Đồ án tốt nghiệp - Phân tích thiết kế hệ thống - BẢO VỆ VÀ PHÒNG NGỪA TẤN CÔNG HỆ THỐNG MẠNG BẰNG FIREWALL pdf

ĐỒ ÁN:

BẢO VỆ VÀ PHỊNG NGỪA TẤN
CƠNG HỆ THỐNG MẠNG BẰNG
FIREWALL

MrTink
[Type the company name]


Chương Mở Đầu
1. Đặt vấn đề
Sự bùng nổ của Công nghệ Thông tin (CNTT) đã và đang ảnh hưởng sâu rộng tới
mọi lĩnh vực của cuộc sống. Đối với các cá nhân và các doanh nghiệp, CNTT đã trở
thành một trong những nhân tố, công cụ tăng năng lực cho cá nhân và tăng hiệu xuất làm
việc của doanh nghiệp đồng thời mang lại hiệu quả kinh tế cao mà chi phí bỏ ra khơng
đáng kể. Đặc biệt đối với các doanh nghiệp CNTT đóng vai trị nền tảng quan trọng trong
việc khai thác các ứng dụng nghiệp vụ.
Ngày nay bên cạnh sự phát triển vượt bậc không ngừng của CNTT trên tồn thế
giới và những lợi ích to lớn mà nó mang lại, thì cũng khơng ít phần tử lợi dụng những lỗ
hổng trong hệ thống của các tổ chức, doanh nghiệp thâm nhập cài mã độc, virus … vào
để phá hoại hệ thống, lấy cắp thông tin để phục vụ cho những mục đích khơng lành mạnh
của mình.
Symantec đã chính thức cơng bố những kết quả của Nghiên cứu toàn cầu về hiện
trạng bảo mật doanh nghiệp năm 2010 của hãng, theo đó 42% tổ chức coi vấn đề bảo mật
là một trong những ưu tiên hàng đầu của họ. Đây không hẳn là một điều ngạc nhiên khi
có tới 75% tổ chức được khảo sát đều ít nhiều hứng chịu các cuộc tấn cơng mạng trong
vịng 12 tháng vừa qua. Theo thống kê những cuộc tấn công này gây ra mức tổn thất
trung bình cho các doanh nghiệp là 2 triệu USD mỗi năm.
Có một thực trạng diễn ra hiện nay là các Hacker, Cracker những kẻ ln tìm cách
tấn cơng các hệ thống doanh nghiệp, các nhân người dùng … luôn đi trước những người

quản trị viên một bước. Chính vì lý do đó những nhà quản trị mạng (Security), những
người dùng cá nhân phải tự bảo vệ hệ thống của mình “Phịng hơn là Chữa”. Hiện nay
các chuyên gia bảo mật trên thế giới đã phát triển ra các hệ thống phần mềm có thể ngăn
ngừa những sự tấn cơng từ bên ngồi Internet và bảo vệ hệ thống của chúng ta an toàn.
Những hệ thống như vậy được gọi là Internet Firewall hay Firewall. Để cài đặt và cấu
hình được Firewall theo nhu cầu người sử dụng thì người quản trị, cài đặt phải có những
kiến thức nhất định về tin học và mạng máy tính đề tài “BẢO VỆ VÀ PHỊNG NGỪA


TẤN CÔNG HỆ THỐNG MẠNG BẰNG FIREWALL” sẽ phần nào giúp người sử dụng
làm được điều đó.
2. Mục tiêu
Đề tài là một tài liệu tham khảo cho người đọc, những người đang ứng dụng
CNTT phục vụ cho công việc của mình, của tổ chức, doanh nghiệp có một cái nhìn tổng
quát về Firewall. Nắm được những khái niệm cơ bản về các giao thức mạng, bảo mật có
thể tự cài đặt và cấu hình cơ bản cho một hệ thống Firewall.
3. Ý nghĩa khoa học và thực tiễn
Đề tài có ý nghĩa thực tiễn hết sức quan trọng trong thời kỳ hiện nay. Giúp người
đã và đang sử dụng tiếp xúc với mơi trường Internet hiểu được những gì đang đe dọa
mình và giải pháp để ngăn ngừa những đe dọa đó từ đó họ có thể tự bảo vệ mình, giảm
thiểu tối đa thiệt hại về kinh tế. Giáo dục đạo đức nghề nghiệp đối với những người đang
làm trong lĩnh vực CNTT khơng đem tài năng của mình ra để phá hoại người khác. Ngồi
ra việc tìm hiểu chức năng và ứng dụng của Firewall cịn có ý nghĩa rất quan trọng.
 Đối với cá nhân người dùng giúp chúng ta tự bảo vệ những thông tin riêng tư, những
tài liệu quan trong của cá nhân khỏi sự dịm ngó của những Hacker.
 Đối với hộ gia đình, giúp con em chúng ta tránh tiếp xúc với những nội dung xấu từ
các website không lành mạnh.
 Đối với các công ty, doanh nghiệp giúp bảo mật tốt thông tin nội bộ, những số liệu
mật của công ty đảm bảo sự cạnh tranh công bằng giữa các doanh nghiệp với nhau.
 Đối với các Quốc gia đảm bảo tính tối mật về các thơng tin quốc phịng an ninh.

