Host-Based Firewall và HIPS – Lớp phòng thủ cuối cùng cho Endpoint trong doanh nghiệp

[dangquangminh]

Host-Based Firewall và HIPS – Lớp phòng thủ cuối cùng cho Endpoint trong doanh nghiệp


Trong nhiều năm, các doanh nghiệp đã đầu tư mạnh vào Firewall, IDS/IPS, Secure Web Gateway, NAC và nhiều giải pháp bảo mật ở lớp mạng. Tuy nhiên, một thực tế phổ biến là rất nhiều sự cố an ninh vẫn xuất phát từ chính các endpoint như laptop, máy trạm và thiết bị di động.

Nguyên nhân là vì người dùng ngày nay không còn làm việc hoàn toàn trong môi trường mạng doanh nghiệp. Họ kết nối từ nhà, quán cà phê, khách sạn, sân bay hoặc các mạng Wi-Fi công cộng. Tại những môi trường này, các lớp bảo vệ của doanh nghiệp gần như không còn tác dụng. Endpoint phải tự bảo vệ chính mình.

Đây chính là lý do Host-Based Firewall (HBF) và Host-Based Intrusion Prevention System (HIPS) trở thành thành phần không thể thiếu trong chiến lược Zero Trust và Endpoint Security hiện đại. Vì sao cần Host-Based Firewall?


Khi laptop của nhân viên kết nối vào mạng nội bộ công ty, lưu lượng sẽ được bảo vệ bởi:

• Perimeter Firewall
• Intrusion Prevention System (IPS)
• DNS Security
• Secure Web Gateway
• Network Access Control (NAC)
• Email Security Gateway

Nhưng khi nhân viên mang laptop đi công tác hoặc làm việc từ xa, phần lớn các lớp bảo vệ này không còn hiện diện.

Ví dụ:

Một nhân viên kết nối laptop vào Wi-Fi miễn phí tại sân bay. Một thiết bị khác trong cùng mạng thực hiện quét cổng (Port Scan), khai thác lỗ hổng SMB hoặc phát tán malware thông qua các dịch vụ chia sẻ file.

Nếu endpoint không có Host-Based Firewall, nguy cơ bị xâm nhập sẽ tăng lên đáng kể.

Host-Based Firewall đóng vai trò như một "tường lửa cá nhân" cho từng thiết bị, giúp endpoint có khả năng tự phòng thủ ngay cả khi nằm ngoài phạm vi bảo vệ của doanh nghiệp. Lợi ích của Host-Based Firewall


Host-Based Firewall mang lại nhiều lợi ích quan trọng:

• Lọc lưu lượng vào và ra trên từng endpoint.
• Giảm bề mặt tấn công (Attack Surface Reduction).
• Ngăn chặn truy cập trái phép từ bên ngoài.
• Hạn chế sự lây lan của malware trong mạng nội bộ.
• Bảo vệ thiết bị khi kết nối vào mạng không đáng tin cậy.
• Cung cấp log phục vụ điều tra và phân tích sự cố.

Nói cách khác, ngay cả khi kẻ tấn công đã vượt qua lớp Firewall biên hoặc đã xâm nhập vào mạng nội bộ, Host-Based Firewall vẫn tạo ra một lớp phòng thủ cuối cùng trên từng endpoint. Các chức năng chính của Host-Based Firewall

Traffic Filtering


Kiểm soát lưu lượng mạng đi vào và đi ra dựa trên các rule được định nghĩa trước.

Ví dụ:

• Chỉ cho phép RDP từ mạng quản trị.
• Chặn SMB từ Internet.
• Chặn kết nối đến các cổng không cần thiết.

Application Control


Kiểm soát ứng dụng nào được phép sử dụng mạng.

Ví dụ:

• Chỉ cho phép Microsoft Teams và Outlook truy cập Internet.
• Ngăn ứng dụng không được phê duyệt kết nối ra ngoài.

Port và Protocol Management


Chặn các cổng và giao thức không cần thiết để giảm nguy cơ bị khai thác.

Ví dụ:

• Disable Telnet.
• Chặn NetBIOS.
• Chặn FTP không mã hóa.

Logging and Monitoring


Ghi lại các hoạt động mạng nhằm phục vụ:

• Threat Hunting
• Forensics
• SIEM Correlation
• Incident Response

Host-Based Intrusion Prevention System (HIPS) là gì?


Nếu Host-Based Firewall tập trung vào lưu lượng mạng, thì HIPS tập trung vào hành vi của hệ điều hành và ứng dụng.

HIPS giám sát liên tục:

• Thay đổi file hệ thống.
• Chỉnh sửa Registry.
• Hành vi thực thi tiến trình.
• Kỹ thuật khai thác lỗ hổng.
• Các hành vi bất thường của ứng dụng.

Khác với Antivirus truyền thống dựa trên Signature, HIPS sử dụng:

• Behavioral Analysis
• Heuristic Detection
• Anomaly Detection

Nhờ đó, HIPS có thể phát hiện cả những mối đe dọa chưa từng được biết đến. Các chức năng chính của HIPS

Behavioral Monitoring


Phát hiện các hành vi bất thường như:

• Chỉnh sửa Registry trái phép.
• Mã độc thay đổi file hệ thống.
• Process Injection.
• PowerShell đáng ngờ.

Exploit Prevention


Ngăn chặn việc khai thác lỗ hổng của hệ điều hành và ứng dụng.

Ví dụ:

• Buffer Overflow
• Privilege Escalation
• Memory Corruption
• Macro-based Attack

Zero-Day Protection


Phát hiện và ngăn chặn các mối đe dọa chưa có chữ ký nhận diện.

Đây là khả năng đặc biệt quan trọng trước các cuộc tấn công APT và Ransomware hiện đại. Policy Enforcement


Thực thi các chính sách bảo mật trên endpoint:

• Không cho chạy ứng dụng trái phép.
• Không cho chỉnh sửa cấu hình hệ thống.
• Không cho cài đặt phần mềm không được phê duyệt.
• Hạn chế truy cập tài nguyên nhạy cảm.

Góc nhìn thực tế trong doanh nghiệp


Ngày nay, các giải pháp Endpoint Security hiện đại như:

• Microsoft Defender for Endpoint
• Cisco Secure Endpoint (AMP for Endpoints)
• CrowdStrike Falcon
• SentinelOne
• Trellix Endpoint Security

đều tích hợp đồng thời các khả năng của:

• Host-Based Firewall
• HIPS
• EDR (Endpoint Detection and Response)
• Behavioral Analytics
• Zero-Day Protection

Xu hướng bảo mật hiện nay không còn phụ thuộc hoàn toàn vào Firewall biên. Thay vào đó, doanh nghiệp phải xây dựng mô hình phòng thủ nhiều lớp (Defense in Depth), trong đó mỗi endpoint đều có khả năng tự bảo vệ chính mình.

Câu hỏi thảo luận dành cho cộng đồng:

Trong môi trường Hybrid Work hiện nay, theo anh/chị, lớp bảo vệ nào quan trọng hơn đối với laptop của nhân viên: Network Firewall tại doanh nghiệp hay Host-Based Firewall và EDR trên chính endpoint? Vì sao?