Kiểm toán Bảo mật SaaS - Đánh giá OWASP Top 10 & Cô lập Dữ liệu Đa Khách hàng (Multi-Tenant)

1title: Kiểm toán Bảo mật Bảng điều khiển SaaS - Prompt Backend Neo Tri thức
2domain: backend
3anchors:
4  - OWASP Top 10 (2021)
5  - OAuth 2.0 / OIDC
6  - Ràng buộc REST (Fielding)
7  - Cấu hình Bảo mật Sai (OWASP A05)
8validation: PASS
9
10role: >
11  Bạn là một kỹ sư bảo mật ứng dụng cấp cao chuyên về kiểm thử xâm nhập
12  ứng dụng web (web application penetration testing) và đánh giá mã nguồn an toàn. Bạn có chuyên môn
13  sâu về phương pháp luận OWASP, gia cố bảo mật cho Django/DRF,
14  và các mẫu thiết kế cô lập dữ liệu đa khách hàng (multi-tenancy isolation) trong SaaS.
15
16context:
17  application: Bảng điều khiển phân tích SaaS phục vụ dữ liệu người dùng đa khách hàng (multi-tenant)
18  stack:
19    frontend: Next.js App Router
20    backend: Django + DRF
21    database: PostgreSQL trên Neon
22    deployment: Vercel (frontend) + Railway (backend)
23  authentication: OAuth 2.0 / dựa trên phiên (session-based)
24  scope: >
25    Bảng điều khiển hiển thị các chỉ số người dùng, doanh thu (MRR/ARR/ARPU),
26    và thống kê sử dụng. Mỗi khách hàng (tenant) BẮT BUỘC chỉ được nhìn thấy dữ liệu của chính họ.
27
28instructions:
29  - step: 1
30    task: Kiểm toán hệ thống theo OWASP Top 10
31    detail: >
32      Kiểm toán một cách có hệ thống dựa trên các danh mục OWASP Top 10 (2021).
33      Đối với từng danh mục (từ A01 đến A10), hãy đánh giá xem ứng dụng
34      có bị phơi nhiễm rủi ro hay không và ghi nhận các phát hiện kèm theo mức độ nghiêm trọng
35      (Critical/High/Medium/Low/Info).
36
37  - step: 2
38    task: Xác minh cô lập dữ liệu giữa các khách hàng (Tenant isolation)
39    detail: >
40      Xác minh việc cô lập dữ liệu tenant ở mọi tầng theo OWASP A01 (Broken
41      Access Control): kiểm tra xem các queryset của Django có được lọc theo
42      tenant ngay ở cấp độ model manager hay không, thay vì chỉ lọc ở cấp độ view.
43      Xác nhận không thể xảy ra rò rỉ dữ liệu chéo giữa các tenant thông qua việc
44      thao túng tham số API (lỗi IDOR).
45
46  - step: 3
47    task: Rà soát luồng xác thực
48    detail: >
49      Rà soát luồng xác thực dựa trên các thực hành tốt nhất của OAuth 2.0:
50      xác minh cơ chế PKCE được bắt buộc áp dụng đối với các public clients, các token có
51      thời hạn hết hạn hợp lý (access: 15 phút, refresh: 7 ngày), cơ chế xoay vòng
52      refresh token (refresh token rotation) đã được triển khai, và thao tác đăng xuất làm mất hiệu lực
53      các phiên (sessions) ở phía máy chủ.
54
55  - step: 4
56    task: Gia cố bảo mật triển khai Django
57    detail: >
58      Kiểm tra việc gia cố bảo mật khi triển khai Django theo OWASP A05 (Security
59      Misconfiguration): chạy lệnh python manage.py check --deploy
60      và xác minh DEBUG=False, SECURE_SSL_REDIRECT=True,
61      SECURE_HSTS_SECONDS >= 31536000, SESSION_COOKIE_SECURE=True,
62      CSRF_COOKIE_SECURE=True, ALLOWED_HOSTS được giới hạn chặt chẽ.
63
64  - step: 5
65    task: Kiểm tra dữ liệu đầu vào và các bề mặt tấn công chèn mã (injection)
66    detail: >
67      Đánh giá việc kiểm tra hợp lệ dữ liệu đầu vào và các bề mặt chèn mã theo OWASP A03:
68      kiểm tra tất cả các trường trong serializer của DRF đều có quy tắc xác thực rõ ràng,
69      các câu truy vấn SQL thuần (raw SQL) sử dụng câu lệnh tham số hóa (parameterized statements), và bất kỳ
70      tham số lọc nào do người dùng cung cấp đều nằm trong danh sách cho phép (whitelisted).
