Zero Trust Security: Kiến trúc bảo mật mà mọi doanh nghiệp hiện đại cần áp dụng
Trong nhiều thập kỷ, bảo mật doanh nghiệp được xây dựng theo mô hình lâu đài và hào nước: bất kỳ ai bên trong vành đai đều được tin tưởng. Ngày nay mô hình đó đã lỗi thời. Với làm việc từ xa, dịch vụ đám mây và các cuộc tấn công chuỗi cung ứng tinh vi, vành đai bảo mật đã tan biến — và cùng với đó là giả định về sự an toàn bên trong.
Hãy tưởng tượng một pháo đài mà cổng chính rộng mở cho bất kỳ ai biết mật khẩu — và một khi vào bên trong, mọi phòng đều không khóa. Đó chính là bảo mật mạng doanh nghiệp trong phần lớn những năm 2000 và 2010. Một thông tin xác thực VPN hợp lệ là đủ để vào. 'Trong mạng nội bộ' đồng nghĩa với 'được tin tưởng'. Điều đó vận hành tốt khi văn phòng là vật lý, hệ thống đặt tại chỗ và nhân viên ngồi ở bàn kết nối với mạng công ty.
Nhưng không có điều kiện nào trong số đó còn áp dụng nữa. Đám mây đã chuyển khối lượng công việc ra ngoài tòa nhà. Làm việc từ xa phân tán người dùng khắp nhà, quán cà phê và sân bay. Các công cụ SaaS như Microsoft 365 và Salesforce không bao giờ nằm trên mạng công ty. Trong thực tế này, vành đai cũ không chỉ yếu hơn — nó thực sự chưa bao giờ tồn tại. Zero Trust là câu trả lời duy nhất có logic.
01Tại sao mô hình vành đai thất bại
Mô hình bảo mật truyền thống giả định hai vùng: tin tưởng (bên trong) và không tin tưởng (bên ngoài). Tường lửa ngăn chặn mối đe dọa ở rìa mạng, VPN mở rộng vùng tin tưởng đến nhân viên từ xa. Một khi bên trong, kẻ tấn công có thể di chuyển laterally gần như không bị cản trở.
Cuộc tấn công chuỗi cung ứng SolarWinds năm 2020 minh họa rõ điều này. Kẻ tấn công ẩn mã độc trong bản cập nhật phần mềm hợp lệ; sau khi các tổ chức cài đặt, kẻ tấn công có quyền truy cập nội bộ đáng tin cậy trong nhiều tháng trước khi bị phát hiện. Không có tường lửa vành đai nào có thể ngăn điều này — mối đe dọa đã ở bên trong.
Dịch vụ đám mây, công cụ SaaS, thiết bị IoT và nhân viên từ xa đều nằm ngoài vành đai truyền thống, tạo ra hàng chục điểm vào không được bảo vệ.
Một khi trong mạng, kẻ tấn công di chuyển tự do giữa các hệ thống. Thời gian tồn tại trung bình trước khi phát hiện vẫn tính theo tuần.
Nhà cung cấp phần mềm được tin tưởng trở thành vector tấn công, vượt qua kiểm soát vành đai hoàn toàn bằng cách đến dưới dạng bản cập nhật hợp lệ.
Thông tin xác thực bị xâm phạm hoặc người dùng nội bộ có ý đồ xấu có toàn quyền truy cập mạng sau khi xác thực — mô hình vành đai không có phòng thủ.
02Ba nguyên tắc cốt lõi của Zero Trust
Zero Trust được chính thức hóa bởi nhà phân tích John Kindervag tại Forrester vào năm 2010 và được NIST cải tiến trong Ấn phẩm Đặc biệt 800-207 (2020). Nó dựa trên ba nguyên tắc nền tảng chi phối mọi quyết định bảo mật:
Đây không phải là mục tiêu hướng tới — mà là nhiệm vụ vận hành được thực thi bởi chính sách và công nghệ tại mọi yêu cầu truy cập, mọi phiên làm việc, mọi lúc.
