Xác định mối đe dọa an ninh mạng (Threat Identification) - Quy trình cốt lõi
Xác định đe dọa không chỉ là "biết có virus", mà là hiểu Ai (Actor), Gì (TTP), Mục tiêu (Intent), Cách (Vector), Tác động (Impact) để ưu tiên phòng thủ.
1. Phân loại mối đe dọa mạng (Threat Categories)
| Loại | Mô tả | Ví dụ |
|---|---|---|
| Malware (Mã độc) | Phần mềm được thiết kế để gây hại, xâm nhập, kiểm soát, đánh cắp. | Ransomware, Trojan, Worm, Virus, Spyware, Keylogger, Rootkit, Botnet, Cryptominer, Wiper, RAT. |
| Social Engineering (Kỹ thuật xã hội) | Lừa đảo con người vi phạm quy tắc bảo mật. | Phishing (Email/SMS/Voice/QR), Pretexting, Baiting, Tailgating, Vishing, Smishing, Deepfake, BitB, AitM. |
| Network Attacks (Tấn công mạng) | Khai thác giao thức, cơ sở hạ tầng mạng. | DDoS (Volumetric, Protocol, App Layer), MitM, ARP/DNS Spoofing, BGP Hijack, VLAN Hopping, Rogue AP. |
| Web Application Attacks | Tấn công lỗ hổng ứng dụng web/API. | SQLi, XSS, CSRF, SSRF, IDOR, RCE, LFI/RFI, XXE, Broken Auth/Access Control, API Abuse, Bot/Credential Stuffing. |
| Credential-Based Attacks | Đánh cắp, đoán, mua, tái sử dụng thông tin đăng nhập. | Brute Force, Password Spray, Credential Stuffing, Pass-the-Hash/Ticket, Kerberoasting, AS-REP Roasting, Golden/Silver Ticket, Token Theft. |
| Insider Threat (Đe dọa nội bộ) | Nhân viên/Contractor/Partner gây hại (ý định hoặc sơ suất). | Data Theft, Sabotage, Fraud, Negligent Click, Shadow IT, Credential Sharing, Departing Employee. |
| Supply Chain / Third-Party Risk | Tấn công qua nhà cung cấp phần mềm/dịch vụ. | SolarWinds, Log4j, 3CX, MoveIT, Malicious Package (PyPI/NPM), Compromised MSP/Cloud Provider. |
| Physical Security Breaches | Truy cập vật lý trái phép. | Device Theft, Server Room Access, Hardware Implant (BadUSB, Implant), Dumpster Diving, Shoulder Surfing. |
| Misconfiguration / Human Error | Cấu hình sai, quên tắt, public data. | Public S3/Blob, Open Security Group, Default Creds, Excessive Permissions, Disabled Logging, Unpatched. |
| Advanced Persistent Threat (APT) | Nhóm tài trợ nhà nước, kiên trì, tinh vi, mục tiêu chiến lược. | APT28/29 (Russia), Lazarus (NK), APT41 (China), FIN7 (Crime), OilRig (Iran). TTPs phức tạp, 0-day, Living-off-the-land. |
2. Quy trình xác định đe dọa (Threat Identification Process)
- Threat Intelligence Collection (Thu thập Threat Intel): Nguồn: Commercial (Mandiant, CrowdStrike, IBM X-Force), Open Source (AlienVault OTX, Abuse.ch, MISP, VirusTotal, URLhaus, Twitter/X #ThreatIntel), Industry ISAC/ISAO, Government (CERT/CSIRT, US-CERT, VNCERT), Internal (SIEM, EDR, Firewall Logs, Incident History).
- Threat Modeling (Mô hình hóa đe dọa): Áp dụng cho System/App/Architecture. Framework: STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege), PASTA (Process for Attack Simulation and Threat Analysis), MITRE ATT&CK (Mapping TTPs). Xác định: Assets, Entry Points, Trust Boundaries, Data Flows, Threat Actors, Attack Trees.
- Vulnerability Assessment (Đánh giá lỗ hổng): Scanner (Nessus, Qualys, OpenVAS, Nuclei), PenTest, Bug Bounty, SAST/DAST/SCA, ASM (Attack Surface Management). Map Vuln → CVE → Exploit Availability (KEV Catalog) → Threat Context.
- Risk Assessment (Đánh giá rủi ro): Kết hợp: Asset Value + Threat Likelihood (Capability, Intent, Opportunity) + Vulnerability Severity (CVSS) + Existing Controls Effectiveness → Risk Score (Qualitative: Critical/High/Med/Low hoặc Quantitative: $ALE). Ưu tiên Mitigation.
- Detection Engineering (Kỹ thuật phát hiện): Viết Rule/Query cho SIEM/EDR/NDR dựa trên TTP (MITRE ATT&CK), IOC (Hash, IP, Domain, URL, Registry, Mutex), Anomaly (UEBA, ML), Hunt Hypothesis. Test & Tune (Reduce FP/FN).
