Vận hành bảo mật đám mây

1. Lý thuyết cốt lõi / Core theory

1.1. Cloud Security Posture Management — CSPM (CSPM tools)

CSPM liên tục scan cloud configurations và so sánh với security benchmarks (CIS, NIST, PCI DSS). Khi phát hiện deviation → alert hoặc auto-remediate:

• Prisma Cloud (Palo Alto Networks): Multi-cloud CSPM (AWS/Azure/GCP/OCI/Alibaba). 2,500+ out-of-the-box policies. CNAPP (Cloud-Native Application Protection Platform) = CSPM + CWPP + CI/CD security. Attack path analysis hiển thị lateral movement risk.
• Microsoft Defender for Cloud: Native Azure CSPM + workload protection. Secure Score đo lường compliance. Regulatory Compliance dashboard map controls tới CIS Azure Benchmark, NIST SP 800-53, ISO 27001, PCI DSS. Defender CSPM (paid) thêm governance rules và attack path analysis.
• AWS Security Hub: Aggregates findings từ GuardDuty, Inspector, Macie, và third-party partners. Security Standards: AWS Foundational Security Best Practices, CIS AWS Foundations, PCI DSS. Automated response với EventBridge + Lambda (Security Hub → EventBridge → Lambda → auto-remediate).
• GCP Security Command Center (SCC): Premium tier: Event Threat Detection (ETD) dùng ML phát hiện anomalies trong Cloud Logging. Container Threat Detection cho GKE. Sensitive Data Protection findings từ DLP.

1.2. Cloud SIEM Integration (Cloud SIEM)

Cloud tạo ra khối lượng log khổng lồ. SIEM tập trung thu thập, normalize, correlate, và alert:

• Microsoft Sentinel (Azure): Cloud-native SIEM/SOAR. Data connectors cho AWS CloudTrail, GCP, Office 365, Azure AD. KQL (Kusto Query Language) cho hunting và analytics. Automation rules + Playbooks (Logic Apps) cho SOAR response. UEBA phát hiện anomalous user behavior.
• AWS Security Lake: Centralized data lake cho security logs — chuẩn hóa về OCSF (Open Cybersecurity Schema Framework). Aggregates CloudTrail, VPC Flow Logs, Route 53, Security Hub findings. Query bằng Amazon Athena.
• Google Chronicle: Google's cloud-native SIEM. Petabyte-scale log ingestion. UDM (Unified Data Model) normalize logs từ mọi source. YARA-L 2.0 detection rules. Retrohunt — search historical logs với new IOCs.

1.3. Cloud Incident Response & Forensics (Cloud IR & forensics)

Cloud IR khác với on-premises IR ở nhiều điểm quan trọng:

• Volatile evidence: RAM của EC2/VM không thể dump trực tiếp như on-premises. Alternatives: Memory capture với AWS EC2 Hibernate (snapshot memory to EBS), hoặc giảm thiểu dùng process memory analysis qua SSM Session Manager.
• Snapshot forensics: Tạo EBS snapshot (AWS) hoặc Managed Disk snapshot (Azure) của compromised instance → attach vào forensics workstation riêng biệt → phân tích offline mà không làm gián đoạn evidence chain. Chain of custody: document thời gian tạo snapshot, ARN, hash của snapshot.
• Log preservation: AWS CloudTrail logs mặc định lưu 90 ngày trong console, nhưng phải enable S3 export với S3 Object Lock để đảm bảo tamper-evidence. Azure Activity Logs: 90 ngày default, archive sang Storage Account hoặc Log Analytics workspace. Xóa logs hoặc disable logging là dấu hiệu cover-up — alert ngay.
• Cloud IR Playbook — Compromised EC2 instance:
  1. Isolate: Thay Security Group bằng group chỉ allow SSH từ forensics IP, hoặc detach từ VPC subnet.
  2. Preserve: Tạo EBS snapshot, export VPC Flow Logs và CloudTrail events liên quan.
  3. Analyze: Mount snapshot trên forensic instance, phân tích filesystem, bash history, cron jobs, netstat.
  4. Eradicate: Terminate compromised instance, rotate credentials, patch vulnerability.
  5. Recover: Deploy fresh instance từ golden AMI, restore data từ clean backup.
  6. Lessons learned: Update runbooks, thêm detection rules vào GuardDuty/Sentinel.

