Làm thế nào để tối đa hóa bảo mật cho công ty của bạn với mạng LAN?

Hướng dẫn Alpha » Trò chơi » Làm thế nào để tối đa hóa bảo mật cho công ty của bạn với mạng LAN?

Mạng LAN của công ty bạn đã trở thành hệ thần kinh của toàn bộ doanh nghiệp : nó truyền tải dữ liệu khách hàng, quyền truy cập vào các ứng dụng quan trọng, thông tin liên lạc nội bộ và thậm chí cả lưu lượng truy cập thiết bị IoT. Nếu nó gặp sự cố hoặc bị xâm phạm, không chỉ năng suất bị đình trệ mà cả sự liên tục hoạt động của công ty cũng bị đe dọa.

Tăng cường bảo mật cho công ty bạn bằng mạng LAN không còn chỉ là lựa chọn "dành cho các tập đoàn lớn ", mà là một nhu cầu thiết yếu đối với các doanh nghiệp vừa và nhỏ cũng như các tổ chức thuộc mọi quy mô. Từ hệ thống cáp và cấu trúc mạng đến VLAN, IDS/IPS, tường lửa và đào tạo nhân viên, tất cả đều góp phần xây dựng một cơ sở hạ tầng nhanh, ổn định và có độ bảo mật cao.

Mạng LAN là gì và tại sao nó lại quan trọng đối với doanh nghiệp?

Mạng LAN (Mạng cục bộ) là mạng kết nối các máy tính trong một không gian vật lý hạn chế , chẳng hạn như văn phòng, nhà máy, tòa nhà hoặc khuôn viên nhỏ. Chức năng chính của nó là cho phép các máy tính, máy chủ, máy in, điện thoại IP và các thiết bị khác trao đổi dữ liệu và chia sẻ tài nguyên một cách nhanh chóng và có kiểm soát.

Trong hầu hết các môi trường kinh doanh hiện nay, mạng LAN kết hợp các kết nối Ethernet có dây và liên kết Wi-Fi , tạo thành một mạng truyền thông nội bộ nơi các máy trạm, máy chủ tập tin, ứng dụng cục bộ, điện thoại IP, camera giám sát video, điểm truy cập không dây và ngày càng nhiều thiết bị IoT cùng tồn tại.

Các mạng LAN hiện đại thường chia sẻ một điểm truy cập duy nhất vào Internet (thông qua bộ định tuyến hoặc tường lửa), do đó tất cả lưu lượng truy cập của công ty đều tập trung vào cấu trúc trung tâm đó: nếu được thiết kế tốt, đó là một điểm kiểm soát tuyệt vời; nếu bị bỏ bê, nó sẽ là một cửa ngõ khổng lồ cho kẻ tấn công.

Ngoài ra, nhiều công ty triển khai một số mạng LAN logic trong cùng một cơ sở hạ tầng vật lý , tách biệt, ví dụ, mạng quản lý, mạng khách, mạng sản xuất hoặc mạng thiết bị IoT bằng cách sử dụng VLAN và phân đoạn nâng cao để tăng cường bảo mật và hiệu suất.

Cách thức hoạt động của mạng LAN: các lớp vật lý, logic và luồng dữ liệu.

Hoạt động của mạng LAN kết hợp các yếu tố vật lý (cáp, bộ chuyển mạch, bộ định tuyến) và các yếu tố logic (giao thức, địa chỉ IP, VLAN) cùng phối hợp để đảm bảo các gói dữ liệu di chuyển một cách có trật tự giữa các thiết bị khác nhau.

Mỗi thiết bị tham gia vào mạng LAN đều có một card giao diện mạng (vật lý hoặc ảo) với địa chỉ MAC duy nhất và địa chỉ IP được gán thủ công hoặc thông qua máy chủ DHCP. Địa chỉ MAC xác định thiết bị một cách vĩnh viễn, trong khi địa chỉ IP cho phép định tuyến và giao tiếp logic.

