Nghiên cứu áp dụng mô hình bảo mật Zero Trust

Ngày đăng : 30/06/2024

A. Tổng quan về Zero Trust
1. Zero Trust
Zero trust là một chuỗi tư duy, phương thức, ý tưởng bảo mật được đề ra nhằm nâng cao tính kiểm soát hệ thống thông qua phương thức định danh và kiểm soát mọi người dùng, thiết bị kết nối đến hệ thống thông tin. Zero Trust là một triết lý an ninh mạng nói rằng không ai trong hoặc ngoài mạng được tin cậy trừ khi sự nhận diện của họ đã được kiểm tra kỹ lưỡng. 
 

Zero Trust hoạt động dựa trên giả định rằng các mối đe dọa cả bên ngoài và bên trong mạng là một yếu tố có mặt khắp nơi. Zero trust cũng giả định rằng mọi nỗ lực truy cập vào mạng hoặc một ứng dụng đều là một mối đe dọa (threat). Các giả định này thông báo cho các quản trị viên mạng, buộc họ phải thiết kế các biện pháp bảo mật nghiêm ngặt, không đáng tin cậy.
2. Mô hình Zero Trust
Mô hình Zero trust (Zero trust Architecture - ZTA) là mô hình bảo mật được các doanh nghiệp, tổ chức áp dụng dựa trên những phương thức, ý tưởng về Zero trust. Những phương thức, ý tưởng này có thể bao gồm kiểm soát các mối liên kết giữa tài nguyên - tài nguyên và người dùng - tài nguyên; kiểm soát giao tiếp giữa giữa tài nguyên - tài nguyên, người dùng - tài nguyên; kiểm soát chính sách truy cập. Như vậy, để một hệ thống thông tin được nhận định theo mô hình Zero trust, ta cần phải đi theo tư duy Zero trust, áp dụng mô hình Zero trust, cũng như là có những quy chế, chính sách bảo mật phù hợp.
 

