Làm sao để bảo vệ nhân viên làm việc từ xa trong mô hình SASE của Cisco?

[dangquangminh]

Làm sao để bảo vệ nhân viên làm việc từ xa trong mô hình SASE của Cisco?
Chúng ta đang sống trong thời đại làm việc từ mọi nơi (Work from Anywhere), nhưng liệu bạn đã thực sự bảo vệ được thiết bị của nhân viên từ xa khỏi những đe dọa tiềm tàng?

---

🌐 Bối cảnh triển khai Cisco SASE cho Remote Worker


Trong mô hình làm việc từ xa, nhân viên truy cập vào các ứng dụng từ ngoài mạng doanh nghiệp. Thiết bị đầu cuối không còn được bảo vệ bởi tường lửa nội bộ hay hệ thống giám sát tập trung. Đây chính là lúc SASE (Secure Access Service Edge) phát huy sức mạnh.

☑️ Bảo mật điểm cuối là điều kiện tiên quyết


Thiết bị làm việc cần phải được bảo vệ trước khi kết nối tới bất kỳ ứng dụng nào, kể cả ứng dụng công cộng hay nội bộ. Cisco Secure Endpoint (trước đây là Cisco AMP) cung cấp:

• Bảo vệ chống phần mềm độc hại (Anti-malware)
• Chống virus
• Phân tích hành vi
• Bảo vệ khỏi các tập lệnh dòng lệnh (command-line)
• Kiểm soát truy cập mạng dựa trên thiết bị

---

🔐 Truy cập ứng dụng công cộng (Dropbox, M365, Salesforce...)


Cơ chế hoạt động như sau:

1. AnyConnect Agent tạo một đường hầm TLS VPN nhẹ.
2. Agent này chặn toàn bộ DNS/HTTP/HTTPS và đẩy lưu lượng tới Cisco Umbrella.
3. Umbrella thực hiện các tác vụ bảo mật như:
   • DNS Security
   • Web Security
   • URL Filtering
   • Anti-malware / Antivirus
   • DLP (Data Loss Prevention)
   • CASB (Cloud Access Security Broker)
4. Nếu lưu lượng "sạch", nó sẽ được truyền trực tiếp ra Internet thông qua cổng của doanh nghiệp hoặc PoP gần nhất.

➡️ Ưu điểm: Truy cập nhanh, bảo mật và tối ưu hiệu suất cho SaaS.

---

🏢 Truy cập ứng dụng nội bộ (Private Apps)


Có hai mô hình triển khai: 1. Clientless Access qua VPN Portal (ứng dụng web, RDP, SSH, v.v.)

• Người dùng nhập URL như đang ở văn phòng.
• Lưu lượng đi qua AnyConnect → Umbrella Stack → Network Gateway (Duo).
• Hành vi tương tự như Reverse Proxy.
• Cisco Duo cung cấp xác thực mạnh:
  • MFA (Multi-Factor Auth)
  • Kiểm tra posture thiết bị
  • Heuristics hành vi truy cập

➡️ Ưu điểm: Không cần cài đặt client, dễ dàng sử dụng trên trình duyệt. 2. Full Tunnel VPN (IPSec/SSL) qua AnyConnect

• Dùng cho các ứng dụng cần giao thức "đặc thù" mà reverse proxy chưa hỗ trợ.
• Đường hầm toàn phần từ endpoint về hệ thống nội bộ.

➡️ Ưu điểm: Đảm bảo toàn bộ kết nối được bảo mật, bao gồm các ứng dụng phi web.

---

🔑 Ba yếu tố khi xây dựng mô hình Remote Worker an toàn với SASE

1. Cloud Security Stack: Cisco Umbrella là trung tâm bảo mật dựa trên đám mây.
2. Zero Trust Access: Cisco Duo xác thực dựa trên danh tính và trạng thái thiết bị.
3. Bảo vệ thiết bị đầu cuối: Cisco Secure Endpoint, MDM, NAC hoặc các giải pháp endpoint khác.

---

❓Câu hỏi kiểm tra kiến thức


Dịch vụ nào của Cisco cung cấp xác thực an toàn trong triển khai SASE?

✅ Đáp án đúng: Cisco Duo
Giải pháp xác thực đa yếu tố, kiểm tra posture thiết bị, hành vi truy cập – là thành phần then chốt của Zero Trust.