data Store), giả mạo ứng dụng web do sai cấu hình chứng chỉ TLS, đánh cắp thông tin đăng nhập từ cấu hình văn bản rõ (clear text), tạo trang web giả mạo tấn công Phishing, giả mạo ứng dụng di động (Mobile Client), dịch ngược và can thiệp tệp nhị phân (Reverse engineer & tamper binaries), tấn công chèn mã SQL Injection, lộ tệp cấu hình chứa dữ liệu nhạy cảm, thiếu hụt cơ chế ghi nhật ký dẫn đến lỗi chối bỏ (Repudiation), và khả năng giải mã ngược do sử dụng thuật toán mã hóa/băm yếu.

Thiết kế và triển khai thực nghiệm

Trong khuôn khổ Chương 3, tác giả đã tiến hành chuỗi bài thực hành - kiểm thử an toàn bảo mật trên hệ thống máy tính, mạng và ứng dụng:

1. Quản trị và củng cố bảo mật trên hệ điều hành Windows 10

  • Cấu hình xác thực và người dùng: Thiết lập hộp thoại netplwiz, kích hoạt yêu cầu đăng nhập bằng tài khoản và mật khẩu; tạo tài khoản người dùng (QuanLy, u1, u2 với mật khẩu khởi tạo "123") và gán quyền quản trị cho QuanLy vào nhóm Administrators bằng dòng lệnh CLI; so sánh cú pháp net user /? và net help user.
  • Kiểm soát bảo mật hệ thống (Windows Security): Khảo sát và cấu hình các tính năng: Virus & threat protection, Firewall & network protection, App & browser control, Device performance & health, Ransomware protection, Tamper Protection, Reputation-based protection, và Remote Desktop.
  • Kiểm thử quét mã độc: Thực hiện quét mã độc trực tuyến qua VirusTotal; thực thi tính năng Quick Scan, Full Scan và quét tùy chọn thư mục nghi ngờ trên Microsoft Defender.
  • Thao tác quản trị hệ thống qua dòng lệnh và cấu hình nâng cao:
    • Thao tác tệp và thư mục ẩn qua Command Prompt (Btcommandline, thư mục có khoảng trắng, mystuff, đổi tên thư mục).
    • Quản lý tiến trình (khởi chạy và ngưng tiến trình calc.exe).
    • Kiểm tra thông tin mạng qua lệnh ipconfig, netstat và phân tích đường truyền tracert thanhnien.vn.
    • Cấu hình mức cảnh báo UAC (User Account Control) ở Cấp độ 1 và Cấp độ 2.
    • Cấu hình tường lửa nâng cao qua CLI: Kích hoạt tất cả các profile với lệnh netsh advfirewall set allprofiles state on, tạo Rule chặn địa chỉ IP cụ thể, tạo Rule chặn ứng dụng truy cập Internet và trích xuất tệp nhật ký (Log file) của Firewall.
    • Quản lý tiến trình và dịch vụ khởi động qua Task Manager và System Configuration (msconfig).
    • Thiết lập chính sách kiểm toán Audit account logon events trên Local Group Policy Editor (gpedit.msc) và xem vết trên Windows Event Viewer.
    • Kiểm tra và sao lưu/phục hồi các khóa Registry (HKEY_CURRENT_USER và HKEY_LOCAL_MACHINE tại nhánh CurrentVersion\Run và RunOnce) bằng giao diện GUI regedit và lệnh reg query.
    • Khảo sát danh sách dịch vụ đang chạy/dừng; thực nghiệm vô hiệu hóa (Disable), kích hoạt (Enable) và tái khởi động dịch vụ Plug and Play.

2. An toàn mạng, trình duyệt và phân tích gói tin

  • Bảo mật trình duyệt và mạng xã hội: Khảo sát thiết lập Privacy & Security trên Internet Explorer, Google Chrome, Mozilla Firefox; cấu hình bảo mật tài khoản Facebook.
  • Cấu hình an toàn Wifi Router: Thực hành đổi SSID, thay đổi thông tin xác thực quản trị, kích hoạt mã hóa chuẩn WPA2, tắt mạng khách (Guest network), bật tường lửa Router và tắt các cổng quản trị từ xa.
  • Phân tích lưu lượng với Wireshark: Thực hiện bắt gói tin trên card mạng không dây khi thực hiện lệnh ping đến máy chủ Google; thiết lập bộ lọc giao thức HTTP và phân tích các trường thông tin trong gói tin HTTP POST.

