Proxy cho việc giám sát dark web: cách các công ty theo dõi rò rỉ dữ liệu và mối đe dọa an ninh

Mỗi ngày, hàng ngàn thông báo mới về việc bán dữ liệu doanh nghiệp xuất hiện trên darknet: thông tin đăng nhập của nhân viên, cơ sở dữ liệu khách hàng, mã nguồn, tài liệu tài chính. Các công ty không theo dõi thị trường này sẽ biết về các rò rỉ cuối cùng — sau khi dữ liệu đã bị kẻ xấu sử dụng. Các máy chủ proxy đã trở thành công cụ chính cho việc giám sát darknet một cách an toàn và ẩn danh: chúng cho phép các dịch vụ an ninh hoạt động một cách kín đáo mà không tiết lộ cơ sở hạ tầng doanh nghiệp.

Tại sao doanh nghiệp cần giám sát darknet

Darknet không chỉ là nơi cho thương mại bất hợp pháp. Đây là một thị trường ngầm hoàn chỉnh, nơi dữ liệu doanh nghiệp của bạn có thể xuất hiện trước khi bạn biết về sự cố. Theo báo cáo Chi phí Rò rỉ Dữ liệu của IBM năm 2023, chi phí trung bình của một vụ rò rỉ dữ liệu là 4,45 triệu đô la. Trong 83% trường hợp, công ty biết về rò rỉ không từ dịch vụ an ninh của mình mà từ bên thứ ba — khách hàng, đối tác hoặc nhà báo.

Điều gì xảy ra với dữ liệu của công ty sau khi bị rò rỉ? Kịch bản là tiêu chuẩn: tin tặc xâm nhập vào hệ thống hoặc mua quyền truy cập từ một người trong cuộc, sau đó dữ liệu xuất hiện trên các diễn đàn và chợ darknet. Đầu tiên, chúng được bán sỉ cho những người mua lớn, sau đó là bán lẻ. Toàn bộ chu trình từ việc xâm nhập đến việc dữ liệu được sử dụng lần đầu tiên bởi kẻ xấu mất trung bình 72–96 giờ. Chính trong khoảng thời gian này, công ty có thể phản ứng: thay đổi mật khẩu, chặn các tài khoản bị xâm phạm, cảnh báo khách hàng.

Giám sát darknet không phải là sự hoang tưởng mà là thực tiễn tiêu chuẩn của an ninh doanh nghiệp. Các ngân hàng lớn, công ty bảo hiểm, nhà bán lẻ và tập đoàn công nghệ từ lâu đã dành ngân sách riêng cho threat intelligence (tình báo mối đe dọa). Các doanh nghiệp nhỏ và vừa chỉ mới bắt đầu nhận thức được sự cần thiết của lĩnh vực này — và ở đây, một proxy được cấu hình đúng trở thành công cụ bảo vệ đầu tiên và dễ tiếp cận.

Cách giám sát darknet bằng proxy hoạt động

Để hiểu vai trò của proxy trong việc giám sát darknet, cần phải tìm hiểu về kiến trúc của internet ngầm. Darknet hoạt động thông qua mạng Tor (The Onion Router) — một hệ thống gồm hàng ngàn nút, mã hóa nhiều lần lưu lượng truy cập và ẩn địa chỉ IP thực của người dùng. Các trang web trên darknet có tên miền .onion và không thể truy cập qua trình duyệt thông thường.

Vấn đề của việc kết nối trực tiếp đến Tor từ IP doanh nghiệp là rõ ràng: bạn tiết lộ nguồn gốc của lưu lượng truy cập của tổ chức mình. Nếu kẻ xấu trên diễn đàn thấy rằng ai đó với IP của ngân hàng Nga đang thường xuyên theo dõi trang của họ, họ sẽ xóa thông tin hoặc bắt đầu đăng thông tin sai lệch. Tệ hơn nữa — IP doanh nghiệp của bạn có thể bị đưa vào cơ sở dữ liệu của các nhóm hacker như một "mục tiêu thú vị".