1.4. Cloud Vulnerability Management & IAM Operations (Vuln mgmt & IAM ops)

Cloud-native vulnerability scanning:

• AWS Inspector v2: Agentless scanning cho EC2 (OS packages + network exposure), ECR images (container vulnerabilities), và Lambda functions (package vulnerabilities). Findings tích hợp Security Hub. Risk score dựa trên CVSS + reachability (network exposure).
• Microsoft Defender for Servers: Qualys hoặc Microsoft Defender TVM (Threat & Vulnerability Management) agent. Patching integration với Azure Update Manager. Adaptive application controls.
• GCP Security Command Center: Container Threat Detection, Web Security Scanner cho App Engine/GKE, và Virtual Machine Threat Detection.

IAM Operations — JIT & PIM:

• Just-In-Time (JIT) access: Privileges granted on-demand cho thời gian giới hạn (e.g., 4 giờ) với approval workflow. Microsoft Defender for Cloud JIT VM Access: đóng RDP/SSH port mặc định, chỉ mở khi có approved request với time limit. AWS: Systems Manager Session Manager thay thế direct SSH — no open ports needed.
• Azure Privileged Identity Management (PIM): Quản lý, kiểm soát, monitor privileged role assignments. Eligible assignments (activate khi cần) vs Active assignments (luôn active). Require MFA + justification để activate Global Admin hoặc Owner role. Access reviews định kỳ.
• Access reviews: Microsoft Entra ID Access Reviews: định kỳ (weekly/monthly/quarterly) yêu cầu resource owners confirm/deny user access. AWS Access Analyzer: analyze IAM policies, phát hiện overly permissive và external access. GCP Policy Analyzer.

1.5. JIT Secrets Rotation (Just-in-time secrets & dynamic credentials)

JIT secrets sinh credentials theo yêu cầu, tự thu hồi sau TTL — không tồn tại long-lived static secrets trong code hoặc config:

• AWS Secrets Manager rotation: Tự động rotate password DB, API keys theo schedule. Lambda rotation function cập nhật secret và propagate tới application. Tích hợp với RDS, Redshift, DocumentDB.
• Azure Key Vault rotation policies: Đặt expiry + near-expiry alert (e.g., 80% lifetime). Event Grid trigger khi secret gần hết hạn → automation runbook rotate key và update consumers.
• HashiCorp Vault dynamic secrets: Vault kết nối trực tiếp với DB backend (PostgreSQL, MySQL, AWS IAM). Khi app request credential: Vault tạo user/role mới với TTL (e.g., 1 giờ), app dùng xong → Vault tự revoke. Zero standing privileges — không có static DB password nào cần bảo vệ.

# AWS Secrets Manager: rotate ngay lập tức
aws secretsmanager rotate-secret --secret-id mydb-secret

# HashiCorp Vault dynamic secrets workflow
# 1. Enable database secrets engine
vault secrets enable database

# 2. Configure PostgreSQL connection
vault write database/config/mydb \
  plugin_name=postgresql-database-plugin \
  allowed_roles="app-role" \
  connection_url="postgresql://{{username}}:{{password}}@db.example.com/mydb" \
  username="vault-admin" password="admin-pass"

# 3. Define role với TTL 1 giờ
vault write database/roles/app-role \
  db_name=mydb \
  creation_statements="CREATE ROLE '{{name}}' WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}';" \
  default_ttl="1h" max_ttl="24h"

# 4. App request credential (credential tự expire sau 1h)
vault read database/creds/app-role
# => username: v-app-role-xKj7p3 | password: A-3kQr2mP9... | lease_duration: 1h

1.6. Chaos Security Engineering (Chaos Security Engineering)

Chaos Security Engineering mở rộng chaos engineering truyền thống: chủ động inject failures để kiểm tra khả năng phục hồi bảo mật — không chỉ availability mà còn detection, response, và secrets resilience:

