An ninh mạng (Network Security) — Phân loại toàn diện
An ninh mạng không phải một giải pháp đơn lẻ mà là hệ thống các biện pháp kiểm soát (controls) được phân loại theo: Lớp bảo vệ (Layer), Chức năng (Function), Môi trường triển khai. Dưới đây là phân loại phổ biến nhất trong thực tế doanh nghiệp.
1. Phân loại theo Chức năng (Functional Categories) — Phổ biến nhất
| Loại an ninh | Mục tiêu | Công nghệ/Control điển hình |
|---|---|---|
| Access Control (Kiểm soát truy cập) | Ai được truy cập tài nguyên gì, dưới điều kiện nào (AAA) | NAC (802.1X), MFA, PAM, Zero Trust (ZTNA), RBAC/ABAC, TACACS+/RADIUS |
| Firewall / Network Filtering | Lọc lưu lượng theo quy tắc (L3/L4/L7), ngăn chặn truy cập trái phép | Next-Gen Firewall (Palo Alto, FortiGate, Check Point), Cloud FW (AWS/Azure/GCP), Host FW |
| Intrusion Detection/Prevention (IDS/IPS) | Phát hiện/chặn tấn công mạng (exploit, scan, C2, lateral movement) | Network IDS/IPS (Snort, Suricata, Cisco FirePOWER), Host IPS (HIPS) |
| VPN / Secure Remote Access | Mã hóa và xác thực kết nối từ xa | IPsec, SSL VPN, WireGuard, ZTNA (Zscaler ZPA, Twingate, Cloudflare Access) |
| Email Security | Chặn spam, phishing, malware, BEC, DLP qua email | Secure Email Gateway (Proofpoint, Mimecast, Microsoft Defender for O365), DMARC/DKIM/SPF |
| Web Security / SWG / CASB | Lọc URL, kiểm tra SSL, DLP web, quản trị SaaS (Shadow IT) | Secure Web Gateway (Zscaler, Netskope, Forcepoint), CASB, RBI (Remote Browser Isolation) |
| Wireless Security | Bảo vệ mạng Wi-Fi (xác thực, mã hóa, phát hiện AP giả) | WPA3/Enterprise (802.1X), WIPS/WIDS, Captive Portal, NAC integration |
| Endpoint Detection & Response (EDR/XDR) | Phát hiện đe dọa trên endpoint, response tự động | CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Cortex XDR, Elastic Defend |
| Network Detection & Response (NDR) | Phân tích lưu lượng mạng (packet/flow) phát hiện anomaly, lateral movement | ExtraHop, Vectra AI, Darktrace, Corelight (Zeek), Stamus Networks |
| Data Loss Prevention (DLP) | Ngăn rò rỉ dữ liệu nhạy cảm (PII, PCI, IP, Medical) qua mọi kênh | Network DLP, Endpoint DLP, Cloud DLP, Email DLP (Forcepoint, Symantec, Microsoft Purview) |
| Vulnerability & Patch Management | Quét, ưu tiên, vá lỗ hổng hệ thống/ứng dụng/mạng | Tenable, Qualys, Rapid7, Microsoft Defender VM, Automox, Ivanti, WSUS/Intune |
| Security Monitoring & Analytics (SIEM/SOAR) | Thu thập log, tương quan, alert, threat hunting, tự động hóa phản ứng | Splunk, Microsoft Sentinel, Elastic, IBM QRadar, Cortex XSOAR, Sumo Logic, Wazuh |
| Application Security (AppSec) | Bảo vệ ứng dụng trong SDLC (DevSecOps) | WAF, SAST/DAST/SCA/IAST, API Gateway, RASP, Container/K8s Security (Trivy, Aqua, Sysdig) |
| Cloud Network Security | Bảo vệ VPC/VNet, Security Group, NACL, Service Mesh, CNI | AWS Network Firewall, Azure Firewall, GCP Cloud Armor, Cilium, Calico, Isovalent |
| DDoS Protection | Giảm thiểu tấn công từ chối dịch vụ | Cloudflare, Akamai, AWS Shield, Azure DDoS Protection, Arbor, Radware, On-prem scrubbing |
| Deception Technology | Honeypot, Honeytoken, Decoy network — phát hiện sớm kẻ xâm nhập | Attivo (SentinelOne), TrapX, Illusive, Acalvio, Thinkst Canary |
2. Phân loại theo Mô hình Defense-in-Depth (Lớp bảo vệ)
- Perimeter Security (Biên giới): Border Firewall, DDoS Scrubbing, Threat Intel Feed, DNS Firewall.
