Trần Ngọc Quý
Intern
MỤC LỤC
- Tổng quan về NGFW
- Sự khác biệt giữa Firewall truyền thống và NGFW
- Kiến trúc tổng thể của NGFW
- Các thành phần cốt lõi của NGFW
- Cơ chế xử lý lưu lượng trong NGFW
- Kiểm tra lưu lượng mã hóa SSL/TLS
- Cơ chế phát hiện và ngăn chặn mối đe dọa
- Quản lý và giám sát trên NGFW
- Mô hình triển khai NGFW trong hệ thống mạng
- Ưu điểm và hạn chế của NGFW
- Kết luận
1. Tổng quan về NGFW
1.1. Khái niệm NGFW
NGFW (Next-Generation Firewall – Tường lửa thế hệ mới) là thế hệ tường lửa được phát triển nhằm khắc phục những hạn chế của Firewall truyền thống trước các mối đe dọa mạng hiện đại.Firewall truyền thống chủ yếu kiểm soát lưu lượng dựa trên các thông tin như:
Source IP → Destination IP → Source Port → Destination Port → Protocol
Trong khi đó, NGFW không chỉ kiểm tra các thông tin ở tầng mạng và tầng giao vận mà còn có khả năng phân tích sâu đến tầng ứng dụng – Layer 7.
Cisco định nghĩa NGFW là một hệ thống kết hợp khả năng Stateful Firewall truyền thống với các chức năng như nhận diện ứng dụng, kiểm soát ứng dụng, Intrusion Prevention System, phát hiện mối đe dọa nâng cao và nhận diện danh tính người dùng.
Có thể hiểu đơn giản:
Nhờ đó, NGFW có khả năng xác định không chỉ máy nào đang kết nối đến máy nào, mà còn xác định được người dùng nào đang sử dụng ứng dụng gì, truy cập nội dung gì và lưu lượng đó có chứa mối đe dọa hay không.
2. Sự khác biệt giữa Firewall truyền thống và NGFW
Firewall truyền thống chủ yếu hoạt động ở Layer 3 và Layer 4 của mô hình OSI. Chính sách thường được xây dựng dựa trên địa chỉ IP, giao thức và số hiệu cổng.Ví dụ, một Firewall truyền thống có thể có luật:
Firewall biết rằng máy trong mạng LAN đang tạo kết nối HTTPS đến Internet nhưng không nhất thiết biết ứng dụng thực tế bên trong kết nối đó là YouTube, Facebook, Google Drive hay một dịch vụ web khác.
NGFW có khả năng phân tích sâu hơn và nhận diện ứng dụng ở Layer 7.
| Tiêu chí | Firewall truyền thống | NGFW |
|---|---|---|
| Kiểm tra IP | Có | Có |
| Kiểm tra Port | Có | Có |
| Stateful Inspection | Có | Có |
| NAT | Có | Có |
| VPN | Có | Có |
| Nhận diện ứng dụng | Hạn chế | Có |
| Kiểm soát theo người dùng | Hạn chế | Có |
| Deep Packet Inspection | Hạn chế | Có |
| IPS/IDS | Thường tách riêng | Tích hợp |
| Antivirus/Anti-malware | Thường không có | Có |
| URL Filtering | Hạn chế | Có |
| SSL/TLS Inspection | Hạn chế | Có |
| Threat Intelligence | Hạn chế | Có |
| Sandboxing | Thường không có | Có thể tích hợp |
Thay vì chỉ biết:
NGFW có thể xác định:
Từ đó, quản trị viên có thể xây dựng chính sách chi tiết hơn, ví dụ cho phép người dùng truy cập Google Drive nhưng không cho phép tải một số loại tập tin nhạy cảm lên hệ thống.
3. Kiến trúc tổng thể của NGFW
Kiến trúc cụ thể của NGFW khác nhau tùy theo nhà sản xuất như Fortinet, Palo Alto Networks, Cisco, Sophos hay Check Point. Tuy nhiên, về mặt logic, một NGFW thường có thể được chia thành ba khối chính:Trong đó, mỗi thành phần đảm nhiệm một chức năng riêng.
