Mô hình OSI & Thiết bị mạng
Hiểu mô hình OSI 7 lớp để triển khai kiểm soát đúng lớp: L2 (MACsec, VLAN), L3 (IPsec, ACL, Routing security), L4 (Port filtering, TCP hardening), L7 (WAF, API Gateway, DLP). Phân loại thiết bị: Router, Switch, Firewall, Load Balancer, Proxy, IDS/IPS, Sensor, Endpoint.
Top 10 Best Practices an ninh mạng
- Zero Trust Architecture: "Never trust, always verify" – xác thực mọi request, least privilege, micro-segmentation, continuous validation.
- Phân đoạn mạng (Network Segmentation): VLAN, VRF, Micro-segmentation (Illumio, Cisco ACI) tách: DMZ, Server, User, IoT, OT, Guest, Management. Chặn lateral movement.
- Quản trị danh tính & truy cập (IAM/Zero Trust Access): MFA bắt buộc, SSO, PAM, JIT Access, Conditional Access, Service Account governance.
- Bảo mật Endpoint (EDR/XDR): Triển khai EDR toàn bộ, tamper protection, ASR rules, app control, disk encryption, patch management tự động.
- Giám sát & Phát hiện liên tục (Continuous Monitoring): SIEM (Splunk, Sentinel, Elastic), UEBA, Threat Intelligence feeds, MITRE ATT&CK mapping, Detection Engineering (Sigma rules).
- Quản trị lỗ hổng dựa trên rủi ro (Risk-based Vulnerability Management): Scan liên tục, ưu tiên theo EPSS/KEV/CISA Known Exploited, SLA vá critical ≤ 72h, compensating controls.
- Bảo mật Cloud & Container (Cloud-Native Security): CSPM, CIEM, CWPP, IaC Scanning (Checkov, tfsec), Admission Control (OPA/Gatekeeper), Runtime protection (Falco, Tetragon).
- Phòng chống mất dữ liệu (DLP) & Mã hóa: DLP network/endpoint/cloud, TLS 1.3 everywhere, IPsec/MACsec cho link quan trọng, HSM/KMS quản lý khóa.
- An ninh Email & Phishing Defense: DMARC/DKIM/SPF, Secure Email Gateway (Proofpoint, Mimecast), Phishing simulation định kỳ, User reporting button.
- Kế hoạch ứng phó sự cố (Incident Response Plan): NIST 800-61: Prepare → Detect → Contain → Eradicate → Recover → Lessons Learned. Tabletop exercise 6 tháng/lần.
3 nguyên tắc cốt lõi (CIA Triad)
- Confidentiality (Bảo mật): Chỉ người được ủy quyền mới truy cập dữ liệu.
- Integrity (Toàn vẹn): Dữ liệu không bị sửa đổi trái phép, có thể kiểm tra (hash, chữ ký số).
- Availability (Sẵn sàng): Hệ thống, dữ liệu khả dụng khi cần, chống DDoS, HA/DR, backup tested.
5 nguyên tắc bảo mật cơ bản
- Least Privilege: Chỉ cấp quyền tối thiểu cần thiết.
- Defense in Depth: Nhiều lớp kiểm soát chồng chéo.
- Fail Secure: Mặc định từ chối (Default Deny), an toàn khi lỗi.
- Separation of Duties: Tách quyền: dev ≠ ops ≠ security ≠ audit.
- Audit & Accountability: Log mọi hành động nhạy cảm, immutable logs, review định kỳ.
Loại hình kiểm soát an ninh mạng
| Loại | Ví dụ |
|---|---|
| Network Access Control (NAC) | 802.1X, MAB, Posture Assessment (Cisco ISE, Aruba ClearPass, FortiNAC) |
| Chính sách an ninh IT | AUP, Data Classification, Encryption Policy, Incident Response Policy |
| An ninh ứng dụng | Secure SDLC, SAST/DAST/SCA/IAST, WAF, API Security, RASP |
| Quản trị lỗ hổng & Patch | Vuln Scanner, Patch Tuesday, Live Patching, Compensating Controls |
| Kiểm thử xâm nhập | Internal/External Pentest, Red Team, Purple Team, Bug Bounty |
| Phòng ngừa mất dữ liệu (DLP) | Network DLP, Endpoint DLP, Cloud DLP (Microsoft Purview, Forcepoint) |
| Antivirus/NGAV/EDR/XDR | CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Cortex XDR |
| Email Security | SEG, DMARC, Sandbox, Click-time Protection, BEC Detection |
| An ninh không dây | WPA3-Enterprise, 802.1X, Wireless IPS, Rogue AP Detection |
| IDS/IPS/NDR | Suricata, Zeek, Corelight, Darktrace, Vectra AI, ExtraHop |
| Phân đoạn mạng | VLAN, VRF, Micro-segmentation, Software-defined Perimeter |
4 loại mối đe dọa (Threat Categories)
- Trực tiếp (Direct): Mục tiêu rõ ràng, đe dọa tường minh.
- Gián tiếp (Indirect): Qua trung gian, supply chain.
- Che giấu (Veiled): Ẩn danh, proxy, Tor, compromised host.
- Có điều kiện (Conditional): Chỉ tấn công khi điều kiện thỏa mãn (logic bomb, time bomb).
Kết luận
Thực hành an ninh mạng không phải checklist tĩnh mà là chương trình liên tục: Governance → Identify → Protect → Detect → Respond → Recover (NIST CSF). Đầu tư vào người, quy trình, công nghệ cân đối, đo lường bằng KPI/KRI, báo cáo Board định kỳ, xây dựng văn hóa "Security by Design" và "Assume Breach".