Một số giải pháp bảo mật và đánh giá bảo mật dữ liệu cho các dịch vụ điện toán đám mây

03/11/2022 07:25

Trong mô hình điện toán đám mây (ĐTĐM), các dịch vụ tính toán và lưu trữ dữ liệu được thuê ngoài với giá thấp hơn nhiều so với đầu tư cơ sở hạ tầng công nghệ thông tin.

Vì vậy, ĐTĐM đang là lựa chọn phổ biến trong các doanh nghiệp vừa và nhỏ. Tuy nhiên, khách hàng không có toàn quyền kiểm soát các ứng dụng và dữ liệu của họ. Tính bảo mật của dữ liệu trở thành mối quan tâm khi xem xét các dịch vụ ĐTĐM. Bài báo này đưa ra một số giải pháp bảo mật và đánh giá bảo mật dữ liệu cho các dịch vụ ĐTĐM.

Theo Viện Tiêu chuẩn và Công nghệ Mỹ (NIST), ĐTĐM được định nghĩa như sau: “ĐTĐM (Cloud Computing) là mô hình dịch vụ cho phép người truy cập tài nguyên điện toán dùng chung như: Mạng, server, lưu trữ, ứng dụng, dịch vụ... thông qua kết nối mạng một cách dễ dàng, mọi lúc, mọi nơi, theo yêu cầu. Tài nguyên ĐTĐM có thể được thiết lập hoặc hủy bỏ nhanh chóng bởi người dùng mà không cần sự can thiệp của Nhà cung cấp dịch vụ”.

ĐTĐM mang lại nhiều lợi ích như tiết kiệm chi phí và thời gian, dễ dàng tiếp cận, có thể làm việc hầu như tại mọi nơi chỉ cần có mạng Internet, cho phép gia tăng sự hợp tác và sát nhập kinh doanh... nhưng khách hàng, đặc biệt là các tổ chức như ngân hàng, quốc phòng, chính phủ và các tổ chức tài chính cần suy nghĩ nghiêm túc về việc lựa chọn dịch vụ đám mây về vấn đề bảo mật dữ liệu.

Theo NIST, có năm đặc điểm cơ bản của ĐTĐM là “yêu cầu dịch vụ theo nhu cầu, quyền truy cập mạnh mẽ, tổng hợp tài nguyên, độ đàn hồi nhanh và dịch vụ được đo lường”. Tất cả các mô hình và dịch vụ ĐTĐM phải có những đặc điểm này.

ĐTĐM có 4 mô hình sản phẩm: Public Cloud- Đám mây công cộng; Private Cloud - Đám mây riêng; Hybrid Cloud - Đám mây lai; Community Cloud - Đám mây cộng đồng. ĐTĐM có bốn dịch vụ chính: Cơ sở hạ tầng dưới dạng dịch vụ (IaaS), nền tảng dưới dạng dịch vụ (PaaS), phần mềm dưới dạng dịch vụ (SaaS) và cơ sở dữ liệu dưới dạng dịch vụ (DBaaS).

Sự cố bảo mật và giải pháp kỹ thuật bảo mật cho dịch vụ ĐTĐM

Sự cố về vấn đề bảo mật trên ĐTĐM

Theo Liên minh bảo mật đám mây - CSA, các vấn đề đáng chú ý nhất trong ĐTĐM là vi phạm dữ liệu, định cấu hình sai tài nguyên, kiến trúc

và chiến lược bảo mật kém, quản lý truy cập và thông tin đăng nhập kém, mối đe dọa nội gián, chiếm đoạt tài khoản, API không an toàn, mặt phẳng kiểm soát yếu, cấu trúc lỗi, khả năng hiển thị sử dụng đám mây và lạm dụng dịch vụ đám mây. Bảng 1 liệt kê các sự cố bảo mật lớn đã xảy ra trong những năm qua.

Một số giải pháp bảo mật và đánh giá bảo mật dữ liệu cho các dịch vụ điện toán đám mây - Ảnh 1. — Bảng 1. Sự cố về vấn đề bảo mật trên ĐTĐM

Giải pháp kỹ thuật bảo mật cho dịch vụ ĐTĐM

Trong ĐTĐM, việc quản lý tài nguyên là trách nhiệm chung của nhà cung cấp (CSP) và khách hàng. Do đó, bảo mật dữ liệu trên ĐTĐM khác với các mô hình bảo mật thông thường. Nếu khách hàng đăng ký dịch vụ điện toán PaaS, thì CSP quản lý cơ sở hạ tầng phần cứng cùng với hệ điều hành và các loại phần mềm tiện ích khác, trong khi khách hàng quản lý phần mềm và dịch vụ ứng dụng. Khách hàng sẽ chịu trách nhiệm bảo mật các ứng dụng và dữ liệu, CSP sẽ chịu trách nhiệm bảo mật cơ sở hạ tầng.

