ĐÀO TẠO AN TOÀN THÔNG TIN THEO CHUẨN QUỐC TẾ TRỰC TUYẾN

Các Hoạt động của Đội Đỏ (Red Team Engagements)

Giới thiệu

Chìa khóa thành công của một cuộc tấn công mô phỏng nằm ở sự phối hợp chặt chẽ giữa các bên liên quan trong việc lập kế hoạch và giao tiếp. Phần này sẽ tập trung vào các thành phần và quy trình lập kế hoạch, ghi chép cho một chiến dịch tấn công mô phỏng của đội đỏ.

Các hoạt động của đội đỏ có nhiều dạng, bao gồm:

• Diễn tập mô phỏng trên giấy (tabletop exercise)
• Mô phỏng kẻ tấn công
• Đánh giá an ninh vật lý

Mục tiêu học tập

• Hiểu về các thành phần và chức năng trong một cuộc tấn công đỏ
• Học cách lập kế hoạch tấn công dựa trên nhu cầu, nguồn lực sẵn có, và các kỹ thuật tấn công
• Hiểu cách viết tài liệu mô tả cuộc tấn công phù hợp với mục tiêu của khách hàng

Xác định Phạm vi và Mục tiêu
Các cuộc tấn công mô phỏng có thể rất phức tạp và nhiều thủ tục. Chìa khóa thành công nằm ở việc xác định rõ ràng mục tiêu và kỳ vọng của khách hàng. Mục tiêu cần được thống nhất giữa khách hàng và đội đỏ. Không có mục tiêu rõ ràng, cuộc tấn công sẽ thiếu cấu trúc và kém hiệu quả.

Mục tiêu tấn công có thể là tổng quát như 1 bài kiểm tra xâm nhập mạng, hoặc tập trung vào mô phỏng 1 nhóm APT cụ thể nhắm vào ngành của tổ chức, như nhóm APT38 nhắm vào các tổ chức tài chính.

Mục tiêu của khách hàng cũng quyết định các quy tắc giao hữu và phạm vi tấn công tổng quát.
VD: Phạm vi tấn công của 1 khách hàng có thể như sau:

• Không được trích xuất dữ liệu
• Không tấn công vào các máy chủ production
• Mạng 10.0.3.8/18 nằm ngoài phạm vi
• Mạng 10.0.0.8/20 nằm trong phạm vi
• Nghiêm cấm gây gián đoạn hệ thống
• Nghiêm cấm trích xuất dữ liệu cá nhân

Một ví dụ về mục tiêu tấn công của một tổ chức trưởng thành với an ninh mạnh:

1. Xác định cấu hình sai và lỗ hổng mạng, tập trung vào hệ thống bên ngoài
2. Đánh giá hiệu quả của hệ thống phát hiện và phản hồi cuối (EDR)
3. Đánh giá tổng thể tư thế an ninh và khả năng đáp ứng
4. Đánh giá tác động của việc lộ và đánh cắp dữ liệu

Các Quy tắc Giao hữu (Rules of Engagement)

Quy tắc giao hữu là 1 khung pháp lý bao gồm mục tiêu và phạm vi tấn công chi tiết cùng các kỳ vọng của cả 2 bên. Đây là văn bản chính thức đầu tiên và đòi hỏi sự ủy quyền phù hợp giữa khách hàng và đội đỏ. Văn bản này thường đóng vai trò như hợp đồng giữa 2 bên.

Các quy tắc giao hữu sẽ khác nhau tùy khách hàng và đội đỏ, nhưng thường bao gồm các phần như:

• Tóm tắt điều hành: tóm tắt nội dung và thẩm quyền
• Mục đích
• Tài liệu tham khảo
• Phạm vi: Cam kết thực hiện theo các hạn chế và hướng dẫn
• Định nghĩa các thuật ngữ kỹ thuật
• Quy tắc giao hữu và thỏa thuận hỗ trợ
• Các yêu cầu, hạn chế và thẩm quyền với đội đỏ
• Các quy tắc cơ bản về giới hạn tương tác của đội đỏ
• Điểm liên hệ và giải quyết vấn đề
• Phê duyệt và chữ ký từ cả 2 bên
• Phụ lục cho các thông tin bổ sung

Lập kế hoạch chiến dịch
Lập kế hoạch chiến dịch vận dụng các thông tin từ mục tiêu của khách hàng và quy tắc giao hữu để xây dựng kế hoạch cụ thể về cách thức và phương pháp tấn công của đội đỏ.

