 chính là hành trình săn lùng những mối đe dọa tiềm ẩn mà hệ thống bảo mật thông thường không nhìn thấy – những kẻ tấn công đã lọt vào mạng của bạn, nhưng vẫn chưa bị phát hiện.

Trong một thế giới mà các cuộc tấn công mạng ngày càng tinh vi, nhanh và có mục tiêu, chỉ dựa vào firewall, IDS hay antivirus không còn đủ. Threat Hunting không phải là phản ứng, mà là sự chủ động. Thay vì chờ cảnh báo từ SOC, bạn đào sâu vào dữ liệu, tìm kiếm những bất thường, xâu chuỗi manh mối để lật tẩy kẻ địch trước khi chúng ra tay.

các dấu vết mờ nhạt có thể dẫn đến những phát hiện chấn động

 Tại sao nó quan trọng trong thời đại an ninh mạng hiện nay?

Threat Intelligence vs SOC vs Threat Hunting

Khi nào tổ chức cần Threat Hunting?

 Liệu doanh nghiệp của bạn đã sẵn sàng?

Làm sao để trở thành một Threat Hunter?

 Những kỹ năng nào bạn cần rèn luyện?

 – Nó có thể thay thế con người không?

Ứng dụng MITRE ATT&CK và Cyber Kill Chain

 – Công thức thành công cho một cuộc săn tìm hiệu quả.

 – Các câu hỏi quan trọng, artifacts cần lưu ý và công cụ hữu ích.

 để bạn bước vào lĩnh vực đầy thử thách nhưng cực kỳ hấp dẫn này. Nếu bạn đã làm trong ngành, đây sẽ là 

tài nguyên tham khảo giúp bạn nâng cấp kỹ năng

 và bắt kịp với xu hướng hiện đại.

Threat Hunting là gì và tại sao quan trọng?

 trong hệ thống của bạn những dấu hiệu về hoạt động độc hại hoặc bất thường có thể đã 

. Nói cách khác, thay vì chờ hệ thống cảnh báo sự cố, threat hunter 

giả định rằng hệ thống có thể đã bị xâm nhập

 và tự mình lùng sục các manh mối cho thấy sự hiện diện của kẻ tấn công​​. Chính vì sự 

 này, threat hunting tương phản với cách tiếp cận truyền thống (chỉ phản ứng khi sự cố xảy ra).

Tại sao threat hunting lại quan trọng? Thực tế cho thấy một tỷ lệ lớn các cuộc tấn công có thể 

qua mặt được giải pháp phòng thủ truyền thống

. Ví dụ, một thống kê cho biết 

 có thể vượt qua các biện pháp bảo mật thông thường​. Điều này đồng nghĩa với việc nếu chỉ dựa vào firewall, antivirus, IDS/IPS hay SIEM, bạn 

 những kẻ xâm nhập tinh vi. Threat hunting giúp 

 những mối đe dọa ẩn nấp này trước khi chúng kịp gây thiệt hại nghiêm trọng. Bằng cách 

, doanh nghiệp có thể giảm thiểu 

 của attacker (dwell time) – tức thời gian kẻ tấn công ẩn náu trong hệ thống. Rút ngắn dwell time giúp 

 do vi phạm an ninh gây ra và nâng cao 

Ngoài ra, quá trình threat hunting còn mang lại lợi ích bổ sung là 

: trong khi săn tìm dấu vết, đội ngũ bảo mật thường phát hiện ra các lỗ hổng cấu hình hoặc quy trình giám sát còn thiếu sót, từ đó cải thiện hệ thống phòng thủ về lâu dài. Có thể nói, threat hunting giúp chúng ta 

hiểu rõ hơn về hệ thống của mình

 và cách mà kẻ xấu có thể tấn công, để chủ động 

 SIEM, EDR, Windows Event Log, Sysmon
✅ 

(phân tích malware, memory dump, PCAP)
✅ 

 (luôn hỏi “Có gì bất thường?”)
✅ 

(viết playbook, hướng dẫn đội SOC)

“Threat Hunting không chỉ là một công việc, mà là một lối sống. Một cách tư duy.”

