IP allowlisting là một cơ chế bảo mật nhằm hạn chế quyền truy cập vào mạng, hệ thống hoặc ứng dụng dựa trên các địa chỉ IP(cửa sổ mới) đã được phê duyệt. Chỉ các địa chỉ IP trong danh sách cho phép mới được phép kết nối, trong khi tất cả các địa chỉ khác đều bị từ chối truy cập. Phương pháp này thường được các quản trị viên CNTT sử dụng để tăng cường bảo mật mạng của tổ chức bằng cách chỉ cho phép các địa chỉ IP tin cậy tương tác với các tài nguyên của tổ chức.

Mặc dù phương thức này từ lâu đã được gọi là IP whitelisting, thuật ngữ allowlisting được ưu tiên sử dụng hơn, vì có tính mô tả rõ ràng hơn và trung lập về mặt văn hóa. Như sẽ được thảo luận ở phần sau của bài viết, khách hàng của Proton VPN for Business có thể bảo mật các tài nguyên CNTT của công ty bằng cách đưa vào danh sách cho phép (whitelisting) các địa chỉ IP của các máy chủ VPN chuyên dụng vốn chỉ có thể được truy cập bởi nhân sự được ủy quyền.

Trong bài viết này, bài viết sẽ xem xét:

Địa chỉ IP là gì?

Địa chỉ Giao thức Internet (IP) là một nhãn số thân thiện với máy tính giúp nhận dạng duy nhất mọi thiết bị kết nối với internet (vì vậy nếu kết nối internet bằng kết nối WiFi, địa chỉ IP sẽ là địa chỉ của modem/bộ định tuyến đang kết nối qua WiFi, chứ không phải của chính thiết bị).

Địa chỉ IP hoạt động rất giống như địa chỉ bưu điện, cho phép các gói dữ liệu đến đúng đích.

Tìm hiểu thêm về địa chỉ IP(cửa sổ mới)

Đối với IP allowlisting (IP whitelisting), chức năng đầu tiên trong số này là phù hợp nhất — nhận dạng duy nhất một kết nối internet. Các địa chỉ IP thường được chỉ định bởi nhà cung cấp dịch vụ internet(cửa sổ mới) (ISP).

IP allowlisting hoạt động như thế nào?

IP allowlisting (IP whitelisting) là phương pháp chỉ cho phép các địa chỉ IP cụ thể kết nối với tài nguyên CNTT của công ty, chẳng hạn như máy chủ cổng kiểm soát quyền truy cập vào mạng cục bộ (LAN) của văn phòng, hoặc nền tảng phần mềm dưới dạng dịch vụ (SaaS) trực tuyến. Tất cả các kết nối khác đều bị từ chối.

Đây là phương pháp ngược lại của blocklisting (còn gọi là blacklisting), vốn cho phép kết nối từ bất kỳ địa chỉ IP nào không bị chặn cụ thể. Các ví dụ về cách sử dụng IP allowlisting để cải thiện bảo mật doanh nghiệp bao gồm:

  • Truy cập từ xa: Việc giới hạn quyền truy cập VPN hoặc màn hình máy tính từ xa cho các địa chỉ IP cụ thể đảm bảo rằng chỉ các thiết bị đã biết và tin cậy mới có thể kết nối với các tài nguyên của công ty.
  • Các ứng dụng web: Việc hạn chế quyền truy cập vào các giao diện quản trị hoặc API cho một nhóm địa chỉ IP đã biết giúp ngăn chặn truy cập trái phép.
  • Các máy chủ cơ sở dữ liệu: Việc đảm bảo chỉ các máy chủ ứng dụng trong phạm vi IP được chỉ định mới có thể kết nối với máy chủ cơ sở dữ liệu giúp giảm thiểu rủi ro vi phạm dữ liệu.
  • Các máy chủ email: Việc chỉ cho phép chuyển tiếp email từ các địa chỉ IP cụ thể giúp ngăn chặn việc sử dụng trái phép và giảm thư rác.

Các ưu điểm của IP allowlisting

Các doanh nghiệp sử dụng IP allowlisting (IP whitelisting) để cải thiện bảo mật mạng và đám mây bằng cách hạn chế quyền truy cập tài nguyên công ty, chỉ dành cho các nhân viên kết nối từ các địa chỉ IP được ủy quyền. IP allowlisting mang lại các ưu điểm sau:

Kiểm soát truy cập

Bằng cách xác định rõ ràng địa chỉ IP nào có thể kết nối với mạng, máy chủ hoặc ứng dụng, quản trị viên có quyền kiểm soát chính xác ai có thể truy cập các tài nguyên cụ thể. Điều này giúp đảm bảo chỉ những người dùng hoặc hệ thống tin cậy mới có quyền truy cập.

