MỤC LỤC
MỤC LỤC 1
DANH MỤC HÌNH VẼ 3
LỜI MỞ ĐẦU 4
CHƯƠNG I: TỔNG QUAN VỀ AN TOÀN THÔNG TIN TRÊN MẠNG MÁY
TÍNH 5
I.1. Các nguy cơ đe dọa hệ thống mạng máy tính 5
II.2. Các hình thức tấn công mạng phổ biến 7
II.2.1. Tấn công trực tiếp 7
II.2.2. Nghe trộm 7
II.2.3. Giả mạo địa chỉ 7
II.2.4. Vô hiệu hoá các chức năng của hệ thống (denial of service) 8
II.2.5. Tấn công vào yếu tố con người 8
CHƯƠNG II: TƯỜNG LỬA VÀ CÁC CÔNG NGHỆ TƯỜNG LỬA 9
II.1 Tường lửa là gì? 9
II.1.1. Định nghĩa 9
II.1.2. Chức năng 9
II.1.3. Ưu điểm của tường lửa 10
II.1.4. Hạn chế của tường lửa 10
II.2. Các công nghệ tường lửa 10
II.2.1. Bộ lọc gói tin 11
II.2.1.1. Nguyên lý hoạt động 11
II.2.1.2. Ưu điểm 13
II.2.1.3. Hạn chế 13
II.2.2. Cổng chuyển mạch 14
II.2.3. Cổng ứng dụng 15
Trang 1
II.2.3.1. Nguyên lý hoạt động 15
II.2.3.2. Ưu điểm 16
II.2.3.3. Hạn chế 17
II.2.4. Công nghệ Stateful Inspection 17

An toàn thông tin trên mạng máy tính là một lĩnh vực rộng lớn, nó bao gồm tất cả
các kỹ thuật, các phương pháp, phương tiện bảo vệ thông tin. Nó liên quan đến các
kiến thức về khoa học mật mã, công nghệ mạng, các ứng dụng trên mạng. Bước đầu
tiên và cũng là bước hiệu quả nhất cần nghĩ đến đó là đưa các kỹ thuật, các ứng dụng
công nghệ vào vấn đề bảo vệ an toàn thông tin.
Bài giảng này không đề cập đến tất cả các phương pháp bảo vệ thông tin mà chỉ
quan tâm chủ yếu đến giải pháp bảo mật thông tin sử dụng tường lửa – một biện pháp
đầu tiên cần phải thực hiện khi cần bảo vệ thông tin.
Bài giảng này cung cấp những kiến thức cơ bản về tường lửa, các công nghệ tường
lửa và qua đó cũng giới thiệu qua về một số hãng sản xuất tường lửa nổi tiếng nhất
hiện này: Check Point, Cisco, Juniper. Đặc biệt, bài giảng còn đưa ra một số ứng dụng
thực tiễn với sản phẩm tường lửa của Check Point – VPN-1 để minh chứng về lợi ích
của tường lửa, tính hiệu quả của tường lửa trong vấn đề chống tấn công mạng.
Nội dung của bài giảng được chia thành 3 chương như sau :
Chương I : Tổng quan về vấn đề an toàn thông tin trên mạng máy tính
Trình bày về các mối đe dọa có thể xảy đến đối với hệ thống thông tin. Các mối đe
dọa đó có thể ảnh hưởng đến tính bí mật, tính toàn ven, tính sẵn sàng của thông tin.
Chương II: Tường lửa và các công nghệ tường lửa
Trình bày khái niệm tường lửa, chức năng cũng như các công nghệ tường lửa. Đặc
biệt chương này còn nói về công nghệ Stateful Inspection – một công nghệ tường lửa
tiên tiến nhất hiện nay và đưa ra một số ứng dụng điển hình sử dụng công nghệ
Stateful Inspection của một số hãng nổi tiếng: Check Point, Cisco, Juniper.
Chương III: Ứng dụng tường lửa VPN-1 của Check Point để bảo vệ mạng và
phòng chống tấn công
Chương này là chương ứng dụng thực tế, sử dụng tường lửa VPN-1 của Check
Point để cho phép cũng như hạn chế truy nhập và ngăn chặn tấn công.
