Chương I trình bày khái quát về mối đe dọa mạng, tổng quan về Cyber Threat Intelligence cùng các nội dung liên quan như: khải niệm, chu trình hoạt động, các chuẩn, giao thức và ứng dụng. Ngoài ra, khái quát về giám sát an toàn mạng, mô hình tích hợp CTI với giảm sat an toàn mang.1 Tổng quan về mối đe dọa mạng 1.1 Khái quát về mối đe dọa mạng Mối đe dọa mạng (Cyber Threats) là bất kỳ hành động nào có khả năng gây hại cho hệ thống máy tính, mạng lưới hoặc dữ liệu thông qua mạng internet. Các méi đe doa này thường đến từ các nguồn ngoại vi và có thé bao gồm nhiều hình thức khác nhau, từ phần mềm độc hại (Malware) như virus, worm, va trojan, đến các cuộc tan công mang như tan công từ chối dich vụ (DDoS), phishing, va tan công lừa đảo. [2] Mối đe dọa mạng không chỉ gây nguy hiểm cho tính toàn vẹn và bảo mật của dữ liệu mà còn ảnh hưởng đến hoạt động và uy tín của tổ chức hoặc cá nhân.
Các mối đe dọa này thường do các tin tặc, tội phạm mạng, hoặc thậm chí là các quốc gia t6 chức nhằm đánh cắp dữ liệu, phá hủy hệ thống, hoặc gây rối loạn thông tin. Do tốc độ phát triển nhanh chóng của công nghệ và việc ngày càng nhiều hoạt động diễn ra trực tuyến, các mối đe dọa mạng ngày càng trở nên phức tạp và khó dự đoán hơn. Do đó, việc bảo vệ mạng và thông tin trở thành một phần quan trọng trong chiến lược bảo mật của mỗi tô chức.1 Moi đe dọa đã biết Mối đe dọa đã biết (Known Threats) là những loại mối đe đọa an ninh mạng mà đã được phát hiện, ghi nhận, phân tích và có thông tin chi tiết về chúng. Các mỗi đe dọa này bao gồm: ® Cac loại malware (virus, worm, trojan, .) đã được xác định và phân tích.
e Các kỹ thuật tấn công mà đã được công bố và nghiên cứu rộng rãi. e©_ Các lỗ hông bảo mật đã được phát hiện và có sẵn các bản vá hoặc giải pháp khắc phục. © Cac mẫu tan công và dấu hiệu xâm nhập đã biết.2 Mối de dọa chưa biết Mối đe dọa chưa biết (Unknown Threats) là các mối đe dọa mà chưa được ghi nhận, chưa có thông tin chỉ tiết về chúng. Các mối đe doa này bao gồm: se Phần mềm độc hại mới hoặc các biến thé của mã độc cũ mà chưa được phát hiện.
© Cac kỹ thuật tấn công mới hoặc sáng tạo không theo mô hình đã biết. se Cac lỗ hồng bảo mật chưa được phát hiện trong phần mềm hoặc hệ thống. © Các hành vi bất thường hoặc dấu hiệu xâm nhập mà không khớp với mô hình đã biết.2 Phát hiện, ngăn chặn các mối đe dọa Phát hiện và ngăn chặn các mối đe dọa mạng, cả đã biết và chưa biết, đòi hỏi sự kết hợp của các công nghệ, chiến lược và quy trình bảo mật tiên tiến. Dưới đây là cách thức tiếp cận cho cả hai loại mối de doa: 1.1 Phát hiện, ngăn chặn moi de dọa đã biết Các phương pháp phòng phát hiện và ngăn chặn mối de dọa đã biết có thé kê đến như: Cập nhật phan mém bảo mật: Sử dụng phần mềm antivirus và các giải pháp bao mật khác được cập nhật thường xuyên để phát hiện mỗi de doa dựa trên chữ ký đã biết.
