Zero Trust cho doanh nghiệp Việt: lộ trình triển khai 90 ngày

Hiểu đúng: Zero Trust là kiến trúc, không phải sản phẩm

Điều đầu tiên cần nói thẳng với các anh chị phụ trách IT: không có nhà cung cấp nào bán được cho bạn Zero Trust trong một hộp. NIST SP 800-207 định nghĩa Zero Trust là tập hợp các nguyên tắc thiết kế, không phải một công nghệ cụ thể. Bốn nguyên tắc cốt lõi gồm xác thực liên tục thay vì tin tưởng một lần khi đăng nhập, cấp quyền tối thiểu đủ dùng, phân đoạn vi mô để giới hạn phạm vi thiệt hại, và giả định hệ thống đã bị xâm nhập nên luôn thiết kế theo hướng phát hiện và ngăn chặn lan rộng.

Mô hình cũ dựa vào biên mạng: ai vào được bên trong tường lửa thì mặc nhiên được tin. Mô hình này sụp đổ khi nhân viên làm việc từ nhà, khi ứng dụng chạy trên cloud, khi đối tác cần truy cập hệ thống nội bộ, và khi kẻ tấn công chỉ cần một tài khoản bị lộ là đi lại tự do trong mạng. Phần lớn các vụ ransomware nghiêm trọng tại Việt Nam vài năm qua đều theo kịch bản này: xâm nhập một máy trạm, leo thang đặc quyền, rồi lan ngang toàn mạng trong vài giờ.

NIST chia Zero Trust thành năm trụ cột: identity, device, network, application và data. Một chương trình triển khai nghiêm túc phải chạm đến cả năm trụ cột, nhưng không cần làm cùng lúc. Kinh nghiệm cho thấy bắt đầu từ identity mang lại tỷ lệ giảm rủi ro trên đồng vốn cao nhất, vì hầu hết các cuộc tấn công thành công đều bắt đầu từ danh tính bị chiếm đoạt chứ không phải từ lỗ hổng phần mềm phức tạp.

• Xác thực liên tục: kiểm tra lại danh tính và bối cảnh ở mỗi lần truy cập tài nguyên
• Least privilege: cấp đúng quyền cần cho đúng khoảng thời gian cần
• Micro-segmentation: chia mạng thành vùng nhỏ, chặn di chuyển ngang
• Assume breach: thiết kế với giả định kẻ tấn công đã ở bên trong
• Năm trụ cột: identity, device, network, application, data

Đánh giá hiện trạng trước khi mua bất cứ thứ gì

Trước khi bàn tới giải pháp, cần một bức tranh trung thực về hiện trạng. Câu hỏi cần trả lời được bằng số liệu chứ không bằng cảm nhận: có bao nhiêu tài khoản đang tồn tại trong Active Directory, trong đó bao nhiêu tài khoản đã không đăng nhập quá 90 ngày, bao nhiêu tài khoản thuộc nhóm Domain Admins, bao nhiêu máy trạm đang chạy hệ điều hành hết hỗ trợ, và những ứng dụng nào đang mở ra Internet mà không qua bất kỳ lớp xác thực bổ sung nào.

Thực tế khi khảo sát các doanh nghiệp quy mô 200 đến 500 nhân sự, chúng tôi thường tìm thấy 15 đến 30 phần trăm tài khoản là tài khoản chết của nhân viên đã nghỉ, 5 đến 12 tài khoản có quyền quản trị miền trong khi nhu cầu thực chỉ cần 2 đến 3, và ít nhất một dịch vụ RDP hoặc VPN cũ mở thẳng ra Internet. Đây đều là những thứ sửa được ngay, không tốn tiền mua sắm, và giảm rủi ro rất nhanh.

Kết quả đánh giá nên được viết thành một tài liệu ngắn gọn kèm bảng xếp hạng rủi ro theo mức độ nghiêm trọng và độ khó khắc phục. Tài liệu này vừa là cơ sở lập kế hoạch 90 ngày, vừa là công cụ để xin ngân sách với ban giám đốc. Con số cụ thể như bảy tài khoản quản trị miền không cần thiết thuyết phục hơn nhiều so với những lời cảnh báo chung chung về an ninh mạng.

