Học tập

Tài nguyên

OPSEC: Tại Sao Red, Blue và Purple Team Đều Phải Hiểu Quy Trình Này?

Technical Writer

“Kẻ chiến thắng là người giữ được bí mật lâu nhất.”

OPSEC (Operations Security) - một thuật ngữ được sử dụng rộng rãi nhưng thường bị hiểu sai trong ngành an toàn thông tin. Nhiều người nhầm lẫn OPSEC với các biện pháp bảo mật chung chung hoặc đơn thuần là các mẹo sử dụng VPN và mã hóa. Thực tế, OPSEC là một quy trình có cấu trúc rõ ràng được phát triển trong thời kỳ chiến tranh để bảo vệ thông tin quan trọng. Bài viết này sẽ giải mã bản chất thực sự của OPSEC, quy trình 5 bước chuẩn của nó, và lý do tại sao các chuyên gia từ Red Team đến Blue Team đều cần nắm vững khái niệm này.

Nội dung chính

OPSEC là gì thực sự (và không phải là gì)?
Nguồn gốc lịch sử của OPSEC và tại sao nó vẫn quan trọng
Quy trình OPSEC 5 bước và cách triển khai
Phân biệt OPSEC, COMSEC và các khái niệm liên quan
Ứng dụng OPSEC trong các nhóm Red, Blue và Purple Team
Case study: Những hậu quả từ việc thiếu OPSEC trong thế giới thực

OPSEC là gì (và không phải là gì)

OPSEC không phải là "Operational Security" như nhiều người vẫn nhầm tưởng, mà là "Operations Security (OPSEC)"—Bảo mật Hoạt động theo (JP 3‑13.3),. Đây là một quy trình được quân đội Hoa Kỳ phát triển vào năm 1966 trong Chiến dịch Purple Dragon, nhằm điều tra những gì đã thất bại trong các chiến dịch quân sự ở Việt Nam

Bản chất của OPSEC là xác định và bảo vệ thông tin quan trọng - thông tin mà nếu vô tình rơi vào tay đối thủ có thể làm hỏng hoặc phá hỏng một nhiệm vụ, dự án, hoặc thậm chí tổn hại đến một tổ chức.

🔍 Góc Fun Fact
Điệp vụ Dodo: Năm 1966, quân đội Úc bắt được một nữ Việt Cộng đang núp trên trần hang động, bên cạnh là một đài phát tin Mỹ bị đánh cắp (mã danh "Dodo"). Vị trí đặt máy cho phép quan sát toàn bộ căn cứ đồng minh tại Núi Đất!

Quy trình OPSEC 5 bước và triển khai thực tế

Đúng như tên gọi, OPSEC là một quy trình có cấu trúc, không phải một loạt các biện pháp ngẫu nhiên. Quy trình chính thức bao gồm 5 bước:

1. Identify Critical Information (Xác định thông tin quan trọng)

Bước đầu tiên là xác định rõ bạn cần bảo vệ những thông tin cụ thể nào. Trong an ninh mạng, ví dụ những thông tin này có thể là:

Địa chỉ IP hoặc máy chủ C2 của Red Team.
Các công cụ và phương pháp phát hiện tấn công của Blue Team.
Chi tiết kỹ thuật về lỗ hổng zero-day đang nghiên cứu.
Thông tin về hệ thống phòng thủ nội bộ.

Một cách tiếp cận truyền thống là lập danh sách CALI (Capabilities, Activities, Limitations, Intentions), sau đó xây dựng CIL (Critical Information List).

2. Analyze Threats (Phân tích mối đe dọa)

Bước này nhằm xác định ai có thể muốn chiếm được thông tin quan trọng của bạn và lý do họ muốn lấy chúng. Ví dụ:

Với Red Team: Blue Team đối phương có thể phát hiện và chặn nếu họ biết trước về kỹ thuật tấn công của bạn.
Với Blue Team: Kẻ tấn công có thể thay đổi chiến thuật nếu biết rõ hệ thống phòng thủ của bạn.
Với các nhóm nghiên cứu: Đối thủ cạnh tranh hoặc hacker có thể muốn đánh cắp phát hiện của bạn.

