VPN cho nhân viên làm việc từ xa tạo đường kết nối mã hóa vào hệ thống doanh nghiệp, nhưng VPN không tự động làm cho mọi truy cập trở nên an toàn. Tài khoản bị lộ, thiết bị nhiễm mã độc hoặc thiết bị VPN chưa cập nhật vẫn có thể trở thành điểm xâm nhập. Doanh nghiệp cần kết hợp kiểm soát danh tính, thiết bị, phân quyền và giám sát.
VPN bảo vệ điều gì và không bảo vệ điều gì?
VPN mã hóa lưu lượng giữa thiết bị từ xa và cổng VPN, giúp hạn chế nghe lén trên mạng không tin cậy và cho phép truy cập tài nguyên nội bộ theo chính sách.
Tuy nhiên, VPN không ngăn người dùng mở tệp độc hại, không tự phát hiện tài khoản bị đánh cắp và không thay thế phần mềm bảo vệ thiết bị đầu cuối. Khi đăng nhập thành công, một tài khoản có quyền quá rộng vẫn có thể tiếp cận nhiều hệ thống.
Bắt buộc dùng xác thực đa yếu tố
Mật khẩu có thể bị lộ qua phishing, tái sử dụng hoặc mã độc. MFA bổ sung một lớp xác minh để giảm khả năng kẻ tấn công đăng nhập chỉ bằng mật khẩu.
Nên tránh dùng chung tài khoản VPN. Mỗi người cần một tài khoản riêng để gắn quyền, nhật ký và quy trình thu hồi. Với tài khoản quản trị, nên ưu tiên phương thức MFA chống phishing khi hạ tầng hỗ trợ.
CISA khuyến nghị MFA cho VPN và các dịch vụ truy cập từ xa.
Chỉ cấp đúng quyền cần thiết
- Nhân viên chỉ truy cập ứng dụng, máy chủ hoặc subnet phục vụ công việc.
- Nhà cung cấp bên ngoài dùng tài khoản riêng, giới hạn thời gian và phạm vi.
- Tài khoản quản trị không dùng cho tác vụ hằng ngày.
- Tách quyền theo phòng ban hoặc nhóm vai trò thay vì mở toàn bộ mạng.
- Rà soát quyền định kỳ và thu hồi ngay khi nhân sự nghỉ việc hoặc đổi vị trí.
Cập nhật cổng VPN và giảm bề mặt tấn công
Thiết bị firewall, appliance VPN và phần mềm client cần được theo dõi lỗ hổng, cập nhật firmware và sao lưu cấu hình. Cổng quản trị không nên mở trực tiếp ra Internet nếu không cần thiết.
Chỉ bật giao thức và tính năng đang sử dụng; tắt tài khoản mặc định, thay mật khẩu quản trị, giới hạn IP quản trị và kiểm tra chứng thư số trước khi hết hạn.
Thiết bị đầu cuối cũng phải đạt chuẩn
- Hệ điều hành và trình duyệt được cập nhật.
- Bật antivirus hoặc EDR và không cho người dùng tự ý vô hiệu hóa.
- Mã hóa ổ đĩa, khóa màn hình và mật khẩu đủ mạnh.
- Hạn chế dùng máy tính công cộng hoặc thiết bị không do công ty quản lý.
- Sao lưu dữ liệu làm việc vào vị trí doanh nghiệp kiểm soát.
- Có khả năng khóa hoặc xóa dữ liệu từ xa khi thiết bị thất lạc nếu phù hợp.
Split tunneling: tiện nhưng cần đánh giá rủi ro
Split tunneling cho phép một phần lưu lượng đi thẳng ra Internet, giúp giảm tải cổng VPN. Đổi lại, thiết bị đồng thời kết nối Internet và mạng nội bộ có thể tạo thêm rủi ro.
Không nên bật hoặc tắt theo thói quen. Cần xem loại ứng dụng, năng lực đường truyền, khả năng giám sát endpoint và chính sách dữ liệu để lựa chọn.
Nhật ký và cảnh báo cần theo dõi
- Nhiều lần đăng nhập thất bại hoặc MFA bị từ chối liên tiếp.
- Đăng nhập từ quốc gia, địa chỉ IP hoặc thời gian bất thường.
- Một tài khoản đăng nhập đồng thời ở nhiều vị trí.
- Tải dữ liệu lớn hoặc truy cập hệ thống chưa từng sử dụng.
- Tài khoản không hoạt động lâu ngày bỗng đăng nhập.
- Thay đổi cấu hình VPN hoặc tài khoản quản trị ngoài kế hoạch.
Quy trình vận hành VPN an toàn
Doanh nghiệp nên có quy trình cấp mới, thay đổi và thu hồi tài khoản; danh sách người phụ trách; lịch cập nhật; phương án khi VPN lỗi; và kịch bản xử lý khi nghi ngờ tài khoản bị chiếm.
SMNET có thể đánh giá firewall/VPN hiện hữu, triển khai MFA, phân quyền truy cập, chuẩn hóa thiết bị đầu cuối và bàn giao tài liệu vận hành.
Câu hỏi thường gặp
Dùng VPN có cần MFA không?
Nên xem MFA là yêu cầu cơ bản cho truy cập từ xa. Mật khẩu đơn lẻ không đủ trước nguy cơ phishing và tái sử dụng mật khẩu.
Nhân viên có thể dùng máy cá nhân để kết nối VPN?
Chỉ nên cho phép khi có chính sách BYOD và kiểm soát tối thiểu về cập nhật, mã hóa, bảo vệ endpoint và phạm vi truy cập. Thiết bị do doanh nghiệp quản lý thường dễ kiểm soát hơn.
VPN có thay thế firewall không?
Không. VPN là một chức năng truy cập an toàn; firewall và chính sách phân đoạn vẫn cần để kiểm soát lưu lượng giữa người dùng từ xa và các tài nguyên.
Liên hệ SMNET
SMNET tư vấn và triển khai VPN doanh nghiệp, MFA, firewall, phân quyền truy cập và giám sát kết nối từ xa phù hợp với quy mô vận hành.
Tìm hiểu thêm về SMNET – đối tác CNTT đáng tin cậy cho doanh nghiệp và các giải pháp IT tổng thể từ khảo sát, tư vấn, triển khai đến bảo trì.
Công ty TNHH SMNET
Địa chỉ: Phòng G.01, Tòa nhà The Vital Building, 16 Đặng Tất, Phường Tân Định, Quận 1, TP.HCM
Điện thoại: 028 7301 6068
Email: hello@smnet.vn
Website: https://smnet.vn
