Giới thiệu chung về Tiêu chuẩn quốc gia TCVN 14620:2026
Tiêu chuẩn quốc gia TCVN 14620:2026 quy định các yêu cầu kỹ thuật chung đối với tường lửa nhằm bảo đảm an ninh mạng. Đây là văn bản kỹ thuật nền tảng giúp các tổ chức, doanh nghiệp định hình, xây dựng và đánh giá hệ thống tường lửa bảo vệ an toàn thông tin.
Thông tin thuộc tính văn bản
- Tên văn bản: Tiêu chuẩn quốc gia TCVN 14620:2026 về An ninh mạng - Tường lửa - Yêu cầu kỹ thuật chung.
- Số hiệu, Cơ quan ban hành, Ngày ban hành, Ngày áp dụng, Tình trạng hiệu lực: Chưa có thông tin cụ thể từ dữ liệu trích xuất.
Tóm tắt nội dung Phần mở đầu và các Điều khoản đầu (Từ Điều 1 đến Điều 4)
Nội dung trích xuất ban đầu của tiêu chuẩn tập trung vào việc thiết lập các cơ sở pháp lý và kỹ thuật cơ bản, bao gồm:
- Điều 1: Phạm vi áp dụng - Xác định giới hạn áp dụng của tiêu chuẩn đối với các loại tường lửa bảo vệ an ninh mạng, đối tượng sử dụng và các môi trường triển khai hệ thống.
- Điều 2: Tài liệu viện dẫn - Liệt kê các tiêu chuẩn quốc gia (TCVN) và tiêu chuẩn quốc tế liên quan làm căn cứ đối chiếu và áp dụng đồng bộ.
- Điều 3: Thuật ngữ và định nghĩa - Giải thích chi tiết các khái niệm chuyên ngành về công nghệ tường lửa, an ninh mạng, các cơ chế lọc gói tin và kiểm soát truy cập để thống nhất cách hiểu.
- Điều 4: Ký hiệu và chữ viết tắt - Hệ thống hóa các ký hiệu kỹ thuật, từ viết tắt chuyên ngành được sử dụng trong toàn bộ văn bản tiêu chuẩn nhằm tránh gây nhầm lẫn trong quá trình áp dụng thực tế.
TIÊU CHUẨN QUỐC GIA
TCVN 14620:2026
AN NINH MẠNG - TƯỜNG LỬA - YÊU CẦU KỸ THUẬT CHUNG
Cyber security - Firewall - General requirements
Lời nói đầu
TCVN 14620:2026 An ninh mạng - Tường lửa - Yêu cầu kỹ thuật chung do Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao biên soạn, Bộ Công an đề nghị, Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia thẩm định, Bộ Khoa học và Công nghệ công bố.
Lời giới thiệu
Tiêu chuẩn này quy định các yêu cầu chức năng đối với tường lửa nhằm đảm bảo chất lượng của thiết bị, phần mềm, phù hợp với mục tiêu bảo vệ mạng máy tính và hệ thống thông tin trước các mối đe dọa trên không gian mạng.
Để đạt hiệu quả bảo vệ ở mức cao nhất, khuyến khích cơ quan, tổ chức chủ quản hệ thống thông tin triển khai tường lửa đáp ứng đầy đủ các yêu cầu quy định trong tiêu chuẩn này, kết hợp với các biện pháp quản lý, kỹ thuật và vận hành khác.
AN NINH MẠNG - TƯỜNG LỬA - YÊU CẦU KỸ THUẬT CHUNG
Cyber security - Firewall - General requirements
1 Phạm vi áp dụng
Tiêu chuẩn này quy định các yêu cầu kỹ thuật chung về an ninh mạng đối với tường lửa, bao gồm nhưng không giới hạn các chức năng như phát hiện và phòng ngừa xâm nhập, quản lý ứng dụng, khả năng kết nổi, chia sẻ thông tin tình báo mối đe doạ mạng.
2 Tài liệu viện dẫn
Các tài liệu viện dẫn sau rất cần thiết cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi, bổ sung (nếu có).
TCVN 9801-1:2022 Công nghệ thông tin - Các kỹ thuật an toàn - An toàn mạng - Phần 1: Tổng quan và khái niệm.
3 Thuật ngữ, định nghĩa và chữ viết tắt
Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa trong TCVN 9801-1:2022 và các thuật ngữ sau:
3.1 Thuật ngữ và định nghĩa
3.1.1
Hệ thống phát hiện và phòng ngừa xâm nhập (Intrusion Detection and Prevention System)
Các thiết bị được sử dụng để giám sát, phân tích kết nối mạng nhằm phát hiện cảnh báo và ngăn chặn tấn công mạng theo thời gian thực.
3.1.2
Chỉ dấu tấn công (Indicator of Compromise)
Bằng chứng kỹ thuật hoặc dấu hiệu cho thấy một cuộc tấn công mạng sắp xảy ra, đang diễn ra hoặc có thể đã xảy ra.
