Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Giảm bề mặt tấn công (Attack Surface) trong bảo mật mạng: Chiến lược và kỹ thuật

Bề mặt tấn công (Attack Surface) là gì?

Attack Surface là tổng hợp tất cả các điểm vào (entry points) mà kẻ tấn công có thể khai thác để xâm nhập, đánh cắp dữ liệu hoặc gây hại cho hệ thống. Bề mặt tấn công càng nhỏ, việc bảo vệ càng dễ dàng và hiệu quả.

3 loại bề mặt tấn công chính

  1. Digital (Số): Cổng mạng mở, dịch vụ web, API, ứng dụng, firmware, email, cloud config.
  2. Physical (Vật lý): Cổng USB, ổ cắm mạng, server rack, thiết bị IoT, laptop bị mất/cắp.
  3. Social Engineering (Con người): Phishing, pretexting, tailgating, insider threat.

Tại sao phải giảm bề mặt tấn công?

  • Giảm thiểu vector tấn công (attack vector) – con đường kẻ xấu dùng để tấn công.
  • Hạ thấp rủi ro vi phạm dữ liệu, ransomware, APT.
  • Tuân thủ tiêu chuẩn (ISO 27001, NIST, PCI-DSS, GDPR).
  • Giảm chi phí vận hành bảo mật (ít cảnh báo false positive, log nhẹ hơn).

Chiến lược giảm bề mặt tấn công (Attack Surface Reduction - ASR)

1. Quản trị tài sản & kiểm tra (Asset Management & Discovery)

  • Quét liên tục: Network scan, agent endpoint, CAASM (Cyber Asset Attack Surface Management).
  • Xác định: Shadow IT, thiết bị ngầm, dịch vụ không dùng, tài khoản orphan.

2. Nguyên tắc đặc quyền tối thiểu (Least Privilege)

  • Tắt dịch vụ, cổng, protocol không cần thiết (Telnet, FTP, SMBv1, RDP public).
  • Giới hạn quyền admin, dùng RBAC, Just-In-Time Access.
  • Xóa tài khoản mặc định, mật khẩu yếu, account không dùng.

3. Cứng hóa cấu hình (Hardening)

  • CIS Benchmarks, STIG, vendor best practices.
  • Tắt tính năng không dùng: AutoRun, PowerShell script block, macro Office.
  • Bật ASR rules (Windows Defender Exploit Guard): block credential theft, ransomware behavior.

4. Phân đoạn mạng & Zero Trust

  • VLAN, subnet, firewall nội bộ (East-West traffic).
  • Micro-segmentation: mỗi workload cách ly.
  • Zero Trust: "Never trust, always verify" – xác thực mọi request.

5. Quản lý lỗ hổng & vá lỗi (Vulnerability Management)

  • Quét định kỳ (SAST/DAST/SCA/container scan).
  • Ưu tiên vá theo CVSS + exploitability + business impact.
  • Virtual patching (WAF/IPS) khi chưa vá được ngay.

6. Kiểm soát ứng dụng & thực thi (Application Control)

  • Allowlist (AppLocker, WDAC) – chỉ cho phép phần mềm đã duyệt chạy.
  • Block script độc hại: PowerShell constrained language, disable WScript/CScript.

7. Bảo mật chuỗi cung ứng (Supply Chain Security)

  • SBOM (Software Bill of Materials), ký mã (code signing).
  • Chỉ dùng repo tin cậy, quét dependency (SCA).

Công cụ hỗ trợ giảm bề mặt tấn công

  • Microsoft Defender for Endpoint: ASR rules, device discovery, threat analytics.
  • CrowdStrike Falcon Spotlight / Cortex Xpanse: External attack surface management (EASM).
  • Nmap, Masscan, Shodan, Censys: Recon bề mặt ngoài.
  • OpenVAS, Nessus, Qualys: Vulnerability scanning.
  • BloodHound, PingCastle: AD attack path.

Quy trình quản trị rủi ro bảo mật (Risk Management)

  1. Identify: Xác định tài sản, giá trị, mối đe dọa, lỗ hổng.
  2. Assess: Tính xác suất & tác động (Risk Matrix).
  3. Treat: Mitigate (giảm ASR), Transfer (bảo hiểm), Accept, Avoid.
  4. Monitor: KPI: số lượng asset exposed, mean time to patch, % MFA coverage.
  5. Review: Định kỳ 6-12 tháng hoặc khi thay đổi lớn.

Lưu ý quan trọng

Giảm bề mặt tấn công ≠ Loại bỏ rủi ro hoàn toàn. Mục tiêu là làm tăng chi phí/nỗ lực của kẻ tấn công, buộc họ phải dùng kỹ thuật phức tạp hơn, dễ bị phát hiện hơn. Rủi ro còn lại (residual risk) phải được chấp nhận có kiểm soát.

Checklist nhanh cho quản trị viên

  • [ ] Đã tắt SMBv1, LLMNR, NetBIOS?
  • [ ] Đã block RDP/SSH từ Internet?
  • [ ] Đã bật MFA cho mọi remote access & admin?
  • [ ] Đã phân đoạn mạng OT/IT/Guest/Server?
  • [ ] Đã remove local admin khỏi user thường?
  • [ ] Đã bật ASR rules / AppLocker?
  • [ ] Đã quét vuln & patch critical trong 72h?
  • [ ] Đã test restore backup hàng quý?