Sophos NGFW Bài 2_T2_[Lý thuyết]Tìm hiểu về cách xử lý gói tín của của NGFW Sophos

MỤC LỤC​

1. Tổng quan về quá trình xử lý gói tin trên Sophos Firewall
2. Kiến trúc xử lý lưu lượng của Sophos Firewall
3. SlowPath và FastPath
4. Quy trình tổng quát xử lý một gói tin
5. Giai đoạn Ingress – xử lý gói tin đi vào
6. Firewall Rule và cơ chế Stateful Inspection
7. Cơ chế xử lý NAT
8. DPI Engine và kiểm tra bảo mật chuyên sâu
9. Xử lý lưu lượng SSL/TLS
10. Giai đoạn Egress – xử lý gói tin đi ra
11. Cơ chế FastPath Offloading
12. Ví dụ quá trình xử lý lưu lượng LAN đi Internet
13. Ví dụ quá trình xử lý lưu lượng Internet đến Server nội bộ
14. Các trường hợp gói tin bị Drop trên Sophos Firewall
15. Ý nghĩa của kiến trúc xử lý gói tin trong thực tế
16. Kết luận

---

1. Tổng quan về quá trình xử lý gói tin trên Sophos Firewall​

Sophos Firewall là một Next-Generation Firewall – NGFW, do đó việc xử lý một gói tin không chỉ dừng lại ở kiểm tra địa chỉ IP nguồn, địa chỉ IP đích, giao thức và số hiệu cổng như Firewall truyền thống.
Khi một gói tin đi vào Sophos Firewall, hệ thống có thể thực hiện đồng thời nhiều chức năng như:

• kiểm tra tính hợp lệ của Packet;
• Stateful Inspection;
• kiểm tra DoS và Spoofing;
• xác định Firewall Rule;
• xác định Routing;
• thực hiện NAT;
• nhận diện ứng dụng;
• kiểm tra IPS;
• Web Filtering;
• Application Control;
• SSL/TLS Inspection;
• Antivirus và Malware Scanning;
• QoS;
• mã hóa hoặc giải mã VPN;
• ghi Log;
• sau đó mới quyết định Forward hoặc Drop lưu lượng.

Tuy nhiên, Sophos không thực hiện toàn bộ quá trình phức tạp này giống nhau cho mọi Packet.
Một điểm quan trọng trong kiến trúc Sophos Firewall là hệ thống phân biệt giữa Packet đầu tiên của Connection và các Packet tiếp theo thuộc cùng Connection.
Các Packet đầu tiên cần được phân tích kỹ để Firewall xác định:

Đây là lưu lượng gì?
Nguồn và đích ở đâu?
Firewall Rule nào được áp dụng?
Có cần NAT không?
Có cần kiểm tra IPS, Application Control hay SSL/TLS không?
Có an toàn để chuyển tiếp hay không?

Nhấn để mở rộng...

Sau khi Connection đã được phân loại, một phần quá trình xử lý có thể được offload sang FastPath để các Packet tiếp theo không phải thực hiện lại toàn bộ công việc từ đầu.
Theo tài liệu kiến trúc của Sophos, SlowPath xử lý và phân loại các Packet đầu tiên của Connection; sau khi TCP handshake hoàn tất hoặc có Packet đi qua theo cả hai chiều, hệ thống có thể lập Connection Cache và offload các Packet tiếp theo sang FastPath nếu luồng đáp ứng điều kiện.

---

2. Kiến trúc xử lý lưu lượng của Sophos Firewall​

Để hiểu cách Sophos Firewall xử lý Packet, trước tiên cần hiểu ba thành phần quan trọng:

1. SlowPath
2. FastPath
3. DPI Engine

Có thể mô tả kiến trúc tổng quát như sau:
Trong đó:
SlowPath chịu trách nhiệm phân tích và đưa ra những quyết định ban đầu đối với Connection.
DPI Engine chịu trách nhiệm kiểm tra sâu nội dung và áp dụng các Security Policy.
FastPath tăng tốc xử lý các luồng đã được phân loại và đủ điều kiện offload.
Sophos gọi kiến trúc này là một phần của Xstream Architecture. Trên các thiết bị XGS hỗ trợ tăng tốc phần cứng, FastPath có thể sử dụng Xstream Flow Processor, tức bộ xử lý mạng NPU chuyên dụng để giảm tải cho CPU chính.

