Việt Nam diễn tập an ninh mạng quốc gia 2026: 10 đội, 43 thử thách CTF

Một cuộc diễn tập không chỉ để phòng thủ

Ngày 27/10, tại Hà Nội, Cục An ninh mạng (Bộ Công an) phối hợp với Hiệp hội An ninh mạng quốc gia NCA tổ chức Diễn tập an ninh mạng quốc gia 2026. Điểm đáng chú ý không nằm ở quy mô, mà ở cách đổi kịch bản: các đội không chỉ chặn tấn công mà còn phải truy vết kẻ tấn công, thu thập chứng cứ điện tử như một cuộc điều tra thật. Với người làm kỹ thuật, đây là tín hiệu cho thấy yêu cầu năng lực an ninh mạng trong nước đang dịch chuyển từ "dựng tường lửa cho chắc" sang "hiểu được chuyện gì đã xảy ra".

Có gì trong kịch bản năm nay

Chương trình huy động 90 cán bộ, chiến sĩ và chuyên viên từ các đơn vị chuyên trách bảo vệ an ninh mạng của một số bộ, ngành và Phòng An ninh mạng của 32 tỉnh, thành phố. Các thành viên được chia thành 10 đội. Theo bài gốc, phiên thực hành kéo dài 7,5 tiếng liên tục.

Kịch bản mô phỏng một cuộc tấn công nhắm vào hệ thống thông tin của một tổ chức tài chính. Trong suốt phiên, mỗi đội phải làm song song hai việc:

• Phòng thủ: giám sát, phát hiện và ngăn chặn kịp thời cuộc tấn công để giữ hệ thống hoạt động.
• Điều tra: phân tích nhật ký (log), truy vết hành vi của tội phạm mạng qua từng giai đoạn của cuộc tấn công, khoanh vùng, xử lý sự cố, khôi phục hệ thống và thu thập chứng cứ điện tử phục vụ điều tra.

Phần điều tra được chấm theo hình thức CTF (Capture The Flag) với 43 thử thách. Ban tổ chức cho biết kết quả mỗi đội phản ánh cả năng lực phòng thủ lẫn khả năng điều tra sự cố. Nói cách khác, một đội chặn được tấn công nhưng không giải thích được đường đi của kẻ tấn công sẽ không được điểm cao — đây là thay đổi quan trọng về cách đánh giá.

Bên cạnh phiên thực hành, chương trình có hội thảo chuyên đề dành cho lãnh đạo Phòng An ninh mạng Công an các tỉnh, thành phố và các đơn vị bảo đảm an ninh mạng thuộc bộ, ngành. Nội dung xoay quanh điểm mới của Luật An ninh mạng, Luật Bảo vệ dữ liệu cá nhân và các văn bản hướng dẫn; công tác thẩm định hồ sơ cấp độ hệ thống thông tin; huấn luyện, diễn tập an ninh mạng trong kỷ nguyên AI; cùng các xu hướng công nghệ và tiêu chuẩn kỹ thuật liên quan.

Bối cảnh: vì sao chọn tổ chức tài chính

Theo ban tổ chức, nguy cơ an ninh mạng tiếp tục diễn biến phức tạp. Các nhóm tấn công có chủ đích duy trì hoạt động nhắm vào hệ thống thông tin quan trọng về an ninh quốc gia và hạ tầng trọng yếu. Một số thủ đoạn được nêu tên:

• Mã độc tống tiền (ransomware) kết hợp đánh cắp dữ liệu để gây sức ép kép.
• Khai thác AI để giả mạo giọng nói, hình ảnh, tự động hóa lừa đảo và phát triển mã độc.
• Tấn công qua chuỗi cung ứng và nhà cung cấp dịch vụ bên thứ ba.
• Mua bán trái phép dữ liệu cá nhân, được đánh giá là ngày càng phổ biến.

Ban tổ chức cũng thẳng thắn nhìn nhận năng lực bảo vệ an ninh mạng và cơ chế điều phối liên ngành "có lúc, có nơi còn thiếu sự đồng bộ". Việc chọn tài chính - ngân hàng làm mục tiêu mô phỏng không phải ngẫu nhiên: đây là một trong những mục tiêu hàng đầu của tội phạm mạng, và sự cố tại đây có thể gây thiệt hại tài sản, lộ dữ liệu khách hàng, gián đoạn thanh toán và ảnh hưởng niềm tin của người dân.

