# Introduction to Threat Hunting ## 1. Introduction Threat hunting (săn mối đe dọa) là quá trình chủ động tìm kiếm các mối đe dọa tiềm ẩn trong hệ thống thông tin và mạng của tổ chức. Mục tiêu của quá trình này là phát hiện các cuộc tấn công phức tạp và tinh vi mà các biện pháp bảo mật hiện tại không thể phát hiện được. Threat hunting thường bao gồm việc thu thập dữ liệu, phân tích và xác định mối đe dọa do các chuyên gia an ninh mạng thực hiện. An ninh mạng là tập hợp các công nghệ, quy trình và biện pháp kiểm soát được triển khai để bảo vệ tài sản thông tin của tổ chức. Threat hunting là một phần quan trọng trong khung an ninh mạng vì nó giúp phát hiện các mối đe dọa không bị nhận diện bởi các biện pháp truyền thống. Nó giúp nâng cao tư thế an ninh của tổ chức một cách chủ động và chuẩn bị tốt hơn trước các cuộc tấn công tiềm tàng.
Tại sao các biện pháp bảo mật phản ứng là chưa đủ? Các biện pháp bảo mật truyền thống thường mang tính phản ứng, nghĩa là chỉ thực hiện sau khi một cuộc tấn công đã xảy ra. Chúng dựa vào các công nghệ như phần mềm diệt virus, tường lửa và hệ thống phát hiện xâm nhập (IDS). Tuy nhiên, khi các mối đe dọa mới và tiên tiến phát triển nhanh chóng, các biện pháp này trở nên thiếu hiệu quả. Chúng chỉ chống lại được các mối đe dọa đã biết và dễ bị tổn thương trước các lỗ hổng chưa được biết (zero-day).
Tầm quan trọng của tiếp cận bảo mật chủ động Cách tiếp cận bảo mật chủ động bao gồm các quy trình liên tục như giám sát, phân tích và săn mối đe dọa để phát hiện và ngăn chặn mối nguy tiềm ẩn. Điều này cho phép tổ chức phát hiện và phản ứng với các mối đe dọa ngay từ giai đoạn đầu. Bảo mật chủ động nghĩa là nhận diện mối đe dọa tiềm năng trước và hành động kịp thời trước khi các cuộc tấn công xảy ra, nhờ đó giảm thiểu thiệt hại và phản ứng hiệu quả hơn.
Hình ảnh minh họa sự khác biệt giữa **IOC (Indicators of Compromise)** và **IOA (Indicators of Attack)** **IOC - Chỉ báo xâm phạm mang tính chất phản ứng. Mục tiêu là xác nhận một cuộc tấn công đã xảy ra.** * **Vai trò:** Được dùng sau khi tấn công xảy ra để điều tra hoặc nhận diện hành vi độc hại. * **Bao gồm:** * Malware (phần mềm độc hại) * Signatures (chữ ký tấn công) * Exploits (lỗ hổng bị khai thác) * Vulnerabilities (lỗ hổng) * IP Addresses (địa chỉ IP đáng ngờ) **IOA – Chỉ báo tấn công mang tính chát chủ động. Mục tiêu là phát hiện sớm và ngăn chặn tấn công trước khi gây thiệt hại.** * **Vai trò:** Dự đoán và phát hiện hành vi tấn công đang diễn ra hoặc sắp xảy ra, từ đó ngăn chặn kịp thời. * **Bao gồm:** * Code Execution (thực thi mã) * Persistence (duy trì quyền truy cập) * Stealth (ẩn mình) * Command Control (điều khiển từ xa) * Lateral Movement (di chuyển ngang trong hệ thống) **Bối cảnh mối đe dọa và vai trò của threat hunting**
Bối cảnh mối đe dọa ngày nay Bối cảnh mối đe dọa mạng hiện nay rất phức tạp và liên tục thay đổi. Tội phạm mạng không ngừng phát triển kỹ thuật và công cụ mới để vượt qua các biện pháp bảo mật. Các mối đe dọa như Advanced Persistent Threats (APTs), ransomware, spyware,... gây rủi ro lớn cho cả các doanh nghiệp lớn lẫn nhỏ.
