“Kẻ chiến thắng là người giữ được bí mật lâu nhất.”

OPSEC (Operations Security) - một thuật ngữ được sử dụng rộng rãi nhưng thường bị hiểu sai trong ngành an toàn thông tin. Nhiều người nhầm lẫn OPSEC với các biện pháp bảo mật chung chung hoặc đơn thuần là các mẹo sử dụng VPN và mã hóa. Thực tế, OPSEC là một quy trình có cấu trúc rõ ràng được phát triển trong thời kỳ chiến tranh để bảo vệ thông tin quan trọng. Bài viết này sẽ giải mã bản chất thực sự của OPSEC, quy trình 5 bước chuẩn của nó, và lý do tại sao các chuyên gia từ Red Team đến Blue Team đều cần nắm vững khái niệm này.

OPSEC là gì thực sự (và không phải là gì)?

Nguồn gốc lịch sử của OPSEC và tại sao nó vẫn quan trọng

Quy trình OPSEC 5 bước và cách triển khai

Phân biệt OPSEC, COMSEC và các khái niệm liên quan

Ứng dụng OPSEC trong các nhóm Red, Blue và Purple Team

Case study: Những hậu quả từ việc thiếu OPSEC trong thế giới thực

OPSEC là gì (và không phải là gì)

OPSEC không phải là "Operational Security" như nhiều người vẫn nhầm tưởng, mà là "

,. Đây là một quy trình được quân đội Hoa Kỳ phát triển vào năm 1966 trong Chiến dịch Purple Dragon, nhằm điều tra những gì đã thất bại trong các chiến dịch quân sự ở Việt Nam

Bản chất của OPSEC là xác định và bảo vệ thông tin quan trọng - thông tin mà nếu vô tình rơi vào tay đối thủ có thể làm hỏng hoặc phá hỏng một nhiệm vụ, dự án, hoặc thậm chí tổn hại đến một tổ chức.



Điệp vụ Dodo: Năm 1966, quân đội Úc bắt được một nữ Việt Cộng đang núp trên trần hang động, bên cạnh là một đài phát tin Mỹ bị đánh cắp (mã danh "Dodo"). Vị trí đặt máy cho phép quan sát toàn bộ căn cứ đồng minh tại Núi Đất!

Quy trình OPSEC 5 bước và triển khai thực tế

Đúng như tên gọi, OPSEC là một quy trình có cấu trúc, không phải một loạt các biện pháp ngẫu nhiên. Quy trình chính thức bao gồm 5 bước:

1. Identify Critical Information (Xác định thông tin quan trọng)

Bước đầu tiên là xác định rõ bạn cần bảo vệ những thông tin cụ thể nào. Trong an ninh mạng, ví dụ những thông tin này có thể là:

Địa chỉ IP hoặc máy chủ C2 của Red Team.

Các công cụ và phương pháp phát hiện tấn công của Blue Team.

Chi tiết kỹ thuật về lỗ hổng zero-day đang nghiên cứu.

Thông tin về hệ thống phòng thủ nội bộ.

Một cách tiếp cận truyền thống là lập danh sách 

 (Capabilities, Activities, Limitations, Intentions), sau đó xây dựng 

2. Analyze Threats (Phân tích mối đe dọa)

Bước này nhằm xác định ai có thể muốn chiếm được thông tin quan trọng của bạn và lý do họ muốn lấy chúng. Ví dụ:

Với Red Team: Blue Team đối phương có thể phát hiện và chặn nếu họ biết trước về kỹ thuật tấn công của bạn.

Với Blue Team: Kẻ tấn công có thể thay đổi chiến thuật nếu biết rõ hệ thống phòng thủ của bạn.

Với các nhóm nghiên cứu: Đối thủ cạnh tranh hoặc hacker có thể muốn đánh cắp phát hiện của bạn.

3. Analyze Vulnerabilities (Phân tích lỗ hổng)

Ở bước này, bạn cần xác định các điểm yếu khiến thông tin quan trọng của bạn có thể bị rò rỉ. Các ví dụ phổ biến là:

Trao đổi không mã hóa về chiến thuật nội bộ.

Metadata trong tài liệu công khai vô tình để lộ thông tin nhạy cảm.

Repository công khai chứa dấu vết của công cụ hoặc mã độc quyền.

Hệ thống tự động vô tình tiết lộ phương pháp bảo vệ nội bộ.

