Khái niệm Security Zone (Vùng an ninh)
Security Zone là nhóm các interface/network segment có cùng mức độ tin cậy (trust level) và cùng chính sách bảo mật. Traffic giữa các zone phải đi qua firewall/policy engine để kiểm soát (inspect, allow, deny, log).
Mô hình 4 Zone phổ biến (Enterprise)
| Zone | Trust Level | Ví dụ thành phần | Chính sách điển hình |
|---|---|---|---|
| Untrust / Internet | 0 (Không tin cậy) | Internet, Public Cloud, Partner WAN | Deny all inbound trừ dịch vụ công khai (DMZ); Inspect all outbound. |
| DMZ (Demilitarized Zone) | 50 (Trung bình) | Web server, Mail gateway, VPN gateway, Proxy, DNS public, ADCS | Chỉ cho phép port cần thiết từ Untrust & Internal; Không truy cập trực tiếp DB/AD. |
| Internal / Trusted (User/Server) | 100 (Tin cậy cao) | Workstation, Printer, File server, App server, DB, AD, SCCM | Allow nội bộ; Restrict lateral movement (micro-segmentation); Egress filtering. |
| Restricted / High-Security (Management/OT) | 100+ (Rất cao) | Network Mgmt (OOB), Hypervisor Mgmt, Backup, PAM, HSM, OT/ICS, PCI-DSS scope | Deny all by default; Chỉ allow specific admin IP + MFA + Jump host/Bastion; Encrypted-only. |
Các zone bổ sung tùy môi trường
- Guest/Byod: Captive portal, rate-limit, no internal access.
- IoT/OT: VLAN riêng, no internet, protocol allowlist (Modbus, BACnet, OPC UA).
- Cloud / Hybrid: Transit Gateway / vWAN zone, consistent policy via Cloud FW (AWS FW, Azure FW, FortiGate-VM).
- Dev/Test/Staging: Cách ly khỏi Production, data masking.
Cấu hình trên Firewall (Ví dụ FortiGate / Palo Alto / Cisco FTD)
- Định nghĩa Zone: Gán interface/vlan/subinterface vào zone (Zone-based Policy Firewall).
- Tạo Policy (Rulebase): Source Zone → Destination Zone → Source Address → Destination Address → Service/App → Action (Allow/Deny) → Log/Profile (AV, IPS, SSL Inspect).
- Thứ tự ưu tiên: Specific allow → General allow → Implicit deny (default).
- Inter-zone vs Intra-zone: Mặc định intra-zone allow (cùng zone), inter-zone deny – cần policy rõ ràng.
Best Practices
- Đặt tên zone theo chuẩn:
ZONE_UNTRUST_INET,ZONE_DMZ_PUBLIC,ZONE_TRUST_USER,ZONE_RESTRICT_MGMT. - Mỗi zone có documentation: Owner, Asset list, Trust level, Compliance scope (PCI, HIPAA...).
- Review policy hàng quý: Dọn rule unused, shadowed, overly permissive (any/any).
- Automation: Infrastructure as Code (Terraform, Ansible) quản lý zone & policy.
- Zero Trust: Thu hẹp zone đến mức tối thiểu (micro-segmentation per application/workload).