Quét bảo mật liên tục (Continuous Security Scanning) là gì?
Là quá trình tự động, định kỳ, gần như real-time quét toàn bộ bề mặt tấn công (attack surface) của tổ chức: mạng, hệ thống, ứng dụng, đám mây, container, IaC, API – để phát hiện lỗ hổng (vulnerability), sai cấu hình (misconfiguration), tài sản mới (asset discovery), thay đổi rủi ro – không chỉ quét định kỳ hàng quý/hàng năm (periodic).
Tại sao quét định kỳ (Periodic) không còn đủ?
- Thời gian "cửa sổ dễ bị tổn thương" (Window of Exposure) dài: Quét tháng → lỗ hổng zero-day / CVE critical tồn tại 30 ngày trước khi phát hiện.
- Môi trường thay đổi liên tục: CI/CD deploy hàng ngày, auto-scaling cloud, ephemeral container, shadow IT, thiết bị IoT mới.
- Kẻ tấn công quét liên tục: Botnet, scanner tự động (Shodan, Censys, ZMap) quét toàn internet 24/7 tìm lỗ hổng mới (Log4j, ProxyNotShell, CitrixBleed, MoveIT...).
- Tuân thủ yêu cầu liên tục: PCI-DSS 11.3.1 (quarterly + after significant change), NIST CSF DE.CM-8, ISO 27001 A.12.6.1 – "continuous monitoring".
Giá trị cốt lõi của Continuous Scanning
| Giá trị | Mô tả | KPI đo lường |
|---|---|---|
| Giảm MTTR (Mean Time To Remediate) | Phát hiện CVE critical trong giờ/ngày thay vì tuần/tháng → vá nhanh, giảm xác suất bị khai thác. | MTTR critical < 72h, High < 7d. |
| Asset Inventory luôn cập nhật (Live CMDB) | Tự động khám phá asset mới (cloud instance, container, subdomain, API, IoT) → không còn "unknown unknowns". | Asset coverage > 95%, discovery lag < 1h. |
| Drift Detection (Phát hiện lệch cấu hình) | So sánh desired state (IaC, Policy-as-Code) vs actual state → cảnh báo sai cấu hình ngay lập tức. | Config drift detection < 1h. |
| Risk-based Prioritization (Ưu tiên theo rủi ro thực) | Kết hợp CVSS + EPSS (Exploit Prediction Scoring System) + CISA KEV + Threat Intel + Business Criticality → focus fix cái quan trọng nhất. | % Critical/High remediated on SLA > 90%. |
| Compliance Evidence tự động | Report sẵn sàng cho audit: PCI ASV scan, ISO 27001 A.12.6, NIST 800-53 RA-5, CMMC. | Audit prep time giảm 70%. |
| Threat Hunting Support | Dữ liệu vulnerability context-rich cho threat hunter: "Host X có CVE-2024-xxxx exploitable, có C2 beaconing?". | Threat hunt lead time giảm. |
Các loại quét trong Continuous Scanning
- Network Vulnerability Scanning (Authenticated/Unauthenticated): Tenable Nessus, Qualys VMDR, Rapid7 InsightVM, OpenVAS/GVM, Greenbone. Credentialed scan cho depth.
- Cloud Security Posture Management (CSPM): Wiz, Orca, Palo Alto Prisma Cloud, Microsoft Defender for Cloud, AWS Security Hub – quét misconfig IAM, S3, SG, K8s, serverless liên tục.
- Container/Image Scanning: Trivy, Grype, Syft, Snyk, Aqua, Twistlock – quét trong CI/CD pipeline (pre-deploy) + registry scanning (post-deploy).
- Application Security (SAST/DAST/IAST/SCA): SonarQube, Checkmarx, Veracode, Snyk, GitHub CodeQL – tích hợp Git hook/PR check.
- External Attack Surface Management (EASM): Randori, CyCognito, Hadrian, Assetnote – quét từ góc nhìn attacker (subdomain, cert, port, tech stack, leak).
