Giới thiệu chung
Internet mang lại nhiều lợi ích thiết thực cho doanh nghiệp, hỗ trợ mở rộng thị trường và nâng cao hiệu quả kinh doanh Tuy nhiên, đi kèm với đó là những nguy cơ lớn về an ninh mạng, đe dọa từ hacker và các cuộc tấn công kỹ thuật cao Các hacker có thể xâm nhập vào hệ thống, truy cập thông tin riêng tư hoặc gây rối hệ thống của doanh nghiệp Số lượng và mức độ tinh vi của các mối đe dọa an ninh mạng ngày càng tăng theo sự phát triển của internet, đặt ra thách thức lớn cho các tổ chức trong việc bảo vệ dữ liệu và hệ thống của mình.
Việc đảm bảo an toàn cho hệ thống là một công việc phức tạp do sự đa dạng của các hệ điều hành, phiên bản sửa lỗi và vùng quản trị khác nhau Mặc dù việc tạo ra các lớp bảo mật là cần thiết, nhưng không thể hoàn toàn ngăn chặn các cuộc tấn công từ bên ngoài Do đó, cần áp dụng các giải pháp an ninh toàn diện và liên tục cập nhật để nâng cao khả năng bảo vệ hệ thống khỏi các mối đe dọa ngày càng tinh vi.
Bằng cách phòng chống các mối đe dọa đối với các điểm kết nối của mạng và Internet, người dùng có thể tận dụng tối đa các dịch vụ Internet như Web, E-Mail, FTP một cách an toàn Phòng chống các rủi ro bị thâm nhập giúp giảm thiểu các nguy cơ về an ninh mạng, từ đó đảm bảo an toàn thông tin cho người dùng Việc bảo vệ các điểm kết nối mạng là yếu tố cần thiết để duy trì khả năng truy cập các dịch vụ Internet một cách liên tục và đáng tin cậy.
Rủi ro an ninh mạng liên quan đến xác suất một hacker có thể xâm nhập thành công vào hệ thống mạng công ty thông qua kết nối mạng diện rộng Các khả năng bị tấn công bao gồm nhiều diễn biến khác nhau, nhưng chung quy lại, các rủi ro phổ biến nhất đều có thể gây ảnh hưởng nghiêm trọng đến an toàn dữ liệu và hoạt động của doanh nghiệp Đánh giá chính xác các nguy cơ này giúp xây dựng các giải pháp phòng ngừa hiệu quả, từ đó giảm thiểu khả năng bị tổn thất từ các cuộc tấn công mạng.
- Truy nhập đọc: Đọc hoặc sao chép dữ liệu từ mạng nội bộ
- Truy nhập ghi: Ghi hoặc phá hủy dữ liệu từ mạng nội bộ, bao gồm việc phát tán các loại trojan, virus,…
Từ chối dịch vụ (Denial of Service - DOS) là hình thức tấn công khai thác các đặc điểm hoặc lỗi bảo mật của hệ thống để làm gián đoạn truy cập của người dùng Các cuộc tấn công này thường gây ra sự cố quá tải, khiến chương trình hoặc hệ thống bị treo, đổ vỡ hoặc tê liệt toàn bộ hoặc một phần, buộc quản trị viên phải tạm ngừng dịch vụ và khởi động lại hệ thống để khắc phục sự cố.
Hậu quả của việc tấn công, xâm nhập
Các cuộc tấn công vào hệ thống mạng của doanh nghiệp có thể gây gián đoạn liên lạc và làm suy yếu tính bảo mật cũng như tính toàn vẹn của dữ liệu Hậu quả của các cuộc tấn công này phụ thuộc vào mức độ và loại thông tin bị xâm phạm, từ những phiền toái nhỏ đến việc hệ thống bị hỏng hóc hoàn toàn Vì vậy, bảo vệ hệ thống mạng là yếu tố quan trọng để đảm bảo hoạt động ổn định và an toàn cho doanh nghiệp.
Khi dữ liệu bí mật của doanh nghiệp bị các cuộc tấn công phá vỡ, hậu quả có thể rất lớn và gây thiệt hại về chi phí và uy tín Việc hacker truy cập vào hệ thống thư điện tử có thể dẫn đến mất đi các thông tin độc quyền, khiến doanh nghiệp mất lợi thế cạnh tranh đã đạt được qua quá trình nghiên cứu và phát triển Do đó, bảo vệ dữ liệu doanh nghiệp là điều vô cùng quan trọng để tránh các tổn thất tài chính và thiệt hại về uy tín trong môi trường kinh doanh số ngày càng tăng.
Khi tính toàn vẹn dữ liệu bị phá vỡ do các cuộc tấn công mạng, doanh nghiệp phải đối mặt với khoản chi lớn để xử lý hậu quả, gồm cả việc sửa chữa trang web bị thay đổi và phục hồi thông tin chính xác Hacker có thể thay đổi nội dung trang web, thay thế thông tin chính đáng bằng nội dung phá hoại, gây tổn hại uy tín của doanh nghiệp Điều này khiến doanh nghiệp không chỉ tốn kém để khôi phục hệ thống mà còn phải đối mặt với các ảnh hưởng tiêu cực đến hình ảnh và mối quan hệ với công chúng Bảo vệ dữ liệu toàn vẹn là yếu tố then chốt để duy trì uy tín và hoạt động kinh doanh hiệu quả.
Mục đích bảo vệ
Bảo vệ dữ liệu
Có ba đặc tính rất quan trọng đối với dữ liệu:
- Tính bảo mật: Chỉ những người có quyền mới được biết
- Tính toàn vẹn: Không bị hư hỏng, bị sửa đổi hay mất mát
- Tính kịp thời: Sẵn sàng bất cứ lúc nào cần.
Bảo vệ tài nguyên
Tài nguyên của máy tính không phải là tài nguyên thiên nhiên, nó có giới hạn và không được lãng phí hay phá hủy nếu không được sử dụng.