3.1. Management Plane
Management Plane – Mặt phẳng quản trị là thành phần chịu trách nhiệm cho các hoạt động cấu hình, quản trị và giám sát thiết bị.Thông qua Management Plane, quản trị viên có thể:
Cấu hình Security Policy, NAT, VPN, Routing, VLAN và Interface; quản lý tài khoản quản trị; theo dõi trạng thái thiết bị; xem Log và Report; cập nhật Firmware; cập nhật các bộ chữ ký IPS, Antivirus và Application Signature.
Management Plane thường cung cấp nhiều phương thức quản trị như:
hoặc thông qua các nền tảng quản lý tập trung.
Management Plane về nguyên tắc không trực tiếp xử lý toàn bộ lưu lượng người dùng mà chủ yếu phục vụ việc điều khiển và quản trị thiết bị.
3.2. Control Plane
Control Plane – Mặt phẳng điều khiển chịu trách nhiệm xây dựng và duy trì các thông tin cần thiết để Data Plane xử lý lưu lượng.Control Plane có thể đảm nhiệm các chức năng như duy trì bảng định tuyến, xử lý các giao thức định tuyến, quản lý ARP, Neighbor Discovery, cập nhật chính sách và đồng bộ trạng thái giữa các thiết bị HA.
Ví dụ, khi NGFW sử dụng OSPF hoặc BGP, Control Plane sẽ xử lý thông tin định tuyến và xây dựng Routing Table.
Sau đó Data Plane sử dụng những thông tin này để chuyển tiếp lưu lượng.
3.3. Data Plane
Data Plane – Mặt phẳng dữ liệu là phần trực tiếp xử lý các gói tin đi qua Firewall.Đây là khu vực thực hiện phần lớn những chức năng bảo mật quan trọng như:
và chuyển tiếp lưu lượng.
Một số dòng NGFW hiệu năng cao sử dụng CPU đa nhân hoặc các bộ xử lý chuyên dụng như ASIC/NPU nhằm tăng tốc xử lý gói tin, mã hóa và kiểm tra bảo mật.
Ví dụ, kiến trúc phần cứng của một số dòng Palo Alto Networks phân tách chức năng Management và Data Plane; Data Plane tiếp tục bao gồm các thành phần xử lý mạng và xử lý bảo mật.
4. Các thành phần cốt lõi của NGFW
4.1. Stateful Inspection
Stateful Inspection là nền tảng cơ bản mà NGFW kế thừa từ Firewall truyền thống.Thay vì đánh giá từng Packet riêng lẻ, Firewall theo dõi trạng thái của toàn bộ kết nối.
Ví dụ:
NGFW nhận biết đây là một phiên TCP hợp lệ và tạo thông tin phiên trong Session Table.
Session Table có thể lưu những thông tin như:
| Thông tin | Ý nghĩa |
|---|---|
| Source IP | Địa chỉ nguồn |
| Destination IP | Địa chỉ đích |
| Source Port | Cổng nguồn |
| Destination Port | Cổng đích |
| Protocol | TCP/UDP/... |
| State | Trạng thái phiên |
| NAT Information | Thông tin NAT |
| Application | Ứng dụng được nhận diện |
| User | Người dùng liên quan |
| Security Policy | Chính sách được áp dụng |
Những Packet tiếp theo thuộc cùng phiên có thể được xử lý hiệu quả dựa trên trạng thái đã được lưu.
4.2. Security Policy Engine
Security Policy Engine được xem là một trong những thành phần quan trọng nhất của NGFW.Nó quyết định lưu lượng:
hoặc
dựa trên nhiều thuộc tính.
Một chính sách NGFW hiện đại có thể được mô tả theo dạng:
Ví dụ:
nhưng:
Điều này linh hoạt hơn nhiều so với Firewall truyền thống chỉ sử dụng IP và Port.
4.3. Deep Packet Inspection – DPI
Deep Packet Inspection là kỹ thuật phân tích sâu nội dung của lưu lượng mạng.Một Packet có thể được hiểu đơn giản gồm:
Firewall truyền thống chủ yếu quan tâm đến phần Header.
NGFW có khả năng phân tích cả Payload để xác định nội dung hoặc hành vi của lưu lượng.