3. An toàn cơ sở dữ liệu và ứng dụng mật mã

  • Mô phỏng tấn công SQL Injection: Thực nghiệm chèn ký tự đặc biệt vào biểu mẫu đăng nhập để khai thác thông báo lỗi và vượt qua cơ chế xác thực tài khoản. Khảo sát cơ chế bảo mật trên Microsoft SQL Server, Oracle và MySQL.
  • Bảo vệ tài liệu văn phòng: Thiết lập mật khẩu bảo vệ, kiểm soát quyền truy cập RMS, áp dụng chữ ký số và chứng thực trên Microsoft Word, Excel (khóa ô/bảng tính, kiểm soát dữ liệu nhạy cảm) và PowerPoint.
  • Mã hóa và chữ ký số OpenPGP: Sử dụng phần mềm Kleopatra (Gpg4win) để tạo cặp khóa OpenPGP, cấu hình nâng cao, sao lưu khóa bí mật (Backup secret keys); thực hiện mã hóa và chuyển đổi dữ liệu thông qua công cụ trực tuyến CyberChef.

Kết quả và đóng góp

Kết quả chính đạt được

  1. Hệ thống hóa toàn diện cơ sở lý luận: Làm rõ khung kiến thức chuẩn về an toàn thông tin, làm nổi bật mô hình bảo mật CIA qua việc phân tích chính xác các tình huống thực tế, hệ thống hóa quy trình SDLC và các nguyên tắc thiết kế an toàn.
  2. Định lượng và mô hình hóa mối đe dọa: Áp dụng thành công công cụ Microsoft Threat Modeling Tool để nhận diện và phân loại chính xác 32 nguy cơ bảo mật trong hệ thống phần mềm (tập trung vào Spoofing, Tampering và Information Disclosure), chỉ ra các điểm yếu cốt lõi như SQL Injection và lộ cấu hình TLS/chứng chỉ số.
  3. Thực nghiệm quản trị bảo mật đa nền tảng: Hoàn thành chuỗi bài thực hành chi tiết, cung cấp hướng dẫn thao tác tường minh từ việc thiết lập chính sách bảo mật hệ điều hành Windows, cấu hình mạng/Wifi, phân tích gói tin mạng bằng Wireshark, đến việc triển khai chữ ký số và mã hóa dữ liệu.

Giải pháp và kiến nghị của tác giả

  • Đối với người dùng cá nhân: Thiết lập mật khẩu mạnh và thay đổi định kỳ; kích hoạt xác thực hai yếu tố (2FA/MFA); không lưu thông tin thẻ trên trình duyệt; tắt tính năng Autofill; tránh giao dịch tài chính qua Wifi công cộng; luôn cập nhật bản vá hệ điều hành và phần mềm diệt virus.
  • Đối với quản trị viên và doanh nghiệp: Xây dựng chính sách an toàn thông tin toàn diện; triển khai cơ chế ghi log và kiểm toán nghiêm ngặt (Auditing) để chống chối bỏ trách nhiệm; kiểm soát chặt chẽ quyền truy cập (theo nguyên tắc đặc quyền tối thiểu); mã hóa toàn bộ dữ liệu nhạy cảm trong lưu trữ và truyền tải (sử dụng SSL/TLS, IPSec, tuân thủ PCI DSS).

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Các nội dung thực nghiệm chủ yếu dừng lại ở mức độ khảo sát công cụ, mô phỏng trên môi trường phòng Lab máy tính cá nhân (Windows 10, công cụ độc lập như Kleopatra, Wireshark, CyberChef) mà chưa được triển khai, đánh giá tải thực tế trên một hệ thống mạng doanh nghiệp quy mô lớn hoặc hạ tầng máy chủ phức tạp.
  • Hướng phát triển: Nghiên cứu sâu hơn về các kỹ thuật phòng thủ nâng cao, tích hợp các giải pháp giám sát an ninh mạng tập trung (SIEM), mở rộng mô hình hóa bảo mật cho các hệ thống điện toán đám mây và ứng dụng công nghệ trí tuệ nhân tạo trong phát hiện bất thường an ninh mạng.

