Định nghĩa Bảo mật mạng (Network Security)
Bảo mật mạng là tập hợp các công nghệ, chính sách, quy trình và thực hành được thiết kế để bảo vệ **tính bảo mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability)** của cơ sở hạ tầng mạng, dữ liệu truyền tải trên mạng, và các hệ thống kết nối với mạng – ngăn chặn truy cập trái phép, sử dụng sai mục đích, rò rỉ, gián đoạn, sửa đổi hoặc phá hủy.
Ba trụ cột CIA Triad trong ngữ cảnh Mạng
- Confidentiality: Mã hóa (TLS, IPsec, MACsec, WPA3), VPN, Segment/Zero Trust, DLP. Ngăn nghe lén, MITM, data exfiltration.
- Integrity: Hashing, Digital Signature, Certificate Pinning, Secure Boot, FIM, Blockchain/Immutable Log. Ngăn sửa đổi traffic, DNS spoofing, ARP poisoning, BGP hijack.
- Availability: DDoS Protection (L3/4/7), HA/Failover, Load Balancing, QoS, Redundancy (dual-homed, multi-path), Capacity Planning. Ngăn flood, amplification, ransomware wiper.
Các loại (Types) Bảo mật mạng chính
| Loại | Mô tả | Công nghệ / Kiểm soát điển hình |
|---|---|---|
| Access Control (Kiểm soát truy cập) | Ai được vào mạng, vào đâu, làm gì | NAC (802.1X, MAB), ZTNA, VPN, SDP, RBAC/ABAC, PAM, Guest/IO/IoT segmentation |
| Firewall / Perimeter Security | Lọc traffic ranh giới & nội bộ | NGFW (App-ID, IPS, SSL Inspect, AV, Sandbox), Internal Segmentation FW, Cloud FW, eBPF/XDP host FW |
| Intrusion Detection/Prevention (IDS/IPS) | Phát hiện/Chặn tấn công đã biết & bất thường | Signature-based (Snort/Suricata/ET Pro), Anomaly/ML-based (NDR: Corelight, Zeek, Darktrace, Vectra) |
| VPN / Encrypted Tunnel | Kết nối an toàn qua mạng không tin cậy | IPsec (Site-to-Site), SSL/TLS VPN (Remote Access), WireGuard, MACsec (L2), Zero Trust Network Access (ZTNA) |
| Wireless Security | Bảo mật Wi-Fi | WPA3-Enterprise (802.1X), WPA3-Personal (SAE), WPA2-AES, EAP-TLS/PEAP, Rogue AP detection, WIPS |
| Email / Web Security | Bảo vệ vector email & web | Secure Email Gateway (SEG), DMARC/DKIM/SPF, Browser Isolation, SWG, CASB, DNS Security (DoH/DoT, RPZ) |
| DDoS Protection | Chống ngập traffic | On-prem (Arbor, Radware, FortiDDoS), Cloud scrubbing (Cloudflare, Akamai, AWS Shield, Azure DDoS), ISP cleaning |
| Network Monitoring & Analytics (NDR/NetFlow) | Visibility, Threat Hunting | NetFlow/IPFIX/sFlow, PCAP (Zeek, Suricata, Arkime), NDR (ExtraHop, Gigamon, Corelight), Flow analytics (Kentik, Plixer) |
| Data Loss Prevention (DLP) Network | Chặn rò rỉ dữ liệu nhạy cảm qua mạng | Network DLP (Forcepoint, Digital Guardian, Symantec, Microsoft Purview), ICAP integration |
| Segmentation / Zero Trust | Chia nhỏ bề mặt tấn công | VLAN, VRF, Micro-segmentation (Illumio, Guardicore/Akanda, Cisco ACI, VMware NSX), Identity-based policy |
Kiến trúc tham chiếu hiện đại
1. Zero Trust Architecture (NIST SP 800-207 / CISA)
- Không tin cậy mặc định (no implicit trust).
- Verify explicitly (User + Device + Context).
- Least privilege access.
- Assume breach.
- Components: Policy Engine (PE), Policy Administrator (PA), Policy Enforcement Point (PEP).
2. SASE / SSE (Gartner)
- SASE (Secure Access Service Edge): SD-WAN + SSE (Security Service Edge).
- SSE: SWG (Secure Web Gateway) + CASB (Cloud Access Security Broker) + ZTNA (Zero Trust Network Access) + FWaaS (Firewall as a Service).
- Cloud-delivered, identity-centric, global PoP.
3. Defense in Depth (DiD) – Mô hình lớp
Perimeter → Network → Endpoint → Application → Data → Physical → Policies/People. Mỗi lớp bù đắp lỗ hổng lớp khác.
Tại sao quan trọng? (Business Case)
- Chi phí trung bình Data Breach **$4.45M** (IBM 2023).
- Ransomware: 72% tổ chức bị tấn công 2023 (Sophos).
- Tuân thủ: GDPR (€20M/4% revenue), PCI-DSS, HIPAA, NIS2, Vietnam Cybersecurity Law.
- Uy tín thương hiệu, niềm tin khách hàng, sự liên tục kinh doanh.
Xu hướng 2024-2025
- AI/ML cho Threat Detection & Response: UEBA, Automated SOC, Generative AI for threat intel/reporting.
- Quantum-Ready Cryptography (PQC): Chuẩn bị CRYSTALS-Kyber (KEM), Dilithium (Signature) cho TLS 1.3, IPsec, MACsec, Firmware signing.
- OT/IT Convergence Security: IEC 62443, Purdue Model segmentation, OT-specific NDR/IDS.
- API Security: Discovery, Schema validation, Runtime protection, Business logic abuse prevention.
- Supply Chain Security: SBOM (SPDX/CycloneDX), SLSA, Sigstore, VEX, Dependency confusion/typosquatting defense.
Kết luận
Bảo mật mạng không phải "cài firewall xong". Là **hệ thống sống**, đòi hỏi: **Kiến trúc Zero Trust**, **Visibility sâu (NDR/NetFlow/PCAP)**, **Automation (SOAR/IaC)**, **Nhân sự có kỹ năng (Blue/Red/Purple Team)**, **Governance rủi ro liên tục**. Đầu tư bảo mật mạng = Đầu tư vào sự bền vững của tổ chức.