Vì sao độc giả kỹ thuật Việt Nam nên quan tâm

Với lập trình viên và kỹ sư backend, kịch bản trên phản ánh đúng những gì một sự cố thực tế đòi hỏi. Khi bị tấn công, câu hỏi đầu tiên của doanh nghiệp thường là "hệ thống đã sạch chưa", nhưng câu hỏi của cơ quan điều tra là "kẻ tấn công vào bằng đường nào, lấy gì, còn ở đâu nữa". Trả lời được câu thứ hai đòi hỏi hạ tầng đã được chuẩn bị từ trước: log tập trung, đồng bộ thời gian, lưu vết truy cập, phân quyền rõ ràng, và khả năng tái dựng sự kiện theo dòng thời gian.

Đây cũng là lời nhắc cho các nhóm đang xây hệ thống cho fintech, ngân hàng số hay thanh toán: phần điều tra sự cố không thể là việc làm sau khi có chuyện. Nếu log bị xoay vòng quá nhanh, không có log của thiết bị mạng, hay ứng dụng không ghi lại hành vi bất thường, thì ngay cả đội giỏi cũng không có gì để truy vết. Những yêu cầu kiểu này thường xuất hiện trong hồ sơ thẩm định cấp độ hệ thống thông tin — nội dung được bàn trong hội thảo đi kèm.

Với doanh nghiệp cung cấp dịch vụ an ninh mạng, việc ban tổ chức nêu rõ mục tiêu "củng cố cơ chế phối hợp giữa lực lượng chuyên trách, các bộ, ngành, tổ chức tài chính và doanh nghiệp an ninh mạng" cho thấy kênh phối hợp công - tư đang được chú trọng. Đây là điểm đáng theo dõi với các startup và công ty tư vấn bảo mật trong nước.

Còn với người làm DevOps và cloud, phần "kỷ nguyên AI" trong hội thảo đáng để lưu ý: AI vừa là công cụ tấn công (giả mạo, tự động hóa) vừa là công cụ phòng thủ (phát hiện bất thường), và các tiêu chuẩn kỹ thuật liên quan có thể sớm ảnh hưởng tới cách doanh nghiệp triển khai hệ thống.

Ai nên đọc và có thể thử gì

Nhóm nên quan tâm trực tiếp:

• Kỹ sư backend, SRE, DevOps làm hệ thống có dữ liệu người dùng và giao dịch tài chính.
• Đội bảo mật nội bộ (blue team) cần luyện kỹ năng điều tra sự cố, không chỉ vá lỗi.
• Quản lý kỹ thuật phụ trách hồ sơ cấp độ hệ thống thông tin và tuân thủ dữ liệu cá nhân.
• Sinh viên, người chuyển hướng sang an ninh mạng muốn biết thị trường trong nước đang đòi hỏi kỹ năng gì.

Muốn tự luyện theo tinh thần của kỳ diễn tập, có thể bắt đầu bằng những việc nhỏ, không cần hạ tầng lớn:

1. Dựng một lab nhỏ (máy ảo hoặc container) và bật log tập trung, ví dụ ELK hoặc Grafana Loki, để quen với việc truy vấn log theo thời gian.
2. Chạy các bài CTF forensics/incident response trên nền tảng công khai để luyện đọc log, phân tích memory dump, dựng lại dòng thời gian tấn công.
3. Trong dự án thật, rà lại ba thứ cơ bản: thời gian đồng bộ (NTP), thời gian lưu log, và việc ghi nhận các hành động quản trị quan trọng.
4. Đọc lại quy định về cấp độ hệ thống thông tin và bảo vệ dữ liệu cá nhân để biết yêu cầu lưu vết nào là bắt buộc với hệ thống của mình.

Lưu ý và hạn chế

Bài gốc chưa nêu chi tiết kỹ thuật của kịch bản (hệ điều hành, công cụ, mức độ thực tế của môi trường mô phỏng), cũng chưa công bố kết quả xếp hạng của 10 đội. Vì vậy chưa thể đánh giá độ khó tương đối so với các kỳ diễn tập trước. Ngoài ra, thông tin về năng lực và lỗ hổng được nêu dưới dạng đánh giá tổng hợp của ban tổ chức, không kèm số liệu thống kê cụ thể về số vụ tấn công hay thiệt hại.

Kết

Diễn tập an ninh mạng quốc gia 2026 cho thấy một hướng đi đáng ghi nhận: đánh giá năng lực bảo vệ gắn liền với năng lực điều tra. Với người làm kỹ thuật, thông điệp thực dụng là hãy chuẩn bị dữ liệu để điều tra ngay từ ngày hệ thống chạy bình thường — vì đến khi có sự cố mới đi tìm log thì thường đã quá muộn.

Nguồn: VnExpress Số hoá