An ninh mạng

1. Lý thuyết cốt lõi / Core theory

1.1. Các mối đe dọa mạng phổ biến (Network Threats)

• Sniffing (Nghe lén): Capture traffic trên mạng — công cụ: Wireshark, tcpdump. Hiệu quả với giao thức cleartext (HTTP, FTP, Telnet). Chống: dùng encryption (HTTPS, SSH, SFTP).
• Spoofing (Giả mạo): Giả mạo địa chỉ nguồn — IP spoofing, ARP spoofing, DNS spoofing. ARP spoofing: gửi ARP reply giả → redirect traffic qua máy attacker (tiền đề của MitM).
• Man-in-the-Middle (MitM): Attacker chen giữa hai bên giao tiếp — intercept và có thể modify traffic. Thực hiện qua ARP poisoning, rogue AP, DNS hijacking. Chống: mutual TLS, certificate pinning, HSTS.
• DoS (Denial of Service): Làm hệ thống không phục vụ được user hợp lệ — flood CPU/bandwidth/memory. Ví dụ: SYN flood, UDP flood, HTTP flood.
• DDoS (Distributed DoS): DoS từ nhiều nguồn (botnet) — khó block hơn vì traffic đến từ hàng nghìn IP. Chống: CDN với DDoS scrubbing (Cloudflare, AWS Shield), rate limiting, anycast routing.

1.2. Firewall — Bốn thế hệ (Packet Filter / Stateful / NGFW / WAF)

1.3. IDS vs IPS (Intrusion Detection / Prevention System)

1.4. VPN — Hai loại và hai giao thức (Site-to-site / Remote Access · IPSec / SSL-TLS)

• Site-to-site VPN: Kết nối hai mạng LAN với nhau qua internet — ví dụ văn phòng Hà Nội và TP.HCM. Router/firewall hai đầu tạo tunnel tự động, người dùng không cần cấu hình gì.
• Remote Access VPN: Kết nối một thiết bị cá nhân (laptop của nhân viên) vào mạng công ty qua internet — ví dụ làm việc từ xa. Cần client software (FortiClient, Cisco AnyConnect, OpenVPN).
• IPSec: Hoạt động ở Layer 3 (Network) — mã hóa toàn bộ IP packet. Dùng ESP (Encapsulating Security Payload) để mã hóa, AH (Authentication Header) để xác thực. Phổ biến cho site-to-site.
• SSL/TLS VPN: Hoạt động ở Layer 7 (Application) — chạy qua HTTPS port 443, dễ vượt firewall hơn IPSec. Phổ biến cho remote access (clientless qua browser hoặc thin client).

1.5. Kiến trúc DMZ & Network Segmentation (Demilitarized Zone / VLAN / Microsegmentation)

DMZ (Demilitarized Zone) là vùng mạng nằm giữa internet và internal network, chứa các server cần truy cập từ bên ngoài (web server, email server, DNS public). Kiến trúc: Internet → Firewall ngoài → DMZ → Firewall trong → Internal Network. Firewall ngoài cho phép traffic vào DMZ; firewall trong chỉ cho phép traffic cụ thể từ DMZ vào internal.

1.6. An ninh không dây & Giao thức bảo mật (Wireless Security / Secure Protocols)

WPA2 (Wi-Fi Protected Access 2): Dùng AES-CCMP cho mã hóa — mạnh hơn WEP/WPA/TKIP. Vẫn dễ bị tấn công offline dictionary attack nếu PSK yếu (dùng WPA2-Enterprise/802.1X để khắc phục). WPA3: Dùng SAE (Simultaneous Authentication of Equals) thay PSK — chống offline dictionary attack, forward secrecy. Bắt buộc từ 2020 cho thiết bị Wi-Fi mới.

• Evil Twin AP: Attacker tạo AP giả trùng tên (SSID) với AP thật — device tự động kết nối vào AP giả. Attacker có thể capture traffic hoặc inject content. Chống: chỉ kết nối đến AP đã biết, dùng VPN luôn khi ở mạng public.
• Rogue AP: AP trái phép được cắm vào mạng nội bộ (có thể do nhân viên cắm để tiện dùng, hoặc attacker cài). Chống: WIPS (Wireless Intrusion Prevention System) scan liên tục, 802.1X authentication.

1.7. Bảo mật Email — SPF, DKIM, DMARC, BIMI (Email Security Protocols)

Email là vector tấn công phổ biến nhất — 90%+ các cuộc tấn công bắt đầu bằng email. Bốn giao thức xác thực email tạo thành lớp phòng thủ quan trọng chống giả mạo domain:

Lab (Inline) — Kiểm tra SPF/DKIM/DMARC của domain thực tế

OS: Ubuntu 22.04 · Tool: dig (DNS lookup). Lưu ý: chỉ query DNS — không gửi email, không scan, hoàn toàn an toàn và hợp pháp.