3.1.3
Mẫu nhận dạng (Signature)
Tập hợp mẫu mang tính đặc trưng liên quan đến một ứng dụng hoặc một cuộc tấn công.
3.1.4
Đường cơ sở hành vi (Behavior Baseline)
Mẫu lưu lượng hoặc hành vi chuẩn trong mạng dùng để so sánh và phát hiện bất thường.
3.1.5
Phân tích sâu gói tin (Deep Packet Inspection)
Kỹ thuật kiểm tra và phân tích gói tin mạng, bao gồm tiêu đề và nội dung để phát hiện tấn công hoặc ứng dụng.
3.1.6
Thông lượng (Throughput)
Chỉ số đo lường lượng dữ liệu thực tế được truyền thành công giữa điểm gửi và nhận trong một khoảng thời gian.
3.1.7
Chế độ mở khi lỗi (Fail-Open)
Cơ chế cho phép lưu lượng đi qua khi xảy ra sự cố để duy trì dịch vụ.
3.1.8
Chế độ đóng khi lỗi (Fail-close)
Cơ chế không cho phép lưu lượng đi qua khi xảy ra sự cố.
3.1.9
Danh sách đen (Blacklist)
Danh sách các thực thể riêng biệt đã được xác định có liên quan đến hoạt động độc hại.
3.1.10
Danh sách trắng (Whitelist)
Danh sách các thực thể riêng biệt đã được xác định, chấp thuận sử dụng trong hệ thống thông tin.
3.1.11
Chế độ active-active (Active-Active)
Chế độ dự phòng độ sẵn sàng cao, trong đó các thiết bị đều ở trạng thái hoạt động, cùng tham gia xử lý lưu lượng và duy trì dịch vụ.
3.1.12
Chế độ actvie-standby (Active-Standby)
Chế độ dự phòng sẵn sàng cao, trong đó một thiết bị hoạt động chính và một hoặc nhiều thiết bị ở trạng thái dự phòng, thiết bị dự phòng tự động chuyển sang hoạt động khi thiết bị chính gặp sự cố.
3.1.13
Tường lửa (Firewall)
Loại rào cản an ninh được đặt giữa các môi trường mạng - bao gồm một thiết bị dành riêng hoặc một tổ hợp của vài thành phần và công nghệ - qua đó tất cả lưu lượng từ một môi trường mạng đi qua môi trường khác và ngược lại, và chỉ có thẩm quyền lưu lượng, được định nghĩa từ chính sách an ninh khu vực, được phép đi qua.
3.2 Chữ viết tắt
| API | Giao diện lập trình ứng dụng | Application Programming Interface |
| CLI | Giao diện dòng lệnh | Command Line Interface |
| CPU | Bộ xử lý trung tâm | Central Processing Unit |
| CTI | Tình báo mối đe dọa mạng | Cyber Threat Intelligence |
| DDoS | Từ chối dịch vụ phân tán | Distributed Denial of Service |
| DoS | Từ chối dịch vụ | Denial of Service |
| HA | Tính sẵn sàng cao | High Availability |
| ICMP | Giao thức bản tin điều khiển Internet | Internet Control Message Protocol |
| IDPS | Hệ thống phát hiện và phòng ngựa xâm nhập | Intrusion Detection and Prevention System |
| IOC | Chỉ dấu tấn công | Indicator of Compromise |
| IP | Giao thức Internet | Internet Protocol |
| IPS | Hệ thống phòng ngừa xâm nhập | Intrusion Prevention System |
| MTBF | Thời gian trung bình giữa các lần hỏng | Mean Time Between Failures |
| NAT | Biến đổi địa chỉ mạng | Network Address Translation |
| NTP | Giao thức thời gian mạng | Network Time Protocol |
| PAT | Biến đổi địa chỉ theo cổng | Port Address Translation |
| RAM | Bộ nhớ truy cập ngẫu nhiên | Random Access Memory |
| SIEM | Hệ thống quản lý thông tin và sự kiện bảo mật | Security Information and Event Management |
| SOC | Trung tâm điều hành an ninh mạng | Security Operation Center |
| SSH | Vỏ bọc an toàn | Secure Shell |
| STDƠTAXII | Chuẩn chia sẻ thông tin tình báo mối đe dọa | Structured Threat Information expression / Trusted Automated exchange of Intelligence Information |
| Syslog | Giao thức ghi nhật ký hệ thống | System Logging Protocol |
| TCP | Giao thức điều khiển truyền dẫn | Transmission Control Protocol |
| TLS | Bảo mật tầng truyền tải | Transport Layer Security |
| UDP | Giao thức gói dữ liệu người dùng | User Datagram Protocol |
| URL | Bộ định vị tài nguyên thống nhất | Uniform Resource Locator |
| WebUl | Giao diện người dùng web | Web User Interface |
4 Yêu cầu kỹ thuật
4.1 Yêu cầu cơ bản
4.1.1 Khái quát
Tập hợp các điều kiện cơ bản nhằm đảm bảo tường lửa vận hành ổn định, liên tục và có khả năng hỗ trợ quản trị an toàn. Các yêu cầu này là nền tảng trước khi áp dụng các chức năng bảo vệ hệ thống.
