Security Controls (Điều Khiển An Ninh) Trong Network Security
Security Control là biện pháp bảo vệ (technical, administrative, physical) được triển khai để giảm thiểu rủi ro an ninh, đảm bảo CIA (Confidentiality, Integrity, Availability) cho hệ thống mạng.
1. 3 Loại điều khiển chính theo bản chất
| Loại | Mô tả | Ví dụ Network Security |
|---|
| Physical (Vật lý) | Bảo vệ tài sản hữu hình | Server room lock, Biometric access, Camera, UPS, Fire suppression, Cable management |
| Technical (Kỹ thuật/Logic) | Điều khiển bằng công nghệ | Firewall, IPS/IDS, NAC, VPN, Encryption (TLS/IPsec/MACsec), Antivirus/EDR, DLP, SIEM, WAF, Proxy, 802.1X, Micro-segmentation |
| Administrative (Quản trị) | Chính sách, quy trình, người | Security Policy, Access Control Procedure, Incident Response Plan, Training/Awareness, Risk Assessment, Vendor Management, Change Management, Audit/Compliance |
2. 4 Loại điều khiển theo chức năng (NIST 800-53)
- Preventive (Ngăn chặn): Firewall rule chặn cổng 23/3389 từ Internet, MFA, Encryption, Hardening
- Detective (Phát hiện): SIEM alert, IDS, Vulnerability scan, Log review, FIM (File Integrity Monitoring)
- Corrective (Khắc phục): Patch management, Malware removal, Restore from backup, IR playbook execution
- Deterrent (Răn đe): Warning banners, Legal policy, Camera visibility, Honeypot
- Bổ sung: Compensatory (Bù trừ): Control thay thế khi control chính không triển khai được
- Bổ sung: Recovery (Phục hồi): DRP, BCP, Backup restore test
3. Network Access Control (NAC) - Điều khiển truy cập mạng
- Mục đích: Chặn thiết bị/user không được phép truy cập private network
- Cơ chế: 802.1X (EAP), MAC Authentication Bypass (MAB), Posture Assessment (Health check)
- Thành phần: Supplicant (client), Authenticator (Switch/AP/Controller), Authentication Server (RADIUS - ISE, ClearPass, FreeRADIUS)
- Kết quả: VLAN assignment, ACL download, Quarantine VLAN, Remediation
4. Data Security Controls (Điều khiển bảo vệ dữ liệu)
- Encryption: AES-256 (data at rest), TLS 1.3 (data in transit), IPsec/MACsec (network layer)
- DLP: Network DLP, Endpoint DLP, Cloud DLP - detect & block PII/PCI/PHI exfiltration
- Tokenization: Thay thế dữ liệu nhạy cảm bằng token
- Data Classification & Labeling: Microsoft Information Protection, Titus
- Key Management: HSM, KMS, Key rotation, Split knowledge
5. Security Control Management
- Risk Management Framework (RMF): NIST 800-37 / ISO 27001
- Continuous Monitoring: Security control assessment định kỳ
- Plan of Action & Milestones (POA&M) cho control thất bại
- ST&E (Security Test & Evaluation)
6. 4 Loại Network Security Controls phổ biến
- Access Control: RBAC, ABAC, Zero Trust, PAM, MFA, 802.1X
- Malware Protection: Antivirus, Anti-malware, EDR, XDR, Sandbox
- Application Security: WAF, RASP, SAST/DAST/IAST, API Gateway Security
- Behavioral Analytics: UEBA, NDR, Network Traffic Analysis
- Data Loss Prevention: Network/Endpoint/Cloud DLP
- DDoS Prevention: Scrubbing center, Rate limiting, Anycast
- Email Security: SEG, DMARC/DKIM/SPF, Sandbox, URL rewriting
- Firewalls: NGFW, UTM, Cloud FW, Micro-segmentation (NSX, Calico, Cilium)
7. Quản trị an ninh mạng (Network Security Management)
- Authorization: Quyết định ai được làm gì (Policy decision point)
- Authentication: Xác thực danh tính (MFA, Cert, Kerberos, SAML/OIDC)
- Accounting/Auditing: Log mọi hành động (RADIUS accounting, SIEM)
- Lifecycle: Provisioning > Review > Revocation (Joiner/Mover/Leaver)
8. 5 Điều khiển vật lý cho an ninh thông tin
- CCTV監視摄像头
- Motion/Temperature sensors
- Security Guards
- Photo ID Badges
- Mantrap, Steel doors, Deadbolts
- Biometrics (Fingerprint, Iris, Face, Voice)
9. Triển khai Security Control hiệu quả
- Chọn control giải quyết rủi ro thực tế (Risk-based)
- Cost-benefit analysis (ALE vs Control Cost)
- Stakeholder involvement sớm (IT, Security, Business, Legal)
- Automation: IaC, Policy as Code, GitOps cho security config
- Metrics: Control effectiveness, Coverage, Mean time to detect/respond
Tóm lại: Control trong an ninh mạng = Mọi biện pháp bảo vệ (Physical, Technical, Administrative) để giảm rủi ro, đảm bảo CIA. Phân loại theo chức năng: Preventive, Detective, Corrective, Deterrent. Triển khai dựa trên Risk Management Framework.
