Firewall là gì? Cách hoạt động, các loại và hướng dẫn lựa chọn

Thanh Hoang
11 thg 3
24 phút đọc

Đã cập nhật: 14 thg 7

Firewall, hay tường lửa, là thiết bị hoặc phần mềm kiểm soát lưu lượng giữa các mạng hoặc thiết bị có mức độ tin cậy khác nhau. Firewall sử dụng chính sách bảo mật để cho phép, từ chối hoặc ghi nhận kết nối. Next-Generation Firewall mở rộng khả năng này bằng nhận diện ứng dụng, người dùng, nội dung và phát hiện mối đe dọa.

Doanh nghiệp hiện không còn vận hành hệ thống CNTT trong một ranh giới mạng duy nhất. Người dùng làm việc từ xa, ứng dụng nằm trên Cloud, dữ liệu được trao đổi với nhiều đối tác và thiết bị IoT xuất hiện ngày càng nhiều trong mạng nội bộ.

Trong bối cảnh đó, Firewall vẫn là một lớp kiểm soát nền tảng, nhưng vai trò của tường lửa đã thay đổi. Firewall hiện đại không chỉ đóng hoặc mở port. Hệ thống cần hiểu ứng dụng nào đang được sử dụng, người dùng nào tạo kết nối, dữ liệu đang đi đâu và hành vi đó có phù hợp với chính sách doanh nghiệp hay không.

Bài viết này giải thích Firewall là gì, cách hoạt động, các loại Firewall phổ biến, sự khác biệt giữa Firewall truyền thống và Next-Generation Firewall, đồng thời cung cấp framework, checklist và ma trận lựa chọn dành cho doanh nghiệp.

Firewall là gì?

Firewall là thiết bị hoặc chương trình kiểm soát luồng lưu lượng mạng giữa các mạng, vùng mạng hoặc máy chủ có mức độ tin cậy khác nhau. Mỗi kết nối được đối chiếu với một tập hợp quy tắc để xác định nên cho phép, từ chối, loại bỏ hay ghi log.

firewall-la-gi — *Tường lửa Firewall là gì?*

NIST SP 800-41 Rev. 1 định nghĩa Firewall là thiết bị hoặc chương trình kiểm soát luồng lưu lượng giữa các mạng hoặc máy chủ có trạng thái bảo mật khác nhau. Tài liệu cũng nhấn mạnh Firewall phải được lựa chọn, cấu hình, kiểm thử, triển khai và quản lý trong suốt vòng đời, thay vì chỉ được cài đặt một lần.

Một Firewall thường thực hiện bốn nhóm nhiệm vụ chính:

Kiểm soát kết nối đi vào và đi ra.
Phân tách các vùng mạng có mức độ rủi ro khác nhau.
Ngăn các kết nối không phù hợp với chính sách.
Ghi nhận lưu lượng và sự kiện để phục vụ giám sát, điều tra.

Firewall có thể được đặt tại Internet gateway, giữa các VLAN, trước Data Center, trong môi trường Cloud hoặc trực tiếp trên máy chủ và thiết bị đầu cuối.

Firewall không phải là giải pháp bảo mật độc lập. Một kiến trúc an toàn vẫn cần kết hợp Endpoint Security, quản lý danh tính, bảo vệ email, sao lưu, giám sát log và ứng phó sự cố. NIST khuyến nghị sử dụng Firewall như một phần của mô hình defense-in-depth, trong đó nhiều lớp kiểm soát phối hợp để hạn chế rủi ro khi một lớp bị vượt qua.

Firewall kiểm soát những gì?

Tùy loại Firewall, quyết định kiểm soát có thể dựa trên:

Địa chỉ IP nguồn và đích.
Port và giao thức.
Trạng thái của phiên kết nối.
Người dùng hoặc nhóm người dùng.
Ứng dụng đang tạo lưu lượng.
URL, tên miền hoặc danh mục website.
Nội dung file và dữ liệu truyền qua mạng.
Chữ ký khai thác hoặc hành vi bất thường.
Thông tin từ Threat Intelligence.

Firewall là lớp thực thi chính sách kiểm soát lưu lượng giữa các vùng mạng. Giá trị của Firewall không nằm ở số lượng rule mà nằm ở khả năng chỉ cho phép đúng kết nối cần thiết, ghi nhận đầy đủ sự kiện và được quản lý liên tục theo thay đổi của doanh nghiệp.

Firewall hoạt động như thế nào?

Firewall hoạt động bằng cách tiếp nhận lưu lượng tại một điểm kiểm soát, kiểm tra các thuộc tính của kết nối và đối chiếu với Firewall policy. Hệ thống sau đó thực hiện một hành động như allow, deny, drop, reject, inspect hoặc log.

Quy trình cơ bản có thể mô tả qua năm bước:

Tiếp nhận lưu lượng: Gói tin hoặc phiên kết nối đi đến giao diện Firewall.
Xác định ngữ cảnh: Firewall nhận diện IP, port, giao thức, vùng mạng, người dùng hoặc ứng dụng.
Đối chiếu ruleset: Kết nối được so sánh với các rule theo thứ tự hoặc cơ chế xử lý của sản phẩm.
Thực hiện kiểm tra bảo mật: Firewall có thể áp dụng IPS, URL Filtering, antivirus, sandbox hoặc SSL inspection.
Cho phép hoặc chặn: Kết quả được thực thi và ghi vào log theo cấu hình.