4.1.2 Yêu cầu cụ thể
4.1.2.1 Vận hành ổn định
a) Duy trì hoạt động liên tục mà không cần khởi động lại.
b) Đảm bảo thông lượng ổn định trong suốt thời gian vận hành, không phát sinh lỗi bộ nhớ hoặc treo hệ thống.
c) Có cơ chế tự giám sát để phát hiện sớm lỗi phần cứng hoặc phần mềm gây mất ổn định.
d) Hỗ trợ khởi động lại có kiểm soát, đảm bảo không làm mất dữ liệu cấu hình và nhật ký.
e) Tự động khởi động lại an toàn sau khi mất điện, đảm bảo không mất cấu hình hoặc nhật ký.
4.1.2.2 Đồng bộ thời gian
a) Hỗ trợ đồng bộ thời gian chuẩn thông qua giao thức NTP.
b) Ghi nhận sự kiện đồng bộ và cảnh báo khi mất kết nối với máy chủ NTP.
4.1.2.3 Sao lưu và khôi phục cấu hình
a) Hỗ trợ sao lưu toàn bộ cấu hình ra tệp theo định dạng mà thiết bị hỗ trợ.
b) Cho phép khôi phục toàn bộ cấu hình từ tệp sao lưu đã lưu trữ.
c) Cho phép lập lịch sao lưu tự động định kỳ.
4.1.2.4 Chế độ hoạt động
a) Hỗ trợ hoạt động ở chế độ trong suốt.
b) Hỗ trợ hoạt động ở chế độ định tuyến.
c) Cho phép chuyển đổi chế độ hoạt động mà không làm mất dữ liệu cấu hình bảo mật của thiết bị.
d) Duy trì chính sách bảo mật khi thay đổi chế độ hoạt động.
4.1.2.5 Quản trị cơ bản
a) Hỗ trợ nhiều hình thức quản trị, tối thiểu bao gồm CLI, WebUI và quản lý tập trung.
b) Yêu cầu xác thực người quản trị trước khi cho phép truy cập.
c) Hỗ trợ phân quyền quản trị cơ bản theo vai trò.
d) Ghi nhận đầy đủ nhật ký các thao tác quản trị.
4.1.2.6 Khả năng giám sát hệ thống
a) Hỗ trợ giám sát tài nguyên cơ bản, bao gồm nhưng không giới hạn các chỉ số hoạt động của CPU, RAM, bộ nhớ lưu trữ.
b) Hỗ trợ cấu hình ngưỡng cảnh báo khi tài nguyên vượt mức cho phép.
c) Hỗ trợ trích xuất dữ liệu giám sát ra hệ thống tập trung.
4.1.2.7 Cập nhật hệ thống cơ bản
a) Hỗ trợ cập nhật phần mềm thủ công.
b) Hỗ trợ kiểm tra phiên bản và thông báo phiên bản mới.
c) Cảnh báo khi bản cập nhật không thành công.
4.2 Yêu cầu kiểm soát truy cập
4.2.1 Khái quát
Các yêu cầu về khả năng kiểm soát luồng dữ liệu dựa trên trạng thái kết nối. Tường lửa phải theo dõi, duy trì bảng trạng thái phiên kết nối và thực hiện chính sách bảo mật phù hợp để ngăn chặn gói tin bất hợp pháp.
4.2.2 Yêu cầu cụ thể
4.2.2.1 Quản lý bảng trạng thái kết nối
a) Duy trì bảng trạng thái cho tất cả phiên TCP, UDP, ICMP và các giao thức khác.
b) Cập nhật trạng thái phiên theo từng giai đoạn: khởi tạo, duy trì, kết thúc.
c) Loại bỏ các gói tin không khớp trạng thái hoặc không thuộc phiên đã được phép.
d) Cho phép cấu hình thời gian chờ cho từng loại phiên.
e) Có giới hạn kích cỡ bảng trạng thái để chống tấn công từ chối dịch vụ.
4.2.2.2 Kiểm soát truy cập theo thông số mạng
a) Hỗ trợ định nghĩa chính sách lọc dựa trên địa chỉ IP nguồn và đích.
b) Hỗ trợ định nghĩa chính sách lọc dựa trên cổng nguồn và đích.
c) Hỗ trợ định nghĩa chính sách lọc dựa trên giao thức vận chuyển.
d) Hỗ trợ lọc gói tin phân mảnh và ghép nối để kiểm tra chính xác.
4.2.2.3 Kiểm soát truy cập theo người dùng
a) Hỗ trợ liên kết thông tin người dùng từ hệ thống xác thực.
b) Cho phép định nghĩa chính sách lọc dựa trên người dùng cụ thể.
c) Cho phép định nghĩa chính sách lọc dựa trên nhóm người dùng.
