SDP là gì?

Mục lục

1. SDP là gì và ra đời để giải quyết vấn đề nào?
2. SDP hoạt động thế nào từng bước?
3. SDP gồm những thành phần nào?
4. Ví dụ minh hoạ: nhà thầu vào hệ thống kế toán
5. SDP khác gì VPN, tường lửa và ZTNA?
6. SDP có những ưu và nhược điểm nào?
7. Khi nào doanh nghiệp Việt Nam nên cân nhắc SDP?
8. Những lỗi thường gặp khi hiểu và áp dụng SDP
9. Tóm lại: SDP giải quyết gì và không giải quyết gì?
10. Câu hỏi thường gặp

SDP là gì và ra đời để giải quyết vấn đề nào?

SDP là một kiến trúc mạng dùng để triển khai nguyên tắc zero trust. Đặc tả SDP do Cloud Security Alliance (CSA) xây dựng nhằm kiểm soát truy cập tài nguyên dựa trên danh tính. Cách gọi “perimeter bằng phần mềm” nghĩa là ranh giới bảo vệ không còn là một chiếc hộp đặt ở cửa văn phòng. Ranh giới đó được dựng bằng phần mềm quanh từng ứng dụng, ở bất cứ nơi nào ứng dụng chạy.

Mô hình tường lửa truyền thống giả định rằng “bên trong an toàn, bên ngoài nguy hiểm”. Giả định này vỡ khi nhân viên làm việc từ xa, ứng dụng nằm rải rác giữa máy chủ riêng và đám mây, và nhà thầu cần vào hệ thống. Khi một kẻ tấn công đã vào được mạng nội bộ, họ thường nhìn thấy rất nhiều máy khác để dò tìm. SDP đảo ngược cách làm này. Người dùng chưa chứng minh được danh tính thì không thấy gì cả.

Về lịch sử, đặc tả SDP v2.0 do CSA phát hành ngày 10/03/2022, cập nhật cho bản v1.0 công bố tháng 4/2014. Ý tưởng “hạ tầng vô hình” có nguồn gốc quân sự. Khái niệm này được phát triển dựa trên sáng kiến mạng Black Core thuộc Global Information Grid của Cơ quan Hệ thống Thông tin Quốc phòng Mỹ (DISA). Vì vậy bạn sẽ thấy cách gọi “dark cloud” hoặc “black cloud” trong tài liệu kỹ thuật.

SDP hoạt động thế nào từng bước?

Điểm khác biệt của SDP nằm ở thứ tự: kiểm tra trước, mở cổng sau. Dưới đây là luồng điển hình, mô tả ở mức khái niệm.

Bước 1–2: gói SPA và việc “im lặng” trước người lạ

Single Packet Authorization (SPA) là cơ chế mật mã giúp máy chủ nối Internet trở nên vô hình với người chưa được phép. Thiết bị có bí mật mật mã thì thiết lập được kết nối tới các thành phần SDP, còn thiết bị không có thì không thể. Nếu gói không hợp lệ, cổng không trả lời. Với máy quét cổng, địa chỉ đó trông như không tồn tại.

SPA phát triển từ kỹ thuật port knocking. Kỹ thuật này được mô tả lần đầu ở USENIX năm 2004, trong đó tường lửa bảo vệ máy chủ được cấu hình bỏ qua mọi gói tin theo mặc định. Khác với port knocking cổ điển cần gõ một chuỗi cổng, SPA dồn thông tin xác thực vào một gói duy nhất, nên khó bị nghe lén và phát lại hơn.

Một chi tiết thú vị cho người làm hạ tầng: việc kiểm tra gói SPA đến rất nhẹ về tính toán, nên giúp hệ thống SDP chịu đựng tốt hơn trước tấn công DDoS. Nếu bạn quan tâm đến kiểu tấn công này, hãy đọc thêm về các loại tấn công DDoS.

Bước 3–4: xác thực danh tính và thiết bị rồi mới mở kết nối

Sau khi gói SPA hợp lệ, bộ điều khiển kiểm tra hai thứ: người dùng là ai và thiết bị đang ở tình trạng nào. Kết nối theo nguyên tắc cần biết mới được biết, yêu cầu cả xác thực thực thể lẫn kiểm tra tình trạng thiết bị trước khi cấp quyền vào tài sản nội bộ. “Tình trạng thiết bị” (device posture) thường gồm hệ điều hành đã vá chưa, ổ đĩa có mã hoá không, phần mềm bảo vệ máy trạm có chạy không. Danh tính thường được lấy từ hệ thống đăng nhập tập trung kèm xác thực đa yếu tố.

