Tư duy bảo mật cổ điển

Tư duy bảo mật cổ điển là mô hình xây dựng từng lớp giải pháp và phương thức bảo mật nhằm bảo vệ hệ thống. Một trong những phương án đơn giản nhất để xây dựng mô hình này là áp dụng các phương thức bảo mật như: “Bảo vệ (protect), kiểm soát và phát hiện (detect), ngăn cản (deter), và ứng phó (respond)”. Các phương thức bảo mật trong mô hình này được đưa ra nhằm đảm bảo hệ thống thông tin an toàn khỏi các mối đe dọa.

Các phương thức bảo mật

Hiện nay, cùng với sự phát triển của các giải pháp, chính sách bảo mật, đối với mỗi phương thức bảo mật đều có những sản phẩm nhất định như:

- Bảo vệ: giải pháp tường lửa, router, switch, APT protection, anti-virus, DDoS protection and mitigation, công cụ phòng chống thất thoát dữ liệu…

- Kiểm soát và phát hiện: giải pháp SIEM, Security Event Manager, NAC...

- Ngăn cản: các quy chế chính sách công ty, Luật an ninh mạng, phương án xử lý tội phạm mạng, bộ công cụ dò quét…

- Ứng phó: đội ngũ ứng phó sự cố, tường lửa với chức năng deny-all, phương án quản lý rủi ro, phương án đảm bảo vận hành...

Tùy theo nhu cầu, các hệ thống thông tin đặc thù thông thường cần mở rộng mô hình này và áp dụng những phương thức bảo mật một cách chi tiết hơn như: “Xác định (identify), ngăn chặn (prevent), làm chậm (delay) và khôi phục (recovery)”. Tuy nhiên, thực tế cho thấy rằng, việc mở rộng mô hình, áp dụng những phương thức bảo mật mới, các giải pháp tiên tiến, cùng phương án thiết lập đội ngũ nhân lực trình độ cao đều không chứng minh được khả năng chống lại các cuộc tấn công mạng hay cao hơn là chiến tranh mạng.

Một số sự kiện thực tế có thể kể đến như:

- Ngày 26/3/2020, một trong những nhà cung cấp giải pháp bảo mật lớn nhất thế giới SolarWind đã phát hành bản cập nhật phiên bản bị tin tặc sửa đổi cho phần mềm Orion.

- Vào ngày 2/2/2022, một trong những trung tâm điều phối và cung cấp dầu nhớt tại Đức đã bị tấn công. Cho đến nay, thông tin về thủ phạm vẫn chưa được biết đến.

- Vào ngày 25/2/2022, NVIDIA - một ông lớn của ngành cung cấp card, đồ họa, chip điện tử đã bị tấn công vào hệ thống e-mail cũng như phát hiện mã độc trong công cụ lập trình được cung cấp cho các bên thứ ba.

Một số sự kiện còn nghiêm trọng hơn, có liên quan đến chiến tranh mạng như:

- Vào ngày 22 - 23/2/2022: Một số trang chủ của chính phủ Ukraina và ngân hàng tại Ukraina đã bị tin tặc tấn công và gián đoạn vận hành.

- Vào ngày 26/2/2022: Trang của Chính phủ Nga đã bị tin tặc tấn công và làm gián đoạn vận hành.

Tư duy và mô hình Zero trust

Khi đề cập đến Zero trust, đây không chỉ là một mô hình, một phương thức bảo mật mà là một tư duy bảo mật được xây dựng nhằm ngăn cản các mối nguy liên quan đến danh tính, lộ thông tin mà các phương thức bảo mật thông thường cần yêu cầu nhân lực, giải pháp phần mềm, kiến thức, kĩ năng cũng như thời gian để ngăn chặn và ứng phó. Là một tư duy bảo mật có khả năng bao quát toàn bộ hệ thống; nên khi áp dụng vào hệ thống thông tin, mô hình Zero trust cần tích hợp và liên kết được với các tầng bảo mật sẵn có cũng như là cho phép ứng phó ngay lập tức các sự cố liên quan đến các phương thức bảo mật trên.

Mục tiêu duy nhất và cũng như quan trọng nhất trong mô hình Zero trust đó là khả năng kiểm soát tài nguyên, đảm bảo rằng chỉ có những người có phận sự có thể tiếp cận và phân tích được các tài nguyên. Đối với mô hình bảo mật cổ điển, các phương thức bảo mật dựa trên việc xây dựng những rào chắn cũng như xác thực đối tượng để cho phép đối tượng truy cập vào một vùng hệ thống nhất định. Kết quả là các đối tượng này có khả năng tìm kiếm, phát hiện, truy cập, cũng như là phân tích tất cả các tài nguyên nằm trong hệ thống đó; nghiêm trọng hơn là lấy được thông tin của các hệ thống khác có liên kết đến hệ thống bị xâm nhập. Như vậy, kể cả khi đã áp dụng phương thức bảo mật nhằm giảm thiểu các kết nối, cổng kết nối theo mô hình Trusted Internet Connections (TIC) và xây dựng những tường lửa ngoại biên, giải pháp theo dõi truy cập nhằm ngăn chặn được các cuộc tấn công từ bên ngoài nhưng vẫn không thể hoàn toàn kiểm soát được những mối nguy từ bên trong hệ thống.