Chính ở đây, proxy giải quyết một nhiệm vụ quan trọng: chúng tạo ra một lớp trung gian giữa cơ sở hạ tầng thực của bạn và các điểm giám sát. Sơ đồ hoạt động như sau:

1. Yêu cầu từ hệ thống giám sát của bạn đến máy chủ proxy
2. Máy chủ proxy chuyển tiếp yêu cầu qua Tor hoặc trực tiếp đến các chỉ mục darknet
3. Phản hồi được trả về qua proxy, ẩn địa chỉ IP thực của bạn
4. Hệ thống phân tích dữ liệu nhận được để tìm kiếm các đề cập đến công ty của bạn, tên miền, địa chỉ email
5. Khi phát hiện sự trùng khớp — thông báo tự động cho đội ngũ an ninh

Việc xoay vòng proxy thêm một lớp bảo vệ nữa: mỗi yêu cầu đến từ một địa chỉ IP mới, điều này làm cho việc theo dõi các mẫu giám sát trở nên không thể. Các đội ngũ tình báo mối đe dọa chuyên nghiệp sử dụng các nhóm hàng trăm và hàng ngàn địa chỉ IP để mô phỏng lưu lượng truy cập tự nhiên của nhiều người dùng.

Các loại proxy phù hợp cho việc giám sát mối đe dọa

Việc chọn loại proxy cho việc giám sát darknet phụ thuộc vào nhiệm vụ cụ thể. Hãy xem xét từng lựa chọn từ góc độ áp dụng trong an ninh doanh nghiệp.

Proxy cư trú là lựa chọn tối ưu cho hầu hết các nhiệm vụ giám sát darknet. Địa chỉ IP của chúng thuộc về những người dùng thực tại nhà trên toàn thế giới, điều này làm cho chúng gần như không thể phân biệt với lưu lượng thông thường. Khi hệ thống giám sát của bạn kết nối đến diễn đàn darknet thông qua proxy cư trú, điều này trông giống như một người dùng bình thường từ Đức, Mỹ hoặc bất kỳ quốc gia nào khác — không có dấu hiệu hoạt động doanh nghiệp.

Proxy di động đặc biệt quý giá cho việc giám sát các kênh và trò chuyện Telegram, nơi các nhóm hacker thảo luận về các cơ sở dữ liệu đã mua và lên kế hoạch tấn công. Telegram đang tích cực chống lại bot và việc thu thập dữ liệu tự động, vì vậy proxy di động với các địa chỉ IP 4G/5G thực sự là không thể thiếu — chúng có mức độ tin cậy cao nhất trên các nền tảng.

Proxy trung tâm dữ liệu phù hợp cho việc làm việc với các nhà tổng hợp và chỉ mục mở, những người thu thập dữ liệu từ darknet và cung cấp chúng qua API. Tại đây, tốc độ xử lý khối lượng yêu cầu lớn là quan trọng hơn là ẩn danh tối đa. Proxy trung tâm dữ liệu cung cấp băng thông cao với chi phí tương đối thấp.

Các công ty theo dõi điều gì trên darknet

Giám sát chuyên nghiệp darknet không phải là việc xem qua các diễn đàn một cách ngẫu nhiên. Đây là một quá trình có cấu trúc để tìm kiếm các chỉ số cụ thể về sự xâm phạm (IoC). Dưới đây là những gì các dịch vụ an ninh của các công ty thực sự tìm kiếm:

1. Thông tin đăng nhập doanh nghiệp

Tên đăng nhập và mật khẩu của nhân viên là loại rò rỉ phổ biến nhất. Tin tặc bán chúng theo lô: “dump 50.000 tài khoản của công ty X”. Việc giám sát bao gồm việc tìm kiếm các tên miền email doanh nghiệp (@company.ru) trong các cơ sở dữ liệu chứa thông tin đăng nhập đã bị xâm phạm. Việc phát hiện một rò rỉ như vậy cho công ty thời gian để buộc phải đặt lại mật khẩu trước khi kẻ xấu lợi dụng quyền truy cập.

2. Dữ liệu khách hàng và cơ sở dữ liệu

Các cơ sở dữ liệu chứa thông tin cá nhân của khách hàng là một trong những hàng hóa đắt giá nhất trên thị trường darknet. Việc giám sát cho phép phát hiện rằng cơ sở dữ liệu khách hàng của bạn đang được rao bán, trước khi điều này trở thành một vụ bê bối công khai. Các truy vấn tìm kiếm bao gồm tên công ty, tên miền, các mẫu định dạng dữ liệu đặc trưng.

