Palo Alto [I.1][Lý thuyết] Next-Generation Firewall, kiến trúc và các thành phần cốt lõi

Next-Generation Firewall, kiến trúc và các thành phần cốt lõi​

Mục lục:
I. Lời mở đầu
II. Firewall là gì ?
III. Next-Generation Firewall - NGFW
IV. NGFW Palo Alto và Kiến trúc xử lý cốt lõi

I. Lời mở đầu​

Trong thế giới mạng hiện nay, từ lâu Firewall đã được coi là người lính gác cổng của hệ thống mạng. Tuy nhiên việc đơn thuần chỉ kiểm tra các thông tin cơ bản như địa chỉ IP và Port đã không còn đủ sức để chống lại sự tinh vi của hệ thống mạng hiện đại. Ngày nay trước những cuộc tấn công tinh vi có thể khéo léo ẩn mình trong dòng lưu lượng mạng hợp lệ, hay lưu lượng mạng được mã hóa, khai thác lỗ hổng của chính những ứng dụng mà ta tin tưởng.

Đây là lúc tường lửa thế hệ mới (Next-generation Firewall – NGFW) ra đời nó không chỉ là một bản nâng cấp mà mà là một cuộc cách mạng thực sự về tư duy phòng thủ. Để hiểu được sức mạnh vượt trội của nó, bài viết này sẽ khám phá kiến trúc và các thành phần cốt lõi đã tạo nên NGFW.

Trước khi tìm hiểu NGFW là gì ? và các thành phần của nó ra sao hãy cùng nhau nói về khái niệm Firewall.

II. Firewall là gì ?​

1. Khái niệm​

Firewall là 1 thiết bị bảo mật có khả năng phân chia mạng tin tưởng nội bộ với mạng bên ngoài được coi như là không tin tưởng ( như internet,...). Nó có thể điều chỉnh lưu lượng mạng đi vào và đi ra dựa trên các quy tắc (rule) được đặt trước. Cơ chế của nó là loại bỏ các gói tin không phù hợp với quy tắc. Các Firewall truyền thống như Packet Filtering Firewall chỉ có thể phân tích được ở layer 3 và 4 (IP nguồn, đích, Port,...) hay cao hơn nữa là Stateful Inspection Firewall có thêm khả năng lưu giữ trạng thái kết nối bằng state table để theo dõi toàn bộ phiên kết nối.

Hãy tưởng tượng mạng nội bộ giống như công ty của bạn và Firewall chính là người bảo vệ gác cổng.

• Nếu như không có người bảo vệ này bất kì ai đi ngang qua cũng có thể tự ý xâm phạm vào công ty của bạn, thăm dò và lục lọi bấy kì phòng ban nào.
• Internet cũng vậy nếu như không có người bảo vệ chắn giữa, kẻ tấn công có thể dùng các công cụ scan để tìm các port đang mở, từ đó tìm lối thâm nhập vào hệ thống.

Mục đích ra đời của Firewall chính là để bảo vệ hệ thống mạng nội bộ của bạn an toàn trước những mối đe dọa tiềm ẩn từ Internet.

2. Phân loại​

- Theo hình thức tiển khai:

• Hardware Firewall (Tường lửa phần cứng): Thiết bị vật lý được cài đặt trên mạng
• Software Firewall (Tường lửa phần mềm): Được cài đặt dưới dạng chương trình trên máy tính hoặc máy chủ (server)
• Virtual Firewall (Firewall ảo): là một phần mềm được cài trong môi trường ảo hóa (VMware, Azure, AWS)
• Cloud Firewall (Tường lửa đám mây): Giải pháp bảo mật chạy trên nền tảng đám mây được cung cấp dưới dạng dịch vụ. Dễ mở rộng và quản lý từ xa, thưởng dùng để bảo vệ các hệ thống lưu trữ trên cloud.

- Theo chức năng (cách thức lọc lưu lượng mạng)

• Packet Filtering Firewall (Lọc gói tin): Cơ bản nhất. Kiểm tra từng gói tin độc lập dựa trên địa chỉ IP, số cổng và giao thức. Không xem được nội dung bên trong.
• Stateful Inspection Firewall (Kiểm tra trạng thái): Theo dõi toàn bộ quá trình kết nối từ lúc mở đến lúc đóng. Nó thông minh hơn vì hiểu được ngữ cảnh của các gói tin thuộc cùng một phiên làm việc.
• Proxy Firewall (Tường lửa ủy nhiệm): Đóng vai trò là cổng nối (gateway) trung gian giữa hai mạng cho một ứng dụng cụ thể. Nó ngăn chặn kết nối trực tiếp để bảo vệ mạng nội bộ.
• Web Application Firewall (WAF): Chuyên biệt để bảo vệ các ứng dụng web. Nó có khả năng soi nội dung gói tin cực sâu để lọc mã độc hoặc dữ liệu trái phép.
• Unified Threat Management (UTM) Firewall: Tường lửa "tất cả trong một". Kết hợp lọc trạng thái với các tính năng khác như diệt virus (antivirus) và ngăn chặn xâm nhập (IPS).
• Next-Generation Firewall (NGFW): Tường lửa thế hệ mới. Vượt xa loại truyền thống nhờ khả năng: nhận diện ứng dụng (biết bạn đang dùng Facebook hay Skype), hệ thống ngăn chặn xâm nhập (IPS) và bảo mật bằng AI .
• AI-powered Firewall: Tường lửa ứng dụng trí tuệ nhân tạo (AI) và học máy (ML). Nó không dựa trên quy tắc cứng nhắc mà tự phân tích lưu lượng theo thời gian thực để phát hiện các kiểu tấn công mới chưa từng có tiền lệ.

