BAN CƠ YẾU CHÍNH PHỦ
HỌC VIỆN KỸ THUẬT MẬT MÃ


BÁO CÁO BÀI TẬP LỚN
MƠN PHÂN TÍCH THIẾT KẾ AN TỒN MẠNG MÁY TÍNH
ĐỀ TÀI: XÂY DỰNG CHÍNH SÁCH AN TỒN CHO MÁY
CHỦ MAIL CHẠY TRÊN WINDOWS SERVER
Sinh viên thực hiện: Lê Xuân Hải - AT140415
Đinh Văn Giang - AT140118
Cao Xuân Hiệp - AT140810
Hà Văn Giỏi - AT140120
Giảng viên hướng dẫn: Vũ Thị Vân
Khoa An tồn thơng tin – Học viện kỹ thuật mật mã

Hà Nội ngày 15 tháng 6 năm 2021


MỤC LỤC
CHƯƠNG 1: TỔNG QUAN MAIL SERVER......................................................4
I. Khái niệm về mail server.................................................................................4
II. Nguyên lý hoạt động........................................................................................4
1. Giao thức hoạt động......................................................................................4
2. Các thành phần bên trong MAIL Server....................................................5
CHƯƠNG 2: KHẢO SÁT HỆ THỐNG MẠNG HỌC VIỆN, PHÂN TÍCH HỆ
THỐNG....................................................................................................................8
I. Khảo sát và hệ thống........................................................................................8
II. Phân tích hệ thống...........................................................................................8
1. Xác định tài nguyên hệ thống.......................................................................8
2. Xác định rủi ro cho mail server trong DMZ zone......................................8
3. Xác định yêu cầu...........................................................................................9

CHƯƠNG 3: XÂY DỰNG CÁC CHÍNH SÁCH AN TỒN CHO MÁY CHỦ
MAIL......................................................................................................................10
I. Khái niệm và cấu trúc của chính sách an tồn............................................10
1. Chính sách là gì...........................................................................................10
2. Cấu trúc chính sách an tồn.......................................................................10
II. Xây dựng chính sách an tồn cho máy chủ mail........................................11
1. Chính sách bảo vệ vật lý.............................................................................11
2. Chính sách giới hạn địa chỉ và kiểm sốt truy cập...................................12
3. Chính sách xác thực....................................................................................12
4. Chính sách đảm bảo an tồn dịch vụ........................................................12
5. Chính sách quy định về trách nhiệm.........................................................12
6. Chính sách backup dự phịng.....................................................................13
7. Chính sách sử dụng mật khẩu mạnh.........................................................13
8. Chính sách sử dụng các giao thức gửi mail an toàn......................................15
CHƯƠNG 4: DEMO MỘT SỐ CHÍNH SÁCH..................................................16
I. Tổng quan về bài lab......................................................................................16


1. Mơ hình bài lab............................................................................................16
2. Phần mềm u cầu......................................................................................16
3. u cầu bài lab............................................................................................17
II. Cài đặt phần mềm.........................................................................................17
1. Cài đặt Microsoft Exchange server 2007..................................................17
2. Cấu hình cơ bản tưởng lửa Fortigate........................................................25
3. Tải và cấu hình Outlook.............................................................................29
III. Thực hiện các yêu cầu bài lab.....................................................................30
1. Chính sách giới hạn địa chỉ và kiểm sốt truy cập...................................30
2. Chính sách đảm bảo an tồn dịch vụ........................................................34



CHƯƠNG 1: TỔNG QUAN MAIL SERVER
I. Khái niệm về mail server
- Mail server là hệ thống máy chủ được cấu hình riêng theo tên miền của doanh
nghiệp dùng để gửi và nhận thư điện tử.
II. Nguyên lý hoạt động
1. Giao thức hoạt động
- Mail server hoạt động dựa trên 3 giao thức chính POP3, IMAP, SMTP.