Ngày 0 đến 30: danh tính và tài sản

Giai đoạn đầu tập trung vào trụ cột identity vì đây là nơi tạo ra kết quả nhanh nhất. Việc số một là kiểm kê toàn bộ tài sản: máy chủ, máy trạm, laptop, thiết bị mạng, máy in, camera, cả những thiết bị mà không ai nhớ ai lắp. Có thể dùng công cụ quét mạng miễn phí kết hợp đối chiếu với bảng tài sản kế toán. Danh mục này là nền móng cho mọi việc phía sau, vì bạn không thể bảo vệ thứ mình không biết đang tồn tại.

Việc số hai là bật xác thực đa yếu tố cho toàn bộ tài khoản, ưu tiên tuyệt đối cho tài khoản quản trị, email, VPN và mọi cổng truy cập từ Internet. Nếu doanh nghiệp đang dùng Microsoft 365, tính năng MFA đã có sẵn trong gói Business Premium hoặc E3, chỉ cần cấu hình Conditional Access. Nên chọn ứng dụng authenticator hoặc khoá cứng FIDO2 thay vì SMS, vì SMS có thể bị chiếm đoạt qua tráo SIM, một hình thức không hiếm tại Việt Nam.

Việc số ba là dọn dẹp tài khoản đặc quyền. Vô hiệu hoá tài khoản của người đã nghỉ, gỡ quyền quản trị khỏi tài khoản dùng hàng ngày, tạo tài khoản quản trị riêng chỉ dùng khi cần và không dùng để đọc email hay lướt web. Áp dụng nguyên tắc tài khoản quản trị chỉ đăng nhập từ máy trạm quản trị chuyên dụng. Riêng ba việc này, làm xong trong 30 ngày, đã chặn được phần lớn kịch bản tấn công phổ biến nhất.

• Kiểm kê tài sản đầy đủ, đối chiếu quét mạng với sổ tài sản kế toán
• Bật MFA cho 100 phần trăm tài khoản, ưu tiên quản trị, email và VPN
• Dùng authenticator app hoặc khoá FIDO2, hạn chế MFA qua SMS
• Giảm số tài khoản Domain Admins xuống mức tối thiểu, tách tài khoản quản trị riêng
• Vô hiệu hoá tài khoản không hoạt động quá 90 ngày

Ngày 31 đến 60: thiết bị, phân đoạn mạng và kiểm soát ứng dụng

Giai đoạn hai chuyển sang trụ cột device và network. Về thiết bị, mục tiêu là mỗi máy kết nối vào hệ thống phải chứng minh được trạng thái an toàn: hệ điều hành còn được hỗ trợ, đã vá bản vá bảo mật gần đây, có phần mềm phòng chống mã độc đang chạy, ổ đĩa được mã hoá. Microsoft Intune hoặc các giải pháp quản lý điểm cuối tương đương xử lý được việc này, và có thể gắn kết quả kiểm tra vào chính sách truy cập, chặn máy không đạt chuẩn.

Về mạng, phân đoạn là công việc nặng nhất nhưng cũng giá trị nhất. Nguyên tắc là chia mạng thành các vùng theo chức năng nghiệp vụ: vùng máy chủ, vùng máy trạm văn phòng, vùng khách, vùng camera và thiết bị IoT, vùng hệ thống tài chính. Giữa các vùng chỉ mở đúng cổng cần thiết. Với hạ tầng Fortinet, dùng chính sách giữa các interface kết hợp VLAN. Với Cisco, có thể dùng ACL trên switch lớp ba hoặc triển khai TrustSec nếu thiết bị hỗ trợ.

Đừng cố làm phân đoạn hoàn hảo ngay lần đầu. Cách làm thực tế là tách trước ba vùng có rủi ro rõ nhất: mạng khách phải hoàn toàn tách biệt, thiết bị camera và IoT phải bị cấm khởi tạo kết nối vào vùng máy chủ, và hệ thống kế toán nên nằm trong vùng riêng chỉ cho phép truy cập từ đúng danh sách máy trạm. Ba việc này làm được trong 30 ngày và đã cắt phần lớn đường di chuyển ngang của mã độc.

