🧠 MITRE ATT&CK Framework – Bản Đồ Hành Vi Của Hacker Trong Thế Giới Thực

[Phan Văn Phú]

🧠 MITRE ATT&CK Framework – Bản Đồ Hành Vi Của Hacker Trong Thế Giới Thực

Trong thế giới an ninh mạng hiện đại, việc chỉ biết lỗ hổng là chưa đủ. Điều quan trọng hơn là phải hiểu:

🔍 Kẻ tấn công hành động như thế nào, đi từng bước ra sao, và vận hành cả chiến dịch tấn công như thế nào.

Đó chính là lý do vì sao MITRE ATT&CK Framework ra đời – và hiện nay nó đã trở thành chuẩn tư duy cốt lõi trong cả Red Team, Blue Team và SOC.

---

📚 MITRE ATT&CK là gì?

🌐 Trang chủ: https://attack.mitre.org

MITRE ATT&CK là một knowledge base (kho tri thức) mô tả:

• 🧨 Chiến thuật (Tactics)
• 🛠️ Kỹ thuật (Techniques)
• 🧩 Kỹ thuật con (Sub-techniques)

mà hacker / adversary sử dụng trong toàn bộ vòng đời tấn công (attack lifecycle).

🎯 Mục tiêu:

Không mô tả “lỗ hổng”, mà mô tả HÀNH VI của kẻ tấn công.

---

🧭 Cấu trúc của MITRE ATT&CK

MITRE ATT&CK được tổ chức dưới dạng matrix (ma trận), trong đó:

• 📏 Cột = Tactics (Mục tiêu từng giai đoạn)
• 🧱 Hàng = Techniques (Cách thực hiện mục tiêu)

Một số matrix phổ biến:

• 🏢 Enterprise
• ☁️ Cloud
• 🌐 Network
• 🏭 ICS
• 📱 Mobile

---

🧨 Các giai đoạn tấn công trong ATT&CK (Tactics)

Một chuỗi tấn công điển hình thường gồm:

• 🕵️ Reconnaissance – Trinh sát, thu thập thông tin
• 🎣 Initial Access – Xâm nhập ban đầu
• 💥 Execution – Thực thi mã độc
• 🧱 Persistence – Duy trì quyền truy cập
• 🔑 Privilege Escalation – Leo thang đặc quyền
• 🥷 Defense Evasion – Né tránh phòng thủ
• 🧠 Credential Access – Đánh cắp tài khoản
• 🗺️ Discovery – Do thám hệ thống nội bộ
• 🔄 Lateral Movement – Di chuyển ngang
• 📤 Exfiltration – Đánh cắp dữ liệu
• 💣 Impact – Phá hoại / mã hóa / phá hệ thống

🎯 Mỗi giai đoạn không nói “dùng tool gì”, mà nói:

Hacker muốn đạt mục tiêu gì và có những cách nào để đạt được.

---

🛠️ Technique và Sub-technique

Ví dụ:

• Tactic: Credential Access
• Technique: OS Credential Dumping
• Sub-technique:
  • LSASS Memory
  • SAM
  • NTDS.dit

👉 Nhờ vậy, ta không bị lệ thuộc vào tool (Mimikatz, Cobalt Strike, v.v.) mà tập trung vào bản chất hành vi.

---

👥 Ai dùng MITRE ATT&CK?

MITRE ATT&CK hiện được dùng bởi:

• 🔴 Red Team / Pentester → Mô phỏng tấn công thật
• 🔵 Blue Team / SOC → Phát hiện & săn threat
• 🛡️ Incident Response → Điều tra sự cố
• 🧠 Threat Hunting → Tìm tấn công ẩn
• 🏗️ Security Architect → Thiết kế phòng thủ

---

🛡️ MITRE ATT&CK giúp phòng thủ như thế nào?

Thay vì hỏi:

❌ “Hệ thống tôi có lỗ hổng gì?”

MITRE ATT&CK giúp hỏi:

✅ “Nếu hacker đã vào được, họ sẽ làm gì tiếp theo?”

Từ đó:

• 🎯 Mapping detection rule theo từng technique
• 🧪 Đánh giá SOC coverage
• 🧱 Xây chiến lược defense-in-depth
• 📊 Đo độ trưởng thành của hệ thống phòng thủ

---

🧠 Ví dụ thực tế

Một alert báo:

“Phát hiện PowerShell thực thi lệnh bất thường”

Thay vì chỉ ghi:

❌ “PowerShell suspicious”

Ta có thể map:

✅ ATT&CK: T1059.001 – Command and Scripting Interpreter: PowerShell

→ SOC hiểu ngay:

• Hacker đang ở giai đoạn Execution
• Có thể sắp lateral movement hoặc dump credential

---

🔥 Vì sao MITRE ATT&CK quan trọng?

• ✅ Không phụ thuộc vendor
• ✅ Không phụ thuộc tool
• ✅ Chuẩn hóa ngôn ngữ giữa:
  • Kỹ thuật
  • Quản lý
  • SOC
  • Red team
• ✅ Là nền tảng của:
  • Detection engineering
  • Purple team
  • Threat hunting
  • Modern SOC

---

🧩 Câu chốt

MITRE ATT&CK không dạy bạn hack.
Nó dạy bạn HIỂU CÁCH HACKER SUY NGHĨ VÀ HÀNH ĐỘNG.