Nhiều Firewall xử lý rule theo thứ tự từ trên xuống. Rule đầu tiên phù hợp có thể quyết định hành động cuối cùng. Vì vậy, rule quá rộng đặt phía trên có thể làm cho các rule cụ thể phía dưới không bao giờ được sử dụng.

NIST khuyến nghị ruleset phải cụ thể nhất có thể và chỉ cho phép những giao thức, địa chỉ và dịch vụ cần thiết. Các thay đổi rule cũng cần được ghi nhận qua quy trình quản lý cấu hình chính thức.

6 hành động phổ biến của Firewall

Hành động	Ý nghĩa	Trường hợp sử dụng
Allow	Cho phép lưu lượng đi qua	Kết nối đáp ứng chính sách
Deny/Drop	Loại bỏ lưu lượng	Chặn kết nối không được phép
Reject	Từ chối và phản hồi cho nguồn gửi	Dùng khi cần thông báo kết nối bị từ chối
Inspect	Kiểm tra sâu hơn trước khi cho phép	Áp dụng IPS, antivirus hoặc DPI
Log	Ghi nhận sự kiện	Phục vụ giám sát và điều tra
Rate Limit	Giới hạn tần suất hoặc băng thông	Hạn chế lạm dụng và lưu lượng bất thường

Firewall xử lý lưu lượng bằng cách xác định ngữ cảnh, đối chiếu policy và thực thi hành động. Ruleset cần cụ thể, có thứ tự hợp lý và được kiểm thử. Một rule sai vị trí hoặc quá rộng có thể làm giảm hiệu quả của toàn bộ kiến trúc bảo mật.

7 thông tin nào trong lưu lượng mạng mà Firewall sẽ kiểm tra

Firewall có thể kiểm tra từ thông tin cơ bản ở lớp mạng đến ứng dụng, người dùng và nội dung. Khả năng kiểm tra phụ thuộc vào loại Firewall, license bảo mật, cấu hình và năng lực xử lý của thiết bị.

Lớp kiểm tra	Thông tin được phân tích	Ví dụ quyết định
Network	IP nguồn, IP đích, subnet	Chỉ cho phép mạng văn phòng truy cập máy chủ
Transport	TCP, UDP, port	Chặn RDP từ Internet
Session	Trạng thái phiên kết nối	Chỉ cho phép lưu lượng phản hồi của phiên hợp lệ
Identity	Người dùng, nhóm, thiết bị	Cho phép nhóm Kế toán truy cập ứng dụng tài chính
Application	Ứng dụng và dịch vụ	Cho phép Microsoft Teams, hạn chế ứng dụng chia sẻ file
Content	File, URL, payload	Chặn file độc hại hoặc website có rủi ro
Threat	Chữ ký khai thác, IOC	Chặn kết nối liên quan đến hạ tầng độc hại

Stateful Firewall theo dõi trạng thái của kết nối ở lớp mạng và lớp vận chuyển. NGFW mở rộng cơ chế này bằng Deep Packet Inspection, nhận diện ứng dụng, thông tin danh tính và Intrusion Prevention.

Khả năng kiểm tra không đồng nghĩa với việc nên kích hoạt tất cả tính năng trên toàn bộ lưu lượng. SSL/TLS inspection, antivirus scanning hoặc sandboxing có thể ảnh hưởng đến hiệu năng và quyền riêng tư. Doanh nghiệp cần xác định phạm vi kiểm tra dựa trên rủi ro, loại dữ liệu, chính sách và yêu cầu pháp lý.

Firewall hiện đại có thể đánh giá IP, port, trạng thái phiên, người dùng, ứng dụng, nội dung và dấu hiệu tấn công. Doanh nghiệp cần lựa chọn mức kiểm tra dựa trên rủi ro và năng lực xử lý, thay vì bật toàn bộ tính năng mà không đánh giá tác động.

Có những loại Firewall nào?

Firewall có thể được phân loại theo cơ chế kiểm tra, phạm vi bảo vệ và mô hình triển khai. Một doanh nghiệp thường sử dụng nhiều loại Firewall cùng lúc thay vì chỉ một thiết bị tại cổng Internet.

1. Phân loại theo cơ chế kiểm tra

1.1. Packet-filtering Firewall

Packet-filtering Firewall kiểm tra từng gói tin dựa trên IP, port và giao thức. Cơ chế này đơn giản, tốc độ cao nhưng có ít thông tin về trạng thái phiên hoặc nội dung ứng dụng.

1.2. Stateful Inspection Firewall

Stateful Firewall theo dõi trạng thái của phiên kết nối. Hệ thống có thể phân biệt gói tin thuộc một kết nối hợp lệ với gói tin xuất hiện ngoài ngữ cảnh.

1.3. Proxy Firewall

Proxy Firewall đóng vai trò trung gian giữa client và dịch vụ đích. Kết nối được kết thúc tại proxy trước khi một kết nối khác được thiết lập đến hệ thống đích.

1.4. Application Firewall

Application Firewall tập trung vào một giao thức hoặc ứng dụng cụ thể. Web Application Firewall là ví dụ phổ biến, chuyên kiểm tra lưu lượng HTTP/S của website và API.

1.5. Next-Generation Firewall

Next-Generation Firewall kết hợp stateful inspection với nhận diện ứng dụng, người dùng, Deep Packet Inspection, Intrusion Prevention và Threat Intelligence. Palo Alto Networks mô tả NGFW là thiết bị có khả năng nhận diện và kiểm soát ứng dụng, người dùng và nội dung để thực thi chính sách chi tiết hơn.

