Tính năng NGFW chi tiết: cách hoạt động, hiệu năng và hướng dẫn triển khai

Nếu bạn đã nắm khái niệm cơ bản trong bài Next Generation Firewall (NGFW) là gì?, bài này đi sâu vào phần kỹ thuật hơn: NGFW xử lý một phiên kết nối như thế nào, từng tính năng cần cấu hình ra sao, và những điểm dễ sai khi triển khai thực tế.

1. NGFW xử lý một phiên kết nối như thế nào?

Khác với firewall truyền thống chỉ ra quyết định ở lớp 3/4, NGFW đi qua nhiều tầng kiểm tra nối tiếp nhau. Luồng điển hình:

1. Session lookup: gói tin thuộc phiên đã có thì đi tiếp theo kết quả trước đó, phiên mới thì vào bước kiểm tra chính sách.
2. Chính sách lớp 3/4: kiểm tra zone, IP, port, protocol (giống stateful firewall).
3. Nhận diện ứng dụng và người dùng: xác định ứng dụng thực sự (không phụ thuộc port) và gắn phiên với user/group.
4. Giải mã SSL/TLS (nếu policy yêu cầu): giải mã để các engine phía sau đọc được nội dung.
5. Quét nội dung: IPS, antivirus, URL/DNS filtering, kiểm soát file, gửi file đáng ngờ tới sandbox.
6. Mã hóa lại và chuyển tiếp, đồng thời ghi log.

Cách các hãng triển khai luồng này khác nhau. Palo Alto xây dựng quanh bộ ba App-ID, User-ID, Content-ID. FortiGate cho chọn chế độ quét flow-based hoặc proxy-based. Cisco Secure Firewall dùng engine Snort cho IPS và dữ liệu từ Talos. Ý nghĩa thực tế: cùng một tính năng "IPS" nhưng độ chính xác, độ trễ và mức tiêu tốn tài nguyên có thể khác nhau, nên cần so sánh trên đúng kịch bản của bạn.

2. Các tính năng cốt lõi, xem ở góc độ triển khai

2.1 Application Control

Nhận diện ứng dụng dựa trên chữ ký, hành vi và phân tích giao thức, nên vẫn phân biệt được Teams, Zoom, Dropbox hay BitTorrent khi tất cả cùng chạy qua TCP/443.

Lưu ý khi cấu hình:

• Bắt đầu bằng chế độ chỉ ghi log vài tuần để biết mạng đang thực sự chạy ứng dụng gì, rồi mới chặn.
• Kiểm soát theo nhóm hành vi, ví dụ cho phép ứng dụng lưu trữ đám mây của công ty nhưng chặn bản cá nhân, thay vì chặn nguyên cả nhóm.
• Nhiều ứng dụng chỉ nhận diện chính xác khi đã bật SSL Inspection.

2.2 User Identity Awareness

Chính sách gắn với người dùng/nhóm thay vì địa chỉ IP, thông qua tích hợp Active Directory/LDAP, RADIUS, hoặc hệ thống NAC như Cisco ISE. Khi nhân viên đổi chỗ ngồi, đổi VLAN hoặc dùng Wi-Fi, chính sách vẫn đi theo họ.

2.3 IPS (Intrusion Prevention System)

IPS đối chiếu lưu lượng với chữ ký lỗ hổng đã biết và các dấu hiệu bất thường. Sai lầm phổ biến nhất là bật toàn bộ signature ở chế độ block ngay từ đầu, dẫn tới false positive chặn nhầm ứng dụng nghiệp vụ. Cách làm ổn định hơn:

• Chọn profile theo hệ điều hành/ứng dụng thực tế đang có (không bật signature cho những thứ bạn không dùng, tránh tốn tài nguyên).
• Chạy detect-only 1-2 tuần, rà log, loại trừ false positive, sau đó mới chuyển sang prevent.
• Cập nhật signature tự động và kiểm tra thường xuyên rằng license còn hiệu lực. Hết subscription là IPS không còn cập nhật chữ ký mới.

2.4 SSL/TLS Inspection

Đây là tính năng tạo ra nhiều hiệu năng thấp nhất và nhiều sự cố nhất nếu làm sai. Nguyên lý: firewall đóng vai trung gian, giải mã phiên, kiểm tra rồi mã hóa lại bằng chứng chỉ do CA nội bộ của doanh nghiệp ký.

Những điểm cần chuẩn bị:

• Triển khai chứng chỉ CA của firewall lên toàn bộ thiết bị đầu cuối (GPO, MDM). Thiếu bước này người dùng sẽ gặp cảnh báo chứng chỉ.
• Certificate pinning: một số ứng dụng (ngân hàng, một số phần mềm cập nhật) từ chối chứng chỉ trung gian, cần đưa vào danh sách loại trừ.
• Loại trừ theo danh mục nhạy cảm như ngân hàng, y tế. Vừa tránh lỗi vừa giảm rủi ro về quyền riêng tư.
• QUIC/HTTP3 (UDP/443): giao thức này khó kiểm tra. Cách thường dùng là chặn QUIC để trình duyệt tự quay về HTTPS qua TCP và đi qua được luồng giải mã.
• Pháp lý: giải mã lưu lượng nhân viên liên quan tới dữ liệu cá nhân. Nên có chính sách nội bộ, thông báo cho người dùng và tham vấn pháp chế (tham khảo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân).