4. Phạm vi nghiên cứu
Đề tài tìm hiểu và làm quen với các khái niệm cơ bản về mạng máy tính, Firewall
cài đặt và cấu hình cơ bản phần mềm ISA 2006.
Cụ thể đề tài nêu tổng quan về mạng máy tính các mơ hình mạng, giao thức mạng,
hệ điều hành mạng và các dịch vụ hạ tầng trên Internet. Giới thiệu về an toàn mạng,
Firewall, proxy sever đây là những khái niệm hết sức cơ bản nhưng là nền tảng cho việc
nghiên cứu bảo mật sao cho phù hợp với hệ thống. Giới thiệu về phần mềm ISA 2006 của
Microsoft một phần mềm Firewall nổi tiếng, nhu cầu người sử dụng hiện nay đặt ra cho


hệ thống Firewall ISA 2006, các bước cơ bản cài đặt và cấu hình phần mềm ISA 2006
theo mơ hình Dual-Homed Host.
5. Phương pháp nghiên cứu
5.1. Dựa trên tài liệu sách vở và Internet
Tìm hiểu các khải niệm cơ bản liên quan trực tiếp và gián tiếp đến đề tài để có
được cái nhìn tổng quan về tồn bộ đề tài. Nhằm xác định đúng đắn được mục tiêu chính
của đề tài. Tìm hiểu từ nhiều sách vở và nhiều nguồn trên Internet để từ đó so sánh và rút
ra được những gì cơ bản cần thiết và dễ hiểu nhất sau đó chắt lọc thơng tin, dữ liệu tìm
được đưa vào đề tài theo từng chương, từng mục cụ thể rõ ràng.
5.2. Tham khảo sự hướng dẫn của Giáo Viên và những người có kinh nghiệm
Chủ động tìm hiểu từ Giáo Viên Hướng Dẫn (GVHD) xin ý kiến, tiếp thu những gì
giáo viên và những người có kinh nghiệm hướng dẫn cộng với những kiến thức tìm được
từ sách vở, Internet để làm tư liệu đưa vào đề tài.


Chương 1: TỔNG QUAN VỀ MẠNG MÁY TÍNH
1.1. Giới thiệu mạng máy tính và các mơ hình mạng
1.1.1. Giới thiệu mạng máy tính
Mạng máy tính bao gồm nhiều thành phần, chúng được nối với nhau theo một
cách thức nào đó và cùng sử dụng chung một ngôn ngữ .

 Các thiết bị đầu cuối (End System) kết nối với nhau tạo thành mạng có thể là các
máy tính (Computer) hoặc các thiết bị khác. Nói chung hiện nay ngày càng nhiều
các loại thiết bị có khả năng kết nối vào mạng máy tính như điện thoại di động,
PDA, Tivi, … .
 Môi trường truyền (media) mà truyền thông được thực hiện qua đó. Mơi trường
truyền có thể là các loại dây dẫn (cáp), sóng (đối với các mạng khơng dây),…
 Giao thức (protocol) là quy tắc quy định cách thức trao đổi dữ liệu giữa các thực
thể.
Tóm lại, mạng máy tính là một tập hợp các máy tính và các thiết bị khác (các nút),
chúng sử dụng một giao thức mạng chung để chia sẻ tài nguyên với nhau nhờ các phương
tiện truyền thơng mạng. [1]
1.1.2. Các mơ hình mạng
Một máy tính có trên mạng có thể thuộc một trong 3 loại như sau:
 Máy khách (client): không cung cấp tài nguyên mà chỉ sử dụng tài nguyên trên
mạng.
 Máy chủ (server): Cung cấp tài nguyên và dịch vụ cho máy trên mạng.
 Peer: Sử dụng tài nguyên trên mạng đồng thời cung cấp tài ngun trên mạng.
1.1.2.1. Mơ hình khách chủ (client/server)
Các máy khách được nối với máy chủ nhận quyền truy cập mạng và tài nguyên
mạng từ các máy chủ. Máy chủ quản lý tất cả tài nguyên và các quyền truy cập vào
mạng.


Hình 1.1: Mơ hình trạm chủ (Client/Sever)
 Đặc điểm:
 Độ an tồn và tính bảo mật thơng tin: Có độ an tồn và bảo mật thơng tin
cao. Người quản trị mạng quyền truy nhập thông tin cho các máy.
 Khả năng cài đặt: Khó cài đặt.
 Địi hỏi về phần cứng và phần mềm: Địi hỏi có máy chủ, hệ điều hành
mạng và các phần cứng bổ sung.

 Quản trị mạng: Phải có quản trị mạng.
 Xử lý và lưu trữ tập trung: Có
 Chi phí cài đặt: cao
1.1.2.2. Mơ hình mạng ngang hàng(Peer-to-Peer)
Mạng ngang hàng là mạng được tạo ra bởi hai hay nhiều máy tính được kết nối với
nhau và chia sẻ tài nguyên mà không phải thông qua một máy chủ dành riêng.


