Security Mechanism (Cơ chế an ninh) là gì?
Là công cụ, kỹ thuật, thủ tục kỹ thuật cụ thể được triển khai để thực thi các Security Services (Dịch vụ an ninh) (Confidentiality, Integrity, Authentication, Non-repudiation, Access Control, Availability). Theo kiến trúc OSI Security Architecture (X.800).
Phân loại 2 nhóm chính (X.800)
1. Specific Security Mechanisms (Cơ chế an ninh cụ thể)
Áp dụng cho một dịch vụ an ninh cụ thể tại một lớp OSI nhất định.
| Cơ chế | Dịch vụ hỗ trợ | Mô tả | Ví dụ triển khai |
|---|---|---|---|
| Encipherment (Mã hóa) | Confidentiality | Biến plaintext → ciphertext bằng thuật toán & key. Symmetric (AES, ChaCha20) / Asymmetric (RSA, ECC). | TLS 1.3 (AES-GCM, ChaCha20-Poly1305), IPsec ESP, Disk Encryption (BitLocker, LUKS) |
| Digital Signature (Chữ ký số) | Integrity, Authentication, Non-repudiation | Ký hash(message) bằng Private Key. Verify bằng Public Key. | RSA-PSS, ECDSA, EdDSA (Ed25519), X.509 Cert, Code Signing, Document Signing |
| Access Control (Kiểm soát truy cập) | Access Control | Quyết định Allow/Deny dựa trên Policy (RBAC, ABAC, PBAC). | Firewall ACL, NAC (802.1X), IAM (Entra ID, Okta), PAM, Kubernetes RBAC, Cloud IAM |
| Data Integrity (Toàn vẹn dữ liệu) | Integrity | Phát hiện sửa đổi trái phép. Hash, MAC, HMAC, Digital Signature. | HMAC-SHA256 (API, JWT), AES-GCM (AEAD), SHA-256 checksum, Blockchain Merkle Tree |
| Authentication Exchange (Trao đổi xác thực) | Authentication (Entity/Peer) | Protocol xác thực danh tính: Challenge-Response, Zero-Knowledge, Kerberos, TLS Handshake, SAML/OIDC/OAuth2, FIDO2/WebAuthn. | TLS 1.3 Handshake, Kerberos (AD), SAML 2.0, OIDC, FIDO2 Passkey |
| Traffic Padding (Đệm lưu lượng) | Confidentiality (Traffic Flow) | Che giấu pattern traffic (độ dài, thời gian, tần suất) bằng dummy packets. | VPN (tunnel), Tor, Mixnet, Covert Channel mitigation, Constant-rate link |
| Routing Control (Kiểm soát định tuyến) | Availability, Confidentiality | Chọn đường đi an toàn, tránh nút bị compromise, BGPSEC, RPKI, SD-WAN Policy. | BGPSEC, RPKI/ROA, SD-WAN (Viprion, Meraki, FortiGate), Segment Routing |
| Notarization (Công chứng) | Non-repudiation, Integrity | Trusted Third Party (TTP) chứng minh sự tồn tại/ngày giờ/nội dung. | Timestamp Authority (RFC 3161), Blockchain Anchor, Digital Notary, Certificate Transparency Log |
2. Pervasive Security Mechanisms (Cơ chế an ninh phổ biến / Đi khắp mọi nơi)
Không gắn liền với một dịch vụ/lớp OSI cụ thể, mà hỗ trợ đa dịch vụ, xuyên suốt hệ thống.
| Cơ chế | Mô tả | Ví dụ |
|---|---|---|
| Trusted Functionality (Chức năng tin cậy) | Phần cứng/phần mềm được chứng thực an toàn (Common Criteria EAL, FIPS 140-3). | HSM (Hardware Security Module), TPM 2.0, Secure Enclave (Apple), Titan M (Google), TEEs (TrustZone, SGX) |
| Security Label (Nhãn an ninh) | Gán nhãn độ mật (Classification) cho dữ liệu/đối tượng để policy enforcement. | MAC (SELinux, AppArmor), Microsoft Information Protection (MIP) Labels, Kubernetes Labels/Annotations |
| Event Detection (Phát hiện sự kiện) | Giám sát, log, alert các sự kiện an ninh. | SIEM (Splunk, Elastic, Sentinel), EDR/XDR, Auditd, Sysmon, Falco, Wazuh |
| Security Audit Trail (Nhật ký kiểm toán) | Ghi lại bất biến các hành động nhạy cảm để điều tra, tuân thủ. | Immutable Log (CloudTrail, Azure Activity Log, Kafka + S3 Object Lock), Blockchain Audit Log |
| Security Recovery (Khôi phục an ninh) | Khôi phục trạng thái an ninh sau sự cố. | DR/BCP, Immutable Backup (Veeam, Rubrik, AWS Backup Vault Lock), System Restore, Key Rotation |
Mối quan hệ: Security Service ↔ Mechanism
| Security Service (X.800) | Specific Mechanisms chính | Pervasive Mechanisms hỗ trợ |
|---|---|---|
| Confidentiality | Encipherment, Traffic Padding, Routing Control | Trusted Functionality, Security Label, Event Detection |
| Integrity | Data Integrity, Digital Signature, Notarization | Trusted Functionality, Security Audit Trail, Event Detection |
| Authentication | Authentication Exchange, Digital Signature | Trusted Functionality, Event Detection, Security Audit Trail |
| Non-repudiation | Digital Signature, Notarization | Security Audit Trail, Trusted Functionality |
| Access Control | Access Control, Authentication Exchange | Security Label, Trusted Functionality, Event Detection |
| Availability | Routing Control, Traffic Padding | Security Recovery, Event Detection, Trusted Functionality |
Áp dụng thực tế (Modern Stack)
- Zero Trust: Access Control (ZTNA) + Authentication Exchange (OIDC/FIDO2) + Encipherment (mTLS) + Event Detection (UEBA) + Security Label (Data Classification).
- DevSecOps Pipeline: Digital Signature (Image Signing - Cosign/Sigstore) + Data Integrity (SBOM, SLSA) + Security Audit Trail (Pipeline Logs) + Event Detection (SAST/DAST/SCA Alerts).
- Cloud Security: Access Control (Cloud IAM, CIEM) + Encipherment (KMS, Envelope Encryption) + Event Detection (CloudTrail, GuardDuty, Falco) + Security Recovery (Immutable Backup).
Kết luận
Specific Security Mechanisms là "vũ khí" trực tiếp thực thi bảo mật (Mã hóa, Chữ ký, ACL, Xác thực, Padding, Routing, Notarization). Pervasive Mechanisms là "hạ tầng nền tảng" cho phép các specific mechanism hoạt động tin cậy, có giám sát, có thể khôi phục (Trusted Hardware, Labeling, Detection, Audit, Recovery). Kiến trúc an ninh vững chắc cần kết hợp cả hai theo mô hình Defense in Depth / Zero Trust.