Giá trị tham khảo

Báo cáo đồ án là tài liệu học tập và tham khảo thực tế hữu ích cho:

  • Sinh viên ngành Công nghệ thông tin, An toàn thông tin, Hệ thống thông tin quản lý: Giúp nắm bắt nhanh bức tranh tổng thể về an toàn thông tin, các khái niệm cơ bản, khung pháp lý và quy trình bảo mật chuẩn.
  • Người học cần tài liệu thực hành Lab: Rất có giá trị ở phần hướng dẫn từng bước (kèm lệnh và giao diện) về cấu hình Windows Firewall nâng cao, quản trị User/Group qua CLI, chỉnh sửa Registry/GPO, sử dụng Wireshark bắt gói tin, và tạo chữ ký số bằng Gpg4win/Kleopatra.
  • Nhà phát triển và phân tích hệ thống: Bảng so sánh STRIDE - PASTA - CVSS cùng mô hình phân loại 32 mối đe dọa bằng Microsoft Threat Modeling Tool là tài liệu mẫu rõ ràng cho giai đoạn phân tích và thiết kế hệ thống phần mềm an toàn.

Câu hỏi thường gặp

1. Đồ án đã chỉ ra bao nhiêu mối đe dọa khi sử dụng Microsoft Threat Modeling Tool?

Hệ thống nhận diện được tổng cộng 32 mối đe dọa (threats), trong đó bao gồm: 8 mối đe dọa giả mạo danh tính (Spoofing), 7 mối đe dọa can thiệp chỉnh sửa dữ liệu trái phép (Tampering), 3 mối đe dọa từ chối trách nhiệm (Repudiation), 11 mối đe dọa lộ lọt thông tin (Information Disclosure), các mối đe dọa từ chối dịch vụ (Denial of Service) và 3 mối đe dọa leo thang đặc quyền (Elevation of Privileges).

2. Sự khác biệt cơ bản giữa ba phương pháp STRIDE, PASTA và CVSS trong đồ án là gì?

  • STRIDE (1990 - Microsoft): Tập trung vào việc tìm ra và ngăn chặn các mối đe dọa kỹ thuật cấp cao trên ứng dụng và hệ thống; phân loại thành 3 bậc phức tạp; dễ hiểu và dễ đào tạo nhưng có thể bỏ sót nguy cơ chi tiết.
  • PASTA (2015 - Tony Uceda Vélez): Khung phân tích 7 giai đoạn tập trung vào mối liên hệ giữa các mối đe dọa kỹ thuật và rủi ro kinh doanh của tổ chức; toàn diện nhưng mất nhiều thời gian thực hiện.
  • CVSS (2005/v4.1 - NIAC): Hệ thống chấm điểm định lượng gồm 4 bậc (thấp, trung, cao, quan trọng) nhằm đánh giá mức độ nghiêm trọng của lỗ hổng bảo mật; được áp dụng rộng rãi trong các tiêu chuẩn bảo mật toàn cầu.

3. Đồ án sử dụng lệnh nào trong Command Prompt để bật tất cả các profile của Windows Firewall?

Tác giả sử dụng câu lệnh chạy dưới quyền Administrator: netsh advfirewall set allprofiles state on

4. Trong phần phân tích mô hình CIA, hành vi John sao chép bài tập của Mary vi phạm nguyên tắc an toàn nào?

Theo phân tích trong văn bản, hành vi này vi phạm tính toàn vẹn (Integrity) và tính sẵn có (Availability) của thông tin, do việc sao chép được thực hiện khi chưa có sự cho phép hay ủy quyền hợp lệ từ chủ sở hữu.

5. Những công cụ phần mềm nào được tác giả sử dụng để thực hành mã hóa và tạo chữ ký số?

Tác giả sử dụng phần mềm mã nguồn mở Kleopatra (thuộc bộ Gpg4win) để tạo cặp khóa OpenPGP, thiết lập chữ ký số và sao lưu khóa bí mật, kết hợp cùng công cụ trực tuyến CyberChef để thực hiện các thao tác chuyển đổi và mã hóa dữ liệu.

Kết luận

Báo cáo đồ án "Tìm hiểu về an toàn và bảo mật thông tin trong thời đại kỹ thuật số" của tác giả Võ Thị Thúy Quyên đã tổng hợp thành công các vấn đề lý luận cốt lõi về an toàn thông tin, từ mô hình CIA, các nguyên tắc thiết kế an toàn đến các phương pháp mô hình hóa mối đe dọa tiên tiến. Điểm nổi bật của công trình là sự kết hợp chặt chẽ giữa lý thuyết hệ thống và chuỗi thực nghiệm phong phú trên hệ điều hành Windows, hệ thống mạng, cơ sở dữ liệu và ứng dụng chữ ký số. Báo cáo cung cấp nguồn tài liệu tham khảo có cấu trúc rõ ràng, giàu tính ứng dụng thực hành cho sinh viên và người làm kỹ thuật trong lĩnh vực an toàn và bảo mật thông tin.