Chào mừng các bạn tiếp tục với Series Giải phẫu Mạng & Packet Analysis! Ở bài viết trước, chúng ta đã triển khai thành công hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS Suricata) để soi sâu vào gói tin và chặn đứng các mối đe dọa thời gian thực. Tuy nhiên, “vỏ quýt dày có móng tay nhọn”, kẻ tấn công hoặc người dùng muốn vượt qua tai mắt của các hệ thống giám sát này thường sử dụng các kỹ thuật ẩn danh và vượt rào.
Hôm nay, chúng ta sẽ đặt lên bàn cân hai công nghệ phổ biến nhất là Proxy và VPN, so sánh cơ chế hoạt động của chúng trên mô hình OSI và đánh giá tác động chí mạng của chúng đối với hệ thống phòng thủ SOC.
1. Proxy: Kẻ “đóng thế” tại Tầng Ứng dụng (Layer 7)
Proxy hoạt động như một cánh cổng kiểm soát (Gateway) đứng trung gian giữa máy tính của bạn và môi trường Internet. Bản chất của công nghệ này là nó vận hành ở Tầng Ứng dụng (Layer 7) và thường mang tính chất cục bộ - được thiết lập rạch ròi cho từng phần mềm cụ thể (chẳng hạn như cấu hình riêng cho Firefox, Chrome hoặc Telegram).
[ Thiết bị của bạn ] --- (Yêu cầu qua HTTP/HTTPS) ---> [ Máy chủ Proxy ] ---> [ Trang web đích ]
IP: 192.168.1.156 IP: 45.76.10.20 (Chỉ nhìn thấy IP Proxy)
Cơ chế hoạt động:
Khi bạn muốn truy cập một trang web, máy tính sẽ không kết nối trực tiếp đến đích, mà gửi yêu cầu đến máy chủ Proxy. Proxy sẽ dùng địa chỉ IP của chính nó để thay mặt bạn tải nội dung về, sau đó mới đẩy dữ liệu đó ngược lại cho trình duyệt của bạn. Lúc này, trang web đích chỉ ghi nhận kết nối đến từ IP của Proxy chứ không phải từ bạn.
Tác dụng chính của Proxy:
- Vượt rào cản địa lý (Geo-bypass): Cho phép bạn truy cập các dịch vụ bị chặn tại quốc gia của mình nhưng được mở ở quốc gia đặt máy chủ Proxy.
- Tiết kiệm băng thông & Tăng tốc độ: Proxy có khả năng lưu bộ nhớ đệm (Cache) nên các truy vấn trùng lặp từ nhiều người dùng sẽ được trả về ngay lập tức mà không cần tải lại từ trang đích.
- Kiểm soát truy cập: Doanh nghiệp thường dùng Proxy để chặn nhân viên truy cập các trang web giải trí, mạng xã hội bằng cách lọc từ khóa trên Layer 7.
2. VPN: Đường hầm vô hình toàn hệ thống (Layer 3)
Trái ngược với tính chất cục bộ và mỏng manh của Proxy, VPN (Virtual Private Network - Mạng riêng ảo) tạo ra một “đường hầm” (Tunnel) mã hóa bao bọc lấy toàn bộ lưu lượng mạng đi ra/đi vào từ hệ thống máy tính của bạn. Công nghệ này can thiệp ở những tầng sâu hơn, cụ thể là Tầng Mạng (Layer 3) hoặc Tầng Liên kết dữ liệu (Layer 2).
┌────────────────────── ĐƯỜNG HẦM MÃ HÓA (VPN Tunnel) ──────────────────────┐
[ Thiết bị của bạn ] =====================================================================> [ Máy chủ VPN ] ---> [ Internet ]
(Dữ liệu bị băm nát) (Giải mã dữ liệu)
Cơ chế hoạt động:
Khi bạn bật kết nối VPN, một phiên làm việc bảo mật cực cao (như OpenVPN, WireGuard, IPSec) được thiết lập từ thiết bị của bạn đến máy chủ VPN. Dù bạn dùng trình duyệt, gọi API, gửi Email hay để phần mềm chạy ngầm, toàn bộ dữ liệu đi ra ngoài đều bị băm và mã hóa chặt chẽ thành một mớ hỗn độn trước khi được đẩy vào môi trường mạng vật lý.
Tác dụng vượt trội của VPN:
- Bảo mật tuyệt đối: Cực kỳ an toàn khi sử dụng mạng Wi-Fi công cộng, ngăn chặn hoàn toàn các đòn tấn công nghe lén, đánh cắp gói tin (Sniffing) hay tấn công xen giữa (MitM).