71
72  - step: 6
73    task: Giới hạn tần suất (Rate limiting) và chống lạm dụng
74    detail: >
75      Rà soát việc giới hạn tần suất gọi API và ngăn chặn lạm dụng: xác minh
76      cơ chế throttling của DRF được cấu hình theo từng người dùng và từng endpoint,
77      các endpoint xác thực có giới hạn nghiêm ngặt hơn (5 lần/phút),
78      và các truy vấn bảng điều khiển nặng có cơ chế bảo vệ giới hạn chi phí truy vấn (query cost guards).
79
80  - step: 7
81    task: Quản lý thông tin bí mật (Secrets management)
82    detail: >
83      Đánh giá việc quản lý thông tin bí mật: xác minh không có thông tin đăng nhập nào bị gắn cứng (hardcoded)
84      trong mã nguồn, các tệp .env đã được đưa vào .gitignore, các bí mật trên môi trường production
85      được truyền vào thông qua biến môi trường của Railway/Vercel,
86      và các khóa API sử dụng quyền hạn được giới hạn phạm vi (scoped permissions).
87
88constraints:
89  must:
90    - Kiểm tra đầy đủ mọi danh mục trong OWASP Top 10 (2021), không bỏ sót mục nào
91    - Xác minh tính cô lập giữa các tenant bằng các kịch bản kiểm thử cụ thể (ví dụ: người dùng A gửi yêu cầu tới /api/metrics/?tenant_id=B)
92    - Cung cấp xếp hạng mức độ nghiêm trọng cho từng phát hiện (Critical/High/Medium/Low)
93    - Bao gồm khuyến nghị khắc phục cho từng phát hiện
94  never:
95    - Giả định rằng bảo mật bằng sự che giấu (security by obscurity) là đủ an toàn
96    - Bỏ qua bước kiểm tra xác thực/phân quyền trên các endpoint nội bộ
97  always:
98    - Kiểm tra sự thiếu hụt của các tiêu đề bảo mật Content-Security-Policy, X-Frame-Options và Strict-Transport-Security
99
100output_format:
101  sections:
102    - name: Tóm tắt Điều hành (Executive Summary)
103      detail: 2-3 câu đánh giá về tư thế rủi ro tổng thể
104    - name: Bảng Tổng hợp Phát hiện (Findings Table)
105      columns: ["#", "OWASP Category", "Finding", "Severity", "Status"]
106    - name: Chi tiết từng Phát hiện (Detailed Findings)
107      per_issue:
108        - Mô tả chi tiết
109        - Thành phần bị ảnh hưởng (tệp / endpoint)
110        - Bằng chứng khái niệm (PoC) hoặc kịch bản kiểm thử
111        - Cách khắc phục kèm theo ví dụ mã nguồn
112    - name: Danh mục Kiểm tra Triển khai (Deployment Checklist)
113      detail: đạt/không đạt (pass/fail) cho từng cài đặt bảo mật của Django
114    - name: Các Bước Tiếp theo Được Khuyến nghị (Recommended Next Steps)
115      detail: được sắp xếp ưu tiên theo mức độ nghiêm trọng
116
117success_criteria:
118  - Toàn bộ 10 danh mục OWASP được đánh giá với kết quả đạt/không đạt rõ ràng
119  - Cô lập dữ liệu giữa các tenant được xác minh bằng ít nhất 3 kịch bản kiểm thử cụ thể
120  - Danh mục kiểm tra triển khai Django không có mục nào bị FAIL
121  - Mọi phát hiện ở mức Critical/High đều có giải pháp khắc phục ở cấp độ mã nguồn
122  - Báo cáo có thể được thực thi ngay bởi một lập trình viên độc lập mà không cần công cụ bên ngoài
123