Giảm bề mặt tấn công

Việc hạn chế quyền truy cập vào một nhóm địa chỉ IP đã biết giúp giảm thiểu số lượng các vectơ tấn công tiềm ẩn. Điều này khiến các tác nhân độc hại khó khai thác lỗ hổng hơn, vì trước tiên họ cần phải vượt qua danh sách cho phép.

Dễ triển khai

Thiết lập danh sách cho phép IP rất dễ triển khai và cấu hình. Hầu hết tường lửa, bộ định tuyến và máy chủ web đều hỗ trợ danh sách cho phép IP thông qua danh sách kiểm soát truy cập(cửa sổ mới) (ACL) hoặc các cơ chế tương tự.

Cải thiện tính năng giám sát và kiểm tra

Với IP allowlisting (IP whitelisting), việc giám sát và ghi nhật ký các nỗ lực truy cập trở nên dễ dàng hơn. Bất kỳ nỗ lực truy cập nào từ một IP không có trong danh sách cho phép đều có thể bị gắn cờ và điều tra, cung cấp dữ liệu có giá trị cho việc kiểm tra bảo mật và ứng phó sự cố.

Tuân thủ

Nhiều ngành công nghiệp phải tuân theo các yêu cầu quy định bắt buộc phải kiểm soát truy cập nghiêm ngặt. IP allowlisting có thể giúp các tổ chức tuân thủ các quy định đó bằng cách đảm bảo chỉ những người dùng được ủy quyền mới có thể truy cập dữ liệu hoặc hệ thống nhạy cảm.

Bảo vệ chống lại các cuộc tấn công DDoS

IP allowlisting có thể giảm thiểu nguy cơ từ các cuộc tấn công từ chối dịch vụ phân tán(cửa sổ mới) (DDoS) bằng cách chỉ cho phép lưu lượng truy cập hợp pháp từ các IP có trong danh sách cho phép. Điều này giúp duy trì tính khả dụng và hiệu suất của các dịch vụ quan trọng.

Cải thiện hiệu suất mạng

Bằng cách hạn chế quyền truy cập vào một nhóm địa chỉ IP giới hạn, lưu lượng mạng có thể được quản lý và lọc hiệu quả hơn, từ đó có thể cải thiện hiệu suất mạng tổng thể.

Tiết kiệm chi phí

So với các biện pháp bảo mật khác, IP allowlisting (IP whitelisting) là một cách tiết kiệm chi phí để thêm một lớp bảo mật bổ sung. Phương pháp này không đòi hỏi phần cứng hoặc phần mềm đắt tiền và có thể được quản lý bằng cơ sở hạ tầng mạng sẵn có.

Khả năng mở rộng

IP allowlisting có thể dễ dàng mở rộng để đáp ứng các mạng lưới đang phát triển. Các địa chỉ IP mới có thể được thêm vào danh sách cho phép khi cần thiết, đảm bảo những người dùng hợp pháp tiếp tục có quyền truy cập trong khi vẫn duy trì tính bảo mật.

Các nhược điểm của IP allowlisting

Mặc dù mang lại một số ưu điểm bảo mật rõ rệt, các biện pháp IP allowlisting (IP whitelisting) truyền thống vẫn có một số nhược điểm tiềm ẩn. Tuy nhiên, như sẽ thảo luận dưới đây, nhiều nhược điểm trong số này có thể được khắc phục bằng cách sử dụng các địa chỉ IP chuyên dụng của Proton VPN for Business.

Chi phí bảo trì

Việc duy trì một danh sách cho phép luôn được cập nhật có thể tốn nhiều thời gian và công sức. Khi địa chỉ IP của người dùng thay đổi (đặc biệt nếu họ sử dụng địa chỉ IP động), danh sách cho phép phải được cập nhật thường xuyên để phản ánh những thay đổi này.

