An ninh mạng cho phòng máy tính (Computer Lab) – Thiết kế & thực thi

Mô hình mạng & bảo mật cho Computer Lab (Trường học, Trung tâm đào tạo, Thư viện)

Phòng máy tính thường dùng LAN (Local Area Network) – các máy trạm kết nối qua switch quản lý (managed switch) đến router/gateway trung tâm. Đặc thách: nhiều user không tin cậy (học sinh, sinh viên, công眾), thiết bị chung, USB lây lan malware, cần cách ly giữa lab/admin/servers.

1. Kiến trúc mạng đề xuất (Zero Trust / Segmented)

Internet
    │
[ISP Modem]──[Edge Firewall/UTM]──[Core Switch L3]
    │                                    │
    ├─ VLAN 10: Management (Firewall, SIEM, AD, ACS)
    ├─ VLAN 20: Servers (File, Print, App, Update WSUS)
    ├─ VLAN 30: Staff/Teacher (Wireless + Wired 802.1X)
    ├─ VLAN 40: Student Lab PCs (Wired 802.1X / MAB)
    ├─ VLAN 50: Guest Wi-Fi (Captive Portal, Rate-limit)
    └─ VLAN 60: IoT/Printers (No internet, only print server)

Mỗi VLAN có ACL / Firewall policy riêng: Lab chỉ truy cập Server cần thiết (file share, license server, update), không truy cập Management, Staff, Internet chỉ qua Proxy/Web Filter.

2. Kiểm soát truy cập (Access Control)

• 802.1X (EAP-TLS/PEAP) cho PC dây & Wi-Fi Staff: Machine auth + User auth → dynamic VLAN assignment.
• MAB (MAC Authentication Bypass) cho printer, scanner, thin client không hỗ trợ 802.1X.
• Port Security: Giới hạn số MAC/port, sticky MAC, violation action = restrict/shutdown.
• DHCP Snooping + DAI + IP Source Guard trên access switch – chống ARP spoofing, rogue DHCP.

3. Bảo vệ Endpoint (Máy trạm)

• Deep Freeze / Reboot Restore Rx / SteadyState: Khôi phục trạng thái gốc sau mỗi reboot – xóa malware, thay đổi config, file rác.
• AppLocker / WDAC (Windows Defender Application Control): Chỉ cho chạy app được duyệt (whitelist hash/publisher/path).
• EDR/AV: Microsoft Defender for Endpoint / CrowdStrike / SentinelOne / Bitdefender GravityZone – tính năng: Attack Surface Reduction (ASR), Controlled Folder Access, Tamper Protection.
• USB Control: Chặn USB storage không được phép (GPO / EDR), chỉ cho USB keyboard/mouse, hoặc USB đã ký (encrypted).
• Local Admin Rights: Không cấp local admin cho user lab. Dùng LAPS quản trị password local admin ngẫu nhiên.

4. Quản trị bản vá & Cập nhật

• WSUS / SCCM / Intune / PDQ Deploy / Chocolatey / Ansible – đẩy patch OS, browser, Office, plugin.
• Golden Image (MDT/SCCM/Intune Autopilot) – rebuild nhanh khi hỏng.

5. Giám sát & Phát hiện

• SIEM (Wazuh/Elastic/Splunk) thu log: Windows Security, Sysmon (Event ID 1,3,7,8,10,11,12,13,15,22,23,24,25), Firewall, Proxy, DNS, DHCP, VPN.
• Rule cảnh báo: Multi failed logon, PowerShell encoded command, WMI lateral movement, scheduled task creation, USB insert, clear log.
• Network Detection (Zeek/Suricata) trên SPAN port core switch – phát hiện C2, scanning, exfiltration.

6. An ninh vật lý & Quy trình

• Khoá rack server, switch – chỉ admin có chìa.
• Camera giám sát phòng máy.
• Quy định: Không ăn uống, không cài phần mềm, báo cáo sự cố ngay.
• Đăng ký sử dụng phòng (booking system) – audit trail.

7. Topology phổ biến: Star (Sao)

Mọi máy trạm kết nối trực tiếp đến Switch truy cập (Access Switch) → Uplink đến Core Switch. Ưu điểm: dễ troubleshoot, cô lập lỗi cáp/port, mở rộng dễ. Tránh topology Bus, Ring cũ.

8. Checklist triển khai nhanh (Hardening Baseline)