Nhìn lại lịch sử cybersecurity, phần lớn những năng lực phòng thủ mà chúng ta đang coi là tiêu chuẩn hôm nay đều được hình thành sau một sự cố. Từ Morris Worm, Code Red, Pegasus đến Capital One, mỗi sự cố đều tạo ra một bước chuyển trong cách ngành nhìn nhận và quản trị rủi ro. Khi AI đang thay đổi cách hệ thống vận hành, câu hỏi đặt ra là: điểm bùng phát rủi ro tiếp theo sẽ nằm ở đâu?
Có một cách để ta nhìn lại lịch sử ngành Cybersecurity: Đừng bắt đầu từ danh mục sản phẩm bảo mật. Hãy bắt đầu từ những lần chúng ta gặp sự cố. Mọi thứ chúng ta đang dùng hôm nay - từ quy trình, framework cho đến cả những chức danh trong team - đều không xuất hiện từ một bản kế hoạch nào cả. Chúng xuất hiện sau một sự cố, khi ai đó nhận ra rằng thứ mình đang có không còn đủ.
Bốn mốc dưới đây không phải bốn vụ tấn công lớn nhất trong lịch sử. Chúng được lựa chọn vì mỗi mốc đánh dấu một lần ngành này buộc phải thừa nhận rằng mô hình phòng thủ đang sử dụng không còn phù hợp với hệ thống hiện đang vận hành.
1. 1988 - Morris Worm: Khi sự cố đầu tiên khai sinh ra Incident Response
Ngày 2/11/1988, Internet là một không gian hoàn toàn sơ khai, chủ yếu kết nối các viện nghiên cứu, trường đại học và cơ quan chính phủ với quy mô chừng 60.000 máy tính. Khái niệm an ninh mạng lúc bấy giờ còn đơn giản là chưa tồn tại.
Robert Tappan Morris, một nghiên cứu sinh tại Đại học Cornell, đã phát tán một chương trình tự nhân bản từ một máy đặt tại MIT để che giấu nguồn gốc. Chương trình này khai thác đồng thời ba điểm yếu kinh điển trên hệ thống Unix thời đó:
sendmail: Phần mềm nhận email vốn bật sẵn chế độ debug cho phép chạy lệnh từ xa.
fingerd: Dịch vụ tra cứu thông tin người dùng mắc lỗi tràn bộ đệm (buffer overflow).
rsh: Cơ chế đăng nhập từ xa dựa trên quan hệ tin cậy giữa các máy kèm mật khẩu yếu.
Sự lây lan chóng mặt của worm xuất phát từ thiết kế đa đường vào: nếu một cổng bị chặn, mã độc vẫn còn hai hướng khác để xâm nhập. Tuy nhiên, thảm họa thực sự lại đến từ một lỗi logic trong thuật toán kiểm soát tái nhiễm. Tỷ lệ tự sao chép bị tính toán sai khiến một máy tính có thể cộng dồn hàng chục bản sao cùng lúc, làm cạn kiệt toàn bộ tài nguyên CPU và bộ nhớ rồi làm tê liệt hệ thống. Ước tính khoảng 6.000 máy bị ảnh hưởng - chiếm khoảng 10% quy mô Internet khi đó.
Thứ lộ ra sau đống tro tàn ấy còn đáng sợ hơn cả con số 10%: hoàn toàn không có một đầu mối trung tâm nào đứng ra điều phối ứng cứu. Mỗi tổ chức phải tự mày mò dịch ngược mã độc, tự vá lỗi và truyền tay nhau qua các mailing list thủ công. Mọi thứ vận hành được chỉ nhờ sự kết nối tự phát của vài chục chuyên gia tình cờ quen biết.
Nhận ra khoảng trống tai hại này, DARPA đã giao cho Viện Kỹ thuật Phần mềm (SEI) tại Đại học Carnegie Mellon xây dựng một đầu mối chuyên trách. CERT/CC (Computer Emergency Response Team / Coordination Center) ra đời ngay trong tháng 11/1988. Phần lớn khung pháp lý và quy trình Phản ứng Sự cố (Incident Response) mà chúng ta đang sử dụng ngày nay được sinh ra từ chính cuộc khủng hoảng không được chuẩn bị trước đó.