---

3. SlowPath và FastPath​

3.1. SlowPath là gì?​

SlowPath không có nghĩa là hệ thống hoạt động chậm. Đây là tên gọi cho đường xử lý đầy đủ của Sophos Firewall.
SlowPath chạy trên CPU chính và chứa các thành phần như:

• Firewall Stack;
• Stateful Inspection;
• Routing;
• NAT;
• Firewall Rule Processing;
• DoS Protection;
• VPN Processing;
• các User-space Module;
• cơ chế quyết định có thể offload Connection hay không.

Packet đầu tiên của một Connection phải đi qua SlowPath để Sophos có đủ thông tin xác định cách xử lý Connection đó.
Có thể hình dung:

---

3.2. FastPath là gì?​

FastPath là đường xử lý được tối ưu nhằm tăng tốc lưu lượng đã được Sophos phân loại.
Sau khi Sophos biết rằng:

• Connection hợp lệ;
• Routing đã xác định;
• NAT đã xác định;
• Firewall Rule đã xác định;
• Security Policy đã được đánh giá;

những quyết định này có thể được lưu vào Connection Cache.
Các Packet tiếp theo không nhất thiết phải đi qua toàn bộ chu trình xử lý giống Packet đầu tiên.
Thay vào đó:
FastPath sử dụng cơ chế Stateful Tracking để theo dõi Connection và giảm số lượng thao tác phải thực hiện trên CPU.
Theo Sophos, việc offload giúp giảm CPU cycle và memory bandwidth cần thiết cho xử lý Firewall, đồng thời dành tài nguyên CPU cho các chức năng tốn nhiều tài nguyên hơn như Malware Detection và Antivirus Scanning.

---

4. Quy trình tổng quát xử lý một gói tin​

Về mặt logic, một Connection đi qua Sophos Firewall có thể được hình dung theo chuỗi xử lý sau:
Đây là mô hình đơn giản hóa để dễ hiểu. Thứ tự xử lý thực tế có thể thay đổi tùy loại Traffic, NAT, VPN, Web Proxy và Security Policy đang được cấu hình.
Một điểm cần lưu ý đặc biệt là DNAT và SNAT không được xử lý giống nhau.
Đối với lưu lượng đi ra, Sophos xử lý Firewall Rule trước rồi mới áp dụng SNAT.
Đối với lưu lượng đi vào sử dụng DNAT, Sophos cần tra cứu DNAT trước để xác định địa chỉ đích sau NAT và Destination Zone, sau đó mới thực hiện việc đối chiếu Firewall Rule tương ứng.

---

5. Giai đoạn Ingress – xử lý gói tin đi vào​

Ingress là giai đoạn Packet vừa đi vào một Interface của Sophos Firewall.
Ví dụ:
Trong giai đoạn này, Sophos thực hiện nhiều thao tác kiểm tra ban đầu.

5.1. Kiểm tra tính hợp lệ của Packet​

Sophos kiểm tra cấu trúc Packet nhằm phát hiện các Packet bất thường hoặc không tuân thủ chuẩn giao thức.
Ví dụ:

• Header không hợp lệ;
• Packet bị malformed;
• TCP/IP protocol anomaly;
• các trạng thái TCP bất thường;
• thông số Segment không phù hợp.

Packet không hợp lệ có thể bị loại bỏ trước khi đi sâu vào hệ thống.
Sophos mô tả SlowPath là thành phần thực hiện reassembly và loại bỏ những Packet có Header hoặc hành vi TCP/IP không hợp lệ trong quá trình xử lý Ingress.

---

5.2. DoS Protection​

Sophos có thể kiểm tra lưu lượng dựa trên các cơ chế chống Denial of Service – DoS.
Một số dạng lưu lượng có thể được giám sát bao gồm:
Ví dụ:
Nếu lưu lượng vượt ngưỡng được cấu hình trong DoS Policy, Sophos có thể loại bỏ Packet nhằm bảo vệ Firewall và các Server phía sau.

---

5.3. Spoof Protection​

Sophos cũng có thể kiểm tra IP Spoofing.
IP Spoofing xảy ra khi một thiết bị sử dụng địa chỉ IP nguồn giả mạo.
Ví dụ, Packet xuất hiện từ WAN nhưng lại khai báo Source IP:
trong khi đây là địa chỉ thuộc mạng LAN nội bộ.
Firewall có thể xem đây là hành vi bất thường và loại bỏ Packet.

