CẢNH BÁO THỰC TẾ Nhiều sự cố không bắt đầu bằng lỗ hổng code phức tạp mà từ production cấu hình lệch: debug còn bật, stack trace lộ ra ngoài, tài khoản mặc định chưa đổi, dashboard quản trị mở Internet, bucket hoặc object storage công khai, cổng không cần thiết hoặc secret dùng chung giữa môi trường. Khi hệ thống có nhiều cloud service và container, configuration drift càng dễ xuất hiện. Baseline triển khai nên bao gồm: - Production, staging và development tách credential, dữ liệu và quyền. - Tài khoản mặc định được vô hiệu hóa hoặc thay credential mạnh; quyền quản trị có MFA, cấp theo thời hạn và vai trò. - Chỉ mở port, service, API management và console cần thiết; có lớp xác thực và network policy trước giao diện quản trị. - Không hiển thị stack trace, biến môi trường hay cấu hình cho client; log chi tiết nằm ở nơi được kiểm soát. - Storage mặc định private, có policy truy cập rõ, logging và cảnh báo khi quyền public thay đổi. Hãy biến baseline thành Infrastructure as Code hoặc kiểm tra tự động trong pipeline. Rà soát thủ công một lần là chưa đủ: cần phát hiện drift, review thay đổi cấu hình và kiểm chứng định kỳ từ góc nhìn người không có quyền. Tham khảo: OWASP Top 10 – Security Misconfiguration.