DPI giúp NGFW phát hiện các dấu hiệu như mã độc, exploit, giao thức bất thường, ứng dụng chạy trên cổng không mặc định hoặc các mẫu dữ liệu nguy hiểm.
Chính khả năng phân tích sâu này giúp NGFW phát hiện nhiều mối đe dọa mà Packet Filtering thông thường không thể nhận diện.
4.4. Application Identification và Application Control
Một trong những đặc điểm quan trọng nhất của NGFW là khả năng nhận diện ứng dụng độc lập với số hiệu cổng.Ví dụ, cả Google, Facebook, YouTube và nhiều ứng dụng khác đều có thể sử dụng:
Nếu chỉ dựa vào Port, Firewall truyền thống sẽ xem chúng đều là lưu lượng HTTPS.
NGFW sử dụng nhiều kỹ thuật như Application Signature, phân tích giao thức, hành vi lưu lượng và các đặc điểm của phiên để xác định ứng dụng thực tế.
Palo Alto Networks gọi công nghệ nhận diện ứng dụng của mình là App-ID, sử dụng các cơ chế như Application Signature, Protocol Decoding và Heuristics để phân loại ứng dụng.
Các nhà sản xuất khác cũng có cơ chế Application Control tương tự.
Sau khi nhận diện ứng dụng, NGFW có thể:
Ví dụ:
Nhờ đó, chính sách bảo mật được xây dựng theo ứng dụng thực tế thay vì chỉ dựa vào Port.
4.5. User Identification
NGFW hiện đại có khả năng liên kết địa chỉ IP với danh tính người dùng.Thiết bị có thể tích hợp với các hệ thống xác thực và quản lý danh tính như:
hoặc các dịch vụ Identity Provider.
Ví dụ, thay vì chính sách:
có thể xây dựng chính sách:
Palo Alto Networks gọi cơ chế này là User-ID, cho phép liên kết hoạt động ứng dụng và chính sách với username hoặc group thay vì chỉ dựa vào địa chỉ IP.
Khả năng này đặc biệt quan trọng trong những hệ thống sử dụng DHCP, Wi-Fi hoặc VPN vì địa chỉ IP của người dùng có thể thay đổi thường xuyên.
4.6. Intrusion Prevention System – IPS
IPS (Intrusion Prevention System) là thành phần chịu trách nhiệm phát hiện và ngăn chặn các cuộc tấn công mạng.IPS phân tích lưu lượng và so sánh với các dấu hiệu hoặc hành vi tấn công.
Ví dụ:
IPS có thể phát hiện các hành vi liên quan đến:
SQL Injection, buffer overflow, exploit lỗ hổng dịch vụ, command injection, network scanning, protocol anomaly và nhiều hình thức tấn công khác.
Khác với IDS chỉ tập trung phát hiện và cảnh báo, IPS hoạt động inline, do đó có thể chủ động ngăn chặn lưu lượng nguy hiểm trước khi nó đến hệ thống đích.
4.7. Antivirus và Anti-Malware
NGFW có thể tích hợp các công cụ phát hiện phần mềm độc hại trực tiếp vào quá trình kiểm tra lưu lượng.Khi một tập tin được truyền qua Firewall, hệ thống có thể kiểm tra file bằng:
Nếu tập tin trùng với mẫu mã độc đã biết, NGFW có thể chặn ngay tại Gateway.
Những mối đe dọa có thể bao gồm Trojan, Worm, Spyware, Ransomware, Botnet và các tập tin độc hại.
4.8. URL Filtering và Web Filtering
URL Filtering cho phép NGFW kiểm soát các website mà người dùng được phép truy cập.Website thường được phân loại thành nhiều nhóm như:
Quản trị viên có thể thiết lập chính sách dựa trên các Category này.
Ví dụ:
Cách quản lý theo Category hiệu quả hơn so với việc phải cấu hình thủ công hàng nghìn tên miền.
4.9. SSL/TLS Inspection
Ngày nay, phần lớn lưu lượng Internet sử dụng HTTPS.Do đó dữ liệu được mã hóa:
Nếu Firewall không giải mã lưu lượng thì các công cụ IPS, Antivirus hoặc Application Control có thể bị hạn chế khả năng phân tích nội dung.
