Tất cả tài nguyên Thuật ngữ
Tài nguyên · Thuật ngữ
Thuật ngữ vận hành an ninh mạng
Định nghĩa ngắn gọn, dễ hiểu cho các thuật ngữ đội bảo mật dùng hằng ngày: tactic và technique MITRE ATT&CK kèm mã, Unified Kill Chain, từ vựng SOC, bảo mật AI và mật mã hậu lượng tử.
Tactic và technique MITRE ATT&CK
- MITRE ATT&CK ATT&CK
Cơ sở tri thức công khai về chiến thuật và kỹ thuật của kẻ tấn công, xây từ quan sát thực tế và do MITRE duy trì. Đội bảo mật dùng nó làm ngôn ngữ chung để mô tả tấn công, ánh xạ phát hiện và tìm lỗ hổng độ phủ.
- Reconnaissance TA0043
Kẻ tấn công thu thập thông tin để lên kế hoạch cho các bước sau, như quét dịch vụ lộ ra ngoài, thu thập tên nhân viên hay dò ứng dụng công khai.
- Resource Development TA0042
Kẻ tấn công chuẩn bị tài nguyên cho chiến dịch, như thuê hạ tầng, đăng ký domain, chiếm tài khoản hay chuẩn bị công cụ.
- Initial Access TA0001
Kẻ tấn công tìm cách vào được mạng, ví dụ qua phishing, khai thác ứng dụng công khai hay dùng thông tin đăng nhập hợp lệ bị đánh cắp.
- Execution TA0002
Kẻ tấn công tìm cách chạy mã độc trên hệ thống cục bộ hoặc từ xa, thường qua trình thông dịch script, tác vụ định lịch hay công cụ quản trị.
- Persistence TA0003
Kẻ tấn công tìm cách giữ chỗ đứng qua các lần khởi động lại, đổi mật khẩu hay gián đoạn khác, ví dụ bằng tài khoản mới, dịch vụ hay tác vụ định lịch.
- Privilege Escalation TA0004
Kẻ tấn công tìm cách giành quyền cao hơn, như quyền quản trị cục bộ, root hay quản trị domain.
- Stealth TA0005
Kẻ tấn công tìm cách che giấu hành động và trông như hành vi bình thường, hoà lẫn vào hoạt động hợp lệ hoặc giảm tín hiệu quan sát được. Năm 2026, ATT&CK tách tactic Defense Evasion trước đây thành Stealth (giữ mã TA0005) và Defense Impairment.
- Defense Impairment TA0112
Kẻ tấn công tìm cách làm suy yếu, vô hiệu hoá hoặc phá hoại các biện pháp kiểm soát và giám sát an ninh, để bên phòng thủ không thấy hoặc không tin được những gì đang diễn ra.
- Credential Access TA0006
Kẻ tấn công tìm cách đánh cắp tên tài khoản, mật khẩu, token hay khoá, ví dụ bằng cách dump thông tin đăng nhập hoặc brute force.
- Discovery TA0007
Kẻ tấn công tìm hiểu môi trường: hệ thống, tài khoản, sơ đồ mạng và công cụ bảo mật, để quyết định bước tiếp theo.
- Lateral Movement TA0008
Kẻ tấn công tìm cách di chuyển trong môi trường từ hệ thống này sang hệ thống khác, thường qua dịch vụ truy cập từ xa và tài khoản hợp lệ.
- Collection TA0009
Kẻ tấn công gom dữ liệu phục vụ mục tiêu, như file, email, ảnh chụp màn hình hay nội dung cơ sở dữ liệu, trước khi đưa ra ngoài.
- Command and Control TA0011
Kẻ tấn công tìm cách liên lạc với hệ thống đã chiếm để điều khiển chúng, thường bằng cách giả dạng traffic bình thường để tránh bị phát hiện.
- Exfiltration TA0010
Kẻ tấn công tìm cách lấy cắp dữ liệu bằng cách chuyển nó ra khỏi mạng, ví dụ qua kênh điều khiển hay một dịch vụ web.
- Impact TA0040
Kẻ tấn công tìm cách thao túng, làm gián đoạn hay phá huỷ hệ thống và dữ liệu, ví dụ mã hoá dữ liệu để đòi tiền chuộc hoặc xoá ổ đĩa.