• Nguyên lý cốt lõi: Nếu bạn không test security resilience, bạn không biết nó có hoạt động không. Chaos security giả định breaches xảy ra và verify hệ thống phản ứng đúng — alerts fire, playbooks execute, secrets rotate, access revoked.
• AWS Fault Injection Simulator (FIS): Managed chaos service cho AWS. Experiment templates định nghĩa: target resources (EC2 instances, ECS tasks, RDS), actions (stop instances, inject network latency, CPU stress, AZ outage simulation), stop conditions (CloudWatch alarm breaches). IAM policy errors: terminate IAM role mid-request để test application behavior.
• Security chaos experiments:
  • Revoke IAM credentials mid-request: kiểm tra app handle 403/401 gracefully không, hay leak sensitive data trong error messages.
  • Block security group rules đột ngột: test network resilience và detection (VPC Flow Logs có capture không? Alert có fire không?).
  • Simulate DDoS trên WAF: dùng AWS FIS network disruption hoặc load testing tool — verify WAF block đúng, rate limiting hoạt động.
  • Rotate secrets trong khi workload đang chạy: verify app reload credentials từ Secrets Manager mà không downtime.
• Game days: Planned chaos exercises có cấu trúc — security team quan sát response, SOC team không biết trước attack vector. Đánh giá: MTTD (Mean Time to Detect), MTTR (Mean Time to Respond), xem playbooks có đủ không, alerts có fire đúng threshold không.

Lab — AWS FIS Security Chaos Experiment:

# Bước 1: Tạo experiment template — IAM disruption (simulate credential revocation)
aws fis create-experiment-template \
  --description "Security chaos: simulate IAM credential disruption" \
  --targets '{"iamRoles":{"resourceType":"aws:iam:role","selectionMode":"ALL","resourceArns":["arn:aws:iam::123456789012:role/app-role"]}}' \
  --actions '{"denyIAMActions":{"actionId":"aws:iam:deny-access","parameters":{"duration":"PT5M"},"targets":{"Roles":"iamRoles"}}}' \
  --stop-conditions '[{"source":"aws:cloudwatch:alarm","value":"arn:aws:cloudwatch:us-east-1:123456789012:alarm/CriticalAppAlarm"}]' \
  --role-arn arn:aws:iam::123456789012:role/FISServiceRole \
  --query "experimentTemplate.id" --output text

# Bước 2: Khởi động experiment (lưu EXPERIMENT_ID từ output bước 1)
aws fis start-experiment \
  --experiment-template-id  \
  --query "experiment.id" --output text

# Bước 3: Monitor CloudWatch alarms trong quá trình experiment
aws cloudwatch describe-alarms \
  --alarm-names "AppHealthCheck" "SecurityAlertThreshold" \
  --query "MetricAlarms[].{Alarm:AlarmName,State:StateValue,Reason:StateReason}" \
  -o table

# Bước 4: Review experiment results
aws fis get-experiment --id  \
  --query "{State:experiment.state,StartTime:experiment.startTime,StopConditions:experiment.stopConditions,Targets:experiment.targets}" \
  -o json

1.7. Cloud BCP/DR & Multi-Region Resilience (BCP/DR multi-region)

• Multi-region DR strategies:
  • Backup & Restore: RTO hours, RPO hours. Lowest cost. Suitable for non-critical workloads.
  • Pilot Light: Core infrastructure running in DR region (DB replication), apps off. RTO 10-30 min.
  • Warm Standby: Scaled-down version running in DR region. RTO minutes, RPO seconds.
  • Active-Active: Full capacity in multiple regions, traffic load-balanced. RTO seconds, RPO near-zero. Highest cost.
• AWS DR services: AWS Elastic Disaster Recovery (DRS) — agent-based continuous replication. Route 53 health checks + failover routing. RDS Multi-AZ + cross-region read replicas. S3 Cross-Region Replication (CRR).
• Azure Site Recovery (ASR): Replicate VMs between regions. Automated failover/failback. Recovery Plans với runbooks.
• Chaos Engineering: Netflix's Chaos Monkey giải thích rõ nguyên lý — intentionally inject failures để test resilience. AWS Fault Injection Service (FIS): có thể inject CPU stress, network latency, EC2 termination, RDS failover. Azure Chaos Studio tương tự. Chaos experiments phải có: hypothesis, steady state baseline, blast radius limit, và rollback plan.

2. Bài thực hành / Hands-on lab

Lab 1 — Azure Security Alerts, Log Analytics Query & Policy Compliance

OS: Any · Tool: Azure CLI.

