Sun Tzu nói trong "Nghệ thuật chiến tranh" (bài luận quân sự cổ đại Trung Quốc): "Nếu bạn biết kẻ thù và biết mình, bạn không cần sợ kết quả trăm cuộc chiến.". Câu cổ ngữ này vẫn áp dụng ngày nay để描绘 cuộc đấu tranh giữa chuyên gia an ninh dữ liệu và hacker. Để hành động trong hệ thống phòng thủ, phải biết hacker hành động như thế nào — đó là lý do phải biết về Cyber Kill Chain! Chắc chắn đây sẽ là cột mốc nếu bạn nghiêm túc bảo vệ hệ thống vì chứng chỉ an ninh mạng vô dụng nếu không nắm cơ bản! Hãy bắt đầu!
Cyber Kill Chain là gì?
Được định nghĩa là danh sách có thứ tự các giai đoạn của cuộc tấn công mạng, bắt đầu từ giai đoạn lập kế hoạch sớm nhất và kéo dài đến kết thúc cuộc tấn công. Do đó, Cyber Kill Chain cho cái nhìn tổng quan (bird's eye view) về chiến lược hack. Cyber Kill Chain tương tự ý tưởng của Lockheed Martin. Trong mô hình của ông, các giai đoạn tấn công mục tiêu cũng được mô tả.
Đọc thêm: An ninh mạng đang cải thiện hay tệ đi?
Nếu chuyên gia an ninh mạng có thể phân tích cách xâm nhập mạng và khai thác lỗ hổng, chúng có thể dùng để bảo vệ mạng tổ chức.
Các giai đoạn của Cyber Kill Chain
Có bảy giai đoạn trong Cyber Kill Chain, mỗi giai đoạn có lợi ích riêng! Chuỗi này rất giống một vụ trộm cắp điển hình. Kẻ tấn công kiểm tra hệ thống trước khi thử xâm nhập. Xong, qua thêm vài bước trước "vụ cướp" thực sự! Hãy bắt đầu tìm hiểu các giai đoạn!
1. Thám sát (Reconnaissance)
Điều đầu tiên tấn công cần: xác định và lọc mục tiêu. Hoàn toàn phụ thuộc động cơ kẻ tấn công, nạn nhân có thể là bất kỳ ai: tổ chức, cộng đồng, thậm chí cá nhân. Lý do: mục tiêu là người có thông tin được kẻ tấn công coi là có giá trị! Trước tiên, hắn thu thập càng nhiều thông tin về nạn nhân càng tốt. Sau đó, tìm lỗ hổng để khai thác và xâm nhập mạng. Với tổ chức lớn có nhiều lớp bảo mật và chuyên gia chứng chỉ an ninh mạng, điều này có thể tốn nhiều thời gian. Tuy nhiên, càng nhiều kiến thức kẻ tấn công có về mục tiêu, càng nguy hiểm.
2. Vũ khí hóa (Weaponization)
Bước hai, kẻ tấn công tái cấu trúc (re-engineers) malware bằng vài kỹ thuật tinh vi phù hợp mục đích. Tùy động cơ, malware khai thác lỗ hổng chưa biết (unknown to security experts) để đánh bại phòng thủ mạng nạn nhân. Cũng bằng phương pháp tiên tiến, hắn giảm cơ hội phát hiện qua giao thức bảo mật tiêu chuẩn.
3. Phân phối (Delivery)
Lúc này, kẻ tấn công đã hiểu rõ nạn nhân. Chỉ việc gửi mã độc đến nạn nhân. Ba phương pháp phổ biến: file đính kèm email, trang web dụ dỗ, hoặc thiết bị gắn ngoài. Truyền tải và phân phối gói tin là bước tiếp theo, nhưng nỗ lực này có hậu quả và kẻ tấn công cũng bị "dấu vân tay số" (digitally fingerprinted). Vì vậy, nếu hệ thống bảo mật nạn nhân đủ hiệu quả, hắn sẽ biết hành vi bất thường trong mạng và hành động. Sao lưu và thêm lớp bảo mật chắc chắn hữu ích.
Đọc thêm: Microsoft Security Essentials: "Ngựa đen" của an ninh mạng
4. Khai thác (Exploitation)
Giai đoạn này, lỗ hổng trên mạng/hệ thống bị khai thác. Tuy nhiên, khả năng phòng thủ tùy chỉnh theo nhu cầu tổ chức là cần thiết để chặn khai thác ở giai đoạn này. Ngay khi kẻ tấn công chạm vào điểm yếu, hắn bắt đầu khai thác qua mã script ẩn mình dưới môi trường làm việc của nạn nhân.
5. Cài đặt (Installation)
Trong này, một cửa sau truy cập từ xa (remote access backdoor) được cài trên hệ thống nạn nhân. Cho phép kẻ tấn công thiết lập sự liên tục (persistence) trong môi trường host. Triển khai "Hệ thống ngăn chặn xâm nhập dựa trên Host" (Host-Based Intrusion Prevention System) có thể hữu ích! Quan trọng phải hiểu động cơ malware thay vì chỉ chống lại nó. Người phòng thủ phải hành động trước bước này để tránh vi phạm dữ liệu!
6. Điều khiển và Chỉ huy (Command and Control)
Đây là lần cuối cùng người phòng thủ có thể hành động bằng cách cản trở kênh Điều khiển và Chỉ huy (C2). Làm vậy, đối thủ không thể phát lệnh, và người phòng thủ ngăn chặn tác động. Đừng quên malware hiếm khi tự động, thường là thủ công. Thực hành chung của xâm nhập: thiết lập kiểm soát nhiều trạm làm việc để thu thập dữ liệu không bị nhận ra. Do đó cần công cụ thích hợp phòng thủ!
7. Hành động trên Mục tiêu (Actions on Objectives)
Đừng bao giờ quên: càng lâu ai đó có quyền truy cập hệ thống bạn, hậu quả càng khó chịu. Bên bị ảnh hưởng phải phát hiện mối đe dọa nhanh, triển khai công cụ và chuyên gia giúp lâu dài. Hãy chắc chắn bạn không tụt hậu bất kỳ điều cần thiết cho an ninh dữ liệu vì nếu bạn làm vậy, không ai giúp được bạn!
Đọc thêm: Threat Intelligence: Cánh tay trợ giúp nhận diện mối đe dọa bảo mật
Nhưng nếu bạn nghĩ đây là quy trình mọi kẻ tấn công tuân theo, bạn sai lầm! Mỗi tấn công độc đáo và có thể thêm/xóa giai đoạn Cyber Kill Chain để thành công! Chuyên gia an ninh mạng nói: họ ước gì mọi kẻ tấn công tuân theo để bên phòng thủ có nhiều thời gian và cơ hội bảo vệ! Họ cũng nói cần theo dõi tin tức an ninh mạng để bắt kịp!
Đối phó Cyber Kill Chain để có lợi cho chúng ta
Thường thấy chuyên gia an ninh dữ liệu bị uy hiếp bởi sự tinh vi của tấn công, thay vào đó họ nên tập trung vào từng bước tấn công. Làm vậy giúp hiểu rằng bất kỳ tấn công nào không xảy ra trong nháy mắt, nó tốn thời gian! Và nếu chúng ta đủ cảnh giác, có thể chặn tấn công trước khi nó khởi động.
Luôn nhớ: luôn đối phó tấn công mạng như một quá trình liên tục (continuum) không phải sự cố đơn lẻ (incident) và có lẽ bạn sẽ nhận diện và chặn chúng! Bạn nghĩ sao? Cho chúng tôi biết ở phần bình luận!