Bảo mật mạng không dây cho văn phòng doanh nghiệp

Muốn bảo mật mạng không dây cho văn phòng, doanh nghiệp cần làm đồng thời ba việc: dùng chuẩn mã hóa mạnh (WPA3 hoặc tối thiểu WPA2-AES), tách riêng mạng cho nhân viên, khách và thiết bị IoT, và thay mật khẩu chung bằng cơ chế xác thực theo từng người. Phần còn lại là quản trị: cập nhật firmware điểm phát, theo dõi thiết bị lạ và có quy trình khi nhân viên nghỉ việc.

Wi-Fi văn phòng khác Wi-Fi gia đình ở chỗ số người dùng thay đổi liên tục, có khách ra vào, có máy in, camera, màn hình phòng họp cùng kết nối. Một mật khẩu dán trên tường phòng họp có thể đã nằm trong điện thoại của hàng chục người không còn làm việc ở công ty. Bài viết này đi qua từng lớp bảo vệ theo thứ tự ưu tiên để bộ phận IT, kể cả khi chỉ có một người kiêm nhiệm, có thể triển khai dần.

Vì sao Wi-Fi là cửa ngõ dễ bị bỏ quên

Sóng không dây không dừng lại ở bức tường văn phòng. Người ngồi ở hành lang, quán cà phê tầng dưới hay bãi đỗ xe vẫn có thể nhìn thấy tên mạng và thử kết nối. Nếu mạng không dây nằm chung lớp với máy chủ nội bộ, kẻ lọt vào Wi-Fi coi như đã đứng trong mạng LAN, có thể dò quét các máy tính, ổ chia sẻ và thiết bị quản trị.

Những rủi ro hay gặp trong thực tế gồm:

• Mật khẩu dùng chung quá lâu: không ai biết hiện có bao nhiêu thiết bị đang giữ mật khẩu đó.
• Điểm phát giả mạo (evil twin): kẻ xấu dựng một mạng trùng tên để nhân viên tự kết nối vào, từ đó dụ nhập thông tin đăng nhập trên trang giả.
• Điểm phát tự ý (rogue AP): nhân viên tự cắm một bộ phát Wi-Fi mua ngoài để sóng mạnh hơn, vô tình mở một cửa không ai quản lý.
• Thiết bị cũ chỉ hỗ trợ chuẩn yếu: máy in hoặc camera đời cũ ép cả mạng phải bật chế độ tương thích kém an toàn.

Chọn chuẩn mã hóa và cấu hình điểm phát

WEP và WPA đời đầu đã bị phá từ lâu, không nên tồn tại trong bất kỳ văn phòng nào. WPA2 dùng AES (CCMP) vẫn chấp nhận được nếu mật khẩu đủ dài, nhưng WPA3 là lựa chọn nên hướng tới vì cơ chế bắt tay SAE chống được kiểu đoán mật khẩu ngoại tuyến tốt hơn. Nhiều thiết bị doanh nghiệp hiện nay hỗ trợ chế độ chuyển tiếp WPA2/WPA3 để máy cũ vẫn kết nối được trong giai đoạn chuyển đổi.

Một số thiết lập nên kiểm tra trên mọi điểm phát:

1. Tắt WPS. Tính năng kết nối bằng mã PIN này tiện nhưng đã có lỗ hổng được công bố rộng rãi.
2. Đổi tài khoản và mật khẩu quản trị mặc định, chỉ cho phép trang quản trị truy cập từ mạng quản lý, không mở từ Wi-Fi khách.
3. Bật cập nhật firmware hoặc lên lịch kiểm tra định kỳ. Lỗ hổng trên thiết bị mạng thường được vá âm thầm qua firmware.
4. Bật Protected Management Frames (PMF/802.11w) nếu thiết bị hỗ trợ, giúp hạn chế tấn công ngắt kết nối hàng loạt.
5. Điều chỉnh công suất phát vừa đủ phủ văn phòng thay vì để mức tối đa tràn ra ngoài tòa nhà.

Ẩn tên mạng (SSID) không phải biện pháp bảo mật thực sự: công cụ phân tích sóng vẫn thấy mạng ẩn, trong khi người dùng hợp lệ lại gặp phiền toái. Tốt hơn là đặt tên mạng trung tính, không lộ tên công ty hay tầng lầu.

Phân tách mạng: nhân viên, khách và thiết bị IoT

Nguyên tắc quan trọng nhất là không để mọi thứ cùng một mạng phẳng. Tối thiểu nên có ba SSID gắn với ba VLAN khác nhau, và tường lửa giữa các VLAN quyết định ai được nói chuyện với ai.