---

5.4. Kiểm tra Connection hiện tại​

Sophos là một Stateful Firewall.
Do đó, hệ thống không xem mỗi Packet là một đối tượng hoàn toàn độc lập mà theo dõi cả Connection.
Một TCP Connection thường được xác định bởi các thông tin:
Ví dụ:
Sophos kiểm tra xem Packet có thuộc một Connection đã tồn tại hay không.

Nếu Connection đã tồn tại​

Firewall có thể sử dụng thông tin trạng thái đã lưu trước đó.

Nếu là Connection mới​

Firewall phải thực hiện quá trình phân loại đầy đủ trên SlowPath.

---

6. Firewall Rule và cơ chế Stateful Inspection​

Firewall Rule là một thành phần quan trọng nhất quyết định Connection có được phép đi qua hay không.
Một Rule của Sophos có thể dựa trên nhiều tiêu chí:
và áp dụng thêm:
Ví dụ:
Sophos Firewall đánh giá các Firewall Rule từ trên xuống dưới.
Khi tìm thấy Rule đầu tiên phù hợp, Sophos áp dụng Rule đó và không tiếp tục kiểm tra các Rule nằm phía dưới.
Có thể hình dung:
Do đó, vị trí Rule có ý nghĩa rất quan trọng.
Rule cụ thể thường nên được đặt phía trên Rule tổng quát.
Ví dụ:
là hợp lý.
Nếu đảo vị trí:
thì Rule 2 có thể không bao giờ được áp dụng đối với lưu lượng đã khớp Rule 1.
Nếu không có Firewall Rule nào phù hợp, Sophos có Drop all Rule ở cuối bảng để loại bỏ lưu lượng không được cho phép.

---

7. Cơ chế xử lý NAT​

Sophos tách Firewall Rule và NAT Rule thành hai thành phần khác nhau.
Firewall Rule trả lời câu hỏi:

Lưu lượng có được phép đi qua hay không?

Nhấn để mở rộng...

Trong khi NAT Rule trả lời:

Địa chỉ hoặc Port của lưu lượng có cần được dịch hay không?

Nhấn để mở rộng...

---

7.1. Source NAT – SNAT​

SNAT thường được sử dụng khi thiết bị trong LAN truy cập Internet.
Ví dụ:
Địa chỉ nguồn:
được thay bằng địa chỉ WAN của Sophos:
Đối với lưu lượng đi ra, Sophos thực hiện:
Tức là Firewall Rule được kiểm tra trước, sau đó mới áp dụng Source NAT.

---

7.2. Destination NAT – DNAT​

DNAT thường được sử dụng khi người dùng Internet cần truy cập Server phía sau Sophos Firewall.
Ví dụ:
Trong trường hợp này, Sophos phải xác định DNAT trước để biết:
thực tế cần chuyển đến:
Sau đó Sophos xác định Zone chứa địa chỉ đích sau NAT và sử dụng thông tin này khi đối chiếu Firewall Rule.
Theo tài liệu Sophos, đối với Incoming Traffic, Firewall tra cứu DNAT để xác định Destination sau NAT trước khi thực hiện việc match Firewall Rule tương ứng.

---

7.3. NAT chỉ được xác định trên Connection mới​

Sophos xử lý NAT Rule đối với Packet đầu tiên của Connection.
Khi Connection đã được thiết lập, thông tin NAT được duy trì trong trạng thái Connection.
Nếu quản trị viên thay đổi NAT Rule trong khi Connection vẫn đang tồn tại, Connection hiện tại vẫn có thể tiếp tục sử dụng thông tin NAT cũ. NAT Rule mới được áp dụng cho Connection mới.
Đây là một điểm quan trọng khi Troubleshooting.

---

8. DPI Engine và kiểm tra bảo mật chuyên sâu​

Nếu Firewall Rule cho phép Connection và Rule có áp dụng các Security Policy, Sophos có thể chuyển lưu lượng sang DPI Engine – Deep Packet Inspection Engine.
DPI Engine là một trong những thành phần quan trọng nhất của Xstream Architecture.
Sophos DPI Engine có khả năng xử lý các chức năng như:
Theo Sophos, DPI Engine kiểm tra lưu lượng từ Layer 4 trở lên bằng cơ chế Stream Processing và có thể thực hiện SSL/TLS Decryption, IPS, Application Identification, Application Control, Web Policy và Antivirus trong một Engine xử lý thống nhất.

