Địa chỉ IP trong an ninh mạng: Định danh & Định vị
IP Address (Internet Protocol Address) là định danh số duy nhất của thiết bị trên mạng (IPv4: 32-bit, IPv6: 128-bit). Phục vụ 2 chức năng chính: Identification (Định danh host/interface) & Location Addressing (Định vị vị trí trong topology mạng) – cho phép routing gói tin đến đúng đích.
Vai trò của IP Address trong AN NINH MẠNG (Bảo vệ & Phát hiện)
1. Kiểm soát truy cập dựa trên IP (IP-based Access Control)
- Firewall/ACL/SG/NACL: Allow/Deny theo Source/Destination IP, CIDR block. Ví dụ: Chỉ cho phép IP văn phòng truy cập SSH/RDP/Database.
- GeoIP Filtering: Chặn/cho phép theo quốc gia (Geo-blocking).
- Threat Intel Feed Blocking: Block danh sách IP malicious (C2, Scanner, Tor Exit, VPN/Proxy, Spamhaus DROP/EDROP, AlienVault OTX, AbuseIPDB).
- Rate Limiting / DDoS Mitigation: Giới hạn request/connection per IP/prefix.
2. Phát hiện mối đe dọa & Phân tích hành vi (Threat Detection & Analytics)
- Network Traffic Analysis (NDR/Zeek): Phát hiện beaconing (C2), data exfiltration, lateral movement, scanning dựa trên IP src/dst, volume, frequency, entropy.
- SIEM Correlation: Join IP với Threat Intel, Asset Inventory, User Identity (DHCP/VPN/Radius log mapping IP→User/Device), Vulnerability Scanner.
- UEBA (User/Entity Behavior Analytics): Baseline hoạt động của IP/Device/User → Alert bất thường (Impossible travel, New IP, Volume spike).
- Attribution & Forensics: IP là chìa khóa truy vết (Timeline, Scope, Patient Zero) trong Incident Response.
3. Quản trị bề mặt tấn công (Attack Surface Management - ASM)
- External ASM: Quét liên tục dải IP công khai của tổ chức → Khám phá Shadow IT, Exposed Service, Expired Cert, Vulnerable Version.
- Internal Asset Inventory: DHCP Lease, ARP Table, NetFlow, Active Scan (Nmap, Masscan) → Map IP → Hostname, OS, Service, Owner, Criticality.
4. Phân đoạn mạng & Zero Trust (Segmentation & Zero Trust)
- Micro-segmentation Policy: Dựa trên IP/CIDR/Label (Src IP: 10.10.1.0/24 → Dst IP: 10.20.5.10/32 Port: 443).
- Identity-based Segmentation (Cilium, Calico, Illumio): Vượt qua IP tĩnh (ephemeral IP trong cloud/container) bằng Identity Label (Workload Identity).
RỦI RO: IP Address bị lộ / bị lợi dụng (Threat Perspective)
| Rủi ro | Mô tả | Hậu quả |
|---|---|---|
| Reconnaissance / OSINT | Kẻ tấn công thu thập IP range (WHOIS, DNS, Shodan, Censys, Certificate Transparency, SSL Scan) | Mapping attack surface, tìm service exposed, version, vuln |
| DDoS / DoS | Nhắm vào IP public (Web, VPN, DNS, API Gateway) | Service outage, ransom DDoS (RDDoS) |
| Brute Force / Credential Stuffing | Tấn công SSH/RDP/VPN/Web Login từ IP/botnet | Account takeover, lateral movement |
| Exploit Public-Facing App | Quét lỗ hổng (CVE-2021-44228 Log4j, ProxyShell, Exchange, VPN vuln) trên IP range | Initial Access, RCE |
| IP Spoofing / Reflection/Amplification | Giả mạo Source IP (UDP: DNS, NTP, Memcached, CLDAP) → Amplification attack | DDoS reflection, bypass IP-based ACL |
| Geo-location / Physical Threat | IP → Approximate location (City/ISP) → Targeted physical attack / Legal jurisdiction | Privacy risk, Legal exposure |
BẢO VỆ ĐỊA CHỈ IP (IP Address Protection Strategies)
1. Che giấu IP công khai (Hide Public IP)
- CDN / WAF / Reverse Proxy: Cloudflare, Akamai, AWS CloudFront, Azure Front Door, Fastly. Chỉ IP CDN công khai, Origin IP ẩn (chỉ allow CDN IP range).
- VPN / ZTNA / Proxy: User/Device ra Internet qua Egress IP cố định/quay vòng (Corporate VPN, Zscaler, Cloudflare WARP, Tailscale).
- Tor / Onion Service: Ẩn IP server (Hidden Service) hoặc client.
2. Bảo vệ IP quản trị & Hạ tầng quan trọng
- Jump Host / Bastion Host / Privileged Access Workstation (PAW): Chỉ IP Bastion được phép SSH/RDP vào Management Plane.
- Out-of-Band Management (OOBM): Mạng quản trị riêng (iDRAC, iLO, IPMI, Console Server) – tách hoàn toàn Production Network.
- Private Link / Private Endpoint / VPC Endpoint: Truy cập PaaS (SQL, Storage, KMS) qua IP private, không qua Internet.
3. Ingress/Egress Filtering (BCP 38 / RFC 2827 / RFC 3704)
- Ingress (ISP/Edge Router): Drop packet Source IP không thuộc dải IP khách hàng (Anti-Spoofing).
- Egress (Enterprise Edge): Chỉ cho phép Source IP nội bộ hợp lệ ra Internet. Drop RFC1918, Bogon, Unallocated.
4. IP Reputation & Threat Intelligence Integration
- Tích hợp Feed: AlienVault OTX, AbuseIPDB, Spamhaus DROP/EDROP, FireHOL, Emerging Threats, Vendor TI (Palo Alto, FortiGuard, Cisco Talos, Microsoft).
- Tự động Block/Alert tại Firewall/NDR/SIEM/SOAR.
5. IPv6 Privacy & Security
- Privacy Extensions (RFC 4941 / 8981): Temporary IPv6 Address (Randomized Interface ID) thay cho EUI-64 (MAC-based) – bật mặc định Win10+/Linux/Android/iOS.
- DHCPv6-PD / SLAAC Security: RA Guard, DHCPv6 Guard, ND Inspection (Switch/Router).
- IPv6 Firewall (ip6tables/nftables/Windows FW): Phải cấu hình rule IPv6 song song IPv4.
Kết luận
Địa chỉ IP là ngôn ngữ chung của mạng – vừa là công cụ bảo vệ (ACL, GeoIP, Segmentation, Detection, ASM) vừa là bề mặt tấn công (Recon, DDoS, Exploit, Spoofing). Chiến lược an ninh IP hiệu quả: Thu nhỏ bề mặt tấn công (Hide Origin IP, Private Link, Zero Trust) + Giám sát liên tục (NetFlow/Zeek/SIEM + Threat Intel) + Filtering chặt chẽ (Ingress/Egress, BCP38) + IPv6 Privacy Extensions.