Cybersecurity Fundamentals

Chương 2: Các loại tấn công (Attack) & Phần mềm độc hại (Malware)

Agenda

1. Các mối đe dọa (Threat), điểm yếu (Weakness), lỗ hổng (Vulnerability) & các cuộc tấn công (Attack)

  • Khái niệm: Threat, Weakness, Vulnerability, Attack
  • Các loại Threat phổ biến
  • Phân loại Attack

2. Các công cụ hỗ trợ tấn công

  • Các công cụ quét lỗ hổng (Vulnerability Scanning) & Weakness scanning
  • Các công cụ quét cổng (Port Scanning)
  • Các công cụ Sniffer
  • Keylogger

3. Các loại tấn công phổ biến

  • Password Attack
  • Tấn công phần mềm độc hại (Malware)
  • Tấn công từ chối dịch vụ (DoS)
  • Tấn công từ chối dịch vụ phân tán (DDoS)
  • Giả mạo địa chỉ IP (IP Spoofing)
  • Nghe lén (Eavesdropping)
  • Tấn công người đứng giữa (MITM)
  • Email bombing & spam
  • Các loại tấn công khác

4. Các loại Malware

  • Phân loại
  • Mô tả về Malware
  • Phòng ngừa & bảo vệ trước Malware

5. Câu hỏi ôn tập

  • Các câu hỏi ôn tập cuối chương và tự đánh giá
Cybersecurity Fundamentals

Chương 2: Các loại tấn công và phần mềm độc hại (Malware)

Khám phá bối cảnh đe dọa (Threat) hiện đại — từ các lỗ hổng bảo mật (Vulnerability) đến phương pháp tấn công (Attack) và phòng thủ trước Malware.

Khái niệm cốt lõi

Mối đe dọa (Threat), Lỗ hổng (Vulnerability), nguyên lý tấn công

Công cụ tấn công

Quét cổng (Port Scanning), Quét lỗ hổng (Vulnerability Scanning), trinh sát

Nhóm tấn công

Tấn công từ chối dịch vụ (DoS), Tấn công người đứng giữa (MITM), tiêm mã độc, Kỹ nghệ xã hội (Social Engineering)

Phân tích Malware

Các loại hình, hành vi, biện pháp đối phó

Cybersecurity Fundamentals

Threat: Điều gì có thể gây hại?

Một mối đe dọa (Threat) là bất kỳ tác nhân tiềm ẩn nào gây ra sự cố ngoài ý muốn có thể dẫn đến thiệt hại cho hệ thống hoặc tài sản.

Vulnerability hệ thống

Cybersecurity Fundamentals

Threat: Điều gì có thể gây hại?

Một Threat (mối đe dọa) là bất kỳ tác nhân tiềm ẩn nào gây ra sự cố ngoài ý muốn có thể dẫn đến thiệt hại cho hệ thống hoặc tài sản.

Weakness (điểm yếu) / Vulnerability (lỗ hổng) hệ thống

Điểm yếu (Weakness) vs Lỗ hổng (Vulnerability)

🔓 Điểm yếu (Weakness)

Bất kỳ lỗi, khiếm khuyết hoặc thiếu sót nào trong thiết kế, triển khai hoặc cấu hình

  • Default admin passwords
  • Missing input validation
  • Plaintext data storage
  • Excessive user privileges

⚠️ Lỗ hổng (Vulnerability)

Một điểm yếu (Weakness) mà có thể bị khai thác chủ động bởi một tác nhân mối đe dọa (Threat actor)

  • Known credentials exposed remotely
  • Unpatched software flaw
  • Misconfigured access control
  • Context + Exploit = Vulnerability

Weakness vs Vulnerability

Cybersecurity Fundamentals

Các mức độ nghiêm trọng của Vulnerability

Tùy thuộc vào khả năng Exploit, các Vulnerability bảo mật có các mức độ nghiêm trọng khác nhau.

Phân loại của Microsoft

🔴 Critical – Nguy hiểm

Có thể bị Exploit từ xa, không yêu cầu xác thực (Authentication), gây ra thiệt hại nghiêm trọng tức thì.

🟠 Important – Đáng kể

Việc Exploit có thể ảnh hưởng đến tính bảo mật, tính toàn vẹn hoặc tính sẵn sàng của dữ liệu (CIA Triad).

🟡 Moderate – Trung bình

Tác động bị giới hạn bởi các yếu tố như yêu cầu về Authentication hoặc các điều kiện Exploit phức tạp.

🟢 Low – Thấp

Rất khó để Exploit, tác động hạn chế, ảnh hưởng tối thiểu đến hệ thống.

Phân loại của các tổ chức khác

🔴 High – Nghiêm trọng

Vulnerability nghiêm trọng cần được Patch ngay lập tức để ngăn chặn các cuộc tấn công (Attack) tiềm tàng.

🟡 Medium – Trung bình

Vulnerability đáng quan ngại cần được xử lý sớm trong lịch trình Patch định kỳ.

🟢 Low – Thấp

Vulnerability rủi ro thấp có thể được xử lý theo lịch trình bảo trì định kỳ.

Thống kê năm 2014

Phân bố lỗ hổng (Vulnerability) trong các thành phần của hệ thống

Phân bố Vulnerability theo mức độ nghiêm trọng

Tấn công (Attack) là gì?

TẤN CÔNG (Attack) = Threat + Vulnerability

Loại bỏ một trong hai thành phần → cuộc tấn công (Attack) không thể thành công

Threat Actor

  • Động cơ gây hại
  • Khả năng khai thác

Lỗ hổng (Vulnerability)

  • Điểm yếu (Weakness) có thể khai thác
  • Điểm xâm nhập cho cuộc tấn công (Attack)

Tấn công (Attack)

  • Hành động cố ý
  • Vi phạm chính sách

Tác động đến CIA Triad

🔒 Confidentiality

  • Đánh cắp thông tin xác thực (Authentication)
  • Rò rỉ dữ liệu
  • Nghe lén (Eavesdropping)

✏️ Integrity

  • Thao túng cơ sở dữ liệu
  • Nhiễm phần mềm độc hại (Malware)
  • Thao túng giao dịch

⚡ Availability

  • Tấn công từ chối dịch vụ (DoS)
  • Mã hóa mã độc tống tiền (Ransomware)
  • Phá hủy hạ tầng

Các mục tiêu tấn công: Bốn danh mục chính

Mỗi mục tiêu tấn công đều ánh xạ trực tiếp đến một vi phạm của CIA Triad.

