Bài 75: Các Mô Hình Bảo Mật — Defense in Depth, Zero Trust Cơ Bản

💡 Liên hệ thực tế

Anh Nam đang thiết kế hệ thống an ninh cho tòa nhà văn phòng của VNExperts. Cách làm truyền thống: đặt bảo vệ ở cổng, camera ở hành lang, khóa vân tay ở cửa phòng server — nhiều lớp bảo vệ chồng lên nhau, để nếu 1 lớp bị vượt qua thì vẫn còn lớp khác chặn lại. Đây chính là tư duy Defense in Depth: không đặt cược an toàn hệ thống vào 1 lớp phòng thủ duy nhất.

Nhưng anh Nam nhận ra một vấn đề: một khi kẻ xấu đã lọt qua cổng bảo vệ (ví dụ giả làm nhân viên giao hàng), gần như mọi cửa bên trong đều mở toang vì "đã vào được bên trong rồi thì chắc là người quen". Đây chính là điểm yếu của mô hình phòng thủ theo lớp truyền thống — quá tin tưởng vào ranh giới "trong/ngoài".

Zero Trust ra đời để giải quyết đúng vấn đề đó: dù bạn đã ở trong tòa nhà hay đã đăng nhập vào mạng nội bộ, mỗi lần muốn mở thêm 1 cánh cửa (truy cập thêm 1 tài nguyên) đều phải xuất trình thẻ xác minh lại — không có khái niệm "đã vào trong thì được tin tưởng mặc định". Bài học hôm nay sẽ giúp bạn phân biệt rõ 2 mô hình này và hiểu vì sao ngành mạng đang dần chuyển dịch từ Defense in Depth sang Zero Trust.

📘 Kiến thức cốt lõi

1. Defense in Depth — Phòng thủ theo nhiều lớp

Defense in Depth là chiến lược bảo mật sử dụng nhiều lớp kiểm soát độc lập xếp chồng lên nhau, sao cho nếu 1 lớp bị vượt qua hoặc bị cấu hình sai, các lớp còn lại vẫn tiếp tục bảo vệ hệ thống.

🎯 Điểm cốt lõi: Defense in Depth dựa trên giả định "ranh giới trong/ngoài mạng là đáng tin cậy" — một khi traffic đã đi qua được lớp Perimeter (Firewall biên), nó thường được tin tưởng khá nhiều khi di chuyển bên trong mạng nội bộ. Đây cũng chính là điểm yếu lớn nhất của mô hình này.

2. Zero Trust — Không tin tưởng mặc định

Zero Trust là mô hình bảo mật dựa trên nguyên tắc cốt lõi: "Never trust, always verify" (Không bao giờ mặc định tin tưởng, luôn luôn xác minh) — bất kể user/thiết bị đó đang ở trong hay ngoài mạng nội bộ.

Ba nguyên tắc vận hành chính của Zero Trust:

• Xác thực liên tục (Continuous verification): mỗi yêu cầu truy cập đều phải được xác minh danh tính, không có khái niệm "đã đăng nhập 1 lần thì được tin cả phiên làm việc".
• Nguyên tắc đặc quyền tối thiểu (Least privilege): user/thiết bị chỉ được cấp đúng quyền truy cập cần thiết cho công việc, không hơn.
• Phân đoạn vi mô (Microsegmentation): chia mạng thành các vùng nhỏ, tách biệt truy cập giữa các vùng, giúp hạn chế khả năng kẻ tấn công di chuyển ngang (lateral movement) sang các hệ thống khác nếu đã xâm nhập được 1 điểm.

💡 Ghi nhớ: Zero Trust không phải là 1 sản phẩm hay công nghệ cụ thể — đó là 1 tư duy kiến trúc được hiện thực hóa bằng tổ hợp nhiều công nghệ: xác thực đa yếu tố (MFA), AAA (sẽ học ở Bài 76), NAC, microsegmentation...

3. So sánh 2 mô hình

⚠️ Lưu ý quan trọng: Zero Trust không thay thế hoàn toàn Defense in Depth — trong thực tế, Zero Trust thường được xây dựng dựa trên nền tảng các lớp phòng thủ đã có của Defense in Depth (Firewall, ACL, phân đoạn VLAN...), rồi bổ sung thêm lớp xác thực liên tục và microsegmentation để thu hẹp phạm vi tin tưởng mặc định. Hai mô hình bổ trợ nhau chứ không loại trừ nhau.