NGFW giải quyết vấn đề này bằng SSL/TLS Inspection.
Mô hình có thể hình dung như sau:
Đối với những chính sách cho phép kiểm tra sâu, NGFW có thể tạo hai phiên TLS logic:
Lưu lượng được giải mã tạm thời tại NGFW để kiểm tra bằng các Security Engine, sau đó được mã hóa lại trước khi chuyển tiếp.
SSL Inspection giúp phát hiện malware hoặc exploit ẩn bên trong HTTPS. Fortinet cũng mô tả khả năng SSL/TLS Inspection là một thành phần quan trọng giúp NGFW kiểm tra các mối đe dọa nằm trong lưu lượng được mã hóa.
Tuy nhiên, SSL Inspection cũng có thể tiêu tốn nhiều tài nguyên CPU và RAM. Ngoài ra, tổ chức cần xây dựng chính sách phù hợp để tránh kiểm tra những nội dung nhạy cảm liên quan đến quyền riêng tư hoặc yêu cầu pháp lý.
4.10. Threat Intelligence
NGFW hiện đại thường kết nối với hệ thống Threat Intelligence của nhà cung cấp.Threat Intelligence chứa thông tin về các mối đe dọa được thu thập từ nhiều nguồn.
Ví dụ:
Khi một địa chỉ hoặc tập tin mới được xác định là nguy hiểm, thông tin có thể được cập nhật về Firewall.
Quy trình có thể được hình dung:
Nhờ vậy, khả năng phòng thủ không chỉ phụ thuộc vào dữ liệu được cấu hình cục bộ trên thiết bị.
4.11. Sandboxing
Đối với các tập tin chưa có chữ ký nhận diện, một số NGFW có thể gửi tập tin hoặc thông tin liên quan đến hệ thống Sandbox.Sandbox là môi trường cô lập dùng để thực thi và quan sát hành vi của một tập tin đáng ngờ.
Quá trình có thể diễn ra:
Nếu tập tin thực hiện những hành vi như tạo tiến trình bất thường, thay đổi Registry, kết nối đến Command & Control Server hoặc mã hóa hàng loạt tập tin thì hệ thống có thể xác định đây là một mối đe dọa.
Sandbox đặc biệt hữu ích đối với các loại malware mới chưa tồn tại trong cơ sở dữ liệu chữ ký truyền thống.
4.12. NAT và Routing
Bên cạnh những chức năng bảo mật nâng cao, NGFW vẫn cung cấp những chức năng mạng cơ bản.Routing
NGFW có thể hỗ trợ:và tùy sản phẩm có thể hỗ trợ thêm các giao thức định tuyến khác.
NAT
NGFW thường hỗ trợ:Nhờ đó, NGFW có thể đóng vai trò Gateway giữa mạng nội bộ và Internet.
Ví dụ:
4.13. VPN
NGFW thường tích hợp khả năng VPN nhằm bảo vệ dữ liệu khi truyền qua các mạng không tin cậy.Hai dạng phổ biến là:
Kết nối an toàn giữa hai mạng:
và Remote Access VPN, cho phép người dùng từ xa truy cập tài nguyên nội bộ của doanh nghiệp:
Các công nghệ phổ biến gồm IPsec VPN và SSL VPN, tùy thuộc vào nhà sản xuất và mô hình triển khai.
5. Cơ chế xử lý lưu lượng trong NGFW
Khi một Packet đi vào NGFW, nó không đơn giản chỉ được so sánh với một Access Control List.Một quy trình xử lý tổng quát có thể mô tả như sau:
Trong thực tế, thứ tự xử lý chính xác sẽ khác nhau tùy theo kiến trúc của từng nhà sản xuất.
Bước 1: Tiếp nhận lưu lượng
Packet đi vào một Interface của NGFW và được gán vào Security Zone tương ứng.Ví dụ:
Bước 2: Kiểm tra Session
NGFW kiểm tra Session Table.Nếu Packet thuộc một kết nối đã tồn tại, Firewall có thể sử dụng thông tin của Session trước đó.
Nếu đây là kết nối mới, NGFW tạo một Session mới và thực hiện các bước phân tích cần thiết.
Bước 3: Xác định tuyến đường
Firewall kiểm tra Routing Table để xác định Interface mà Packet cần được chuyển tới.Ví dụ:
Bước 4: Kiểm tra chính sách
Security Policy Engine xác định Rule phù hợp dựa trên nguồn, đích, Zone, User, Application và Service.Nếu Rule không cho phép, lưu lượng bị Drop.
Bước 5: Nhận diện ứng dụng
NGFW tiếp tục phân tích lưu lượng để xác định ứng dụng thực tế.Ví dụ:
Bước 6: Kiểm tra nội dung
Nếu lưu lượng được cho phép, các Security Profile tương ứng có thể tiếp tục kiểm tra:Bước 7: Thực hiện hành động
Nếu không phát hiện nguy hiểm:Nếu phát hiện vi phạm:
đồng thời hệ thống có thể tạo Log hoặc Alert.
6. Kiểm tra lưu lượng mã hóa SSL/TLS
SSL Inspection ngày càng quan trọng bởi kẻ tấn công cũng có thể sử dụng HTTPS để che giấu lưu lượng độc hại.Ví dụ:
Nếu không kiểm tra được HTTPS, Firewall chỉ có thể nhìn thấy một phiên TLS mà không quan sát đầy đủ nội dung bên trong.
Khi SSL Inspection được áp dụng:
Tuy nhiên, chức năng này yêu cầu thiết bị có khả năng xử lý mật mã tốt. Vì vậy, khi lựa chọn NGFW, doanh nghiệp không nên chỉ quan tâm đến Firewall Throughput mà còn phải xem xét các chỉ số như Threat Protection Throughput, IPS Throughput và SSL Inspection Performance.
7. Cơ chế phát hiện và ngăn chặn mối đe dọa
Một ưu điểm quan trọng của NGFW là nhiều công nghệ bảo mật được tích hợp vào cùng một luồng xử lý.Ví dụ, khi người dùng tải một tập tin:
Thay vì triển khai riêng Firewall, IPS, Web Filter và Antivirus Gateway thành nhiều hệ thống độc lập, NGFW có thể tích hợp những chức năng này vào một nền tảng thống nhất.
Một số kiến trúc còn tối ưu quá trình kiểm tra bằng cách chỉ xử lý lưu lượng qua một pipeline chung. Palo Alto Networks gọi mô hình của mình là Single-Pass Architecture, trong đó nhiều chức năng bảo mật được áp dụng trong cùng luồng xử lý nhằm hạn chế việc phải xử lý lại cùng một lưu lượng nhiều lần.
8. Quản lý và giám sát trên NGFW
NGFW không chỉ có nhiệm vụ chặn lưu lượng mà còn cung cấp khả năng quan sát toàn bộ hoạt động mạng.Log thường bao gồm nhiều nhóm thông tin như Traffic Log, Threat Log, URL Log, VPN Log, System Log và Authentication Log.
Ví dụ, một bản ghi có thể cho quản trị viên biết:
hoặc:
Nhờ đó, quản trị viên có thể điều tra sự cố, xác định người dùng hoặc thiết bị liên quan và đánh giá các nguy cơ trong hệ thống.
Các môi trường doanh nghiệp lớn thường tích hợp NGFW với SIEM để tập trung và phân tích Log.
Có thể hình dung:
9. Mô hình triển khai NGFW trong hệ thống mạng
Một mô hình NGFW doanh nghiệp cơ bản có thể được triển khai như sau:
Mã:
INTERNET
|
|
[ NGFW ]
/ | \
/ | \
LAN DMZ VPN
| | |
Switch Web Server Remote User
|
----------------
| |
VLAN 10 VLAN 20
User ServerLưu lượng:
đều có thể được kiểm soát bởi các Security Policy khác nhau.
Một mô hình bảo mật tốt thường chia hệ thống thành nhiều Security Zone thay vì đặt toàn bộ thiết bị trong cùng một mạng.