3. Tài liệu doanh nghiệp và mã nguồn

Rò rỉ tài liệu nội bộ, báo cáo tài chính, kế hoạch chiến lược hoặc mã nguồn sản phẩm gây thiệt hại nghiêm trọng đến danh tiếng và cạnh tranh. Những dữ liệu này xuất hiện trên darknet như là kết quả của các cuộc tấn công ransomware (khi tin tặc mã hóa dữ liệu và đe dọa công bố) hoặc hành động của những người trong cuộc.

4. Thảo luận về các cuộc tấn công dự kiến

Trên các diễn đàn hacker, đôi khi xuất hiện các cuộc thảo luận về các mục tiêu cụ thể cho các cuộc tấn công: “tìm kiếm lỗ hổng trong hệ thống của công ty X”, “mua quyền truy cập vào mạng của ngân hàng Y”. Việc giám sát những đề cập như vậy cho phép cảnh báo về một cuộc tấn công ngay từ giai đoạn chuẩn bị. Đây là loại tình báo mối đe dọa quý giá nhất, nhưng cũng là loại khó khăn nhất.

5. Dữ liệu thanh toán bị xâm phạm

Đối với các nhà bán lẻ, ngân hàng và công ty fintech, việc giám sát việc bán dữ liệu thẻ của khách hàng là cực kỳ quan trọng. Sự xuất hiện của dữ liệu thẻ do ngân hàng của bạn phát hành hoặc đã được sử dụng trên trang web của bạn trên các diễn đàn carding là tín hiệu rõ ràng để điều tra sự cố.

Công cụ và nền tảng cho việc giám sát darknet

Thị trường công cụ cho việc giám sát darknet được chia thành hai phân khúc: các nền tảng thương mại sẵn có và các giải pháp tự cấu hình. Hãy xem xét cả hai lựa chọn.

Các nền tảng thương mại tình báo mối đe dọa

Các dịch vụ này đã được tích hợp với các nguồn darknet và cung cấp các bảng điều khiển sẵn có cho việc giám sát các mối đe dọa. Chúng sử dụng cơ sở hạ tầng proxy riêng để thu thập dữ liệu, và bạn chỉ nhận được kết quả qua giao diện web hoặc API.

• Recorded Future — một trong những nền tảng lớn nhất về tình báo mối đe dọa, lập chỉ mục hàng triệu nguồn bao gồm các diễn đàn darknet và kênh Telegram
• Flashpoint — chuyên giám sát các cộng đồng tội phạm và chợ
• Digital Shadows (Searchlight Cyber) — tập trung vào bảo vệ thương hiệu và giám sát rò rỉ dữ liệu
• Kela — nền tảng tập trung vào giám sát thông tin đăng nhập bị xâm phạm
• DarkOwl — một trong những chỉ mục lớn nhất về nội dung darknet với quyền truy cập API

Giám sát tự động qua proxy

Các công ty có đội ngũ an ninh riêng thường xây dựng các giải pháp lai: sử dụng các nền tảng thương mại cho việc giám sát cơ bản và bổ sung chúng bằng các công cụ riêng cho các nhiệm vụ cụ thể. Tại đây, proxy trở thành yếu tố trung tâm của cơ sở hạ tầng.

Một ngăn xếp điển hình cho việc giám sát tự động bao gồm:

• Tor Browser / Tor proxy — để truy cập trực tiếp vào các tài nguyên .onion
• Nhóm proxy với xoay vòng — để thu thập dữ liệu ẩn danh từ web bề mặt (các chỉ mục, tổng hợp)
• Maltego — công cụ để trực quan hóa các mối quan hệ giữa dữ liệu và thực thể
• Shodan / Censys — tìm kiếm các tài nguyên doanh nghiệp dễ bị tổn thương trong truy cập công khai
• Have I Been Pwned API — kiểm tra địa chỉ email trong các cơ sở dữ liệu rò rỉ nổi tiếng
• Elasticsearch + Kibana — lưu trữ và trực quan hóa dữ liệu đã thu thập

Cách thiết lập giám sát: thuật toán từng bước

Xây dựng một hệ thống giám sát darknet là một quá trình có thể chia thành một số bước cụ thể. Dưới đây là thuật toán thực tiễn cho đội ngũ an ninh doanh nghiệp.

