Kẻ tấn công hoạt động như thế nào giữa các cảnh báo
"This article discusses how attackers operate stealthily within networks, often over extended periods, to evade detection by standard security tools. Attackers leverage standard admin tooling and exploit the limitations of security teams by spreading reconnaissance and blending into normal business operations. Network Detection and Response (NDR) platforms are presented as a solution to correlate alerts and provide the necessary context for investigation."
Các cuộc tấn công thầm lặng có thể gây thiệt hại nghiêm trọng nếu không được phát hiện kịp thời. Việc phân tích hành vi mạng là rất quan trọng để xác định các mối đe dọa tiềm ẩn.
Việc phát hiện và ứng phó với các cuộc tấn công mạng kịp thời có thể giúp các doanh nghiệp giảm thiểu thiệt hại tài chính và bảo vệ danh tiếng.
Các SOC thường gặp vấn đề với số lượng lớn cảnh báo, nhưng ít cảnh báo nào giải thích được cách thức tấn công bắt đầu hoặc diễn biến ra sao. Dữ liệu mạng, từ nền tảng NDR (Network Detection and Response), kết nối các cảnh báo riêng lẻ thành một dòng thời gian, cung cấp thông tin cho hệ thống phòng thủ để liên kết các sự kiện.
Thông thường, đội ngũ SOC nhận thấy dấu hiệu xâm nhập qua hàng loạt cảnh báo nhỏ, ví dụ: phát hiện mã độc, số lượng đăng nhập thất bại bất thường, hoặc hoạt động đáng ngờ từ endpoint. Khi xem qua SIEM, một cuộc tấn công thường bắt đầu như một chuỗi sự kiện riêng biệt với thời gian trùng lặp.
Trí tuệ nhân tạo (AI) giúp tăng tốc các cuộc tấn công hiện đại, cho phép kẻ tấn công tự động trinh sát, tạo payload nhắm mục tiêu và thực thi script trong tích tắc. Tuy nhiên, tốc độ không làm giảm nhu cầu về sự kín đáo. Để tránh bị phát hiện, kẻ tấn công kéo dài thời gian hoạt động, ẩn mình trong các công cụ quản trị tiêu chuẩn và hoạt động trong khoảng thời gian giữa các cảnh báo.
Kẻ tấn công có thể dành hàng ngày hoặc hàng tuần trong môi trường doanh nghiệp trước khi một hành động tạo ra cảnh báo bảo mật ưu tiên cao. Khi cảnh báo xuất hiện, nó không nhất thiết đánh dấu sự khởi đầu của một cuộc tấn công, mà có thể là một sự kiện trong một chuỗi dài hơn. Chuyên gia phân tích chỉ điều tra sự kiện kích hoạt có thể bỏ qua các hoạt động liên quan giải thích cách thức xâm nhập phát triển.
Giải phẫu của sự tiến triển thầm lặng
Giữa khi truy cập ban đầu và cảnh báo nghiêm trọng, hoạt động của kẻ tấn công có thể hòa lẫn vào các hoạt động kinh doanh thông thường. Kẻ tấn công hiểu rõ giới hạn hoạt động của đội ngũ bảo mật và khai thác chúng. Nếu mọi truy vấn DNS, yêu cầu LDAP, kết nối SMB hoặc nỗ lực xác thực tạo ra một cuộc điều tra, hàng đợi SOC sẽ nhanh chóng trở nên quá tải.
Kẻ tấn công có thể phân tán việc trinh sát trong vài giờ hoặc từ nhiều nguồn khác nhau. Thay vì quét rõ ràng, chúng có thể sử dụng tài khoản bị xâm phạm để truy vấn bộ điều khiển miền qua LDAP với tốc độ vừa phải để lập bản đồ người dùng, nhóm và hệ thống. Một vài yêu cầu vé dịch vụ Kerberos có thể tạo ra thông tin xác thực để bẻ khóa ngoại tuyến, nằm ngoài tầm nhìn của SOC. Thông tin xác thực hợp lệ sau đó mở ra quyền truy cập vào SMB hoặc RDP, các dịch vụ mà quản trị viên sử dụng hàng ngày, và kẻ tấn công di chuyển từ máy chủ này sang máy chủ khác. Các tệp có thể được thu thập trên một hệ thống nội bộ và nén lại. Sau đó, hệ thống đó có thể kết nối đến một đích đến bên ngoài qua HTTPS hoặc DNS theo các khoảng thời gian đều đặn, với một chút thay đổi về thời gian để giống với lưu lượng truy cập bình thường khi ngoại tuyến dữ liệu.
Bằng chứng giữa các cảnh báo
Đội ngũ SecOps không cần giảm ngưỡng phát hiện và làm ngập phân tích viên trong nhiều cảnh báo hơn chỉ để phát hiện hoạt động của kẻ tấn công. Việc đó cũng không khả thi. Một SOC không thể điều tra mọi truy vấn DNS, yêu cầu xác thực hoặc kết nối như thể đó là một sự cố. Ngoài ra, nhiều đội ngũ vận hành các công cụ chỉ hiển thị cảnh báo được kích hoạt nhưng cung cấp ít chi tiết về cách thức hoạt động đằng sau nó diễn ra.
Để ngăn chặn điểm mù, đội ngũ SOC có thể giữ lại dữ liệu mạng cơ bản để một nhà phân tích có thể xem lại những gì đã xảy ra khi có cảnh báo, sự cố hoặc tín hiệu khác khiến họ có lý do để xem xét. Dữ liệu mạng nhận biết giao thức từ nền tảng NDR có thể hiển thị loại tương tác đã xảy ra, ai hoặc cái gì tham gia, khi nào nó xảy ra và mối quan hệ đó phát triển như thế nào theo thời gian.
Câu hỏi thường gặp
NDR là gì?
NDR (Network Detection and Response) là một nền tảng bảo mật mạng giúp phát hiện và ứng phó với các mối đe dọa bằng cách phân tích lưu lượng mạng. Nó kết hợp các cảnh báo riêng lẻ thành một dòng thời gian để cung cấp cái nhìn toàn diện về một cuộc tấn công.
Tại sao dữ liệu mạng lại quan trọng?
Dữ liệu mạng cung cấp thông tin chi tiết về hoạt động của kẻ tấn công, bao gồm các kết nối, truy vấn và giao tiếp. Nó giúp các nhà phân tích hiểu được cách thức tấn công diễn ra và xác định các dấu hiệu xâm nhập.
AI đóng vai trò gì trong việc phát hiện tấn công?
AI có thể được sử dụng để tự động hóa việc trinh sát của kẻ tấn công và tăng tốc các cuộc tấn công. Tuy nhiên, AI cũng có thể được sử dụng để phân tích dữ liệu mạng và phát hiện các hoạt động đáng ngờ.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc kết hợp dữ liệu từ NDR với các nguồn khác là rất quan trọng để phát hiện các cuộc tấn công phức tạp. Các doanh nghiệp Việt Nam nên xem xét triển khai NDR để tăng cường khả năng bảo mật. Điều đáng chú ý là, việc phân tích hành vi mạng có thể giúp xác định các mối đe dọa tiềm ẩn mà các giải pháp bảo mật truyền thống có thể bỏ lỡ.