Các phương pháp an ninh mạng có thể triển khai: ACL, Firewall, NAC, Zero Trust, Segmentation...

Tổng quan các phương pháp/an ninh mạng (Network Security Methods/Controls)

An ninh mạng hiệu quả đòi hỏi phương pháp **Defense-in-Depth (Phòng thủ sâu - nhiều lớp)**. Không có "cây gậy thần" đơn lẻ. Dưới đây là các phương pháp/core controls tiêu chuẩn có thể triển khai, phân nhóm theo chức năng.

1. Kiểm soát truy cập mạng (Network Access Control - NAC)

• 802.1X (Port-based NAC): Xác thực thiết bị/người dùng *trước* khi cho vào mạng (EAP-TLS, PEAP-MSCHAPv2, EAP-TTLS). Yêu cầu Supplicant (client), Authenticator (Switch/AP), Authentication Server (RADIUS - NPS, ISE, ClearPass, FreeRADIUS).
• MAB (MAC Authentication Bypass): Dùng cho thiết bị không có Supplicant (Printer, Camera, IoT, BYOD cũ). Xác thực bằng MAC address. Kém an toàn hơn 802.1X (MAC spoofing). Dùng kèm Profiling.
• Captive Portal / Web Auth: Trang web đăng nhập (Guest, BYOD). Thường dùng cho mạng khách.
• Posture Assessment / Health Check: Kiểm tra thiết bị tuân thủ (AV chạy, Firewall bật, Patch mới, Disk Encryption) *sau* khi auth -> Gán VLAN/ACL/SGT phù hợp (Compliant vs Non-compliant vs Quarantine).
• Guest/Contractor Access Management: Sponsor approval, Time-limited, Bandwidth limit, Isolation (Guest VLAN/ACL).

2. Tường lửa & Phòng thủ ranh giới (Perimeter & Edge Defense)

• Next-Gen Firewall (NGFW): App-ID (Layer 7), User-ID, Content-ID (IPS, Anti-Malware, File Blocking, URL Filtering, DNS Security), SSL/TLS Decryption, Threat Intelligence Feeds, SD-WAN integration. (Palo Alto, Fortinet, Check Point, Cisco Secure Firewall, Sophos XGS).
• Web Application Firewall (WAF): Bảo vệ ứng dụng web (OWASP Top 10: SQLi, XSS, RCE, Bot). Cloud (Cloudflare, AWS WAF, Azure WAF, F5) hoặc On-prem (F5 ASM, FortiWeb, ModSecurity).
• DDoS Protection: Volumetric (Scrubbing Center - Cloudflare, Akamai, AWS Shield, Radware), Protocol (SYN Flood), Application Layer (HTTP Flood). Hybrid (On-prem detector + Cloud scrubber).
• Secure Web Gateway (SWG) / Proxy: Lọc URL, Malware scanning, DLP, SSL Inspection, CASB (Cloud Access Security Broker) cho SaaS. (Zscaler, Netskope, Forcepoint, McAfee Skyhigh, iboss).
• Email Security Gateway: Anti-Spam, Anti-Phishing (DMARC/DKIM/SPF check), Sandbox (Attachment/URL), BEC Protection, DLP. (Proofpoint, Mimecast, Cisco ESA, FortiMail, Microsoft Defender for Office 365).

3. Phân đoạn mạng & Zero Trust Network (Segmentation & Zero Trust)

• Macro-segmentation (VLAN/VRF/Firewall Zone): Cách ly: Management, Server (Web, App, DB), User (Corp, Guest, IoT), OT/ICS, DMZ. Inter-zone traffic qua Firewall (Default Deny).
• Micro-segmentation (Workload-level): Policy dựa trên Identity/Label (Process, VM, Container, Pod), không phải IP. Enforce tại vSwitch/hypervisor/agent (VMware NSX, Illumio, Guardicore/Akamai, Cisco ACI, Calico/Cilium, Palo Alto CN-Series).
• Zero Trust Network Access (ZTNA): Thay thế VPN. "Never Trust, Always Verify". Broker (Zscaler ZPA, Netskope Private Access, Twingate, Cloudflare Access, Palo Alto Prisma Access, Tailscale, Pomerium) xác thực User+Device+Context -> Cho phép truy cập *chỉ* ứng dụng cụ thể (App-centric), không phải toàn mạng.
• Software-Defined Perimeter (SDP): Ẩn hạ tầng (Dark Network). Single Packet Authorization (SPA) trước khi mở port.

4. Phát hiện & Đáp ứng trên mạng (Network Detection & Response - NDR)

• Passive Traffic Analysis (Out-of-band): SPAN/TAP/NPB -> Sensor (ExtraHop, Vectra, Corelight, Darktrace, Awake/Arista, Zeek/Suricata) -> AI/ML Behavioral Analytics -> Detect: C2, Lateral Movement, Data Exfil, Recon, Insider Threat, Encrypted Traffic Analysis (ETA) không cần giải mã.
• Intrusion Detection/Prevention System (IDS/IPS): Signature-based (Snort/Suricata/ET Rules, Vendor signatures) + Anomaly-based. Inline (IPS - block) hoặc Tap (IDS - alert). Tuning false positive là chìa khóa.
• Network Traffic Analysis (NTA) / Forensics: Full Packet Capture (PCAP) cho điều tra (Arista, Corelight, NetWitness, Moloch/Arkime). Metadata flow (NetFlow/IPFIX/sFlow) cho baseline/anomaly.