Hà nội, tháng 10 năm 2009
Phạm Minh Thuấn
Trang 4
CHƯƠNG I: TỔNG QUAN VỀ AN TOÀN THÔNG

thân hệ thống, hoặc phần mềm cung cấp, hoặc do người quản trị yếu kém không hiểu
sâu sắc các dịch vụ cung cấp Mức độ ảnh hưởng của các lỗ hổng là khác nhau. Có
những lỗ hổng chỉ ảnh hưởng tới chất lượng dịch vụ cung cấp, như các tấn công DoS
(Denial of Service – Tấn công từ chối dịch vụ), có những lỗ hổng ảnh hưởng nghiêm
trọng tới toàn bộ hệ thống, cho phép người sử dụng bên ngoài truy nhập bất hợp pháp
vào hệ thống và chiếm quyền điều khiển hệ thống, như lỗ hổng RPC DCOM trong
Windows, lỗ hổng Cross-Site Scripting trong ứng dụng Web,
Trang 6
II.2. Các hình thức tấn công mạng phổ biến
Có rất nhiều các lỗ hổng trong hệ điều hành, trong ứng dụng Web hay trong các tài
liệu văn bản do đó cũng có rất nhiều kiểu tấn công nhằm khai thác các lỗ hổng đó.
Dưới đây là một vài phương pháp tấn công thường xảy ra vào hệ thống, vào ứng dụng
và dịch vụ:
II.2.1. Tấn công trực tiếp
Những cuộc tấn công trực tiếp thông thường được sử dụng trong giai đoạn đầu để
chiếm được quyền truy nhập bên trong. Một phương pháp tấn công cổ điển là dò cặp
tên người sử dụng-mật khẩu. Đây là phương pháp đơn giản, dễ thực hiện và không đòi
hỏi một điều kiện đặc biệt nào để bắt đầu. Kẻ tấn công có thể sử dụng những thông tin
như tên người dùng, ngày sinh, địa chỉ, số nhà vv để đoán mật khẩu. Trong trường
hợp có được danh sách người sử dụng và những thông tin về môi trường làm việc, kẻ
tấn công có thể dễ dàng sử dụng phần mềm để tìm ra mật khẩu trong các tài khoản hợp
lệ.
Phương pháp sử dụng các lỗi của chương trình ứng dụng và bản thân hệ điều hành
đã được sử dụng từ những vụ tấn công đầu tiên và vẫn được tiếp tục để chiếm quyền
truy nhập. Trong một số trường hợp phương pháp này cho phép kẻ tấn công có được
quyền của người quản trị hệ thống (root hay administrator).
II.2.2. Nghe trộm
Nghe trộm thông tin trên mạng có thể đưa lại cho kẻ tấn công những thông tin có
ích như tên-mật khẩu của người sử dụng, các thông tin mật chuyển qua mạng. Việc
nghe trộm thường được tiến hành ngay sau khi kẻ tấn công đã chiếm được quyền truy

NGHỆ TƯỜNG LỬA
II.1 Tường lửa là gì?
II.1.1. Định nghĩa
Thuật ngữ tường lửa (Firewall) có nguồn gốc từ một kỹ thuật thiết kế trong xây
dựng để ngăn chặn, hạn chế hoả hoạn. Trong công nghệ mạng thông tin, tường lửa là
một kỹ thuật được tích hợp vào hệ thống mạng để chống sự truy cập trái phép nhằm
bảo vệ các nguồn thông tin nội bộ cũng như hạn chế sự xâm nhập vào hệ thống của
một số thông tin khác không mong muốn.
Cũng có thể hiểu rằng tường lửa là một cơ chế để bảo vệ mạng tin cậy (trusted
network) khỏi các mạng không tin cậy (untrusted network).
Tường lửa có thể là thiết bị phần cứng hoặc phần mềm nằm ở vành đai mạng của
một tổ chức, một công ty, hay một quốc gia (Intranet) và Internet. Nó thực hiện vai trò
bảo mật các thông tin cho hệ thống mạng Intranet từ thế giới Internet bên ngoài.