Tính linh hoạt hạn chế

IP allowlisting (IP whitelisting) có thể gây hạn chế cho những người dùng cần truy cập tài nguyên từ nhiều địa điểm khác nhau, chẳng hạn như nhân viên làm việc từ xa, người dùng thiết bị di động hoặc nhân viên thường xuyên đi công tác. Mỗi địa điểm mới có thể yêu cầu cập nhật danh sách cho phép.

Khả năng mở rộng

Khả năng thêm các địa chỉ IP vào danh sách cho phép khi cần thiết có thể là một ưu điểm, nhưng khi số lượng người dùng hoặc địa chỉ IP cần đưa vào danh sách cho phép tăng lên, việc quản lý danh sách này có thể trở nên cồng kềnh. Điều này đặc biệt khó khăn trong các tổ chức lớn có nhiều người dùng và thiết bị.

Khó khăn với địa chỉ IP động

Nhiều người, đặc biệt là những người sử dụng các ISP gia đình, có địa chỉ IP động có thể thay đổi. Điều này đòi hỏi phải cập nhật liên tục danh sách cho phép, điều này có thể không thực tế và dễ xảy ra sai sót.

Các lỗi cấu hình

Việc quản lý danh sách cho phép một cách thủ công làm tăng nguy cơ xảy ra lỗi cấu hình. Việc vô tình loại trừ một địa chỉ IP hợp pháp có thể ngăn cản đội ngũ truy cập vào các tài nguyên cần thiết, trong khi việc vô tình đưa vào một địa chỉ IP trái phép có thể tạo ra các lỗ hổng bảo mật.

Khả năng bảo vệ hạn chế

IP allowlisting (allowlisting) chỉ kiểm soát quyền truy cập dựa trên các địa chỉ IP. Phương pháp này không bảo vệ chống lại các mối đe dọa xuất phát từ các IP có trong danh sách cho phép, chẳng hạn như các thiết bị bị xâm nhập hoặc các mối đe dọa từ bên trong. Các biện pháp bảo mật bổ sung là cần thiết để giải quyết những rủi ro này.

Những thách thức về khả năng sử dụng

Đối với người dùng cuối, IP allowlisting có thể gây ra những thách thức về khả năng sử dụng. Những người dùng hợp pháp có thể bị chặn nếu địa chỉ IP của họ thay đổi hoặc nếu họ cố gắng truy cập tài nguyên từ một địa điểm không có trong danh sách cho phép. Điều này có thể dẫn đến sự khó chịu và cản trở năng suất làm việc.

Du lịch

Người dùng cần truy cập tài nguyên khi đi du lịch quốc tế có thể gặp phải sự cố truy cập do thay đổi địa chỉ IP. Việc cập nhật danh sách cho phép để đưa vào các địa chỉ IP quốc tế mới có thể chậm và gặp nhiều khó khăn.

Tăng độ phức tạp của mạng

Việc triển khai IP allowlisting có thể làm tăng độ phức tạp cho việc cấu hình và quản lý mạng. Các quản trị viên mạng phải lập kế hoạch cân nhắc và thực hiện các quy tắc đưa vào danh sách cho phép, điều này có thể làm phức tạp quá trình xử lý sự cố và thiết kế mạng.

Cảm giác an toàn giả tạo

Việc chỉ dựa vào IP allowlisting (IP whitelisting) có thể mang lại một cảm giác an toàn giả tạo. Mặc dù phương pháp này cung cấp thêm một lớp phòng thủ, nhưng nó nên là một phần của chiến lược bảo mật đa lớp rộng hơn bao gồm tường lửa, mã hóa, xác thực và các biện pháp bảo mật khác.

IP chuyên dụng của Proton VPN

Một giải pháp mạnh mẽ cho nhiều nhược điểm nêu trên là thuê các máy chủ chuyên dụng(cửa sổ mới) có địa chỉ IP cố định từ Proton VPN. Đây là những máy chủ VPN mà chỉ những nhân viên được ủy quyền mới có quyền truy cập. Sau đó, chỉ cần đưa các địa chỉ IP của các máy chủ này vào danh sách cho phép, cho phép nhân viên có quyền truy cập phân đoạn bảo mật vào mạng LAN văn phòng của doanh nghiệp, và các tài nguyên SaaS, CaaS, PaaS và IaaS(cửa sổ mới).

Cách thức hoạt động của địa chỉ IP chuyên dụng

Tìm hiểu thêm về máy chủ chuyên dụng và địa chỉ IP (cửa sổ mới)

Việc này giúp giải quyết nhiều (nếu không muốn nói là tất cả) các nhược điểm liên quan đến các phương pháp IP allowlisting truyền thống hơn.