# Liệt kê security alerts từ Defender for Cloud
az security alert list -o table 2>/dev/null | head -20

# Query Log Analytics cho failed logins (Event ID 4625)
az monitor log-analytics query \
  --workspace myWorkspaceId \
  --analytics-query "
SecurityEvent
| where EventID == 4625
| where TimeGenerated > ago(24h)
| summarize FailedAttempts = count() by Account, Computer, IpAddress
| where FailedAttempts > 5
| top 10 by FailedAttempts desc
" \
  -o table 2>/dev/null || echo "Replace myWorkspaceId with actual Log Analytics workspace ID"

# Kiểm tra Defender for Cloud settings (MCAS, email notifications)
az security setting show --name mcsas -o json 2>/dev/null

# Xem Azure Policy compliance - tìm non-compliant resources
az policy state list \
  --resource-group myRG \
  --query "[?complianceState=='NonCompliant'].{Resource:resourceId,Policy:policyDefinitionName,State:complianceState}" \
  -o table 2>/dev/null | head -20

# Xem JIT VM access requests
az security jit-policy list \
  --resource-group myRG \
  -o json 2>/dev/null | python3 -c "
import json, sys
try:
    data = json.load(sys.stdin)
    for p in data:
        print(f'VM: {p[\"name\"]} | Ports: {[r[\"number\"] for r in p.get(\"virtualMachines\",[{}])[0].get(\"ports\",[])]}')
except:
    print('No JIT policies found or insufficient permissions')
"

Lab 2 — AWS CloudTrail Investigation, GuardDuty Findings & Security Hub

OS: Any · Tool: AWS CLI.

# Tìm kiếm ConsoleLogin events trong CloudTrail (authentication audit)
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=EventName,AttributeValue=ConsoleLogin \
  --max-results 10 \
  --query "Events[].{User:Username,Source:EventSource,Time:EventTime,IP:CloudTrailEvent}" \
  -o table

# Lấy GuardDuty detector ID và tìm active findings
DETECTOR_ID=$(aws guardduty list-detectors --query "DetectorIds[0]" --output text 2>/dev/null)
if [ -n "$DETECTOR_ID" ] && [ "$DETECTOR_ID" != "None" ]; then
  echo "GuardDuty Detector: $DETECTOR_ID"
  aws guardduty list-findings \
    --detector-id "$DETECTOR_ID" \
    --finding-criteria '{"Criterion":{"severity":{"Gte":4}}}' \
    --max-results 5 \
    --query "FindingIds" \
    --output text
else
  echo "GuardDuty not enabled. Enable: aws guardduty create-detector --enable"
fi

# Xem Security Hub findings (active, high severity)
aws securityhub get-findings \
  --filters '{
    "RecordState": [{"Value":"ACTIVE","Comparison":"EQUALS"}],
    "SeverityLabel": [{"Value":"HIGH","Comparison":"EQUALS"},{"Value":"CRITICAL","Comparison":"EQUALS"}]
  }' \
  --max-results 5 \
  --query "Findings[].{Title:Title,Severity:Severity.Label,Resource:Resources[0].Id,Compliance:Compliance.Status}" \
  -o table 2>/dev/null

# Kiểm tra CloudTrail logging status
aws cloudtrail describe-trails \
  --query "trailList[].{Name:Name,MultiRegion:IsMultiRegionTrail,LogEnabled:HasCustomEventSelectors,S3:S3BucketName}" \
  -o table

3. Tình huống doanh nghiệp / Real-world scenario

4. Tự kiểm tra / Knowledge check

1. Phân biệt CSPM, CWPP, và CNAPP. Lấy ví dụ cụ thể về loại finding mà mỗi công nghệ phát hiện trong AWS environment.
2. Cloud forensics khác on-premises forensics như thế nào? Giải thích kỹ thuật "snapshot forensics" và tại sao đây là phương pháp preferred trong cloud IR.
3. Just-In-Time access và Privileged Identity Management giải quyết vấn đề gì của traditional standing privileges? Rủi ro nào vẫn còn khi dùng JIT?
4. So sánh 4 cloud DR strategies (Backup/Pilot Light/Warm Standby/Active-Active) theo RTO, RPO, và cost. Khi nào chọn Warm Standby thay vì Active-Active?
5. AWS GuardDuty, Microsoft Sentinel, và Google Chronicle phục vụ use case khác nhau như thế nào? Trong kiến trúc multi-cloud, làm sao tích hợp cả 3?
6. Chaos engineering có phải là security practice không? Giải thích cách chaos experiments giúp cải thiện cloud resilience và DR readiness.