2. 2001 - Code Red: Khoảng trễ vá lỗi (Patch Gap) là một dạng rủi ro hệ thống
Mười ba năm sau, lịch sử lặp lại với một hình thái tinh vi hơn và quy mô lớn hơn gấp nhiều lần.
Ngày 18/6/2001, Microsoft phát hành bản vá MS01-033 để xử lý lỗ hổng tràn bộ đệm trong Index Server (CVE-2001-0500) trên máy chủ web IIS. Lỗ hổng này sau đó được định danh là CVE-2001-0500 .Điểm quan trọng là bản vá đã tồn tại trước khi cuộc tấn công xảy ra. Khoảng trống nằm ở việc triển khai bản vá.
Đến ngày 19/7/2001, biến thể Code Red version 2 (CRv2) bùng nổ sau khi thay đổi cơ chế sinh số ngẫu nhiên từ dạng tĩnh sang dạng động. Thay vì quét cùng một dải IP khiến các con worm tự giẫm chân nhau, mỗi máy nhiễm giờ đây tự quét một danh sách độc lập. Thay đổi nhỏ đó đẩy tốc độ lây nhiễm lên mức kỷ lục: hơn 359.000 máy tính bị hạ gục chỉ trong chưa đầy 14 giờ, với đỉnh điểm ghi nhận hơn 2.000 host mới mỗi phút (theo số liệu từ CAIDA).
Một điểm cần phân biệt là Code Red II là một worm khác, xuất hiện ngày 4/8/2001. Nó sử dụng cùng vector khai thác với Code Red nhưng có payload khác, cài backdoor và ưu tiên lây lan sang các máy trong cùng subnet.
Morris Worm cho thấy một chương trình tự sao chép có thể gây gián đoạn trên Internet. Code Red đưa vấn đề lên một cấp độ khác: khi hệ thống đã đủ lớn, khoảng trễ giữa “đã có bản vá” và “đã triển khai bản vá” có thể trở thành một rủi ro ở quy mô toàn hệ thống.
Patch gap từ đó không còn đơn thuần là một vấn đề vận hành nội bộ. Nó trở thành một yếu tố rủi ro có thể đo lường và có thể trực tiếp quyết định tốc độ lan rộng của một cuộc tấn công. Từ đây, Quản trị lỗ hổng (Vulnerability Management), Quy trình Patching chuẩn hóa và hệ thống IDS/IPS chính thức trở thành yêu cầu sống còn của mọi hệ thống kết nối mạng.
3. 2016 - Pegasus và Ahmed Mansoor: Khi “Endpoint” có thể là một con người
Tháng 8/2016, nhà hoạt động nhân quyền Ahmed Mansoor nhận được tin nhắn SMS lạ chứa liên kết hứa hẹn hé lộ thông tin về những vụ tra tấn trong tù. Cảnh giác trước cạm bẫy, ông không truy cập đường link mà chuyển tiếp tin nhắn cho Citizen Lab - nhóm nghiên cứu tại Munk School, tại Đại học Toronto, chuyên điều tra việc sử dụng phần mềm gián điệp nhắm vào các nhà hoạt động và nhà báo.
Bên dưới đường link đó là Trident - chuỗi 3 lỗ hổng zero-day trên iOS:
CVE-2016-4657: Lỗi bộ nhớ trong WebKit mở đường đột nhập khi mở trang web.
CVE-2016-4655: Lỗi rò rỉ thông tin kernel, được sử dụng để vượt qua KASLR
CVE-2016-4656: Lỗi trong kernal cho phép thực thi mã độc, tiến hành jailbreak thiết bị hoàn toàn từ xa.
Chuỗi khai thác này kích hoạt phần mềm gián điệp Pegasus do NSO Group phát triển. Điểm chấn động của sự cố không nằm ở kỹ thuật tấn công ồn ào, mà ở sự dịch chuyển toàn diện của mô hình mục tiêu: không có worm quét hàng trăm nghìn server, không cần người dùng cài đặt một phần mềm lạ hay nhập mật khẩu, không có lượng traffic bất thường đủ lớn để dễ dàng bị phát hiện bởi các hệ thống giám sát truyền thống. Một chuỗi khai thác có giá trị thị trường lên tới hàng trăm nghìn đến khoảng một triệu USD được sử dụng để nhắm vào đúng một chiếc điện thoại của một cá nhân duy nhất.
Định nghĩa “Endpoint” từ mốc này đã thay đổi vĩnh viễn. Nó không còn là một thiết bị nằm trong danh sách tài sản cần bảo vệ. Nó có thể là một cá nhân cụ thể, và mức độ đầu tư của kẻ tấn công có thể được quyết định bởi giá trị của chính mục tiêu đó.
4. 2019 - Capital One: Cloud không có lỗi, lỗi ở cấu hình
Ngày 22 và 23/3/2019, dữ liệu của ngân hàng Capital One bị truy cập trái phép.
Sự cố không được phát hiện trong khoảng bốn tháng. Đến ngày 17/7/2019, một người dùng GitHub phát hiện bài đăng của kẻ tấn công về dữ liệu đã lấy được và báo cho Capital One thông qua chương trình Responsible Disclosure. Ngày 19/7, sau điều tra nội bộ, Capital One xác định đã có truy cập trái phép và thông báo cho FBI. Sự việc được công bố ra công chúng ngày 29/7
Khoảng 100 triệu người tại Mỹ và 6 triệu người tại Canada bị ảnh hưởng. Không có số thẻ tín dụng hay thông tin đăng nhập bị lộ.
Điểm đáng chú ý nằm ở chuỗi tấn công. Theo hồ sơ của Bộ Tư pháp Mỹ và các phân tích sau đó, cuộc tấn công gồm bốn bước:
Một tường lửa ứng dụng web (WAF) bị cấu hình sai, cho phép khai thác SSRF (Server-Side Request Forgery) - kiểu tấn công lừa máy chủ tự đứng ra gửi request thay mình, qua đó, chạm được vào những địa chỉ nội bộ mà từ bên ngoài không gọi tới được.
Máy chủ chạy WAF được gán một IAM role có phạm vi quyền rộng hơn mức cần thiết.
Kẻ tấn công dùng SSRF truy cập vào EC2 Metadata Service - một địa chỉ nội bộ mà mọi máy ảo trên AWS đều truy cập được để đánh cắp credential tạm thời của IAM Role.
Bộ Credential này có đủ quyền để liệt kê và đọc dữ liệu trong S3, dịch vụ lưu trữ object của AWS.
Điều đáng chú ý là không có zero-day và cũng không có thành phần Cloud nào tự thân bị lỗi. Các thành phần đều hoạt động theo đúng cách chúng được cấu hình.
Khoảng trống nằm ở mối quan hệ giữa chúng: một cấu hình sai ở lớp ứng dụng, kết hợp với một IAM Role được cấp quyền rộng tay là đủ để biến kiến trúc đó thành cửa ngõ tới toàn bộ dữ liệu phía sau. Đây cũng là lúc Cloud Security, IAM, Configuration Management, CSPM và Shared Responsibility Model chuyển từ những khái niệm mang tính lý thuyết thành các năng lực phải được đưa vào vận hành thực tế.
5. Điểm bùng phát tiếp theo: AI đang đứng ở đâu trong chu kỳ lịch sử?
Nhìn dọc theo chuỗi 4 thập kỷ, một quy luật ngầm lộ diện rõ ràng: Mỗi khi một làn sóng công nghệ mới đạt đến quy mô đại trà, ngành an ninh mạng luôn trải qua một khoảng trễ quản trị và khoảng trễ đó thường khép lại bằng một cuộc khủng hoảng hệ thống.
Sau mỗi sự cố, ngành Cybersecurity lại được bổ sung thêm những lớp năng lực phòng thủ mới: sản phẩm, quy trình, framework và regulation. Quan trọng hơn, mỗi lần như vậy lại mở ra một cách nhìn mới về Risk.