Mạng khách nên có mật khẩu thay đổi định kỳ hoặc trang đăng nhập có thời hạn. Mạng IoT là nơi chứa nhiều thiết bị khó vá nhất, vì vậy cần khóa chặt chiều đi ra để một camera bị chiếm quyền không trở thành bàn đạp vào máy kế toán. Cách thiết kế luật cho từng vùng được phân tích kỹ hơn trong bài về vai trò của tường lửa trong kiến trúc mạng.

Thay mật khẩu chung bằng xác thực theo từng người

Chế độ WPA2/WPA3-Personal dùng một khóa chung cho tất cả. Khi một nhân viên nghỉ, muốn thu hồi quyền phải đổi mật khẩu cho cả công ty. Chế độ Enterprise dùng chuẩn 802.1X: mỗi người đăng nhập bằng tài khoản riêng (hoặc chứng chỉ trên thiết bị), máy chủ RADIUS kiểm tra và cấp quyền. Khóa tài khoản trong hệ thống thư mục là đủ để người đó mất quyền vào Wi-Fi.

Với văn phòng nhỏ chưa có hạ tầng thư mục, có thể bắt đầu bằng tính năng khóa riêng cho từng thiết bị (nhiều hãng gọi là PPSK hoặc iPSK) hoặc dịch vụ RADIUS dạng đám mây đi kèm thiết bị mạng. Khi đã có 802.1X, nên ưu tiên phương thức EAP-TLS dùng chứng chỉ thay vì mật khẩu, vì người dùng không thể vô tình nhập mật khẩu vào điểm phát giả.

Xác thực theo từng người cũng là nền móng cho mô hình bảo mật Zero Trust, nơi mỗi kết nối đều phải chứng minh danh tính thay vì được tin chỉ vì đang ở trong văn phòng.

Giám sát: biết ai đang ở trên mạng

Cấu hình tốt mà không theo dõi thì vẫn mù. Bộ điều khiển Wi-Fi hoặc phần mềm quản lý tập trung thường có sẵn các chức năng sau, hãy bật và xem định kỳ:

• Danh sách thiết bị đang kết nối theo từng SSID, kèm tên máy và nhà sản xuất card mạng.
• Phát hiện điểm phát lạ phát cùng tên mạng công ty hoặc cắm vào cổng LAN nội bộ.
• Cảnh báo khi số lần xác thực thất bại tăng đột biến.
• Nhật ký gửi về hệ thống tập trung để đối chiếu khi có sự cố.

Doanh nghiệp đã có hệ thống phát hiện xâm nhập có thể đưa lưu lượng từ VLAN không dây vào phạm vi giám sát; cách các hệ thống này nhận diện hành vi bất thường được trình bày trong bài IDS/IPS hoạt động ra sao.

Con người và quy định sử dụng

Kỹ thuật chỉ giải quyết một nửa vấn đề. Văn phòng nên có vài quy định ngắn gọn, dễ nhớ:

• Không tự lắp bộ phát Wi-Fi hay chia sẻ hotspot từ máy công ty khi chưa báo IT.
• Không đưa mật khẩu mạng nội bộ cho khách, luôn hướng khách sang mạng riêng.
• Khi làm việc ở quán cà phê hoặc sân bay, chỉ truy cập hệ thống công ty qua VPN.
• Báo ngay khi điện thoại hiện cảnh báo chứng chỉ lạ lúc kết nối Wi-Fi văn phòng.

Những quy định này nên được nhắc trong buổi định hướng nhân viên mới và trong các đợt huấn luyện an toàn thông tin định kỳ.

Danh sách kiểm tra nhanh trước khi đánh giá lại

Sáu tháng một lần, người phụ trách có thể tự rà soát theo danh sách sau: chuẩn mã hóa đang dùng là gì; WPS đã tắt chưa; mật khẩu quản trị thiết bị có phải mặc định không; mạng khách có cách ly khỏi mạng nội bộ không; thiết bị IoT có nằm riêng VLAN không; danh sách tài khoản Wi-Fi có còn người đã nghỉ việc không; firmware có bản mới không. Câu trả lời nào chưa rõ ràng chính là việc cần làm tiếp theo. Nếu doanh nghiệp muốn đánh giá độc lập, một đợt kiểm thử mạng không dây do bên ngoài thực hiện sẽ cho thấy kẻ tấn công ở bãi đỗ xe thực sự nhìn thấy gì.