Hầu hết các hệ thống bảo mật doanh nghiệp được thiết kế để ngăn chặn kẻ tấn công xâm nhập. Tường lửa, bảo vệ điểm cuối, kiểm soát danh tính và bảo mật email đều đóng vai trò quan trọng trong việc ngăn chặn sự xâm nhập. Nhưng ngay cả một tổ chức được bảo vệ tốt cũng có thể bị tấn công. Không giống như các biện pháp bảo mật vòng ngoài, phân đoạn mạng có nhiệm vụ hạn chế những gì xảy ra một khi kẻ tấn công đã xâm nhập vào bên trong. Mặc dù bạn có thể bảo vệ tổ chức của mình từ bên ngoài, bạn vẫn cần có hệ thống phòng thủ vững chắc ở bên trong.
Trong bài viết này, chúng tôi sẽ giải thích cách thức hoạt động của phân đoạn mạng, tầm quan trọng của nó đối với khả năng phục hồi kinh doanh, sự khác biệt giữa VLAN truyền thống và phân đoạn mạng siêu nhỏ, cũng như cách xây dựng một chiến lược phân đoạn mạng hiệu quả. Chúng tôi cũng sẽ xem xét vai trò của phân đoạn mạng trong cơ sở hạ tầng ảo hóa và cách nền tảng cấp doanh nghiệp của Sangfor hỗ trợ bảo mật trên cả môi trường vật lý và ảo. Trước tiên, hãy cùng tìm hiểu kỹ hơn về phân đoạn mạng là gì.
Phân đoạn mạng là gì?
Phân đoạn mạng là việc chia mạng máy tính thành các mạng con nhỏ hơn, được kiểm soát hoặc các vùng bảo mật. Việc giao tiếp giữa các vùng này sau đó được điều chỉnh bởi các chính sách bảo mật được thực thi thông qua tường lửa, danh sách kiểm soát truy cập hoặc mạng được định nghĩa bằng phần mềm (SDN). Thay vì cho phép mọi thiết bị và ứng dụng giao tiếp tự do, phân đoạn mạng thiết lập các quy tắc về hệ thống nào có thể trao đổi lưu lượng truy cập, dịch vụ nào chúng có thể sử dụng và trong điều kiện nào.
Lợi ích cốt lõi là giảm thiểu phạm vi ảnh hưởng. Nếu một máy trạm bị xâm nhập, việc phân vùng có thể ngăn thiết bị đó truy cập vào cơ sở dữ liệu nhân sự hoặc mạng sản xuất. Kẻ tấn công vẫn có thể truy cập vào máy trạm bị xâm nhập, nhưng các bước tiếp theo yêu cầu quyền bổ sung hoặc vượt qua được ranh giới bảo mật.
Hãy xem xét mô hình đằng sau vụ tấn công mạng Target năm 2013. Trong vụ này, tin tặc đã đánh cắp thông tin đăng nhập từ một nhà cung cấp bên thứ ba, xâm nhập vào mạng lưới của Target và cuối cùng truy cập được dữ liệu thẻ thanh toán. Vụ việc này minh họa lý do tại sao chỉ bảo vệ ranh giới mạng thôi là chưa đủ. Một khi kẻ tấn công đã có được chỗ đứng, khả năng di chuyển giữa các hệ thống trở thành một mối lo ngại an ninh riêng biệt.
Đây là nguyên tắc tương tự được sử dụng trong mã độc tống tiền. Kẻ tấn công xâm nhập vào máy tính xách tay của một nhân viên không nhất thiết phải mã hóa máy tính đó để gây ra thiệt hại nghiêm trọng. Có thể việc xâm nhập sâu hơn vào các bộ điều khiển miền, hệ thống sao lưu, máy chủ tệp và các ứng dụng quan trọng của doanh nghiệp sẽ có giá trị hơn. Về cơ bản, đây là vấn đề di chuyển ngang, trong đó kẻ tấn công sử dụng sự xâm nhập ban đầu để mở rộng quyền truy cập của chúng trên toàn bộ môi trường. Giờ đây, trong một mạng phẳng, khả năng kết nối rộng rãi có thể giúp việc mở rộng đó dễ dàng hơn nhiều.
Tại sao phân đoạn mạng lại quan trọng?