3. Analyze Vulnerabilities (Phân tích lỗ hổng)

Ở bước này, bạn cần xác định các điểm yếu khiến thông tin quan trọng của bạn có thể bị rò rỉ. Các ví dụ phổ biến là:

Trao đổi không mã hóa về chiến thuật nội bộ.
Metadata trong tài liệu công khai vô tình để lộ thông tin nhạy cảm.
Repository công khai chứa dấu vết của công cụ hoặc mã độc quyền.
Hệ thống tự động vô tình tiết lộ phương pháp bảo vệ nội bộ.

4. Assess Risk (Đánh giá rủi ro)

Bạn cần đánh giá mức độ nghiêm trọng và khả năng xảy ra của từng lỗ hổng. Điều này thường được thực hiện bằng một ma trận rủi ro, xem xét:

Tác động: Từ thấp (chỉ gây phiền toái) đến nghiêm trọng (phá hoại toàn bộ chiến dịch).
Khả năng xảy ra: Từ hiếm (gần như không thể xảy ra) đến gần như chắc chắn sẽ xảy ra.

5. Apply OPSEC Countermeasures (Triển khai các biện pháp OPSEC)

Dựa trên đánh giá rủi ro, bạn xây dựng các biện pháp hợp lý để giảm thiểu rủi ro. Các biện pháp này phải cân bằng giữa an ninh và khả năng thực thi. Một số biện pháp phổ biến gồm:

Mã hóa đầu cuối các cuộc thảo luận nhóm.
Kiểm soát chặt quyền truy cập vào tài liệu và công cụ quan trọng.
Dùng hệ thống xác thực hai yếu tố (2FA) hoặc OTP.
Loại bỏ metadata khỏi các tài liệu trước khi chia sẻ công khai.
Phân tách hạ tầng mạng cho các nhiệm vụ và hoạt động khác nhau.

Cách triển khai OPSEC hiệu quả trong tổ chức của bạn:

Bắt đầu từ quy trình có sẵn: Tích hợp OPSEC vào playbook hoặc runbook mà bạn đang sử dụng.
Thực hiện đánh giá OPSEC định kỳ: Nhất là khi có những thay đổi lớn về quy trình hay công nghệ.
Tự động hóa: Đưa các biện pháp OPSEC vào quy trình làm việc tự động nếu có thể.
Đào tạo nhân viên mới: Đưa nội dung về OPSEC vào chương trình đào tạo khi nhân viên mới gia nhập.

Hãy nhớ rằng, OPSEC không chỉ là một khái niệm, nó là một quy trình chặt chẽ và thực tế giúp tổ chức bảo vệ những thông tin quan trọng một cách hiệu quả nhất.

🧩 Phân biệt OPSEC, COMSEC và các khái niệm liên quan

Một trong những nguyên nhân gây nhầm lẫn về OPSEC là sự chồng chéo với các thuật ngữ bảo mật khác. Hãy cùng làm rõ sự khác biệt:

1. OPSEC – Bảo mật Hoạt động

Khái niệm: OPSEC (Operations Security) là quy trình xác định và bảo vệ thông tin quan trọng khỏi nguy cơ bị đối thủ lợi dụng từ các hành vi hoặc sơ suất thường ngày của con người.

Ví dụ thực tế: Tháng 3 năm 2025, các quan chức cấp cao của chính phủ Mỹ vô tình thêm một phóng viên vào nhóm chat trên ứng dụng Signal, nơi đang thảo luận kế hoạch không kích tại Yemen. Thông tin về thời gian và mục tiêu bị lộ ra ngoài, gây tổn hại nghiêm trọng tới hoạt động quân sự.

2. COMSEC – Bảo mật Truyền thông

Khái niệm: COMSEC (Communications Security) là các biện pháp bảo vệ nhằm đảm bảo thông tin liên lạc (gọi điện, nhắn tin, email, radio...) không bị nghe lén, gián đoạn hoặc giả mạo trong quá trình truyền tải. Các biện pháp này bao gồm mã hóa, bảo mật luồng thông tin, và bảo vệ hạ tầng truyền dẫn.

