Hardening an ninh mạng (Network Hardening): Quy trình, checklist và best practices

Network Hardening là gì?

Network Hardening (Làm cứng an ninh mạng) là quá trình giảm thiểu bề mặt tấn công (attack surface) của hạ tầng mạng bằng cách: vô hiệu hóa dịch vụ/cổng không cần thiết, cấu hình an toàn mặc định, áp dụng nguyên tắc least privilege, cập nhật vá lỗ hổng, và triển khai kiểm soát bảo mật đa lớp. Mục tiêu: Tăng chi phí/khoản lực cho kẻ tấn công, giảm xác suất và tác động của việc xâm nhập thành công.

Tại sao cần Hardening?

• Cấu hình mặc định của thiết bị mạng (router, switch, firewall, AP) thường ưu tiên dễ dùng/tương thích — không an toàn.
• Kẻ tấn công quét tự động (Shodan, Censys, Masscan) tìm thiết bị cấu hình yếu, firmware cũ, dịch vụ mở (Telnet, SNMP v1/v2c, HTTP, Cisco Smart Install, HTTP Proxy...).
• Tuân thủ: PCI DSS Req 2.2, NIST 800-53 CM-7, CIS Benchmarks, ISO 27001 Annex A.13.

Checklist Hardening thiết bị mạng (Router, Switch, Firewall, Wireless Controller, Load Balancer)

1. Quản trị truy cập (Access Management)

• ✅ Đổi mật khẩu mặc định (admin/admin, admin/password, cisco/cisco...) → Mật khẩu mạnh, duy nhất.
• ✅ Tạo tài khoản admin cá nhân cho từng quản trị viên — không dùng shared account.
• ✅ Bật AAA (Authentication, Authorization, Accounting): TACACS+ / RADIUS → MFA cho admin access.
• ✅ Vô hiệu hóa tài khoản mặc định không dùng (guest, root remote login).
• ✅ Giới hạn truy cập quản trị: Chỉ cho phép từ IP quản trị (Management VLAN/Subnet), qua Jump Host/Bastion.
• ✅ SSH v2 only (tắt Telnet, SSH v1). Khóa RSA/ECDSA/Ed25519 ≥ 2048/256-bit.
• ✅ HTTPS/TLS 1.2+ cho Web GUI (tắt HTTP, TLS 1.0/1.1). Cert hợp lệ (không self-signed cho production).
• ✅ Session timeout: Idle timeout ≤ 15 phút, Absolute timeout ≤ 1 giờ.
• ✅ Banner đăng nhập cảnh báo pháp lý (Login Banner).

2. Dịch vụ & Giao thức (Services & Protocols)

• ✅ Tắt CDP (Cisco Discovery Protocol), LLDP, UDLD trên port không cần (port user).
• ✅ Tắt HTTP/HTTPS server nếu không dùng Web GUI (dùng CLI/API).
• ✅ Tắt SNMP v1/v2c (community string cleartext) → Dùng SNMPv3 (AuthPriv: AES/SHA).
• ✅ Tắt Cisco Smart Install (SMI) (CVE-2018-0171), HTTP Proxy, TFTP server không cần.
• ✅ Tắt IP Source Routing, ICMP Redirect, Proxy ARP, Directed Broadcast.
• ✅ Tắt VTP (VLAN Trunking Protocol) hoặc đặt mode Transparent + Domain/Password mạnh.
• ✅ Tắt DTP (Dynamic Trunking Protocol) → Cấu hình trunk/access tĩnh.
• ✅ Tắt PAgP/LACP trên port access (port user/server) — chỉ bật trên uplink trunk.

3. Phân đoạn & Kiểm soát 평面 (Segmentation & Control Plane)

• ✅ Management Plane: VLAN/Subnet riêng, ACL chỉ cho phép IP admin, Out-of-band (OOB) management (iDRAC, iLO, Console Server).
• ✅ Control Plane Policing (CoPP) / Control Plane Protection (CPPr): Rate-limit traffic đến CPU (BGP, OSPF, STP, ARP, ICMP, SSH, SNMP...).
• ✅ Routing Protocol Authentication: OSPF (MD5/SHA), BGP (MD5/TCP-AO), IS-IS, EIGRP — key rotation định kỳ.
• ✅ STP Security: BPDU Guard, Root Guard, Loop Guard, PortFast trên port access.
• ✅ DHCP Snooping + Dynamic ARP Inspection (DAI) + IP Source Guard trên port access.
• ✅ Port Security: Giới hạn MAC address, violation action (shutdown/restrict/protect), aging.
• ✅ Private VLAN / Micro-segmentation: Cách ly workload cùng subnet (DB không nói trực tiếp với Web).