2. Phân loại theo phạm vi triển khai

Loại	Vị trí triển khai	Phạm vi bảo vệ
Network Firewall	Cổng mạng hoặc giữa các vùng mạng	Nhiều thiết bị và hệ thống
Host-based Firewall	Máy chủ hoặc endpoint	Một thiết bị cụ thể
Hardware Firewall	Thiết bị vật lý	Văn phòng, Data Center, chi nhánh
Virtual Firewall	Máy ảo hoặc hạ tầng ảo hóa	Private Cloud, Data Center ảo
Cloud Firewall	Hạ tầng Cloud	VPC, VNet, workload Cloud
Firewall as a Service	Nền tảng bảo mật Cloud	Người dùng và chi nhánh phân tán

Doanh nghiệp có cần nhiều lớp Firewall không?

Có. Một Firewall tại Internet gateway không thể kiểm soát đầy đủ lưu lượng nội bộ, Cloud, endpoint và ứng dụng web.

Kiến trúc nhiều lớp có thể bao gồm:

Perimeter Firewall tại cổng Internet.
Internal Segmentation Firewall giữa các VLAN.
Host-based Firewall trên máy chủ.
Cloud Firewall trong AWS, Microsoft Azure hoặc Google Cloud.
WAF trước website và API.
Firewall hoặc policy enforcement point cho truy cập Zero Trust.

CISA khuyến nghị sử dụng network segmentation, Firewall control và DMZ để hạn chế truy cập giữa các vùng và giảm khả năng kẻ tấn công di chuyển ngang trong hệ thống.

Firewall gồm nhiều loại khác nhau theo cơ chế kiểm tra và vị trí triển khai. Kiến trúc doanh nghiệp thường cần kết hợp Network Firewall, Host-based Firewall, Cloud Firewall, WAF và phân vùng mạng để tạo nhiều lớp phòng thủ.

Firewall truyền thống khác Next-Generation Firewall như thế nào?

Firewall truyền thống chủ yếu kiểm soát kết nối dựa trên IP, port, giao thức và trạng thái phiên. Next-Generation Firewall bổ sung khả năng nhận diện ứng dụng, người dùng, nội dung và tích hợp các cơ chế ngăn chặn mối đe dọa.

Tiêu chí	Firewall truyền thống	Next-Generation Firewall
IP và port filtering	Có	Có
Stateful inspection	Có	Có
Nhận diện ứng dụng	Hạn chế	Có
Nhận diện người dùng	Hạn chế	Có thể tích hợp
Deep Packet Inspection	Hạn chế	Có
Intrusion Prevention	Thường tách rời	Thường được tích hợp
URL Filtering	Cơ bản hoặc không có	Thường có
Threat Intelligence	Hạn chế	Có thể cập nhật liên tục
Kiểm tra file và malware	Hạn chế	Có thể tích hợp
Chính sách theo ngữ cảnh	Hạn chế	Chi tiết hơn

Fortinet mô tả NGFW là giải pháp mở rộng chức năng Firewall truyền thống bằng application awareness, Intrusion Prevention và Deep Packet Inspection.

Ví dụ, một Firewall truyền thống có thể cho phép mọi lưu lượng qua port 443 vì đây là HTTPS. NGFW có thể phân biệt lưu lượng trên port 443 là Microsoft 365, mạng xã hội, phần mềm điều khiển từ xa hay một ứng dụng chia sẻ file không được phê duyệt.

Tuy nhiên, NGFW không tự động an toàn hơn nếu:

Policy vẫn cho phép quá rộng.
Không cập nhật Threat Intelligence.
IPS hoặc SSL inspection không được cấu hình.
Không theo dõi log và cảnh báo.
Không kiểm tra hiệu năng thực tế khi bật tính năng bảo mật.
Tài khoản quản trị không được bảo vệ.

NGFW mở rộng Firewall truyền thống bằng nhận diện ứng dụng, người dùng, nội dung và mối đe dọa. Hiệu quả của NGFW vẫn phụ thuộc vào policy, cấu hình, license, cập nhật và quy trình vận hành; thiết bị hiện đại không thể bù đắp cho ruleset thiếu kiểm soát.

Firewall khác WAF, Antivirus, IPS, VPN và NDR như thế nào?

Firewall, WAF, Antivirus, IPS, VPN và NDR giải quyết các phần khác nhau của bài toán bảo mật. Các công nghệ này có thể phối hợp nhưng không thay thế hoàn toàn cho nhau.

Công nghệ	Vai trò chính	Phạm vi bảo vệ
Firewall/NGFW	Kiểm soát lưu lượng theo policy	Mạng, vùng mạng, người dùng, ứng dụng
WAF	Kiểm tra HTTP/S đến website và API	Ứng dụng web
Antivirus/EDR	Phát hiện và phản ứng trên endpoint	Máy trạm và máy chủ
IPS	Phát hiện và ngăn hành vi khai thác trên luồng mạng	Kết nối đi qua điểm kiểm tra
VPN	Mã hóa kết nối từ xa hoặc site-to-site	Kênh truyền
NDR	Phân tích hành vi và bất thường trong lưu lượng	Toàn cảnh mạng
SIEM	Thu thập và tương quan log	Nhiều nguồn trong doanh nghiệp
SOC	Giám sát, phân tích và ứng phó	Con người, quy trình và công nghệ

Cloudflare định nghĩa WAF là lớp bảo vệ website bằng cách lọc và giám sát lưu lượng HTTP giữa ứng dụng web và Internet. WAF tập trung vào các tấn công như SQL Injection hoặc Cross-Site Scripting và không được thiết kế để xử lý mọi loại tấn công mạng.