Ví dụ thực tế: Năm 2013, tài liệu do Edward Snowden công bố tiết lộ NSA đã giải mã thành công thuật toán A5/1 sử dụng trên mạng điện thoại GSM, cho phép nghe lén các cuộc gọi và tin nhắn di động trên diện rộng. A5/1 là lớp mã hoá không dây trong tiêu chuẩn GSM; việc NSA trích xuất khoá cho phép real‑time nghe lén. Đây là một ví dụ kinh điển về sự thất bại trong COMSEC.

3. INFOSEC – Bảo mật Thông tin

Khái niệm: INFOSEC (Information Security) là việc bảo vệ thông tin và các hệ thống thông tin khỏi truy cập, sử dụng, tiết lộ, sửa đổi hoặc phá hoại trái phép.

Ví dụ thực tế: Vụ rò rỉ dữ liệu tại Văn phòng Quản lý Nhân sự Hoa Kỳ (OPM) năm 2015 khiến hơn 21,5 triệu hồ sơ nhân viên liên bang bị đánh cắp, bao gồm 5,6 triệu dấu vân tay. Đây là một ví dụ điển hình về vi phạm INFOSEC ở mức độ nghiêm trọng.

4. SIGINT – Tình báo Tín hiệu

Khái niệm: SIGINT (Signals Intelligence) là việc thu thập và phân tích các tín hiệu điện tử (như sóng vô tuyến, điện thoại, mạng Internet...) để phục vụ mục đích tình báo.

Ví dụ thực tế: Chương trình PRISM được NSA triển khai, trong đó NSA thu thập trực tiếp thông tin liên lạc từ các nhà cung cấp dịch vụ Internet lớn theo quy trình FISA 702. PRISM là hình thức SIGINT "front-door," nhấn mạnh yếu tố thu thập thông tin hợp pháp thay vì tấn công hệ thống.

Tổng kết cả bốn khái niệm:

OPSEC: Bảo vệ thông tin quan trọng khỏi bị lộ qua các hành vi thường ngày.
COMSEC: Bảo vệ thông tin trong quá trình truyền thông khỏi nghe lén và giả mạo.
INFOSEC: Bảo vệ dữ liệu và hệ thống thông tin khỏi xâm nhập và sửa đổi trái phép.
SIGINT: Thu thập và phân tích tín hiệu điện tử nhằm mục đích tình báo.

🛡️ Tại sao Red, Blue và Purple Team đều cần OPSEC

Trong thế giới bảo mật hiện đại, OPSEC (Operations Security) không chỉ dành riêng cho một nhóm nào cả. Dù bạn thuộc Red Team, Blue Team hay Purple Team, mỗi nhóm đều có lý do riêng để bảo mật thông tin hoạt động của mình một cách chặt chẽ.

OPSEC cho Red Team

Với Red Team, OPSEC giống như "lá chắn sống còn". Vì nhiệm vụ của họ là mô phỏng tấn công thật sự nên nếu để lộ:

Phương pháp và công cụ: Blue Team sẽ biết trước và dễ dàng chặn đứng.
Cơ sở hạ tầng (C2 server): Một lần lộ máy chủ C2 có thể phá hỏng toàn bộ chiến dịch diễn tập.
Timeline và mục tiêu tấn công: Nếu Blue Team biết rõ thời gian, địa điểm tấn công, mục đích diễn tập sẽ mất hết ý nghĩa.

Một ví dụ thực tế: Red Team không chú trọng OPSEC có thể sơ suất sử dụng lại hạ tầng tấn công, quên xóa dấu vết trên mạng xã hội, hoặc làm lộ thông tin payload và C2 server, giúp Blue Team nhanh chóng phát hiện và truy vết ngược.