4.2.2.4 Hỗ trợ NAT
a) Hỗ trợ NAT tĩnh và NAT động.
b) Hỗ trợ PAT.
c) Hỗ trợ NAT hai chiều giữa nhiều vùng mạng.
4.2.2.5 Chính sách theo vùng mạng
a) Hỗ trợ phân chia các vùng mạng logic.
b) Cho phép định nghĩa chính sách lọc giữa các vùng mạng.
c) Hỗ trợ nhiều vùng mạng trên một giao diện.
d) Hỗ trợ ưu tiên chính sách giữa các vùng mạng.
4.2.2.6 Dự phòng và tính sẵn sàng cao
a) Hỗ trợ triển khai HA ở chế độ active-active.
b) Hỗ trợ triển khai HA ở chế độ active-standby.
c) Duy trì phiên kết nổi trong quá trình chuyển đổi HA.
d) Hỗ trợ đồng bộ cấu hình và nhật ký giữa các thiết bị trong cụm HA.
4.2.2.7 Quản lý chính sách lọc
a) Cho phép tạo nhiều bảng chính sách độc lập.
b) Hỗ trợ ưu tiên chính sách theo thứ tự xác định.
c) Hỗ trợ áp dụng chính sách lọc theo thời gian biểu.
d) Hỗ trợ sao lưu và khôi phục bảng chính sách lọc.
4.2.2.8 Ghi nhật ký và giám sát
a) Ghi nhật ký cho tất cả các phiên kết nối được phép và bị chặn.
b) Nhật ký bao gồm nhưng không giới hạn các thông tin: địa chỉ IP, cổng, giao thức, hành động xử lý, thời gian.
c) Hỗ trợ thống kê số lượng phiên kết nối đồng thời.
d) Xuất dữ liệu nhật ký ra hệ thống giám sát tập trung.
4.2.2.9 Lọc theo danh sách
a) Hỗ trợ danh sách đen để chặn địa chỉ IP, tên miền không mong muốn.
b) Hỗ trợ danh sách trắng để chỉ cho phép truy cập các địa chỉ được định nghĩa.
c) Cho phép quản trị viên thêm, sửa, xóa địa chỉ trong danh sách trắng, danh sách đen.
d) Ghi nhật ký đầy đủ các sự kiện truy cập bị chặn hoặc cho phép theo danh sách.
4.3 Yêu cầu chức năng hệ thống phát hiện và phòng ngừa xâm nhập
4.3.1 Khái quát
Chức năng IDPS quy định yêu cầu phát hiện, ngăn chặn, xử lý các cuộc tấn công mạng theo thời gian thực. Hệ thống phải kết hợp nhiều phương pháp như: dựa trên mẫu nhận dạng, dựa trên hành vi, phân tích bất thường và phân tích sâu gói tin. Ngoài ra, IDPS phải hỗ trợ phòng chống tấn công DoS/DDoS, cho phép tùy chỉnh chính sách, cập nhật cơ sở dữ liệu và phản ứng tự động.
4.3.2 Yêu cầu cụ thể
4.3.2.1 Phát hiện dựa trên chữ ký
a) Hỗ trợ cơ sở dữ liệu mẫu nhận dạng tấn công toàn diện.
b) Phân loại chữ ký theo loại tấn công và mức độ nguy hiểm.
c) Cho phép bật/ tắt từng chữ ký hoặc nhóm chữ ký.
d) Hỗ trợ bổ sung chữ ký tùy chỉnh.
4.3.2.2 Phát hiện dựa trên hành vi
a) Giám sát lưu lượng để phát hiện hành vi bất thường.
b) Xác định ngưỡng kết nối bất thường.
c) Phát hiện hành vi quét cổng, quét dịch vụ.
d) Phát hiện hành vi tấn công vét cạn.
4.3.2.3 Phân tích bất thường
a) Hỗ trợ xây dựng đường cơ sở hành vi mạng.
b) Hỗ trợ so sánh lưu lượng hiện tại với đường cơ sở.
c) Hỗ trợ phát hiện sai lệch về tần suất, kích thước gói, chu kỳ kết nối.
d) Hỗ trợ phát hiện mẫu lưu lượng không mong muốn hoặc chưa biết.
4.3.2.4 Phòng chống tấn công DoS/ DDoS
a) Phát hiện tấn công DoS/ DDoS.
b) Giới hạn số lượng kết nối mới trong một khoảng thời gian.
c) Hỗ trợ chính sách giảm tải lưu lượng tấn công.
4.3.2.5 Phân tích sâu gói tin
a) Phân tích tiêu đề gói tin ở nhiều tầng.
b) Phân tích dữ liệu nội dung gói tin.
c) Phát hiện chuỗi dữ liệu độc hại trong nội dung.
d) Kiểm tra toàn bộ phiên giao dịch thay vì từng gói riêng lẻ.
4.3.2.6 Quản lý chính sách IPS
a) Hỗ trợ định nghĩa nhiều chính sách IPS khác nhau.
b) Cho phép gán chính sách cho từng vùng mạng.
c) Hỗ trợ ưu tiên áp dụng chính sách.
d) Hỗ trợ sao lưu vả khôi phục chính sách IPS.
