Host-Based Personal Firewall – Tường lửa cá nhân trên máy chủ/endpoint

[dangquangminh]

Host-Based Personal Firewall – Tường lửa cá nhân trên máy chủ/endpoint


Trong khi tường lửa truyền thống (network firewall) được đặt tại các điểm kiểm soát giữa các mạng, thì tường lửa cá nhân (personal firewall / host-based firewall) lại bảo vệ một máy tính hoặc thiết bị đơn lẻ.

Điểm khác biệt chính:

• Tường lửa truyền thống: kiểm soát lưu lượng đi vào/ra toàn bộ mạng.
• Tường lửa cá nhân: kiểm soát lưu lượng đi vào/ra từng máy host riêng lẻ.

Ban đầu, tường lửa cá nhân là phần mềm cài thêm cho PC. Ngày nay, hầu hết các hệ điều hành hiện đại (Windows, macOS, Linux) đều tích hợp sẵn.

Trong nhiều môi trường, khi tất cả endpoint được triển khai tường lửa cá nhân có chính sách tập trung, nó trở thành một mô hình distributed firewall – tức là kiểm soát lưu lượng giống như firewall truyền thống, nhưng được phân tán đến từng host.

---

Vai trò quan trọng trong môi trường di động và VPN

• Laptop trong nội bộ doanh nghiệp được bảo vệ bởi firewall tổ chức. Nhưng khi ra ngoài (airport, hotel, coffee shop), chỉ còn personal firewall tự bảo vệ.
• Với VPN split tunneling, nguy cơ càng lớn:
  • Nếu VPN client vừa có thể ra Internet trực tiếp vừa có kết nối nội bộ, attacker có thể lợi dụng đường hầm VPN nếu host không được bảo vệ.
  • Một backdoor trên máy client không có firewall có thể bị khai thác để pivot vào hệ thống doanh nghiệp.

---

Các tính năng của personal firewall

• Chính sách theo port/protocol: giống firewall truyền thống.
• Chính sách theo ứng dụng (application-aware): cho phép hoặc chặn dựa trên ứng dụng, bất kể port/protocol.
• Profile theo môi trường: Work, Home, Public – mỗi loại mạng có chính sách khác nhau.
• User prompts: khi app mới muốn kết nối mạng, firewall sẽ hỏi người dùng Allow/Block → giúp ngăn chặn malware.
• Logging & Alerting: ghi log kết nối, chặn, cho phép; cảnh báo khi phát hiện hoạt động bất thường.

---

Phân tích log từ host-based firewall


Log có thể bao gồm:

• Kết nối bị chặn (blocked) và lý do (IP, port, protocol).
• Kết nối được cho phép (permitted).
• Thông tin chi tiết: nguồn, đích, port, thời gian.

Security analyst có thể dựa vào log để phát hiện:

• Outbound connection bất thường từ internal server (có thể là CnC traffic).
• Brute force từ 1 IP trong thời gian ngắn.
• Sử dụng công cụ WHOIS để truy tìm IP nghi ngờ (nhưng lưu ý attacker có thể spoof IP).

---

Personal Firewall trên Windows

• Windows Firewall (Windows Defender Firewall) bật mặc định, chặn tất cả kết nối inbound không mong muốn.
• Có thể cấu hình qua:
  • Basic Firewall (bật/tắt).
  • Windows Firewall with Advanced Security: tạo rule nâng cao theo Program, Port, Predefined, Custom.
• Logging: tắt mặc định, có thể bật để ghi dropped packets, successful connections. Log bao gồm: Date, Time, Action, Protocol, Src/Dst IP, Src/Dst Port.

---

Personal Firewall trên Linux

• IPtables: firewall ở mức kernel, kiểm soát traffic dựa trên port/protocol/IP.
• TCP Wrappers: firewall ở mức application, kiểm soát dịch vụ chạy trên xinetd (cho phép/deny theo host).
• UFW (Uncomplicated Firewall): frontend đơn giản cho iptables.

---

Câu hỏi ôn tập (Content Review)


1. Linux security control nào nên dùng cùng personal firewall để tăng lớp bảo mật ở mức ứng dụng, cho phép hoặc chặn truy cập dịch vụ cụ thể?
👉 Đáp án: TCP Wrappers

2. Attacker muốn đạt mục tiêu gì khi tắt Windows Firewall trên máy nạn nhân?
👉 Đáp án: Allow unsolicited incoming connections to the victim’s machine (Cho phép kết nối inbound không mong muốn vào máy nạn nhân).

---

✦ Kết luận:
Host-based firewall là lớp bảo mật quan trọng trong mô hình defense-in-depth. Dù mạng có firewall perimeter mạnh mẽ, thì endpoint vẫn phải tự bảo vệ mình – nhất là trong thời đại remote work + BYOD + cloud VPN.