Network Security Audit là gì?
Kiểm toán an ninh mạng (Network Security Audit) là quá trình đánh giá có hệ thống các điều khiển bảo mật, cấu hình, chính sách và thực hành của hạ tầng mạng để xác định: Tuân thủ (Compliance), Hiệu quả (Effectiveness), Rủi ro còn lại (Residual Risk), và Khuyến nghị cải thiện. Mục tiêu: Đảm bảo CIA (Confidentiality, Integrity, Availability) của dữ liệu và dịch vụ mạng.
Quy trình kiểm toán chuẩn (6-7 bước)
- Planning & Scoping (Lập kế hoạch & Xác định phạm vi):
- Xác định mục tiêu: Tuân thủ (PCI DSS, ISO 27001, NIST), Đánh giá rủi ro, Due diligence M&A, Post-incident.
- Phạm vi: Toàn bộ mạng / DMZ / Data Center / Cloud VPC / Chi nhánh / OT/ICS / Remote access.
- Stakeholders: CISO, NetOps, SecOps, IT Audit, Legal, Vendor management.
- Tham chiếu: Chính sách nội bộ, CIS Benchmarks, NIST 800-53, NIST CSF, Vendor Hardening Guides, Quy định ngành.
- Information Gathering (Thu thập thông tin):
- Sơ đồ mạng (Network Diagram) — Logic & Physical, Data Flow Diagram.
- Danh sách tài sản (Asset Inventory): CMDB, Network Discovery (Nmap, Lansweeper, RunZero), IPAM.
- Cấu hình thiết bị: Running-config, Startup-config, Firmware version, License.
- Chính sách & Quy trình: Network Security Policy, ACL/Firewall Rulebase, Change Mgmt, Incident Response, BCP/DR.
- Log & Monitoring: SIEM config, Retention, Alerting rules, NetFlow/sFlow, PCAP capability.
- Phỏng vấn nhân sự: Network Admin, Security Engineer, Helpdesk, Vendor.
- Vulnerability & Threat Assessment (Đánh giá lỗ hổng & Đe dọa):
- Quét lỗ hổng (Credentialed + Uncredentialed): Nessus, Qualys, OpenVAS, Microsoft Defender VM.
- Cấu hình sai (Misconfiguration): CIS-CAT, OpenSCAP, kics, tfsec (IaC).
- Penetration Test (tùy chọn): External/Internal/Network segmentation test.
- Threat Modeling: MITRE ATT&CK mapping, Crown Jewel analysis.
- Control Testing (Kiểm tra điều khiển):
- Firewall Rule Review: Shadowed rules, Unused rules, Overly permissive (Any/Any), Missing logging, Rule recertification.
- Segmentation Verification: VLAN isolation, Micro-segmentation, East-West firewalling, Zero Trust enforcement.
- Access Control Test: NAC/802.1X, VPN/ZTNA, MFA, Privileged Access (PAM), Service Accounts.
- Encryption Verification: TLS 1.2+ everywhere, IPsec VPN, WPA2/3, Disk Encryption, Certificate Mgmt (PKI).
- Monitoring & Detection: SIEM coverage, Detection rules (Sigma/MITRE), Mean Time to Detect (MTTD), Alert fatigue.
- Incident Response Readiness: IR Plan test (Tabletop), Playbook, Forensic readiness, Backup/Restore test.
- Risk Analysis & Prioritization (Phân tích rủi ro & Ưu tiên):
- Điểm CVSS + Exploitability (EPSS) + Threat Intel + Business Impact = Risk Score.
- Phân loại: Critical / High / Medium / Low / Informational.
- Mapping đến Risk Register của tổ chức.
- Reporting & Remediation Tracking (Báo cáo & Theo dõi khắc phục):
- Executive Summary (dành cho Leadership): Rủi ro TOP 5, Chi phí ước tính, ROI khắc phục.
- Technical Findings (dành cho NetOps/SecOps): Chi tiết finding, Evidence, CIS/NIST ref, Remediation steps, Timeline.
- Remediation Tracker: Ticket (Jira/ServiceNow), Owner, Due date, Status, Verification (Re-scan/Re-test).
- Follow-up Audit: Verify closure, Regression test.
