Rất nhiều hộ pháp (kỹ sư) lầm tưởng rằng chỉ cần dựng một bức Tường lửa (Firewall) dày mười trượng ở cổng Tông môn là có thể kê cao gối ngủ. Nhưng tà ma thời nay vô cùng quỷ quyệt:
- Obfuscation (Ẩn thân thuật) — che giấu payload, vượt qua signature-based detection dễ dàng
- Credential Stuffing (Mượn danh) — dùng thông tin đăng nhập bị rò rỉ để đi qua cổng chính đường đường chính chính
- Supply Chain Attack (Đục lỗ sau) — lẻn vào qua thư viện hoặc phần mềm thứ ba mà bạn đang tin dùng
- APT (Trường kỳ ẩn phục) — nằm yên trong hệ thống hàng tháng trời trước khi ra tay, không gây tiếng động
Chỉ ngồi đợi địch nhân công phá cửa môn mới lo chống đỡ — thì tông môn tiêu vong chỉ là chuyện sớm muộn.
Chúng ta cần đến hai lớp trận pháp kết hợp — không chỉ chặn địch, mà còn nghe, nhìn và phân tích mọi động tĩnh trong bán kính vạn dặm:
Để trận pháp hoạt động toàn diện, phải xây dựng theo 3 tầng kiến trúc nghiêm ngặt. Bỏ qua bất kỳ tầng nào — trận pháp sẽ có lỗ hổng chết người.
Phải rải các "nhãn tuyến" (Log Agents) lên khắp các vị trí trọng yếu — máy chủ Linux, cụm Kubernetes, storage NFS/S3, thậm chí endpoint người dùng. Mọi hành vi đều phải được ghi lại:
- Ai vừa mở cổng thành — đăng nhập từ địa điểm lạ hay giờ lạ?
- Ai vừa truy cập vào kho linh thạch — database query bất thường?
- Có luồng linh lực lạ nào đang cố kết nối ra bên ngoài không — C2 Connection?
- Có tài khoản đặc quyền nào vừa được tạo trái phép?
Log từ Firewall Cisco, từ Apache server, từ Windows Event và từ Kubernetes có format hoàn toàn khác nhau. Các bộ lọc ở tầng này đóng vai trò gạn đục khơi trong — lọc bỏ rác rưởi, parse ra các trường dữ liệu chuẩn, rồi đẩy vào "Đại não" lưu trữ:
- Parse & normalize — chuyển mọi format log về schema thống nhất (ECS, CEF, LEEF)
- Enrich — bổ sung context: GeoIP cho IP lạ, hostname cho MAC address, threat intel feed cho IoC đã biết
- Filter noise — loại bỏ log không có giá trị để giảm chi phí lưu trữ và tăng tốc truy vấn
Trận nhãn được nạp các Quy tắc liên kết dữ liệu — không phân tích từng sự kiện đơn lẻ, mà phân tích chuỗi sự kiện theo thời gian và không gian để nhận diện pattern tấn công:
- Tự động cô lập host bị xâm phạm — ngắt khỏi network trong vài giây, không cần đợi con người phê duyệt
- Alert tức thì qua PagerDuty / Slack / SMS đến đúng người trực chiến
- Tự động tạo ticket với đầy đủ evidence, timeline và severity để IR team không mất thời gian tổng hợp
Một lỗi lầm phổ biến: xây xong thành trì mới mời Security Team đến xem. Trong tư duy DevSecOps, bảo mật phải được rèn vào ngay từ lúc đúc kiếm — tích hợp thẳng vào CI/CD pipeline:
- SAST (Quét Kiếm Phổ) — Ngay khi dev push code lên Git, pipeline tự động quét mã nguồn tìm lỗ hổng (XSS, SQL Injection, IDOR, Hardcoded Secrets) trước khi đóng gói
- Container Scanning (Quét Giáp Trụ) — Trước khi Container lên Kubernetes,
Trivyquét toàn bộ layer của Docker Image tìm CVE đã biết từ base image đến thư viện bên thứ ba - Secret Scanning — Tự động phát hiện API key, password, token bị commit nhầm vào repo — ngăn chặn trước khi rò rỉ ra ngoài
Một Hộ pháp bảo mật cấp cao không ngồi im đợi chuông reo. Họ cầm Bản mệnh kiếm bước ra khỏi cửa thành, chủ động đi Săn (Threat Hunting):
Một hệ thống bảo mật tốt là hệ thống khiến kẻ địch dù thần thông quảng đại đến mấy cũng phải e dè.
Vì cái giá phải trả để phá trận — quá đắt.
Diệt địch từ ngoài cửa môn.