Xây dựng hạ tầng tin cậy trước cuộc tấn công kéo dài

[Phi Vũ]

Các chuyên gia an ninh nhận thấy mối đe dọa hiện nay không còn là đợt tấn công đột biến mà là sự kiên nhẫn kéo dài của kẻ tấn công. Điều này buộc tổ chức phải chuyển từ phản ứng theo sự kiện sang xây dựng khả năng chịu đựng liên tục.

Chiến lược tấn công đã thay đổi​

Những cuộc thảo luận gần đây của các lãnh đạo an ninh mạng cho thấy không có một vụ vi phạm đơn lẻ đáng chú ý nào, mà là áp lực tác chiến kéo dài: lưu lượng DDoS tại biên mạng, tăng đột biến truy vấn DNS, và các mối đe dọa nhắm vào luồng xác thực và API. Từng phần hoạt động này không gây thảm họa một mình, nhưng cộng lại tạo ra căng thẳng kéo dài nhiều ngày hoặc thậm chí nhiều tuần.

Các kẻ tấn công hiện ưa chuộng chiến dịch phối hợp, kết hợp tấn công volumetric, trinh sát tự động và lạm dụng lớp ứng dụng trong thời gian dài. Bối cảnh địa chính trị toàn cầu càng góp phần làm phức tạp bề mặt tấn công.

DDoS không còn chỉ là vấn đề băng thông​

Mặc dù nhiều cuộc tấn công DDoS đã leo lên mức multi-terabit nhờ botnet tinh vi và cơ sở hạ tầng phân tán toàn cầu, băng thông không còn là thước đo duy nhất của rủi ro. Các chiến dịch hiện xếp lớp lưu lượng lớn với kỹ thuật chậm, có mục tiêu như lạm dụng API, credential stuffing và quét endpoint tự động. Ngay cả khi đỉnh tấn công qua đi, hoạt động trinh sát ở mức thấp thường tiếp tục.

Hệ quả vận hành và quản trị​

Mục tiêu của kẻ tấn công không chỉ là gây gián đoạn tức thời mà còn là thu thập thông tin và tìm điểm yếu để tấn công lâu dài. Việc xử lý một đợt đột biến trong vài giờ có thể khả thi; nhưng duy trì trạng thái phòng thủ trong nhiều ngày gây mỏi mệt cho đội ngũ vận hành và làm tăng nguy cơ bỏ sót. Các hệ thống chỉ được thiết kế để chịu đựng đột biến có thể bị suy yếu khi chịu tải kéo dài.

Môi trường pháp lý và quản trị cũng thay đổi đáng kể. Quy định như DORA ở EU đòi hỏi tổ chức chứng minh khả năng chịu được gián đoạn nghiêm trọng nhưng có thể xảy ra và tiếp tục vận hành dịch vụ quan trọng. NIS2 mở rộng trách nhiệm, nâng kỳ vọng về quản lý rủi ro và xử lý sự cố. Ở Vương quốc Anh, khung độ bền vận hành yêu cầu doanh nghiệp xác định dịch vụ kinh doanh quan trọng và chứng minh khả năng giữ trong giới hạn tác động khi chịu áp lực.

Chuyển trọng tâm sang khả năng chịu đựng liên tục​

Với sự chuyển dịch này, vai trò của CISO và đội an ninh cần mở rộng từ phản ứng sự cố sang xây dựng khả năng chịu đựng bền bỉ. Các biện pháp đề xuất bao gồm: thiết kế kiến trúc chịu đựng dài hạn thay vì chỉ chịu được đột biến, triển khai lớp phòng thủ nhiều tầng (CDN, WAF, hạn chế API, xác thực mạnh), tự động hóa phát hiện và phản hồi để giảm mỏi mệt vận hành, giám sát liên tục và kịch bản chạy thử (tabletop exercise).

Hợp tác chặt chẽ với nhà cung cấp dịch vụ mạng, CDN và cơ quan quản lý cũng quan trọng để đảm bảo đường truyền, luồng thông tin và trách nhiệm được xác định rõ khi sự cố kéo dài. Kết hợp các chính sách vận hành, quy trình khôi phục và kiểm tra định kỳ sẽ giúp tổ chức duy trì dịch vụ quan trọng ngay cả khi đối mặt với chiến dịch tấn công có tính kiên nhẫn cao.

Nguồn: Techradar