OPSEC cho Blue Team

Blue Team cũng phải bảo mật thông tin không kém gì Red Team. Họ cần OPSEC để bảo vệ:

Khả năng phát hiện: Không để kẻ tấn công biết mình có thể thấy được những gì và làm thế nào.
Quy trình phản ứng sự cố: Nếu kẻ tấn công biết rõ cách xử lý sự cố, chúng sẽ điều chỉnh chiến thuật né tránh.
Thông tin về các lỗ hổng chưa vá: Các thông tin này nếu bị lộ có thể ngay lập tức bị khai thác.

Ví dụ: Một số lỗi OPSEC phổ biến Blue Team hay mắc phải là vô tình tiết lộ tên antivirus hoặc EDR đang dùng qua tuyển dụng, đăng ảnh log chứa IP hoặc hostname lên diễn đàn, hoặc chia sẻ quá nhiều chi tiết về detection rules trong hội thảo—tất cả đều là thông tin vàng giúp Red Team dễ dàng né tránh và tấn công hiệu quả hơn.

OPSEC cho Purple Team

Purple Team là cầu nối giữa Red và Blue, vì vậy OPSEC đối với họ có ý nghĩa riêng biệt:

Bảo vệ thông tin nhạy cảm: Kết quả diễn tập, danh sách lỗ hổng, chiến thuật phòng thủ và tấn công cần được bảo mật tuyệt đối.
Duy trì hiệu quả tương tác giữa Red và Blue Team: Cần đảm bảo thông tin lưu chuyển nhưng được kiểm soát tốt, tránh việc làm mất giá trị huấn luyện của cả hai nhóm.

Purple Team không giữ OPSEC chặt chẽ có thể vô tình chia sẻ kết quả diễn tập nội bộ hoặc kịch bản tấn công–phòng thủ ra ngoài, khiến cả chiến thuật Red và detection rules của Blue bị lộ, làm giảm đáng kể hiệu quả huấn luyện và bảo mật.

🚫 Hậu quả của việc thiếu OPSEC trong an ninh mạng hiện đại

Việc không thực hiện tốt OPSEC trong môi trường an ninh mạng hiện đại có thể dẫn đến những hậu quả nghiêm trọng, ảnh hưởng lâu dài tới uy tín, hoạt động và an toàn thông tin của các tổ chức, cá nhân. Một số ví dụ nổi bật có thể kể đến như:

Lộ công cụ tấn công: Vào năm 2017, nhiều công cụ tấn công tiên tiến của NSA bị rò rỉ bởi Shadow Brokers, dẫn đến các cuộc tấn công WannaCry và NotPetya gây thiệt hại hàng tỷ đô la.
Lộ thông tin nhạy cảm của khách hàng: Nhiều công ty bảo mật đã vô tình để lộ dữ liệu của khách hàng thông qua cấu hình cloud sai hoặc metadata trong báo cáo công khai.
Mất khả năng phản ứng: Trong một số trường hợp, các tổ chức đã mất khả năng phản ứng hiệu quả vì kẻ tấn công đã biết trước kế hoạch ứng phó sự cố của họ.

Trong tất cả các trường hợp trên, nếu các tổ chức thực hiện nghiêm túc và đầy đủ quy trình OPSEC, họ hoàn toàn có thể phát hiện, kiểm soát và giảm thiểu đáng kể các điểm yếu trước khi chúng trở thành thảm họa an ninh mạng thực sự.

Case study: Chỉ một sơ suất OPSEC – Cái giá phải trả cho những sai lầm nhỏ nhất

🕵️‍♂️ Shadow Brokers – EternalBlue Leak

Bối cảnh: Năm 2017, nhóm hacker bí ẩn Shadow Brokers công khai loạt công cụ tấn công mạng từ NSA, trong đó có mã khai thác EternalBlue nhắm vào giao thức SMB trên Windows.

Chỉ sau vài tuần, EternalBlue châm ngòi cho các cuộc tấn công WannaCry và NotPetya, gây thiệt hại hàng tỷ USD trên toàn cầu. Một sơ suất OPSEC trong việc bảo vệ các công cụ mạng đã biến bí mật quân sự thành vũ khí đại chúng.