Các thiết bị chuyển mạch (switch) chịu trách nhiệm nhận các gói dữ liệu và chuyển tiếp chúng chỉ qua các cổng cần thiết , ngăn chặn toàn bộ mạng bị quá tải bởi lưu lượng truy cập không cần thiết. Để làm được điều này, chúng học các địa chỉ MAC đằng sau mỗi cổng và duy trì các bảng nội bộ cho phép chúng định tuyến lưu lượng truy cập một cách hiệu quả.

Bộ định tuyến hoặc tường lửa biên được đặt tại điểm mà mạng LAN kết nối với các mạng khác (thường là Internet hoặc mạng WAN của công ty). Thiết bị này dịch địa chỉ, thực thi các chính sách bảo mật, định tuyến các gói tin đi ra và trong nhiều trường hợp, lọc nội dung hoặc thực hiện kiểm tra lưu lượng truy cập chuyên sâu.

Toàn bộ quy trình này dựa trên các giao thức tiêu chuẩn (TCP/IP, ARP, DHCP, DNS, v.v.) và hệ điều hành của các thiết bị, hệ điều hành này quản lý ngăn xếp mạng và kiểm soát cách thiết lập kết nối, xác thực phiên và xử lý lỗi.

Các thành phần chính của mạng LAN an toàn

Để mạng LAN hoạt động ổn định, nhanh chóng và an toàn, chỉ "kết nối mọi thứ vào cùng một bộ định tuyến" là chưa đủ ; cần phải kết hợp đúng cách các loại phần cứng chuyên dụng khác nhau và bảo vệ chúng bằng các cấu hình phù hợp.

Trong số các thành phần phổ biến nhất của cơ sở hạ tầng mạng LAN doanh nghiệp, chúng ta có thể tìm thấy :

• Bộ định tuyếnChúng kết nối mạng LAN với Internet hoặc các mạng LAN hoặc WAN khác, quản lý bảng định tuyến, NAT, các chính sách tường lửa cơ bản và, trong nhiều trường hợp, VPN.
• Bộ chuyển mạch được quản lýCác thiết bị chuyển mạch kết nối nhiều thiết bị trong mạng LAN, cho phép bạn tạo VLAN, áp dụng QoS, điều khiển cổng và giám sát lưu lượng truy cập.
• Cáp Ethernet (đồng hoặc cáp quang)Chúng truyền tải thông tin với tốc độ cao và, trong trường hợp cáp đồng có PoE, có thể cung cấp điện cho các điểm truy cập Wi-Fi, camera IP hoặc điện thoại VoIP.
• Card giao diện mạng (NIC)Được tích hợp vào máy tính cá nhân, máy chủ hoặc thiết bị, chúng diễn giải và tạo ra các gói dữ liệu lưu thông trong mạng.
• Điểm truy cập không dây (WAP)Chúng cung cấp kết nối Wi-Fi và đóng vai trò là cầu nối giữa thế giới không dây và mạng có dây.
• Tường lửaChúng lọc lưu lượng truy cập giữa các phân đoạn mạng khác nhau hoặc giữa mạng LAN và Internet, ngăn chặn truy cập trái phép và các cuộc tấn công đã biết.
• Hệ thống IDS/IPS và hệ thống giám sátHệ thống này giám sát lưu lượng truy cập để phát hiện các mẫu bất thường, các nỗ lực xâm nhập hoặc phần mềm độc hại, tạo ra cảnh báo và thậm chí cắt đứt các kết nối độc hại.

Một số kiến ​​trúc cũng sử dụng cầu nối, bộ khuếch đại tín hiệu và hệ thống quản lý cơ sở hạ tầng tự động để mở rộng phạm vi phủ sóng, phân đoạn tốt hơn hoặc có khả năng theo dõi thời gian thực trạng thái của tất cả các liên kết vật lý.

Các loại mạng LAN và so sánh với WAN, MAN và PAN.

Mạng LAN có thể được phân loại theo loại phương tiện, cấu trúc liên kết hoặc mô hình kết nối , và điều quan trọng là phải hiểu những khác biệt này để thiết kế một mạng phù hợp với nhu cầu của từng công ty.

