Firewall là gì?
Firewall (Tường lửa) là thiết bị/phần mềm giám sát, lọc lưu lượng mạng (traffic) dựa trên bộ quy tắc bảo mật được định trước. Nó quyết định cho phép (allow) hay chặn (block/deny) từng gói tin/luồng kết nối.
Vai trò then chốt – Tại sao "Critical"?
1. Dòng phòng thủ đầu tiên (First Line of Defense)
Firewall đặt ở ranh biên mạng (perimeter) – giữa mạng nội bộ (LAN) và Internet (WAN). Mọi traffic vào/ra đều phải qua nó. Nó chặn sớm các tấn công rõ ràng: port scan, brute force, exploit известный, botnet C2, malware downloader.
2. Thực thi chính sách truy cập (Policy Enforcement)
- Chỉ cho phép traffic cần thiết (principle of least privilege).
- Block mặc định (Default Deny) – an toàn hơn Allow mặc định.
- Phân đoạn mạng: DMZ, VLAN, Zero Trust segmentation.
3. Phòng chống mã độc & rò rỉ dữ liệu
- IPS (Intrusion Prevention System): Chữ ký & hành vi (signature + anomaly) chặn exploit, shellcode, SQLi, XSS.
- Anti-Malware/Anti-Botnet: Chặn file độc, callback C2, DGA domains.
- DLP (Data Loss Prevention): Giám sát/chặn xuất dữ liệu nhạy cảm (CCN, PII, IP).
- SSL/TLS Inspection: Giải mã traffic mã hóa để kiểm tra (cần quản trị cert tin cậy).
4. Giám sát & Đáp ứng (Visibility & Response)
- Logging tập trung (Syslog, SIEM): source/dest IP, port, user, app, threat, action.
- Alert real-time cho SOC/IT.
- Tích hợp SOAR: auto-block IP, isolate host, enrich threat intel.
5. Bảo vệ từ nội bộ (Insider Threat / East-West)
Firewall nội bộ (internal segmentation firewall) ngăn chặn lateral movement: ransomware lan truyền, credential theft, admin compromise.
3 loại Firewall chính (theo kiến trúc)
| Loại | Đặc điểm | Ưu/Nhược điểm |
|---|---|---|
| Packet Filtering (Stateless) | Kiểm tra header: IP src/dst, port, protocol. Không theo dõi trạng thái kết nối. | Nhanh, ít resource. Dễ bypass (IP spoof, fragment). Không hiểu ứng dụng. |
| Stateful Inspection | Theo dõi state table (TCP handshake, UDP pseudo-state). Hiểu context kết nối. | Cân bằng tốt tốc độ/bảo vệ. Tiêu chuẩn doanh nghiệp 20 năm qua. |
| Proxy / Application Layer (Layer 7) | Terminate kết nối, kiểm tra payload (HTTP, DNS, SMTP, FTP...). Deep inspection. | Bảo vệ tốt nhất lớp ứng dụng. Chậm hơn, tốn resource, có thể break app. |
Firewall hiện đại (Next-Gen Firewall - NGFW) kết hợp Stateful + App-ID + IPS + SSL Inspect + Threat Intel + User/Group ID.
Thiết kế & Triển khai Firewall hiệu quả
- Chính sách bảo mật thông tin: Xác định cái gì được/cấm, ai quản lý, quy trình thay đổi.
- Default Deny: Chặn tất cả, chỉ mở rule cần thiết (business justification).
- DMZ cho dịch vụ công khai: Web, mail, DNS public tách biệt LAN.
- Không expose quản trị (SSH/HTTPS/RDP) ra Internet: Dùng VPN + MFA + Jump host/Bastion.
- Quy tắc Outbound: Chặn kết nối ra Internet không cần thiết (chỉ cho proxy, DNS, NTP, update server).
- High Availability (HA): Active/Passive hoặc Active/Active – tránh SPOF.
- Cập nhật signature/firmware định kỳ: Tự động hoặc lịch tuần/tuần.
- Review rule định kỳ: Dọn rule unused, shadowed, overly permissive (quarterly).
- Test & Validate: Penetration test, firewall audit, breach attack simulation (BAS).
Firewall: Good hay Bad?
Tốt (Essential): Không thể bảo mật mạng hiện đại thiếu firewall.
Thách thức (Headache): Rule bloat, false positive, performance bottleneck, SSL inspect complexity, skill gap, cost. → Cần quy trình quản trị chặt chẽ, automation, nhân sự đủ kỹ năng.
Kết luận
Firewall không phải "cài xong quên" – là hệ thống sống, cần điều phối liên tục với SOC, vulnerability management, identity, endpoint. Đầu tư firewall đúng cách = đầu tư vào quy trình, người, log, và integration.