- Network Segmentation (Phân đoạn mạng): VLAN, Subnet, Firewall East-West, Micro-segmentation (VMware NSX, Cisco ACI, Illumio, Guardicore), Zero Trust Segmentation.
- Secure Connectivity (Kết nối an toàn): VPN, ZTNA, SD-WAN Security, SASE/SSE.
- Monitoring & Detection (Giám sát & Phát hiện): NetFlow/IPFIX, NDR, SIEM, UEBA, Threat Hunting.
- Endpoint Protection (Điểm cuối): EDR/XDR, App Control, Disk Encryption, USB Control.
- Application & Data Security (Ứng dụng & Dữ liệu): WAF, API Security, DLP, Encryption, Key Management (HSM/KMS), Backup/DR.
- Identity & Access (Danh tính & Truy cập): IAM, MFA, SSO, PAM, CIEM, Conditional Access.
- Operations & Governance (Vận hành & Quản trị): Vuln Mgmt, Patch Mgmt, Config Mgmt (IaC), Policy as Code, Compliance Automation, IR/BCP/DR.
3. Phân loại theo Môi trường triển khai
- On-premises (Tại chỗ): Physical/Virtual Appliance, Host-based agent, TAP/SPAN port.
- Cloud-native (Cloud-first): Cloud FW, Security Group, NACL, Cloud WAF, CSPM, CWPP, CIEM, Serverless Security.
- Hybrid / Multi-cloud: Centralized Policy Management (Panorama, FortiManager, Panorama, Cisco CDO, Tufin, AlgoSec), Consistent enforcement across env.
- OT/ICS/IIoT: Purdue Model, Industrial Firewall (Nozomi, Claroty, Dragos, TXOne), Unidirectional Gateway (Data Diode), IEC 62443.
- Mobile / BYOD: MDM/EMM/UEM, MTD (Mobile Threat Defense), App Wrapping, Containerization.
4. 5 Loại an ninh mạng theo NIST / Gartner (High-level)
- Critical Infrastructure Security — Bảo vệ hệ thống then chốt (Điện, Nước, Giao thông, Y tế, Tài chính).
- Network Security — Bảo vệ tính toàn vẹn, bảo mật, khả dụng của mạng (chủ đề bài này).
- Cloud Security — Bảo vệ dữ liệu, ứng dụng, hạ tầng trên đám mây.
- IoT/OT Security — Bảo vệ thiết bị kết nối, hệ thống điều khiển công nghiệp.
- Application Security — Bảo vệ ứng dụng suốt vòng đời (SDLC/DevSecOps).
Ví dụ minh họa an ninh mạng trong thực tế
- Firewall Rule: Chặn inbound Internet → Management port (SSH 22, RDP 3389, HTTPS 443) chỉ cho phép từ Management Subnet / Bastion IP.
- NAC: Laptop domain-joined + Compliance (AV updated, Disk encrypted, Patch < 30 days) → VLAN Corporate. Laptop không đạt → VLAN Quarantine → Remediation.
- DLP: Email chứa số thẻ tín dụng (regex LUHN) → Block/Quarantine/Encrypt + Alert Security Team.
- SIEM Rule: 5 failed login trong 5 phút từ cùng IP → Alert "Brute Force" → Auto-block IP 1h qua Firewall API.
- ZTNA: User truy cập App nội bộ → IdP verify (MFA + Device Trust) → Proxy cấp quyền tối thiểu (Least Privilege) → KhôngExpose network.
Kết luận
An ninh mạng hiện đại không còn là "mua firewall xong". Yêu cầu: Kiến trúc Zero Trust (Never trust, always verify), Tự động hóa (IaC, SOAR, Policy as Code), Threat Intelligence tích hợp, Visibility end-to-end (Network + Endpoint + Cloud + Identity), và Văn hóa Security by Design. Chọn bộ công cụ (Stack) phù hợp rủi ro, ngân sách, nhân sự và lộ trình số hóa của tổ chức.