Threat Hunting khác gì so với Threat Intelligence và hoạt động SOC?

Thuật ngữ bảo mật có khá nhiều khái niệm dễ nhầm lẫn. Vậy threat hunting khác gì so với 

 về các mối đe dọa tiềm tàng từ nhiều nguồn khác nhau. Threat intelligence thường tập trung vào việc 

: họ là ai, động cơ, phương thức tấn công ưa thích, các 

 mà họ để lại... Nguồn thông tin có thể từ 

, diễn đàn dark web, mẫu malware, hay báo cáo từ các tổ chức an ninh​​. Mục tiêu của TI là cung cấp 

 về bức tranh đe dọa bên ngoài, từ đó giúp tổ chức 

 các biện pháp phòng thủ phù hợp. Ví dụ, threat intelligence có thể cảnh báo về một lỗ hổng mới hoặc một chiến dịch tấn công đang diễn ra để đội ngũ bảo mật vá lỗ hổng hoặc tăng cường giám sát. 

Tuy nhiên, TI mang tính thông tin hỗ trợ

 kẻ địch trong hệ thống mình hay không lại là chuyện khác.

 thì như đã đề cập, đó là việc 

đào sâu vào chính hệ thống của tổ chức

 để tìm xem liệu những mối đe dọa (nhiều khi do threat intelligence cảnh báo) 

 trong mạng lưới hay không. Một cách hình tượng, nếu threat intelligence cung cấp 

“danh sách các loài thú nguy hiểm ngoài rừng”

 xem có con nào đã lén lọt vào khu vực của mình chưa. Threat hunting thường 

dựa trên các giả thuyết (hypotheses)

, có thể hình thành từ thông tin threat intel hoặc từ hiểu biết hệ thống, rồi từ đó kiểm tra logs, lưu lượng mạng, tiến trình, v.v. để xác thực giả thuyết. 

Threat intel là nguyên liệu đầu vào quan trọng

 để xây dựng giả thuyết hunting, nhưng threat hunting đi sâu hơn: thay vì chỉ tìm IoC đã biết, hunter còn tìm 

những bất thường chưa từng thấy

 dựa trên hiểu biết về kỹ thuật tấn công​. Nói cách khác, threat hunting 

giả định hệ thống đã bị tấn công thành công

 và truy lùng dấu vết, trong khi threat intel chủ yếu 

 – Trung tâm vận hành an ninh: Đây là bộ phận (hoặc nhóm chuyên trách) giám sát an ninh cho tổ chức. 

 thường trực màn hình SIEM, IDS… để theo dõi 

 khi có sự cố. Hoạt động SOC mang tính 

: khi hệ thống phát hiện điều gì đó bất thường (ví dụ alert từ IDS phát hiện lưu lượng giống malware), analyst sẽ điều tra và phản ứng (xử lý cảnh báo, cô lập thiết bị, mở cuộc điều tra sự cố - incident response). SOC cũng thường có các 

 (IR) bài bản, và các analyst phải 

 để đảm bảo không bỏ lỡ sự kiện nào.

Vậy SOC khác gì threat hunting? Thực ra, 

threat hunting thường là một chức năng bổ sung cho SOC

. Trong nhiều tổ chức, threat hunting do chính các SOC analyst cấp cao đảm nhiệm, hoặc có nhóm threat hunter riêng nhưng vẫn phối hợp chặt chẽ với SOC. Điểm khác biệt cốt lõi: 

hệ thống đã phát hiện và cảnh báo

đi tìm những gì chưa bị phát hiện

​. Một cách ví von, nếu xem SOC như 

 phản ứng khi chuông báo động reo, thì threat hunting là 

 âm thầm rà soát khắp nơi để tìm kẻ địch ẩn nấp dù 

 thường tích hợp hoạt động threat hunting như một phần không thể thiếu​. Threat hunter sẽ liên tục 