- SMTP (Simple Mail Transfer Protocol): Là giao thức dùng để gửi mail hoạt
động trên port TCP 25, 587, 465.
- IMAP (Internet Message Access Protocol): Là giao thức để truy xuất đến máy
chủ mail, đọc mail từ xa. Giao thức hoạt động trên port 143.
- POP (Post Office Protocol): Là giao thức để lấy email từ mail server. Giao thức
hoạt động trên port TCP 110.


2. Các thành phần bên trong MAIL Server

- Trong một hệ thống mail server sẽ có 2 server nhỏ là:
+ Outgoing mail server phụ trách việc chuyển tiếp email đến các mail server khác
nhau trên internet.
+ Incoming mail server phụ trách việc lưu trữ email nhận được từ Outgoing mail
server. Người dùng có thể truy cập vào Incoming mail server thông qua POP3 hoặc
IMAP để xem email.


 Thơng thường với các hệ thống nhỏ thì nó sẽ tích hợp hai loại server này vào
một mail server duy nhất.
- Các thành phần trong Mail server:
+ MUA (Mail User Agent): Là ứng dụng phía client cho phép gửi và nhận mail

( Ex: Outlook, Thunderbird).
+ MSA (Mail Submission Agent): Kiểm tra xem email được gửi từ client có lỗi gì
khơng. Nếu khơng có lỗi nó sẽ chuyển tiếp email ( bằng smtp) cho MTA.
+ MTA (Mail Transfer Agent): Có nhiệm vụ đi hỏi bản ghi MX để chuyển tiếp
email (bằng smtp) đến cho MTA khác.
+ MDA (Mail Delivery Agent): Nhận mail từ MTA và phân phối nó vào từng
mailbox phù hợp.
+ Mailbox: Nơi lưu trữ mail. Mỗi user account sẽ có một mailbox tương ứng.
3. Nguyên tắc hoạt động

- User1 gửi mail cho user 2: Mail được gửi đến Outgoing server bằng giao thức
smtp.
- MSA sẽ kiểm tra lỗi trong email. Nếu khơng có lỗi nó sẽ chuyển email xuông cho
MTA bằng giao thức smtp.
- MTA sẽ query DNS ( MX record ) sau đó chuyển tiếp email sang một server khác
( trong trường hợp này là Incoming mail server ) bằng giao thức smtp.


- MTA ở phía incoming server nhận được email sẽ chuyển tiếp email cho MDA
bằng giao thức smtp.
- MDA có nhiệm vụ phân phối các email vào từng mailbox phù hợp. VD: user1 gửi
mail cho user2 thì MDA sẽ phân phối mail vừa nhận được vào mailbox của user2.
Có bao nhiêu user thì có bấy nhiêu mailbox.
- IMAP/POP server: Có vai trò giúp các end user truy nhập mailbox để đọc hoặc
lấy mail về máy. VD: user2 sẽ truy nhập vào mailbox của nó thơng qua pop3 để lấy
các email được gửi từ user1 về máy.
- Trong mail server Exchange 2007 cũng có 5 role tương ứng với các component
cơ bản của một mail server thông thường.
Exchange Roles
Edge Transport

Hub Transport
Mailbox
Client access
Unified Messaging

Component of normal mail server
MTA
Mailbox
POP3/IMAP server
None


CHƯƠNG 2: KHẢO SÁT HỆ THỐNG MẠNG HỌC VIỆN, PHÂN TÍCH HỆ
THỐNG
I. Khảo sát và hệ thống

- Mơ hình gồm có:
+ Khu vực mạng LAN có subnet: 172.16.1.0/24
+ Khu vực mạng DMZ có subnet: 192.168.152.0/24 đặt máy chủ mail server
exchange có IP: 192.168.152.11
+ Tường lửa Fortigate firewall 100E hiện đang sử dụng 2 port với địa chỉ IP
lần lượt: 192.168.152.10 kết nối DMZ zone, 172.16.1.1 kết nối LAN zone.
II. Phân tích hệ thống
1. Xác định tài nguyên hệ thống
- Các máy chủ, máy trạm.
- Các thiết bị phần cứng: tường lửa Fortigate 100E, switch catalyst 2960,…
- Các dữ liệu, phần mềm của hệ thống.
2. Xác định rủi ro cho mail server trong DMZ zone
- Vùng DMZ nơi đặt máy chủ mail là vùng nhạy cảm dễ bị tấn công.



