Khác biệt giữa Threat (Đe dọa), Vulnerability (Lỗ hổng) và Risk (Rủi ro) trong bảo mật mạng

Phân biệt Threat, Vulnerability và Risk - Ba khái niệm cốt lõi của Risk Management

Nhiều người nhầm lẫn ba thuật ngữ này. Hiểu rõ sự khác biệt là nền tảng của đánh giá rủi ro (Risk Assessment) và chiến lược bảo mật hiệu quả.

Định nghĩa so sánh

Khái niệm	Định nghĩa	Ví dụ	Câu hỏi then chốt
Threat (Đe dọa)	Bất kỳ nguyên nhân tiềm ẩn nào có thể gây hại cho tài sản thông tin. Có chủ đích (attacker) hoặc tự nhiên (thiên tai).	Hacker, Malware, Ransomware, Insider threat, Thiên tai (lũ lụt, cháy), Sự cố điện, Hardware failure	Ai hoặc gì có thể tấn công?
Vulnerability (Lỗ hổng)	Điểm yếu, khe hở trong hệ thống, quy trình, con người mà Threat có thể khai thác.	Unpatched software (CVE), Weak password, Misconfigured firewall, Open port, Lack of MFA, Phishing-susceptible staff, Legacy OS	Đâu là điểm yếu có thể bị khai thác?
Risk (Rủi ro)	Xác suất Threat khai thác Vulnerability × Tác động (Impact) nếu thành công. Rủi ro = Giao điểm của Threat + Vulnerability + Asset.	Rủi ro: Hacker (Threat) khai thác RCE bug chưa vá (Vuln) trên Web Server (Asset) → Mất dữ liệu khách hàng, phạt GDPR, sụp đổ uy tín (Impact)	Xác suất bao nhiêu? Hậu quả thế nào?

Công thức định lượng Risk

Risk = Likelihood (Xác suất) × Impact (Tác động)

Likelihood: Threat capability × Vulnerability exploitability × Exposure (Threat actor có năng lực? Lỗ hổng dễ khai thác? Hệ thống phơi bày ra ngoài?)
Impact: CIA impact (Confidentiality/Integrity/Availability loss) + Financial + Reputational + Legal/Regulatory + Operational

Vulnerability vs Exposure (Lỗ hổng vs Phơi bày)

Vulnerability: Lỗi trong code, config, thiết kế (VD: CVE-2021-44228 Log4Shell)
Exposure: Trạng thái hệ thống tiếp xúc với threat do vulnerability (VD: Server Log4j public-facing, chưa patch, port 80/443 mở)
Vulnerability có thể tồn tại mà không Exposure (server air-gapped, internal only)
Exposure = Vulnerability × Attack Surface

4 loại Vulnerability chính (The 4 Main Types)

Human-Social (Con người - Xã hội): Thiếu nhận thức, social engineering, insider threat, weak security culture
Physical (Vật lý): Truy cập vật lý server room, dumpster diving, hardware tampering, cable tapping
Economic (Kinh tế): Ngân sách bảo mật thấp, thiếu nhân sự, ưu tiên feature over security, technical debt
Environmental (Môi trường): Thiên tai, mất điện, nhiệt độ, độ ẩm, từ trường ảnh hưởng hardware

Risk Assessment vs Threat Assessment

Threat Assessment (Đánh giá đe dọa)	Risk Assessment (Đánh giá rủi ro)
Tập trung vào: Threat actor, TTPs (Tactics, Techniques, Procedures), Intent, Capability	Tập trung vào: Asset, Vulnerability, Likelihood, Impact, Controls hiện có, Residual Risk
Thường dùng cho: Threat Intelligence, Threat Hunting, Adversary Emulation	Dùng cho: Quyết định đầu tư bảo mật, Compliance, Prioritization remediation
Đầu ra: Threat Profile, Attack Scenarios, MITRE ATT&CK Mapping	Đầu ra: Risk Register, Risk Heat Map, Treatment Plan, Cost-Benefit Analysis

Mối quan hệ: Threat exploits Vulnerability → Risk materializes → Impact

Threat Actor (Hacker)
       │
       ▼
Exploit (Weaponized code/Technique)
       │
       ▼
Vulnerability (CVE, Misconfig, Human error)
       │
       ▼
Asset (Server, Data, App, Network) ──► Impact (Data breach, Downtime, Financial loss)
       │
       ▼
Existing Controls (Firewall, WAF, Patch, MFA, Monitoring)
       │
       ▼
Residual Risk (Rủi ro còn lại sau controls) ──► Accept / Mitigate / Transfer / Avoid

Ví dụ thực tế: CVE-2021-44228 (Log4Shell)

Threat: Botnet Mirai variant, Ransomware gang, Cryptominer, APT group
Vulnerability: Log4j 2.x JNDI injection (RCE unauthenticated, CVSS 10.0)
Exposure: Java app public-facing log user input (User-Agent, Header, Form)
Asset: Web server, Application server, Data database
Impact: Full server compromise, Data exfil, Ransomware, Lateral movement
Controls: WAF rule, Update Log4j ≥ 2.17.0, Remove JndiLookup, Egress filtering, EDR
Residual Risk: Thấp nếu patch nhanh + WAF + Monitoring; Cao nếu chậm patch

Trao đổi Risk (Risk Treatment)

Mitigate (Giảm thiểu): Patch, Config hardening, Add control (WAF, MFA, Segmentation)
Transfer (Chuyển嫁): Cyber insurance, Outsource MSSP, Cloud provider shared responsibility
Accept (Chấp nhận): Risk thấp, chi phí mitigate > impact, document & approve by management
Avoid (Tránh): Ngừng dịch vụ rủi ro, Decommission legacy system, Không thu thập dữ liệu không cần

Threat and Risk Assessment (TRA) - Quy trình chuẩn

Asset Identification & Valuation
Threat Identification (Threat Modeling: STRIDE, PASTA, OCTAVE)
Vulnerability Assessment (Scan, Pen Test, Code Review, Config Audit)
Risk Analysis (Qualitative: High/Med/Low hoặc Quantitative: $ value, ALE)
Control Evaluation (Existing controls effectiveness)
Residual Risk Determination
Risk Treatment Plan (Prioritize, Resource, Timeline, Owner)
Monitor & Review (Continuous, Trigger-based)