: sử dụng dữ liệu do SOC thu thập (logs từ SIEM, kết quả phân tích của Incident Response) để truy vết sâu hơn, đồng thời khi phát hiện kỹ thuật tấn công mới, họ sẽ 

 cho đội SOC (viết quy tắc cảnh báo mới, bổ sung trường hợp vào SIEM)​. Sự kết hợp nhịp nhàng này tạo thành một vòng tuần hoàn: 

 cung cấp thông tin cho cả SOC và threat hunter; 

 tìm ra mối đe dọa ẩn và gửi kết quả, hướng dẫn lại cho 

; SOC cập nhật hệ thống phát hiện, từ đó 

Threat Hunting, Threat Intelligence và SOC

. Threat intelligence như tai mắt bên ngoài, SOC là lớp phòng thủ tuyến đầu bên trong, còn threat hunting là hoạt động tinh nhuệ giúp 

 những gì lọt lưới, đảm bảo hệ thống 

Checklist: Câu hỏi & dấu hiệu cần lưu ý khi hunting


✔ Có đăng nhập bất thường vào hệ thống không?
✔ Có tiến trình nào lạ xuất hiện trong log hệ thống?
✔ Máy nào đang gửi lưu lượng ra nước ngoài nhiều hơn bình thường?
✔ Có scheduled task hoặc service nào lạ?
✔ Có registry key nào bị thay đổi đáng ngờ?
✔ Có hash file nào trùng với IOC từ threat intel?

Khi nào tổ chức cần thực hiện Threat Hunting?

Một quan niệm sai lầm thường gặp là chỉ những công ty lớn, đội ngũ hùng hậu mới cần threat hunting. Thực tế, bất kỳ tổ chức nào 

muốn nâng cao khả năng phát hiện và ứng phó

 đều nên xem threat hunting là một phần của chiến lược an ninh. Vậy 

 thì việc triển khai threat hunting trở nên cần thiết?

ngay khi bạn nhận ra rằng không có hệ thống nào an toàn tuyệt đối

, đó là lúc nên nghĩ đến threat hunting. Các giải pháp tự động như firewall, IDS, EDR, SIEM dù tốt đến đâu cũng 

kẻ tấn công luôn tìm cách mới để qua mặt

 hiểu rằng sớm muộn cũng sẽ có mối đe dọa vượt qua được lớp phòng thủ​. Chính giả định “

” (assume breach) này thúc đẩy việc chủ động săn tìm. Nếu tổ chức của bạn đã có các biện pháp bảo mật cơ bản (vá lỗ hổng, giám sát nhật ký, phản ứng sự cố) thì bước kế tiếp để 

 chính là thực hiện các cuộc threat hunting định kỳ.

 để tiến hành threat hunting có thể là:

: Nhiều công ty tổ chức các đợt threat hunt hàng quý hoặc hàng tháng. Điều này đảm bảo liên tục “quét” hệ thống tìm nguy cơ ẩn. Recon Infosec – một nhà cung cấp dịch vụ SOC – cho biết họ thực hiện các cuộc hunt theo chu kỳ sprint 1-2 tuần, mỗi sprint tập trung vào một giả thuyết cụ thể​. Cách làm bài bản này giúp threat hunting trở thành một phần thường xuyên của hoạt động SOC, thay vì sự kiện đơn lẻ.

 về một chiến dịch tấn công mới nhắm vào ngành của bạn, hoặc sau khi có một 

 được công bố (như Log4J năm 2021). Khi đó, ngoài việc vá và triển khai phòng thủ, 

threat hunting có thể được kích hoạt

 để kiểm tra xem kẻ tấn công có dấu hiệu đã lợi dụng điểm yếu này trong hệ thống chưa​​.

