Tầm quan trọng của tường lửa trong kiến trúc mạng doanh nghiệp

Tường lửa quan trọng vì nó là nơi doanh nghiệp biến chính sách bảo mật thành luật cụ thể: lưu lượng nào được đi từ vùng này sang vùng khác, qua cổng nào, tới máy nào. Không có tường lửa, mạng là một không gian phẳng, nơi một máy bị nhiễm có thể chạm tới mọi máy khác. Tuy nhiên, giá trị của tường lửa phụ thuộc vào vị trí đặt nó trong kiến trúc mạng và chất lượng bộ luật, chứ không chỉ vào thương hiệu thiết bị.

Tường lửa làm gì trong một hệ thống mạng

Về bản chất, tường lửa kiểm tra từng kết nối và quyết định cho qua hay chặn dựa trên luật. Các thế hệ tường lửa khác nhau ở mức độ "hiểu" lưu lượng:

• Lọc gói tin không trạng thái: chỉ nhìn địa chỉ, cổng, giao thức của từng gói. Nhanh nhưng dễ bị lách.
• Tường lửa có trạng thái (stateful): theo dõi phiên kết nối, tự cho phép gói trả lời của kết nối đã được phép. Đây là nền tảng của hầu hết tường lửa hiện nay.
• Proxy và tường lửa ứng dụng: hiểu nội dung giao thức như HTTP, có thể chặn yêu cầu độc hại cụ thể. Tường lửa ứng dụng web (WAF) là ví dụ điển hình.
• Tường lửa thế hệ mới: nhận diện ứng dụng và người dùng thay vì chỉ cổng, tích hợp ngăn chặn xâm nhập, lọc URL. Bạn có thể đọc thêm về cơ chế nhận diện ứng dụng của tường lửa NGFW để hiểu sâu hơn phần này.

Vị trí đặt tường lửa: biên, vùng và máy chủ

Tường lửa biên

Đây là hình ảnh quen thuộc nhất: một thiết bị đứng giữa Internet và mạng công ty. Nó chặn kết nối từ ngoài vào trừ những dịch vụ được công bố, và kiểm soát chiều đi ra. Nhiều doanh nghiệp chỉ cấu hình chiều vào, để chiều ra mở hoàn toàn. Điều này khiến mã độc trong mạng dễ dàng liên lạc với máy chủ điều khiển bên ngoài.

Phân vùng nội bộ

Kiến trúc tốt chia mạng thành các vùng theo mức độ tin cậy và chức năng, mỗi vùng ngăn cách bởi tường lửa hoặc danh sách kiểm soát truy cập:

Cách phân vùng Wi-Fi văn phòng là một ví dụ áp dụng cụ thể, được hướng dẫn trong bài bảo mật mạng không dây cho văn phòng.

Tường lửa trên máy chủ và vi phân đoạn

Tường lửa của hệ điều hành (iptables/nftables trên Linux, Windows Defender Firewall) bổ sung một lớp ngay trên từng máy. Trong môi trường ảo hóa và đám mây, nhóm bảo mật (security group) và vi phân đoạn cho phép áp luật tới từng máy ảo, từng container, thu hẹp phạm vi di chuyển ngang của kẻ tấn công.

Viết luật tường lửa đúng cách

Thiết bị đắt tiền với bộ luật "cho phép tất cả" không bảo vệ được gì. Một số nguyên tắc:

1. Mặc định từ chối: luật cuối cùng chặn mọi thứ, chỉ mở những gì được yêu cầu rõ ràng.
2. Cụ thể nhất có thể: nguồn, đích, cổng đều rõ ràng; tránh "any" ở cả ba trường.
3. Ghi chú mỗi luật: ai yêu cầu, vì sao, khi nào hết hạn. Luật không có chủ sẽ không ai dám xóa.
4. Kiểm soát chiều ra: máy chủ thường chỉ cần ra Internet để cập nhật từ một số nguồn nhất định.
5. Ghi nhật ký các luật chặn quan trọng và đưa về hệ thống giám sát tập trung.

Rà soát định kỳ: nơi nhiều doanh nghiệp bỏ quên

Theo thời gian, bộ luật phình to: luật tạm thời cho một dự án đã kết thúc, luật cho máy chủ đã gỡ, luật trùng lặp, luật bị luật khác che khuất. Bộ luật lộn xộn vừa khó quản trị vừa dễ mở ra lỗ hổng không ai biết. Nên rà soát ít nhất mỗi năm, tốt hơn là mỗi quý với hệ thống quan trọng: xóa luật không còn lưu lượng khớp, thu hẹp luật quá rộng, kiểm tra lại luật cho phép truy cập từ Internet.

Kết quả rà soát nên đưa vào quy trình đánh giá rủi ro an ninh chung để lãnh đạo thấy được bức tranh tổng thể.

Những sai lầm thường gặp khi vận hành tường lửa

Có vài lỗi lặp lại ở rất nhiều doanh nghiệp. Thứ nhất là mở cổng quản trị như RDP, SSH hoặc giao diện web của thiết bị ra Internet để "tiện làm việc từ xa", thay vì đi qua VPN hoặc máy trung gian có xác thực đa yếu tố. Thứ hai là không cập nhật firmware cho chính tường lửa, trong khi thiết bị biên lại là mục tiêu ưa thích của kẻ tấn công. Thứ ba là sao lưu cấu hình không đều đặn, khiến việc khôi phục sau sự cố phần cứng mất nhiều giờ. Cuối cùng là để một người duy nhất nắm toàn bộ kiến thức về bộ luật; khi người đó nghỉ, không ai hiểu vì sao luật tồn tại. Ghi chép đầy đủ, phân quyền quản trị rõ ràng và kiểm tra thay đổi qua quy trình phê duyệt sẽ giảm đáng kể những rủi ro này.

Tường lửa trong thời đại làm việc từ xa và đám mây

Khi nhân viên làm việc từ nhà và ứng dụng chuyển lên đám mây, khái niệm "biên mạng" mờ dần. Tường lửa không mất vai trò, nhưng chuyển vị trí: tường lửa trên đám mây, dịch vụ bảo mật truy cập dạng SASE, chính sách áp tới từng thiết bị đầu cuối. Đây là lý do mô hình Zero Trust nhấn mạnh xác minh từng kết nối thay vì tin tưởng mọi thứ bên trong một vành đai. Dù kiến trúc thay đổi, ý tưởng cốt lõi vẫn giữ nguyên: chỉ cho phép những luồng dữ liệu thật sự cần thiết, và biết rõ vì sao từng luồng được phép.