Firewall và WAF khác nhau như thế nào?

Firewall mạng kiểm soát nhiều loại giao thức và kết nối. WAF tập trung sâu vào HTTP/S, request, URL, header, cookie, body và hành vi của ứng dụng web.

Doanh nghiệp có website hoặc API public thường cần cả NGFW và WAF:

NGFW bảo vệ hạ tầng và kết nối mạng.
WAF bảo vệ logic và giao diện web.
EDR bảo vệ máy chủ khi mã độc vượt qua lớp mạng.
SIEM và SOC theo dõi sự kiện từ nhiều lớp.

Firewall và Antivirus khác nhau như thế nào?

Firewall quyết định kết nối nào được phép đi qua mạng. Antivirus hoặc EDR phân tích file, tiến trình, hành vi và sự kiện trên thiết bị.

Firewall có thể chặn một kết nối tải mã độc đã biết. EDR có thể phát hiện tiến trình mã hóa file hoặc hành vi khai thác sau khi payload đã chạy trên máy.

Firewall kiểm soát kết nối mạng nhưng không thay thế WAF, EDR, NDR, SIEM hoặc SOC. Kiến trúc bảo mật hiệu quả cần phân công rõ từng lớp: mạng, ứng dụng, endpoint, danh tính, dữ liệu và giám sát sự kiện.

Firewall có thể ngăn chặn những mối đe dọa nào?

Firewall có thể ngăn hoặc giảm khả năng thành công của nhiều loại truy cập trái phép và lưu lượng độc hại. Mức độ bảo vệ phụ thuộc vào loại Firewall, tính năng được kích hoạt, policy và khả năng cập nhật.

Firewall có thể hỗ trợ ngăn chặn

Kết nối từ IP hoặc vùng địa lý không được phép.
Truy cập đến port và dịch vụ không cần thiết.
Kết nối vào máy chủ không thuộc phạm vi công khai.
Lưu lượng khớp với chữ ký khai thác của IPS.
Truy cập đến domain hoặc URL độc hại đã biết.
Một số kênh Command and Control.
Ứng dụng không được doanh nghiệp phê duyệt.
Di chuyển ngang giữa các vùng mạng nếu đã phân đoạn.
Truyền dữ liệu qua giao thức hoặc đích bị cấm.

Firewall không thể tự giải quyết hoàn toàn

Phishing và Business Email Compromise.
Mật khẩu yếu hoặc tài khoản bị đánh cắp.
Insider Threat.
Lỗ hổng trong mã nguồn ứng dụng.
Ransomware đã thực thi trên endpoint.
Sai cấu hình IAM trên Cloud.
Rò rỉ dữ liệu qua kênh hợp lệ nhưng bị lạm dụng.
Tấn công không đi qua điểm kiểm soát Firewall.
Thiếu Backup và kế hoạch phục hồi.

Firewall có chặn được ransomware không?

Firewall có thể hỗ trợ chặn một số giai đoạn của ransomware, chẳng hạn kết nối đến hạ tầng độc hại, tải payload, khai thác lỗ hổng mạng hoặc di chuyển ngang giữa các vùng.

Firewall không đảm bảo ngăn được toàn bộ ransomware. Mã độc có thể đi qua email, tài khoản bị chiếm quyền, thiết bị cá nhân, phần mềm hợp pháp hoặc kênh được cho phép.

Doanh nghiệp cần kết hợp:

Email Security.
EDR/XDR.
Network Segmentation.
Patch Management.
Least Privilege.
Multi-Factor Authentication.
Backup tách biệt.
SOC và Incident Response.

Firewall có thể chặn nhiều kết nối trái phép, khai thác đã biết và lưu lượng độc hại. Firewall không phải cơ chế bảo vệ tuyệt đối trước ransomware, phishing hoặc tài khoản bị chiếm quyền. Doanh nghiệp cần xây dựng defense-in-depth thay vì phụ thuộc vào một thiết bị.

Doanh nghiệp cần Firewall trong những trường hợp nào?

Hầu hết doanh nghiệp có kết nối Internet, máy chủ, Cloud hoặc dữ liệu nội bộ đều cần một hình thức Firewall. Mức độ đầu tư phụ thuộc vào kiến trúc, rủi ro và yêu cầu vận hành.

loi-ich-cua-firewall-cho-doanh-nghiep — *Sơ đồ kiểm soát lưu lượng của Firewall trong doanh nghiệp*

Doanh nghiệp nên đánh giá hoặc nâng cấp Firewall khi có một trong các dấu hiệu sau:

Có website, VPN, email server hoặc dịch vụ public-facing.
Có máy chủ chứa dữ liệu kinh doanh quan trọng.
Có nhiều VLAN, phòng ban hoặc nhóm người dùng.
Có chi nhánh hoặc nhân viên làm việc từ xa.
Sử dụng AWS, Microsoft Azure hoặc Google Cloud.
Có thiết bị IoT, camera hoặc hệ thống sản xuất.
Xử lý dữ liệu tài chính, khách hàng hoặc dữ liệu cá nhân.
Cần đáp ứng ISO/IEC 27001, PCI DSS hoặc yêu cầu audit.
Firewall hiện tại chỉ lọc IP và port.
Không có log tập trung hoặc không ai kiểm tra cảnh báo.
Thiết bị sắp hết hỗ trợ hoặc không còn nhận bản vá.
Policy có nhiều rule cũ nhưng không rõ mục đích.

