Vận hành bảo mật

1. Lý thuyết cốt lõi / Core theory

1.1. Xử lý dữ liệu — Phân loại, gán nhãn, lưu giữ và hủy (Data Handling: Classification / Labeling / Retention / Destruction)

Phân loại dữ liệu (Data Classification) là nền tảng để áp dụng biện pháp bảo vệ phù hợp. Mô hình dân sự phổ biến trong doanh nghiệp:

• Public (Công khai): Tự do chia sẻ — brochure marketing, thông cáo báo chí.
• Internal (Nội bộ): Chỉ nhân viên trong tổ chức — policy nội bộ, org chart.
• Confidential (Bí mật): Hạn chế theo need-to-know — hợp đồng khách hàng, source code.
• Restricted/Top Secret (Tuyệt mật): Cần ủy quyền đặc biệt — dữ liệu R&D chiến lược, thông tin M&A.

Data Labeling (Gán nhãn): Đánh dấu rõ ràng cấp phân loại trên document (header/footer), email (sensitivity label trong Microsoft 365), file metadata. Labeling là bắt buộc để DLP (Data Loss Prevention) tool có thể enforce policy.

Retention Policy (Chính sách lưu giữ): Xác định bao lâu phải giữ dữ liệu và bao lâu phải xóa. Ví dụ: hồ sơ thuế giữ 7 năm (yêu cầu pháp lý), email nhân viên giữ 3 năm, CCTV footage giữ 90 ngày.

1.2. Hardening hệ thống & CIS Benchmarks (System Hardening / Configuration Baselines)

System Hardening là quá trình giảm attack surface của hệ thống bằng cách loại bỏ các thành phần không cần thiết, vá lỗ hổng và cấu hình bảo mật chặt chẽ. Nguyên tắc: mọi thứ không được phép tường minh thì bị cấm.

CIS Benchmarks (Center for Internet Security) là bộ hướng dẫn cấu hình bảo mật miễn phí, được cộng đồng chuyên gia toàn cầu xây dựng cho hàng trăm platform: Windows Server, Ubuntu, macOS, Docker, Kubernetes, AWS, Azure. Mỗi benchmark có hai level:

• Level 1: Cấu hình cơ bản, tác động thấp đến chức năng, phù hợp cho tất cả hệ thống.
• Level 2: Cấu hình nghiêm ngặt hơn, có thể ảnh hưởng tính năng — dùng cho hệ thống yêu cầu bảo mật cao.

1.3. Patch Management & Configuration Management (Vòng đời quản lý bản vá)

Patch management là quy trình có tổ chức để xác định, test, phân phối và xác nhận các bản vá phần mềm. Vòng đời gồm 5 bước:

1. Identify: Theo dõi CVE (Common Vulnerabilities and Exposures), nhà cung cấp release patch notes (Microsoft Patch Tuesday — thứ Ba đầu tháng).
2. Assess: Đánh giá mức độ nghiêm trọng (CVSS score 0-10), hệ thống nào bị ảnh hưởng, khả năng bị khai thác (exploitability).
3. Test: Apply patch vào môi trường test/staging trước — kiểm tra compatibility, không làm hỏng ứng dụng.
4. Deploy: Roll out theo nhóm (pilot group → general deployment), ngoài giờ cao điểm, có rollback plan.
5. Verify: Xác nhận patch đã được apply thành công trên tất cả hệ thống mục tiêu, scan lại để verify.

CMDB (Configuration Management Database) là cơ sở dữ liệu lưu trữ thông tin về tất cả CI (Configuration Items) — server, switch, application, service — và mối quan hệ giữa chúng. Change control process: mọi thay đổi phải được đề xuất, review, phê duyệt và ghi nhận vào CMDB.

1.4. Tấn công Social Engineering (Phishing / Spear-phishing / Vishing / Smishing / Pretexting)

Social engineering khai thác điểm yếu con người — lừa đảo, thao túng tâm lý — thay vì khai thác lỗ hổng kỹ thuật. Đây là vector tấn công số 1 trong thực tế:

• Phishing (Lừa đảo email): Email giả mạo gửi hàng loạt — giả ngân hàng, dịch vụ cloud, HR. Mục tiêu: steal credentials, install malware qua attachment/link.
• Spear-phishing (Lừa đảo có chủ đích): Phishing được cá nhân hóa — nghiên cứu nạn nhân trước (LinkedIn, website công ty), email nhắc đến tên, dự án, đồng nghiệp cụ thể. Tỉ lệ thành công cao hơn nhiều.
• Whaling (Săn cá voi): Spear-phishing nhắm vào C-level (CEO, CFO, CTO) — thường dẫn đến Business Email Compromise (BEC), chuyển khoản sai.
• Vishing (Voice phishing): Gọi điện giả làm IT support, ngân hàng, cơ quan thuế. "Tôi là IT helpdesk, tôi cần mật khẩu của anh để reset hệ thống."
• Smishing (SMS phishing): SMS giả mạo với link malicious — "Gói hàng của bạn đang chờ xác nhận, click vào đây."
• Pretexting: Tạo kịch bản giả (pretext) để tạo sự tin tưởng — ví dụ: giả làm IT auditor, xin quyền truy cập vào hệ thống để "kiểm tra compliance."

1.5. Log Management & SIEM (Logging / Security Information and Event Management)

Log là bằng chứng số quan trọng nhất trong điều tra sự cố. Những gì cần log:

• Authentication events: Logon thành công/thất bại, MFA events, privilege escalation (Windows Event ID 4624, 4625, 4672).
• Object access: Đọc/ghi file nhạy cảm, database queries, API calls (Windows Event ID 4663).
• Network traffic: Firewall allow/deny, DNS queries, HTTP request logs từ proxy/WAF.
• System events: Service start/stop, scheduled task creation, registry modification, software installation.
• Application logs: Error logs, transaction logs, audit trails của business application.

1.6. Double Extortion Ransomware — Mô hình tống tiền hai tầng (Double Extortion Ransomware)

Ransomware truyền thống chỉ mã hóa file và yêu cầu tiền chuộc để lấy key giải mã. Từ 2019–2020, các nhóm APT như REvil, LockBit, Conti chuyển sang mô hình double extortion (tống tiền kép) — nguy hiểm hơn đáng kể vì backup không còn đủ để phòng thủ:

Chỉ báo phát hiện sớm (Detection Indicators):

• Unusual outbound data transfers: Lưu lượng lớn bất thường ra ngoài — đặc biệt sau giờ làm việc, đến IP lạ (không phải cloud provider đã biết). SIEM alert: outbound traffic >1GB đến một IP duy nhất trong 1 giờ.
• Enumeration activity: Truy vấn Active Directory bất thường — attacker liệt kê tài khoản, share, database để tìm dữ liệu giá trị nhất cần exfiltrate.
• Credential harvesting tools: Phát hiện Mimikatz, Cobalt Strike, hoặc PowerShell Invoke-Mimikatz trong log — dấu hiệu attacker đang thu thập credential để lateral movement.
• New scheduled tasks / services: Attacker tạo persistence mechanism trước khi deploy ransomware — Sysmon Event ID 1 (process creation) với binary lạ.

1.7. PAM — Quản lý truy cập đặc quyền (Privileged Access Management)

PAM (Privileged Access Management) là tập hợp công nghệ và quy trình kiểm soát, giám sát và kiểm toán các tài khoản có quyền cao (admin, root, service account, database SA). Tài khoản đặc quyền là mục tiêu số một của attacker — một tài khoản Domain Admin bị chiếm = toàn bộ domain bị chiếm.

Công cụ PAM phổ biến:

• CyberArk PAM: Enterprise-grade, được dùng rộng rãi trong ngân hàng và tổ chức tài chính — có Privileged Session Manager, Credential Provider, Application Identity Manager.
• HashiCorp Vault: Open-source secrets management phổ biến trong DevOps — dynamic secrets, PKI, database credential, AWS/Azure IAM integration. Self-hosted hoặc HCP Vault (managed).
• Azure PIM (Privileged Identity Management): Microsoft Entra ID built-in — JIT activation cho Azure AD roles, approval workflow, access review, alert khi role được activate.

2. Bài thực hành / Hands-on lab

Lab 1 — Windows System Hardening Check (PowerShell)

OS: Windows 11 · Tool: PowerShell 7 (Administrator).

Mục tiêu: đánh giá nhanh trạng thái hardening — patch status, antivirus, enabled features — tạo baseline security posture report.

# === PATCH STATUS ===
Write-Host "=== Recent Hotfixes (Top 10) ===" -ForegroundColor Cyan
Get-HotFix |
    Sort-Object InstalledOn -Descending |
    Select-Object -First 10 HotFixID, Description, InstalledOn |
    Format-Table -AutoSize

# Kiểm tra bản cập nhật Windows Update còn chờ
Write-Host "`n=== Pending Windows Updates ===" -ForegroundColor Yellow
$updateSession = New-Object -ComObject Microsoft.Update.Session
$updateSearcher = $updateSession.CreateUpdateSearcher()
try {
    $pendingUpdates = $updateSearcher.Search("IsInstalled=0 and IsHidden=0")
    Write-Host "Pending updates: $($pendingUpdates.Updates.Count)"
    $pendingUpdates.Updates | Select-Object -First 5 Title | Format-List
} catch {
    Write-Host "Windows Update COM object not accessible in this context." -ForegroundColor Gray
}

# === ANTIVIRUS / DEFENDER STATUS ===
Write-Host "`n=== Windows Defender / Antivirus Status ===" -ForegroundColor Cyan
$mpStatus = Get-MpComputerStatus
[PSCustomObject]@{
    AntivirusEnabled             = $mpStatus.AntivirusEnabled
    RealTimeProtectionEnabled    = $mpStatus.RealTimeProtectionEnabled
    AntispywareEnabled           = $mpStatus.AntispywareEnabled
    BehaviorMonitorEnabled       = $mpStatus.BehaviorMonitorEnabled
    AntivirusSignatureLastUpdated= $mpStatus.AntivirusSignatureLastUpdated
    NISSignatureLastUpdated      = $mpStatus.NISSignatureLastUpdated
} | Format-List

# === ENABLED WINDOWS FEATURES ===
Write-Host "`n=== Enabled Optional Features ===" -ForegroundColor Cyan
Get-WindowsOptionalFeature -Online |
    Where-Object { $_.State -eq 'Enabled' } |
    Select-Object FeatureName |
    Format-Table -AutoSize

# === AUDIT POLICY ===
Write-Host "`n=== Audit Policy Status ===" -ForegroundColor Cyan
auditpol /get /category:* | Select-String -Pattern "Logon|Account|Object|Privilege" |
    Select-Object -First 15

# === AUTORUN / STARTUP ===
Write-Host "`n=== Startup Programs (potential persistence) ===" -ForegroundColor Yellow
Get-CimInstance Win32_StartupCommand |
    Select-Object Name, Command, Location, User |
    Format-Table -AutoSize -Wrap

Lab 2 — Linux Hardening Audit (Bash + Lynis)

OS: Ubuntu 22.04 · Tool: Bash + Lynis (security auditing tool).

Mục tiêu: chạy audit hardening tự động với Lynis và kiểm tra thủ công các mục bảo mật quan trọng theo CIS Benchmark.

# === CÀI LYNIS (nếu chưa có) ===
sudo apt update && sudo apt install -y lynis

# === CHẠY LYNIS AUDIT ===
# Lynis sẽ kiểm tra hàng trăm điểm bảo mật và cho hardening index
sudo lynis audit system 2>&1 | tee /tmp/lynis-report.txt

# Xem kết quả tóm tắt
grep -E "Hardening index|Warning|Suggestion" /tmp/lynis-report.txt | head -30

# === MANUAL CHECKS — theo CIS Ubuntu Benchmark ===

# 1. Kiểm tra chính sách mật khẩu (password policy)
echo "=== Password Policy ==="
grep -E "PASS_MAX_DAYS|PASS_MIN_DAYS|PASS_WARN_AGE|LOGIN_RETRIES|LOGIN_TIMEOUT" /etc/login.defs

# 2. Kiểm tra IP forwarding (server không nên forward packet trừ khi là router)
echo "`n=== IP Forwarding (should be 0) ==="
sysctl net.ipv4.ip_forward
sysctl net.ipv6.conf.all.forwarding

# 3. Kiểm tra file cấu hình nào mới được sửa (suspicious changes)
echo "`n=== /etc configs modified recently ==="
find /etc -name "*.conf" -newer /etc/passwd -ls 2>/dev/null | head -20

# 4. Kiểm tra SUID/SGID binaries (tiềm năng privilege escalation)
echo "`n=== SUID Binaries (review carefully) ==="
find / -perm -4000 -type f 2>/dev/null | sort

# 5. Kiểm tra world-writable directories (rủi ro ghi file độc hại)
echo "`n=== World-writable directories ==="
find / -xdev -type d -perm -0002 -not -path "/proc/*" 2>/dev/null | head -20

# 6. Kiểm tra SSH hardening
echo "`n=== SSH Config Security Check ==="
grep -E "PermitRootLogin|PasswordAuthentication|X11Forwarding|MaxAuthTries|Protocol" /etc/ssh/sshd_config

# 7. Kiểm tra unattended-upgrades (tự động cập nhật bảo mật)
echo "`n=== Automatic Security Updates ==="
dpkg -l | grep unattended-upgrades
cat /etc/apt/apt.conf.d/20auto-upgrades 2>/dev/null

3. Tình huống doanh nghiệp / Real-world scenario

4. Tự kiểm tra / Knowledge check

1. Một công ty cần dispose 50 laptop cũ chứa dữ liệu khách hàng (PII). Họ có ba lựa chọn: overwrite, degauss, hoặc physical shredding. Cho từng loại storage (HDD, SSD, NVMe), phương án nào đảm bảo nhất? Tại sao?
2. Phân biệt phishing và spear-phishing về kỹ thuật chuẩn bị, tỉ lệ thành công và mức độ nguy hiểm. Loại nào thường được dùng để tấn công C-level executives?
3. SPF, DKIM và DMARC là ba cơ chế email authentication. Mỗi cơ chế bảo vệ chống lại loại tấn công gì? Tại sao cần cả ba thay vì chỉ một?
4. SIEM khác gì với một hệ thống log tập trung thông thường (như ELK Stack)? Tính năng nào của SIEM là đặc trưng nhất?
5. Một admin Linux phát hiện file /tmp/update.sh có SUID bit và được tạo từ 2 giờ trước, không phải do ai trong team tạo. Đây có thể là dấu hiệu của gì? Bước tiếp theo là gì theo PICERL?