Bạn cần đánh giá mức độ nghiêm trọng và khả năng xảy ra của từng lỗ hổng. Điều này thường được thực hiện bằng một ma trận rủi ro, xem xét:

 Từ thấp (chỉ gây phiền toái) đến nghiêm trọng (phá hoại toàn bộ chiến dịch).

 Từ hiếm (gần như không thể xảy ra) đến gần như chắc chắn sẽ xảy ra.

5. Apply OPSEC Countermeasures (Triển khai các biện pháp OPSEC)

Dựa trên đánh giá rủi ro, bạn xây dựng các biện pháp hợp lý để giảm thiểu rủi ro. Các biện pháp này phải cân bằng giữa an ninh và khả năng thực thi. Một số biện pháp phổ biến gồm:

Mã hóa đầu cuối các cuộc thảo luận nhóm.

Kiểm soát chặt quyền truy cập vào tài liệu và công cụ quan trọng.

Dùng hệ thống xác thực hai yếu tố (2FA) hoặc OTP.

Loại bỏ metadata khỏi các tài liệu trước khi chia sẻ công khai.

Phân tách hạ tầng mạng cho các nhiệm vụ và hoạt động khác nhau.

Cách triển khai OPSEC hiệu quả trong tổ chức của bạn:

 Tích hợp OPSEC vào playbook hoặc runbook mà bạn đang sử dụng.

Thực hiện đánh giá OPSEC định kỳ:

 Nhất là khi có những thay đổi lớn về quy trình hay công nghệ.

 Đưa các biện pháp OPSEC vào quy trình làm việc tự động nếu có thể.

 Đưa nội dung về OPSEC vào chương trình đào tạo khi nhân viên mới gia nhập.

Hãy nhớ rằng, OPSEC không chỉ là một khái niệm, nó là một quy trình chặt chẽ và thực tế giúp tổ chức bảo vệ những thông tin quan trọng một cách hiệu quả nhất.

🧩 Phân biệt OPSEC, COMSEC và các khái niệm liên quan

Một trong những nguyên nhân gây nhầm lẫn về OPSEC là sự chồng chéo với các thuật ngữ bảo mật khác. Hãy cùng làm rõ sự khác biệt:

) là quy trình xác định và bảo vệ thông tin quan trọng khỏi nguy cơ bị đối thủ lợi dụng từ các hành vi hoặc sơ suất thường ngày của con người.

 Tháng 3 năm 2025, các quan chức cấp cao của chính phủ Mỹ vô tình thêm một phóng viên vào nhóm chat trên ứng dụng Signal, nơi đang thảo luận kế hoạch không kích tại Yemen. Thông tin về thời gian và mục tiêu bị lộ ra ngoài, gây tổn hại nghiêm trọng tới hoạt động quân sự.

2. COMSEC – Bảo mật Truyền thông

) là các biện pháp bảo vệ nhằm đảm bảo thông tin liên lạc (gọi điện, nhắn tin, email, radio...) không bị nghe lén, gián đoạn hoặc giả mạo trong quá trình truyền tải. Các biện pháp này bao gồm mã hóa, bảo mật luồng thông tin, và bảo vệ hạ tầng truyền dẫn.

 Năm 2013, tài liệu do Edward Snowden công bố tiết lộ NSA đã giải mã thành công thuật toán A5/1 sử dụng trên mạng điện thoại GSM, cho phép nghe lén các cuộc gọi và tin nhắn di động trên diện rộng. A5/1 là lớp mã hoá không dây trong tiêu chuẩn GSM; việc NSA trích xuất khoá cho phép real‑time nghe lén. Đây là một ví dụ kinh điển về sự thất bại trong COMSEC.

) là việc bảo vệ thông tin và các hệ thống thông tin khỏi truy cập, sử dụng, tiết lộ, sửa đổi hoặc phá hoại trái phép.

 Vụ rò rỉ dữ liệu tại Văn phòng Quản lý Nhân sự Hoa Kỳ (OPM) năm 2015 khiến hơn 21,5 triệu hồ sơ nhân viên liên bang bị đánh cắp, bao gồm 5,6 triệu dấu vân tay. Đây là một ví dụ điển hình về vi phạm INFOSEC ở mức độ nghiêm trọng.

