Ở bài học W01-L01, chúng ta đã phân tích cách một gói tin di chuyển qua các ranh giới tin cậy từ tầng liên kết dữ liệu lên tới tầng phiên mã hóa TLS 1.3, đồng thời nhận diện các rủi ro khi ranh giới mạng bị cấu hình sai. Tuy nhiên, mọi lý thuyết phân tích giao thức và kiểm thử xâm nhập chỉ được phép chuyển hóa thành hành động thực nghiệm khi người kỹ sư sở hữu một môi trường thực thi có ranh giới cô lập được chứng minh bằng thực nghiệm. Trong quy trình quản trị rủi ro của một Technical Lead, việc dựng phòng lab và thiết lập cơ chế hoàn nguyên trạng thái (Snapshot/Restore) không phải là công việc phụ trợ CNTT đơn thuần, mà là chốt chặn an toàn đầu tiên (Lab Gate 0): đảm bảo không một gói tin rà quét Nmap [9] hay payload thử nghiệm nào có thể thoát khỏi miền ảo hóa để chạm tới tài sản thật của tổ chức [12] .

Bên cạnh đó, trong quá trình thử nghiệm thuốc giải hoặc diễn tập xử lý sự cố rơi máy bay trong buồng mô phỏng, cấu trúc bên trong phòng thí nghiệm chắc chắn sẽ bị xáo trộn, nhiễm bẩn hoặc hư hỏng. Thay vì phải tốn hàng tuần lễ xây lại phòng thí nghiệm từ gạch đá ban đầu, người kỹ sư chỉ cần nhấn nút khôi phục mốc trạng thái chuẩn (Baseline Snapshot). Chỉ trong vài giây, mọi vết bẩn biến mất và toàn bộ hệ thống quay trở về trạng thái nguyên sơ 100% như lúc vừa nghiệm thu để sẵn sàng cho ca thử nghiệm tiếp theo.

Theo hướng dẫn bảo mật công nghệ ảo hóa toàn phần NIST SP 800-125 [1] và khuyến nghị kiến trúc bảo mật Hypervisor NIST SP 800-125A [2] , trình quản lý máy ảo (Hypervisor loại 1 như KVM/ESXi/Hyper-V hoặc loại 2 như VirtualBox/VMware Workstation) cung cấp khả năng kết nối mạng cho các máy ảo thông qua bộ chuyển mạch ảo trong nhân (Virtual Switch - vSwitch) kết hợp các giao diện mạng ảo (Virtual Network Interface Cards - vNICs). Cách thức bộ chuyển mạch ảo này liên kết (hoặc ngắt liên kết) với card mạng vật lý (Physical NIC - pNIC) của máy chủ Host quyết định trực tiếp tính chất của ranh giới tin cậy mạng lab [14] .

Để ngăn chặn rủi ro rò rỉ lưu lượng kiểm thử (Traffic Spillover), Technical Lead phải phân biệt chính xác cơ chế chuyển tiếp khung tin ở tầng 2 (Data Link) và gói tin ở tầng 3 (Network) của năm chế độ mạng ảo hóa tiêu chuẩn: 1. Bridged Networking (Mạng Cầu nối): Bộ chuyển mạch ảo gắn trực tiếp vào pNIC của máy chủ Host thông qua trình điều khiển lọc mạng (NetFilter/Bridge Driver). Máy ảo xuất hiện như một thiết bị vật lý độc lập ngay trên mạng LAN của doanh nghiệp, nhận IP trực tiếp từ DHCP sản xuất và có thể phát khung quảng bá ARP tới mọi máy chủ thật. Chế độ này bị nghiêm cấm tuyệt đối trong các bài lab kiểm thử xâm nhập. 2. NAT (Network Address Translation): Hypervisor tích hợp một bộ định tuyến và tường lửa NAT nội bộ dành riêng cho từng máy ảo. Máy ảo nằm trong dải IP riêng nhưng mọi gói tin khởi tạo từ máy ảo ra ngoài đều được Hypervisor dịch địa chỉ nguồn (Source NAT) thành địa chỉ IP thật của máy chủ Host để đi vào mạng công ty và Internet. Do đó, nếu chạy công cụ rà quét từ máy ảo ở chế độ NAT, máy ảo vẫn có khả năng chạm tới toàn bộ dải IP nội bộ của doanh nghiệp mà máy chủ Host có quyền truy cập. 3. NAT Network: Tương tự chế độ NAT nhưng cho phép nhiều máy ảo cùng chia sẻ một bộ chuyển mạch ảo trước khi đi qua công cụ dịch địa chỉ NAT ra ngoài mạng vật lý. Chế độ này vẫn tồn tại đường thoát (egress path) ra mạng thật của máy chủ Host nên không đáp ứng tiêu chuẩn cô lập cứng. 4. Internal Network (Mạng Nội bộ Thuần túy): Các máy ảo được nối vào một bộ chuyển mạch ảo hoàn toàn khép kín trong bộ nhớ Hypervisor. Ngay cả hệ điều hành máy chủ Host cũng không có giao diện mạng ảo nối vào vSwitch này. Đây là chế độ cô lập cao nhất giữa Guest và Host, nhưng gây bất tiện khi học viên cần chạy công cụ bắt gói tin từ giao diện của Host hoặc quản trị máy ảo qua SSH từ máy trạm. 5. Host-Only Networking (Mạng Chỉ Giao tiếp Nội bộ & Host): Hypervisor khởi tạo một bộ chuyển mạch ảo cô lập (ví dụ vboxnet0 hoặc vmnet1) và gắn một giao diện mạng ảo dạng Tap/Loopback lên hệ điều hành Host (thường mang địa chỉ .1 như 192.168.56.1/24), đồng thời không tạo bất kỳ cầu nối Layer 2 hay tuyến định tuyến NAT Layer 3 nào sang card mạng vật lý pNIC.

