Định nghĩa xâm nhập mạng (Network Intrusion)
Network Intrusion (Xâm nhập mạng) là hành vi truy cập trái phép vào mạng máy tính, hệ thống hoặc dữ liệu của tổ chức mà không có sự cho phép. Mục đích thường là: đánh cắp dữ liệu, cài đặt mã độc, gián đoạn dịch vụ, gián điệp, hoặc làm điểm đệm tấn công mục tiêu khác.
Phân loại xâm nhập
| Loại | Đặc điểm | Ví dụ |
|---|---|---|
| External Intrusion | Từ Internet/bên ngoài qua lỗ hổng, credential theft, phishing | APT, Ransomware, Web exploit, VPN vulnerability |
| Internal Intrusion | Từ bên trong (nhân viên, contractor, thiết bị bị nhiễm) | Insider threat, Lateral movement, Privilege escalation |
| Physical Intrusion | Truy cập vật lý: cắm dây, USB, console, server room | Rogue AP, Hardware keylogger, Stolen laptop |
Hệ thống phát hiện xâm nhập (IDS - Intrusion Detection System)
2 phương pháp phát hiện chính
- Signature-based (Dựa trên chữ ký): So khớp mẫu tấn công đã biết (database signature). Tốt cho tấn công đã biết, false positive thấp. Yếu tố: Không phát hiện zero-day.
- Anomaly-based (Dựa trên bất thường): Học hành vi bình thường (baseline), cảnh báo khi lệch. Phát hiện zero-day, unknown. Yếu tố: False positive cao, cần tuning.
Hybrid: Kết hợp cả hai (hầu hết IDS/IPS hiện đại).
3 loại IDS theo triển khai
| Loại | Vị trí | Phạm vi giám sát | Ưu/nhược điểm |
|---|---|---|---|
| NIDS (Network IDS) | Điểm chiến lược mạng (SPAN/TAP) | Toàn bộ lưu lượng mạng | Xem toàn cảnh, không thấy mã hóa TLS, hiệu năng cao |
| HIDS (Host IDS) | Trên endpoint (agent) | File system, registry, log, process, network connection của host | Thấy được sau giải mã, chi tiết host, tốn tài nguyên endpoint |
| Cloud/Container IDS | Cloud workload, K8s, Serverless | API calls, container runtime, cloud config | Phù hợp cloud-native, ephemeral workload |
Hệ thống ngăn chặn xâm nhập (IPS - Intrusion Prevention System)
IPS = IDS + khả năng chặn chủ động (inline). Đặt trực tuyến trong luồng traffic, có thể drop/reset connection khi phát hiện tấn công. Chế độ: Prevention (chặn), Detection (chỉ cảnh báo), Simulation (dry-run).
Ví dụ xâm nhập mạng thực tế
- Worm/ Virus lan truyền: WannaCry (EternalBlue/SMBv1), Conficker - lan qua lỗ hổng chưa vá.
- Credential Stuffing / Password Spraying: Dùng danh sách user/pass rò rỉ để đăng nhập VPN, RDP, OWA, Citrix.
- Web Application Attack: SQLi, RCE, File Upload -> Webshell -> Lateral movement.
- Supply Chain: SolarWinds Orion - mã độc trong bản cập nhật hợp pháp.
- Living off the Land: Dùng công cụ hệ thống (PowerShell, WMI, Certutil, Schtasks) để tránh AV.
Quy trình xử lý sự cố xâm nhập (Incident Response - NIST 800-61)
- Preparation: Chính sách, team, công cụ, playbook, training.
- Detection & Analysis: IDS/SIEM/EDR cảnh báo > Triage > Xác nhận IOC, phạm vi.
- Containment: Cách ly ngắn hạn (block IP, disable account, isolate host) > Dài hạn (patch, rebuild).
- Eradication: Xóa malware, đóng lỗ hổng, xoá backdoor, rotate credential.
- Recovery: Khôi phục từ backup sạch, verify, monitoring tăng cường.
- Lessons Learned: Báo cáo, cập nhật rule IDS, cải tiến quy trình, đào tạo.
Phòng ngừa xâm nhập mạng (Best Practices)
- Zero Trust: Never trust, always verify. Micro-segmentation, least privilege, continuous verification.
- Patch Management: Vá lỗ hổng nghiêm trọng < 72h, critical < 7 ngày.
- MFA everywhere: VPN, Email, Admin console, Cloud, SaaS.
- Network Segmentation: VLAN, Firewall zone, DMZ, IoT/OT tách biệt.
- EDR/XDR: Hành vi, không chỉ signature.
- Security Awareness: Phishing simulation, báo cáo sự cố, văn hóa bảo mật.
- Threat Hunting: Chủ động tìm kiếm IOC/TTP trong môi trường.
- Backup 3-2-1: 3 bản sao, 2 loại media, 1 offsite/immutable. Test restore định kỳ.