Bảo mật mạng doanh nghiệp hiện đại đang phát triển nhanh chóng. Các mô hình bảo mật dựa trên ranh giới truyền thống không còn đủ để bảo vệ môi trường cơ sở hạ tầng lai phức tạp. Với sự ra đời của điện toán đám mây, ảo hóa và kiến trúc vi dịch vụ, bảo mật lưu lượng truy cập Đông-Tây đã trở thành một trong những thách thức quan trọng nhất trong thiết kế trung tâm dữ liệu hiện đại.
Các tổ chức doanh nghiệp hiện nay phải quyết định xem nên nâng cấp tường lửa biên, triển khai tường lửa phân đoạn nội bộ hay áp dụng kiến trúc bảo mật lai. Hướng dẫn này giải thích cách thiết kế kiến trúc tường lửa doanh nghiệp tiết kiệm chi phí trong khi vẫn duy trì tính khả dụng cao, hiệu suất và khả năng mở rộng.
- Phần 1: Đánh giá mô hình giao thông
- Phần 2: Tường lửa phân vùng ngoại vi so với tường lửa phân vùng nội bộ
- Phần 3: Kiến trúc khả năng sẵn sàng cao
- Phần 4: Định cỡ nền tảng tường lửa
- Phần 5: Chiến lược tối ưu hóa chi phí
- Phần 6: Chiến lược mua sắm
- Phần 7: Các xu hướng an ninh tương lai
- Phần 8: Câu hỏi thường gặp
Phần 1: Đánh giá mô hình giao thông
Lưu lượng truy cập Đông-Tây đề cập đến giao tiếp mạng nội bộ giữa các máy chủ, ứng dụng và khối lượng công việc ảo hóa.
Khác với lưu lượng truy cập Bắc-Nam truyền thống, lưu lượng truy cập Đông-Tây bao gồm giao tiếp giữa các máy ảo, giao tiếp giữa các container và giao tiếp giữa các dịch vụ vi mô của ứng dụng.
Trong các trung tâm dữ liệu hiện đại, lưu lượng truy cập Đông-Tây có thể chiếm từ 60% đến 80% tổng lưu lượng mạng.
Các yếu tố chính trong phân tích lưu lượng truy cập doanh nghiệp
- Mật độ máy ảo
- Mô hình giao tiếp ứng dụng
- Tích hợp khối lượng công việc đám mây
Việc không đảm bảo an ninh cho lưu lượng truy cập Đông-Tây có thể khiến các tổ chức phải đối mặt với rủi ro an ninh khi di chuyển ngang.
Phần 2: Tường lửa phân vùng ngoại vi so với tường lửa phân vùng nội bộ
Bảo mật mạng truyền thống chủ yếu tập trung vào phòng thủ bên ngoài. Các mô hình bảo mật hiện đại đòi hỏi khả năng giám sát và kiểm soát lưu lượng truy cập nội bộ sâu sắc hơn.
Kiến trúc tường lửa chu vi
Các mô hình chỉ bảo vệ chu vi bên ngoài có chi phí ban đầu thấp hơn nhưng có thể tạo ra các điểm mù về an ninh bên trong.
Kiến trúc tường lửa phân đoạn nội bộ
Phân vùng nội bộ giúp cải thiện việc thực thi bảo mật Zero Trust nhưng làm tăng độ phức tạp của kiến trúc.
Ví dụ so sánh:
| Mẫu | Ưu điểm | Rủi ro |
| Chỉ chu vi | Chi phí thấp hơn và triển khai đơn giản hơn | Tầm nhìn nội bộ hạn chế |
| Tường lửa phân đoạn | Bảo mật Zero Trust tốt hơn | Chi phí vận hành cao hơn |
Phần 3: Kiến trúc khả năng sẵn sàng cao
Tính khả dụng của tường lửa là rất quan trọng trong môi trường doanh nghiệp, nơi thời gian mạng ngừng hoạt động ảnh hưởng trực tiếp đến hoạt động kinh doanh.
Mô hình khả dụng cao
- Cụm hoạt động-hoạt động
- Chuyển đổi dự phòng chủ động-thụ động
- Thực thi an ninh phân tán
Ví dụ lệnh CLI để kiểm tra trạng thái HA:
diagnose system ha statusThiết kế có tính khả dụng cao giúp loại bỏ các điểm lỗi đơn lẻ trong quá trình bảo trì hoặc khi xảy ra sự cố phần cứng.
Phần 4: Định cỡ nền tảng tường lửa
Các mạng doanh nghiệp hoạt động trong môi trường 10G và 25G cần các nền tảng bảo mật có quy mô phù hợp.
Các nhà cung cấp hàng đầu bao gồm:
Việc xác định kích thước tường lửa cần xem xét các yếu tố sau:
- Dung lượng phiên đồng thời
- Thông lượng kiểm tra mối đe dọa
- Hiệu suất mã hóa
Phần 5: Chiến lược tối ưu hóa chi phí
Việc nâng cấp tường lửa doanh nghiệp nên được lên kế hoạch dựa trên vòng đời sản phẩm và các yếu tố rủi ro kinh doanh, chứ không chỉ dựa vào tuổi đời phần cứng.
- Dự báo tăng trưởng lưu lượng mạng
- Yêu cầu tuân thủ an ninh
- Chu kỳ kết thúc vòng đời phần cứng
Việc trì hoãn nâng cấp có thể tiết kiệm chi phí ngắn hạn nhưng làm tăng nguy cơ bảo mật dài hạn.
Phần 6: Chiến lược mua sắm
Việc mua sắm cơ sở hạ tầng đóng vai trò quan trọng đối với sự thành công của việc triển khai và tiến độ dự án.
Các nhà cung cấp toàn cầu như Bộ định tuyến-chuyển mạch Cung cấp nguồn cung ứng phần cứng mạng từ nhiều nhà cung cấp và các tùy chọn vận chuyển toàn cầu nhanh chóng.
Tư vấn kiến trúc kỹ thuật trước bán hàng có thể giúp các tổ chức tránh việc tính toán kích thước nền tảng không chính xác.
Ví dụ về nền tảng nghiên cứu giá cả: Giá CNTT
Phần 7: Các xu hướng an ninh tương lai
Tương lai của kiến trúc bảo mật doanh nghiệp đang hướng tới các mô hình Zero Trust và việc thực thi bảo mật tự động.
- Bảo mật phân đoạn nhỏ
- Xác thực dựa trên danh tính
- Phát hiện mối đe dọa do AI điều khiển
Các nền tảng tường lửa trong tương lai sẽ hoạt động như các nền tảng thực thi chính sách bảo mật hơn là các thiết bị lọc gói dữ liệu cơ bản.
Phần 8: Câu hỏi thường gặp
Câu 1. Tại sao an ninh giao thông Đông - Tây lại quan trọng?
Lưu lượng truy cập Đông-Tây thường chiếm phần lớn lưu lượng giao tiếp nội bộ mạng và có thể bị lợi dụng trong các vụ xâm phạm an ninh.
Câu 2. Các doanh nghiệp có thể giảm chi phí cơ sở hạ tầng tường lửa bằng cách nào?
Bằng cách áp dụng kiến trúc đa nhà cung cấp, lập kế hoạch năng lực phù hợp và các chiến lược quản lý vòng đời sản phẩm.
Câu 3. Kiến trúc tường lửa đa lớp có cần thiết không?
Đúng vậy, đặc biệt là trong môi trường điện toán đám mây lai hiện đại, nơi lưu lượng truy cập nội bộ đòi hỏi phải tăng cường bảo mật.