---

8.1. Intrusion Prevention System – IPS​

IPS kiểm tra lưu lượng nhằm phát hiện các mẫu tấn công.
Ví dụ:
IPS có thể hỗ trợ phát hiện nhiều nhóm hành vi như:

• Exploit;
• Buffer Overflow;
• SQL Injection;
• Command Injection;
• Protocol Anomaly;
• tấn công vào các dịch vụ mạng;
• khai thác lỗ hổng đã biết.

Nếu Traffic phù hợp với Signature bị chặn trong IPS Policy, Connection có thể bị Drop hoặc Reset.

---

8.2. Application Identification​

Sophos NGFW không chỉ dựa vào Port để xác định ứng dụng.
Ví dụ, các dịch vụ:
đều có thể sử dụng:
Nếu chỉ kiểm tra Port, Firewall chỉ nhìn thấy:
DPI Engine có thể phân tích sâu hơn để nhận diện Application thực tế.
Ví dụ:
Sau khi nhận diện, Sophos có thể áp dụng Application Control Policy.
Ví dụ:

---

8.3. Web Filtering​

Nếu Firewall Rule có Web Policy, Sophos có thể kiểm tra Website mà người dùng đang truy cập.
Website có thể được phân loại thành các nhóm như:
Policy sau đó quyết định:
Ví dụ:

---

8.4. Antivirus và Malware Scanning​

Nếu bật Malware Scanning, các File đi qua Firewall có thể được kiểm tra.
Quá trình có thể hình dung:
DPI Engine của Sophos cũng có thể kết hợp File Reputation và Zero-day Protection trong quá trình Antivirus Scanning.

---

9. Xử lý lưu lượng SSL/TLS​

Một phần rất lớn lưu lượng Internet hiện nay sử dụng HTTPS.
Ví dụ:
Nội dung được mã hóa nên Firewall không thể đơn giản đọc Payload như HTTP thông thường.
Nếu chính sách yêu cầu SSL/TLS Inspection, Sophos có thể giải mã lưu lượng để kiểm tra.
Mô hình có thể hình dung:
Sophos có thể áp dụng SSL/TLS Inspection Rule dựa trên:

• Source;
• Destination;
• User/Group;
• Service;
• Website;
• Web Category.

Các SSL/TLS Inspection Rule cũng được kiểm tra theo thứ tự từ trên xuống và dừng tại Rule đầu tiên phù hợp.
Sau khi giải mã, Sophos có thể áp dụng:
Sau đó nội dung được mã hóa lại trước khi gửi đến đích.
Để Endpoint tin tưởng Certificate do Sophos tạo trong quá trình HTTPS Decryption, CA được sử dụng để ký Certificate trên Sophos cần được tin cậy trên thiết bị Client.

---

10. Giai đoạn Egress – xử lý gói tin đi ra​

Sau khi Packet vượt qua các bước kiểm tra cần thiết, Sophos tiến hành giai đoạn Egress.
Đây là giai đoạn chuẩn bị Packet trước khi gửi ra Interface đích.
Trong giai đoạn này Sophos có thể thực hiện:
Sophos mô tả SlowPath Egress Processing bao gồm việc áp dụng Source NAT, QoS và các quyết định liên quan tới mã hóa hoặc Encapsulation IPsec nếu các thành phần này không được offload.
Quy trình có thể hình dung:

---

11. Cơ chế FastPath Offloading​

FastPath là một yếu tố quan trọng giúp Sophos Firewall duy trì hiệu năng cao dù phải thực hiện nhiều chức năng bảo mật.
Không phải Packet nào trong một Connection cũng cần thực hiện:
từ đầu.
Sau khi Connection được phân loại, Sophos có thể tạo Connection Cache chứa các quyết định đã xác định.
Ví dụ:
Sophos đã biết:
Các thông tin này được sử dụng để tăng tốc các Packet tiếp theo.