Khi lần đầu đề cập đến tư duy bảo mật Zero trust, có rất nhiều ý tưởng, phương thức bảo mật được nêu ra. Tuy nhiên, những ý tưởng và phương thức bảo mật này dần dần đã xây dựng và nằm trong một mô hình Zero trust. Những ý tưởng, tư duy bảo mật Zero trust chung đã được NIST nghiên cứu, thống kê và đã được chấp nhân và phát triển bởi những nhà cung cấp giải pháp bảo mật, những công ty, tổ chức, doanh nghiệp toàn thế giới.
a. Tất cả mọi nguồn thông tin, dịch vụ, thiết bị, con người kết nối, giao tiếp với hệ thống thông tin đều được xem như là tài nguyên của công ty. Một hệ thống thông tin có thể được xây dựng lên bởi các loại thiết bị khác nhau. Một hệ thống thông tin cũng có thể có những thiết bị đặc thù như chip, cảm biến để gửi thông tin về hệ thống, phần mềm dưới dạng dịch vụ (SaaS), hệ thống gửi thông tin tới các thiết bị và các chức năng khác. Trong trường hợp thiết bị nhân sự chứa hoặc có thể truy cập vào mạng lưới tài nguyên của công ty, thì cũng được xem như là tài nguyên cần được bảo vệ của công ty.
b. Tất cả mọi kết nối, giao tiếp trên môi trường mạng đều phải được bảo vệ. Những yêu cầu, giao tiếp, kết nối nội bộ cũng phải tuân thủ yêu cầu bảo mật như là đối với những yêu cầu truy cập, kết nối từ bên ngoài. Nói cách khác, kể cả khi các thiết bị, tài sản nằm trong hệ thống thông tin, đều cần phải được định danh, kiểm tra và tuân thủ theo yêu cầu bảo mật. Tất cả mọi giao tiếp mạng cần phải được bảo mật và đảm bảo tính chính xác, an toàn cũng như là được xác thực.
c. Tất cả mọi yêu cầu truy cập đều chỉ được cung cấp dựa theo từng phiên làm việc. Hệ thống cần xác nhận người yêu cầu trước khi truy cập tài nguyên. Khi cho phép truy cập, hệ thống cần đảm bảo chỉ phân quyền tối thiểu nhằm đảm bảo đối tượng truy cập chỉ có đủ quyền để thực hiện công việc. Ngoài ra, đối tượng được phân quyền sẽ bị giới hạn trong một phạm vi, vùng hệ thống cho phép.
d. Tất cả mọi nguồn truy cập vào tài nguyên đều phài được quy ước và kiểm soát bởi các chính sách bảo mật. Quy chế chính sách bảo mật cần bao gồm danh tính đối tượng, dịch vụ, ứng dụng, tài sản yêu cầu và các môi trường liên quan.
e. Tất cả mọi tài sản được sở hữu hoặc không được sở hữu khi kết nối tới hệ thống thông tin đều phải được theo dõi, kiểm soát và quản lý. Một trong những yêu cầu khi áp dụng mô hình Zero Trust vào hệ thống là cần đảm bảo khả năng theo dõi trạng thái thiết bị cũng như là phiên bản phần mềm được sử dụng. Đối với những thiết bị, tài sản không thuộc sở hữu của công ty, cần đảm bảo được kiểm soát thông qua quy chế, chính sách và phương thức bảo mật nhằm kiểm soát các tài sản này cũng như ứng phó sự cố.
f. Mô hình Zero trust cần thiết lập được một vòng đời quản lý hệ thống. Vòng đời này bao gồm cho phép truy cập, kiểm tra và kiểm định mối nguy hại, ứng phó và thích ứng, cuối cùng là dánh giá lại các kết nối đang vận hành. Do đó, khi áp dụng mô hình Zero trust, những công cụ có chức năng xác thực và liên tục kiểm soát như ICAM và MFA luôn luôn phải được áp dụng.
g. Hệ thống thông tin áp dụng mô hình Zero trust cần có phương thức thu thập thông tin trạng thái hệ thống. Những thông tin cần được thu thập bởi phương thức này bao gồm thông tin mạng của tài nguyên, hiện trạng bảo mật, đường truyền, giao thông mạng, yêu cầu truy cập, yêu cầu gửi đến hệ thống, quá trình xử lý thông tin, quá trình thay đổi...
3. Các tính năng chính của kiến trúc Zero Trust
• Quản trị đầu cuối: Các hệ thống bị cô lập dẫn đến rủi ro. Thay vào đó, Zero Trust xác thực quyền truy nhập vào toàn bộ tài sản kỹ thuật số của tổ chức bằng tính năng mã hóa toàn diện và quản lý danh tính mạnh mẽ. 
• Khả năng quan sát: Khám phá các hệ thống CNTT ngoài luồng và mọi thiết bị đang cố gắng truy nhập vào mạng của bạn. Tìm hiểu xem liệu người dùng và thiết bị có tuân thủ hay không và hạn chế quyền truy nhập nếu không.
• Phân tích: Phân tích dữ liệu tự động và nhận cảnh báo trong thời gian thực về hành vi bất thường để phát hiện và ứng phó mối đe dọa nhanh hơn. 
• Tự động hóa: Sử dụng AI để chặn các cuộc tấn công, giảm cảnh báo giả và ưu tiên những cảnh báo cần ứng phó. 
 

