Các thực hành bảo mật tốt nhất

An ninh là ưu tiên hàng đầu khi xử lý tài liệu nhạy cảm và giao dịch blockchain. Hướng dẫn này trình bày các thực hành an ninh thiết yếu cho việc triển khai và duy trì Chaindoc trong môi trường sản xuất.

Xác thực & Ủy quyền

Xác thực đa yếu tố (MFA)

Luôn kích hoạt xác thực hai yếu tố (MFA) cho tất cả tài khoản người dùng, đặc biệt là quản trị viên và người dùng có quyền truy cập cao. Chaindoc hỗ trợ:

• Mật khẩu sử dụng một lần dựa trên thời gian (TOTP) thông qua ứng dụng xác thực
• Xác minh qua tin nhắn SMS (ít an toàn hơn, chỉ sử dụng khi thật sự cần thiết)
• Khóa bảo mật phần cứng (FIDO2/WebAuthn)
• Xác thực sinh trắc học trên các thiết bị được hỗ trợ

Chính sách mật khẩu mạnh

Áp dụng các yêu cầu mật khẩu mạnh mẽ:

• Tối thiểu 12 ký tự với yêu cầu về độ phức tạp.
• Mật khẩu hết hạn sau 90 ngày đối với các tài khoản nhạy cảm
• Ngăn chặn việc tái sử dụng mật khẩu (10 mật khẩu gần nhất)
• Khóa tài khoản sau 5 lần đăng nhập thất bại
• Thước đo độ mạnh mật khẩu trong quá trình tạo

Kiểm soát truy cập dựa trên vai trò (RBAC)

Áp dụng nguyên tắc quyền hạn tối thiểu bằng cách chỉ cấp cho người dùng những quyền hạn mà họ cần:

• Xác định rõ các vai trò: Người xem, Người chỉnh sửa, Quản trị viên, Kiểm toán viên
• Sử dụng quyền truy cập chi tiết cho tài liệu
• Thường xuyên kiểm tra vai trò của người dùng và loại bỏ quyền truy cập không cần thiết
• Thực hiện quyền truy cập dựa trên thời gian cho các nhà thầu tạm thời
• Tách biệt các nhiệm vụ cho các hoạt động quan trọng (ví dụ: quy trình phê duyệt)

Mã hóa dữ liệu

Mã hóa khi lưu trữ

Tất cả dữ liệu nhạy cảm phải được mã hóa khi lưu trữ:

• Sử dụng mã hóa AES-256 cho việc lưu trữ tài liệu
• Mã hóa bản sao lưu cơ sở dữ liệu bằng các khóa riêng biệt
• Lưu trữ các khóa mã hóa trong một dịch vụ quản lý khóa chuyên dụng (KMS)
• Thay đổi khóa mã hóa hàng quý
• Bật mã hóa toàn bộ đĩa trên tất cả các máy chủ và máy trạm

Mã hóa trong quá trình truyền tải

Bảo vệ dữ liệu trong quá trình truyền tải:

• Áp dụng TLS 1.3 cho tất cả các kết nối
• Sử dụng bộ mã hóa mạnh (vô hiệu hóa các bộ mã hóa yếu)
• Thực hiện chứng chỉ ghim cho ứng dụng di động
• Kích hoạt HSTS (HTTP Strict Transport Security)
• Sử dụng kênh mã hóa cho các giao dịch blockchain

Bảo mật blockchain

Quản lý khóa riêng

Khóa riêng tư blockchain là tài sản bảo mật quan trọng nhất:

• Không bao giờ lưu trữ khóa riêng tư dưới dạng văn bản thuần túy hoặc trong kho mã nguồn.
• Sử dụng mô-đun bảo mật phần cứng (HSMs) cho các khóa sản xuất
• Triển khai ví đa chữ ký cho các giao dịch có giá trị cao
• Tạo các quy trình sao lưu quan trọng với lưu trữ ngoại tuyến an toàn
• Sử dụng các khóa riêng biệt cho các môi trường khác nhau (dev, staging, prod)