Khi có dấu hiệu bất thường khó giải thích

: Nếu SOC nhận thấy một số hành vi đáng ngờ nhưng chưa đủ để xác nhận sự cố (ví dụ: lưu lượng mạng tăng đột biến tại một thời điểm, hay tài khoản admin có login hơi khác thường nhưng không có cảnh báo cụ thể), 

. Đây chính là lúc cần con mắt “săn” tinh tường để điều tra kỹ hơn những manh mối mơ hồ.

: Sau khi xử lý một incident (ví dụ mã độc tống tiền đã bị chặn), threat hunting giúp 

đảm bảo không còn kẻ địch ẩn náu

 nào khác và tìm hiểu xem chúng đã làm gì trước khi bị phát hiện. Điều này thường trùng với hoạt động 

 sau sự cố, nhưng tư duy threat hunting sẽ chủ động mở rộng phạm vi tìm kiếm hơn, không chỉ tập trung vào dấu vết sự cố vừa xảy ra.

Khi tổ chức nâng cao mức bảo mật

: Nếu doanh nghiệp đang chuyển từ 

 về an ninh, hay muốn đạt các chứng chỉ, tiêu chuẩn cao hơn, việc xây dựng chương trình threat hunting là điều tất yếu. Một SOC 

 ở mức độ nào đó được xem là đã “

” và dễ bị tụt hậu so với đối thủ (tức hacker)​​.

threat hunting nên được thực hiện càng sớm càng tốt

 để tiến hành. Ban đầu có thể chỉ là những cuộc săn quy mô nhỏ (vd kiểm tra một máy chủ quan trọng), sau đó dần mở rộng. Điều quan trọng là xây dựng được một 

 – luôn giả định hệ thống đã bị lọt lưới – thì threat hunting sẽ trở thành thói quen, giúp tổ chức 

chủ động phát hiện và vô hiệu hóa

 mối nguy trước khi chúng gây ra sự cố lớn.

Kỹ năng cần có để trở thành Threat Hunter

Threat hunting không chỉ đòi hỏi kiến thức rộng về bảo mật mà còn cần ở người thực thi một 

 và tập hợp kỹ năng đa dạng. Dưới đây là những 

 mà một threat hunter giỏi cần có:

: Threat hunter phải làm việc với 

 từ log hệ thống, lưu lượng mạng đến sự kiện bảo mật. Khả năng 

thu thập, lọc và phân tích dữ liệu

 một cách hiệu quả là tối quan trọng​. Điều này bao gồm hiểu biết về các công cụ phân tích (SIEM, truy vấn SQL, ngôn ngữ truy vấn logs) và thậm chí cả các kỹ thuật 

 để tìm ra xu hướng hoặc bất thường. Kỹ năng trực quan hóa dữ liệu (dùng chart/graph) cũng hữu ích để nhìn ra 

Nhận biết mẫu (Pattern Recognition)

 – phải nhanh nhạy phát hiện ra 

 của hoạt động đáng ngờ giữa môi trường bình thường. Muốn vậy, bạn cần nắm rõ 

 của hệ thống (baseline bình thường là gì) để khi có gì đó 

, bạn lập tức nhận ra​. Đồng thời, bạn cũng phải 

quen thuộc với các TTP (tactics, techniques, procedures)

 của hacker: ví dụ biết rằng kẻ tấn công thường xóa log sau khi xâm nhập, hay dùng những lịch trình Windows lạ để duy trì persistence... Khi đã nhớ các mẫu tấn công này, bạn sẽ dễ 

 chúng với những gì bạn thấy trong hệ thống​.

Kỹ năng giao tiếp và báo cáo (Communication)

: Nghe có vẻ lạ khi một kỹ năng “mềm” lại quan trọng trong threat hunting, nhưng thực tế 

 là chìa khóa để thành công. Threat hunter cần truyền đạt được phát hiện của mình 

 một cách dễ hiểu​. Ví dụ: khi bạn phát hiện một chuỗi tấn công, bạn phải viết báo cáo hoặc trình bày sao cho team ứng cứu sự cố hiểu cần làm gì tiếp theo, hay ban giám đốc hiểu được 

 của việc bạn làm. Kỹ năng này cũng bao gồm viết tài liệu, hướng dẫn để chuyển giao kiến thức cho đồng đội (như tạo playbook, viết rules cho SOC…).

