Trong kịch bản này, ranh giới tin cậy (trust boundary) chính là các cửa kiểm soát thẻ từ và chốt an ninh ngăn cách giữa các khu vực. Bất kỳ ai muốn bước từ sảnh công cộng sang khu vực nội bộ đều phải xuất trình căn cước và trải qua quy trình xác minh. Ngược lại, nếu một tòa nhà được thiết kế như một "mạng phẳng" (flat network) không có cửa ngăn cách, một vị khách lạ vào quán cà phê ở tầng một hoàn toàn có thể tự do mở cửa bước thẳng vào phòng tài chính kế toán mà không gặp bất kỳ rào cản vật lý nào.

Địa chỉ IPv4 là một định danh nhị phân 32-bit, được chia thành 4 octet biểu diễn dưới dạng thập phân có dấu chấm (dotted-decimal notation). Mỗi địa chỉ IPv4 bao gồm hai thành phần cấu trúc: phần định danh mạng (Network ID) và phần định danh máy trạm (Host ID). Tỷ lệ phân chia giữa Network ID và Host ID được xác định bởi mặt nạ mạng (Subnet Mask) hoặc độ dài tiền tố (Prefix Length) theo chuẩn Phân tuyến liên miền không phân lớp (Classless Inter-Domain Routing - CIDR).

Công thức toán học xác định số lượng địa chỉ máy trạm khả dụng trong một khối mạng tiền tố $/n$ (với $n \le 30$) là:

Trong đó, hai địa chỉ không thể gán cho máy trạm là địa chỉ mạng (Network Address - tất cả các bit của Host ID bằng 0) và địa chỉ quảng bá (Broadcast Address - tất cả các bit của Host ID bằng 1). Ví dụ: một subnet $/24$ cung cấp $2^8 - 2 = 254$ địa chỉ khả dụng; một subnet $/27$ cung cấp $2^5 - 2 = 30$ địa chỉ khả dụng; và một liên kết điểm-điểm (point-to-point link) $/30$ cung cấp $2^2 - 2 = 2$ địa chỉ khả dụng.

Theo chuẩn RFC 1918 [6] không gian địa chỉ IPv4 riêng (Private Address Space) được bảo lưu thành ba dải mạng độc lập: 1. 10.0.0.0/8 (từ 10.0.0.0 đến 10.255.255.255, gồm 16,777,216 địa chỉ). 2. 172.16.0.0/12 (từ 172.16.0.0 đến 172.31.255.255, gồm 1,048,576 địa chỉ). 3. 192.168.0.0/16 (từ 192.168.0.0 đến 192.168.255.255, gồm 65,536 địa chỉ).

Giao thức phân giải địa chỉ (Address Resolution Protocol - ARP) đảm nhiệm vai trò ánh xạ địa chỉ logic Layer 3 (IPv4) sang địa chỉ vật lý Layer 2 (MAC address 48-bit) trong cùng một miền quảng bá (broadcast domain). Khi máy trạm $A$ cần gửi gói tin tới máy trạm $B$ trong cùng subnet: 1. Máy $A$ phát một khung ARP Request chứa câu hỏi "Ai sở hữu IP $B$ hãy trả lời cho $A$" tới địa chỉ MAC quảng bá ff:ff:ff:ff:ff:ff. Mọi thiết bị trong broadcast domain đều nhận và xử lý khung này. 2. Máy $B$ nhận diện IP của mình, cập nhật bảng ARP cache nội bộ và gửi lại một khung ARP Reply đơn hướng (unicast) chứa địa chỉ MAC thực tế của $B$ tới máy $A$. 3. Máy $A$ lưu cặp địa chỉ IP-MAC vào bảng ARP cache nội bộ để đóng gói các khung dữ liệu Ethernet tiếp theo.

Trong các doanh nghiệp quy mô vừa và lớn, việc duy trì một mạng phẳng (flat network) duy nhất dẫn đến hai hệ quả nghiêm trọng: bão quảng bá (broadcast storm) làm suy giảm băng thông, và thiếu hụt hoàn toàn ranh giới an ninh khi bất kỳ thiết bị nào cũng có thể truyền thông trực tiếp tới các máy chủ nhạy cảm tại Layer 2.