Dễ bảo trì và cấu hình

Tất cả những gì công ty cần làm là đưa địa chỉ IP của bất kỳ máy chủ chuyên dụng nào đã thuê từ Proton vào danh sách cho phép. Điều này cũng cho phép truy cập phân đoạn vào các tài nguyên CNTT khác nhau, vì có thể đưa các IP chuyên dụng cho một số tài nguyên vào danh sách cho phép, trong khi những tài nguyên khác thì không.

Ví dụ, một công ty có thể quản lý việc thuê ba địa chỉ máy chủ chuyên dụng từ Proton VPN. Tất cả các thành viên nhân sự có thể sử dụng máy chủ số 1 để truy cập các tài nguyên CNTT thường dùng của công ty như CRM và các nền tảng cộng tác. Chỉ một số nhân viên mới có thể sử dụng máy chủ số 2, máy chủ này cung cấp quyền truy cập trên cơ sở cần biết vào các tài nguyên cụ thể của công ty, và chỉ các nhân sự cấp cao mới có thể truy cập máy chủ số 3, cho phép họ xem các công cụ quản lý nhân sự và các tài nguyên nhạy cảm khác.

Lưu ý rằng quyền truy cập vào các máy chủ Proton VPN chuyên dụng vốn đã được bảo mật, với sự hỗ trợ đầy đủ cho xác thực hai yếu tố(cửa sổ mới) (2FA) thông qua ứng dụng xác thực trên di động hoặc khóa bảo mật. Nhưng việc đưa các IP vào danh sách cho phép theo cách này sẽ cung cấp thêm một lớp bảo mật bổ sung.

Proton VPN for Business cũng hỗ trợ đăng nhập một lần(cửa sổ mới) (SSO), giúp nhân viên dễ dàng kết nối an toàn với các tài nguyên CNTT cần thiết của công ty.

Bảo mật đáng tin cậy

Proton VPN được hàng triệu doanh nghiệp, nhà báo, nhà hoạt động và người dùng bình thường trên khắp thế giới tin cậy để giữ cho họ được riêng tư và an toàn trên internet. Đó là sứ mệnh của Proton. Chúng tôi chỉ sử dụng các giao thức VPN(cửa sổ mới) mạnh nhất cùng các thuật toán mã hóa tốt nhất(cửa sổ mới) để đảm bảo kết nối giữa các thiết bị của nhân viên và máy chủ VPN không bị xâm hại, đồng thời liên tục giám sát các máy chủ bare metal được mã hóa toàn bộ ổ đĩa để phát hiện các sự cố tiềm ẩn.

Nhân viên có thể sử dụng 2FA để truy cập an toàn vào các cổng chuyên dụng, và tính năng Trình chặn quảng cáo NetShield(cửa sổ mới) có thể giúp giữ cho các thiết bị không bị xâm hại bởi phần mềm độc hại.

Truy cập từ mọi nơi

Bởi vì chỉ cần đưa các IP của máy chủ VPN chuyên dụng vào danh sách cho phép, việc nhân viên làm việc từ xa hay đang đi du lịch không còn là vấn đề. Miễn là họ được ủy quyền đăng nhập vào các máy chủ chuyên dụng, họ sẽ có thể truy cập các tài nguyên cần thiết từ bất kỳ đâu trên thế giới, bất kể địa chỉ IP của chính họ có thay đổi hay không.

Tìm hiểu cách sử dụng IP allowlisting để bảo mật các tài nguyên CNTT(cửa sổ mới)

Lời kết:

IP allowlisting (IP whitelisting) có thể là một công cụ bảo mật có giá trị, nhưng điều quan trọng là phải nhận thức được những hạn chế của các phương pháp IP allowlisting truyền thống, và chỉ triển khai nó như một phần của chiến lược bảo mật toàn diện nhằm giải quyết hàng loạt mối đe dọa và thách thức tiềm ẩn.

Tuy nhiên, việc đưa các máy chủ chuyên dụng của Proton VPN for Business vào danh sách cho phép (IP allowlisting) sẽ cung cấp thêm một lớp bảo mật cho các tài nguyên vật lý và trực tuyến của công ty, mang lại một giải pháp bảo mật linh hoạt và hiện đại mà không gặp phải những nhược điểm của phương pháp IP allowlisting truyền thống hơn.