Phân đoạn mạng hiệu quả tạo ra các ranh giới được kiểm soát, hạn chế phạm vi hệ thống mà kẻ tấn công có thể tiếp cận và mức độ thiệt hại mà một tài khoản hoặc khối lượng công việc bị xâm phạm có thể gây ra. Năm 2026, các doanh nghiệp cũng đang phải vật lộn với gánh nặng quản lý điện toán đám mây lai, máy ảo, container, truy cập từ xa và các cuộc tấn công tự động ngày càng gia tăng. Môi trường này làm cho bảo mật phân đoạn mạng trở nên phức tạp hơn nhiều, nhưng đồng thời cũng làm cho nó trở nên quan trọng hơn nhiều.
Hiện nay, phân đoạn mạng có thể được chia thành hai nhóm: phân đoạn vĩ mô và phân đoạn vi mô. Phân đoạn vĩ mô chia môi trường thành các vùng rộng lớn, chẳng hạn như CNTT doanh nghiệp, sản xuất, phát triển, vùng phi quân sự (DMZ) và công nghệ vận hành. Nó thường được triển khai bằng VLAN, tường lửa và các công cụ kiểm soát định tuyến.
Mặt khác, phân đoạn vi mô áp dụng các chính sách chi tiết hơn cho từng khối lượng công việc, ứng dụng hoặc nhóm khối lượng công việc riêng lẻ. Ví dụ, hai máy ảo trên cùng một máy chủ có thể bị hạn chế giao tiếp với nhau ngay cả khi chúng dùng chung cơ sở hạ tầng vật lý. Cả hai phương pháp đều có vai trò riêng. Phân đoạn vĩ mô thiết lập các ranh giới bảo mật chính, trong khi phân đoạn vi mô bổ sung các biện pháp kiểm soát bên trong các ranh giới đó.
Trong khi phân đoạn mạng cho phép kiểm soát giao tiếp giữa các vùng, thì có một phương pháp hạn chế hơn gọi là cách ly mạng, ngăn chặn hoàn toàn giao tiếp hoặc chỉ cho phép các kết nối được quản lý chặt chẽ. Điều này hữu ích trong môi trường không có kết nối mạng, các hệ thống nhạy cảm cao và một số mạng công nghệ vận hành nhất định. Tuy nhiên, cả hai phương pháp đều không làm cho hệ thống hoàn toàn miễn nhiễm với sự xâm nhập. Hãy nhớ rằng, mục tiêu là kiểm soát hậu quả của việc bị xâm nhập.
Góc nhìn kinh doanh: Phân khúc thị trường thực sự ngăn cản điều gì?
Phân đoạn mạng không thể thay thế cho bảo vệ điểm cuối, bảo mật danh tính hoặc ứng phó sự cố. Giá trị kinh doanh của nó nằm ở chỗ hạn chế hậu quả khi các biện pháp kiểm soát đó thất bại. Dưới đây là một số lợi ích hướng đến kinh doanh khi sử dụng phương pháp này:
Giới hạn phạm vi ảnh hưởng của mã độc tống tiền
Những kẻ tấn công bằng mã độc tống tiền thường cần phải phát hiện ra các hệ thống, lấy thêm thông tin đăng nhập và truy cập vào các tài nguyên dùng chung trước khi chúng có thể gây ra sự gián đoạn trên diện rộng. Giờ đây, môi trường phân đoạn có thể hạn chế các con đường đó. Ví dụ, nếu kẻ tấn công xâm nhập vào một máy trạm trong bộ phận tài chính, chính sách có thể ngăn chặn nó truy cập vào máy chủ quản lý sao lưu hoặc cơ sở dữ liệu sản xuất. Kẻ tấn công sẽ cần phải vượt qua các biện pháp kiểm soát bổ sung thay vì chỉ đơn giản là đi xuyên qua mạng.
Mặc dù điều này không đảm bảo rằng mã độc tống tiền sẽ chỉ giới hạn ở một thiết bị hoặc bộ phận cụ thể, nhưng nó giúp giảm thiểu rủi ro. Tuy nhiên, các quy tắc cấu hình sai, tài khoản có đặc quyền bị xâm phạm và cơ sở hạ tầng quản lý dùng chung vẫn có thể tạo ra các lỗ hổng. Phân đoạn hệ thống hiệu quả nhất khi được kết hợp với các bản sao lưu đã được kiểm thử, kiểm soát điểm cuối, bảo mật danh tính và phản ứng sự cố.
