Kiểm tra & Đánh giá an ninh mạng: Phương pháp, Công cụ và Quy trình
Kiểm tra an ninh mạng (Network Security Assessment / Testing) là quá trình hệ thống để phát hiện lỗ hổng, sai cấu hình, khoảng trống kiểm soát trước khi kẻ tấn công khai thác. Bao gồm: Vulnerability Assessment, Penetration Testing, Configuration Review, Architecture Review, Red/Purple Teaming.
📋 5 Phương pháp kiểm tra chính
| Phương pháp | Mục tiêu | Phạm vi | Độ sâu | Tần suất | Người thực hiện |
|---|---|---|---|---|---|
| 1. Vulnerability Scanning (Quét lỗ hổng) | Phát hiện CVE, misconfig, missing patch tự động | Toàn bộ tài sản (Network, Host, Cloud, Container, Code) | Nông (Known vulns chỉ) | Liên tục / Hàng tuần / Hàng tháng | Tự động (Tool) + SecOps review |
| 2. Configuration Review / Audit (Xem xét cấu hình) | Kiểm tra hardening, baseline, compliance (CIS Benchmark, STIG, PCI) | Firewall, Router, Switch, Server, Cloud (AWS/Azure/GCP), K8s, AD, Database | Chi tiết, theo checklist | 6-12 tháng / Sau thay đổi lớn | SecEngineer, Cloud Engineer, Auditor |
| 3. Penetration Testing (Kiểm thử xâm nhập - Pentest) | Mô phỏng tấn công thực tế, khai thác lỗ hổng, đo lường tác động | External, Internal, Web App, Mobile API, Wireless, Cloud, Social Engineering | Sâu (Khai thác, Pivot, Persist) | 6-12 tháng / Sau release lớn / Compliance | Internal Red Team / External Vendor (CREST, OSCP, OSCE) |
| 4. Red Teaming / Adversary Emulation | Mô phỏng APT cụ thể (TTPs), kiểm tra Detection & Response (Blue Team) | Full scope: Physical, Social, Network, App, Cloud, Supply Chain | Rất sâu, dài hạn (tuần-tháng) | 12-18 tháng / Mục tiêu chiến lược | Red Team chuyên nghiệp (Internal/External) |
| 5. Purple Teaming | Hợp tác Red + Blue: Thực hiện TTP → Kiểm tra detection → Cải thiện rule/sensor | Focus vào MITRE ATT&CK techniques cụ thể (T1059, T1003, T1556...) | Có mục tiêu, lặp lại | Hàng tháng / Quý (Continuous) | Red + Blue cùng làm (hoặc Vendor Purple Team) |
🔧 Quy trình Penetration Testing chuẩn (PTES / OSSTMM / NIST 800-115)
- Pre-engagement: Scope, Rules of Engagement (RoE), Legal/Contract, Emergency contacts, Get-out-of-jail-free letter
- Reconnaissance (Thu thập thông tin): Passive (OSINT: Shodan, Censys, WHOIS, DNS, SSL Cert, LinkedIn, GitHub, Wayback) → Active (Port scan: Nmap, Masscan, Zmap; Service enum: Nmap NSE, Banner grabbing)
- Threat Modeling & Vulnerability Analysis: Map attack surface, ưu tiên target (Critical asset, Internet-facing, Legacy), Map MITRE ATT&CK
- Exploitation (Khai thác): Exploit Public-Facing App (T1190), Valid Accounts (T1078), Phishing (T1566), Password Spray, Kerberoasing, ACL abuse, PrivEsc (CVE, Misconfig), Lateral Movement (SMB, RDP, SSH, WMI, Pass-the-Hash)
- Post-Exploitation: Persistence (T1547), Credential Access (T1003 - LSASS dump, DCSync), Discovery (T1082, T1018, T1069 - BloodHound/SharpHound), Collection (T1005), Exfiltration (T1041), Impact (T1486)
- Reporting & Debrief: Executive Summary (Risk rating, Business impact), Technical Findings (PoC, Evidence, MITRE mapping, CVSS, Remediation priority, Root cause), Retest plan
- Retest (Verification): Xác minh fix sau 30-90 ngày
🛠️ Công cụ phổ biến (Toolkit)
| Danh mục | Công cụ (Miễn phí / Open Source / Thương mại) |
|---|---|
| Port/Service Scanner | Nmap (Gold standard), Masscan (Fast), Zmap (Internet-wide), RustScan, Angry IP Scanner |
| Vulnerability Scanner | OpenVAS / Greenbone (Free), Nessus (Pro), Qualys VMDR, Tenable.io, Rapid7 InsightVM, Nuclei (Template-based, fast) |
| Web App Scanner | OWASP ZAP (Free), Burp Suite (Community/Pro - Essential), Nikto, Wapiti, Acunetix, Invicti |
| Network Analysis | Wireshark, Zeek (Bro), tcpdump, NetworkMiner, ARKIME |
