Được thiết kế để né tránh: cơ sở hạ tầng trọng yếu những mục tiêu không thể thương lượng đối với cơ sở hạ tầng trọng yếu .

• cơ sở hạ tầng trọng yếu không phải là mục tiêu được chọn một cách ngẫu nhiên. Chúng được lựa chọn một cách có chủ đích, bởi vì email gần như đồng nghĩa với việc duy trì hoạt động kinh doanh. Các chiến dịch nhắm vào các tổ chức này là những hoạt động dài hạn, có sự tham gia của nhiều bên, thường bắt đầu từ email.
• Các kẻ tấn công thường thử nghiệm các mã độc của chúng trên hệ thống bảo mật của doanh nghiệp trước khi triển khai. Một tệp độc hại vượt qua được phần mềm quét của bạn không có nghĩa là tệp đó an toàn; rất có thể tệp đó đã được thiết kế đặc biệt để lách qua phần mềm quét của bạn.
• Mô hình bảo mật “ưu tiên phát hiện” có một lỗ hổng cơ bản khi đối mặt với kẻ tấn công đã chuẩn bị kỹ lưỡng: nó không thể phản ứng trước những tình huống mà hệ thống chưa từng gặp phải trước đây.
• Hệ thống phòng thủ email nhiều lớp chính là giải pháp mang tính cấu trúc. Mỗi lớp sẽ phát hiện những mối đe dọa mà các lớp khác không được thiết kế để phát hiện. Hiệu quả tổng hợp của hệ thống này rất đơn giản: nó làm tăng chi phí tối ưu hóa trước khi triển khai đối với kẻ tấn công.

Không có chuyên gia an ninh mạng nào lại quyết định coi các mối đe dọa là những sự cố riêng lẻ. Quá trình này diễn ra từ từ. Tỷ lệ phát hiện duy trì ổn định, các sự cố được giải quyết đúng tiến độ và các cuộc kiểm toán đều đạt yêu cầu mà không phát hiện ra vấn đề đáng kể nào. Mỗi dữ liệu riêng lẻ đều hợp lý, nhưng khi kết hợp lại, chúng tạo nên một bức tranh hoàn toàn chính xác nhưng lại thiếu sót một cách nguy hiểm.

Chính sự tích lũy niềm tin đó lại trở thành một lỗ hổng. Và đối với cơ sở hạ tầng trọng yếu , đây là lỗ hổng mà những kẻ tấn công cố ý khai thác, bắt đầu từ hộp thư đến — nơi cho đến nay vẫn là một trong những kênh lây nhiễm chính gây ra các rủi ro bảo mật email.

Khi một nhóm được nhà nước hậu thuẫn nhắm mục tiêu vào mạng lưới năng lượng, bệnh viện hoặc nhà thầu quốc phòng, đó có thể là một chiến dịch kéo dài nhiều năm. Những chiến dịch này thường bao gồm hàng trăm lần thử nghiệm, các nỗ lực thăm dò và các cuộc tấn công giả mạo nhằm vạch ra hệ thống phòng thủ trước khi “tải trọng” thực sự được triển khai. Mục tiêu của chúng là gây gián đoạn kéo dài, làm lộ thông tin lặp đi lặp lại và gây tổn hại tối đa đến uy tín theo thời gian. Việc tính toán số tiền chuộc đã được thực hiện trước khi chúng gửi email đầu tiên, và điều tồi tệ hơn là những kẻ tấn công đã biết rõ mục tiêu của chúng không thể chịu đựng được thời gian ngừng hoạt động.

Các tác nhân đe dọa có những động cơ và mô hình tấn công khác nhau, nhưng có một điểm chung: việc nhắm mục tiêu. cơ sở hạ tầng trọng yếu không phải là mục tiêu ngẫu nhiên, mà là những mục tiêu được lựa chọn cẩn thận; và các chiến dịch tấn công nhằm vào họ là những quá trình dài hạn, hầu như luôn bắt đầu từ email.

Bước đầu tiên là một tệp đính kèm chứa mã độc, một liên kết độc hại hoặc một nỗ lực lừa đảo thông tin đăng nhập được nghiên cứu kỹ lưỡng và tùy chỉnh, được gửi đến một kỹ sư, một nhân viên vận hành hoặc một lãnh đạo cấp cao. Và lý do khiến email vẫn là điểm xâm nhập được ưa chuộng nhất không phải là do tính phức tạp về mặt kỹ thuật, mà là do tính đơn giản về mặt toán học. Các tổ chức không thể chặn hoặc hạn chế kênh này mà không gây gián đoạn hoạt động.

