Data exfiltration là gì?

Mục lục

1. Data exfiltration là gì và khác gì với rò rỉ dữ liệu?
2. Dữ liệu bị đưa ra ngoài như thế nào? Các giai đoạn thực tế
3. Có những kênh exfiltration nào? Phân loại theo MITRE ATT&CK
4. Ví dụ tình huống: một vụ exfiltration diễn ra thế nào?
5. Dấu hiệu nhận biết exfiltration đang diễn ra
6. Ai và cái gì là mục tiêu? Dữ liệu nào bị nhắm tới
7. Hậu quả với doanh nghiệp và khía cạnh pháp lý
8. Cách phòng chống data exfiltration
9. Ma trận ưu tiên: bắt đầu từ đâu khi nguồn lực có hạn
10. Data exfiltration so với các khái niệm gần
11. Khi nào cần đầu tư mạnh vào chống exfiltration?
12. Câu hỏi thường gặp

Data exfiltration là gì và khác gì với rò rỉ dữ liệu?

Data exfiltration (còn gọi là data extrusion, data exportation hay data theft) là hành vi truyền dữ liệu trái phép từ một máy tính hoặc mạng ra vị trí bên ngoài. Vị trí đó có thể là hệ thống do kẻ tấn công kiểm soát. Tiếng Việt thường dịch là “đánh cắp dữ liệu” hoặc “rút trộm dữ liệu”.

Cần phân biệt ba khái niệm hay bị dùng lẫn:

• Rò rỉ dữ liệu (data leak): dữ liệu lộ ra ngoài, thường do cấu hình sai hoặc sơ suất. Ví dụ: bucket lưu trữ để công khai, gửi nhầm file cho người lạ. Không nhất thiết có kẻ chủ động lấy.
• Vi phạm dữ liệu (data breach): khái niệm rộng, chỉ việc dữ liệu bị truy cập hoặc lộ trái phép, bất kể nguyên nhân.
• Exfiltration: hành động có chủ đích, đưa dữ liệu từ bên trong ra bên ngoài. Đây thường là bước cuối của một chuỗi tấn công và là lúc thiệt hại thành hiện thực.

Trang web của bộ MITRE ATT&CK mô tả chiến thuật Exfiltration là giai đoạn kẻ tấn công trích dữ liệu khỏi hệ thống mà chúng đã kiểm soát. Nó đứng sau các bước thâm nhập, di chuyển ngang và thu thập dữ liệu.

Một điểm hay bị bỏ sót: exfiltration không chỉ do người ngoài. Nó cũng xảy ra khi một người được tin tưởng truy cập thông tin trái phép để làm gián điệp doanh nghiệp hoặc lấy cắp bí mật kinh doanh. Nhân viên sắp nghỉ việc mang danh sách khách hàng sang đối thủ là một dạng điển hình.

Dữ liệu bị đưa ra ngoài như thế nào? Các giai đoạn thực tế

Một vụ exfiltration hiếm khi là một thao tác đơn lẻ. Hình dưới mô tả chuỗi thường gặp, từ lúc kẻ tấn công có chỗ đứng trong hệ thống đến khi dữ liệu rời đi.

Hai chi tiết kỹ thuật đáng chú ý ở bước 4:

• Nén và mã hoá: kẻ tấn công đóng gói dữ liệu bằng nén hoặc mã hoá để tránh bị phát hiện. Hệ quả là công cụ chỉ quét nội dung sẽ không đọc được file.
• Chia nhỏ: kẻ tấn công có thể gửi dữ liệu theo từng khối kích thước cố định, hoặc giữ gói tin dưới ngưỡng nhất định để không kích hoạt cảnh báo lưu lượng. Vì vậy một ngưỡng “cảnh báo khi gửi trên X MB” dễ bị lách.

Có những kênh exfiltration nào? Phân loại theo MITRE ATT&CK

MITRE ATT&CK liệt kê 9 kỹ thuật trong chiến thuật Exfiltration (TA0010). Cách nhớ dễ nhất là chia theo “đường ra” của dữ liệu.

Nhóm kênh	Cách hoạt động	Vì sao khó thấy
Qua kênh điều khiển (C2)	Dùng cùng giao thức với liên lạc điều khiển để đưa dữ liệu đi qua đường truyền thông thường.	Lẫn với lưu lượng mã độc vốn đã “đi ra” đều đặn.
Qua dịch vụ web và đám mây	Đẩy dữ liệu lên lưu trữ đám mây, kho mã nguồn hoặc trang lưu văn bản.	Tên miền hợp lệ, thường đã được cho phép trong tường lửa.
Qua giao thức thay thế	Dùng giao thức khác với kênh C2, kể cả DNS tunneling hoặc kênh mã hoá không phải C2.	Nhiều doanh nghiệp không giám sát DNS đi ra.
Qua thiết bị vật lý	Dùng USB hoặc ổ cứng ngoài, thường áp dụng với hệ thống bị ngắt kết nối mạng.	Không để lại dấu vết trong lưu lượng mạng.