5. Bảo vệ DNS & Threat Intelligence

• Protective DNS (PDNS): Chặn domain độc hại (Malware, Phishing, C2, Ransomware, DGA, Newly Registered) tại resolver. (Cisco Umbrella, Infoblox BloxOne, Quad9, Cloudflare Gateway, NextDNS, Control D, Pi-hole + blocklists).
• DNSSEC / DoH / DoT: Xác thực & Mã hóa truy vấn DNS. Chống spoofing, hijacking, surveillance.
• Threat Intelligence Platform (TIP) / Feeds: Tích hợp IOC (IP, Domain, URL, Hash, ASN) vào FW, IPS, NDR, SIEM, EDR, Proxy để block/enrich tự động. (MISP, OpenCTI, AlienVault OTX, IBM X-Force, Vendor feeds).

6. Mã hóa & Bảo vệ dữ liệu trên đường truyền

• TLS 1.3 Everywhere: Web (HTTPS), API (mTLS), Email (SMTP/IMAP/POP3 STARTTLS), LDAPS, LDAP over TLS.
• IPsec / MACsec (802.1AE) / WireGuard: Site-to-Site VPN, Host-to-Host, Cloud Interconnect. MACsec cho link Layer 2 (Switch-to-Switch, Server-to-Switch) - line rate, hop-by-hop.
• Certificate Management (PKI/ACME): Tự động hóa vòng đời cert (Issue, Renew, Revoke, Monitor). Smallstep, cert-manager, Venafi, Keyfactor, Let's Encrypt.

7. Quản trị thiết bị mạng & Hardening (Network Device Security)

• AAA (Authentication, Authorization, Accounting): TACACS+ (Cisco) / RADIUS cho quản trị thiết bị (CLI/Web/API). MFA bắt buộc. Command Authorization (Privilege levels).
• Hardening Baseline (CIS Benchmarks): Tắt service không dùng (Telnet, HTTP, SNMPv1/v2c, CDP/LLDP trên port user, IP Directed Broadcast, ICMP Redirect, Source Routing). Banner warning. Secure SSH (Key only, v2, strong ciphers). NTP authenticated. Logging buffered + Syslog/TLS.
• Control Plane Policing (CoPP) / Protection: Giới hạn traffic đến CPU router/switch (BGP, OSPF, SSH, SNMP, ICMP, ARP) -> Chống DoS control plane.
• Routing Security: BGP Prefix Filtering, RPKI/ROV (Route Origin Validation), BGPsec (thử nghiệm), BFD, TTL Security Hack.
• Configuration Management / NetDevOps: GitOps (NetBox/Nautobot as Source of Truth -> Ansible/Terraform/PyEZ/Napalm -> CI/CD -> Deploy). Backup config tự động (Oxidized, RANCID). Compliance check (ciscoconfparse, Batfish).

8. An ninh không dây (Wireless Security)

• WPA3-Enterprise (EAP-TLS) / WPA3-Personal (SAE) / WPA2-Enterprise / WPA2-Personal (AES only).
• 802.11w (PMF - Protected Management Frames) - Bắt buộc WPA3, khuyến cáo WPA2.
• Disable: WPS, TKIP, WEP, Hidden SSID (không an toàn, gây probe request leak).
• Rogue AP Detection / Containment (WIPS/WIDS).
• Client Isolation (AP Isolation) cho Guest/IoT.
• RF Spectrum Analysis (Interference, Jamming detection).

9. An ninh Đám mây & Hybrid (Cloud & Hybrid Network Security)

• Cloud-Native Firewall: AWS Network Firewall, Azure Firewall Manager, Google Cloud Firewall, Palo Alto Cloud NGFW, FortiGate CNF, Check Point CloudGuard.
• Micro-segmentation Cloud: AWS Security Groups / NACLs, Azure NSG / ASG, GCP Firewall Rules / Hierarchical Policies. Service Mesh (Istio, Linkerd, Cilium) mTLS + AuthZ.
• Transit Gateway / Virtual WAN / Network Connectivity Center: Hub-spoke, inspection VPC (Firewall/IDS).
• SASE / SSE: Hội tụ Network (SD-WAN) + Security (SWG, CASB, ZTNA, FWaaS, DLP) trên Cloud Edge.

Ma trận lựa chọn phương pháp (Selection Matrix)

Kết luận

Không có phương pháp đơn lẻ đủ. Chiến lược hiện đại: Zero Trust Architecture làm khung總括. Triển khai theo mức độ ưu tiên: Visibility (NDR, Asset Inventory) -> Identity (802.1X, ZTNA, MFA) -> Segmentation (Micro-seg) -> Encryption (TLS 1.3, MACsec) -> Automation (NetDevOps) -> Continuous Threat Exposure Management (CTEM). Đầu tư vào người (NetDevOps/SecOps skills) và quy trình (Change Mgmt, IR) không kém công nghệ.