Kết nối tạo ra là kết nối mã hoá hai chiều (mutual TLS, mTLS). mTLS được nhấn mạnh trong mọi mô hình triển khai SDP và được bổ sung bằng các bước kiểm tra danh tính, thiết bị. Cả máy khách lẫn cổng đều phải trình chứng thư, nên kẻ mạo danh máy chủ cũng bị loại.

SDP gồm những thành phần nào?

Ở dạng đơn giản nhất, SDP gồm hai thành phần logic: SDP Host và SDP Controller. Host chia thành hai vai trò: Initiating Host (IH) là bên khởi tạo kết nối, thường là laptop hoặc điện thoại của nhân viên. Accepting Host (AH) là bên chấp nhận kết nối, nằm trước ứng dụng cần bảo vệ. Một cổng cùng tài nguyên mà nó bảo vệ tạo thành một Accepting Host.

CSA mô tả hai mặt phẳng này như sau: mặt phẳng điều khiển cho phép kết nối an toàn bên trong vành đai, còn mặt phẳng dữ liệu thực thi kết nối an toàn giữa IH và AH. Về vai trò, bộ điều khiển SDP khớp chặt với khái niệm Policy Decision Point trong zero trust. Cổng là điểm thực thi chính sách. Tách hai mặt phẳng giúp bạn thay đổi chính sách mà không phải sửa từng ứng dụng.

Một điểm hay bị bỏ qua: bộ điều khiển có thể đặt trên đám mây hoặc tại chỗ, và chính nó cũng được che bằng SPA để người không được phép không thấy và không truy cập được. Nói cách khác, ngay cả “bộ não” của hệ thống cũng không phơi ra Internet.

Ví dụ minh hoạ: nhà thầu vào hệ thống kế toán

Ví dụ minh hoạ (giả định): một công ty phân phối có 80 nhân viên, chạy phần mềm kế toán trên máy chủ đặt tại văn phòng. Kế toán thuê ngoài cần vào xem sổ cái vào cuối tháng. Cách cũ: cấp tài khoản VPN để họ vào mạng nội bộ. Hệ quả là máy của kế toán ngoài, vốn không do công ty quản lý, có thể nhìn thấy cả máy in, camera và máy chủ tệp.

Với SDP, chính sách có thể viết theo hướng khác. Nhóm “kế toán ngoài” chỉ được kết nối tới cổng của ứng dụng kế toán. Tài khoản phải qua xác thực đa yếu tố. Máy phải đang bật mã hoá ổ đĩa. Quyền chỉ hiệu lực từ ngày 25 đến mùng 5 hằng tháng. Ngoài các điều kiện đó, các máy khác trong văn phòng không hiện ra với họ. Nếu laptop của kế toán ngoài nhiễm mã độc, phạm vi lan sang các hệ thống khác bị thu hẹp, nhưng ứng dụng kế toán vẫn có thể bị tác động.

Ví dụ này cũng cho thấy điều SDP cần ở bạn: danh sách rõ ràng ai cần vào ứng dụng nào. Doanh nghiệp chưa có danh mục ứng dụng và phân quyền thì khó viết được chính sách.

SDP khác gì VPN, tường lửa và ZTNA?

Ba khái niệm này hay bị nhầm vì cùng “bảo vệ truy cập”. Bảng dưới so sánh theo các tiêu chí thực tế.

Tiêu chí	VPN truyền thống	Tường lửa vành đai	SDP
Đơn vị bảo vệ	Cả mạng nội bộ	Ranh giới giữa các vùng mạng	Từng ứng dụng hoặc dịch vụ
Thứ tự	Kết nối vào mạng rồi mới kiểm tra thêm	Lọc theo địa chỉ, cổng, giao thức	Xác thực trước, kết nối sau
Cổng dịch vụ	Cổng VPN mở ra Internet	Cổng được mở theo luật	Không phản hồi người chưa xác thực
Kiểm tra thiết bị	Tuỳ sản phẩm, thường hạn chế	Không phải chức năng chính	Là một phần của quy trình cấp quyền
Phạm vi sau khi vào	Thường rộng	Theo luật cho vùng mạng	Chỉ ứng dụng được cấp
Phù hợp nhất	Nhu cầu đơn giản, ít người dùng	Lọc lưu lượng ranh giới	Nhiều ứng dụng, nhiều nhóm truy cập, hạ tầng hỗn hợp

Cloudflare nêu một điểm phân biệt đáng nhớ: SDP khác các cơ chế kiểm soát dựa trên quyền hạn ở chỗ chúng giới hạn quyền người dùng nhưng vẫn cho truy cập mạng rộng. Nói gọn, nhiều hệ thống cũ chỉ siết “được làm gì” mà quên siết “được nhìn thấy gì”.