Fabrication (Giả mạo)

  • Tạo ra các đối tượng giả mạo
  • Vi phạm tính Integrity
  • VD: email spoofing, giả mạo thông tin xác thực (Authentication)

Interception (Đánh chặn)

  • Truy cập trái phép vào tài sản
  • Vi phạm tính Confidentiality
  • VD: Sniffer, nghe lén (Eavesdropping)

Interruption (Gián đoạn)

  • Làm gián đoạn Availability của dịch vụ
  • Vi phạm tính Availability
  • VD: tấn công từ chối dịch vụ phân tán (DDoS), mã độc tống tiền (Ransomware)

Modification (Sửa đổi)

  • Thay đổi trái phép dữ liệu
  • Vi phạm tính Integrity
  • VD: tiêm nhiễm SQL (SQL Injection), thao túng bản ghi

Tấn công thụ động (Passive) so với chủ động (Active)

Tấn công thụ động

  • Không sửa đổi hệ thống
  • Khó phát hiện, dấu vết tối thiểu
  • Mục tiêu: thu thập thông tin tình báo
  • Phân tích lưu lượng, Nghe lén (Eavesdropping), Quét cổng (Port Scanning)
  • Phát hiện: phát hiện bất thường, kiểm tra Mã hóa (Encryption)

Tấn công chủ động

  • Sửa đổi hệ thống, dữ liệu hoặc dịch vụ
  • Dễ phát hiện hơn thông qua logs và giám sát
  • Mục tiêu: chiếm quyền, làm gián đoạn hoặc sửa đổi
  • Tấn công người đứng giữa (MITM), Tấn công từ chối dịch vụ (DoS), Tiêm nhiễm SQL (SQL Injection), Phần mềm độc hại (Malware)
  • Phát hiện: IDS/IPS, kiểm tra tính toàn vẹn, logs truy cập

Mô hình tiến trình tấn công

1

Passive Recon

Lập bản đồ cấu trúc, định danh dịch vụ, phân tích lưu lượng

2

Active Exploit

Tấn công các lỗ hổng (Vulnerability) đã được khám phá

Ý nghĩa đối với phòng thủ

  • Thụ động: phân tích hành vi, phát hiện bất thường
  • Chủ động: IDS/IPS, giám sát tính toàn vẹn, kiểm soát truy cập
  • Các công cụ dựa trên chữ ký bỏ lỡ Passive Recon
  • Phòng thủ theo lớp giải quyết cả hai giai đoạn

Các công cụ hỗ trợ tấn công

Công cụ trinh sát (Reconnaissance)

Sử dụng quét cổng (Port Scanning) và quét lỗ hổng (Vulnerability Scanning) để thu thập thông tin mục tiêu. Các công cụ như Nmap hỗ trợ đắc lực trong việc xác định các dịch vụ đang chạy và các lỗ hổng (Vulnerability) tiềm ẩn.

Công cụ tấn công mật khẩu (Password Attack)

Thực hiện tấn công vét cạn (Brute Force) hoặc tấn công từ điển (Dictionary Attack) để bẻ khóa xác thực (Authentication). Các chương trình này kiểm tra danh sách mật khẩu phổ biến hoặc thử tất cả tổ hợp ký tự để giành quyền truy cập.

Công cụ phân tích mạng và Sniffer

Sử dụng bắt gói tin (Packet Capture) thông qua Wireshark để theo dõi nghe lén (Eavesdropping), phân tích traffic hoặc thực hiện các kỹ thuật như tấn công người đứng giữa (MITM) để chặn bắt dữ liệu.

Công cụ thực thi Exploit

Sử dụng các Payload đã được xây dựng sẵn để khai thác Zero-day hoặc các lỗ hổng đã có CVE. Thường bao gồm việc cài đặt phần mềm độc hại (Malware), Backdoor hoặc Rootkit để duy trì quyền kiểm soát.

Các công cụ hỗ trợ tấn công

Các công cụ giống nhau phục vụ cả phía tấn công và phòng thủ — ngữ cảnh (context), ủy quyền (authorization), và mục đích (intent) quyết định việc sử dụng có đạo đức

Vulnerability & Port Scanning

Xác định các lỗ hổng (Vulnerability) và quét cổng (Port Scanning) dịch vụ đang mở

Tools: Nessus, Nmap, OpenVAS

Sniffing & Packet Capture

Can thiệp và thu thập bắt gói tin (Packet Capture) lưu lượng mạng

Tools: Wireshark, Tcpdump, Pcap

Keylogger

Thu thập thông tin đầu vào và thông tin xác thực (Authentication) của người dùng

Types: Hardware Keylogger & Software Keylogger

Password Attack

Phá vỡ cơ chế xác thực (Authentication)

Methods: Tấn công từ điển (Dictionary Attack), tấn công vét cạn (Brute Force)

1. Quét lỗ hổng (Vulnerability Scanning): Hệ thống & Ứng dụng Web

Các công cụ tự động giúp xác định các điểm yếu (Weakness) đã biết, cấu hình sai, và các thiếu sót Patch — cho phép các tổ chức tìm kiếm và khắc phục lỗ hổng trước khi bị kẻ tấn công (Attacker) khai thác.

2. Quét cổng (Port Scanning)

Quá trình dò quét mạng có hệ thống nhằm xác định các dịch vụ có thể truy cập — mỗi cổng mở là một bề mặt tấn công (attack surface) tiềm ẩn.

Các cổng dịch vụ phổ biến


Ứng dụng phòng thủ

Đóng các cổng không sử dụng

Thu hẹp bề mặt tấn công

Tắt các dịch vụ không cần thiết

Thực thi nguyên tắc đặc quyền tối thiểu (least privilege)

Xác thực các quy tắc tường lửa (Firewall)

Kiểm tra các chính sách bảo mật (security policies)

3. Sniffing & Packet Capture (Bắt gói tin)

Sniffer thu thập các gói tin trong quá trình truyền tải mạng — có thể là mô-đun phần cứng, phần mềm hoặc giải pháp kết hợp.

Các công cụ Sniffer phổ biến

🔧 Tcpdump

Công cụ phân tích gói tin dòng lệnh

🦈 Wireshark

Công cụ phân tích gói tin giao diện đồ họa (Hình 2.6)

📦 Pcap / WinPcap / Libpcap

Các thư viện Packet Capture

🛠️ IP Tools

Tiện ích mạng — softpedia.com

Chiến lược phòng thủ

Mã hóa lưu lượng

TLS/SSL, SSH, VPN (mạng riêng ảo)

Phân đoạn mạng

VLANs, quy tắc tường lửa (Firewall)

Bảo mật Switch

Port security, 802.1X

Bảo mật không dây

WPA3, phát hiện AP giả mạo

Sử dụng Wireshark để thực hiện bắt gói tin (Packet Capture) các gói tin có chứa thông tin nhạy cảm

4. Keylogger: Ghi lại dữ liệu người dùng

Các công cụ giám sát ghi lại từng thao tác phím — hoạt động ở input layer, vượt qua mã hóa (Encryption) cấp ứng dụng và các kiểm soát bảo mật.

🔌 Hardware Keylogger

Các thiết bị vật lý được cắm giữa bàn phím và máy tính. Yêu cầu quyền truy cập vật lý — hoạt động bên ngoài hệ điều hành.

Lợi thế của kẻ tấn công

  • Không để lại dấu vết phần mềm
  • Miễn nhiễm với antivirus
  • Ghi lại thông tin xác thực (Authentication) pre-boot và BIOS

Hạn chế

  • Yêu cầu quyền truy cập vật lý
  • Cần thu hồi dữ liệu
  • Có thể bị phát hiện khi kiểm tra

💻 Software Keylogger

Được cài đặt thông qua phần mềm độc hại (Malware), kỹ nghệ xã hội (Social Engineering), hoặc khai thác từ xa. Móc nối vào quá trình xử lý đầu vào bàn phím của hệ điều hành.

  • Ghi nhật ký thao tác phím vào tệp
  • Xuất dữ liệu sang remote servers
  • Chụp screenshots, clipboard, dữ liệu ứng dụng

Phát hiện

  • Antivirus & phân tích hành vi
  • Công cụ EDR
  • Danh sách trắng ứng dụng

Mô đun Hardware Keylogger và Software Keylogger cài đặt trên máy tính để bàn

Các loại cuộc tấn công (Attack) phổ biến

Các loại tấn công phổ biến

Hiểu rõ bối cảnh cuộc tấn công (Attack) — từ các kỹ thuật tấn công vét cạn (Brute Force) cơ bản đến các chiến dịch mối đe dọa dai dẳng nâng cao (APT) tinh vi.

