Các loại tấn công an ninh mạng phổ biến
Để xác định phương pháp KHÔNG phải tấn công, trước hết cần nắm rõ các vector tấn công chính:
1. Tấn công dựa trên Mã độc (Malware-based)
- Virus, Worm, Trojan, Ransomware, Spyware, Rootkit, Botnet, Fileless malware
2. Tấn công Kỹ thuật xã hội (Social Engineering)
- Phishing (Email, Spear, Whaling, Smishing, Vishing)
- Pretexting, Baiting, Tailgating, Quid Pro Quo
3. Tấn công Mạng (Network-based)
- Man-in-the-Middle (MitM): ARP/DNS spoofing, SSL stripping, Evil Twin
- DDoS: Volumetric, Protocol, Application layer
- DNS Tunneling, BGP Hijacking, Route Hijacking
- Sniffing/Eavesdropping (Passive)
4. Tấn công Ứng dụng/Web (OWASP Top 10)
- Injection (SQLi, NoSQLi, Command, LDAP, XPath)
- Broken Authentication / Session Management
- Sensitive Data Exposure
- XXE, Broken Access Control, Security Misconfiguration
- XSS (Reflected, Stored, DOM-based)
- Insecure Deserialization
- Using Components with Known Vulnerabilities
- Insufficient Logging & Monitoring
5. Tấn công dựa trên Danh tính (Identity-based)
- Credential Stuffing, Password Spraying, Brute Force
- Pass-the-Hash, Pass-the-Ticket, Kerberoasting, AS-REP Roasting
- Golden/Silver Ticket (Kerberos)
6. Tấn công Zero-day & Supply Chain
- Zero-day exploit (lỗ hổng chưa công bố/vá)
- Supply Chain Attack (SolarWinds, Log4Shell, 3CX, MoveIT)
- Dependency Confusion, Typosquatting (npm, PyPI)
7. Tấn công Đối kháng (Adversarial) - AI/ML
- Adversarial Examples (đánh lừa model phân loại)
- Data Poisoning (nhiễm dữ liệu huấn luyện)
- Model Extraction/Inversion
- Deepfake cho BEC (Business Email Compromise)
Các khái niệm LIÊN QUAN nhưng KHÔNG PHẢI phương pháp tấn công
Dưới đây là những thứ thường bị nhầm lẫn là "phương pháp tấn công" nhưng thực chất KHÔNG phải:
| Khái niệm | Phân loại thực tế | Tại sao KHÔNG phải phương pháp tấn công |
|---|---|---|
| Firewall (Tường lửa) | Công cụ bảo vệ (Defensive Control) | Là biện pháp phòng thủ lọc lưu lượng, chặn tấn công. Không phải vector tấn công. |
| Antivirus / EDR | Công cụ bảo vệ (Endpoint Protection) | Phát hiện, chặn, khử mã độc. Là lớp bảo vệ, không phải tấn công. |
| VPN (Mạng riêng ảo) | Công nghệ bảo mật kết nối | Mã hóa truyền tải, che IP. Dùng cho bảo mật, không phải tấn công. |
| Encryption (Mã hóa) | Kỹ thuật bảo mật dữ liệu | Bảo vệ tính bảo mật/toàn vẹn. Kẻ tấn công có thể khai thác triển khai yếu, nhưng mã hóa bản thân không phải tấn công. |
| Authentication / MFA | Cơ chế kiểm soát truy cập | Xác thực danh tính. Là biện pháp bảo vệ. |
| Patch Management / Vá lỗ hổng | Quy trình vận hành bảo mật | Hoạt động khắc phục lỗ hổng, giảm bề mặt tấn công. |
| Security Policy / Chính sách bảo mật | Tài liệu quản trị | Quy định hành vi, trách nhiệm. Không phải kỹ thuật tấn công. |
| Vulnerability (Lỗ hổng bảo mật) | Điểm yếu (Weakness) | Là điều kiện cho phép tấn công thành công, không phải hành động tấn công bản thân. CVE ≠ Attack. |
| Risk / Rủi ro | Đo lường xác suất x tác động | Khái niệm quản trị rủi ro, không phải hành động tấn công. |
| Compliance / Tuân thủ | Yêu cầu pháp lý/chuẩn mực | Khung đánh giá, không phải vector tấn công. |
| Backup / Disaster Recovery | Chiến lược phục hồi | Biện pháp đảm bảo Availability (CIA). Phòng thủ/Phục hồi. |
| Security Awareness Training | Giáo dục nhân sự | Giảm rủi ro Social Engineering. Biện pháp phòng thủ. |
| Penetration Testing / Red Teaming | Hoạt động kiểm tra an ninh (Authorized) | Mô phỏng tấn công có sự cho phép để tìm lỗ hổng. Không phải tấn công thực tế (malicious). |
| Vulnerability Scanning | Công cụ quét lỗ hổng (Automated) | Tự động tìm lỗ hổng đã biết. Hoạt động đánh giá, không phải tấn công khai thác. |
Câu hỏi trắc nghiệm thường gặp
Câu hỏi: "Which of the following does NOT represent a method to attack computer and network security?"
Các lựa chọn thường thấy:
- Phishing
- SQL Injection
- DDoS
- Firewall
- Ransomware
Đáp án đúng: Firewall (và các công cụ/biện pháp bảo vệ khác như Antivirus, VPN, Encryption, MFA, Patch Management...)
Phân biệt: Threat (Đe dọa) vs Vulnerability (Lỗ hổng) vs Attack (Tấn công) vs Control (Kiểm soát)
- Threat: Tác nhân/mã độc/sự kiện có tiềm năng gây hại (Hacker, Malware, Disgruntled employee, Thiên tai).
- Vulnerability: Lỗ hổng trong hệ thống có thể bị khai thác (CVE, Misconfig, Weak password, Unpatched software).
- Attack: Hành động chủ động khai thác lỗ hổng bởi Threat Actor (Gửi email phishing, Chạy exploit, DDoS).
- Control / Countermeasure: Biện pháp giảm thiểu rủi ro (Firewall, MFA, Encryption, Training, Policy).
Kết luận
Trong an ninh mạng, việc phân biệt rõ Vector tấn công (Attack Vector/Method) và Biện pháp bảo vệ (Defense/Control) là cơ bản. Firewall, Antivirus, VPN, Encryption, MFA, Patch Management, Security Policy, Backup, Training, Penetration Testing (authorized)... tất cả là CÔNG CỤ/BÍNH PHÁP BẢO VỆ, KHÔNG PHẢI phương pháp tấn công. Kẻ tấn công nhắm vào sự vắng mặt hoặc yếu kém của các biện pháp này.