Cách ngăn chặn cuộc tấn công tiếng ồn thấp vào hệ thống bằng Trellix Helix

Hiểm họa tàng hình từ lỗi cấu hình sai

Đôi khi, một lỗi cấu hình sai sót nhỏ trong Active Directory (AD) lại là tất cả những gì tin tặc cần để chiếm đoạt mật khẩu của doanh nghiệp. Nguy hiểm hơn, cuộc tấn công tiếng ồn thấp (tấn công Low and Slow) dạng này thường tạo ra các dấu vết vô cùng mờ nhạt, khiến các đội ngũ ứng phó sự cố rất khó phát hiện ra hành vi trộm cắp dữ liệu đang diễn ra.

Hình thức tấn công âm thầm này chính là AS-REP Roasting. Bằng cách nhắm vào các tài khoản Microsoft AD bị tắt tính năng tiền xác thực, hacker có thể dễ dàng lấy được một thành phần mật khẩu đã mã hóa, sau đó dùng các công cụ chuyên dụng để bẻ khóa ngoại tuyến. 

Khi thành công, tin tặc sẽ sở hữu toàn bộ mật khẩu của người dùng, nắm giữ chiếc "chìa khóa vạn năng" để đột nhập sâu vào mạng lưới nội bộ của doanh nghiệp mà không bị các công cụ bảo mật truyền thống phát hiện.

Đọc thêm: Trellix Managed Detection and Response (MDR) – Phát hiện và phản hồi mối đe dọa 24/7 với AI

Trellix Helix: Giải pháp đưa các mối đe dọa ẩn mình ra ánh sáng

Các công cụ an ninh mạng truyền thống thường xem mỗi giai đoạn của kỹ thuật AS-REP Roasting là một sự kiện đơn lẻ, vô hại. Tuy nhiên, nền tảng Trellix Helix đã thay đổi hoàn toàn cục diện này bằng cách xâu chuỗi những mảnh nhiễu rải rạc thành một câu chuyện cảnh báo rõ ràng và có thể hành động ngay lập tức qua 3 bước:

Bước 1 - Phát hiện dấu vết siêu nhỏ

Helix bắt đầu chú ý từ những hành vi nhỏ nhất, chẳng hạn như một đợt quét trinh sát nhỏ hoặc một yêu cầu bất thường gửi đến bộ điều khiển miền. Những sự kiện này vốn có tiếng ồn cực thấp và rất dễ lún sâu vào các hoạt động hàng ngày của văn phòng, nhưng Helix vẫn tóm gọn để chuẩn bị cho bước tiếp theo.

Bước 2 - Phân tích và kết nối bức tranh toàn cảnh

Sử dụng các thuật toán phân tích nâng cao, Helix tự động khâu các cảnh báo có vẻ cô lập lại với nhau (bao gồm: truy vấn trinh sát + yêu cầu vé cấp quyền bất thường + nỗ lực trích xuất mã băm hash). Thay vì gửi đi 3 cảnh báo riêng lẻ có độ ưu tiên thấp, hệ thống sẽ gộp lại thành một cảnh báo duy nhất có độ ưu tiên tối cao mang tên: "AS-REP Roasting Attack in Progress".

Bước 3 - Giám sát đa điểm toàn diện

Helix đồng thời giám sát lưu lượng mạng (yêu cầu cấp vé), hoạt động của thiết bị đầu cuối (công cụ trích xuất hash) và nhật ký định danh (tài khoản người dùng liên quan). Cơ chế này ngăn chặn việc tin tặc ẩn mình ngay cả khi chúng thay đổi công cụ hay kỹ thuật tấn công, giúp doanh nghiệp chặn đứng nguy cơ hacker thiết lập quyền truy cập bền bỉ trong môi trường.

Đọc thêm: Trellix Endpoint Detection and Response – Nâng tầm phản ứng an ninh điểm cuối với AI 

Phòng thủ thông minh hơn nhờ năng lực thấu hiểu ngữ cảnh

Trellix Helix không chỉ đơn thuần thông báo hệ thống đang bị xâm nhập, mà còn chỉ rõ chính xác: Cái gì đang xảy ra, ở đâu, tại sao và doanh nghiệp cần phải làm gì.

Nhờ cơ chế chấm điểm rủi ro dựa trên ngữ cảnh thực tế, nếu một cuộc tấn công tiếng ồn thấp nhắm vào các máy chủ tài chính trọng yếu hoặc tài khoản của các lãnh đạo cấp cao, cảnh báo sẽ tự động được đẩy lên mức nghiêm trọng cao nhất. Điều này giúp đội ngũ SOC tập trung xử lý các mối đe dọa nguy hiểm trước mắt.

Đọc thêm: Top 7 dấu hiệu cảnh báo hệ thống mạng của bạn đang bị theo dõi ngầm

Bên cạnh đó, các cảnh báo tổng hợp của Helix luôn cung cấp một kịch bản rõ ràng cho đội ngũ bảo mật bao gồm: Bản đồ hóa theo ma trận MITRE ATT&CK, danh sách các tài sản bị ảnh hưởng cùng các bước khắc phục khuyến nghị. 

Hiểu rõ toàn bộ chuỗi tấn công từ khâu dò tìm tài khoản lỗi đến khâu trích xuất thông tin đăng nhập giúp doanh nghiệp nhanh chóng chặn đứng cuộc tấn công, reset các mật khẩu bị tổn thương và kích hoạt lại tính năng tiền xác thực nhanh hơn, giảm thiểu tối đa thời gian lưu trú của hacker trong mạng.

Lời kết

Kỹ thuật AS-REP Roasting là một cuộc tấn công tiếng ồn thấp nhưng lại có thể để lại những hậu quả cực kỳ nghiêm trọng. Bằng cách tận dụng khả năng liên kết dữ liệu đa nguồn từ Trellix Helix, doanh nghiệp có thể phát hiện sớm các mối đe dọa ẩn mình này một cách hiệu quả.

Đặc biệt, khi kết hợp với tính năng tự động hóa nâng cao Trellix Hyperautomation, doanh nghiệp sẽ có thêm một "lực lượng số" phản ứng nhanh: tự động reset mật khẩu, ứng dụng AI điều tra cảnh báo và làm giàu dữ liệu tình báo mối đe dọa, giúp bảo vệ vững chắc hệ thống cốt lõi và dữ liệu người dùng trước mọi cuộc tấn công tàng hình.

Nguồn: Stopping a Low Noise Attack Using Trellix Helix