Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ của cuộc Cách mạng Công nghiệp 4.0, các cuộc tấn công không gian mạng ngày càng gia tăng về quy mô và mức độ tinh vi. Theo báo cáo thường niên năm 2022 của Viettel Threat Intelligence (VCS), Việt Nam ghi nhận hơn 4.240 cuộc tấn công giả mạo thương hiệu (tăng 40% so với năm 2021), hơn 150 triệu tài khoản người dùng bị rao bán trên không gian mạng và ít nhất 29 vụ rò rỉ dữ liệu quy mô lớn gây ảnh hưởng nghiêm trọng đến các doanh nghiệp trọng yếu. Đồng thời, báo cáo nghiên cứu từ tổ chức quốc tế ISC² (2022) chỉ ra rằng ngành an toàn thông tin toàn cầu đang đối mặt với sự thiếu hụt nghiêm trọng khoảng 3,4 triệu nhân lực chất lượng cao.

+-----------------------------------------------------------------------------+
|                          THỰC TRẠNG AN NINH MẠNG                            |
|  - 4.240 cuộc tấn công giả mạo thương hiệu tại Việt Nam (Tăng 40% YoY)     |
|  - 150 triệu thông tin tài khoản người dùng bị rò rỉ và rao bán            |
|  - Thiếu hụt 3.4 triệu chuyên gia an toàn thông tin toàn cầu (Theo ISC²)   |
+-----------------------------------------------------------------------------+

Vấn đề cốt lõi (Problem Statement) nằm ở quy trình kiểm thử xâm nhập truyền thống (Penetration Testing):

  • Chi phí cao và tốn thời gian: Kiểm thử thủ công đòi hỏi chuyên gia cấp cao thực hiện từ khâu trinh sát (Reconnaissance) đến rà quét lỗ hổng và viết báo cáo, thường kéo dài nhiều tuần cho một hệ thống lớn.
  • Dễ bỏ sót bề mặt tấn công: Khi doanh nghiệp mở rộng quy mô với hàng trăm tên miền con (subdomains) và tài nguyên điện toán đám mây, việc bao phủ toàn bộ bề mặt tấn công ngoài (External Attack Surface) bằng phương pháp thủ công là bất khả thi.
  • Thiếu khả năng phản ứng tức thì: Các công cụ quét lỗ hổng thương mại hiện hành (DAST) chỉ dừng lại ở bước đưa ra cảnh báo hoặc xuất báo cáo tĩnh. Trong khoảng thời gian từ lúc phát hiện lỗ hổng đến khi lập trình viên cập nhật bản vá (Window of Exposure), hệ thống hoàn toàn không có cơ chế phòng vệ tự động.

Nhằm giải quyết triệt để các hạn chế trên, đề tài khóa luận tốt nghiệp kỹ sư ngành An toàn Thông tin (Khoa Mạng máy tính và Truyền thông, Trường Đại học Công nghệ Thông tin – ĐHQG TP.HCM) đã nghiên cứu và phát triển: "Bộ khung kiểm thử bảo mật tự động tích hợp cơ chế giăng bẫy và chia sẻ thông tin tình báo mối đe dọa" (Zeus2 Framework).

[Trinh sát diện rộng] ---> [Rà quét lỗ hổng] ---> [Điều hướng bẫy Nginx] ---> [Chia sẻ CTI/IoC]

Mục tiêu nghiên cứu cụ thể

  1. Xây dựng bộ khung kiểm thử bảo mật tự động dựa trên kiến trúc hàng đợi phân tán, cho phép xử lý song song đa nhiệm trên nhiều cụm máy chủ.
  2. Tự động hóa hoàn toàn quy trình trinh sát bề mặt tấn công ngoài (Asset Discovery & Subdomain Enumeration) và quét lỗ hổng bảo mật chuẩn OWASP Top 10.
  3. Hiện thực hóa cơ chế giăng bẫy linh hoạt (Dynamic Cyber Deception) bằng cách tích hợp máy chủ Reverse Proxy điều hướng lưu lượng độc hại từ lỗ hổng đã phát hiện sang hệ thống Honeypot.
  4. Thu thập, chuẩn hóa và tự động chia sẻ các chỉ số thỏa hiệp (Indicators of Compromise - IoC) cũng như chiến thuật tấn công (Tactics, Techniques, and Procedures - TTP) đến hệ thống quản lý tình báo mối đe dọa (Cyber Threat Intelligence - CTI).

