Định nghĩa Đe dọa chủ động (Active Threat)
Đe dọa chủ động (Active Threat) là các mối đe dọa an ninh mạng đang thực thi hành động tấn công, xâm nhập, sửa đổi, phá hủy hoặc đánh cắp dữ liệu trên hệ thống/ mạng tại thời điểm quan sát. Khác với "đe dọa thụ động" (chỉ quan sát, nghe lén), đe dọa chủ động tác động trực tiếp đến tính toàn vẹn (Integrity), tính khả dụng (Availability) và đôi khi tính bảo mật (Confidentiality) của hệ thống.
Phân loại Đe dọa chủ động vs Thụ động
| Đặc điểm | Đe dọa Chủ động (Active Threat/Attack) | Đe dọa Thụ động (Passive Threat/Attack) |
|---|---|---|
| Hành động | Thay đổi, sửa đổi, xóa, thêm, mã hóa, chặn dữ liệu/hệ thống | Quan sát, nghe lén, sao chép, phân tích lưu lượng – không thay đổi dữ liệu |
| Mục tiêu | Phá hoại, cướp dữ liệu (ransonware), kiểm soát hệ thống, gián đoạn dịch vụ | Thu thập thông tin (reconnaissance), đánh cắp mật khẩu, spying, traffic analysis |
| Phát hiện | Dễ phát hiện hơn (tạo log, alert, hiệu ứng phụ: chậm, crash, file mã hóa) | Rất khó phát hiện (không để lại vết tích rõ rệt trên hệ thống mục tiêu) |
| Ví dụ điển hình | Malware/Virus/Worm, Ransomware, DoS/DDoS, SQL Injection, XSS, MITM (active), Credential stuffing, Brute-force, Privilege escalation, Lateral movement | Sniffing (Wireshark), Keylogger (passive), Traffic analysis, Port scanning (có thể coi là active recon), Eavesdropping, Shoulder surfing |
| Tác động CIA | Integrity (chính), Availability, Confidentiality | Confidentiality (chính) |
Các loại tấn công chủ động (Active Attacks) phổ biến
1. Tấn công Malware (Mã độc)
- Virus: Gắn vào file thực thi, lan truyền khi chạy file.
- Worm: Tự lan truyền qua mạng mà không cần tương tác người dùng (EternalBlue, WannaCry).
- Ransomware: Mã hóa dữ liệu, yêu cầu chuộc tiền (LockBit, BlackCat, Cl0p).
- Trojan/Backdoor/RAT: Giả vờ phần mềm hợp pháp, mở cửa sau cho kẻ tấn công điều khiển từ xa.
- Rootkit/Bootkit: Ẩn mình ở cấp kernel/firmware, khó phát hiện/gỡ bỏ.
2. Tấn công Từ chối dịch vụ (DoS/DDoS)
- Volumetric: Úng tắc băng thông (UDP flood, ICMP flood, Amplification – DNS/NTP/CLDAP).
- Protocol: SYN Flood, ACK Flood, Fragmentation attack.
- Application Layer (L7): HTTP Flood, Slowloris, API abuse – tiêu tốn tài nguyên ứng dụng.
3. Tấn công Ứng dụng/Web (Web Application Attacks)
- Injection: SQLi, NoSQLi, Command Injection, LDAP Injection.
- Broken Authentication/Session Management: Credential stuffing, Session fixation, JWT flaws.
- XSS (Cross-Site Scripting): Stored, Reflected, DOM-based – thực thi script trên trình duyệt nạn nhân.
- CSRF/SSRF: Yêu cầu giả mạo / Yêu cầu phía máy chủ giả mạo.
- File Upload/Path Traversal/LFI/RFI.
4. Tấn công Mạng & Giao thức (Network/Protocol Attacks)
- Man-in-the-Middle (MitM) chủ động: ARP Spoofing, DNS Spoofing, DHCP Spoofing, BGP Hijacking – chặn/sửa dữ liệu trên đường truyền.
- VLAN Hopping, MAC Flooding, STP Manipulation.
- Credential Relay/NTLM Relay (PetitPotam, PrintNightmare).
5. Tấn công Xác thực & Đặc quyền
- Brute-force / Password Spraying / Credential Stuffing.
- Pass-the-Hash / Pass-the-Ticket / Kerberoasting / AS-REP Roasting.
- Privilege Escalation (Local/Domain): Exploit CVE, misconfiguration (ACL, GPO, Sudo, SUID).
- Golden/Silver Ticket, DCSync, DCShadow (AD attacks).