Với VPN, bạn có thể giữ nó cho các nhu cầu nhỏ. Với tường lửa, SDP không thay thế mà bổ sung: tường lửa vẫn cần cho phân đoạn mạng và lọc lưu lượng. Cần phân biệt rõ SDP với zero trust. Zero trust là triết lý và kiến trúc tổng thể, còn SDP là một cách kỹ thuật cụ thể để áp dụng nó ở tầng truy cập mạng.

SDP và ZTNA: cùng một thứ?

Gần như vậy về mục tiêu, khác nhau ở nguồn gốc và cách đóng gói. SDP là đặc tả mở của CSA. ZTNA (Zero Trust Network Access) là tên gọi mà ngành, các nhà phân tích và nhà cung cấp dùng cho nhóm sản phẩm cho phép truy cập ứng dụng theo nguyên tắc zero trust. Nhiều sản phẩm ZTNA có kiến trúc tương tự SDP, nhưng không phải sản phẩm nào cũng làm theo đúng đặc tả CSA hay dùng SPA. Khi đánh giá nhà cung cấp, hãy hỏi cụ thể cơ chế nào làm cho dịch vụ “không thể bị quét”, thay vì chỉ nghe tên gọi.

Theo Portnox, SDP và ZTNA đều là khung bảo mật tập trung vào truy cập an toàn tới tài nguyên mạng. Điểm chung đó giải thích vì sao tài liệu thương mại hay dùng lẫn lộn hai cách gọi.

SDP có những ưu và nhược điểm nào?

Ưu điểm

• Giảm bề mặt tấn công. Dịch vụ không phơi ra Internet nên các thao tác dò quét cổng và dò mật khẩu từ ngoài không có mục tiêu để nhắm tới.
• Phù hợp hạ tầng hỗn hợp. Khác với tường lửa tĩnh, SDP triển khai được trên Internet, đám mây, trung tâm dữ liệu hoặc mạng riêng của công ty, hoặc kết hợp các nơi đó.
• Quyền hạn tối thiểu theo ngữ cảnh. Chính sách có thể dựa vào vai trò, vị trí, loại thiết bị và các yếu tố khác, như Portnox mô tả.
• Dễ truy vết. Mỗi kết nối gắn với một danh tính và một thiết bị, thuận lợi khi đưa nhật ký vào hệ thống SIEM để phân tích.

Nhược điểm và giới hạn

• Cần cài phần mềm máy khách trên thiết bị (với mô hình dùng agent), gây khó với máy cá nhân của đối tác hoặc thiết bị không cài được phần mềm. Một số sản phẩm có chế độ không cần agent cho ứng dụng web, nhưng mức kiểm tra thiết bị thường kém hơn.
• Bộ điều khiển là điểm then chốt. Nếu nó ngừng hoạt động hoặc cấu hình sai, người dùng hợp lệ cũng không vào được. Bạn cần tính phương án dự phòng.
• Không diệt được mã độc. Một máy đã được cấp quyền nhưng bị chiếm quyền điều khiển vẫn có thể lạm dụng quyền đó. Vì thế cần kết hợp với bảo mật điểm cuối.
• Tốn công thiết kế chính sách. Mô hình càng mịn thì càng phải biết rõ ứng dụng nào dùng cổng nào, ai cần gì.
• Gánh nặng với giao thức đặc thù. SPA thường truyền qua UDP; đặc tả 2.0 có bàn cả phương án thay thế, nên cần kiểm tra mạng của khách hàng hoặc đối tác có cho phép lưu lượng đó không.

Khi nào doanh nghiệp Việt Nam nên cân nhắc SDP?

Quyết định phụ thuộc vào số ứng dụng cần bảo vệ và năng lực vận hành, không chỉ vào ngân sách. Ma trận dưới đây là gợi ý để định hướng, không phải khuyến nghị bắt buộc.

Các tình huống thường khiến SDP đáng xem xét:

• Cùng lúc có ứng dụng ở máy chủ tại chỗ và ở đám mây, người dùng cần vào cả hai.
• Có nhiều nhóm bên ngoài (nhà thầu, đối tác, kiểm toán) cần quyền hẹp và có thời hạn.
• Từng có sự cố do cổng quản trị như RDP hay SSH phơi ra Internet.
• Hệ thống kiểm soát công nghiệp hoặc ứng dụng cũ không thể vá thường xuyên, nên cần che chắn từ bên ngoài.