Hình 1.2: Mơ hình mạng ngang hàng (Peer to Peer)
 Đặc điểm
 Độ an tồn và tính bảo mật thơng tin: Độ an toàn và bảo mật kém, phụ
thuộc vào mức truy nhập được chia sẻ.
 Khả năng cài đặt: Dễ cài đặt.
 Đòi hỏi về phần cứng và phần mềm: Không cần máy chủ, hệ điều hành
mạng.
 Quản trị mạng: Khơng cần có quản trị mạng.
 Xử lý và lưu trữ tập trung: Khơng.
 Chi phí cài đặt: Thấp.
1.2. Giao thức mạng (Protocol)
Là các quy định về việc truyền thơng trong mạng máy tính như cách đánh địa chỉ,
cách đóng gói các thơng tin, cách mã hóa và quản lý các gói tin. [1]


Hình 1.3: Mơ phỏng cách thức truyền dữ liệu giữa hai hệ thống
Một tập hợp tiêu chuẩn để trao đổi thơng tin giữa hai hệ thống máy tính hoặc hai
thiết bị máy tính với nhau được gọi là giao thức. Các giao thức này còn được gọi là các
nghi thức hoặc định ước của máy tính.
1.2.1. Giao thức khơng có khả năng tìm đường
1.2.1.1 NetBIOS ( Network BIOS)
NetBIOS là một giao diện ứng dụng cho phép các ứng dụng truy cập các dịch vụ

trên mạng thông qua phương tiện truyền tải mạng như NetBEUI, TCP/IP, và SPX/IPX.
Cung cấp giao diện lập trình cho các ứng dụng nằm ở lớp Phiên làm việc (mơ hình mạng
OSI ).
NetBIOS cịn có thể được đóng gói theo các tiêu chuẩn truyền của các bộ giao
thức TCP/IP và SPX/IPX (giao thức hỗ trợ định tuyến).

Hình 1.4: Mơ hình Ipv4
1.2.1.2 NetBEUI (NetBIOS Extended User Interface)
Là giao thức nằm ở lớp Transport layer (mơ hình OSI). NetBEUI có cùng nguồn
gốc với NetBIOS, chúng cùng thuộc một bộ giao thức mạng chuẩn sau này được tách ra.
1.2.2. Giao thức có khả năng tìm đường


1.2.2.1. IPX/SPX
IPX (Internetwork Packet eXchange) là giao thức chính được sử dụng trong hệ
điều hành mạng Netware của hãng Novell. Giao thức này thuộc lớp mạng (network layer)
trong mơ hình mạng 7 lớp OSI. Nó tương tự như giao thức IP (Internet Protocol) trong
TCP/IP. IPX chứa địa chỉ mạng (netword Address) và cho phép các gói thơng tin được
chuyển qua các mạng hoặc phân mạng (subnet) khác nhau. IPX không bảo đảm việc
chuyển giao một thơng điệp hoặc gói thơng tin hồn chỉnh, cũng như IP, các gói tin được
"đóng gói" theo giao thức IPX có thể bị "đánh rơi" (dropped). Do vậy, các ứng dụng có
nhu cầu truyền tin "bảo đảm" thì phải sử dụng giao thức SPX thay vì IPX.
SPX là một giao thức mạng thuộc lớp vận chuyển (transport layer network
protocol) trong mơ hình mạng OSI gồm 7 lớp. Cũng như IPX, SPX là giao thức (native
protocol) của các hệ điều mạng Netware của hãng Novell. Tương tự như giao thức TCP
trong bộ TCP/IP, SPX là giao thức đảm bảo tồn bộ thơng điệp truyền đi từ một máy tính
trong mạng đến một máy tính khác một cách chính xác. SPX sử dụng giao thức IPX của
Netware như là cơ chế vận chuyển (TCP sử dụng IP).
1.2.2.2. TCP/IP

Hình 1.5: Mơ hình TCP/IP
 TCP (Transmission Control Protocol )
Cung cấp các chức năng vận chuyển, nó bảo đảm việc toàn bộ lượng dữ liệu (dưới
dạng bytes) được truyền và nhận một cách chính xác từ máy truyền cho tới máy nhận.
Đặc trưng công nghệ: TCP là một giao thức hướng nối, tin cậy:


 Vận chuyển end-to-end, tin cậy, đúng thứ tự, thông qua các phương
 Dùng cơ chế báo nhận (ACK).
 Dùng số thứ tự các gói tin (Sequence number).
 Dùng phương pháp kiểm sốt lỗi mã dư vịng (CRC).
 Điều khiển lưu lượng (flow control + congestion control) bằng cửa sổ trượt có
kích thước thay đổi.
 Do vậy TCP là một giao thức tương đối phức tạp.
UDP (User Datagram protocol) - là một phần của TCP/IP - là một giao thức truyền
thông thay thế cho TCP nhưng không đảm bảo bằng TCP,UDP được sử dụng phổ biến
cho các ứng dụng truyền âm thanh và phim thời gian thực (realtime voice and video
transmissions) đó là các ứng dụng bị truyền lỗi khơng được truyền lại.

Hình 1.6: Cấu trúc gói tin TCP
 IP (Internet Protocol)
IP chấp nhận các gói dữ liệu từ các giao thức TCP và UDP, cộng thêm các thông
tin của riêng nó và "chuyển giao" thơng tin cho bộ phần truyền dữ liệu.
 Đặc trưng công nghệ:
 Không phải thiết lập; giải phóng kết nối
 Packets có thể đi theo các con đường khác nhau
 Khơng có cơ chế phát hiện/khắc phục lỗi truyền
 IP là giao thức đơn giản, độ tin cậy khơng cao.
 Các chức năng chính:

 Định nghĩa khn dạng gói dữ liệu (IP packet).
 Định nghĩa phương thức đánh địa chỉ IP.
 Chon đường (Routing).
 Cắt/hợp dữ liệu (Fragmentation/ Reassembly).

