Bảo mật ứng dụng, mã hóa dữ liệu, DevSecOps và compliance
Bảo mậtEngineer không cần thuộc lòng từng control, nhưng cần biết cách map control vào pipeline và sinh evidence tự động. Bài viết tóm tắt 4 khung phổ biến và cách triển khai compliance-as-code trong DevSecOps.
Duy Tran11 phút
Bảo mậtMột image production tốt phải nhỏ, không root, không shell, được scan và sign. Bài viết tổng hợp kỹ thuật hardening Docker/OCI image kèm workflow ký Cosign keyless với OIDC GitHub.
Duy Tran9 phút
Bảo mậtShift-left không phải là đẩy việc cho dev. Đó là tự động hoá kiểm soát bảo mật gần thời điểm sinh lỗi nhất, để team sửa nhanh và security trở thành thuộc tính mặc định của hệ thống.
Duy Tran8 phút
Bảo mậtPhòng thủ tốt cần ba thứ: log có cấu trúc, detection rule map theo ATT&CK, và IR runbook đã diễn tập. Bài viết tổng hợp cách build chương trình detection-as-code và post-mortem blameless cho team DevSecOps.
Duy Tran10 phút
Bảo mậtImage scan tĩnh không bắt được hành vi bất thường khi container đang chạy. Kết hợp admission policy (Kyverno) chặn workload không tuân thủ và runtime monitor (Falco) để phát hiện shell-in-container, lateral movement.
Duy Tran9 phút
Bảo mậtTrước khi nói tới DAST, IAST hay supply chain, mọi pipeline cần ba lớp cơ bản: SAST cho code, SCA cho dependency, secret scanning cho key/token. Bài viết hướng dẫn dựng đủ ba lớp với Semgrep, Trivy và Gitleaks.
Duy Tran10 phút
Bảo mậtSau xz, npm typosquat và build poisoning, supply chain attack đã trở thành vector phổ biến nhất. SLSA + SBOM + Sigstore là bộ ba khung tiêu chuẩn mở giúp bạn chứng minh artifact được build từ đâu, bằng gì, bởi ai.
Duy Tran10 phút
Bảo mậtThreat model không cần phải là tài liệu 50 trang. Một buổi 60 phút với DFD level 1, STRIDE và risk register đủ để tránh lớp lỗi thiết kế thường xuyên thấy trong audit và pentest.
Duy Tran9 phút
SecurityBài viết này phân tích chi tiết kiến trúc phân quyền dữ liệu cho các hệ thống có cấu trúc phân cấp — từ chính phủ, tập đoàn đa quốc gia, đến chuỗi bán lẻ với hàng nghìn chi nhánh.
Duy Tran37 phút