# Cài dig nếu chưa có
sudo apt install dnsutils -y

# --- Bước 1: Kiểm tra SPF record của google.com ---
dig TXT google.com | grep spf

# --- Bước 2: Kiểm tra DKIM record của Google ---
# Selector phổ biến là "google" hoặc "default" — thay bằng selector thực tế
dig TXT google._domainkey.google.com

# --- Bước 3: Kiểm tra DMARC record ---
dig TXT _dmarc.google.com

# --- Bước 4: Phân tích một domain không có DMARC enforcement ---
# Thử với một domain nhỏ hơn để thấy sự khác biệt
dig TXT _dmarc.example.com

# --- Bước 5: Kiểm tra nhanh MX record (mail server của domain) ---
dig MX google.com

2. Bài thực hành / Hands-on lab

Lab 1 — Windows Firewall Audit (PowerShell)

OS: Windows 11 · Tool: PowerShell 7 (Administrator).

Mục tiêu: kiểm tra cấu hình Windows Firewall — phát hiện rule quá rộng hoặc profile bị tắt.

# Xem trạng thái tất cả firewall profiles (Domain/Private/Public)
netsh advfirewall show allprofiles

# Liệt kê các rule đang enabled, sắp xếp theo Direction
Get-NetFirewallRule |
    Where-Object { $_.Enabled -eq 'True' } |
    Select-Object DisplayName, Direction, Action, Profile |
    Sort-Object Direction |
    Format-Table -AutoSize

# Tìm rule Allow Inbound có thể rủi ro (any remote address)
Write-Host "`n=== Potentially Risky Inbound Allow Rules ===" -ForegroundColor Red
Get-NetFirewallRule |
    Where-Object { $_.Direction -eq 'Inbound' -and $_.Action -eq 'Allow' -and $_.Enabled -eq 'True' } |
    ForEach-Object {
        $filter = $_ | Get-NetFirewallAddressFilter
        $portFilter = $_ | Get-NetFirewallPortFilter
        [PSCustomObject]@{
            Name          = $_.DisplayName
            LocalPort     = $portFilter.LocalPort
            RemoteAddress = $filter.RemoteAddress
            Protocol      = $portFilter.Protocol
        }
    } |
    Where-Object { $_.RemoteAddress -eq 'Any' } |
    Format-Table -AutoSize

# Kiểm tra kết nối mạng đang active (established connections)
Write-Host "`n=== Active Network Connections ===" -ForegroundColor Cyan
Get-NetTCPConnection |
    Where-Object { $_.State -eq 'Established' } |
    Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, State |
    Sort-Object RemoteAddress |
    Format-Table -AutoSize

Lab 2 — Linux Firewall Audit & Network Analysis (Bash)

OS: Ubuntu 22.04 · Tool: Bash + ufw + iptables + tshark. Lưu ý: Chỉ chạy nmap và tshark trên lab network do bạn sở hữu hoặc có quyền kiểm tra.

# Kiểm tra trạng thái ufw (Uncomplicated Firewall)
sudo ufw status verbose

# Xem iptables rules chi tiết với line numbers
sudo iptables -L -n -v --line-numbers

# Xem FORWARD chain (quan trọng nếu server làm gateway/router)
sudo iptables -L FORWARD -n -v

# Kiểm tra port đang lắng nghe (listening services)
# Mỗi port open = attack surface tiềm năng
ss -tlnp
# Hoặc: netstat -tlnp (nếu net-tools đã cài)

# Nmap scan localhost để thấy attacker nhìn thấy gì từ bên ngoài (lab only)
# Cài: sudo apt install nmap -y
nmap -sV --script=banner 127.0.0.1

# Capture 20 packet đầu tiên trên interface eth0 với tshark (phân tích giao thức)
# Cài: sudo apt install tshark -y
sudo tshark -i eth0 -c 20

# Capture và lọc chỉ HTTP traffic (cleartext) để minh họa sniffing risk
sudo tshark -i eth0 -c 50 -Y "http" -T fields \
    -e ip.src -e ip.dst -e http.request.method -e http.request.uri 2>/dev/null

# Kiểm tra kết nối established và LISTEN
ss -tunap | grep -E "ESTABLISHED|LISTEN"

3. Tình huống doanh nghiệp / Real-world scenario

4. Tự kiểm tra / Knowledge check

1. Giải thích tại sao stateful firewall an toàn hơn packet filter firewall. Cho ví dụ một loại tấn công mà packet filter bỏ sót nhưng stateful chặn được.
2. Phân biệt IDS và IPS về vị trí triển khai trong mạng và hành động khi phát hiện tấn công. Loại nào phù hợp hơn cho môi trường production quan trọng?
3. Tại sao WPA3 an toàn hơn WPA2 khi dùng Personal mode (PSK)? Tính năng nào của WPA3 ngăn offline dictionary attack?
4. Công ty có web server cần truy cập từ internet và database server chỉ dùng nội bộ. Thiết kế kiến trúc mạng nào phù hợp? Vẽ sơ đồ đơn giản.
5. Vì sao HTTPS không đủ để bảo vệ hoàn toàn khỏi Evil Twin? Cần thêm biện pháp nào?