Hình 1.7: Các lớp địa chỉ IP
Vì vậy, Giao thức TCP/IP được phát triển từ mạng ARPANET và Internet và được
dùng như giao thức mạng và giao vận trên mạng Internet. TCP (Transmission
Control Protocol) là giao thức thuộc tầng giao vận và IP (Internet Protocol) là giao thức
thuộc tầng mạng của mơ hình OSI.
Hiện nay các máy tính của hầu hết các mạng có thể sử dụng giao thức TCP/IP để
liên kết với nhau thông qua nhiều hệ thống mạng với kỹ thuật khác nhau. Giao thức
TCP/IP thực chất là một họ giao thức cho phép các hệ thống mạng cùng làm việc với
nhau thông qua việc cung cấp phương tiện truyền thông liên mạng.
 So sánh mơ hình OSI và TCP/IP


Hình 1.8: So sánh hai mơ hình OSI và TCP/IP
 Hình ảnh bộ giao thức TCP/IP

Hình 1.9: Bộ giao thức TCP/IP
1.2.3. Giao thức định tuyến
Định tuyến là quá trình router sử dụng để chuyển tiếp các packet đến mạng đích.
Router đưa ra quyết định dựa trên địa chỉ IP đích của packet. Để có thể đưa ra được quyết
định chính xác, router phải học cách làm sao để đi đến các mạng ở xa. Khi router sử dụng
quá trình định tuyến động, thông tin này sẽ được học từ những router khác. Khi quá trình
định tuyến tĩnh được sử dụng, nhà quản trị mạng sẽ cấu hình thơng tin về những mạng ở
xa bằng tay cho router.

1.2.3.1. Routing Information Protocol (RIP)
Routing Information Protocol (RIP) là giao thức định tuyến vector khoảng cách
(Distance Vector Protocol) xuất hiện sớm nhất. Nó suất hiện vào năm 1970 bởi Xerox
như là một phần của bộ giao thức Xerox Networking Services (XNS).
 Chu kỳ cập nhật của RIP là 30 giây.
 Thông số định tuyến của RIP là số lượng hop, giá trị tối đa là 15 hop.
 Một số giới hạn của RIP
 Không mang thông tin subnet mask trong thông tin định tuyến
 Gửi quảng bá thông tin định tuyến theo địa chỉ 255.255.255.255
 Không hỗ trợ xác minh thông tin nhận được
 Không hỗ trợ VLSM và CIDR (Classless Interdomain Routing)
 Sử dụng cho mạng vừa và nhỏ
1.2.3.2. Interior Gateway Routing Protocol (IGRP)
Trước những nhược điểm vốn có của RIP như: metric là hop count, kích thước
mạng tối đa là 15 hop. Cisco đã phát triển một giao thức độc quyền của riêng mình là
IGRP để khắc phục những nhược điểm đó. Cụ thể là metric của IGRP là sự tổ hợp của 5
yếu tố, mặc định là bandwidth và delay:
 Bandwidth
 Delay
 Load
 Reliability
 Maximum transfer uint(MTU)
IGRP khơng sử dụng hop count trong metric của mình, tuy nhiên nó vẫn theo dõi
được hop count. Một mạng cài đặt IGRP thì kích thước mạng có thể nên tới 255 hop.Ưu
điểm nữa của IGRP so với RIP là nó hỗ trợ được unequal-cost load sharing và thời gian
update lâu hơn RIP gấp 3 lần.Tuy nhiên bên cạnh những ưu điểm của mình so với RIP,
IGRP cũng có những nhược điểm đó là giao thức độc quyền của Cisco.
1.2.3.3. EGP (Exterior Gateway Protocol)

Là giao thức định tuyến ngồi, vì nó xảy ra giữa các hệ thống độc lập, và liên quan
tới dịch vụ của nhà cung cấp mạng sử dụng giao thức định tuyến ngoài rộng và rất phức
tạp. Phần tử cơ bản có thể được định tuyến là hệ thống độc lập .
1.3. Các dịch vụ hạ tầng trên Internet
1.3.1. DHCP service(Dynamic Host Config Protolcol)
DHCP (Dynamic Host Configuration Protocol) là giao thức Cấu hình Host động
DHCP được thiết kế làm giảm thời gian chỉnh cấu hình cho mạng TCP/IP bằng cách tự
động gán các địa chỉ IP cho khách hàng khi họ vào mạng. DHCP tập trung việc quản lý
địa chỉ IP ở các máy tính trung tâm chạy chương trình DHCP. Mặc dù có thể gán địa chỉ
IP vĩnh viễn cho bất cứ máy tính nào trên mạng, DHCP cho phép gán tự động. Để khách
có thể nhận địa chỉ IP từ máy chủ DHCP, bạn khai báo cấu hình để khách “nhận địa chỉ
tự động từ một máy chủ”.

1.3.1.1. Hoạt động của DHCP
DHCP tự động hóa mạng lưới giao thông số các thiết bị mạng từ lỗi chịu máy chủ
DHCP. Ngay cả trong các mạng nhỏ là hữu ích vì nó có thể dể dàng gắn máy mới vào
mạng.
Khi một DHCP cấu hình máy khách (một máy tính, hay một mạng nào đó, nhận
thiết bị) kết nối đến mạng, DHCP client gởi 1 truy vấn đến phát sóng yêu cầu thông tin IP
cần thiết từ DHCP server. Các DHCP server quản lí một database địa chỉ IP và thơng tin
về các tham số cấu hình máy khách như cổng mặc định, tên miền, các máy chủ DNS, các
máy chủ khác như máy chủ thời gian và nhiều thiết bị khác. Khi DHCP server nhận được
yêu cầu hợp lệ. DHCP server sẽ chọn 1 địa chỉ IP trong database của nó tới máy client,
một hợp đồng thuê với thời gian định kì(mặc định là 8 ngày) .
1.3.1.2. Phương thức bốn bước
DHCP sử dụng cơ chế 4 bước để cung cấp IP cho client:
 Bước 1 (IP Lease Request)

