Bài 86: Ôn Tập Phần 5 — Bảo Mật Mạng (CIA Triad, AAA, VPN, NGFW, Wireless Security, NAC, Endpoint, Cloud)

💡 Liên hệ thực tế

Nếu Phần 4 đã trang bị các công cụ vận hành và giám sát mạng hàng ngày, thì Phần 5 vừa xây dựng nên toàn bộ tấm khiên phòng thủ nhiều lớp cho hệ thống mạng của VNExperts — từ khái niệm nền tảng (CIA Triad), đến kiểm soát truy cập (AAA, Port Security, NAC), bảo vệ đường truyền (VPN, Wireless Security), kiểm soát nội dung (NGFW), bảo vệ thiết bị đầu cuối (Endpoint Security), và mở rộng ra cả môi trường Cloud hiện đại.

📚 Bài này không giới thiệu kiến thức mới — chỉ hệ thống hóa lại toàn bộ Phần 5 (Bài 74-85) và kiểm tra bằng 10 câu Quiz tổng hợp.

📘 Tổng hợp kiến thức Phần 5

1. Nền tảng bảo mật — CIA Triad & Mô hình bảo mật (Bài 74-75)

🎯 Điểm cốt lõi cần nhớ: mọi kỹ thuật học ở các bài sau (AAA, Port Security, VPN, NGFW...) đều là Mitigation Technique — công cụ cụ thể hiện thực hóa 2 nguyên tắc nền tảng này.

2. Kiểm soát truy cập thiết bị — AAA & Bảo mật IOS cơ bản (Bài 76-77)

AAA (Authentication, Authorization, Accounting) gồm 3 thành phần: xác thực danh tính, phân quyền, và ghi nhận nhật ký hoạt động. Local AAA lưu tài khoản ngay trên thiết bị (đơn giản nhưng khó quản lý tập trung); Server-based AAA dùng TACACS+/RADIUS để quản lý tập trung — riêng Accounting bắt buộc phải có server, không hoạt động được với local. Cấu hình bảo mật cơ bản gồm enable secret (mật khẩu dùng chung cấp thiết bị), username ... secret (tài khoản riêng từng người), và SSH thay Telnet để tránh gửi thông tin đăng nhập dạng văn bản thuần.

3. Bảo mật Layer 2 — Port Security & DHCP Snooping/DAI (Bài 78-79)

Port Security giới hạn số MAC address hợp lệ trên mỗi cổng (Static/Dynamic/Sticky), chống MAC Flooding, với 3 chế độ violation: Protect (chỉ drop), Restrict (drop + log, không khóa cổng), Shutdown (drop + log + Err-Disable, mặc định). DHCP Snooping phân loại cổng Trusted/Untrusted, xây dựng Binding Table; Dynamic ARP Inspection (DAI) dùng chính Binding Table đó để đối chiếu và chặn ARP Spoofing — khác hoàn toàn với ARP Table (nằm trên từng host, dễ bị đầu độc).

4. Bảo vệ đường truyền — VPN & NGFW (Bài 80-81)

VPN tạo tunnel mã hóa xuyên qua Internet công cộng: Site-to-Site (Gateway ↔ Gateway, cố định 24/7, trong suốt với người dùng) và Remote-Access (Client ↔ Gateway, theo phiên, cần VPN Client). IPsec dùng ESP + Tunnel mode cho Site-to-Site (mã hóa toàn bộ gói IP gốc). NGFW mở rộng Firewall truyền thống (Layer 3-4) lên khả năng phân tích đến Layer 7 — Application Awareness, User Awareness, DPI, tích hợp IPS/Anti-malware/URL Filtering (tùy license), SSL/TLS Inspection.

5. Bảo mật không dây & Kiểm soát truy cập mạng — Wireless Security & NAC (Bài 82-83)

WPA2/WPA3 đều hỗ trợ 2 chế độ Personal (PSK dùng chung) và Enterprise (802.1X + RADIUS, tài khoản riêng từng người). WPA3 nâng cấp CCMP→GCMP, PSK→SAE (chống dò mật khẩu offline). 802.1X gồm 3 thành phần: Supplicant, Authenticator, Authentication Server. NAC mở rộng thêm: MAB (cho thiết bị không hỗ trợ 802.1X), WebAuth (khách vãng lai), và Posture Assessment đánh giá "sức khỏe" thiết bị → Compliant/Remediation VLAN/Quarantine VLAN, hỗ trợ CoA để thay đổi quyền theo thời gian thực.

6. Bảo vệ thiết bị đầu cuối & Cloud — Endpoint Security & Cloud/AI (Bài 84-85)

Endpoint Security gồm EPP (chặn mối đe dọa đã biết theo chữ ký) và EDR (giám sát liên tục, phát hiện/cách ly mối đe dọa nâng cao chưa từng biết) — 2 lớp bổ sung nhau, Cisco Secure Endpoint tích hợp cả hai. Shared Responsibility Model phân chia trách nhiệm bảo mật Cloud: càng từ IaaS → PaaS → SaaS, trách nhiệm khách hàng càng giảm nhưng không bao giờ về 0 (luôn giữ IAM + bảo vệ dữ liệu). AIOps hỗ trợ phát hiện bất thường và phản ứng tự động, nhưng không thay thế con người giám sát.

📝 Quiz Tổng Hợp Phần 5 (10 câu)

Câu 1: Một cuộc tấn công DDoS làm sập website bán hàng, khiến khách hàng không thể truy cập trong nhiều giờ. Đây chủ yếu vi phạm trụ cột nào trong CIA Triad?