- Tấn công vào người dùng trong mạng (VD: brute force password account).
- Tấn công bằng cách gửi các mail lừa đảo có chứa mã độc.
- Máy chủ mail vẫn chưa có hệ thống dự phịng (HA).
- Tấn cơng từ chối dịch vụ vào máy chủ mail.
- Xâm nhập vật lý đến các thiết bị của hệ thống.
- Thiên tai, lũ lụt.
- …..
3. Xác định yêu cầu
- Cung cấp các dịch vụ gửi và nhận mail cho giảng viên, nhân viên của học viện
liên tục.
- Tiến hành phân loại, gán nhãn và sử dụng các thuật tốn mã hóa để bảo mật các
file, mail được trao đổi trong và ngoài hệ thống.
- Sử dụng firewall để thực thi các chính sách đảm bảo an toàn chung cho hệ thống
cũng như mail server.
- Ban hành các chính sách truy cập, chính sách quy định trách nhiệm, tới các nhân
viên, sinh viên, quản trị trong hệ thống học viện.
- Xây dựng các chính sách đảm bảo an tồn cho máy chủ mail.
- Đưa ra một số nguyên tắc nhằm chống lại các tấn công Spam Mail.


CHƯƠNG 3: XÂY DỰNG CÁC CHÍNH SÁCH AN TỒN CHO MÁY CHỦ
MAIL
I. Khái niệm và cấu trúc của chính sách an tồn
1. Chính sách là gì
- Chính sách an tồn trong môi trường thực là tập hợp các luật, quy định và thực
tiễn điều chỉnh việc tổ chức quản lý, bảo vệ và phân phối tài nguyên ra sao để đạt
được những mục tiêu an tồn của mình.
2. Cấu trúc chính sách an tồn
Mục đích:

Đưa ra các quy định phù hợp với thực tiễn của hệ thống giúp ích cho việc tổ chức,
quản lý nhân sự hay tài nguyên trong hệ thống, giúp cho hệ thống được an tồn.
Phạm vi:
Chính sách an tồn có thể áp dụng cho từng đối tượng hay cho tất cả cán bộ công
nhân viên trong học viện KTMM, hoặc những người:
 Chịu trách nhiệm gửi dữ liệu nhạy cảm hay cá nhân ra mơi trường
ngồi.
 Nhận dữ liệu nhạy cảm hay cá nhân từ môi trường bên ngồi vào
trong hệ thống.
Nội dung chính sách:
Chính sách an tồn trên có nội dung là gì? Trong nội dung của chính sách chỉ rõ
những gì cần làm, khơng cần làm để đảm bảo an toàn cho hệ thống máy chủ mail.
Ngồi ra, nội dung của chính sách cịn là tổng quan về quy định, điều luật phải
thực hiện trong hệ thống.
Các chính sách an tồn có thể là:
- Chính sách truy cập.
- Chính sách quy định trách nhiệm.
- Chính sách xác thực, bảo mật,.....
Trách nhiệm của đối tượng


Những đối tượng được áp dụng vào chính sách thì phải có trách nhiệm tuân thủ,
thực hiện những quy định, điều luật trong chính sách, khơng vi phạm những gì mà
chính sách đề ra.
II. Xây dựng chính sách an tồn cho máy chủ mail
1. Chính sách bảo vệ vật lý
 Mục đích:
- Bảo vệ hệ thống khỏi những hiểm họa vật lý.
- Bảo vệ dữ liệu của bạn khỏi những kẻ xâm nhập
- Đảm bảo môi trường vận hành an toàn cho các thiết bị phần cứng

 Phạm vi: Áp dụng cho tồn hệ thống
 Nội dung:
 Chính sách sử dụng văn phòng nơi đặt máy chủ cùng các thiết bị:
- Văn phịng có hệ thống báo động.
- Sử dụng khóa cửa kết hợp kiểm tra đa nhân tố.
- Văn phịng có hệ thống chống cháy,hút ẩm, thơng gió,đường mạng chạy
ngầm dưới nền nhà, hệ thống cảnh báo cháy nổ.
 Chính sách quy định những nơi trong văn phịng chỉ dành cho những người
có thẩm quyền ra vào.
 Bản kiểm kê tài sản, bao gồm số seri sản phẩm và các mô tả vật lý.
 Phương án tiêu hủy giấy loại chứa thông tin nhạy cảm.
 Các phương án khẩn cấp :
- Người trực tiếp quản lý hệ thống phải được thơng báo khi phát hiện hệ thống
bị rị rỉ tin nhạy cảm hoặc ở không đúng chỗ.
- Cần liên hệ người quản lý trong trường hợp có cháy, ngập lụt hoặc các tai
họa thiên nhiên khác xảy ra
- Cách thức sửa chữa khẩn cấp một loại khóa
- Cách thức để có thể liên lạc với các cơng ty, tổ chức cung cấp dịch vụ như
điện, nước và Internet


 Cách khôi phục thông tin từ hệ thống lưu trữ ngoại tuyến.
2. Chính sách giới hạn địa chỉ và kiểm sốt truy cập
 Mục đích: quyết định máy tính có địa chỉ IP đó có được phép sử dụng dịch
vụ hay khơng, kiểm sốt các truy nhập từ bên ngoài vào hệ thống.
 Phạm vi:Cho toàn hệ thống.
 Nội dung:Thực hiện trên firewall.
Tường lửa Fortinet có thể giám sát luồng lưu lượng của các host và kiểm soát
lưu lượng thông qua các tập luật (rules) và cơ chế inspection. Dựa trên các tập
luật, nó có thể quyết định những host nào được phép hoặc không được phép sử

dụng dịch vụ mail, host nào chỉ được gửi mail, host nào chỉ được nhận mail.
3. Chính sách xác thực
 Mục đích: Xác thực người dùng khi truy cập hệ thống, đảm bảo an tồn cho
hệ thống khơng bị xâm nhập bất hợp pháp.
 Phạm vi: trên toàn hê thống
 Nội dung: Người dùng chỉ được phép đăng nhập vào hệ thống khi user và
password được xác thực thành cơng.
4. Chính sách đảm bảo an tồn dịch vụ
 Mục đích: Đảm bảo mail gửi và nhận trong hệ thống không chứa mã độc,
khơng bị spam mail.
 Phạm vi: trên tồn bộ hệ thống
 Nội dung: Sử dụng các giải pháp bảo mật của bên thứ 3 để chống các mail
rác, spam mail và mail chứa mã độc. VD: giải pháp chống spam mail của
công ty PAVIETNAM: EAP (Email AntiSpam Protection), giải pháp chống
mã độc cho mail server của Kaspersky: “Kaspersky security for Mail
Server”, kích hoạt tính năng diệt virus trên tưởng lửa fortigate, mua thiết bị
bảo mật mail chuyên dụng: Fortinet fortimail 200E, 400E.
5. Chính sách quy định về trách nhiệm
 Mục đích: Xác định rõ trách nhiệm của cá nhân khi vi phạm chính sách hệ
thống.
 Phạm vi: Tất cả các tài khoản trong hệ thống.


 Nội dung: Các tài khoản spam hệ thống sẽ bị khóa tài khoản vĩnh viễn. Cá
nhân nào cố ý muốn xâm nhập, hủy hoại, đánh cắp thông tin nhạy cảm hệ
thống sẽ bị truy tố pháp luật.
6. Chính sách backup dự phịng
 Mục đích: Đảm bảo hệ thống nói chung và dịch vụ mail nói riêng hoạt động
thơng suốt, khơng bị gián đoạn, đề phịng sự cố xảy ra.
 Phạm vi: Cho các thiết bị phần cứng và cả phần mềm trong hệ thống.