Xảy ra khi một client mới khởi động xin cấp phép IP lần đầu hay khi nó thuê bao
lại. DHCPDISCOVER broadcast message.
 Bước 2 (IP Lease Offer)
DHCP sẻ gởi lại danh sách IP đề nghị cho thuê(đảm bảo các IP này chưa được cấp
cho ai).
DHCP đợi 1 giây để nhận lại gói tin Offer này, nếu khơng nhận được nó sẻ
rebroadcast 4 lần vào nhịp 2, 4, 8, 16 giữa 0 đến 1000 mils. Nếu vẫn không nhận được IP
sau 4 lần broadcast DHCP client sẽ nhận được IP nằm trong khoảng 169.254.0.1 đến
169.254.255.254(để đảm bảo được liên lạc trên mạng).
DHCP client vẫn tiếp tục tìm DHCP server cứ 5 phút một lần nếu tìm thấy DHCP
server nó sẽ nhận một IP hợp lệ và có khả năng kết nối với toàn mạng.
 Bước 3 (IP Lease Selection)
DHCP client sẽ gởi phản hồi lại server khi nó nhận được gói Offer bằng cách gởi
broadcast, một thông điệp DHCPREQUEST.
 Bước 4 (IP Lease Acknowledgement)
DHCP server sẽ xác nhận đến client việc th bao hồn tất bằng gói thơng tin
DHCPPACK.
1.3.2. DNS service
DNS (Domain Name System) là Hệ thống tên miền được phát minh vào năm 1984
cho Internet, chỉ một hệ thống cho phép thiết lập tương ứng giữa địa chỉ IP và tên miền.
Hệ thống tên miền (DNS) là một hệ thống đặt tên theo thứ tự cho máy vi tính, dịch vụ,
hoặc bất kì nguồn lực tham gia vào Internet. Nó liên kết nhiều thông tin đa dạng với tên
miền được gán cho những người tham gia. Quan trọng nhất là, nó chuyển tên miền có ý
nghĩa cho con người vào số định danh (nhị phân), liên kết với các trang thiết bị mạng cho
các mục đích định vị và địa chỉ hóa các thiết bị khắp thế giới. [4]


Hình 1.10: Mơ hình câyDNS (hierarchical)
 Dịch vụ DNS hoạt động theo mơ hình Client-Server
 Server : có chức năng là phân giải tên thành IP và ngược lại IP thành tên,

được gọi là Name Server, lưu trữ cơ sở dữ liệu của DNS.
 Client : truy vấn phân giải tên đến DNS server được gọi là Resolver, chứa
các hàm thư viện dùng để tạo các truy vấn (query) đến Name Server.
 DNS được thi hành như 1 giao thức của tầng Application trong mơ hình
mạng TCP/IP.
 DNS là 1 cơ sở dữ liệu dạng phân tán được tổ chức theo mơ hình cây
(hierarchical) :
 Ngun tắc làm việc
Mỗi nhà cung cấp dịch vụ vận hành và duy trì DNS server riêng của mình, gồm
các máy bên trong phần riêng của mỗi nhà cung cấp dịch vụ đó trong Internet. Tức là,
nếu một trình duyệt tìm kiếm địa chỉ của một website thì DNS server phân giải tên
website này phải là DNS server của chính tổ chức quản lý website đó chứ khơng phải là
của một tổ chức (nhà cung cấp dịch vụ) nào khác.
INTERNIC (Internet Network Information Center) chịu trách nhiệm theo dõi các
tên miền và các DNS server tương ứng. INTERNIC là một tổ chức được thành lập bởi
NFS (National Science Foundation), AT&T và Network Solution, chịu trách nhiệm đăng


ký các tên miền của Internet. INTERNIC chỉ có nhiệm vụ quản lý tất cả các DNS server
trên Internet chứ khơng có nhiệm vụ phân giải tên cho từng địa chỉ.
DNS có khả năng tra vấn các DNS server khác để có được một cái tên đã được
phân giải. DNS server của mỗi tên miền thường có hai việc khác biệt. Thứ nhất, chịu
trách nhiệm phân giải tên từ các máy bên trong miền về các địa chỉ Internet, cả bên trong
lẫn bên ngồi miền nó quản lý. Thứ hai, chúng trả lời các DNS server bên ngoài đang cố
gắng phân giải những cái tên bên trong miền nó quản lý. - DNS server có khả năng ghi
nhớ lại những tên vừa phân giải. Để dùng cho những yêu cầu phân giải lần sau. Số lượng
những tên phân giải được lưu lại tùy thuộc vào quy mô của từng DNS.

