Bài 85: Security Tổng Quan Cho Cloud & AI-Driven Network Operations

💡 Liên hệ thực tế

Khi VNExperts thuê 1 căn hộ chung cư thay vì xây nhà riêng, trách nhiệm bảo trì được chia rõ ràng: ban quản lý tòa nhà lo phần kết cấu, thang máy, hệ thống PCCC chung — còn VNExperts tự chịu trách nhiệm khóa cửa căn hộ mình, không để người lạ vào, tự bảo quản tài sản bên trong. Không bên nào "lo hết" cho bên kia, và cũng không ai được phép nghĩ "chắc bên kia đã lo rồi".

Đây chính xác là tinh thần của Shared Responsibility Model (Mô hình trách nhiệm chia sẻ) trong bảo mật Cloud — khi công ty di chuyển hệ thống lên nền tảng đám mây (AWS, Azure, Google Cloud...), bảo mật không bao giờ được chuyển giao hoàn toàn cho nhà cung cấp dịch vụ đám mây (Cloud Service Provider — CSP). Một phần trách nhiệm luôn thuộc về chính tổ chức sử dụng dịch vụ, và ranh giới đó thay đổi tùy theo loại dịch vụ đang thuê.

📘 Kiến thức cốt lõi

1. Ba mô hình dịch vụ Cloud: IaaS, PaaS, SaaS

Trước khi hiểu Shared Responsibility Model, cần phân biệt 3 mô hình dịch vụ Cloud phổ biến — khác nhau ở việc khách hàng "thuê đến đâu":

🎯 Điểm cốt lõi cần nhớ: càng đi từ IaaS → PaaS → SaaS, phần trách nhiệm phía khách hàng phải tự quản lý càng giảm dần, nhưng không bao giờ về 0 — dù dùng SaaS (ví dụ Microsoft 365, Google Workspace), khách hàng vẫn luôn phải tự chịu trách nhiệm về danh tính người dùng, phân quyền truy cập và chính dữ liệu họ nhập vào hệ thống.

2. Shared Responsibility Model — Ai chịu trách nhiệm phần nào

Dù mô hình dịch vụ nào, có 1 số hạng mục gần như luôn luôn thuộc về khách hàng, không phụ thuộc vào IaaS/PaaS/SaaS:

Ngược lại, nhà cung cấp Cloud luôn chịu trách nhiệm về hạ tầng vật lý — bảo mật trung tâm dữ liệu, phần cứng, và (tùy mô hình) cả hệ điều hành/nền tảng bên dưới.

⚠️ Lưu ý quan trọng: phần lớn sự cố bảo mật Cloud trong thực tế không xuất phát từ lỗi của nhà cung cấp, mà từ phía khách hàng cấu hình sai (ví dụ để mở quyền truy cập công khai ngoài ý muốn, không bật MFA, dùng mật khẩu yếu). Đây là lý do vì sao hiểu đúng ranh giới trách nhiệm trong Shared Responsibility Model lại quan trọng — nhiều tổ chức lầm tưởng "đã lên Cloud là nhà cung cấp lo hết bảo mật", dẫn đến chủ quan và bỏ sót chính những phần mình phải tự quản lý.

3. AI-Driven Network Operations (AIOps) — Vận hành mạng có sự hỗ trợ của AI

AIOps (Artificial Intelligence for IT Operations) là xu hướng ứng dụng AI/Machine Learning vào việc giám sát và vận hành hạ tầng mạng, với các khả năng chính:

• Phát hiện bất thường (Anomaly Detection): AI học "hành vi bình thường" của mạng theo thời gian, tự động phát hiện các sai lệch bất thường (ví dụ lưu lượng tăng đột biến bất thường vào giờ thấp điểm) nhanh hơn nhiều so với việc con người tự rà soát log thủ công.
• Dự đoán sự cố (Predictive Analytics): phân tích xu hướng dữ liệu lịch sử để dự đoán khả năng xảy ra sự cố (ví dụ 1 thiết bị có dấu hiệu sắp quá tải) trước khi sự cố thực sự xảy ra.
• Phản ứng tự động (Automated Remediation): khi phát hiện vấn đề đã biết rõ, hệ thống có thể tự động thực hiện hành động khắc phục theo kịch bản đã định sẵn, giảm thời gian phản ứng so với chờ con người can thiệp thủ công.