🎭 Sabu – LulzSec

Bối cảnh: LulzSec là nhóm hacktivist bùng nổ năm 2011, nổi tiếng vì các đợt tấn công “for the lulz” vào Sony, Fox, PBS… và chiếm sóng báo chí chỉ trong sáu tuần.

Trong một ca trực đêm, thủ lĩnh Sabu đăng nhập kênh IRC điều phối chiến dịch nhưng quên bật Tor/VPN. Địa chỉ IP gia đình ở New York lọt vào log ISP; FBI so khớp thời gian chat, ập tới, thu toàn bộ máy chủ điều khiển. Một cú hớ duy nhất đặt dấu chấm hết cho LulzSec.

👁 APT1 – Đơn vị 61398 (Trung Quốc)

Bối cảnh: APT1 là nhóm gián điệp mạng quân đội Trung Quốc bị báo cáo công khai đầu 2013; hai thập kỷ trước đó họ đánh cắp dữ liệu quốc phòng, công nghệ cao của hàng trăm công ty.

Các lập trình viên để lại biệt danh “UglyGorilla”, “DOTA” vào đường dẫn debug, WHOIS và thư mục chia sẻ, đồng thời đăng ký tên miền C2 ngay từ dải IP Shanghai Unicom – trùng IP máy làm việc. Chuỗi “dấu vân tay” lặp lại giúp các nhà phân tích ráp nối toàn bộ chiến dịch về một đơn vị duy nhất.

🕵️‍♂️ Lazarus – Park Jin Hyok

Bối cảnh: Lazarus Group của Triều Tiên gây tiếng vang với vụ Sony Pictures 2014, mã độc tống tiền WannaCry 2017 và hàng loạt vụ trộm tiền ảo trị giá hàng tỷ USD.

Park tạo Gmail alias để gửi spear‑phish nhưng cài e‑mail khôi phục về hộp cá nhân; cả hai hòm đăng nhập cùng IP Bình Nhưỡng. Google log + điều tra DOJ ghép alias với người thật, buộc tội Park trong cáo trạng 2018. Một trường “recovery email” đã mở khóa chân dung lập trình viên đứng sau Lazarus.

🧰 OPSEC cho Red Team hiện đại: Bài học từ thực chiến

Trong thế giới bảo mật ngày nay, các Red Team đối diện với nhiều thử thách mới về OPSEC (Operations Security). Dưới đây là một số kinh nghiệm thực chiến hữu ích mà CyberJutsu tổng hợp được:

1. Thiết lập môi trường làm việc an toàn

Dùng máy ảo chuyên dụng: Giúp triển khai nhanh công cụ với cấu hình bảo mật tốt nhất.
Thay đổi hostname và username: Tránh bị phát hiện qua các thông tin nhận dạng thực tế.
Tùy chỉnh User-Agent: Không nên dùng User-Agent mặc định của các tool như Nmap, WPScan. Thay vào đó, giả lập trình duyệt phổ biến (Chrome, Firefox) hoặc Googlebot để che giấu hoạt động.

2. Quản lý địa chỉ IP nguồn

Không dùng chung IP cho các hoạt động khác nhau: IP dùng để scan cổng phải tách biệt với IP dùng cho phishing.
Một IP cho mỗi tài khoản người dùng: Duy trì IP nhất quán cho mỗi lần đăng nhập.
Chọn IP từ cùng khu vực với mục tiêu: Tránh việc gây cảnh báo từ các lần đăng nhập vị trí bất thường.
Chọn dịch vụ IP phù hợp: IP từ các VPS/cloud thường dễ gây nghi ngờ.

3. Quản lý tên miền và dịch vụ bên thứ ba

Tránh typosquatting (đăng ký tên miền tương tự mục tiêu): Dễ bị phát hiện và chặn ngay lập tức.
Kích hoạt bảo vệ WHOIS Privacy: Luôn bật ngay khi đăng ký.
Mỗi tên miền chỉ dành cho một hoạt động cụ thể:
- Tên miền A để gửi email.
- Tên miền B để chứa payload.
- Tên miền C để vận hành máy chủ C2.

