Bảo mật cloud Fortinet: FortiGate-VM, FortiCNAPP và bảo vệ ứng dụng web

Bảo mật cloud Fortinet là nhóm giải pháp mở rộng Fortinet Security Fabric lên môi trường cloud, gồm tường lửa ảo FortiGate-VM cho private và public cloud, nền tảng bảo vệ ứng dụng cloud-native Lacework FortiCNAPP, và các giải pháp bảo vệ ứng dụng web, API như FortiWeb, FortiAppSec Cloud. Mọi tường lửa thế hệ mới (NGFW) của Fortinet, kể cả bản cho cloud, đều chạy cùng hệ điều hành FortiOS, nên chính sách và kinh nghiệm vận hành tại chỗ có thể đem lên cloud.

Doanh nghiệp Việt Nam đang đưa ERP, website bán hàng, cổng khách hàng và ứng dụng nội bộ lên Azure, Google Cloud, AWS hoặc private cloud trên VMware, Hyper-V. Theo mô hình trách nhiệm chia sẻ, nhà cung cấp cloud chỉ lo hạ tầng vật lý và sự cách ly giữa các khách thuê; phần ứng dụng, cấu hình và dữ liệu là trách nhiệm của doanh nghiệp. Bài viết trình bày rủi ro chính, các thành phần bảo mật cloud của Fortinet, cách cấp phép và lộ trình triển khai cùng VIET NET.

Vì sao doanh nghiệp cần bảo mật riêng cho cloud

Tài liệu của Fortinet cho Google Cloud nhấn mạnh: vì bảo mật tài nguyên cloud phức tạp và khác nhau giữa các nhà cung cấp, sự cố bảo mật trên cloud thường bắt nguồn từ phía khách hàng. Báo cáo State of Cloud Security 2025 của Fortinet cho biết 92% tổ chức lo ngại ở mức vừa đến rất cao về tư thế bảo mật trên public cloud, và tài liệu này dẫn 97% tổ chức cho rằng một nền tảng bảo mật cloud duy nhất để cấu hình, quản lý chính sách nhất quán sẽ hữu ích.

Ứng dụng web và API là điểm nóng. Theo báo cáo Web Application Security 2026 do Cybersecurity Insiders thực hiện cùng Fortinet (khảo sát 871 chuyên gia bảo mật, CNTT đầu năm 2026):

• 53% tổ chức bị xâm phạm liên quan ứng dụng web hoặc API trong 12 tháng qua; chỉ 20% phát hiện trong vòng vài giờ, còn 54% mất từ một tuần trở lên.
• Chỉ 13% tự tin rằng mình biết hết các ứng dụng và API đang dùng; API được 67% xem là nhóm rủi ro cao nhất và cũng là khoảng mù lớn nhất (53%).
• Dò mật khẩu hàng loạt (credential stuffing) và chiếm đoạt tài khoản là điểm xâm nhập phổ biến nhất (58%); 74% ghi nhận tấn công có hỗ trợ AI tăng lên trong năm qua.
• Mức tự tin vào tư thế bảo mật ứng dụng chỉ 29%, giảm còn 15% với ứng dụng tích hợp AI; chỉ 5% hài lòng với công cụ hiện có và 62% đang hoặc dự định hợp nhất công cụ.

Lớp bảo vệ API hiện vẫn dừng nhiều ở khâu xác thực: theo cùng báo cáo, 74% dùng OAuth, API key, nhưng chỉ 41% có công cụ khám phá API và 31% kiểm tra schema. Fortinet cũng dẫn Gartner cho biết tấn công dựa trên danh tính nay nhiều gần gấp ba lần xâm nhập qua vành đai, trong khi cấu hình sai trên cloud vẫn là con đường xâm nhập chính.

Kiến trúc bảo mật cloud của Fortinet

Danh sách kiểm tra “Top 3 Considerations for Simplifying Code-to-Cloud Security” của Fortinet gợi ý bốn lớp tối thiểu để bảo vệ hành trình đưa ứng dụng lên cloud:

1. Tường lửa mạng cho data center, cloud và edge, cùng năng lực và chính sách dù chạy tại chỗ hay trên cloud.
2. WAF (Web Application Firewall – tường lửa ứng dụng web) có AI/ML để tự khám phá, bảo vệ API và chống bot.
3. CNAPP (Cloud-Native Application Protection Platform – nền tảng bảo vệ ứng dụng cloud-native) để quản lý rủi ro và tầm nhìn trên mọi môi trường cloud, hỗ trợ cả cách quét không cần agent lẫn có agent.
4. Bảo vệ workload cloud-native, có thể đặt agent trong workload quan trọng để quan sát sâu hơn.