Với DNS tunneling, kẻ tấn công nhét dữ liệu vào các truy vấn tên miền. Nếu bạn muốn hiểu giao thức nền, xem bài về hệ thống tên miền DNS; điểm cần nhớ ở đây là một máy gửi hàng nghìn truy vấn bất thường tới một tên miền lạ là tín hiệu đáng điều tra.

Ví dụ tình huống: một vụ exfiltration diễn ra thế nào?

Tình huống cho thấy vì sao exfiltration khác ransomware. Với ransomware, nạn nhân biết ngay vì file bị khoá. Exfiltration diễn ra âm thầm hơn: dữ liệu không bị phá huỷ ngay mà bị đưa ra ngoài lặng lẽ, nên tổ chức chỉ phát hiện khi đã muộn. Hai thứ còn có thể đi cùng nhau: nhiều nhóm mã độc tống tiền lấy cắp dữ liệu trước khi mã hoá để đe doạ công bố (gọi là tống tiền kép). Cách phòng riêng cho loại này nằm ở bài mã độc tống tiền.

Dấu hiệu nhận biết exfiltration đang diễn ra

Không có dấu hiệu đơn lẻ nào đủ kết luận. Theo cách tiếp cận của các nhà cung cấp giải pháp giám sát, phát hiện exfiltration là bài toán chuỗi sự kiện, vì một kết nối đi ra riêng lẻ hiếm khi đáng ngờ, nhưng file nén được gom sẵn, tiếp theo là đường giao thức lạ rồi hành vi tài khoản bất thường thì kể một câu chuyện khác.

Các tín hiệu nên có trong danh sách theo dõi:

• Khối lượng: một máy hoặc tài khoản gửi ra ngoài nhiều hơn hẳn mức thông thường của chính nó (so với đường cơ sở của riêng máy đó, không phải ngưỡng chung).
• Thời gian: truyền dữ liệu lớn vào ngoài giờ làm việc, cuối tuần hoặc ngày nghỉ lễ.
• Đích đến: kết nối tới tên miền mới đăng ký, địa chỉ IP ở quốc gia doanh nghiệp không có giao dịch, hoặc dịch vụ lưu trữ cá nhân không được phê duyệt.
• Dấu vết chuẩn bị: xuất hiện file nén lớn (zip, rar, 7z) ở thư mục tạm; tiến trình lạ truy cập hàng loạt file.
• Hành vi tài khoản: đăng nhập từ vị trí hoặc thiết bị bất thường, tải hàng loạt từ hệ thống CRM, ERP hoặc kho mã nguồn.
• DNS bất thường: lượng truy vấn lớn, tên miền con dài và ngẫu nhiên tới cùng một miền.

Muốn kết nối các tín hiệu này thành một câu chuyện, doanh nghiệp cần nơi tập trung nhật ký. Nguyên lý nằm trong bài về hệ thống SIEM, nơi nhật ký từ máy chủ, tài khoản và mạng được đối chiếu với nhau.

Ai và cái gì là mục tiêu? Dữ liệu nào bị nhắm tới

Kẻ tấn công không lấy ngẫu nhiên. Trong nhiều tình huống, những loại dữ liệu nhất định được nhắm tới. Tên đăng nhập, mật khẩu và thông tin xác thực nằm trong danh sách bị săn nhiều. Với doanh nghiệp Việt Nam, nhóm dữ liệu thường đáng giá gồm:

• Danh sách khách hàng kèm số điện thoại, email, lịch sử mua hàng.
• Hồ sơ nhân sự: số căn cước, lương, tài khoản ngân hàng.
• Bảng giá, hợp đồng, báo giá thầu, công thức sản xuất, bản vẽ.
• Mã nguồn, khoá API, tệp cấu hình chứa mật khẩu cơ sở dữ liệu.
• Cơ sở dữ liệu thông tin xác thực của hệ thống thư mục. Đây là món đặc biệt nguy hiểm vì cho phép bẻ khoá mật khẩu ngoại tuyến và leo thang quyền.

