Firewall (Tường lửa) là gì?
Firewall là thiết bị phần cứng hoặc phần mềm (hoặc kết hợp) giám sát, lọc lưu lượng mạng vào/ra dựa trên tập quy tắc bảo mật xác định trước. Nó đóng vai trò **rào chắn giữa mạng nội bộ (tin cậy) và mạng bên ngoài (Internet - không tin cậy)**, ngăn chặn truy cập trái phép, mã độc, rò rỉ dữ liệu.
Phân loại Firewall theo kỹ thuật lọc
| Loại | Layer OSI | Đặc điểm chính | Ưu/Nhược điểm |
|---|---|---|---|
| Packet Filtering (Lọc gói tin) | Layer 3/4 | Kiểm tra IP nguồn/đích, Port, Protocol (TCP/UDP/ICMP). Stateless. | Nhanh, rẻ. Không hiểu ngữ cảnh phiên, dễ bypass qua IP spoofing, fragment. |
| Stateful Inspection (Stateful Firewall) | Layer 3/4 | Theo dõi trạng thái kết nối (bảng trạng thái). Chỉ cho phép traffic thuộc phiên hợp lệ. | Cân bằng tốt an ninh/hiệu năng. Tiêu chuẩn doanh nghiệp hiện nay. |
| Proxy Firewall / Application Gateway | Layer 7 | Đóng vai trung gian, hiểu giao thức ứng dụng (HTTP, FTP, DNS). Kiểm tra nội dung gói tin sâu (Deep Packet Inspection). | An ninh cao nhất (chặn lệnh SQLi, XSS, malware trong HTTP). Chậm, tốn tài nguyên, có thể gây nghẽn. |
| Next-Generation Firewall (NGFW) | Layer 3-7 | Kết hợp Stateful + App-ID + IPS + SSL Decryption + Threat Intelligence + User-ID. | Bảo vệ toàn diện, nhận diện ứng dụng, user, threat. Giá cao, cấu hình phức tạp. |
Firewall theo hình thức triển khai
- Hardware Firewall: Thiết bị chuyên dụng (Palo Alto, FortiGate, Cisco ASA/FTD, Check Point). Hiệu năng cao, cho Data Center, Enterprise.
- Software Firewall / Host-based: Cài trên endpoint (Windows Defender Firewall, iptables/nftables Linux, pfSense/OPNsense VM). Bảo vệ từng host.
- Cloud Firewall / FWaaS: Dịch vụ firewall trên đám mây (AWS Network Firewall, Azure Firewall, Zscaler, Cloudflare WAF). Bảo vệ workload cloud, remote user.
Tại sao Firewall bắt buộc cho an ninh mạng?
- Chặn truy cập trái phép (brute-force SSH/RDP, exploit public-facing service).
- Ngăn chặn mã độc liên lạc C2 (Command & Control) ra ngoài.
- Phân đoạn mạng (Network Segmentation) - giới hạn tác động khi bị xâm nhập (Zero Trust).
- Tuân thủ quy định (PCI-DSS, HIPAA, GDPR, Luật An ninh mạng VN).
- Ghi log, cảnh báo, hỗ trợ điều tra sự cố (Forensics).
Best Practice cấu hình Firewall an toàn
- Mặc định chặn tất cả (Default Deny): Chỉ cho phép traffic cần thiết (Least Privilege).
- Phân vùng mạng (Zone/DMZ): Web server ở DMZ, DB server ở zone nội bộ, quản trị ở zone riêng.
- SSL/TLS Inspection: Giải mã traffic HTTPS để kiểm tra malware, data exfiltration (cần quản lý chứng chỉ CA nội bộ).
- IPS/IDS tích hợp: Chặn exploit known/zero-day dựa trên signature & behavioral analysis.
- Application Control (App-ID): Chặn/cho phép theo ứng dụng (Facebook, BitTorrent, TeamViewer...) chứ không chỉ port.
- User-ID / Identity-Based Policy: Quy tắc dựa trên user/group AD/Azure AD, không chỉ IP.
- Cập nhật Signature/Threat Intel tự động hàng ngày.
- Quản trị tập trung (Panorama, FortiManager, Cisco FMC): Đồng bộ policy, log, firmware cho hàng trăm firewall.
- Tắt dịch vụ/cổng không dùng trên chính firewall (management HTTPS/SSH chỉ cho IP quản trị).
- Test quy tắc mới trên môi trường Staging / dùng Policy Simulator trước khi Push Production.
Các lỗi thường gặp cần tránh
- Rule "Allow Any Any" ở cuối rulebase (mở cửa mọi thứ).
- Không ghi log cho rule Allow (không biết ai đang truy cập gì).
- Cho phép quản trị firewall từ Internet (public IP).
- Không kiểm tra log, alert hàng ngày → Phát hiện vụ việc muộn.
- Firmware cũ, lỗ hổng CVE chưa vá (VD: CVE-2024-3400 PAN-OS).
Kết luận
Firewall là **cột sống** của bảo vệ ranh giới mạng, nhưng **không phải "vũ khí thần thánh"**. Hiệu quả phụ thuộc vào: Kiến trúc Zero Trust, quy tắc Least Privilege, cập nhật liên tục, team vận hành có kỹ năng, và tích hợp với EDR, SIEM, SOAR, NAC, Email Security, DLP... thành một hệ sinh thái bảo vệ đa lớp (Defense in Depth).