Chương 2: TỔNG QUAN VỀ AN TOÀN MẠNG VÀ FIREWALL
2.1. An tồn mạng

2.1.1. Khái niệm an tồn mạng
Máy tính có phần cứng chứa dữ liệu do hệ điều hành quản lý, đa số các máy tính
nhất là các máy tính trong công ty, doanh nghiệp được nối mạng Lan và Internet. Nếu
như máy tính, hệ thống mạng của bạn khơng được trang bị hệ thống bảo vệ vậy chẳng
khác nào bạn đi khỏi căn phịng của mình mà qn khóa cửa, máy tính của bạn sẽ là mục


tiêu của virus, worms, unauthorized user … chúng có thể tấn cơng vào máy tính hoặc cả
hệ thống của bạn bất cứ lúc nào.
Vậy an tồn mạng có nghĩa là bảo vệ hệ thống mạng, máy tính khỏi sự phá hoại
phần cứng hay chỉnh sửa dữ liệu (phần mềm) mà không được sự cho phép từ những
người cố ý hay vơ tình. An tồn mạng cung cấp giải pháp, chính sách, bảo vệ máy tính,
hệ thống mạng để làm cho những người dùng trái phép, cũng như các phần mềm chứa mã
độc xâm nhập bất hợp pháp vào máy tính, hệ thống mạng của bạn.
2.1.2. Phân loại các kiểu tấn công hệ thống phổ biến
2.1.2.1. Tấn công trực tiếp
Những cuộc tấn công trực tiếp thông thường được sử dụng trong giai đoạn đầu để
chiếm quyền truy nhập bên trong. Một phương pháp tấn cơng cổ điển là dị tìm tên người
sử dụng và mật khẩu. Đây là phương pháp đơn giản, dễ thực hiện và khơng địi hỏi một
điều kiện đặc biệt nào để bắt đầu. Kẻ tấn cơng có thể sử dụng những thông tin như tên
người dùng, ngày sinh, địa chỉ, số nhà vv.. để đoán mật khẩu.
Phương pháp sử dụng các lỗi của chương trình ứng dụng và bản thân hệ điều hành
đã được sử dụng từ những vụ tấn công đầu tiên và vẫn được tiếp tục để chiếm quyền truy
nhập. Trong một số trường hợp phương pháp này cho phép kẻ tấn cơng có được quyền
của người quản trị hệ thống (Root hay Administrator).
Hai ví dụ thường xuyên được đưa ra để minh hoạ cho phương pháp này là chương
trình sendmail và chương trình rlogin của hệ điều hành UNIX.
 Sendmail là một chương trình phức tạp, với mã nguồn bao gồm hàng ngàn dòng
lệnh của ngôn ngữ C. Sendmail được chạy với quyền ưu tiên của người quản trị hệ
thống, do chương trình phải có quyền ghi vào hộp thư của những người sử dụng

máy. Và Sendmail trực tiếp nhận các yêu cầu về thư tín trên mạng bên ngồi. Đây
chính là những yếu tố làm cho sendmail trở thành một nguồn cung cấp những lỗ
hổng về bảo mật để truy nhập hệ thống.
 Rlogin cho phép người sử dụng từ một máy trên mạng truy nhập từ xa vào một
máy khác sử dụng tài nguyên của máy này.
2.1.2.2. Nghe trộm


Việc nghe trộm thơng tin trên mạng có thể đưa lại những thơng tin có ích như tên,
mật khẩu của người sử dụng, các thông tin mật chuyển qua mạng. Việc nghe trộm thường
được tiến hành ngay sau khi kẻ tấn công đã chiếm được quyền truy nhập hệ thống, thơng
qua các chương trình cho phép đưa card giao tiếp mạng (Network Interface Card-NIC)
vào chế độ nhận toàn bộ các thông tin lưu truyền trên mạng. Những thông tin này cũng có
thể dễ dàng lấy được trên Internet.
2.1.2.3. Giả mạo địa chỉ
Việc giả mạo địa chỉ IP có thể được thực hiện thông qua việc sử dụng khả năng
dẫn đường trực tiếp (source-routing). Với cách tấn công này, kẻ tấn cơng gửi các gói tin
IP tới mạng bên trong với một địa chỉ IP giả mạo (thông thường là địa chỉ của một mạng
hoặc một máy được coi là an toàn đối với mạng bên trong), đồng thời chỉ rõ đường dẫn
mà các gói tin IP phải gửi đi.
2.1.2.4. Vơ hiệu hóa chức năng của hệ thống (denial of service)
Đây là kiểu tấn công nhằm tê liệt hệ thống, không cho nó thực hiện chức năng mà
nó thiết kế. Kiểu tấn công này không thể ngăn chặn được, do những phương tiện được tổ
chức tấn cơng cũng chính là các phương tiện để làm việc và truy nhập thông tin trên
mạng. Ví dụ sử dụng lệnh ping với tốc độ cao nhất có thể, buộc một hệ thống tiêu hao
tồn bộ tốc độ tính tốn và khả năng của mạng để trả lời các lệnh này, khơng cịn các tài
ngun để thực hiện những cơng việc có ích khác.
2.1.2.5. Lỗi của người quản trị hệ thống
Đây không phải là một kiểu tấn công của những kẻ đột nhập, tuy nhiên lỗi của
người quản trị hệ thống thường tạo ra những lỗ hổng cho phép kẻ tấn công sử dụng để

truy nhập vào mạng nội bộ.
2.1.2.6. Tấn công vào yếu tố con người
Kẻ tấn cơng có thể liên lạc với một người quản trị hệ thống, giả làm một người sử
dụng để yêu cầu thay đổi mật khẩu, thay đổi quyền truy nhập của mình đối với hệ thống,
hoặc thậm chí thay đổi một số cấu hình của hệ thống để thực hiện các phương pháp tấn
công khác. Với kiểu tấn cơng này khơng một thiết bị nào có thể ngăn chặn một cách hữu
hiệu, và chỉ có một cách giáo dục người sử dụng mạng nội bộ về những yêu cầu bảo mật


