Định nghĩa Active Threat (Đe dọa chủ động)
Trong bảo mật mạng, Active Threat (Đe dọa chủ động) là các hành vi tấn công trực tiếp tương tác với hệ thống mục tiêu nhằm thay đổi, phá hủy, chèn dữ liệu, gián đoạn dịch vụ, hoặc chiếm quyền điều khiển. Khác với Passive Threat (đe dọa thụ động - chỉ quan sát, nghe lén), Active Threat làm thay đổi trạng thái hệ thống.
Phân loại Active Threats chính
1. Tấn công từ chối dịch vụ (DoS/DDoS)
- Làm ngập băng thông, tài nguyên CPU/RAM/server.
- DDoS: Sử dụng botnet (hàng trăm nghìn thiết bị IoT bị infect) tấn công đồng thời.
- Biến thể: Volumetric, Protocol, Application Layer (Layer 7).
2. Tấn công chèn mã / khai thác lỗ hổng (Injection & Exploitation)
- SQL Injection (SQLi): Chèn SQL vào input → truy xuất/xóa DB.
- Command Injection: Thực thi lệnh OS trên server.
- RCE (Remote Code Execution): Khai thác lỗ hổng (Log4Shell, EternalBlue, ProxyLogon) để chạy mã tùy ý.
- XSS (Cross-Site Scripting): Chèn JS độc hại vào web → đánh cắp session, deface.
3. Tấn công giả mạo & chiếm phiên (Impersonation & Hijacking)
- Man-in-the-Middle (MitM): Chèn giữa client-server → đọc/sửa dữ liệu (ARP spoofing, DNS spoofing, SSL stripping).
- Session Hijacking: Đánh cắp session cookie/token → giả danh user.
- Credential Stuffing / Brute Force: Dùng user/pass rò rỉ hoặc đoán mật khẩu → đăng nhập trái phép.
- Pass-the-Hash / Pass-the-Ticket: Dùng hash NTLM/Kerberos ticket để di chuyển ngang (Lateral Movement).
4. Malware & Ransomware (Mã độc & Mã hóa dữ liệu勒索)
- Cài đặt qua exploit, phishing, drive-by download, supply chain.
- Ransomware: Mã hóa dữ liệu, yêu cầu tiền chuộc (Double/Triple extortion).
- Worm: Tự lan truyền qua mạng (WannaCry, NotPetya).
- Rootkit/Bootkit: Ẩn ở kernel/firmware, kiên cường.
5. Tấn công Supply Chain & Living-off-the-Land
- Xâm nhập qua phần mềm cập nhật hợp pháp (SolarWinds, 3CX, MoveIT).
- Sử dụng công cụ hệ thống hợp pháp (PowerShell, WMI, PsExec, Certutil, LOLBins) để tránh AV/EDR.
Active Threat vs Passive Threat - So sánh nhanh
| Tiêu chí | Active Threat | Passive Threat |
|---|---|---|
| Hành động | Gửi gói tin, khai thác, sửa đổi, xóa, cài đặt | Nghe lén, quan sát, thu thập, phân tích |
| Tác động CIA Triad | Integrity, Availability | Confidentiality |
| Phát hiện | Dễ hơn (log, alert, hành vi bất thường) | Rất khó (không để lại vết tích trên target) |
| Ví dụ | DDoS, Ransomware, SQLi, MitM, Malware | Sniffing, Traffic Analysis, Reconnaissance, Keylogger (nếu chỉ ghi không gửi) |
Quản trị Active Threat (Active Threat Management)
Quy trình liên tục: Identify (Nhận diện) → Contain (Kiểm soát) → Eradicate (Tận gốc) → Recover (Khôi phục) → Lessons Learned (Rút kinh nghiệm).
Công cụ & Kỹ thuật phát hiện Active Threat:
- EDR/XDR (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint, Cortex XDR): Phân tích hành vi endpoint, chặn ransomware, exploit, LOLBins.
- NDR (Network Detection & Response - ExtraHop, Vectra, Darktrace): Phân tích traffic mạng, phát hiện C2, lateral movement, data exfil.
- SIEM/SOAR (Splunk, Elastic, Microsoft Sentinel, Chronicle): Tương quan log, rule-based detection, automated response.
- Deception Technology (Honeypots, Canary Tokens): Bẫy kẻ tấn công, cảnh báo sớm active intrusion.
- Threat Hunting chủ động: Tìm kiếm IOC, TTP (MITRE ATT&CK) trong môi trường.
Phòng chống Active Threat - Chiến lược cốt lõi
- Zero Trust Architecture: Không tin tưởng mặc định. Verify explicitly, Least privilege, Assume breach.
- Patch Management tự động & ưu tiên rủi ro: Vá critical CVE < 48h (KEV catalog CISA).
- MFA kháng Phishing (FIDO2/WebAuthn, Passkeys) cho TẤT CẢ tài khoản (đặc biệt admin, VPN, email, cloud).
- Phân đoạn mạng (Segmentation) + Micro-segmentation: Chặn Lateral Movement.
- Application Control / Allowlisting: Chỉ cho phép chạy phần mềm đã duyệt (AppLocker, WDAC, SELinux).
- Backup 3-2-1 Immutable + Test khôi phục định kỳ: Chống Ransomware.
- Hardening cấu hình (CIS Benchmarks, STIGs): Tắt dịch vụ/cổng không cần, cấu hình an toàn.
- Đào tạo nhận thức & Phishing Simulation: Con người là đường tấn công #1.
Kết luận
Active Threat là kẻ thù trực tiếp, gây hại nhìn thấy được (Integrity, Availability). Tuy Passive Threat (nghe lén) khó phát hiện hơn, nhưng Active Threat thường là giai đoạn gây thiệt hại thực tế trong Cyber Kill Chain. Phòng chống hiệu quả đòi hỏi kết hợp công nghệ hiện đại (EDR/XDR/NDR/SIEM), kiến trúc Zero Trust, quy trình vận hành chặt chẽ (Patch, Backup, IR), và văn hóa an ninh mạng. Giám sát liên tục, giả định đã bị xâm nhập (Assume Breach), và sẵn sàng phản hồi nhanh là chìa khóa sống sót trước Active Threats.