Zero Trust Là Gì? Mô Hình Bảo Mật 'Không Tin Tưởng Ai'

✦ Tóm tắt nhanh

Zero Trust là mô hình bảo mật hiện đại với nguyên tắc 'Never trust, always verify'. Tìm hiểu kiến trúc, nguyên tắc cốt lõi, BeyondCorp, Cloudflare Access và cách triển khai từng bước.

Bài này thế nào?

Zero Trust Là Gì? Tại Sao Mô Hình Cũ Thất Bại?

Zero Trust là mô hình bảo mật được John Kindervag (Forrester Research) đặt tên năm 2010, dựa trên nguyên tắc cốt lõi:

"Never trust, always verify — không bao giờ tin tưởng mặc định, luôn luôn xác minh"

Tại sao mô hình perimeter cũ thất bại?

Mô hình bảo mật truyền thống (castle-and-moat) tin rằng: mọi thứ bên trong mạng nội bộ (VPN, intranet) đều an toàn. Attacker chỉ cần xuyên qua perimeter một lần — sau đó tự do di chuyển khắp mạng (lateral movement).

Thực tế hiện đại phá vỡ giả định này:

Remote work: nhân viên làm việc từ nhiều địa điểm, thiết bị khác nhau
Cloud-first: tài nguyên nằm trên AWS/GCP/Azure, không còn "bên trong" mạng công ty
Supply chain attack: attacker xâm nhập qua vendor, partner, không cần vượt firewall trực tiếp
Insider threat: thiết bị bị compromise bên trong mạng vẫn nguy hiểm

Thống kê: 80% data breach có yếu tố stolen credentials (Verizon DBIR 2024). Mô hình "tin tưởng sau khi login một lần" là điểm yếu chí mạng.

Ba Nguyên Tắc Cốt Lõi Của Zero Trust

1. Verify Explicitly (Xác minh rõ ràng)

Authenticate và authorize mọi request dựa trên tất cả available data points:

Identity (ai đang request?)
Device health (thiết bị có được quản lý, patch đầy đủ không?)
Location (từ đâu? công ty hay cà phê wifi?)
Service/workload (request đến resource nào?)
Data classification (dữ liệu nhạy cảm không?)

2. Use Least Privilege Access

Cấp quyền tối thiểu cần thiết, đúng thời điểm, đúng thời lượng:

Just-in-Time (JIT) access: quyền tạm thời cho task cụ thể
Just-Enough-Access (JEA): không cấp quyền admin vĩnh viễn
Privileged Identity Management (PIM): escalate tạm thời khi cần

3. Assume Breach

Thiết kế hệ thống giả định attacker đã bên trong:

Encrypt mọi thứ, kể cả traffic nội bộ (mTLS)
Segment mạng để giới hạn blast radius
Giám sát và log toàn bộ activity
Minimize blast radius khi breach xảy ra

Zero Trust vs VPN — Tại Sao VPN Không Đủ?

VPN truyền thống:

Cấp quyền truy cập toàn bộ mạng nội bộ sau 1 lần authenticate
Không phân biệt thiết bị managed vs unmanaged
Không verify trạng thái thiết bị liên tục
Nếu credential bị đánh cắp, attacker có full network access

Zero Trust Network Access (ZTNA):

Cấp quyền từng ứng dụng cụ thể (per-app access)
Verify device posture (OS patch, antivirus, disk encryption)
Continuous authentication — verify lại theo session, hành vi
Least privilege: dev chỉ vào được dev server, không vào production DB

So sánh:

Tiêu chí	VPN	ZTNA
Scope sau authenticate	Toàn mạng	Từng app cụ thể
Device trust check	Không	Có (continuous)
Lateral movement	Dễ dàng	Bị chặn bởi microsegment
Visibility	Thấp	Cao (log mọi request)
Remote work UX	Chậm, lag	Nhanh hơn (direct to cloud)

Kiến Trúc Zero Trust: 4 Thành Phần Cốt Lõi

1. Identity Provider (IdP)

Trung tâm của Zero Trust. Quản lý user identity, enforce MFA, SSO.

Examples: Okta, Azure Active Directory, Google Workspace, Ping Identity

2. Device Trust

Kiểm tra trạng thái thiết bị trước khi cấp quyền truy cập:

Device được quản lý (MDM enrolled)?
OS đã patch mới nhất?
Disk encryption bật?
Antivirus đang chạy?
Không có malware indicator?