Các loại kế hoạch bao gồm:

Kế hoạch Tham gia (Engagement Plan):
Mô tả tổng quát về yêu cầu kỹ thuật của đội đỏ, bao gồm:

• Khái niệm hoạt động (CONOPS): Tổng quan phi kỹ thuật về cách đội đỏ đáp ứng mục tiêu của khách hàng.
• Kế hoạch nguồn lực: Dòng thời gian, yêu cầu nguồn lực về con người, phần cứng, đám mây để đội đỏ thành công.

Kế hoạch vận hành (Operations Plan):
Mở rộng từ kế hoạch tham gia với các chi tiết cụ thể hơn như:

• Yêu cầu nhân sự
• Điều kiện dừng tấn công
• Quy tắc giao hữu (tùy chọn)
• Yêu cầu kiến thức

Kế hoạch nhiệm vụ (Mission Plan):

• Sổ tay lệnh chính xác về công cụ, thời gian thực hiện
• Thời gian bắt đầu từng giai đoạn tấn công
• Vai trò và trách nhiệm của từng thành viên

Kế hoạch khắc phục (Remediation Plan):

• Báo cáo tổng kết cuộc tấn công và phát hiện
• Tư vấn và hỗ trợ khách hàng khắc phục các lỗ hổng

Khái niệm hoạt động (CONOPS)

CONOPS mô tả tổng quan cấp cao về diễn biến của 1 cuộc tấn công, tương tự như phần tóm tắt điều hành trong báo cáo kiểm tra xâm nhập. Tài liệu này phục vụ tham khảo cho phía doanh nghiệp/khách hàng cũng như làm cơ sở để đội đỏ phát triển thêm các kế hoạch chiến dịch.

CONOPS cần được viết tương đối dễ hiểu, giả định người đọc chỉ có hiểu biết hạn chế về mặt kỹ thuật. Tuy nhiên không nên bỏ qua các chi tiết như công cụ phổ biến hay nhóm mục tiêu APT sẽ mô phỏng.

CONOPS nên bao gồm các thành phần chính:

• Tên khách hàng
• Đơn vị cung cấp dịch vụ
• Khung thời gian
• Mục tiêu/giai đoạn tổng quát
• Các mục tiêu huấn luyện khác (VD: trích xuất dữ liệu)
• Công cụ/kỹ thuật dự kiến sử dụng ở mức cao
• Nhóm APT sẽ mô phỏng (nếu có)

Ví dụ CONOPS cho 1 tổ chức trưởng thành:

Công ty Holo đã thuê TryHackMe đánh giá hạ tầng mạng và tư thế an ninh trong vòng 1 tháng. Chiến dịch sẽ sử dụng mô hình xâm nhập giả định bắt đầu từ hạ tầng tầng 3. Các điều hành viên sẽ lần lượt trinh sát và đáp ứng các mục tiêu. Nếu không đạt, họ sẽ di chuyển ngang hàng và leo thang đặc quyền trong mạng. Các điều hành viên cũng sẽ duy trì sự hiện diện trong 3 tuần. 1 đặc vụ tin cậy sẽ can thiệp nếu đội đỏ bị phát hiện. Ngày cuối cùng dành cho dọn dẹp và tư vấn khắc phục.

Khách hàng yêu cầu: đánh giá năng lực của đội xanh trong việc phát hiện và phòng thủ trước các cuộc tấn công thực tế, xác định rủi ro của kẻ thù trong mạng nội bộ. Đội đỏ sẽ sử dụng Cobalt Strike làm công cụ chính và chỉ dùng các công cụ khác tương thích với nhóm APT mục tiêu là FIN6.

Kế hoạch Nguồn lực (Resource Plan)
Kế hoạch nguồn lực là tài liệu thứ 2 của kế hoạch tham gia, bao gồm tổng quan về mốc thời gian, kiến thức cần thiết và yêu cầu về tài nguyên. Kế hoạch này mở rộng CONOPS với các chi tiết cụ thể hơn.