Kỹ năng phân tích pháp chứng (Digital Forensics)

: Threat hunting thường đan xen với việc phân tích sâu một mẫu malware hay kiểm tra file hệ thống để tìm bằng chứng. Do đó, 

 là cần thiết. Một threat hunter không nhất thiết là chuyên gia forensic, nhưng phải biết 

 trong các ổ đĩa, bộ nhớ, registry...​. Ví dụ: biết cách kiểm tra chuỗi chạy (execution chain) của một file thực thi, hay nhận ra dấu hiệu một 

 đã chiếm dụng một tiến trình hợp lệ. Kỹ năng này giúp hunter 

, từ đó suy ra được kẻ tấn công đã làm gì và chúng ta cần khắc phục ra sao​.

Hiểu kiến trúc & hệ thống (Systems Understanding)

: Mỗi tổ chức có hạ tầng CNTT khác nhau, vì vậy threat hunter cần 

hiểu sâu hệ thống của chính mình

. Điều này bao gồm kiến trúc mạng, các hệ điều hành, ứng dụng, quy trình kinh doanh... Sự hiểu biết này giúp hunter 

 để phát hiện vấn đề​. Ví dụ: nếu bạn biết rõ hệ thống email công ty chỉ dùng Microsoft 365, thì khi thấy log cho thấy có kết nối SMTP nội bộ lạ, bạn sẽ nghi ngờ ngay. Hoặc hiểu luồng dữ liệu bình thường giữa các server với nhau sẽ giúp bạn nhận ra khi nào có kết nối bất thường. Hiểu hệ thống còn giúp đánh giá 

 của mỗi phát hiện: chẳng hạn phát hiện một service lạ chạy trên máy chủ database quan trọng sẽ đáng báo động hơn là trên máy của nhân viên.

 để tự động hóa và tùy biến công cụ sẽ giúp ích lớn trong threat hunting. Nhiều khi hunter cần viết các script nhỏ để 

 dữ liệu, hoặc thậm chí tạo công cụ riêng. Biết các ngôn ngữ như Python, PowerShell, Bash giúp bạn 

xử lý khối lượng dữ liệu nhanh hơn

 và thử các ý tưởng một cách linh hoạt​. Chẳng hạn, viết script kiểm tra tất cả máy trạm xem có tiến trình nào trùng hash với malware đã biết, hay tự động hoá việc truy vấn nhiều log khác nhau và tổng hợp kết quả. Coding cũng thể hiện tư duy logic và chi tiết – phẩm chất quý giá cho một hunter.

: Đây không hẳn là kỹ năng kỹ thuật, nhưng lại là 

 của threat hunter. Bạn cần một trí tò mò tự nhiên, luôn tự hỏi 

 khi mọi người khác có thể chưa nghĩ đến. Ví dụ, thay vì chỉ tìm IoC trong log, một hunter sáng tạo có thể nghĩ “Nếu hacker sử dụng kỹ thuật X lẩn trốn, mình thử tìm dấu hiệu gián tiếp Y xem sao”. Chính sự sáng tạo và nhạy bén này tạo nên những phát hiện đột phá.

Kết hợp những kỹ năng trên, threat hunter còn cần sự 

ra quyết định dựa trên không đầy đủ thông tin

 (vì đôi khi chỉ có manh mối nhỏ cũng phải quyết đoán đào sâu). Đây là một công việc đòi hỏi chuyên môn cao – như SANS nhận xét: “Threat hunting là một trong những kỹ năng 

 trong an ninh thông tin hiện nay”​. Bởi vậy, lộ trình thường thấy là các chuyên gia bảo mật sau vài năm làm SOC analyst, Incident Response hoặc malware analyst sẽ dần tích lũy đủ kiến thức để chuyển sang vai trò threat hunter​. Nếu bạn đang ấp ủ trở thành threat hunter, hãy rèn giũa những kỹ năng trên và không ngừng học hỏi, bạn sẽ sẵn sàng để bước vào “thế giới săn mối đe dọa” đầy thú vị.

