Học an ninh mạng ngay lúc này? Giới thiệu các tài nguyên đáng tham khảo (サイバーセキュリティを勉強するなら今？おすすめリソース紹介)
Tổng hợp bức tranh toàn cảnh về lĩnh vực An ninh mạng (Cybersecurity) trong bối cảnh AI phát triển mạnh.
✍️ Tác giả gốc:
leolui2004 (LEO LUI)trên diễn đàn công nghệ Qiita Nhật Bản
🔗 Tiêu đề gốc có Furigana: サイバーセキュリティを勉強するなら今？おすすめリソース紹介
🌐 Liên kết bài gốc: サイバーセキュリティを勉強するなら今？おすすめリソース紹介
📌 Điểm nhấn cốt lõi (Key Takeaways)
- Tổng hợp bức tranh toàn cảnh về lĩnh vực An ninh mạng (Cybersecurity) trong bối cảnh AI phát triển mạnh.
- Tập trung vào 2 mảng xảy ra sự cố nhiều nhất hiện nay: Bảo mật Web (OWASP Top 10, CWE/CVE, SBOM) và Bảo mật Đám mây (AWS Well-Architected, Cloudflare Zero Trust).
- Giới thiệu các nền tảng thực hành trực tiếp (Hands-on): TryHackMe, Hack The Box và AWS Card Clash.
Tổng quan (概要)
Chúng ta đã bước vào thời đại mà các sự cố an ninh mạng xảy ra gần như mỗi ngày, đến mức ngay cả các cơ quan chính phủ, ngân hàng hay nhà cung cấp dịch vụ đám mây cũng không thể tránh khỏi. Thay vì lo lắng rằng “Vì AI mà mất việc”, nếu học sẵn về an ninh mạng ngay vào thời điểm này thì chắc chắn bạn sẽ không bao giờ phải lo thiếu việc làm, phải không nào? Tuy nói vậy, an ninh mạng có thể coi là môn “võ tổng hợp” (đỉnh cao) của ngành IT, nên nếu không có kiến thức nền tảng thì dù có đọc các báo cáo điều tra sự cố gần đây hay các cuộc thảo luận trên mạng, bạn cũng khó lòng hiểu được. Vì vậy, lần này tôi muốn giới thiệu một số tài nguyên giúp bạn trang bị kiến thức nền tảng. *Chỉ có 1 điểm tôi muốn lưu ý trước là: tuy an ninh mạng tất nhiên cũng có tài liệu tiếng Nhật, nhưng càng lên cấp độ nâng cao thì gần như chỉ toàn là tiếng Anh. Đặc biệt bạn sẽ phải thao tác công cụ trên Terminal rất nhiều, mà đại đa số các công cụ đó đều bằng tiếng Anh, nên đòi hỏi phải có năng lực tiếng Anh ở mức độ nhất định.
インシデントが毎日のように発生する時代になり、政府機関や銀行、クラウドプロバイダーですら避けられない状況になっています。
Giới thiệu tài nguyên (リソース紹介)
Trước hết là bức tranh tổng thể. An ninh mạng thực sự có phạm vi lĩnh vực vô cùng rộng lớn. Dễ hình dung nhất chính là lộ trình chứng chỉ (Qualification Roadmap) nổi tiếng này ([Sec1.png]). Nó rộng hơn rất nhiều so với hình dung phổ biến thường thấy như Red Team (phe tấn công) hay Pentest (kiểm thử xâm nhập). Chỉ cần chọn ra một lĩnh vực bạn quan tâm từ lộ trình này, tra cứu từ khóa và bắt đầu học thôi cũng đã rất tốt rồi, hoặc thi lấy chứng chỉ để chứng minh kỹ năng và làm đẹp CV (sơ yếu lý lịch) cũng là một lựa chọn hợp lý. Nói là bảo mật nhưng lĩnh vực quá rộng nên không thể giới thiệu hết toàn bộ được; tuy nhiên nhìn vào các sự cố gần đây thì chia lớn ra có lẽ liên quan nhiều nhất đến mảng “Web” và “Cloud”. Do đó lần này tôi sẽ tập trung chia sẻ trọng tâm quanh hai mảng này.