Không người dùng, thiết bị hay kết nối mạng nào được tin tưởng mặc định — bất kể vị trí. Mọi yêu cầu truy cập phải được xác thực và cấp phép rõ ràng.
Thiết kế hệ thống như thể kẻ tấn công đã ở bên trong. Giới hạn bán kính thiệt hại thông qua micro-segmentation và thực thi phát hiện ở khắp nơi.
Cấp quyền truy cập tối thiểu cần thiết để hoàn thành công việc, trong thời gian tối thiểu cần thiết. Thu hồi quyền khi không còn cần thiết.
03Năm trụ cột của kiến trúc Zero Trust
CISA (Cơ quan An ninh Mạng và Cơ sở Hạ tầng Hoa Kỳ) định nghĩa Zero Trust qua năm trụ cột, mỗi trụ cột đại diện cho một lĩnh vực kiểm soát. Một chương trình Zero Trust trưởng thành tiến triển trên cả năm trụ cột đồng thời:
Hầu hết các tổ chức bắt đầu với Danh tính và Thiết bị — chúng mang lại mức giảm rủi ro nhanh nhất và là nền tảng để kiểm soát quyền truy cập trong các trụ cột khác.
Xác thực đa yếu tố mạnh mẽ, xác minh danh tính liên tục, chính sách truy cập có điều kiện và quản lý truy cập đặc quyền (PAM) cho tài khoản nhạy cảm.
Kiểm tra sức khỏe thiết bị trước khi cấp quyền truy cập — mức vá lỗi, phát hiện endpoint (EDR), tuân thủ cấu hình. Chỉ thiết bị lành mạnh, được quản lý mới được vào.
Micro-segmentation chia mạng thành các vùng nhỏ, biệt lập. Lưu lượng giữa các vùng được kiểm tra và kiểm soát, không được giả định là an toàn.
Kiểm soát lớp ứng dụng, bảo mật API và nhận dạng khối lượng công việc đảm bảo chỉ người dùng được cấp phép truy cập ứng dụng cụ thể, không phải toàn bộ mạng.
Phân loại dữ liệu theo mức độ nhạy cảm, mã hóa khi truyền và lưu trữ, áp dụng chính sách ngăn chặn mất dữ liệu (DLP) để kiểm soát dữ liệu có thể đi đâu.
04Triển khai Zero Trust: lộ trình từng giai đoạn
Zero Trust không phải là sản phẩm bạn triển khai trong một ngày. Đây là quá trình chuyển đổi kiến trúc kéo dài nhiều năm. Các tổ chức thành công coi đó là một chương trình, không phải dự án — và họ phân chia giai đoạn một cách thực tế:
Hướng dẫn NIST khuyến nghị bắt đầu với lĩnh vực có rủi ro cao nhất và lợi tức tức thì: danh tính. Bảo mật cách người dùng xác thực và những gì họ có thể truy cập mang lại mức giảm rủi ro lớn nhất nhanh nhất.
Liệt kê mọi người dùng, thiết bị, ứng dụng và kho dữ liệu. Bạn không thể thực thi Zero Trust trên tài sản mà bạn không biết là tồn tại.
Triển khai MFA ở khắp nơi. Thực hiện truy cập có điều kiện. Thiết lập máy trạm truy cập đặc quyền (PAW) cho quản trị viên. Triển khai đăng nhập một lần (SSO).
Đăng ký tất cả endpoint vào MDM/UEM. Triển khai EDR. Thực thi kiểm tra sức khỏe thiết bị như điều kiện truy cập mạng.
Thay thế kiến trúc mạng phẳng bằng micro-segment. Triển khai vành đai được định nghĩa bằng phần mềm (SDP) hoặc ZTNA thay thế VPN.