 Nội dung: Để đảm bảo dịch vụ mail hoạt động thơng suốt thì cần phải dự
phòng cả phần mềm (dịch vụ) và hạ tầng kết nối.
- Dự phòng phần cứng:
+ Sử dụng 2 máy chủ trở lên cho dịch vụ email thay vì 1 máy.
+ Mỗi máy chủ sẽ có tối thiểu 2 card mạng được cấu hình NIC
Teaming để đảm bảo dự phịng kết nối và cân bằng tải.
+ Sử dụng 2 thiết bị tưởng lửa Fortinet để cấu hình HA cluster, tối
thiểu hai switch catalyst cấu hình Stacking đảm bảo dự phịng kết nối.
+ Router tối thiểu 2 thiêt bị cấu hình VRRP dự phịng kết nối.
- Dự phịng dịch vụ:
+ Cấu hình DAG (Database Avaibility Group) cho mail Exchange
server nhằm đảm bảo dự phòng dịch vụ ( 1 server active và các server
passive sẽ đồng bộ database với nhau, khi active chết thì passive lên
thay ).
7. Chính sách sử dụng mật khẩu mạnh
Mục đích: Những kẽ hở từ Account có thể tạo cơ hội cho attacker:
 Password quá yếu (độ dài password quá ngắn, các kí tự đơn
giản, lấy ngày tháng năm sinh, tên những bộ phim, địa danh,
nhân vật nổi tiếng , đặt cho password).


 Dùng cùng password cho nhiều account. Password được dán
bừa bãi lên Monitor/Keyboard, hoặc lưu password vào một text
file không bảo vệ.
 Chia sẽ password hệ thống của mình cho bạn đồng nghiệp…
Phạm vi: Tài khoản của học viên, nhân viên trong học viện.
Nội dung: Thực hiện trên máy chủ mail.
Chính sách tạo password sao cho an tồn thực sư là một trong những yếu tố
chính để bảo vệ tài khoản. Chính sách này bao gồm các yếu tố chính như
sau:

 Thời gian tối đa sử dụng password (maximum password age):
Hạn sử dụng tối đa của password trước khi user phải thay đổi
password. Thay đổi password theo định kì sẽ giúp tăng cường
an toàn cho tài khoản
 Thời gian tối thiểu password phải được sử dụng trước khi có
thể thay đổi (minimum password age). Admin có thể thiết lập
thờigian này khoảng vài ngày, trước khi cho phép user thay đổi
password của họ.
 Thực thi password history: Số lần các password khác biệt nhau
phải sử dụng qua, trước khi quay lại dùng password cũ. Số
Password history càng cao thì độ an toàn càng lớn.
 Chiều dài password tối thiểu (minimum password length) cần
phải đặt. Càng dài càng an toàn
 Password phải đạt yêu cầu phức hợp: không chỉ về độ dài mà
cịn về độ phức hợp của các kí tự đặt password (ví dụ bạn có
thể thấy sự khác biệt giữa password và P@ssW0rd)
 Khi dùng password phức hợp cần quan tâm:
- Khơng sử dụng họ và tên
- Chứa ít nhất 6 kí tự
- Có thể đan xen chữ hoa,(A..Z) thường (a..z), và các kí tự
đặc biệt như: !@#$%^&*()


 Account lockout: Sẽ bị khóa tài khoản 600s nếu như sau 5 lần
log-on không thành công vào hệ thống. Mục đích của chính
sách này nhằm ngăn chặn các cuộc tấn cơng dạng brute force
vào account để dị password
8. Chính sách sử dụng các giao thức gửi mail an toàn
 Mục đích: Đảm bảo dữ liệu được truyền an tồn trên môi trường truyền, dù
tấn công man in the middle thì hacker cũng khơng đọc được dữ liệu

 Phạm vi: Trên toàn hệ thống mail server.
 Nội dung:
- Các giao thức POP3/IMAP và SMTP mặc định đều khơng có mã hóa dữ
liệu trên đường truyền. Vì thế chúng ta sẽ kết hợp các giao thức này với
SSL/TLS. Ta sẽ có giao thức nâng cấp để mã hóa nội dung mail được gửi
trên đường truyền là POP3S (port 995), IMAPS (port 993) và SMTPS (port
465).


