Hướng dẫn thực hành an ninh mạng (Network Security) từ cơ bản đến nâng cao
An ninh mạng là tập hợp các biện pháp bảo vệ mạng, thiết bị, dữ liệu khỏi truy cập trái phép, tấn công, rò rỉ. Dưới đây là lộ trình thực hành từ cơ bản (cho cá nhân/nhà) đến doanh nghiệp.
🏠 Mức độ 1: Cơ bản cho Gia đình / Cá nhân (Home / Personal)
| Hành động | Cách làm | Tần suất |
|---|---|---|
| Đổi mật khẩu Router Admin & Wi-Fi mặc định | Truy cập 192.168.x.x → Admin/Pass mới mạnh ≥12 ký tự. Wi-Fi: WPA2/WPA3 Mixed, Passphrase mạnh | Ngay lập tức / 6-12 tháng/lần |
| Tắt WPS, Remote Management, UPnP | Web UI Router → Advanced Settings → Disable all | Một lần (Kiểm tra định kỳ) |
| Bật Guest Network | Tạo SSID riêng cho khách/IoT, cô lập (AP Isolation) | Một lần |
| Cập nhật Firmware Router | Web UI / App → Firmware Update → Auto nếu có | Kiểm tra 1-3 tháng/lần |
| Mã hóa ổ cứng thiết bị | Windows: BitLocker. Mac: FileVault. Linux: LUKS. Phone: Mặc định bật | Một lần |
| Bật MFA (2FA) mọi tài khoản quan trọng | Authenticator App (Google/MS Authenticator, Authy, Aegis) > SMS > Email. FIDO2 Key (YubiKey) tốt nhất | Một lần setup |
| Dùng Password Manager | Bitwarden (miễn phí/open source), 1Password, KeePassXC, Apple/Google/Chrome | Mọi tài khoản mới |
| Cập nhật OS & App tự động | Windows Update, macOS Update, Play Store/App Store, Winget/Choco/Scoop | Tự động / Hàng tuần |
| Backup 3-2-1 | 3 bản sao, 2 loại media (SSD + Cloud), 1 off-site (Cloud/Offline). Test restore! | Hàng ngày/tuần (Auto) |
| Cẩn trọng Email/Link/File đính kèm | Kiểm tra người gửi, di chuột xem link thật, không bật macro Office lạ, quét file nghi ngờ (VirusTotal) | Luôn luôn |
🏢 Mức độ 2: Doanh nghiệp SME (Small/Medium Enterprise)
- Firewall thế hệ mới (NGFW): Palo Alto, FortiGate, Check Point, Sophos XGS - App-ID, IPS, SSL Inspection, URL Filtering
- Phân đoạn mạng (Segmentation): VLAN cho: Mgmt, Server, User, Guest, IoT, DMZ. Firewall inter-VLAN (Default Deny)
- Endpoint Protection (EDR/XDR): CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Sophos Intercept X
- Quản trị danh tính (IAM): Microsoft Entra ID (Azure AD) / Okta / JumpCloud. SSO, MFA bắt buộc, Conditional Access, PIM/PAM
- Email Security: Microsoft Defender for Office 365 / Proofpoint / Mimecast - Anti-phishing, Safe Links, Safe Attachments, DMARC/DKIM/SPF
- Vulnerability Management: Tenable / Qualys / Rapid7 / OpenVAS. Quét liên tục, ưu tiên CVSS≥7 + Exploit available (KEV catalog)
- SIEM / Log Centralization: Microsoft Sentinel / Splunk / Elastic / Wazuh (free). Thu thập: Firewall, AD, VPN, Proxy, EDR, Cloud, App logs
- Backup Immutable & DR: Veeam / Commvault / Rubrik / AWS Backup. Immutable repository, Air-gapped, Test restore RTO/RPO
- Security Awareness Training: KnowBe4 / Proofpoint / Hoxhunt. Phishing simulation hàng quý. Báo cáo click rate
- Incident Response Plan (IRP): Playbook, Runbook, Tabletop exercise 6 tháng/lần. Cyber Insurance
- Vendor/Third-Party Risk Management: Questionnaire, SOC2, Contractual security clauses, Access review