Trong thiết kế Safe Lab F01 của tuần 1, chế độ Host-Only trên dải mạng 192.168.56.0/24 (hoặc kết hợp Internal Network cho phân vùng backend) là kiến trúc chuẩn mực: nó cho phép 03 máy ảo giao tiếp trực tiếp với nhau qua vSwitch và cho phép trình phân tích gói tin Wireshark [8] đặt cảm biến trên giao diện vboxnet0, trong khi khóa chặt hoàn toàn đường ra Internet và mạng LAN công ty. Kiến trúc ngăn cách tầng 2/3 này được mô hình hóa chi tiết trong sơ đồ Figure 1 dưới đây:

Một môi trường thực hành kiểm thử xâm nhập chuẩn doanh nghiệp không bao giờ gom cả công cụ tấn công lẫn dịch vụ mục tiêu vào chung một hệ điều hành duy nhất (tránh hiện tượng tự kiểm thử qua giao diện loopback 127.0.0.1 làm sai lệch hoàn toàn hành vi của ngăn xếp mạng, tường lửa và MTU). Nghiên cứu về khung thiết kế thao trường mạng (Cyber Range Design Framework) của Katsantonis và cộng sự [12] cùng đánh giá ngăn xếp công nghệ của Lateș và Boja [13] chỉ rõ rằng một bài lab nền tảng cần phân tách tối thiểu ba vai trò máy ảo độc lập: 1. Máy kiểm thử (F01-tester — Security Analyst / Pentester VM): Chạy hệ điều hành Linux chuyên dụng (Kali Linux, Parrot Security hoặc Ubuntu LTS đã cài đặt bộ công cụ kiểm thử được phê duyệt gồm Wireshark [8] , tshark, tcpdump, Nmap [9] , curl, openssl). Máy đóng vai trò điểm khởi phát lưu lượng kiểm thử tại địa chỉ 192.168.56.10/24. 2. Máy chủ mục tiêu Linux (F01-linux-srv — Target Application & Infrastructure Server VM): Chạy Ubuntu Server hoặc Debian tối giản tại địa chỉ 192.168.56.20/24 (có thể kiêm nhiệm dịch vụ DNS nội bộ tại .2 hoặc alias IP), cung cấp dịch vụ Web/TLS 1.3 (nginx/apache2), SSH và cơ sở dữ liệu giả lập để quan sát luồng Client → Proxy → App → DB. 3. Máy trạm / Máy chủ Windows mục tiêu (F01-win-trial — Windows Evaluation Target VM): Chạy phiên bản dùng thử hợp lệ của Windows 10/11 Enterprise Evaluation hoặc Windows Server 2022 Evaluation [10] tại địa chỉ 192.168.56.30/24. Máy này đóng vai trò môi trường thực hành rà soát dịch vụ Windows (Windows Services), tài khoản/nhóm cục bộ (Local Users/Groups), quyền truy cập tệp tin (NTFS ACL) và nhật ký sự kiện (Windows Event Logs).