Phân loại tất cả dữ liệu quan trọng. Thực thi mã hóa và DLP. Triển khai chính sách truy cập ở lớp dữ liệu, không chỉ lớp mạng.
Triển khai SIEM và UEBA (Phân tích hành vi người dùng và thực thể). Thiết lập thực thi chính sách tự động. Chạy đánh giá quyền truy cập thường xuyên và bài tập red-team.
05Zero Trust trong kỷ nguyên AI
AI thêm cả tính cấp bách lẫn khả năng vào Zero Trust. Về phía mối đe dọa, kẻ tấn công được hỗ trợ AI có thể thu thập thông tin xác thực, di chuyển ngang và rò rỉ dữ liệu nhanh hơn bất kỳ nhà bảo vệ nào có thể phản ứng thủ công. Về phía phòng thủ, AI cho phép phân tích hành vi liên tục, thời gian thực mà Zero Trust yêu cầu.
AI cũng mang lại các cân nhắc Zero Trust mới: nhân viên truy cập dữ liệu công ty qua các công cụ AI công cộng (Shadow AI), khối lượng công việc AI cần truy cập dữ liệu đào tạo nhạy cảm, và trợ lý AI có thể bị thao túng qua prompt injection. Một chương trình Zero Trust trưởng thành phải mở rộng chính sách để quản lý việc sử dụng AI một cách rõ ràng.
“Zero Trust không phải là đích đến — đó là tư thế. Mục tiêu không phải là đạt được Zero Trust trên giấy tờ; mà là hành động như thể mọi yêu cầu đều có thể độc hại, mọi giây mọi ngày.”
06Những sai lầm phổ biến cần tránh
Các sáng kiến Zero Trust thường bị đình trệ hoặc thất bại, không phải vì các nguyên tắc sai, mà vì các tổ chức đánh giá thấp sự phức tạp về mặt tổ chức. Những sai lầm phổ biến nhất:
Điều quan trọng nhất một tổ chức có thể làm là bắt đầu. Triển khai Zero Trust một phần tốt hơn nhiều so với mô hình vành đai hoàn chỉnh — và nó tạo nền tảng để tiến xa hơn.
Không có nhà cung cấp đơn lẻ nào cung cấp Zero Trust. Nó đòi hỏi tích hợp công cụ danh tính, endpoint, mạng và dữ liệu thành một kiến trúc nhất quán.
Rào cản bảo mật quá cao sẽ khiến người dùng tìm cách khác. MFA và truy cập có điều kiện phải đủ liền mạch để người dùng tuân thủ nhất quán.
Cố gắng thực thi chính sách Zero Trust mà không có bản kiểm kê tài sản đầy đủ dẫn đến khoảng trống bao phủ. Hãy bắt đầu với khám phá.
Cố gắng chuyển đổi tất cả cùng một lúc tạo ra rủi ro và sự kháng cự. Phân chia việc triển khai, bắt đầu với tài sản có rủi ro cao nhất.
Những điểm cốt lõi
- 01Zero Trust thay thế sự tin tưởng vành đai ngầm định bằng xác minh liên tục theo từng yêu cầu đối với mọi người dùng, thiết bị và kết nối.
- 02Năm trụ cột là Danh tính, Thiết bị, Mạng, Ứng dụng và Dữ liệu — chương trình hoàn chỉnh giải quyết cả năm trụ cột.
- 03Bắt đầu với danh tính và MFA — con đường nhanh nhất đến giảm rủi ro có ý nghĩa — sau đó phân chia theo giai đoạn tin tưởng thiết bị, phân đoạn và kiểm soát dữ liệu.
- 04AI khuếch đại cả mối đe dọa (tấn công nhanh hơn, thu thập thông tin xác thực) lẫn phòng thủ (phân tích hành vi thời gian thực ở quy mô lớn).
- 05Zero Trust là chương trình nhiều năm, không phải sản phẩm — phân giai đoạn thực tế và đo tiến độ theo các cột mốc trưởng thành rõ ràng.