Khái niệm về Cryptographic Bill of Materials (CBOM) thường được tiếp cận như một yêu cầu tuân thủ hoặc một chủ đề thảo luận về an ninh mạng hậu lượng tử. Tuy nhiên, nhiều nhóm nhanh chóng đối mặt với câu hỏi thực tế chưa có lời giải đáp: nền tảng này nên được đặt ở đâu?
Liệu CBOM là một công cụ quét, một tác nhân trên mọi hệ thống, một cơ sở dữ liệu, hay một giải pháp thay thế cho CMDB, trình quản lý chứng chỉ, hoặc công cụ quản lý lỗ hổng hiện có? Sự bối rối này là điều dễ hiểu, bởi một nền tảng CBOM tương tác với nhiều hệ thống, và một công cụ chạm đến mọi thứ rất dễ bị đặt sai vị trí.
Do đó, việc xác định chính xác một giải pháp CBOM là gì, điểm khởi đầu, các hệ thống mà nó tương tác, và nơi nhiệm vụ của nó kết thúc là rất quan trọng. Khi các ranh giới này được xác định rõ ràng, quá trình tích hợp sẽ trở nên đơn giản.
Một giải pháp CBOM hoạt động như một hệ thống ghi nhận tập trung cho các tài sản mật mã. Để hiểu rõ hơn về định nghĩa CBOM, có thể tham khảo tại đây.
Định nghĩa Nền tảng Cryptographic Bill of Materials
Hãy coi một nền tảng Cryptographic Bill of Materials như một hệ thống ghi nhận chính thức cho lĩnh vực mật mã. Đây là cách rõ ràng nhất để định vị nó trong kiến trúc bảo mật.
Tương tự như cách CMDB là hệ thống ghi nhận cho các tài sản và nhà cung cấp danh tính là hệ thống ghi nhận cho quyền truy cập, nền tảng CBOM lưu giữ hồ sơ đáng tin cậy. Hồ sơ này bao gồm các khóa, chứng chỉ, thuật toán, giao thức, và thư viện mật mã đang được sử dụng trong toàn bộ môi trường.
Nó cũng ghi lại mối quan hệ giữa các thành phần mật mã này với các ứng dụng phụ thuộc vào chúng, góp phần củng cố an toàn thông tin cho tổ chức.
Cách tiếp cận này cũng cho thấy những gì một nền tảng CBOM không phải. Nó không phải là một trình quản lý vòng đời chứng chỉ, mặc dù nó hoạt động song song với một hệ thống như vậy.
Nó không phải là một SIEM, mặc dù có thể cung cấp dữ liệu cho SIEM. Nó cũng không phải là một công cụ quét lỗ hổng thông thường, mặc dù nó bao gồm một loại rủi ro bảo mật mà các công cụ quét đó bỏ qua.
Nền tảng này nằm ở một lớp bên dưới tất cả các công cụ đó, giải đáp những câu hỏi mà không công cụ nào có thể tự trả lời một mình.
Quy trình hoạt động của Nền tảng CBOM: Luồng dữ liệu
Cách đơn giản nhất để hiểu một nền tảng Cryptographic Bill of Materials là theo dõi luồng dữ liệu khi nó di chuyển qua hệ thống. Có ba giai đoạn chính: các nguồn dữ liệu đầu vào, quá trình xử lý nội bộ, và các kết quả đầu ra.
Nguồn dữ liệu đầu vào
Một nền tảng CBOM không tự tạo ra cái nhìn riêng về môi trường công nghệ thông tin. Thay vào đó, nó lấy danh sách mục tiêu từ các nguồn dữ liệu hiện có mà tổ chức đang duy trì.
Trên thực tế, điều này có nghĩa là nền tảng sẽ thu thập thông tin từ các hệ thống quản lý tài sản đáng tin cậy, như ServiceNow CMDB. Hoặc nó có thể nhập danh sách máy chủ từ tệp CSV, hoặc làm việc với các dải địa chỉ IP cụ thể.
Một bước khởi tạo hợp lý là chạy một lượt khám phá sơ bộ. Bước này giúp xác định các máy chủ đang hoạt động và hệ điều hành của chúng, sau đó xuất báo cáo.
Nhờ báo cáo này, đội ngũ bảo mật có thể lựa chọn chính xác những hệ thống nào sẽ được đưa vào quét mật mã toàn diện. Để tìm hiểu thêm về chiến lược quản lý tình hình mật mã, bạn có thể tham khảo tại đây.
Từ đó, quá trình khám phá thực sự sẽ tiếp cận những nơi chứa dữ liệu mật mã. Điều này bao gồm các dịch vụ quản lý khóa đám mây, HSM, mã hóa cơ sở dữ liệu, kho lưu trữ tin cậy của hệ điều hành và ứng dụng, kho bí mật, và mã nguồn ứng dụng.
Giai đoạn thu thập dữ liệu
Quá trình khám phá được thực hiện thông qua một bộ thu thập (collector) kết hợp với một tập hợp các cảm biến (sensors). Một số cảm biến hoạt động không cần tác nhân (agentless), tiếp cận các API đám mây, máy chủ KMIP, cơ sở dữ liệu, HSM và các điểm cuối mạng mà không cần cài đặt phần mềm.
Các cảm biến khác hoạt động dựa trên tác nhân (agent-based) để thu thập dữ liệu từ hệ thống tệp, mã nguồn và kho lưu trữ chứng chỉ cục bộ. Tất cả dữ liệu này được truyền qua giao thức TLS, đảm bảo bảo mật.
Một bộ thu thập được thiết kế tốt sẽ không bao giờ lưu giữ bí mật dạng văn bản gốc. Nhờ đó, việc kiểm kê không tạo ra một kho lưu trữ thông tin xác thực mới cần được bảo vệ.
Giai đoạn này cũng là nơi quyết định vị trí triển khai: tại chỗ (on-premises), trên đám mây riêng, lai (hybrid), hoặc dưới dạng dịch vụ (as a service), bao gồm cả hoạt động trong môi trường cô lập (air-gapped) khi cảm biến làm việc với các khóa được cấp trước mà không cần kết nối ra bên ngoài.
Giai đoạn xử lý
Dữ liệu khám phá thô thường chứa nhiều nhiễu. Do đó, nền tảng sẽ khử trùng lặp, chuẩn hóa dữ liệu thành một bản kiểm kê duy nhất. Sau đó, nó tương quan từng tài sản với các ứng dụng, dịch vụ và luồng dữ liệu sử dụng chúng.
Tiếp theo, hệ thống phân loại theo loại và cách sử dụng, đánh giá điểm rủi ro bảo mật cho từng tài sản. Nó cũng gắn cờ các thành phần mật mã dễ bị tổn thương bởi điện toán lượng tử.
Kết quả là chính bản Cryptographic Bill of Materials: không chỉ là một danh sách đơn thuần, mà là một bản kiểm kê đã khử trùng lặp, xếp hạng theo rủi ro và nhận biết các mối quan hệ.
Về mặt nội bộ, giai đoạn này tương ứng với một số chức năng quan trọng thường có trong hầu hết các nền tảng trưởng thành. Bao gồm điều phối khám phá, quản lý kiểm kê, công cụ phân tích và đánh giá rủi ro, kiểm soát danh tính và truy cập, cùng với chức năng báo cáo.
Kết quả đầu ra và người tiêu dùng
Đây là ranh giới mà mọi người thường mắc lỗi nhất khi hiểu về CBOM. Một nền tảng CBOM tạo ra kiến thức và bằng chứng.
Nó không phải là công cụ thực hiện việc xoay vòng khóa (key rotation) hay vá một thư viện. Nhiệm vụ của nó kết thúc ở việc cung cấp một bản kiểm kê sạch sẽ, cập nhật, có thể xuất được và hình ảnh rủi ro liên quan.
Thông tin này được cung cấp theo ba cách: bảng điều khiển và báo cáo cho người dùng, cảnh báo qua các kênh như email và Teams khi có thứ gì đó hết hạn hoặc vi phạm chính sách. Ngoài ra, còn có xuất dữ liệu có thể đọc được bằng máy theo một tiêu chuẩn mở như CycloneDX cho các hệ thống hạ nguồn.
Bản xuất này chính là điểm bàn giao dữ liệu cho phần còn lại của ngăn xếp công nghệ.
Vòng đời hoạt động của nền tảng CBOM: Chu trình liên tục
Vị trí của một nền tảng Cryptographic Bill of Materials là đọc dữ liệu từ các hệ thống hiện có và cung cấp cho các hệ thống hạ nguồn. Việc định vị nền tảng là một câu hỏi tĩnh, nhưng vận hành nó thì không.
Một bản kiểm kê chỉ hữu ích khi nó còn cập nhật. Do đó, nền tảng thực sự là một công cụ trong một chương trình lặp lại, chứ không phải là một công cụ bạn chỉ sử dụng một lần để quét mạng.
Việc theo dõi chu trình này giải thích lý do tại sao nó phải luôn được kết nối với phần còn lại của môi trường, thay vì chỉ chạy một lần rồi lưu trữ.
Giai đoạn chuẩn bị
Vòng đời bắt đầu trước bất kỳ hoạt động quét nào, với giai đoạn chuẩn bị. Cần có một cá nhân hoặc nhóm chịu trách nhiệm về lĩnh vực mật mã.
Các chính sách và tiêu chuẩn mà bản kiểm kê sẽ được đánh giá phải được thống nhất. Dữ liệu và hệ thống quan trọng nhất cũng cần được phân loại.
Bỏ qua bước này thường là lý do khiến các giai đoạn sau tạo ra rất nhiều kết quả nhưng không ai thực hiện hành động khắc phục.
Khám phá và Kiểm kê
Tiếp theo là giai đoạn khám phá và kiểm kê, hai chức năng nổi bật nhất của nền tảng CBOM. Chúng bao gồm việc khám phá tự động, liên tục để cập nhật một bản kiểm kê duy nhất, được chuẩn hóa và có thể tìm kiếm.
Phân tích và Lập kế hoạch
Sau đó là phân tích và lập kế hoạch, nơi mỗi tài sản được đánh giá dựa trên chính sách, chấm điểm theo rủi ro bảo mật. Từ đó, tạo ra một kế hoạch ưu tiên, có tính đến các phụ thuộc, thay vì một danh sách công việc tồn đọng không được phân biệt.
Khắc phục và Giám sát
Khắc phục và giám sát hoàn tất chu trình: các thay đổi được thực hiện dưới sự quản lý và thử nghiệm. Môi trường được theo dõi liên tục để phát hiện sự sai lệch, tài sản mới, vật liệu hết hạn và tiến độ thực hiện kế hoạch.
Sau đó, chu trình lặp lại. Các hệ thống mới xuất hiện, các tiêu chuẩn thay đổi, khóa được xoay vòng, và bản kiểm kê của quý trước đã trở nên lỗi thời. Vì vậy, chương trình quay trở lại giai đoạn chuẩn bị và lặp lại.
Giá trị thực sự nằm ở chu trình lặp lại, không phải ở bất kỳ lần quét đơn lẻ nào. Đây chính là lý do tại sao một lần quét tư vấn duy nhất không giống với một nền tảng CBOM đang chạy liên tục.
Vòng đời này là một quá trình liên tục: chuẩn bị, khám phá, kiểm kê, phân tích, ưu tiên, khắc phục, giám sát, và sau đó lặp lại.
Vị trí của CBOM trong hệ sinh thái bảo mật hiện có
Lý do câu hỏi “nơi nó kết thúc” quan trọng là vì một nền tảng CBOM tồn tại giữa các công cụ có vẻ tương đồng. Việc xác định rõ ràng các ranh giới giúp tránh mua phải các giải pháp trùng lặp.
So với CMDB
Với CMDB, mối quan hệ là người tiêu dùng dữ liệu, không phải thay thế. Nền tảng CBOM đọc danh sách tài sản từ CMDB để biết những gì cần quét. Nó có thể làm phong phú thêm thông tin này với ngữ cảnh mật mã.
Tuy nhiên, CMDB vẫn là hệ thống ghi nhận chính thức về tài sản của tổ chức.
So với Trình quản lý vòng đời chứng chỉ
Đối với trình quản lý vòng đời chứng chỉ, hai công cụ này bổ sung cho nhau và thường được kết hợp. CBOM khám phá các chứng chỉ như một loại tài sản trong số nhiều loại khác. Sau đó, nó có thể chuyển các phát hiện cho trình quản lý chứng chỉ, vốn chịu trách nhiệm cấp phát, gia hạn và thu hồi.
Nguyên tắc này áp dụng cho bất kỳ công cụ quản lý chứng chỉ nào.
So với SIEM hoặc SOAR
Đối với SIEM hoặc SOAR, CBOM là một nguồn dữ liệu, không phải là một công cụ ngang hàng. Nó phát ra các sự kiện và bằng chứng mà một SIEM có thể thu nạp.
Tuy nhiên, việc tương quan các sự kiện bảo mật trên toàn doanh nghiệp vẫn do SIEM đảm nhiệm. Bạn có thể tìm hiểu thêm về các công cụ SIEM tốt nhất tại đây.
So với Quản lý lỗ hổng
Đối với quản lý lỗ hổng, CBOM lấp đầy một điểm mù thay vì trùng lặp phạm vi bao phủ. Các công cụ quét truyền thống tìm kiếm các bản vá bị thiếu và các CVE nghiêm trọng đã biết.
Trong khi đó, CBOM phát hiện các thuật toán yếu, khóa được sử dụng lại và mật mã dễ bị tấn công bởi lượng tử mà các công cụ quét đó không được xây dựng để nhìn thấy. Điều này giúp tăng cường khả năng phát hiện tấn công và đảm bảo an ninh mạng toàn diện hơn.
So với Nền tảng GRC và Tuân thủ
Với các nền tảng GRC (Quản trị, Rủi ro và Tuân thủ) và tuân thủ, CBOM là nhà cung cấp bằng chứng. Nó tạo ra bản kiểm kê hiện tại, đã được đánh giá theo chính sách mà một kiểm toán viên hoặc công cụ GRC cần.
Điều này giúp báo cáo tuân thủ không còn là công việc tái tạo thủ công theo từng chu kỳ.
So với Trình quản lý bí mật
Đối với trình quản lý bí mật, CBOM tích hợp thay vì cạnh tranh. Nó nên kéo thông tin xác thực từ kho bí mật hiện có của tổ chức tại thời điểm sử dụng.
Nền tảng này không nên trở thành một kho lưu trữ thứ hai cho mọi bí mật trong công ty.
Các tính năng quan trọng của nền tảng CBOM
Khi các ranh giới đã rõ ràng, khả năng tương thích của nền tảng CBOM phụ thuộc vào một vài thuộc tính đáng kiểm tra trước khi đưa ra quyết định mua sắm. Điều quan trọng nhất là đầu ra mở.
Đầu ra mở (Open Output)
Nếu bản kiểm kê chỉ tồn tại bên trong bảng điều khiển của nhà cung cấp, nó sẽ không thể cung cấp dữ liệu cho công cụ GRC, SIEM, hoặc hệ thống ticketing của bạn.