Password Attacks

Các phương pháp tấn công từ điển (Dictionary Attack) & Brute Force nhắm vào các hệ thống xác thực (Authentication)

Malware Attacks

Virus, Worm, Trojan & mã độc tống tiền (Ransomware) làm tổn hại tính toàn vẹn của hệ thống

DoS

Các cuộc tấn công từ chối dịch vụ (DoS) Resource exhaustion làm cho dịch vụ không thể truy cập

DDoS

Các cuộc tấn công từ chối dịch vụ phân tán (DDoS) Botnet (mạng máy tính ma) phối hợp nhằm khuếch đại sự gián đoạn trên quy mô lớn

IP Spoofing

Forging source addresses (giả mạo địa chỉ IP) để mạo danh các máy chủ tin cậy

Eavesdropping

Passive traffic interception (nghe lén) nhằm thu thập dữ liệu không được mã hóa (Encryption) trong quá trình truyền tải

MITM

Active interception & relay (tấn công người đứng giữa - MITM) giữa hai bên đang truyền thông

Email Bombing & Spam

Overwhelming email systems để làm gián đoạn các kênh liên lạc

Social Engineering

Exploiting human psychology (kỹ nghệ xã hội) để vượt qua các biện pháp kiểm soát kỹ thuật

Pharming

DNS/hosts file manipulation chuyển hướng người dùng đến các trang web độc hại

APT

Sophisticated long-term campaigns được thực hiện bởi các nhóm đối tượng đe dọa có nguồn lực tốt

Password Attack: Các mô hình phổ biến

Bất chấp các chương trình đào tạo Cybersecurity, weak passwords (mật khẩu yếu) vẫn là một trong những Vulnerability (lỗ hổng) bị khai thác nhiều nhất. Hai phương pháp Attack (cuộc tấn công) chiếm ưu thế trong bối cảnh Threat (mối đe dọa) hiện nay.

Dictionary Attack (tấn công từ điển)

Sử dụng danh sách tổng hợp các common passwords, natural language words và các cơ sở dữ liệu bị rò rỉ chứa hàng tỷ thông tin Authentication (xác thực).

Mục tiêu phổ biến

password123, Welcome1, các biến thể thay thế đơn giản

Tích hợp dữ liệu bị rò rỉ

Các công cụ như Have I Been Pwned lập chỉ mục hàng tỷ credentials bị xâm phạm

Brute Force (tấn công vét cạn)

Thử nghiệm triệt để all possible combinations — đảm bảo thành công nếu có đủ thời gian và compute power.

🌐 Online Cracking

  • Nhắm mục tiêu vào live auth systems
  • Bị giới hạn bởi rate limiting
  • Chậm hơn — phụ thuộc vào mạng

💻 Offline Cracking

  • Nhắm mục tiêu vào stolen password hashes
  • GPU-accelerated — hàng tỷ lần/giây
  • Nhanh hơn theo cấp số nhân

Phòng chống tấn công mật khẩu (Password Attack)

Các biện pháp kiểm soát phân lớp bao gồm chính sách, công nghệ và hành vi giúp nâng cao chi phí tấn công vượt quá khả năng của đối thủ.

Password Policy

Tối thiểu 12+ ký tự — độ dài quan trọng hơn độ phức tạp

Sử dụng Passphrases thay cho các mật khẩu ngắn phức tạp

Kiểm tra so với các breach databases

Không bắt buộc thay đổi định kỳ

Các biện pháp kỹ thuật (Technical Controls)

Vệ sinh thông tin đăng nhập (Credential Hygiene)

  • Không password reuse
  • Sử dụng password manager
  • Kích hoạt MFA ở mọi nơi

Giám sát

  • Phát hiện impossible travel
  • Nhiều failed attempts
  • Cảnh báo geo-anomaly

Defense in Depthsm

  • Chính sách + công nghệ
  • Đào tạo người dùng
  • Không có single point thất bại

Tràn bộ đệm (Buffer Overflow): Tại sao các lỗi bộ nhớ lại quan trọng

Khi một chương trình ghi nhiều dữ liệu hơn mức bộ đệm (buffer) có thể chứa, các vùng bộ nhớ liền kề sẽ bị ghi đè — có khả năng trao cho kẻ tấn công (attacker) quyền kiểm soát quá trình thực thi chương trình.

Cách Tràn bộ đệm xảy ra

Cấp phát bộ đệm

Chương trình dự trữ bộ nhớ cố định cho đầu vào

Kiểm chứng (Validation) thất bại

Độ dài đầu vào không được kiểm tra so với kích thước bộ đệm

Bộ nhớ bị hỏng

Dữ liệu dư thừa ghi đè lên các vùng bộ nhớ liền kề

Các vùng bộ nhớ có rủi ro

📦 Stack Overflow

  • Ghi đè các biến cục bộ & địa chỉ trả về
  • Điều hướng luồng thực thi chương trình

🗄️ Heap Overflow

  • Làm hỏng bộ nhớ được cấp phát động
  • Ghi đè con trỏ đối tượng & siêu dữ liệu

Cấu trúc bộ nhớ đơn giản hóa

Phòng thủ tràn bộ đệm (Buffer Overflow): Các biện pháp bảo mật hệ thống hiện đại

Nhiều lớp bảo vệ chồng chéo giúp việc khai thác trở nên khó khăn hơn đáng kể. Không có biện pháp giảm thiểu nào là hoàn hảo — nhưng sự kết hợp giữa chúng tạo ra các rào cản vững chắc.

DEP / NX Bit

  • Bộ nhớ chỉ có thể ghi HOẶC thực thi
  • Được thực thi ở cấp độ phần cứng
  • Mã độc không thể thực thi từ stack/heap

ASLR

  • Ngẫu nhiên hóa vị trí stack, heap, code
  • Kẻ tấn công không thể dự đoán địa chỉ
  • Yêu cầu PIE

Stack Canaries

  • Giá trị đặc biệt giữa buffer & địa chỉ trả về
  • Được xác minh trước khi hàm kết thúc
  • Nếu tràn → chương trình dừng an toàn

Compiler Hardening

  • Kích hoạt cờ stack protector
  • Kiểm tra tính toàn vẹn luồng điều khiển
  • Cảnh báo hàm nguy hiểm

Safe Libraries & Languages

  • Rust, Go, Java, C# tự động kiểm tra giới hạn
  • C/C++: sử dụng strncpy, snprintf
  • Kiểm tra tất cả input

Input không được kiểm chứng: Lỗ hổng (Vulnerability) gốc rễ phổ biến

Tất cả input từ bên ngoài đều không đáng tin cậy cho đến khi được kiểm chứng. Input không được kiểm chứng là nguyên nhân dẫn đến các cuộc tấn công (Attack) Injection, tràn bộ đệm (Buffer Overflow), bỏ qua logic, và nhiều hơn thế nữa.

Nguồn input & rủi ro

Web Forms & APIs

Headers, cookies, dữ liệu do người dùng cung cấp

URLs & Query Strings

Tham số GET, biến đường dẫn

Tải tệp lên (File Uploads)

Tên tệp, nội dung, metadata

Giao thức mạng

Các gói tin, đối tượng được tuần tự hóa

CLI Arguments

Các tham số truyền cho chương trình

Database & Biến môi trường

Các truy vấn bên ngoài, giá trị cấu hình

Danh mục kiểm tra Validation

Độ dài

Thiết lập giới hạn tối thiểu/tối đa

Loại dữ liệu (Type)

Số nguyên, chuỗi, ngày tháng

Định dạng (Format)

Regex / quy tắc phân tích cú pháp

Allowlist

Chỉ cho phép các giá trị đã biết là an toàn

Encoding

Xử lý các ký tự đặc biệt một cách an toàn

Tiêm nhiễm SQL (SQL Injection): Khi dữ liệu trở thành mã thực thi

Minh họa cách khai thác đầu vào không được xác thực (Authentication) thông qua SQL Injection để đánh cắp hoặc phá hủy dữ liệu trong cơ sở dữ liệu.