Với những phương thức bảo mật liên quan đến kiểm soát nôi bộ trên hệ thống mạng như Privileged Account Management (PAM) hay Network Access Control (NAC), Virtual Private Network (VPN) sẽ là một trong những phương thức bảo mật được lựa chọn để kiểm soát được các mối nguy từ bên trong hệ thống. Tuy nhiên, những phương thức này đều có những giới hạn nhất định. Ví dụ như đối với VPN, một số sẽ áp dụng những tệp tin cấu hình và đưa cho những nhân sự nhất định, tuy nhiên trong trường hợp tệp tin cấu hình này bị lộ ra đặc biệt là với bối cảnh làm việc từ xa như hiên nay, tin tặc có thể dễ dàng truy cập vào hệ thống thông tin với cùng quyền của nhân sự trên.

Đối với phương thức bảo mật NAC và PAM, có thể xem như là những bước đầu tiên tiếp cận vào mô hình Zero trust. Tuy nhiên, mục tiêu của hai phương thức này chỉ để kiểm soát đối tượng nào có thể truy cập vào hệ thống và cần kết hợp chung các phương thức bảo mật khác dể kiểm soát các giao thức được phép trao đổi giữa người dùng -  tài nguyên và tài nguyên - tài nguyên (yêu cầu cấu hình tường lửa cho từng thiết bị).

Zero trust là gì?

Theo NIST, Zero trust là một chuỗi tư duy, phương thức, ý tưởng bảo mật được đề ra nhằm nâng cao tính kiểm soát hệ thống thông qua phương thức định danh và kiểm soát mọi người dùng, thiết bị kết nối đến hệ thống thông tin

Mô hình Zero trust (Zero trust Architecture - ZTA) là mô hình bảo mật được các doanh nghiệp, tổ chức áp dụng dựa trên những phương thức, ý tưởng về Zero trust. Những phương thức, ý tưởng này có thể bao gồm kiểm soát các mối liên kết giữa tài nguyên - tài nguyên và người dùng - tài nguyên; kiểm soát giao tiếp giữa giữa tài nguyên - tài nguyên, người dùng - tài nguyên; Kiểm soát chính sách truy cập. Như vậy, để một hệ thống thông tin được nhận định theo mô hình Zero trust, ta cần phải đi theo tư duy Zero trust, áp dụng mô hình Zero trust, cũng như là có những quy chế, chính sách bảo mật phù hợp.

Khi lần đầu đề cập đến tư duy bảo mật Zero trust, có rất nhiều ý tưởng, phương thức bảo mật được nêu ra. Tuy nhiên, những ý tưởng và phương thức bảo mật này dần dần đã xây dựng và nằm trong một mô hình Zero trust. Những ý tưởng, tư duy bảo mật Zero trust chung đã được NIST nghiên cứu, thống kê và đã được chấp nhân và phát triển bởi những nhà cung cấp giải pháp bảo mật, những công ty, tổ chức, doanh nghiệp toàn thế giới.

1. Tất cả mọi nguồn thông tin, dịch vụ, thiết bị, con người kết nối, giao tiếp với hệ thống thông tin đều được xem như là tài nguyên của công ty. Một hệ thống thông tin có thể được xây dựng lên bởi các loại thiết bị khác nhau. Một hệ thống thông tin cũng có thể có những thiết bị đặc thù như chip, cảm biến để gửi thông tin về hệ thống, phần mềm dưới dạng dịch vụ (SaaS), hệ thống gửi thông tin tới các thiết bị và các chức năng khác. Trong trường hợp thiết bị nhân sự chứa hoặc có thể truy cập vào mạng lưới tài nguyên của công ty, thì cũng được xem như là tài nguyên cần được bảo vệ của công ty.

2. Tất cả mọi kết nối, giao tiếp trên môi trường mạng đều phải được bảo vệ. Những yêu cầu, giao tiếp, kết nối nội bộ cũng phải tuân thủ yêu cầu bảo mật như là đối với những yêu cầu truy cập, kết nối từ bên ngoài. Nói cách khác, kể cả khi các thiết bị, tài sản nằm trong hệ thống thông tin, đều cần phải được định danh, kiểm tra và tuân thủ theo yêu cầu bảo mật. Tất cả mọi giao tiếp mạng cần phải được bảo mật và đảm bảo tính chính xác, an toàn cũng như là được xác thực.

3. Tất cả mọi yêu cầu truy cập đều chỉ được cung cấp dựa theo từng phiên làm việc. Hệ thống cần xác nhận người yêu cầu trước khi truy cập tài nguyên. Khi cho phép truy cập, hệ thống cần đảm bảo chỉ phân quyền tối thiểu nhằm đảm bảo đối tượng truy cập chỉ có đủ quyền để thực hiện công việc. Ngoài ra, đối tượng được phân quyền sẽ bị giới hạn trong một phạm vi, vùng hệ thống cho phép.