Ngược lại, nếu công ty chỉ có vài chục người, một hai ứng dụng đám mây có sẵn đăng nhập tập trung, thì ưu tiên thường nằm ở các biện pháp nền tảng hơn. Bạn có thể xem danh mục trong bài an ninh mạng cho doanh nghiệp nhỏ trước khi nghĩ đến kiến trúc truy cập mới.

Những lỗi thường gặp khi hiểu và áp dụng SDP

1. Nghĩ SDP là sản phẩm. SDP là kiến trúc và đặc tả. Có thể dùng sản phẩm thương mại, phần mềm mã nguồn mở (như công cụ SPA fwknop) hoặc dịch vụ đám mây để hiện thực. Mỗi cách có mức độ tuân thủ đặc tả khác nhau.
2. Bỏ qua thiết bị. Chỉ xác thực tài khoản mà không kiểm tra máy thì mất đi một nửa giá trị. Khi đánh giá giải pháp, hãy hỏi những thuộc tính nào của thiết bị được kiểm tra và kiểm tra lúc nào (một lần hay liên tục).
3. Cấp quyền theo mạng thay vì theo ứng dụng. Viết chính sách kiểu “nhóm kế toán được vào dải 10.0.5.0/24” làm mất tính chất bảo vệ từng ứng dụng.
4. Không tính đến chứng thư. mTLS cần quản lý chứng thư của máy khách và cổng. Chứng thư hết hạn mà không ai theo dõi sẽ làm gián đoạn truy cập.
5. Chuyển toàn bộ cùng lúc. Cách an toàn hơn là chọn ứng dụng nhạy cảm nhất, thường là cổng quản trị, chuyển trước rồi chạy song song với VPN cũ.

Tóm lại: SDP giải quyết gì và không giải quyết gì?

SDP giải quyết bài toán “ai được thấy và được vào ứng dụng nào” bằng cách xác thực trước, che giấu dịch vụ và cấp kết nối riêng cho từng phiên. Nó không giải quyết lỗ hổng bên trong ứng dụng, mã độc trên thiết bị đã được tin cậy, hay việc người dùng bị lừa chia sẻ thông tin đăng nhập. Với các nguy cơ đó, bạn cần các biện pháp khác như phòng chống lừa đảo phishing, vá lỗi và giám sát.

Câu hỏi thường gặp

SDP là gì, nói ngắn gọn?

SDP là mô hình bảo mật xây “vành đai” bằng phần mềm quanh từng ứng dụng. Hạ tầng không phản hồi người chưa xác thực. Sau khi người dùng và thiết bị được kiểm tra, hệ thống mở kết nối mã hoá riêng tới đúng ứng dụng được phép.

SDP có thay thế được VPN không?

Về chức năng truy cập từ xa thì có thể, và nhiều tổ chức dùng SDP hoặc ZTNA để thay VPN cho các ứng dụng cụ thể. Tuy nhiên VPN vẫn có chỗ dùng với nhu cầu nhỏ, đơn giản. Việc chuyển đổi nên dựa vào số ứng dụng, đối tượng người dùng và năng lực vận hành.

SPA (single packet authorization) là gì?

SPA là cơ chế gửi một gói tin có chữ ký mật mã để chứng minh quyền kết nối. Máy chủ chỉ mở cổng tạm thời cho nguồn gửi hợp lệ, còn gói không hợp lệ bị bỏ qua mà không phản hồi. Nhờ vậy dịch vụ không lộ ra trước các công cụ quét cổng.

SDP có phải là zero trust không?

SDP là một cách hiện thực zero trust ở tầng truy cập mạng. Zero trust rộng hơn, bao gồm cả danh tính, thiết bị, dữ liệu và giám sát liên tục. Chỉ triển khai SDP thì chưa đủ để nói doanh nghiệp đã đạt zero trust.

SDP và ZTNA khác nhau thế nào?

SDP là đặc tả kiến trúc mở do CSA xây dựng. ZTNA là tên gọi của nhóm giải pháp truy cập theo nguyên tắc zero trust trên thị trường. Hai khái niệm chồng lấn nhiều, nhưng sản phẩm ZTNA không nhất thiết dùng đúng cơ chế SPA của SDP.

Doanh nghiệp nhỏ có cần SDP không?

Thường chưa cần tự triển khai. Với ít ứng dụng, xác thực đa yếu tố, vá lỗi, sao lưu và quản lý tài khoản đúng cách thường mang lại hiệu quả lớn hơn. Khi số ứng dụng và nhóm truy cập bên ngoài tăng lên, dịch vụ ZTNA trên đám mây là hướng đáng xem xét trước khi tự dựng SDP.