📎 Liên hệ lại kiến thức đã học: các kỹ thuật đã học ở Phần 4 như DHCP Snooping (Bài 71), ACL (Phần 3) chính là những "lớp phòng thủ" cụ thể trong mô hình Defense in Depth. Ở các bài tiếp theo của Phần 5 (AAA, Port Security, DAI, NAC...), bạn sẽ thấy nhiều kỹ thuật trong số đó cũng là thành phần cấu thành nên kiến trúc Zero Trust.

4. Security Program Elements — các yếu tố phi kỹ thuật không thể thiếu

Toàn bộ nội dung ở trên (Defense in Depth, Zero Trust) đều là mô hình kỹ thuật — nói về cách sắp xếp Firewall, ACL, xác thực... Nhưng theo đúng blueprint CCNA 200-301, một chương trình bảo mật (Security Program) hoàn chỉnh còn cần thêm 4 yếu tố phi kỹ thuật (non-technical), thường bị bỏ qua dù cực kỳ quan trọng trong thực tế:

💡 Dễ nhầm lẫn: Physical Security ở đây không phải khái niệm mới — nó chính là lớp "Vật lý (Physical)" đã xuất hiện trong bảng Defense in Depth ở mục 1️⃣ phía trên. Điểm khác biệt là ở góc nhìn: Defense in Depth xem Physical Security như 1 lớp kỹ thuật trong chuỗi phòng thủ, còn Security Program Elements xem nó như 1 trong 4 trụ cột quản trị (cùng Awareness, Training, Policy) mà tổ chức cần duy trì song song với các mô hình kỹ thuật.

⚠️ Vì sao 4 yếu tố này quan trọng không kém công nghệ: phần lớn các vụ xâm nhập thực tế không phải do Firewall hay ACL cấu hình sai, mà do con người — nhân viên click vào link phishing, dùng mật khẩu yếu, hoặc để khách lạ "tailgate" theo vào phòng server. Dù Zero Trust hay Defense in Depth có hoàn hảo đến đâu về mặt kỹ thuật, thiếu Awareness và Policy phù hợp thì hệ thống vẫn có lỗ hổng lớn nằm ở yếu tố con người.

💬 Hỏi & Đáp nhanh

❓ Nếu công ty đã có Firewall biên (Perimeter) và VLAN phân đoạn mạng nội bộ, thì đã áp dụng Zero Trust chưa?

❌ Chưa. Đó mới chỉ là các lớp phòng thủ của Defense in Depth. Zero Trust đòi hỏi thêm cơ chế xác thực liên tục cho từng yêu cầu truy cập cụ thể, không mặc định tin tưởng thiết bị/user chỉ vì đã ở trong 1 VLAN hoặc đã qua được Firewall biên.

❓ Zero Trust có thay thế hoàn toàn Firewall và ACL không?

❌ Không. Zero Trust vẫn cần dựa trên các lớp phòng thủ hạ tầng (Firewall, ACL, phân đoạn mạng) đã có sẵn của Defense in Depth, rồi bổ sung thêm lớp xác thực liên tục và nguyên tắc đặc quyền tối thiểu ở trên nền đó.

❓ Nguyên tắc "Least Privilege" trong Zero Trust có nghĩa là gì?

✅ Mỗi user/thiết bị chỉ được cấp đúng mức quyền truy cập cần thiết để hoàn thành công việc, không được cấp dư quyền — nhằm giảm thiểu thiệt hại nếu tài khoản đó bị xâm nhập.

❓ Awareness và Training khác nhau ở điểm nào, sao không gộp chung làm 1?

✅ Khác nhau ở mức độ bài bản và đối tượng. Awareness mang tính phổ cập, ngắn gọn, dành cho toàn bộ nhân viên (ví dụ poster, email nhắc nhở) — mục tiêu chỉ là giúp mọi người "biết có rủi ro". Training bài bản hơn nhiều: có giáo trình, bài kiểm tra, thường nhắm đến nhóm vai trò cụ thể (ví dụ đội IT, đội tài chính dễ bị nhắm đến bởi lừa đảo chuyển khoản) — mục tiêu là họ thực sự biết cách xử lý khi gặp tình huống, không chỉ "biết có rủi ro".