• Yêu cầu device posture: OS được hỗ trợ, đã vá, có EDR, ổ đĩa mã hoá
• Tách mạng khách hoàn toàn khỏi mạng nội bộ
• Cấm camera và thiết bị IoT khởi tạo kết nối vào vùng máy chủ
• Đưa hệ thống tài chính vào vùng riêng với danh sách truy cập hạn chế
• Thay VPN toàn mạng bằng truy cập theo từng ứng dụng nếu có điều kiện

Ngày 61 đến 90: giám sát, log tập trung và diễn tập

Nguyên tắc assume breach chỉ có ý nghĩa nếu bạn thật sự phát hiện được khi sự cố xảy ra. Giai đoạn ba tập trung vào khả năng nhìn thấy. Việc đầu tiên là gom log về một chỗ: log đăng nhập từ domain controller, log tường lửa, log VPN, log máy chủ ứng dụng, log EDR. Có thể dùng Wazuh hoặc Graylog cho phương án chi phí thấp, hoặc Microsoft Sentinel nếu đã đầu tư vào hệ sinh thái Microsoft. Điểm quan trọng là log phải được lưu ở nơi kẻ tấn công không xoá được.

Việc thứ hai là định nghĩa cảnh báo có ý nghĩa thay vì bật hết mọi rule rồi bị ngập trong nhiễu. Danh sách khởi đầu tốt gồm: đăng nhập thành công từ quốc gia lạ, thêm tài khoản vào nhóm quản trị, tạo tài khoản mới ngoài giờ hành chính, số lần đăng nhập thất bại tăng đột biến, xoá log sự kiện, và tiến trình lạ chạy từ thư mục tạm. Khoảng mười cảnh báo được tinh chỉnh kỹ hiệu quả hơn ba trăm cảnh báo không ai đọc.

Việc thứ ba, thường bị bỏ qua nhất, là diễn tập sự cố. Tổ chức một buổi hai giờ với kịch bản giả định máy tính kế toán trưởng bị mã hoá dữ liệu lúc 9 giờ sáng thứ Hai. Ai phát hiện, báo cho ai, ai có quyền ngắt mạng, khôi phục từ bản sao lưu nào, mất bao lâu, thông báo cho khách hàng ra sao. Buổi diễn tập đầu tiên hầu như luôn phát hiện ra vài lỗ hổng quy trình nghiêm trọng mà không tài liệu nào chỉ ra được.

Những sai lầm khiến dự án Zero Trust thất bại

Sai lầm phổ biến nhất là mua công nghệ trước khi hiểu vấn đề. Không ít doanh nghiệp chi tiền cho một nền tảng đắt tiền có chữ Zero Trust trong tài liệu marketing, triển khai nửa vời, rồi vẫn để nguyên bảy tài khoản quản trị miền và mạng phẳng không phân đoạn. Công nghệ chỉ khuếch đại chất lượng của quy trình nền tảng, không thay thế được nó.

Sai lầm thứ hai là siết quá nhanh làm gián đoạn công việc kinh doanh. Nếu bạn bật chính sách chặn cứng vào sáng thứ Hai và ba mươi người không vào được hệ thống, uy tín của cả chương trình bảo mật sẽ mất, và lần sau xin ngân sách sẽ rất khó. Cách đúng là chạy chính sách ở chế độ báo cáo trong hai tuần, xem ai bị ảnh hưởng, xử lý ngoại lệ, rồi mới chuyển sang chế độ chặn.

Sai lầm thứ ba là coi đây là dự án của riêng phòng IT. Zero Trust động chạm tới cách mọi người làm việc hàng ngày, nên cần người bảo trợ ở cấp ban giám đốc, cần truyền thông nội bộ giải thích lý do, và cần đào tạo ngắn cho người dùng. Kinh nghiệm cho thấy một email từ tổng giám đốc giải thích tại sao phải bật MFA có tác dụng hơn mười email từ phòng IT.