Không như CONOPS, kế hoạch nguồn lực không nên viết dưới dạng tóm tắt mà theo danh sách các tiểu mục. Các phần chính gồm có:

• Phần đầu: người soạn thảo, ngày tháng, khách hàng
• Thời gian tham gia: thời gian cho từng giai đoạn như trinh sát, xâm nhập ban đầu, khai thác và duy trì đặc quyền.
• Kiến thức cần thiết cho từng giai đoạn (tùy chọn)
• Yêu cầu tài nguyên: nhân sự, phần cứng, điện toán đám mây.

Kế hoạch Vận hành (Operations Plan)
Kế hoạch vận hành là tài liệu linh hoạt cung cấp chi tiết cụ thể về các hành động diễn ra trong cuộc tấn công. Kế hoạch này mở rộng CONOPS và bao gồm đa số thông tin cụ thể.

Giống như kế hoạch nguồn lực, kế hoạch vận hành nên sử dụng danh sách đầu dòng và các tiểu mục ngắn gọn bao gồm:

• Phần đầu: người soạn, ngày, khách hàng
• Điều kiện dừng/tạm dừng
• Nhân sự cần thiết
• Kỹ thuật tấn công cụ thể
• Kế hoạch truyền thông
• Quy tắc giao hữu (tùy chọn)

Kế hoạch truyền thông tóm tắt cách đội đỏ sẽ giao tiếp nội bộ và với khách hàng, có thể thông qua các công cụ như Vectr, email, Slack.

Kế hoạch Nhiệm vụ (Mission Plan)
Kế hoạch nhiệm vụ là tài liệu nội bộ của đội tấn công mô tả chính xác hành động cần thực hiện bởi từng thành viên. Tài liệu này sử dụng thông tin từ các kế hoạch trước và gán nhiệm vụ cụ thể.

Do là tài liệu nội bộ, cấu trúc của kế hoạch nhiệm vụ phụ thuộc vào từng nhóm và có thể đơn giản như email tới tất cả các điều hành viên. Các thông tin tối thiểu cần có gồm:

• Mục tiêu
• Người thực hiện
• Lỗ hổng/cuộc tấn công sử dụng
• Đối tượng (người dùng/máy/mục tiêu)
• Các phương án thực hiện

Kết luận

Phòng này đã đề cập cách chuyển hóa các kế hoạch chiến dịch thành tài liệu và chuẩn bị cho 1 cuộc tấn công đỏ thành công. Chủ đề xuyên suốt là mỗi đội đỏ sẽ có tài liệu và cách là m việc nội bộ riêng. Đây là khái niệm quan trọng cần nắm khi bước vào thực tế. Phòng này chỉ đóng vai trò hướng dẫn làm quen với các ý tưởng và khái niệm, cung cấp một khung tham khảo chứ không phải như một cẩm nang từng bước chi tiết. Khi lập kế hoạch tấn công, hãy nhớ rằng mục tiêu số 1 của bạn là đáp ứng yêu cầu của khách hàng.

Lập kế hoạch và ghi chép thường bị coi nhẹ nhưng lại rất quan trọng cho một cuộc tấn công thành công.

Ví dụ tình huống: Công ty Bluebird – Kế hoạch Tấn công

Giới thiệu:

• Bluebird Inc đã thuê SmartSec thực hiện cuộc tấn công mô phỏng APT nhằm vào hạ tầng CNTT của họ.
• Mục tiêu: Đánh giá khả năng của Bluebird trong việc phát hiện và ứng phó với một cuộc tấn công có chủ đích, xác định các lỗ hổng và rủi ro trong việc bảo vệ dữ liệu nhạy cảm.
• Thời gian: 4 tuần

Phạm vi:

• Cho phép tấn công vào mạng công ty 192.168.1.0/24
• Không làm gián đoạn các hệ thống quan trọng hoặc gây rò rỉ dữ liệu khách hàng
• Trích xuất tối đa 5 MB dữ liệu giả để chứng minh khả năng xâm nhập
• Cho phép tấn công qua mạng, lừa đảo qua email, khai thác lỗ hổng ứng dụng web

CONOPS:
SmartSec sẽ mô phỏng một cuộc tấn công APT của nhóm Fancy Bear trong 4 tuần nhắm vào mạng nội bộ của Bluebird. Các điều hành viên sẽ thực hiện trinh sát bị động, tìm kiếm lỗ hổng trên các máy chủ với địa chỉ 192.168.1.x. Phương pháp chính sẽ là lừa đảo nhân viên qua email để cài mã độc. Sau khi xâm nhập, đội sẽ duy trì truy cập, trích xuất dữ liệu giả và di chuyển ngang hàng để mở rộng quyền truy cập. Một đặc vụ tin cậy sẽ giám sát quá trình và can thiệp nếu đội đỏ bị phát hiện sớm.