Bảo vệ danh tiếng
Hacker thường nhắm vào các cá nhân hoặc doanh nghiệp để thực hiện các cuộc tấn công Khi doanh nghiệp bị tấn công, uy tín của thương hiệu trở thành yếu tố vô cùng quan trọng và dễ bị ảnh hưởng nghiêm trọng Nếu người quản trị hệ thống chỉ biết hệ thống của mình bị tấn công mà không nhận thức được rằng hệ thống đó bị lợi dụng làm bàn đạp để tấn công các hệ thống khác, thiệt hại về uy tín sẽ không thể đo lường và để lại hậu quả lâu dài cho doanh nghiệp.
Thiết kế chính sách bảo vệ an toàn mạng
Quyền hạn tối thiểu
Nguyên tắc cơ bản này nhấn mạnh rằng mọi đối tượng đều có quyền hạn nhất định để thực hiện nhiệm vụ của mình, giúp hạn chế khả năng bị tấn công và giảm thiểu thiệt hại do các cuộc tấn công mạng gây ra Việc xác định rõ quyền hạn của các đối tượng trong hệ thống là yếu tố then chốt để bảo vệ dữ liệu và đảm bảo an toàn thông tin Điều này không chỉ giới hạn khả năng tiếp xúc của Hacker mà còn ngăn chặn việc phá hủy dữ liệu, duy trì tính toàn vẹn của hệ thống mạng.
Đơn giản
- Dễ hiểu: Khi một hệ thống được thiết kế đơn giản thì dễ dàng hiểu được hệ thống có hoạt động như mong muốn hay không
Hệ thống càng phức tạp thì càng dễ mắc lỗi, ngay cả khi không có lỗi hoặc các lỗ hổng bảo mật Sự phức tạp của hệ thống làm khó khăn trong việc phân tích và xử lý các vấn đề phát sinh, đặc biệt trong những tình huống không lường trước.
Bảo vệ theo chiều sâu
Một nguyên tắc quan trọng của an toàn thông tin là bảo vệ theo chiều sâu, không nên phụ thuộc vào một chế độ bảo mật duy nhất dù nó có mạnh đến đâu Cần lắp đặt nhiều cơ chế bảo mật khác nhau để hỗ trợ lẫn nhau, như một hệ thống lớp phòng thủ vững chắc Ví dụ, một Firewall có nhiều lớp bảo vệ; nếu lớp đầu tiên gặp sự cố, các lớp tiếp theo sẽ tiếp tục bảo vệ hệ thống, đảm bảo an toàn tối đa.
Nút thắt
Một nút thắt trong hệ thống sẽ trở nên vô dụng nếu không có các con đường khác để đi qua, đồng nghĩa với việc hệ thống vẫn có các kết nối thay thế Do đó, không nhất thiết phải tấn công Firewall nếu còn nhiều đường kết nối khác không được bảo vệ, giúp tăng cường khả năng bảo mật và giảm thiểu rủi ro bị xâm nhập hệ thống Việc phát hiện và kiểm soát các điểm yếu trong các đường dẫn mạng có thể là chìa khóa để tăng cường an ninh mạng hiệu quả hơn.
Đường nối yếu nhất
Các hacker tấn công thông minh thường nhắm vào các điểm yếu nhất trong hệ thống để đạt được mục tiêu Hiểu rõ những điểm yếu này giúp doanh nghiệp xây dựng các phương án bảo vệ hiệu quả hơn Trong đó, các cuộc tấn công từ mạng còn nguy hiểm hơn so với những hacker tiếp cận hệ thống trực tiếp Do đó, an toàn vật lý cho hệ thống của doanh nghiệp được xem là yếu tố quan trọng và dễ bị khai thác nhất.
Tính đa dạng của việc bảo vệ
Sự đa dạng của các hệ thống mạng bên trong giúp tăng khả năng bảo vệ hệ thống bằng cách giảm thiểu rủi ro bị tấn công toàn bộ mạng do lỗi chung trong hệ điều hành hoặc ứng dụng Tuy nhiên, việc duy trì sự đa dạng này cũng làm phức tạp quá trình quản lý và gia tăng chi phí về phần cứng và phần mềm.
DỊCH VỤ MẠNG VÀ GIẢI PHÁP AN TOÀN
Một số dịch vụ trong mạng doanh nghiệp
Trong thời đại số hiện nay, mạng Internet chứa hàng triệu nút (Host), khiến việc nhớ hết địa chỉ IP trở nên khó khăn Do đó, DNS (Hệ Thống Đặt Tên Miền) đóng vai trò quan trọng khi cung cấp dịch vụ ánh xạ từ tên host đến địa chỉ IP thông qua một cơ sở dữ liệu phân tán Khi người dùng hoặc hệ thống truy cập một tên host, DNS server sẽ trả về địa chỉ IP tương ứng hoặc thông tin liên quan của host đó, giúp quản lý mạng dễ dàng và thuận tiện hơn trong việc đặt tên cho các thiết bị doanh nghiệp DNS server được sử dụng trong nhiều trường hợp để tối ưu hóa việc truy cập mạng và quản lý tài nguyên mạng một cách hiệu quả.
- Muốn có 1 tên domain riêng trên Internet để có thể tạo, tách rời các domain con bên trong nó
- Cần 1 dịch vụ DNS để điều khiển cục bộ nhằm tăng tính linh hoạt cho domain cục bộ của hệ thống
- Cần 1 bức tường lửa để bảo vệ không cho người ngoài thâm nhập vào hệ thống mạng nội bộ của công ty
You can directly manage DNS settings using text editors to create and modify DNS files or utilize a DNS manager to efficiently create and manage DNS objects such as servers, zones, resource records, and domains, with seamless integration into Windows.
