Giám Sát Trên Firewall: Không Chỉ Là Theo Dõi – Mà Là Thấu Hiểu Hạ Tầng Mạng

[Tiến Dũng Nguyễn]

🎯 Vì sao phải giám sát firewall?

Tường lửa từ lâu đã là lớp bảo vệ đầu tiên và cuối cùng trong rất nhiều kiến trúc mạng. Nhưng thứ tạo ra giá trị bảo mật thực sự không phải là rule "deny any any" cuối cùng, mà là khả năng bạn nhìn thấy điều gì đang xảy ra qua bức tường đó.

Giám sát firewall không phải là hành vi vận hành – mà là một kỹ năng chiến lược, giúp:

• Phát hiện các hành vi ẩn danh vượt qua luật cho phép.
• Xác định các vùng mạng đang bị lạm dụng.
• Kiểm chứng chính sách (policy enforcement).
• Điều tra forensic sau sự cố.
• Và đặc biệt, chuyển firewall từ một thiết bị xử lý gói tin sang một cảm biến bảo mật (sensor).

🔍 Những gì phải được giám sát?

1. Flow-level Visibility – hiểu bức tranh luồng mạng

Bạn không thể bảo vệ những gì bạn không nhìn thấy.

NetFlow/sFlow/IPFIX cho phép bạn phân tích từng luồng giao tiếp – không phải chỉ dựa trên logs mà dựa trên metadata cấp độ flow:
Nguồn, đích, port, giao thức, băng thông, thời gian sống...

Ứng dụng:

• Phân tích lưu lượng bất thường (dịch vụ P2P, beaconing C2).
• Phát hiện Lateral Movement.
• Đánh giá Shadow IT hoặc ứng dụng chưa được kiểm soát.

2. Syslog – dòng máu của hệ thống giám sát tập trung

Nếu logs là bằng chứng thì syslog là kênh vận chuyển nó đi đúng nơi.

Firewall logs không chỉ là alert hay deny; đó là dữ liệu sống:

• Session opened/closed.
• Rule matched.
• NAT translation.
• URL, file inspection, antivirus verdicts...

Ứng dụng:

• Tích hợp SIEM để tạo correlation rule.
• Phân tích hành vi người dùng.
• Điều tra sự cố theo timeline thực tế.

Bạn không thể tạo playbook SOAR nếu thiếu logs đủ chiều sâu.

3. SNMP – theo dõi nhịp tim thiết bị

Nhiều admin bỏ quên SNMP như một giao thức "xưa cũ", nhưng:

• SNMP chính là cách bạn biết được firewall đang sắp chết trước khi nó tắt thở.
• CPU spikes, số lượng session active, exhaustion của NAT pool, hoặc drop packet rate... đều là chỉ số sống còn.

Ứng dụng:

• Monitor sức khỏe thiết bị (HA failover prediction).
• Capacity planning.
• Alert sớm khi tài nguyên bị bão hòa do tấn công hoặc lỗi cấu hình.

🧩 Vấn đề nằm ở đâu nếu bạn không giám sát?

• Một admin có thể sửa rule, gây mở lỗ hổng – và bạn không có audit.
• Một beacon C2 có thể tồn tại hàng tuần vì flow đó "nhỏ và ổn định".
• Một đường IPSec Tunnel bị flap 3 lần/ngày, nhưng chỉ phát hiện khi người dùng kêu chậm.
• Một quy tắc deny log hàng ngàn lượt quét port từ cùng một IP – nhưng không ai cảnh báo vì không ai đọc log.

⚙️ Kết luận: Giám sát là nền tảng, không phải phụ trợ

Giám sát firewall không phải để “chống cháy”, cũng không phải để “bổ sung cho SIEM” – mà là để biến network infrastructure thành nguồn dữ liệu bảo mật, nơi bạn có thể:

• Thấu hiểu hành vi.
• Phát hiện bất thường.
• Phòng thủ chủ động.