まずは全体像から。サイバーセキュリティには本当に幅広い領域があります。一番理解しやすいのは、こちらの有名な資格ロードマップです。一般的にイメージされがちなレッドチーム（攻撃側）やペンテストよりも、かなり幅が広いです。
Nhóm bảo mật Web (Web系)
Những gì tôi chủ yếu đề cập ở đây là các vấn đề ngay trong mã nguồn ứng dụng Web như SQL Injection, hoặc lỗ hổng bảo mật (취약성 / tính dễ tổn thương) của các gói thư viện (package) bao gồm cả middleware và library.
ここで主に指しているのは、SQLインジェクションなどのWebアプリのコード上の問題や、ミドルウェア・ライブラリを含むパッケージの脆弱性です。
- OWASP (nổi tiếng nhất là OWASP Top 10) — OWASP Top 10 là báo cáo tổng hợp dưới dạng bảng xếp hạng các rủi ro bảo mật nghiêm trọng cần đặc biệt cảnh giác trong ứng dụng Web. (https://top10.owasp.org/2025/)
(OWASP（特に有名なのは OWASP Top 10） — OWASP Top 10とは：Webアプリケーションにおいて、特に警戒すべき重大なセキュリティリスクをランキング形式でまとめたレポートのことです。（https://top10.owasp.org/2025/）) - Ngoài ra, những năm gần đây số ứng dụng tận dụng AI ngày càng tăng nên cũng có cả OWASP Top 10 dành riêng cho ứng dụng LLM/AI. (https://owasp.org/projects/top-10-for-large-language-model-applications?tab=example)
(また、近年はAIを活用するアプリが増えてきたので、LLM/AIアプリケーション向けのOWASP Top 10もあります。（https://owasp.org/projects/top-10-for-large-language-model-applications?tab=example）) - Ngoài ra, trên GitHub của OWASP còn tổng hợp rất nhiều Cheat Sheet và tài liệu hữu ích, bạn nhất định hãy thử tìm hiểu thêm nhé. (https://github.com/OWASP)
(それ以外にも、GitHub上にたくさんのチートシートや資料がまとまっているので、ぜひ色々調べてみてください。（https://github.com/OWASP）) - CWE và CVE — CWE (Common Weakness Enumeration / Danh mục phân loại điểm yếu chung) là danh mục chung phân loại và hệ thống hóa các dạng điểm yếu bảo mật (như lỗi phần mềm hay lỗi thiết kế) tồn tại trong phần mềm hoặc phần cứng.
(CWE と CVE — CWE（Common Weakness Enumeration / 共通脆弱性タイプ一覧）とは：ソフトウェアやハードウェアに存在するセキュリティ上の弱点（バグや設計ミスなど）の種類を分類・整理した共通のカタログ（リスト）。) - CVE: Mã định danh cá biệt được cấp cho “một lỗ hổng cụ thể (1 sự vụ) nằm ở phiên bản XX của phần mềm OO” thực tế được phát hiện trên một sản phẩm cụ thể. (CWE theo danh mục: https://cwe.mitre.org/data/index.html)
(CVE：実際に特定の製品で見つかった「〇〇というソフトのバージョン××にある具体的な脆弱性（1件の事象）」に対して割り振られる個別識別番号。（カテゴリー別のCWE: https://cwe.mitre.org/data/index.html）) - Ngoài ra, trên trang web của tổ chức MITRE (đơn vị quản lý CWE) còn đăng tải rất nhiều tài liệu có uy tín và cực kỳ bổ ích khác. ATT&CK Matrix (Kho tri thức hệ thống hóa chuỗi kỹ thuật và quy trình tấn công [TTPs] mà tin tặc thực hiện nhắm vào doanh nghiệp/tổ chức): https://attack.mitre.org/
(また、CWEを管理しているMITRE社のサイトには、他にも非常に有益で権威ある資料がたくさん掲載されています。ATT&CK Matrix（サイバー攻撃者が企業・組織に対して行う一連の攻撃手法や手順［TTPs］を体系化したナレッジベース）: https://attack.mitre.org/) - SBOM — SBOM (Software Bill of Materials / Bảng kê thành phần phần mềm) là danh sách liệt kê các thành phần cấu thành nên phần mềm (như OSS, thư viện, module…) và mối quan hệ phụ thuộc (dependency) giữa chúng. Nó tương đương với cái gọi là “bảng thành phần nguyên liệu của phần mềm”.
(SBOM — SBOM（Software Bill of Materials / ソフトウェア部品表）とは：ソフトウェアを構成するコンポーネント（OSSやライブラリ、モジュールなど）や、その依存関係を一覧化したリストのことです。いわゆる「ソフトウェアの成分表示」にあたります。) - Ở Nhật Bản có thể thuật ngữ này chưa thực sự phổ biến sâu rộng, nhưng tại các tập đoàn lớn ở Mỹ thì nó đang dần trở thành tiêu chuẩn. Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (METI) cũng đã tổng hợp tài liệu hướng dẫn triển khai và danh sách kiểm tra (checklist) rất dễ hiểu. (https://www.meti.go.jp/press/2024/08/20240829001/20240829001.html)
(日本ではまだあまり浸透していない言葉かもしれませんが、アメリカの大企業などではすでに標準になりつつあります。経済産業省からも導入手引やチェックリストがわかりやすくまとめられています。（https://www.meti.go.jp/press/2024/08/20240829001/20240829001.html）)
Nhóm bảo mật Đám mây (Cloud) (クラウド系)
Những gì tôi chủ yếu đề cập ở đây là biện pháp khắc phục lỗi cấu hình thiếu sót trên đám mây, cũng như phòng thủ trước các cuộc tấn công bằng cách tận dụng các dịch vụ đám mây.
ここで主に指しているのは、クラウドの設定不備への対策や、クラウドサービスを活用した攻撃の防御です。
- Trụ cột Bảo mật (Security Pillar) - AWS Well-Architected Framework (https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/welcome.html) — Nhắc đến tiêu chuẩn thực tế (de facto standard) của đám mây thì chính là AWS; các tiêu chuẩn, khái niệm và khung kiến trúc bảo mật đám mây do AWS đề xướng được hệ thống hóa cực kỳ bài bản, và đây là tài liệu để hiểu rõ chúng. Tất nhiên, những khái niệm học được ở đây cũng áp dụng chung được cho các nền tảng đám mây khác (như Azure hay GCP).
(セキュリティの柱 - AWS Well-Architected フレームワーク（https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/welcome.html） — クラウドのデファクトスタンダードと言えばAWSですが、AWSが提唱しているクラウドセキュリティの基準・概念・フレームワークは非常に体系化されており、それらを理解するための資料がこちらです。もちろん、ここで学べる概念は他のクラウド（AzureやGCPなど）にも共通して通用します。) - Cloudflare Zero Trust (https://www.cloudflare.com/ja-jp/impact-portal/zero-trust/) — Tuy mang sắc thái hơi khác một chút so với AWS, nhưng mô hình “Zero Trust (Không tin cậy bất kỳ ai mặc định)” mà Cloudflare và các hãng đang thúc đẩy những năm gần đây đang phổ cập nhanh chóng trên toàn thế giới. Tôi cho rằng đây là khái niệm sẽ ngày càng quan trọng trong môi trường Internet sắp tới, nên bạn cũng hãy đào sâu tìm hiểu nhé.
(Cloudflare Zero Trust（https://www.cloudflare.com/ja-jp/impact-portal/zero-trust/） — AWSとは少し毛色が違いますが、近年Cloudflareなどが推進している「Zero Trust（ゼロトラスト）」は世界中で急速に普及しています。今後のインターネット環境においてますます重要になる概念だと思うので、こちらもぜひ深掘りしてみてください。)
Dành cho những ai nhất định muốn bắt tay vào thực hành! (どうしても手を動かしたい人向け！)
Đây là các nền tảng dành cho những bạn muốn học tập thực chiến thông qua việc trực tiếp chạm vào môi trường thực hành.
実際に環境を触りながら実践的に学びたい方向けのプラットフォームです。
- TryHackMe (https://tryhackme.com/) — Trang web kinh điển ở mức gần như bất kỳ ai học an ninh mạng cũng từng trải nghiệm. Nội dung phong phú nhất và có thể bắt đầu miễn phí. Gói trả phí cũng không quá đắt, nên nếu muốn học hiệu quả thì nâng cấp trả phí cũng rất đáng cân nhắc.