- Continuous Monitoring & Hunting (Giám sát & Threat Hunting chủ động): SIEM Correlation Rules, Dashboards, Automated Alerting (SOAR). Threat Hunting: Hypothesis-driven (VD: "Attacker dùng WMI để lateral movement" → Query Win Event 5861, 4688 w/ WmiPrvSE).
- Incident Response (Phản hồi sự cố): Khi Alert confirmed → IR Plan (NIST 800-61): Preparation → Detection & Analysis → Containment → Eradication → Recovery → Post-Incident Activity (Lessons Learned, Update Intel/Rules).
3. MITRE ATT&CK Framework - Ngôn ngữ chung để xác định đe dọa
Ma trận các Tactics (Mục tiêu chiến thuật - 14 cột) và Techniques (Kỹ thuật - hàng) kẻ tấn công sử dụng.
| Tactic (Tác chiến) | Mô tả | Ví dụ Technique (Kỹ thuật) |
|---|---|---|
| Reconnaissance | Thu thập thông tin mục tiêu | Active Scanning (T1595), Phishing for Info (T1598), Search Open Technical Databases (T1596) |
| Resource Development | Chuẩn bị hạ tầng/công cụ | Acquire Infrastructure (T1583), Develop Capabilities (T1587), Obtain Capabilities (T1588) |
| Initial Access | Vượt qua ranh giới mạng | Phishing (T1566), Exploit Public-Facing App (T1190), Valid Accounts (T1078), Drive-by Compromise (T1189), Supply Chain (T1195) |
| Execution | Chạy mã độc/lệnh | Command/Script Interpreter (T1059), Scheduled Task (T1053), WMI (T1047), User Execution (T1204) |
| Persistence | Duy trì foothold | Registry Run Keys (T1547), Scheduled Task (T1053), Service (T1543), Bootkit (T1542), Web Shell (T1505) |
| Privilege Escalation | Đặc quyền cao hơn | Exploitation for PrivEsc (T1068), Access Token Manipulation (T1134), Bypass UAC (T1548) |
| Defense Evasion | Tránh bị phát hiện | Obfuscation (T1027), Process Injection (T1055), Disable Security Tools (T1562), Rootkit (T1014), Timestamp Stomp (T1070) |
| Credential Access | Lấy credential | OS Credential Dumping (T1003 - LSASS), Network Sniffing (T1040), Keylogging (T1056), Brute Force (T1110), Unsecured Credentials (T1552) |
| Discovery | Khám phá môi trường | Network Scan (T1046), Process Discovery (T1057), Permission Groups (T1069), System Info (T1082), File/Dir Discovery (T1083) |
| Lateral Movement | Di chuyển ngang trong mạng | Pass-the-Hash (T1550.002), Pass-the-Ticket (T1550.003), RDP (T1021.001), SMB/WinRM (T1021.002/004), SSH (T1021.004) |
| Collection | Thu thập dữ liệu mục tiêu | Data from Local System (T1005), Network Shares (T1039), Email (T1114), Clipboard (T1115), Audio/Video Capture (T1123/T1125) |
| Command & Control (C2) | Kênh điều khiển | Application Layer Protocol (T1071 - HTTP/DNS/WebSocket), Proxy (T1090), Encrypted Channel (T1573), Dynamic Resolution (T1568), Web Service (T1102) |
| Exfiltration | Nguyên xuất dữ liệu | Exfil Over C2 Channel (T1041), Web Service (T1567), Cloud Storage (T1537), Physical Media (T1052) |
| Impact | Gây tác động tiêu cực | Data Encrypted (T1486 - Ransomware), Data Destruction (T1485), Service Stop (T1489), Resource Hijacking (T1496 - Cryptojacking), Defacement (T1491) |
4. Xác định đe dọa thực tế cho tổ chức (Threat Profiling)
- Crown Jewels Identification: Xác định "Vua" (Dữ liệu/Core System quan trọng nhất).
- Threat Actor Relevance: Ai nhắm đến ngành/lĩnh vực/vùng của bạn? (Finance → FIN7, Carbanak; Healthcare → Ransomware, APT; Critical Infra → APT, ICS Malware; Tech → IP Theft, Supply Chain).
- Attack Surface Analysis: Internet-facing assets (ASM), Identity Attack Surface (AD, IdP, VPN, MFA gaps), Supply Chain, Human Element.
- Gap Analysis (MITRE ATT&CK Coverage): Map controls hiện tại (SIEM Rules, EDR, Firewall, Email Sec, IAM, Patch) lên ATT&CK Techniques → Tìm Blind Spots (Techniques không detect/prevent).
- Threat-Informed Defense: Ưu tiên invest/detect/respond cho TTPs của Actor liên quan nhất + High Impact Techniques (Credential Access, Lateral Movement, C2, Exfil).