Ngăn ngừa chuyển động ngang
Khung phân tích MITRE ATT&CK xác định việc di chuyển ngang là một giai đoạn riêng biệt của cuộc tấn công. Kẻ tấn công có thể sử dụng các dịch vụ từ xa, tài khoản hợp lệ hoặc thông tin xác thực bị đánh cắp để di chuyển từ hệ thống này sang hệ thống khác. Phân đoạn mạng làm cho các kỹ thuật này khó thực hiện hơn bằng cách giảm số lượng hệ thống và dịch vụ có thể truy cập được. Giảm bớt các kết nối hợp pháp không cần thiết cũng có thể làm giảm các cơ hội mà kẻ tấn công có thể khai thác.
Giới hạn phạm vi vi phạm
Phân vùng giúp tách biệt thông tin nhạy cảm khỏi các môi trường ít đáng tin cậy hơn. Một khối lượng công việc phát triển không nên tự động có quyền truy cập vào hồ sơ khách hàng trong môi trường sản xuất, và một ứng dụng hướng ra internet không nên có quyền truy cập không hạn chế vào các hệ thống quản trị nội bộ.
Một chính sách được thiết kế tốt sẽ giới hạn việc liên lạc chỉ đến các dịch vụ và điểm đến cần thiết cho chức năng kinh doanh. Điều này có thể giảm số lượng hệ thống tham gia vào quá trình điều tra và giúp người ứng cứu xác định khu vực bị ảnh hưởng nhanh hơn.
Phạm vi tuân thủ và kiểm toán
Phân đoạn mạng cũng có thể hỗ trợ các chương trình tuân thủ. PCI DSS sử dụng phân đoạn như một cách để giảm phạm vi các hệ thống phải tuân thủ các yêu cầu về dữ liệu chủ thẻ, với điều kiện các biện pháp kiểm soát được thiết kế và xác thực đúng cách. Hướng dẫn của MITRE cũng khuyến nghị xác định các hệ thống quan trọng, tách biệt chúng bằng các biện pháp kiểm soát logic hoặc vật lý và kiểm tra xem việc truy cập trái phép có bị chặn hay không.
Phân vùng không thể thay thế cho việc tuân thủ. Một tổ chức vẫn cần phải xác thực kiến trúc, kiểm soát truy cập, ghi nhật ký và các yêu cầu áp dụng của mình. Tuy nhiên, việc tách biệt các hệ thống theo mức độ nhạy cảm của dữ liệu và chức năng kinh doanh có thể giúp xác định và duy trì ranh giới tuân thủ dễ dàng hơn.
Giờ đây, khi chúng ta đã hiểu rõ hơn về cách phân khúc thị trường giúp ích, hãy cùng khám phá các phương pháp khác nhau và cách lựa chọn phương pháp phù hợp bắt đầu bằng việc hiểu rõ mỗi phương pháp thực sự kiểm soát điều gì.
Các phương pháp phân đoạn mạng: Từ VLAN đến phân đoạn siêu nhỏ
Các phương pháp khác nhau giải quyết các vấn đề khác nhau. Công cụ phân đoạn mạng phù hợp với tổ chức của bạn sẽ phụ thuộc vào môi trường, mô hình lưu lượng truy cập và mức độ kiểm soát cần thiết. Dưới đây là một số phương pháp chính mà bạn có thể bắt gặp trong thực tế:
| Tiếp cận | Vai trò chính | Yếu tố quan trọng cần xem xét |
| Phân đoạn dựa trên VLAN | Phân tách các vùng mạng rộng lớn | Chính sách định tuyến và tường lửa phải ngăn chặn việc truy cập trái phép giữa các VLAN. |
| Các vùng dựa trên tường lửa | Kiểm soát lưu lượng truy cập giữa các mạng. | Độ phức tạp của quy định và năng lực kiểm tra theo hướng đông-tây là những vấn đề quan trọng ở quy mô lớn. |
| Mạng định nghĩa bằng phần mềm | Tập trung hóa chính sách trên toàn bộ cơ sở hạ tầng vật lý và ảo. | Cần có cơ sở hạ tầng phù hợp và chuyên môn vận hành. |
| Phân đoạn vi mô | Hạn chế sự giao tiếp giữa các khối lượng công việc riêng lẻ. | Cần có sự chính xác về các phụ thuộc ứng dụng và việc thực thi chính sách chi tiết. |
| Phân khúc dựa trên danh tính | Áp dụng quyền truy cập dựa trên người dùng, thiết bị và ngữ cảnh. | Yêu cầu tích hợp đáng tin cậy giữa định danh, thiết bị và chính sách. |
Phân đoạn dựa trên VLAN
VLAN chia lưu lượng mạng lớp 2 thành các miền phát sóng logic. Chúng được sử dụng rộng rãi để phân tách các phòng ban, môi trường máy chủ và các nhóm hệ thống lớn khác. Phương pháp này vẫn hữu ích vì nó quen thuộc, được hỗ trợ rộng rãi và tương đối dễ triển khai. Tuy nhiên, VLAN không tự động tạo ra một ranh giới bảo mật hoàn chỉnh. Định tuyến giữa các VLAN, các quy tắc tường lửa cho phép và các dịch vụ dùng chung vẫn có thể cho phép lưu lượng truy cập giữa các vùng.
