proto.lib

Canary Token: bẫy gần như không báo động giả

Canary token là credential, tệp, tên DNS hoặc dòng dữ liệu giả mà không phần mềm hợp lệ nào từng đụng tới; chỉ cần nó bị dùng một lần là phát hiện gần như chắc chắn đúng, không cần correlation — ví dụ một canary AWS key bị gọi từ bất kỳ đâu nghĩa là source code hoặc bản dump chứa nó đã bị đánh cắp.

SecurityCơ bản2026-08-21
Canary Token: bẫy gần như không báo động giả

Tags

#canary-token#honeytoken#deception#honeypot#detection-engineering#incident-response

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Ứng cứu Zero-day: Vá chưa có, vẫn phải chặn (Emergency Response)

Khi một lỗ hổng nghiêm trọng bị công bố mà chưa có bản vá, nhóm bảo mật phải đánh giá phạm vi phơi nhiễm trong vài giờ rồi áp compensating control tạm thời (chặn vector, tắt tính năng, xoay khoá) trong lúc chờ vendor phát hành patch, đồng thời rà soát log để xác định đã bị khai thác trước đó chưa.

#zero-day#incident-response#waf#compensating-control
SecurityNâng cao

Kiểm chứng Detection bằng Atomic Test

Một atomic test mô phỏng an toàn, có phạm vi nhỏ, cho một kỹ thuật ATT&CK cụ thể được chạy trong lab; toàn bộ pipeline được kiểm tra đầu-cuối — telemetry có thu thập, rule có bắn cảnh báo, alert có route đúng hàng đợi, và mất bao lâu — biến độ phủ detection từ một dòng khẳng định trên spreadsheet thành một con số đã đo được.

#atomic-red-team#detection-engineering#mitre-attack#purple-team
SecurityTrung bình

SIEM: Correlation Rule biến log thành phát hiện

Log từ nhiều nguồn (auth, cloud trail, endpoint, network) được chuẩn hoá về một schema chung rồi một rule correlation ghép sự kiện qua các nguồn — đăng nhập từ quốc gia lạ rồi tải hàng loạt trong vài phút là một phát hiện, dù riêng lẻ mỗi nửa đều bình thường; mỗi rule được gắn với một kỹ thuật ATT&CK để lộ ra khoảng trống độ phủ.

#siem#detection-engineering#correlation-rule#log-normalization