Trong mô hình ĐTĐM, dữ liệu được lưu trữ trên các máy chủ từ xa trên các trung tâm dữ liệu của CSP. Do đó, sẽ phải thực hiện các biện pháp bảo mật bổ sung. Bảo mật trên ĐTĐM là cần tính đến cả bảo mật vật lý và phần mềm ngay từ khi đăng nhập an toàn đến khi truy cập mạng. Mục tiêu của các giải pháp bảo mật không chỉ giới hạn trong việc giải quyết các mối đe dọa hiện có, mà phải có khả năng phòng ngừa để chống lại các cuộc tấn công có thể xảy ra trong tương lai.

Xác thực, ủy quyền và mã hóa là chìa khóa để bảo mật dữ liệu và ứng dụng. Xác thực đảm bảo rằng đúng người hoặc chương trình đang truy cập vào các dịch vụ, ứng dụng và dữ liệu. Việc ủy quyền đảm bảo rằng cá nhân hoặc tổ chức có quyền truy cập vào dịch vụ, ứng dụng hoặc dữ liệu. Mã hóa dữ liệu đảm bảo tin tặc không thể đọc hoặc hiểu được dữ liệu đó. Xác thực được sử dụng để truy cập dữ liệu, ủy quyền được sử dụng để vận hành dữ liệu và mã hóa được sử dụng để vận chuyển an toàn dữ liệu qua mạng.

Lưu trữ đám mây là một trong những tài nguyên quý giá, không ai được cấp quyền truy cập trực tiếp. Các nút trong đám mây công cộng được chỉ định một địa chỉ IP công cộng để kết nối với Internet, nhưng để cấp quyền truy cập an toàn vào các máy chủ trong mạng con riêng và công khai của mạng đám mây ảo riêng, máy chủ pháo đài Bastion được sử dụng để làm gác cổng và kết nối người dùng theo các địa chỉ IP cụ thể. Chỉ các IP cụ thể mới được truy cập tài nguyên lưu trữ đám mây.

Trong IaaS, khách hàng phải tự cài đặt, giám sát và vận hành tất cả các thành phần phần mềm. Ở cấp độ IaaS, công nghệ ảo hóa được sử dụng để tạo máy ảo vì nhiều người thuê chia sẻ cùng một phần cứng vật lý dưới dạng máy ảo. Khả năng hiển thị dữ liệu và cách ly tài nguyên trong phần cứng dùng chung là những vấn đề quan trọng nhất phải đối mặt trong IaaS. Bảo mật dữ liệu của máy ảo khách và tấn công từ chối dịch vụ bởi máy ảo khách khác là những vấn đề quan trọng.

Trong PaaS, trách nhiệm bảo mật dữ liệu và cơ sở hạ tầng thuộc về cả CSP và khách hàng. Cấu hình sai là một trong những vấn đề bảo mật chính trong môi trường PaaS từ phía CSP. Nó thường xảy ra khi nhiều tài nguyên được kết nối nhưng chúng không được định cấu hình đúng cách. Mặt khác, khách hàng đám mây có trách nhiệm bảo mật các ứng dụng, dữ liệu và quyền truy cập của người dùng. Ở cấp độ ứng dụng, xác thực, ủy quyền và mã hóa dữ liệu phải được thực hiện để bảo mật dữ liệu và ứng dụng. Nếu xác thực dựa trên mật khẩu được triển khai, thì phải có một bộ mật khẩu mạnh, và chúng phải được lưu trữ ở định dạng mã hóa. Để bảo mật dữ liệu trên đám mây, lưu trữ đám mây mã hóa dữ liệu trước khi ghi vào thiết bị lưu trữ. Mã hóa này xảy ra sau khi dữ liệu của khách hàng đến với đám mây.

Để an toàn hơn, một lớp mã hóa bổ sung có thể được áp dụng, đó là mã hóa phía máy khách. Mã hóa phía máy khách được thực hiện trước khi dữ liệu được tải lên đám mây.

Trong dịch vụ điện toán SaaS, khách hàng trên đám mây hoàn toàn chịu trách nhiệm về dữ liệu họ đưa vào đám mây và ai có thể truy cập dữ liệu đó. Trong SaaS, CSP đảm nhận hầu hết tất cả các thuộc tính bảo mật. Tất cả tài nguyên phần cứng đến toàn bộ bộ phần mềm ứng dụng đều do CSP quản lý. Việc lấy cắp dữ liệu, kiểm soát truy cập kém, hoặc không mã hóa khi truyền dữ liệu và các ứng dụng được quản lý kém ở phía đám mây là những mối đe dọa bảo mật chính trong SaaS.