Checklist kiểm toán nhanh (Quick Audit Checklist)
| Lĩnh vực | Kiểm tra chính |
|---|---|
| Firewall/Perimeter | Rulebase review, Default deny, Logging, Geo-blocking, DDoS protection, SSL Inspect, HA |
| Network Segmentation | VLAN design, Inter-VLAN routing control, Micro-seg (NSG/SG/FW), OT/IT separation |
| Access Control | AAA (TACACS+/RADIUS), MFA admin, 802.1X, NAC posture, Guest/IoT isolation |
| Wireless | WPA2/3-Enterprise, Cert-based auth, Rogue AP detection, Client isolation, Tx power |
| VPN/Remote Access | MFA, Cert-based, Split tunnel policy, Device compliance check, ZTNA migration |
| Monitoring/Visibility | NetFlow/sFlow, SIEM ingestion, NDR, DNS logging, TLS/SSL visibility, Alert tuning |
| Vulnerability Mgmt | Scan cadence, SLA patching (Critical 72h), Asset coverage, False positive mgmt |
| Change Management | Approval workflow, Documentation, Rollback, Emergency change, Audit trail |
| Physical/Environmental | DC access control, UPS/Generator, Temp/Humidity, Cable mgmt, Labeling |
| Documentation/Policy | Network Security Policy, Topology, Runbook, Contact list, Vendor contracts, Insurance |
Công cụ hỗ trợ kiểm toán (Audit Tools)
| Danh mục | Công cụ (Commercial / Open Source) |
|---|---|
| Network Discovery & Mapping | Nmap, Masscan, RunZero, Lansweeper, NetBrain, SolarWinds NPM, Auvik |
| Config Audit & Compliance | Nipper (Tenable), SolarWinds NCM, ManageEngine NCM, rConfig, Oxidized, Batfish, Netmiko/Nornir (custom) |
| Vulnerability Scanning | Tenable.io/Nessus, Qualys VMDR, Rapid7 InsightVM, OpenVAS/GVM, Microsoft Defender VM |
| Firewall Rule Analysis | FireMon, Skybox, Tufin, AlgoSec, Palo Alto Policy Optimizer, FortiManager Policy Check |
| Traffic Analysis / NDR | Corelight (Zeek), ExtraHop, Vectra AI, Darktrace, NetWitness, Arkime (Moloch) |
| SIEM / Log Analysis | Splunk, Elastic, Microsoft Sentinel, IBM QRadar, LogRhythm, Graylog, Wazuh |
| Penetration Testing | Metasploit, Cobalt Strike, BloodHound, CrackMapExec, Nmap NSE, Impacket, Responder |
| Wireless Audit | Kismet, Wifite, Aircrack-ng, Ekahau, NetAlly, WiFi Analyzer, Wireshark (802.11) |
| Cloud Network Audit | Prowler, ScoutSuite, CloudSploit, kics, tfsec, checkov, AWS Config, Azure Policy, GCP SCC |
Các loại kiểm toán an ninh mạng
- Internal Audit: Đội ngũ nội bộ / Internal Audit dept — định kỳ (hàng năm/nửa năm).
- External/Third-party Audit: Big 4, MSSP, Specialized Cyber Audit Firm — độc lập, uy tín cao.
- Compliance Audit: PCI DSS (QSA), ISO 27001 (Registrar), SOC 2 (CPA), HIPAA, NERC CIP.
- Technical Audit: Focus kỹ thuật sâu (Config, Vuln, Pen Test, Architecture Review).
- Continuous Audit / Continuous Controls Monitoring (CCM): Tự động hóa kiểm tra hàng ngày/giờ qua API/Collector.
Best Practices cho kiểm toán hiệu quả
- Định nghĩa rõ Scope, Criteria, Methodology trước khi bắt đầu (Audit Charter).
- Dùng Evidence-based: Screenshot, Config dump, Log export, PCAP, Scan report — không chỉ phỏng vấn.
- Phân loại finding theo Risk-based (không chỉ CVSS) — liên kết tác động kinh doanh.
- Cung cấp Remediation Guidance cụ thể, actionable — không chỉ "fix it".
- Tracking remediation trong hệ thống Ticketing — có SLA, Owner, Verification.
- Chia sẻ lessons learned, cập nhật Policy/Standard/Architecture dựa trên finding.
- Xây dựng Continuous Audit cho các control quan trọng (Firewall rule, Admin access, Cert expiry, Vuln SLA).
Kết luận
Kiểm toán an ninh mạng không phải "điểm số" — là cơ chế phản hồi (feedback loop) để cải thiện tư thế bảo mật. Kết hợp: Công cụ tự động hóa (Automation) + Chuyên gia thủ công (Manual Expertise) + Quy trình quản trị rủi ro (Risk Governance). Thực hiện định kỳ, theo dõi khắc phục, đo lường xu hướng cải thiện (KRI/KPI) — biến Audit từ "chi phí" thành "đầu tư giảm rủi ro".