Hardening (Tăng cường) hệ thống là gì?
Là quá trình giảm thiểu bề mặt tấn công (attack surface) bằng cách: tắt dịch vụ không cần thiết, đóng port không dùng, áp dụng least privilege, cấu hình an toàn, vá lỗi, bật logging/audit, enforce MFA, AppLocker/WDAC, SELinux/AppArmor, v.v.
Tại sao hardening KHÔNG đủ – vẫn cần Network Security?
| Hardening (Host/Endpoint) | Network Security (Mạng) |
|---|---|
| Bảo vệ tại điểm cuối (server, laptop, IoT). | Bảo vệ trên đường truyền (traffic, lateral movement, perimeter). |
| Chống exploit local, privilege escalation, malware execution. | Chống reconnaissance, MITM, DDoS, data exfiltration, C2 beaconing. |
| Giảm ảnh hưởng KHI đã bị xâm nhập. | Ngăn CHẶN xâm nhập, phát hiện SỚM, hạn chế lan rộng (East-West). |
| Dépend vào OS/app config đúng. | Độc lập với OS – bảo vệ cả thiết bị không hardening được (IoT, legacy, BYOD). |
Ví dụ cụ thể: Hardening xong nhưng VẪN CẦN Network Security
- Lateral Movement: Server A đã hardening, Server B cũng hardening. Kẻ tấn công compromise user credential → Pass-the-Hash → truy cập Server B qua SMB/RDP. Network segmentation (micro-segmentation, Zero Trust) chặn điều này.
- Data Exfiltration: Malware chạy trong process hợp pháp (living-off-the-land) → gửi data ra ngoài qua DNS/HTTPS. NGFW/DNS Security/SSL Inspection phát hiện/chặn.
- C2 Beaconing: Implant callback qua HTTPS/DoH. Network Traffic Analysis (NTA/NDR) phát hiện anomaly.
- DDoS / Volumetric Attack: Hardening host không chặn được flood traffic. DDoS Protection (Cloud/On-prem) cần thiết.
- Supply Chain / Trusted Connection: Vendor VPN, API integration, CI/CD pipeline. Zero Trust Network Access (ZTNA), API Gateway, mTLS verify từng request.
- IoT/OT/legacy không thể hardening: Camera, PLC, medical device, printer cũ. Network ACL, NAC, IoT Security Gateway là lớp bảo vệ duy nhất.
Mô hình Defense in Depth (Đa lớp) – Kết hợp cả hai
Perimeter: Next-Gen Firewall, DDoS Protection, WAF, Email Security, DNS Security
↓
Network Core: Segmentation (VLAN/VXLAN), Micro-segmentation (Cisco ACI, VMware NSX, Calico), NTA/NDR, ZTNA
↓
Endpoint/Host: Hardening (CIS Benchmark), EDR/XDR, AppLocker/WDAC, Patch Management, Vuln Mgmt
↓
Application/Data: WAF, RASP, DLP, Encryption, Tokenization, Database Activity Monitoring
↓
Identity: MFA, PAM, IGA, Zero Trust (Never Trust, Always Verify)
Kết luận
Hardening là cần thiết nhưng không đủ. An ninh mạng (Network Security) cung cấp: visibility (nhìn thấy traffic), control (chặn/chuyển hướng), detection (phát hiện anomaly), containment (hạn chế lan) – những thứ hardening host không làm được. Cả hai phải đi cùng nhau trong chiến lược Defense in Depth.