Kế hoạch Nguồn lực:

• Ngày trinh sát: 3 ngày
• Ngày xâm nhập: 5 ngày
• Ngày duy trì truy cập và khai thác: 2 tuần
• Yêu cầu kiến thức:
• Kỹ năng tạo email lừa đảo
• Kiến thức lập trình mã độc
• Thành thạo thao túng powershell, WMI trên Windows
• Nhân sự: 2-3 chuyên gia bảo mật
• Phần cứng: 3 máy tính xách tay cấu hình tốt
• Môi trường phát triển mã độc an toàn

Kế hoạch vận hành:

• Tạm dừng nếu bị phát hiện sớm hoặc gây ra bất kỳ gián đoạn lớn
• Alice và Bob sẽ phụ trách soạn email, Carol phụ trách lập trình mã độc
• Các cuộc tấn công dự kiến:
• Lừa đảo nhân viên tải mã độc qua email
• Khai thác lỗ hổng RCE trên máy chủ web
• Sử dụng mimikatz trích xuất thông tin đăng nhập
• Sử dụng cobalt strike để duy trì truy cập
• Giao tiếp qua kênh chat mã hóa riêng

Kế hoạch nhiệm vụ:

• Alice: soạn email ngụy trang bản tin nội bộ, gửi tới 100 nhân viên vào thứ 2 9h sáng, đính kèm tập tin doc chứa mã độc
• Bob: chạy bộ công cụ khai thác lỗ hổng webshell trên máy chủ web vào thứ 4 2h chiều
• Carol: chuẩn bị các tải trọng cho mimikatz và cobalt strike sẵn sàng để triển khai sau khi xâm nhập thành công

Kết luận:
Qua ví dụ trên, chúng ta thấy việc lập kế hoạch tấn công mô phỏng APT đòi hỏi sự phối hợp chặt chẽ giữa các thành viên của đội đỏ. Mỗi cá nhân cần hiểu rõ vai trò và nhiệm vụ của mình. Các tài liệu như CONOPS, kế hoạch nguồn lực, kế hoạch vận hành giúp truyền đạt thông tin một cách có cấu trúc, đảm bảo đội luôn đi đúng hướng để đáp ứng mục tiêu của khách hàng. Lập kế hoạch kỹ lưỡng là chìa khóa cho một cuộc tấn công mô phỏng thành công và an toàn.

Trình bày bởi : Vinh Nguyen Trần Tường
Tài liệu hỗ trợ học tập và ôn thi Chứng Chỉ Quốc Tế CompTIA Pentest +
Chú ý : Các ví dụ chỉ là giả định cho dễ hiểu, không phải là tình huống thực tế.

Thực Hành & Giải Đáp Các Câu Hỏi : Yêu cầu đọc kỹ tài liệu được cung cấp bởi Room Red Team sau đó giải đáp các câu hỏi trên room, sau đây là một số đáp án tham khảo :

What CIDR range is permitted to be attacked?

• Dải mạng 10.0.4.0/22 được phép tấn công.

Is the use of white cards permitted? (Y/N)

• Có, việc sử dụng thẻ trắng (white card) được cho phép tùy thuộc vào thời gian downtime và độ dài.

Are you permitted to access “*.bethechange.xyz?” (Y/N)

• Không, mọi tương tác với “*.bethechange.xyz” đều bị cấm.

How many explicit restriction are specified?

• Có 3 hạn chế rõ ràng (explicit restrictions) được nêu: Use of white cards are strictly prohibited (Nghiêm cấm sử dụng thẻ trắng)
  Any form of DDoS or DoS is prohibited (Nghiêm cấm mọi hình thức tấn công từ chối dịch vụ DDoS hoặc DoS)
  Attacks against any system within 192.168.1.0/24 is prohibited (Nghiêm cấm tấn công bất kỳ hệ thống nào trong dải mạng 192.168.1.0/24)

What is the first access type mentioned in the document?

