Các biện pháp kiểm soát bảo mật mạng (Network Security Controls)
Network Security Controls là các bảo vệ kỹ thuật và quản trị được triển khai để đảm bảo tính bảo mật (Confidentiality), toàn vẹn (Integrity) và sẵn sàng (Availability) của dịch vụ mạng - mô hình CIA Triad. Chúng giảm thiểu rủi ro vi phạm an ninh.
3 danh mục chính của Security Controls
| Danh mục | Mô tả | Ví dụ |
|---|---|---|
| Management (Quản trị) | Chính sách, quy trình, thủ tục quản lý an ninh | Chính sách mật khẩu, phân loại dữ liệu, đánh giá rủi ro, kế hoạch ứng phó sự cố, đào tạo nhận thức |
| Operational (Vận hành) | Các biện pháp thực hiện hàng ngày bởi nhân sự | Giám sát SOC, quản lý bản vá, quy trình thay đổi, backup/restore, quản lý log, physical security guard |
| Technical (Kỹ thuật) | Công cụ, phần mềm, phần cứng thực thi bảo vệ | Firewall, IDS/IPS, AV/EDR, VPN, NAC, SIEM, DLP, WAF, mã hóa, MFA |
4 loại kiểm soát theo chức năng (NIST)
- Preventive (Ngăn chặn): Chặn tấn công trước khi xảy ra - Firewall, ACL, MFA, Hardening, Encryption
- Detective (Phát hiện): Nhận diện sự cố - IDS/IPS, SIEM, Log monitoring, FIM, Vulnerability scanning
- Corrective (Khắc phục): Hạn chế thiệt hại, khôi phục - Backup/restore, Patch management, Incident response, Malware removal
- Deterrent (Răn đe): Ngăn chặn hành vi xấu - Chính sách sử dụng, Cảnh báo banner, Camera, Hậu quả vi phạm
Ví dụ cụ thể Network Security Controls
1. Access Control (Kiểm soát truy cập)
- Network Access Control (NAC): 802.1X, MFA, posture assessment (health check) trước khi cho vào mạng
- Zero Trust Network Access (ZTNA): Verify every request, least privilege, micro-segmentation
- Privileged Access Management (PAM): Quản lý tài khoản admin, session recording, just-in-time access
2. Network Segmentation (Phân đoạn mạng)
- VLAN, Subnet, Zone (DMZ, Internal, Server, Guest, IoT, OT)
- Firewall giữa các zone (East-West traffic inspection)
- Software-Defined Perimeter (SDP)
3. Threat Prevention & Detection
- Firewall: Stateful inspection, Next-Gen Firewall (App-ID, User-ID, SSL Decrypt)
- IDS/IPS: Snort, Suricata, Cisco Firepower, Palo Alto Threat Prevention
- Anti-Malware/EDR: CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Cortex XDR
- WAF: Cloudflare, AWS WAF, Imperva, F5 ASM - bảo vệ ứng dụng web (OWASP Top 10)
- DNS Security: Cisco Umbrella, Quad9, Infoblox - chặn domain độc hại, DGAs, tunneling
4. Data Protection
- DLP (Data Loss Prevention): Symantec DLP, Forcepoint, Microsoft Purview - theo dõi, chặn rò rỉ dữ liệu nhạy cảm
- Encryption: TLS 1.3 (in-transit), AES-256 (at-rest), IPsec VPN, MACsec
- Email Security: Proofpoint, Mimecast, Microsoft Defender for Office 365 - anti-phishing, sandbox, DMARC/DKIM/SPF
5. Monitoring & Visibility
- SIEM: Splunk, Elastic, IBM QRadar, Microsoft Sentinel - tập trung log, correlation, alerting
- NDR (Network Detection & Response): ExtraHop, Vectra AI, Darktrace - behavioral analytics, ML-based detection
- NetFlow/IPFIX Analysis: Phân tích traffic pattern, anomaly detection
6. Resilience & Availability
- DDoS Protection: Cloudflare, AWS Shield, Akamai, Arbor Networks
- Load Balancer: Health check, failover, SSL offload
- Redundancy: HA pair, multi-AZ, multi-region, backup link (SD-WAN)
Các tiêu chuẩn/Khung tham chiếu
- NIST CSF: Identify, Protect, Detect, Respond, Recover
- NIST SP 800-53: 18 control families, 900+ controls (AC, AU, CM, IA, SC, SI...)
- ISO 27001/27002: Annex A controls (A.5-A.18)
- CIS Controls v8: 18 Critical Security Controls (IG1, IG2, IG3)
- MITRE ATT&CK: Mapping controls to adversary tactics/techniques
Kiểm soát truy cập mạng (Network Access Control - NAC)
NAC tích hợp chính sách bảo mật tổ chức vào hoạt động của endpoint. Giải pháp NAC hiện đại:
- Agent-based hoặc Agentless (dựa trên DHCP, RADIUS, SNMP, API)
- Posture assessment: AV status, patch level, disk encryption, domain membership
- Remediation: Tự động sửa lỗi (cập nhật AV, bật firewall) hoặc quarantine VLAN
- Guest/IoT onboarding: Captive portal, MAB (MAC Authentication Bypass), profiling
Mức độ cơ bản nhất của Network Security
Access Control Policy (Chính sách kiểm soát truy cập): Xác định thiết bị nào được truy cập tài nguyên nào. Chỉ dựa trên quy tắc đơn giản do admin tạo, chưa có trí tuệ nhân tạo hay behavioral analysis.