Bảo Mật Mạng Chuyên Sâu: Bảo Vệ Hệ Thống DevOps Trước Mối Đe Dọa

Pipeline CI/CD của bạn có thể bị tấn công chỉ trong vài phút nếu mạng không được bảo vệ. Từ việc giả mạo lưu lượng đến làm tê liệt server, các mối đe dọa mạng là thực tế mà mọi DevOps engineer cần đối mặt. Trong bài thứ chín của series, chúng ta sẽ đi sâu vào bảo mật mạng trong DevOps, tập trung vào ARP spoofing, DDoS phòng chống, và VPN trong DevOps, cùng với các kỹ thuật thực hành để giữ hệ thống an toàn.

Tại Sao Bảo Mật Mạng Là Tâm Điểm trong DevOps?

DevOps đẩy nhanh tốc độ phát triển, nhưng cũng mở ra lỗ hổng nếu mạng không được bảo vệ:

• Pipeline: Registry bị tấn công, code bị đánh cắp.
• Microservices: Traffic nội bộ bị nghe lén.
• Cloud: Kết nối không mã hóa dẫn đến leak dữ liệu.

Ví dụ thực tế: Một team DevOps để port SSH (22) mở mà không giới hạn IP, bị brute force trong 24 giờ, làm tê liệt server production.

Hiểu và áp dụng bảo mật mạng là cách duy nhất để bảo vệ hệ thống phân tán.

ARP Spoofing: Nghe Lén trong LAN

ARP Spoofing Là Gì?

ARP spoofing là kỹ thuật tấn công giả mạo bảng ARP, khiến thiết bị gửi lưu lượng đến kẻ tấn công thay vì đích thực.

• Cơ chế:
  1. Attacker gửi ARP reply giả: “Tôi là 192.168.1.1, MAC là XX:XX:XX:XX:XX:XX”.
  2. Victim cập nhật bảng ARP, gửi dữ liệu cho attacker.
• Hậu quả: Nghe lén (MITM – Man-in-the-Middle), thay đổi dữ liệu.

Trong DevOps: Attacker trong cùng LAN (VD: Wi-Fi công cộng) có thể chặn traffic giữa runner và server.

Phòng Chống ARP Spoofing

• Static ARP: Gán cứng IP-MAC:

  arp -s 192.168.1.1 00:14:22:01:23:45

• IDS: Dùng Snort phát hiện ARP bất thường.
• VLAN: Cô lập thiết bị nhạy cảm (xem bài 7).

Case study: Một công ty phát hiện traffic SSH bị chặn trong LAN. Dùng VLAN tách biệt đã ngăn kẻ tấn công tiếp cận.

DDoS: Tấn Công Từ Chối Dịch Vụ

DDoS Hoạt Động Thế Nào?

DDoS (Distributed Denial of Service) làm quá tải server bằng cách gửi lượng lớn request từ nhiều nguồn.

• Loại phổ biến:
  • SYN Flood: Gửi SYN mà không ACK, làm đầy bảng kết nối TCP.
  • HTTP Flood: Gửi request GET/POST liên tục.
• Dấu hiệu: CPU/traffic tăng đột biến, ứng dụng không phản hồi.

Trong DevOps: Một server CI/CD bị DDoS khiến job deploy thất bại, downtime kéo dài.

Phòng Chống DDoS

• Firewall: Chặn IP nguồn:

  iptables -A INPUT -s <attacker-ip> -j DROP

• Rate Limiting: Giới hạn request với NGINX:

  limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;
  limit_req zone=mylimit burst=20;

• CDN: Dùng Cloudflare phân tán traffic.
• Monitoring: Phát hiện sớm với Prometheus.

Ví dụ: Một hệ thống DevOps bị SYN flood (100k SYN/s). Kích hoạt Cloudflare giảm tải xuống 90%, cứu server.

VPN Trong DevOps: Kết Nối An Toàn

VPN Là Gì?

VPN (Virtual Private Network) mã hóa lưu lượng giữa hai điểm, tạo đường hầm an toàn qua mạng công cộng.

• Cơ chế: Dùng IPsec hoặc OpenVPN với mã hóa AES.
• Lợi ích: Bảo vệ dữ liệu, vượt qua NAT, truy cập mạng nội bộ từ xa.

Ứng dụng: DevOps engineer dùng VPN để SSH vào server production từ xa mà không lộ traffic.

Cấu Hình OpenVPN

1. Server:

   apt install openvpn easy-rsa
   make-cadir ~/openvpn-ca
   cd ~/openvpn-ca
   ./easyrsa init-pki
   ./easyrsa build-ca

2. Client: Tạo key và kết nối qua file .ovpn.

DevOps: VPN kết nối runner ở office với VPC cloud, đảm bảo sync code an toàn.

Thực Hành: Phát Hiện và Phòng Chống

Test ARP Spoofing

1. Dùng arpspoof (Kali Linux):

   arpspoof -i eth0 -t 192.168.1.10 192.168.1.1

2. Kiểm tra:

   arp -a  # MAC của gateway thay đổi

3. Phòng chống: Gán static ARP.

Debug DDoS

1. Bắt gói tin:

   tcpdump -i eth0 -n 'tcp[tcpflags] & tcp-syn != 0'

   • Nhiều SYN từ IP lạ → SYN flood.
2. Chặn:

   iptables -A INPUT -p tcp --syn -m limit --limit 25/s -j ACCEPT

Debug tip:

• ARP bất thường: Dùng arpwatch theo dõi.
• DDoS: Kiểm tra /proc/net/stat xem số kết nối.

Kết Luận

Bảo mật mạng trong DevOps là yếu tố sống còn để bảo vệ pipeline, microservices, và dữ liệu. Từ việc đối phó ARP spoofing, DDoS phòng chống, đến dùng VPN trong DevOps, bạn giờ đây có công cụ để chống lại mối đe dọa. Bài cuối, chúng ta sẽ tổng hợp với Thiết kế mạng cho hệ thống DevOps – áp dụng tất cả vào thực tế.

Bài tập nhỏ:

• Chạy arp -a trước và sau khi ping gateway. Có gì thay đổi?
• Mô phỏng SYN flood với hping3 và chặn bằng iptables.

Tiếp tục series để hoàn thiện kỹ năng bảo mật mạng trong DevOps!