Khi doanh nghiệp phát triển, số lượng VLAN và các quy tắc liên quan cũng trở nên khó quản lý. Vấn đề không phải là tổ chức đó có bao nhiêu VLAN, mà là liệu chính sách lưu lượng truy cập được thiết lập có thực sự hạn chế quyền truy cập một cách hiệu quả hay không.
Phân vùng dựa trên tường lửa
Tường lửa thực thi các quy tắc tại ranh giới giữa các vùng. Nó thường đặt các dịch vụ hướng ra công chúng trong một mạng con an toàn, hay DMZ, tách biệt người dùng doanh nghiệp khỏi các hệ thống sản xuất và hạn chế quyền truy cập vào công nghệ vận hành.
Cách tiếp cận này cung cấp khả năng thực thi mạnh mẽ hơn so với chỉ phân tách VLAN đơn thuần. Thách thức của nó là duy trì các quy tắc khi ứng dụng thay đổi. Một quy tắc tường lửa hoạt động chính xác khi ứng dụng được triển khai có thể trở nên không cần thiết hoặc quá lỏng lẻo sau khi di chuyển, thêm phụ thuộc mới hoặc thay đổi quyền sở hữu.
Mạng được định nghĩa bằng phần mềm
Mạng định nghĩa bằng phần mềm (SDN) tách biệt chính sách mạng khỏi phần cứng vật lý chuyển tiếp lưu lượng. Quản trị viên có thể định nghĩa các chính sách tập trung và áp dụng chúng trên toàn bộ cơ sở hạ tầng vật lý và ảo được hỗ trợ. Điều này đặc biệt hữu ích trong môi trường năng động, nơi các máy ảo di chuyển giữa các máy chủ hoặc khối lượng công việc được cung cấp thường xuyên. Chính sách có thể theo sát khối lượng công việc thay vì hoàn toàn phụ thuộc vào một cổng vật lý hoặc vị trí mạng cố định.
Phân đoạn vi mô
Phân đoạn vi mô áp dụng các biện pháp kiểm soát ở cấp độ khối lượng công việc hoặc ứng dụng. Máy chủ web có thể giao tiếp với máy chủ ứng dụng trên một cổng cụ thể, trong khi máy chủ ứng dụng chỉ được phép truy cập vào cơ sở dữ liệu được chỉ định của nó. Lưu lượng truy cập khác bị từ chối trừ khi được ủy quyền rõ ràng. Cách tiếp cận này rất hữu ích cho lưu lượng truy cập đông-tây, di chuyển giữa các hệ thống nội bộ chứ không phải giữa doanh nghiệp và internet. Phân đoạn mạng truyền thống có thể để lại những lỗ hổng khi các khối lượng công việc chia sẻ một máy chủ hoặc khi lưu lượng truy cập bỏ qua các điểm thực thi mạng vật lý.
VMware NSX và Sangfor aNET là những ví dụ về công nghệ mạng định nghĩa bằng phần mềm được sử dụng để hỗ trợ phân đoạn chi tiết trong môi trường ảo hóa. Khả năng, kiến trúc, cấp phép và yêu cầu vận hành của chúng cần được đánh giá dựa trên các mục tiêu về cơ sở hạ tầng và bảo mật của tổ chức.