2.1.2 Mạng riêng ảo (VPN) Khái niệm Virtual Private Network
Mỗi Virtual Private Network (VPN) là một mạng riêng ảo sử dụng mạng chung như Internet để kết nối các site (mạng riêng lẻ) hoặc người dùng từ xa Thay vì sử dụng các kết nối vật lý chuyên dụng như đường truyền Leased Line, VPN tận dụng các kết nối ảo qua Internet để liên kết mạng riêng của công ty với các địa điểm hoặc nhân viên từ xa Công nghệ VPN giúp đảm bảo an toàn và bảo mật dữ liệu trong quá trình truyền tải qua mạng công cộng.
VPN là mạng ảo nội bộ giúp người dùng kết nối từ xa tới các dịch vụ và chương trình quan trọng như đang làm việc tại văn phòng Khi đi công tác xa, VPN cho phép truy cập an toàn và ổn định, đảm bảo công việc vẫn diễn ra thuận lợi như được thực hiện tại văn phòng Chính vì tính chất mô phỏng môi trường nội bộ qua mạng ảo, VPN được xem là công cụ thiết yếu trong công tác từ xa và bảo mật dữ liệu.
Các dạng giao thức của VPN
Có 3 dạng giao thức (Tunneling) nổi bật được sử dụng trong VPN:
IPSec, được phát triển bởi IETF, là một chuẩn mở giúp bảo vệ an toàn quá trình trao đổi dữ liệu qua mạng công cộng bằng phương thức xác nhận người dùng Khác với các kỹ thuật mã hóa khác, IPSec hoạt động ở lớp thứ 7 của mô hình OSI, cho phép nó vận hành độc lập với các ứng dụng mạng Nhờ đó, hệ thống mạng được nâng cao khả năng bảo mật mà không cần sử dụng thêm các chương trình bảo mật khác.
Point-to-Point Tunneling Protocol (PPTP), developed by Microsoft, 3COM, and Ascend Communications, is an alternative tunneling protocol to IPSec While PPTP operates at the Data Link Layer (Layer 2), IPSec remains widely used in various tunneling applications for enhanced security.
Layer 2 Tunneling Protocol (L2TP), được phát triển bởi Cisco Systems, nhằm thay thế cho IPSec nhưng vẫn chưa vượt qua IPSec về mặt bảo mật trên Internet L2TP là sự kết hợp giữa Layer 2 Forwarding (L2F) và PPTP, dùng để đóng gói các Frame sử dụng giao thức Point-to-Point qua các mạng như X.25, Frame Relay (FR), và ATM Các ưu điểm của VPN dựa trên L2TP bao gồm khả năng mục đích đa dạng và khả năng tương thích cao với các mạng khác nhau, trong khi nhược điểm của L2TP có thể là tốc độ kết nối chậm hơn so với các giao thức VPN khác do quá trình đóng gói phức tạp.
Sự tin cậy trong truyền dữ liệu đòi hỏi người gửi phải mã hoá các gói dữ liệu trước khi gửi qua mạng công cộng Điều này đảm bảo rằng thông tin của bạn được bảo vệ an toàn, không ai có thể truy cập hoặc đọc dữ liệu mà không có quyền truy cập hợp lệ Áp dụng mã hoá giúp duy trì tính bảo mật và đảm bảo thông tin của bạn luôn được giữ kín, nâng cao độ tin cậy trong quá trình truyền tải dữ liệu qua các mạng công cộng.
- Tính toàn vẹn giữ liệu (Data Integrity): người nhận có thể kiểm tra rằng dữ liệu đã được truyền qua mạng Internet mà không có sự thay đổi nào
- Xác thực nguồn gốc (Origin Authentication): Người nhận có thể xác thực nguồn gốc của gói dữ liệu, đảm bảo và công nhận nguồn thông tin
- Giảm chi phí thường xuyên
- Tạo ra tính mềm dẻo trong việc quản lý mạng của công ty
- Đảm bảo an toàn thông tin và tính toàn vẹn dữ liệu
- Phụ thuộc trong môi trường Internet
- Thiếu sự hỗ trợ một số giao thức kế thừa
E-mail (Electronic mail) là thư điện tử, một hình thức trao đổi thư từ nhưng thông qua mạng Internet Dịch vụ này được sử dụng rất phổ biến và không đòi hỏi hai máy tính gửi và nhận phải kết nối online trên mạng
Tại mỗi Mail Server thông thường gồm hai dịch vụ: POP3 (Post Office Protocol
3) làm nhiệm vụ giáo tiếp mail giữa Mail Client và Mail Server, SMTP (Simple E-mail Transfer Protocol) làm nhiệm vụ giao tiếp mail giữa các máy Mail Server
Exchange Server của Microsoft là phần mềm chạy trên máy chủ, cho phép gửi và nhận thư điện tử cùng các hình thức truyền thông qua mạng máy tính Được thiết kế chủ yếu để tích hợp với Microsoft Outlook, Exchange Server còn tương thích tốt với các phần mềm email khác như Outlook Express và các ứng dụng thư điện tử đa dạng Đây là giải pháp lý tưởng cho doanh nghiệp muốn xây dựng hệ thống email chuyên nghiệp, ổn định và hiệu quả.
Exchange Server phù hợp cho cả doanh nghiệp lớn và nhỏ, nổi bật với khả năng quản trị dễ dàng, tích hợp nhiều tính năng mạnh mẽ và độ tin cậy cao, giúp nâng cao hiệu suất làm việc và đảm bảo an ninh thông tin cho tổ chức của bạn.
Các thiết bị Client như máy tính cá nhân, máy trạm hoặc điện thoại di động gửi tin nhắn qua mạng máy tính tập trung kết nối với Server hoặc các máy MainFrame lưu trữ hộp thư Các Server này kết nối với mạng Internet hoặc mạng riêng (Private Network) để gửi và nhận thư điện tử của người dùng, đảm bảo quá trình truyền tải thông tin diễn ra an toàn và hiệu quả.