Checklist đánh giá nhanh nhu cầu Firewall

Doanh nghiệp đã lập danh sách tài sản cần bảo vệ.
Đã xác định các dịch vụ phải công khai ra Internet.
Đã phân loại dữ liệu và mức độ nhạy cảm.
Đã phân chia mạng người dùng, máy chủ, khách và IoT.
Đã xác định lưu lượng được phép giữa các vùng.
Đã có người chịu trách nhiệm quản trị Firewall.
Log Firewall được lưu giữ và kiểm tra.
Firmware và security signature được cập nhật.
Rule thay đổi có phê duyệt và ghi nhận.
Có phương án dự phòng khi Firewall gặp sự cố.

Nếu có nhiều tiêu chí chưa đạt, vấn đề không chỉ nằm ở thiết bị. Doanh nghiệp cần xem lại kiến trúc, policy và mô hình vận hành.

Doanh nghiệp cần Firewall khi có tài sản số, kết nối Internet, Cloud, chi nhánh hoặc dữ liệu cần kiểm soát. Quyết định đầu tư phải dựa trên tài sản, luồng dữ liệu, mức rủi ro và khả năng vận hành, không chỉ dựa trên số lượng người dùng.

Doanh nghiệp nên triển khai Firewall như thế nào?

Doanh nghiệp nên triển khai Firewall theo một quy trình có kiểm soát từ khảo sát, thiết kế policy đến kiểm thử và vận hành. Không nên mua thiết bị trước rồi mới xác định luồng dữ liệu và nhu cầu bảo mật.

Bước 1: Lập bản đồ tài sản và luồng dữ liệu

Xác định:

Máy chủ và ứng dụng quan trọng.
Vị trí lưu trữ dữ liệu.
Người dùng và đối tác cần truy cập.
Kết nối giữa văn phòng, chi nhánh và Cloud.
Dịch vụ công khai ra Internet.
Giao thức và port thực sự cần thiết.

Kết quả cần là sơ đồ luồng dữ liệu, không chỉ sơ đồ kết nối vật lý.

Bước 2: Phân chia vùng tin cậy

Có thể chia thành:

Internet.
DMZ.
User Network.
Server Network.
Management Network.
Guest Network.
IoT/OT Network.
Cloud workload.
Backup Network.

Mỗi vùng cần có chính sách truy cập riêng. Không nên coi toàn bộ mạng nội bộ là đáng tin cậy.

Bước 3: Xác định vị trí Firewall

Firewall có thể được đặt:

Tại Internet edge.
Giữa các VLAN.
Trước Data Center.
Giữa IT và OT.
Tại mỗi chi nhánh.
Trong từng VPC hoặc VNet.
Trước vùng quản trị đặc quyền.

NIST lưu ý mọi đường vào mạng cần được kiểm soát. Một kết nối phụ không đi qua Firewall có thể trở thành đường vòng để lưu lượng độc hại vượt qua điểm kiểm soát chính.

Bước 4: Xây dựng policy theo nguyên tắc Default Deny

Khởi đầu từ việc từ chối lưu lượng không cần thiết, sau đó chỉ tạo ngoại lệ cho kết nối đã được phê duyệt.

Mỗi rule nên có:

Nguồn.
Đích.
Dịch vụ hoặc ứng dụng.
Người dùng hoặc nhóm.
Hành động.
Security profile.
Logging.
Chủ sở hữu nghiệp vụ.
Lý do tạo rule.
Ngày tạo và ngày review.
Ngày hết hạn nếu là rule tạm thời.

Bước 5: Kích hoạt kiểm tra bảo mật phù hợp

Tùy rủi ro, doanh nghiệp có thể áp dụng:

Intrusion Prevention.
Antivirus scanning.
URL Filtering.
DNS Security.
Application Control.
SSL/TLS inspection.
File sandboxing.
Data Loss Prevention.

Không nên áp dụng một profile cho mọi loại lưu lượng. Hệ thống tài chính, người dùng văn phòng và IoT có nhu cầu khác nhau.

Bước 6: Kiểm thử trước khi đưa vào production

Kiểm tra:

Kết nối nghiệp vụ hợp lệ.
Kết nối không được phép.
Rule shadowing và rule conflict.
Failover High Availability.
Khả năng khôi phục cấu hình.
Log và cảnh báo.
Hiệu năng khi bật security profile.
Tác động đến ứng dụng mã hóa.

NIST khuyến nghị triển khai theo giai đoạn hoặc pilot khi có nhiều Firewall và chi nhánh, nhằm xác định xung đột policy trước khi mở rộng toàn doanh nghiệp.

Bước 7: Vận hành và cải tiến liên tục

Sau khi triển khai cần:

Theo dõi CPU, RAM, session và throughput.
Cập nhật firmware và security signature.
Kiểm tra cảnh báo.
Review ruleset định kỳ.
Xóa rule không còn sử dụng.
Sao lưu cấu hình.
Kiểm thử khôi phục.
Gửi log đến SIEM hoặc SOC.
Quản lý thay đổi bằng ticket và phê duyệt.

Triển khai Firewall cần bắt đầu từ tài sản, luồng dữ liệu và vùng tin cậy. Policy nên áp dụng Default Deny, được kiểm thử trước production và quản lý bằng quy trình thay đổi. Giai đoạn vận hành quyết định hiệu quả lâu dài của Firewall.

