Khái niệm SDLC an toàn

1. Lý thuyết cốt lõi / Core theory

1.1. Mô hình Secure SDLC (Secure SDLC Models)

Bốn mô hình quan trọng nhất trong kỳ thi CSSLP: Microsoft SDL (Security Development Lifecycle) — quy trình 12 giai đoạn, bắt buộc với phần mềm Microsoft, tập trung vào threat modeling và code review; OWASP SAMM (Software Assurance Maturity Model) — framework đo mức độ trưởng thành AppSec của tổ chức theo 5 Business Functions × 3 Practice; BSIMM (Building Security In Maturity Model) — model dựa trên khảo sát thực tế 130+ tổ chức, mô tả "những gì tổ chức thực sự làm" thay vì prescriptive; CLASP (Comprehensive Lightweight Application Security Process) — tích hợp vào quy trình hiện có qua activity-centric approach.

1.2. CIA Triad cho Phần mềm (CIA for Software, Trust Boundaries, Attack Surface)

Confidentiality trong phần mềm: mã hóa dữ liệu tại rest và transit, access control ở mức API/function, không log sensitive data. Integrity: input validation, output encoding, digital signatures cho artifacts, checksum kiểm tra toàn vẹn dữ liệu. Availability: rate limiting chống DoS, graceful degradation, không để lỗi exception làm crash toàn service.

Trust boundary là ranh giới giữa các vùng có mức tin cậy khác nhau — ví dụ: Internet vs DMZ, external user vs authenticated user, user process vs kernel. Mọi dữ liệu vượt qua trust boundary phải được validate. Attack surface là tổng hợp các điểm tấn công: số lượng API endpoint, input fields, authentication mechanisms, network ports. Nguyên tắc: minimize attack surface — đóng tất cả những gì không cần thiết.

1.3. Nguyên tắc thiết kế an toàn (Secure Design Principles — Saltzer & Schroeder)

Tám nguyên tắc kinh điển (1975, vẫn hoàn toàn applicable):

• Fail-safe defaults: mặc định từ chối — deny all, allow specific. Ví dụ: firewall rule mặc định DROP.
• Open design: bảo mật không dựa vào bí mật của cơ chế, chỉ dựa vào bí mật của key/password.
• Least privilege: chỉ cấp quyền tối thiểu cần thiết, đúng thời điểm, đúng mục đích.
• Complete mediation: mọi truy cập đều phải được kiểm tra — không cache authorization decision.
• Psychological acceptability: cơ chế bảo mật phải dễ dùng, nếu khó dùng user sẽ bypass.
• Economy of mechanism: giữ cơ chế bảo mật đơn giản — complexity là kẻ thù của security.
• Separation of privilege: yêu cầu nhiều điều kiện để thực hiện hành động nhạy cảm (MFA, dual control).
• Least common mechanism: giảm thiểu tài nguyên dùng chung giữa các user — tránh side-channel attacks.

1.4. Threat Modeling (STRIDE, PASTA, Attack Trees, Taint Analysis)

STRIDE (Microsoft) — phân loại threats: Spoofing (giả mạo danh tính → Authentication), Tampering (thay đổi dữ liệu → Integrity), Repudiation (phủ nhận hành động → Non-repudiation), Information Disclosure (lộ thông tin → Confidentiality), Denial of Service (từ chối dịch vụ → Availability), Elevation of Privilege (leo thang đặc quyền → Authorization). Áp dụng STRIDE trên từng element trong DFD (Data Flow Diagram).

PASTA (Process for Attack Simulation and Threat Analysis) — 7-stage risk-centric model: từ business objectives đến attack simulation. Attack Trees — mô hình hóa cách attacker đạt mục tiêu qua cây quyết định (root = mục tiêu, leaves = attack vectors). Taint analysis — theo dõi dữ liệu từ nguồn không tin cậy (user input) qua code đến sink (database query, OS command) để phát hiện injection.

1.5. Privacy by Design & Security Debt (GDPR Art.25, Security Debt)

Privacy by Design (Ann Cavoukian) — 7 nguyên tắc, được GDPR Art.25 luật hóa: proactive not reactive, privacy as default, embedded into design, full functionality, end-to-end security, visibility and transparency, respect for user privacy. Thực tế: data minimization (chỉ thu thập dữ liệu cần thiết), pseudonymization, consent management.