🏭 Mức độ 3: Enterprise / Critical Infrastructure (Nâng cao)
- Zero Trust Architecture (ZTA): Never trust, always verify. ZTNA (Zscaler, Cloudflare, Twingate, Tailscale), Micro-segmentation (Illumio, Cisco ACI, VMware NSX), Continuous Verification
- Threat Intelligence Platform (TIP): MISP, Anomali, Recorded Future, IBM X-Force. Tích hợp SIEM/SOAR
- SOAR (Security Orchestration, Automation & Response): Cortex XSOAR, Splunk SOAR, Microsoft Sentinel Automation. Tự động hóa response
- Deception Technology: Honeypot, Honeytoken, Canary tokens (Thinkst Canary). Phát hiện sớm lateral movement
- Purple Teaming / Continuous Automated Red Teaming (CART): AttackIQ, Cymulate, SCYTHE. Validate controls liên tục
- Cloud-Native Security (CNAPP): Wiz, Orca, Prisma Cloud, Defender for Cloud. CSPM, CWPP, CIEM, DSPM, IaC Scanning
- OT/ICS Security: Claroty, Dragos, Nozomi. Passive monitoring, Purdue model segmentation, IEC 62443
- Data Security Posture Management (DSPM): Concentric, Cyera, Normalyze. Khám phá, phân loại, bảo vệ dữ liệu nhạy cảm đa cloud
- Supply Chain Security (SBOM, SLSA, Sigstore): Syft, Grype, Cosign, Rekor. Xác minh nguồn gốc phần mềm
- AI/ML Security: Model scanning, Prompt injection defense, Data poisoning detection, MLOps security
🔧 Các loại kiểm soát an ninh mạng (Security Controls)
Preventive (Ngăn chặn) → Detective (Phát hiện) → Corrective (Khắc phục) → Deterrent (Thúy chí) → Recovery (Khôi phục) → Compensating (Bù trừ)
| Loại | Ví dụ |
|---|---|
| Preventive | Firewall, MFA, Encryption, Patch, Hardening, App Control, NAC, WAF, DLP Block |
| Detective | SIEM, EDR, IDS/IPS (Alert), Vuln Scan, FIM, UEBA, Honeytoken, Log Review |
| Corrective | IR Playbook, Patch, Restore Backup, Quarantine, Block IOC, Password Reset |
| Deterrent | Policy, Warning Banner, Legal Notice, Camera, Security Guard, Audit Trail |
| Recovery | DR Plan, Immutable Backup, Failover Cluster, Rebuild Image, Cyber Insurance |
| Compensating | Segregation of Duties, Enhanced Monitoring, Manual Review, Additional Approval |
📚 Frameworks & Chuẩn tham khảo
- NIST CSF 2.0: Govern, Identify, Protect, Detect, Respond, Recover (Khung tổng quát)
- CIS Controls v8 (IG1/IG2/IG3): 18 kiểm soát ưu tiên, thực thi được
- ISO/IEC 27001:2022: Hệ thống quản trị an ninh thông tin (ISMS), Chứng nhận
- NIST 800-53 Rev 5: Danh mục kiểm soát chi tiết (Federal/DoD/Enterprise)
- MITRE ATT&CK: Ma trận kỹ thuật tấn công → Map coverage kiểm soát
- PCI-DSS v4.0: Bảo vệ dữ liệu thẻ thanh toán
- NIST 800-171 / CMMC: Bảo vệ CUI (Controlled Unclassified Information) - Quốc phòng Mỹ
Kết luận
An ninh mạng là hành trình, không phải đích đến. Bắt đầu từ cơ bản (Mức độ 1) ngay hôm nay: Đổi pass router, bật MFA, dùng Password Manager, cập nhật phần mềm, backup. Doanh nghiệp xây dựng chương trình theo NIST CSF / CIS Controls, đầu tư công cụ theo mô hình Defense in Depth, đo lường độ phủ MITRE ATT&CK, liên tục cải tiến. Con người là yếu tố quan trọng nhất - đào tạo, văn hóa an ninh, quy trình rõ ràng.