Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh hạ tầng mạng máy tính và Internet phát triển nhanh chóng, các nguy cơ mất an toàn thông tin đối với tài nguyên doanh nghiệp, ứng dụng và người dùng từ xa ngày càng trở nên phức tạp. Check Point Software Technologies là một trong những đơn vị dẫn đầu thị trường an ninh thông tin toàn cầu với các giải pháp an ninh vành đai, an ninh nội bộ và an ninh trang web. Với nền tảng cốt lõi là công nghệ Stateful Inspection do hãng phát minh kết hợp cùng kiến trúc mở OPSEC (Open Platform for Security), các giải pháp của Check Point cho phép quản lý chặt chẽ luồng dữ liệu mạng và ngăn chặn các mối đe dọa an ninh.

Xuất phát từ yêu cầu thực tiễn về việc làm chủ các công nghệ bảo mật chuyên sâu, đồ án hướng ngành tập trung giải quyết các nhiệm vụ và mục tiêu nghiên cứu cụ thể sau:

  1. Nghiên cứu cơ chế kiểm soát truy cập (Access Control) và các phương thức, cơ chế xác thực người dùng (User Authentication) trên tường lửa Check Point Security Gateway.
  2. Khảo sát các tính năng kết nối mạng nâng cao (Connectivity), bao gồm cơ chế biên dịch địa chỉ mạng (NAT), giải pháp duy trì kết nối Internet liên tục (ISP Redundancy), cân bằng tải máy chủ (ConnectControl) và chế độ hoạt động trong suốt (Bridge Mode).
  3. Phân tích công nghệ xử lý đa nhân CoreXL nhằm tối ưu hóa năng lực tính toán và phân phối tài nguyên vi xử lý cho hệ thống tường lửa.
  4. Nghiên cứu hệ thống ngăn ngừa xâm nhập (Check Point IPS R70) và tiến hành thực nghiệm mô phỏng các hình thức tấn công mạng phổ biến (Port Scan, DoS/SYN Flood) để đánh giá hiệu quả phát hiện và ngăn chặn.
  5. Đề xuất mô hình giải pháp an ninh mạng ứng dụng tường lửa Check Point cho môi trường thực tế tại Trường Đại học Hoa Sen.
  • Đối tượng nghiên cứu: Các tính năng an ninh mạng cốt lõi trên Check Point Security Gateway (phiên bản VPN-1 & Firewall-1 R70), bao gồm Network Access, Connectivity, CoreXL và IPS.
  • Phạm vi nghiên cứu:
    • Không gian: Môi trường giả lập phòng thí nghiệm (Lab) với hệ điều hành SecurePlatform / SecurePlatform Pro, hệ điều hành Backtrack và hệ thống mạng nội bộ Trường Đại học Hoa Sen.
    • Thời gian thực hiện: Học kỳ HK09.2.
    • Giới hạn nội dung: Tập trung vào các phân hệ Network Access, Connectivity, CoreXL, IPS; không mở rộng sang các tính năng chuyên biệt khác ngoài phạm vi được nêu trong đề tài (như Route-based VPN, Check Point QoS, IPv6 trên CoreXL).

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng dựa trên các nền tảng lý thuyết và công nghệ chuyên ngành an toàn thông tin:

