Danh sách kiểm tra bảo mật đám mây của bạn có thực sự hiệu quả?

Việc quản lý bảo mật trên nhiều nền tảng đám mây vốn đã là một thách thức, nhưng vấn đề còn phức tạp hơn khi mỗi nhà cung cấp lại có những điểm yếu đặc thù. Trong báo cáo Cloud Security Index 2026, Intruder đã phân tích dữ liệu cấu hình sai từ 3.000 tổ chức sử dụng AWS, Azure và Google Cloud, cho thấy hồ sơ rủi ro giữa các nền tảng này gần như không có điểm chung.

Sự khác biệt về rủi ro giữa các nền tảng

Intruder đã phân loại các cấu hình sai thành 6 nhóm: quản lý danh tính và quyền truy cập (IAM) yếu, thiếu logging, cấu hình dịch vụ sai, tường lửa lỏng lẻo, dịch vụ bị lộ (exposed services) và mã hóa yếu. Kết quả cho thấy các vấn đề về IAM và thiếu logging xuất hiện ở hầu hết mọi nơi, ảnh hưởng đến 80-98% tài khoản.

Tuy nhiên, các nhóm khác có sự phân hóa rõ rệt:

Dịch vụ bị lộ: AWS (76%), Azure (64%), Google Cloud (8%).
Tường lửa lỏng lẻo: AWS (83%), Azure (45%), Google Cloud (34%).
Mã hóa yếu: AWS (49%), Azure (35%), Google Cloud (8%).
Cấu hình dịch vụ sai: Azure dẫn đầu với 80%, trong khi Google Cloud thấp nhất với 37%.

AWS thường dẫn đầu về tỷ lệ cấu hình sai trong hầu hết các danh mục, một phần do hệ sinh thái dịch vụ quá đồ sộ. Ngược lại, Google Cloud có tỷ lệ thấp hơn, có thể nhờ mô hình Shared Fate với các thiết lập mặc định an toàn hơn ngay từ đầu.

Điểm yếu đặc thù của từng nền tảng

AWS: Các vấn đề phổ biến nhất liên quan đến việc không bắt buộc HTTPS trên S3, tường lửa lỏng lẻo và các chính sách IAM cho phép leo thang đặc quyền (privilege escalation).
Azure: Rủi ro tập trung vào quản lý khóa lưu trữ (storage account keys), quyền truy cập công khai vào tài khoản lưu trữ và việc thiếu xác thực đa yếu tố (MFA) trên Entra ID.
Google Cloud: Các vấn đề chủ yếu xoay quanh IAM, đặc biệt là việc không kích hoạt OS Login và quản lý service account quá lỏng lẻo.

Quy mô tổ chức và thách thức quản trị

Đáng chú ý, các doanh nghiệp lớn thường quản lý tốt hơn về tường lửa và mã hóa, nhưng lại gặp khó khăn lớn với IAM. Tỷ lệ cấu hình IAM yếu tăng dần theo quy mô tổ chức, lên tới 98% ở các doanh nghiệp lớn. Điều này cực kỳ nguy hiểm vì chỉ cần một danh tính bị lạm quyền cũng đủ để bypass các lớp kiểm soát bảo mật khác.

Đối với các đội ngũ an ninh mạng, bài học rút ra là không nên áp dụng một danh sách kiểm tra duy nhất cho mọi môi trường. Thay vào đó, cần có cái nhìn nhất quán về trạng thái bảo mật (posture) trên toàn bộ hệ thống, đồng thời nắm vững các chi tiết kỹ thuật đặc thù của từng nền tảng để ưu tiên nguồn lực khắc phục hiệu quả.

Nguồn tham khảo: The Hacker News