4. Wireless Hardening (Access Point / Controller)

• ✅ WPA3-SAE / WPA2-PSK (AES only) — Tắt TKIP, WEP, WPA.
• ✅ Enterprise: 802.1X (EAP-TLS > PEAP-MSCHAPv2 > EAP-TTLS), RADIUS + CA tin cậy.
• ✅ Tắt WPS, P2P (Wi-Fi Direct) trên AP.
• ✅ Band Steering / Load Balancing / Airtime Fairness.
• ✅ Rogue AP Detection / Containment (WIPS).
• ✅ Client Isolation (AP Isolation) cho Guest/IoT network.
• ✅ Tx Power tuning: Giảm công suất tránh rò rỉ tín hiệu ra ngoài ranh giới vật lý.
• ✅ Đổi SSID mặc định, không chứa tên công ty/địa chỉ.

5. Logging, Monitoring & Compliance

• ✅ Gửi Syslog (TLS/TCP 6514) → SIEM / Log Collector tập trung.
• ✅ Bật NetFlow / IPFIX / sFlow → Network Traffic Analysis (NDR).
• ✅ NTP đồng bộ nguồn thời gian tin cậy (stratum 1/2, authentication).
• ✅ Cấu hình SNMPv3 Traps/Informs cho monitoring (PRTG, SolarWinds, Zabbix, LibreNMS).
• ✅ Backup cấu hình tự động hàng ngày/ngày giờ (Git/Config Mgmt Tool: Ansible, NetBox, Rancid, NCM).
• ✅ Kiểm tra tuân thủ (Compliance Audit) theo CIS Benchmark / NIST 800-53 / Vendor Hardening Guide định kỳ.

6. Firmware & Patch Management

• ✅ Theo dõi Security Advisory của vendor (Cisco PSIRT, Fortinet PSIRT, Palo Alto, Juniper, Aruba...).
• ✅ Test firmware trên Lab/Staging trước production.
• ✅ Lịch cập nhật: Critical (0-day/active exploit) → 72h; High → 30 ngày; Medium/Low → 90 ngày.
• ✅ Verified boot / Secure Boot / Signed firmware (nếu thiết bị hỗ trợ).

Server / Endpoint Hardening (Bổ sung — Defense in Depth)

• CIS Benchmarks (Windows Server, Linux, Kubernetes, Docker, SQL, Exchange...).
• Tắt dịch vụ/cổng không dùng, Remove unused software/feature/role.
• AppLocker / WDAC (Windows), SELinux/AppArmor (Linux) — Enforcing mode.
• Credential Guard, HVCI (VBS), LSA Protection (Windows).
• Disk Encryption (BitLocker, LUKS), TPM 2.0.
• EDR/XDR Agent, Vulnerability Scanner Agent.
• Automated Patch Management (WSUS, SCCM/Intune, Ansible, yum-cron/unattended-upgrades).

Công cụ hỗ trợ Hardening & Audit

• CIS-CAT Pro / Lite: Quét tuân thủ CIS Benchmark.
• OpenSCAP / SCAP Scanner: Quét NIST 800-53, STIG, CIS (Linux/Windows).
• Nessus / OpenVAS / Qualys: Vulnerability scanning cấu hình.
• Ansible / Terraform / Puppet / Chef: IaC cho hardening nhất quán, lặp lại được.
• Netmiko / NAPALM / Nornir: Network automation (push config, audit).
• Microsoft Security Baselines: GPO/Intune policy cho Windows/Edge/Office.

Quy trình Hardening tiêu chuẩn

1. Inventory: Tài sản mạng (CMDB) — thiết bị, firmware, vai trò, owner.
2. Baseline: Chọn benchmark (CIS, NIST, Vendor Guide) phù hợp loại thiết bị/môi trường.
3. Assess: Quét hiện trạng (Gap Analysis) — so sánh với baseline.
4. Plan: Ưu tiên rủi ro (Critical/High first), lịch triển khai, rollback plan, change mgmt.
5. Implement: Triển khai qua Automation (Ansible/Terraform) hoặc Manual (có change ticket).
6. Verify: Quét lại (Post-hardening scan), Test chức năng (Connectivity, App, Monitoring).
7. Monitor & Maintain: Continuous compliance, Drift detection, Periodic re-assessment.
8. Document: Hardening Guide nội bộ, Exception log, Audit trail.

Kết luận

Network Hardening không phải cấu hình một lần xong — là quy trình liên tục (Continuous Hardening). Kết hợp: CIS Benchmarks + Vendor Guides + Automation (IaC) + Continuous Monitoring + Patch Management + Security Culture. Bắt đầu từ thiết bị quan trọng nhất (Core Switch, Border Firewall, Wireless Controller) → Mở rộng toàn bộ hạ tầng. "Secure by default, secure by design, secure by operations."