Khi vận hành đồng thời nhiều máy ảo trên một máy trạm cá nhân hoặc máy chủ phòng lab, sự cố phổ biến nhất làm gián đoạn quá trình học tập là hiện tượng quá tải bộ nhớ dẫn đến tráo đổi trang đĩa (Host Memory Thrashing / Swapping) khiến các gói tin mạng bị rớt (packet drop) và làm sai lệch kết quả phân tích thời gian đáp ứng. Để quy hoạch chính xác số lượng máy ảo chạy đồng thời, Technical Lead áp dụng bất đẳng thức cân bằng ngân sách bộ nhớ RAM trên máy chủ vật lý:

Khi áp dụng công thức Eq. (1) vào thực tế triển khai Safe Lab F01 với $k = 3$ máy ảo chạy đồng thời: - Bộ nhớ tối thiểu giữ lại cho hệ điều hành Host và trình phân tích Wireshark: $R_{\text{OS\_base}} = 4,096\text{ MB}$ (4 GB). - Phân bổ cho F01-tester (Linux GUI nhẹ hoặc headless): $R_{\text{VM}, 1} = 2,048\text{ MB}$, chi phí quản lý Hypervisor $R_{\text{vmm\_overhead}, 1} \approx 256\text{ MB}$. - Phân bổ cho F01-linux-srv (Linux Server headless không giao diện đồ họa): $R_{\text{VM}, 2} = 1,024\text{ MB}$, chi phí quản lý $R_{\text{vmm\_overhead}, 2} \approx 192\text{ MB}$. - Phân bổ cho F01-win-trial (Windows Evaluation): $R_{\text{VM}, 3} = 4,096\text{ MB}$, chi phí quản lý $R_{\text{vmm\_overhead}, 3} \approx 384\text{ MB}$. - Biên độ an toàn chống tràn bộ nhớ (15%): $R_{\text{safety\_margin}} \approx 2,000\text{ MB}$. Tổng cộng vế phải của công thức Eq. (1) đạt $4,096 + (2,304 + 1,216 + 4,480) + 2,000 = 14,096\text{ MB}$ ($\approx 13.8\text{ GB}$). Như vậy, một máy trạm có 16 GB RAM hoàn toàn vận hành mượt mà cấu hình 3 VM cơ sở của Tuần 1 nếu giữ F01-linux-srv ở chế độ dòng lệnh (headless); trong khi để mở rộng lên mô hình nhiều máy chủ Windows/Active Directory ở các tuần sau, cấu hình khuyến nghị là 24–32 GB RAM, CPU 6–8 luồng xử lý (threads) và 200 GB SSD trống.

Bên cạnh quy hoạch phần cứng, chuẩn kiểm soát chất lượng của chương trình yêu cầu thực thi nghiêm ngặt hai nguyên tắc quản trị: - *Vệ sinh định danh và dữ liệu (Credential & Data Hygiene): Toàn bộ tài khoản trong 3 máy ảo phải là tài khoản giả lập (synthetic accounts*, ví dụ lab_analyst, svc_webapp, win_auditor), mật khẩu chỉ lưu trong trình quản lý bí mật cục bộ của lab và tuyệt đối không ghi mật khẩu dạng rõ vào báo cáo kỹ thuật. Nghiêm cấm tái sử dụng mật khẩu, chứng chỉ số, khóa SSH hoặc dữ liệu thật của công ty trong máy ảo. - *Danh mục công cụ và kiểm chứng phiên bản (Inventory Manifest):* Mọi tệp ảnh ISO/OVA và công cụ cài đặt trong lab phải được ghi nhận vào bảng kê khai theo cấu trúc 8 cột chuẩn hóa: tool_name | version | download_source | checksum | lab_id | license | last_validated | owner (bao gồm hạn dùng giấy phép 90/180 ngày của các bản Windows Evaluation qua lệnh slmgr.vbs /dlv).

Sau khi hoàn tất cài đặt hệ điều hành, cấu hình IP tĩnh và kiểm chứng sự cô lập cho cả 3 máy ảo, bước bắt buộc trước khi thực hiện bất kỳ thao tác kiểm thử nào là thiết lập mốc khôi phục cơ sở F01-start. Để vận hành an toàn và tránh mất mát dữ liệu lab, Technical Lead cần nắm vững cơ chế vật lý bên dưới tính năng Snapshot của Hypervisor [11] [15] .

