Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Yêu cầu cần thiết cho bảo mật mạng

Yêu cầu cốt lõi của bảo mật mạng (Network Security Requirements)

Bảo mật mạng phải đảm bảo hệ thống hoạt động liên tục, chịu lỗi, chống tấn công, và chỉ cấp quyền cho người được phép. Dưới đây là các yêu cầu bắt buộc theo mô hình CIA Triad + mở rộng.

5 Yêu cầu thiết yếu (Essential Requirements)

Yêu cầu Mô tả Kiểm soát chính
1. Xác thực & Nhận diện (Identification & Authentication) Xác định chính xác danh tính User, Host, App, Service, Resource. Không nặc danh. MFA (FIDO2/WebAuthn), Certificate-based Auth, 802.1X/NAC, PAM, Zero Trust (Verify Explicitly).
2. Bảo vệ ranh giới (Perimeter Protection) Kiểm soát traffic vào/ra mạng. Chặn độc hại, cho phép hợp pháp. NGFW (App-ID, User-ID, SSL Decrypt, IPS, AV, Sandbox), WAF, DDoS Protection, ZTNA/VPN, DNS Filtering.
3. Bảo vệ dữ liệu (Data Protection) Đảm bảo Confidentiality, Integrity của dữ liệu trong trạng thái nghỉ, chuyển động, sử dụng. Encryption (TLS 1.3, IPsec, AES-256, BitLocker/FileVault/LUKS), DLP, Tokenization, DRM, Backup 3-2-1 Immutable.
4. Giám sát & Phát hiện (Monitoring & Detection) Nhìn thấy mọi hoạt động bất thường, mối đe dọa real-time. SIEM/SOAR, NDR (Zeek/Suricata), EDR/XDR, UEBA, Threat Hunting, MITRE ATT&CK Mapping, Deception (Honeypot/Canary).
5. Quản trị chính sách (Policy Management) Định nghĩa, triển khai, kiểm tra, cập nhật liên tục các quy tắc bảo mật. Policy as Code (Terraform, Ansible, Rego/OPA), CIS Benchmarks, STIGs, Change Management, Compliance Automation (CSPM, CNAPP).

5 Yếu tố bảo mật (Security Elements - Mở rộng CIA)

  1. Confidentiality (Bảo mật): Chỉ người được phép mới đọc được dữ liệu (Encryption, Access Control, DLP).
  2. Integrity (Toàn vẹn): Dữ liệu không bị sửa đổi/xóa trái phép (Hash, Digital Signature, WORM, Immutable Backup, FIM).
  3. Availability (Sẵn sàng): Hệ thống/dữ liệu hoạt động khi cần (HA, DR, Load Balancing, DDoS Protection, Patch Mgmt, Backup).
  4. Authenticity (Tính xác thực): Xác minh nguồn gốc dữ liệu/người gửi (PKI, Digital Signature, Blockchain, SPF/DKIM/DMARC).
  5. Non-repudiation (Không thể chối cãi): Chứng minh hành động đã xảy ra, ai làm (Audit Log bất biến, Digital Signature, Timestamping).

Yêu cầu vận hành thực tế (Operational Requirements)

  • Cập nhật liên tục: Firmware, OS, App, Signature AV/IPS, Threat Intel Feed.
  • Mật khẩu mạnh + MFA: ≥12 ký tự ngẫu nhiên, Password Manager, MFA kháng phishing (FIDO2) cho mọi tài khoản đặc quyền & remote access.
  • VPN an toàn / ZTNA: WireGuard/IKEv2/OpenVPN (MFA) hoặc ZTNA (Tailscale, Cloudflare Access, Twingate) thay VPN truyền thống.
  • Quản trị đặc quyền (PAM): Just-in-Time (JIT) Access, Session Recording, Credential Vault (CyberArk, HashiCorp Vault, Thycotic).
  • Dọn dẹp tài khoản không hoạt động: Disable/Delete user/service account > 30-90 ngày không dùng. Review quyền định kỳ (Access Recertification).

5 Nguyên tắc quản trị bảo mật thông tin (5 Pillars of InfoSec Governance)

  1. Risk Management: Xác định, đánh giá, xử lý rủi ro (NIST RMF, ISO 27005, FAIR).
  2. Compliance: Tuân thủ luật (Vietnam Cybersecurity Law, GDPR, HIPAA, PCI-DSS), tiêu chuẩn (ISO 27001, SOC 2, NIST CSF).
  3. Incident Response: Kế hoạch IR (NIST SP 800-61), CSIRT, Playbook, Tabletop Exercise, Retainer.
  4. Business Continuity / DR: BIA, RTO/RPO, Backup 3-2-1 Immutable, Failover Site, Test định kỳ.
  5. Security Awareness: Training liên tục, Phishing Sim, Culture bảo mật (Report không sợ bị phạt).

5 Thực hành tốt nhất cho Enterprise Network (NIST CSF / CIS Controls v8)

  1. Inventory & Control of Hardware/Software Assets: Biết mình có gì (CMDB, Network Scanner, NAC).
  2. Continuous Vulnerability Management: Scan liên tục, ưu tiên KEV CISA, Patch SLAs.
  3. Controlled Use of Administrative Privileges: PAM, Tiered Admin (Tier 0/1/2), No daily admin.
  4. Secure Configuration (Hardening): CIS Benchmarks, STIGs, Image/Template chuẩn.
  5. Audit Log Management: Centralized Logging (SIEM), Immutable Logs, Retention ≥ 1 năm, Alerting.

Kỹ năng cần cho Network Security Engineer

  • Kiến trúc Zero Trust / SASE / SSE.
  • Vulnerability Assessment / Pen Testing (Tactical).
  • Threat Modeling (STRIDE, PASTA, MITRE ATT&CK).
  • Virtualization / Container Security (K8s, Docker, Hypervisor).
  • Cloud Security (AWS/Azure/GCP - Network, Identity, Data, Workload).
  • Firewall (Palo Alto, Fortinet, Check Point, Cisco, OPNsense/pfSense).
  • Encryption Solutions (TLS, IPsec, MACsec, HSM, KMS).
  • Secure Coding / DevSecOps (SAST/DAST/SCA/Container Scan).

Kết luận

Yêu cầu bảo mật mạng không chỉ là "cài firewall, AV". Là hệ thống kiến trúc (Zero Trust, Segmentation), công nghệ (NGFW, EDR/XDR, NDR, SIEM, PAM, DLP, Encryption), quy trình (Patch, Backup, IR, Change Mgmt, Policy as Code), con người (Training, Culture), và vận hành liên tục (Monitoring, Hunting, Audit, Compliance). Tuân thủ NIST CSF, CIS Controls v8, ISO 27001 cung cấp khung sườn chuẩn hóa. Bảo mật là hành trình, không phải đích đến.