4.3.2.7 Cập nhật cơ sở dữ liệu
a) Hỗ trợ cập nhật cơ sở dữ liệu chữ ký theo thời gian thực.
b) Cho phép cập nhật tự động định kỳ.
c) Cho phép cập nhật thủ công khi cần thiết.
d) Kiểm tra tính toàn vẹn trước khi áp dụng bản cập nhật.
4.3.2.8 Phản ứng tự động
a) Hỗ trợ chặn lưu lượng tấn công theo thời gian thực.
b) Hỗ trợ đặt lại/ kết thúc kết nối tấn công.
c) Hỗ trợ cách ly máy chủ hoặc vùng mạng bị ảnh hưởng.
d) Hỗ trợ gửi cảnh báo ngay khi phát hiện tấn công.
4.3.2.9 Ghi nhật ký và giám sát IPS
a) Ghi nhật ký chi tiết sự kiện IPS.
b) Nhật ký bao gồm tối thiểu các thông tin: thời gian, địa chỉ nguồn, địa chỉ đích, giao thức, chữ ký khớp, hành động xử lý.
c) Hỗ trợ thống kê sự kiện IPS theo thời gian.
d) Xuất dữ liệu IPS sang hệ thống quản trị tập trung.
4.3.2.10 Tối ưu hóa hiệu năng IPS
a) Đảm bảo không làm gián đoạn lưu lượng hợp lệ khi bật IPS.
b) Công bố độ trễ xử lý khi bật IPS.
c) Công bố thông lượng IPS trong điều kiện thực tế.
d) Hỗ trợ giám sát hiệu năng IPS theo thời gian thực.
e) Hỗ trợ cơ chế xử lý song song, đa luồng cho chức năng IPS.
4.4 Yêu cầu quản lý ứng dụng
4.4.1 Khái quát
Chức năng quản lý ứng dụng cho phép tường lửa nhận diện, phân loại và kiểm soát lưu lượng dựa trên ứng dụng thay vì chỉ dựa vào địa chỉ IP hay cổng. Hệ thống phải cung cấp khả năng áp dụng chính sách chi tiết cho từng ứng dụng hoặc nhóm ứng dụng, đảm bảo loại bỏ các ứng dụng không mong muốn, quản lý quyền sử dụng hợp lệ và duy trì nhật ký, báo cáo đầy đủ.
4.4.2 Yêu cầu cụ thể
4.4.2.1 Nhận diện ứng dụng
a) Nhận diện ứng dụng dựa trên chữ ký đặc trưng.
b) Nhận diện ứng dụng dựa trên hành vi giao tiếp.
c) Nhận diện ứng dụng dựa trên giao thức riêng, giao thức biến thể do ứng dụng tự định nghĩa.
d) Duy trì cơ sở dữ liệu mẫu nhận dạng ứng dụng được cập nhật thường xuyên.
4.4.2.2 Phân loại ứng dụng
a) Phân loại ứng dụng theo nhóm dịch vụ (vi dụ: mạng xã hội, chia sẻ file, nhắn tin).
b) Phân loại ứng dụng theo mức độ rủi ro bảo mật.
c) Phân loại ứng dụng theo yêu cầu băng thông.
d) Phân loại ứng dụng theo đối tượng người dùng được phép.
4.4.2.3 Kiểm soát truy cập ứng dụng
a) Hỗ trợ áp dụng chính sách cho từng ứng dụng.
b) Hỗ trợ áp dụng chính sách cho từng nhóm ứng dụng.
c) Hỗ trợ áp dụng chính sách cho từng người dùng.
d) Hỗ trợ áp dụng chính sách cho từng nhóm người dùng.
4.4.2.4 Quản lý ứng dụng không mong muốn
a) Phát hiện ứng dụng bị cấm sử dụng.
b) Chặn ứng dụng không mong muốn theo chính sách.
c) Ngăn chặn dịch vụ ẩn giấu trong lưu lượng khác.
d) Cảnh báo khi phát hiện ứng dụng vi phạm chính sách.
4.4.2.5 Nhật ký và báo cáo ứng dụng
a) Ghi nhật ký tất cả hoạt động ứng dụng.
b) Nhật ký bao gồm tối thiểu các thông tin: tên ứng dụng, địa chỉ nguồn, địa chỉ đích, thời gian, hành động áp dụng.
c) Cung cấp báo cáo theo từng ứng dụng.
d) Cung cấp báo cáo tổng hợp theo nhóm ứng dụng, người dùng, khoảng thời gian.
4.5 Yêu cầu an toàn tổng thể
4.5.1 Khái quát
Yêu cầu an toàn tổng thể quy định các cơ chế đảm bảo tính toàn vẹn, bảo mật và tin cậy của tường lửa. Các cơ chế này bao gồm khởi động an toàn, bảo vệ cập nhật, bảo mật kênh quản trị, xác thực mạnh, lưu trữ nhật ký an toàn và kiểm tra hệ thống định kỳ.