6. Tấn công Chuỗi cung ứng & Phần mềm (Supply Chain / Software)
- Dependency confusion, Typosquatting, Malicious package (npm, PyPI, Maven), Compromised CI/CD, SolarWinds-style.
Quản trị Đe dọa Chủ động (Active Threat Management)
Quy trình liên tục: Identify → Assess → Contain → Eradicate → Recover → Lessons Learned.
1. Nhận diện (Identification / Detection)
- EDR/XDR (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Cortex XDR): Phát hiện hành vi bất thường trên endpoint (process injection, lateral movement, credential access).
- NDR (Network Detection & Response – Darktrace, Vectra, ExtraHop, Zeek+SIGMA): Phát hiện C2, lateral movement, data exfiltration, anomalous traffic.
- SIEM/SOAR (Splunk, Elastic, QRadar, Sentinel, Chronicle): Correlation rule, UEBA, Threat Intelligence matching, ATT&CK mapping.
- Threat Hunting chủ động: Dùng hypothesis-driven hunting (MITRE ATT&CK) tìm IOC/IOA ẩn.
2. Đánh giá & Ưu tiên (Triage & Prioritization)
- Chấm điểm rủi ro: CVSS, EPSS (Exploit Prediction Scoring System), Asset Criticality, Threat Intel context.
- Phân loại: Critical/High/Medium/Low – quyết định SLA xử lý.
3. Kiểm soát & Triệt tiêu (Containment & Eradication)
- Ngắn hạn (Containment): Isolate endpoint (network quarantine), block IOC (IP, domain, hash) tại FW/Proxy, disable compromised account, revoke session/token, kill malicious process.
- Dài hạn (Eradication): Gỡ malware, vá lỗ hổng (patch), xoay khóa (rotate credentials), rebuild hệ thống bị xâm phạm (reimage), xóa persistence (scheduled tasks, services, WMI, registry run keys).
4. Khôi phục (Recovery)
- Khôi phục từ backup sạch (3-2-1 rule, immutable backup).
- Xác minh tính toàn vẹn dữ liệu (hash, signature).
- Giám sát cường độ cao (enhanced monitoring) sau khôi phục.
5. Học bài & Cải tiến (Post-Incident / Lessons Learned)
- Root Cause Analysis (RCA) – 5 Whys, Fishbone.
- Cập nhật: Detection rules, Playbook, Threat Intel, Hardening baseline, Architecture (Zero Trust, Segmentation).
- Báo cáo cho ban lãnh đạo, tuân thủ quy định báo cáo vi phạm dữ liệu (GDPR 72h, Việt Nam: Luật An ninh mạng, Nghị định 13/2023).
Kế hoạch ứng phó Đe dọa chủ động (Active Threat Response Plan)
Tổ chức nên có Incident Response Plan (IRP) chuyên biệt cho Active Threats:
- Đội ngũ CSIRT/CERT với vai trò rõ ràng: Incident Commander, Analyst, Forensics, Communicator, Legal, Exec Sponsor.
- Playbook cho từng loại: Ransomware, DDoS, Web App Attack, Insider Threat, Supply Chain, Cloud Incident.
- Công cụ sẵn sàng: Forensic disk image (FTK Imager, Velociraptor), Memory capture (WinPMEM, LiME), Network capture (Zeek, tcpdump), Malware sandbox (Cuckoo, CAPE, ANY.RUN, Hybrid Analysis).
- Kênh liên lạc khẩn cấp (Out-of-band): Signal, Mattermost, Bridge call – tránh kẻ tấn công đọc email/Slack nội bộ.
- Thực tập định kỳ: Tabletop exercise (quý), Red Team/Purple Team (6 tháng/năm).
Active Shooter / Physical Active Threat (Lưu ý ngữ cảnh)
Trong một số ngữ cảnh (an ninh vật lý, an toàn trường học/công sở), "Active Threat" / "Active Shooter" chỉ người dùng vũ lực tấn công trực tiếp con người. Kế hoạch ứng phó: Run – Hide – Fight (Chạy – Trốn – Đánh lại). Khác hoàn toàn với Active Threat trong Cybersecurity.
Kết luận
Đe dọa chủ động là đối thủ trực tiếp làm hỏng hệ thống, dữ liệu, dịch vụ. Phòng chống hiệu quả đòi hỏi: Visibility (EDR/NDR/SIEM), Detection Engineering (Sigma/YARA/Snort rules), Automation (SOAR), Zero Trust Architecture, Patch Management kịp thời, Backup immutable, và IR Plan được luyện tập thường xuyên. Không có giải pháp "cài xong quên" – bảo mật là cuộc đua vũ trang liên tục giữa defender và attacker.