Phân đoạn dựa trên danh tính
Phân đoạn dựa trên định danh bổ sung ngữ cảnh cho các quyết định truy cập mạng. Thay vì chỉ dựa vào địa chỉ IP, chính sách có thể xem xét định danh của người dùng, tình trạng bảo mật của thiết bị hoặc ứng dụng đang được truy cập. Điều này cũng phù hợp với phân đoạn Zero Trust, trong đó quyền truy cập được liên tục đánh giá dựa trên chính sách đã định nghĩa chứ không phải được cấp chỉ đơn giản vì người dùng hoặc khối lượng công việc nằm trong mạng đáng tin cậy. Phân đoạn mạng vẫn là một phần của mô hình đó, cùng với định danh, bảo mật thiết bị và kiểm soát ứng dụng.
Sau khi xem xét tất cả các phương pháp phân đoạn khác nhau, hãy cùng xem cách bạn có thể triển khai một khung làm việc một cách thiết thực và hiệu quả. Hãy nhớ rằng, việc biến những phương pháp này thành một chương trình hoạt động được phụ thuộc vào trình tự thực hiện, chứ không phải là triển khai mọi thứ cùng một lúc.
Triển khai phân vùng mạng: Một khung lý thuyết thực tiễn
Sai lầm phổ biến nhất khi phân đoạn mạng là coi dự án này như một lần thiết kế lại mạng duy nhất. Một cách tiếp cận bền vững hơn bắt đầu từ việc đánh giá rủi ro kinh doanh, thiết lập các ranh giới có thể quản lý được và mở rộng các biện pháp kiểm soát khi tổ chức hiểu rõ hơn về lưu lượng truy cập của mình. Để giúp triển khai phân đoạn mạng cho tổ chức của bạn, chúng tôi đã thiết kế một khung sườn đơn giản để bạn làm theo:
Bước 1: Lập bản đồ các luồng giao thông hiện có
Trước khi thay đổi các quy tắc truy cập, bạn cần hiểu rõ các thành phần giao tiếp với nhau. Giám sát luồng mạng có thể tiết lộ các phụ thuộc ứng dụng, đường dẫn quản trị từ xa, kết nối cơ sở dữ liệu và lưu lượng truy cập bất thường giữa các hệ thống.
CISA khuyến nghị duy trì các sơ đồ mạng mô tả các mạng chính, luồng dữ liệu, sự phụ thuộc lẫn nhau và các kết nối với bên thứ ba và môi trường đám mây. Các bản ghi này cũng hỗ trợ việc ứng phó sự cố bằng cách chỉ ra nơi mà người ứng phó nên tập trung sự chú ý của họ. Mục tiêu ở đây là lập bản đồ lưu lượng truy cập thực tế, chứ không chỉ đơn thuần là mạng như được thiết kế trên giấy.
Bước 2: Xác định các khu vực dựa trên rủi ro kinh doanh
Phân nhóm các hệ thống theo mức độ nhạy cảm, chức năng và tác động đến hoạt động kinh doanh. Một điểm khởi đầu hữu ích bao gồm người dùng doanh nghiệp, ứng dụng sản xuất, phát triển, dịch vụ hướng ra internet và cơ sở hạ tầng hạn chế như hệ thống nhận dạng và sao lưu. Đối với mỗi khu vực, hãy đặt câu hỏi:
- Những hệ thống nào cần giao tiếp với nhau?
- Những dịch vụ nào cần thiết?
- Những kết nối nào sẽ tạo ra rủi ro không thể chấp nhận được?
- Ai là chủ sở hữu hợp đồng bảo hiểm?
- Việc xác minh quyền truy cập sẽ được thực hiện như thế nào trong trường hợp xảy ra sự cố?
Cách tiếp cận dựa trên rủi ro giúp tránh việc lãng phí cùng một lượng công sức triển khai cho mọi hệ thống. Các tài sản có giá trị cao cần được đặt ra những giới hạn nghiêm ngặt hơn và được xác thực thường xuyên hơn.