II. Next-Generation Firewall - NGFW​

1. Khái niệm​

Next-generation Firewall là một firewall thế hệ mới có chức năng xác định và kiểm soát các ứng dụng (application), người dùng (user) và nội dung (content) để thực thi các chính sách bảo mật chính xác. NGFW kiểm tra lưu lượng truy cập vượt ra ngoài khuôn khổ cửa Port và Protocol để phát hiện các mối đe dọa và ngăn chặn việc sử dụng ứng dụng sai mục đích.

Hay nói cách khác:
NGFW hoạt động ở các lớp cao hơn của mô hình OSI, bao gồm cả lớp ứng dụng (Application Layer)

2. Chức năng​

Về chức năng NGFW tích hợp các chức năng cốt lõi của tường lửa cùng với ngăn chặn xâm nhập (intrusion prevention) và phát hiện các mối đe dọa (threat detection).

Các chức năng cốt lõi của NGFW:
Các chức năng của NGFW hiện đại:

3. Kiến trúc xử lý của một số hãng NGFW lớn hiện nay​

4. So sánh NGFW với Firewall truyền thống​

IV. NGFW Palo Alto và Kiến trúc xử lý cốt lõi​

Palo Alto Networks là một trong những nhà cung cấp tường lửa thế hệ mới (NGFW – Next-Generation Firewall) dẫn đầu thị trường, nổi bật nhờ khả năng nhận dạng ứng dụng chính xác, phân tích đa tầng và tích hợp bảo mật sâu. Điểm khác biệt quan trọng nhất của Palo Alto so với các giải pháp NGFW truyền thống nằm ở kiến trúc xử lý Single-Pass, nền tảng giúp firewall đạt hiệu năng cao, độ trễ thấp và bảo mật toàn diện ngay cả khi bật đầy đủ các tính năng. NGFW của Palo Alto chạy hệ điều hành PAN-OS.

1. Kiến trúc xử lý Single-Pass Parallel Processing​

Kiến trúc xử lý cốt lõi của NGFW Palo Alto đó là Single-Pass Parallel Processing Architecture (SP3) hay được gọi tắt là Single-Pass Architecture

Nguyên tắc cốt lõi đó là “Scan it all, scan it once”
Mọi packet chỉ được xử lý đúng 1 lần duy nhất (single pass) và các chức năng được thực hiện song song (parallel processing) trên phần cứng chuyên dụng.
Quy trình xử lý toàn bộ lưu lượng chỉ trong một lần quét (single pass) là điều chỉ Palo Alto Networks NGFW làm được. Cách xử lý lưu lượng này đảm bảo rằng mỗi tác vụ chỉ được thực hiện một lần trên cùng một luồng traffic.

Các chức năng xử lý chính bao gồm:

- Chức năng Mạng và Quản lý:
Nằm ở lõi của toàn bộ quá trình xử lý lưu lượng, tạo thành một nền tảng mạng chung cùng với một cấu trúc quản lý thống nhất phục vụ cho mọi hoạt động xử lý.

- Công nghệ User-ID:
Ánh xạ địa chỉ IP với người dùng (ví dụ: từ Active Directory) và người dùng với các nhóm (vai trò) để cho phép hiển thị và thực thi chính sách dựa trên người dùng và nhóm.
Nó giúp firewall hiểu: “Từ IP 10.0.0.55 đang là Nguyễn Văn A – thuộc nhóm IT-Admin.”

- Công nghệ Device-ID:
Ánh xạ địa chỉ IP tới các thiết bị cụ thể để cho phép hiển thị và áp dụng chính sách dựa trên danh tính của thiết bị.

- Công nghệ App-ID:

• Nhận dạng ứng dụng dựa trên sự kết hợp giữa:
• Chữ ký ứng dụng
• Phát hiện và giải mã giao thức
• Giải mã tầng ứng dụng
• Phương pháp suy luận dựa trên hành vi/ thói quen/ mẫu bất thường (heuristics).

