Theo Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) tường lửa hoạt động dựa trên tập hợp các quy tắc bảo mật nhằm xác định lưu lượng nào được phép hoặc bị từ chối khi đi qua những điểm kết nối mạng. Các quy tắc này thường được xây dựng dựa trên địa chỉ IP nguồn, IP đích, cổng dịch vụ, giao thức và những điều kiện truy cập khác.

Bên cạnh đó, Trung tâm An ninh Internet (CIS) nhấn mạnh rằng các thiết bị mạng thường được cấu hình mặc định để thuận tiện cho quá trình triển khai, thay vì ưu tiên mức độ bảo mật cao nhất. Những thiết lập không phù hợp có thể bao gồm dịch vụ và cổng mạng mở sẵn, tài khoản mặc định, giao thức quản trị thiếu an toàn hoặc các quy tắc tường lửa tồn tại ngoại lệ không cần thiết.

Trong bài viết này, SafeGate sẽ chia sẻ 4 sai lầm phổ biến khi cấu hình tường lửa doanh nghiệp.

1. Thiết lập quy tắc truy cập quá rộng

Một trong những sai lầm đáng chú ý khi cấu hình tường lửa là cho phép phạm vi truy cập lớn hơn nhu cầu sử dụng thực tế. Điều này thường xảy ra khi quản trị viên thiết lập quy tắc quá rộng nhằm bảo đảm ứng dụng hoạt động thuận tiện hoặc xử lý nhanh các yêu cầu kết nối phát sinh.

Chẳng hạn, thay vì chỉ cho phép một nhóm máy tính truy cập máy chủ ứng dụng qua cổng dịch vụ cần thiết, quản trị viên có thể thiết lập quy tắc cho phép toàn bộ mạng nội bộ kết nối đến máy chủ trên nhiều cổng khác nhau. Khi đó, nếu một thiết bị trong mạng bị xâm nhập, kẻ tấn công có thể lợi dụng các kết nối được cho phép để tiếp cận những tài nguyên khác.

Một vấn đề khác là việc sử dụng các quy tắc có phạm vi nguồn, đích hoặc dịch vụ quá rộng, chẳng hạn cấu hình Any–Any–Allow. Với loại quy tắc này, nhiều kết nối có thể được chấp nhận mà không có giới hạn phù hợp về đối tượng và mục đích sử dụng.

2. Không rà soát, loại bỏ các quy tắc tường lửa không còn sử dụng

Hệ thống mạng doanh nghiệp sẽ thường xuyên thay đổi khi có ứng dụng mới, nhân sự chuyển bộ phận, các dịch vụ không còn nhu cầu sử dụng... Mỗi thay đổi có thể cần bổ sung hoặc điều chỉnh chính sách tường lửa. Nếu không có quy trình quản lý phù hợp, tập hợp quy tắc sẽ ngày càng phức tạp. Những chính sách được tạo ra để xử lý một yêu cầu tạm thời có thể tiếp tục tồn tại trong nhiều tháng hoặc nhiều năm sau khi nhu cầu ban đầu không còn.

Ví dụ, doanh nghiệp từng cho phép một nhà cung cấp truy cập hệ thống nội bộ để bảo trì trong thời gian ngắn. Sau khi hoàn thành công việc, nếu quy tắc này không được thu hồi, kết nối vẫn có thể được sử dụng ngoài phạm vi dự kiến.

Các quy tắc trùng lặp, xung đột hoặc không còn cần thiết cũng khiến công tác quản trị phức tạp hơn. Quản trị viên có thể gặp khó khăn trong việc xác định quy tắc nào đang thực sự được sử dụng, quy tắc nào có thể xóa và thay đổi nào có nguy cơ ảnh hưởng đến hoạt động.

CIS cảnh báo rằng những ngoại lệ được tạo ra để đáp ứng yêu cầu nghiệp vụ đôi khi không được loại bỏ sau khi hết nhu cầu. Theo thời gian, điều này có thể khiến cấu hình bảo mật trở nên kém chặt chẽ.

Doanh nghiệp cần xây dựng quy trình quản lý vòng đời của quy tắc tường lửa, từ đề xuất, phê duyệt, triển khai đến rà soát và thu hồi. Đối với các quy tắc tạm thời, nên xác định rõ thời hạn áp dụng và người chịu trách nhiệm.

Trước khi xóa hoặc thay đổi chính sách, quản trị viên cần đối chiếu với nhật ký lưu lượng và nhu cầu thực tế để tránh làm gián đoạn những dịch vụ hợp lệ. Sau khi điều chỉnh, cần kiểm thử lại các kết nối và lưu giữ thông tin thay đổi phục vụ công tác quản lý.

3. Không cấu hình đầy đủ chức năng ghi nhật ký, giám sát và cảnh báo

Tường lửa có thể được cấu hình để ghi nhận những kết nối được cho phép hoặc bị từ chối, các sự kiện bảo mật và những thay đổi trong quá trình quản trị. Tuy nhiên, nếu chức năng ghi nhật ký không được thiết lập phù hợp hoặc dữ liệu không được theo dõi, nhiều dấu hiệu bất thường có thể không được phát hiện kịp thời.

Chẳng hạn, một địa chỉ IP liên tục kết nối đến nhiều cổng dịch vụ trên hệ thống có thể là dấu hiệu của hoạt động dò quét. Tương tự, lưu lượng bất thường từ máy chủ nội bộ đến một địa chỉ bên ngoài có thể cần được kiểm tra để xác định nguyên nhân.

Nếu những sự kiện này không được ghi nhận hoặc không có cơ chế cảnh báo, quản trị viên có thể chỉ phát hiện vấn đề khi hệ thống đã bị ảnh hưởng.

Đối với tường lửa, doanh nghiệp cần xác định những sự kiện quan trọng phải được ghi nhận, bao gồm kết nối bị từ chối, thay đổi cấu hình, đăng nhập quản trị và các cảnh báo phát hiện xâm nhập. Đồng thời, cần bảo đảm thời gian hệ thống được đồng bộ, nhật ký có dung lượng lưu trữ phù hợp và quyền truy cập dữ liệu nhật ký được kiểm soát.

Với các sự kiện có mức độ nghiêm trọng cao, hệ thống nên có cơ chế cảnh báo tự động để hỗ trợ đội ngũ quản trị xử lý. Việc thu thập và phân tích nhật ký cần được kết hợp với quy trình ứng phó sự cố, thay vì chỉ lưu trữ dữ liệu để phục vụ kiểm tra khi cần thiết.

Kết luận

Doanh nghiệp cần thường xuyên rà soát chính sách tường lửa, hạn chế những kết nối không cần thiết, quản lý an toàn tài khoản quản trị và duy trì cơ chế ghi nhật ký, cảnh báo để bảo đảm các biện pháp bảo mật được triển khai phù hợp với tình trạng thực tế của hệ thống.

*Tài liệu tham khảo:

- CIS Critical Security Controls Navigator v8.1

- CIS Controls Assessment Specification for Controls v8.1