4. Lợi ích của Mô hình Zero Trust
Nhiều doanh nghiệp đã áp dụng triết lý zero trust khi thiết kế kiến trúc bảo mật của họ vì một số lý do:
• Bảo vệ dữ liệu khách hàng: Thời gian lãng phí và sự thất vọng do mất dữ liệu khách hàng sẽ bị loại bỏ, cũng như cái giá phải trả là mất đi những khách hàng không còn tin tưởng vào doanh nghiệp.
• Giảm nhu cầu thuê và đào tạo các chuyên gia bảo mật: Hệ thống không tin cậy trung tâm có nghĩa là không cần phải thuê nhiều người để quản lý, giám sát, bảo mật, tinh chỉnh và cập nhật các biện pháp kiểm soát bảo mật.
• Hỗ trợ mô hình làm việc kết hợp và từ xa: Giúp mọi người làm việc an toàn mọi lúc, mọi nơi, bằng mọi thiết bị.
• Giảm thiểu rủi ro: Hạn chế thiệt hại bằng cách ngăn chặn các cuộc tấn công, phát hiện mối đe dọa nhanh hơn và hành động sớm hơn so với bảo mật truyền thống.
• Di chuyển lên đám mây: Chuyển từ mô hình tại chỗ sang mô hình đám mây một cách suôn sẻ và giảm các lỗ hổng trong quá trình thực hiện.
• Tiết kiệm thời gian: Cho phép các nhóm bảo mật tập trung vào việc ứng phó sự cố thay vì đặt lại và duy trì mật khẩu bằng cách loại bỏ cảnh báo giả, các bước của quy trình bổ sung và công cụ bảo mật dự phòng.
• Cải thiện trải nghiệm nhân viên: Đơn giản hóa quyền truy nhập vào tài nguyên bằng cách sử dụng đăng nhập một lần (SSO) hoặc sinh trắc học thay vì nhiều mật khẩu. Mang lại sự linh hoạt và tự do hơn bằng cách hỗ trợ mô hình mang thiết bị của riêng bạn.
Dựa trên thông tin từ một nhà cung cấp giải pháp bảo mật Zero trust lâu đời như Unisys, Amazon, Cisco, IBM, Microsft, Palo Alto Networks đã có rất nhiều doanh nghiệp, tập đoàn toàn cầu, ngân hàng, tổ chức chính phủ đang và tiếp tục áp dụng cũng như nâng cao mô hình Zero trust. Mục đích là nhằm cân bằng giữa ba yếu tố tính bảo mật, tính toàn vẹn và tính sẵn sàng.
Đối với hệ thống quy mô lớn hoặc những hệ thống có giá trị cao, dễ trở thành đối tượng tấn công như kể trên, Zero trust sẽ là một lớp mô hình bao quát nhưng không làm phức tạp hóa các phương thức bảo mật đã được áp dụng từ trước. Tuy nhiên, đối với những hệ thống quy mô nhỏ, vừa và không yêu cầu bảo mật cao, xu hướng này sẽ bị ảnh hưởng bởi nhu cầu về tính đa nhiệm nhân sự, tính đa dụng của thiết bị, tính sẵn sàng, khả năng quản lý, chính sách, cũng như là chi phí vận hành.
B. Áp dụng Zero Trust tại EVNHCMC
Nhằm tiếp tục kiện toàn mô hình kiến trúc an toàn thông tin tại Tổng công ty nói chung, hệ thống OT mà cụ thể là các trạm biến áp 110/220 kV nói riêng, tuân thủ Quyết định 99/QĐ-EVN ngày 18/01/2021 của EVN về Quy định Đảm bảo An toàn thông tin trong Tập đoàn Điện lực Quốc gia Việt Nam đông cũng như đáp ứng khung an toàn thông tin NIST 800-82 R3 cho hệ thống SCADA, ICS trong chủ đề quản lý truy cập, phân quyền và xác thực người dùng.
Trong tháng 5/2023, EVNHCMC đã triển khai thử nghiệm giải pháp Zerotrust cho mạng OT, ICS tại Công ty CNTT, Trung tâm ĐĐ HTĐ và trạm biến áp 110 kV Xuân Thới Sơn. Hiệu quả mang lại sau triển khai thử nghiệm:
+ Nâng cao kiểm soát truy cập từ xa của quản trị viên từ Internet truy cập vào hệ thống quản lý tài khoản đặc quyền CyberArk;
+ Nâng cao kiểm soát máy tính truy cập tại Trạm biến áp;
+ Thử nghiệm cho phép người dùng tại Công ty LĐCT kết nối đến 1 thiết bị, máy chủ chỉ định bên dưới tại trạm biến áp một cách an toàn, có kiểm soát thường trực.
Sau khi quá trình thử nghiệm hoàn tất, EVNHCMC tiếp tục đánh giá tính hiệu quả, khả thi khi áp dụng mô hình bảo mật Zerotrust vào hệ thống OT của EVNHCMC để có cơ sở triển khai trong thời gian tới.