---

11.1. Packet đầu tiên​

---

11.2. Sau khi Connection được phân loại​

Nếu Connection đủ điều kiện:
Hoặc nếu vẫn cần DPI:
Điểm đáng chú ý là FastPath có thể chuyển lưu lượng được offload trực tiếp tới DPI Engine thông qua cơ chế xử lý hiệu quả hơn, thay vì phải giữ thêm bản sao Packet trong Kernel Memory.

---

11.3. XGS và Xstream Flow Processor​

Trên nhiều thiết bị Sophos XGS, kiến trúc bao gồm:
NPU – Network Processing Unit là bộ xử lý được thiết kế chuyên biệt cho các tác vụ xử lý lưu lượng mạng.
Việc sử dụng Xstream Flow Processor giúp Sophos giảm tải cho CPU x86 và tăng tốc những luồng đủ điều kiện.
Trong các phiên bản Virtual hoặc Software Deployment, Sophos vẫn có cơ chế Firewall Acceleration nhưng không có đầy đủ khả năng tăng tốc phần cứng giống các Appliance XGS có NPU chuyên dụng.

---

12. Ví dụ quá trình xử lý lưu lượng LAN đi Internet​

Giả sử có mô hình:
Người dùng truy cập:
Quá trình có thể diễn ra như sau.

Bước 1: Packet đi vào LAN Interface​

Packet:
đi vào Sophos.

---

Bước 2: Stateful Inspection​

Sophos kiểm tra Connection Table.
Nếu đây là Connection mới:
Sophos thực hiện phân loại Connection trên SlowPath.

---

Bước 3: Kiểm tra DoS và Spoof Protection​

Sophos kiểm tra Packet có vi phạm chính sách DoS hoặc có dấu hiệu giả mạo Source IP hay không.
Nếu hợp lệ:

---

Bước 4: Xác định Routing​

Sophos kiểm tra Routing Table.
Ví dụ:
Do đó Destination Zone được xác định là:

---

Bước 5: Firewall Rule​

Sophos tìm Rule:
giả sử Rule:
Traffic được phép tiếp tục.

---

Bước 6: Security Policy​

Firewall Rule được cấu hình:
Traffic được đưa tới DPI Engine.

---

Bước 7: SSL/TLS Inspection​

Nếu có SSL/TLS Rule:
Sophos giải mã HTTPS.

---

Bước 8: DPI Inspection​

DPI Engine thực hiện:
Nếu không phát hiện vi phạm:

---

Bước 9: Source NAT​

Địa chỉ:
được NAT thành:

---

Bước 10: Forward​

Packet được gửi ra WAN Interface tới Internet.
Toàn bộ quá trình có thể tóm tắt:

---

13. Ví dụ quá trình xử lý lưu lượng Internet đến Server nội bộ​

Xét mô hình:
Cấu hình DNAT:
Khi Client trên Internet kết nối tới:
quá trình được xử lý như sau.

Bước 1​

Packet đi vào WAN Interface.

Bước 2​

Sophos kiểm tra Packet, DoS, Spoof Protection và trạng thái Connection.

Bước 3​

Sophos tra cứu DNAT Rule.

Bước 4​

Sophos xác định địa chỉ sau NAT:
thuộc:

Bước 5​

Sophos kiểm tra Firewall Rule:

Bước 6​

Nếu Rule cho phép, các Security Policy tương ứng được áp dụng.
Ví dụ:

Bước 7​

Packet được chuyển đến Web Server:
Do đó luồng tổng quát là:

---

14. Các trường hợp gói tin bị Drop trên Sophos Firewall​

Packet có thể bị Sophos loại bỏ ở nhiều giai đoạn khác nhau chứ không chỉ tại Firewall Rule.
Một số trường hợp thường gặp gồm:
Do đó khi Troubleshooting Sophos Firewall, câu hỏi:

“Firewall Rule đã Allow chưa?”

Nhấn để mở rộng...

chưa đủ.
Quản trị viên còn cần kiểm tra:

---

15. Ý nghĩa của kiến trúc xử lý gói tin trong thực tế​

Việc hiểu Life of a Packet trên Sophos Firewall có ý nghĩa rất lớn trong quản trị và Troubleshooting.

15.1. Giúp Troubleshooting chính xác​

Giả sử máy Client không truy cập được Internet.
Có thể kiểm tra theo đúng chuỗi:
Thay vì thay đổi cấu hình ngẫu nhiên.