Bảo mật hợp đồng thông minh

Nếu sử dụng hợp đồng thông minh tùy chỉnh:

• Thực hiện kiểm tra an ninh kỹ lưỡng trước khi triển khai
• Sử dụng các mẫu đã được thiết lập và tránh sử dụng mã thử nghiệm.
• Thực hiện các cơ chế ngắt mạch cho các tình huống dừng khẩn cấp
• Thử nghiệm kỹ lưỡng trên các mạng thử nghiệm trước khi triển khai trên mạng chính.
• Theo dõi các mẫu giao dịch bất thường

Danh sách kiểm tra blockchain

Sử dụng blockchain cho việc ghi nhật ký kiểm toán không thể thay đổi:

• Ghi lại tất cả các thay đổi trạng thái tài liệu trên chuỗi khối.
• Thao tác nhạy cảm với hash để xác minh
• Thực hiện chứng minh thời gian để đảm bảo tuân thủ.
• Thường xuyên kiểm tra tính toàn vẹn của dữ liệu trên chuỗi.
• Lưu trữ biên lai giao dịch blockchain

Bảo mật API

Xác thực API

Bảo mật tất cả các điểm cuối API:

• Sử dụng OAuth 2.0 hoặc token JWT cho việc xác thực
• Thực hiện thời hạn sử dụng token (15-60 phút cho token truy cập)
• Thay đổi khóa API định kỳ (ít nhất mỗi 90 ngày)
• Sử dụng các khóa API riêng biệt cho các dịch vụ khác nhau
• Không bao giờ tiết lộ khóa API trong mã client-side

Giới hạn tốc độ & Bảo vệ DDoS

Ngăn chặn lạm dụng và gián đoạn dịch vụ:

• Áp dụng giới hạn tốc độ theo khóa API và địa chỉ IP
• Sử dụng thuật toán lùi theo cấp số nhân cho các yêu cầu thất bại
• Triển khai Tường lửa Ứng dụng Web (WAF)
• Kích hoạt bảo vệ DDoS ở cấp độ CDN/nhà cung cấp đám mây
• Theo dõi các mẫu lưu lượng truy cập bất thường

Xác thực và làm sạch đầu vào

Bảo vệ khỏi các cuộc tấn công chèn mã:

• Kiểm tra tất cả dữ liệu đầu vào theo các lược đồ nghiêm ngặt
• Làm sạch nội dung do người dùng cung cấp trước khi lưu trữ/hiển thị
• Sử dụng truy vấn có tham số để ngăn chặn tấn công SQL injection
• Thực hiện các tiêu đề Chính sách Bảo mật Nội dung (CSP)
• Mã hóa đầu ra trong tất cả các ngữ cảnh (HTML, JavaScript, URL)

An ninh hạ tầng

Phân đoạn mạng

Tách biệt các thành phần quan trọng:

• Tách biệt các môi trường sản xuất, thử nghiệm và phát triển
• Sử dụng VPC và mạng con riêng cho các dịch vụ nhạy cảm
• Hạn chế quyền truy cập cơ sở dữ liệu chỉ cho các máy chủ ứng dụng.
• Thực hiện các quy tắc tường lửa với chính sách từ chối mặc định
• Sử dụng máy chủ trung gian/máy chủ bastion để truy cập quản trị

Quản lý bản vá

Giữ cho hệ thống luôn được cập nhật:

• Áp dụng các bản vá bảo mật trong vòng 48 giờ kể từ khi phát hành.
• Tự động cập nhật các phụ thuộc cho các thay đổi không ảnh hưởng đến chức năng.
• Thường xuyên cập nhật hình ảnh container và hệ điều hành cơ sở.
• Đăng ký nhận thông báo bảo mật cho tất cả các công nghệ được sử dụng.
• Kiểm tra các bản vá trong môi trường staging trước khi triển khai vào sản xuất.