Đề xuất giải pháp đánh giá bảo mật đám mây dựa trên số liệu

Các chỉ số đánh giá bảo mật đám mây

Khi ngày càng nhiều khách hàng đưa các ứng dụng và dữ liệu của họ lên đám mây, bảo mật dữ liệu trở thành một yếu tố rất quan trọng. Để đạt được mức độ bảo mật cao, các yêu cầu bảo mật dữ liệu phải đủ rõ ràng trước khi chuyển sang đám mây. Các yêu cầu này sẽ cho phép khách hàng đánh giá tính bảo mật của môi trường đám mây và giúp khách hàng đám mây giảm thiểu rủi ro đối với đám mây. Ở đây tác giả đề xuất mười số liệu đánh giá bảo mật đám mây, giúp khách hàng đánh giá tính bảo mật của dịch vụ đám mây. Trước khi chuyển sang đám mây, mọi khách hàng phải đánh giá dịch vụ đám mây bằng cách tuân theo các chỉ số đánh giá bảo mật được đề cập trong Bảng 2.

Một số giải pháp bảo mật và đánh giá bảo mật dữ liệu cho các dịch vụ điện toán đám mây - Ảnh 2. — Bảng 2. Các chỉ số đánh giá bảo mật đám mây

Đánh giá bảo mật đám mây dựa trên số liệu

Đánh giá bảo mật dữ liệu trên đám mây không phải là nhiệm vụ một lần. Các mối đe dọa bảo mật trong môi trường đám mây không ngừng phát triển; do đó, phải có các quy trình, biện pháp và công nghệ thích hợp để ngăn chặn cơ sở hạ tầng đám mây khỏi tất cả các mối đe dọa có thể xảy ra.

Đối với khách hàng đám mây, tình hình trở nên khó chịu và khó khăn hơn. Dữ liệu IoT phải được chuyển sang đám mây để tận dụng lưu trữ đám mây. Mạng IoT là một mạng LAN cá nhân và mang rất nhiều dữ liệu bí mật. Nếu dữ liệu IoT được chuyển sang đám mây mà không được kiểm tra thích hợp thì đôi khi có thể gặp rủi ro vì không phải tất cả các dịch vụ đám mây đều an toàn một cách thích hợp.

Để giảm thiểu rủi ro bảo mật, khách hàng đám mây nên có các cơ chế mạnh mẽ nhưng đơn giản và thuận tiện để đánh giá chất lượng của các giải pháp bảo mật. Đánh giá dựa trên số liệu đáng được sử dụng vì nó dễ thực hiện và cung cấp kết quả định lượng mà doanh nghiệp có thể sử dụng để quyết định xem họ có nên chọn sử dụng dịch vụ đám mây hay không.

Trong Bảng 2 đưa ra 10 chỉ số và 30 câu hỏi để cấu thành mô hình đánh giá dựa trên số liệu bảo mật cho các dịch vụ ĐTĐM. Mỗi câu hỏi có trọng số là một điểm. Khi đánh giá dịch vụ đám mây, khách hàng phải trả lời tất cả các câu hỏi theo định dạng có hoặc không. Khi trả lời các câu hỏi, tổng điểm sẽ được cộng lại và chia 30, dùng đơn vị % để phân mức bảo mật.

Có bốn mức độ bảo mật là A, B, C,D tương ứng 4 loại dữ liệu có thể chuyển lên đám mây: Bí mật cao, bí mật, nội bộ, công cộng. Điểm được tính toán giúp khách hàng trên đám mây đưa ra quyết định về loại thông tin mà họ có thể lưu giữ trên đám mây. Theo điểm được chấm bởi một dịch vụ đám mây, khách hàng có thể quyết định xem có nên lựa chọn dịch vụ đám mây hay không.

Bảng 3 giải thích về điểm đánh giá, mức độ bảo mật và loại dữ liệu có thể được lưu trữ trên đám mây tùy thuộc vào điểm đánh giá.