Câu lệnh truy vấn bị lỗ hổng (Vulnerability)

SELECT * FROM tbl_products 
WHERE product_name LIKE '%' + keyword + '%'

tbl_products

Bảng thông tin sản phẩm

product_name

Trường tên sản phẩm

keyword

Từ khóa tìm kiếm do người dùng cung cấp — không được xác thực

Cách sử dụng thông thường so với độc hại

SQL Injection: Những gì kẻ tấn công có thể đạt được

Khai thác thành công có thể làm tổn hại toàn bộ cơ sở dữ liệu (Database), phơi bày dữ liệu nhạy cảm và thậm chí cho phép thực thi lệnh ở cấp độ OS (OS Command Execution).

Vượt qua xác thực (Authentication)

Đăng nhập mà không cần thông tin hợp lệ — giành quyền admin

Đánh cắp dữ liệu

Sử dụng UNION/blind injection để trích xuất bất kỳ bảng nào có thể truy cập

Chỉnh sửa dữ liệu

Thay đổi giá cả, số dư, đặc quyền thông qua INSERT/UPDATE

Phá hủy dữ liệu

Xóa bảng (DROP) hoặc làm trống (TRUNCATE) dữ liệu quan trọng — gây gián đoạn nghiêm trọng

Thực thi lệnh hệ điều hành (OS Command Exec)

xp_cmdshell leo thang từ việc chiếm DB → toàn quyền kiểm soát máy chủ

Khuếch đại đặc quyền

❌ Đặc quyền quá mức

  • Tài khoản cơ sở dữ liệu Admin/DBA
  • Truy cập vào tất cả các bảng
  • Quyền ghi + thực thi
  • Đã bật truy cập thủ tục OS

✅ Đặc quyền tối thiểu (Least Privilege)

  • Tài khoản chuyên dụng chỉ dành cho ứng dụng
  • Giới hạn trong các bảng cần thiết
  • Chỉ đọc nếu có thể
  • Đã vô hiệu hóa các tính năng nguy hiểm

Ngăn chặn tiêm nhiễm SQL (SQL Injection)

Tiêm nhiễm SQL hoàn toàn có thể được ngăn chặn thông qua các phương pháp lập trình đúng đắn và các biện pháp kiểm soát theo mô hình phòng thủ theo chiều sâu (Defense in Depth). Hãy triển khai nhiều lớp bảo mật bổ trợ thay vì chỉ dựa vào một kỹ thuật duy nhất.

Phòng thủ chủ chốt: Parameterized Queries

Cách thức hoạt động

Tách biệt cấu trúc SQL khỏi dữ liệu người dùng bằng cách sử dụng các placeholder — đầu vào không bao giờ được hiểu là code

Tại sao đây là cách tốt nhất

Hoạt động trên tất cả các nền tảng và ngôn ngữ — loại bỏ nguy cơ tiêm nhiễm SQL ngay tại nguồn

PreparedStatement stmt = conn.prepareStatement(
  "SELECT * FROM users WHERE username = ?");
stmt.setString(1, userInput);
ResultSet rs = stmt.executeQuery();

Các biện pháp kiểm soát hỗ trợ

Stored Procedures

Chỉ an toàn khi sử dụng parameters — không dùng nối chuỗi dynamic SQL

Input Validation

Kiểm tra định dạng, kiểu dữ liệu, độ dài — là biện pháp hỗ trợ phòng thủ theo chiều sâu, không phải phương pháp bảo vệ duy nhất

Least Privilege

Hạn chế tài khoản DB ở mức quyền tối thiểu — không cấp quyền admin

Error Handling

Hiển thị thông báo lỗi chung cho người dùng — ghi nhật ký chi tiết an toàn phía máy chủ

Tấn công từ chối dịch vụ (DoS - Denial of Service)

Các cuộc tấn công (Attack) DoS làm gián đoạn tính sẵn sàng (availability) bằng cách làm cạn kiệt tài nguyên hữu hạn hoặc làm sập các dịch vụ — thay vì đánh cắp dữ liệu.

Các mục tiêu cạn kiệt tài nguyên

Bandwidth

CPU Cycles

Memory

Connections

App Threads

Disk I/O

Phân loại tấn công

⚡ Dựa trên Logic

  • Khai thác các lỗ hổng (Vulnerability) hoặc điểm yếu giao thức
  • Đầu vào nhỏ → gây thiệt hại lớn
  • Ví dụ: malformed packets, độ phức tạp thuật toán, các câu truy vấn DB tốn kém

🌊 Dựa trên lưu lượng (Flooding)

  • Làm quá tải bằng khối lượng lưu lượng truy cập khổng lồ
  • Yêu cầu tài nguyên của kẻ tấn công hoặc khuếch đại (amplification)
  • Ví dụ: SYN Flood, ICMP flood, HTTP flood, khuếch đại UDP

SYN Flood: Khai thác trạng thái TCP Handshake

SYN Flood khai thác TCP Handshake có trạng thái (stateful) bằng cách lấp đầy connection backlog của máy chủ với các half-open connections, chặn người dùng hợp lệ.

TCP Handshake thông thường

01

Client → SYN

Khởi tạo yêu cầu kết nối

02

Server → SYN-ACK

Cấp phát trạng thái, chờ xác nhận

03

Client → ACK

Kết nối established

SYN Flood Attack

Flood với SYN

Gói tin SYN lưu lượng cao, thường là giả mạo địa chỉ IP (IP Spoofing)

Không bao giờ gửi ACK

Các kết nối giữ trạng thái half-open

Backlog bị cạn kiệt

Người dùng hợp lệ bị refused

Các biện pháp phòng vệ (Defense measures)

SYN Cookies

Mã hóa (Encryption) trạng thái trong sequence number — không lưu trữ cho đến khi nhận được ACK

Điều chỉnh tham số

Tăng backlog, rút ngắn timeouts

Filtering & Proxies

Rate-limit SYN, proxy handshake, chặn IP giả mạo

Smurf Attack: Khuếch đại ICMP echo

Kẻ tấn công khai thác IP broadcast addressing và cơ chế phản hồi ICMP echo để biến toàn bộ mạng lưới thành các bộ khuếch đại không tự nguyện — làm tràn ngập nạn nhân bằng lưu lượng truy cập lớn hơn nhiều so với băng thông của kẻ tấn công.

Cơ chế tấn công

  1. Gửi ICMP echo request đến địa chỉ broadcast
  1. Giả mạo địa chỉ IP (IP Spoofing) → thành địa chỉ của nạn nhân
  1. Tất cả các máy chủ nhận và phản hồi tới nạn nhân
  1. Khuếch đại = số lượng máy chủ phản hồi

100 máy chủ

= hệ số khuếch đại 100:1

Nhiều mạng lưới

= mức khuếch đại lớn hơn nữa

Chiến lược phòng thủ

🚫 Vô hiệu hóa Directed Broadcasts

Loại bỏ các gói tin gửi đến địa chỉ broadcast từ mạng bên ngoài.
no ip directed-broadcast

🔍 Lọc các gói tin giả mạo

Ingress/egress filtering giúp loại bỏ các gói tin có source IP không hợp lệ. Xem RFC 2827 / BCP 38.

