Tìm hiểu cơ chế hoạt động của tường lửa thế hệ mới NGFW

Tường lửa thế hệ mới (Next-Generation Firewall, NGFW) là tường lửa không chỉ lọc lưu lượng theo địa chỉ IP và cổng, mà còn hiểu được ứng dụng nào đang chạy, người dùng nào đang truy cập và nội dung có chứa mối đe dọa hay không. Nói cách khác, NGFW kết hợp chức năng tường lửa truyền thống với nhận diện ứng dụng, hệ thống ngăn chặn xâm nhập và nhiều lớp kiểm tra khác trong một thiết bị hoặc dịch vụ. Bài viết giải thích từng cơ chế và khi nào doanh nghiệp cần đến NGFW.

Từ tường lửa lọc gói đến NGFW

Vấn đề của tường lửa truyền thống là ngày nay hầu hết ứng dụng đều chạy qua các cổng web phổ biến như 443. Mở cổng 443 nghĩa là cho phép cả trình duyệt web lẫn ứng dụng chia sẻ file, phần mềm điều khiển từ xa hay mã độc liên lạc với máy chủ điều khiển. Tường lửa chỉ nhìn cổng sẽ không phân biệt được.

Các cơ chế cốt lõi của NGFW

1. Kiểm tra trạng thái kết nối

Đây là nền tảng kế thừa từ tường lửa stateful. NGFW duy trì bảng trạng thái các kết nối, đảm bảo gói tin trả về khớp với kết nối đã được thiết lập hợp lệ.

2. Nhận diện ứng dụng

NGFW phân tích đặc điểm lưu lượng, như cấu trúc gói tin, hành vi giao tiếp, chữ ký ứng dụng, để xác định ứng dụng thực sự bất kể cổng nào được dùng. Nhờ đó, quản trị viên có thể viết chính sách như "cho phép dịch vụ email doanh nghiệp, chặn ứng dụng chia sẻ file ngang hàng", hoặc chi tiết hơn: cho phép xem nhưng chặn tải file lên một dịch vụ nhất định.

3. Nhận diện người dùng

Thay vì chính sách gắn với địa chỉ IP (thay đổi liên tục khi dùng DHCP, Wi-Fi), NGFW tích hợp với hệ thống danh bạ như Active Directory hoặc nhà cung cấp danh tính để biết ai đang dùng địa chỉ nào. Chính sách có thể viết theo nhóm: phòng kế toán được truy cập hệ thống tài chính, phòng kinh doanh thì không.

4. Hệ thống ngăn chặn xâm nhập (IPS)

IPS kiểm tra nội dung lưu lượng để phát hiện dấu hiệu khai thác lỗ hổng, dò quét, hay mẫu tấn công đã biết. Khi phát hiện, IPS có thể chặn kết nối ngay. IPS dựa vào bộ chữ ký được cập nhật thường xuyên và đôi khi phân tích hành vi bất thường.

5. Giải mã và kiểm tra TLS

Phần lớn lưu lượng web hiện nay được mã hóa. Nếu không giải mã, NGFW chỉ thấy được một phần thông tin. Một số NGFW có thể giải mã lưu lượng TLS, kiểm tra, rồi mã hóa lại. Tính năng này cần cân nhắc kỹ:

• Tốn tài nguyên xử lý đáng kể.
• Cần cài chứng chỉ của tổ chức lên thiết bị người dùng.
• Ảnh hưởng quyền riêng tư; nên loại trừ các danh mục nhạy cảm như ngân hàng, y tế.
• Cần tuân thủ quy định pháp luật và thông báo minh bạch cho nhân viên.

6. Lọc URL và tình báo mối đe dọa

NGFW thường tích hợp cơ sở dữ liệu phân loại website và danh sách địa chỉ độc hại được cập nhật liên tục, giúp chặn truy cập trang lừa đảo, máy chủ điều khiển mã độc.

