🕵️ “Kẻ tấn công nguy hiểm nhất không nằm ngoài firewall”

[Phan Văn Phú]

Khi nói tới hacker, nhiều người vẫn hình dung một kẻ ở bên ngoài, scan port, brute-force, exploit zero-day để đột nhập hệ thống. Nhưng thực tế đau lòng trong rất nhiều sự cố an ninh những năm gần đây là:
👉 kẻ nguy hiểm nhất thường đã ở sẵn bên trong network.

Không cần scan.
Không cần exploit.
Không cần vượt firewall.

Họ chỉ cần… một identity hợp lệ.

---

🔐 Khi “login hợp lệ” còn nguy hiểm hơn malware

Firewall, IDS/IPS, WAF sinh ra để chặn traffic xấu từ bên ngoài. Nhưng nếu request đi vào hệ thống bằng:

• User thật
• Token thật
• Session hợp lệ

thì security perimeter gần như vô nghĩa.

Hacker ngày nay không “phá cửa”, họ mượn chìa khóa.

---

👤 Insider threat – mối nguy bị đánh giá thấp nhất

Insider threat không chỉ là nhân viên xấu. Nó bao gồm:

• Nhân viên cũ nhưng account chưa bị disable
• Contractor làm xong dự án nhưng VPN vẫn còn
• Intern được cấp quyền test… rồi bị quên thu hồi

⛔ Những account này thường:

• Có quyền hợp lệ
• Ít bị giám sát
• Gần như không bao giờ bị SOC nghi ngờ

Và đó chính là điểm mù chết người.

---

🔑 Account bị compromise – hacker không cần ồn ào

Phần lớn các cuộc tấn công hiện đại bắt đầu bằng:

• Phishing
• Token leak
• Credential reuse
• Password bị lộ từ hệ thống khác

Sau khi có được account:

• Không scan
• Không exploit
• Không trigger alert rõ ràng

Hacker login như user bình thường, đi từng bước chậm rãi:
➡️ xem quyền
➡️ đọc config
➡️ leo thang đặc quyền
➡️ mở đường cho persistence

SOC nhìn log chỉ thấy: “login success”.

---

⚙️ Service account – “quả bom nổ chậm” trong hệ thống

Service account thường là:

• Không MFA
• Không rotate password
• Có quyền rất rộng
• Sống… nhiều năm

Dev tạo ra cho tiện, deploy xong là quên.
SOC thì không rõ account đó phục vụ service nào.

🎯 Với hacker, đây là món quà hoàn hảo:

• Không ai theo dõi hành vi
• Không ai nghi ngờ
• Không có user than phiền

Một service account bị lộ = toàn bộ hệ thống mở cửa.

---

🕳️ Vì sao firewall không cứu được bạn trong kịch bản này?

Firewall bảo vệ đường biên.
Nhưng:

• Hacker đã ở trong LAN
• Traffic là east-west
• Request đi qua port hợp lệ
• Identity là thật

➡️ Firewall không có lý do để chặn.

---

🔎 Dấu hiệu nhận biết kẻ “ở nhờ” trong hệ thống

SOC thường bỏ qua những tín hiệu rất nhỏ:

• User login lúc giờ lạ nhưng từ IP nội bộ
• Service account gọi API ngoài scope thông thường
• Một account truy cập nhiều hệ thống không liên quan công việc
• Session sống quá lâu không rotate

⛔ Không có malware.
⛔ Không có exploit.
Chỉ có hành vi lệch chuẩn.

---

🧠 Bài học rút ra cho SOC & Cloud team

✔️ Đừng chỉ bảo vệ perimeter – hãy bảo vệ identity
✔️ Zero Trust không phải slogan, mà là verify liên tục
✔️ Service account cần được quản lý nghiêm ngặt như user thật
✔️ Log “login success” quan trọng không kém “login failed”
✔️ Giả định đã bị xâm nhập, câu hỏi là đang bị ở mức nào?

---

🔥 Kết

Hacker nguy hiểm nhất:

• Không scan
• Không phá
• Không ồn ào

Họ ở nhờ trong hệ thống, dùng quyền hợp lệ, kiên nhẫn hơn SOC, và rời đi khi đã lấy đủ thứ cần lấy.

👉 Firewall không sai.
👉 Nhưng niềm tin mù quáng vào account hợp lệ mới là vấn đề.