- Command and Scripting Interpreter T1059
Lạm dụng trình thông dịch lệnh và script như PowerShell, Windows command shell, Unix shell hay Python để chạy lệnh và script. Thuộc tactic Execution.
- Valid Accounts T1078
Dùng thông tin đăng nhập của tài khoản có sẵn để truy cập, duy trì, leo thang đặc quyền hay ẩn mình. Hoạt động trông hợp lệ, nên đánh giá tốt nhất là so với hành vi bình thường của chính tài khoản đó.
- Brute Force T1110
Đoán hoặc thử mật khẩu một cách có hệ thống để vào tài khoản, gồm cả password spraying và credential stuffing bằng mật khẩu lộ từ nơi khác.
- Exploit Public-Facing Application T1190
Khai thác điểm yếu của ứng dụng hay dịch vụ hướng ra Internet, như website, API hay thiết bị VPN, để có truy cập ban đầu.
- OS Credential Dumping T1003
Trích xuất thông tin đăng nhập từ hệ điều hành, ví dụ từ bộ nhớ LSASS, cơ sở dữ liệu SAM hay dữ liệu của domain controller.
- Remote Services T1021
Dùng tài khoản hợp lệ để đăng nhập vào dịch vụ nhận kết nối từ xa như RDP, SMB, SSH hay WinRM nhằm di chuyển ngang.
- Data Encrypted for Impact T1486
Mã hoá dữ liệu trên hệ thống mục tiêu để làm nó không dùng được, điển hình trong tấn công ransomware đòi tiền đổi lấy khoá.
- Phishing T1566
Gửi thông điệp lừa đảo, kèm file đính kèm, đường link hoặc qua dịch vụ bên thứ ba, để lừa người dùng trao quyền truy cập hay chạy mã độc.
- Windows Management Instrumentation T1047
Lạm dụng WMI để chạy lệnh và thu thập thông tin trên hệ thống Windows cục bộ hoặc từ xa, thường lẫn vào hoạt động quản trị bình thường.
- Scheduled Task/Job T1053
Lạm dụng tính năng lập lịch như Windows Task Scheduler, cron hay systemd timer để chạy mã theo thời điểm định trước, nhằm thực thi hoặc duy trì.
- Application Layer Protocol T1071
Giấu traffic điều khiển (C2) trong các giao thức ứng dụng phổ biến như HTTP(S), DNS hay mail để lẫn vào traffic bình thường.
- Exfiltration Over Web Service T1567
Đưa dữ liệu đánh cắp ra ngoài qua một dịch vụ web hợp lệ, như lưu trữ đám mây hay kho mã nguồn, thay vì máy chủ riêng của kẻ tấn công.
Unified Kill Chain
- Unified Kill Chain UKC
Mô hình các giai đoạn tấn công do Paul Pols công bố năm 2017, kết hợp cyber kill chain cổ điển với MITRE ATT&CK. Mô hình gồm 18 giai đoạn chia thành ba chặng: In, Through và Out.
- In (initial foothold)
Chặng đầu của UKC, giành chỗ đứng: Reconnaissance, Weaponization, Delivery, Social Engineering, Exploitation, Persistence, Defense Evasion và Command & Control.
- Through (network propagation)
Chặng thứ hai của UKC, lan rộng trong mạng: Pivoting, Discovery, Privilege Escalation, Execution, Credential Access và Lateral Movement.
- Out (action on objectives)
Chặng cuối của UKC, đạt mục tiêu: Collection, Exfiltration, Impact và Objectives.
- Weaponization
Giai đoạn UKC trong đó kẻ tấn công chuẩn bị những gì cuộc tấn công cần, như hạ tầng, mã khai thác và payload, trước khi chạm tới mục tiêu.
- Delivery
Giai đoạn UKC trong đó thứ đã được vũ khí hoá, như file hay đường link độc hại, đ ược đưa tới môi trường mục tiêu.
- Exploitation
Giai đoạn UKC lợi dụng một lỗ hổng hay điểm yếu để chạy mã hoặc giành quyền truy cập trên hệ thống mục tiêu.
- Pivoting
Giai đoạn UKC chuyển traffic qua một hệ thống đã chiếm để tới những hệ thống mà kẻ tấn công không truy cập trực tiếp được.
- Objectives
Giai đoạn UKC cuối cùng: mục tiêu chiến lược mà cuộc tấn công nhắm tới, như lợi ích tài chính, gián điệp hay phá hoại.
Thuật ngữ SOC
- Security Information and Event Management SIEM
Hệ thống thu thập log và sự kiện từ khắp môi trường, lưu trữ chúng và chạy rule phát hiện cũng như tìm kiếm trên đó.
- Security Orchestration, Automation and Response SOAR
Công cụ chạy playbook định sẵn để tự động hoá công việc bảo mật trên các công cụ khác, như làm giàu dữ liệu, tạo ticket và các bước phản ứng.
- Endpoint Detection and Response EDR
Phần mềm trên máy trạm và máy chủ ghi lại hoạt động, phát hiện mối đe doạ và cho phép phản ứng, ví dụ cô lập host hay dừng tiến trình.
- Extended Detection and Response XDR
Phát hiện và phản ứng mở rộng ngoài endpoint, tương quan tín hiệu từ mạng, định danh, email và cloud tại một chỗ.
- User and Entity Behaviour Analytics UEBA
Phân tích học hành vi bình thường của người dùng, host và các thực thể khác, rồi đánh dấu hoạt động lệch khỏi đó.
- Indicator of Compromise IOC
Dấu vết quan sát được, như địa chỉ IP, domain, hash file hay URL, cho thấy một h ệ thống có thể đã bị xâm nhập.
- Indicator of Attack IOA
Dấu hiệu hành vi tấn công đang diễn ra, như một chuỗi hành động, thay vì một dấu vết tĩnh. IOA tập trung vào ý đồ và kỹ thuật.
- Tactics, Techniques and Procedures TTP
Cách một kẻ tấn công hoạt động: mục tiêu theo đuổi (tactic), phương pháp sử dụng (technique) và cách triển khai cụ thể (procedure).
- Mean Time to Detect MTTD
Thời gian trung bình từ lúc một sự cố an ninh bắt đầu đến lúc nó được phát hiện.
- Mean Time to Respond MTTR
Thời gian trung bình từ lúc phát hiện sự cố đến lúc ngăn chặn hoặc xử lý xong. Một số đội dùng nó cho thời gian khôi phục hay khắc phục trung bình.
- Triage
Bước đánh giá đầu tiên với một alert: quyết định nó có thật không, nghiêm trọng tới đâu và cần làm gì tiếp.
- True positive TP
Alert đánh dấu đúng một hoạt động độc hại hoặc vi phạm chính sách có thật. Benign true positive là hoạt động có thật nhưng hoá ra được phép, như một đợt quét đã được duyệt.
- False positive FP
Alert sinh ra trên hoạt động không độc hại. Quá nhiều false positive làm phí thời gian analyst và che khuất những alert quan trọng.
- Alert fatigue
Tình trạng chai sạn khi analyst phải đối mặt với nhiều alert hơn khả năng xử lý, dẫn tới phản ứng chậm và bỏ sót tấn công.
- Threat hunting
Chủ động tìm trong dữ liệu dấu hiệu của các cuộc tấn công mà phát hiện hiện có chưa bắt được, thường bắt đầu từ một giả thuyết.
- Playbook
Chuỗi bước được ghi lại hoặc tự động hoá để xử lý một loại alert hay sự cố.
- Cyber Threat Intelligence CTI
Tri thức dựa trên bằng chứng về mối đe doạ và tác nhân đe doạ, như IOC, kỹ thuật và chiến dịch, dùng để định hướng phát hiện và phản ứng.
- Attack Surface Management ASM
Liên tục khám phá và giám sát tài sản hướng ra Internet của tổ chức, như domain, dịch vụ và cổng mở, cùng điểm yếu của chúng.
- Common Vulnerabilities and Exposures CVE
Danh mục công khai gán cho mỗi lỗ hổng phần mềm đã công bố một mã định danh duy nhất, như CVE-2024-12345, do CVE Program duy trì.
- Known Exploited Vulnerabilities KEV
Danh mục do Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) duy trì, gồm các lỗ hổng có bằng chứng đang bị khai thác thực tế.
- Common Vulnerability Scoring System CVSS
Tiêu chuẩn mở do FIRST duy trì, chấm mức nghiêm trọng của một lỗ hổng trên thang từ 0 đến 10.
- Exploit Prediction Scoring System EPSS
Mô hình do FIRST công bố, ước tính xác suất một lỗ hổng bị khai thác thực tế trong 30 ngày tới.
- Managed Security Service Provider MSSP
Công ty giám sát và quản lý bảo mật cho tổ chức khác, thường vận hành một SOC dùng chung cho nhiều khách hàng.
- Managed Detection and Response MDR
Dịch vụ được quản lý cung cấp phát hiện, điều tra và phản ứng mối đe doạ, thường xoay quanh công cụ endpoint hay XDR của khách hàng.
- Data sovereignty
Nguyên tắc dữ liệu chịu sự điều chỉnh của luật pháp quốc gia nơi nó được thu thập hay lưu trữ, và chủ sở hữu kiểm soát dữ liệu đi đâu.
- Air-gapped
Mô tả hệ thống hay mạng được cách ly vật lý khỏi Internet và các mạng không tin cậy khác.
- Zero trust
Mô hình bảo mật không mặc nhiên tin cậy dựa trên vị trí mạng: mọi yêu cầu đều được xác thực, phân quyền và kiểm tra liên tục.
Bảo mật AI
- Prompt injection
Tấn công chèn chỉ thị vào đầu vào của ứng dụng dùng mô hình ngôn ngữ để khiến nó bỏ qua chỉ thị gốc hoặc làm lộ dữ liệu.
- Indirect prompt injection
Prompt injection giấu trong nội dung mà model đọc thay người dùng, như trang web, email, tài liệu hay kết quả trả về của một tool.
- Jailbreak
Nỗ lực khiến mô hình ngôn ngữ vượt qua các quy tắc an toàn của nó, ví dụ bằng nhập vai hay câu chữ được soạn khéo.
- Model Context Protocol MCP
Giao thức mở cho phép ứng dụng AI và agent kết nối với tool và nguồn dữ liệu bên ngoài theo một cách chuẩn.
- AI gateway
Proxy đứng giữa ứng dụng và model hay tool AI, áp xác thực, chính sách, bảo vệ dữ liệu, giới hạn tần suất và ghi log trên mọi lời gọi.
- Model distillation
Huấn luyện một model nhỏ hơn để tái tạo đầu ra của model lớn hơn trên các tác vụ cụ thể, để chạy nhanh hơn trên phần cứng khiêm tốn.
Mật mã
- Post-quantum cryptography PQC
Các thuật toán mật mã được thiết kế để vẫn an toàn trước máy tính lượng tử quy mô lớn, loại máy có thể phá RSA và mật mã đường cong elliptic hiện nay.
- ML-KEM FIPS 203
Module-Lattice-Based Key-Encapsulation Mechanism, tiêu chuẩn thiết lập khoá hậu lượng tử do NIST công bố năm 2024, phát triển từ CRYSTALS-Kyber.
- ML-DSA FIPS 204
Module-Lattice-Based Digital Signature Algorithm, tiêu chuẩn chữ ký số hậu lượng tử do NIST công bố năm 2024, phát triển từ CRYSTALS-Dilithium.
- Cryptography Bill of Materials CBOM
Bảng kê các thuật toán mật mã, khoá, chứng thư và thư viện mà một hệ thống dùng, phục vụ lập kế hoạch chuyển sang mật mã hậu lượng tử.
- Fully homomorphic encryption FHE
Kiểu mã hoá cho phép tính toán trực tiếp trên dữ liệu đã mã hoá, để máy chủ xử lý giá trị mà không bao giờ thấy chúng ở dạng rõ.
- Harvest now, decrypt later HNDL
Thu thập dữ liệu đã mã hoá từ hôm nay để giải mã khi máy tính lượng tử phá được lớp mã hoá. Bí mật có vòng đời dài chịu rủi ro lớn nhất.
- Crypto-agility
Khả năng thay thuật toán và khoá mật mã trong một hệ thống mà không phải thiết kế lại, giúp việc chuyển sang hậu lượng tử khả thi.
Giai đoạn UKC thao túng con người làm điều không an toàn, như mở file đính kèm, chấp thuận một lần đăng nhập hay tiết lộ mật khẩu.