Bước 1. Xác định "tài sản số" để giám sát

Lập danh sách những gì cần tìm trên darknet. Đây là các truy vấn tìm kiếm (keywords) của bạn cho hệ thống giám sát:

• Các tên miền email doanh nghiệp: @company.ru, @company.com
• Tên công ty và các biến thể viết (bao gồm cả phiên âm)
• Phạm vi địa chỉ IP của mạng doanh nghiệp
• Các tên miền của trang web doanh nghiệp và hệ thống nội bộ
• Tên của các giám đốc cấp cao và nhân viên chủ chốt
• Tên của các hệ thống và sản phẩm nội bộ
• Số thẻ doanh nghiệp (mã BIN cho ngân hàng)

Bước 2. Thiết lập cơ sở hạ tầng proxy

Để giám sát, nên sử dụng các proxy cư trú với xoay vòng IP. Cài đặt tiêu chuẩn: nhận dữ liệu để kết nối (host, port, tên đăng nhập, mật khẩu), chỉ định loại giao thức SOCKS5 hoặc HTTP trong cài đặt công cụ giám sát của bạn. Đối với việc làm việc với mạng Tor, proxy được cấu hình như một lớp trung gian trước khách hàng Tor.

Quan trọng là thiết lập xoay vòng sao cho mỗi phiên giám sát mới sử dụng một địa chỉ IP mới. Hầu hết các nhà cung cấp proxy cư trú hỗ trợ xoay vòng tự động thông qua một endpoint đặc biệt — điều này loại bỏ nhu cầu chuyển đổi IP một cách thủ công.

Bước 3. Xác định các nguồn để giám sát

Không phải tất cả các nguồn đều có giá trị như nhau. Ưu tiên chúng theo mức độ liên quan đến ngành của bạn:

Bước 4. Thiết lập hệ thống cảnh báo

Việc giám sát mà không có hệ thống thông báo là vô nghĩa. Thiết lập các cảnh báo tự động khi phát hiện các từ khóa trong danh sách của bạn. Hầu hết các nền tảng thương mại có thông báo tích hợp qua email, Slack hoặc Telegram. Đối với các giải pháp tự động, có thể sử dụng tích hợp webhook với các ứng dụng nhắn tin doanh nghiệp.

Phân chia các cảnh báo theo mức độ quan trọng: phát hiện mật khẩu doanh nghiệp — thông báo ngay lập tức cho CISO và Giám đốc IT, đề cập đến tên công ty trên diễn đàn — bản tóm tắt hàng ngày cho nhà phân tích an ninh.

Bước 5. Tạo quy trình phản ứng

Phát hiện một mối đe dọa chỉ là khởi đầu. Hãy viết trước những gì đội ngũ sẽ làm trong mỗi loại phát hiện: ai nhận thông báo, thời gian cần phản ứng, các biện pháp kỹ thuật được thực hiện. Không có kế hoạch phản ứng rõ ràng, ngay cả hệ thống giám sát chính xác nhất cũng sẽ không mang lại kết quả.

Những sai lầm thường gặp và cách tránh chúng

Ngay cả các đội ngũ an ninh có kinh nghiệm cũng mắc phải những sai lầm điển hình khi thiết lập giám sát darknet. Biết về những sai lầm này sẽ giúp tránh chúng ngay từ đầu.

Sai lầm 1: Giám sát mà không có proxy hoặc với một IP tĩnh duy nhất

Sai lầm nghiêm trọng nhất. Việc sử dụng IP doanh nghiệp hoặc một proxy duy nhất để giám sát tiết lộ hoạt động của bạn và làm cho nó trở nên dễ đoán. Kẻ xấu trên các diễn đàn thấy các mẫu: một IP thường xuyên xem các chủ đề có đề cập đến một công ty cụ thể. Giải pháp là một nhóm proxy cư trú với xoay vòng tự động, nơi mỗi yêu cầu đến từ một địa chỉ mới.