9 lỗi cấu hình Firewall phổ biến là gì?

Các sự cố Firewall thường không xuất phát từ việc thiếu tính năng mà từ policy quá rộng, rule cũ, thiếu giám sát và quy trình thay đổi không chặt chẽ.

1. Sử dụng rule “Any to Any”

Rule cho phép mọi nguồn, mọi đích và mọi dịch vụ làm mất ý nghĩa của phân vùng mạng. Rule này chỉ nên xuất hiện trong tình huống kiểm thử có kiểm soát và phải có thời hạn rõ ràng.

2. Không xóa rule tạm thời

Rule được tạo để xử lý một dự án hoặc sự cố có thể tồn tại nhiều năm nếu không có ngày hết hạn và người sở hữu.

3. Không ghi chú mục đích của rule

Sau một thời gian, quản trị viên không còn biết rule phục vụ ứng dụng nào và có thể ngại xóa vì sợ gián đoạn hệ thống.

4. Chỉ bảo vệ perimeter

Khi một endpoint bị xâm nhập, mạng phẳng cho phép kẻ tấn công tiếp cận nhiều máy chủ. Internal Segmentation Firewall giúp giới hạn di chuyển ngang.

5. Không ghi log hoặc không kiểm tra log

Firewall có thể chặn hàng nghìn kết nối nhưng doanh nghiệp không nhận biết chiến dịch tấn công nếu log không được theo dõi.

6. Quản trị Firewall trực tiếp từ Internet

Giao diện quản trị chỉ nên được truy cập từ Management Network, VPN bảo mật hoặc hệ thống PAM. Tài khoản quản trị cần MFA và phân quyền theo vai trò.

7. Không đánh giá hiệu năng khi bật security profile

Throughput công bố có thể khác đáng kể với throughput thực khi bật IPS, antivirus, SSL inspection và logging.

8. Không cập nhật firmware

Firewall là thiết bị bảo mật nhưng cũng là một hệ thống phần mềm có thể tồn tại lỗ hổng. Firmware và bản vá cần được theo dõi như các tài sản quan trọng khác.

9. Không có quy trình thay đổi

Thay đổi trực tiếp, không ticket, không phê duyệt và không rollback có thể gây gián đoạn hoặc tạo lỗ hổng mới.

Checklist rà soát Firewall policy

Không tồn tại rule Any-to-Any không có lý do.
Mỗi rule có mô tả và người sở hữu.
Rule tạm thời có ngày hết hạn.
Rule không sử dụng đã được đánh dấu.
Không có rule trùng lặp hoặc bị che khuất.
Management interface không mở ra Internet.
Tài khoản quản trị sử dụng MFA.
Log được gửi về hệ thống tập trung.
Cấu hình được sao lưu.
Firmware nằm trong phiên bản còn hỗ trợ.
High Availability được kiểm thử.
Thay đổi có ticket và phương án rollback.
Policy được review theo lịch.
Các dịch vụ public được đặt trong DMZ hoặc vùng riêng.
Lưu lượng giữa các vùng nội bộ được kiểm soát.

Các lỗi Firewall phổ biến gồm rule quá rộng, thiếu ghi chú, không xóa rule cũ, không phân vùng mạng và không giám sát log. Doanh nghiệp cần quản lý Firewall như một quy trình liên tục, không phải một thiết bị được cấu hình một lần rồi bỏ quên.

Doanh nghiệp nên lựa chọn Firewall nào?

Doanh nghiệp nên lựa chọn Firewall dựa trên tài sản, kiến trúc, lưu lượng, tính năng cần sử dụng và khả năng vận hành. Không nên chọn chỉ dựa trên băng thông Internet hoặc giá thiết bị.

Decision Matrix lựa chọn Firewall

Nhu cầu doanh nghiệp	Hướng lựa chọn phù hợp
Văn phòng nhỏ, ít dịch vụ public	NGFW entry-level hoặc giải pháp Cloud-managed
Nhiều chi nhánh	NGFW có SD-WAN và quản trị tập trung
Data Center quan trọng	NGFW throughput cao, High Availability, segmentation
Môi trường Hybrid Cloud	Kết hợp Hardware, Virtual và Cloud Firewall
Website hoặc API public	NGFW kết hợp WAF
Có hệ thống OT/IoT	Firewall hỗ trợ segmentation và giao thức phù hợp
Thiếu nhân sự chuyên trách	Managed Firewall 24/7
Cần giám sát toàn hệ thống	Tích hợp Firewall với SIEM và SOC
Yêu cầu Zero Trust	Firewall kết hợp IAM, MFA, PAM và ZTNA
Dữ liệu nhạy cảm	Policy theo danh tính, DLP và kiểm soát outbound

Framework FIRE để lựa chọn Firewall

F – Flow

Xác định lưu lượng hiện tại và dự báo tăng trưởng:

Băng thông Internet.
East-West traffic.
Số phiên đồng thời.
Connections per second.
VPN throughput.
Lưu lượng mã hóa.

I – Inspection

Xác định các chức năng kiểm tra cần kích hoạt:

IPS.
Antivirus.
Application Control.
URL Filtering.
SSL inspection.
Sandbox.
DNS Security.

R – Resilience

Đánh giá khả năng duy trì hoạt động:

High Availability.
Dual power supply.
Dual WAN.
Backup cấu hình.
Khả năng rollback.
Hỗ trợ kỹ thuật và SLA.