Chuẩn IEEE 802.1Q giải quyết thách thức này bằng cách chèn một thẻ định danh 4-byte (VLAN Tag) vào giữa trường Source MAC và trường EtherType của khung Ethernet tiêu chuẩn. Cấu trúc 4-byte này bao gồm: - Tag Protocol Identifier (TPID - 16 bit): Có giá trị cố định 0x8100 để chỉ định đây là khung được gắn thẻ 802.1Q. - Priority Code Point (PCP - 3 bit): Dùng cho phân loại chất lượng dịch vụ (QoS / 802.1p). - Drop Eligible Indicator (DEI - 1 bit): Đánh dấu gói tin có thể bị loại bỏ khi xảy ra nghẽn mạng. - VLAN Identifier (VID - 12 bit): Định danh phân vùng mạng logic, cho phép định nghĩa từ 1 đến 4,094 VLAN độc lập.

Mỗi VLAN hoạt động như một miền quảng bá Layer 2 hoàn toàn biệt lập. Để truyền thông giữa các VLAN khác nhau, lưu lượng bắt buộc phải đi qua một thiết bị định tuyến Layer 3 (Inter-VLAN Routing), thông qua cấu hình Router-on-a-Stick, Switch Layer 3 với giao diện ảo SVI (Switched Virtual Interface), hoặc một Tường lửa thế hệ mới (Next-Generation Firewall - NGFW).

Giao thức điều khiển truyền vận (Transmission Control Protocol - TCP), được chuẩn hóa lần đầu trong RFC 793 [4] và cập nhật toàn diện trong RFC 9293 [3] là giao thức hướng kết nối (connection-oriented), đảm bảo dữ liệu được phân phối tin cậy, có thứ tự và có kiểm soát luồng/nghẽn trên môi trường mạng IP không tin cậy.

Header TCP có độ dài tối thiểu 20 byte (khi không có tùy chọn mở rộng), bao gồm các trường điều khiển cốt lõi: - Source Port (16 bit) và Destination Port (16 bit): Định danh tiến trình dịch vụ ở hai đầu mút kết nối. - Sequence Number (32 bit): Đánh số thứ tự byte đầu tiên của phân đoạn dữ liệu trong luồng truyền hoặc số thứ tự khởi tạo (Initial Sequence Number - ISN) trong gói SYN. - Acknowledgment Number (32 bit): Xác nhận số thứ tự của byte tiếp theo mà bên nhận mong muốn được nhận (Cumulative ACK). - Data Offset (4 bit): Chỉ định độ dài của header TCP tính theo đơn vị từ 32-bit (4 byte). - Control Flags (9 bit): Các cờ điều khiển trạng thái gồm URG, ACK, PSH, RST, SYN, FIN, ECE, CWR, NS. - Window Size (16 bit): Kích thước bộ đệm nhận (Receive Buffer) mà máy trạm có thể tiếp nhận mà không cần chờ ACK. - Checksum (16 bit) và Urgent Pointer (16 bit). - Options (tối đa 40 byte): Các tùy chọn đàm phán như Maximum Segment Size (MSS), Window Scaling (RFC 7323), Selective Acknowledgment (SACK per RFC 2018), và TCP Timestamps.

Cơ chế bắt tay ba bước (3-Way Handshake) thiết lập kết nối song công (full-duplex) dựa trên quy luật số học Sequence/Acknowledgment chặt chẽ:

Nếu Initial Sequence Number được sinh ra theo quy luật tuyến tính hoặc có thể dự đoán được (thiếu entropy), kẻ tấn công đứng ngoài luồng (off-path attacker) có thể phát các gói tin TCP giả mạo địa chỉ IP nguồn tin cậy, đoán đúng số Sequence Number hợp lệ và chèn dữ liệu độc hại vào phiên kết nối (TCP Session Hijacking [3]). Vì lý do này, mọi hệ điều hành hiện đại đều phải áp dụng thuật toán sinh ISN ngẫu nhiên dựa trên mã hóa (Cryptographic Pseudo-Random Number Generator) kết hợp với hàm băm bí mật của hệ thống.

