CISA: Hai đánh giá red team cho thấy chênh lệch lớn về phát hiện và ứng phó
"CISA reported two simultaneous red team assessments against critical infrastructure organizations that both resulted in domain-level compromise and access to sensitive business systems and cloud resources. One organization failed to detect the intrusion due to weak visibility, misconfigured Active Directory Certificate Services, default machine account settings, cleartext credentials, and over-permissioned cloud identities, while the other detected phishing activity quickly and contained it within minutes. No CVE was cited; the advisory emphasized hardening identity, credential, and SOC processes to improve detection and response."
Rủi ro cao do chiếm quyền domain, truy cập dữ liệu nhạy cảm và tài nguyên cloud; cho thấy lỗ hổng lớn ở identity security và phát hiện sự cố.
Có thể gây gián đoạn vận hành, lộ dữ liệu kinh doanh và tăng chi phí ứng phó; năng lực SOC và phối hợp nội bộ ảnh hưởng trực tiếp đến mức độ thiệt hại.
CISA công bố kết quả hai đợt đánh giá red team đồng thời trên hai tổ chức hạ tầng trọng yếu, với cùng kiểu tấn công nhưng kết quả phòng thủ rất khác nhau. Cả hai đều bị chiếm quyền ở mức domain, đồng thời kẻ tấn công tiếp cận được sensitive business systems và cloud resources.
Với Organization A, red team khai thác default credentials, cấu hình sai Active Directory Certificate Services (AD CS), Machine Account Quota mặc định, cùng các cleartext credentials và khóa AWS tĩnh không hết hạn. Tổ chức này không phát hiện được hoạt động xâm nhập do thiếu khả năng quan sát, nhiều cảnh báo giả, các SOC và công cụ đầu cuối không có shared visibility, và quy trình leo thang sự cố còn hạn chế.
Ngược lại, Organization B phát hiện nhanh các email phishing, cô lập máy trạm bị ảnh hưởng trong 2 đến 20 phút, chặn kênh C2 trước khi lây lan. CISA cho rằng khác biệt chủ yếu nằm ở con người, quy trình và khả năng phối hợp, không chỉ ở công cụ.
Khuyến nghị kỹ thuật: rà soát AD CS, vô hiệu hóa default settings, loại bỏ cleartext credentials, xoay vòng khóa truy cập cloud, giới hạn quyền ứng dụng trong Entra ID, và cải thiện SOC playbook cùng cơ chế hợp nhất cảnh báo.