Mục tiêu an ninh mạng: Tam giác CIA
An ninh mạng xoay quanh 3 mục tiêu cốt lõi (CIA Triad) - tiêu chuẩn vàng của ngành:
🔒 Confidentiality (Tính bảo mật) — 📋 Integrity (Tính toàn vẹn) — 🟢 Availability (Tính sẵn sàng)
| Mục tiêu | Định nghĩa | Biện pháp bảo vệ | Vi phạm điển hình |
|---|---|---|---|
| Confidentiality (Bảo mật) | Chỉ chủ thể được ủy quyền mới truy cập được thông tin | Mã hóa (AES, TLS), Kiểm soát truy cập (RBAC, ABAC), MFA, DLP, Phân đoạn mạng | Rò rỉ dữ liệu, Đánh cắp thông tin, Sniffing, Man-in-the-Middle, Insider threat |
| Integrity (Toàn vẹn) | Thông tin chính xác, hoàn chỉnh, không bị sửa đổi trái phép | Hash (SHA-256), Chữ ký số, Blockchain/Immutable log, Version control, Tripwire, Database constraints | Thay đổi dữ liệu, Injection (SQLi, XSS), Ransomware encrypt, Corrupt backup, Supply chain compromise |
| Availability (Sẵn sàng) | Hệ thống/dữ liệu truy cập được khi cần bởi người được phép | HA/Cluster, Load Balancer, Backup 3-2-1 Immutable, DDoS Protection, DR/BCP, Monitoring/Alerting | DDoS, Ransomware, Power outage, Hardware failure, Bug deploy, Cable cut, Ransomware |
Mở rộng: 5 mục tiêu an ninh (Parkerian Hexad - 6 yếu tố)
- Authenticity (Tính xác thực): Xác thực danh tính, nguồn gốc dữ liệu (Digital signature, PKI, MFA)
- Accountability (Trách nhiệm giải trình): Truy vết hành động đến chủ thể (Audit log, SIEM, Non-repudiation)
- Possession/Control (Sở hữu/Kiểm soát): Kiểm soát vật lý/logic tài sản (Encryption key management, Hardware token)
- Utility (Tính hữu dụng): Dữ liệu có thể sử dụng được (Format, Decryption key available, Not encrypted by ransomware)
Các loại tấn công mạng chính cần phòng thủ (Mapping MITRE ATT&CK)
1. Tấn công truy cập ban đầu (Initial Access - TA0001)
- Phishing (T1566): Email/SMS/Voice lừa đảo (Spearphishing, Whaling, Smishing, Vishing)
- Exploit Public-Facing Application (T1190): khai thác lỗ hổng web/app (Log4j, ProxyShell, Zero-day)
- Valid Accounts (T1078): Credential stuffing, Password spray, Mua credential trên Dark Web
- Drive-by Compromise (T1189): Truy cập web bị nhúng mã độc
- Supply Chain Compromise (T1195): SolarWinds, 3CX, Kaseya - qua phần mềm tin cậy
2. Tấn công thực thi & Duy trì foothold (Execution & Persistence)
- Command & Scripting (T1059): PowerShell, Bash, Python, JavaScript, WMI, MSHTA
- Scheduled Task/Job (T1053): Cron, Task Scheduler, Systemd timer
- Boot/Logon Autostart (T1547): Registry Run keys, Startup folder, Service, Kernel module
- DLL Search Order Hijacking (T1574): Phantom DLL, Sideloading
3. Leo thang đặc quyền (Privilege Escalation - TA0004)
- Exploitation for Privilege Escalation (T1068): CVE-2021-40444, CVE-2022-22965, Dirty Pipe, PrintNightmare
- Access Token Manipulation (T1134): Token impersonation, Make/impersonate token
- Abuse Elevation Control Mechanism (T1548): Bypass UAC, Sudo abuse, Setuid/setgid
4. Tránh phát hiện (Defense Evasion - TA0005)
- Obfuscated Files/Information (T1027): Encoding, Packing, Encryption, Steganography
- Disable Security Tools (T1562): Tắt AV/EDR, Modify registry, Unhook, Tamper protection bypass
- Masquerading (T1036): Đổi tên file giống hệ thống, Right-to-left override, Icon đổi
- Indicator Removal (T1070): Xóa log, Clear eventlog, Timestomp, File deletion
5. Thu thập thông tin (Discovery - TA0007) & Lateral Movement (TA0008)
- Network Service Scanning (T1046): Port scan, SMB share enum, AD recon (BloodHound, SharpHound)
- Remote Services (T1021): SMB/PSExec, RDP, SSH, WinRM, DCOM, Pass-the-Hash/Ticket
- Internal Spearphishing (T1534): Lừa đảo nội bộ sau khi compromise
6. Thu thập & Xuất dữ liệu (Collection TA0009 & Exfiltration TA0010)
- Data from Local System (T1005), Data from Network Shared Drive (T1039)
- Exfiltration Over C2 Channel (T1041), Exfiltration Over Web Service (T1567) (GitHub, Drive, Pastebin)
- Automated Exfiltration (T1020), Scheduled Transfer (T1029)
7. Tác động (Impact - TA0040)
- Data Encrypted for Impact (T1486): Ransomware (LockBit, BlackCat, Cl0p, Akira, Royal)
- Service Stop (T1489), System Shutdown/Reboot (T1529)
- Data Destruction (T1485), Disk Wipe (T1561)
- Resource Hijacking (T1496): Cryptojacking (XMRig, LemonDuck)
- Network Denial of Service (T1498): DDoS (Volumetric, Protocol, Application layer)
Chiến lược phòng thủ theo mô hình Defense in Depth
Perimeter → Network → Endpoint → Application → Data → Identity
| Lớp | Kiểm soát phòng thủ (Controls) | Map MITRE |
|---|---|---|
| Perimeter | NGFW, WAF, DDoS Protection, Email Gateway, DNS Security, Threat Intel Feed | T1190, T1566, T1498 |
| Network | Segmentation (VLAN, Micro-seg), IDS/IPS, NAC, ZTNA, NetFlow/Zeek, TLS Inspection | T1046, T1021, T1041 |
| Endpoint | EDR/XDR, NGAV, App Control, Disk Encrypt, Patch Mgmt, USB Control, EDR Telemetry | T1059, T1547, T1005 |
| Application | Secure SDLC, SAST/DAST/SCA, WAF, API Gateway, Container Sec, Runtime Protection | T1190, T1195 |
| Data | Encryption (At rest/Transit), DLP, CASB, Backup Immutable, Key Mgmt (HSM), Classification | T1005, T1041, T1486 |
| Identity | MFA (Phishing-resistant: FIDO2/WebAuthn), PAM, IAM, IG, Zero Trust, Passwordless | T1078, T1134, T1556 |
Kết luận
Mục tiêu an ninh mạng là bảo vệ CIA (Confidentiality, Integrity, Availability) mở rộng thêm Authenticity, Accountability, Possession, Utility. Để đạt được mục tiêu này, tổ chức phải triển khai Defense in Depth phủ sóng 6 lớp, map kiểm soát vào MITRE ATT&CK để biết mình đang phòng thủ kỹ thuật nào, còn thiếu kỹ thuật nào. An ninh không phải sản phẩm, là quy trình liên tục: Identify → Protect → Detect → Respond → Recover → Govern (NIST CSF 2.0).