Bước 3: Bắt đầu với phân khúc vĩ mô
Việc thiết lập ranh giới rộng rãi tạo ra một nền tảng dễ quản lý. Giờ là lúc cần phân tách các môi trường doanh nghiệp, sản xuất, DMZ, phát triển và OT khi thích hợp, sau đó xác nhận rằng các ứng dụng kinh doanh vẫn hoạt động bình thường. Đây cũng là một cách thiết thực để xây dựng niềm tin trong tổ chức. Bằng cách này, phân đoạn mạng trở thành một loạt các thay đổi có thể đo lường được, thay vì một dự án lớn, gây gián đoạn, cố gắng thiết kế lại mọi kết nối cùng một lúc.
Bước 4: Thêm dần các phân đoạn nhỏ
Khi việc phân đoạn vĩ mô hoạt động hiệu quả, hãy mở rộng các biện pháp kiểm soát đến các khối lượng công việc và ứng dụng có giá trị cao nhất. Bắt đầu với các hệ thống tiềm ẩn rủi ro đáng kể hoặc có yêu cầu giao tiếp tương đối rõ ràng. Ví dụ, trước tiên bạn có thể hạn chế quyền truy cập vào máy chủ quản lý sao lưu, sau đó thêm các biện pháp kiểm soát ở cấp độ khối lượng công việc xung quanh các ứng dụng xử lý thanh toán và cơ sở dữ liệu nhạy cảm. Điều này cho phép nhóm bảo mật tinh chỉnh chính sách đồng thời giảm thiểu rủi ro làm gián đoạn các dịch vụ kinh doanh quan trọng.
Bước 5: Giám sát, kiểm tra và bảo trì
Các chính sách phân vùng sẽ thay đổi khi các khối lượng công việc mới được triển khai, các ứng dụng thay đổi và cơ sở hạ tầng được di chuyển. Cả CISA và MITRE đều nhấn mạnh việc duy trì tài liệu mạng, giám sát quyền truy cập và kiểm tra xem các biện pháp kiểm soát phân vùng có hoạt động như dự định hay không. Một chương trình hoàn thiện cần bao gồm việc xem xét chính sách định kỳ, kiểm tra quyền truy cập và xác thực các đường dẫn giữa các vùng bị hạn chế. Một quy tắc tồn tại trong bảng điều khiển tường lửa không phải là bằng chứng cho thấy ranh giới dự định có hiệu quả.
Mặc dù đây là một cách tiếp cận toàn diện đối với phân khúc thị trường, nhưng trong bối cảnh công nghệ hiện đại, công ty của bạn cũng cần hiểu rõ về phân khúc thị trường khi áp dụng cho môi trường ảo hóa và HCI.
Phân đoạn mạng trong môi trường ảo hóa và HCI
Vì ảo hóa làm thay đổi cách thức giao tiếp giữa các khối lượng công việc, nó cũng làm thay đổi nơi cần thực thi an ninh mạng. Trong môi trường vật lý truyền thống, lưu lượng truy cập giữa các máy chủ thường đi qua các thiết bị chuyển mạch, bộ định tuyến hoặc tường lửa. Tuy nhiên, trong môi trường hypervisor, hai máy ảo trên cùng một máy chủ vật lý có thể giao tiếp với nhau mà không cần lưu lượng truy cập đó đi qua mạng vật lý. Điều này tạo ra một cách tiếp cận mới đối với việc phân đoạn mạng doanh nghiệp, trong đó chính sách chỉ được thực thi tại ranh giới mạng vật lý có thể không kiểm soát được mọi đường dẫn giao tiếp nội bộ.
Môi trường ảo hóa có thể lưu trữ nhiều ứng dụng và khối lượng công việc trên một số lượng nhỏ máy chủ vật lý. Tuy nhiên, sự tiện lợi của cơ sở hạ tầng dùng chung cũng có nghĩa là một máy ảo bị xâm nhập có thể truy cập vào các khối lượng công việc khác trừ khi các biện pháp kiểm soát được áp dụng ở lớp thích hợp.
Để hỗ trợ, phân đoạn cấp độ khối lượng công việc có thể hạn chế các máy ảo nào giao tiếp với nhau, cổng nào được cho phép và chính sách sẽ theo khối lượng công việc như thế nào khi nó di chuyển giữa các máy chủ. Điều này đặc biệt quan trọng đối với HCI, nơi điện toán, lưu trữ và mạng được tích hợp vào một nền tảng cơ sở hạ tầng chung. Thành phần aNET của Sangfor hỗ trợ mạng được định nghĩa bằng phần mềm và phân đoạn vi mô trong môi trường HCI của Sangfor, cung cấp ảo hóa và bảo mật cấp doanh nghiệp cho các tổ chức hoạt động trên các môi trường vật lý, ảo và đám mây.
