Network Security Breach là gì?
Security Breach (Vi phạm an ninh) là sự kiện truy cập trái phép vào dữ liệu, thiết bị, ứng dụng, mạng. Data Breach (Rò rỉ dữ liệu) là hậu quả: dữ liệu nhạy cảm bị sao chép, đánh cắp, mã hóa (ransomware) hoặc công khai.
Các biện pháp kiểm soát (Controls) phát hiện vi phạm
| Loại Control | Ví dụ công cụ/kỹ thuật | Mục đích |
|---|---|---|
| Preventive (Ngăn chặn) | Firewall, IPS, WAF, NAC, Patch Management, Hardening, MFA, Least Privilege | Ngăn chặn tấn công thành công |
| Detective (Phát hiện) | SIEM (Splunk, Elastic, QRadar), IDS (Suricata, Zeek), EDR (CrowdStrike, Defender for Endpoint), NDR (Darktrace, Vectra), UEBA, Log Management, File Integrity Monitoring (FIM), Vulnerability Scanner | Phát hiện sớm dấu hiệu xâm nhập, bất thường |
| Corrective (Khắc phục) | Incident Response Plan, Backup/Restore, Isolation/Quarantine, Malware Removal, Patch Emergency | Hạn chế thiệt hại, khôi phục trạng thái an toàn |
| Deterrent (Threat deterrent) | Warning banners, Legal notices, Honeypot, Deception technology | |
| Compensating (Bù đắp) | Segmentation, Monitoring tăng cường khi control chính lỗi | Giảm rủi ro khi control chính không thể triển khai |
Quy trình phát hiện Data Breach điển hình
- Thu thập dữ liệu: Log từ firewall, proxy, DNS, AD, VPN, EDR, CloudTrail, Database audit, Application log.
- Tổng hợp & chuẩn hóa (Normalization): SIEM/Log Platform parse, enrich (GeoIP, Threat Intel, Asset context).
- Phân tích & Correlation: Rule-based (Sigma, Splunk SPL), Machine Learning (UEBA, Anomaly Detection), Threat Hunting (MITRE ATT&CK mapping).
- Cảnh báo (Alerting): Tạo incident ticket (ServiceNow, Jira, TheHive), enrich context, gán mức độ nghiêm trọng (Critical/High/Medium/Low).
- Triage & Investigation: SOC Analyst kiểm tra: True Positive? False Positive? Phạm vi? Vector tấn công? IOC?
- Containment & Eradication: Isolate endpoint, block IOC trên firewall/proxy, reset credential, remove malware.
- Recovery & Lessons Learned: Restore từ backup sạch, verify integrity, post-mortem, cập nhật rule/detection, hardening.
Các dấu hiệu (IOA/IOC) thường thấy của Breach
- Đăng nhập bất thường: geo-impossible travel, giờ làm việc lạ, multiple failed logins, pass-the-hash, golden ticket.
- Traffic bất thường: beaconing C2, data exfiltration (lượng upload lớn, port lạ, DNS tunneling), internal scanning, lateral movement (SMB, RDP, WMI, PsExec).
- Thay đổi hệ thống: tạo user/admin mới, sửa GPO, scheduled task lạ, service mới, driver không ký, WMI event subscription.
- File/Registry: ransomware note, encrypted file extension, shadow copy deleted (vssadmin delete shadows), bootloader thay đổi.
- Application: SQL injection, webshell, deserialization exploit, API abuse, credential stuffing.
Cách kiểm tra xem mình có bị Data Breach không (Cá nhân/Doanh nghiệp)
- Have I Been Pwned (haveibeenpwned.com): Nhập email/phone → xem các breach đã công khai.
- Firefox Monitor, Google Password Checkup, Apple Password Monitoring: Tích hợp sẵn trong trình duyệt/OS.
- Dark Web Monitoring (Commercial): Kaspersky, Norton, Bitdefender, IBM X-Force, Recorded Future, Intel 471.
- Internal: DLP alert, CASB alert, SIEM correlation, threat intel feed matching.
Thời gian phát hiện Breach (Dwell Time)
Theo IBM Cost of Data Breach Report 2023:
- Trung bình phát hiện (MTTD): 204 ngày (giảm từ 287 ngày năm 2020).
- Trung bình khống chế (MTTC): 73 ngày.
- Ngành Y tế & Tài chính có dwell time cao nhất (> 300 ngày).
- Tổ chức triển khai AI/Automation, Zero Trust, IR Plan kiểm tra thường xuyên giảm 74% thời gian và chi phí.
4 Loại Breach phổ biến
- Physical: Mất laptop, USB, giấy in, dumpster diving.
- Electronic (Cyber): Hacking, malware, phishing, web app attack, cloud misconfig.
- Skimming: Đọc thẻ ATM/POS, NFC skimming.
- Insider: Nhân viên cố ý (malicious) hoặc vô tình (negligent) rò rỉ dữ liệu.
Framework ứng phó Breach (NIST 800-61 / ISO 27035)
- Preparation: IR Plan, Playbook, Tooling, Training, Threat Intel, Backup test.
- Detection & Analysis: Alert triage, scoping, evidence preservation (chain of custody).
- Containment, Eradication & Recovery: Short-term & long-term containment, root cause removal, restore & verify.
- Post-Incident Activity: Root Cause Analysis (RCA), Lessons Learned, Update controls, Report to authority (GDPR 72h, PDPA, ngành ngân hàng/y tế).
Kết luận
Phát hiện breach không chỉ là cài IDS/IPS hay SIEM. Nó đòi hỏi hệ thống kiểm soát đa lớp (Defense in Depth), quy trình IR chín chắn, nhân sự SOC có kỹ năng, và threat intelligence cập nhật liên tục. Mục tiêu: giảm MTTD và MTTC xuống dưới 1 ngày (best-in-class).