Khi một máy ảo được khởi tạo ban đầu, toàn bộ hệ thống tệp của nó nằm trên một tệp đĩa ảo cơ sở (Base Virtual Disk $D_0$, có định dạng .vdi, .vmdk hoặc .qcow2). Tại thời điểm người quản trị ra lệnh chụp một Snapshot mới (ví dụ F01-start), Hypervisor thực hiện thuật toán Copy-on-Write (CoW) (hoặc Redirect-on-Write): 1. Tệp đĩa gốc $D_0$ lập tức bị chuyển sang chế độ Chỉ đọc (Read-Only / Frozen Parent). Không một thao tác ghi mới nào của hệ điều hành Guest được phép sửa đổi trực tiếp các khối dữ liệu (blocks/sectors) bên trong $D_0$. 2. Hypervisor khởi tạo một tệp đĩa con mới gọi là Đĩa Vi sai (Differencing Disk / Delta Image $\Delta_1$) liên kết ngược về mã định danh duy nhất (UUID) của đĩa cha $D_0$. 3. Mọi thao tác đọc dữ liệu đối với các vùng chưa bị thay đổi sẽ được tra cứu qua bảng phân bổ khối (Block Allocation Table - BAT) để đọc xuyên qua $\Delta_1$ về thẳng $D_0$. Ngược lại, mọi thao tác ghi mới hoặc xóa tệp trong quá trình kiểm thử xâm nhập chỉ được ghi bổ sung vào $\Delta_1$. 4. Nếu người dùng chụp một Live Snapshot khi máy ảo đang chạy, ngoài tệp đĩa vi sai $\Delta_1$, Hypervisor còn trích xuất toàn bộ nội dung bộ nhớ RAM hiện hành, thanh ghi CPU và trạng thái thiết bị PCI/vNIC ra một tệp trạng thái bộ nhớ riêng biệt ($\Sigma_1$, thường có đuôi .sav hoặc .vmsn) có dung lượng tương đương kích thước RAM hoạt động của máy ảo.

Tổng dung lượng lưu trữ vật lý $S_{\text{total}}$ tiêu thụ trên ổ cứng SSD của máy chủ Host khi một máy ảo trải qua chuỗi $m$ tầng Snapshot nối tiếp nhau được xác định bởi phương trình:

Từ phương trình Eq. (2) , có thể thấy rõ hai hệ quả kỹ thuật quan trọng: - Thứ nhất, nếu chụp Live Snapshot cho 3 máy ảo có tổng RAM là $7\text{ GB}$, riêng thành phần $\sum S_{\text{mem}}(\Sigma_j)$ đã tiêu tốn thêm tới $7\text{ GB}$ dung lượng SSD cho mỗi mốc chụp. Ngược lại, nếu tắt máy ảo hoàn toàn (Clean Poweroff) trước khi chụp Offline Snapshot, thành phần $S_{\text{mem}}(\Sigma_j) = 0$, giúp tiết kiệm hàng chục GB ổ cứng và đảm bảo hệ thống tệp cùng cơ sở dữ liệu đã được đồng bộ (flush) sạch sẽ xuống đĩa, không còn giữ lại các phiên kết nối TCP dở dang hay khóa mật mã tạm thời trong RAM. - Thứ hai, khi số tầng Snapshot $m$ tăng quá lớn ($m > 5$), mỗi thao tác đọc đĩa của máy ảo phải tra cứu chuỗi bảng BAT qua nhiều tệp $\Delta_m \rightarrow \Delta_{m-1} \rightarrow \dots \rightarrow D_0$, gây suy giảm nghiêm trọng hiệu năng I/O. Quy trình phân nhánh cây trạng thái và dịch chuyển con trỏ khôi phục được thể hiện trực quan tại sơ đồ Figure 2 :

Như minh họa trong sơ đồ Figure 2 , thao tác restore F01-start thực chất chỉ là việc hủy bỏ tệp vi sai $\Delta_1$ hiện hành và khởi tạo một tệp vi sai rỗng mới trỏ thẳng vào mốc F01-start, do đó quá trình hoàn nguyên hoàn tất gần như tức thì (1–2 giây) bất chấp đĩa gốc $D_0$ nặng hàng chục GB [11] .