Lợi ích của threat hunting Threat hunting giúp tổ chức phòng thủ hiệu quả hơn trước các mối đe dọa phức tạp và tinh vi. Các chuyên gia săn mối đe dọa liên tục quét hệ thống và mạng để tìm các hành vi bất thường. Nhờ đó, họ ngăn chặn được hành vi xâm nhập và thiệt hại từ sớm. Ngoài ra, threat hunting giúp tổ chức phản ứng nhanh hơn với sự cố và tăng cường khả năng phục hồi trước các cuộc tấn công trong tương lai.
{% hint style="success" %} Tóm lại threat hunting – một quá trình bảo mật chủ động nhằm phát hiện các mối đe dọa chưa được biết đến trong hệ thống của tổ chức. Nó bổ sung cho các biện pháp bảo mật truyền thống vốn chỉ phản ứng sau sự cố. Trong bối cảnh các mối đe dọa mạng ngày càng phức tạp, threat hunting là một phần thiết yếu giúp tổ chức phát hiện sớm, phản ứng nhanh và củng cố hệ thống phòng thủ mạng. {% endhint %} ## 2. Threat Hunting Team and Competencies ### 2.1. Cấu trúc của Đội Threat Hunting * bao gồm các chuyên gia có kỹ năng và nhiệm vụ khác nhau, cùng phối hợp để phát hiện và ngăn chặn các mối đe dọa mạng. **Các vai trò chính:** * **Threat Hunter**: Thành viên chủ chốt, chịu trách nhiệm chính trong việc săn và phân tích các mối đe dọa, lên kế hoạch và thực hiện quá trình hunting, và báo cáo phát hiện. * **Incident Responder**: Phản ứng nhanh chóng với sự cố, quản lý quá trình xử lý và phục hồi hệ thống. * **Malware Analyst**: Phân tích hành vi phần mềm độc hại và xây dựng chiến lược phòng vệ. * **Forensic Analyst**: Thu thập và phân tích bằng chứng số để xác định nguồn gốc và phương thức tấn công. * **Security Analyst**: Giám sát hệ thống và mạng, xác định điểm yếu và thu thập thông tin tình báo về mối đe dọa. ### 2.2. Vị trí và trách nhiệm trong đội * **Junior Threat Hunter**: Thành viên mới, đảm nhận các nhiệm vụ cơ bản như thu thập dữ liệu và phân tích sơ cấp. * **Senior Threat Hunter**: Chuyên gia dày dặn kinh nghiệm, điều hành các hoạt động phức tạp và hướng dẫn các thành viên khác. * **Threat Intelligence Analyst**: Phân tích thông tin tình báo về mối đe dọa, cung cấp hiểu biết sâu về kỹ thuật, công cụ và kẻ tấn công. * **Red Team Member**: Giả lập các cuộc tấn công để phát hiện điểm yếu bảo mật và đề xuất biện pháp khắc phục. ### 2.3. Kỹ năng và năng lực cần thiết **a. Phân tích mối đe dọa và tình báo:** * Hiểu hành vi của kẻ tấn công. * Sử dụng framework như **MITRE ATT\&CK**. * Đánh giá và diễn giải nguồn tin tình báo. **b. Hiểu biết về hệ thống và mạng:** * Hiểu rõ giao thức mạng và kiến trúc hệ thống. * Nắm vững nguyên lý bảo mật hệ thống và ứng dụng. * Sử dụng các công cụ bảo mật như IDS/IPS, firewall, antivirus. **c. Tư duy phân tích và giải quyết vấn đề:** * Xử lý dữ liệu phức tạp, phát hiện hành vi bất thường. * Phản ứng nhanh và hiệu quả với tình huống. **d. Giao tiếp và báo cáo:** * Giao tiếp hiệu quả với cả đối tượng kỹ thuật và không kỹ thuật. * Báo cáo rõ ràng, dễ hiểu. * Hợp tác trong và ngoài tổ chức. ### **2.4. Chứng chỉ và Đào tạo cần thiết** * **eCTHP (Certified Threat Hunting Professional)**: Nâng cao năng lực phát hiện mối đe dọa chủ động.\ 🔗 * **GCIH (GIAC Certified Incident Handler)**: Công nhận năng lực xử lý sự cố và săn mối đe dọa.\ 🔗 * **CTIA (Certified Threat Intelligence Analyst)**: Khẳng định kiến thức phân tích tình báo mối đe dọa.\ 🔗 * **CEH (Certified Ethical Hacker)**: Hiểu rõ kỹ thuật tấn công và phòng thủ.\ 🔗 * **CISSP (Certified Information Systems Security Professional)**: Kiến thức toàn diện về quản trị an ninh thông tin.