Hệ thống bảo mật mạng (Network Security Systems) là gì? Các loại, ví dụ, mô hình triển khai

Hệ thống bảo mật mạng (Network Security Systems) là gì?

Là **tập hợp các công nghệ phần cứng, phần mềm, quy trình, chính sách và nhân sự** được thiết kế, triển khai và vận hành để **bảo vệ cơ sở hạ tầng mạng, dữ liệu và dịch vụ** khỏi các mối đe dọa: truy cập trái phép, nghe lén, thay đổi, phá hoại, rò rỉ, từ chối dịch vụ (DoS), mã độc, tấn công nâng cao (APT).

Mục tiêu cốt lõi (CIA Triad): **Confidentiality (Bảo mật), Integrity (Toàn vẹn), Availability (Sẵn sàng)**.

Các loại (Categories) Hệ thống bảo mật mạng

Mô hình triển khai (Deployment Architectures)

1. Perimeter-based (Traditional) – "Lâu đài và hào" (Castle & Moat)

Internet → [Border Router] → [Edge Firewall (NGFW+IPS+DDoS)] → [DMZ: Web, Mail, DNS, VPN] → [Internal Firewall] → [Core Network: App, DB, AD, File]
                                                  ↑
                                            [SIEM/SOC, DLP, Email Sec, DNS Sec, VPN/ZTNA]

• Ưu: Rõ ràng, dễ hiểu, tiêu chuẩn lâu năm
• Nhược: Không bảo vệ nội bộ (Insider, Lateral Movement), Cloud/Remote work làm mờ ranh giới

2. Zero Trust Architecture (ZTA) – "Không tin cậy ai, luôn xác minh" (NIST SP 800-207)

User/Device → [Identity Provider (IdP) + Device Trust] → [Policy Engine (PE) + Policy Administrator (PA)] → [Policy Enforcement Point (PEP: ZTNA Proxy, Micro-seg Gateway, Host Agent)] → Resource (App, Data, Server)
                ↑                                                                                          ↑
         [Continuous Verification: Risk Score, Behavior, Context, Threat Intel]              [Encryption (mTLS), Logging, Monitoring]

• Core: **Identity-centric**, **Least Privilege**, **Micro-segmentation**, **Continuous Verification**, **Encryption Everywhere**, **Automation**
• Thành phần: IdP (Entra ID, Okta, Ping), ZTNA (Zscaler, Cloudflare, Tailscale), Micro-seg (Illumio, Guardicore, Cilium), EDR/XDR, SIEM/SOAR, CASB/DLP

3. SASE / SSE (Secure Access Service Edge / Security Service Edge) – Gartner

• Hội tụ: **SWG (Secure Web Gateway) + CASB + ZTNA + FWaaS (Firewall as a Service) + DLP + RBI (Remote Browser Isolation)** → **Single Vendor SASE** (Cato, Zscaler, Netskope, Palo Alto Prisma, FortiSASE, Versa, VMware VeloCloud) hoặc **Multi-vendor SSE + SD-WAN**
• Phù hợp: Hybrid workforce, Multi-cloud, Branch office, Thay thế MPLS/VPN truyền thống

4. Cloud-Native (Cloud Security Platform / CNAPP)

• Bảo vệ toàn vòng đời: **Code → Build → Deploy → Runtime**
• Shift Left: SAST/SCA/Secrets/IaC Scan trong CI/CD
• Shield Right: Runtime Protection (eBPF, K8s Admission Controller, Serverless Hook), Cloud Detection & Response (CDR)
• Unified Dashboard: Risk Prioritization, Attack Path Analysis, Compliance

Ví dụ triển khai thực tế (Reference Architecture)

Doanh nghiệp vừa (SMB - 200-500 user, Hybrid Cloud)

• Edge: FortiGate / Palo Alto NGFW (HA Pair) – Firewall, IPS, App Control, SSL Inspect, VPN, SD-WAN
• Access: FortiSwitch + FortiAP (FortiLink) – 802.1X (FortiAuthenticator/Entra ID), NAC, Guest/IoT VLAN
• Endpoint: Microsoft Defender for Endpoint (P2) / CrowdStrike Falcon – EDR, AV, Vuln Mgmt, ASR
• Email: Microsoft Defender for Office 365 (P2) – Anti-phish, Safe Links/Attachments, Auto-remediation
• Cloud: Microsoft Defender for Cloud (CSPM, CWPP) + Defender for Cloud Apps (CASB) – Azure/M365/AWS/GCP
• Identity: Microsoft Entra ID (P2) – MFA, Conditional Access, PIM, Identity Protection
• SIEM/SOAR: Microsoft Sentinel (Cloud-native SIEM) + Logic Apps / Playbooks – Log: Firewall, AD, Defender, Cloud, Network
• DNS: Quad9 / NextDNS (Forwarder từ DC DNS) – Protective DNS
• Vuln Mgmt: Microsoft Defender Vulnerability Management / Tenable.io – Credentialed Scan, Risk-based Prioritization
• Pentest/Red Team: Hàng năm (External Vendor) + Continuous BAS (AttackIQ / SafeBreach)

Enterprise lớn / Ngân hàng / Chính phủ (High Security)

• Dual Firewall DMZ (Palo Alto / Check Point) – Physical separation
• Micro-segmentation: Illumio / Cisco ACI / VMware NSX – Workload-level, Zero Trust
• Advanced Threat Defense: Mandiant / CrowdStrike OverWatch / Microsoft Threat Experts – Managed Hunting
• Hardware Security: HSM (Thales, Utimaco, AWS CloudHSM) – Key Management, PKI, Signing
• Deception: Acalvio / Attivo / TrapX – Honeypot, Decoy, Breadcrumbs
• Quantum-ready: PQC (Post-Quantum Cryptography) Pilot – Hybrid TLS, Firmware Signing

Kết luận

Hệ thống bảo mật mạng **không phải một sản phẩm đơn lẻ – là kiến trúc phân lớp (Defense in Depth)**. Kết hợp: **Identity (Zero Trust) + Network (Firewall, Micro-seg, DNS) + Endpoint (EDR/XDR) + Application (WAF/API Sec) + Data (DLP, Encryption) + Cloud (CNAPP) + Operations (SIEM/SOAR, Vuln Mgmt, Threat Intel, IR) + People/Process (Policy, Training, Audit, Compliance)**. Chọn công nghệ phù hợp rủi ro, ngân sách, độ trưởng thành, nhân sự. **Tích hợp (Integration) > Đa dạng công cụ (Tool Sprawl).**