để đề cao cảnh giác với những hiện tượng đáng nghi. Nói chung yếu tố con người là một
điểm yếu trong bất kỳ một hệ thống bảo vệ nào, và chỉ có sự giáo dục cộng với tinh thần
hợp tác từ phía người sử dụng có thể nâng cao được độ an toàn của hệ thống bảo vệ.
2.1.3. Tầm quan trọng của việc bảo mật mạng
Bảo mật mạng máy tính có tầm quan trọng rất lớn. Trong hầu hết các lĩnh vực kinh
tế, chính trị, văn hóa trong xã hội nhất là đối với thời đại hiện nay nghành công nghệ
thơng tin đang phát triển mạnh mẽ và có ứng dụng rộng lớn thì việc bảo mật mạng càng
trở nên cấp thiết và quan trọng hơn bao giời hết.
Đối với cá nhân người sử dụng việc bảo mật mạng giúp hệ thống máy tính của
mình, khỏi sự dịm ngó của hacker, bảo vệ an toàn hệ thống phần cứng, phần mềm và dữ
liệu quan trọng. Giúp người dùng cảm thấy an tồn hơn khi làm việc trên mơi trường
mạng Internet.
Đối với các Doanh nghiệp, các Tổ chức giúp họ giữ an tồn và bí mật dữ liệu và
các thơng tin tối mật của công ty, tổ chức, tránh mất mát, rị rỉ thơng tin ra ngồi gây ảnh
hưởng đến danh tiếng và uy tín của doanh nghiệp. Tạo ra một môi trường kinh doanh
lành mạnh giữa các doanh nghiệp và hiệu quả công việc sẽ cao hơn, giảm thiểu tối đa
thiệt hại do những cộc tấn công phá hoại của hacker gây ra.
Vấn đề an ninh bảo mật mạng còn liên quan trực tiếp đến an ninh Quốc Gia, chống
sự thâm nhập, khủng bố của tin tặc nhằm quấy rối trật tự trong dân chúng, tuyên truyền
chống phá đảng và nhà nước ta, lấy cắp thông tin tối mật của quốc gia và khi đó hậu quả
sẽ khơng thể lường trước được.

2.1.4. Giải pháp
Sự bùng nổ của Công nghệ Thông tin (CNTT) đã và đang ảnh hưởng sâu rộng tới
mọi lĩnh vực của cuộc sống. Đối với các doanh nghiệp, CNTT đã trở thành một trong
những nhân tố tăng sức mạnh, khả năng cạnh tranh trên thị trường, đóng vai trò nền tảng
trong việc khai thác các ứng dụng nghiệp vụ. Và trong thời đại hiện nay CNTT cũng là
công cụ không thể thiếu cho cá nhân người dùng, hay các hộ gia đình nhằm tăng năng
xuất cơng việc và phục vụ cho nhu cầu tìm kiếm thơng tin. Chính vì vậy hiện nay mỗi


doanh nghiệp, cá nhân người dùng đang cố gắng xây dựng cho mình một hệ thống thơng
tin vững mạnh, ổn định, an tồn và hiệu quả.
Để làm được điều đó phải có một cơng cụ một giải pháp cụ thể phù hợp với tình
hình thực tế hiện nay, đáp ứng được nhu cầu bảo mật thông tin, dữ liệu chống mất mát,
sai lệch bóp méo thơng tin của cá nhân hay tổ chức sử dụng hệ thống, đề phòng và ngăn
chặn những cuộc tấn cơng từ phía ngồi vào bên trong hệ thống, cũng như kiểm sốt
thơng tin từ bên trong mạng cục bộ ra ngồi Internet.
Từ nhu cầu đó hệ thống Internet Firewall ra đời và nó ngày càng được hoàn thiện
hơn để đáp ứng được nhu cầu ngày cang cao của người sử dụng giúp bảo vệ tốt hệ thống
máy tính các nhân và hệ thống mạng cục bộ được an tồn hơn, Firewall đóng vai trị như
một người gác cổng.

Hình 2.1: Mơ hình mạng phổ biến ở các doanh nghiệp khi chưa có Firewall


Hình 2.2: Mơ hình mạng sau khi được lắp đặt một hệ thống Firewall
2.2. Tìm hiểu về Firewall
2.2.1. Khái niệm Firewall
Thuật ngữ Firewall có nguồn gốc từ một kỹ thuật thiết kế trong xây dựng để ngăn
chặn, hạn chế hoả hoạn. Trong công nghệ mạng thông tin, Firewall là một kỹ thuật được
tích hợp vào hệ thống mạng để chống sự truy cập trái phép, nhằm bảo vệ các nguồn thông

tin nội bộ và hạn chế sự xâm nhập không mong muốn vào hệ thống. Cũng có thể hiểu
Firewall là một cơ chế (mechanism) để bảo vệ mạng tin tưởng (Trusted network) khỏi
các mạng không tin tưởng (Untrusted network).
Internet Firewall là một thiết bị (Phần cứng + Phần mềm) giữa mạng của một tổ
chức, một công ty, một quốc gia (Intranet) và Internet. Nó thực hiện vai trị bảo mật các
thơng tin Intranet từ thế giới Internet bên ngồi.
2.2.2. Phân loại và đặc điểm Firewall
2.2.2.1. Firewall cứng
Là những firewall được tích hợp trên Router.