❓ Policy (chính sách mật khẩu, AUP...) có phải là biện pháp kỹ thuật không?

❌ Không — Policy là văn bản quy định, bản thân nó không tự động chặn được hành vi sai. Ví dụ: chính sách yêu cầu mật khẩu tối thiểu 12 ký tự chỉ có tác dụng thật sự khi được thực thi bằng công cụ kỹ thuật đi kèm (ví dụ Group Policy, cấu hình độ phức tạp mật khẩu trên hệ thống AAA). Chính vì vậy, Policy luôn cần đi cùng con người tuân thủ và công nghệ hỗ trợ, không thể đứng một mình.

📝 Bài tập đánh giá

Câu 1: Điểm khác biệt cốt lõi giữa Zero Trust và Defense in Depth truyền thống là gì?

• A. Zero Trust chỉ áp dụng cho mạng không dây, Defense in Depth chỉ áp dụng cho mạng có dây
• B. Zero Trust xác minh liên tục mọi yêu cầu truy cập dù đã ở trong mạng nội bộ, còn Defense in Depth có xu hướng tin tưởng traffic đã qua được lớp biên
• C. Defense in Depth không cần Firewall, Zero Trust bắt buộc phải có Firewall
• D. Không có khác biệt, đây là 2 tên gọi khác nhau của cùng 1 mô hình

Câu 2: "Microsegmentation" trong kiến trúc Zero Trust có tác dụng chính là gì?

• A. Tăng tốc độ truyền dữ liệu giữa các VLAN
• B. Chia mạng thành các vùng nhỏ tách biệt, hạn chế khả năng kẻ tấn công di chuyển ngang sang hệ thống khác nếu đã xâm nhập được 1 điểm
• C. Giảm số lượng thiết bị cần quản lý trong hệ thống
• D. Thay thế hoàn toàn vai trò của Firewall biên

Câu 3: Công ty tổ chức 1 khóa đào tạo bắt buộc, có bài kiểm tra cuối khóa, dành riêng cho đội Tài chính về cách nhận diện email lừa đảo chuyển khoản. Đây thuộc yếu tố nào trong Security Program Elements?

• A. Awareness
• B. Training
• C. Policy
• D. Physical Security

Câu 4: Vì sao phần lớn các vụ xâm nhập thực tế xảy ra dù hệ thống đã có Firewall và ACL đầy đủ?

• A. Vì Firewall và ACL không có tác dụng bảo mật
• B. Vì thiếu yếu tố con người (Awareness, Training) và Policy phù hợp, dẫn đến lỗ hổng ở khâu con người
• C. Vì Zero Trust luôn an toàn hơn Defense in Depth trong mọi trường hợp
• D. Vì Physical Security không liên quan đến bảo mật mạng

👉 Đáp án:

Câu 1: B — Đây chính là điểm khác biệt nền tảng: Defense in Depth dựa trên giả định mạng nội bộ tương đối đáng tin cậy sau khi qua lớp biên, còn Zero Trust không mặc định tin tưởng bất kỳ ai/thiết bị nào, kể cả đã ở trong mạng nội bộ.

Câu 2: B — Microsegmentation giúp giới hạn phạm vi di chuyển của kẻ tấn công (lateral movement), ngăn 1 điểm xâm nhập lan rộng ra toàn bộ hệ thống.

Câu 3: B — Đây là Training: có giáo trình bài bản, có bài kiểm tra, nhắm đến 1 nhóm vai trò cụ thể (đội Tài chính) — khác với Awareness vốn mang tính phổ cập chung cho toàn bộ nhân viên.

Câu 4: B — Phần lớn xâm nhập thực tế bắt nguồn từ yếu tố con người (click phishing, mật khẩu yếu) chứ không phải lỗi cấu hình Firewall/ACL. Đây là lý do Security Program Elements (Awareness, Training, Policy, Physical Security) quan trọng ngang với các mô hình kỹ thuật.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng