Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Tấn công trong an ninh mạng (Network Attack) là gì?

Định nghĩa Tấn công mạng (Network Attack)

Tấn công mạng (Network Attack) là hành động chủ động, có chủ đích của tác nhân đe dọa (Threat Actor) nhằm khai thác lỗ hổng của hệ thống mạng, thiết bị, ứng dụng hoặc con người để: Xâm nhập trái phép, Ăn cắp dữ liệu, Phá hoại hệ thống, Gián đoạn dịch vụ, Lừa đảo, Giám sát bí mật, hoặc Lợi dụng tài nguyên cho mục đích xấu.

Phân loại tấn công theo bản chất

LoạiĐặc điểmVí dụ
Tấn công Chủ động (Active Attack)Thay đổi, phá hoại, chèn, xóa dữ liệu/hệ thống. Dễ phát hiện nhưng gây hại trực tiếp.DoS/DDoS, Malware injection, Data manipulation, Ransomware encryption, MITM modification, SQL Injection, Command Injection
Tấn công Bị động (Passive Attack)Chỉ quan sát, nghe lén, thu thập thông tin. Không thay đổi dữ liệu. Khó phát hiện.Sniffing/Eavesdropping, Traffic Analysis, Keylogging (nếu chỉ ghi), Reconnaissance/Footprinting, Port Scanning (nếu không khai thác)

Các vector tấn công chính (Attack Vectors) - MITRE ATT&CK Framework

1. Initial Access (Truy cập ban đầu)

  • Phishing: Email/SMS/Chat giả mạo (Credential harvesting, Malware delivery). Spear Phishing, Whaling, Business Email Compromise (BEC).
  • Exploit Public-Facing Application: Khai thác lỗ hổng Web App (SQLi, RCE, Log4Shell, ProxyShell, CVE-2023/2024 critical).
  • External Remote Services: VPN, RDP, SSH, Citrix, VNC với credential yếu/đã rò rỉ, không MFA.
  • Drive-by Compromise: Truy cập web bị nhiễm mã độc → Exploit browser/plugin.
  • Supply Chain Compromise: SolarWinds, 3CX, MoveIT, Dependency Confusion.
  • Valid Accounts: Dùng credential hợp pháp (Default creds, Credential Stuffing, Password Spraying, Stolen creds).

2. Execution & Persistence (Thực thi & Duy trì foothold)

  • Command & Scripting Interpreter: PowerShell, Bash, Python, WMI, MSHTA, Rundll32, Regsvr32 (Living off the Land - LOLBins).
  • Scheduled Task/Job, Startup Items, Services, Registry Run Keys, WMI Event Subscription (Persistence).
  • DLL Search Order Hijacking, Binary Padding.

3. Privilege Escalation (Leo thang đặc quyền)

  • Khai thác lỗ hổng Kernel/OS (CVE-2021-34527 PrintNightmare, CVE-2022-0847 DirtyPipe).
  • Token Impersonation, Access Token Manipulation.
  • Kerberoasting, AS-REP Roasting, Golden/Silver Ticket (AD).
  • Exploit Misconfiguration (AlwaysInstallElevated, Unquoted Service Path, Weak Service Permissions).

4. Defense Evasion (Tránh phát hiện)

  • Obfuscation/Encoding (Base64, XOR, AES), Packing, Compile after delivery.
  • Disable/Modify Security Tools (AV, EDR, Firewall, Logging).
  • Indicator Removal (Clear Logs, Timestomp, File Deletion).
  • Process Injection, Hollowing, Dopplegänging.
  • Rootkit (Kernel/User mode), Bootkit, Firmware Rootkit.

5. Credential Access (Đánh cắp credential)

  • OS Credential Dumping: LSASS Memory (Mimikatz, Procdump, Comsvcs.dll), SAM/NTDS.dit, DCSync.
  • Network Sniffing (LLMNR/NBT-NS Poisoning - Responder), ARP Spoofing.
  • Keylogging, Credential from Web Browser, Password Manager.
  • Forced Authentication (PetitPotam, PrinterBug, ShadowCoerce).

6. Discovery (Khám phá môi trường)

  • Network Service Scanning (Nmap, Masscan), Network Share Discovery, Permission Groups Discovery.
  • System Information Discovery, Process Discovery, File/Directory Discovery.
  • Cloud/Container Discovery (AWS CLI, Azure CLI, Kubectl, Cloud Metadata API).
  • AD Reconnaissance (BloodHound, SharpHound, LDAP queries).

7. Lateral Movement (Di chuyển ngang)

  • Remote Services: SMB/PSExec, WinRM, RDP, SSH, DCOM, WMI, RPC.
  • Pass-the-Hash, Pass-the-Ticket, Overpass-the-Hash.
  • Internal Spearphishing, SSH Hijacking.
  • Exploit Remote Services (EternalBlue, BlueKeep, ProxyShell).

8. Collection & Exfiltration (Thu thập & Xuất dữ liệu)

  • Data from Local System, Network Share, Cloud Storage, Email, Database.
  • Archive/Encrypt/Steganography dữ liệu.
  • Exfiltration: C2 Channel (DNS, HTTP/S, ICMP, Cloud API), Physical Media, Email, Web Service.