  • Công nghệ Stateful Inspection và kiến trúc OPSEC: Cơ chế kiểm tra trạng thái gói tin từ lớp mạng đến lớp ứng dụng, kết hợp kiến trúc bảo mật mở của Check Point.
  • Mô hình Security Rule Base: Quản lý luồng dữ liệu dựa trên nguyên tắc "tất cả những hành động không được cho phép sẽ bị chặn", cấu thành từ các trường Source, Destination, VPN, Service, Action, Track, Install On, Time.
  • Chuẩn định danh địa chỉ IP của IANA: Phân định các dải IP Private (Lớp A: 10.0.0.0/8, Lớp B: 172.16.0.0/12, Lớp C: 192.168.0.0/16) và cơ chế chuyển đổi sang IP Public để định tuyến trên Internet.
  • Dịch vụ xác thực và AAA (Authentication, Authorization, Accounting): Tích hợp các giao thức và cơ chế xác thực tập trung/phân tán như RADIUS, TACACS, S/Key (mật khẩu dùng một lần OTP qua thuật toán băm), SecurID (OTP qua phần cứng và mã PIN), Check Point Password, OS Password.
  • Kiến trúc phân phối tải vi xử lý CoreXL: Phân bổ nhân xử lý giữa Secure Network Distributor (SND) và các firewall kernel instance thông qua các thiết lập Interface Affinity và Kernel Affinity.
  • Hệ thống phòng chống xâm nhập IPS R70: Kiểm soát luồng gói tin và đối chiếu nội dung với cơ sở dữ liệu hơn 2000 định dạng (signatures) của các kiểu tấn công mạng.

Phương pháp nghiên cứu được triển khai trong đồ án gồm:

  • Phương pháp phân tích - tổng hợp tài liệu: Khảo sát các tài liệu chuyên ngành, hướng dẫn kỹ thuật chính thức từ Check Point Software Technologies.
  • Phương pháp thực nghiệm mô phỏng (Lab Simulation): Thiết kế và cấu hình từng kịch bản mạng cụ thể trên giao diện SmartDashboard, WebUI và dòng lệnh (CLI) của hệ điều hành SecurePlatform.
  • Phương pháp kiểm thử tấn công (Penetration Testing): Sử dụng hệ điều hành Backtrack với các công cụ như synflood.pl và kỹ thuật quét cổng (SYN Scan, ACK Scan) để kiểm chứng cơ chế ứng phó của IPS ở hai chế độ Detect và Prevent.
  • Nguồn dữ liệu: Dữ liệu cấu hình, thông số hệ thống và nhật ký ghi nhận trực tiếp từ Check Point SmartDashboard, SmartView Monitor và hệ điều hành SecurePlatform.

Thiết kế và triển khai

Hệ thống được thiết kế và triển khai qua các phân hệ kỹ thuật với các bước cấu hình cụ thể:

  • Phân hệ Access Control và Anti-Spoofing:

    • Thiết lập Security Rule Base trên SmartDashboard để phân quyền truy cập.
    • Kích hoạt cơ chế chống giả mạo địa chỉ IP (Anti-Spoofing) tại thuộc tính cổng External của Security Gateway thông qua tùy chọn Perform Anti-Spoofing based on interface topology.

  • Phân hệ xác thực người dùng (User Authentication):

    • Cấu hình 3 phương thức xác thực: User Authentication (cho Telnet, FTP, HTTP, RLOGIN), Client Authentication (xác thực máy trạm qua cổng HTTP 900), và Session Authentication (yêu cầu cài đặt Client Session Agent trên máy trạm).
    • Khai báo các đối tượng Host, RADIUS Server, User Group và cấu hình External User Profile sử dụng mẫu đại diện generic* để chuyển tiếp yêu cầu xác thực người dùng từ xa.

  • Phân hệ biên dịch địa chỉ mạng (NAT):

    • Cấu hình Automatic Static NAT cho máy chủ vùng DMZ (nyweb01 từ IP Private 192.168.x.x sang IP Public 199.x.x.x) và Automatic Hide NAT cho mạng nội bộ (internal_network 192.168.0.0/24) thông qua tùy chọn Hide behind Gateway hoặc Hide behind IP Address.
    • Cấu hình Manual NAT kết hợp định tuyến tĩnh host route (route add -p) và thiết lập Proxy ARP bằng cách tạo tệp local.arp (chứa cặp thông tin IP Public và MAC card mạng) lưu tại $FWDIR/state/ và $FWDIR/conf/, kiểm tra bằng lệnh fw ctl arp.