⏱ Giới hạn tốc độ ICMP

Giới hạn lưu lượng ICMP echo một cách quyết liệt tại các biên mạng.

Botnet: Bộ máy đằng sau các cuộc tấn công DDoS

Mạng lưới các thiết bị bị xâm nhập (bot/Zombie) được điều khiển bởi một Botmaster — với quy mô từ hàng trăm đến hàng triệu máy chủ bao gồm PC, máy chủ, thiết bị IoT và thiết bị di động.

Các mô hình kiến trúc

Ứng dụng của Botnet (Network of Bots)

Tấn công DDoS (Distributed Denial of Service)

Tạo lưu lượng truy cập khổng lồ; dịch vụ DDoS cho thuê

Spam

Gửi email hàng loạt từ các nguồn phân tán

Phát tán phần mềm độc hại (Malware)

Lưu trữ và lan truyền các chuỗi lây nhiễm

Credential Stuffing

Vượt qua giới hạn tốc độ (rate limiting) trên quy mô lớn

Cryptojacking

Chiếm dụng CPU để đào tiền ảo (mining)

Click Fraud

Giả mạo các lượt nhấp quảng cáo và lưu lượng truy cập

Giảm thiểu DoS (Denial of Service)/DDoS (Distributed Denial of Service): Các biện pháp kiểm soát thực tế

Defense in Depth (Phòng thủ theo chiều sâu) trên các tầng mạng, ứng dụng, và tổ chức — không một biện pháp kiểm soát đơn lẻ nào là đủ.

🛡️ Kiểm soát phòng ngừa

Lọc tại biên mạng

  • Bộ lọc Ingress/egress chặn các gói tin giả mạo địa chỉ IP (IP Spoofing)
  • Giới hạn tốc độ (Rate limit) ICMP, các vector khuếch đại UDP (UDP amplification)
  • Chặn các nguồn tấn công (Attack source) đã biết

Hardening ứng dụng

  • Giới hạn kết nối & thời gian chờ (timeouts) của các hàng đợi kết nối (connection backlog)
  • Bộ nhớ đệm (Caching) cho nội dung tĩnh
  • Ngăn chặn các cuộc tấn công (Attack) theo độ phức tạp thuật toán (algorithmic complexity)

Khả năng phục hồi kiến trúc

  • Dự phòng (Redundancy) & phân tán địa lý
  • Đủ dung lượng dự phòng (capacity headroom)
  • Giảm tải duyên dáng (Graceful degradation) khi chịu tải cao

🔍 Phát hiện & Phản ứng

Phát hiện bất thường

  • Thiết lập đường cơ sở lưu lượng (traffic baselines)
  • Giám sát đột biến, tỷ lệ giao thức, thay đổi địa lý
  • Hệ thống phát hiện xâm nhập/hệ thống ngăn chặn xâm nhập (IDS/IPS) cho các chữ ký cuộc tấn công (Attack signature)

Lọc lưu lượng (Traffic Scrubbing)

  • Định tuyến qua các trung tâm lọc lưu lượng (scrubbing centers) khi đang bị cuộc tấn công
  • Lọc lưu lượng độc hại + Chỉ chuyển tiếp các yêu cầu hợp lệ

CDN (Content Delivery Network) & Anycast

  • Phân tán tải trên hạ tầng toàn cầu
  • Hấp thụ các cuộc cuộc tấn công (Attack) với tổng dung lượng lớn

Phối hợp với ISP (Internet Service Provider)

  • Lọc gần hơn với nguồn tấn công (attack source)
  • Ngăn chặn cạn kiệt băng thông

IP Spoofing: Giả mạo danh tính nguồn

Các gói tin với source IP giả mạo — vượt qua xác thực (Authentication), kích hoạt các cuộc tấn công khuếch đại và che giấu danh tính kẻ tấn công. Hoạt động nhờ vào việc IP không có xác thực nguồn.

Cơ chế hoạt động

Forge source IP

Kẻ tấn công thiết lập địa chỉ nguồn tùy ý trong tiêu đề gói tin

Router chuyển tiếp

Các Router định tuyến dựa trên đích đến — không xác thực nguồn

Nạn nhân phản hồi

Các phản hồi gửi đến IP nạn nhân bị giả mạo, không phải kẻ tấn công

Các mục đích tấn công phổ biến

🔊 Amplification

Các cuộc tấn công (Attack) DNS, NTP, Smurf Attack

🌊 SYN Flood

Che giấu vị trí kẻ tấn công

🔓 Bypass ACLs

Vượt qua các kiểm soát dựa trên IP

Các biện pháp phòng thủ Anti-Spoofing

BCP 38 Ingress Filtering

Loại bỏ các gói tin có source IP không thể bắt nguồn từ mạng đó (ví dụ: chặn các IP nội bộ đến từ Internet)

Egress Filtering

Đảm bảo chỉ các IP hợp lệ của tổ chức rời khỏi mạng — ngăn chặn máy chủ bị chiếm quyền thực hiện spoofing

uRPF (Unicast Reverse Path Forwarding)

Router xác minh gói tin đến có đường về hợp lệ từ nguồn đã khai báo

Cryptographic Authentication

Đừng bao giờ tin tưởng mỗi source IP — sử dụng TLS, chứng chỉ hoặc token đã ký để xác thực danh tính bằng mã hóa (Encryption)

IP Spoofing: Giả mạo danh tính nguồn

Các gói tin với source IP giả mạo — vượt qua xác thực (Authentication), kích hoạt các cuộc tấn công khuếch đại và che giấu danh tính kẻ tấn công. Hoạt động nhờ vào việc IP không có xác thực nguồn.

Cơ chế hoạt động

Forge source IP

Kẻ tấn công thiết lập địa chỉ nguồn tùy ý trong tiêu đề gói tin

Router chuyển tiếp

Các Router định tuyến dựa trên đích đến — không xác thực nguồn

Nạn nhân phản hồi

Các phản hồi gửi đến IP nạn nhân bị giả mạo, không phải kẻ tấn công

Các mục đích tấn công phổ biến

🔊 Amplification

Các cuộc tấn công (Attack) DNS, NTP, Smurf Attack

🌊 SYN Flood

Che giấu vị trí kẻ tấn công

🔓 Bypass ACLs

Vượt qua các kiểm soát dựa trên IP

Các biện pháp phòng thủ Anti-Spoofing

BCP 38 Ingress Filtering

Loại bỏ các gói tin có source IP không thể bắt nguồn từ mạng đó (ví dụ: chặn các IP nội bộ đến từ Internet)

Egress Filtering

Đảm bảo chỉ các IP hợp lệ của tổ chức rời khỏi mạng — ngăn chặn máy chủ bị chiếm quyền thực hiện spoofing

uRPF (Unicast Reverse Path Forwarding)

Router xác minh gói tin đến có đường về hợp lệ từ nguồn đã khai báo

Cryptographic Authentication

Đừng bao giờ tin tưởng mỗi source IP — sử dụng TLS, chứng chỉ hoặc token đã ký để xác thực danh tính bằng mã hóa (Encryption)

Eavesdropping: Nghe lén (Eavesdropping) truyền thông

Chủ động thu thập lưu lượng mạng trái phép. Encrypted traffic sẽ trở thành dữ liệu nhiễu không thể đọc được; plaintext protocols sẽ làm lộ toàn bộ thông tin.