Sai lầm 2: Giám sát chỉ darknet và bỏ qua Telegram

Trong năm 2023–2024, một phần đáng kể của thương mại dữ liệu bị đánh cắp đã chuyển từ darknet truyền thống sang Telegram. Nhiều nhóm hacker điều hành các kênh công khai hoặc bán công khai, nơi họ đăng thông báo về việc bán dữ liệu. Bỏ qua Telegram có nghĩa là bỏ lỡ một phần lớn các mối đe dọa.

Sai lầm 3: Phản ứng chỉ khi có rò rỉ, mà không phải khi có dấu hiệu của nó

Giám sát chuyên nghiệp phải phát hiện không chỉ các rò rỉ mà còn cả những dấu hiệu báo trước của chúng: thảo luận về lỗ hổng trong hệ thống của bạn, tìm kiếm người trong cuộc, thông báo về việc mua quyền truy cập vào cơ sở hạ tầng của bạn. Hãy thiết lập giám sát cho một loạt các chỉ số, không chỉ cho các đề cập trực tiếp đến dữ liệu.

Sai lầm 4: Thiếu xác minh các phát hiện

Các hệ thống tự động tạo ra các cảnh báo giả. Nếu công ty của bạn có tên là "Alpha", hệ thống sẽ tìm thấy hàng ngàn đề cập không liên quan. Nếu không có quy trình xác minh thủ công của nhà phân tích, đội ngũ sẽ bị ngập trong các cảnh báo giả và bỏ lỡ các mối đe dọa thực sự. Hãy xây dựng một hệ thống hai cấp: sàng lọc tự động ban đầu + xác minh thủ công các phát hiện ưu tiên.

Sai lầm 5: Vi phạm an toàn hoạt động khi xác minh

Khi nhà phân tích nhận được cảnh báo về dữ liệu đã tìm thấy và đi kiểm tra liên kết — họ phải làm điều này qua proxy, chứ không phải từ máy tính doanh nghiệp trực tiếp. Việc truy cập các liên kết từ darknet mà không có bảo vệ có thể tiết lộ IP doanh nghiệp và thậm chí dẫn đến việc tải phần mềm độc hại. Tất cả các kiểm tra — chỉ thông qua môi trường cách ly với proxy.

Kết luận

Giám sát darknet đã không còn là điều kỳ lạ và đã trở thành thực tiễn tiêu chuẩn trong an ninh mạng doanh nghiệp. Các công ty xây dựng hệ thống phát hiện sớm các mối đe dọa nhận được lợi thế quan trọng: thời gian phản ứng trước khi dữ liệu bị đánh cắp được sử dụng chống lại họ hoặc khách hàng của họ.

Cơ sở hạ tầng proxy là nền tảng cho việc giám sát an toàn. Nếu không có nó, bất kỳ hoạt động nào trên darknet đều tiết lộ tổ chức của bạn và làm cho việc giám sát trở nên phản tác dụng. Một nhóm proxy được cấu hình đúng với xoay vòng đảm bảo ẩn danh, mô phỏng lưu lượng tự nhiên và cho phép đội ngũ an ninh làm việc một cách kín đáo.

Những điểm chính của bài viết: sử dụng proxy cư trú cho việc giám sát diễn đàn, proxy di động cho các kênh Telegram, thiết lập xoay vòng IP tự động, tạo danh sách rõ ràng về tài sản số để tìm kiếm và chắc chắn viết quy trình phản ứng cho các phát hiện.

Nếu bạn dự định xây dựng một hệ thống giám sát mối đe dọa cho công ty của mình, chúng tôi khuyên bạn nên bắt đầu với proxy cư trú với xoay vòng — chúng đảm bảo ẩn danh tối đa khi làm việc với các nguồn darknet và rủi ro tối thiểu trong việc phát hiện hoạt động giám sát của bạn. Đối với các nhiệm vụ giám sát các kênh Telegram của các nhóm hacker, lựa chọn tối ưu sẽ là proxy di động với các địa chỉ thực 4G/5G.