Quá trình đóng kết nối có thể diễn ra theo hai phương thức: 1. Đóng trật tự (Graceful Teardown): Sử dụng cờ FIN qua 4 bước (FIN $\rightarrow$ ACK $\rightarrow$ FIN $\rightarrow$ ACK). Phía chủ động đóng kết nối sẽ chuyển sang trạng thái TIME_WAIT và duy trì trong thời gian $2 \times \text{MSL}$ (Maximum Segment Lifetime, thường là 60-120 giây) để đảm bảo mọi gói tin trôi dạt trên mạng bị triệt tiêu hoàn toàn trước khi cổng mạng được tái sử dụng. 2. Đóng bất thường (Abrupt Teardown): Sử dụng cờ RST (Reset). Khi một thiết bị nhận được gói tin gửi tới một cổng đang đóng, hoặc khi kết nối bị lỗi bộ nhớ nghiêm trọng, gói tin RST được phát đi ngay lập tức mà không tiêu thụ số sequence và không yêu cầu xác nhận ACK.

Một trong những điểm yếu cố hữu của máy trạng thái TCP là tấn công từ chối dịch vụ SYN Flood [16] [rfc4987.] Kẻ tấn công gửi hàng loạt gói tin SYN với địa chỉ IP nguồn giả mạo khiến máy chủ phân bổ cấu trúc dữ liệu socket trong bộ nhớ (Transmission Control Block - TCB) và chuyển sang trạng thái SYN_RECEIVED chờ đợi gói ACK thứ ba. Do client giả mạo không bao giờ gửi ACK, hàng đợi kết nối nửa mở (half-open connection backlog queue) bị lấp đầy, khiến máy chủ từ chối phục vụ toàn bộ người dùng hợp lệ.

Để khắc phục điểm yếu này tại ranh giới bảo vệ, kỹ thuật SYN Cookies được triển khai [dang2019synproxy.] Khi hàng đợi backlog đầy, máy chủ không lưu TCB vào bộ nhớ mà mã hóa toàn bộ thông số kết nối (MSS, thời gian, IP/Port nguồn và đích) thành chính giá trị $ISN_S$. Chỉ khi nhận được gói tin ACK hợp lệ ở bước 3, máy chủ mới giải mã lại các thông số từ Acknowledgment Number trừ đi 1 để khởi tạo socket thực thụ.

Trước khi một kết nối TCP được khởi tạo tới một dịch vụ web, máy trạm phải giải quyết địa chỉ IP của máy chủ thông qua Hệ thống Tên miền (Domain Name System - DNS). Chu trình phân giải chuẩn diễn ra qua các bước: 1. Máy trạm (Stub Resolver) gửi truy vấn UDP cổng 53 tới Recursive Resolver nội bộ (thường được cấu hình qua DHCP). 2. Recursive Resolver kiểm tra bộ nhớ đệm (Cache). Nếu chưa có bản ghi, nó lần lượt truy vấn các máy chủ Root Name Server, Top-Level Domain (TLD) Server (ví dụ .vn, .com), và cuối cùng là Authoritative Name Server của tên miền đích. 3. Bản ghi phân giải (A record cho IPv4 hoặc AAAA record cho IPv6) được trả về cho máy trạm kèm theo thời gian sống (Time-To-Live - TTL).

Giao thức DNS truyền thống truyền tải gói tin hoàn toàn ở dạng văn bản rõ (cleartext UDP) và chỉ dựa vào một trường Transaction ID 16-bit cùng số cổng nguồn ngẫu nhiên để khớp nối câu trả lời. Nếu kẻ tấn công có thể đoán trước Transaction ID và gửi câu trả lời giả mạo trước khi máy chủ chính thống phản hồi (Kaminsky DNS Cache Poisoning), toàn bộ lưu lượng của doanh nghiệp có thể bị chuyển hướng sang máy chủ độc hại.

Trong các tổ chức lớn, kiến trúc Split-Horizon DNS (hay Split-View DNS) được triển khai để tạo ranh giới phân giải: - Người dùng bên trong mạng nội bộ truy vấn tên miền portal.corp.test sẽ nhận được địa chỉ IP riêng RFC 1918 (ví dụ 10.0.20.50). - Người dùng từ mạng Internet công cộng truy vấn cùng tên miền portal.corp.test sẽ nhận được địa chỉ IP Public của thiết bị Reverse Proxy/WAF (ví dụ 203.0.113.10).

