Masquerading (Giả mạo) trong Cybersecurity là gì?
Là hành vi thực thể không được ủy quyền giả vờ là thực thể được ủy quyền để获得 truy cập hệ thống hoặc thực hiện hành động độc hại. Một dạng của Identity Spoofing / Impersonation.
Ý nghĩa từ "Masquerading"
Trong tiếng Anh: "Làm như người khác", "Đeo mặt nạ", "Ngụy trang". Ví dụ: Kẻ xấu giả vờ là nhân viên IT để lừa nhân viên khác cho mật khẩu (Social Engineering).
Masquerade Attack (Tấn công giả mạo) là gì?
Tấn công do cắp danh tính (Identity Theft) dẫn đến, thường nhằm đánh cắp dữ liệu. Kẻ tấn công đại diện là người dùng hợp pháp khác để truy cập hệ thống, ứng dụng, dữ liệu nhạy cảm.
Masquerading có phải Active Attack (Tấn công chủ động) không?
CÓ. Masquerade là một dạng Active Attack (Tấn công chủ động). Kẻ tấn công chủ động thay đổi, chèn, trì hoãn, sắp xếp lại gói tin, hoặc giả mạo nguồn gửi để đạt mục đích.
Masquerading vs Spoofing (Giả mạo vs Giả danh)
- Spoofing: Làm giả thông tin kỹ thuật: IP Spoofing, Email Spoofing (giả mạo header From), MAC Spoofing, DNS Spoofing, Caller ID Spoofing.
- Masquerading: Khái niệm rộng hơn, bao gồm Spoofing + Social Engineering + Stolen Credentials + Session Hijacking. Kẻ tấn công "diễn vai" user hợp pháp toàn diện.
- Mối quan hệ: Spoofing thường là kỹ thuật để thực hiện Masquerading.
Masquerader (Kẻ giả mạo) là ai?
Người đeo mặt nạ, ngụy trang, trình diện là người khác để đạt mục đích. Từ gốc: French mascarade, Italian mascherata (đeo mặt nạ), từ maschera (mặt nạ).
Ví dụ Masquerading thực tế
- Kẻ tấn công dùng credential đánh cắp (Credential Stuffing) đăng nhập VPN như nhân viên VP Engineering.
- Email BEC (Business Email Compromise): Giả mạo CEO/CTO yêu cầu kế toán chuyển tiền gấp.
- Session Hijacking: Ăn cắp Session Cookie → truy cập ứng dụng web như user hợp pháp.
- Insider Threat: Nhân viên dùng tài khoản đồng nghiệp để truy cập dữ liệu nhạy cảm.
- MFA Fatigue / Push Bombing: Spam push MFA cho đến khi user bấm Approve.
Cơ chế tấn công Masquerade (How it Works)
- Thu thập thông tin mục tiêu (OSINT, Social Engineering, Phishing, Dark Web).
- Tạo danh tính giả / đánh cắp danh tính thật (Credential Theft).
- Xác thực vào hệ thống mục tiêu (Login, VPN, API, SSH...).
- Thực hiện hành động độc hại: Đánh cắp data, cài malware, leo thang quyền, phá hoại, ransomware.
- Xóa dấu vết (Anti-forensics: Timestomp, Log clearing, Living off the Land).
Phát hiện & Phòng chống Masquerading
| Biện pháp | Mô tả |
|---|---|
| MFA Phishing-resistant (FIDO2/WebAuthn, Passkeys) | Chống Credential Theft, MFA Fatigue. Yêu cầu thiết bị vật lý/sinh trắc học. |
| Zero Trust / ZTNA | Không tin tưởng mặc định. Verify mọi request: User, Device, Location, Context. |
| UEBA (User & Entity Behavior Analytics) | Phát hiện hành vi bất thường: Đăng nhập lúc lạ, địa điểm lạ, truy cập file lạ, volume data lớn. |
| Conditional Access / Adaptive MFA | Yêu cầu MFA khi rủi ro cao (New device, Impossible travel, High-risk IP). |
| Privileged Access Management (PAM) | Quản trị, giám sát, ghi âm phiên đặc quyền (Just-in-Time Access). |
| Email Security (DMARC/DKIM/SPF, Anti-Spoofing, BEC Protection) | Chặn Email Spoofing, Impersonation. |
| Network Segmentation / Micro-segmentation | Giới hạn Lateral Movement sau khi bị Masquerade. |
| Security Awareness Training | Đào tạo nhận biết Phishing, BEC, Social Engineering, MFA Fatigue. |
| SIEM / XDR Correlation Rules | Quy tắc: Impossible Travel, New Device Login, Privilege Escalation, Honeytoken Access. |
| Certificate-based Auth (mTLS, Smart Card, PIV) | Thay thế password, chống Replay/Phishing. |
Massacrating ≠ Masquerading
Massacre = Thảm sát, giết hại hàng loạt. Hoàn toàn khác Masquerade (Giả mạo/Đeo mặt nạ).