Backbone Hopping & Island Hopping trong An ninh mạng

Island Hopping (Nhảy đảo) – Tấn công chuỗi cung ứng

Island Hopping là kỹ thuật tấn công mà kẻ xấu xâm nhập tổ chức mục tiêu (Big Fish) thông qua các đối tác, nhà cung cấp, khách hàng nhỏ hơn (Small Fish) có bảo mật yếu hơn. Tên gọi lấy cảm hứng từ chiến lược "nhảy đảo" của Đồng minh WWII.

3 dạng chính

• Network-based: Xâm nhập mạng đối tác → dùng VPN/Trust relationship để chuyển ngang (Lateral Movement) vào mạng mục tiêu.
• Application-based: Tấn công phần mềm/chứng chỉ số chung (Supply Chain Attack – ví dụ: SolarWinds, Kaseya, 3CX).
• Physical/Logical: Thiết bị IoT, máy in, camera, HVAC của đối tác kết nối mạng mục tiêu.

Ví dụ nổi tiếng

• Target (2013): Qua nhà cung cấp HVAC (Fazio Mechanical) → POS malware → 40M thẻ tín dụng.
• SolarWinds (2020): Trojanized Orion update → 18.000 tổ chức (Chính phủ Mỹ, Microsoft, FireEye...).
• NotPetya (2017): Qua phần mềm kế toán M.E.Doc (Ukraine) → lan toàn cầu.

VLAN Hopping – Tấn công chuyển mạch ảo

Khai thác cấu hình sai Trunk Port (DTP auto, Native VLAN mismatch) để "nhảy" từ VLAN này sang VLAN khác không được phép.

2 kỹ thuật chính

1. Switch Spoofing: Tấn công giả vờ là Switch (gửi DTP frames) → Switch thật tạo Trunk → Tấn công truy cập tất cả VLAN trên Trunk.
2. Double Tagging (Q-in-Q): Gửi frame có 2 tag VLAN: Outer tag = Native VLAN của attacker, Inner tag = Target VLAN. Switch đầu vào bóc outer tag (vì native VLAN không tag) → chuyển frame với inner tag đến target VLAN.

Phòng chống VLAN Hopping

• Tắt DTP trên tất cả port access: switchport mode access, switchport nonegotiate.
• Không dùng VLAN 1 cho dữ liệu (Native VLAN riêng, không dùng).
• Cấu hình Native VLAN trên Trunk khác VLAN 1 và khác bất kỳ Access VLAN nào: switchport trunk native vlan 999.
• Enable switchport trunk allowed vlan chỉ cho phép VLAN cần thiết.
• Bật BPDU Guard, Root Guard, Loop Guard, Port Security.
• Private VLAN (PVLAN) cho môi trường shared hosting/DC.

Backbone Hopping (Ít dùng hơn – thường ám chỉ Lateral Movement trên Backbone)

Trong mô hình MITRE ATT&CK, Lateral Movement (TA0008) trên mạng lõi (Backbone/Core Network) bao gồm:

• Exploit lỗ hổng thiết bị mạng (Router, Switch, Firewall, Load Balancer) – CVE-2023-20198 (Cisco IOS XE), CVE-2024-21887 (Ivanti).
• Abuse Routing Protocol (BGP Hijacking, OSPF/IS-IS injection).
• Credential Theft (NTLM Relay, Kerberos Delegation, SSH Key theft) trên Jump Host/Bastion.
• Abuse Trust Relationship (VPN, Peering, MPLS, SD-WAN overlay).

Phòng chống tổng thể (Defense in Depth)