Tường lửa (Firewall): Kiểm soát bảo mật mạng ngăn chặn thông tin di chuyển giữa hai mạng

Câu trả lời trực tiếp

Thiết bị / phần mềm kiểm soát bảo mật mạng ngăn chặn thông tin di chuyển giữa hai mạng là **Tường lửa (Firewall)**.

1. Firewall là gì?

Firewall là hệ thống an ninh mạng (phần cứng, phần mềm, hoặc kết hợp) **giám sát và kiểm soát lưu lượng mạng đến/đi dựa trên bộ quy tắc bảo mật xác định trước**. Nó thiết lập rào cản giữa mạng tin cậy (Trusted - nội bộ) và mạng không tin cậy (Untrusted - Internet, DMZ, mạng khách).

2. Firewall hoạt động như thế nào?

• Kiểm tra gói tin (Packet Inspection): Header (IP src/dst, Port src/dst, Protocol, Flags), Payload (Deep Packet Inspection - DPI).
• So khớp quy tắc (Rule Matching): Top-down, first-match. Quy tắc: Allow / Deny / Drop / Reject / Log.
• Stateful Inspection (Stateful Firewall): Theo dõi trạng thái kết nối (TCP handshake, UDP pseudo-state). Chỉ cho phép traffic thuộc kết nối hợp lệ (ESTABLISHED/RELATED).
• Application Layer Inspection (Layer 7 / Next-Gen FW): Nhận diện ứng dụng (App-ID), User-ID, Content (File, URL, Malware, C2), SSL Decryption/Inspection.

3. Tại sao gọi là "Firewall" (Tường lửa)?

Ẩn dụ từ **tường chắn lửa trong kiến trúc**: Tường chịu lửa ngăn chặn hoả hoạn lan từ một khu vực sang khu vực khác. Trong mạng, nó ngăn chặn "lửa" (tấn công, malware, truy xuất trái phép) lan từ mạng không tin cậy sang mạng tin cậy.

4. Các loại Firewall chính

5. Vai trò của Firewall

• **Perimeter Defense:** Dòng phòng thủ đầu tiên (Edge).
• **Segmentation (Internal Segmentation Firewall - ISFW):** Phân đoạn mạng nội bộ (DMZ, Server Farm, User VLAN, OT/ICS, PCI-DSS Zone). Zero Trust Segmentation.
• **Egress Control:** Kiểm soát traffic *xuất* (Data Exfiltration, C2 Callback, Malware Download, Unauthorized Cloud Upload).
• **VPN Gateway:** Terminate IPsec/SSL VPN cho remote access / site-to-site.
• **Logging & Audit:** Ghi log traffic cho SIEM, Compliance, Forensics.
• **DDoS Protection (Basic):** Rate limiting, SYN flood protection.

6. Cấu hình Firewall Best Practices

1. Default Deny (Implicit Deny): Chặn tất cả, chỉ cho phép cần thiết (Least Privilege).
2. Rule Order: Specific rules trước, General rules sau. Cleanup rule (Deny All Log) cuối cùng.
3. Naming Convention & Documentation: Tên quy tắc rõ ràng (SRC_DST_SVC_ACTION_OWNER_TICKET), mô tả, ticket change request.
4. Change Management: Request → Risk Assessment → Approval → Implementation → Verification → Rollback plan.
5. Rule Review & Recertification: Hàng quý: Remove unused/shadowed/expired rules. Tối ưu rule base.
6. Logging Strategy: Log Deny (security), Log Allow (audit/troubleshoot - sampling nếu volume lớn). Gửi SIEM.
7. High Availability (HA): Active/Passive hoặc Active/Active. Sync session state.
8. SSL/TLS Inspection: Bắt buộc để thấy vào traffic mã hóa (80%+ traffic). Cần CA tin cậy, bypass danh sách trắng (banking, health).

7. Firewall vs Các giải pháp khác

8. Kiểm tra Firewall (Testing)

• Port Scanner: Nmap (`nmap -sS -p- `).
• Firewall Tester: Firewalk, HPing3, NPing.
• Vulnerability Scanner: Nessus, OpenVAS (check FW rules).
• Penetration Testing: Thử bypass, evasion, rule misconfig.
• Log Review: Kiểm tra log deny/allow khớp kỳ vọng.

Tóm lại: **Firewall là thiết bị kiểm soát bảo mật mạng chính ngăn chặn/cho phép thông tin di chuyển giữa các vùng mạng (network zones) dựa trên chính sách.** Từ truyền thống Packet Filter → Stateful → NGFW (App-ID, User-ID, SSL Inspect, Threat Prevention, Cloud). Triển khai theo mô hình **Zero Trust Segmentation** (Perimeter + Internal + Cloud + Endpoint) với quản trị tập trung, automation, logging toàn diện.