Trend Micro NDR [LT] Chapter 01 - Kiến trúc và cơ chế hoạt động của giải pháp NDR Trend Micro Vision One

Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, việc chỉ dựa vào các giải pháp bảo vệ endpoint hoặc firewall truyền thống có thể chưa đủ để phát hiện toàn bộ hành vi bất thường trong hệ thống. Nhiều kỹ thuật tấn công hiện nay diễn ra trực tiếp trên lưu lượng mạng, chẳng hạn như Command and Control, lateral movement, khai thác dịch vụ nội bộ hoặc truyền tải dữ liệu bất thường.

Network Detection and Response (NDR) là một hướng tiếp cận tập trung vào việc giám sát, phân tích và phản hồi dựa trên lưu lượng mạng. Thay vì chỉ kiểm tra từng thiết bị riêng lẻ, NDR giúp cung cấp góc nhìn tổng thể hơn về các kết nối, hành vi và mối quan hệ giữa các tài sản trong hệ thống.

Bài viết này trình bày quá trình tìm hiểu kiến trúc và cơ chế hoạt động của giải pháp NDR trong hệ sinh thái Trend Micro Vision One, tập trung vào các thành phần cảm biến mạng, cơ chế thu thập telemetry, phân tích hành vi, tương quan dữ liệu XDR và khả năng phản ứng khi phát hiện mối đe dọa.

• Nền tảng Trung tâm (Trend Vision One Platform): Đóng vai trò là trung tâm chỉ huy, nơi tập hợp và xử lý dữ liệu telemetry từ toàn bộ hệ thống. Nền tảng này tích hợp AI, máy học (ML) và các công cụ phân tích nâng cao để biến dữ liệu thô thành các sự cố có cấu trúc và có thể ưu tiên xử lý.

• Các loại Cảm biến Mạng (Network Sensors):Giải pháp cung cấp ba phương thức triển khai linh hoạt để thu thập dữ liệu mạng phù hợp với mọi môi trường:
  
  • Inline NDR (Trong luồng): Sử dụng thiết bị Trend Micro™ TippingPoint™ TPS (TXE Series). Đây là hệ thống ngăn chặn xâm nhập (IPS) hiệu suất cao, thực hiện kiểm tra trực tiếp dòng lưu lượng để phản ứng ngay lập tức.
  • Out-of-band NDR (Ngoài luồng): Sử dụng Trend Micro™ Deep Discovery™ Inspector (DDI). Thiết bị này hoạt động thụ động, giám sát tất cả các cổng mạng và hơn 100 giao thức mà không làm gián đoạn vận hành mạng.
  • Cảm biến ảo độc lập (Standalone Virtual Network Sensor): Được thiết kế để bảo vệ các tài sản trên môi trường đám mây công cộng (AWS, Azure, GCP) hoặc các nền tảng ảo hóa như VMware vSphere và Nutanix AHV.

• Hệ thống Phân tích Sandbox (Deep Discovery Analyzer/Sandbox Analysis): Một máy chủ phân tích sandbox tùy chỉnh giúp thực thi các tệp tin hoặc URL nghi ngờ trong môi trường ảo hóa an toàn. Nó sử dụng các hình ảnh ảo được tinh chỉnh để khớp chính xác với cấu hình hệ thống thực tế của tổ chức (driver, ứng dụng, ngôn ngữ), giúp phát hiện các mã độc được thiết kế để né tránh sandbox tiêu chuẩn.
• Hệ thống Trí tuệ Mối đe dọa (Threat Intelligence): Tận dụng dữ liệu từ Trend Zero Day Initiative™ (ZDI) – chương trình bug bounty lớn nhất thế giới – giúp bảo vệ hệ thống khỏi các lỗ hổng chưa được công bố sớm hơn trung bình 96 ngày trước khi có bản vá từ nhà cung cấp.

• Các kết nối điều khiển (Command and Control - C&C).
• Hành vi di chuyển ngang (Lateral movement) của kẻ tấn công bên trong mạng.
• Các nỗ lực đăng nhập đáng ngờ hoặc truyền tải tệp tin lớn bất thường.
• Phát hiện các thiết bị "vô hình" (unmanaged devices) như IoT, IIoT, BYOD không được cài đặt đại diện bảo mật.

• Chặn Inline: Tự động chặn các địa chỉ IP, tên miền (FQDN) hoặc URL độc hại ngay tại tầng mạng thông qua TippingPoint.
• Vá lỗi ảo (Virtual Patching): Sử dụng các bộ lọc IPS để bảo vệ các hệ thống cũ hoặc chưa kịp vá lỗi trước khi mã khai thác lỗ hổng có thể tiếp cận mục tiêu.
• Cách ly hệ thống: Phối hợp với lớp bảo mật điểm cuối để cách ly các máy tính đã bị nhiễm mã độc.