Về bản chất, mục đích của aNET là cung cấp cho các quản trị viên một cách để áp dụng chính sách mạng chi tiết cho các khối lượng công việc ảo hóa, giúp kiểm soát lưu lượng truy cập đông-tây mà không cần chỉ dựa vào các thiết bị mạng vật lý. Đối với các doanh nghiệp đang đánh giá một giải pháp thay thế VMware, đây là một yếu tố kiến trúc quan trọng cần xem xét. Phân đoạn mạng nên được đánh giá cùng với hypervisor, lưu trữ, quản lý và các biện pháp kiểm soát bảo mật, chứ không nên được coi là một khoản đầu tư mạng riêng lẻ.
aNET so với VMware NSX
VMware NSX và Sangfor aNET là những ví dụ về công nghệ mạng định nghĩa bằng phần mềm được sử dụng để hỗ trợ phân đoạn chi tiết trong môi trường ảo hóa. Khả năng, kiến trúc, cấp phép và yêu cầu vận hành của chúng cần được đánh giá dựa trên các mục tiêu về cơ sở hạ tầng và bảo mật của tổ chức.
Việc triển khai và vận hành NSX ở quy mô lớn thường đòi hỏi chuyên môn về mạng, bên cạnh giấy phép vSphere và vSAN cơ bản.
Mặt khác, Sangfor aNET được thiết kế để cung cấp khả năng kết nối mạng tích hợp và phân đoạn vi mô như một phần của nền tảng HCI. aNET không yêu cầu giấy phép bổ sung hoặc bảng điều khiển quản lý riêng biệt, và đảm bảo sự đơn giản trong vận hành cùng với toàn bộ hệ sinh thái aSV, aSAN và Sangfor Cloud Platform.
Hầu hết các dự án di chuyển VMware đều tạo ra rủi ro phân vùng cụ thể với các chính sách có thể được ghi lại trong môi trường nguồn nhưng không được tái tạo chính xác trong môi trường đích. Theo cách đó, một khối lượng công việc trước đây bị hạn chế truy cập có thể vô tình nhận được khả năng kết nối rộng hơn sau khi di chuyển. Sangfor HCI, sử dụng khả năng mạng định nghĩa bằng phần mềm của aNET, cung cấp một khung để áp dụng chính sách phân vùng cho các máy ảo đã được di chuyển.
Cách Sangfor cung cấp phân đoạn mạng trên toàn bộ hệ thống bảo mật.
Phân đoạn hoạt động hiệu quả nhất khi việc thực thi và phát hiện phối hợp nhịp nhàng. Tường lửa có thể hạn chế lưu lượng truy cập, nhưng các nhóm bảo mật cũng cần biết khi nào có kết nối bất thường xảy ra, khi nào chính sách bị bỏ qua hoặc khi nào một tài khoản bị xâm phạm cố gắng truy cập vào cơ sở hạ tầng bị hạn chế. Danh mục sản phẩm bảo mật và cơ sở hạ tầng của Sangfor cung cấp một số thành phần có thể đóng góp vào chương trình phân đoạn phối hợp.
Tường lửa thế hệ mới Athena của Sangfor đóng vai trò quan trọng trong việc phân vùng bằng cách thực thi kiểm soát truy cập tại các ranh giới mạng, bao gồm giữa môi trường doanh nghiệp, sản xuất, DMZ và môi trường bên ngoài. Phân vùng dựa trên tường lửa cũng có thể được sử dụng để hạn chế quyền truy cập vào các hệ thống nhạy cảm và kiểm soát lưu lượng truy cập giữa các vùng.
Sangfor aNET sau đó mở rộng phân đoạn vào môi trường ảo hóa. Bằng cách áp dụng mạng định nghĩa bằng phần mềm và phân đoạn vi mô ở cấp độ khối lượng công việc, nó có thể giúp thực thi chính sách lưu lượng giữa các máy ảo và ứng dụng trong Sangfor HCI. Điều này giải quyết một hạn chế phổ biến của phân đoạn chỉ ở vùng biên, nơi lưu lượng giữa các khối lượng công việc trên cùng một máy chủ có thể không bao giờ đến được tường lửa vật lý.