Ba câu hỏi chọn giải pháp được đưa ra: có nằm trong một nền tảng hợp nhất không; có triển khai được ở mọi nơi ứng dụng chạy (thiết bị vật lý, máy ảo, SaaS, cloud-native) không; và có hỗ trợ mô hình chi phí linh hoạt không.

FortiGate-VM: tường lửa thế hệ mới cho private và public cloud

FortiGate-VM là phiên bản máy ảo của FortiGate, chạy trên các public cloud AWS, Microsoft Azure, Google Cloud, Oracle Cloud Infrastructure, IBM Cloud, Alibaba Cloud và các nền tảng ảo hoá VMware vSphere/NSX-T, OpenStack/KVM, Microsoft Hyper-V, Nutanix, Citrix Xen. Theo hướng dẫn đặt hàng Cloud NGFW của Fortinet, FortiGate-VM là lựa chọn cho doanh nghiệp muốn bảo vệ workload trên private cloud hoặc tự thiết kế tích hợp mạng trên public cloud, và là giải pháp cloud NGFW của Fortinet có đủ NAT, VPN và SD-WAN.

Hiệu năng và cơ sở dữ liệu IPS

FortiGate-VM kết hợp SR-IOV (chia một card mạng vật lý thành nhiều giao diện ảo) với công nghệ vSPU – gồm vNP, phần mềm mô phỏng một phần bộ xử lý mạng của Fortinet, và thư viện DPDK – để xử lý gói tin nhanh hơn. Máy ảo từ 8 vCPU trở lên dùng cơ sở dữ liệu IPS đầy đủ; dưới 8 vCPU dùng bản rút gọn chứa các chữ ký IPS phổ biến nhất. Đây là điểm cần cân nhắc giữa chi phí và mức bảo vệ khi chọn kích thước.

Gói dịch vụ bảo mật

FortiGate-VM có ba gói ATP, UTP và Enterprise. Mọi gói gồm IPS, chống virus, kiểm soát ứng dụng, cơ sở dữ liệu botnet, FortiGate Cloud Sandbox, ngăn chặn bùng phát (outbreak prevention) và hỗ trợ 24/7. Từ UTP trở lên có thêm lọc web, lọc video, lọc DNS an toàn và chống spam; gói Enterprise bổ sung dịch vụ truy vấn IoT, Security Fabric Rating và FortiConverter hỗ trợ chuyển đổi cấu hình. Có thể mua thêm VDOM để chia một máy ảo thành nhiều tường lửa logic.

FortiGate trong Azure Virtual WAN và Google Cloud

Microsoft Azure Virtual WAN

Azure Virtual WAN cung cấp kết nối toàn cầu qua mạng của Microsoft, nhưng lưu lượng trong và ngoài virtual WAN vẫn cần bảo mật. FortiGate có thể triển khai như thiết bị mạng ảo (NVA) ngay trong hub của Virtual WAN, với bốn mô hình chính:

• NGFW trong hub, kiểm tra lưu lượng giữa các vNet và giữa vNet với chi nhánh, giữ đường đi đối xứng.
• Mở rộng Fortinet Secure SD-WAN vào Azure: kết nối chi nhánh tới Azure và giữa các chi nhánh, chọn đường động.
• Kết hợp NGFW với SD-WAN trên cùng thiết bị.
• Bảo vệ lưu lượng Internet đi vào (inbound) ứng dụng trên Azure.

Theo Fortinet, giải pháp được triển khai qua Azure Marketplace và chi phí có thể được tính vào cam kết tiêu dùng Azure (MACC). Microsoft và Fortinet hợp tác từ năm 2017, với hơn 150 điểm tích hợp.