  • Phân hệ ISP Redundancy:

    • Cấu hình 2 giao tiếp mạng kết nối 2 nhà cung cấp dịch vụ Internet trên Security Gateway.
    • Thiết lập chế độ Primary/Backup hoặc Load Sharing, tích hợp tính năng DNS Proxy / Built-in mini DNS trên firewall để chặn và phân giải động tên miền cho các truy cập từ ngoài vào.
    • Quản trị trạng thái đường truyền thông qua lệnh fw isp_link [target] <link-name> up|down và kịch bản $FWDIR/bin/cpisp_update.

  • Phân hệ cân bằng tải ConnectControl:

    • Tạo nhóm máy chủ (Server Group) và định nghĩa Logical Server với địa chỉ IP ảo đại diện.
    • Lựa chọn thuật toán cân bằng tải (Server Load qua Load Agent chạy UDP, Round Trip qua 3 lần ping lấy trung bình, Round Robin, Random, Domain).
    • Thiết lập chế độ duy trì phiên Persistent by Server hoặc Persistent by Service cùng các tham số Server Availability, Server Persistency Timeout.

  • Phân hệ Bridge Mode:

    • Cấu hình ghép cặp 2 giao tiếp mạng ở Layer 2 thông qua giao diện WebUI (Network Connection > New Bridge) hoặc qua lệnh sysconfig trong CLI; kiểm tra trạng thái bằng lệnh brctl show trong chế độ Expert.

  • Phân hệ tối ưu hóa đa nhân CoreXL:

    • Kiểm tra trạng thái gắn kết CPU core qua lệnh fw ctl affinity -l -a, fw ctl multik stat hoặc sim affinity -l.
    • Thay đổi số lượng instance của kernel bằng lệnh /etc/fw/boot/fwboot bootconf set_kernnum <k> hoặc công cụ cpconfig.
    • Phân bổ vi xử lý cho SND và tiến trình ghi nhật ký fwd trong tệp cấu hình $FWDIR/conf/fwaffinity.conf (theo cú pháp i <interface> <cpuid> và n fwd <cpuid>), áp dụng cấu hình không cần khởi động lại bằng lệnh $FWDIR/scripts/fwaffinity_apply.

Nội dung chính theo từng chương

Phần 1: Network Access

Phần này tập trung phân tích sự cần thiết của việc kiểm soát truy cập và xác thực danh tính người dùng trong hệ thống mạng:

  • Access Control: Phân tích nguyên lý hoạt động của Security Rule Base đặt tại Security Gateway ở biên mạng. Mọi gói tin đi qua đều được đối chiếu tuần tự từ trên xuống dưới; nếu không khớp với bất kỳ rule cho phép nào, gói tin sẽ bị chặn mặc định. Phân tích chi tiết 8 thành phần cấu tạo rule và vai trò của cơ chế Anti-Spoofing trong việc ngăn chặn gói tin giả mạo IP nội bộ từ mạng ngoài.
  • User Authentication: Trình bày 3 phương thức xác thực người dùng bao gồm User Authentication, Session Authentication và Client Authentication. So sánh chi tiết 6 cơ chế xác thực hỗ trợ: Check Point Password (CSDL nội bộ phân tán trên từng module, hỗ trợ username đến 100 ký tự, mật khẩu 4-8 ký tự), OS Password, RADIUS, TACACS, S/Key (OTP dùng chuỗi băm giảm dần) và SecurID (OTP qua token phần cứng và mã PIN). Trình bày các bài thực hành cấu hình xác thực nội bộ và xác thực tập trung qua RADIUS.