• Loại hình truy cập đầu tiên được đề cập trong phần “Activities” của tài liệu là “Reconnaissance” (Trinh sát).
  

Is the red team permitted to attack 192.168.1.0/24? (Y/N)

• Không có thông tin trong tài liệu về việc cho phép tấn công mạng 192.168.1.0/24.

When will the engagement end? (MM/DD/YYYY)

• Tuy nhiên, có một số mốc thời gian được đề cập trong ví dụ CONOPS (Khái niệm hoạt động):
  “Công ty Holo đã thuê TryHackMe đánh giá hạ tầng mạng và tư thế an ninh trong vòng 1 tháng.”
  “Các điều hành viên cũng sẽ duy trì sự hiện diện trong 3 tuần.”
  “Ngày cuối cùng dành cho dọn dẹp và tư vấn khắc phục.”
  Từ đó có thể suy ra cuộc tấn công mô phỏng sẽ kéo dài khoảng 1 tháng, với 3 tuần dành cho các hoạt động tấn công chính và 1 tuần cuối để dọn dẹp, báo cáo và tư vấn. Tuy nhiên đây chỉ là một ví dụ minh họa, thời gian thực tế của mỗi cuộc tấn công sẽ tùy thuộc vào thỏa thuận cụ thể giữa khách hàng và đội đỏ.
• Ngày kết thúc cuộc tấn công mô phỏng là 11/12/2021. Cụ thể, phần “ENGAGEMENT DATES” ghi rõ: “10/12/21 – 11/12/21”.
  

What is the budget the red team has for AWS cloud cost?

• Ngân sách mà đội đỏ yêu cầu cho chi phí sử dụng AWS cloud là $1000. Phần “Cloud Requirements” nêu rõ: “Red Cell is requesting a budget of $1000 for AWS cloud costs”.
  

Are there any miscellaneous requirements for the engagement? (Y/N)

• Không (N). Phần “Misc. Requirements” nêu rõ: “No other requirements are currently projected”.

What phishing method will be employed during the initial access phase?

• Trong giai đoạn truy cập ban đầu, đội đỏ sẽ sử dụng kỹ thuật “spearphishing via mshta and typosquatted domains”. Cụ thể, phần “Planned TTPs and Attacks” nêu rõ: “Due to the discovery of email addresses in the reconnaissance phase, spearphishing via mshta and typosquatted domains will be employed in the initial access phase.”
  

What site will be utilized for communication between the client and red cell?

• Trang web vectr.io sẽ được sử dụng để liên lạc nội bộ và với khách hàng “Bean Enterprises”. Phần “Communications Plan” nêu rõ: “Throughout the engagement the red cell will utilize vectr.io to communicate internally and with the client: “Bean Enterprises”.”
  

If there is a system outage, the red cell will continue with the engagement. (T/F)

• Sai (False). Phần “Halting/Stopping Conditions” nêu rõ: “In the event of a system outage all engagement operations will cease”. Tức là nếu xảy ra sự cố gián đoạn hệ thống, toàn bộ hoạt động tấn công sẽ tạm dừng.

When will the phishing campaign end? (mm/dd/yyyy)

• Theo tài liệu, chiến dịch lừa đảo (phishing) sẽ kéo dài từ 10/13/2021 đến 10/23/2021. Cụ thể, phần “Engagement Breakdown” nêu rõ: “Phishing campaign will last from 10/13/2021-10/23/2021.”
  

Are you permitted to attack 10.10.6.78? (Y/N)

• Không (N). Địa chỉ IP 10.10.6.78 không nằm trong danh sách các mục tiêu tấn công được liệt kê. Phần “External Targets” chỉ đề cập đến địa chỉ IP 10.10.6.29.
  

When a stopping condition is encountered, you should continue working and determine the solution yourself without a team lead. (T/F)

• Sai (False). Phần “Execution Variants” nêu rõ: “In the event of any varying events throughout the engagement, immediately contact a team lead and discuss how to continue.” Tức là khi gặp bất kỳ điều kiện dừng nào trong suốt quá trình tấn công, bạn nên lập tức liên hệ với trưởng nhóm và thảo luận cách xử lý, thay vì tự quyết định.

