Thực hành tốt nhất khi triển khai
Fystack áp dụng các biện pháp kiểm soát bảo mật triển khai nghiêm ngặt để bảo vệ hạ tầng production và vật liệu mật mã nhạy cảm. Tài liệu này trình bày các nguyên tắc bảo mật triển khai cốt lõi của chúng tôi: cô lập mạng, kiểm soát truy cập và bảo vệ endpoint.
1. Triển khai trong mạng riêng với truy cập qua VPN
Toàn bộ hạ tầng production của Fystack được triển khai trong mạng riêng với truy cập VPN bắt buộc, đảm bảo các dịch vụ quan trọng không bao giờ bị phơi bày trực tiếp ra internet công cộng.
Kiến trúc mạng
Thành phần | Cấu hình mạng |
|---|---|
Máy chủ ứng dụng | Triển khai trong các subnet riêng, không có địa chỉ IP công khai |
Máy chủ cơ sở dữ liệu | Cô lập trong các subnet cơ sở dữ liệu chuyên dụng, chỉ truy cập được từ tầng ứng dụng |
Node MPC | Triển khai trong mạng riêng bị giới hạn nghiêm ngặt với mạng lưới VPN ngang hàng |
Truy cập quản trị | Bắt buộc VPN cho mọi thao tác quản trị và triển khai |
Internet công cộng | Chỉ load balancer và API gateway có endpoint công khai |
Yêu cầu truy cập VPN
Mọi nhân sự truy cập hạ tầng production đều phải xác thực qua VPN với các biện pháp kiểm soát sau:
- Xác thực đa yếu tố (MFA): Bắt buộc dùng khóa bảo mật phần cứng hoặc ứng dụng xác thực
- Tuân thủ thiết bị: Chỉ các thiết bị được quản lý, có mã hóa toàn bộ ổ đĩa và bảo vệ endpoint
- Danh sách IP cho phép: Truy cập VPN được giới hạn trong các dải IP được ủy quyền
- Giám sát phiên: Mọi phiên VPN đều được ghi nhật ký và giám sát để phát hiện bất thường
- Tự động hết hạn: Phiên VPN hết hạn sau 8 giờ không hoạt động
- Xác thực dựa trên chứng chỉ: Bắt buộc chứng chỉ client bên cạnh thông tin đăng nhập
Phân đoạn mạng
Tầng mạng | Kiểm soát truy cập |
|---|---|
Vùng công khai | Chỉ load balancer, CDN, chống DDoS |
Vùng DMZ | API gateway, reverse proxy, WAF |
Vùng ứng dụng | Máy chủ ứng dụng, chỉ truy cập được từ DMZ và VPN |
Vùng dữ liệu | Cơ sở dữ liệu, chỉ truy cập được từ vùng ứng dụng |
Vùng bảo mật | Node MPC, KMS, secret store, mức giới hạn cao nhất |
2. IAM role trên đám mây cho truy cập KMS và Secret Manager
Fystack sử dụng Cloud IAM role để thực thi nguyên tắc đặc quyền tối thiểu cho việc truy cập Key Management Service (KMS) và Secret Manager. Chỉ các dịch vụ thiết yếu và lãnh đạo cấp C mới có quyền truy cập vật liệu mật mã quan trọng.
Mô hình truy cập IAM
Tài nguyên | Ai có quyền truy cập | Mức quyền |
|---|---|---|
Khóa chủ KMS | Chỉ CEO, CTO | Toàn quyền (mã hóa, giải mã, quản lý) |
Secret Manager | Chỉ CEO, CTO | Toàn quyền (đọc, ghi, xóa) |
Dịch vụ ứng dụng | Dịch vụ API, node MPC (qua service account) | Quyền chỉ đọc đối với các secret cụ thể |
Nhà phát triển | Không có quyền truy cập | Không có quyền đối với KMS hoặc secret production |
Đội DevOps | Không có quyền truy cập trực tiếp | Có thể triển khai, nhưng không thể đọc giá trị secret |
Giới hạn đối với service account
Các dịch vụ ứng dụng truy cập KMS và Secret Manager thông qua service account với phạm vi quyền được giới hạn chặt chẽ:
- Tài khoản riêng cho từng dịch vụ: Mỗi dịch vụ có service account chuyên dụng riêng
- Quyền tối thiểu: Chỉ các quyền cần thiết cho những thao tác cụ thể
- Kiểm soát truy cập theo từng secret: Quyền được cấp cho từng secret riêng lẻ, không phải toàn bộ secret store
- Thông tin xác thực có thời hạn: Token của service account tự động hết hạn và xoay vòng
- Ghi nhật ký kiểm toán: Mọi truy cập KMS và Secret Manager đều được ghi vào dấu vết kiểm toán bất biến
Chính sách kiểm soát truy cập
Ví dụ chính sách truy cập KMS:
- CEO và CTO có thể quản lý khóa KMS và xem nhật ký kiểm toán
- Service account của ứng dụng chỉ có thể mã hóa/giải mã bằng các khóa cụ thể
- Mọi lần sử dụng khóa đều được ghi nhật ký kèm định danh bên gọi và dấu thời gian
- Xóa khóa yêu cầu ủy quyền kép từ cả CEO và CTO
- Xoay vòng khóa được tự động hóa và giám sát
Ví dụ chính sách truy cập Secret Manager:
- CEO và CTO có thể tạo, đọc, cập nhật và xóa secret
- Dịch vụ ứng dụng chỉ có thể đọc các secret được gán cho chúng
- Việc truy cập secret được ghi nhật ký kèm định danh dịch vụ và địa chỉ IP
- Các phiên bản secret là bất biến và được lưu giữ cho mục đích kiểm toán
- Việc xoay vòng secret sẽ kích hoạt cập nhật dịch vụ tự động
3. Phát hiện và phản hồi tại endpoint (EDR)
Fystack triển khai các giải pháp Endpoint Detection and Response (EDR) như CrowdStrike hoặc Bitdefender dưới dạng sidecar để phát hiện và ngăn chặn các nỗ lực xâm nhập trên mọi hệ thống production.
Kiến trúc triển khai EDR
Thành phần | Bảo vệ EDR |
|---|---|
Sidecar container | EDR agent được triển khai dưới dạng sidecar container trong mọi pod |
Giám sát tiến trình | Giám sát thời gian thực mọi lần thực thi tiến trình và syscall |
Lưu lượng mạng | Kiểm tra các kết nối mạng đến và đi |
Toàn vẹn tệp | Phát hiện các thay đổi tệp trái phép |
Quét bộ nhớ | Phát hiện mã độc thường trú trong bộ nhớ và chèn mã |
Khả năng của EDR
Phát hiện mối đe dọa:
- Phân tích hành vi: Nhận diện hành vi tiến trình bất thường và leo thang đặc quyền
- Phát hiện dựa trên chữ ký: Chặn mã độc và các lỗ hổng khai thác đã biết
- Học máy: Phát hiện các mối đe dọa zero-day và mối đe dọa dai dẳng nâng cao (APT)
- Phát hiện di chuyển ngang: Nhận diện các nỗ lực truy cập trái phép giữa các hệ thống
- Bảo vệ khỏi ransomware: Phát hiện và chặn các nỗ lực mã hóa tệp
Hành động phản hồi:
- Tự động khoanh vùng: Cô lập các container bị xâm phạm khỏi mạng
- Chấm dứt tiến trình: Tự động dừng các tiến trình độc hại
- Thu thập điều tra số: Lưu giữ trạng thái bộ nhớ và ổ đĩa để điều tra
- Leo thang cảnh báo: Thông báo ngay lập tức cho đội bảo mật
- Khả năng rollback: Khôi phục từ các container image đã biết là an toàn
Giám sát và cảnh báo EDR
Loại cảnh báo | Hành động phản hồi |
|---|---|
Phát hiện mối đe dọa nghiêm trọng | Tự động cô lập container, thông báo ngay cho đội bảo mật |
Thực thi tiến trình đáng ngờ | Tiến trình bị dừng, cảnh báo được gửi đến trung tâm vận hành bảo mật |
Kết nối mạng trái phép | Kết nối bị chặn, lưu lượng mạng được ghi lại để phân tích |
Vi phạm toàn vẹn tệp | Container được triển khai lại từ image đã xác minh, sự cố được ghi nhận |
Phát hiện chèn mã vào bộ nhớ | Tiến trình bị chấm dứt, bản dump bộ nhớ được thu thập, CEO/CTO được thông báo |
Tích hợp EDR
- Tích hợp SIEM: Các sự kiện EDR được chuyển tiếp đến hệ thống Security Information and Event Management
- Playbook ứng phó sự cố: Quy trình phản hồi tự động cho các kịch bản đe dọa phổ biến
- Nguồn tin tình báo mối đe dọa: Cập nhật thời gian thực về các mối đe dọa mới và dấu hiệu xâm phạm
- Báo cáo tuân thủ: Báo cáo tuân thủ tự động cho các đợt kiểm toán bảo mật
- Phân tích điều tra số: Dữ liệu telemetry chi tiết cho việc điều tra sau sự cố
4. Tóm tắt
Chiến lược bảo mật triển khai của Fystack được xây dựng trên ba trụ cột cơ bản:
- Cô lập mạng riêng với truy cập qua VPN đảm bảo hạ tầng quan trọng không bao giờ bị phơi bày trực tiếp ra internet
- Kiểm soát IAM nghiêm ngặt giới hạn quyền truy cập KMS và Secret Manager chỉ cho CEO và CTO, với quyền tối thiểu cho service account
- Triển khai EDR dạng sidecar cung cấp khả năng phát hiện mối đe dọa theo thời gian thực và phản hồi tự động trên mọi hệ thống production
Các biện pháp kiểm soát này phối hợp với nhau để tạo nên tư thế bảo mật phòng thủ nhiều lớp, bảo vệ khóa mật mã, dữ liệu nhạy cảm và hạ tầng production trước cả các mối đe dọa bên ngoài lẫn nội bộ.