Về nguồn gây ra, có hai nhóm. Tấn công từ bên ngoài và mối đe doạ nội bộ là hai cách chính để dữ liệu bị đưa ra ngoài. Về nhóm nội bộ, báo cáo của Proofpoint cho biết hai trong ba sự cố nội bộ là do vô tình, chẳng hạn gửi file qua tài khoản cá nhân vì tiện. Vì vậy một chương trình phòng chống chỉ tập trung vào “hacker” sẽ bỏ sót nửa bức tranh.

Khâu mở đầu thường là lừa người dùng, xem thêm tấn công lừa đảo tâm lý.

Hậu quả với doanh nghiệp và khía cạnh pháp lý

Hậu quả không chỉ là mất dữ liệu. Bí mật kinh doanh lọt sang đối thủ, khách hàng bị lừa đảo bằng thông tin thật của họ, và doanh nghiệp phải điều tra, thông báo, xử lý khiếu nại. Khác với sự cố gián đoạn dịch vụ, dữ liệu đã bị sao chép thì không thể “khôi phục” theo nghĩa lấy lại độc quyền.

Khi dữ liệu bị đưa ra ngoài có chứa dữ liệu cá nhân, doanh nghiệp còn phải thực hiện nghĩa vụ báo cáo vi phạm cho cơ quan chức năng. Nội dung chi tiết, thời hạn và hồ sơ nằm ở bài bảo vệ dữ liệu cá nhân. Điều quan trọng cho việc ứng phó: bạn phải xác định được dữ liệu nào, của ai, bao nhiêu bản ghi đã rời đi. Muốn trả lời được, cần có nhật ký truy cập và lưu lượng giữ đủ lâu.

Cách phòng chống data exfiltration

Phòng chống hiệu quả chia theo ba điểm chặn: trước khi kẻ tấn công chạm được dữ liệu, khi dữ liệu bị gom, và khi dữ liệu đi ra.

1. Giảm thứ có thể bị lấy

• Phân quyền theo nhu cầu: nhân viên kinh doanh không cần quyền đọc toàn bộ thư mục kế toán.
• Thu hồi tài khoản và quyền ngay khi nhân sự nghỉ việc hoặc chuyển bộ phận.
• Phân loại dữ liệu để biết đâu là thứ phải bảo vệ nghiêm nhất, tránh xử lý mọi file như nhau.
• Mã hoá dữ liệu lưu trữ để file bị lấy ra vẫn khó dùng. Nhớ rằng nếu kẻ tấn công có tài khoản hợp lệ thì dữ liệu được giải mã khi truy cập, nên mã hoá không thay thế phân quyền. Xem thêm mã hoá dữ liệu.

2. Kiểm soát đường ra

• Áp dụng chính sách “mặc định chặn” cho lưu lượng đi ra từ máy chủ: máy chủ cơ sở dữ liệu thường không có lý do truy cập internet tự do.
• Lọc DNS và giới hạn máy nội bộ dùng bộ phân giải DNS do doanh nghiệp quản lý.
• Hạn chế dịch vụ đám mây cá nhân; cho phép tài khoản doanh nghiệp, chặn tài khoản cá nhân trên cùng dịch vụ.
• Khoá cổng USB hoặc chỉ cho phép thiết bị đã đăng ký đối với máy xử lý dữ liệu nhạy cảm.

3. Giám sát và phản ứng

• Triển khai DLP (Data Loss Prevention, chống thất thoát dữ liệu) với quy tắc theo mẫu dữ liệu, ví dụ định dạng số căn cước hoặc từ khoá trong hợp đồng.
• Bật bảo vệ trên thiết bị đầu cuối để thấy tiến trình nén và gửi file. Chi tiết ở bài bảo mật thiết bị đầu cuối.
• Thiết lập đường cơ sở hành vi cho từng tài khoản và máy chủ (UEBA) để phát hiện chuyển động bất thường thay vì dùng một ngưỡng cho tất cả.
• Soạn sẵn kịch bản: ai cô lập máy, ai khoá tài khoản, ai liên hệ nhà cung cấp đám mây để xoá bản sao.

Về nguyên tắc kiến trúc, mô hình không mặc định tin tưởng bất kỳ kết nối nào, kể cả từ bên trong, giúp thu hẹp phạm vi một tài khoản bị chiếm có thể chạm tới. Xem mô hình zero trust.

Ma trận ưu tiên: bắt đầu từ đâu khi nguồn lực có hạn

Doanh nghiệp vừa và nhỏ khó triển khai mọi lớp cùng lúc. Một cách chọn: đặt từng loại dữ liệu lên hai trục, độ nhạy cảm và mức độ tiếp xúc với kênh đi ra.