3. Policy Engine

Bộ não ra quyết định: allow/deny/step-up-auth dựa trên policy.

Policy: 
  IF user.role == "engineer" 
  AND device.managed == true
  AND device.os_patch_age <= 30 days
  AND request.resource == "prod-db"
  AND request.location NOT IN ["high-risk-countries"]
  THEN allow WITH session_logging
  ELSE deny OR require step-up MFA

4. Microsegmentation

Chia mạng thành micro-segment với policy riêng, chặn lateral movement.

Triển Khai Thực Tế: BeyondCorp, Cloudflare Access

Google BeyondCorp:

Google xây dựng BeyondCorp từ 2011 sau Operation Aurora (hack bởi APT). Thay vì VPN:

Device inventory database — track mọi thiết bị công ty
Identity-aware proxy — mọi request phải qua proxy, xác thực identity + device
Context-aware access — policy dựa trên user role + device state + location
Không có "trusted" network — engineer làm từ cà phê wifi cũng có cùng security posture như trong văn phòng

Cloudflare Access:

YAML

 1# Cloudflare Access policy (terraform)
 2resource "cloudflare_access_policy" "engineering_only" {
 3  application_id = cloudflare_access_application.internal_app.id
 4  zone_id        = var.zone_id
 5  name           = "Engineering Team Only"
 6  precedence     = 1
 7  decision       = "allow"
 8
 9  include {
10    email_domain = ["company.com"]
11    group        = [cloudflare_access_group.engineers.id]
12  }
13
14  require {
15    device_posture = [cloudflare_device_posture_rule.managed_device.id]
16  }
17}

Azure AD Conditional Access:

JSON

 1{
 2  "displayName": "Require MFA for all users",
 3  "state": "enabled",
 4  "conditions": {
 5    "users": { "includeUsers": ["All"] },
 6    "applications": { "includeApplications": ["All"] }
 7  },
 8  "grantControls": {
 9    "operator": "OR",
10    "builtInControls": ["mfa"]
11  }
12}

Microsegmentation — Chặn Lateral Movement

Microsegmentation chia mạng flat (nơi mọi server có thể talk với nhau) thành các zone nhỏ với policy riêng:

Zone: Web Tier
  - Chỉ nhận traffic từ Load Balancer (port 443)
  - Chỉ được kết nối đến App Tier (port 8080)
  - KHÔNG được kết nối trực tiếp Database Tier

Zone: App Tier
  - Chỉ nhận traffic từ Web Tier (port 8080)
  - Chỉ được kết nối đến DB Tier (port 5432)
  - KHÔNG được internet access

Zone: DB Tier
  - Chỉ nhận traffic từ App Tier (port 5432)
  - KHÔNG outbound internet
  - Encrypted at rest + in transit (mTLS)

Nếu attacker compromise được Web Tier, họ KHÔNG thể nhảy thẳng vào DB. Phải đi qua từng zone, mỗi bước đều bị kiểm soát và logged.

Zero Trust Maturity Model — 3 Giai Đoạn

Giai đoạn 1: Traditional (Khởi điểm)

Dùng VPN để remote access
Ít hoặc không có MFA
Flat network, tất cả server trong một subnet
Hành động: Enable MFA cho tất cả account, triển khai SSO

Giai đoạn 2: Advanced

SSO + MFA bắt buộc
Conditional access policy cơ bản
Device management (MDM)
Hành động: Bắt đầu microsegmentation, implement ZTNA cho critical apps

MFA là gì? Xác thực đa yếu tố trong Zero Trust

Giai đoạn 3: Optimal

Continuous verification cho mọi request
Automated device compliance enforcement
Full microsegmentation với real-time policy
Behavioral analytics và anomaly detection
Hành động: Loại bỏ hoàn toàn VPN, mTLS giữa tất cả service

Ứng Dụng Thực Tế

Remote work security: Nhân viên remote được xác thực theo device state + identity, không cần VPN chậm chạp. Cloudflare Access hoặc Zscaler Private Access thay thế VPN.

VPN là gì? Tại sao Zero Trust đang thay thế VPN

Post-breach recovery: Sau khi bị breach, Zero Trust giúp contain damage — attacker không thể lateral move tự do.

SaaS-heavy organization: Khi hầu hết apps là SaaS (Slack, Salesforce, GitHub), Identity-aware proxy + Conditional Access bảo vệ từng app riêng biệt.