🔌 Mạng có dây (Wired Networks)

Taps vật lý trên cáp mạng

ARP spoofing trên các mạng chuyển mạch (Switched networks)

Lạm dụng SPAN/mirror ports

Chiếm quyền routers & firewalls (Tường lửa)

📡 Mạng không dây (Wireless Networks)

Open Wi-Fi — thu thập thông tin đơn giản, không cần quyền truy cập

Weak WPA2/WPA3 — bẻ khóa mật khẩu offline

Public Wi-Fi — luôn coi là môi trường không an toàn

Insider threat (Mối đe dọa từ nội bộ) — người dùng hợp lệ thu thập lưu lượng của người khác

Encryption (Mã hóa)

  • TLS/HTTPS cho web
  • SSH cho truy cập từ xa
  • VPN (Mạng riêng ảo) cho truyền thông mạng

Bảo mật không dây

  • Ưu tiên WPA3
  • 802.1X cho doanh nghiệp
  • Vô hiệu hóa WPS

Phân đoạn mạng

  • Cô lập các sensitive systems
  • Hạn chế visibility của lưu lượng
  • Các access points được kiểm soát

Một mô hình tấn công nghe lén (Eavesdropping)

Tấn công người đứng giữa (MITM - Man-in-the-Middle): Chặn và chuyển tiếp thông điệp

Kẻ tấn công đứng giữa hai bên — chặn, đọc và sửa đổi thông điệp trong khi nạn nhân vẫn tin rằng họ đang giao tiếp trực tiếp với nhau.

Mô hình chung của tấn công kiểu Man-in-the-Middle

Các kịch bản tấn công

🛜 Rogue Wi-Fi AP

Mạng giả mạo (ví dụ: "StarbucksWiFi") định tuyến tất cả lưu lượng truy cập qua kẻ tấn công

📡 ARP Spoofing

Đầu độc local subnet để chặn lưu lượng truy cập giữa các host và gateway

🌐 DNS Manipulation

Chuyển hướng các tên miền hợp pháp sang các máy chủ do kẻ tấn công kiểm soát

🔓 TLS/SSL Downgrade

Ép buộc sử dụng mã hóa (Encryption) yếu hoặc không dùng mã hóa trong quá trình thiết lập kết nối

Ngăn chặn MITM (Man-in-the-Middle): Xác thực danh tính (Authentication) + Bảo vệ tính toàn vẹn (Integrity)

Cryptographic Controls

TLS 1.2 / 1.3

Authentication chứng chỉ dựa trên các trusted CAs · Kiểm tra sự khớp tên miền

Certificate Pinning

Từ chối các kết nối không khớp với expected cert/public key · Chặn việc cấp phát chứng chỉ gian lận

HSTS

Bắt buộc kết nối HTTPS-only · Ngăn chặn các downgrade attacks · Danh sách preload cho lần truy cập đầu tiên

Public Key Infrastructure (PKI)

Trust Chain

Root CAs → Intermediate CAs → End-entity certs

Certificate Management

Cập nhật CA stores · Thu hồi các chứng chỉ bị xâm phạm · Giám sát transparency logs

Mutual TLS (mTLS)

Cả client & server đều cung cấp certificates

  • Ngăn chặn mạo danh server
  • Chặn các client không được ủy quyền (Authorization)
  • Yêu cầu bắt buộc cho APIs & enterprise

Digital Signatures

Ký các thông điệp quan trọng để đảm bảo integrity & authenticity

  • Ngăn chặn việc sửa đổi
  • Non-repudiation
  • Sử dụng trong S/MIME, PGP, code signing

VPN (mạng riêng ảo) Protection

Encryption (mã hóa) all traffic giữa các endpoint

  • Bảo vệ chống lại local network MITM
  • Yêu cầu trên các mạng Wi-Fi công cộng
  • Bắt buộc cho truy cập từ xa

Kỹ thuật xã hội (Social Engineering): Tấn công tầng nhân sự

Kẻ tấn công khai thác tâm lý con người — chứ không phải phần mềm. Sự tin tưởng, quyền lực, tính cấp bách và nỗi sợ hãi có thể vượt qua cả những biện pháp phòng thủ kỹ thuật mạnh mẽ nhất.

Các yếu tố tâm lý kích hoạt

Authority

Mạo danh cấp lãnh đạo, bộ phận IT hoặc cơ quan thực thi pháp luật

Urgency

"Tài khoản bị khóa trong 30 phút — hãy hành động ngay!"

Fear

Đe dọa đình chỉ công tác, hành động pháp lý hoặc mất việc làm

Curiosity

"Xem ai đã xem hồ sơ của bạn!" — các mồi nhử giật gân

Reward

Giải thưởng, tiền bạc hoặc quyền truy cập độc quyền — những lời hứa quá tốt để là sự thật

Trust

Xây dựng lòng tin, giả tạo sự thân quen, mạo danh đồng nghiệp

Các phương thức tấn công phổ biến

🎣 Phishing

Email giả mạo các tổ chức thực tế — đánh cắp thông tin xác thực (Authentication), dẫn liên kết đến các trang đăng nhập giả. Spear phishing tập trung tấn công các cá nhân cụ thể.

📞 Vishing

Cuộc gọi điện thoại giả danh IT support, ngân hàng hoặc cấp lãnh đạo — yêu cầu cung cấp mật khẩu, mã xác thực hoặc cài đặt phần mềm độc hại (Malware).

🎭 Pretexting

Dàn dựng các kịch bản giả để trích xuất thông tin — ví dụ: giả danh nhân viên gọi cho bộ phận nhân sự để yêu cầu đặt lại thông tin xác thực.

💾 Baiting

Các lời mời gọi hấp dẫn (phần mềm miễn phí, USB) dùng để phát tán Malware khi được truy cập.

Kỹ thuật phi kỹ thuật (Social Engineering)

Security Training

Chương trình nâng cao nhận thức định kỳ + các chiến dịch simulated Phishing

Verification Protocols

Luôn xác minh các thay đổi liên quan đến thanh toán/truy cập thông qua các kênh liên lạc tin cậy

Technical Controls

Email filtering, kiểm tra định danh người gọi, MFA

Reporting Culture

Văn hóa báo cáo sự cố không đổ lỗi — phát hiện các cuộc tấn công (Attack) sớm

Lừa đảo Nigeria 419: Mô hình kỹ thuật xã hội (Social Engineering) kinh điển

Được đặt tên theo điều khoản trong bộ luật hình sự của Nigeria — khai thác lòng tham, tâm lý optimism bias, và mong muốn giúp đỡ. Mô hình này được áp dụng cho nhiều cuộc tấn công (Attack) hiện đại ngày nay.

Mô hình kinh điển

01

Liên lạc ban đầu

Tin nhắn không mong muốn từ một "hoàng tử", quan chức, hoặc doanh nhân

02

Lời đề nghị

Nhờ chuyển một khoản tiền lớn → nhận lại phần trăm lớn

03

Phí trả trước

Yêu cầu thanh toán một khoản nhỏ để "mở khóa" phần thưởng lớn hơn

04

Leo thang

Chi phí chìm (sunk cost) khiến nạn nhân tiếp tục trả tiền để bù đắp những khoản lỗ đã mất

Các biến thể hiện đại

Xổ số / Trúng thưởng

Yêu cầu nộp phí để nhận "giải thưởng"

Lừa đảo tình cảm

Xây dựng mối quan hệ, sau đó yêu cầu gửi tiền

Việc làm tại nhà

Lời hứa hẹn về thu nhập dễ dàng

Đầu tư giả mạo

Cam kết lợi nhuận cao "đảm bảo"

Thừa kế

Người thân không quen biết để lại tiền cho bạn

Lừa đảo Nigeria 419: Mô hình kỹ thuật xã hội (Social Engineering) kinh điển

Tại sao mô hình này hiệu quả?