Một số giải pháp bảo mật và đánh giá bảo mật dữ liệu cho các dịch vụ điện toán đám mây - Ảnh 3. — Bảng 3. Điểm đánh giá bảo mật dựa trên số liệu

Kết luận

Với nhu cầu ngày càng cao về các dịch vụ ĐTĐM, bảo mật và tính riêng tư của dữ liệu là rất quan trọng. Bảo mật là một quá trình liên tục, phải được kiểm tra và sửa đổi theo thời gian để giữ cho dữ liệu của khách hàng an toàn và bảo mật. Khách hàng đám mây phải đánh giá dịch vụ đám mây trước khi chuyển dữ liệu và ứng dụng lên đám mây. Cả CSP và khách hàng đám mây phải đảm bảo các giải pháp bảo mật có thể giải quyết các mối đe dọa hiện có và có thể dự đoán những mối đe dọa trong tương lai. Thực tế, tin tặc thường lợi dụng các trục trặc trong các giải pháp bảo mật và việc thực hiện các chính sách bảo mật kém, như: Mật khẩu yếu, cổng mở và dữ liệu không được mã hóa.

Những phát triển mới trong đám mây dành cho điện toán phân tán như điện toán biên, điện toán sương mù và Internet vạn vật sẽ mang đến những thách thức mới từ quan điểm bảo mật dữ liệu và quyền riêng tư của người dùng. Việc xem xét và cập nhật các giải pháp và chính sách bảo mật phải là một quá trình nhất quán cùng với các bản cập nhật công nghệ. Trong bài báo này, tác giả đã trình bày mô hình đánh giá bảo mật dựa trên số liệu cho các dịch vụ đám mây, làm cơ sở để đưa ra quyết định về loại dữ liệu nào có thể chuyển lên đám mây.

Tài liệu tham khảo:

1. Vinh Ngô, Uber thừa nhận che giấu vụ lộ lọt thông tin 57 triệu người dùng, Công nghệ số và truyền thông, 24/07/2022.

2. CyberKid, 5 cuộc tấn công mạng nổi tiếng bạn nên biết, 13/04/22.

3. Amazon Web Services, Archived Amazon web services: overview of security processes, 2020.

4. Google Cloud, Data encryption options, cloud storage, Google cloud, 2022.

5. McKinsey, Software as a Service and enterprise Cybersecurity, McKinsey, 2019.

(Bài đăng ấn phẩm in Tạp chí TT&TT số 10 tháng 10/2022)

Bài liên quan

Đầu tư công cụ bảo mật riêng lẻ khiến phản ứng sự cố ATTT chậm chạp

‏Theo đại diện FTI, việc bắt tay với Palo Alto Networks sẽ giúp tăng cường an toàn mạng và xử lý kịp thời các cuộc tấn công. Bởi vì, việc đầu tư nhiều công cụ bảo mật riêng lẻ, chồng chéo sẽ khiến việc phản ứng với sự cố trở nên chậm chạp.

Nổi bật Tạp chí Thông tin & Truyền thông

Bộ tem bưu chính đầu tiên thể hiện vẻ đẹp Hà Nội 12 mùa hoa

Hà Nội có những loài hoa rất đặc trưng vào các tháng trong năm và trở thành nguồn cảm hứng để bài hát "Hà Nội 12 mùa hoa" ra đời và nay được thể hiện trên bộ tem bưu chính đầu tiên của Việt Nam.
Sứ mệnh mới của báo chí - truyền thông: Chuyển từ đưa tin đơn thuần sang cung cấp tri thức

Ngày 25/4, Bộ Thông tin và Truyền thông (TT&TT) đã tổ chức Hội nghị Tập huấn truyền thông về hội nhập UNESCO và ASEAN hướng tới nâng cao chuyên môn, nghiệp vụ cho các cơ quan báo chí khi đưa tin về vấn đề hội nhập, đối ngoại của Việt Nam.
Doanh nghiệp thay đổi nhu cầu chuyển đổi số để tăng hiệu suất làm việc

Theo các chuyên gia, dù chuyển đổi số (CĐS) không được nhắc đến nhiều như trước nhưng đây vẫn là xu hướng không thể đảo ngược. Đồng thời, đã có sự dịch chuyển về mục tiêu, từ tăng trưởng sang tối ưu hóa vận hành, tăng hiệu suất làm việc.
Phenikaa tham gia phát triển nguồn nhân lực công nghiệp bán dẫn tại Việt Nam

Mới đây, Phenikaa chính thức tham gia lĩnh vực công nghiệp bán dẫn tại Việt Nam bằng việc thành lập Trung tâm Phenikaa Đào tạo thiết kế vi mạch bán dẫn, với mục tiêu đến năm 2030 đào tạo hơn 8.000 kĩ sư thiết kế vi mạch có chứng chỉ quốc tế.
Chuyển đổi số hiệu quả tại huyện Đan Phượng

Triển khai chuyển đổi số (CĐS) từ cụm dân cư, tổ dân phố cho tới cấp xã, huyện Đan Phượng (Hà Nội) đã và đang có cách làm hiệu quả tại cơ sở, hướng đến thực hiện CĐS trên cả 3 trụ cột: chính quyền số, kinh tế số và xã hội số.