CHƯƠNG 4: DEMO MỘT SỐ CHÍNH SÁCH
I. Tổng quan về bài lab
1. Mơ hình bài lab

2. Phần mềm u cầu
- Vmware Worktation 12 trở lên.
- Windows Server 2008 bản enterprise.
- Microsoft Outlook Exchange 2007 SP1
- Windows 7


- Microsoft Outlook 2007
- Fortigate Firewall VM 7.0
3. Yêu cầu bài lab
- Bài lab này sẽ demo hai chính sách: Chính sách giới hạn địa chỉ và kiểm sốt truy
cập, chính sách đảm bảo an tồn dịch vụ.
- Chính sách giới hạn địa chỉ và kiểm soát truy cập:
+ Yêu cầu 1: Cho phép tất cả các PC trong LAN gửi mail cho nhau.
+ Yêu cầu 2: Cấm PC1 gửi mail lên mail server, các PC còn lại trong LAN
vẫn gửi nhận mail cục bộ bình thường.
+ Yêu cầu 3: Cấm PC2 nhận mail từ mail server, các PC còn lại trong LAN

vẫn gửi nhận mail cục bộ bình thường.
+ Yêu cầu 4: Cho phép các máy tính bên trong mạng LAN gửi mail cho máy
tính bên ngồi mạng LAN, các máy tính bên ngồi mạng LAN chỉ được
phép nhận mail.
+ Yêu cầu 5: Cho phép tất cả các máy tính trong LAN và ngồi mạng LAN
gửi nhận mail của nhau.
- Chính sách đảm bảo an tồn dịch vụ:
+ PC bên ngồi mạng LAN sẽ gửi mail có đính kèm virus, bật chức năng
anti virus trên tường lửa Fortigate để block các mail chứa mã độc.
II. Cài đặt phần mềm
- Hệ điều hành tự cài.
1. Cài đặt Microsoft Exchange server 2007
- Yêu cầu: Máy đã cài dịch vụ active directory và promo thành DC (hvktmm.edu).
- Windows + R => cmd => gõ tuần tự các lệnh sau:
ServerManagerCmd -i RSAT-ADDS
ServerManagerCmd -i PowerShell
ServerManagerCmd -i Web-Server
ServerManagerCmd -i Web-ISAPI-Ext
ServerManagerCmd -i Web-Metabase


ServerManagerCmd -i Web-Lgcy-Mgmt-Console
ServerManagerCmd -i Web-Basic-Auth
ServerManagerCmd -i Web-Digest-Auth
ServerManagerCmd -i Web-Windows-Auth
ServerManagerCmd -i Web-Dyn-Compression
- Cài đặt Microsoft Exchange 2007 SP3:





- Tiếp theo ta tiến hành bật giao thức POP3 trên Exchange. Mặc định lúc cài đặt
xong thì nó sử dụng giao thức SMB để gửi và nhận mail. Nhưng SMB có một
nhược điểm là: chỉ các máy cũng join chung domain mới gửi mail qua lại được cho
nhau.


- Truy cập Exchange Management Shell

- Gõ các lệnh sau:
set-service msexchangePOP3 -StartupType automatic
start-service -Service msexchangepop3
- Vào Services để kiểm tra kết quả:


- Vào Exchange Management Console => Recipient Configuration để tạo
mailbox cho từng tài khoản user tương ứng:


+ Chọn user mailbox xong next chọn new user rồi next tiếp:


+ Xong nhấn next liên tục đến khi hoàn thành.
+ Tạo tiếp user2, user3 tương tự như hướng dẫn.
2. Cấu hình cơ bản tưởng lửa Fortigate
- Lúc mới bật tường lửa Fortigate phải đăng nhập bằng tài khoản mặc định:
+ Username: admin
+ Password: “ bỏ trống nhấn enter tiếp vì mặc định ban đầu password = empty “
+ Nhập password mới.
- Cấu hình cho phép đăng nhập và sử dụng firewall thông qua giao diện. Gõ tuần tự

các câu lệnh sau:
config system interface
edit port1
set allowaccess ping http https ssh fgfm
end
dianogse ip address list (Dùng IP hiện ra sau câu lệnh này để truy cập GUI)

- Truy cập và cấu hình cơ bản thông qua giao diện: