Network Security hoạt động như thế nào?
An ninh mạng hoạt động dựa trên mô hình Defense-in-Depth (Bảo vệ đa lớp) — triển khai nhiều lớp kiểm soát chồng chéo từ biên giới đến dữ liệu, đảm bảo nếu một lớp bị vượt qua, các lớp khác vẫn bảo vệ tài sản. Ba nguyên tắc cốt lõi (CIA Triad) dẫn dắt mọi quyết định: Confidentiality (Bảo mật), Integrity (Toàn vẹn), Availability (Khả dụng).
Các công nghệ kiểm soát chính (Security Controls) theo lớp
| Lớp bảo vệ | Công nghệ / Control | Chức năng chính |
|---|---|---|
| 1. Perimeter (Biên giới) | Border Firewall / NGFW | Lọc L3/L4/L7, App Control, IPS, SSL Inspect, Threat Intel, Geo-blocking |
| DDoS Protection / Scrubbing | Hấp thụ/lọc tấn công volumetric, protocol, application layer | |
| DNS Security / DNS Firewall | Chặn domain độc hại (C2, phishing, malware), DNSSEC validation | |
| 2. Network Segmentation (Phân đoạn) | VLAN / Subnet / Zone | Phân chia miền broadcast, miền lỗi, miền bảo mật |
| Internal Firewall / East-West FW | Kiểm soát lưu lượng giữa các zone (DMZ, App, DB, Mgmt, OT, Guest) | |
| Micro-segmentation / Zero Trust Segmentation | Cách ly workload-level (VM/Pod), Identity-based policy (Illumio, Guardicore, Cisco ACI, Cilium) | |
| 3. Secure Connectivity (Kết nối an toàn) | VPN (IPsec, SSL, WireGuard) | Mã hóa tunnel remote access / site-to-site |
| ZTNA (Zero Trust Network Access) | Truy cập ứng dụng dựa trên identity + device trust, không expose network | |
| SD-WAN Security | Overlay encryption, Centralized policy, Integrated FW/SSE | |
| 4. Monitoring & Detection (Giám sát & Phát hiện) | NetFlow / IPFIX / sFlow Collection | Visibility lưu lượng: Volume, Top talker, Anomaly, DDoS early warning |
| NDR (Network Detection & Response) | Phân tích packet/flow (Zeek, ML) phát hiện lateral movement, C2, data exfil | |
| SIEM / Log Analytics | Tập trung log, Correlation rule (Sigma/MITRE), Alert, Threat Hunting, Dashboard | |
| 5. Endpoint Protection (Điểm cuối) | EDR / XDR | Behavioral detection, Automated response, Threat hunting, Vuln assessment |
| Host Firewall / Port Filtering | Local firewall (Windows Defender FW, nftables, pf) — Default deny inbound | |
| Application Control / WDAC / AppLocker | Chỉ cho phép binary đã ký/chứng thực chạy | |
| 6. Application & Data (Ứng dụng & Dữ liệu) | WAF / API Gateway / WAAP | Bảo vệ OWASP Top 10, Bot mitigation, API Schema validation, Rate limiting |
| DLP (Network + Endpoint + Cloud) | Phát hiện/chặn rò rỉ PII, PCI, PHI, IP qua email, web, USB, cloud, print | |
| Encryption & Key Management | TLS 1.2+/1.3 everywhere, IPsec, Disk Encryption, HSM/KMS, Certificate Lifecycle Mgmt | |
| 7. Identity & Access (Danh tính & Truy cập) | IAM / IdP (Entra ID, Okta, Ping, Keycloak) | SSO, MFA (Phishing-resistant: FIDO2/WebAuthn), Conditional Access, Lifecycle Mgmt |
| PAM (Privileged Access Management) | Just-in-Time access, Session recording, Credential vault, Password rotation | |
| CIEM (Cloud Infrastructure Entitlement Mgmt) | Quản trị least privilege cho identity cloud (human + non-human) | |
| 8. Operations & Governance (Vận hành & Quản trị) | Vulnerability & Patch Management | Continuous scanning, Risk-based prioritization (EPSS/KEV), Automated patching |
| Configuration & Drift Management | Golden Config (CIS), IaC (Terraform/Ansible), GitOps, Drift detection/auto-remediate | |
| Incident Response & Resilience | IR Plan, Playbook, Tabletop, Backup/DR Test, Cyber Insurance, Threat Intel Sharing |
Nguyên tắc thiết kế an ninh mạng hiện đại
- Zero Trust (Không tin cậy mặc định): Never trust, always verify. Xác thực & ủy quyền mọi request (User + Device + Context) — không quan tâm vị trí mạng.
- Least Privilege (Đặc quyền tối thiểu): Chỉ cấp quyền tối thiểu, thời gian ngắn nhất (Just-in-Time, Just-Enough).
- Assume Breach (Giả định đã bị xâm nhập): Thiết kế để phát hiện sớm, hạn chế blast radius, phục hồi nhanh.
- Defense-in-Depth (Bảo vệ đa lớp): Không phụ thuộc đơn lẻ vào một control.
- Secure by Default / Design: Mặc định an toàn (Deny all), bật tính năng theo nhu cầu.
- Automation First: Cấu hình, vá lỗ hổng, response, compliance check tự động hóa.
- Visibility & Analytics: Không bảo vệ được cái không thấy — Full packet/flow/log visibility.
- Resilience & Recovery: Thiết kế cho failure — HA, Backup, DR, Chaos Engineering.
Ví dụ luồng xử lý một gói tin qua hệ thống an ninh mạng
- User (Managed Laptop + EDR) → Kết nối Wi-Fi WPA3-Enterprise (802.1X/EAP-TLS) → NAC kiểm tra Posture (AV, Patch, Disk Encrypt) → Gán VLAN Corporate + DACL.
- Truy cập App nội bộ: ZTNA Agent → IdP (MFA FIDO2) + Device Trust → Policy Engine quyết định Allow/Deny → Proxy kết nối đến App (Zero Trust Proxy).
- Truy cập Internet: SWG/Proxy (TLS Inspect) → URL Filtering (Block Malware/Phishing/Gambling) → DLP Scan (Credit Card/SSN) → Sandbox File Download → Allow/Deny.
- Lưu lượng ngầm: NetFlow → NDR (ML baseline) → Detect Beaconing/Lateral Movement → Alert SIEM → SOAR Auto-contain (Block IP, Quarantine Host).
- Admin quản trị Firewall: Jump Host → TACACS+ (MFA) → CLI/Web GUI (HTTPS/TLS 1.3) → Change Control (GitOps/IaC) → Deploy → Verify Drift.
Kết luận
An ninh mạng hoạt động bằng cách triển khai các điều khiển (controls) đa lớp, tự động hóa, dựa trên danh tính và ngữ cảnh để bảo vệ CIA Triad. Không có "hệ thống hoàn hảo" — chỉ có quản trị rủi ro liên tục: Identify → Protect → Detect → Respond → Recover (NIST CSF). Thành công đòi hỏi: Kiến trúc Zero Trust, Stack công cụ tích hợp (Platform approach), Nhân sự có năng lực, Văn hóa an ninh, và Cam kết lãnh đạo.