Minimum Trust (Tối thiểu niềm tin) trong thiết kế bảo mật mạng là gì?

Trust (Niềm tin) trong bảo mật mạng

Trust là giả định rằng một thực thể (sensor, máy, hệ thống, user) sẽ hoạt động đáng tin cậy, an toàn trong bối cảnh cụ thể. "Trust as a Service" – đo lường niềm tin động trong mạng cảm biến (IoT/WSN) – đang được nghiên cứu (Institute for Information Security and Privacy).

Vấn đề: Mô hình truyền thống "Trust but verify" (tin nhưng kiểm tra) giả định bên trong mạng an toàn – dẫn đến lateral movement khi attacker vượt perimeter.

3 giai đoạn mô hình Zero Trust

1. Evaluate (Đánh giá): Xác thực danh tính, thiết bị, ứng dụng, workload, data flow – không tin mặc định.
2. Control (Kiểm soát): Thực thi least privilege access, micro-segmentation, policy động dựa trên risk score.
3. Recover (Phục hồi): Giám sát liên tục, tự động chứa hứng, forensic, cải tiến posture.

Zero Trust yêu cầu: Không tin user, không tin device, không tin app/workload, không tin data flow – mọi thứ phải verify liên tục.

Zero Trust trong Cybersecurity nghĩa là gì?

Zero Trust = "Never Trust, Always Verify" (Không bao giờ tin, luôn xác minh).

• Trust = lỗ hổng (vulnerability).
• Khi attacker/xâm nhập nội bộ (insider threat) → có thể di chuyển ngang (lateral movement), truy xuất/exfiltrate dữ liệu tự do.
• Zero Trust loại bỏ implicit trust zones (trusted internal network).

Zero Trust Platform là gì?

Chuyển dịch phòng thủ mạng từ perimeter-based → identity-centric, data-centric. Cung cấp kiểm soát truy cập chi tiết (granular) đến network, app, environment mà không hy sinh hiệu năng. Zero Trust không phải sản phẩm đơn lẻ – là kiến trúc + văn hóa + công nghệ.

Zero Trust của Microsoft

Microsoft 365 Zero Trust model: Verify explicitly → Use least privilege access → Assume breach.

1. Xác thực mạnh: MFA, Passwordless (FIDO2, Windows Hello), Conditional Access.
2. Device health: Intune Compliance, Defender for Endpoint risk score.
3. Least privilege: JIT access, PIM, RBAC/ABAC.
4. Micro-segmentation: Network segmentation, App Proxy, Private Link.
5. Assume breach: Monitoring, Analytics (Sentinel), Automated Response.

Cách triển khai Zero Trust Security

1. Define Protect Surface: Xác định DAAS (Data, Assets, Applications, Services) quan trọng nhất – nhỏ hơn attack surface.
2. Map Transaction Flows: Hiểu luồng dữ liệu: user → app → data, dependency.
3. Architect Zero Trust Network: Micro-perimeter (segmentation gateway) quanh protect surface – Next-Gen Firewall, ZTNA, SDP.
4. Create Policy: Kipling Method: Who, What, When, Where, Why, How → Policy engine quyết định allow/deny/challenge.
5. Monitor & Maintain: Continuous verification, telemetry, analytics, automation (SOAR), regular review.

Trust Network (Mạng niềm tin) nghĩa là gì?

Trong xã hội học/tổ chức: mạng lưới quan hệ nhân sự mạnh, nơi người đặt rủi ro cao (tài sản, danh tiếng, dự án dài hạn) vào tay nhau. Khác với kỹ thuật Zero Trust.

Tại sao cần Zero Trust Networks?

• Ngăn chặn lateral movement (di chuyển ngang) – nguyên nhân chính breach lan rộng.
• Cung cấp Layer 7 threat prevention (app-level inspection).
• Đơn giản hóa granular user access control (theo identity, group, function).
• Phù hợp hybrid cloud, remote work, BYOD, IoT – không còn perimeter rõ ràng.

Tại sao cần Zero Trust Security?

• Kiểm soát truy cập hiệu quả nhất: network, app, data.
• Giảm thiểu tác động (blast radius) bằng segmentation theo identity/group/function.
• Hạn chế quyền user – least privilege thực sự.
• Tuân thủ quy định (GDPR, CCPA, NIST 800-207, Executive Order 14028).

3 khái niệm cốt lõi Zero Trust

1. User/Application Authentication: Xác thực mạnh (MFA, Passwordless, Continuous Auth).
2. Device Authentication/Health: Device identity + compliance posture (Intune, CrowdStrike, Sentinel).
3. Trust (Policy Decision): Policy Engine đánh giá risk score real-time → quyết định allow/deny/step-up.

3 thách thức triển khai Zero Trust

1. Triển khai từng mảnh (piecemeal) → gaps: Cần holistic, end-to-end.
2. Zero Trust là hành trình, không phải đích đến: Cải tiến liên tục, không "xong".
3. Văn hóa & Change Management: User/developer 저항 (mật khẩu, VPN quen thuộc), cần training, executive sponsorship.

Zero Trust Security Strategy

Chiến lược: Không tự động tin bất cứ thứ gì bên trong hoặc ngoài perimeter. Mọi yêu cầu truy cập phải được verify (xác minh) trước khi grant access. Slogan: "At the end of the day, don't trust anyone."

Zero Trust Framework (NIST 800-207 / CISA Zero Trust Maturity Model)

Yêu cầu mọi user (nội bộ/ngoại bộ) phải:

1. Authenticated (Xác thực danh tính)
2. Authorized (Phân quyền least privilege)
3. Continuously monitored & validated (Giám sát liên tục: device health, user behavior, threat intel)

Trước khi cấp quyền truy cập application/data. 5 pillars: Identity, Device, Network, Application, Data. 3 cross-cutting: Visibility/Analytics, Automation/Orchestration, Governance.

Zero Trust Networks (ZTNA)

ZTNA (Zero Trust Network Access): Công nghệ cung cấp remote access đến app/service dựa trên defined access policy (không phải network-level VPN). Thay thế VPN truyền thống. Lợi ích: least privilege, app-level access, invisible infrastructure, seamless UX. Thách thức: legacy app support, vendor lock-in, latency.

Zero Trust cho Cloud

Mô hình loại bỏ khái niệm "trusted network" (perimeter). Traditional: bad actors outside, good users inside. Zero Trust: giả định breach đã xảy ra → verify mọi request, encrypt mọi traffic, segment mọi workload. Cung cấp bảo mật mạnh mẽ bất ngờ cho cloud/hybrid/multi-cloud.

Zero Trust Approach (Cách tiếp cận)

Loại bỏ trust khỏi kiến trúc mạng để ngăn chặn data breach thành công. Mục tiêu Zero Trust: không tạo niềm tin, mà loại bỏ niềm tin. Verify mọi thứ, mọi lúc, mọi nơi.

Microsoft Zero Trust Framework

Áp dụng triết lý: "Always Verify, Never Trust" (Luôn xác minh, không bao giờ tin). Tiếp tục verify liên tục: Identity, Device, Service, Data – bảo vệ công ty và khách hàng. Tích hợp: Entra ID (AAD), Intune, Defender XDR, Sentinel, Purview, Conditional Access, PIM.