📎 Liên hệ lại kiến thức đã học: AIOps trong bối cảnh bảo mật có nhiều điểm giao với các khái niệm đã học — ví dụ khả năng phát hiện bất thường của AIOps có thể là dữ liệu đầu vào kích hoạt CoA trong NAC (Bài 83) để tự động cách ly 1 thiết bị nghi vấn, hoặc bổ sung cho EDR (Bài 84) trong việc phát hiện hành vi bất thường trên endpoint.

⚠️ Lưu ý khi học: AIOps là công cụ hỗ trợ ra quyết định và tăng tốc độ phản ứng, không phải là 1 giải pháp bảo mật độc lập thay thế hoàn toàn các lớp phòng thủ đã học (Firewall, NGFW, NAC, Endpoint Security). Dữ liệu AI phân tích vẫn cần con người giám sát, đánh giá và tinh chỉnh liên tục để tránh sai số (false positive/false negative).

💬 Hỏi & Đáp nhanh

❓ Nếu công ty dùng dịch vụ SaaS (ví dụ Microsoft 365), công ty có còn trách nhiệm bảo mật gì không?

✅ Có — dù dùng SaaS, công ty vẫn luôn phải tự chịu trách nhiệm về quản lý danh tính người dùng (bật MFA, phân quyền đúng), và bảo vệ dữ liệu mà công ty nhập vào hệ thống, chứ không phải "khoán trắng" hoàn toàn cho nhà cung cấp.

❓ Đa số sự cố bảo mật Cloud trong thực tế xuất phát chủ yếu từ đâu?

✅ Chủ yếu từ phía khách hàng cấu hình sai — ví dụ để lộ quyền truy cập công khai ngoài ý muốn, không bật MFA, dùng mật khẩu yếu — chứ không phải lỗi từ hạ tầng của nhà cung cấp.

❓ AIOps có thể thay thế hoàn toàn vai trò của quản trị viên mạng trong việc giám sát bảo mật không?

❌ Không. AIOps là công cụ hỗ trợ tăng tốc độ phát hiện và phản ứng, nhưng vẫn cần con người giám sát, đánh giá kết quả và tinh chỉnh liên tục để tránh sai số nhận diện.

📝 Bài tập đánh giá

Câu 1: Trong mô hình dịch vụ nào, khách hàng chỉ còn chịu trách nhiệm chính về danh tính người dùng và dữ liệu nhập vào, còn lại gần như thuộc về nhà cung cấp?

• A. IaaS
• B. PaaS
• C. SaaS
• D. Cả 3 mô hình đều giống nhau

Câu 2: Phần lớn sự cố bảo mật Cloud trong thực tế thường xuất phát từ đâu?

• A. Lỗi phần cứng của trung tâm dữ liệu nhà cung cấp
• B. Khách hàng cấu hình sai (ví dụ để lộ quyền truy cập công khai, không bật MFA)
• C. Do bản thân nền tảng Cloud vốn không an toàn
• D. Không có sự cố bảo mật nào xảy ra trên Cloud

👉 Đáp án:

Câu 1: C — Trong SaaS, nhà cung cấp quản lý gần như toàn bộ (hạ tầng, nền tảng, cả bản thân ứng dụng), khách hàng chỉ còn chịu trách nhiệm chính về danh tính người dùng và dữ liệu nhập vào hệ thống.

Câu 2: B — Đa số sự cố bảo mật Cloud trong thực tế xuất phát từ lỗi cấu hình phía khách hàng, không phải từ lỗi hạ tầng của nhà cung cấp — đây là lý do Shared Responsibility Model nhấn mạnh khách hàng không được chủ quan giao phó toàn bộ bảo mật cho nhà cung cấp.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng