1. Artifact Scanning – Quét từ gốc code & thư viện
Phát hiện sớm là sống còn. Đừng để ứng dụng build xong mới thấy lỗi.
DAST/SAST: Kiểm tra lỗ hổng bảo mật ở mức mã nguồn và runtime.
API Scan & SCA: Phân tích thành phần phần mềm và API có chứa lỗ hổng hay không.
Security Posture cho Pipeline: Jenkins, GitLab, GitHub Actions có cấu hình bảo mật đúng chưa?
Exposure Scanning: Tìm CVE, secrets, dữ liệu nhạy cảm rò rỉ trong repo/code/package.
Ví dụ thực tế: Một gói npm cũ có thể chứa CVE nguy hiểm. Nếu bạn không có công cụ SCA, gói này sẽ lọt vào production.
2. Cloud Configuration – Cấu hình đúng để không “lộ thiên” dịch vụ
“Sai một dòng YAML – Lộ cả cụm VM”
IaC Scanning: Terraform, CloudFormation có cấu hình sai không? (ví dụ: S3 public access)
Network & Policy Scan: Ai truy cập được subnet? Có security group mở 0.0.0.0 không?
CIEM: Quản lý quyền truy cập (IAM roles) – hạn chế kiểu “admin everywhere”
CSPM / KSPM / DSPM: Các posture tool để rà soát lỗ hổng trong cloud, Kubernetes và dữ liệu nhạy cảm.
Tip hay: Tích hợp IaC Scanner vào git push là kỹ thuật “shift-left” cực hiệu quả cho team DevOps.
3. Runtime Protection – Bảo vệ khi hệ thống đang chạy
Bảo mật thời gian chạy là lớp “tường lửa thông minh” chống lại khai thác lỗ hổng đã lọt qua.
Web App & API Protection: WAF, RASP hoặc API Gateway có policy bảo vệ không?
Observability: Có theo dõi hành vi bất thường không? (ví dụ: truy cập Redis bất thường)
Cloud Workload Visibility: Hiển thị rõ các luồng traffic, tiến trình đang chạy – container nào đang “nghi”?
Chiến lược DevSecOps hiện đại là kết hợp Runtime agent + API security gateway + eBPF để tăng visibility mà không làm chậm hệ thống.
Tầng nền: CDR – Cloud Detection & Response
Không chỉ phát hiện, mà phải có khả năng phản ứng tự động.
CDR (Cloud Detection & Response): như “SIEM dành cho đám mây”
Pipeline Detection & Response: phát hiện dấu hiệu tấn công ngay từ Git repo đến CI/CD pipeline.
Tổng kết nhanh cho DevOps/DevSecOps Việt Nam:
Bảo mật hiện đại = Bảo vệ từ Dev → Deploy → Runtime
Bạn không thể bảo vệ cái bạn không thấy (Visibility)
Và không thể vá lỗi khi không phát hiện sớm (Shift-Left + Automation)
Nếu bạn đang quản lý hạ tầng Cloud (AWS/Azure/GCP), hãy tự hỏi:
Mình đã quét IaC?
Có tool SCA/API Scan trong CI/CD chưa?
Có agent monitor runtime như Prisma, Wiz, Lacework?
Có phát hiện hành vi bất thường trong pipeline?