Giải pháp Athena NDR của Sangfor giúp các nhóm bảo mật điều tra các hoạt động đáng ngờ và xác định các mối đe dọa tiềm ẩn trên toàn bộ môi trường. Trong một chương trình phân đoạn, giải pháp này có thể bổ sung cho các biện pháp kiểm soát thực thi bằng cách cung cấp khả năng hiển thị lưu lượng truy cập bất thường, các nỗ lực di chuyển ngang hoặc các hoạt động đáng ngờ liên quan đến các hệ thống bị hạn chế. Phân đoạn xác định những giao tiếp nào được cho phép; giám sát giúp xác định khi nào hoạt động không phù hợp với chính sách đó.
Tổng quan về cách Athena NDR hoạt động
Một kiến trúc thực tiễn kết hợp kiểm soát tường lửa cấp vùng với chính sách cấp khối lượng công việc và giám sát an ninh. Điều này cung cấp nhiều cơ hội để hạn chế và phát hiện truy cập trái phép. Ví dụ, một doanh nghiệp có thể sử dụng Athena NGFW của Sangfor để hạn chế truy cập vào mạng sản xuất, aNET để kiểm soát giao tiếp giữa các khối lượng công việc ứng dụng và Athena NDR để điều tra lưu lượng truy cập đáng ngờ liên quan đến các hệ thống đó. Việc tích hợp và khả năng cụ thể cần được xác thực dựa trên các yêu cầu triển khai của tổ chức.
Đối với các doanh nghiệp đang cân nhắc các giải pháp thay thế VMware, câu hỏi quan trọng không chỉ đơn thuần là liệu nền tảng đó có cung cấp hypervisor hay tường lửa hay không. Mà là liệu kiến trúc tổng thể có thể đáp ứng được các yêu cầu về bảo mật, tính khả dụng, vận hành và di chuyển dữ liệu của tổ chức hay không.
Phân đoạn mạng nên được đưa vào đánh giá ngay từ đầu. Đây là một phương pháp nền tảng ảnh hưởng đến cách kết nối các khối lượng công việc, cách xử lý sự cố và cách quản lý an toàn các thay đổi cơ sở hạ tầng. Tóm lại, phân đoạn mạng nên là một thực tiễn quan trọng trong bộ công cụ cơ sở hạ tầng CNTT năm 2026 của bạn.
Câu hỏi thường gặp
Việc chia mạng máy tính thành các vùng nhỏ hơn và kiểm soát sự giao tiếp giữa chúng nhằm hạn chế việc truy cập không cần thiết giữa các hệ thống và giảm thiểu tác động tiềm tàng của việc vi phạm an ninh.
Phân đoạn mạng thường tạo ra các ranh giới rộng giữa các nhóm hệ thống, chẳng hạn như CNTT doanh nghiệp, sản xuất và vùng phi quân sự (DMZ). Phân đoạn vi mô áp dụng các biện pháp kiểm soát chi tiết hơn cho từng khối lượng công việc hoặc ứng dụng riêng lẻ, bao gồm cả các hệ thống cùng chia sẻ một máy chủ vật lý.
Nó giúp giảm số lượng hệ thống mà kẻ tấn công có thể tiếp cận sau khi giành được quyền truy cập ban đầu. Điều này giúp hạn chế sự di chuyển ngang, bảo vệ các tài nguyên nhạy cảm và giảm phạm vi tiềm tàng của một vụ xâm phạm.
Bằng cách hạn chế các kết nối mà kẻ tấn công có thể sử dụng để phát tán mã độc tống tiền giữa các hệ thống, nó có thể hạn chế quyền truy cập vào máy chủ tập tin, cơ sở hạ tầng sao lưu và các tài sản quan trọng khác, mặc dù không thể đảm bảo rằng mã độc tống tiền sẽ bị ngăn chặn hoàn toàn.
VLAN phân tách lưu lượng mạng thành các mạng logic lớp 2 và thường được sử dụng để phân vùng rộng. Phân đoạn vi mô thực thi các chính sách truyền thông chi tiết hơn, ở cấp độ khối lượng công việc, làm cho nó phù hợp để kiểm soát lưu lượng truy cập trong môi trường ảo hóa và điện toán đám mây.