Phần 2: Connectivity

Phần này nghiên cứu chuyên sâu về các kỹ thuật kết nối và chuyển mạch dịch vụ trên Check Point Gateway:

  • Network Address Translation (NAT): Khảo sát chi tiết Static NAT (1:1 cho Source NAT và Destination NAT) và Hide NAT (N:1, ánh xạ IP kèm dải cổng từ 600-1023 và trên 10000). Phân tích cấu trúc bảng NAT Table với giới hạn kết nối từ 25.000 đến 50.000 phiên, thời gian hết hạn (NAT Table Expiration Timer) mặc định cho TCP là 3600 giây và UDP là 330 giây. Làm rõ sự khác biệt giữa Static Destination NAT ở Client Side (NAT trước định tuyến) và Server Side (định tuyến trước NAT, cần host route). Hướng dẫn thiết lập Automatic NAT và Manual NAT kết hợp cấu hình Proxy ARP qua tệp local.arp.
  • ISP Redundancy: Phân tích giải pháp kết nối đa đường truyền Internet chạy trên Red Hat Enterprise Linux 7.2+, SecurePlatform hoặc IPSO. So sánh 2 chế độ: Primary/Backup (chỉ dùng link chính, chuyển link phụ khi có sự cố) và Load Sharing (chia tải ngẫu nhiên ra ngoài và luân phiên phân giải qua Built-in mini DNS vào trong).
  • ConnectControl (Server Load Balancing): Trình bày giải pháp cân bằng tải máy chủ không tốn thêm phần cứng CPU/RAM. Phân tích 5 thuật toán chia tải, phân loại HTTP Logical Server và Other Logical Server (dùng Destination NAT), cơ chế duy trì phiên (Persistent Server Mode) và giám sát trạng thái máy chủ (Server Availability).
  • Bridge Mode: Phân tích cơ chế hoạt động trong suốt tại Layer 2, cho phép chèn tường lửa vào hệ thống mạng hiện hữu mà không cần thay đổi địa chỉ IP hay cấu hình định tuyến. Nêu rõ các giới hạn: chỉ hỗ trợ từng cặp interface, không hỗ trợ ClusterXL và hoạt động trên SecurePlatform.

Phần 3: CoreXL

Phần này đi sâu vào kiến trúc xử lý song song đa nhân của Check Point nhằm nâng cao thông lượng hệ thống:

  • Kiến trúc CoreXL: Giải thích cơ chế nhân bản kernel thành nhiều instance tương ứng với các CPU core trên nền tảng SecurePlatform, Nokia và Crossbeam. Liệt kê các tính năng không hỗ trợ CoreXL như Check Point QoS, Traffic view trong SmartView Monitor, Route-based VPN, IP Pool NAT, IPv6, Overlapping NAT, SMTP resource.
  • Secure Network Distributor (SND) và phân phối tài nguyên: Phân tích vai trò của SND trong việc xử lý lưu lượng tại interface và chuyển tiếp gói tin tới các kernel instance.
  • Điều kiện và quy trình tái phân bổ CPU: Xác định điều kiện bổ sung vi xử lý cho SND (hệ thống có tối thiểu 8 CPU, idle của CPU chạy SND từ 0%-5%, tổng idle của các CPU chạy kernel > 100%). Hướng dẫn quy trình giảm kernel instance, gán vi xử lý cho interface và tiến trình ghi log fwd trong tệp fwaffinity.conf và sử dụng script fwaffinity_apply.

Phần 4: Intrusion Prevention System – IPS

Phần này trình bày về hệ thống phòng chống xâm nhập Check Point IPS R70:

  • Tổng quan và phương thức hoạt động: Trình bày lịch sử chuyển đổi từ IDS sang IPS (giai đoạn 2003-2004) sau các đợt tấn công lớn (Code Red, NIMDA, SQL Slammer). Phân tích khả năng kiểm soát luồng dữ liệu dựa trên hơn 2000 định dạng nhận dạng tấn công tích hợp sẵn trên Security Gateway.
  • Thực nghiệm mô phỏng tấn công:
    • Port Scan: Phân tích nguyên lý quét cổng SYN Scan và ACK Scan; cơ chế phát hiện dựa trên ngưỡng đếm số lượng truy vấn đến các cổng đóng từ cùng một host trong thời gian ngắn.
    • Denial of Service (DoS): Phân tích lý thuyết các dạng tấn công Teardrop, Land Attack, Smurf Attack và SYN Flood. Tiến hành thực nghiệm tấn công SYN Flood trang web bằng công cụ synflood.pl trên Backtrack. Khi ở chế độ Detect, máy chủ web bị tê liệt hoàn toàn do nghẽn phiên chờ xử lý. Khi chuyển sang chế độ Prevent, IPS phát hiện bất thường (ví dụ: vượt ngưỡng 300 gói tin/10 giây) và tự động phản hồi gói tin TCP RST (Reset) về phía kẻ tấn công để hủy kết nối rác, đồng thời gửi RST về Web Server để giải phóng tài nguyên phiên, giúp trang web khôi phục hoạt động bình thường.

Phần 5: Giải pháp cho trường Đại học Hoa Sen

Tổng hợp các kết quả nghiên cứu lý thuyết và thực nghiệm để đề xuất phương án ứng dụng tường lửa Check Point vào hệ thống mạng Trường Đại học Hoa Sen, đáp ứng các yêu cầu về an ninh biên, kiểm soát truy cập người dùng, tối ưu kết nối Internet đa đường truyền và đảm bảo tính sẵn sàng cao cho các máy chủ dịch vụ.

Kết quả và đóng góp

Kết quả kỹ thuật và số liệu thực nghiệm

Đồ án đã khảo sát, thực nghiệm và chuẩn hóa các thông số kỹ thuật cốt lõi trên Check Point Security Gateway R70:

Phân hệ chức năng Thuộc tính / Cơ chế kỹ thuật Thông số / Đặc tính ghi nhận trong văn bản
Xác thực nội bộ Check Point Password Tên người dùng tối đa 100 ký tự; mật khẩu từ 4 đến 8 ký tự; CSDL phân tán tới từng module
Client Authentication Cổng dịch vụ xác thực Web Cổng HTTP TCP 900 (http://[IPfwCP]:900)
Bảng NAT Hide NAT Dung lượng & Dải cổng ánh xạ Dải cổng: 600-1023 và trên 10000; tối đa 50.000 kết nối đồng thời/máy chủ; bảng NAT quản lý từ 25.000 đến 50.000 kết nối
NAT Expiration Timer Thời gian chờ hết hạn kết nối TCP: 3600 giây; UDP: 330 giây (Session timeout mặc định: TCP 3600s, UDP 40s)
ISP Redundancy Chế độ hoạt động & Hệ điều hành Hỗ trợ Red Hat Enterprise Linux 7.2+, SecurePlatform, IPSO; 2 chế độ: Primary/Backup và Load Sharing
ConnectControl Thuật toán cân bằng tải 5 thuật toán: Server Load (UDP Agent), Round Trip (ping 3 lần lấy trung bình), Round Robin, Random, Domain
Điều kiện tăng CPU cho SND Tối ưu hóa đa nhân CoreXL Hệ thống tối thiểu 8 CPU; CPU chạy SND có idle từ 0%-5%; tổng idle các CPU chạy kernel > 100%
IPS R70 Database Cơ sở dữ liệu mẫu tấn công Hơn 2000 định dạng (signatures) nhận dạng tấn công
Ứng phó SYN Flood Cơ chế ngăn chặn ở chế độ Prevent Tự động gửi gói tin TCP RST về kẻ tấn công và Web Server để chấm dứt phiên

