Tweet
LỘ TRÌNH HỌC "AN TOÀN THÔNG TIN" CHO NGƯỜI MỚI BẮT ĐẦU: NÊN HỌC GÌ TRƯỚC, GÌ SAU?
Nhiều bạn khi mới tìm hiểu An toàn thông tin (ATTT) thường học lan man: hôm nay xem video về hacking, mai lại tìm hiểu về mã hóa, không theo trình tự nào cả.
Hệ quả là biết nhiều thuật ngữ nhưng không ghép được thành một bức tranh tổng thể.
1.NỀN TẢNG TƯ DUY BẢO MẬT VÀ HẠ TẦNG MẠNG:
Điểm khởi đầu của mọi kiến thức ATTT là mô hình CIA Triad: Confidentiality (bảo mật), Integrity (toàn vẹn), Availability (sẵn sàng).
Ví dụ, tấn công DDoS làm sập website chính là vi phạm tính Availability, còn việc dữ liệu bị chỉnh sửa trái phép là vi phạm Integrity. Sau đó là mô hình OSI, TCP/IP và các giao thức HTTP, HTTPS, DNS, FTP, vì phần lớn các cuộc tấn công đều khai thác trên nền các giao thức này.
Giai đoạn này cũng bao gồm bảo mật hệ điều hành Linux, Windows, phân quyền người dùng và các lỗi cấu hình sai (Misconfiguration), một trong những nguyên nhân phổ biến nhất gây rò rỉ dữ liệu trên thực tế.
Công cụ thực hành chính: Wireshark, Nmap, netcat.
2.MẬT MÃ HỌC VÀ BẢO MẬT ỨNG DỤNG WEB:
Giai đoạn này đi vào mã hóa đối xứng, bất đối xứng (AES, RSA), chữ ký số, SSL/TLS và các thuật toán băm MD5, SHA, những kỹ thuật đứng sau mọi kết nối HTTPS hằng ngày.
Tiếp theo là danh sách OWASP Top 10 với các lỗ hổng web phổ biến: SQL Injection, Cross-Site Scripting, Cross-Site Request Forgery, Insecure Direct Object References.
Ví dụ, SQL Injection là kỹ thuật chèn câu lệnh giả vào ô nhập liệu để đánh lừa hệ thống thực thi như một truy vấn cơ sở dữ liệu hợp lệ. Thực hành với Burp Suite, sqlmap, OWASP ZAP.
3.KỸ THUẬT TẤN CÔNG, PHÒNG THỦ VÀ KIỂM TRA BẢO MẬT:
Ở giai đoạn này, anh em tiếp cận cả góc nhìn tấn công lẫn phòng thủ. Về tấn công: Social Engineering (Phishing, Pretexting) và các kỹ thuật bẻ khóa mật khẩu như Brute Force, Dictionary Attack, thực hành với Metasploit, John the Ripper.
Về phòng thủ: quy trình quét lỗ hổng với Nessus, OpenVAS, và quy trình Penetration Testing chuẩn từ khảo sát đến báo cáo khắc phục.
Ngoài ra là quy trình Phản ứng sự cố (Incident Response) theo mô hình Detect - Respond - Recover, cùng kỹ năng phân tích log bằng Splunk, ELK Stack để phát hiện dấu hiệu bất thường.
4.BẢO MẬT ĐÁM MÂY, IOT VÀ THỰC CHIẾN QUA CTF:
Giai đoạn cuối mở rộng sang bảo mật đám mây (AWS, Azure), các lỗ hổng đặc trưng của thiết bị IoT như thiếu mã hóa hoặc dùng giao thức không an toàn, cùng kỹ thuật triển khai Firewall, IDS/IPS.
Thực hành tổng hợp đưa toàn bộ kiến thức vào môi trường CTF (Capture The Flag) trên TryHackMe và HackTheBox, với các thử thách về Network, Web, Cryptography.
Đi theo đúng trình tự này, kiến thức sẽ được xây dựng có hệ thống thay vì rời rạc, giúp anh em vừa hiểu bản chất kỹ thuật vừa có khả năng ứng dụng thực tế ngay từ những buổi học đầu tiên.
Lớp sắp khai giảng, anh em quan tâm nên đăng ký sớm để giữ chỗ.