Một nhân viên, một ngày tồi tệ, một tệp tin bị mở. Đó chính là toàn bộ điều kiện để chiến thắng. Một chiến dịch tiếp cận hàng nghìn hộp thư đến cùng lúc chỉ cần một khoảnh khắc sơ hở là đủ để thành công, và người phòng thủ phải ngăn chặn từng khoảnh khắc như vậy.

Mô hình chiến dịch này đã xuất hiện trong cơ sở hạ tầng trọng yếu của Hoa Kỳ. Một thông báo chung từ CISA, NSA và FBI đã xác nhận rằng các đối tượng thuộc nhóm Volt Typhoon đã ẩn náu bên trong một số mạng CNTT trong ít nhất năm năm để chuẩn bị cho các cuộc tấn công tiềm tàng nhằm gây gián đoạn hoặc phá hoại hệ thống công nghệ vận hành.

Không một tác nhân nào trong số này sẽ điều chỉnh lại chiến lược chỉ vì mục tiêu đã vá lỗ hổng nhanh hơn hoặc thuê thêm chuyên gia phân tích. Các cuộc tấn công này là những nước cờ chiến thuật, thường là một phần của chiến lược lớn hơn.

Thái độ cần có từ điều này là không thể lựa chọn. cơ sở hạ tầng trọng yếu cần hoạt động dựa trên giả định cơ bản rằng sự cố xâm nhập sẽ xảy ra và xây dựng hệ thống phòng thủ phù hợp: các lớp phòng thủ tại mọi điểm xâm nhập, cùng với khả năng ứng phó đủ nhanh để việc ngăn chặn có thể bắt đầu trước khi thiệt hại trở nên nghiêm trọng hơn.

Thực tiễn này rất phổ biến và đã được ghi nhận. Từ các nhóm do nhà nước hậu thuẫn, các nhóm vận hành phần mềm tống tiền cho đến các tổ chức tội phạm tinh vi, các tải trọng đều phải trải qua một quy trình chuẩn bị trước khi được gửi đi. Các đối tượng tấn công xây dựng các bản sao của hệ thống bảo mật doanh nghiệp, liên tục thử nghiệm cho đến khi tệp đạt được điểm phát hiện “sạch”, và chỉ sau đó mới tiến hành phân phối tệp đó.

Năm 2025, một chiến dịch quốc tế phối hợp đã triệt phá AVCheck, một trong những dịch vụ chống phần mềm diệt virus lớn nhất thế giới, vốn cho phép các nhà phát triển phần mềm độc hại kiểm tra xem các tệp của họ có bị phát hiện hay không trước khi triển khai. Dịch vụ này tồn tại bởi nhu cầu về việc kiểm tra khả năng lách qua hệ thống phát hiện trước khi triển khai là đủ lớn để duy trì một hoạt động thương mại được xây dựng dựa trên nhu cầu đó.

Mô hình bảo mật “ưu tiên phát hiện” có một lỗ hổng cấu trúc khi đối mặt với kẻ tấn công đã chuẩn bị kỹ lưỡng. Mô hình này được thiết kế để nhận diện các mối đe dọa mà nó đã từng gặp trước đây, hoặc những mối đe dọa có đặc điểm rất giống với các trường hợp đã có trong lịch sử ghi nhận. Một tải trọng được thiết kế đặc biệt để không thuộc vào bất kỳ loại nào trong hai loại trên sẽ lọt qua hệ thống mà không cung cấp cho lớp phát hiện bất kỳ cơ sở nào để phản ứng.

Quá trình tối ưu hóa đó không chỉ diễn ra một lần. Qua nhiều năm lặp lại và hàng trăm lần thử nghiệm, mỗi lần cách ly và mỗi lần chặn đều trở thành thông tin phản hồi mà kẻ tấn công sử dụng để tinh chỉnh lần thử tiếp theo. Chiến dịch này học hỏi từ hệ thống phòng thủ của bạn theo cách mà hệ thống phòng thủ của bạn không thể tự động đáp trả lại. Đây là hệ quả logic của việc áp dụng phương pháp “phát hiện trước tiên” khi đối phó với một kẻ tấn công đã chuẩn bị cụ thể để đối phó với hệ thống phát hiện của bạn.