4.5.2 Yêu cầu cụ thể
4.5.2.1 Bảo mật kênh quản trị
a) Hỗ trợ giao thức TLS cho kết nối quản trị web.
b) Hỗ trợ giao thức SSH hoặc SSH phiên bản 2 cho quản trị dòng lệnh.
c) Ngăn chặn kết nổi quản trị qua các giao thức không an toàn.
d) Cho phép quản trị viên bắt buộc sử dụng chứng chỉ số cho quản trị.
4.5.2.2 Xác thực và kiểm soát truy cập quản trị
a) Hỗ trợ cơ chế khóa tài khoản khi nhập sai mật khẩu nhiều lần.
b) Hỗ trợ phân quyền quản trị theo vai trò.
c) Ghi nhận toàn bộ sự kiện đăng nhập và đăng xuất quản trị.
4.5.2.3 Bảo vệ cập nhật
a) Xác minh chữ ký số của gói cập nhật.
b) Mã hóa kênh truyền khi tải bản cập nhật.
c) Lưu lại lịch sử cập nhật và trạng thái cập nhật.
d) Cho phép cập nhật cơ sở dữ liệu mẫu nhận dạng, chữ ký bảo mật qua cơ chế tự động và thủ công.
e) Cho phép lựa chọn máy chủ cập nhật đặt trong nước theo quy định của Pháp luật Việt Nam.
4.5.2.4 Lưu trữ và bảo vệ nhật ký
a) Lưu nhật ký đầy đủ mọi sự kiện hệ thống và bảo mật.
b) Lưu giữ nhật ký ngay cả khi mất nguồn đột ngột.
c) Hỗ trợ xuất nhật ký ra hệ thống lưu trữ tập trung.
4.6 Yêu cầu chức năng nâng cao
4.6.1 Khái quát
Chức năng nâng cao quy định các yêu cầu giúp tường lửa vượt ra ngoài khả năng lọc truyền thống, bao gồm kiểm soát ứng dụng mở rộng, lọc web, phân tích TLS, tích hợp thông tin tình báo mối đe doạ mạng và quản lý chính sách theo mức độ rủi ro.
4.6.2 Yêu cầu cụ thể
4.6.2.1 Lọc web
a) Hỗ trợ chặn truy cập dựa trên danh sách URL.
b) Hỗ trợ cơ chế ngăn truy cập theo danh sách đen tên miền độc hại.
c) Công bố số lượng tên miền tối đa có thể ngăn chặn.
d) Hỗ trợ cập nhật danh sách đen theo thời gian thực.
4.6.2.2 Phân tích lưu lượng TLS
a) Hỗ trợ giải mã lưu lượng TLS để kiểm tra nội dung.
b) Cho phép bật hoặc tắt phân tích lưu lượng TLS theo chính sách.
c) Hỗ trợ quản lý chứng chỉ phục vụ phân tích lưu lượng TLS.
d) Hỗ trợ ghi nhật ký hoạt động giải mã và tái mã hóa lưu lượng TLS.
4.6.2.3 Chính sách dựa trên mức độ rủi ro
a) Hỗ trợ gán mức độ rủi ro cho ứng dụng, người dùng, địa chỉ IP.
b) Cho phép áp dụng chính sách kiểm soát dựa trên mức độ rủi ro.
c) Hỗ trợ cảnh báo khi phát hiện kết nối vượt ngưỡng rủi ro.
d) Hỗ trợ báo cáo tổng, hợp mức độ rủi ro theo thời gian.
4.7 Yêu cầu quản trị và giám sát
4.7.1 Khái quát
Chức năng quản trị và giám sát quy định các yêu cầu đảm bảo khả năng quản lý tường lửa một cách tập trung, an toàn, linh hoạt, đồng thời cung cấp khả năng giám sát thời gian thực, phân quyền quản trị và cảnh báo kịp thời các sự kiện quan trọng.
4.7.2 Yêu cầu cụ thể
4.7.2.1 Hình thức quản trị
a) Hỗ trợ giao diện quản trị web trực quan.
b) Hỗ trợ giao diện dòng lệnh (CLI) qua kênh an toàn.
c) Hỗ trợ tích hợp vào nền tảng quản trị tập trung.
d) Hỗ trợ API phục vụ quản trị tự động.
4.7.2.2 Phân quyền quản trị
a) Hỗ trợ phân quyền theo vai trò quản trị.
b) Hỗ trợ giới hạn phạm vi thao tác cho từng vai trò.
c) Hỗ trợ tạo và quản lý nhiều tài khoằn quản trị.
d) Hỗ trợ nhật ký chi tiết thao tác của từng tài khoản.
4.7.2.3 Giám sát thời gian thực
a) Hỗ trợ bảng điều khiển hiển thị trạng thái hệ thống.
b) Hỗ trợ biểu đồ theo dõi lưu lượng và phiên kết nối.
c) Hỗ trợ giám sát các sự kiện bảo mật quan trọng.
d) Hỗ trợ hiển thị báo cáo theo thời gian thực.