Ví dụ:
Việc phân vùng giúp thực hiện nguyên tắc Least Privilege – chỉ cấp quyền truy cập tối thiểu cần thiết, đồng thời hạn chế khả năng kẻ tấn công di chuyển ngang trong mạng nếu một thiết bị bị xâm nhập.
10. Ưu điểm và hạn chế của NGFW
10.1. Ưu điểm
- NGFW mang lại khả năng bảo vệ toàn diện hơn so với Firewall truyền thống nhờ việc kết hợp nhiều công nghệ bảo mật trên cùng một nền tảng.
- Khả năng nhận diện ứng dụng giúp quản trị viên xây dựng chính sách dựa trên ứng dụng thực tế thay vì chỉ dựa trên Port.
- Khả năng nhận diện người dùng giúp chính sách bảo mật gắn với User hoặc Group thay vì phụ thuộc hoàn toàn vào địa chỉ IP.
- Các thành phần IPS, Antivirus, URL Filtering, Application Control và Threat Intelligence giúp NGFW phát hiện nhiều loại tấn công ở Layer 7.
- SSL Inspection cho phép phân tích các mối đe dọa được che giấu trong kết nối mã hóa.
- Việc tích hợp nhiều chức năng trên cùng một hệ thống cũng giúp đơn giản hóa quá trình quản trị và giám sát.
10.2. Hạn chế
Mặc dù cung cấp nhiều tính năng bảo mật, NGFW cũng tồn tại một số hạn chế.- Đầu tiên là yêu cầu phần cứng cao. Các chức năng như SSL Inspection, IPS và Antivirus có thể tiêu tốn lượng lớn tài nguyên xử lý.
- Khi kích hoạt đồng thời nhiều Security Profile, Throughput thực tế của thiết bị có thể thấp hơn đáng kể so với Throughput Firewall cơ bản.
- NGFW cũng có kiến trúc và hệ thống chính sách phức tạp hơn Firewall truyền thống, vì vậy quản trị viên cần có kiến thức về Routing, NAT, VPN, Security Policy, TLS và các kỹ thuật bảo mật mạng.
- Ngoài ra, NGFW không phải là giải pháp có thể thay thế toàn bộ các hệ thống an toàn thông tin khác.
- Trong môi trường doanh nghiệp, NGFW thường cần được kết hợp với các hệ thống như:
để xây dựng mô hình phòng thủ nhiều lớp (Defense in Depth).
11. Kết luận
- Next-Generation Firewall là sự phát triển của Firewall truyền thống nhằm đáp ứng yêu cầu bảo mật trong các hệ thống mạng hiện đại. Thay vì chỉ kiểm soát lưu lượng dựa trên địa chỉ IP, Port và Protocol, NGFW có khả năng phân tích sâu đến tầng ứng dụng, xác định người dùng, kiểm tra nội dung và phát hiện các mối đe dọa nằm bên trong lưu lượng mạng.
- Về mặt kiến trúc, NGFW có thể được nhìn nhận thông qua ba thành phần chính gồm Management Plane, Control Plane và Data Plane. Trong đó, Data Plane đảm nhiệm phần lớn quá trình xử lý và kiểm tra lưu lượng, còn Management Plane và Control Plane hỗ trợ quản trị, cấu hình và điều khiển hoạt động của hệ thống.
- Các thành phần như Stateful Inspection, Security Policy Engine, Deep Packet Inspection, Application Control, User Identification, IPS, Anti-Malware, URL Filtering, SSL/TLS Inspection, Threat Intelligence, Sandboxing, NAT, Routing và VPN tạo nên nền tảng bảo mật cốt lõi của một NGFW.
- Điểm mạnh quan trọng nhất của NGFW là khả năng kết hợp nhiều cơ chế bảo vệ trong cùng một kiến trúc và đưa ra quyết định dựa trên nhiều yếu tố như người dùng, ứng dụng, nội dung và mức độ đe dọa. Điều này giúp NGFW trở thành một thành phần quan trọng trong việc xây dựng hệ thống phòng thủ nhiều lớp và kiểm soát truy cập cho các mạng doanh nghiệp hiện đại.
Bài viết liên quan
Được quan tâm
Bài viết mới