Hardening (Cứng hóa) là gì?
System/Network Hardening là quá trình giảm bề mặt tấn công (Attack Surface) bằng cách: tắt dịch vụ không cần thiết, đóng port không dùng, xóa tài khoản mặc định, cấu hình bảo mật (CIS Benchmarks, STIG), áp dụng least privilege, bật audit logging, patch management.
Tại sao Hardening KHÔNG THAY THẾ được Bảo mật mạng (Network Security)?
| Khía cạnh | Hardening (Host/Network Device Level) | Network Security (System/Architecture Level) |
|---|---|---|
| Phạm vi | Đơn lẻ: OS, App, Firmware, Network Device config | Toàn hệ thống: Luồng dữ liệu, Kiến trúc, Phân đoạn, Giám sát xuyên suốt |
| Mục tiêu | Giảm lỗ hổng khai thác được trên thiết bị | Bảo vệ CIA triad cho dữ liệu & dịch vụ qua mạng |
| Kiểm soát | Tĩnh (Cấu hình cố định) | Động (Policy enforcement, Anomaly detection, Adaptive response) |
| Phát hiện | Không có (Passive) | Có (IDS/IPS, NDR, SIEM, Threat Hunting, Behavioral Analytics) |
| Phản hồi | Không có | Có (Automated containment, SOAR, Quarantine, Block) |
| Bảo vệ East-West | Không (Chỉ host/device) | Có (Micro-segmentation, Zero Trust, Distributed Firewall) |
| Mã hóa truyền tải | Không (Tùy app) | Có (TLS/IPsec/MACsec/WPA3 toàn đường truyền) |
| Quản trị danh tính | Local account policy | Centralized IAM, MFA, SSO, PAM, Conditional Access |
10 Lý do Hardening không đủ – Cần Network Security
- Tấn công đường truyền (Network-based Attacks): DDoS, Man-in-the-Middle, DNS Hijacking, BGP Hijack, ARP Spoofing – Hardening host không chặn được.
- Di chuyển ngang (Lateral Movement): Kẻ tấn công vào 1 host đã hardened → scan nội bộ → exploit host khác chưa hardened / credential theft → cần Network Segmentation, NAC, EDR, NDR để chặn.
- Command & Control (C2) & Data Exfiltration: Traffic qua DNS, HTTPS, ICMP, Cloud Storage – cần NGFW, DNS Security, DLP, NDR để phát hiện/chặn.
- Zero-day / Unknown Vulnerability: Hardening chỉ chống known vuln (CVE). Cần IPS, Sandbox, Behavioral AI, Threat Intel cho unknown.
- Insider Threat / Compromised Credential: User hợp pháp nhưng hành vi bất thường – cần UEBA, ZTNA, Continuous Authentication.
- Supply Chain / Vendor Access: Vendor kết nối VPN/Vendor Portal – cần PAM, ZTNA, Vendor Privileged Access Management.
- Encryption in Transit: Hardening không tự động mã hóa mọi luồng. Cần TLS 1.3 everywhere, IPsec, MACsec, WPA3.
- Visibility & Forensics: Hardening không tạo log lưu lượng mạng. Cần NetFlow, PCAP, Zeek/Suricata logs cho điều tra.
- Compliance & Audit: PCI-DSS Req 1 (Firewall), Req 4 (Encryption), Req 10 (Logging), Req 11 (IDS/IPS) – bắt buộc Network Security Controls.
- Business Continuity / Resilience: Hardening không cung cấp Failover, DDoS Scrubbing, Disaster Recovery Orchestration.
Mối quan hệ: Hardening LÀ PHẦN CỦA Network Security
- Network Device Hardening: Router, Switch, Firewall, Load Balancer, Wireless Controller – tắt dịch vụ, đổi pass, SNMPv3, SSH only, ACL yönetim, NTP, Logging.
- Server/Endpoint Hardening: CIS Benchmarks, STIG, AppLocker, WDAC, Credential Guard, HVCI.
- Cloud Infrastructure Hardening: CSPM, IaC Scanning, Container Hardening (CIS K8s Benchmark).
Network Security = Hardening (Foundation) + Architecture (Segmentation, Zero Trust) + Controls (Firewall, IPS, NAC, DLP, Encryption) + Operations (SIEM, SOC, MDR, IR, Threat Hunt, Vuln Mgmt) + Governance (Policy, Risk, Compliance).
Kiến trúc "Defense in Depth" (Bảo vệ đa lớp) – Vị trí của Hardening & Network Security
- Physical: Door lock, Camera, UPS, Fire suppression.
- Perimeter Network: Border Firewall, DDoS Protection, DNS Security, Threat Intel Feed.
- Network Core: Segmentation (VLAN/VRF), Micro-segmentation, NAC, Distributed Firewall, East-West Inspection.
- Endpoint/Server: Hardening (OS/App), EDR/XDR, App Control, Disk Encryption, Patch Mgmt.
- Application: WAF, API Gateway, Secure SDLC, SAST/DAST/SCA, RASP.
- Data: Classification, DLP, Encryption (At rest/In transit), Key Management, Backup/DR.
- Identity: IAM, MFA (FIDO2), PAM, IG, Conditional Access, Zero Trust Policy Engine.
- Operations: SIEM, SOAR, SOC, Threat Hunting, Vuln Mgmt, IR, Purple Team, Continuous Monitoring.
- Governance: Policy, Risk, Compliance, Audit, Security Awareness, Vendor Risk.
Kết luận
Hardening là điều kiện CẦN (Necessary) nhưng KHÔNG ĐỦ (Not Sufficient). Nó là "nền móng" – giảm bề mặt tấn công tĩnh. Bảo mật mạng là "hệ thống miễn dịch & thần kinh" – giám sát, phát hiện, phản hồi động trên toàn bộ kiến trúc. Cần CẢ HAI: Hardening mọi thiết bị + Network Security Architecture & Operations đầy đủ. Không có thứ nào thay thế được thứ kia.