Dựa trên loại cáp, chúng ta chủ yếu phân biệt giữa mạng LAN có dây và mạng LAN không dây . Mạng LAN có dây sử dụng cáp đồng hoặc cáp quang, cung cấp tốc độ cao hơn và độ trễ thấp hơn; mạng LAN không dây (WLAN) sử dụng Wi-Fi theo tiêu chuẩn IEEE 802.11 để cung cấp cho người dùng khả năng di động hoàn toàn.

Nếu xem xét cách tổ chức các liên kết vật lý, ta thấy các cấu trúc mạng như hình sao, hình vòng, hình bus hoặc hình cây . Trong thực tế hiện nay, cấu trúc mạng hình sao (với các bộ chuyển mạch là nút trung tâm) và các biến thể dạng cây phân cấp chiếm ưu thế trong môi trường doanh nghiệp.

Về mô hình kết nối, mạng LAN máy chủ-máy khách và mạng LAN ngang hàng (P2P) cùng tồn tại . Loại thứ nhất hầu như luôn được sử dụng trong doanh nghiệp, với một hoặc nhiều máy chủ tập trung hóa các dịch vụ và chính sách; loại thứ hai phổ biến hơn trong môi trường gia đình đơn giản.

Mạng LAN khác với các mạng khác ở phạm vi vật lý : mạng WAN (Mạng diện rộng) kết nối nhiều mạng LAN trên khắp một quốc gia hoặc lục địa, thường được hỗ trợ bởi các liên kết của nhà mạng và các công nghệ đường truyền xa, trong khi mạng MAN (Mạng đô thị) bao phủ một thành phố hoặc khu vực đô thị. Ở phía đối diện của phổ này, mạng PAN (Mạng cá nhân) nhóm các thiết bị cá nhân trong phạm vi vài mét, chẳng hạn như tai nghe Bluetooth hoặc kết nối giữa máy tính xách tay và điện thoại di động.

VLAN và phân vùng: nền tảng của bảo mật trong mạng LAN hiện đại

Một trong những công cụ mạnh mẽ nhất để tăng cường bảo mật và hiệu quả của mạng LAN là VLAN (Mạng cục bộ ảo) , cho phép tạo ra các mạng logic độc lập trên cùng một cơ sở hạ tầng vật lý.

Thay vì sử dụng một mạng phẳng duy nhất nơi mọi người có thể nhìn thấy nhau , VLAN phân tách lưu lượng truy cập theo phòng ban, chức năng hoặc cấp độ tin cậy: quản trị, khách, IoT, thoại, sản xuất, phát triển, v.v. Mỗi nhóm được cách ly và chỉ giao tiếp với các nhóm khác thông qua các quy tắc được kiểm soát chặt chẽ.

Về mặt kỹ thuật, VLAN dựa trên tiêu chuẩn IEEE 802.1Q, tiêu chuẩn này thêm một thẻ vào mỗi khung Ethernet để chỉ ra khung đó thuộc về VLAN nào. Các thiết bị chuyển mạch được quản lý sẽ đọc thẻ này và chỉ gửi lưu lượng truy cập thông qua các cổng được liên kết với mạng ảo đó.

Có các VLAN tĩnh, trong đó việc thành viên được quyết định bởi cổng chuyển mạch, và các VLAN động , trong đó việc phân bổ phụ thuộc vào các tham số như địa chỉ MAC, giao thức, hoặc thậm chí là xác thực người dùng trong thư mục doanh nghiệp.

Phân đoạn VLAN giúp giảm lưu lượng phát sóng, cải thiện hiệu suất và hạn chế sự di chuyển ngang của kẻ tấn công . Nếu hệ thống bị xâm nhập, thiệt hại sẽ được kiểm soát tốt hơn nhiều, và khả năng mã độc tống tiền lây lan sang các máy chủ quan trọng hoặc hệ thống tài chính sẽ giảm đáng kể.

