Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Bảo mật mạng: Cách phát hiện kẻ xâm nhập (Intruder Detection)

Phát hiện kẻ xâm nhập mạng (Network Intruder Detection)

Dấu hiệu bị xâm nhập (Indicators of Compromise - IOCs)

Cách kiểm tra kẻ xâm nhập Wi-Fi (Home/SOHO)

  1. Đăng nhập router admin (192.168.x.x)
  2. Xem Attached Devices / Device List / DHCP Client List
  3. So sánh MAC/IP với thiết bị nhà bạn (điện thoại, laptop, TV, IoT...)
  4. Ứng dụng hỗ trợ: Fing (Mobile/Desktop), Wireless Network Watcher, Advanced IP Scanner, Angry IP Scanner, NetCut

Phát hiện xâm nhập Enterprise (SOC/Blue Team)

Loại IOCVí dụ cụ thể
Network-basedTraffic bất thường (port scan, beaconing C2, data exfiltration lớn, kết nối Tor/VPN bất ngờ, DNS tunneling, strange protocols)
Host-basedProcess lạ (crypto miner, reverse shell), file thay đổi (system binary, scheduled task), registry run keys, WMI event subscription, service mới
Account-basedĐăng nhập bất thường (geo-impossible, giờ lạ, multiple failed → success), tạo account mới, thêm vào group admin, Golden Ticket, Pass-the-Hash
File/ArtifactMalware hash, webshell (php/asp/jsp), suspicious script (PowerShell encoded, base64), tool hack (mimikatz, bloodhound, cobalt strike)

Phân loại Intruder (Kẻ xâm nhập)

  • Masquerader (Người giả mạo): Outsider dùng credential đánh cắp (phishing, credential stuffing)
  • Misfeasor (Người lạm dụng quyền): Insider hợp pháp nhưng vượt quyền/hành động độc hại
  • Clandestine User (Người lén lút): Bypass audit/log, rootkit, kernel module, firmware implant

Tấn công DDoS – Dấu hiệu & Phòng thủ

  • Dấu hiệu: Service chậm/đổ, bandwidth exhausted, CPU/RAM spike, SYN flood, DNS amplification, HTTP flood
  • Phòng thủ: DDoS Protection Service (Cloudflare, Akamai, AWS Shield, Radware), On-prem scrubbing (Arbor, Radware), Rate limiting, Anycast, WAF

Quy trình phản ứng khi phát hiện Intruder

  1. Contain: Isolate host/network segment (Quarantine VLAN, Block IP, Disable account)
  2. Eradicate: Xóa malware, đóng backdoor, rotate credential, patch vulnerability
  3. Recover: Restore từ backup sạch, verify integrity, monitor tái phát
  4. Post-Incident: Root Cause Analysis, Lessons Learned, Update Detection/Prevention

Best Practices phòng ngừa

  • Network Segmentation + Zero Trust (Micro-segmentation)
  • MFA bắt buộc mọi remote access & privileged account
  • Patch management tự động, prioritize KEV (Known Exploited Vulnerabilities)
  • Least Privilege + PAM (Privileged Access Management)
  • Security Awareness Training + Phishing Simulation định kỳ
  • Backup 3-2-1 + Test Restore hàng quý
  • Continuous Threat Exposure Management (CTEM)
Công cụ/Kỹ thuậtMục đích
SIEM (Splunk, Elastic, QRadar, Sentinel)Tổng hợp log, correlation rule, alerting, dashboard
NDR (Network Detection & Response)Phân tích traffic raw (PCAP/NetFlow), ML detect anomaly, C2 beaconing, lateral movement
EDR/XDR (CrowdStrike, SentinelOne, Cortex XDR, Defender for Endpoint)Endpoint visibility, behavior detection, automated response, threat hunting
UEBA (User & Entity Behavior Analytics)Baseline hành vi user/device → Detect anomaly (Impossible travel, privilege escalation)
Threat Hunting (Proactive)Giả định đã bị breach → Tìm evidence (MITRE ATT&CK framework)
Deception TechnologyHoneypot, Canary token, Breadcrumbs → Alert sớm khi attacker chạm