---

15.2. Giúp hiểu nguyên nhân Firewall Rule Allow nhưng Traffic vẫn bị chặn​

Ví dụ Rule:
nhưng người dùng vẫn không truy cập được một Website.
Nguyên nhân có thể là:
hoặc:
Do đó, Firewall Rule Accept không đồng nghĩa toàn bộ lưu lượng chắc chắn sẽ được Forward.
Các Security Engine phía sau vẫn có thể chặn Connection.

---

15.3. Giúp hiểu mối quan hệ giữa NAT và Firewall Rule​

Một lỗi cấu hình phổ biến là quản trị viên chỉ tạo NAT Rule nhưng không tạo Firewall Rule.
NAT chỉ thực hiện Address Translation.
NAT không tự động đồng nghĩa với việc Traffic được cho phép.
Sophos nêu rõ Firewall Rule quyết định Allow hoặc Drop lưu lượng, trong khi NAT Rule thực hiện dịch địa chỉ đối với lưu lượng phù hợp.

---

15.4. Giúp hiểu hiệu năng của Sophos​

Nếu tất cả Packet đều phải thực hiện:
lặp lại từ đầu thì chi phí CPU sẽ rất lớn.
Vì vậy Sophos sử dụng kiến trúc:
để tối ưu hiệu năng.
Đây cũng là lý do khi đánh giá NGFW không nên chỉ quan tâm đến Firewall Throughput mà còn cần xem xét:
bởi việc bật nhiều Security Feature sẽ làm quá trình xử lý phức tạp hơn.

---

16. Kết luận​

Cơ chế xử lý gói tin của Sophos Firewall là một quá trình nhiều lớp, kết hợp giữa các chức năng mạng truyền thống và các công nghệ bảo mật của Next-Generation Firewall. Khi một Connection mới được thiết lập, những Packet đầu tiên được xử lý chủ yếu trên SlowPath nhằm kiểm tra tính hợp lệ của Packet, trạng thái Connection, DoS, Spoof Protection, Routing, NAT, Firewall Rule và các chính sách bảo mật liên quan.
Nếu Firewall Rule cho phép và lưu lượng yêu cầu kiểm tra chuyên sâu, Traffic có thể được chuyển đến DPI Engine. Tại đây, các chức năng như SSL/TLS Inspection, Intrusion Prevention, Application Identification, Application Control, Web Filtering, Antivirus, File Reputation và Zero-day Protection có thể được thực hiện trước khi Sophos quyết định cho phép hoặc ngăn chặn Connection.
Đối với NAT, cần phân biệt rõ giữa hai hướng xử lý. Với lưu lượng đi ra, Sophos thực hiện Firewall Rule trước rồi mới áp dụng SNAT. Với lưu lượng đi vào sử dụng DNAT, Firewall cần tra cứu DNAT để xác định Destination sau NAT và Destination Zone trước khi đối chiếu Firewall Rule.
Sau khi Connection được phân loại đầy đủ, Sophos có thể sử dụng FastPath Offloading để giảm việc lặp lại toàn bộ quá trình Firewall Processing trên từng Packet. Các quyết định về Routing, NAT, Security Policy và trạng thái Connection có thể được lưu trong Connection Cache, từ đó các Packet tiếp theo được xử lý hiệu quả hơn. Trên những thiết bị Sophos XGS phù hợp, Xstream Flow Processor còn cung cấp khả năng tăng tốc bằng NPU chuyên dụng.
Có thể tóm tắt nguyên lý xử lý lưu lượng của Sophos Firewall bằng mô hình:
Như vậy, điểm cốt lõi trong kiến trúc xử lý Packet của Sophos NGFW là sự kết hợp giữa Stateful Firewall Processing, DPI Security Processing và FastPath Offloading. SlowPath đảm bảo Connection được phân tích và áp dụng đầy đủ chính sách bảo mật, DPI Engine cung cấp khả năng kiểm tra sâu ở tầng ứng dụng, còn FastPath giúp tối ưu hiệu năng cho các luồng đã được phân loại. Việc hiểu rõ quá trình này là nền tảng quan trọng để cấu hình Firewall Rule, NAT, IPS, Application Control, Web Filtering, SSL/TLS Inspection cũng như Troubleshooting Sophos Firewall một cách chính xác và có hệ thống.