• A. Confidentiality
• B. Integrity
• C. Availability
• D. Cả 3 trụ cột như nhau

Câu 2: Trong AAA, thành phần nào không hoạt động được nếu chỉ dùng local, bắt buộc phải có server TACACS+/RADIUS?

• A. Authentication
• B. Authorization
• C. Accounting
• D. Cả 3 thành phần đều dùng được local

Câu 3: Trên cổng Port Security với violation restrict, khi phát hiện MAC lạ, switch xử lý như thế nào?

• A. Drop frame vi phạm, ghi log, nhưng không khóa cổng
• B. Drop frame vi phạm và chuyển cổng sang Err-Disabled
• C. Cho phép frame đi qua nhưng chỉ ghi log
• D. Không xử lý gì, chờ quản trị viên can thiệp thủ công

Câu 4: Dynamic ARP Inspection (DAI) đối chiếu gói ARP với dữ liệu nào để xác định hợp lệ?

• A. Bảng định tuyến (Routing Table)
• B. ARP Table trên chính host gửi gói tin
• C. DHCP Snooping Binding Table
• D. Danh sách VLAN đã cấu hình

Câu 5: Trong IPsec, Site-to-Site VPN thường dùng chế độ đóng gói và giao thức nào?

• A. Transport mode với AH
• B. Tunnel mode với ESP
• C. Transport mode với ESP
• D. Tunnel mode với AH

Câu 6: Khác biệt cốt lõi nhất giữa NGFW và Firewall truyền thống là gì?

• A. NGFW chạy nhanh hơn nhờ phần cứng mạnh hơn
• B. NGFW có khả năng phân tích đến Layer 7 (ứng dụng, người dùng, nội dung), không chỉ dừng ở Layer 3-4
• C. Firewall truyền thống chỉ dùng được cho mạng nhỏ
• D. Không có khác biệt đáng kể

Câu 7: Cải tiến cốt lõi nhất của WPA3-Personal so với WPA2-Personal là gì?

• A. Tăng tốc độ truyền dữ liệu Wi-Fi
• B. Thay thế PSK bằng SAE, tạo khóa phiên riêng cho mỗi lần kết nối
• C. Loại bỏ hoàn toàn nhu cầu đặt mật khẩu Wi-Fi
• D. Cho phép dùng chung 1 mật khẩu cho nhiều mạng khác nhau

Câu 8: Phương thức xác thực nào trong NAC phù hợp nhất cho 1 thiết bị IoT không hỗ trợ phần mềm Supplicant?

• A. 802.1X
• B. MAB (MAC Authentication Bypass)
• C. WebAuth
• D. Không phương thức nào xử lý được

Câu 9: Vì sao 1 chương trình Endpoint Security hoàn chỉnh cần có cả EPP lẫn EDR?

• A. Vì EPP và EDR làm cùng 1 việc, dùng cả 2 để tăng tốc độ
• B. Vì EPP chặn mối đe dọa đã biết, EDR giám sát và xử lý mối đe dọa nâng cao đã vượt qua EPP
• C. Vì EDR chỉ hoạt động được khi có EPP cài sẵn
• D. Không có lý do đặc biệt

Câu 10: Trong Shared Responsibility Model, hạng mục nào khách hàng luôn phải tự chịu trách nhiệm, dù dùng IaaS, PaaS hay SaaS?

• A. Bảo trì hạ tầng vật lý trung tâm dữ liệu
• B. Quản lý danh tính người dùng (IAM) và bảo vệ dữ liệu của mình
• C. Vá lỗi hệ điều hành nền tảng của nhà cung cấp
• D. Không có hạng mục nào cố định, tùy hoàn toàn vào nhà cung cấp

👉 Đáp án:

Câu 1: C — DDoS làm hệ thống ngừng phục vụ người dùng hợp lệ, chủ yếu ảnh hưởng Availability.

Câu 2: C — Accounting bắt buộc phải có server TACACS+/RADIUS, tùy chọn local không áp dụng được cho Accounting.

Câu 3: A — Restrict drop frame vi phạm, ghi log/SNMP trap, nhưng không đưa cổng vào Err-Disabled (khác với shutdown).

Câu 4: C — DAI đối chiếu với DHCP Snooping Binding Table (trên switch), không phải ARP Table (trên host, dễ bị đầu độc).

Câu 5: B — Site-to-Site VPN dùng Tunnel mode kết hợp ESP để mã hóa toàn bộ gói IP gốc, phù hợp định tuyến qua Internet giữa 2 Gateway.

Câu 6: B — NGFW mở rộng phạm vi phân tích đến Layer 7, khác biệt cốt lõi so với Firewall truyền thống chỉ dừng ở Layer 3-4.

Câu 7: B — SAE thay thế PSK, tạo khóa phiên riêng cho mỗi lần kết nối, chống dò mật khẩu ngoại tuyến — điểm yếu lớn của WPA2-Personal.

Câu 8: B — MAB cho phép xác thực dựa trên địa chỉ MAC, không cần thiết bị hỗ trợ 802.1X Supplicant.

Câu 9: B — EPP và EDR bổ sung nhau: EPP chặn từ đầu dựa trên dữ liệu đã biết, EDR giám sát liên tục để phát hiện mối đe dọa mới tinh vi hơn.

Câu 10: B — Dù mô hình dịch vụ nào, khách hàng luôn phải tự quản lý IAM và bảo vệ dữ liệu của chính mình, không bao giờ chuyển giao hoàn toàn cho nhà cung cấp.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng