Tổng quan bộ giao thức TCP/IP & An ninh mạng
Mô hình TCP/IP là nền tảng của Internet. Hiểu sâu các giao thức cốt lõi (IP, TCP, UDP, ICMP) là bắt buộc cho an ninh mạng vì:
- Mọi tấn công, giám sát, kiểm soát, phân tích đều diễn ra trên các giao thức này.
- Firewall, IDS/IPS, WAF, DDoS mitigation, SIEM, NDR – tất cả đều kiểm tra/phân tích header & payload của các gói tin này.
- Thiết kế kiến trúc an toàn (segmentation, zero trust, encryption) phụ thuộc vào hiểu biết giao thức.
- Troubleshooting, forensics, threat hunting cần đọc hiểu packet capture (PCAP).
IP (Internet Protocol) – Lớp Network (Layer 3)
Vai trò bảo mật
- Addressing & Routing: Src/Dst IP – cơ sở của ACL, firewall rule, geo-blocking, threat intel (malicious IP reputation).
- Fragmentation: Tấn công teardrop, overlapping fragments, evasion IDS. Cần reassembly đúng cách.
- IP Options / Extension Headers (IPv6): Source Routing (tấn công), Router Alert, Hop-by-Hop – thường block/drop.
- IPsec (AH/ESP): Mã hóa & xác thực tại layer 3 – VPN site-to-site, host-to-host.
- IPv6 Security: NDP (Neighbor Discovery) spoofing, RA guard, DHCPv6 guard, SEND (CGA).
TCP (Transmission Control Protocol) – Layer 4, Connection-oriented
Vai trò bảo mật
- 3-Way Handshake (SYN, SYN-ACK, ACK): Cơ sở của SYN Flood (DoS), SYN Cookie defense, TCP state table exhaustion.
- Stateful Inspection: Firewall theo dõi trạng thái (SYN_SENT, ESTABLISHED, FIN_WAIT...) để cho phép traffic hợp lệ, chặn gói tin lạ.
- Sequence/ACK Numbers: TCP Session Hijacking (predict ISN), TCP Reset Attack (RST injection), Data Injection.
- Flags (SYN, ACK, FIN, RST, PSH, URG, ECE, CWR, NS): Xmas/Null/FIN scan (recon), ECN (Explicit Congestion Notification) – side-channel.
- Window Scaling / SACK / Timestamps: Performance, nhưng timestamp có thể leak uptime (OS fingerprinting).
- TCP Fast Open (TFO): Giảm latency nhưng có rủi ro amplification/reflection.
UDP (User Datagram Protocol) – Layer 4, Connectionless
Vai trò bảo mật
- No Handshake / No State: Dễ spoofing source IP – nền tảng của UDP Reflection/Amplification DDoS (DNS, NTP, Memcached, SSDP, CLDAP, SNMP).
- Stateless Firewall Challenge: Cần connection tracking (conntrack) hoặc heuristic để cho phép return traffic.
- Protocol quan trọng chạy trên UDP: DNS (53), DHCP (67/68), NTP (123), Syslog (514), SNMP (161/162), IPsec (IKE 500, NAT-T 4500), WireGuard (51820), QUIC (443), DTLS, TFTP, RADIUS.
- QUIC (HTTP/3): UDP 443, mã hóa TLS 1.3 built-in – thách thức cho DPI/IDS (không thấy SNI, cert). Cần TLS fingerprinting (JA3/JA4).
ICMP (Internet Control Message Protocol) – Layer 3.5 (bên trong IP)
Vai trò bảo mật – Cây hai lưỡi
| Hữu ích (Cho phép/Rate-limit) | Nguy hiểm (Chặn/Giám sát) |
|---|---|
| Ping (Echo Request/Reply - Type 8/0): Kiểm tra reachability, MTU discovery (PMTUD). | Ping Sweep / Host Discovery: Recon tìm host sống. Rate-limit ICMP Echo Reply. |
| Destination Unreachable (Type 3): PMTUD (Code 4 – Fragmentation needed), Port/Protocol/Host/Net unreachable – debugging. | Path MTU Discovery Blackhole: Block all Type 3 → TCP connection treo (large packet). Phải cho phép Code 3/4. |
| Time Exceeded (Type 11): TTL=0 (traceroute), Fragment reassembly timeout. Cần cho traceroute. | Traceroute Mapping: Kẻ xấu map topology mạng. Rate-limit. |
| Parameter Problem (Type 12): Header error debugging. | ICMP Redirect (Type 5): MITM, routing manipulation. Block hoàn toàn. |
| Source Quench (Type 4 - deprecated): Congestion control cũ. | ICMP Tunneling / Covert Channel: Đưa data trong payload ICMP (PingTunnel, Hans, icmptx). DPI/NDR cần detect. |
| Router Advertisement/Solicitation (IPv6 NDP): Tự động cấu hình IPv6. | RA Spoofing / Rogue RA: MITM IPv6. Cần RA Guard trên switch. |
Tại sao ICMP quan trọng cho Troubleshooting & Security?
- Không có ICMP → Không ping, không traceroute, không PMTUD → TCP connection treo với packet lớn (VPN, IPsec, jumbo frame).
- Firewall block all ICMP là sai lầm phổ biến – phá vỡ PMTUD, path discovery.
- Best Practice: Rate-limit ICMP (ví dụ 10-50 pps), cho phép Type 0, 3 (code 3,4), 11, 12. Block Type 5 (Redirect), Type 8 (Echo Request) từ WAN nếu không cần, hoặc rate-limit chặt.
Mối quan hệ & Tương tác
- IP encapsulates TCP/UDP/ICMP. IP header + (TCP/UDP/ICMP header + Payload).
- ICMP messages báo lỗi cho IP/TCP/UDP (ví dụ: Destination Unreachable cho TCP SYN).
- TCP/UDP dùng Port (0-65535); ICMP dùng Type/Code. Không có port.
- Firewall/IDS rule: Match trên (Src/Dst IP, Protocol [TCP/UDP/ICMP], Src/Dst Port, TCP Flags, ICMP Type/Code, Payload pattern).
Ứng dụng thực tế trong Security Operations
| Hoạt động | Giao thức liên quan | Ví dụ công cụ/kỹ thuật |
|---|---|---|
| Network Discovery / Asset Inventory | ICMP Echo, TCP SYN, ARP, UDP probes | Nmap, Masscan, Zmap, ARP-scan |
| Firewall Policy Design | IP, TCP, UDP, ICMP (Type/Code) | ACL, Zone-based FW, Cloud SG/NACL |
| DDoS Detection & Mitigation | TCP SYN Flood, UDP Amplification, ICMP Flood | Flow analysis (NetFlow/sFlow), Scrubbing center, SYN Cookie |
| IDS/IPS Signature Writing | TCP flags, HTTP (TCP/80,443), DNS (UDP/53), TLS (TCP/443), ICMP tunneling | Suricata rules, Snort rules, Zeek scripts |
| Malware C2 Traffic Analysis | TCP (HTTP/HTTPS), UDP (DNS tunneling), ICMP tunneling, QUIC | Zeek, Suricata, RITA, Arkime, NetworkMiner |
| VPN / Zero Trust Connectivity | IPsec (ESP/AH - IP proto 50/51), WireGuard (UDP), TLS (TCP/443) | StrongSwan, WireGuard, Zscaler, Cloudflare Access |
| Packet Capture & Forensics | Full stack: Ethernet → IP → TCP/UDP/ICMP → App | Wireshark, tcpdump, TShark, Zeek, NetworkMiner |
| Micro-segmentation / Zero Trust | Identity + TCP/UDP Port + App (Layer 7) | Cilium (eBPF), Calico, Istio, Illumio, Cisco ACI |
Kết luận
TCP, UDP, IP, ICMP là "ngôn ngữ" của mạng. Chuyên gia an ninh mạng phải "nói" thành thạo ngôn ngữ này để: viết rule firewall chính xác, tune IDS/IPS giảm false positive, phân tích malware traffic, thiết kế kiến trúc zero trust, troubleshoot sự cố hiệu quả, và hiểu bản chất của mọi tấn công mạng. Bỏ qua hiểu biết này = làm bảo mật dựa trên may rủi.