Các mối đe dọa chính đối với mạng LAN doanh nghiệp

Chỉ vì mạng LAN là "nội bộ" không có nghĩa là nó an toàn . Nhiều mối đe dọa, được mô tả trong hướng dẫn của chúng tôi về các cuộc tấn công và mối đe dọa an ninh mạng , khai thác các lỗ hổng trong chính mạng cục bộ, kết hợp giữa lỗi của con người, cấu hình yếu và thiết bị không được bảo vệ.

Trong số các loại tấn công phổ biến nhất nhằm vào mạng LAN, chúng ta có thể kể đến :

• Phần mềm độc hại và ransomwareMã độc được đưa vào thông qua email lừa đảo, các tập tin tải xuống hoặc thiết bị USB, mã hóa dữ liệu hoặc làm hỏng hệ thống và lây lan trên mạng LAN.
• Lắng nghe chủ động (ngửi ngửi và dò xét)Thu thập lưu lượng mạng để đánh cắp thông tin đăng nhập, theo dõi liên lạc hoặc chuẩn bị cho các cuộc tấn công tiếp theo.
• Tấn công giả mạo DNS (đầu độc DNS)Thao túng phản hồi DNS để chuyển hướng người dùng đến các trang web giả mạo và đánh cắp thông tin đăng nhập hoặc dữ liệu ngân hàng.
• Sửa đổi và can thiệp dữ liệuViệc cố ý thay đổi cơ sở dữ liệu, tập tin hoặc hồ sơ kế toán, dẫn đến những hậu quả về kinh tế hoặc pháp lý.
• Đánh cắp danh tính và truy cập trái phép: Sử dụng thông tin đăng nhập bị đánh cắp hoặc mật khẩu yếu để truy cập vào các hệ thống nội bộ như thể mình là nhân viên hợp pháp.

Nhiều cuộc tấn công trong số này dựa vào các giai đoạn trinh sát hoặc quét mạng trước đó , trong đó kẻ tấn công xác định các cổng nào đang mở, các dịch vụ nào đang chạy trên mỗi máy và những điểm yếu nào có thể bị khai thác sau này.

Ngay cả những kỹ thuật tưởng chừng như thụ động, chẳng hạn như nghe lén lưu lượng truy cập hoặc sử dụng phần mềm nghe lén trên cổng phản chiếu của bộ chuyển mạch , cũng có thể cung cấp cho kẻ xâm nhập cái nhìn rất chi tiết về cách dữ liệu di chuyển, ai đang nói chuyện với ai và giao thức nào bị cấu hình sai.

Hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS) trong mạng LAN: một ví dụ thực tế với Suricata và MikroTik

Để nâng cao hơn nữa mức độ bảo mật, nhiều công ty triển khai các hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS) ngay trong mạng LAN , có khả năng phân tích lưu lượng truy cập chuyên sâu và xác định các hoạt động đáng ngờ.

Suricata là một trong những công cụ IDS/IPS mã nguồn mở mạnh mẽ và được sử dụng rộng rãi nhất . Được phát triển bởi OISF, nó có thể hoạt động ở các chế độ phát hiện, ngăn chặn, giám sát an ninh mạng (NSM) và phân tích lưu lượng ngoại tuyến, kiểm tra tiêu đề và nội dung gói tin với các quy tắc cực kỳ tinh vi.

Một kịch bản rất hiệu quả là kết hợp bộ định tuyến MikroTik với máy ảo Debian chạy Suricata . Bộ định tuyến quản lý lưu lượng mạng cục bộ và sao chép hoặc chuyển hướng luồng dữ liệu mà chúng ta quan tâm đến giao diện của máy ảo, nơi Suricata sẽ kiểm tra nó.

Kiến trúc này có thể hoạt động ở chế độ IDS (chỉ giám sát và cảnh báo) hoặc chế độ IPS (cũng xử lý lưu lượng truy cập độc hại) . Một cấu trúc mạng điển hình sẽ như sau: Internet ↔ RouterOS ↔ Hypervisor ↔ Cầu nối Linux ↔ Máy ảo với Suricata, trong đó giao diện phân tích được đặt ở chế độ promiscuous để xem tất cả lưu lượng truy cập.

Tại MikroTik, chúng tôi có hai tùy chọn để gửi lưu lượng truy cập đến Suricata :

• Phản chiếu cổngLưu lượng truy cập được sao chép từ giao diện này sang giao diện khác nơi máy ảo Suricata được kết nối, lý tưởng nếu có thể dành riêng một cổng vật lý cho việc giám sát.
• Việc đánh hơi theo quy định của CALEALưu lượng truy cập được thu thập ở cấp độ tường lửa và gửi đến một địa chỉ IP cụ thể trên mạng LAN (địa chỉ của máy Suricata) để phân tích từ xa.

Trong máy ảo Debian, sau khi cập nhật hệ thống, Suricata được cài đặt từ backports , tệp chính được cấu hình để chỉ định giao diện lắng nghe (ví dụ: ens2), phạm vi mạng được định nghĩa là HOME_NET và các loại đầu ra nhật ký (fast.log, eve.json, v.v.).

Sau khi các quy tắc đã được điều chỉnh và dịch vụ được khởi động lại, chỉ cần tạo lưu lượng truy cập thử nghiệm (ping, kết nối SSH, duyệt web) để xác minh trong nhật ký rằng Suricata đang phát hiện các sự kiện và phân loại chúng theo các chữ ký đã tải lên.

Giám sát nâng cao: Meerkat + ELK và cảnh báo thời gian thực

Để một hệ thống phát hiện xâm nhập (IDS) thực sự hữu ích trong hoạt động hàng ngày, khả năng hiển thị tốt và cảnh báo nhanh nhạy là điều thiết yếu . Việc phát hiện hàng nghìn sự kiện sẽ chẳng có ích gì nếu không ai nhìn thấy chúng hoặc chúng bị lẫn vào các nhật ký thông thường.

Một sự tích hợp rất phổ biến là kết nối Suricata với một hệ sinh thái ELK (Elasticsearch, Logstash và Kibana) . Logstash thu thập nhật ký của Suricata, chuyển đổi chúng và gửi đến Elasticsearch, nơi lập chỉ mục để tìm kiếm và đối chiếu. Kibana cung cấp bảng điều khiển đồ họa thời gian thực với bản đồ nhiệt, biểu đồ tấn công và dữ liệu nguồn và đích.

Với phương án này, nhóm CNTT có thể lọc theo loại sự kiện, địa chỉ IP nguồn, giao thức, hoặc thậm chí theo người dùng , và phát hiện các đỉnh hoạt động, các mẫu lặp lại, hoặc các kịch bản điển hình của việc quét, tấn công vét cạn hoặc khai thác lỗ hổng.

Để nhận cảnh báo tức thì, Suricata thường được kết nối với Telegram thông qua các tập lệnh cụ thể , gửi tin nhắn đến một kênh hoặc nhóm khi phát hiện ra sự cố nghiêm trọng. Bằng cách này, những người phụ trách có thể được thông báo ngay lập tức, bất kể họ ở đâu.

Sự kết hợp giữa Suricata, ELK và thông báo Telegram biến mạng LAN thành một môi trường được giám sát liên tục , nơi các nỗ lực xâm nhập không còn là vô hình mà trở thành các sự cố có thể được xử lý nhanh chóng.

Các biện pháp thiết yếu để bảo vệ mạng LAN của công ty bạn

Bên cạnh các công cụ tiên tiến, còn có một bộ các thực tiễn tốt nhất mà mọi công ty nên áp dụng trong mạng LAN của mình , bất kể quy mô hay lĩnh vực hoạt động.

Phần đầu tiên tập trung vào bảo mật của cơ sở hạ tầng vật lý và logic cơ bản : luôn cập nhật phần cứng (bộ định tuyến, bộ chuyển mạch, điểm truy cập) và phần mềm (hệ điều hành, firmware), thường xuyên áp dụng các bản vá bảo mật và thực hiện sao lưu dữ liệu và cấu hình thường xuyên.