Giải pháp và đóng góp của đề tài

  • Hệ thống hóa toàn diện kiến trúc bảo mật và kết nối nâng cao của Check Point Security Gateway R70 từ lý thuyết đến quy trình cấu hình thực tế.
  • Xây dựng tài liệu hướng dẫn thực hành (Lab) chi tiết cho từng phân hệ: Access Control, Anti-Spoofing, User/Session/Client Authentication, Static/Hide NAT, Proxy ARP qua tệp cấu hình local.arp, ISP Redundancy qua Mini-DNS, ConnectControl và CoreXL.
  • Kiểm chứng thực tế hiệu quả ngăn chặn tấn công từ chối dịch vụ (SYN Flood) của hệ thống IPS R70 thông qua cơ chế phản hồi TCP RST chủ động, bảo vệ an toàn cho máy chủ dịch vụ.
  • Đề xuất phương án thiết kế hệ thống bảo mật ứng dụng cho Trường Đại học Hoa Sen dựa trên các mô đun kỹ thuật đã kiểm nghiệm.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế được đề cập trong văn bản:
    • Chế độ Bridge Mode chỉ hỗ trợ kết nối theo từng cặp giao tiếp mạng độc lập, không hỗ trợ khi triển khai mô hình liên kết cụm nhiều firewall (ClusterXL) và chỉ hoạt động trên hệ điều hành SecurePlatform.
    • Công nghệ CoreXL không tương thích với một số tính năng chuyên biệt như Check Point QoS, Traffic view trong SmartView Monitor, Firewall-1 GX, Route-based VPN, IP Pool NAT, IPv6, Overlapping NAT, SMTP resource.
    • Cơ chế xác thực OS Password tiềm ẩn nguy cơ an ninh do CSDL mật khẩu nằm trên hệ điều hành và gây khó khăn trong việc đồng bộ giữa nhiều module xác thực.
    • Hiệu quả chống tấn công từ chối dịch vụ DoS/DDoS của IPS vẫn phụ thuộc vào năng lực xử lý phần cứng tối đa của thiết bị Gateway.
  • Hướng nghiên cứu tiếp:
    • Nghiên cứu giải pháp liên kết cụm firewall tăng độ sẵn sàng và chia tải (ClusterXL).
    • Khảo sát các giải pháp mạng riêng ảo VPN chuyên sâu (IPsec VPN, SSL VPN) và quản lý lưu lượng chất lượng dịch vụ (Check Point QoS).
    • Nghiên cứu tích hợp và triển khai an ninh mạng trên nền tảng giao thức IPv6.

Giá trị tham khảo

Đồ án là tài liệu kỹ thuật có giá trị tham khảo thiết thực cho:

  • Sinh viên ngành Kỹ thuật mạng, Viễn thông, Công nghệ thông tin, An toàn thông tin: Dùng làm tài liệu học tập, thực hành đồ án mạng và bảo mật trên các dòng tường lửa thế hệ mới.
  • Kỹ sư mạng và Quản trị viên hệ thống: Tham khảo quy trình cấu hình từng bước (Lab guides) trên SmartDashboard, phương pháp xử lý sự cố định tuyến trong Destination NAT, kỹ thuật phân bổ vi xử lý CoreXL và triển khai giải pháp cân bằng tải, dự phòng ISP.
  • Các phân mục giá trị nhất: Quy trình cấu hình Proxy ARP thủ công qua tệp local.arp, cấu hình DNS Proxy trong ISP Redundancy, các bước gán Affinity cho vi xử lý trong CoreXL và phương pháp phân tích cơ chế phản hồi TCP RST của IPS khi bị tấn công DoS.

Câu hỏi thường gặp

1. Trong cơ chế Hide NAT của Check Point, dung lượng kết nối và các cổng chuyển đổi được quy định như thế nào?

Trong Hide NAT (PAT), ngoài địa chỉ IP ở Layer 3, cổng nguồn ở Layer 4 cũng được chuyển đổi. Check Point sử dụng các cổng trong dải từ 600 đến 1023 và từ 10000 trở lên để chuyển đổi. Hide NAT có khả năng chuyển đổi tối đa 50.000 kết nối đồng thời đến cùng một máy chủ. Bảng NAT Table quản lý từ 25.000 đến 50.000 kết nối, với thời gian hết hạn (NAT Table Expiration Timer) mặc định cho kết nối TCP là 3600 giây và UDP là 330 giây.