Việc xuất CBOM dưới định dạng CycloneDX, một tiêu chuẩn mà hệ sinh thái phần mềm bill of materials đã sử dụng, giúp bản kiểm kê có tính di động và tránh được tình trạng bị khóa vào nhà cung cấp cụ thể.
Khả năng tiếp cận linh hoạt (Reach Without Disruption)
Tính năng tiếp theo là khả năng tiếp cận mà không gây gián đoạn. Điều này bao gồm thu thập dữ liệu không cần tác nhân (agentless) cho các hệ thống không thể hoặc không muốn cài đặt phần mềm.
Bên cạnh đó là thu thập dựa trên tác nhân (agent-based) khi cần độ sâu thông tin. Và đặc biệt là trích xuất siêu dữ liệu (metadata-only) từ các hệ thống nhạy cảm như HSM và cơ sở dữ liệu, để vật liệu khóa riêng tư không bao giờ bị chạm đến.
Một nền tảng ép buộc một kiểu triển khai duy nhất lên hạ tầng hỗn hợp sẽ tạo ra những lỗ hổng trong quá trình kiểm kê mật mã.
Tính linh hoạt triển khai (Deployment Flexibility)
Tính linh hoạt trong triển khai cho phép nền tảng CBOM được đặt ở bất cứ đâu theo yêu cầu kiến trúc và quy tắc lưu trú dữ liệu của bạn, bao gồm cả các môi trường cô lập (air-gapped enclaves).
Sự hiện diện của API và mô hình plugin cũng rất quan trọng. Điều này cho phép bổ sung các nguồn dữ liệu mới hoặc độc quyền mà không cần chờ đợi nhà cung cấp. Đồng thời, nền tảng này có thể đẩy dữ liệu vào bất kỳ hệ thống ticketing hoặc điều phối nào bạn đang sử dụng.
Với các tổ chức lớn thường có nhiều đơn vị, khả năng cách ly giữa các đơn vị kinh doanh, công ty con hoặc khách hàng được quản lý trên một lần triển khai duy nhất là yếu tố giữ cho một nền tảng không trở thành nhiều nền tảng riêng biệt.
Quản lý danh tính (Identity Management)
Cuối cùng là khả năng quản lý danh tính. Nền tảng nên tích hợp vào mô hình truy cập hiện có của bạn với kiểm soát dựa trên vai trò (role-based control) và đăng nhập một lần (single sign-on).
Nhờ đó, hệ thống ghi nhận mật mã được quản lý theo cùng một cách với phần còn lại của các hệ thống trong tổ chức, tăng cường an toàn thông tin tổng thể.
Tóm lại, một nền tảng Cryptographic Bill of Materials nằm bên dưới trình quản lý chứng chỉ, SIEM, công cụ GRC và công cụ quét quản lý lỗ hổng của bạn, và nó cung cấp dữ liệu cho tất cả các hệ thống này.
Nó bắt đầu bằng cách đọc các nguồn tài sản hiện có, tiếp cận mọi lớp nơi mật mã ẩn giấu, và kết thúc bằng một bản kiểm kê đã khử trùng lặp, chấm điểm rủi ro, nhận biết mối quan hệ và được xuất theo một tiêu chuẩn mở.
CBOM không thực hiện việc xoay vòng khóa, vá thư viện, hoặc điều hành chương trình tuân thủ của bạn. Thay vào đó, nó cung cấp cho mỗi chức năng đó một bức tranh mật mã chính xác mà chúng còn thiếu, sau đó nhường đường cho chúng hoạt động.
Nếu bạn đang cố gắng định vị một nền tảng CBOM trong kiến trúc của riêng mình, hãy bắt đầu bằng cách xác định hai điểm kết nối quan trọng: các nguồn dữ liệu mà nó sẽ đọc và các hệ thống mà nó sẽ cung cấp thông tin. Từ đó, phần còn lại của thiết kế sẽ dần được hoàn thiện.
