Các Kiểm soát (Controls) và Giao thức (Protocols) trong Chính sách Bảo mật Mạng
1. Kiểm soát an ninh mạng (Network Security Controls) là gì?
Các biện pháp bảo vệ (technical/administrative/physical) đảm bảo CIA: Confidentiality, Integrity, Availability của dịch vụ mạng. Mục tiêu: Giảm thiểu rủi ro vi phạm an ninh xuống mức chấp nhận được.
2. Thứ tự ưu tiên trong chính sách hiệu quả
- Xác định tài trợ & Phê duyệt: Ai cấp tiền, ai ký duyệt (CISO, CEO, Board)
- Xác định đối tượng tác động: Ai bị ảnh hưởng? (User, IT, Vendor, Customer)
- Chính sách truy cập (Access Policy): Ai được truy cập gì? (RBAC, Least Privilege, Need-to-know, MFA, PAM)
3. Các loại chính sách bảo mật mạng (Policy Types)
| Loại chính sách | Mô tả | Ví dụ công cụ/thực thi |
|---|---|---|
| Firewall Policy | Chặn/cho phép lưu lượng theo rule (L4-L7) | Palo Alto, FortiGate, Check Point, pfSense, iptables/nftables |
| Network Segmentation | Chia mạng: DMZ, Server, User, IoT, Guest, OT/ICS | VLAN, VRF, Micro-segmentation (Cisco ACI, VMware NSX, Calico) |
| Remote Access / VPN | Truy cập an toàn từ xa | IPsec, SSL VPN, WireGuard, Zero Trust Network Access (ZTNA) |
| Email Security | Chống spam, phishing, malware, DLP | Proofpoint, Mimecast, Microsoft Defender for Office 365, DMARC/DKIM/SPF |
| Data Loss Prevention (DLP) | Giám sát, chặn rò rỉ dữ liệu nhạy cảm | Forcepoint, Digital Guardian, Microsoft Purview, Nightfall |
| Intrusion Prevention (IPS/IDS) | Phát hiện/chặn tấn công mạng | Snort/Suricata, Cisco Firepower, Palo Alto, Zeek (NSM) |
| Sandboxing | Chạy file nghi ngờ môi trường cách ly | FireEye, Joe Sandbox, ANY.RUN, Hybrid Analysis |
| Hyperscale Network Security | Bảo mật quy mô lớn, cloud-native | Cloudflare, AWS Shield, Azure DDoS, Google Cloud Armor |
4. 4 loại kiểm soát an ninh (Security Control Types)
- Physical (Vật lý): Khóa cửa, Camera, Biometric, Mantrap, UPS, Fire suppression
- Technical / Logical (Kỹ thuật): Firewall, AV/EDR, Encryption, MFA, NAC, SIEM, Vuln Mgmt
- Administrative / Procedural (Quản trị): Policy, Training, Background check, Change Mgmt, Incident Response, Vendor Risk
- Compliance (Tuân thủ): ISO 27001, PCI-DSS, GDPR, HIPAA, NIST CSF, Luật An ninh mạng VN
5. Giao thức an ninh mạng thiết yếu (Security Protocols)
| Lớp OSI | Giao thức | Chức năng |
|---|---|---|
| L7 Application | HTTPS (TLS 1.2/1.3), DNS over HTTPS/TLS (DoH/DoT), SSH, SFTP, SMTPS, IMAPS | Mã hóa ứng dụng, xác thực |
| L4 Transport | TLS/SSL, DTLS, QUIC (HTTP/3) | Mã hóa vận chuyển, hoàn tất |
| L3 Network | IPsec (ESP/AH), IKEv2, WireGuard | VPN site-to-site, host-to-host |
| L2 Data Link | 802.1X (EAP-TLS/PEAP), MACsec (802.1AE), WPA3 (SAE) | NAC, Port security, Wi-Fi security |
| Management | SNMPv3, Syslog (TLS), Netconf/RESTCONF (SSH/TLS), gNMI | Quản trị an toàn thiết bị mạng |
6. Kiểm soát truy cập mạng (Network Access Control - NAC)
- Định danh, xác thực, đánh giá tuân thủ (Posture Assessment) trước khi cho vào mạng
- Công cụ: Cisco ISE, Aruba ClearPass, FortiNAC, PacketFence (open source), Microsoft NPS
- Quarantine VLAN cho thiết bị không tuân thủ → remediation → production VLAN
7. Đảm bảo hiệu quả chính sách
- Biện pháp vật lý: Khóa rack, port security, disable port không dùng
- Bật tính năng bảo mật thiết bị: Port-security, BPDU Guard, Root Guard, DHCP Snooping, DAI, IP Source Guard
- Firewall phần cứng + phần mềm (Host-based firewall: Windows Defender Firewall, nftables, pf)
- Cập nhật firmware/OS/ứng dụng kịp thời (Patch Management tự động)
- Quản lý mật khẩu: Policy phức tạp, rotation, vault (CyberArk, HashiCorp Vault, 1Password Business)
- Wi-Fi Enterprise: 802.1X (EAP-TLS) + Certificate-based auth, không dùng PSK cho nhân viên
8. 3 loại chính sách theo NIST
- Organizational (Master): Chương trình an ninh thông tin cấp tổ chức
- System-specific: Mỗi hệ thống quan trọng (ERP, CRM, SCADA, Cloud)
- Issue-specific: BYOD, Remote work, Cloud, AI, Crypto, Social media