E – Ecosystem

Đánh giá khả năng tích hợp:

SIEM.
SOC.
Endpoint Security.
IAM.
Cloud.
SD-WAN.
API.
Hệ thống quản trị tập trung.

NIST cũng khuyến nghị đánh giá đồng thời security capability, management, performance, integration, physical environment, personnel và future needs khi lựa chọn Firewall.

Checklist trước khi mua Firewall

Throughput được đánh giá khi bật đầy đủ tính năng cần dùng.
Số phiên đồng thời đáp ứng hiện tại và tăng trưởng.
Có High Availability nếu hệ thống quan trọng.
Hỗ trợ quản trị tập trung.
Log tương thích với SIEM hiện có.
Hỗ trợ môi trường Cloud hoặc Hybrid Cloud.
Có cơ chế phân quyền quản trị.
Có MFA cho tài khoản quản trị.
Có bản vá và vòng đời hỗ trợ rõ ràng.
License bảo mật được tính vào tổng chi phí.
Có khả năng sao lưu và khôi phục cấu hình.
Đội ngũ nội bộ đủ năng lực vận hành.
Đã đánh giá chi phí đào tạo.
Đã kiểm tra SLA hỗ trợ.
Đã chạy Proof of Concept nếu hệ thống phức tạp.

Firewall phù hợp phải đáp ứng bốn yếu tố: Flow, Inspection, Resilience và Ecosystem. Thiết bị có thông số cao nhưng không tương thích với kiến trúc, thiếu license hoặc không có người vận hành vẫn có thể trở thành điểm nghẽn và rủi ro.

Chi phí triển khai Firewall phụ thuộc vào những yếu tố nào?

Chi phí Firewall không chỉ gồm giá thiết bị. Tổng chi phí sở hữu còn bao gồm license, triển khai, vận hành, đào tạo, lưu trữ log, hỗ trợ và thời gian quản trị.

Các yếu tố ảnh hưởng đến chi phí gồm:

Băng thông và throughput thực.
Số phiên đồng thời.
Connections per second.
VPN throughput.
SSL/TLS inspection.
Số lượng chi nhánh.
High Availability.
License IPS, antivirus, URL Filtering và sandbox.
Hạ tầng quản trị tập trung.
Log retention.
SIEM hoặc SOC.
Nhân sự vận hành.
Hợp đồng hỗ trợ.
Chu kỳ nâng cấp thiết bị.

Sai lầm khi so sánh chi phí Firewall

Chỉ so sánh giá thiết bị ban đầu có thể dẫn đến lựa chọn sai. Một giải pháp giá thấp nhưng yêu cầu nhiều thao tác thủ công, thiếu tích hợp hoặc có throughput thấp khi bật IPS có thể tạo chi phí vận hành cao hơn.

Doanh nghiệp nên tính theo tổng chi phí trong ba đến năm năm:

TCO = Thiết bị + License + Triển khai + Vận hành + Nhân sự + Hỗ trợ + Nâng cấp

Các doanh nghiệp thiếu đội ngũ chuyên trách cũng cần so sánh chi phí tuyển dụng, đào tạo và trực vận hành với mô hình Managed Firewall.

Chi phí Firewall gồm nhiều thành phần ngoài giá thiết bị. Doanh nghiệp cần đánh giá Total Cost of Ownership, bao gồm license, nhân sự, log, hỗ trợ, HA và nâng cấp. Lựa chọn có giá mua thấp chưa chắc có chi phí vòng đời thấp.

Khi nào doanh nghiệp nên sử dụng Managed Firewall?

Managed Firewall phù hợp khi doanh nghiệp cần Firewall được giám sát, cập nhật và tối ưu liên tục nhưng không có đủ nhân sự chuyên trách. Mô hình này không chỉ cung cấp thiết bị mà tập trung vào vận hành policy, log, cảnh báo và vòng đời cấu hình.

Doanh nghiệp nên cân nhắc Managed Firewall khi:

Không có Security Engineer chuyên trách.
Firewall chỉ được kiểm tra khi xảy ra sự cố.
Policy thay đổi thường xuyên.
Có nhiều thiết bị hoặc chi nhánh.
Không theo dõi log ngoài giờ hành chính.
Không có quy trình review ruleset.
Cần báo cáo định kỳ.
Cần quản lý firmware và bản vá.
Muốn tích hợp Firewall với SOC.
Cần SLA phản hồi rõ ràng.

Dịch vụ Managed Firewall 24/7 của IPSIP tập trung vào quản trị, giám sát, cập nhật và tối ưu hệ thống Firewall. Trang dịch vụ có thể được sử dụng để đánh giá sâu hơn phạm vi vận hành phù hợp với doanh nghiệp:

Dịch vụ Managed Firewall 24/7 | Đối tác Fortinet | IPSIP Việt Nam

Managed Firewall khác SOC ở phạm vi:

Managed Firewall tập trung vào thiết bị, policy, cấu hình và sự kiện Firewall.
SOC thu thập và phân tích sự kiện từ Firewall, endpoint, server, Cloud, email và nhiều nguồn khác.
Hai mô hình nên phối hợp nếu doanh nghiệp cần khả năng phát hiện và ứng phó toàn diện.

IPSIP cũng cung cấp dịch vụ SOC 24/7 để giám sát, phát hiện, phân tích và hỗ trợ ứng phó các mối đe dọa từ nhiều lớp hệ thống.