\ 🔗 ### 2.5. Nền tảng học tập và phát triển nghề nghiệp * **Nền tảng trực tuyến:** LetsDefend, Udemy. * **Hội thảo & Sự kiện:** Black Hat, DEF CON, SANS. * **Cộng đồng nghề nghiệp:** ISACA, (ISC)² – nơi kết nối và học hỏi từ chuyên gia ngành {% hint style="success" %} Tóm tắt phần 2 trình bày cấu trúc đội threat hunting gồm các chuyên gia đa lĩnh vực với vai trò như Threat Hunter, Incident Responder, Malware Analyst, Forensic Analyst và Security Analyst. Các vị trí bao gồm cả cấp độ Junior, Senior, Analyst và Red Team. Các kỹ năng cần thiết gồm: phân tích mối đe dọa, hiểu hệ thống và mạng, tư duy phản biện và kỹ năng giao tiếp. Đội ngũ được hỗ trợ qua các chứng chỉ như eCTHP, GCIH, CTIA, CEH và CISSP, cùng các tài nguyên học tập như nền tảng online, hội thảo chuyên ngành và cộng đồng chuyên môn. {% endhint %} ## 3. Threat Hunting Methodologies Phương pháp threat hunting bao gồm các chiến lược và kỹ thuật khác nhau nhằm phát hiện và phân tích các mối đe dọa mạng. Những phương pháp này giúp tổ chức ứng phó hiệu quả với các cuộc tấn công phức tạp, từ đó nâng cao tư thế phòng thủ an ninh mạng. Bài học này tập trung vào **phương pháp dựa trên kẻ tấn công (Adversary-Centric Approach)** và các khái niệm liên quan. ### 3.1. **Adversary-Centric Approach – Tiếp cận theo góc nhìn kẻ tấn công** * **Mục tiêu:** Hiểu rõ hành vi và tư duy của kẻ tấn công bằng cách phân tích **TTPs (Tactics, Techniques, Procedures)** – chiến thuật, kỹ thuật và quy trình mà họ sử dụng. * **Lợi ích:** Giúp phát hiện lỗ hổng tiềm ẩn và giai đoạn tấn công có thể bị khai thác. #### **TTPs – Tactics, Techniques, and Procedures** * **Tactics (Chiến thuật):** Mục tiêu tổng thể của kẻ tấn công (ví dụ: thu thập thông tin, truy cập ban đầu). * **Techniques (Kỹ thuật):** Phương pháp cụ thể để thực hiện chiến thuật (ví dụ: sử dụng OSINT để thu thập thông tin). * **Procedures (Quy trình):** Các bước chi tiết cụ thể để thực hiện kỹ thuật (ví dụ: cách sử dụng công cụ OSINT cụ thể). Việc hiểu TTPs giúp các threat hunter phát hiện các dấu hiệu tấn công ở các giai đoạn khác nhau. #### **MITRE ATT\&CK Framework** * **Là gì:** Một cơ sở dữ liệu mở, liệt kê chi tiết các hành vi tấn công thực tế mà kẻ tấn công từng sử dụng. * **Nội dung bao gồm:** * **Tactics:** Mục tiêu của cuộc tấn công (truy cập ban đầu, thực thi, duy trì…). * **Techniques:** Phương pháp tấn công như phishing, remote file copy. * **Sub-techniques:** Biến thể cụ thể như phishing qua đính kèm file hoặc link độc hại. * **Ứng dụng:** * Dự đoán các bước tiếp theo của kẻ tấn công. * Xây dựng chiến lược phòng thủ theo từng kỹ thuật trong khung MITRE ATT\&CK. #### Case Study: APT Attack * **Bối cảnh:** Một nhóm tấn công được nhà nước hậu thuẫn (state-sponsored) tấn công có chủ đích nhằm đánh cắp thông tin nhạy cảm. * **Chiến thuật:** Dùng email phishing để truy cập ban đầu, cài backdoor để duy trì quyền truy cập. * **Kỹ thuật:** Gửi email độc hại, di chuyển ngang trong hệ thống để kiểm soát nhiều máy. * **Quy trình:** Thu thập dữ liệu qua malware và gửi ra ngoài hệ thống. **Phản ứng & Phòng thủ:** * Phân tích TTP để nhận diện kỹ thuật tấn công. * Dùng khung MITRE ATT\&CK để xác định giai đoạn tấn công. * Áp dụng các biện pháp như đào tạo người dùng, triển khai phần mềm phát hiện malware, giám sát hệ thống mạng. Kết luận: Phương pháp tiếp cận theo góc nhìn kẻ tấn công giúp threat hunters hiểu và dự đoán hành vi của hacker, từ đó phát hiện tấn công sớm hơn. Việc phân tích TTPs kết hợp với framework MITRE ATT\&CK giúp nâng cao khả năng phát hiện, đối phó và phòng thủ an ninh mạng một cách chủ động. ### 3.2. Hypothesis-Driven Approach **Phương pháp Săn mối đe dọa Dựa trên Giả thuyết (Hypothesis-Driven Approach)** một quy trình có hệ thống trong đó các threat hunter đưa ra và kiểm tra các giả định về mối đe dọa hoặc tình huống tấn công cụ thể. Phương pháp này giúp quá trình threat hunting trở nên **tập trung và hiệu quả hơn**, khi các chuyên gia làm việc xoay quanh một giả thuyết rõ ràng thay vì tìm kiếm ngẫu nhiên.
Hình ảnh mô tả **chu trình liên tục trong hoạt động Threat Hunting**, nhấn mạnh tính lặp lại và cải tiến không ngừng. Đây là một **vòng lặp gồm 4 giai đoạn chính**, mỗi giai đoạn bổ trợ và nâng cao hiệu quả cho giai đoạn tiếp theo. #### **Tạo Giả thuyết (Creating a Hypothesis)** * **Định nghĩa:** Quá trình đưa ra giả định dựa trên dữ liệu có sẵn và thông tin tình báo đe dọa (threat intelligence), dự đoán cách thức kẻ tấn công có thể khai thác hệ thống. * **Tầm quan trọng:** Giúp định hướng rõ ràng, tập trung vào một mối đe dọa cụ thể. * **Ứng dụng:** Nếu thấy lưu lượng mạng bất thường, có thể đưa ra giả thuyết rằng đó là dấu hiệu của một phần mềm độc hại nào đó đang hoạt động trong hệ thống. #### **Kiểm tra Giả thuyết (Hypothesis Testing)** * **Định nghĩa:** Thu thập, phân tích dữ liệu và đưa ra kết luận xem giả thuyết có đúng hay không. * **Tầm quan trọng:** Giúp loại bỏ nhanh các giả thuyết sai và xác nhận các giả thuyết đúng để phát hiện mối đe dọa một cách chính xác. * **Ứng dụng:** Phân tích log mạng để xác minh xem hoạt động bất thường có thực sự là độc hại hay không. #### **Sử dụng Mô hình Phân tích (Using Analytical Models)** * **Định nghĩa:** Các mô hình toán học hoặc thống kê dùng để phân tích dữ liệu lớn và trích xuất thông tin có ý nghĩa. * **Tầm quan trọng:** Giúp xác định bất thường trong khối lượng dữ liệu lớn, hỗ trợ việc kiểm tra giả thuyết hiệu quả. * **Ứng dụng:** Mô hình học máy (machine learning) giúp phát hiện hành vi bất thường so với mẫu lưu lượng mạng thông thường. #### Case Study: Hypothesis-Based Threat Hunting * **Tình huống:** Một công ty phát hiện lưu lượng mạng tăng đột biến trong một khoảng thời gian. * **Giả thuyết:** "Lưu lượng tăng bất thường có thể là dấu hiệu của một cuộc tấn công DDoS." * **Thu thập dữ liệu:** Kiểm tra log lưu lượng mạng chi tiết. * **Phân tích:** Dùng thuật toán học máy để phát hiện hành vi bất thường so với lưu lượng thông thường. * **Kết luận:** Lưu lượng lớn đến từ các IP cụ thể được xác định là nguồn tấn công DDoS. * **Can thiệp:** Chặn các địa chỉ IP đó và củng cố các biện pháp bảo mật mạng. Kết luận: Phương pháp dựa trên giả thuyết giúp threat hunter thực hiện quá trình săn mối đe dọa một cách có định hướng và hiệu quả. Việc **tạo và kiểm tra giả thuyết** giúp nhanh chóng xác định các rủi ro tiềm tàng. Khi kết hợp với **mô hình phân tích dữ liệu**, các chuyên gia có thể phát hiện bất thường chính xác và phản ứng nhanh chóng, từ đó tăng cường khả năng phòng thủ mạng. ### 3.3. IoC-Based Approach Phương pháp dựa trên **IoC (Indicator of Compromise)** là một cách tiếp cận trong quá trình threat hunting, tập trung vào việc **xác định, theo dõi và phân tích các dấu vết** để nhận biết dấu hiệu của một cuộc tấn công hoặc xâm phạm an ninh. #### **Indicator of Compromise (IoC) – Chỉ báo xâm phạm** * **Định nghĩa:** Là dấu vết kỹ thuật số hoặc bằng chứng cho thấy hệ thống hoặc mạng đã bị xâm nhập. * **Ví dụ IoC:** Hoạt động bất thường, malware, traffic mạng không bình thường, file khả nghi,… * **Tầm quan trọng**: IoC giúp phát hiện sớm cuộc tấn công và cho phép hành động kịp thời để giảm thiểu thiệt hại. #### Types of IoC * **File-based**: File khả nghi, thay đổi bất thường của file * **Network-based**: Kết nối đến IP lạ, lưu lượng mạng bất thường * **Host-based**: Thay đổi bất thường trong log hệ thống hoặc registry * **Email-based**: Email phishing, file đính kèm độc hại #### Identifying IoCs * **Threat Intelligence:** Dựa trên thông tin tình báo cập nhật về các kỹ thuật và công cụ của kẻ tấn công. * **Log & Phân tích:** Phân tích log hệ thống/mạng để phát hiện hành vi bất thường. * **Công cụ tự động:** Sử dụng SIEM hoặc hệ thống giám sát tự động để ghi nhận và báo cáo IoC. #### IoC Databases * **Định nghĩa:** Kho lưu trữ các chỉ báo tấn công đã được phát hiện và ghi nhận. * **Tầm quan trọng:** Giúp hunter tra cứu nhanh và chính xác các mối đe dọa hiện tại và trước đây. #### Key IoC Databases * **OpenIOC**: Chuẩn IoC do Mandiant phát triển, hỗ trợ chia sẻ. * **STIX (Structured Threat Information Expression)**: Chuẩn định dạng chia sẻ thông tin đe dọa. * **TAXII (Trusted Automated Exchange of Indicator Information)**: Giao thức chia sẻ dữ liệu STIX. * **VirusTotal**: Nền tảng kiểm tra và phân tích mã độc. Ứng dụng: * Tích hợp trực tiếp vào quy trình threat hunting. * Thường xuyên cập nhật và bảo trì để phản ứng nhanh với các mối đe dọa mới. #### Case Study: IoC-based Threat Hunting * **Kịch bản:** Phát hiện lưu lượng mạng bất thường và thay đổi file lạ trên hệ thống. * **Xác định IoC:** Phân tích log mạng, xác định IP độc hại và file nghi vấn. * **Đối chiếu cơ sở dữ liệu:** So sánh với OpenIOC, STIX và kiểm tra file với VirusTotal. * **Phản ứng:** Chặn IP độc hại, gỡ malware, vá lỗi và tăng cường bảo mật để ngăn chặn các cuộc tấn công tương tự. Kết luận: Phương pháp dựa trên **IoC** là cách tiếp cận hiệu quả để **phát hiện dấu vết của các cuộc tấn công** trong quá trình threat hunting. Việc kết hợp giữa xác định – theo dõi – phân tích IoC với **cơ sở dữ liệu đe dọa** giúp hunter phản ứng nhanh và chính xác hơn. Đây là một chiến lược phòng thủ chủ động, nâng cao khả năng bảo vệ an ninh mạng của tổ chức. ## 4. Threat Hunting Life Cycle Threat hunting là quá trình **chủ động** nhằm phát hiện các mối đe dọa ẩn trong hệ thống và mạng của tổ chức. Quy trình này được chia thành **5 giai đoạn chính**, từ chuẩn bị đến tối ưu hóa.
