Mở đầu

Cụm từ “Zero Trust” đã được quảng bá rầm rộ suốt nhiều năm. SASE, ZTNA, tăng cường IAM — tất cả được kể như phép màu thời đại mới. Nhưng với kỹ sư tuyến đầu, phản ứng thường là: “chẳng phải chỉ siết chặt xác thực thôi sao?”

Vậy Zero Trust thật sự là một mô hình bảo mật mới, hay chỉ là câu khẩu hiệu? Bài viết này sẽ phân tích một cách phản biện.

Tiền đề của bảo mật chu vi

Hãy nhìn lại mô hình truyền thống. Thời IPv4, mạng LAN dựa vào dải địa chỉ riêng và NAT để tránh truy cập trực tiếp từ bên ngoài. Thêm vào đó, tường lửa chặn lưu lượng “từ ngoài vào trong”, tạo ra giả định lâu dài rằng chỉ cần giữ vững chu vi là bên trong an toàn.

Mô hình đó vô cùng hiệu quả, duy trì an toàn cho việc dùng internet từ thập niên 1990 đến tận những năm 2010. “Vào được VPN là thông suốt” — chính là điển hình của bảo mật chu vi.

Vì sao Zero Trust trở thành tâm điểm

Nhưng bối cảnh đã đổi khác.

Đà bùng nổ của đám mây và di động

Nhân viên truy cập SaaS từ nhà, quán cà phê; ranh giới doanh nghiệp trở nên mờ nhạt.

Nội gián và mã độc lan ngang

Chỉ cần xâm nhập được, mạng LAN lập tức biến thành “hòn đảo tin cậy” trống trải phòng thủ.

Ảnh hưởng của Google BeyondCorp

Mô hình BeyondCorp của Google được ca ngợi như “bảo mật phá vỡ chu vi” và thu hút toàn bộ sự chú ý.

Thế là lá cờ “Zero Trust” xuất hiện. Khẩu hiệu “đừng tin ai cả” đầy tính kích động, đánh mạnh vào cả tầng lãnh đạo.

Những hiểu lầm xoay quanh Zero Trust

Thực tế, NIST hay CISA chưa từng kêu gọi “bỏ hoàn toàn chu vi”. Họ nhấn mạnh: “việc chuyển đổi phải theo từng bước, đa số tổ chức sẽ sống trong trạng thái lai giữa chu vi và Zero Trust”.

Vì sao quan niệm “thần dược” lại lan rộng?

  • Nhà cung cấp muốn bán bộ sản phẩm của mình như “mảnh ghép không thể thiếu của Zero Trust”.
  • Trường hợp của Google bị hiểu sai thành “mô hình vạn năng ai cũng sao chép được”.
  • Sau sự cố, người ta thích nói “nếu có Zero Trust thì đã chặn được” như một câu nói muộn màng.

Nói cách khác, Zero Trust hợp lý với tư cách tư tưởng, nhưng sự thổi phồng của nó như một từ khóa thời thượng thì quá mức.

Cái bẫy của “không cần chu vi”: khi máy khách đầy đủ chức năng còn tồn tại, chu vi vẫn cần thiết

Đây là điểm mấu chốt. Nếu ai cũng dùng thin client và không lưu dữ liệu trên thiết bị, Zero Trust quả thật rất hợp. Nhưng doanh nghiệp thực tế vẫn dựa vào máy khách giàu tài nguyên — PC đủ chức năng.

Những máy này giữ ứng dụng và dữ liệu tại chỗ; khi nhiễm độc, chúng mang thông tin xác thực hợp lệ đi lan ngang trong nội bộ. Muốn chặn đà lan đó, cuối cùng vẫn phải dùng đến các biện pháp mang tính chu vi như tường lửa và phân đoạn mạng.

Vì vậy, hiểu “Zero Trust = không cần chu vi” là sai. Bài toán kiến trúc thực sự là tối ưu độ dày của lớp chu vi.

Rốt cuộc Zero Trust là gì?

Xếp lại mọi thứ, bản chất Zero Trust khá đơn giản.

  • Hình ảnh bị hiểu sai “Công nghệ mới như phép màu” “Cuộc cách mạng xóa bỏ chu vi” “Thuốc chữa bách bệnh”

  • Nội dung thực sự Từ bỏ giả định ngọt ngào “ở trong LAN là tự động an toàn” Kết hợp xác thực, uỷ quyền, kiểm tra thiết bị, giám sát nhật ký và các công nghệ quen thuộc khác để vận hành bảo mật không dựa trên giả định tin cậy

Các công nghệ cấu thành vốn không mới.

  • MFA (xác thực đa yếu tố)
  • SAML, OAuth cho liên kết danh tính
  • MDM (quản lý thiết bị di động)
  • EDR (phát hiện và ứng phó điểm cuối)
  • CASB (môi giới truy cập đám mây)
  • SASE (nền tảng đám mây hợp nhất mạng và bảo mật)

Tất cả đã có từ lâu. Zero Trust chỉ gom chúng lại dưới một lá cờ chung.

Kết luận: giá trị thật của Zero Trust

Zero Trust là buzzword hay công nghệ? Câu trả lời: “là buzzword đóng gói một ý tưởng, nhưng việc buộc ta xét lại giả định mang giá trị thực tế”.

Nếu ai hỏi “Zero Trust là gì?”, tôi sẽ đáp:

Hãy bỏ giả định ‘LAN = an toàn’, kết nối các công nghệ sẵn có và vận hành bảo mật không dựa vào niềm tin tự động. Nếu không, thực tế sẽ không vận hành nổi.

Đây không phải phép màu công nghệ hay bộ sản phẩm mới. Nhưng khi gỡ lớp phô trương tiếp thị, giá trị còn lại với tư cách “tư duy thiết kế” là điều đáng kể.

FAQ (câu hỏi thường gặp)

Q: Zero Trust khác VPN thế nào? Đ: VPN là “chiếc chìa khóa bước vào chu vi”; sau đó bên trong thường mặc định tin tưởng. Zero Trust tiếp tục xác thực và giám sát ngay cả sau khi đã vào.

Q: Zero Trust khiến tường lửa trở nên thừa thãi? Đ: Không. Để ngăn thiết bị (đặc biệt là máy mạnh) bị nhiễm và lan ngang, kiểm soát theo kiểu chu vi vẫn rất quan trọng.

Q: Doanh nghiệp nhỏ có áp dụng Zero Trust được không? Đ: Có thể từng bước. Bắt đầu từ MFA, tăng cường giám sát nhật ký và những biện pháp cục bộ khác.

Q: Zero Trust có phải công nghệ mới? Đ: Không. Đó là cách tái tổ chức các công cụ quen thuộc dựa trên một triết lý mới.

Liên kết liên quan