4.8 Yêu cầu hiệu năng
4.8.1 Khái quát
Yêu cầu hiệu năng quy định các thông số kỹ thuật tối thiểu đảm bảo tường lửa hoạt động ổn định, xử lý lưu lượng mạng ở tốc độ cao mà không gây ra độ trễ bất thường, đáp ứng nhu cầu triển khai trong nhiều quy mô hệ thống khác nhau.
4.8.2 Yêu cầu cụ thể
4.8.2.1 Thông lượng xử lý
a) Đạt thông lượng tường lửa tối thiểu theo công bố của nhà sản xuất.
b) Công bố tỷ lệ thông lượng IPS với thông lượng tường lửa chặn lọc theo trạng thái.
c) Hỗ trợ thông lượng tối thiểu ở điều kiện bật đầy đủ chức năng bảo mật.
d) Duy trì thông lượng ổn định khi xử lý lưu lượng hỗn hợp nhiều giao thức.
4.8.2.2 Độ trễ xử lý
a) Công bố độ trễ xử lý đối với gói tin 512 byte.
b) Duy trì độ trễ tối thiểu khi bật đầy đủ các chức năng bảo mật.
c) Cung cấp thông số độ trễ tối thiểu và cực đại trong điều kiện danh định.
d) Hỗ trợ giám sát và báo cáo độ trễ trong thời gian thực.
4.8.2.3 Số lượng phiên kết nối
a) Công bố số lượng phiên kết nối đồng thời.
b) Hỗ trợ số lượng kết nối mới mỗi giây theo thông số công bố.
c) Hỗ trợ giới hạn ngưỡng phiên kết nối để ngăn quá tải.
4.8.2.4 Hiệu năng khi bật chức năng nâng cao
a) Công bố thông lượng khi bật chức năng phân tích lưu lượng TLS với chi tiết các điều kiện kích thước gói tin, loại mã hóa, độ dài mã khóa.
b) Công bố thông lượng khi bật đồng thời chức năng IPS và chức năng quản lý ứng dụng.
c) Công bố thông lượng khi bật đồng thời tất cả chức năng bảo mật chính.
d) Hỗ trợ giám sát hiệu năng khi bật/tắt các chức năng nâng cao.
e) Công bố cơ chế kiểm thử hiệu năng với tải đầy đủ/ tối đa.
4.9 Yêu cầu độ tin cậy
4.9.1 Khái quát
Yêu cầu độ tin cậy quy định khả năng duy trì hoạt động liên tục, giảm thiểu nguy cơ gián đoạn dịch vụ và đảm bảo phục hồi nhanh chóng khi có sự cổ phần cứng hoặc phần mềm. Tường lửa phải đạt mức độ tin cậy cao, được thiết kế với thành phần dự phòng và cơ chế chuyển đổi phù hợp.
4.9.2 Yêu cầu cụ thể
4.9.2.1 Thời gian trung bình giữa hai lần hỏng
a) Cung cấp thông tin MTBF được xác nhận, công bố công khai bởi nhà sản xuất.
b) Duy trì hiệu năng ổn định trong suốt thời gian MTBF.
c) Hỗ trợ giám sát trạng thái để ước tính MTBF thực tế.
4.9 2.2 Cơ chế chuyển đổi khi có sự cố
a) Hỗ trợ chế độ mở khi lỗi để duy trì lưu lượng trong một số kịch bản.
b) Hỗ trợ chế độ đóng khi lỗi để ngăn lưu lượng trong một số kịch bản.
c) Cho phép cấu hình chế độ chuyển đổi phù hợp với chính sách.
d) Ghi nhận sự kiện chuyển đổi chế độ mở khi lỗi hoặc đóng khi lỗi vào nhật ký.
4.10 Kết nối và chia sẻ thông tin
4.10.1 Khái quát
Yêu cầu kết nối và chia sẻ thông tin quy định khả năng của tường lửa trong việc trao đổi dữ liệu, sự kiện và thông tin tình báo mối đe doạ mạng với các hệ thống giám sát, quản trị đảm bảo truyền thông tin an toàn, chính xác, kịp thời và toàn vẹn.
4.10.2 Yêu cầu cụ thể
4.10.2.1 Kết nối với hệ thống SIEM/SOC
a) Hỗ trợ truyền tải toàn bộ nhật ký và sự kiện bảo mật đến hệ thống SIEM.
b) Hỗ trợ chuẩn Syslog hoặc chuẩn tương thích để tích hợp SIEM.
c) Hỗ trợ kết nối và đồng bộ sự kiện với SOC tập trung.
d) Hỗ trợ lọc sự kiện theo loại, mức độ, nguồn trước khi gửi đi.
4.10.2.2 Tích hợp thông tin tình báo mối đe doạ mạng
a) Hỗ trợ tiếp nhận IOC và CTI từ nguồn trong nước được cấp phép.
b) Đồng bộ IOC/CTI theo thời gian thực.
c) Tự động loại bỏ IOC/CTI hết hiệu lực khỏi hệ thống.
4.10.2.3 Truyền tải sự kiện và cảnh báo
a) Truyền tải sự kiện đăng nhập và quản trị.
b) Truyền tải sự kiện tấn công và mối đe dọa.
c) Truyền tải sự kiện ứng dụng và lưu lượng bất thường.
d) Truyền tải sự kiện hệ thống và cảnh báo quan trọng.
e) Có cơ chế ưu tiên, phân cấp truyền tải đối với các sự kiện, cảnh báo theo mức độ của sự kiện, cảnh báo.
4.10.2.4 Bảo mật dữ liệu truyền tải
a) Mã hóa toàn bộ dữ liệu khi truyền ra ngoài.
b) Xác thực nguồn gốc dữ liệu trước khi truyền.
c) Đảm bảo tính toàn vẹn dữ liệu trong quá trình truyền.
d) Hỗ trợ giám sát và đối soát dữ liệu truyền đi.
4.10.2.5 Chuẩn giao tiếp mở
a) Hỗ trợ API để tích hợp với hệ thống ngoài.
b) Hỗ trợ giao thức STIX/TAXII để trao đổi dữ liệu CTI.
c) Cho phép xác thực và phân quyền khi sử dụng API mở.
d) Ghi nhật ký toàn bộ truy cập qua API.
Thư mục tài liệu tham khảo
[1] NIST SP 800-41 Rev.1 (Guidelines on Firewalls and Firewall Policy).
[2] NIST SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS).
[3] ISO/IEC 27001,27002 Quản lý an toàn thông tin.
[4] TCVN 14423:2025 An ninh mạng - Yêu cầu đối với hệ thống thông tin quan trọng.
Mục lục
Lời nói đầu
1 Phạm vi áp dụng
2 Tài liệu viện dẫn
3 Thuật ngữ, định nghĩa và chữ viết tắt
3.1 Thuật ngữ và định nghĩa
3.2 Chữ viết tắt
4 Yêu cầu kỹ thuật với Tường lửa
4.1 Yêu cầu cơ bản
4.1.1 Khái quát
4.1.2 Yêu cầu cụ thể
4.2 Yêu cầu kiểm soát truy cập
4.2.1 Khái quát
4.2.2 Yêu cầu cụ thể
4.3 Yêu cầu chức năng hệ thống phát hiện và phòng ngừa xâm nhập
4.3.1 Khái quát
4.3.2 Yêu cầu cụ thể
4.4 Yêu cầu quản lý ứng dụng
4.4.1 Khái quát
4.4.2 Yêu cầu cụ thể
4.5 Yêu cầu an toàn tổng thể
4.5.1 Khái quát
4.5.2 Yêu cầu cụ thể
4.6 Yêu cầu chức năng nâng cao
4.6.1 Khái quát
4.6.2 Yêu cầu cụ thể
4.7 Yêu cầu quản trị và giám sát
4.7.1 Khái quát
4.7.2 Yêu cầu cụ thể
4.8 Yêu cầu hiệu năng
4.8.1 Khái quát
4.8.2 Yêu cầu cụ thể
4.9 Yêu cầu độ tin cậy
4.9.1 Khái quát
4.9.2 Yêu cầu cụ thể
4.10 Kết nối và chia sẻ thông tin
4.10.1 Khái quát
4.10.2 Yêu cầu cụ thể
- 1 Tiêu chuẩn quốc gia TCVN 9801-1:2013 (ISO/IEC 27033-1:2009) về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng - Phần 1: Tổng quan và khái niệm
- 2 Tiêu chuẩn quốc gia TCVN 8051-1:2009 (ISO/IEC 18028 - 1: 2006) về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng công nghệ thông tin - Phần 1: Quản lý an ninh mạng
- 3 Tiêu chuẩn quốc gia TCVN 8051-2:2009 (ISO/IEC 18028-2:2006) về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng công nghệ thông tin - Phần 2: Kiến trúc an ninh mạng
- 1 Tiêu chuẩn quốc gia TCVN 9801-1:2013 (ISO/IEC 27033-1:2009) về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng - Phần 1: Tổng quan và khái niệm
- 2 Tiêu chuẩn quốc gia TCVN 8051-1:2009 (ISO/IEC 18028 - 1: 2006) về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng công nghệ thông tin - Phần 1: Quản lý an ninh mạng
- 3 Tiêu chuẩn quốc gia TCVN 8051-2:2009 (ISO/IEC 18028-2:2006) về Công nghệ thông tin - Kỹ thuật an ninh - An ninh mạng công nghệ thông tin - Phần 2: Kiến trúc an ninh mạng
- 4 Tiêu chuẩn quốc gia TCVN 14423:2025 về An ninh mạng - Yêu cầu đối với hệ thống thông tin quan trọng