Ví dụ được Fortinet công bố là OutSystems, công ty phần mềm low-code có trụ sở tại Lisbon và Boston. Họ nâng cấp lên cụm FortiGate dùng SD-WAN tích hợp cho 8 địa điểm, rà soát lại toàn bộ quy tắc tường lửa và giảm gần 85% số quy tắc, giảm địa chỉ IP công cộng từ khoảng 35 xuống 5. Khi chuyển ứng dụng nội bộ lên ba data center ảo trên cloud, họ dùng cùng FortiGate như tại chỗ nên tận dụng được bộ quy tắc đã tối ưu, kiểm soát lưu lượng từ mọi hub virtual WAN; kèm FortiWeb bảo vệ cổng web, API và FortiAnalyzer phân tích sự kiện tập trung.

Google Cloud

Trên Google Cloud, FortiGate-VM tích hợp với Network Connectivity Center (NCC) để nối chi nhánh qua SD-WAN vào cloud, và dùng API để tự cấu hình môi trường dự phòng cao (HA). Tài liệu của Fortinet liệt kê các tình huống sử dụng: phân đoạn giữa các VPC, bảo vệ vành đai cụm GKE, truy cập từ xa, hybrid cloud, bảo mật API cho Apigee, bảo vệ workload và dịch vụ EDR, MDR được quản lý 24/7. Fabric Connector giúp tự động chèn tường lửa vào hạ tầng và nhận thông tin bảo mật từ Google Cloud.

Lacework FortiCNAPP: bảo vệ từ mã nguồn tới cloud

Theo hướng dẫn dành cho CISO của Fortinet, công cụ bảo mật cloud truyền thống thường rời rạc: CSPM phát hiện cấu hình sai, CWPP phát hiện mã độc trên workload, CIEM quản lý quyền truy cập, nhưng không công cụ nào nối các tín hiệu với nhau. Lacework FortiCNAPP gom các năng lực này vào một nền tảng:

• Bảo mật từ khâu phát triển: tích hợp vào pipeline Infrastructure-as-Code (IaC) để phát hiện sớm khoá bí mật bị lộ, cấu hình sai; có SAST, SCA và SBOM.
• Tương quan rủi ro và mối đe doạ: kết hợp kết quả đánh giá cấu hình với dữ liệu hoạt động thực tế để chỉ ra lỗ hổng đang bị khai thác.
• Phân tích hành vi bằng AI: mô hình hoá hành vi bình thường để phát hiện zero-day, thông tin đăng nhập bị lộ, mối đe doạ nội bộ, ransomware và đào tiền ảo trái phép mà không cần chữ ký.
• Bảo vệ Kubernetes (KSPM) và container, phản ứng tự động qua FortiSOAR, FortiGuard.
• Tuân thủ: tự động đối chiếu tài sản với các chuẩn PCI DSS, HIPAA, SOC 2, ISO 27001.

Fortinet công bố số liệu nội bộ năm 2024: điều tra nhanh hơn tới 80%, giảm 95% cảnh báo sai và trung bình chỉ 1,4 cảnh báo nghiêm trọng mỗi ngày. Hướng dẫn cũng đề xuất mô hình trưởng thành CNAPP năm giai đoạn, từ kiểm soát rời rạc tới nền tảng điều khiển chiến lược, giúp doanh nghiệp tự đánh giá vị trí hiện tại.

Bảo vệ ứng dụng web và API

• FortiWeb: dạng máy ảo, bảo vệ ứng dụng web và API trước các lỗ hổng đã biết và chưa biết, gồm OWASP Top 10 và zero-day. Trong ví dụ OutSystems, FortiWeb dùng machine learning để tự mô hình hoá từng ứng dụng và phân biệt bot tốt, bot độc hại mà không bắt người dùng hợp lệ giải CAPTCHA không cần thiết.
• FortiAppSec Cloud: WAF dạng dịch vụ (SaaS) có chống bot và khám phá API cho ứng dụng đặt trên public cloud.
• FortiADC: cân bằng tải toàn cầu, cân bằng đường truyền và xác thực người dùng cho ứng dụng doanh nghiệp.
• FortiDevSec: kiểm thử bảo mật ứng dụng liên tục dạng SaaS (SAST, SCA, container, IaC, secrets, DAST).