- Công nghệ Content-ID
Sử dụng định dạng chữ ký thống nhất để quét lưu lượng, nhằm phát hiện:

• Các mối đe dọa (khai thác lỗ hổng, virus, spyware, và giao tiếp của malware),
• Các mẫu dữ liệu nhạy cảm (như số An sinh Xã hội, số thẻ tín dụng, hoặc mẫu tuỳ chỉnh).

Nghĩa là mọi loại chữ ký (IPS, AV, Anti-Spyware, C2, URL, DLP,...) đều được viết theo CÙNG MỘT FORMAT. Và một engine duy nhất (Content-ID) dùng chung kho chữ ký đó.
Ngoài engine so sánh chữ ký, dataplane của tường lửa còn áp dụng machine learning theo thời gian thực lên:

• PowerShell scripts
• Tệp thực thi PE
• JavaScript
• Tệp ELF

Để ngăn chặn các cuộc tấn công dựa trên file và web.

- Bộ máy chính sách (Policy Engine)

• Cho phép quá trình kiểm tra mối đe dọa và quyết định forward / no forward được thực hiện trong một chính sách duy nhất.
• User-ID, Device-ID, App-ID, chống mối đe dọa, lọc URL, phân tích malware, DLP và nhiều chức năng khác có thể được cấu hình trong cùng một policy.

Thêm nữa:

Common Protocol Decoding Engine:
là một engine quan trọng và chủ chốt của kiến trúc Single-Pass, nó là một bộ máy giải mã giao thức chung cho toàn bộ lưu lượng. Engine này được sử dụng để bóc tách một luồng ứng dụng nhằm xác định các thành phần khác nhau của nó là gì (ví dụ: việc truyền tệp bắt đầu và kết thúc ở đâu, loại tệp là gì, khi nào người dùng đang đăng tải dữ liệu so với tải xuống, khi nào một lệnh đang được thực thi). Đó chính là cơ sở của tuyên bố “Scan it one”. Tránh việc tạo ra nhiều Decode Engine khác nhau, nội dung chỉ được quét một lần duy nhất và cung cấp ngữ cảnh chung cho các engine khác (User-ID, App-ID,...) sử dụng.

Stream-Based Signature Engine:
Đây là engine quyết định việc:
Tường lửa quét được nhiều loại mối đe dọa (virus, spyware, exploit, C2, DLP…), nhưng vẫn giữ được hiệu năng cao, độ trễ thấp khi bật đủ tính năng.

Stream-Based Signature Engine không chỉ là một cải tiến, nó là sự thay thế hoàn toàn cho nhiều thành phần rời rạc và kém hiệu quả trong các kiến trúc bảo mật truyền thống, bao gồm:

• File Proxy: Dùng để quét virus và spyware.
• Engine chữ ký riêng cho lỗ hổng: Chức năng của một hệ thống chống xâm nhập (IPS) độc lập.
• TTP Decoder riêng: Dùng cho chức năng lọc URL.

Dựa trên hai nguyên tắc kỹ thuật chính:

• Quét theo thời gian thực (Real-time Scanning): Không giống như các file proxy yêu cầu phải tải xuống toàn bộ tệp trước khi quét, engine này phân tích lưu lượng ngay khi nó đi qua. Nó chỉ ghép nối lại (reassemble) một lượng gói tin tối thiểu cần thiết, giúp giảm độ trễ xuống mức gần như bằng không.
• Một Engine Duy Nhất (Single Engine): Thay vì phải chạy tuần tự qua nhiều bộ máy quét khác nhau (IPS, Antivirus,...), toàn bộ lưu lượng được quét một lần duy nhất bởi một bộ máy sử dụng định dạng chữ ký thống nhất (uniform signature format)

2. Single-Pass khác gì Multi-Pass (cách làm truyền thống)?​

3. Ưu điểm thực tế của Single-Pass (Theo hãng Palo Alto)​

• Không giảm hiệu suất đáng kể khi bật thêm tính năng
• Chính sách cực kỳ trực quan (User + App + Threat trong cùng 1 rule)
• Độ trễ thấp, dễ dự đoán throughput
• Giảm số lượng thiết bị hơn, ít console quản lý hơn, ít điện/rack hơn
• Nhìn thấy và kiểm soát được ứng dụng dù nó cố tình “trốn” (P2P, proxy, remote desktop, v.v.)

4. Hạn chế​

• Với email truyền thống (SMTP/POP3/IMAP): không proxy chỉ cảnh báo, không block attachment độc hại 100% (vì nếu block sẽ gây retransmit liên tục). Giải pháp: dùng email gateway riêng hoặc chuyển sang Microsoft 365/Gmail + SaaS Security.
• Giải nén file: chỉ hỗ trợ stream-based ZIP & GZIP (không hỗ trợ RAR, 7z, ZIP có password). Bù lại có file-type inspection và ML-based detection.

Tham khảo:
https://medium.com/@aysealmaci/ngfw-vs-traditional-firewall-7c7c3727723d
https://www.geeksforgeeks.org/compu...tional-firewall-and-next-generation-firewall/