Định nghĩa hệ thống bảo mật mạng
Hệ thống bảo mật mạng (Network Security System) là tập hợp các công nghệ, chính sách, quy trình, và thiết bị phần cứng/phần mềm được thiết kế để bảo vệ tính toàn vẹn, bảo mật, và khả dụng (CIA Triad) của cơ sở hạ tầng mạng và dữ liệu truyền tải trên đó. Mục tiêu: ngăn chặn truy cập trái phép, sử dụng sai mục đích, sửa đổi, phá hoại, hoặc rò rỉ thông tin.
3 trụ cột CIA trong bảo mật mạng
| Trụ cột | Mô tả | Biện pháp kỹ thuật |
|---|---|---|
| Confidentiality (Bảo mật) | Chỉ entity được ủy quyền mới truy cập dữ liệu | Mã hóa (TLS, IPsec, WPA3), ACL, NAC, Zero Trust, DLP |
| Integrity (Toàn vẹn) | Dữ liệu không bị sửa đổi trái phép trong lưu trữ/chuyển truyền | Hash (SHA-256), Digital Signature, Certificate, Immutable logs, FIM |
| Availability (Khả dụng) | Hệ thống/dữ liệu sẵn sàng khi cần thiết | HA/Cluster, Load Balancer, DDoS Protection, Backup/DR, Patch Management |
Các loại giải pháp bảo mật mạng chính
| Loại | Ví dụ công nghệ/Thiết bị | |
|---|---|---|
| Firewall (Tường lửa) | Next-Gen Firewall (Palo Alto, FortiGate, Check Point), UTM, Cloud Firewall | Lọc gói tin L3/L4/L7, IPS, App Control, SSL Inspection, User-ID |
| IDS/IPS (Phát hiện/Nghịch cản xâm nhập) | Snort, Suricata, Cisco Firepower, Trend Micro TippingPoint | Signature/Anomaly detection, Inline blocking (IPS) |
| NAC (Network Access Control) | Cisco ISE, Aruba ClearPass, FortiNAC, Portnox | Xác thực 802.1X, MAB, Posture assessment, Profiling, Guest access |
| VPN / Zero Trust Network Access | IPsec, SSL VPN, WireGuard, Zscaler ZPA, Cloudflare Access, Tailscale | Mã hóa kết nối từ xa, Micro-segmentation, Least privilege access |
| Network Segmentation | VLAN, VRF, Micro-segmentation (VMware NSX, Cisco ACI, Illumio) | Phân chia trust zone, giới hạn lateral movement |
| DDoS Protection | Cloudflare, Akamai, AWS Shield, Arbor, Radware | Mitigate volumetric, protocol, application layer DDoS |
| DNS Security | Cisco Umbrella, Quad9, Infoblox, DNS over HTTPS/TLS | Chặn domain độc hại, C2, phishing, data exfiltration qua DNS |
| Email Security Gateway | Proofpoint, Mimecast, Microsoft Defender for Office 365 | Anti-spam, Anti-phishing, Sandbox, DLP, DMARC/DKIM/SPF |
| Web Proxy / SWG | Zscaler, Netskope, Forcepoint, Blue Coat | URL filtering, SSL inspection, DLP, CASB, RBI |
| SIEM / SOAR | Splunk, Elastic, Microsoft Sentinel, Chronicle, Cortex XSOAR | Log aggregation, Correlation, Alerting, Automated response |
Kiến trúc bảo mật mạng hiện đại
1. Defense in Depth (Bảo mật đa lớp)
Nhiều lớp kiểm soát chồng chéo: Perimeter > Network > Host > Application > Data. Nếu lớp này thất bại, lớp khác vẫn bảo vệ.
2. Zero Trust Architecture (NIST 800-207)
- Never trust, always verify.
- Verify explicitly (User, Device, Location, Behavior).
- Least privilege access (JIT, JEA).
- Assume breach (Micro-segmentation, Encryption, Monitoring).
3. SASE / SSE (Secure Access Service Edge)
Hội tụ: SWG + CASB + ZTNA + FWaaS + DLP + RBI được cung cấp qua cloud, gần người dùng (Edge).
Quy trình vận hành bảo mật mạng (Security Operations)
- Identify: Asset inventory, Vulnerability scanning, Threat intelligence.
- Protect: Hardening, Config management, Patch management, Access control, Encryption.
- Detect: SIEM correlation, IDS/IPS alerts, EDR/XDR, UEBA, Threat hunting.
- Respond: IR Playbook, Containment, Eradication, Forensics, Communication.
- Recover: Restore from backup, Validate, Post-incident review, Improve.
Các tiêu chuẩn và khung tham chiếu
- NIST Cybersecurity Framework (CSF) - 5 functions: Identify, Protect, Detect, Respond, Recover.
- ISO/IEC 27001/27002 - ISMS, 93 controls (2022).
- CIS Controls v8 - 18 kiểm soát ưu tiên cao.
- MITRE ATT&CK - Knowledge base TTP của kẻ tấn công.
- PCI DSS, HIPAA, GDPR, NIS2 - Quy định ngành/địa lý.
Ví dụ triển khai thực tế (Enterprise)
- Perimeter: Dual Next-Gen FW (HA) + DDoS Cloud scrubbing.
- Data Center: Micro-segmentation (Illumio), Internal FW, SSL Inspection.
- Campus/Branch: SD-WAN + FWaaS (SASE), 802.1X NAC, Guest VLAN.
- Cloud: CSPM, CWPP, CIEM, Cloud FW, VPC Flow Logs > SIEM.
- Remote: ZTNA (không VPN truyền thống), EDR, CASB.
- OT/IoT: Purdue Model, OT FW, Passive monitoring (Nozomi, Claroty).
Tóm tắt
Hệ thống bảo mật mạng không phải là một sản phẩm đơn lẻ, mà là hệ sinh thái tích hợp các công nghệ, quy trình, và nhân sự, được điều phối bởi chiến lược dựa trên rủi ro (Risk-based), tuân thủ các khung chuẩn quốc tế, và vận hành liên tục (Continuous Monitoring & Improvement).