Mật khẩu là một yếu tố quan trọng khác . Chúng nên dài, phức tạp, độc đáo và được thay đổi thường xuyên; tránh sử dụng tên, ngày tháng hoặc thông tin dễ đoán, và tất nhiên, hãy xóa tất cả thông tin đăng nhập mặc định khỏi thiết bị mạng và các dịch vụ nội bộ.

Ngoài những điều đã nêu ở trên, nên kích hoạt thêm các cơ chế xác minh danh tính bổ sung , chẳng hạn như xác thực đa yếu tố, sinh trắc học hoặc thẻ thông minh, đặc biệt là đối với quyền truy cập vào các tài nguyên nhạy cảm và bảng điều khiển quản trị mạng.

Việc kiểm soát truy cập mạng LAN cũng phải nghiêm ngặt : xác định thiết bị nào có thể kết nối, chúng thuộc VLAN nào, giới hạn mạng khách, sử dụng các giải pháp NAC (Kiểm soát truy cập mạng) khi có thể và ghi lại nhật ký ai vào và ra khỏi mỗi phân vùng.

Phân đoạn, mã hóa và phòng thủ đa lớp

Một mạng LAN an toàn phải giả định rằng sớm muộn gì cũng sẽ có người cố gắng xâm nhập , vì vậy điều quan trọng là phải áp dụng phương pháp phòng thủ nhiều lớp, với một số lớp bảo vệ bổ sung cho nhau.

Phân vùng VLAN, được hỗ trợ bởi tường lửa nội bộ, ngăn chặn kẻ tấn công di chuyển tự do trong toàn bộ tổ chức . Mỗi VLAN có thể có các quy tắc cụ thể, hạn chế quyền truy cập chỉ đối với các dịch vụ thiết yếu và ngăn chặn môi trường thử nghiệm, hệ thống khách hoặc thiết bị IoT tiếp cận các hệ thống quan trọng.

Mã hóa lưu lượng truy cập là một điểm quan trọng khác . Sử dụng các giao thức bảo mật như TLS và các biện pháp mã hóa cho các ứng dụng web nội bộ, VPN để truy cập từ xa, và nói chung là tránh các dịch vụ không được mã hóa (telnet, FTP, v.v.) sẽ làm giảm đáng kể hiệu quả của việc nghe lén và đánh cắp dữ liệu.

Các hệ thống IDS/IPS dựa trên mạng, chẳng hạn như Suricata hoặc các giải pháp thương mại , cần được tích hợp với phần mềm chống virus và EDR trên các thiết bị đầu cuối, cũng như các công cụ quét lỗ hổng bảo mật có thể xác định các hệ thống lỗi thời hoặc cấu hình sai trước khi kẻ tấn công có thể thực hiện. Hơn nữa, nên tham khảo các hướng dẫn bảo mật thiết bị đầu cuối cụ thể để hoàn thiện lớp bảo vệ này.

Cuối cùng, các giải pháp SIEM có thể tổng hợp và đối chiếu nhật ký từ các thiết bị khác nhau (tường lửa, máy chủ, thiết bị chuyển mạch, IDS, bộ điều khiển Wi-Fi) để cung cấp cái nhìn toàn diện hơn, phát hiện các mẫu phức tạp và hỗ trợ ứng phó với các sự cố nghiêm trọng.

Yếu tố con người: đào tạo và văn hóa an ninh mạng

Dù công nghệ mạng LAN của bạn có tiên tiến đến đâu, mắt xích yếu nhất thường chính là người ngồi trước bàn phím . Nhiều sự cố nghiêm trọng bắt đầu chỉ bằng một cú nhấp chuột vào email lừa đảo hoặc sử dụng mật khẩu dễ đoán.

Việc đào tạo nhân viên và quản lý về các biện pháp an ninh mạng tốt nhất cũng quan trọng như việc cài đặt một tường lửa hiệu quả . Họ cần có khả năng nhận biết email đáng ngờ, tránh tải xuống phần mềm trái phép, không sử dụng ổ USB không rõ nguồn gốc và tôn trọng các chính sách truy cập cũng như cài đặt thiết bị cá nhân; việc thúc đẩy đào tạo an ninh mạng trong công ty là một công cụ hữu ích cho mục đích này.

Các buổi đào tạo thường xuyên về phần mềm độc hại, mã độc tống tiền, kỹ thuật xã hội và các chính sách nội bộ giúp giảm đáng kể số lượng sự cố do lỗi của con người, vốn vẫn là một trong những nguyên nhân chính gây ra vi phạm an ninh.

Hơn nữa, điều quan trọng là phải nuôi dưỡng một văn hóa mà trong đó việc báo cáo một sự cố hoặc lỗi tiềm ẩn không được xem là vấn đề , mà là một đóng góp cho sự an toàn chung. Hành vi bất thường càng được phát hiện sớm thì việc ngăn chặn càng dễ dàng hơn.

Lập kế hoạch, thiết kế và phát triển mạng LAN doanh nghiệp

Xây dựng một mạng LAN an toàn và có khả năng đáp ứng nhu cầu trong tương lai không chỉ đơn thuần là thêm các thiết bị chuyển mạch khi văn phòng phát triển . Nó đòi hỏi một thiết kế được lên kế hoạch kỹ lưỡng, phù hợp với chiến lược kinh doanh và đủ linh hoạt để thích ứng với sự phát triển của công nghệ.

Một điểm khởi đầu tốt là chuẩn hóa hệ thống cáp và thiết bị , ví dụ như lựa chọn cáp Category 6A để hỗ trợ tốc độ cao hơn và PoE, và các thiết bị chuyển mạch có quản lý cho phép mở rộng số lượng cổng, VLAN và các tính năng bảo mật mà không cần phải thiết kế lại toàn bộ mạng.

Các quản trị viên mạng nên tự đặt ra những câu hỏi quan trọng về khả năng phục hồi và tính liên tục của hoạt động kinh doanh : điều gì sẽ xảy ra nếu một thiết bị chuyển mạch lõi bị lỗi, làm thế nào để đảm bảo tính dự phòng, việc mất kết nối Wi-Fi hoặc đường truyền internet chính sẽ gây ra tác động như thế nào, và những cơ chế nào được áp dụng để giảm thiểu thời gian ngừng hoạt động.

Tính linh hoạt của mạng cũng rất quan trọng . Một cấu trúc cáp được thiết kế tốt, với các thành phần mô-đun, cho phép di chuyển các máy trạm, thêm thiết bị hoặc triển khai các công nghệ mới (Wi-Fi 6/7, 5G trong nhà, IoT) mà không cần thay đổi đường trục chính hoặc gây ra thời gian ngừng hoạt động liên tục.

Ngoài tất cả những điều này, còn cần phải tích hợp mạng LAN với các dịch vụ đám mây, mô hình làm việc kết hợp và truy cập từ xa . Mạng cục bộ không còn là một môi trường biệt lập mà là điểm kết nối giữa các văn phòng, các đám mây công cộng, các ứng dụng SaaS và người dùng kết nối từ bất cứ đâu; do đó, nên xem xét lại hoạt động trên đám mây và an ninh mạng để xác định các biện pháp kiểm soát phù hợp.

Nếu công ty của bạn muốn tận dụng lợi thế của số hóa mà không phải sống trong nỗi lo sợ thường trực về các cuộc tấn công mạng , mạng LAN phải được coi là một tài sản chiến lược: được thiết kế cẩn thận, phân đoạn bằng VLAN, bảo vệ bằng tường lửa và IDS/IPS, mã hóa, giám sát và hỗ trợ bởi đội ngũ nhân viên am hiểu và được đào tạo bài bản. Tất cả những điều này biến kết nối hàng ngày thành động lực thúc đẩy năng suất, chứ không phải là nguồn rủi ro tiềm ẩn.

Bài viết liên quan:

Các cuộc tấn công và mối đe dọa an ninh mạng ảnh hưởng nhiều nhất đến doanh nghiệp vừa và nhỏ (SME).