Định nghĩa cốt lõi
| Khái niệm | Định nghĩa | Phạm vi bảo vệ | Mục tiêu chính |
|---|---|---|---|
| An ninh hệ thống (System/Computer Security) | Bảo vệ tính toàn vẹn, bảo mật, khả dụng của một hệ thống máy tính đơn lẻ (server, workstation, laptop, mobile, IoT device) bao gồm phần cứng, phần mềm, firmware, dữ liệu cục bộ. | OS, Application, Firmware, Hardware, Local Data, User Account, Process, Memory, File System. | Ngăn chặn: Malware, Exploit local, Privilege escalation, Unauthorized access, Data theft từ thiết bị, Physical tampering. |
| An ninh mạng (Network Security) | Bảo vệ cơ sở hạ tầng mạng và dữ liệu truyền tải trên mạng khỏi truy cập trái phép, sử dụng sai mục đích, gián đoạn, sửa đổi, rò rỉ. | Network devices (Router, Switch, Firewall, LB), Traffic (Data in transit), Network Services (DNS, DHCP, VPN), Perimeter, Segmentation. | Ngăn chặn: Network intrusion, Sniffing/MiTM, DDoS, Lateral movement, Data exfiltration qua mạng, Unauthorized network access. |
Sự khác biệt chính (Key Differences)
| Yếu tố | System Security | Network Security |
|---|---|---|
| Đối tượng bảo vệ | Endpoint/Host đơn lẻ (Server, PC, Mobile, IoT) | Cơ sở hạ tầng mạng & Traffic giữa các host |
| Lớp bảo vệ (OSI) | Chủ yếu Layer 7 (Application), Layer 6, Layer 4 (Process/Port), Layer 1 (Physical device) | Layer 2-4 (Data Link, Network, Transport) + Layer 7 (App-layer firewall, WAF) |
| Kiểm soát truy cập | Local account, DAC/MAC/SELinux/AppArmor, File permission, Registry, Kernel hardening | Firewall rule, ACL, VLAN, NAC/802.1X, VPN, Zero Trust Network Access (ZTNA) |
| Mã hóa | Full-disk encryption (BitLocker, LUKS, FileVault), File/DB encryption, TPM/HSM, Secure Boot | TLS/SSL, IPsec, MACsec, WireGuard, DTLS, QUIC (Data in transit) |
| Giám sát & Phát hiện | EDR/XDR, HIDS, Auditd, Sysmon, Windows Event Log, File Integrity Monitoring (FIM), Rootkit hunter | NIDS/NIPS (Suricata, Snort, Zeek), NetFlow/sFlow, PCAP, DNS logging, DPI, Network Traffic Analysis (NTA) |
| Quản lý lỗ hổng | Patch management (OS, App, Firmware), Vulnerability Scanner (Nessus, OpenVAS) scan agent-based/credentialed | Network vuln scan (unauthenticated), Firmware device scan, CVE tracking cho network gear |
| Phản sự cố (IR) | Memory forensics, Disk forensics, Malware analysis, Process injection detection, Persistence hunting | PCAP analysis, Flow analysis, Lateral movement tracking, C2 beacon detection, DDoS mitigation |
Tương đồng & Mối quan hệ chặt chẽ (Convergence)
- Mục tiêu chung: CIA Triad (Confidentiality, Integrity, Availability) cho tài sản thông tin của tổ chức.
- Phòng thủ chiều sâu (Defense in Depth): System Security là lớp bảo vệ cuối cùng (Last line of defense) trên chính endpoint. Network Security là các lớp bên ngoài (Perimeter, Internal Segmentation). Cả hai bắt buộc phải có.
- Zero Trust Architecture: Xóa bỏ ranh giới mạng tin cậy. "Never trust, always verify" áp dụng cho cả Network (micro-segmentation, ZTNA) và System (device health attestation, continuous auth).
- Threat Intelligence & Detection: TTPs (MITRE ATT&CK) thường横跨 cả hai: Initial Access (Network: Phishing link, Exploit public-facing app) → Execution/Persistence/Privilege Escalation (System) → Lateral Movement (Network) → Credential Access (System) → Exfiltration (Network). SIEM/XDR/EDR cần correlate log từ cả 2 nguồn.