Làn sóng AI hiện tại đang đứng ngay ranh giới của điểm bùng phát đó. Điểm khác biệt là các rủi ro mới không xuất hiện dưới dạng một mã độc phá hoại phần cứng, mà nằm ở sự đứt gãy kiến trúc vận hành:
Prompt Injection: Việc chèn lệnh độc hại trực tiếp vào luồng dữ liệu đầu vào khiến mô hình nhầm lẫn giữa dữ liệu và mệnh lệnh. Chúng ta đang loay hoay xử lý bằng filter và guardrail, giống hệt cách ngành CNTT từng chắp vá để chặn SQL Injection trước khi có chuẩn hóa Prepared Statement.
AI Agent tự trị: Các AI Agent đang được trao quyền thực thi và truy cập dữ liệu ở tốc độ machine-speed, lặp lại chính xác sai lầm cấp quyền lỏng lẻo của sự cố Capital One, nhưng ở cấp độ tự chủ cao hơn rất nhiều.
Ranh giới tin cậy giữa dữ liệu và chỉ thị: Mọi kiến trúc CNTT trước đây đều tách biệt được hai luồng này - code đi một đường, data đi một đường. Với các mô hình LLM, cả hai lại đi chung trên cùng một kênh. Đây là bản chất và đặc tính cốt lõi của mô hình chứ không phải một lỗi kỹ thuật chờ được vá.
6. Rủi ro không đến từ một cuộc tấn công và 5 chốt kiểm soát doanh nghiệp cần kiểm tra
Capital One vẫn cần một kẻ tấn công thực sự bước qua khe hở cấu hình. Nhưng với AI Agent, hệ thống có thể tự sụp đổ mà không cần bất kỳ tác nhân độc hại nào từ bên ngoài. Một agent chạy ở tốc độ máy có thể làm đúng chính xác những gì được cấu hình nhưng vẫn tự động duyệt nhầm hàng loạt khoản hoàn tiền, gửi sai danh sách khách hàng nhạy cảm, hay đưa ra một kết quả (output) sai lệch để làm đầu vào cho một quyết định chiến lược. Không ai xâm nhập, các công cụ giám sát hoàn toàn mù tịt vì không có bất kỳ dấu vết nào trông giống một cuộc tấn công.
Phần lớn các cuộc thảo luận về AI governance hiện nay đều được thiết kế quanh việc ngăn một vụ rò rỉ dữ liệu. Với bối cảnh này thì đó là hình dạng sai. Để không lặp lại sai lầm của các thế hệ đi trước, doanh nghiệp cần rà soát ngay 5 chốt kiểm soát cốt lõi:
Agent identity. Agent có danh tính riêng, hay đang mượn danh tính của một con người? (2016: endpoint trở thành một con người. Giờ con người đó là một service account.)
Permission boundary. Quyền theo phạm vi, có thời hạn, tối thiểu, cấp theo tác vụ chứ không theo cả hệ thống. (Capital One, bước 2.)
Human-in-the-loop. Xác định hành động nào tuyệt đối không được tự động. Thanh toán, thay đổi trên production, xuất dữ liệu, mọi thứ có đối tác bên ngoài tham gia. (Capital One, bước 4.)
Observability. Bạn có dựng lại được vì sao agent làm việc đó không, ở dạng mà auditor chấp nhận? (Capital One: bốn tháng không ai biết.)
Kill và rollback. Bạn có dừng được toàn bộ agent bằng một thao tác, và đảo ngược được thứ chúng đã làm không? (1988: không ai điều phối nổi việc phản ứng.)
Có thể vài năm nữa, giai đoạn 2022-2023 sẽ được nhìn lại theo cách ngành Cybersecurity nhìn về năm 1988. Không phải vì đó là thời điểm AI trở nên nguy hiểm. Mà vì thế, đó có thể là thời điểm ngành nhận ra rằng mô hình phòng thủ cũ đã không còn đủ cho một hệ thống mới.
Tác giả: Lê Ngọc Linh - Leader of Platform Security Engineers, FPT Smart Cloud