Liên hệ đăng ký và tư vấn lộ trình học:
Hotline / Zalo: 076 5944 386 (Ms. Như Ngọc)
Email: nhungoc@vnpro.org
Nhiều bạn khi mới tìm hiểu An toàn thông tin (ATTT) thường học lan man: hôm nay xem video về hacking, mai lại tìm hiểu về mã hóa, không theo trình tự nào cả.
Hệ quả là biết nhiều thuật ngữ nhưng không ghép được thành một bức tranh tổng thể.
1.NỀN TẢNG TƯ DUY BẢO MẬT VÀ HẠ TẦNG MẠNG:
Điểm khởi đầu của mọi kiến thức ATTT là mô hình CIA Triad: Confidentiality (bảo mật), Integrity (toàn vẹn), Availability (sẵn sàng).
Ví dụ, tấn công DDoS làm sập website chính là vi phạm tính Availability, còn việc dữ liệu bị chỉnh sửa trái phép là vi phạm Integrity. Sau đó là mô hình OSI, TCP/IP và các giao thức HTTP, HTTPS, DNS, FTP, vì phần lớn các cuộc tấn công đều khai thác trên nền các giao thức này.
Giai đoạn này cũng bao gồm bảo mật hệ điều hành Linux, Windows, phân quyền người dùng và các lỗi cấu hình sai (Misconfiguration), một trong những nguyên nhân phổ biến nhất gây rò rỉ dữ liệu trên thực tế.
Công cụ thực hành chính: Wireshark, Nmap, netcat.
2.MẬT MÃ HỌC VÀ BẢO MẬT ỨNG DỤNG WEB:
Giai đoạn này đi vào mã hóa đối xứng, bất đối xứng (AES, RSA), chữ ký số, SSL/TLS và các thuật toán băm MD5, SHA, những kỹ thuật đứng sau mọi kết nối HTTPS hằng ngày.
Tiếp theo là danh sách OWASP Top 10 với các lỗ hổng web phổ biến: SQL Injection, Cross-Site Scripting, Cross-Site Request Forgery, Insecure Direct Object References.
Ví dụ, SQL Injection là kỹ thuật chèn câu lệnh giả vào ô nhập liệu để đánh lừa hệ thống thực thi như một truy vấn cơ sở dữ liệu hợp lệ. Thực hành với Burp Suite, sqlmap, OWASP ZAP.
3.KỸ THUẬT TẤN CÔNG, PHÒNG THỦ VÀ KIỂM TRA BẢO MẬT:
Ở giai đoạn này, anh em tiếp cận cả góc nhìn tấn công lẫn phòng thủ. Về tấn công: Social Engineering (Phishing, Pretexting) và các kỹ thuật bẻ khóa mật khẩu như Brute Force, Dictionary Attack, thực hành với Metasploit, John the Ripper.
Về phòng thủ: quy trình quét lỗ hổng với Nessus, OpenVAS, và quy trình Penetration Testing chuẩn từ khảo sát đến báo cáo khắc phục.
Ngoài ra là quy trình Phản ứng sự cố (Incident Response) theo mô hình Detect - Respond - Recover, cùng kỹ năng phân tích log bằng Splunk, ELK Stack để phát hiện dấu hiệu bất thường.
4.BẢO MẬT ĐÁM MÂY, IOT VÀ THỰC CHIẾN QUA CTF:
Giai đoạn cuối mở rộng sang bảo mật đám mây (AWS, Azure), các lỗ hổng đặc trưng của thiết bị IoT như thiếu mã hóa hoặc dùng giao thức không an toàn, cùng kỹ thuật triển khai Firewall, IDS/IPS.
Thực hành tổng hợp đưa toàn bộ kiến thức vào môi trường CTF (Capture The Flag) trên TryHackMe và HackTheBox, với các thử thách về Network, Web, Cryptography.
Đi theo đúng trình tự này, kiến thức sẽ được xây dựng có hệ thống thay vì rời rạc, giúp anh em vừa hiểu bản chất kỹ thuật vừa có khả năng ứng dụng thực tế ngay từ những buổi học đầu tiên.
Lớp sắp khai giảng, anh em quan tâm nên đăng ký sớm để giữ chỗ.
Liên hệ đăng ký và tư vấn lộ trình học:Hotline / Zalo: 076 5944 386 (Ms. Như Ngọc)
Email: nhungoc@vnpro.org
Attached Files