II.1.2. Chức năng
Tường lửa là một thành phần đặt giữa Intranet và Internet để kiểm soát tất cả các
việc lưu thông và truy cập giữa chúng với nhau bao gồm:
 Tường lửa quyết định những người nào, dịch vụ nào từ bên trong được phép
truy cập ra bên ngoài và cả những dịch vụ nào từ bên ngoài được phép truy
cập vào bên trong.
 Triển khai giám sát các sự kiện an ninh mạng: Các hệ thống cảnh báo, IDS &
IPS có thể triển khai trên hệ thống tường lửa.
 Triển khai một vài chức năng trên nền tường lửa: NAT, thống kê, logs
 Để tường lửa làm việc hiệu quả, tất cả trao đổi thông tin từ trong ra ngoài và
ngược lại đều phải thực hiện thông qua Firewall.
Sơ đồ chức năng hệ thống của tường lửa:
Trang 9
Hình 1: Sơ đồ chức năng hệ thống của tường lửa
II.1.3. Ưu điểm của tường lửa
Tường lửa là một điểm quan trọng trong chính sách kiểm soát truy nhập. Nó là
“cửa khẩu” duy nhất nối mạng được bảo vệ với bên ngoài, do đó có thể ghi nhận mọi

• Tường lửa phi trạng thái (Stateless firewall)
II.2.1. Bộ lọc gói tin
II.2.1.1. Nguyên lý hoạt động
Tường lửa hoạt động chặt chẽ với giao thức TCP/IP do nó làm nhiệm vụ lưu thông
dữ liệu giữa các mạng với nhau. Giao thức này làm việc theo thuật toán chia nhỏ các
dữ liệu nhận được từ các ứng dụng trên mạng thành các gói dữ liệu (data packets) rồi
gán cho các gói này những địa chỉ để có thể nhận dạng, tái lập lại ở đích cần gửi đến.
Các gói tin sẽ được truyền qua tường lửa, bộ lọc gói sẽ có nhiệm vụ kiểm tra các gói
tin theo một chính sách đã định trước.
Hình 2: Sơ đồ làm việc của Packet Filtering
Trang 11
Bộ lọc gói tin cho phép hay từ chối mỗi gói tin nhận được. Nó kiểm tra toàn bộ
đoạn dữ liệu để quyết định xem đoạn dữ liệu đó có thoả mãn một trong số các luật lệ
của lọc gói tin hay không.
Bộ lọc gói tin hoạt động ở lớp 3 trong mô hình OSI, cung cấp chức năng chính là
kiểm soát truy cập mạng dựa trên các thông tin header của gói tin:
 Địa chỉ IP nguồn (ví dụ địa chỉ IP 192.168.1.1)
 Địa chỉ IP đích (ví dụ địa chỉ IP 192.168.1.2)
 Giao thức truyền tin (TCP, UDP, ICMP, IP)
 Một số thông tin trong phiên giao tiếp của tầng 4 ví dụ như địa chỉ cổng
TCP/UDP nguồn, cổng TCP/UDP đích.
 Dạng thông báo ICMP ( ICMP message type).
 Giao diện gói tin đến, giao diện gói tin đi.
Các thông số này thường hữu ích cho các bộ định tuyến có ba giao diện mạng trở
lên.
Hình 3: Các lớp OSI được bộ lọc gói tin sử dụng
Nếu các điều kiện lọc gói tin được thoả mãn thì gói tin được chuyển qua tường
lửa, ngược lại thì gói tin sẽ bị chặn lại. Nhờ vậy mà tường lửa có thể ngăn cản được
các kết nối vào các máy chủ hoặc mạng nhất định, hoặc cấm việc truy cập vào hệ
thống mạng từ những địa chỉ không cho phép. Hơn nữa, việc kiểm soát các cổng làm

giới hạn trong số các thông tin dùng để tạo lên chính sách điều khiển truy cập
(địa chỉ nguồn, đích, kiểu dữ liệu)
 Phần lớn các tường lửa lọc gói tin không hỗ trợ các tính năng xác thực người
dùng.
 Không ngăn chặn được các tấn công lợi dụng các điểm yếu trong giao thức
TCP/IP như tấn công giả mạo địa chỉ. Tường lửa lọc gói tin không thể phát hiện
Trang 13
được một gói tin đã bị thay đổi các thông tin địa chỉ lớp 3. Loại tấn công giả
mạo địa chỉ này cho phép kẻ tấn công vượt qua được rất nhiều các chính sách
bảo mật cài đặt trên tường lửa
 Việc định nghĩa các chế độ lọc gói tin là một việc khá phức tạp; đòi hỏi người
quản trị mạng cần có hiểu biết chi tiết vể các dịch vụ Internet, các dạng header
của gói tin, và các giá trị cụ thể trên mỗi trường. Khi số lượng các quy tắc lọc
trở nên dài và phức tạp thì mức độ phức tạp trong quản lý tăng lên, xác suất
nhầm lẫn xảy ra rất cao.
II.2.2. Cổng chuyển mạch
Cổng chuyển mạch là một chức năng đặc biệt có thể thực hiện được bởi một cổng
ứng dụng. Cổng chuyển mạch đơn giản chỉ chuyển tiếp (relay) các kết nối TCP mà
không thực hiện bất kỳ một hành động xử lý hay lọc packet nào.
Hình dưới đây minh hoạ một hành động sử dụng nối telnet qua cổng chuyển mạch.
Cổng chuyển mạch đơn giản chuyển tiếp kết nối telnet qua tường lửa mà không thực
hiện một sự kiểm tra, lọc hay điều khiển các thủ tục Telnet nào. Cổng chuyển mạch
làm việc như một sợi dây, sao chép các byte giữa kết nối bên trong (inside connection)
và các kết nối bên ngoài (outside connection). Tuy nhiên, vì sự kết nối này xuất hiện
từ hệ thống firewall, nó che dấu thông tin về mạng nội bộ.
Hình 4: Cổng chuyển mạch
Cổng chuyển mạch thường được sử dụng cho những kết nối ra ngoài, nơi mà các
quản trị mạng thật sự tin tưởng những người dùng bên trong. Ưu điểm lớn nhất là một
bastion host có thể được cấu hình như là một hỗn hợp cung cấp Cổng ứng dụng cho
những kết nối đến, và cổng chuyển mạch cho các kết nối đi. Điều này làm cho hệ

 Bastion host có thể yêu cầu nhiều mức độ xác thực khác nhau, ví dụ như user
password hay smart card.
 Mỗi proxy được đặt cấu hình để cho phép truy nhập chỉ một sồ các máy chủ
nhất định. Điều này có nghĩa rằng bộ lệnh và đặc điểm thiết lập cho mỗi proxy
chỉ đúng với một số máy chủ trên toàn hệ thống.
 Mỗi proxy duy trì một quyển nhật ký ghi chép lại toàn bộ chi tiết của giao
thông qua nó, mỗi sự kết nối, khoảng thời gian kết nối. Nhật ký này rất có ích
trong việc tìm theo dấu vết hay ngăn chặn kẻ phá hoại.
 Mỗi proxy đều độc lập với các proxies khác trên bastion host. Điều này cho
phép dễ dàng quá trình cài đặt một proxy mới, hay tháo gỡ môt proxy đang có
vấn đề.
Ví dụ: Telnet Proxy
Ví dụ một người (gọi là outside client) muốn sử dụng dịch vụ TELNET để kết nối
vào hệ thống mạng qua một bastion host có Telnet proxy. Quá trình xảy ra như sau:
1. Outside client telnets đến bastion host. Bastion host kiểm tra password, nếu
hợp lệ thì outside client được phép vào giao diện của Telnet proxy. Telnet
proxy cho phép một tập nhỏ những lệnh của Telnet, và quyết định những
máy chủ nội bộ nào outside client được phép truy nhập.
2. Outside client chỉ ra máy chủ đích và Telnet proxy tạo một kết nối của riêng
nó tới máy chủ bên trong, và chuyển các lệnh tới máy chủ dưới sự uỷ quyền
của outside client. Outside client thì tin rằng Telnet proxy là máy chủ thật ở
bên trong, trong khi máy chủ ở bên trong thì tin rằng Telnet proxy là client
thật.
