Defense in Depth (Đa lớp phòng thủ) là gì?
Defense in Depth (DiD) là chiến lược xếp chồng nhiều lớp kiểm soát bảo mật (physical, technical, administrative) trên toàn mạng để bảo vệ CIA Triad. Nếu một lớp bị vượt qua, các lớp khác vẫn chặn đứng mối đe dọa.
3 Lớp chính của Defense in Depth
| Lớp | Thành phần | Ví dụ |
|---|---|---|
| Physical (Vật lý) | Kiểm soát truy cập vật lý, môi trường | Server room khóa, Biometric, Camera, UPS, Fire suppression, Cable management |
| Technical (Kỹ thuật) | Công nghệ bảo mật mạng & endpoint | Firewall, IDS/IPS, NAC, EDR, Encryption, DLP, SIEM, Vulnerability Scanner |
| Administrative (Quản trị) | Chính sách, quy trình, con người | Policy, Security Awareness, Incident Response Plan, Access Review, Compliance Audit |
Công cụ phòng thủ mạng cơ bản (Network Defense Tools)
- Firewall/NGFW: Palo Alto, FortiGate, Check Point, Cisco Firepower, pfSense/OPNsense
- IDS/IPS: Suricata, Zeek (Bro), Snort, Vendor IPS
- NAC (Network Access Control): Cisco ISE, Aruba ClearPass, FortiNAC, Portnox
- NDR (Network Detection & Response): ExtraHop, Vectra AI, Corelight, Darktrace
- DDoS Protection: Cloudflare, AWS Shield, Arbor, Radware, On-prem scrubber
- WAF / API Gateway: Cloudflare, F5 AWAF, Imperva, Kong, Apigee
- VPN / ZTNA: WireGuard, OpenVPN, Tailscale, Cloudflare Access, Zscaler ZPA
- Network Segmentation: VLAN, VRF, Micro-segmentation (Cisco ACI, VMware NSX, Illumio)
- Threat Intelligence Platform: MISP, Anomali, TIP tích hợp SIEM
- Deception: Canary tokens, T-Pot, Attivo, Illusive
Thành phần an ninh mạng (Network Security Components)
- Perimeter Defense: Border Firewall, Internet Gateway, DDoS Scrubbing
- Network Monitoring: NetFlow/IPFIX, Full Packet Capture (Arkime), Zeek logs
- Intrusion Detection/Prevention: Suricata (IDS/IPS), Snort, Vendor signatures
- Access Control: 802.1X, MFA, NAC, Zero Trust Network Access (ZTNA)
- Data Protection: Encryption (TLS 1.3, IPsec, MACsec), DLP, Key Management
- Endpoint Integration: EDR telemetry → Network correlation
- Vulnerability Management: Scanner (Nessus, OpenVAS, Qualys) → Patch mgmt
- Security Operations: SIEM (Splunk, Elastic, Sentinel), SOAR, Runbook
Mô hình Zero Trust Architecture (Thay thế Perimeter-based)
- Verify Explicitly: Mọi request đều xác thực (User + Device + Context)
- Least Privilege Access: Just-in-time (JIT), Just-enough (JEA), Adaptive
- Assume Breach: Micro-segmentation, Encryption in transit/rest, Continuous monitoring
Kỹ năng cho Network Security Engineer
- Routing/Switching (BGP, OSPF, VLAN, VXLAN, EVPN)
- Firewall: Palo Alto (PCNSE), Fortinet (NSE 4/7), Cisco (CCNP/CCIE Security)
- Linux/Scripting: Bash, Python, Ansible, Terraform (IaC)
- Cloud: AWS/Azure/GCP Network Security (Security Groups, Firewall, WAF, Transit Gateway)
- Monitoring: Prometheus/Grafana, ELK, Splunk, Netdata, ntopng
- Chứng chỉ: PCNSE, NSE 7, CCIE Security, AWS Security Specialty, AZ-500
Kết luận
Phòng thủ an ninh mạng hiện đại không chỉ là "cài firewall" mà là hệ thống đa lớp (Defense in Depth), chuyển dịch sang Zero Trust, tự động hóa (SOAR), tích hợp Threat Intelligence, và vận hành 24/7 bởi SOC. Công cụ quan trọng không phải là đơn lẻ mà là tích hợp, tương quan dữ liệu, và quy trình phản ứng.