Hình 2.3: Minh họa Firewall cứng
 Đặc điểm của Firewall cứng:
 Không được linh hoạt như Firewall mềm: (Không thể thêm chức năng,
thêm quy tắc như firewall mềm)
 Firewall cứng hoạt động ở tầng thấp hơn Firewall mềm (Tầng Network và
tầng Transport).
 Firewall cứng không thể kiểm tra được nột dung của gói tin.
Ví dụ :Firewall cứng: NAT (Network Address Translate).
2.2.2.2. Firewall mềm
Là những Firewall được cài đặt trên Server.

Hình 2.4: Minh họa Firewall mềm
 Đặc điểm của Firewall mềm:
 Tính linh hoạt cao: Có thể thêm, bớt các quy tắc, các chức năng.
 Firewall mềm hoạt động ở tầng cao hơn Firewall cứng (tầng ứng dụng).
 Firewal mềm có thể kiểm tra được nội dung của gói tin (thơng qua các từ khóa).
Ví dụ về Firewall mềm: Zone Alarm, Norton Firewall, Internet security acceleration …
2.2.3. Vì sao cần Firewall

Hình 2.5: Các luồng dữ trao đổi dữ liệu từ PC ra Internet và ngược lại khi có
Firewall và khơng có Firwall
Nếu máy tính của bạn khơng được bảo vệ, khi bạn kết nối Internet, tất cả các giao
thông ra vào mạng đều được cho phép, vì thế hacker, trojan, virus có thể truy cập và lấy
cắp thơng tin cá nhân cuả bạn trên máy tính. Chúng có thể cài đặt các đoạn mã để tấn
công file dữ liệu trên máy tính. Đồng thời chúng cịn sử dụng máy tính cuả bạn để tấn
cơng một máy tính của gia đình hoặc doanh nghiệp khác kết nối Internet. Một firewall có
thể giúp bạn thốt khỏi gói tin hiểm độc trước khi nó đến.
2.2.4. Chức năng
Chức năng chính của Firewall là kiểm sốt luồng thơng tin từ giữa Intranet và Internet.
Thiết lập cơ chế điều khiển dịng thơng tin giữa mạng bên trong (Intranet) và mạng
Internet. Cụ thể là:
 Cho phép hoặc cấm những dịch vụ truy nhập ra ngoài (từ Intranet ra Internet).
 Cho phép hoặc cấm những dịch vụ phép truy nhập vào trong (từ Internet vào
Intranet).
 Theo dõi luồng dữ liệu mạng giữa Internet và Intranet.
 Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập.
 Kiểm soát người sử dụng và việc truy nhập của người sử dụng.
 Kiểm sốt nội dung thơng tin thơng tin lưu chuyển trên mạng.
2.2.5. Nhiệm vụ Firewall
Nhiệm vụ cơ bản của FireWall là bảo vệ những vấn đề sau :
 Dữ liệu : Những thông tin cần được bảo vệ do những u cầu sau:
 Bảo mât.
 Tính tồn vẹn.
 Tính kịp thời.
 Tài nguyên hệ thống.
 Danh tiếng của công ty sở hữu các thông tin cần bảo vệ.
2.2.6. Những hạn chế của firewall

Firewall khơng đủ thơng minh như con người để có thể đọc hiểu từng loại thơng
tin và phân tích nội dung tốt hay xấu của nó. Firewall chỉ có thể ngăn chặn sự xâm nhập
của những nguồn thông tin không mong muốn nhưng phải xác định rõ các thông số địa
chỉ.
Firewall không thể ngăn chặn một cuộc tấn công nếu cuộc tấn cơng này khơng "đi
qua" nó. Một cách cụ thể, firewall không thể chống lại một cuộc tấn công từ một đường
dial-up, hoặc sự dị rỉ thơng tin do dữ liệu bị sao chép bất hợp pháp lên đĩa mềm.
Firewall cũng không thể chống lại các cuộc tấn công bằng dữ liệu (data-driven
attack). Khi có một số chương trình được chuyển theo thư điện tử, vượt qua firewall vào
trong mạng được bảo vệ và bắt đầu hoạt động ở đây.
Một ví dụ là các virus máy tính. Firewall khơng thể làm nhiệm vụ rà quét virus
trên các dữ liệu được chuyển qua nó, do tốc độ làm việc, sự xuất hiện liên tục của các
virus mới và do có rất nhiều cách để mã hóa dữ liệu, thốt khỏi khả năng kiểm soát của
firewall.
 Tuy nhiên, Firewall vẫn là giải pháp hữu hiệu được áp dụng rộng rãi.
2.2.7. Các thành phần của Firewall và nguyên lý hoạt động
Firewall chuẩn bao gồm một hay nhiều các thành phần sau đây:
 Bộ lọc packet (packet-filtering router).
 Cổng ứng dụng (application-level gateway hay proxy server).
 Cổng mạch (circuite level gateway).
2.2.7.1. Bộ lọc gói (Packet Filtering)
a. Nguyên lý hoạt động.
Khi nói đến việc lưu thông dữ liệu giữa các mạng với nhau thông qua Firewall thì
điều đó có nghĩa rằng Firewall hoạt động chặt chẽ với giao thức TCI/IP. Vì giao thức này
làm việc theo thuật toán chia nhỏ các dữ liệu nhận được từ các ứng dụng trên mạng, hay
nói chính xác hơn là các dịch vụ chạy trên các giao thức (Telnet, SMTP, DNS, SMNP,
NFS...) thành các gói dữ liệu (data pakets) rồi gán cho các paket này những địa chỉ để có
thể nhận dạng, tái lập lại ở đích cần gửi đến, do đó các loại Firewall cũng liên quan rất
nhiều đến các packet và những con số địa chỉ của chúng.