Optimism bias

Mọi người thường đánh giá quá cao vận may và đánh giá thấp rủi ro lừa đảo

Tính cấp bách

Các lời đề nghị giới hạn thời gian ngăn cản nạn nhân đánh giá kỹ lưỡng

Sunk cost

Các khoản thanh toán trước đó tạo ra sự đầu tư về mặt tâm lý

Sự xấu hổ

Nạn nhân không báo cáo — để kẻ lừa đảo tiếp tục thực hiện hành vi

🛡️ Defense Strategy

Luôn hoài nghi các lời đề nghị không mong muốn · Xác minh độc lập · Không có thỏa thuận hợp pháp nào yêu cầu phí trả trước · "Quá tốt để trở thành sự thật" thường là lừa đảo · Khuyến khích báo cáo mà không bị phán xét

Pharming: Chuyển hướng người dùng đến các trang web giả mạo

Không giống như Phishing, Pharming sử dụng kỹ thuật thao túng phân giải tên miền (Domain Name Resolution) để âm thầm chuyển hướng người dùng đến các trang web do kẻ tấn công (Attacker) kiểm soát — không cần sự đánh lừa nào.

Tấn công dựa trên điểm cuối (Endpoint)

🗂️ Sửa đổi tệp Hosts

Phần mềm độc hại (Malware) ánh xạ các tên miền hợp pháp → IP độc hại, bỏ qua DNS hoàn toàn

⚙️ Thao túng thiết lập DNS

Thay đổi DNS hệ thống thành các máy chủ do kẻ tấn công kiểm soát trả về các IP giả

🌐 Sửa đổi trình duyệt

Các extension độc hại chuyển hướng URL hoặc proxy lưu lượng truy cập qua hệ thống của kẻ tấn công

Tấn công hạ tầng DNS

💉 Cache Poisoning

Tiêm các bản ghi DNS giả vào máy chủ lưu trữ đệm (caching servers) — tồn tại cho đến khi cache hết hạn

🏴 Chiếm quyền điều khiển máy chủ

Kiểm soát trực tiếp DNS có thẩm quyền/đệ quy — ảnh hưởng đến toàn bộ tổ chức hoặc ISP

Chiến lược phòng thủ

Bảo mật điểm cuối

Antivirus, chống Malware, hạn chế quyền quản trị, giám sát tệp hệ thống

Xác thực chứng chỉ TLS

HTTPS sẽ thất bại nếu DNS bị nhiễm độc — kẻ tấn công không thể có được chứng chỉ hợp lệ. Hãy chú ý các cảnh báo của trình duyệt.

DNSSEC & Bộ phân giải tin cậy

Xác thực mật mã các phản hồi DNS + giám sát bất thường truy vấn DNS

APT (Mối đe dọa dai dẳng nâng cao - Advanced Persistent Threat)

Các chiến dịch đa giai đoạn đầy tinh vi được thực hiện bởi các tác nhân cấp quốc gia hoặc các nhóm tội phạm mạng (Cybercrime) có tổ chức nhắm vào những tổ chức có giá trị cao cụ thể trong thời gian dài.

Advanced

  • Phần mềm độc hại (Malware) tùy chỉnh & các Zero-day Exploit
  • Kỹ thuật Living-off-the-land
  • Kỹ nghệ xã hội (Social Engineering) được thiết kế riêng
  • Chiến thuật lẩn tránh thích ứng

Persistent

  • Dwell time: từ vài tháng đến vài năm
  • Nhiều Backdoor dự phòng
  • Ưu tiên sự ẩn mình hơn tốc độ
  • Khả năng tái nhiễm

Targeted

  • Đánh cắp IP & gián điệp
  • Thu thập tin tình báo cạnh tranh
  • Nhắm vào cơ sở hạ tầng trọng yếu
  • Có tính chiến lược, không phải cơ hội

Yêu cầu phòng thủ

🔍 Detect

  • Phân tích SIEM & UEBA
  • Threat hunting
  • EDR trên các điểm cuối

🛡️ Contain

  • Network segmentation
  • Quyền truy cập tối thiểu (Least privilege)
  • Kiến trúc Zero trust

🔁 Respond

  • Khả năng IR mạnh mẽ
  • Các nguồn cấp dữ liệu tình báo mối đe dọa (Threat intelligence)
  • Tư duy Assume compromise

Malware: Tổng quan về phần mềm độc hại (Malware)

Bất kỳ chương trình nào được thiết kế để gây hại cho hệ thống, đánh cắp dữ liệu hoặc truy cập trái phép. Các loại Malware hiện đại kết hợp nhiều hành vi, tạo ra các mối đe dọa (Threat) hỗn hợp.

Mục tiêu của Malware

Data Theft

Credentials, IP, personal data

Disruption

Corrupt files, disable systems

Surveillance

Keylogging, audio/video capture

Monetization

Ransomware, crypto mining

Remote Control

Backdoors, botnets

Khung phân loại

Các dạng phần mềm độc hại (Malware) phổ biến

Virus: Lây nhiễm sang các chương trình khác

Phần mềm độc hại (Malware) tự nhân bản bằng cách đính kèm vào các chương trình hoặc tệp tin hợp lệ — đòi hỏi sự thực thi của máy chủ để phát tán.

Vòng đời lây nhiễm

Thực thi (Execute)

Người dùng chạy chương trình bị nhiễm hoặc mở tài liệu bị nhiễm

Kích hoạt (Activate)

Virus chạy, thực thi Payload độc hại

Lan truyền (Propagate)

Tìm kiếm các mục tiêu chưa bị nhiễm — tệp tin, chương trình, sector khởi động

Nhân bản (Replicate)

Tự sao chép vào các mục tiêu, tạo ra các ca nhiễm mới

Che giấu (Conceal)

Trả quyền điều khiển về chương trình chủ để tránh bị phát hiện

Các loại Virus

🥾 Boot Sector

Lây nhiễm vào master boot record — thực thi trước khi OS tải. Hầu như lỗi thời với UEFI Secure Boot.

📄 File Virus

Đính kèm vào các tệp tin .exe, .com, .dll. Phát tán qua tải xuống, USB drives, tệp tin chia sẻ.

📝 Macro Virus

Nhúng trong Office/PDF macros. Kích hoạt khi mở tài liệu. Đã suy giảm do macros bị vô hiệu hóa mặc định.

📧 Email Virus

Phát tán qua đính kèm bị nhiễm. Sử dụng kỹ nghệ xã hội (Social Engineering) + sổ địa chỉ để lan truyền.

Virus: Lây nhiễm sang các chương trình khác

Chiến lược phòng thủ

Antivirus

Phát hiện bằng Signature + heuristic, quét thời gian thực

Hạn chế Macro

Vô hiệu hóa mặc định, chỉ kích hoạt cho các nguồn tin cậy

Quản lý Patch

Cập nhật OS & ứng dụng — đóng các lỗ hổng (Vulnerability) đã biết

Xử lý an toàn

Quét trước khi mở, tránh các executables không tin cậy

Chèn và thực thi mã Virus (Virus execution)

Worm: Tự lan truyền qua mạng

Phần mềm độc hại (Malware) tự vận hành, lây lan tự động qua các mạng — không cần tệp chủ hay sự tương tác của người dùng. Có thể lây nhiễm hàng ngàn hệ thống chỉ trong vài giờ.