- API Security Scanning: 42Crunch, Noname, Salt Security – schema validation, fuzzing, authz testing.
- IoT/OT Passive Scanning: Armis, Claroty, Forescout, Microsoft Defender for IoT – deep packet inspection không agent.
Công cụ điển hình (2024 Landscape)
| Loại | Enterprise | Mid-Market / Open Source |
|---|---|---|
| Network Vuln Scanner | Tenable.io, Qualys VMDR, Rapid7 InsightVM | OpenVAS/GVM, Nuclei templates, Nmap NSE scripts |
| CSPM | Wiz, Orca, Prisma Cloud, Defender for Cloud | Prowler (AWS), ScoutSuite, CloudSploit, kube-bench |
| Container/Image | Snyk, Aqua, Twistlock, Sysdig | Trivy, Grype, Syft, Cosign (signing) |
| AppSec (SAST/DAST/SCA) | Checkmarx, Veracode, SonarQube Enterprise | SonarQube Community, CodeQL, Semgrep, OWASP ZAP, Dependency-Check |
| EASM | Randori, CyCognito, Hadrian | Subfinder, Amass, httpx, Nuclei, Shodan API |
| Orchestration | Cortex XSOAR, Splunk SOAR, Tines | n8n, Huginn, StackStorm, GitHub Actions/GitLab CI |
Triển khai Continuous Scanning – 7 bước
- Asset Discovery Foundation: Network scan (Nmap/Masscan), Cloud API inventory, CMDB integration, DNS zone transfer, CT log monitoring, SSL cert transparency.
- Scanner Deployment: Sensor/Agent tại mọi segment (on-prem, cloud VPC, DMZ, OT). Credential management (CyberArk, HashiCorp Vault, Azure Key Vault) cho authenticated scan.
- Policy & Schedule: Continuous (trigger-based: CI/CD push, cloud config change, new asset detected) + Scheduled (daily/weekly full). Exception handling (fragile system, maintenance window).
- Risk-based Prioritization Engine: Ingest CISA KEV, EPSS, Vendor Advisory, Threat Intel, Asset Criticality (CMDB tag) → Risk Score (0-1000).
- Ticketing & Workflow Automation: Tự động tạo ticket Jira/ServiceNow/GitLab issue cho owner (App team, Infra, Cloud) với SLA, evidence, remediation guidance.
- Verification & Closure: Re-scan targeted (delta scan) sau khi fix → auto-close ticket nếu clean. Exception tracking (risk acceptance) với expiry date & compensating control.
- Metrics & Dashboard: Vuln aging, SLA compliance, Coverage %, MTTR, Risk Score trend, Top 10 risky assets, Scanner health (success rate, duration).
OpenVAS / Greenbone – Ví dụ Open Source Continuous Scanner
- Kiến trúc: Scanner (OpenVAS) + Manager (GVMD) + Feed (NVT, CERT, SCE) + Web UI (GSA) + CLI (GVM-CLI).
- 53,000+ NVT (Network Vulnerability Tests) – cập nhật hàng ngày từ Greenbone Feed.
- Hỗ trợ: Authenticated scan (SSH, WinRM, SMB, DB), Credential management, Schedule, Report (PDF, XML, CSV, HTML), API (GMP/OSP), Docker/K8s deployment.
- Phù hợp: Org muốn self-hosted, kiểm soát data, chi phí license = 0 (chi phí vận hành server, nhân sự).
Kết luận
Continuous Network Security Scanning chuyển biến từ "Chụp ảnh lúc điểm thời gian" (Point-in-time snapshot) sang "Camera giám sát 24/7" (Continuous Visibility). Giá trị cốt lõi: Giảm Window of Exposure, Live Asset Inventory, Drift Detection, Risk-based Prioritization, Automated Compliance Evidence. Triển khai thành công đòi hỏi: Asset Discovery foundation, Credentialed scanning, Risk-based prioritization (KEV/EPSS), Ticketing automation, Verification loop, Metrics-driven governance. Không chỉ mua tool – phải xây quy trình DevSecOps 통합.