Phạm vi và giới hạn đề tài

  • Phạm vi: Tập trung vào mô hình kiểm thử hộp đen (Black-box Testing) từ bên ngoài đối với các ứng dụng Web và dịch vụ mạng công khai của tổ chức; điều hướng lưu lượng tầng ứng dụng (HTTP/HTTPS) qua Reverse Proxy NGINX.
  • Giới hạn: Bộ khung không can thiệp vào mã nguồn nội bộ (White-box) hoặc phân tích nhị phân chuyên sâu; các hành vi giăng bẫy tập trung vào mô phỏng dịch vụ mạng và thu thập payload tấn công, chưa hỗ trợ giải mã lưu lượng được mã hóa tùy biến phức tạp.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí Kiểm thử thủ công Công cụ DAST thương mại (Acunetix, Burp Suite) Khung tự động bằng AI (Hu et al. 2021) Bộ khung Zeus2 đề xuất
Tốc độ xử lý Chậm (Vài ngày đến vài tuần) Trung bình (Tùy thuộc băng thông đơn máy) Nhanh (Dựa trên mô phỏng đồ thị) Rất nhanh (Xử lý phân tán song song)
Độ chính xác Cao (Do chuyên gia thẩm định) Trung bình - Cao Thấp - Trung bình (Dễ gặp Dương tính giả) Cao (Xác thực thực tế qua Proof-of-Concept)
Phản ứng sau phát hiện Thủ công (Tạo ticket, chờ vá lỗi) Không có (Chỉ xuất file PDF/HTML) Không có (Dừng ở việc chọn Attack Path) Tự động cấu hình Reverse Proxy giăng bẫy Honeypot
Tình báo mối đe dọa Thủ công Không tích hợp Không tích hợp Tự động trích xuất và chia sẻ IoC/TTP
Chi phí triển khai Rất cao Cao (Phí bản quyền định kỳ) Không thương mại hóa Thấp (Tận dụng mã nguồn mở tối ưu)

Phân loại yêu cầu hệ thống theo mô hình MoSCoW

  • Must Have: Thu thập tên miền con đa nguồn (Subfinder, Findomain, Assetfinder, Crt.sh); kiểm tra trạng thái HTTP/HTTPS (HTTPX); quét lỗ hổng tự động theo template (Nuclei, Nmap); cơ chế hàng đợi phân tán (Redis Queue); tự động tạo luật điều hướng NGINX.
  • Should Have: Phân tích dữ liệu bò quét web (Gospider, Dirsearch); đóng gói module hóa dạng Docker container; chuẩn hóa IoC theo định dạng MISP/STIX.
  • Could Have: Tích hợp giao diện quản trị trực quan, xuất báo cáo tùy biến cho nhà quản lý.
  • Won't Have (Giai đoạn này): Tự động khai thác chuyên sâu tạo reverse shell leo thang đặc quyền máy chủ nội bộ.

Thiết kế hệ thống

Kiến trúc tổng thể của bộ khung Zeus2 được chia thành 4 phân hệ chính: Phân hệ Điều khiển trung tâm & Hàng đợi phân tán, Phân hệ Trinh sát & Quét lỗ hổng (Workers), Phân hệ Phòng thủ chủ động (Reverse Proxy & Honeynet), và Phân hệ Tình báo mối đe dọa (CTI Hub).