Đừng bỏ lỡ

CĐS giúp tăng khả năng tự chăm sóc sức khỏe của mọi người dân

“Điều quan trọng là cần có sự đồng lòng, quyết tâm chính trị cao để thực hiện nhiệm vụ chuyển đổi số trong Y tế, từ đó năng cao chất lượng các dịch vụ khám, chữa bệnh, đạt mục tiêu bảo vệ sức khoẻ toàn diện, quyền lợi cho mọi người dân ngày một tốt hơn nữa”.
Bộ trưởng Nguyễn Mạnh Hùng: 8 kinh nghiệm để chuyển đổi số hiệu quả

Bộ trưởng Bộ TT&TT Nguyễn Mạnh Hùng, Phó Chủ tịch Uỷ ban Quốc gia về Chuyển đổi số (CĐS) đã nhấn mạnh 8 kinh nghiệm quý để thúc đẩy CĐS quốc gia tại phiên họp thứ 8 của Uỷ ban ngày 24/4/2024.
Các bộ, ngành, địa phương tập trung 6 nhiệm vụ trọng tâm thúc đẩy chuyển đổi số năm 2024

Thủ tướng Chính phủ Phạm Minh Chính đã giao 6 nhiệm vụ trọng tâm cho các bộ, ngành, địa phương nhằm thúc đẩy chuyển đổi số (CĐS) trong thời gian tới.
BFSI và xu hướng chuyển đổi sang nền tảng công nghệ Việt

Ngân hàng có lịch phát triển hàng trăm năm với dịch vụ số đầu tiên là dịch vụ sao kê tài khoản ở những năm thập niên 90, tuy nhiên, từ đó đến nay việc chuyển đổi số (CĐS) ngành tài chính, ngân hàng và bảo hiểm (BFSI) đã diễn ra nhanh chóng với giao dịch điện tử và hàng loạt ngân hàng số ra đời.
AI đã sẵn sàng thay thế các vị trí cấp thấp ở các tổ chức tài chính lớn

Các công ty dịch vụ tài chính như Goldman Sachs và Morgan Stanley đang âm thầm thử nghiệm các công cụ AI có thể giúp họ cung cấp dịch vụ CNTT với nhiều robot hơn và ít nhân viên hơn.
Tiến tới khung pháp lý và quản lý tài sản ảo tại Việt Nam

Việt Nam đã bắt đầu tham gia vào việc xây dựng khung pháp lý liên quan đến tài sản ảo (Virtual Asset - VA). Chính phủ và các cơ quan ban ngành liên quan đã tiến hành nghiên cứu và phối hợp trong lĩnh vực này.
FSI đẩy mạnh hoạt động giao thương số giữa Việt Nam - Lào

Trong chuỗi chuyến công tác tại Việt Nam, Bộ trưởng Bộ Công Thương Lào Malaithong Kommasith đã đến thăm và làm việc tại Công ty CP Đầu tư thương mại và Phát triển Công nghệ FSI (FSI).
Đào tạo, phổ cập blockchain và AI cho 1 triệu lượt người

Viện Công nghệ Blockchain và Trí tuệ Nhân tạo ABAII, trực thuộc Hiệp hội Blockchain Việt Nam (VBA), đặt mục tiêu đào tạo, phổ cập blockchain và AI cho 1 triệu lượt người đến năm 2030, trong đó bao gồm 100.000 sinh viên tại 30 trường Đại học (ĐH) trên cả nước.
‏Giải pháp triển khai thiết bị mạng Việt Nam tiết kiệm 10 lần thời gian cài đặt ‏

Ngày 24/4, VinCSS đã ra mắt VinCSS FDO Network Deployment Solution, phát triển trên công nghệ FDO của FIDO Alliance, giúp doanh nghiệp (DN) triển khai hạ tầng nhanh, an toàn và rẻ gấp nhiều lần so với thao tác thủ công hiện nay.‏
Những giải pháp "lá chắn" trong kỷ nguyên số

Hiện nay, các tập đoàn, tổ chức và doanh nghiệp (DN) đều sở hữu những dữ liệu lớn, với hệ thống thông tin khổng lồ và cực kỳ quan trọng. Đây cũng chính là “miếng mồi” mà các nhóm tội phạm mạng thường xuyên hướng đến.