Ví dụ minh hoạ: máy tính của nhân viên kinh doanh chứa danh sách khách hàng (nhạy cảm cao) và thường dùng email, ổ đám mây cá nhân, USB (tiếp xúc cao), nên rơi vào góc ưu tiên số một. Máy chủ cơ sở dữ liệu ít ra internet nhưng chứa dữ liệu quan trọng thì cần mã hoá và phân quyền chặt. Nếu quy mô còn nhỏ, bài an ninh mạng cho doanh nghiệp nhỏ gợi ý thứ tự đầu tư.

Data exfiltration so với các khái niệm gần

Khái niệm	Bản chất	Khác biệt chính
Data exfiltration	Hành động chuyển dữ liệu ra ngoài trái phép	Có chủ đích, thường là bước cuối của chuỗi tấn công hoặc hành vi nội gián.
Data leak	Dữ liệu lộ ra do sơ suất hoặc cấu hình sai	Không cần kẻ tấn công chủ động.
Data breach	Sự cố dữ liệu bị truy cập hoặc lộ trái phép	Khái niệm rộng, exfiltration là một cách gây ra breach.
Ransomware	Mã hoá dữ liệu để đòi tiền chuộc	Làm dữ liệu không dùng được; exfiltration thì dữ liệu vẫn nguyên nhưng bị sao chép.
DLP	Nhóm giải pháp chống thất thoát dữ liệu	Là biện pháp phòng chống, không phải loại tấn công.

Khi nào cần đầu tư mạnh vào chống exfiltration?

Nên ưu tiên sớm nếu doanh nghiệp giữ dữ liệu cá nhân số lượng lớn (bán lẻ, tài chính, y tế, giáo dục), sở hữu bí mật kỹ thuật (sản xuất, phần mềm), hoặc có nhiều nhân sự nghỉ việc và làm việc từ xa bằng thiết bị cá nhân. Với doanh nghiệp rất nhỏ chưa có dữ liệu nhạy cảm tập trung, việc triển khai DLP đầy đủ có thể chưa cần; xác thực mạnh, phân quyền, sao lưu và chặn thiết bị lạ đã giải quyết phần lớn rủi ro. Một vài biện pháp nền như bật xác thực đa yếu tố nằm ở bài xác thực đa yếu tố.

Với khung quản trị rộng hơn (bộ ba bảo mật, cấp độ hệ thống thông tin), xem bài trụ cột an toàn thông tin.

Câu hỏi thường gặp

Data exfiltration có phải là hack không?

Không hoàn toàn. Hack (xâm nhập) thường là bước trước, còn exfiltration là bước đưa dữ liệu ra. Ngoài ra, một nhân viên có quyền hợp lệ vẫn có thể exfiltrate dữ liệu mà không cần hack.

Mã hoá dữ liệu có ngăn được exfiltration không?

Mã hoá làm giảm giá trị của file bị lấy, nhưng không ngăn việc sao chép. Nếu kẻ tấn công dùng tài khoản hợp lệ, hệ thống tự giải mã khi truy cập. Cần kết hợp phân quyền và giám sát đường ra.

Firewall có đủ để chặn không?

Thường là chưa. Dữ liệu hay đi qua dịch vụ đám mây hợp lệ hoặc giao thức như DNS, thứ mà quy tắc tường lửa mặc định thường cho phép. Cần thêm lọc đầu ra, DLP và giám sát hành vi.

Làm sao biết dữ liệu đã bị đưa ra ngoài?

Tìm chuỗi dấu hiệu: file nén bất thường, lưu lượng đi ra tăng vào ngoài giờ, kết nối tới đích lạ, tài khoản tải hàng loạt. Nhật ký lưu lượng và truy cập giữ đủ lâu là điều kiện để xác định phạm vi sau sự cố.

Nhân viên nội bộ có phải nguồn chính không?

Cả hai nguồn đều quan trọng. Tấn công từ ngoài và nội bộ đều là kênh chính; trong sự cố nội bộ, phần lớn theo báo cáo của Proofpoint là vô tình, nên đào tạo và công cụ chặn gửi nhầm cũng có giá trị.

Phát hiện exfiltration xong thì làm gì trước?

Cô lập máy hoặc tài khoản liên quan để cắt kênh đi ra, giữ nguyên nhật ký làm bằng chứng, rồi xác định loại dữ liệu bị ảnh hưởng. Nếu có dữ liệu cá nhân, chuẩn bị hồ sơ báo cáo theo quy định.