Chương 21: Threat Modeling & Security Architecture

// CHUẨN PHÂN LOẠI DỮ LIỆU: Áp dụng Annotation bảo mật và phân tách vùng lưu trữ
public class CustomerProfile {
    private String publicBio; // Tier 3: Public

    @Sensitivity(Level.CONFIDENTIAL) // Tier 1: Restricted PII
    @Convert(converter = AesGcmFieldEncryptor.class)
    private String encryptedSsn;
}

// THIẾT KẾ ĐÃ ÁP DỤNG BIỆN PHÁP ĐỐI PHÓ STRIDE:
// 1. Spoofing -> Spring Security JWT Authentication
// 2. Tampering -> TLS 1.3 + Request Body HMAC SHA-256
// 3. Repudiation -> Spring Data JPA @Audited lưu vết bất biến
// 4. Information Disclosure -> Mã hóa AES-GCM
// 5. Denial of Service -> Bucket4j Rate Limiting
// 6. Elevation of Privilege -> Spring Method Security @PreAuthorize

// CHUẨN AN TOÀN: Dùng định dạng dữ liệu trung lập (JSON) với ObjectMapper an toàn
ObjectMapper mapper = new ObjectMapper();
mapper.deactivateDefaultTyping(); // Chặn nạp Class tùy tiện
MySafeDto dto = mapper.readValue(jsonStream, MySafeDto.class);

// MA TRẬN RỦI RO DREAD:
// Risk Level = Impact (Mức độ tác động) x Likelihood (Khả năng xảy ra)
// - Critical (Score 40-50): Vá trong vòng 24 giờ
// - High (Score 30-39): Vá trong vòng 7 ngày
// - Medium (Score 20-29): Đưa vào Sprint hiện tại
// - Low (Score 0-19): Đưa vào Backlog

# BỀ MẶT TẤN CÔNG TỐI THIỂU (HARDENED):
# Chỉ có Nginx Ingress Controller mở cổng 443 ra ngoài Internet
ports:
  - "443:443"
# PostgreSQL và Redis chỉ kết nối trong mạng nội bộ docker network, không mở port host:
networks:
  backend-tier:
    internal: true # Tuyệt đối không có Internet ingress!

// KIẾN TRÚC AN TOÀN VÙNG BẢO MẬT:
// 1. Public Subnet: Chỉ chứa AWS ALB (Application Load Balancer)
// 2. Private App Subnet: Chứa Spring Boot ECS Containers
// 3. Isolated DB Subnet: Chứa RDS Aurora PostgreSQL (không có route ra Internet)
// Security Group DB: Chỉ nhận traffic cổng 5432 từ Security Group của App Container!

// KIẾN TRÚC DFD ĐÚNG CHUẨN:
// [Client] --(HTTPS POST)--> [Spring Controller] 
//                                   |
//                              (@Valid & Authz)
//                                   v
//                             [Order Service] 
//                                   |
//                             (PreparedStatement)
//                                   v
//                             [(PostgreSQL DB)]

// CHUẨN AN TOÀN: Nguyên tắc Bốn mắt (Dual-control / Four-eyes Principle)
@PostMapping("/api/transfers/approve")
@PreAuthorize("hasRole('FINANCE_DIRECTOR')")
public ResponseEntity approveTransfer(@RequestParam Long transferId, 
                                        @AuthenticationPrincipal UserPrincipal director) {
    Transfer tx = transferRepo.findById(transferId).orElseThrow();
    // Người tạo lệnh (Maker) không bao giờ được phép tự duyệt (Checker)!
    if (tx.getCreatedByUserId().equals(director.getId())) {
        throw new SecurityException("Người tạo lệnh chuyển tiền không được tự mình phê duyệt!");
    }
    tx.approve(director.getId());
    return ResponseEntity.ok(transferRepo.save(tx));
}

// BẺ GÃY MẮT XÍCH: Đặt cờ HttpOnly cho Cookie
// Khiến nhánh tấn công cắp Cookie qua XSS bị chặn đứng hoàn toàn:
ResponseCookie cookie = ResponseCookie.from("JSESSIONID", id)
    .httpOnly(true) // JavaScript hoàn toàn bất lực không thể đọc!
    .secure(true)
    .sameSite("Strict")
    .build();

// CHUẨN AN TOÀN PHÒNG THỦ ĐA TẦNG:
// Lớp 1 (Network): WAF chặn các pattern tấn công phổ biến
// Lớp 2 (Transport): Bắt buộc HTTPS TLS 1.3
// Lớp 3 (App Perimeter): Spring Security xác thực MFA & OAuth2 JWT
// Lớp 4 (Input): Jakarta Bean Validation (@NotBlank, @Pattern)
// Lớp 5 (Logic): PreparedStatement tách rời tham số
// Lớp 6 (Storage): CSDL mã hóa TDE & cột nhạy cảm mã hóa AES-GCM
// Lớp 7 (Audit): Log kiểm toán bất biến đẩy về SIEM