Network & System Hardening (Cứng hóa an ninh) là gì?
Là quá trình giảm bề mặt tấn công (attack surface) bằng cách tắt dịch vụ không cần, cấu hình an toàn mặc định, áp dụng nguyên tắc least privilege, cập nhật bản vá, và triển khai kiểm soát bảo vệ – mục tiêu: kẻ tấn công càng khó khai thác thành công càng tốt.
1. Cứng hóa thiết bị mạng (Network Device Hardening)
- Tắt dịch vụ không dùng: Telnet, HTTP, SNMP v1/v2c, CDP, LLDP, HTTP Server, FTP, TFTP (trừ khi cần).
- Bật SSH v2, HTTPS, SNMPv3 (AuthPriv), Netconf/RESTCONF over TLS.
- Thay đổi mật khẩu mặc định → passphrase mạnh, dùng AAA (TACACS+/RADIUS) + MFA cho admin.
- Role-Based Access Control (RBAC): view-only, operator, admin – không dùng shared account.
- Access Control List (ACL) trên Management Plane: chỉ cho phép IP quản trị (jump host/bastion).
- Logging & Monitoring: syslog → SIEM, NTP đồng bộ, buffer size đủ lớn.
- Cập nhật firmware định kỳ (vetted staging → production).
- Port Security / Dynamic ARP Inspection / DHCP Snooping / IP Source Guard trên switch access.
2. Cứng hóa Server & Endpoint (OS Hardening)
| Hành động | Windows | Linux |
|---|---|---|
| Tắt dịch vụ không cần | Services.msc, Disable-WindowsOptionalFeature | systemctl disable --now, systemd-analyze |
| Cấu hình Firewall host | Windows Firewall / WFAS (GPO), Default Deny Inbound | nftables/iptables, firewalld, ufw – Default Deny |
| Audit Policy / Auditd | Advanced Audit Policy (GPO) – Logon, Process, Object Access | /etc/audit/rules.d, augenrules |
| AppLocker / WDAC / SELinux | AppLocker (EXE, DLL, Script, MSI), WDAC (User Mode Code Integrity) | SELinux Enforcing, AppArmor profiles |
| Credential Guard / LSASS Protection | Windows Defender Credential Guard (VBS), RunAsPPL | /etc/security/limits.conf, pam_faillock, sudoers noexec |
| Patch Management | WSUS / Intune / SCCM / Winget / Chocolatey | dnf/yum/apt auto-update, Live Patching (KernelCare, Canonical Livepatch) |
| Disk Encryption | BitLocker (TPM+PIN), Manage-bde | LUKS2 (cryptsetup), fscrypt cho thư mục |
| Remove legacy protocols | Disable SMBv1, LLMNR, NetBIOS, WPAD | Disable rsh, telnet, ftp, nfs v3 |
3. Cứng hóa mạng gia đình / Văn phòng nhỏ (Home/SOHO Hardening)
- Đổi tên SSID (không dùng tên cá nhân, hãng router).
- Đặt passphrase WPA2-AES / WPA3 ≥ 12 ký tự ngẫu nhiên.
- Tắt WPS, UPnP, Remote Management (WAN admin).
- Tạo Guest Network cho khách/IoT (cách ly VLAN/subnet).
- Tắt DMZ, Port Forwarding không cần thiết.
- Cập nhật firmware router hàng tháng / bật auto-update.
- Dùng DNS bảo mật: Quad9 (9.9.9.9), Cloudflare 1.1.1.2/1.0.0.2, NextDNS.
- Đặt router vị trí trung tâm, không gần cửa sổ/bên ngoài.
4. Framework & Benchmark tham chiếu
- CIS Benchmarks: Miễn phí, chi tiết cho >100 nền tảng (Windows, Linux, K8s, Docker, AWS, Azure, GCP, Network devices).
- NIST SP 800-53 / 800-128: Security Configuration Management.
- STIG (DISA): Mục tiêu quốc phòng Mỹ, rất chặt chẽ.
- Microsoft Security Baselines: GPO backup cho Win 10/11, Server, Edge, Office.
5. Quy trình Hardening liên tục
- Baseline: Chạy CIS-CAT / OpenSCAP / Microsoft Baseline Analyzer → báo cáo gap.
- Remediate: Áp dụng hardening (Ansible, Chef, Puppet, Intune, GPO, script).
- Verify: Re-scan, penetration test, breach & attack simulation (BAS).
- Monitor: FIM (File Integrity Monitoring), SIEM alert config drift.
- Repeat: Mỗi 30-90 ngày hoặc sau mỗi thay đổi lớn.
Kết luận
Hardening không phải một lần làm xong. Là vòng lặp liên tục: Baseline → Remediate → Verify → Monitor. Bắt đầu từ CIS Benchmark Level 1, tự động hóa bằng IaC/Config Management, tích hợp vào CI/CD pipeline.