### **4.1. Chuẩn bị và Lập kế hoạch (Preparation and Planning)** * **Xác định mục tiêu và nguồn lực:** * **Định nghĩa:** Xác định hệ thống, mạng và dữ liệu sẽ được điều tra. * **Tầm quan trọng:** Giúp quá trình hunting tập trung, tránh lãng phí tài nguyên. * **Ứng dụng:** Chọn phân đoạn mạng hoặc bộ phận cụ thể để điều tra sâu hơn. * **Lựa chọn công cụ và phương pháp:** * **Định nghĩa:** Chọn công cụ phù hợp quyết định hiệu quả săn mối đe dọa. * **Tầm quan trọng:** Tăng khả năng phát hiện. * **Ứng dụng:** SIEM, công cụ giám sát mạng, phần mềm phân tích. ### **4.2. Thu thập và Phân tích Dữ liệu (Data Collection and Analysis)** * **Nhận diện và tích hợp nguồn dữ liệu:** * **Định nghĩa:** Xác định và chuẩn hóa các nguồn dữ liệu đầu vào. * **Tầm quan trọng:** Cho phép phân tích đa chiều. * **Ứng dụng:** Log hệ thống, lưu lượng mạng, hành vi người dùng, threat intelligence. * **Phân tích dữ liệu:** * **Định nghĩa:** Phân tích dữ liệu để tìm ra dấu hiệu mối đe dọa. * **Tầm quan trọng:** Giúp phát hiện sớm. * **Ứng dụng:** Dùng thuật toán học máy và mô hình phân tích để tìm điểm bất thường. ### **4.3. Quá trình Threat Hunting (Threat Hunting Process)** * **Kỹ thuật săn mối đe dọa chủ động:** * **Định nghĩa:** Các phương pháp trực tiếp trong quá trình điều tra. * **Tầm quan trọng:** Giúp xác định sự hiện diện của kẻ tấn công. * **Ứng dụng:** Phát hiện bất thường, phân tích di chuyển ngang, phân tích hành vi người dùng. * **Giám sát liên tục và phân tích:** * **Định nghĩa:** Theo dõi hệ thống và áp dụng phương pháp phân tích thường xuyên. * **Tầm quan trọng:** Phát hiện sớm, can thiệp nhanh. * **Ứng dụng:** SIEM, EDR, các công cụ giám sát thời gian thực. ### **4.4. Phát hiện và Báo cáo (Findings and Reporting)** * **Ghi chép kết quả và phát hiện:** * **Định nghĩa:** Ghi lại chi tiết quá trình và kết quả điều tra. * **Tầm quan trọng:** Tài liệu tham khảo cho các lần hunting sau. * **Ứng dụng:** Báo cáo mối đe dọa, chi tiết sự kiện, kết quả phân tích. * **Báo cáo cho lãnh đạo và bên liên quan:** * **Định nghĩa:** Chuyển thông tin cho các bộ phận liên quan. * **Tầm quan trọng:** Đảm bảo hành động phù hợp được thực hiện. * **Ứng dụng:** Gửi báo cáo cho ban quản lý, phòng CNTT, hoặc bên thứ ba. ### **4.5. Ứng phó và Tối ưu hóa (Remediation and Optimization)** * **Hành động xử lý mối đe dọa:** * **Định nghĩa:** Triển khai biện pháp xử lý sau khi phát hiện mối đe dọa. * **Tầm quan trọng:** Giảm thiểu thiệt hại. * **Ứng dụng:** Vá lỗ hổng, dọn sạch malware, tăng cường bảo mật. * **Cải tiến liên tục:** * **Định nghĩa:** Rà soát và nâng cấp quy trình và phương pháp hunting. * **Tầm quan trọng:** Tăng hiệu quả và chuẩn bị tốt hơn cho các mối đe dọa mới. * **Ứng dụng:** Phản hồi, đánh giá hiệu suất, phát triển chiến lược phòng thủ mới. **Vòng đời Threat Hunting** bao gồm các giai đoạn: **chuẩn bị, thu thập dữ liệu, điều tra, báo cáo, và xử lý tối ưu**. Mỗi bước có vai trò quan trọng trong việc phát hiện và phản ứng trước các cuộc tấn công ẩn. Việc thực hiện đúng quy trình này giúp tổ chức phát triển một hệ thống an ninh mạng **chủ động, hiệu quả và linh hoạt** hơn trước các mối đe dọa ngày càng phức tạp. --- # Agent Instructions: Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter: ``` GET https://viettaliii.gitbook.io/home/th/1.md?ask= ``` The question should be specific, self-contained, and written in natural language. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.