• Không mua sản phẩm trước khi dọn xong tài khoản đặc quyền và kiểm kê tài sản
• Luôn chạy chính sách ở chế độ audit trước khi chuyển sang chế độ chặn
• Cần người bảo trợ cấp lãnh đạo và truyền thông nội bộ rõ ràng
• Đừng bỏ qua nhà thầu và đối tác có quyền truy cập hệ thống
• Ghi lại mọi ngoại lệ kèm thời hạn rà soát lại, tránh ngoại lệ vĩnh viễn

Chi phí và nguồn lực thực tế cho doanh nghiệp 100 đến 500 nhân sự

Nói thẳng về tiền. Với doanh nghiệp 300 nhân sự đã dùng Microsoft 365 Business Premium, phần lớn công cụ cần cho giai đoạn một và hai đã nằm trong license hiện có: MFA, Conditional Access, Intune, BitLocker. Chi phí thật sự phát sinh nằm ở nâng cấp thiết bị mạng nếu tường lửa hiện tại quá cũ để làm phân đoạn, ở giải pháp EDR cho điểm cuối, và ở công sức triển khai.

Về nhân lực, một chương trình 90 ngày ở quy mô này cần khoảng một người toàn thời gian hoặc hai người bán thời gian trong suốt ba tháng, cộng thêm hỗ trợ từ bên ngoài ở những phần chuyên sâu như thiết kế phân đoạn mạng và cấu hình SIEM. Nếu đội IT nội bộ chỉ có hai ba người đang phải lo cả vận hành hàng ngày, hãy tính tới phương án thuê ngoài phần triển khai để không bỏ dở giữa chừng, đây cũng là hạng mục HQG hỗ trợ thường xuyên cho khách hàng khu vực phía Nam.

Về thứ tự ưu tiên ngân sách khi tiền có hạn: MFA và dọn tài khoản đặc quyền gần như miễn phí nhưng giảm rủi ro nhiều nhất, nên làm trước. Tiếp theo là EDR cho máy trạm, vì đây là nơi sự cố thường bắt đầu. Sau đó mới tới nâng cấp tường lửa để phân đoạn, và cuối cùng là SIEM. Làm theo thứ tự này, mỗi đồng chi ra đều tạo ra mức giảm rủi ro cao nhất tại thời điểm đó.

Đo lường kết quả để chứng minh giá trị

Một chương trình bảo mật không đo lường được sẽ mất ngân sách vào năm sau. Cần chọn một bộ chỉ số nhỏ, đo trước khi bắt đầu và đo lại sau 90 ngày. Bộ chỉ số thực dụng gồm: tỷ lệ tài khoản đã bật MFA, số tài khoản có quyền quản trị miền, số tài khoản không hoạt động còn tồn tại, tỷ lệ máy trạm đạt chuẩn cấu hình, số vùng mạng đã phân đoạn, và thời gian trung bình từ khi có sự kiện đáng ngờ tới khi có người xử lý.

Các chỉ số này dễ thu thập và dễ giải thích cho ban giám đốc. Ví dụ báo cáo sau 90 ngày: MFA từ 12 phần trăm lên 98 phần trăm, tài khoản quản trị miền từ 9 xuống 3, tài khoản chết từ 87 xuống 0, máy trạm đạt chuẩn từ 40 lên 91 phần trăm. Đây là ngôn ngữ mà lãnh đạo hiểu được, khác hẳn với việc trình bày sơ đồ kiến trúc kỹ thuật.

Sau 90 ngày, chương trình không kết thúc mà chuyển sang nhịp vận hành đều đặn. Rà soát quyền truy cập mỗi quý, kiểm tra lại danh sách ngoại lệ, diễn tập sự cố hai lần mỗi năm, và cập nhật danh mục tài sản mỗi khi có thay đổi. Zero Trust là trạng thái vận hành liên tục chứ không phải một dự án có ngày nghiệm thu, và chính nhịp lặp lại này mới tạo ra sự khác biệt bền vững.

• Đo tỷ lệ MFA, số tài khoản đặc quyền, số tài khoản chết trước và sau
• Đo tỷ lệ máy trạm đạt chuẩn cấu hình và số vùng mạng đã phân đoạn
• Đo thời gian trung bình từ cảnh báo tới khi có người xử lý
• Rà soát quyền truy cập hàng quý, diễn tập sự cố hai lần mỗi năm
• Báo cáo bằng con số so sánh, không bằng sơ đồ kỹ thuật