7. Phân tích file và sandbox

Một số giải pháp gửi file đáng ngờ vào môi trường cách ly (sandbox) để quan sát hành vi trước khi cho phép người dùng tải về.

Luồng xử lý một kết nối qua NGFW

1. Kết nối mới đến; NGFW kiểm tra chính sách cơ bản theo vùng, IP, cổng.
2. Xác định người dùng gắn với địa chỉ nguồn.
3. Phân tích các gói đầu tiên để nhận diện ứng dụng.
4. Áp dụng chính sách theo ứng dụng và người dùng.
5. Nếu được phép, nội dung đi qua các bộ lọc IPS, chống mã độc, lọc URL.
6. Ghi nhật ký kết nối, ứng dụng, người dùng, mối đe dọa phát hiện được.

NGFW trong kiến trúc bảo mật tổng thể

NGFW không phải giải pháp toàn năng. Nó là một lớp trong mô hình phòng thủ nhiều lớp:

• Phân đoạn mạng: NGFW đặt giữa các vùng mạng nội bộ giúp hạn chế di chuyển ngang khi một máy bị xâm nhập, rất hữu ích với thiết bị IoT. Xem bài nguy cơ từ thiết bị IoT.
• Truy cập từ xa: nhiều NGFW tích hợp VPN cho nhân viên làm việc từ xa. Xem bài cấu hình VPN cho nhân viên.
• Bảo vệ thiết bị đầu cuối: phần mềm trên máy tính vẫn cần thiết vì nhân viên làm việc ngoài văn phòng.
• Giám sát tập trung: nhật ký từ NGFW nên được gửi về hệ thống quản lý sự kiện để phân tích tương quan.

Tiêu chí chọn NGFW cho doanh nghiệp

• Thông lượng thực tế khi bật đầy đủ tính năng: thông số quảng cáo thường đo khi chỉ bật tường lửa cơ bản; hiệu năng có thể giảm đáng kể khi bật IPS, giải mã TLS.
• Khả năng nhận diện ứng dụng phù hợp với ứng dụng doanh nghiệp đang dùng.
• Tích hợp danh tính với hệ thống hiện có.
• Chu kỳ cập nhật chữ ký và chi phí thuê bao dịch vụ bảo mật.
• Giao diện quản lý, báo cáo phù hợp năng lực đội IT.
• Khả năng dự phòng (chạy cặp chủ - dự phòng) với hệ thống quan trọng.
• Mô hình triển khai: thiết bị phần cứng, máy ảo hay dịch vụ đám mây.

Lỗi cấu hình thường gặp

• Để quy tắc "cho phép tất cả" tạm thời rồi quên xóa.
• Quy tắc chồng chéo, khó hiểu sau nhiều năm không rà soát.
• Không bật IPS hoặc không cập nhật chữ ký do lo ngại hiệu năng.
• Giao diện quản trị mở ra Internet.
• Không cập nhật firmware của chính tường lửa, trong khi thiết bị biên mạng là mục tiêu được kẻ tấn công nhắm tới.
• Không ai đọc nhật ký và cảnh báo.

Rà soát quy tắc tường lửa nên là một hạng mục trong kiểm toán an toàn thông tin định kỳ, như trình bày ở bài tầm quan trọng của kiểm toán an toàn thông tin.

Xu hướng: từ thiết bị biên đến dịch vụ đám mây

Khi nhân viên làm việc từ nhiều nơi và ứng dụng chuyển lên đám mây, ranh giới mạng truyền thống mờ dần. Nhiều tổ chức kết hợp NGFW tại văn phòng với các dịch vụ bảo mật đám mây, theo các mô hình như SASE hay Zero Trust, nơi chính sách theo người dùng và thiết bị ở bất kỳ đâu. Dù vậy, các cơ chế cốt lõi của NGFW như nhận diện ứng dụng, người dùng và kiểm tra mối đe dọa vẫn là nền tảng của các mô hình mới.