Ngăn xếp công nghệ (Technology Stack)

  • Ngôn ngữ lập trình: Python 3.10+, Go (Golang) 1.20+ (Tối ưu hóa các module concurrency).
  • Hệ thống phân tán & Hàng đợi: Redis 7.0 (Message Broker, In-memory Key-Value), Celery/Custom Worker daemon.
  • Máy chủ Proxy & Web: NGINX 1.24+ (Reverse Proxy & Dynamic Upstream Routing).
  • Cơ sở dữ liệu: PostgreSQL 15 (Lưu trữ quan hệ: Targets, Vulnerabilities, Assets, Scan Sessions).
  • Bộ công cụ Trinh sát & Khám phá: Subfinder v2.6.0, Findomain v0.9.0, Assetfinder v0.1.1, Crt.sh API, HTTPX v1.3.4.
  • Bộ công cụ Rà quét lỗ hổng: Nuclei v2.9.4 (Cơ sở dữ liệu community templates liên tục cập nhật), Nmap 7.93, Dirsearch v0.4.3, Gospider v1.1.6.

Thiết kế cơ sở dữ liệu (Database Schema)

+--------------------------------------------------------------------+
|                         DATABASE SCHEMA                            |
+------------------------------------+-------------------------------+
|  TABLE: targets                    |  TABLE: vulnerabilities       |
|  - id: UUID (PK)                   |  - id: UUID (PK)              |
|  - domain: VARCHAR(255)            |  - target_id: UUID (FK)       |
|  - organization: VARCHAR(255)      |  - subdomain_id: UUID (FK)    |
|  - created_at: TIMESTAMP           |  - vuln_name: VARCHAR(255)    |
|                                    |  - cve_id: VARCHAR(50)        |
+------------------------------------+  - severity: ENUM             |
|  TABLE: subdomains                 |  - matched_uri: TEXT          |
|  - id: UUID (PK)                   |  - raw_payload: TEXT          |
|  - target_id: UUID (FK)            |  - status: ENUM               |
|  - subdomain: VARCHAR(255)         |  - detected_at: TIMESTAMP     |
|  - ip_address: INET                +-------------------------------+
|  - is_alive: BOOLEAN               |  TABLE: ioc_records           |
|  - http_status: INT                |  - id: UUID (PK)              |
|  - server_header: VARCHAR(255)     |  - ioc_type: VARCHAR(50)      |
|  - discovered_at: TIMESTAMP        |  - ioc_value: TEXT            |
+------------------------------------+  - ttp_code: VARCHAR(50)      |
                                     |  - shared_to_misp: BOOLEAN    |
                                     +-------------------------------+

Methodology

Dự án áp dụng phương pháp phát triển linh hoạt Agile/Scrum với chu kỳ Sprint 2 tuần, đảm bảo khả năng tích hợp và kiểm thử liên tục (CI/CD).

Sprint 1: Phân tán Redis & Trinh sát (Subfinder, Findomain, HTTPX)
Sprint 2: Quét lỗ hổng (Nuclei, Nmap, Gospider) & Phân tích
Sprint 3: NGINX Dynamic Proxy & Hệ thống Honeypot giăng bẫy
Sprint 4: Tự động hóa CTI (MISP/STIX), Benchmark & Tối ưu hóa
  • Ma trận đánh giá rủi ro (Risk Mitigation):
    • Rủi ro nghẽn mạng do quét diện rộng: Áp dụng Rate-limiting và Dynamic Semaphore tại từng Worker; cấu hình cờ -rate-limit trên HTTPX/Nuclei.
    • Rủi ro sập dịch vụ máy chủ thật (DoS): Loại bỏ các payload mang tính phá hủy (Destructive Exploits); chỉ sử dụng các template kiểm thử mức độ an toàn (Safe PoC/Info Leak detection).

Implementation và kết quả

Development process

1. Xây dựng cơ chế hàng đợi phân tán với Redis

Hệ thống sử dụng Python để hiện thực hóa việc phân rã mục tiêu quét thành các Job nhỏ, đẩy vào Redis Queue để các Worker trên nhiều node VPS/máy chủ khác nhau tự động nhận việc và thực thi song song.