Cập nhật các bản vá bảo mật dé đối phó với lỗ hồng đã được ghi nhận. Tường lửa và IDS/IPS: Trién khai tường lửa và hệ thống phát hiện/xử lý xâm nhập (IDS/IPS) dé lọc và ngăn chặn lưu lượng mạng độc hại. Quản lý cấu hình và quyên truy cập: Ap dụng các chính sách quản lý cấu hình mạnh mẽ và kiểm soát quyền truy cập dé hạn chế khả năng xâm nhập từ các mối đe dọa đã biết.2 Phat hiện, ngăn chặn mối đe dọa chưa biết Các phương pháp phòng phát hiện và ngăn chặn mối đe dọa chưa biết có thê kê đến như: Học máy và AI: Sử dụng học máy và trí tuệ nhân tạo để phân tích hành vi mạng, nhận diện các hoạt động bat thường hoặc dau hiệu của mối đe dọa mới. XVI Phân tích hành vi: Áp dụng phân tích hành vi để theo dõi các hoạt động trong mạng và phát hiện các dấu hiệu của hành vi độc hại không theo mô hình đã biết.
Sandboxing và phân tích mối đe doa: Sử dụng công nghệ sandbox dé kiểm tra và phân tích các tập tin hoặc mã độc hại mới trong một môi trường an toàn. Cyber Threat Intelligence: Sử dụng thông tin Cyber Threat Intelligence dé nhận thông báo sớm về các mối đe doa mới và xu hướng tan công.2 Tổng quan về Cyber Threat Intelligence 1.1 Khái niệm Cyber Threat Intelligence Cyber Threat Intelligence — Dữ liệu tinh báo về mỗi de doa trên mạng, hay thông tin tình báo đe dọa mạng còn gọi là dữ liệu chứa thông tin tri thức, bằng chứng chi tiết về các mối de dọa an ninh mang đang nhằm tới một tổ chức. Threat Intelligence giúp đội ngũ an ninh mang trở nên chủ động hơn, cho phép họ thực hiện các hành động hiệu quả dựa trên đữ liệu dé ngan chan cac cudc tan công mạng trước khi chúng xảy ra. [3] CTI cung cấp những tri thức có giá tri với bối cảnh về kẻ tan công, bao gồm động cơ, khả năng, mục tiêu của ho cũng như các công cụ và phương pháp mà đối thủ sử dụng dé thực hiện các cuộc tan công mạng.
Từ đó giúp tô chức phát hiện và phản ứng tốt hơn trước các cuộc tấn công đang diễn ra. Dữ liệu tình báo đe dọa mạng thường bao gồm: Thông tin về chỉ số de doa (Indicators of Compromise - IOC): Địa chỉ IP độc hại, URL, tên miền, và các mẫu hash của phần mềm độc hại. Chữ ký của virus hoặc phần mềm độc hại dé nhận diện va ngăn chặn chặn chúng. Tactics, Techniques, and Procedures (TTPs): Chiên thuật, kỹ thuật, và quy trình mà các đối tượng đe dọa mạng sử dụng trong các chiến dịch tấn công của họ.
Thông tin về nhóm đe dọa (Threat Actors): Đặc điểm nhận dạng, động cơ, mục tiêu và lịch sử của các nhóm đe dọa như hacker, tô chức tội phạm mạng, hoặc nhóm gián điệp. Thông tin về lỗ hổng bảo mật (Vulnerabilities): Thông tin về các lỗ hông bảo mật đã được phát hiện trong phần mềm hoặc hệ thông, bao gồm cách thức khai thác và các biện pháp khắc phục, giảm nhẹ hoặc thông tin về bản vá. XVII Phan tích và bảo cáo: Báo cáo chi tiệt về các chiên dịch tan công, bao gôm động cơ, quy mô tân công va các hậu quả tiêm năng của chúng. Thông tin về khắc phục và phòng ngừa: Các phương pháp và công cụ dé phòng ngừa, phát hiện và phản ứng lại các mối đe đọa.
Phan tích hành vi và dự đoán: Dựa trên dữ liệu lịch sử và xu hướng hiện tại đê dự đoán các môi đe dọa sắp tới và phát triên các chiên lược bảo mật. CTI có thê được thu thập từ nhiều nguồn khác nhau, bao gồm thông tin từ con người, dữ liệu tình báo mã nguồn mở, thông tin tình báo trên mạng xã hội, các bài báo cáo kỹ thuật, các bản ghi log từ các thiết bi, di liệu phân tích lưu lượng truy cập Internet và dữ liệu giao tiếp được gửi, nhận trên trình duyệt web. Các nhà phân tích bảo mật tạo ra CTI bằng cách thu thập thông tin đe dọa gốc và liên quan đến an ninh từ nhiều nguồn khác nhau, sau đó liên kết và phân tích đữ liệu dé khám phá xu hướng, mô hình và mối quan hệ, mang lại hiểu biết sâu sắc về các mối de dọa thực tế hoặc tiềm ấn. Để thực hiện CTI một cách chuyên nghiệp, các chuyên gia cần sở hữu kỹ năng trích xuất, lọc, và tiêu chuẩn hóa dữ liệu để đạt được mục tiêu quan trọng: "Có được dit liệu tinh báo và trực quan hóa với tốc độ thời gian thực”.
Một mục tiêu khác của CTI là chia sẻ tri thức với các đối tác, chia sẻ thông tin về các mối đe doa và lỗ hồng mới nhất, đồng thời cung cấp phương án đối phó, khắc phục cho những lỗ hồng đó. Việc chia sẻ tri thức giữa các bên giúp tổ chức tránh những thiếu sót trong chiến lược phòng thủ, ngăn chặn khả năng bị tan công băng cách sử dụng các lỗ hồng đã biết từ trước.2 Chu trình hoạt động của Cyber Threat Intelligence Một chu Cyber Threat Intelligence bao gồm một loạt các bước dé thu thập, xử lý, và sử dụng thông tin để nâng cao khả năng phòng ngừa và phản ứng đối với mối đe dọa an ninh mạng. Chu trình CTI không chỉ là quá trình tuyến tính mà còn là một quá trình lặp đi lặp lại liên tục, với sự tương tác giữa 6 giai đoạn đề duy trì và cập nhật các tri thức an ninh mạng. [4] XVIHI Process Feedback Processing Feedback 03 bee al Dissemination Analysis Hình 1-1: Chu trình Cyber Threat Intelligence.2 Lập ké hoach va muc tiéu Giai doan lap ké hoach va muc tiéu (Planning and Direction) là giai đoạn đầu tiên va cũng là giai đoạn quan trọng nhất trong chu trình Cyber Threat Intelligence.
Giai đoạn này xác định mục đích, mục tiêu, những vấn đề cần giải quyết dé bảo vệ tô chức và những thông tin nào phải được thu thập dé tạo ra các sản phẩm tình báo về mối đe dọa, đáp ứng yêu cầu của tô chức. Sau đó, lên kế hoạch làm thé nào dé thu thập các dit liệu cần thiết với sự cho phép và quyền phù hợp từ cơ quan có thẩm quyền và người quản lý. Day là bước cơ sở do đầu ra của giai đoạn này sẽ quyết định cách sử dung dữ liệu của các giai đoạn sau. [4] Trong giai đoạn nay, nhóm bao mật sẽ làm việc với các bên liên quan trong tổ chức như lãnh đạo tô chức, Giám đốc An minh mạng (CISO), nhóm an toàn thông tin, nhóm hệ thống mang,.
dé làm rõ các yêu cầu đối với Threat Intelligence, đồng thời đưa ra các thông tin về: ® Các mỗi đe dọa tan công an ninh mạng từ bên ngoài và mục tiêu chúng nhằm vào trong tổ chức. ® Các loại tài sản, quy trình và nhân sự trong hệ thống có nguy cơ gặp rủi ro an ninh mạng. e Đề xuất các giải pháp, các hành động cụ thé dé tăng cường khả năng phòng chống va phản ứng với các cuộc tan công trong tương lai. XIX Kết qua của giai đoạn này phản ánh các mục tiêu cốt lõi của tô chức và giá trị mà các tri thức của Threat Intelligence mang lại như tăng hiệu quả hoạt động, giảm thiểu rủi ro, tăng cường kha năng phát hiện và phản ứng nhanh hơn với các nguy cơ mat an toàn thông tin.