2.5 Web/URL & DNS Filtering

Lọc theo danh mục (cờ bạc, malware, phishing, mạng xã hội...) và theo mức độ uy tín của tên miền. DNS filtering chặn được cả những kết nối tới máy chủ điều khiển (C2) ngay ở bước phân giải tên, trước khi kết nối được thiết lập.

2.6 Sandbox và Threat Intelligence

File lạ (thực thi, tài liệu Office, PDF, file nén) được chạy trong môi trường ảo để quan sát hành vi. Hai điểm cần cân nhắc:

• Độ trễ: chế độ chờ kết quả rồi mới cho tải sẽ chậm hơn chế độ cho tải trước, quét sau. Cần chọn theo mức độ rủi ro.
• Sandbox trên cloud thường phải bật thêm license và gửi mẫu file ra ngoài. Với dữ liệu nhạy cảm cần xem lại chính sách của công ty.

Threat Intelligence từ hãng (như Cisco Talos, FortiGuard, Palo Alto Unit 42) cập nhật IP/domain độc hại và chữ ký mới. Chất lượng và tốc độ cập nhật là một tiêu chí so sánh thật sự giữa các hãng.

3. Các chế độ triển khai NGFW

Ngoài ra còn có NGFW dạng ảo hóa và trên cloud cho môi trường hybrid. Nên dùng chung một nền tảng quản lý (FortiManager và các công cụ tương đương) để chính sách nhất quán giữa on-premises và cloud.

4. Cách đọc thông số hiệu năng (dễ nhầm nhất)

Datasheet thường có nhiều con số, và chỉ một số phản ánh đúng thực tế:

Nguyên tắc: chọn thiết bị theo số "Threat Protection/NGFW" cộng thêm dự phòng tăng trưởng, không chọn theo số "Firewall throughput". Với môi trường bật đầy đủ tính năng và giải mã SSL, hiệu năng thực tế thấp hơn đáng kể so với số marketing. Nếu có thể, hãy chạy PoC với lưu lượng thật.

5. NGFW so với UTM, WAF và IPS độc lập

• NGFW vs UTM: ranh giới ngày nay khá mờ. UTM thường hướng tới doanh nghiệp nhỏ, gói nhiều chức năng vào một thiết bị dễ quản lý. NGFW thường nhấn mạnh nhận diện ứng dụng, chính sách theo người dùng và hiệu năng ở quy mô lớn hơn.
• NGFW vs WAF: NGFW bảo vệ lưu lượng mạng nói chung. WAF chuyên bảo vệ ứng dụng web (chống SQL Injection, XSS ở lớp HTTP sâu, bảo vệ API). Website công khai quan trọng nên có thêm WAF như FortiWeb, không nên chỉ dựa vào module IPS của NGFW.
• NGFW vs IPS độc lập: IPS độc lập hiện ít gặp, phần lớn được tích hợp vào NGFW.

6. Những sai lầm thường gặp khi triển khai

1. Mua đúng thiết bị nhưng không bật/không gia hạn license các dịch vụ bảo mật (IPS, AV, URL filtering, sandbox).
2. Để rule "any-any allow" tồn tại lâu ngày. Cần rà soát rule định kỳ theo nguyên tắc quyền tối thiểu.
3. Bật SSL Inspection toàn bộ mà không có kế hoạch chứng chỉ và danh sách loại trừ.
4. Chuyển IPS sang block ngay mà không qua giai đoạn theo dõi.
5. Không theo dõi log/cảnh báo. Không có SIEM hoặc quy trình xử lý thì NGFW chỉ chặn được một phần.
6. Kỳ vọng NGFW thay thế mọi lớp bảo mật khác. Nó không thay thế EDR, bảo mật email hay backup.

7. Checklist chọn NGFW cho doanh nghiệp

• Băng thông Internet và số người dùng hiện tại, dự phóng 3-5 năm
• Có bật SSL Inspection không? Nếu có, kiểm tra thông số SSL throughput
• Cần chính sách theo người dùng (AD/LDAP/NAC) hay chỉ theo IP
• Số lượng site, nhu cầu VPN/SD-WAN và quản lý tập trung
• Yêu cầu HA, tuân thủ (PCI DSS, ISO 27001...)
• Khả năng tích hợp với SIEM, hệ thống bảo mật đang có
• Chi phí license theo năm và chính sách hỗ trợ, bảo hành tại Việt Nam

8. Gợi ý giải pháp

• Fortinet FortiGate: hiệu năng/giá tốt, hệ sinh thái Security Fabric
• Palo Alto Networks: nhận diện ứng dụng và người dùng mạnh
• Cisco Secure Firewall / Security: phù hợp hệ sinh thái Cisco, tích hợp ISE, Talos
• Sophos Firewall và Juniper SRX: lựa chọn thay thế theo nhu cầu

Nếu bạn cần đánh giá hiện trạng và chọn cấu hình phù hợp, VNExperts cung cấp dịch vụ tư vấn, triển khai và tích hợp hệ thống.

Câu hỏi thường gặp

Bật SSL Inspection có làm chậm mạng không?
Có, đây là tác vụ tốn tài nguyên nhất. Cần chọn thiết bị có SSL throughput đủ lớn và chỉ giải mã những danh mục thực sự cần.

NGFW có thay thế được WAF không?
Không hoàn toàn. NGFW bảo vệ ở cấp mạng, WAF chuyên sâu cho ứng dụng web và API.

Có cần mua license riêng không?
Thường có. Nhiều tính năng (IPS, antivirus, URL filtering, sandbox) hoạt động theo subscription, nên cần xác định rõ khi lập ngân sách.