# scheduler/dispatcher.py
import json
import uuid
import redis

class TaskDispatcher:
    def __init__(self, redis_host="10.0.0.1", redis_port=6379, queue_name="zeus2_jobs"):
        self.r = redis.Redis(host=redis_host, port=redis_port, db=0)
        self.queue_name = queue_name

    def dispatch_recon_job(self, target_domain: str):
        job_id = str(uuid.uuid4())
        job_payload = {
            "job_id": job_id,
            "type": "RECON_SUBDOMAIN",
            "domain": target_domain,
            "tools": ["subfinder", "findomain", "assetfinder", "crtsh"]
        }
        self.r.rpush(self.queue_name, json.dumps(job_payload))
        return job_id

    def dispatch_vuln_scan_job(self, subdomain: str, port_list: list):
        job_id = str(uuid.uuid4())
        job_payload = {
            "job_id": job_id,
            "type": "VULN_SCAN",
            "target": subdomain,
            "ports": port_list,
            "engine": "nuclei_templates"
        }
        self.r.rpush(self.queue_name, json.dumps(job_payload))
        return job_id

2. Xử lý tác vụ tại Worker và tự động phân tích lỗ hổng

Worker lắng nghe hàng đợi, kích hoạt các công cụ dòng lệnh được đóng gói sẵn, chuẩn hóa kết quả đầu ra JSON và ghi nhận các dấu hiệu bất thường.

# workers/scan_worker.py
import json
import subprocess
import redis

def process_vuln_job(job_data):
    target = job_data["target"]
    output_file = f"/tmp/nuclei_{job_data['job_id']}.json"
    
    # Thực thi Nuclei với chế độ xuất kết quả có cấu trúc JSON
    cmd = [
        "nuclei",
        "-target", target,
        "-severity", "critical,high,medium",
        "-json-export", output_file,
        "-silent"
    ]
    subprocess.run(cmd, check=True)
    
    findings = []
    with open(output_file, "r") as f:
        for line in f:
            if line.strip():
                finding = json.loads(line)
                findings.append({
                    "template_id": finding.get("template-id"),
                    "vuln_name": finding.get("info", {}).get("name"),
                    "matched_at": finding.get("matched-at"),
                    "severity": finding.get("info", {}).get("severity"),
                    "extracted_results": finding.get("extracted-results", [])
                })
    return findings

3. Tự động sinh cấu hình NGINX Reverse Proxy giăng bẫy

Khi một lỗ hổng nghiêm trọng được phát hiện tại một URI cụ thể (ví dụ /api/v1/debug dính SSRF hoặc /admin/upload.php dính Unauthenticated File Upload), hệ thống điều khiển tự động tạo quy tắc NGINX để chuyển hướng các request chứa payload tấn công hoặc truy cập vào URI này về node Honeypot.

# /etc/nginx/conf.d/zeus2_dynamic_defense.conf
# Tự động sinh bởi Zeus2 Controller sau khi phát hiện CVE-2023-XXXX

upstream real_production_backend {
    server 192.168.100.10:8080;
}

upstream deception_honeypot_node {
    server 192.168.200.50:8080;
}

server {
    listen 80;
    server_name vulnerable.target-corp.vn;

    # Tuyến đường an toàn: Điều hướng về hệ thống thực
    location / {
        proxy_pass http://real_production_backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # Tuyến đường chứa lỗ hổng đã phát hiện: Điều hướng cách ly sang Honeypot
    location /vulnerable-endpoint/ {
        access_log /var/log/nginx/honeypot_diverted.log;
        proxy_pass http://deception_honeypot_node;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Attack-Intercepted "Zeus2-Deception";
    }
}

Testing và validation

Quá trình thử nghiệm được tiến hành trong môi trường phòng thí nghiệm (Lab Environment) trên hạ tầng máy ảo hóa (Proxmox/KVM) với cấu hình chuẩn hóa:

  • Server Điều khiển & Redis: 4 vCPU, 8GB RAM, Ubuntu Server 22.04 LTS.
  • Worker Nodes (1 đến 4 VMs): Mỗi VM 2 vCPU, 4GB RAM, cài đặt đầy đủ bộ công cụ.
  • Mục tiêu thử nghiệm: 4 tên miền doanh nghiệp giả lập và hệ thống ứng dụng Web có chủ đích cài cắm lỗ hổng (DVWA, OWASP Juice Shop, VulnHub CTF Boxes).

1. Hiệu năng tìm kiếm tên miền con (1 VM vs 4 VMs phân tán)

Tên miền mục tiêu Số tên miền con tìm thấy Thời gian quét (1 máy ảo đơn lẻ) Thời gian quét (4 máy ảo phân tán Zeus2) Tỷ lệ giảm thời gian (%)
Domain_A.vn 142 subdomains 18 phút 45 giây 5 phút 12 giây 72.3%
Domain_B.com 389 subdomains 42 phút 10 giây 11 phút 30 giây 72.7%
Domain_C.edu.vn 87 subdomains 12 phút 15 giây 3 phút 20 giây 72.8%
Domain_D.gov.vn 512 subdomains 56 phút 20 giây 14 phút 45 giây 73.8%
Tổng cộng (4 domains) 1.130 subdomains 129 phút 30 giây 34 phút 47 giây 73.1% 
+-----------------------------------------------------------------------+
|                 THỜI GIAN QUÉT TÊN MIỀN CON (PHÚT)                    |
|  1 VM Đơn lẻ   [============================================] 129.5 m |
|  4 VMs Zeus2   [===========] 34.8 m  (Nhanh hơn ~3.7 lần)             |
+-----------------------------------------------------------------------+

2. Đánh giá độ chính xác và khả năng phát hiện lỗ hổng: Zeus2 vs Acunetix

Nhóm lỗ hổng (OWASP Top 10) Số lượng mẫu kiểm thử thực tế Zeus2 phát hiện đúng (True Positive) Acunetix phát hiện đúng (True Positive) Độ chính xác Zeus2 (%)
A01: Broken Access Control 25 24 22 96.0%
A03: Injection (SQLi, Command) 30 29 30 96.7%
A05: Security Misconfiguration 40 39 36 97.5%
A06: Outdated Components (CVEs) 50 49 47 98.0%
A10: SSRF 15 14 12 93.3%
Tổng thể 160 kịch bản 155 / 160 147 / 160 96.9%

Kết quả đạt được

  • Mức độ hoàn thiện tính năng: Hoàn thành 100% các tính năng đề ra theo tài liệu thiết kế.
  • Tối ưu hóa hiệu năng: Cơ chế phân tán bằng Redis giúp tăng thông lượng rà quét lên gấp 3,7 lần khi mở rộng quy mô từ 1 lên 4 máy chủ Worker.
  • Thời gian phản hồi phòng ngự: Thời gian từ lúc phát hiện lỗ hổng đến khi sinh cấu hình NGINX và tải lại dịch vụ (nginx -s reload) chỉ mất trung bình 1,85 giây, triệt tiêu nguy cơ bị khai thác trong giai đoạn chờ vá lỗi.
  • Thu thập Tình báo Mối đe dọa: Hệ thống đã tự động trích xuất được hơn 450 chỉ số IoC (IP tấn công, User-Agent bất thường, Malicious Payload strings) từ Honeynet và đẩy lên máy chủ MISP thử nghiệm thành công.

Đổi mới và đóng góp

Các điểm mới mang tính đột phá

  1. Khép kín vòng đời "Trinh sát - Quét lỗ hổng - Giăng bẫy - Chia sẻ tình báo": Khác với các công cụ kiểm thử truyền thống chỉ dừng lại ở việc tạo báo cáo, Zeus2 thiết lập một vòng lặp chủ động khép kín đầu tiên kết hợp giữa Đánh giá an ninh (Offensive Security) và Phòng thủ chủ động (Defensive Deception).
  2. Khắc phục triệt để nhược điểm của các nghiên cứu tiền nhiệm:
    • So với nhóm nghiên cứu Hu et al. (DQN + MulVAL): Nghiên cứu của Hu dựa vào việc giả định đường dẫn tấn công bằng mô hình học tăng cường nên tỷ lệ dương tính giả cao. Zeus2 sử dụng các mẫu PoC thực tế (Nuclei engine), đảm bảo lỗ hổng được xác thực 100% trên môi trường thực tế trước khi kích hoạt phòng thủ.
    • So với nhóm nghiên cứu Ajmal et al. (SCADA Honeynet): Hệ thống của Ajmal là bẫy thụ động (phải chờ tin tặc tấn công ngẫu nhiên vào dải IP bẫy). Zeus2 là hệ thống bẫy chủ động: quét tìm điểm yếu trên máy chủ thực, sau đó dùng NGINX "bẻ hướng" kẻ tấn công vào Honeypot mà kẻ tấn công không hề hay biết.
    • So với Hakscale (Hakluke): Hakscale chỉ phân tán việc quét dòng lệnh CLI đơn thuần; Zeus2 phát triển thành một nền tảng phân tích toàn diện có lưu trữ cơ sở dữ liệu và tích hợp CTI.
                    SO SÁNH VỚI CÁC CÔNG TRÌNH LIÊN QUAN
+-----------------------------------------------------------------------------+
| Hu et al. (DQN)       : Tự động hóa dựa trên giả định đồ thị -> Dương tính giả |
| Ajmal et al. (SCADA)  : Giăng bẫy thụ động -> Phụ thuộc vào việc bị tấn công  |
| Hakscale (Hakluke)    : Chạy phân tán lệnh CLI -> Thiếu phòng vệ & CTI       |
| ZEUS2 (Đề tài này)    : Rà quét thực tế + Phân tán + Bẫy chủ động + CTI Hub  |
+-----------------------------------------------------------------------------+
  1. Tự động chuyển đổi TTP thành IoC hữu ích: Dữ liệu hành vi từ tin tặc khi tương tác với Honeypot được bóc tách tự động thành các chỉ số kỹ thuật (IP, Hashes, URIs, Parameter Tampering patterns) phục vụ công tác cảnh báo sớm cho toàn bộ mạng lưới tổ chức.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

  • Đánh giá bề mặt tấn công liên tục cho Doanh nghiệp vừa và nhỏ (SMEs): Giúp các doanh nghiệp không có đội ngũ Red Team chuyên trách có thể định kỳ kiểm toán toàn bộ hạ tầng web công khai mà không tốn chi phí thuê ngoài.
  • Hệ thống cảnh báo sớm cho Trung tâm điều hành an ninh mạng (SOC): Tích hợp vào quy trình của SOC để phát hiện sớm các chiến dịch quét diện rộng của tin tặc nhắm vào hệ thống tên miền của đơn vị.
  • Bảo vệ khẩn cấp tài sản web trong các đợt phát hành sản phẩm mới: Khi phát hiện lỗ hổng zero-day trong sự kiện quan trọng, hệ thống tự động giăng bẫy cô lập vùng nguy hiểm mà không cần dừng toàn bộ máy chủ sản xuất.

Hướng dẫn triển khai (Deployment Guide)

Yêu cầu hệ thống tối thiểu

  • Master Node: CPU 4 Cores, RAM 8GB, SSD 50GB, OS Linux Ubuntu 20.04/22.04 LTS.
  • Worker Node: CPU 2 Cores, RAM 4GB, kết nối mạng băng thông tối thiểu 100 Mbps.
  • Cài đặt môi trường: Docker 24.0+, Docker Compose v2.18+, Python 3.10+, Go 1.20+.

Các bước triển khai nhanh với Docker Compose

# docker-compose.yml
version: '3.8'

services:
  redis-master:
    image: redis:7.0-alpine
    container_name: zeus2_redis
    ports:
      - "6379:6379"
    restart: always

  postgres-db:
    image: postgres:15-alpine
    container_name: zeus2_postgres
    environment:
      POSTGRES_DB: zeus2_db
      POSTGRES_USER: zeus_admin
      POSTGRES_PASSWORD: SecurePassword123!
    volumes:
      - pgdata:/var/lib/postgresql/data
    ports:
      - "5432:5432"

  zeus2-controller:
    build: ./controller
    container_name: zeus2_api
    depends_on:
      - redis-master
      - postgres-db
    ports:
      - "8000:8000"
    environment:
      REDIS_HOST: redis-master
      DB_HOST: postgres-db

  zeus2-worker:
    build: ./worker
    deploy:
      replicas: 4
    depends_on:
      - redis-master
    environment:
      REDIS_HOST: redis-master

volumes:
  pgdata:

Lệnh khởi chạy hệ thống:

# 1. Clone mã nguồn và chuyển vào thư mục dự án
git clone https://github.com/uit-research/zeus2-framework.git
cd zeus2-framework

# 2. Khởi tạo cụm dịch vụ phân tán
docker compose up -d --scale zeus2-worker=4

# 3. Kích hoạt tiến trình quét mục tiêu
curl -X POST http://localhost:8000/api/v1/scan -H "Content-Type: application/json" \
     -d '{"target_domain": "example-corp.vn", "deception_enabled": true}'

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phụ thuộc vào chữ ký mẫu (Templates): Độ bao phủ của các lỗ hổng phụ thuộc vào tính cập nhật của bộ quy tắc Nuclei và các mẫu khai thác đã công bố.
  • Xác thực logic nghiệp vụ chuyên sâu: Chưa hỗ trợ tự động hóa các kịch bản bypass logic thanh toán nhiều bước hoặc lỗi phân quyền đa vai trò phức tạp trong các ứng dụng Web độc quyền.
  • Chống nhận diện Honeypot nâng cao: Tin tặc dày dặn kinh nghiệm có thể sử dụng các kỹ thuật Fingerprinting tinh vi để phát hiện dịch vụ bẫy nếu Honeypot không được tinh chỉnh kỹ lưỡng.

Hướng phát triển tương lai

  1. Tích hợp Mô hình Ngôn ngữ Lớn (LLM) và Tác tử AI (Agentic AI): Nghiên cứu tích hợp các LLM chuyên sâu về bảo mật để tự động phân tích ngữ cảnh của phản hồi HTTP, từ đó tự sinh payload bypass WAF theo thời gian thực.
  2. Nâng cấp tầng mạng với eBPF (Extended Berkeley Packet Filter): Chuyển dịch cơ chế điều hướng giăng bẫy từ tầng ứng dụng (NGINX) xuống tầng nhân Linux kernel (eBPF/XDP) nhằm giảm độ trễ xử lý gói tin xuống mức micro-second.
  3. Mở rộng hỗ trợ giao thức IoT/SCADA: Tích hợp các mô-đun bẫy chuyên dụng cho các giao thức công nghiệp như Modbus, DNP3, MQTT nhằm ứng dụng bảo vệ hạ tầng trọng yếu.

Đối tượng hưởng lợi

  • Doanh nghiệp vừa và nhỏ (SMEs): Tiết kiệm ước tính từ 15.000$ - 30.000$/năm chi phí kiểm toán bảo mật định kỳ; giảm thiểu thời gian bị gián đoạn dịch vụ nhờ khả năng tự động giăng bẫy cách ly lỗ hổng ngay lập tức.
  • Kỹ sư bảo mật & Đội ngũ DevSecOps: Cung cấp công cụ mã nguồn mở mạnh mẽ, dễ dàng tích hợp vào quy trình CI/CD; tự động hóa các tác vụ trinh sát tẻ nhạt để tập trung vào phân tích chuyên sâu.
  • Sinh viên & Học viên ngành An ninh mạng: Làm tài liệu tham khảo thực tiễn chất lượng cao về kiến trúc phân tán, lập trình an toàn, kỹ thuật khai thác lỗ hổng và cơ chế phòng thủ chủ động Deception Technology.
  • Cộng đồng Nghiên cứu Tình báo Mối đe dọa (CTI Researchers): Cung cấp nguồn cấp dữ liệu IoC thực tế, chuẩn hóa và đáng tin cậy thu được trực tiếp từ các cuộc tấn công nhắm vào hệ thống bẫy.

Câu hỏi thường gặp

1. Yêu cầu phần cứng và hạ tầng để vận hành hệ thống là gì?

Hệ thống được thiết kế theo dạng vi dịch vụ (Microservices) tối ưu. Để chạy thử nghiệm hoặc phục vụ doanh nghiệp quy mô vừa, bạn chỉ cần 1 máy chủ Master (4 vCPU, 8GB RAM) và từ 2 đến 4 máy ảo Worker (mỗi máy 2 vCPU, 4GB RAM) cài đặt hệ điều hành Linux (Ubuntu/Debian/CentOS) có hỗ trợ Docker.

2. Khung Zeus2 mở rộng quy mô (Scalability) như thế nào khi số lượng tên miền lên tới hàng nghìn?

Hệ thống sử dụng cơ chế hàng đợi phân tán của Redis theo mô hình Producer-Consumer. Khi số lượng mục tiêu tăng lên, quản trị viên chỉ cần triển khai thêm các Worker Node (scale out) bằng lệnh docker compose up --scale zeus2-worker=N mà không cần cấu hình lại kiến trúc trung tâm.

3. Việc tích hợp cơ chế giăng bẫy NGINX có gây ảnh hưởng đến người dùng hợp pháp không?

Không. Bộ quy tắc NGINX được tạo ra dựa trên các URI chứa lỗ hổng cụ thể hoặc khớp với các chuỗi payload khai thác đã xác định rõ ràng. Người dùng thông thường truy cập các đường dẫn chức năng hợp lệ sẽ được chuyển tiếp bình thường đến máy chủ Production mà không nhận thấy bất kỳ sự khác biệt nào về hiệu năng.

4. Hệ thống cần bảo trì và cập nhật những thành phần nào định kỳ?

Hệ thống cần định kỳ cập nhật 3 thành phần chính: Cơ sở dữ liệu mẫu rà quét Nuclei (nuclei -update-templates), danh sách Wordlists phục vụ trinh sát tên miền con, và các bản cập nhật bảo mật cho hệ điều hành máy chủ và các container Docker.

5. Lợi ích kinh tế và thời gian thu hồi vốn (ROI) khi áp dụng giải pháp?

So với việc thuê dịch vụ kiểm thử xâm nhập bên ngoài (trung bình 3.000$ - 5.000$ cho mỗi đợt kiểm thử một ứng dụng web), Zeus2 cho phép thực hiện kiểm toán liên tục 24/7 với chi phí vận hành hạ tầng máy chủ chỉ khoảng 50$ - 100$/tháng. Doanh nghiệp có thể đạt điểm hòa vốn và thu hồi ROI chỉ sau 1 - 2 tháng triển khai.

Kết luận

Đề tài khóa luận tốt nghiệp "Bộ khung kiểm thử bảo mật tự động tích hợp cơ chế giăng bẫy và chia sẻ thông tin tình báo mối đe dọa" (Zeus2 Framework) của sinh viên Nguyễn Quốc Việt (Trường ĐH Công nghệ Thông tin – ĐHQG TP.HCM) đã giải quyết thành công bài toán cấp bách về sự thiếu hụt nhân lực an toàn thông tin và nâng cao hiệu quả phòng thủ chủ động cho các tổ chức.

Bằng việc kết hợp sáng tạo giữa năng lực trinh sát diện rộng, tự động hóa rà quét phân tán trên nền Redis, cơ chế giăng bẫy linh hoạt bằng Reverse Proxy NGINX và chia sẻ tình báo mối đe dọa chuẩn MISP, nghiên cứu đã tạo ra một giải pháp toàn diện, có tính khoa học cao và giá trị thực tiễn vượt trội. Kết quả thực nghiệm chứng minh hệ thống đạt độ chính xác 96,9%, rút ngắn 73,1% thời gian kiểm toán bề mặt tấn công và thiết lập rào chắn phòng vệ chỉ trong 1,85 giây.

Khóa luận là tài liệu tham khảo giá trị cho các nhà nghiên cứu, kỹ sư an toàn thông tin và doanh nghiệp đang tìm kiếm giải pháp bảo vệ hệ thống thông minh, tự động và tiết kiệm chi phí trong kỷ nguyên số. Hãy tham khảo và áp dụng mô hình kiến trúc của Zeus2 để nâng cao năng lực tự vệ an ninh mạng cho tổ chức của bạn ngay hôm nay!