II.2.3.2. Ưu điểm
Cổng ứng dụng có nhiều ưu điểm:
 Cho phép người quản trị mạng hoàn toàn điều khiển được từng dịch vụ trên
mạng, bởi vì ứng dụng proxy hạn chế bộ lệnh và quyết định những máy chủ nào
có thể truy nhập được bởi các dịch vụ.
Trang 16
 Cho phép người quản trị mạng hoàn toàn điều khiển được những dịch vụ nào

cập nhật tự động. Nó dựa vào các thông tin trước để lượng giá các kết nối sau đấy.
Trang 17
Nó cũng cung cấp khả năng tạo ra các thông tin phiên làm việc ảo cho việc theo dõi
các giao thức không kết nối (ví dụ các ứng dụng dựa trên các giao thức RPC và UDP),
đấy là những điều mà các công nghệ tường lửa khác không làm được.
Không như công nghệ lọc gói chỉ kiểm tra thông thông tin header của gói tin, công
nghệ Stateful Inspection theo kiểm soát, theo dõi các kết nối trên tất cả các cổng của
tường lửa và đảm bảo các kết nối đó là hợp pháp. Tường lửa sử dụng công nghệ
Stateful Inspection không chỉ kiểm tra thông tin header của gói tin mà còn kiểm tra nội
dung của gói tin ở tầng ứng dụng. Tường lửa Stateful Inspection có khả năng theo dõi
trạng thái của kết nối và đưa các thông tin trạng thái vào bảng trạng thái. Vì thế, tường
lửa sử dụng công nghệ Stateful Inspection kiểm soát không chỉ dựa trên tập luật (chính
sách) mà còn dựa theo ngữ cảnh đã được thiết lập ưu tiên của các gói tin trước đó đã đi
qua tường lửa.
Hơn thế nữa, các cổng của tường lửa luôn ở trong trạng thái đóng (close off) nó chỉ
được mở khi có yêu cầu kết nối. Điều này ngăn chặn tấn công quét công trên tường
lửa, giúp đảm bảo an toàn cho tường lửa và hệ thống.
II.3. Một số tường lửa sử dụng công nghệ Stateful Inspection
II.3.1. Tường lửa của Check Point
Check Point là hãng đi tiên phong trong công nghệ tường lửa Stateful Inspection.
Hãng đã có nhiều sản phẩm tường lửa sử dụng công nghệ này như Firewall-1, VPN-1,
…chúng có khả năng ứng dụng cao trong thực tế. Với một số tính năng nổi trội như:
NAT, kiểm soát truy cập, ghi lại nhật ký (loggin), xác thực người dùng, xác thực phiên
và dịch vụ kết nối…. Công nghệ Stateful Inspection ghi lại hai loại thông tin trạng thái
đó là thông tin được lấy ra từ kết nối (communication-derived) và thông tin từ ứng
dụng (Application-derived).
Thu thập thông tin trạng thái và ngữ cảnh giúp cho VPN-1 kiểm soát được các giao
thức phi kết nối (connectionless protocols) như UDP hay RPC.
Trang 18
Hình 6: Tường lửa Check Point VPN-1 trong hệ thống mạng

dụng. Trong khi PIX firewall có thể cấu hình stateless và statefull firewall hỗ trợ bảo
mật lớp mạng và lớp giao vận
NetScreen firewall là thiết bị bảo vệ trạng thái và lớp chiều sâu gói tin nó căn cứ
vào tất cả các kiểm tra của nó và quyết định được tạo ra bằng đường song song khác,
bao gồm địa chỉ nguồn, địa chỉ đích, cổng nguồn, cổng đích, dữ liệu được kiểm tra sự
phù hợp giao thức.
Thiết bị NetScreen bảo trì bảng phiên mà đường ngoài giữa mọi thứ khác như địa
chỉ nguồn, địa chỉ đích, cổng nguồn, cổng đích, và các tác động phiên.