So sánh vai trò của SOC Analyst và Threat Hunter

 đều hoạt động trong lĩnh vực giám sát an ninh, nhưng có sự khác biệt về phạm vi và cách tiếp cận:

 (nhân viên vận hành an ninh): Thường chịu trách nhiệm 

 hệ thống qua các công cụ SIEM, IDS/IPS, endpoint protection... Họ xử lý 

 do hệ thống phát hiện, thực hiện phân tích ban đầu và 

 theo quy trình. Mục tiêu chính của SOC analyst là 

phát hiện nhanh và phản ứng kịp thời

 đối với các sự kiện bất thường hoặc tấn công đang diễn ra. Công việc của họ mang tính 

 về malware, họ sẽ điều tra máy bị nhiễm, cô lập nó, quét virus, v.v. Họ cũng tham gia 

, tạo dashboard theo dõi, xử lý hỗ trợ người dùng khi có vấn đề an ninh (như máy bị nhiễm virus)...

 (chuyên gia săn mối đe dọa): Là người 

 với tư duy “đi tìm thứ chưa biết”. Họ ít khi chờ cảnh báo tự động, mà thường bắt đầu từ một 

 trong hệ thống để xác minh xem có dấu hiệu xâm nhập hay không. Threat hunter làm việc theo kiểu 

: ví dụ dành vài ngày để kiểm tra toàn bộ hệ thống xem có mã độc X nào ẩn náu không. Họ phải 

 để tìm ra những bất thường tinh vi. Công việc của hunter mang tính 

” hơn là “cảnh sát trực ban”.

Về mối quan hệ giữa hai vai trò: 

SOC analyst thường là nền tảng để trở thành threat hunter

. Nhiều threat hunter xuất thân từ các analyst có kinh nghiệm, hiểu rõ vận hành SOC rồi muốn 

 sang mảng hunting​. Thực tế, trong một SOC có tổ chức tốt, hai vai trò này 

 cho SOC (dựa trên phát hiện khi hunting), ngược lại SOC cung cấp dữ liệu và thực thi các phản ứng khi hunter phát hiện vấn đề.

Một cách so sánh khác: SOC analyst tập trung vào 

 thông qua quy tắc có sẵn (nên có thể 

 nhiều bằng công cụ); còn threat hunter tập trung vào 

, khó tự động hóa hoàn toàn)​. Máy móc có thể thay thế một phần công việc SOC analyst (ví dụ các hệ thống SIEM ngày càng thông minh hơn), nhưng 

máy móc chưa thể thay thế threat hunter

 do thiếu khả năng suy luận linh hoạt. Sự khác biệt này giống như 

 tìm ra những căn bệnh hiếm gặp – cả hai đều cần, nhưng vai trò chuyên gia (threat hunter) luôn đòi hỏi trình độ và kinh nghiệm cao hơn.

: nhiều SOC analyst ngày nay cũng được khuyến khích áp dụng tư duy threat hunting trong công việc hàng ngày, chẳng hạn 

đào sâu thêm mỗi khi phân tích alert

 để tìm những gì ẩn sau alert đó. Mặt khác, các 

 cũng hỗ trợ threat hunter rất nhiều (như tự động gợi ý bất thường), giúp họ tiết kiệm thời gian ở khâu kỹ thuật để tập trung vào khâu tư duy.

cách tiếp cận (reactive vs proactive)

 để xây dựng một năng lực an ninh toàn diện: SOC analyst đảm bảo không bỏ lỡ cảnh báo tức thời, còn threat hunter đảm bảo 

Tag: Threat Hunting