2. Sự khác biệt căn bản giữa hai chế độ hoạt động Primary/Backup và Load Sharing trong tính năng ISP Redundancy là gì?

Ở chế độ Primary/Backup, toàn bộ kết nối ra Internet sẽ đi qua đường link chính và chỉ tự động chuyển sang đường dự phòng khi link chính gặp sự cố; khi link chính phục hồi, kết nối mới sẽ chuyển về link chính trong khi kết nối cũ duy trì trên link phụ cho đến khi hoàn tất. Ở chế độ Load Sharing, tất cả các đường truyền được sử dụng đồng thời, các kết nối đi ra được phân phối ngẫu nhiên giữa các link; đối với kết nối từ ngoài vào trong, Mini-DNS trên firewall sẽ trả lời các truy vấn DNS bằng cách luân phiên hoán đổi các địa chỉ IP của các đường link.

3. Để phân phối thêm một bộ vi xử lý riêng cho tiến trình SND trong CoreXL, hệ thống cần đáp ứng những điều kiện cụ thể nào?

Người quản trị chỉ nên cấp thêm một vi xử lý cho Secure Network Distributor (SND) khi hệ thống thỏa mãn đồng thời 3 điều kiện:

  1. Tường lửa có ít nhất 8 bộ vi xử lý (CPU cores).
  2. Giá trị thời gian rỗi (idle) hiện tại của vi xử lý đang chạy SND nằm trong khoảng từ 0% đến 5%.
  3. Tổng giá trị idle của tất cả các vi xử lý đang gắn kết với firewall kernel lớn hơn 100%.

4. Tại sao cơ chế xác thực người dùng bằng OS Password không được khuyến khích sử dụng trên Check Point Security Gateway?

Cơ chế OS Password không được khuyến khích sử dụng vì hai nguyên nhân chính:

  1. Cơ sở dữ liệu xác thực người dùng nằm trực tiếp trên hệ điều hành, kẻ xấu có thể lợi dụng thông tin này để kết nối thẳng vào module xác thực, gây nguy hiểm cho hệ thống.
  2. Khi hệ thống có nhiều module xác thực, việc đảm bảo đồng bộ dữ liệu người dùng trên tất cả các hệ điều hành của các module là rất phức tạp và khó quản lý.

5. Trong bài thực nghiệm mô phỏng tấn công SYN Flood, Check Point IPS ở chế độ Prevent xử lý luồng gói tin như thế nào để bảo vệ Web Server?

Khi phát hiện tấn công SYN Flood (dựa trên việc số lượng gói SYN vượt quá ngưỡng bất thường từ cùng một nguồn trong thời gian ngắn), Check Point IPS ở chế độ Prevent sẽ tự động gửi gói tin TCP RST (Reset) về phía kẻ tấn công để hủy bỏ phiên kết nối. Đồng thời, IPS cũng gửi gói RST về phía Web Server để giải phóng các session đang chờ xử lý trong bộ nhớ, giúp Web Server không bị quá tải và tiếp tục phục vụ các yêu cầu truy cập hợp lệ bình thường.

Kết luận

Báo cáo đồ án hướng ngành "Tìm hiểu Firewall trên CheckPoint" đã nghiên cứu hệ thống và kiểm chứng thực nghiệm các tính năng cốt lõi của nền tảng Check Point Security Gateway R70, bao gồm Network Access, Connectivity (NAT, ISP Redundancy, ConnectControl, Bridge Mode), CoreXL và hệ thống IPS. Các kết quả thực nghiệm mô phỏng cấu hình và kiểm thử tấn công (SYN Scan, SYN Flood) đã làm rõ cơ chế vận hành, khả năng tối ưu hóa đa nhân và hiệu quả phòng thủ chủ động của thiết bị bảo mật. Đề tài cung cấp cơ sở kỹ thuật thực tiễn và phương án thiết kế an ninh mạng có tính khả thi cao để triển khai áp dụng tại Trường Đại học Hoa Sen.