Vùng an ninh (Security Zone) nghĩa là gì?
Nhóm interface được kiểm soát qua chính sách bảo mật. Cisco ISA500 có vùng định sẵn triển khai nhanh với cài đặt bảo vệ mặc định. Có thể tạo vùng bổ sung.
Các loại vùng an ninh
- Public/Uncontrolled zone: Internet
- Controlled zone: Intranet tổ chức hoặc DMZ (Demilitarized Zone)
- Restricted zone: Khu vực hạn chế truy cập
DMZ là gì? Tại sao dùng?
DMZ (Demilitarized Zone) = mạng perimeter bảo vệ LAN nội bộ khỏi traffic không tin cậy. Cho phép truy cập mạng không tin cậy (Internet) mà không làm hỏng mạng riêng/LAN.
Vùng mạng (Network Zones) là gì?
Vùng tường lửa = phân đoạn mạng được kiểm soát bởi firewall. User, server, thành phần mạng hưởng lợi: bảo mật & riêng tư tốt hơn. Vùng mạng thường kế thừa loại mạng từ mạng lân cận.
Vùng (Zone) trong tường lửa
Nhóm interface/cổng vật lý hoặc ảo được liên kết logic. Cung cấp cấp độ bảo mật bổ sung.
Vùng an ninh cao (High Security Zone)
Khu vực gần như không tiếp cận được công chúng: yêu cầu ủy quyền, sàng lọc phù hợp, hộ tống bởi nhân sự được ủy quyền.
Ví dụ vùng không tin cậy (Untrusted Security Zone)
Vùng Untrusted = phía WAN của security appliance (không bảo vệ). Mặc định: không cho traffic từ vùng khác vào, nhưng cho traffic từ mọi vùng khác ra.
Vùng an ninh (Security Zones) - tóm tắt
Nhóm interface kiểm soát qua chính sách bảo mật. Cisco ISA500: vùng định sẵn, triển khai nhanh, cài đặt mặc định.
Mô tả các vùng an ninh
Mạng doanh nghiệp: nhiều vùng an ninh, mỗi vùng yêu cầu bảo mật khác nhau. Vùng = 1+ interface được bảo vệ bởi chính sách. Firewall (Layer 3) thường tách vùng. Cần kiểm tra traffic giữa các mạng.
Khi nào dùng DMZ?
Dịch vụ truy cập từ mạng ngoài → đặt trong DMZ. Dịch vụ thường见 trong DMZ: Web server (giao tiếp DB server nội bộ).
Mạng DMZ và hệ thống thường thấy
DMZ network: giữa 2 firewall (bên trong & bên ngoài). Firewall ngoài chỉ bảo vệ cơ bản.
Đặt gì trong DMZ?
Dịch vụ công khai Internet: Web server, Email server, DNS, FTP, Proxy server. Server/tài nguyên công khai (public-facing).
Tại sao DMZ quan trọng?
Bảo vệ 2 phía khỏi tấn công. Ví dụ thực chiến: DMZ Hàn Quốc - Bắc Kinh phải vượt qua → זמן cảnh báo Seoul. Cả 2 phía chuẩn bị phòng thủ tốt hơn.
Vùng mạng cơ bản
Firewall: 2 phần Inside (Trusted/Private) và Outside (Untrusted/Public).
Tạo vùng mạng như thế nào?
Setup network zone > View network zone > View details > Create/Edit zone > Add networks > Remove networks > Delete zone.
Lợi ích tạo vùng an ninh mạng
- Phân đoạn mạng: cô lật & lọc traffic giữa phân đoạn → giới hạn/ngăn truy cập mạng cụ thể
- Kiểm soát truy cập thông tin tốt hơn
- Hạn chế tài nguyên mạng user truy cập
- Giám sát hiệu quả hơn