Dịch vụ World Wide Web (WWW hoặc Web) là nền tảng cung cấp thông tin trên mạng internet, được lưu trữ dưới dạng siêu văn bản (hypertext) Các tài liệu này chủ yếu được xây dựng bằng ngôn ngữ HTML và có thể bao gồm văn bản, hình ảnh động, âm thanh, và video, tất cả liên kết với nhau qua các liên kết (link) Người dùng truy cập các nội dung này qua giao thức HTTP, giúp dễ dàng xem và khám phá các tài liệu liên quan một cách thuận tiện.
Web server là ứng dụng cài đặt trên máy chủ, có chức năng tiếp nhận các yêu cầu HTTP từ máy trạm và cung cấp các thông tin web dạng HTML dựa trên yêu cầu đó Đây là thành phần quan trọng giúp trang web hoạt động liên tục và hiệu quả Web server xử lý yêu cầu từ người dùng, trả về dữ liệu phù hợp, góp phần nâng cao trải nghiệm truy cập website.
Web Client là ứng dụng cài đặt trên máy trạm, thường gọi là trình duyệt web, giúp người dùng gửi yêu cầu đến Web Server và nhận phản hồi để hiển thị thông tin trên màn hình Các trình duyệt web phổ biến nhất hiện nay bao gồm Internet Explorer, Google Chrome và Firefox, đóng vai trò quan trọng trong việc truy cập và khai thác dữ liệu trên máy chủ Internet.
Firewall
Firewall là một kỹ thuật quan trọng được tích hợp vào hệ thống mạng nhằm ngăn chặn truy cập trái phép, bảo vệ nguồn thông tin nội bộ khỏi các mối đe dọa bên ngoài Nó hoạt động như một cơ chế bảo vệ mạng tin tưởng (Trusted Network) khỏi các mạng không tin tưởng (Untrusted Network), đảm bảo an toàn dữ liệu và hạn chế xâm nhập không mong muốn vào hệ thống.
Firewall thường được đặt giữa mạng nội bộ và Internet của công ty, tổ chức hoặc quốc gia nhằm bảo vệ thông tin quan trọng Vai trò chính của Firewall là ngăn chặn các truy cập trái phép từ bên ngoài Internet và kiểm soát việc truy cập từ bên trong vào các địa chỉ Internet không mong muốn Điều này giúp tăng cường bảo mật hệ thống mạng, bảo vệ dữ liệuquan trọng và duy trì an ninh an toàn thông tin.
Firewall hay còn gọi là bức tường lửa là hệ thống máy tính và thiết bị mạng được thiết kế để bảo mật và giám sát các truy cập từ bên trong ra ngoài cũng như từ bên ngoài vào trong Chức năng chính của firewall là giúp phòng chống các truy cập bất hợp pháp, bảo vệ hệ thống mạng khỏi các mối đe dọa từ bên ngoài Sử dụng firewall là giải pháp quan trọng trong việc tăng cường an ninh mạng cho doanh nghiệp và cá nhân.
2.2.2 Phân loại Firewall Firewall cứng: Là những Firewall được tích hợp trên Router Đặc điểm của Firewall cứng:
- Không được linh hoạt như Firewall mềm (không thể thêm chức năng, thêm quy tắc như Firewall mềm)
- Firewall cứng hoạt động ở tầng thấp hơn Firewall mềm (Tầng Network và tầng Transport)
Firewall mềm: Là những Firewall được cài đặt trên Server Đặc điểm của Firewall mềm:
- Tính linh hoạt cao: Có thể thêm, bớt các quy tắc, các chức năng
- Firewall mềm hoạt động ở tầng cao hơn Fireawall cứng (Tầng ứng dụng)
2.2.3 Các chức năng cơ bản của Firewall
Firewall có chức năng chính là kiểm soát luồng thông tin giữa mạng nội bộ đáng tin cậy (Trusted Network) và Internet thông qua các chính sách truy cập đã được thiết lập, giúp bảo vệ hệ thống khỏi các mối đe dọa từ mạng bên ngoài.
- Cho phép hoặc cấm các dịch vụ truy nhập từ trong ra ngoài và từ ngoài vào trong
- Kiểm soát địa chỉ truy nhập và dịch vụ sử dụng
- Kiểm soát khả năng truy cập người sử dụng giữa 2 mạng
- Kiểm soát nội dung thông tin truyền tải giữa 2 mạng
- Ngăn ngừa khả năng tấn công từ các mạng ngoài
Xây dựng Firewall là một biện pháp bảo vệ mạng hiệu quả giúp kiểm soát và bảo vệ các dịch vụ mạng quan trọng Firewall thường được sử dụng rộng rãi vì khả năng phân định và kiểm soát lưu lượng giữa mạng nội bộ và mạng bên ngoài Một hệ thống Firewall hoạt động như một cổng (Gateway) đóng vai trò trung gian, đảm bảo an toàn cho mạng nội bộ khỏi các mối đe dọa từ bên ngoài.
2.2.4 Nguyên lý hoạt động của Firewall
Firewall là một phần mềm hoặc thiết bị phần cứng giúp lọc các dữ liệu truyền qua Internet, bảo vệ mạng cá nhân hoặc hệ thống máy tính khỏi các mối đe dọa từ bên ngoài Nó đóng vai trò quan trọng trong việc kiểm soát luồng dữ liệu, ngăn chặn truy cập trái phép và bảo vệ an ninh mạng Firewall đảm bảo chỉ những thông tin hợp lệ mới được phép vào hệ thống, nâng cao khả năng bảo vệ dữ liệu của người dùng.
Mô hình Firewall tổng quát
Firewall cứng hoạt động như một Gateway (cổng), giúp bảo vệ hệ thống mạng khỏi các mối đe dọa bên ngoài Khi kết nối với router, máy tính cá nhân sẽ nhận được lớp bảo mật bổ sung từ router, được cấu hình qua trình duyệt Web của ISP Router không chỉ định tuyến lưu lượng mạng mà còn có thể thiết lập các chức năng bảo mật như chặn địa chỉ IP độc hại hoặc bộ lọc để kiểm soát truy cập Nhờ đó, bộ định tuyến (router) đóng vai trò quan trọng trong việc nâng cao khả năng bảo mật của mạng, giảm thiểu nguy cơ bị tấn công từ các nguồn bên ngoài.