4. Tất cả mọi nguồn truy cập vào tài nguyên đều phài được quy ước và kiểm soát bởi các chính sách bảo mật. Quy chế chính sách bảo mật cần bao gồm danh tính đối tượng, dịch vụ, ứng dụng, tài sản yêu cầu và các môi trường liên quan.

5. Tất cả mọi tài sản được sở hữu hoặc không được sở hữu khi kết nối tới hệ thống thông tin đều phải được theo dõi, kiểm soát và quản lý. Một trong những yêu cầu khi áp dụng mô hình Zero Trust vào hệ thống là cần đảm bảo khả năng theo dõi trạng thái thiết bị cũng như là phiên bản phần mềm được sử dụng. Đối với những thiết bị, tài sản không thuộc sở hữu của công ty, cần đảm bảo được kiểm soát thông qua quy chế, chính sách và phương thức bảo mật nhằm kiểm soát các tài sản này cũng như ứng phó sự cố.

6. Mô hình Zero trust cần thiết lập được một vòng đời quản lý hệ thống. Vòng đời này bao gồm cho phép truy cập, kiểm tra và kiểm định mối nguy hại, ứng phó và thích ứng, cuối cùng là dánh giá lại các kết nối đang vận hành. Do đó, khi áp dụng mô hình Zero trust, những công cụ có chức năng xác thực và liên tục kiểm soát như ICAM và MFA luôn luôn phải được áp dụng.

7. Hệ thống thông tin áp dụng mô hình Zero trust cần có phương thức thu thập thông tin trạng thái hệ thống. Những thông tin cần được thu thập bởi phương thức này bao gồm thông tin mạng của tài nguyên, hiện trạng bảo mật, đường truyền, giao thông mạng, yêu cầu truy cập, yêu cầu gửi đến hệ thống, quá trình xử lý thông tin, quá trình thay đổi...

Một số phương pháp tấn công mạng có thể được giảm thiểu và kiểm soát khi áp dụng mô hình Zero trust

- Tấn công nâng quyền (Elevated Priviledge): Yêu cầu dịnh danh trước khi truy cập và chỉ được phân quyền trong giới hạn nhất định.

- Lây lan mã độc tống tiền (Ransomware spread): Thông qua kiểm soát kết nối giữa tài nguyên - con người và tài nguyên - tài nguyên, mô hình Zero trust có thể ngăn chặn sự lây lan của mã độc tống tiền

- Tấn công chuỗi cung ứng (Supply chain attack): Thông qua việc kiểm soát kết nối từ bên ngoài vào hệ thống, mô hình Zero trust có thể ngay lập tức ngăn chặn mối nguy hại đến từ chuỗi cung ứng

- Thu thập trái phép thông tin mạng (Network Sniffing): Mã hóa đường truyền và các gói tập tin, khiến tin tặc không thể phân tích được thông tin

- Tấn công xen giữa: Mã hóa đường truyền và thông tin truyền tải, khiến tin tặc không thể phân tích được thông tin. Xác định thiết bị, người dùng đầu cuối, không giao tiếp với các thiết bị, người dùng chưa được phân quyền.

- Tấn công dựa trên API (API attack): Kiểm soát kết nối từ bên ngoài vào hệ thống.

Zero trust sẽ là xu hướng đối với các doanh nghiệp có nhu cầu kiểm soát và bảo mật thông tin đặc thù

Để áp dụng được mô hình Zero trust thì hệ thống thông tin cần phải có khả năng định danh tất cả tài nguyên, kiểm soát tất cả kết nối, kiểm soát tất cả đối tượng có thể truy cập vào hệ thống, có chính sách quy ước rõ ràng về truy cập, khả năng kiểm soát tất cả hay một phần kết nối từ bên đối tác vào hệ thống, lập vòng đời quản lý và thu thập mọi thông tin trạng thái của các tài nguyên trong hệ thống.

Dựa trên thông tin từ một nhà cung cấp giải pháp bảo mật Zero trust lâu đời như Unisys, Amazon, Cisco, IBM, Microsft, Palo Alto Networks đã có rất nhiều doanh nghiệp, tập đoàn toàn cầu, ngân hàng, tổ chức chính phủ đang và tiếp tục áp dụng cũng như nâng cao mô hình Zero trust. Mục đích là nhằm cân bằng giữa ba yếu tố tính bảo mật, tính toàn vẹn và tính sẵn sàng.

Đối với hệ thống quy mô lớn hoặc những hệ thống có giá trị cao, dễ trở thành đối tượng tấn công như kể trên, Zero trust sẽ là một lớp mô hình bao quát nhưng không làm phức tạp hóa các phương thức bảo mật đã được áp dụng từ trước. Tuy nhiên, đối với những hệ thống quy mô nhỏ, vừa và không yêu cầu bảo mật cao, xu hướng này sẽ bị ảnh hưởng bởi nhu cầu về tính đa nhiệm nhân sự, tính đa dụng của thiết bị, tính sẵn sàng, khả năng quản lý, chính sách, cũng như là chi phí vận hành.