Cơ chế lây lan

🔓 Khai thác lỗ hổng (Vulnerability)

Quét các hệ thống chưa được Patch — tràn bộ đệm (Buffer Overflow), cấu hình không bảo mật, các dịch vụ bị lộ

🔑 Lan truyền qua thông tin đăng nhập

Sử dụng thông tin đăng nhập bị đánh cắp, mật khẩu mặc định hoặc danh sách tấn công vét cạn (Brute Force) để xác thực (Authentication) theo chiều ngang

📧 Email & Tin nhắn

Tự động gửi đến danh sách liên hệ; việc phân tán được tự động hóa ngay cả khi cần người dùng thao tác mở tệp

📂 Chia sẻ tệp

Sao chép vào các thư mục dùng chung, thiết bị lưu trữ ngoài và các mạng P2P

Patch nhanh chóng

Đóng các lỗ hổng khai thác ngay lập tức

Phân đoạn mạng

Hạn chế các con đường di chuyển ngang

IDS/IPS

Chặn các nỗ lực khai thác Exploit

Egress Filtering

Ngăn chặn hoạt động quét outbound

Least Privilege

Giảm thiểu sự lây lan sau khi bị xâm nhập

Trojan, Backdoor, Rootkit: Sự khác biệt chính

Ba loại phần mềm độc hại (Malware) tập trung vào truy cập ẩn và né tránh — thay vì lan truyền.

Các gia đình phần mềm độc hại (Malware) hiện đại theo động cơ

Malware đương đại ngày càng tập trung vào động cơ tài chính — mỗi gia đình được tối ưu hóa cho một chiến lược kiếm tiền cụ thể.

Bots

Gia nhập các mạng máy tính ma (Botnet) để thực hiện tấn công từ chối dịch vụ phân tán (DDoS), spam, credential stuffing, gian lận click, đào tiền ảo

Phần mềm gián điệp (Spyware)

Đánh cắp thông tin đăng nhập, chi tiết ngân hàng, keystrokes — rao bán trên các thị trường đen

Adware

Chiếm quyền điều khiển kết quả tìm kiếm, theo dõi trình duyệt, cài đặt mà không có sự đồng ý

Mã độc tống tiền (Ransomware): Tống tiền kép

01

Truy cập ban đầu

Phishing, các lỗ hổng (Exploit), hoặc đánh cắp thông tin đăng nhập

02

Di chuyển ngang (Lateral Movement)

Trinh sát để tối đa hóa tác động

03

Đánh cắp dữ liệu (Data Exfiltration)

Sao chép dữ liệu để tạo đòn bẩy tống tiền

04

Vô hiệu hóa phòng thủ

Vô hiệu hóa các bản backup & công cụ bảo mật

05

Mã hóa & Tống tiền

Triển khai Ransomware, yêu cầu thanh toán, đe dọa rò rỉ dữ liệu

Phòng chống Malware (phần mềm độc hại): Defense in Depth

Không có biện pháp kiểm soát đơn lẻ nào cung cấp sự bảo vệ hoàn hảo. Các lớp phòng thủ chồng lớp đảm bảo tính kiên cường ngay cả khi các biện pháp kiểm soát riêng lẻ bị vượt qua.

Biện pháp kiểm soát ngăn chặn

Giảm thiểu bề mặt tấn công (Attack surface)

Vô hiệu hóa các dịch vụ không sử dụng · đóng các port · hạn chế quyền quản trị

Quản lý Patch

Cập nhật tự động · ưu tiên các CVE đang bị khai thác tích cực

Endpoint Protection (EDR)

Phân tích hành vi · phát hiện Zero-day · phản ứng tự động

Kiểm soát ứng dụng

Allowlisting chặn việc thực thi phần mềm trái phép

Phát hiện & Phản ứng

Giám sát SIEM

Tổng hợp & tương quan sự kiện · phát hiện các indicators of compromise

Phân đoạn mạng (Network Segmentation)

Cô lập các hệ thống quan trọng · làm chậm quá trình lateral movement (di chuyển ngang)

Lọc DNS

Chặn các malicious domain · phá vỡ các kết nối C2

Sao lưu & Phục hồi

Sao lưu ngoại tuyến, bất biến (immutable backups) · kiểm tra định kỳ · kế hoạch IR

Cybersecurity (an ninh mạng) là một quá trình liên tục, không phải là thiết lập một lần. Các mối đe dọa (Threat) không ngừng tiến hóa — các hệ thống phòng thủ cũng phải như vậy.

Câu hỏi ôn tập

  1. Điểm yếu (Weakness) của hệ thống là gì? Liệt kê các nguyên nhân dẫn đến sự tồn tại của các Weakness trong hệ thống.
  1. Lỗ hổng (Vulnerability) là gì? Vulnerability thường tồn tại phổ biến nhất ở thành phần nào của hệ thống?
  1. Nêu các loại Vulnerability phổ biến trong hệ điều hành và phần mềm ứng dụng.
  1. Mối đe dọa (Threat) là gì? Giải thích mối quan hệ giữa Vulnerability và Threat.
  1. Cuộc tấn công (Attack) là gì? Làm thế nào để giảm thiểu khả năng bị Attack?
  1. Mô tả bốn nhóm Attack chính và hai hình thức Attack: chủ động (active) và thụ động (passive).
  1. Nêu mục tiêu và các hình thức của tấn công vét cạn (Brute Force) và tấn công từ điển (Dictionary Attack).
  1. Tiêm nhiễm SQL (SQL Injection) là gì? Nêu các nguyên nhân dẫn đến lỗ hổng SQL Injection. Những hành động nào mà SQL Injection cho phép kẻ tấn công thực hiện trên hệ thống nạn nhân?
  1. Nêu các biện pháp đối phó để ngăn chặn các cuộc tấn công SQL Injection.
  1. Vẽ sơ đồ và mô tả cơ chế của SYN Flood cùng các biện pháp đối phó.

Câu hỏi ôn tập

  1. Vẽ sơ đồ và mô tả cơ chế của Smurf Attack cùng các biện pháp đối phó.
  1. Vẽ sơ đồ và mô tả các kịch bản của tấn công từ chối dịch vụ phân tán (DDoS) trực tiếp và tấn công DDoS gián tiếp (phản xạ - reflective).
  1. Mô tả cơ chế và các biện pháp đối phó với tấn công người đứng giữa (MITM - Man-in-the-Middle).
  1. Ai/cái gì là mục tiêu của các cuộc tấn công kỹ nghệ xã hội (Social Engineering)? Mô tả kịch bản của trò lừa đảo Nigeria 4-1-9.
  1. Pharming là gì? Mô tả các hình thức của tấn công Pharming.
  1. Mối đe dọa dai dẳng nâng cao (APT - Advanced Persistent Threat) là gì? Mô tả các đặc điểm chính của tấn công APT.
  1. Phần mềm độc hại (Malware) là gì? Phân loại các loại Malware.
  1. Virus là gì? Nêu các phương thức lây nhiễm và các loại Virus.
  1. Trojan là gì? Mô tả cách thức hoạt động của Trojan.
  1. Worm là gì? Nêu sự khác biệt cơ bản giữa Worm và Virus. Liệt kê các phương thức lan truyền của Worm.
  1. Zombie/mạng máy tính ma (Botnet) là gì? Mô tả cách thức hoạt động của Zombie/Bot.
  1. Nêu các nguyên tắc chung để phòng chống Malware. Tại sao chỉ nên cài đặt và chạy một chương trình quét Malware/diệt Virus thời gian thực tại một thời điểm?