Cấu thành của An ninh mạng (Network Security)
An ninh mạng là tập hợp các công nghệ, quy trình, chính sách và nhân sự bảo vệ tính toàn vẹn, bảo mật và sẵn sàng của cơ sở hạ tầng mạng và dữ liệu.
1. Ba nguyên tắc cốt lõi (CIA Triad)
- Confidentiality (Bảo mật): Chỉ người được ủy quyền truy cập dữ liệu (Mã hóa, ACL, NAC).
- Integrity (Toàn vẹn): Dữ liệu không bị sửa đổi/xóa trái phép (Hash, Digital Signature, Version control, Immutable logs).
- Availability (Sẵn sàng): Hệ thống hoạt động khi cần (HA, DR, DDoS protection, Backup, Monitoring).
2. 4 khía cạnh kỹ thuật (Technical Aspects)
- Secrecy (Bí mật): Encryption (TLS 1.3, IPsec, MACsec, Disk/Database encryption), Key Management (HSM, KMS).
- Integrity Control (Kiểm soát toàn vẹn): Hash (SHA-256/3), HMAC, Digital Signature, Blockchain, File Integrity Monitoring (FIM - Tripwire, Wazuh, AIDE).
- Authentication (Xác thực): MFA, Certificate (PKI/mTLS), Kerberos, SAML/OIDC, FIDO2/WebAuthn, Passwordless.
- Cryptography (Mật mã học): Symmetric (AES, ChaCha20), Asymmetric (RSA, ECC, Kyber), Hash, KDF, TLS, IPsec, SSH, WireGuard.
3. Thiết bị & Giải pháp an ninh mạng (Network Security Devices/Solutions)
| Loại | Chức năng | Ví dụ |
|---|---|---|
| Firewall (NGFW/UTM) | Lọc gói tin L3-L7, App-ID, User-ID, SSL Decrypt, IPS, AV, Sandbox | Palo Alto, FortiGate, Check Point, Cisco Firepower, Sophos XG, OPNsense/pfSense |
| IDS/IPS | Phát hiện/Ngăn chặn xâm nhập (Signature, Anomaly, Behavioral) | Snort, Suricata, Zeek, Cisco FirePOWER, Palo Alto, Darktrace, Vectra |
| NAC (Network Access Control) | Xác thực, kiểm tra posture, phân đoạn quyền truy cập thiết bị | Cisco ISE, Aruba ClearPass, FortiNAC, Portnox, PacketFence |
| VPN / ZTNA | Truy cập từ xa an toàn, Zero Trust Network Access | IPsec, SSL VPN, WireGuard, Zscaler ZPA, Cloudflare Access, Twingate, Tailscale |
| DDoS Protection | Chống ngập dịch vụ (Volumetric, Protocol, App layer) | Cloudflare, AWS Shield, Akamai, Radware, Arbor, On-prem scrubbing center |
| WAF (Web App Firewall) | Bảo vệ ứng dụng web (OWASP Top 10, API security) | Cloudflare WAF, AWS WAF, Azure WAF, Imperva, F5 ASM, ModSecurity |
| Email Security Gateway | Anti-phishing, Anti-spam, Sandbox, DLP, DMARC/DKIM/SPF | Proofpoint, Mimecast, Microsoft Defender for Office 365, Cisco ESA, FortiMail |
| DNS Security | Chặn domain độc hại, DGAs, DNS tunneling, DoH/DoT | Cisco Umbrella, Infoblox BloxOne, Quad9, NextDNS, Cloudflare Gateway |
| Network Segmentation / Micro-segmentation | Cô lập workload, chặn lateral movement | VLAN, VXLAN, Cisco ACI, VMware NSX, Illumio, Guardicore, Calico, Cilium |
| SIEM / SOAR / NDR | Thu thập, tương quan, phát hiện, tự động phản hồi | Splunk, Elastic, Sentinel, QRadar, Chronicle, Cortex XSOAR, Vectra, ExtraHop |
4. Quy trình & Quản trị (Governance & Operations)
- Risk Management: Risk Assessment, Treatment, Acceptance, Monitoring (NIST RMF, ISO 27005).
- Policy/Standard/Procedure: Access Control Policy, Encryption Standard, Incident Response Plan, Change Management.
- Vulnerability Management: Continuous scanning, Prioritization (CVSS/EPSS/KEV), Patching, Compensating Controls.
- Security Operations (SecOps): SOC 24/7, Tiered Analysis, Threat Hunting, Threat Intelligence (MITRE ATT&CK, STIX/TAXII).
- Compliance & Audit: PCI-DSS, HIPAA, GDPR, SOX, Luật An ninh mạng VN, Nghị định 13/2023/NĐ-CP.
- Security Awareness Training: Phishing simulation, Role-based, Continuous.
5. Mô hình tham khảo
- Defense in Depth (Bảo vệ đa lớp): Perimeter, Network, Endpoint, Application, Data, Identity, Physical, Policy.
- Zero Trust (NIST SP 800-207): Never trust, always verify. Assume breach. Verify explicitly. Least privilege.
- SASE/SSE (Gartner): Converged Network & Security as Service (ZTNA, SWG, CASB, FWaaS, DLP).
Kết luận: An ninh mạng = Công nghệ (Firewall, IDS, NAC, VPN, DLP...) + Quy trình (Risk, Vuln, IR, Change) + Nhân sự (SOC, Engineer, Architect, CISO) + Quản trị (Policy, Compliance, Framework) – tất cả hoạt động phối hợp, liên tục cải tiến.