9. Impact (Tác động phá hoại)

  • Ransomware: Mã hóa dữ liệu tống tiền (Double/Triple Extortion: Encrypt + Steal + Threaten + DDoS).
  • Data Destruction/Wiper: Xóa dữ liệu vĩnh viễn (NotPetya, HermeticWiper, AcidRain).
  • DDoS: Làm quá tải dịch vụ.
  • Defacement: Thay đổi nội dung web.
  • Resource Hijacking: Cryptojacking (XMRig), Botnet recruitment.
  • Firmware Corruption: Brick thiết bị.

Top 10 Kỹ thuật tấn công phổ biến nhất 2023-2024 (theo MITRE ATT&CK / Verizon DBIR / IBM X-Force)

  1. T1566.002 Phishing: Spearphishing Link
  2. T1078 Valid Accounts (Credential Stuffing, Password Spraying, Stolen Creds)
  3. T1190 Exploit Public-Facing Application (Log4Shell, Spring4Shell, CitrixBleed, MoveIT, FortiOS SSL-VPN)
  4. T1059 Command & Scripting Interpreter (PowerShell, Bash, Python - LOLBins)
  5. T1003 OS Credential Dumping (LSASS, NTDS.dit)
  6. T1021 Remote Services (SMB, RDP, SSH - Lateral Movement)
  7. T1486 Data Encrypted for Impact (Ransomware)
  8. T1567 Exfiltration Over Web Service (Cloud Storage, GitHub, Pastebin)
  9. T1070 Indicator Removal (Clear Logs, Timestomp)
  10. T1082 System Information Discovery

Tấn công dựa trên mạng (Network-based Attacks) - Chi tiết

Man-in-the-Middle (MitM)

  • ARP Spoofing/Poisoning: Gửi ARP reply giả → Traffic victim đi qua attacker.
  • DNS Spoofing/Hijacking: Giả mạo DNS response → Redirect victim đến server giả.
  • SSL Stripping: Hạ cấp HTTPS → HTTP (HSTS preload ngăn chặn).
  • Evil Twin AP: AP giả cùng SSID, signal mạnh hơn → Victim kết nối → MitM.
  • BGP Hijacking: Quảng bá route sai → Traffic đi đường kẻ tấn công.

Denial of Service (DoS/DDoS)

  • Volumetric: UDP Flood, NTP Amplification, DNS Amplification, Memcached Amplification, CLDAP - làm đầy băng thông.
  • Protocol: SYN Flood (TCP handshake exhaustion), ACK Flood, Fragmentation.
  • Application Layer (L7): HTTP Flood (GET/POST), Slowloris (gi trì connection), RUDY, API Abuse.

Tấn công Định tuyến (Routing Attacks)

  • Wormhole: Tunnel gói tin giữa 2 điểm xa (xem bài 1003030984).
  • Sinkhole: Quảng bá route giả "ngắn nhất" → Thu hút traffic.
  • Blackhole: Quảng bá route đến null → Drop traffic.
  • Route Leak: Quảng bá route sai (bỏ qua policy).

Mô hình Kill Chain (Cyber Kill Chain - Lockheed Martin)

  1. Reconnaissance: Thu thập thông tin mục tiêu (OSINT, Scanning, Social Media).
  2. Weaponization: Tạo.payload + exploit (Malware, Phishing email, Exploit kit).
  3. Delivery: Gửi payload (Email, Web, USB, Supply Chain).
  4. Exploitation: Kích hoạt lỗ hổng (Run exploit, Open malicious doc).
  5. Installation: Cài malware/backdoor/persistence.
  6. Command & Control (C2): Kết nối điều khiển (HTTP/S, DNS, Cloud API, P2P, Tor).
  7. Actions on Objectives: Đạt mục tiêu (Exfil, Encrypt, Destroy, Manipulate).

Phòng thủ & Phát hiện (Detection & Defense)

  • Zero Trust: Verify explicitly, Least privilege, Assume breach.
  • Defense in Depth: Perimeter (NGFW, WAF, DDoS Protection) → Network (Segmentation, NAC, ZTNA) → Endpoint (EDR, App Control) → Application (DevSecOps, WAF, API Gateway) → Data (Encryption, DLP, Backup) → Identity (MFA, PAM, IGA).
  • Visibility: Full Packet Capture (Zeek), NetFlow, Cloud Flow Logs, EDR Telemetry, DNS Logs, Proxy Logs, AD Logs, CloudTrail.
  • Detection Engineering: Sigma Rules, MITRE ATT&CK Coverage, Behavioral Analytics (UEBA), Threat Hunting.
  • Incident Response: Plan, Playbook, Tabletop, Red/Purple Team, Forensics Readiness.
  • Threat Intelligence: IOC Feeds, TTP Profiles, Actor Tracking, Vulnerability Intel.

Kết luận

Tấn công mạng là hành động chủ động khai thác lỗ hổng (Kỹ thuật, Con người, Quy trình) để đạt mục đích xấu. Hiểu rõ MITRE ATT&CK Framework (Tactics, Techniques, Procedures - TTPs) và Cyber Kill Chain giúp tổ chức xây dựng chiến lược phòng thủ chủ động: Ngăn chặn (Prevent) → Phát hiện (Detect) → Phản hồi (Respond) → Phục hồi (Recover). Không có biện pháp single-point-of-failure. An ninh mạng là quá trình liên tục, không phải đích đến.