2 chức năng cốt lõi của Network Security Tools
- Phòng thủ (Protection / Prevention): Chặn, ngăn chặn mối đe dọa trước khi gây hại.
- Firewall (Lọc gói tin, App-ID, User-ID, SSL Inspect).
- IPS (Intrusion Prevention System) – chặn exploit, brute force, C2 traffic.
- WAF (Web Application Firewall) – chặn OWASP Top 10 (SQLi, XSS...).
- Email Security Gateway – chặn phishing, malware, BEC.
- DLP (Data Loss Prevention) – chặn rò rỉ dữ liệu nhạy cảm.
- NAC (Network Access Control) – chặn thiết bị không tuân thủ.
- Phát hiện & Đối phó (Detection & Response): Nhận biết mối đe dọa đã vượt qua lớp phòng thủ.
- SIEM (Security Information & Event Management) – thu thập, tương quan log, alert real-time.
- NDR (Network Detection & Response) – phân tích traffic mạng (packet/flow), phát hiện anomaly, lateral movement.
- EDR/XDR (Endpoint Detection & Response) – visibility endpoint, hunt, response.
- Threat Intelligence Platform (TIP) –/context hóa alert với IOC, TTP, actor profile.
- SOAR (Security Orchestration, Automation & Response) – playbook tự động hóa containment, enrichment, ticketing.
- Forensics Tools – điều tra sâu (disk, memory, network forensics).
Mô hình Defense-in-Depth (Bảo vệ đa lớp)
Công cụ an ninh mạng không hoạt động riêng lẻ mà xếp lớp:
Perimeter: NGFW, IPS, WAF, Email Gateway, DDoS Protection Network Core: NAC, Segmentation (VLAN/Micro-seg), NDR, DNS Security Endpoint: EDR/XDR, AV/NGAV, App Control, Encryption Cloud/SaaS: CASB, CSPM, CWPP, CIEM, SASE/SSE Identity: IAM, MFA, PAM, ZTNA, IdP (Okta, Entra ID) Operations: SIEM, SOAR, TIP, UEBA, BAS, ASM (Attack Surface Management)
Phân loại công cụ theo mục đích
| Nhóm | Chức năng chính | Ví dụ |
|---|---|---|
| Vulnerability Management | Quét, ưu tiên, khắc phục lỗ hổng | Tenable.io, Qualys VMDR, Rapid7 InsightVM, OpenVAS |
| Configuration & Compliance | Kiểm tra cấu hình an toàn, benchmark (CIS) | Tripwire, Qualys Policy Compliance, Ansible/Infrastructure as Code |
| Threat Detection | Phát hiện tấn công known/unknown | SIEM (Splunk, Sentinel), NDR (Corelight, ExtraHop), EDR (CrowdStrike, Defender) |
| Incident Response | Điều tra, khử trừ, phục hồi | Velociraptor, KAPE, Volatility, FTK, Autopsy, SOAR (XSOAR, Splunk SOAR) |
| Security Testing | Pen test, Red team, BAS, Fuzzing | Cobalt Strike, BloodHound, Cymulate, AttackIQ, AFL++ |
Tiêu chí chọn công cụ
- Coverage: Bao quát MITRE ATT&CK techniques nào?
- Integration: API, webhook, OpenTelemetry, STIX/TAXII, Syslog.
- False Positive Rate & Tuning capability.
- Total Cost of Ownership (License, infra, nhân sự vận hành).
- Vendor viability & Roadmap (Gartner MQ, Forrester Wave).