Managed Firewall phù hợp khi doanh nghiệp thiếu nhân sự chuyên trách hoặc cần vận hành liên tục theo SLA. Managed Firewall quản lý lớp tường lửa; SOC mở rộng giám sát sang endpoint, server, Cloud và các nguồn log khác.

Góc nhìn chuyên gia IPSIP về Firewall

Rủi ro lớn nhất của Firewall doanh nghiệp thường không nằm ở việc thiếu tính năng, mà nằm ở khoảng cách giữa thiết kế ban đầu và vận hành thực tế.

Một policy có thể đúng tại thời điểm triển khai nhưng trở nên không phù hợp sau khi doanh nghiệp mở thêm chi nhánh, chuyển ứng dụng lên Cloud hoặc thay đổi nhà cung cấp. Vì vậy, Firewall policy cần được xem như một tài sản sống, có người sở hữu, có vòng đời và được kiểm tra theo thay đổi của nghiệp vụ.

Doanh nghiệp nên đánh giá Firewall trên ba lớp:

Kiến trúc: Firewall có nằm đúng vị trí và kiểm soát mọi đường truy cập quan trọng hay không?
Policy: Rule có tuân theo Least Privilege và phản ánh đúng luồng dữ liệu hay không?
Vận hành: Log, cảnh báo, bản vá và thay đổi có được quản lý liên tục hay không?

mo-hinh-firewall-bao-ve-nhieu-lop-cho-ha-tang-cntt-doanh-nghiep — *Mô hình Firewall bảo vệ hạ tầng CNTT cho doanh nghiệp*

Firewall vẫn là một thành phần nền tảng của Network Security, nhưng thiết bị chỉ tạo ra giá trị khi được triển khai đúng vị trí, áp dụng policy phù hợp và quản lý liên tục.

Doanh nghiệp không nên bắt đầu bằng câu hỏi “nên mua model nào”. Câu hỏi cần trả lời trước là hệ thống nào cần bảo vệ, lưu lượng nào cần cho phép, vùng mạng nào phải tách biệt và ai chịu trách nhiệm vận hành sau khi triển khai.

Một lộ trình phù hợp nên bắt đầu bằng đánh giá tài sản và luồng dữ liệu, xây dựng policy theo Least Privilege, kiểm thử trước production và thiết lập quy trình giám sát, cập nhật và review ruleset.

Khi đội ngũ nội bộ không đủ nguồn lực để duy trì các công việc này, doanh nghiệp có thể đánh giá mô hình Managed Firewall 24/7 nhằm bảo đảm Firewall được quản trị như một hệ thống bảo mật liên tục thay vì một thiết bị mạng đơn lẻ.

-------------------------

Câu hỏi thường gặp về Firewall

Firewall có thay thế Antivirus không?

Không. Firewall kiểm soát kết nối mạng, trong khi Antivirus hoặc EDR phân tích file, tiến trình và hành vi trên thiết bị. Doanh nghiệp cần kết hợp cả hai để bảo vệ mạng và endpoint.

Router có Firewall thì doanh nghiệp có cần NGFW không?

Firewall tích hợp trên router có thể đáp ứng nhu cầu lọc cơ bản. Doanh nghiệp cần NGFW khi muốn nhận diện ứng dụng, người dùng, kiểm tra nội dung, tích hợp IPS, quản lý tập trung và theo dõi mối đe dọa chi tiết hơn.

Firewall có ngăn được ransomware không?

Firewall có thể chặn một số kết nối tải mã độc, khai thác lỗ hổng, Command and Control hoặc di chuyển ngang. Firewall không thể ngăn toàn bộ ransomware nếu mã độc đi qua email, tài khoản hợp lệ hoặc đã thực thi trên endpoint.

NGFW và UTM khác nhau như thế nào?

Cả NGFW và UTM đều có thể tích hợp nhiều chức năng bảo mật. UTM thường nhấn mạnh việc hợp nhất nhiều tính năng trong một thiết bị, còn NGFW tập trung sâu vào nhận diện ứng dụng, người dùng và kiểm soát lưu lượng theo ngữ cảnh. Cách gọi có thể khác nhau tùy vendor.

Firewall và WAF khác nhau như thế nào?

Firewall mạng kiểm soát nhiều giao thức và kết nối giữa các vùng mạng. WAF chuyên bảo vệ website và API bằng cách phân tích HTTP/S, URL, header, cookie và request body.

Doanh nghiệp nhỏ có cần Firewall không?

Có, nếu doanh nghiệp có dữ liệu, máy chủ, Cloud, camera, Wi-Fi khách hoặc nhân viên truy cập từ xa. Quy mô giải pháp cần tương ứng với tài sản và rủi ro, không nhất thiết phải sử dụng thiết bị cấp Data Center.

Bao lâu nên review Firewall policy?

Không có một chu kỳ phù hợp cho mọi doanh nghiệp. Policy nên được kiểm tra định kỳ và sau các thay đổi lớn như triển khai ứng dụng, mở chi nhánh, chuyển Cloud hoặc xảy ra sự cố. Hệ thống quan trọng thường cần review thường xuyên hơn.

Có nên bật SSL inspection cho toàn bộ lưu lượng không?

Không nhất thiết. SSL inspection tăng khả năng phát hiện mối đe dọa nhưng có thể ảnh hưởng hiệu năng, quyền riêng tư và khả năng tương thích. Doanh nghiệp cần xác định phạm vi, ngoại lệ và yêu cầu pháp lý trước khi triển khai.