) là việc thu thập và phân tích các tín hiệu điện tử (như sóng vô tuyến, điện thoại, mạng Internet...) để phục vụ mục đích tình báo.

 Chương trình PRISM được NSA triển khai, trong đó NSA thu thập trực tiếp thông tin liên lạc từ các nhà cung cấp dịch vụ Internet lớn theo quy trình FISA 702. PRISM là hình thức SIGINT "front-door," nhấn mạnh yếu tố thu thập thông tin hợp pháp thay vì tấn công hệ thống.

 Bảo vệ thông tin quan trọng khỏi bị lộ qua các hành vi thường ngày.

 Bảo vệ thông tin trong quá trình truyền thông khỏi nghe lén và giả mạo.

 Bảo vệ dữ liệu và hệ thống thông tin khỏi xâm nhập và sửa đổi trái phép.

 Thu thập và phân tích tín hiệu điện tử nhằm mục đích tình báo.

🛡️ Tại sao Red, Blue và Purple Team đều cần OPSEC

Trong thế giới bảo mật hiện đại, OPSEC (Operations Security) không chỉ dành riêng cho một nhóm nào cả. Dù bạn thuộc Red Team, Blue Team hay Purple Team, mỗi nhóm đều có lý do riêng để bảo mật thông tin hoạt động của mình một cách chặt chẽ.

Với Red Team, OPSEC giống như "lá chắn sống còn". Vì nhiệm vụ của họ là mô phỏng tấn công thật sự nên nếu để lộ:

 Blue Team sẽ biết trước và dễ dàng chặn đứng.

 Một lần lộ máy chủ C2 có thể phá hỏng toàn bộ chiến dịch diễn tập.

 Nếu Blue Team biết rõ thời gian, địa điểm tấn công, mục đích diễn tập sẽ mất hết ý nghĩa.

Một ví dụ thực tế: Red Team không chú trọng OPSEC có thể sơ suất sử dụng lại hạ tầng tấn công, quên xóa dấu vết trên mạng xã hội, hoặc làm lộ thông tin payload và C2 server, giúp Blue Team nhanh chóng phát hiện và truy vết ngược.

Blue Team cũng phải bảo mật thông tin không kém gì Red Team. Họ cần OPSEC để bảo vệ:

 Không để kẻ tấn công biết mình có thể thấy được những gì và làm thế nào.

 Nếu kẻ tấn công biết rõ cách xử lý sự cố, chúng sẽ điều chỉnh chiến thuật né tránh.

Thông tin về các lỗ hổng chưa vá:

 Các thông tin này nếu bị lộ có thể ngay lập tức bị khai thác.

Ví dụ: Một số lỗi OPSEC phổ biến Blue Team hay mắc phải là vô tình tiết lộ tên antivirus hoặc EDR đang dùng qua tuyển dụng, đăng ảnh log chứa IP hoặc hostname lên diễn đàn, hoặc chia sẻ quá nhiều chi tiết về detection rules trong hội thảo—tất cả đều là thông tin vàng giúp Red Team dễ dàng né tránh và tấn công hiệu quả hơn.

Purple Team là cầu nối giữa Red và Blue, vì vậy OPSEC đối với họ có ý nghĩa riêng biệt:

 Kết quả diễn tập, danh sách lỗ hổng, chiến thuật phòng thủ và tấn công cần được bảo mật tuyệt đối.

Duy trì hiệu quả tương tác giữa Red và Blue Team:

 Cần đảm bảo thông tin lưu chuyển nhưng được kiểm soát tốt, tránh việc làm mất giá trị huấn luyện của cả hai nhóm.

Purple Team không giữ OPSEC chặt chẽ có thể vô tình chia sẻ kết quả diễn tập nội bộ hoặc kịch bản tấn công–phòng thủ ra ngoài, khiến cả chiến thuật Red và detection rules của Blue bị lộ, làm giảm đáng kể hiệu quả huấn luyện và bảo mật.

🚫 Hậu quả của việc thiếu OPSEC trong an ninh mạng hiện đại

Việc không thực hiện tốt OPSEC trong môi trường an ninh mạng hiện đại có thể dẫn đến những hậu quả nghiêm trọng, ảnh hưởng lâu dài tới uy tín, hoạt động và an toàn thông tin của các tổ chức, cá nhân. Một số ví dụ nổi bật có thể kể đến như:

Tag: Operations Security