Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Đánh giá an ninh mạng (Network Security Assessment): Thành phần, quy trình và tiêu chí

Đánh giá an ninh mạng là gì?

Đánh giá an ninh mạng (Network Security Assessment) là quá trình kiểm tra, kiểm toán hệ thống mạng để xác định tư thế bảo mật, phát hiện lỗ hổng, đánh giá rủi ro và đề xuất biện pháp khắc phục. Mục tiêu: trả lời "Mạng của chúng ta an toàn đến mức nào?"

Các thành phần chính (Components) của an ninh mạng

Theo các khung chuẩn (NIST, ISO 27001, CIS Controls), an ninh mạng bao gồm 4 trụ cột kỹ thuật cốt lõi:

Thành phầnChức năng
Firewall / Next-Gen FirewallLọc lưu lượng ranh giới, kiểm soát ứng dụng, IPS tích hợp
Hệ thống phòng xâm nhập (IPS/IDS)Phát hiện/chặn tấn công mạng real-time dựa trên chữ ký và hành vi
Kiểm soát truy cập mạng (NAC)Xác thực thiết bị, kiểm tra tuân thủ (compliance) trước khi cấp quyền truy cập
SIEM (Security Information and Event Management)Tổng hợp log, tương quan sự kiện, cảnh báo, điều tra sự cố

Các thành phần bổ sung quan trọng:

  • DLP (Data Loss Prevention) - Ngăn rò rỉ dữ liệu
  • Anti-virus/Anti-malware/EDR - Bảo vệ endpoint
  • Bảo mật ứng dụng, web, email (WAF, Email Security Gateway)
  • Quản trị lỗ hổng (Vulnerability Management)
  • Quản trị danh tính & truy cập (IAM, PAM, MFA)
  • Phân đoạn mạng (Segmentation, Micro-segmentation)
  • Mã hóa dữ liệu (Encryption at rest/in transit)
  • Backup & Disaster Recovery

Quy trình thực hiện đánh giá an ninh mạng

  1. Lập danh mục tài sản (Asset Inventory): Xác định tất cả thiết bị, hệ thống, ứng dụng, dữ liệu, luồng dữ liệu
  2. Phân loại giá trị thông tin (Data Classification): Xác định độ nhạy cảm, mức độ ưu tiên bảo vệ
  3. Đánh giá lỗ hổng (Vulnerability Assessment): Quét tự động (Nessus, Qualys, OpenVAS) + kiểm tra thủ công
  4. Kiểm tra xâm nhập (Penetration Testing): Mô phỏng tấn công thực tế để đo lường tác động và kiểm tra hiệu quả phòng thủ
  5. Đánh giá cấu hình (Configuration Review): Kiểm tra hardening, best practice (CIS Benchmarks)
  6. Đánh giá chính sách & quy trình: Xem xét chính sách bảo mật, IRP, BCP/DRP, đào tạo nhân viên
  7. Phân tích rủi ro (Risk Assessment): Xác định xác suất, tác động, mức độ rủi ro, ưu tiên xử lý
  8. Báo cáo & Khuyến nghị: Tài liệu hóa kết quả, danh sách lỗ hổng (CVSS), roadmap khắc phục
  9. Triển khai kiểm soát (Remediation): Vá lỗi, cấu hình lại, bổ sung công cụ, cập nhật chính sách
  10. Giám sát liên tục (Continuous Monitoring): Lặp lại quy trình định kỳ

Các loại đánh giá an ninh (Types of Security Assessments)

  • Quét lỗ hổng tự động (Vulnerability Scanning): Công cụ quét định kỳ, báo cáo CVE/CVSS
  • Kiểm thử xâm nhập (Penetration Testing / Ethical Hacking): Tấn công có kiểm soát để tìm điểm yếu
  • Kiểm thử bảo mật ứng dụng web (Web App Security Testing): OWASP Top 10, SAST/DAST/IAST
  • Kiểm thử API Security: Kiểm tra xác thực, authorization, rate limiting, injection
  • Đánh giá cấu hình (Configuration Assessment): So sánh với baseline an toàn (CIS, STIG)
  • Kiểm toán bảo mật (Security Audit): Đối chiếu với tiêu chuẩn (ISO 27001, PCI-DSS, NIST)
  • Đánh giá rủi ro (Risk Assessment): Xác định, phân tích, đánh giá rủi ro theo khung (NIST RMF, ISO 27005)
  • Đánh giá tư thế bảo mật (Security Posture Assessment): Tổng thể mức độ sẵn sàng
  • Red Team Assessment: Mô phỏng APT, kiểm tra khả năng phát hiện/phản hồi (Blue Team)
  • Kiểm toán CNTT (IT Audit): Độc lập, tuân thủ quy định

Mô hình 3 cấp độ an ninh mạng doanh nghiệp

Cấp độMô tảPhù hợp cho
Cơ bản (Basic)Firewall, AV, Patch management, Backup, Chính sách cơ bảnDoanh nghiệp nhỏ, rủi ro thấp, ngân sách hạn chế
Trung bình (Intermediate)+ IPS, NAC, SIEM, DLP, Segmentation, Vuln Mgmt, MFADoanh nghiệp vừa, có dữ liệu nhạy cảm, yêu cầu tuân thủ
Nâng cao (Advanced)+ Zero Trust, EDR/XDR, Threat Hunting, SOAR, Deception, Purple TeamTổ chức lớn, ngân hàng, chính phủ, cơ sở hạ tầng quan trọng

5 yếu tố cốt lõi của an ninh thông tin (CIA + A + NR)

  1. Tính bảo mật (Confidentiality) - Chỉ người được phép mới truy cập
  2. Tính toàn vẹn (Integrity) - Dữ liệu không bị sửa đổi trái phép
  3. Tính sẵn sàng (Availability) - Hệ thống hoạt động khi cần
  4. Tính xác thực (Authenticity) - Xác thực danh tính, nguồn gốc
  5. Tính không thể chối cãi (Non-repudiation) - Không thể phủ nhận hành động đã thực hiện

Tiêu chí khi đánh giá an ninh mạng

  • Toàn bộ bề mặt tấn công (attack surface) và cổng mạng
  • Lỗ hổng nội bộ và cấu hình sai
  • Mạng không dây, IoT, thiết bị OT
  • Truy cập của bên thứ ba (third-party, vendor, contractor)
  • Khả năng phát hiện và phản hồi sự cố (MTTD, MTTR)
  • Tuân thủ quy định pháp lý và tiêu chuẩn ngành