Bảo mật Container & Orchestration

Nếu sử dụng triển khai container:

• Sử dụng hình ảnh cơ bản tối thiểu (Alpine, Distroless)
• Kiểm tra hình ảnh để phát hiện lỗ hổng bảo mật trước khi triển khai
• Chạy các container với tư cách người dùng không phải root
• Thực hiện các chính sách/tiêu chuẩn bảo mật pod
• Sử dụng quản lý khóa bí mật (không sử dụng biến môi trường)
• Kích hoạt chính sách mạng để hạn chế lưu lượng giữa các pod.

Tuân thủ & Kiểm toán

Tuân thủ quy định

Đảm bảo tuân thủ các quy định liên quan:

• GDPR: Thực hiện quyền xóa dữ liệu và quyền di chuyển dữ liệu.
• HIPAA: Kích hoạt ghi nhật ký kiểm tra và kiểm soát truy cập đối với dữ liệu y tế.
• SOC 2: Tài liệu hóa các biện pháp kiểm soát an ninh và thực hiện kiểm toán hàng năm.
• ISO 27001: Triển khai hệ thống quản lý an ninh thông tin
• Quy định chuyên ngành (ví dụ: dịch vụ tài chính, pháp lý)

Ghi nhật ký kiểm toán

Giữ lại các bản ghi chi tiết cho mục đích bảo mật và tuân thủ:

• Ghi lại tất cả các lần thử xác thực (thành công và thất bại)
• Ghi lại việc truy cập, sửa đổi và xóa tài liệu.
• Theo dõi các hành động quản trị và thay đổi cấu hình
• Lưu trữ nhật ký trong hệ thống tập trung, không thể sửa đổi
• Giữ lại nhật ký trong ít nhất 1 năm (hoặc theo yêu cầu của quy định).
• Thực hiện giám sát nhật ký và cảnh báo cho các hoạt động đáng ngờ.

Kiểm tra an ninh định kỳ

Thực hiện đánh giá an ninh định kỳ:

• Thực hiện quét lỗ hổng bảo mật hàng quý
• Thực hiện kiểm tra xâm nhập hàng năm bởi các bên thứ ba
• Kiểm tra quyền truy cập và quyền hạn của người dùng hàng tháng
• Kiểm tra các giao dịch blockchain để phát hiện các bất thường
• Kiểm tra các quy trình sao lưu và khôi phục thảm họa hàng quý.

Giám sát & Phản ứng sự cố

Giám sát an ninh

Thực hiện giám sát bảo mật thời gian thực:

• Triển khai hệ thống SIEM (Quản lý thông tin và sự kiện bảo mật)
• Cài đặt cảnh báo cho các lần đăng nhập thất bại, leo thang quyền hạn
• Theo dõi các mẫu truy cập dữ liệu bất thường
• Theo dõi các bất thường trong việc sử dụng API
• Sử dụng hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS)

Kế hoạch ứng phó sự cố

Chuẩn bị cho các sự cố an ninh:

• Lập tài liệu về quy trình phản ứng sự cố
• Xác định các đường dẫn nâng cấp và thông tin liên hệ
• Tạo các tài liệu hướng dẫn thực hiện (runbooks) cho các tình huống bảo mật phổ biến.
• Thực hiện các bài tập trên bàn làm việc hàng quý
• Thiết lập các quy trình giao tiếp cho các trường hợp vi phạm.
• Bảo đảm khả năng phân tích pháp y

Sao lưu & Phục hồi thảm họa

Đảm bảo tính liên tục của hoạt động kinh doanh:

• Thực hiện sao lưu tự động hàng ngày
• Lưu trữ bản sao lưu tại các vị trí phân tán về mặt địa lý
• Mã hóa tất cả dữ liệu sao lưu
• Kiểm tra quy trình khôi phục hàng tháng
• Giữ bản sao lưu ngoại tuyến để bảo vệ khỏi ransomware
• Mục tiêu thời gian phục hồi tài liệu (RTO) và Mục tiêu điểm phục hồi (RPO)

An ninh phát triển

Vòng đời phát triển an toàn

Tích hợp bảo mật vào quá trình phát triển:

