An ninh mạng không phụ thuộc vào một giải pháp đơn lẻ mà kết hợp nhiều lớp kiểm soát chồng chéo nhau. Nếu một lớp bị vượt qua, các lớp khác vẫn bảo vệ. Mô hình phổ biến:
| Lớp | Tên gọi | Giải pháp/Công nghệ | Mục tiêu |
|---|
| 1 | Physical & Perimeter | Firewall (NGFW), Router ACL, DDoS Protection, Physical Security | Chặn mối đe dọa bên ngoài, kiểm soát ranh giới |
| 2 | Network Segmentation | VLAN, Subnet, Micro-segmentation, ZTNA, SDN/ACI | Cô lập miền lỗi, hạn chế lateral movement |
| 3 | Secure Access & Identity | 802.1X, NAC, MFA, VPN/ZTNA, PAM, Identity-Aware Proxy | Xác thực mạnh, least privilege access |
| 4 | Threat Prevention & Detection | IPS/IDS, NGFW App Control, Anti-Malware, Sandbox, DNS Security, Email Security | Chặn/Phát hiện mã độc, exploit, C2, phishing |
| 5 | Data Protection | Encryption (TLS 1.3, IPsec, MACsec), DLP, CASB, Key Management | Bảo vệ dữ liệu trong lúc truyền/lưu/trữ |
| 6 | Visibility & Analytics | SIEM, SOAR, NDR, UEBA, Flow Analysis (NetFlow/sFlow), Threat Intel | Phát hiện bất thường, điều tra, threat hunting |
| 7 | Operations & Resilience | Patch Mgmt, Vuln Mgmt, Backup/DR, IR Plan, Tabletop, Chaos Engineering | Sẵn sàng phản ứng, khôi phục, cải tiến liên tục |
Mô hình hoạt động (Security Service Model)
Theo tiêu chuẩn ITU-T X.800 / ISO 7498-2, dịch vụ an ninh mạng bao gồm:
- Authentication (Xác thực): Peer entity authentication, Data origin authentication
- Access Control (Kiểm soát truy cập): Role-based, Attribute-based, Policy-based
- Data Confidentiality (Bảo mật dữ liệu): Connection confidentiality, Connectionless confidentiality, Selective field confidentiality, Traffic flow confidentiality
- Data Integrity (Toàn vẹn dữ liệu): Connection integrity with/without recovery, Connectionless integrity, Selective field integrity
- Non-repudiation (Phòng chối cưỡng): Origin, Destination, Delivery
- Availability Service (Dịch vụ sẵn sàng): DDoS protection, Redundancy, Failover
Các thành phần kỹ thuật chính
- Firewall (NGFW): Stateful Inspection, App-ID, User-ID, Content-ID (IPS, AV, File Blocking, URL Filtering), SSL Decryption, WildFire/Sandbox
- Network Access Control (NAC): Pre-admission (Health check), Post-admission (Continuous monitoring), Profiling (IoT, BYOD), Guest Management
- VPN / ZTNA: IPsec Site-to-Site, SSL VPN Remote Access, ZTNA (App-level access, no network access)
- Segmentation: VLAN (L2), VRF (L3), Micro-segmentation (Host-based, e.g., Illumio, Guardicore), Software-Defined Perimeter
- Encryption: TLS 1.3 (Web/API), IPsec (Site-to-Site), MACsec (L2), WireGuard (Modern VPN)
- Monitoring: NetFlow/IPFIX/sFlow, Packet Capture (PCAP), Zeek (Bro), Suricata, NDR (Corelight, ExtraHop, Darktrace)
Quy trình vận hành an ninh mạng (NIST CSF Aligned)
- IDENTIFY: Asset Inventory, Data Flow, Risk Assessment, Supply Chain Risk
- PROTECT: Hardening, Config Mgmt, MFA, Encryption, Awareness Training
- DETECT: Continuous Monitoring, Anomaly Detection, Threat Hunting, Vuln Scanning
- RESPOND: IR Plan Execution, Containment, Eradication, Forensics, Communication
- RECOVER: Restore, Validate, Lessons Learned, Update Controls, Resilience Planning
Thách thức hiện đại
- Encrypted Traffic (TLS 1.3, DoH/DoT, QUIC): Khó inspect → Cần SSL Decryption / Encrypted Traffic Analysis (ETA)
- Remote/Hybrid Work: Perimeter tan vỡ → Zero Trust, ZTNA, SASE
- Cloud/Container/K8s: Ephemeral workloads, East-West traffic, CNI Security (Cilium, Calico)
- OT/IT Convergence: Purdue Model, Industrial Firewall, OT Asset Visibility (Claroty, Nozomi, Dragos)
- AI/ML Attacks: Deepfake, AI-generated phishing, Adversarial ML, Automated exploitation
Xu hướng: SASE (Secure Access Service Edge) & Zero Trust
Hội tụ Network (SD-WAN) + Security (SSE: SWG, CASB, ZTNA, FWaaS, RBI, DLP) dưới dạng Cloud-Native Service. Vendor: Zscaler, Netskope, Palo Alto Prisma SASE, Fortinet FortiSASE, Cisco Umbrella+Meraki, Cloudflare One.