Báo cáo Web Application Security 2026 khuyến nghị đưa WAF, bảo vệ API, quản lý bot và chống DDoS về cùng chính sách và dữ liệu, tự động cập nhật chính sách cùng lúc với thay đổi ứng dụng.

Lợi ích cho doanh nghiệp

• Một chính sách từ tại chỗ tới đa cloud: cùng FortiOS, quản lý tập trung bằng FortiManager (tới 10.000 thiết bị Fortinet) và phân tích bằng FortiAnalyzer.
• Tình báo mối đe doạ cập nhật: FortiGuard Labs có hơn 215 chuyên gia, hệ thống AI/ML phân tích hơn 100 tỷ sự kiện bảo mật mỗi ngày.
• Giảm độ phức tạp: ít console hơn, ít quy tắc trùng lặp hơn, như ví dụ OutSystems.
• Chi phí linh hoạt: chọn mua theo kỳ hạn, trả theo giờ trên marketplace hoặc dùng điểm FortiFlex; có thể tính vào cam kết chi tiêu với nhà cung cấp cloud.

Bảng tóm tắt: nhu cầu và giải pháp phù hợp

Nhu cầu	Giải pháp Fortinet	Hình thức
Tường lửa, VPN, SD-WAN trên cloud	FortiGate-VM	BYOL theo kỳ hạn, PAYG, FortiFlex
Bảo mật hub Azure Virtual WAN	FortiGate NVA trong vWAN hub	Azure Marketplace
Nối chi nhánh vào Google Cloud	FortiGate-VM + NCC	BYOL, PAYG
Quản lý rủi ro cấu hình, workload, container	Lacework FortiCNAPP	SaaS
Bảo vệ ứng dụng web, API, chống bot	FortiWeb, FortiAppSec Cloud	Máy ảo hoặc SaaS
Bảo vệ workload trước mã độc	FortiEDR	PAYG trên Google Cloud
Người dùng truy cập SaaS, Internet	FortiSASE	Private offer

Mô hình cấp phép

• Theo kỳ hạn (BYOL): FortiGate-VM theo số vCPU (1, 2, 4, 8, 16, 32 hoặc không giới hạn), kỳ hạn 12, 36, 60 tháng. Tài liệu Google Cloud của Fortinet cho biết bản quyền mua qua đối tác có thể chuyển giữa các nền tảng.
• Trả theo giờ (PAYG): tính theo số vCPU trên marketplace AWS, Azure, Google Cloud, OCI; một số nhà cung cấp có hợp đồng năm với giá giờ tốt hơn.
• FortiFlex: chương trình tiêu dùng theo điểm cho FortiGate-VM, FortiWeb-VM, FortiManager-VM, FortiAnalyzer-VM; điểm trừ theo ngày; có REST API để tự động hoá vòng đời máy ảo. Khách hàng doanh nghiệp trả trước; nếu dùng vượt có 90 ngày ân hạn.

Lựa chọn và triển khai cùng VIET NET

VIET NET là nhà phân phối, tích hợp giải pháp Fortinet, triển khai hạ tầng CNTT, ELV và data center từ năm 2003. Với dự án bảo mật cloud, quy trình chung gồm:

1. Khảo sát: nền tảng cloud đang dùng, kiến trúc mạng (vNet, VPC, hub), ứng dụng web, API công khai, yêu cầu tuân thủ và hạ tầng FortiGate tại chỗ.
2. Thiết kế: chọn mô hình triển khai, kích thước vCPU, gói dịch vụ, cách cấp phép; thiết kế đồng bộ chính sách với tường lửa tại chỗ.
3. Triển khai: dựng FortiGate-VM, FortiWeb hoặc kết nối FortiCNAPP, chuyển lưu lượng theo từng giai đoạn để tránh gián đoạn.
4. Chuyển đổi: rà soát, gộp quy tắc tường lửa cũ khi đưa lên cloud.
5. Đào tạo và hỗ trợ: hướng dẫn đội CNTT vận hành, đọc báo cáo, xử lý sự cố.

Tham khảo thêm FortiGate NGFW, FortiEDR, FortiXDR và bài giải pháp an ninh mạng toàn diện. Để được tư vấn kiến trúc và báo giá, vui lòng liên hệ VIET NET.

