Khái niệm "Layered Security" (Bảo mật đa lớp / Defense in Depth)
Không có biện pháp đơn lẻ nào bảo vệ trọn vẹn. Mô hình đa lớp đảm bảo: nếu một lớp bị vượt qua, các lớp khác vẫn bảo vệ.
Mô hình 7 lớp bảo mật (Theo tiêu chí phổ biến trong ngành)
- Human Layer (Nhân sự): Đào tạo nhận diện lừa đảo, chính sách mật khẩu, phân quyền tối thiểu
- Perimeter Layer (Biên giới): Firewall, WAF, DDoS Protection, VPN Gateway, Email Gateway
- Network Layer (Mạng): Phân đoạn VLAN, ACL, IDS/IPS, Network Monitoring, Zero Trust Network Access
- Endpoint Layer (Đầu cuối): EDR/XDR, Antivirus, Disk Encryption, Patch Management, USB Control
- Application Layer (Ứng dụng): Secure SDLC, WAF, API Security, SAST/DAST/IAST, RASP
- Data Layer (Dữ liệu): Encryption (at rest/in transit), DLP, Classification, Backup/Recovery, Key Management
- Mission Critical Layer (Cốt lõi): Crown Jewels protection, PAM (Privileged Access Management), Immutable Backup, Air-gapped systems
So sánh với Mô hình OSI 7 Layers (Network Protocol Layers)
| OSI Layer | Tên | Thiết bị/Giao thức | Bảo mật liên quan |
|---|---|---|---|
| Layer 7 | Application | HTTP, DNS, SMTP, FTP | WAF, API Security, AppSec |
| Layer 6 | Presentation | TLS/SSL, Encryption, Compression | Certificate Management, TLS Inspection |
| Layer 5 | Session | RPC, NetBIOS, SIP | Session Monitoring, Timeout |
| Layer 4 | Transport | TCP, UDP, Port | Firewall (L4), Load Balancer |
| Layer 3 | Network | IP, ICMP, Routing (OSPF, BGP) | Router ACL, VRF, IPsec VPN |
| Layer 2 | Data Link | MAC, Switch, VLAN, STP | Port Security, MACsec, VLAN Isolation |
| Layer 1 | Physical | Cable, Fiber, Radio, Hub | Port Lock, Cable Management, Physical Security |
Layer 7 (Application Layer) - Đặc biệt quan trọng
- Lớp gần user nhất, trực tiếp phục vụ ứng dụng (Web, Email, API)
- Đối tượng tấn công phổ biến: SQLi, XSS, CSRF, API Abuse, Bot, Credential Stuffing
- Bảo vệ: WAF, API Gateway, Bot Management, Secure Coding
- Layer 7 Firewall: Lọc dựa trên nội dung gói tin (HTTP header, body, JSON, XML) chứ không chỉ IP/Port
Các mô hình lớp khác
- 3 lớp: Perimeter (Biên) → Internal (Nội bộ) → Endpoint (Đầu cuối)
- 4 lớp: Physical → Network → Application → Data
- 5 lớp (TCP/IP): Physical → Data Link → Network → Transport → Application
- 6 lớp (Physical Security): Biển báo/Rào chắn → Biên giới an ninh → Kiểm soát vào tòa nhà → SOC → Data Center Floor → Hủy đĩa cứng
Kết luận
Kết hợp Mô hình OSI (kỹ thuật) với Mô hình 7 lớp bảo mật (chiến lược) để xây dựng postura bảo mật toàn diện. Không có "vũ khí bạc" - cần sự kết hợp công nghệ - quy trình - con người.