Phân loại thiết bị mạng (Network Devices) vs Thiết bị bảo mật (Security Devices)
Thiết bị mạng (Network Devices) cung cấp kết nối: Router, Switch, Access Point, Modem, Load Balancer, WAN Optimizer.
Thiết bị bảo mật mạng (Network Security Devices) thực thi chính sách an ninh trên luồng traffic. Dưới đây 10 nhóm thiết bị bảo mật phổ biến nhất:
10 Loại thiết bị bảo mật mạng & Cách dùng
1. Firewall (Tường lửa) – Cánh cổng chính
- Dùng: Đặt tại ranh giới (Internet Edge, DC Edge, Cloud Edge, Segment Boundary).
- Cấu hình: Default Deny. Cho phép theo App/User/Zone (App-ID, User-ID). Bật IPS, Anti-Malware, SSL Decrypt, URL/DNS Filtering.
- Quản trị: Panorama (Palo Alto), FortiManager, SmartConsole (Check Point), FMC (Cisco), Central (Sophos).
2. IPS/IDS – Giám sát & Chặn tấn công sâu
- IDS (Passive): Gắn cổng Span/TAP/Mirror → Phân tích bất đồng bộ → Alert SIEM/SOAR. Không chặn.
- IPS (Inline): Nằm trên đường truyền → Block real-time. Cần tuning False Positive, Bypass mode cho traffic nhạy cảm.
- Rule Source: Vendor (Talos, FortiGuard, Emerging Threats), Custom (Suricata/Snort rules), Virtual Patching.
3. WAF (Web Application Firewall) – Bảo vệ Web/App/API
- Triển khai: Reverse Proxy (Inline), Out-of-band (Log analysis), Sidecar (K8s), API Gateway integration.
- Chế độ: Block / Monitor / Challenge (CAPTCHA/JS Challenge).
- Tuning: Learning mode → Baseline → Enforce. Loại trừ False Positive (Exclusion list).
4. VPN Gateway / ZTNA – Truy cập từ xa an toàn
- VPN (Legacy): IPsec Site-to-Site (Branch-DC, DC-DC), SSL VPN Client (Remote User). Split Tunneling config cẩn thận.
- ZTNA (Modern): Không cấp IP mạng nội bộ. Proxy ứng dụng (App Connector) + Identity Provider (IdP) + Device Posture Check. Mỗi request = Verify.
5. NAC (Network Access Control) – Kiểm soát vào mạng
- 802.1X (Wired/Wireless): Supplicant (Client) ↔ Authenticator (Switch/AP) ↔ Authentication Server (RADIUS/NAC).
- MAB (MAC Auth Bypass): Cho IoT/Printer không hỗ trợ 802.1X (dựa trên MAC + Profiling).
- Posture Assessment: Kiểm tra AV running, Patch level, Disk Encryption, Domain Join → Gán VLAN/ACL/Dynamic Group.
6. DLP Network – Chặn rò rỉ dữ liệu
- Deployment: Network Sensor (Span/TAP) tại Internet Edge, DC Edge, Email Gateway.
- Policy: Data Classification (PII, PCI, PHI, IP, Source Code) → Action: Block, Quarantine, Encrypt, Notify, Log Only.
- Integration: Endpoint DLP, Cloud DLP (CASB), Email DLP – Unified Policy.
7. Secure Web Gateway (SWG) / SSE – Lọc Web & Cloud
- Forward Proxy (Explicit/PAC/WPAD): Client config → Proxy → Inspect HTTP/HTTPS (SSL Decrypt) → Policy.
- DNS Security: Block Malicious Domain (C2, Phishing, DGA, Newly Registered).
- RBI (Remote Browser Isolation): Render web ở container remote → gửi pixel stream → Zero Trust Web.
8. Email Security Gateway – Cánh cổng thư điện tử
- MX Record trỏ về Gateway: Inbound → Scan (AV, Sandbox, AI/ML Phishing, DMARC) → Deliver.
- Outbound: DLP, Encryption (TLS/S/MIME), Account Takeover Protection.
- Post-Delivery: Retract malicious email đã deliver (Clawback), User Reporting (Phish Button).
9. DDoS Protection – Chống ngập tải
- Always-on (Cloud Scrubbing): BGP Anycast diversion → Scrubbing Center → Clean traffic → GRE/Tunnel back.
- On-demand: Chỉ divert khi bị tấn công (BGP/Flowspec/API). Tiết kiệm chi phí.
- Layer 7 Protection: WAF rate limit, Bot Management, Challenge (JS/CAPTCHA).
10. Network Detection & Response (NDR) – Phát hiện mạng nâng cao
- Data Source: Span/TAP/ERSPAN/VPC Traffic Mirroring (North-South, East-West).
- Engine: ML/Behavioral Analytics (No signature) → Detect: C2 Beaconing, Lateral Movement, Data Staging, Exfiltration, Rogue Device.
- Output: High-fidelity Alert → SIEM/SOAR → Automated Response (Block, Quarantine via Firewall/NAC/EDR API).
Mô hình triển khai tham khảo (Enterprise)
Internet
│
▼
[DDoS Scrubbing] ──► [Next-Gen Firewall (Edge)] ──► [WAF] (Public Apps)
│ │
│ [SWG/CASB/ZTNA] (Remote User)
│ │
▼ ▼
[Core Network] ◄── [Segmentation: Firewall/NDR/NAC] ──► [Data Center / Cloud VPC]
│ │
▼ ▼
[Email Security] [NDR Sensors (East-West)]
│
▼
[SIEM/SOAR] ◄── Logs/Alerts từ tất cả thiết bị trên