Câu hỏi thường gặp

Nhà cung cấp cloud đã có bảo mật, doanh nghiệp có cần thêm tường lửa không?

Có, trong hầu hết trường hợp. Theo mô hình trách nhiệm chia sẻ, nhà cung cấp cloud bảo vệ hạ tầng vật lý, cách ly khách thuê và duy trì dịch vụ; doanh nghiệp chịu trách nhiệm cho ứng dụng, cấu hình và dữ liệu của mình. FortiGate-VM bổ sung IPS, kiểm soát ứng dụng, VPN, SD-WAN và chính sách đồng bộ với tường lửa tại chỗ.

FortiGate-VM chạy được trên những nền tảng nào?

Theo hướng dẫn đặt hàng của Fortinet, FortiGate-VM chạy trên AWS, Microsoft Azure, Google Cloud, Oracle Cloud Infrastructure, IBM Cloud, Alibaba Cloud và các nền tảng ảo hoá VMware vSphere/NSX-T, OpenStack/KVM, Microsoft Hyper-V, Nutanix, Citrix Xen. Nhờ vậy doanh nghiệp có thể dùng cùng một loại tường lửa cho data center, private cloud và public cloud.

Nên chọn FortiGate-VM bao nhiêu vCPU?

Phụ thuộc lưu lượng, số dịch vụ bảo mật bật và yêu cầu IPS. Theo Fortinet, máy ảo từ 8 vCPU trở lên dùng cơ sở dữ liệu IPS đầy đủ, dưới 8 vCPU dùng bản rút gọn chứa chữ ký phổ biến nhất. VIET NET sẽ khảo sát lưu lượng thực tế để đề xuất kích thước cân bằng giữa hiệu năng, mức bảo vệ và chi phí.

PAYG, BYOL và FortiFlex khác nhau thế nào?

BYOL là mua bản quyền theo kỳ hạn 12, 36 hoặc 60 tháng rồi gắn vào máy ảo. PAYG là trả theo giờ dựa trên số vCPU qua marketplace của nhà cung cấp cloud. FortiFlex là chương trình điểm: mua gói điểm, mỗi ngày trừ điểm theo cấu hình máy ảo thực dùng, phù hợp khi nhu cầu thay đổi. Liên hệ VIET NET để được báo giá theo mô hình.

FortiCNAPP giải quyết vấn đề gì?

FortiCNAPP gom các công cụ vốn rời rạc như quản lý cấu hình cloud (CSPM), bảo vệ workload (CWPP), quản lý quyền (CIEM), bảo mật Kubernetes và quét IaC vào một nền tảng. Nền tảng tương quan rủi ro cấu hình với hoạt động thực tế để ưu tiên lỗ hổng đang bị khai thác, phát hiện hành vi bất thường bằng AI và hỗ trợ đối chiếu chuẩn PCI DSS, ISO 27001.

Website và API của doanh nghiệp nên được bảo vệ bằng gì?

Nên dùng WAF có khả năng khám phá API và chống bot, như FortiWeb dạng máy ảo hoặc FortiAppSec Cloud dạng dịch vụ. Báo cáo Web Application Security 2026 cho thấy dò mật khẩu hàng loạt và lạm dụng API là hai điểm xâm nhập hàng đầu, nên cần kiểm tra cả hành vi sau đăng nhập chứ không chỉ xác thực ở cổng vào.

Có dùng chung chính sách giữa FortiGate tại văn phòng và trên cloud không?

Có. FortiGate tại chỗ và FortiGate-VM đều chạy FortiOS, nên có thể dùng cùng cấu trúc chính sách và quản lý tập trung qua FortiManager, phân tích qua FortiAnalyzer. Ví dụ OutSystems do Fortinet công bố cho thấy họ tận dụng bộ quy tắc đã tối ưu tại chỗ khi chuyển ứng dụng nội bộ lên cloud.

Tư vấn và triển khai cùng VIET NET

VIET NET triển khai hạ tầng CNTT, ELV và data center cho doanh nghiệp từ năm 2003. Liên hệ để được khảo sát hệ thống hiện tại, đề xuất kiến trúc và báo giá theo số người dùng, chi nhánh và băng thông: hotline 0908 100 676, email info@vietnet.net.vn, hoặc gửi yêu cầu tại trang Liên hệ.