Trong ví dụ có lời giải này, chúng ta thực hiện kiểm toán đầy đủ một hệ thống Safe Lab F01 vừa được dựng gồm 03 máy ảo (F01-tester, F01-linux-srv, F01-win-trial) trên dải mạng Host-Only 192.168.56.0/24. Mục tiêu là: (1) Chứng minh 3 máy ảo giao tiếp thông suốt trong nội bộ lab nhưng bị chặn đứng hoàn toàn khi thử kết nối ra mạng ngoài; (2) Chứng minh cơ chế khôi phục snapshot F01-start xóa sạch 100% các thay đổi phát sinh trong phiên thử nghiệm.

Toàn bộ thông số đo đạc và kết quả kiểm chứng trước/sau khi hoàn nguyên của cả 03 máy ảo được tổng hợp chi tiết tại bảng đối chiếu Table 1 dưới đây:

Qua dữ liệu thực nghiệm tại Table 1 , người phụ trách kỹ thuật có đầy đủ bằng chứng định lượng để ký xác nhận vượt qua chốt kiểm soát Lab Gate 0: môi trường hoàn toàn khép kín về mặt định tuyến và có khả năng tái lập trạng thái tiền kiểm thử một cách tất định (deterministic reproducibility) [18] .

Tình huống thực tế: Trước khi phê duyệt cho một kỹ sư mới trong nhóm chạy bài thực hành rà quét, bạn kiểm tra cấu hình máy ảo F01-linux-srv và phát hiện kỹ sư đó đã vô tình gắn Card mạng số 1 (nic1) vào chế độ bridged (nối thẳng vào card Wi-Fi công ty) thay vì hostonly, đồng thời chưa chụp snapshot ngoại tuyến. Hãy điền các tham số còn khuyết ___ vào kịch bản kiểm toán và khắc phục dưới đây:

Để hỗ trợ Technical Lead đưa ra quyết định kiến trúc chuẩn xác khi thiết lập môi trường thực hành cho đội ngũ, bảng tổng hợp tại Table 2 đối chiếu chi tiết 5 chế độ mạng ảo hóa theo khả năng giao tiếp và mức độ an toàn cách ly:

Dựa trên bảng phân tích Table 2 , quy tắc thiết kế bắt buộc cho Safe Lab F01 là chỉ sử dụng Host-Only hoặc Internal Network. Song song với thiết kế mạng, việc lựa chọn cơ chế bảo toàn trạng thái giữa Snapshot, Full Clone và OVA Backup được đối chiếu trực diện trong ma trận dưới đây:

Trước khi hoàn tất bài học, hãy thực hiện truy hồi kiến thức tích hợp từ bài W01-L01 và bài W01-L02: một ranh giới tin cậy (trust boundary) trên lý thuyết chỉ thực sự có hiệu lực khi được bảo chứng bằng cấu hình bộ chuyển mạch ảo cô lập và quy trình kiểm chứng bảng định tuyến thực nghiệm. Kết quả thực hành Safe Lab F01 và hồ sơ LAB-Architecture-v1.md được đánh giá theo thang đo hành vi tại Table 3 .

Hồ sơ bài nộp LAB-Architecture-v1.md và quá trình thực thi Safe Lab F01 của học viên được chấm điểm độc lập dựa trên thang đo hành vi 5 mức độ tại bảng Table 3 dưới đây:

Trước khi chuyển sang bài học tiếp theo, hãy tự đặt hai câu hỏi phản tư với tư cách một Technical Lead chịu trách nhiệm cao nhất về an toàn vận hành của nhóm kiểm thử: 1. Trong 10 bước thiết lập và kiểm chứng Safe Lab F01 vừa thực hiện, bước nào nếu bị một thành viên trong nhóm làm tắt hoặc bỏ qua sẽ dẫn đến nguy cơ phát tán gói tin kiểm thử ra mạng sản xuất của công ty cao nhất, và cơ chế kiểm tra tự động bằng kịch bản của bạn đã khóa chặt rủi ro đó như thế nào? 2. Nếu ngày mai ổ cứng SSD chứa tệp đĩa gốc của máy chủ mục tiêu bị lỗi vật lý ngay trước buổi kiểm tra nghiệm thu, quy trình kết hợp giữa Offline Snapshot F01-start và bản sao lưu độc lập OVA 3-2-1 của bạn mất chính xác bao nhiêu phút để khôi phục lại toàn bộ phòng lab với mã băm không đổi?