Mô hình Firewall phần cứng
Firewall mềm cài đặt trên máy cá nhân hoạt động như một Gateway (cổng), cung cấp một điểm truy cập duy nhất giữa mạng của máy và Internet Độ an toàn của firewall mềm phụ thuộc rất lớn vào chất lượng và khả năng của chương trình Firewall được cài đặt Do đó, việc lựa chọn phần mềm Firewall chính hãng và cập nhật định kỳ là yếu tố quan trọng để bảo vệ hệ thống của bạn khỏi các mối đe dọa từ Internet.
Mô hình Firewall phần mềm
2.2.5 Tiêu chuẩn của một Firewall
Sử dụng Firewall là một giải pháp hiệu quả để nâng cao an ninh mạng bằng cách thiết lập một rào chắn bảo vệ hệ thống khỏi các truy cập trái phép từ bên ngoài Để đảm bảo Firewall hoạt động hiệu quả trong việc ngăn chặn các truy cập không hợp lệ đồng thời vẫn cho phép các truy cập hợp pháp, nó cần đáp ứng các yêu cầu quan trọng sau.
- Firewall cần có khả năng hỗ trợ cấm các dịch vụ đi qua nó ngoại trừ chính sách thiết kế quyền đặc biệt
- Firewall cần hỗ trợ chính sách bảo mật mạng những không phải là bắt buộc
Firewall cần phải linh hoạt và có khả năng biến đổi để phù hợp với các yêu cầu chính sách an toàn của hệ thống Để duy trì hiệu quả bảo mật, firewall phải thích nghi kịp thời với những thay đổi trong môi trường và chính sách an ninh mạng Việc có một firewall linh hoạt giúp hệ thống có khả năng chống lại các mối đe dọa mới và đảm bảo sự an toàn liên tục cho dữ liệu và tài nguyên của doanh nghiệp.
- Hệ thống Firewall nên tắt mọi chức năng không cần thiết
- Firewall không được làm giảm đi tính dễ sử dụng của Internet
Firewall không đủ thông minh như con người để đọc hiểu và phân tích nội dung của từng loại thông tin, chỉ có khả năng ngăn chặn các nguồn thông tin không mong muốn dựa trên các thông số địa chỉ xác định rõ ràng Tuy nhiên, firewall không thể ngăn chặn các cuộc tấn công nếu chúng không đi qua nó, do đó khả năng bảo vệ còn có giới hạn.
Firewall không thể ngăn chặn các cuộc tấn công từ các đường Dial-Up hoặc việc rò rỉ dữ liệu do sao chép trái phép lên thiết bị lưu trữ Ngoài ra, Firewall cũng không có khả năng chống lại các cuộc tấn công dựa trên dữ liệu (Data-Driven Attacks), khi các phần mềm độc hại được chuyển qua email và xâm nhập vào mạng bảo vệ để hoạt động bên trong Ví dụ tiêu biểu là virus máy tính, vì tốc độ hoạt động cao, sự xuất hiện liên tục của các virus mới và khả năng mã hóa dữ liệu phức tạp, khiến Firewall khó có thể quét và ngăn chặn hiệu quả.
Phần mềm Microsoft ISA Server
Microsoft Internet Security and Acceleration Server (ISA Server) is a reliable and easy-to-configure internet sharing software developed by Microsoft, offering effective firewall protections and extensive management features Its intelligent caching system, which stores data in RAM, enhances browsing speed, while features like Schedule Cache enable automated content downloads from WebServers, optimizing network efficiency The 2006 version introduces key enhancements such as Publishing and VPN capabilities, setting it apart from previous versions and providing comprehensive security and remote access solutions for internal networks.
2.3.2 Các phiên bản của ISA Server 2006
ISA Server 2006 có hai phiên bản đó là ISA Server 2006 Standard và ISA Server
ISA Server 2006 Standard đáp ứng nhu cầu bảo vệ và chia sẻ băng thông cho các doanh nghiệp, công ty có quy mô trung bình
Xây dựng hệ thống kiểm soát luồng dữ liệu vào ra của mạng nội bộ giúp quản lý hiệu quả các truy cập của người dùng Hệ thống này giám sát theo giao thức, thời gian và nội dung để ngăn chặn truy cập vào những trang web có nội dung không phù hợp, từ đó đảm bảo an toàn và bảo mật cho mạng doanh nghiệp.
Triển khai các hệ thống VPN Site-To-Site, Remote Access để hỗ trợ truy cập từ xa, trao đổi dữ liệu giữa các văn phòng chi nhánh
Ngoài ra còn có hệ thống đệm (Caching) giúp kết nối Web nhanh hơn
ISA Server 2006 Enterprise là giải pháp lý tưởng cho các doanh nghiệp và công ty quy mô lớn, giúp quản lý và kiểm soát truy cập internet hiệu quả Khi sử dụng ISA Server 2006 Enterprise, doanh nghiệp có thể đáp ứng đa dạng yêu cầu truy xuất của người dùng cả trong và ngoài hệ thống Công nghệ này cung cấp tính năng bảo mật cao, nâng cao khả năng kiểm soát luồng dữ liệu và tối ưu hóa hiệu suất hệ thống mạng doanh nghiệp Với ISA Server 2006 Enterprise, các tổ chức lớn có thể đảm bảo an toàn thông tin, nâng cao trải nghiệm người dùng và duy trì hoạt động kinh doanh liên tục.
Bản Enterprise bổ sung tính năng cho phép thiết lập hệ thống nhiều ISA Server cùng sử dụng một chính sách, giúp quản lý dễ dàng hơn và tối ưu hóa hiệu suất mạng Ngoài các tính năng có trên bản Standard, phiên bản này còn hỗ trợ Load Balancing (cân bằng tải), nâng cao khả năng phân phối tải và đảm bảo tính ổn định của hệ thống.
2.3.3 Một số tính năng của ISA Server Khả năng Publishing Service:
ISA 2006 có khả năng tự động tạo các mẫu (form) khi người dùng truy cập vào trang OWA, giúp hỗ trợ chứng thực kiểu Form-Based Tính năng này giúp chống lại các người dùng trái phép truy cập trang web OWA và được phát triển dưới dạng Add-Ins để tăng cường bảo mật.
- Cho phép Public Terminal Server theo chuẩn RDP over SSL, đảm bảo dữ liệu trong phiên kết nối được mã hóa trên Internet (kể cả Password)
- Block các kết nối Non-Encrypted MAPI đến Exchange Server, cho phép Outlook của người dùng kết nối an toàn đến Exchange Server
- Rất nhiều các Wizard cho phép người quản trị Public các Server nội bộ ra Internet một cách an toàn, hỗ trợ cả các sản phẩm mới như Exchange 2007
Khả năng kết nối VPN:
- Cung cấp Wizard cho phép cấu hình tự động Site-To-Site VPN ở 2 văn phòng riêng biệt
- Cho phép Public luôn 1 VPN Server khác trong Internal ra ngoài Internet, hỗ trợ PPTP, L2TP/IPSec, IPSec Tunnel Site-To-Site (với các sản phẩm VPN khác)
- Backup và Restore đơn giản
- Cho phép ủy quyền quản trị cho các User /Group
- Log và Report chi tiết cụ thể
- Cấu hình 1 nơi, chạy ở mọi nơi
- Khai báo thêm Server vào Array dễ dàng
- Hỗ trợ nhiều CPU và RAM (bản standard hỗ trợ đến 4 CPU, 2GB RAM)
- Route/NAT theo từng network
TỔNG QUAN THIẾT KẾ MẠNG VÀ TRIỂN KHAI ISA SERVER CHO
Những yêu cầu chung của việc thiết kế mạng
Yêu cầu chung của một hệ thống mạng LAN sau khi thiết kế xong phải thỏa mãn các điều kiện sau:
- Phải đảm bảo các máy tính trong công ty trao đổi được dữ liệu với nhau
- Chia sẻ được máy in, máy Fax
- Tổ chức phân quyền truy cập theo từng người dùng
- Cho phép các nhân viên đi công tác có thể truy cập vào công ty
- Tổ chức hệ thống mail nội bộ và Internet
- Tổ chức Web nội bộ và Internet
- Cài đặt các chương trình ứng dụng phục vụ cho công việc của các nhân viên
3.1.1 Lựa chọn mô hình mạng Ưu điểm:
- Dữ liệu được bảo mật an toàn, dễ backup và diệt virus, chi phí cho các thiết bị thấp
- Dùng ít cáp, dễ lắp đặt
- Khi mở rộng mạng tương đối đơn giản, nếu khoảng cách xa thì có thể dùng Repeater để khuếch đại tín hiệu
- Việc quản trị dễ dàng (do mạng thiết kế theo mô hình xử lý tập trung)
- Sử dụng Switch (không sử dụng Hub) vì Switch có khả năng mở rộng tối ưu hơn Hub, tốc độ truyền dữ liệu nhanh
- Dùng cáp STP không dùng UTP vì STP chống nhiễu, tốc độ truyền tín hiệu nhanh, không bị nghe trộm
- Tiết kiệm chi phí do sử dụng hệ thống mạng BootRom
- Không sợ xảy ra trục trặc về hệ điều hành
- Cấu hình máy Server phải mạnh
- Khó khăn trong việc cài đặt thêm phần mềm cho client
- Máy Server phải cài nhiều dịch vụ cung cấp cho các máy client
- Card mạng phải bắt buộc hỗ trợ BootRom theo chuẩn PXE với version 0.99 trở lên
- Phụ thuộc nhiều vào Server
- Mọi sự thay đổi trên ổ cứng ảo của Client đều không có giá trị
- Ram của hệ thống sẽ bị giảm do được sử dụng làm cache
- Khó đáp ứng được yêu cầu của nhiều ứng dụng khác nhau
Khi đoạn cáp hoặc các đầu nối bị hở ra, sẽ gây ra hiện tượng hai đầu cáp không thể kết nối với terminator, khiến tín hiệu bị phản hồi ngược lại và gây ngừng hoạt động toàn bộ hệ thống mạng Những lỗi này thường khó phát hiện và xác định vị trí hỏng hóc, khó quản lý trong mạng lưới lớn.
- Topo: Kết nối mạng theo mạng hình sao chuyển đổi qua các switch layer 3
- Số nút mạng: Tối thiểu 20 nút mạng tương ứng với số máy gia nhập mạng của công ty
- Internet: 2 đường ADSL sẽ do 2 nhà cung cấp khác nhau cung cấp( VNPT và FPT)
- Cáp xoắn đôi UTP Cat5
- Mô hình mạng: Server-Client
+ Server cài Winserver 2003 Enterpisre Edition
+ Client cài Win Xp Pro.
Triển khai ISA Firewall cho hệ thống doanh nghiệp
Máy chủ Sever dùng làm File Sever có khả năng cài đặt ISA Server 2006 để quản lý các đối tượng mạng quan trọng như domain, OU, group, user, máy in và nhiều đối tượng khác, giúp tối ưu hóa hoạt động và bảo mật hệ thống mạng của doanh nghiệp.
- 3 Swich 24 port layer 3 để kết nối từ máy sever đến 2 tầng có chức năng định tuyến giữa các VLAN ảo của các phòng
- 1 Router có chức năng cân bằng tải đồng thời làm ADSL nối đường Internet của công ty ra bên ngoài
Dựa vào sơ đồ bố trí các phòng ban và số lượng các nhân viên của mỗi phòng ban thì ta thiết kế được sơ đồ tổng thể
Yêu cầu và bố trí:
Hệ thống gồm có hai switch Layer 3 24 port được sử dụng để kết nối máy chủ với hai tầng của tòa nhà Các switch này có chức năng định tuyến giữa các VLAN ảo, giúp quản lý mạng hiệu quả hơn Mỗi tầng đều có một switch kết nối đến ba phòng ban, đảm bảo phân chia mạng rõ ràng và tối ưu hóa hiệu năng mạng nội bộ Công nghệ chuyển mạch Layer 3 giúp tăng khả năng chịu tải và cải thiện tốc độ truy cập dữ liệu giữa các bộ phận Việc sử dụng các switch Layer 3 trong hệ thống mạng doanh nghiệp giúp đáp ứng nhu cầu mở rộng, linh hoạt trong quản lý VLAN và nâng cao an ninh mạng.
- 18 máy tính cho các phòng tiếp tân, kinh doanh, kế toán và kế hoạch
- 2 laptop dành cho phó giám đốc và giám đốc
Mô hình phòng ban của doanh nghiệp bao gồm các bộ phận Kế Toán, Kinh Doanh, Tiếp Tân và Kế Hoạch, mỗi phòng có 10 máy tính Trong đó, có 1 máy dành riêng cho trưởng phòng, còn lại 9 máy được bố trí thành 3 hàng dọc và 3 hàng ngang để tối ưu hóa không gian và công năng sử dụng Việc tổ chức các phòng ban theo mô hình này giúp nâng cao hiệu quả làm việc, quản lý dễ dàng và thuận tiện cho hoạt động hàng ngày.
Cài đặt ISA Server 2006 và các dịch vụ
Tên máy IP Subnet mask Defaut getway DNS Sever
- Nâng cấp máy DC lên Domain Controller với tên congtymtdt.com
- Tạo OU Quantri với 2 user giamdoc, pgiamdoc, group Quantri
- Tạo OU Nhanvien Với user Kế Toán, Tiếp Tân, Kế Hoạch, Kinh Doanh và group Nhanvien
- Join máy ISA Server vào domain congtymtdt.com
- Join máy Giám Đốc vào domail congtymtdt.com
3.3.2 Nâng cấp Server lên Domain Controler
Domain name: congtymtdt.com Click Start -> Chọn Run Nhập vào dcpromo, ok hộp thoại cảnh báo Win 95, Win
NT sp3 trở về trước sẽ bị loại ra khỏi miền
Domain Controller for a new domain: Tạo ra một Domain mới, Server hiện thời sẽ trở thành một Domain Controller đầu tiên trong Domain mới này
Hộp thoại Create New Domain lựa chọn: Domain in a new forest: tạo một domain hoàn toàn mới
Hiện cửa sổ New Domain Name, nhập vào tên Domain: congtymtdt.com
Hệ thống yêu cầu đặt Password, tiếp theo là tổng hợp những thông tin đã cấu hình Active Directory và tiến hành cài đặt
Sau khi kết thúc quá trình cài đặt, Finish và khởi động lại hệ thống
3.3.3 Cài đặt MS ISA Server 2006 trên máy ISA Server
Mở Windows Explorer, vào thư mục chứa bộ cài ISA SERVER 2006 chạy file isaautorun.exe
Hộp thoại Insatallation Wizard Completed, nhấn Finish
Khi ISA được cài vào thì đầu tiên ISA sẽ cấm mọi máy trong mạng “Ping” tới máy đó Firewall Policy trong ISA có 1 quy tắc có tên là “Last Default rule” và Rule này là Rule mặc định không thể nào xoá được Rule này đang thực thi 1 hành động là cấm đoán, cấm đoán tất cả mọi hành động
3.3.4 Cài đặt và cấu hình Firewall Client
Trên máy DC, logon Administrator
- Cài đặt ISA Firewall Cilent trong đĩa CD cài đặt (thư mục Client)
- Hộp thoại Welcome to the Install, nhấn Next
- Hộp thoại ISA Server Computer Selection, nhập vào địa chỉ IP của máy ISA Server, nhấn Next
3.4 Cấu hình các quy tắc
Sau khi cài đặt thành công ISA Sever 2006, việc tiếp theo là cần phải tạo ra các Access Rule để quản lý mọi gói tin ra vào hệ thống
- Tạo quy tắc truy vấn DNS để phân giải tên miền
- Tạo quy tắc cho phép các User thuộc nhóm Quanly truy cập Internet không hạn chế
- Tạo quy tắc cho phép các User thuộc nhóm Nhanvien chỉ được phép truy cập một số trang web trong giờ hành chính
- Tạo quy tắc cho phép các User thuộc nhóm Nhanvien được truy cập web trong giờ giải lao, ngoại trừ ngoisao.net
- Không cho nghe nhạc trực tuyến, cấm chat Yahoo, cấm download file có đuôi exe
B1: ISA Managerment, Chọn Firewall Policy, Create New Access Rule
B2: Nhập vào mô tả tên Rule : “DNS sever”
B3: Mục Rule Action chọn Allow, Next
B4: Protocol Chọn Selected protocols, Nhấp chọn DNS trong Folder Common Protocols
B5: Trong “Access Rule Source” chọn duy nhất 1 thuộc tính là Internal
B6: Trong “Access rule Destinations” chọn External, click Next
B7: chọn All Users, click Next
B8: Kết thúc quá trình tạo rule, Finish và áp dụng quy tắc vừa tạo
3.4.2 Tạo quy tắc mở các kết nối trong nội bộ và Internet
B1: ISA Managermnt, chọn Filewall Policy, Create New Access Rule
B2: Nhập vào mô tả tên Rule: “Alow Web”
B3: Mục Rue Action chọn Allow, Next
B4: Protocols chọn All outbound traffic, Next
B5: Trong Acces Rule Sources chọn Add, chọn Internal, Local Host, click Close, Next
B6: Trong Access Rule Destinations chọn External, Local Host, click Close, Next