Trang 21
CHƯƠNG III: ỨNG DỤNG TƯỜNG LỬA VPN-1
CỦA CHECK POINT ĐỂ BẢO VỆ MẠNG VÀ
PHÒNG CHỐNG TẤN CÔNG
III.1. Giới thiệu chung về tường lửa VPN-1
VPN-1 là phần mềm bức tường lửa của Check Point, đây là phần mềm có thể chạy
trên nhiều hệ điều hành khác nhau. VPN-1 đáp ứng được mọi yêu cầu kết nối mạng an
toàn. Các tổ chức định ra một chính sách bao gồm mọi khía cạnh an toàn (kiểm soát
truy nhập, xác thực người dùng, toàn vẹn dữ liệu, lọc địa chỉ,… ). Nó có khả năng
phân phối chính sách an toàn mạng trong diện rộng của toàn tổ chức tới tất cả các
điểm truy cập (mạng nội bộ, chinh nhánh, khách hàng, truy cập từ xa…) và tới tất cả
các đối tượng người dùng (văn phòng, người dùng từ xa, đối tác, khách hàng ) trên
mọi hệ điều hành.
III.2. Một số khái niệm cơ bản
Chính sách bảo mật: là một tập hợp các luật định nghĩa an ninh bảo mật cho hệ
thống mạng của chúng ta. Trong Firewall Check Point, chính sách bảo mật được định
nghĩa qua một tập luật – Rule Base. Tập luật bao gồm các luật riêng rẽ hình thành nên
chính sách bảo mật của chúng ta. Nếu chúng ta thiết lập chính sách bảo mật không tốt,
thì hệ thống tường lửa sẽ bị giới hạn và không được sử dụng một cách hiệu quả.
Các thành phần của luật gồm có đối tượng mạng, người dùng, nhóm, dịch vụ, tài
nguyên, và hành động. Khi một chính sách được định nghĩa, chúng ta có thể triển khai
chính sách cho các thiết bị tường lửa trên toàn hệ thống mạng của chúng ta.

một luật tại một thời điểm. Trong tập luật, luật sẽ được so sánh theo thứ tự từ trên
Trang 23
xuống. Nếu kết nối khớp với một luật thì hành động trong luật đó sẽ được áp dụng và
kết thúc. Nếu kết nối không khớp với bất kỳ luật nào sẽ bị hủy.
Các luật cơ bản:
Có 2 luật cơ bản mà hầu hết những người quản trị đều dùng, đó là Cleanup và
Stealth, đây là những luật rất cơ bản và rất quan trọng trong vấn đề àn toàn bảo mật và
ghi nhật ký thông tin.
Luật Cleanup: Tường lửa Check Point hoạt động theo nguyên tắc là mặc định cấm
tất các kết nối mà không được phép. Tường lửa sẽ hủy tất cả kết nối mà không nằm
trong quy định của bất kỳ luật nào, do vậy cách để theo dõi, theo vết được các gói tin
bị hủy là tạo một luật Cleanup, luật này sẽ ghi log những kết nối bị hủy. Luật Cleanup
nằm ở dưới cùng trong tập luật và sẽ “quét dọn” tất cả các kết nối mà không nằm trong
phạm vi của bất kỳ luật nào khác bằng cách ghi log và thực hiện hành động Drop (bỏ
gói tin).
Luật Cleanup được thiết lập như hình sau:
Source Destination Service Action Track Install On Time
Any Any Any Drop Log Policy Targets Any
Hình 10: Luật Cleanup
Luật Cleanup phải được đặt dưới cùng, bên dưới tất cả các luật khác
Luật Stealth: ngăn chặn người dùng kết nối trực tiếp vào tường lửa, phòng chống
lại các tấn công lên tường lửa. Với luật Stealth, tường lửa sẽ trở thành vô hình với
người dùng trên mạng.
Trong hầu hết trường hợp, luật Stealth sẽ được đặt lên trên các luật khác. Một số
luật cho các kết nối cần thiết lập trực tiếp qua tường lửa như xác thực Client, mã hóa
thì cần đặt trên luật Stealth.
Luật Stealth được thiết lập như hình sau:
Source Destination Service Action Track Install On Time
Any Firewalls Any Drop Log Policy Targets Any
Hình 11: Luật Stealth