- Ẩn danh toàn diện: Giấu kín toàn bộ hoạt động mạng. Ngay cả Nhà cung cấp dịch vụ Internet (ISP) hay quản trị viên mạng cục bộ cũng chỉ biết bạn đang kết nối tới một IP VPN, ngoài ra không thể biết bạn đang xem nội dung gì, truy cập trang web nào.
3. Tác động của Proxy và VPN đối với giám sát IDS/IPS
Đứng ở góc độ một SOC Analyst vận hành công cụ phân tích sâu Suricata, việc người dùng sử dụng Proxy hay VPN tạo ra hai thách thức hoàn toàn khác biệt cho hệ thống phát hiện xâm nhập.
3.1 Nhược điểm chí mạng của Proxy trước IDS
Nhược điểm lớn nhất của Proxy thông thường (đặc biệt là các HTTP Proxy) là nó không mã hóa dữ liệu truyền tải.
Nếu mạng nội bộ của bạn có đặt một con Suricata IDS đứng chắn tại Gateway:
- Suricata vẫn dễ dàng giải bọc gói tin (Decapsulation) và “nhìn thấu” toàn bộ payload bên trong bạn gửi đi hoặc nhận về.
- Proxy chỉ có thể đánh lừa được trang web đích về nguồn gốc IP, nhưng hoàn toàn bất lực trước tai mắt của quản trị viên mạng nội bộ hay các hệ thống soi gói tin chuyên dụng.
3.2 Sự “bất lực” hoàn toàn của IDS/IPS trước VPN
Ngược lại, sức mạnh mã hóa của VPN chính là “khắc tinh” của mọi hệ thống phân tích sâu (Deep Packet Inspection - DPI). Khi toàn bộ tải trọng (Payload) bị mã hóa chặt chẽ ở Layer 3, hệ thống IDS/IPS sẽ hoàn toàn bị “mù”.
Dưới đây là một ví dụ thực tế khi dùng Wireshark (tshark) để bắt gói tin của một máy trạm đang bật VPN:
# Bắt gói tin trên mạng LAN của máy dùng VPN (IP 192.168.1.156) kết nối tới VPN Server (203.0.113.50)
# Toàn bộ Application Data đều bị mã hóa trong đường hầm UDP 1194 (OpenVPN)
# Không thể phân biệt được đâu là truy vấn DNS, đâu là duyệt Web hay tải File độc hại
1 0.000000 192.168.1.156 -> 203.0.113.50 UDP 142 56214 -> 1194 Len=100
2 0.045123 203.0.113.50 -> 192.168.1.156 UDP 142 1194 -> 56214 Len=100
3 0.089456 192.168.1.156 -> 203.0.113.50 UDP 1042 56214 -> 1194 Len=1000
4 0.123456 203.0.113.50 -> 192.168.1.156 UDP 512 1194 -> 56214 Len=470
🚨 Cảnh báo SOC: Khi người dùng bật VPN, Suricata vẫn soi thấy hàng ngàn gói tin bay qua card mạng (như
enp7s0), nhưng do nội dung đã bị băm nát bởi các thuật toán mã hóa (AES-GCM, ChaCha20), Suricata sẽ không thể đối khớp với bộ chữ ký (Signatures) để kích hoạt cảnh báo. Hệ thống không thể phân biệt được bạn đang thực hiện một lệnh Ping vô hại hay đang âm thầm exfiltrate dữ liệu nhạy cảm ra bên ngoài.
Tổng kết Series “Giải phẫu Mạng & Packet Analysis”
Khép lại bài viết, chúng ta đã thấu hiểu được sự khác biệt bản chất giữa việc “đóng thế” cục bộ của Proxy ở Tầng 7 và việc xây dựng “đường hầm thép” mã hóa của VPN ở Tầng 3, cũng như cách mã hóa VPN có thể vô hiệu hóa hoàn toàn vũ khí giám sát IDS/IPS.
Với 13 bài viết trải dài từ lý thuyết lõi mô hình OSI cho đến các công cụ thực chiến đỉnh cao như Wireshark, Tường lửa, Cân bằng tải và Suricata, tôi hy vọng Series “Giải phẫu Mạng” đã trang bị cho các bạn một nền tảng kiến thức Network cực kỳ vững chắc để vững bước trên con đường Cyber Security chuyên nghiệp.
Đừng quên tiếp tục đón đọc các Series nâng cao tiếp theo về Truy vết Mã độc (Malware Hunting) và Điều tra Pháp y Số (Digital Forensics) trên blog nhé! Hẹn gặp lại các bạn ở các bài viết sau!