4. Payload và cấu hình dịch vụ mạng

Ẩn dịch vụ không cần thiết khỏi internet: Dùng kỹ thuật SSH port forwarding.
Thay đổi cấu hình mặc định: Đặc biệt là các port mặc định của tool.
Kiểm thử payload trước khi sử dụng: Đảm bảo payload chạy tốt và không bị antivirus phát hiện.
Lọc request dựa trên User-Agent: Ngăn chặn bot, crawler và các tool scan tự động.

5. Kiểm tra kỹ các công cụ mới

Một bài học từ công cụ phishing Evilginx: Mặc dù dễ cấu hình, Evilginx tự động thêm header "X-Evilginx" vào request, tạo cơ hội cho Blue Team dễ dàng phát hiện.

Quy trình kiểm tra công cụ nên bao gồm:

Đọc mã nguồn.
Hiểu rõ các thiết lập cấu hình.
Chạy thử nghiệm trên máy ảo.
Quan sát kỹ lưu lượng công cụ tạo ra.
Đảm bảo không có dấu hiệu nhận dạng dễ bị phát hiện.

Nguyên tắc vàng thực tế của Red Team: Trong OPSEC, đơn giản luôn tốt hơn. Mỗi lớp phức tạp bạn thêm vào đều tăng nguy cơ mắc sai lầm. Chỉ cần sơ suất một địa chỉ IP tái sử dụng, một cấu hình mặc định không đổi, hoặc một dấu hiệu nhận dạng nhỏ cũng có thể khiến cả chiến dịch bị lộ.

Nắm vững những nguyên tắc OPSEC này sẽ giúp Red Team làm việc hiệu quả hơn, đồng thời cũng giúp Blue Team hiểu rõ hơn cách phát hiện và phòng thủ.

🔑 Kết luận

OPSEC không chỉ là một thuật ngữ thời thượng hay một loạt các mẹo bảo mật - đó là một quy trình có cấu trúc được thiết kế để bảo vệ thông tin quan trọng khỏi các mối đe dọa tiềm tàng. Bất kể bạn là thành viên của Red Team, Blue Team hay Purple Team, việc hiểu và áp dụng quy trình OPSEC 5 bước có thể giúp bạn bảo vệ các hoạt động, công cụ và chiến lược của mình khỏi bị phát hiện và khai thác.

Để kết thúc, hãy nhớ rằng OPSEC không phải là một điểm đến mà là một hành trình liên tục:

Hãy luôn tự hỏi: "Thông tin quan trọng của tôi là gì? Ai muốn có nó? Họ có thể lấy nó bằng cách nào?" Bắt đầu với những câu hỏi đơn giản nhưng sâu sắc này, bạn đã thực hiện bước đầu tiên trong việc xây dựng một tư duy OPSEC vững chắc.

📚 Tài liệu tham khảo

US Department of the Army. "Operations Security (OPSEC)." Army Regulation 530-1.
US Department of Defense. "Joint Publication 3-13.3, Operations Security."
NSA. "PURPLE DRAGON: The Origin and Development of the United States OPSEC Program."
Bamford, James. "Body of Secrets."
Wolfe, Schmidt and Thompson. "Southeast Asia: Working Against the Tide."
Blaxland, John. "Signals Swift and Sure."
"What the Hack with Adam Levin." Podcast, Episode on OPSEC.
https://xorl.wordpress.com/2020/03/29/everything-you-wanted-to-know-about-opsec-and-some-more/
https://media.defense.gov/2020/Oct/28/2002524944/-1/-1/0/JP%203-13.3-OPSEC.PDF
https://www.historynet.com/nva-radio-communications/
OPSEC Fundamentals for Remote Red Teams - blackhillsinfosec.com

Bạn quan tâm tới các kỹ năng an ninh mạng thực chiến? Hãy tham khảo khóa học Web Pentest Demo miễn phí của CyberJutsu để trải nghiệm phương pháp "Learning by Breaking - Phá vỡ để thấu hiểu!" - cách học hiệu quả nhất trong an toàn thông tin.