Security debt là tương tự technical debt nhưng cho bảo mật: các lỗ hổng, thiếu control, code không secure tích lũy theo thời gian do áp lực deadline. Security debt nguy hiểm vì: tăng risk exposure, khó repay sau (cần refactor lớn), thường invisible với management. Cần track qua security backlog, đo bằng vulnerability density (số lỗ hổng/KLOC).

2. Bài thực hành / Hands-on labs

Lab 1 — SAST Quick Scan tìm secret trong codebase (PowerShell)

OS: Windows 11 · Tool: PowerShell 7 + PSScriptAnalyzer module.

1. Cài PSScriptAnalyzer nếu chưa có: Install-Module PSScriptAnalyzer -Scope CurrentUser -Force
2. Quét tìm hardcoded credentials trong source code:

# Quét đệ quy tìm pattern credential bị hardcode
Get-ChildItem -Recurse -Include *.ps1,*.py,*.js,*.cs -ErrorAction SilentlyContinue |
    Select-String -Pattern "password\s*=\s*['\`"]|api_key\s*=|secret\s*=|AKIA[0-9A-Z]{16}" |
    Select-Object Path, LineNumber, Line |
    Format-Table -Wrap -AutoSize

# Chạy PSScriptAnalyzer để phát hiện lỗi bảo mật trong PowerShell scripts
# Tạo file mẫu để test
@'
$password = "MyP@ssw0rd123"
Invoke-Expression $userInput
$result = iex $cmd
'@ | Out-File -FilePath "$env:TEMP\test-vuln.ps1"

Invoke-ScriptAnalyzer -Path "$env:TEMP\test-vuln.ps1" -Severity Warning,Error |
    Select-Object RuleName, Severity, Message, Line |
    Format-Table -Wrap

Lab 2 — Threat Modeling với pytm (Bash)

OS: Ubuntu 22.04 · Tool: Bash + Python 3 + pytm library.

1. Cài pytm: pip install pytm
2. Tạo script threat model đơn giản cho web app:

cat > /tmp/webapp-tm.py << 'EOF'
from pytm import TM, Actor, Server, Datastore, Dataflow, Boundary

tm = TM("WebApp Threat Model")
tm.description = "Simple e-commerce application"

# Define trust boundaries
internet = Boundary("Internet")
dmz      = Boundary("DMZ")
internal = Boundary("Internal Network")

# Define elements
user    = Actor("End User",      inBoundary=internet)
webapp  = Server("Web Server",   inBoundary=dmz,      isHardened=True)
db      = Datastore("Database",  inBoundary=internal, isEncrypted=True)

# Define dataflows
df1 = Dataflow(user, webapp,  "HTTP Request",   isEncrypted=True,  protocol="HTTPS")
df2 = Dataflow(webapp, db,    "DB Query",       isEncrypted=True,  protocol="TLS")
df3 = Dataflow(db, webapp,    "DB Response",    isEncrypted=True)
df4 = Dataflow(webapp, user,  "HTTP Response",  isEncrypted=True)

tm.process()
EOF
python3 /tmp/webapp-tm.py --json 2>/dev/null | python3 -c "
import json,sys
data = json.load(sys.stdin)
threats = data.get('findings', [])
print(f'Total threats identified: {len(threats)}')
for t in threats[:5]:
    print(f'  [{t.get(\"severity\",\"?\")}] {t.get(\"description\",\"\")}')
" 2>/dev/null || echo "pytm installed — run: python3 /tmp/webapp-tm.py --report-word"

# Alternative: check OWASP Threat Dragon CLI nếu có
which threat-dragon 2>/dev/null && threat-dragon --version || echo "Threat Dragon: install via npm i -g @threatdragon/threat-dragon-core"

3. Tình huống doanh nghiệp / Real-world scenario

4. Tự kiểm tra / Knowledge check

1. STRIDE là gì? Mỗi chữ cái tương ứng với mối đe dọa nào và control nào?
2. Phân biệt OWASP SAMM và BSIMM: cái nào prescriptive, cái nào descriptive?
3. Nguyên tắc "fail-safe defaults" áp dụng thực tế vào API authorization như thế nào?
4. Trust boundary là gì? Cho ví dụ 3 trust boundary trong một ứng dụng 3-tier điển hình.
5. GDPR Article 25 yêu cầu gì từ developer và liên quan đến Privacy by Design như thế nào?