• Thực hiện kiểm tra mã nguồn với trọng tâm là bảo mật
• Sử dụng các công cụ kiểm tra bảo mật ứng dụng tĩnh (SAST)
• Thực hiện quét phụ thuộc trong quy trình CI/CD
• Yêu cầu đào tạo an ninh cho tất cả các nhà phát triển
• Không bao giờ lưu trữ thông tin bí mật vào hệ thống kiểm soát phiên bản
• Sử dụng các hook trước khi cam kết để ngăn chặn rò rỉ dữ liệu nhạy cảm

Phụ thuộc vào bên thứ ba

Quản lý rủi ro thư viện bên ngoài:

• Thường xuyên cập nhật các phụ thuộc lên các phiên bản an toàn mới nhất
• Sử dụng các công cụ như Dependabot, Snyk hoặc npm audit
• Kiểm tra các cảnh báo bảo mật cho các gói phần mềm được sử dụng
• Giảm thiểu số lượng phụ thuộc
• Kiểm tra tính toàn vẹn của gói phần mềm và uy tín của người duy trì.
• Xem xét việc đưa các phụ thuộc quan trọng vào danh sách vendoring

Giáo dục và nâng cao nhận thức cho người dùng

An ninh là trách nhiệm của tất cả mọi người:

• Tổ chức đào tạo nhận thức về an ninh mạng cho tất cả người dùng
• Cung cấp giáo dục về lừa đảo qua email (phishing) và kỹ thuật xã hội (social engineering)
• Tạo ra các chính sách và hướng dẫn bảo mật rõ ràng.
• Thiết lập các cơ chế báo cáo cho các vấn đề an ninh.
• Thưởng cho việc tiết lộ trách nhiệm về lỗ hổng bảo mật
• Giữ cho tài liệu bảo mật luôn được cập nhật.

Danh sách kiểm tra bảo mật

Sử dụng danh sách kiểm tra này trước khi triển khai vào môi trường sản xuất:

1. ✓ Đã kích hoạt xác thực hai yếu tố (MFA) cho tất cả tài khoản người dùng
2. ✓ Chính sách mật khẩu mạnh được áp dụng
3. ✓ RBAC được triển khai với nguyên tắc quyền hạn tối thiểu
4. ✓ Tất cả dữ liệu được mã hóa khi lưu trữ và khi truyền tải
5. ✓ TLS 1.3 được áp dụng bắt buộc trên tất cả các điểm cuối
6. ✓ Khóa riêng được lưu trữ trong HSM hoặc kho lưu trữ an toàn
7. ✓ Đã cấu hình giới hạn tốc độ API
8. ✓ Bật bảo vệ WAF và DDoS
9. ✓ Đã triển khai kiểm tra và làm sạch dữ liệu đầu vào
10. ✓ Phân đoạn mạng được cấu hình đúng cách
11. ✓ Tất cả hệ thống đã được vá lỗi và cập nhật đầy đủ
12. ✓ Chế độ ghi nhật ký kiểm tra toàn diện đã được kích hoạt
13. ✓ Giám sát bảo mật và cảnh báo đang hoạt động
14. ✓ Kế hoạch ứng phó sự cố đã được lập thành văn bản và kiểm tra.
15. ✓ Đã cấu hình và kiểm tra các bản sao lưu tự động
16. ✓ Kiểm tra bảo mật trong quy trình CI/CD
17. ✓ Các yêu cầu tuân thủ đã được ghi chép và đáp ứng đầy đủ

Tài nguyên bổ sung

Để biết thêm thông tin về bảo mật Chaindoc:

• OWASP Top 10 Rủi ro Bảo mật Ứng dụng Web
• Khung An ninh mạng của NIST
• Các tiêu chuẩn bảo mật CIS
• Các thực hành tốt nhất về bảo mật blockchain (Consensys)
• Hướng dẫn của Liên minh An ninh Đám mây

Đối với các vấn đề hoặc câu hỏi liên quan đến bảo mật, hãy liên hệ với đội ngũ bảo mật của chúng tớ qua địa chỉ email security@chaindoc.com hoặc báo cáo lỗ hổng bảo mật thông qua chương trình tiết lộ trách nhiệm của chúng tớ.