B7: Chọn All Users, click Next
3.5 Tạo quy tắc quản lý người dùng Internet 3.5.1 Tạo quy tắc cho phép nhóm quản trị toàn quyền truy nhập Internet
B1: Tại Active Directory Users and Computers tạo một Group là Quan Tri
B2: Tạo tiếp một Access Rule mới đặt tên là Giamdoc
B3: Trong Protocols chọn All out bound traffic
B4: Trong Access Rule Sources chọn Internal
B5: Access Rule Desinations chọn External
B6: User Sets: Group Quan Tri
B7: Kết thúc quá trình tạo Rule, Finish và áp dụng
B8: Tại máy client log vào user giamdoc thì có thể vào bất cứ web nào
3.5.2 Tạo quy tắc cho phép nhóm Nhân viên truy cập 1 số trang web
B1: ISA Managerment, chọn Firewall Policy, Create New Access Rule
B2: Nhập vào mô tả tên Rule: Nhan Vien, Next
B3: Tại cửa sổ Protocol để truy vấn hiển thị web nên ta giữ nguyên chế đố Selected Protocols Chọn Add
B4: Lần lượt Add 3 giao thức FTP, HTTP,
HTTPS trong Folder Web rồi NEXT
B5: Trong Access Rule Source chọn duy nhất 1 thuộc tính là Internal
B6: Trong Access Rule Destinations, chọn Add
B7: Trong cửa sổ Add Network Entities chọn New, chọn URL Set
B8: Trong cửa sổ Allow Web Properties đặt tên cho URL Set này là
B9: Cửa sổ Add Network Entities chọn URL Set -> Web được truy cập, Next
B10: Trong User Sets chọn All User và Remove nó đi, sau đó nhấp Add để thêm Group mới
B11: kết thúc quá trình tạo Rule, Finish và áp dụng
B12: Tại máy Client log vào user NV1 thì web www.google.com.vn vào được nhưng www.dantri.com.vn không vào được
3.5.3 Giới hạn thời gian sử dụng của NhanVien
B1: Double click lên Rule Web Group KD và chọn Tab Schedule
B2: Nhấp New để tạo một Schedule mới và đặt tên là thoi gian
B3: Hạn chế thời gian sử dụng từ 8h - 12h và 2h - 4h từ thứ 2 đến thứ 6
Màn hình sau khi hoàn tất
3.5.4 Cấm nhân viên chat trong giờ làm việc
B1: Click Right vào NhanVien chọn Configure HTTP
B3: Chọn Add và đặt tên là: Cam chat yahoo messenger, chọn Request headers trong Search in, gõ Host: trong HTTP header Gõ msg.yahoo.com, trong Signature Click OK
B4: Chọn tab Methods và chọn Block secified methods (allow all others)
B5: Click gõ Add và gõ POST vào Method, click
B7: Chọn tab Extensions và chọn Block specified extensions (allow all others)
B8: Add exe và vbs vào
OK, màn hình sau khi hoàn tất
B10: Log on Administrator trên máy Client, thử Sign in vào Yahoo Messenger, ko thể đăng nhập hay download bất cứ file exe nào
Triển khai VPN Client to Gateway
VPN (Virtual Private Network) là giải pháp tối ưu giúp doanh nghiệp kết nối các hệ thống mạng mở rộng, đặc biệt khi có nhiều chi nhánh ở các vị trí địa lý khác nhau hoặc nhân viên thường xuyên đi công tác xa Công nghệ VPN cho phép truy cập an toàn vào tài nguyên mạng nội bộ, đảm bảo an ninh và bảo mật thông tin Điều này giúp doanh nghiệp duy trì hoạt động liên tục, tiện lợi cho nhân viên làm việc từ xa và nâng cao hiệu quả quản lý hệ thống mạng.
3.6.1 Tạo Remote Access PPTP VPN Server
Máy DC, properties của user VPN ,chọn tab Dial- in , check vào Allow access
Mở Microsoft Internet Security and Acceleration Server 2006→ Firewall Policy Chọn Tasks → Define Address
Assignments , xác định Pool số IP được gán : nhấp Static address pool
→ Tasks → chọn Configure VPN client access
In the B2 tab under General settings, enable the VPN Client Access feature by selecting "Enable VPN Client Access." Then, specify the maximum number of simultaneous VPN connections allowed by entering "100" into the "Maximum number of VPN clients allowed" field, ensuring up to 100 clients can connect concurrently.
B3: Tab Protocols, chọn Enale PPTP
B4: Tab User Mapping Enable, check User Mapping và When username does not contain a domain, use this domain, gõ congtymtdt.com vào ô Domain name
3.6.3 Tạo quy tắc cho phép kết nối VPN
Tạo quy tắc theo các yêu cầu sau:
- Access Rule Source: VPN clients
3.6.4 Tạo kết nối trên máy VNP Client
Mở Network Connections trên máy VPN Client, click chọn mục Create a new connection để tạo một kết nối mới Next
Màn hình Network Connection Type chọn Connect to the network at my workplace cho kết nối VPN, click Next
Network Connection chọn Virtual Private Network connection
Nhập tên của kết nối là VPN connection, nhập vào địa chỉ IP của máy VPN Server, ở đây là địa chỉ card External của máy ISA Server
Cửa sổ Connection Availability chọn ‘My use only’ Click Finish để kết thúc quá trình tạo kết nối
Khi tiến hành kết nối VNP, hệ thống yêu cầu nhâp User và Password được cấp phép kết nối VPN, nhập vào User name, Password, click Connect
Của sổ kết nối thành công Địa chỉ IP được cấp phát trong dải đã định nghĩa là Server: 172.16.1.100 Client: 172.16.1.103
Từ máy VNP Client bất kỳ, sau khi kết nối VPN có thể truy xuất dữ liệu trong mạng nội bộ giống như truy xuất trong mạng LAN