Định nghĩa Network Security Threat (Mối đe dọa an ninh mạng)
Mối đe dọa an ninh mạng là bất kỳ nguyên nhân tiềm tàng nào có thể khai thác lỗ hổng (vulnerability) để gây hại cho tính bảo mật (Confidentiality), toàn vẹn (Integrity) hoặc sẵn sàng (Availability) của hệ thống, mạng hoặc dữ liệu. Threat = Threat Actor (kẻ đe dọa) + TTP (Tactics, Techniques, Procedures) + Target.
Phân loại theo MITRE ATT&CK / NIST / ENISA
1. Theo nguồn gốc (Source)
- External Threats (Đe dọa bên ngoài): APT groups, Cybercriminals (ransomware gangs), Hacktivists, Script kiddies, State-sponsored.
- Internal Threats (Đe dọa bên trong - Insider Threats):
- Malicious insider: Nhân viên bất mãn, gian điệp, bribed.
- Negligent insider: Vô ý click phishing, misconfig, mất thiết bị.
- Compromised insider: Credential bị đánh cắp, máy bị malware điều khiển.
- Supply Chain / Third-party: Vendor, contractor, SaaS provider, CI/CD dependency.
2. Theo kỹ thuật tấn công (TTP - MITRE ATT&CK)
| Tactic (Mục tiêu) | Technique ví dụ | Mô tả ngắn |
|---|---|---|
| Initial Access | Phishing (T1566), Exploit Public-Facing App (T1190), Valid Accounts (T1078), Drive-by Compromise (T1189) | Đặt chân vào môi trường |
| Execution | Command & Scripting (T1059), Scheduled Task (T1053), WMI (T1047) | Chạy mã độc trên target |
| Persistence | Registry Run Keys (T1547), Scheduled Task, Bootkit, Web Shell, SSH Keys | Duy trì foothold sau reboot |
| Privilege Escalation | Exploit Vuln (T1068), Token Impersonation (T1134), Bypass UAC (T1548) | Đặc quyền cao hơn |
| Defense Evasion | Obfuscation (T1027), Disable AV (T1562), Rootkit (T1014), Masquerading (T1036) | Tránh bị phát hiện |
| Credential Access | OS Credential Dumping (T1003), Keylogging (T1056), Brute Force (T1110), Kerberoasting (T1558) | Lấy credential |
| Discovery | Network Scan (T1046), AD Enum (T1069), Process Discovery (T1057), Cloud Service Enum | Thu thập thông tin môi trường |
| Lateral Movement | Pass-the-Hash (T1550), RDP (T1021.001), SMB/WinRM, SSH, Pass-the-Ticket | Di chuyển ngang trong mạng |
| Collection | Data from Local System (T1005), Email Collection (T1114), Screen Capture (T1113) | Thu thập dữ liệu mục tiêu |
| Command & Control | Application Layer Protocol (T1071), DNS (T1071.004), WebSocket, Domain Fronting | Kênh điều khiển malware |
| Exfiltration | Exfil Over C2 (T1041), Web Service (T1567), Physical Media (T1052) | Đưa dữ liệu ra ngoài |
| Impact | Ransomware (T1486), Data Destruction (T1485), Disk Wipe (T1561), Defacement (T1491) | Gây hại: mã hóa, xóa, làm ngập |
3. Theo loại tác động (Impact Type)
- Data Breach / Exfiltration: Mất dữ liệu PII, IP, tài chính, y tế (GDPR, PDPA fines).
- Ransomware / Extortion: Mã hóa + đe dọa leak (double/triple extortion).
- Service Disruption (DoS/DDoS): Làm ngập bandwidth, exhaust resource.
- System Compromise / Persistence: Backdoor, rootkit, firmware implant.
- Financial Theft / Fraud: BEC (Business Email Compromise), crypto jacking, payment fraud.
- Reputational Damage: Leak internal comms, defacement, service outage.
- Regulatory/Legal Consequences: Fine, lawsuit, loss of license.
- Physical Safety (OT/ICS/IoMT): Đe dọa tính mạng, môi trường (Triton/Stuxnet style).
Top 10 mối đe dọa 2024 (Theo ENISA / Verizon DBIR / CrowdStrike)
- Ransomware-as-a-Service (RaaS): LockBit, BlackCat/ALPHV, Cl0p, Akira.
- Identity-based Attacks: Credential theft, MFA fatigue, token theft, Golden SAML.
- Cloud Misconfiguration & Exploitation: S3 public, IAM over-permission, container escape.
- Supply Chain / Software Supply Chain: Malicious package (npm/PyPI), CI/CD poisoning, vendor compromise.
- Business Email Compromise (BEC): Social engineering không malware, lừa chuyển tiền.
- Exploitation of Public-Facing Vulnerabilities: Zero-day/N-day (CitrixBleed, MoveIT, FortiGate, VPN).
- Insider Threat (Negligent > Malicious): Data loss, misconfig, shadow IT.
- AI-Enhanced Attacks: Deepfake voice/video, AI-generated phishing, automated vuln discovery.
- IoT/OT/ICS Targeting: Default creds, unpatched firmware, no segmentation.
- Data Poisoning / Model Extraction (AI/ML Systems): Tấn công supply chain mô hình AI.
Passive vs Active Attacks (Tấn công thụ động vs chủ động)
| Đặc điểm | Passive Attack (Thụ động) | Active Attack (Chủ động) |
|---|---|---|
| Mục tiêu | Thu thập thông tin (Confidentiality) | Thay đổi/Phá hủy/Cản trở (Integrity, Availability) |
| Tương tác | Không gửi gói tin đến target (chỉ nghe lén) | Gửi gói tin, thay đổi dữ liệu, inject traffic |
| Phát hiện | Rất khó (không để dấu vết trên target) | Dễ hơn (log, IDS, anomaly) |
| Ví dụ | Sniffing (Wireshark), Traffic Analysis, Keylogger (local), Side-channel | MitM, Injection (SQLi, XSS), DoS, Ransomware, Brute-force, Spoofing |
| Countermeasure | Encryption (TLS, IPsec, WPA3), TEMPEST, Physical security | IPS, WAF, Rate limiting, Patch, MFA, Segmentation |
Quy trình quản trị mối đe dọa (Threat Management Lifecycle)
- Threat Intelligence: Thu thập IOC, TTP, Actor profile từ OSINT, ISAC, Commercial feed, Dark web monitoring.
- Threat Modeling: STRIDE/PASTA trên hệ thống quan trọng → xác định attack surface, trust boundary.
- Prevention (Protect): Hardening, Patch, Config baseline, MFA, Segmentation, Email/Web security.
- Detection: SIEM rules, Sigma, YARA, Behavioral analytics (UEBA), NDR, EDR, Deception (Honeypot/Canary).
- Response: IR Playbook, Containment (network/host/account), Eradication, Recovery, Forensics preservation.
- Recovery & Improvement: Restore từ backup sạch, Root Cause Analysis (RCA), Update controls, Purple Team exercise.
Kết luận
Hiểu mối đe dọa không phải học vẹt danh sách, mà là hiểu Threat Actor → Motivation → Capability → TTP → Target → Impact. Bảo vệ hiệu quả = Risk-based + Threat-informed + Defense in Depth + Continuous Improvement.