- Công cụ hội tụ: XDR (Extended Detection and Response) = EDR (System) + NTA (Network) + Cloud/Email/Identity telemetry. SASE/SSE = Network Security (SWG, CASB, ZTNA, FWaaS) + Endpoint/Identity context.
Các loại An ninh hệ thống (System Security Types)
- OS Hardening: CIS Benchmarks, STIGs, Minimal install, Disable unused services, Kernel params (sysctl), ASLR/DEP/CFG, Secure Boot, Measured Boot.
- Application Security: Secure SDLC, SAST/DAST/SCA, WAF, RASP, AppArmor/SELinux profiles, Sandbox/Container isolation (gVisor, Kata).
- Endpoint Protection (EPP/EDR/XDR): NGAV, Behavioral AI, Exploit prevention, Ransomware rollback, USB control, Application control.
- Identity & Access (Trên hệ thống): PAM (Privileged Access Management), JIT access, MFA local, Biometric, Smart card, FIDO2.
- Data Security (Trên endpoint): DLP Endpoint, Encryption, Classification/Labeling (Microsoft Information Protection), Clipboard/Print/Screen capture control.
- Firmware/Hardware Security: TPM 2.0, Intel TXT/AMD SKINIT, UEFI Secure Boot, BIOS/UEFI password, Hardware root of trust, Supply chain integrity.
Các loại An ninh mạng (Network Security Types)
- Perimeter/Edge Security: Next-Gen Firewall (Palo Alto, FortiGate, Check Point), IPS/IDS, DDoS Protection (Cloudflare, AWS Shield, Arbor), Secure Web Gateway (SWG).
- Network Segmentation & Micro-segmentation: VLAN, VRF, Firewall internal, Cisco ACI, VMware NSX, Illumio, Guardicore (Zero Trust Segmentation).
- Secure Remote Access: ZTNA (Zscaler ZPA, Cloudflare Access, Twingate), SSL/IPsec VPN (đang thay thế bởi ZTNA), MFA bắt buộc.
- Network Monitoring & Detection: NTA/NDR (ExtraHop, Corelight, Darktrace, Vectra), Zeek (Bro), NetFlow/IPFIX, DNS Security (Cisco Umbrella, Infoblox BloxOne).
- Data in Transit Protection: TLS 1.3 everywhere, mTLS (Service Mesh: Istio, Linkerd), IPsec/MACsec (Data center interconnect), Encrypted DNS (DoH/DoT).
- Wireless Security: WPA3-Enterprise (EAP-TLS), 802.1X, NAC, Rogue AP detection, WIPS.
- Cloud Network Security: Security Groups, NACLs, VPC Flow Logs, Transit Gateway, Cloud Firewall (AWS Network Firewall, Azure Firewall, Google Cloud Armor), CSPM.
Tóm tắt: System Security vs Network Security
System Security = Bảo vệ "Ngôi nhà" (Endpoint) - Cửa khóa, báo động, két sắt, camera trong nhà.
Network Security = Bảo vệ "Con đường & Cổng gác" (Network) - Tường rào, cổng kiểm soát, patrol, camera đường phố, kiểm soát xe ra vào.
Cần cả hai. Nhà khỏe nhưng đường hở → kẻ xâm nhập dễ dàng tới cửa. Đường khỏe nhưng nhà yếu → kẻ xâm nhập vào được nhà là xong. Zero Trust = Kiểm tra identidad mỗi cửa, mỗi corredor, không tin cậy ai chỉ vì đã vào cổng chính.
Kết luận cho người triển khai
- Đừng tách biệt hai đội ngũ (System Admin vs Network Admin vs Security) thành silo. Thiết lập Purple Team / Unified SecOps.
- Triển khai EDR/XDR trên mọi endpoint + NTA/NDR trên mạng_core + SIEM tập trung.
- Áp dụng CIS Benchmarks / STIGs cho OS/Device + Hardening Network Devices (Router, Switch, FW).
- Mã hóa Data at Rest (System) và Data in Transit (Network) mặc định.
- Thực hành Assume Breach: Red Team/Purple Team exercise覆盖 cả Network & System kill chain.