| Exploitation Framework | Metasploit Framework (Free/Pro), Cobalt Strike (Commercial - Red Team standard), Sliver, Havoc, Brute Ratel |
| Credential / Post-Exploit | Mimikatz, Rubeus, SharpHound/BloodHound, LaZagne, Seatbelt, WinPEAS/LinPEAS, Impacket (secretsdump, wmiexec, smbexec) |
| Wireless | Aircrack-ng, Kismet, Wifite, Bettercap, Fluxion |
| Cloud Security | ScoutSuite, Prowler, CloudSploit, Pacu (AWS exploitation), MicroBurst (Azure) |
| Container/K8s | kube-hunter, kube-bench, kubescape, Trivy, Grype, Falco (Runtime) |
| Reporting & Collab | Dradis, Faraday, Plextrac, Notion/Obsidian, Markdown/LaTeX |
☁️ Kiểm tra an ninh Đám mây (Cloud Security Assessment) - Đặc thù
- CSPM (Cloud Security Posture Management): Kiểm tra misconfig so với best practice (CIS Benchmark, NIST, PCI, HIPAA). Tool: Prowler, ScoutSuite, Cloud Custodian, Wiz, Orca, Prisma Cloud, Defender for Cloud
- CIEM (Cloud Infrastructure Entitlement Management): Phân tích quyền IAM quá rộng (Overprivileged), Unused permissions, Privilege escalation paths. Tool: Permiso, Sonrai, Wiz, Ermetic
- CWPP (Cloud Workload Protection Platform): Bảo vệ runtime: Container, Serverless, VM. Agentless (Snapshot scan) vs Agent-based. Tool: Falco, Sysdig, Aqua, Prisma, Defender for Cloud
- DSPM (Data Security Posture Management): Khám phá, phân loại dữ liệu nhạy cảm (PII, PCI, PHI, Secrets) trên Cloud Storage, DB, SaaS. Tool: Concentric, Cyera, Normalyze, Sentra
- IaC Scanning: Quét Terraform, CloudFormation, ARM, Bicep, Helm, Kustomize TRƯỚC KHI DEPLOY. Tool: Checkov, tfsec, Terrascan, KICS, Snyk IaC, Bridgecrew
- SBOM & Supply Chain: Tạo SBOM (Syft, CycloneDX), Quét vuln trong dependency (Grype, Trivy, Dependency-Track), Verify signature (Cosign, Sigstore)
🏠 Kiểm tra tự.do (Self-Assessment) cho tổ chức nhỏ / bắt đầu
- Asset Discovery: Nmap scan nội bộ (`nmap -sn 192.168.1.0/24`), Netdisco, Lansweeper, GLPI. Biết mình có gì.
- Vuln Scan nội bộ: OpenVAS/Greenbone Community Edition (Docker), hoặc Nessus Essentials (miễn phí 16 IP). Quét hàng tuần.
- External Attack Surface: Shodan.io, Censys.io, SecurityTrails, GreyNoise tìm IP công khai, port mở, cert, vuln.
- Phishing Simulation: Gophish (Free), KnowBe4 (Trial), CanIPhish. Đo click/report rate.
- Password Audit: Hash dump (NTDS.dit, SAM) → Hashcat/JohnTheRipper với wordlist (rockyou, custom). Check password reuse, complexity.
- Backup Test Restore: Thử restore 1 VM/DB/File ngẫu nhiên hàng quý. Đo RTO/RPO thực tế.
- Firewall Rule Review: Tìm rule Any-Any-Allow, Shadowed rule, Unused rule, Overly permissive (Tufin, FireMon, AlgoSec hoặc script tự viết).
- MFA Coverage Report: Entra ID / Okta / AWS IAM / GitHub / GitLab → % user bật MFA, % admin bật MFA, Legacy auth blocked?
📝 Báo cáo & Metrics quan trọng
- Risk Rating: Critical / High / Medium / Low / Informational (CVSS + Context + Exploitability + Business Impact)
- Mean Time to Remediate (MTTR): Theo dõi theo severity (Critical: <30 ngày, High: <60 ngày...)
- Vulnerability Aging: % vuln > 90 ngày, > 180 ngày
- Attack Surface Reduction: Giảm % internet-facing asset, port mở, user admin, standing privilege
- Detection Coverage (MITRE ATT&CK): % Technique covered by Detection Rule (Sigma, KQL, YARA, Snort)
- Phishing Resilience: Click rate < 5%, Report rate > 20%
Kết luận
Kiểm tra an ninh mạng không phải chạy tool quét xong xuất báo cáo. Là quy trình liên tục: Discover → Assess → Prioritize → Remediate → Verify → Improve. Kết hợp Tự động hóa (Continuous Vuln Scan, CSPM, IaC Scan) + Chuyên gia (Pentest, Red/Purple Team) + Đo lường (Metrics, MITRE Coverage). Mục tiêu: Giảm bề mặt tấn công, Rút ngắn MTTR, Tăng Detection Coverage, Chứng minh Due Diligence.