Sau khi có IP và thiết lập xong kết nối TCP qua cổng 443, quá trình bảo mật dữ liệu được đảm nhiệm bởi giao thức Transport Layer Security phiên bản 1.3 (TLS 1.3) theo chuẩn RFC 8446 [rfc8446.] Khác với TLS 1.2 cần tới 2 chu kỳ truyền khứ hồi (2-RTT) để hoàn tất đàm phán, TLS 1.3 tối ưu hóa xuống còn 1-RTT bằng cách tích hợp thuật toán trao đổi khóa Diffie-Hellman tạm thời (Ephemeral Diffie-Hellman - ECDHE) ngay trong gói tin mở đầu:

Theo nguyên lý thiết kế hệ thống bảo vệ thông tin kinh điển của Saltzer và Schroeder [17] cùng chuẩn kiến trúc Zero Trust NIST SP 800-207 [1] một Ranh giới Tin cậy (Trust Boundary) là một giao diện phân định ranh giới giữa hai miền hoặc thành phần hệ thống có mức độ tin cậy, đặc quyền truy cập, chính sách quản trị hoặc khả năng kiểm soát khác nhau. Khi luồng dữ liệu di chuyển vượt qua một ranh giới tin cậy, hệ thống bắt buộc phải thực thi các biện pháp kiểm soát an ninh (Authentication, Authorization, Validation, Inspection).

Trong một kiến trúc ứng dụng web doanh nghiệp tiêu chuẩn, tồn tại ba ranh giới tin cậy cốt lõi:

Để phân tích rủi ro có hệ thống trên từng ranh giới, mô hình đe dọa STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) được áp dụng để xác định các vector tấn công qua mạng:

Trong ví dụ thực hành có lời giải này, chúng ta sẽ khảo sát một phiên truy cập điển hình từ máy trạm nhân viên (192.168.56.10:52134) tới cổng thông tin bảo mật doanh nghiệp (app.lab.internal tại 192.168.56.20:443), sử dụng máy chủ phân giải DNS nội bộ (192.168.56.2:53). Bảng dữ liệu dưới đây trích xuất trực tiếp từ file bắt gói tin trace_sample.pcap thông qua công cụ Wireshark [8] và tshark:

Nhận xét từ góc độ Technical Lead: 1. Tính nhất quán của luồng kết nối: Ba gói tin 3, 4, 5 tuân thủ tuyệt đối quy luật $Seq_{\text{next}} = Seq_{\text{prev}} + \text{Payload Length} + \text{SYN/FIN bit}$. Vì gói SYN không mang payload nhưng có cờ SYN bật, nó chiếm 1 đơn vị sequence, khiến $Ack$ của Server ở gói 4 tăng lên đúng $ISN_C + 1$. 2. Phân định ranh giới chuyển tiếp: Tại gói 1-2, dữ liệu truyền qua Ranh giới Phân giải Tên miền (DNS Boundary); tại gói 3-5, dữ liệu thiết lập kênh truyền tin cậy qua Ranh giới Tầng Vận chuyển (Transport Boundary); và từ gói 6 trở đi, kênh truyền bước vào Ranh giới Mật mã Tầng Ứng dụng (Cryptographic Boundary).

Bài tập suy luận thực hành: Trong một kịch bản rà quét mạng hoặc kiểm thử phân đoạn, học viên quan sát thấy một kết nối TCP tới cổng 443 bị ngắt đột ngột ngay sau gói tin SYN. Dưới đây là đoạn trích xuất tshark có chứa các vị trí khuyết ___. Hãy phân tích ngữ cảnh và hoàn thiện các biểu thức lọc Wireshark Display Filter phù hợp:

Là một Enterprise Penetration Testing Technical Lead, nhiệm vụ của bạn không đơn thuần là phát hiện một cổng dịch vụ mở hay chạy một kịch bản rà quét tự động. Trọng tâm của vai trò là thấu hiểu bản chất kiến trúc: Hiểu được mỗi byte dữ liệu di chuyển như thế nào qua từng tầng giao thức, xác định chính xác vị trí ranh giới tin cậy bị rạn nứt, và cung cấp bằng chứng kỹ thuật không thể chối cãi (defensible evidence) để giúp ban giám đốc và đội ngũ kỹ nghệ tái thiết lập các chốt chặn phòng thủ vững chắc. Kiến thức nền tảng về TCP/IP và ranh giới tin cậy được thiết lập trong bài học này sẽ là kim chỉ nam xuyên suốt toàn bộ 96 bài học của chương trình đào tạo.