Phân cấp an ninh mạng (Network Security Levels)
Không có tiêu chuẩn duy nhất, nhưng thường phân theo mô hình **Defense in Depth (Sự phòng thủ sâu)** gồm 5 cấp độ:
- Cấp 1 - Nhận diện điểm truy nhập: Biết rõ mọi thiết bị, user, ứng dụng kết nối mạng (NAC, Asset Inventory).
- Cấp 2 - Hiểu hành vi bình thường (Baseline): NetFlow, SIEM, UEBA để phát hiện bất thường (anomaly detection).
- Cấp 3 - Thu thập 100% lưu lượng: Full packet capture, Network Detection & Response (NDR), không mất gói tin.
- Cấp 4 - Công cụ "không thể hack": Hardware root of trust, TPM, Secure Boot, Immutable Infrastructure, Confidential Computing.
- Cấp 5 - Phân đoạn mạng (Segmentation): Micro-segmentation, Zero Trust Network Access (ZTNA), VLAN/VRF, FW nội bộ.
Mô hình 3 lớp mạng Enterprise (Core-Distribution-Access)
- Core Layer: Chuyển mạch tốc độ cao, không policy phức tạp.
- Distribution Layer: Thu gom, routing, policy (ACL, QoS, FW), ranh giới phân đoạn.
- Access Layer: Cổng kết nối end-user, IoT, 802.1X, Port Security.
Các loại an ninh mạng (Types of Network Security)
| Loại | Công nghệ/Giải pháp điển hình | Mục tiêu |
|---|---|---|
| Network Access Control (NAC) | 802.1X, MAB, Posture Assessment, Cisco ISE, Aruba ClearPass | Chỉ cho thiết bị tuân thủ truy cập |
| Firewall | Next-Gen FW (Palo Alto, FortiGate, Check Point), Cloud FW (AWS, Azure) | Lọc gói tin L3-L7, IPS, App-ID, SSL Decrypt |
| VPN / Zero Trust | IPsec, SSL VPN, WireGuard, ZTNA (Zscaler, Cloudflare Access) | Truy cập từ xa an toàn, least privilege |
| IDS/IPS | Suricata, Snort, Cisco Firepower, Network-based IPS | Phát hiện/ngăn chặn tấn công đã biết (signature) & bất thường |
| Email Security | Proofpoint, Mimecast, Microsoft Defender for Office 365 | Chống phishing, malware, BEC, DLP |
| Web Security / SWG | Zscaler, Cisco Umbrella, Forcepoint | Lọc URL, CASB, DLP, RBI (Remote Browser Isolation) |
| Endpoint Security | EDR (CrowdStrike, SentinelOne), XDR, EPP | Bảo vệ thiết bị cuối, phát hiện hành vi |
| Wireless Security | WPA3-Enterprise, 802.1X, WIPS/WIDS | An ninh Wi-Fi doanh nghiệp |
| Data Loss Prevention (DLP) | Network DLP, Endpoint DLP, Cloud DLP | Ngăn rò rỉ dữ liệu nhạy cảm |
| Vulnerability Management | Scanner (Nessus, Qualys), ASM, Penetration Testing | Tìm & khắc phục lỗ hổng |
| Network Segmentation | VLAN, VRF, Micro-seg (VMware NSX, Cisco ACI, Illumio) | Hạn chế lateral movement |
| Security Monitoring (SIEM/SOAR) | Splunk, Sentinel, Elastic, Cortex XSOAR | Tương quan sự kiện, tự động phản ứng |
3 lớp kiểm soát bảo mật (Three Classes of Protection Measures)
- Management Controls: Chính sách, quy trình, đánh giá rủi ro, tuân thủ, đào tạo.
- Operational Controls: Quy trình vận hành: patch management, incident response, backup, monitoring, change management.
- Physical Controls: Bảo vệ vật lý: door access, camera, rack lock, UPS, fire suppression.
5威胁 hàng đầu (Top 5 Threats)
- Phishing / Social Engineering.
- Ransomware / Malware.
- Insider Threat (nhân viên bất mãn, lỗi sơ suất).
- Unpatched Vulnerabilities / Zero-day.
- DDoS / Availability Attacks.
5 yếu tố thiết yếu của an ninh dịch vụ mạng
- Nhận diện tích cực (Positive Identification): User, host, app, service, resource.
- Bảo vệ biên giới (Perimeter Security) - nhưng ngày nay chuyển sang Identity Perimeter.
- Bảo vệ dữ liệu (Data Protection): Mã hóa, DLP, Classification.
- Giám sát liên tục (Continuous Monitoring): SIEM, NDR, UEBA.
- Quản trị chính sách (Policy Management): Đống nhất, tự động hóa, tuân thủ.
Kết luận: An ninh mạng hiện đại không còn chỉ "cấp độ" đơn thuần mà là **kiến trúc Zero Trust**, kết hợp Identity, Device, Network, Application, Data với giám sát liên tục và tự động hóa phản ứng.