How long is the red cell expected to maintain persistence?

Theo ví dụ CONOPS (Khái niệm hoạt động) trong tài liệu, “Các điều hành viên cũng sẽ duy trì sự hiện diện trong 3 tuần.”

Cụ thể, phần CONOPS nêu rõ:

“Operators are also expected to execute and maintain persistence to sustain for a period of three weeks.”

Tạm dịch là:

“Các điều hành viên cũng được yêu cầu thực thi và duy trì sự hiện diện để kéo dài trong khoảng thời gian 3 tuần.”

Như vậy, theo ví dụ minh họa này, đội đỏ được kỳ vọng sẽ duy trì khả năng truy cập và kiểm soát hệ thống mục tiêu (tức là “persistence”) trong 3 tuần sau khi xâm nhập thành công.

Điều này cho phép đội đỏ có đủ thời gian để thực hiện các hoạt động trinh sát, leo thang đặc quyền, trích xuất dữ liệu nhằm đánh giá sâu hơn tư thế an ninh mạng của tổ chức.

Tuy nhiên, đây chỉ là một ví dụ minh họa. Thời gian duy trì persistence trên thực tế sẽ tùy thuộc vào thỏa thuận và mục tiêu cụ thể giữa khách hàng và đội đỏ trong từng trường hợp.

How long will the engagement last?

Tài liệu không nêu rõ tổng thời gian của cuộc tấn công mô phỏng sẽ kéo dài bao lâu. Tuy nhiên, có một số mốc thời gian được đề cập trong ví dụ CONOPS (Khái niệm hoạt động):

“Công ty Holo đã thuê TryHackMe đánh giá hạ tầng mạng và tư thế an ninh trong vòng 1 tháng.”

“Các điều hành viên cũng sẽ duy trì sự hiện diện trong 3 tuần.”

“Ngày cuối cùng dành cho dọn dẹp và tư vấn khắc phục.”

Từ đó có thể suy ra cuộc tấn công mô phỏng sẽ kéo dài khoảng 1 tháng, với 3 tuần dành cho các hoạt động tấn công chính và 1 tuần cuối để dọn dẹp, báo cáo và tư vấn. Tuy nhiên đây chỉ là một ví dụ minh họa, thời gian thực tế của mỗi cuộc tấn công sẽ tùy thuộc vào thỏa thuận cụ thể giữa khách hàng và đội đỏ.

What is the primary tool used within the engagement?

Theo ví dụ CONOPS (Khái niệm hoạt động) trong tài liệu, công cụ chính được sử dụng trong cuộc tấn công mô phỏng là Cobalt Strike.

Cụ thể, phần CONOPS nêu rõ:

“The red cell will accomplish objectives by employing the use of Cobalt Strike as the primary red cell tool.”

Tạm dịch là:

“Đội đỏ sẽ hoàn thành các mục tiêu bằng cách sử dụng Cobalt Strike như là công cụ chính.”

Cobalt Strike là một công cụ thương mại phổ biến trong lĩnh vực kiểm tra xâm nhập và mô phỏng tấn công APT. Nó cung cấp một framework toàn diện để trinh sát, khai thác lỗ hổng, cài đặt backdoor, leo thang đặc quyền và di chuyển ngang hàng trong mạng nội bộ.

Với nhiều tính năng tích hợp như Beacon (một dạng backdoor), Cobalt Strike cho phép các điều hành viên dễ dàng điều khiển các hệ thống bị xâm nhập và duy trì sự hiện diện trong thời gian dài mà không bị phát hiện bởi các giải pháp an ninh thông thường.

Việc sử dụng Cobalt Strike như công cụ chính cho thấy đội đỏ sẽ tập trung vào việc mô phỏng các chiến thuật, kỹ thuật và quy trình (TTPs) của các nhóm APT thực sự, nhằm đánh giá một cách toàn diện năng lực phát hiện và ứng phó của tổ chức trước các mối đe dọa tiên tiến.

Hãy truy cập TryHackMe CompTIA Pentest + , Red Team Room để xem thêm các tài liệu tham khảo !