(TryHackMe（https://tryhackme.com/） — サイバーセキュリティを勉強する人ならほぼ全員触ったことがあるレベルの定番サイト。コンテンツが一番豊富で、無料から始められます。有料プランもそこまで高くないので、効率よく進めたいなら課金するのもおすすめです。) - Hack The Box (https://www.hackthebox.com/) — Hướng tới trình độ trung cấp hơn một chút so với TryHackMe, chuyên sâu vào thực hành Kiểm thử xâm nhập (Penetration Test / Pentest).
(Hack The Box（https://www.hackthebox.com/） — TryHackMeよりやや中級者向けで、ペネトレーションテスト（ペンテスト）の実践に特化しています。) - AWS Card Clash (https://skillbuilder.aws/learn/7V665TRGMY/aws-card-clash--an-architecture-design-game/7RJQ9341Z8) — Trò chơi thẻ bài chiến thuật 3D theo lượt giúp học về kiến trúc và bảo mật AWS. Tất nhiên nếu muốn thực hành thực tế thì lý tưởng nhất vẫn là trực tiếp khởi tạo dịch vụ trên môi trường AWS và mày mò tinh chỉnh.
(AWS Card Clash（https://skillbuilder.aws/learn/7V665TRGMY/aws-card-clash--an-architecture-design-game/7RJQ9341Z8） — AWSのアーキテクチャやセキュリティを学べる3D戦略ターン制カードゲーム。もちろん実際に手を動かすなら、AWS環境で実際にサービスを立ち上げて色々いじってみるのが一番理想的だと思います。)
Cảm nghĩ kết luận (感想)
Có thể một số người sẽ nghĩ rằng “Đằng nào AI cũng mạnh quá khiến mọi biện pháp phòng thủ đều vô tác dụng” hay “Có học cũng chẳng ích gì”, nhưng song hành với sự tiến hóa của bên tấn công thì đương nhiên phe phòng thủ cũng sẽ tiến hóa theo. Cá nhân tôi hoàn toàn không nghĩ rằng nhu cầu về an ninh mạng sẽ chấm dứt; và ngay cả khi bạn không làm chuyên trách như nghề chính, việc nắm vững kiến thức tối thiểu chắc chắn sẽ mang lại lợi thế lớn trong sự nghiệp kỹ sư sắp tới. Hãy thử tiếp cận dù chỉ một chút nhé!
「どうせAIが強すぎてどんな防御も通用しなくなる」「勉強しても意味がない」と思う人もいるかもしれませんが、攻撃が進化するとともに、当然防御側も進化していきます。
📚 Bảng thuật ngữ IT & Hán Việt trong bài (重要IT用語集)
| Thuật ngữ (Kanji) | Furigana / Romaji | Âm Hán Việt | Ý nghĩa tiếng Việt | Cấp độ |
|---|---|---|---|---|
| インシデント | いんしでんと |
- | Sự cố an ninh / Sự cố hệ thống (Incident) | Technical |
| 政府機関 | せいふきかん |
CHÍNH PHỦ CƠ QUAN | Cơ quan chính phủ | N2 |
| 状況 | じょうきょう |
TRẠNG HUỐNG | Tình hình, bối cảnh, tình trạng | N3 |
| 総合格闘技 | そうごうかくとうぎ |
TỔNG HỢP CÁCH ĐẤU KỸ | Võ thuật tổng hợp (MMA) | Unclassified |
| 調査報告書 | ちょうさほうこくしょ |
ĐIỀU TRA BÁO CÁO THƯ | Báo cáo điều tra | N2 |
| 身につける | みにつける |
THÂN | Trang bị, lĩnh hội, nắm vững (kiến thức/kỹ năng) | N3 |
| 押さえる | おさえる |
ÁP | Nắm chắc, lưu ý kỹ (điểm cốt lõi) | N2 |
| 大半 | たいはん |
ĐẠI BÁN | Đại đa số, phần lớn (quá nửa) | N2 |
| 全体像 | ぜんたいぞう |
TOÀN THỂ TƯỢNG | Bức tranh tổng thể, cái nhìn toàn cảnh | N2 |
| 領域 | りょういき |
LÃNH VỰC | Lĩnh vực, phạm vi, miền (Domain) | N2 |
| 重点的 | じゅうてんてき |
TRỌNG ĐIỂM ĐÍCH | Mang tính trọng tâm, tập trung vào điểm chính | N2 |
| 脆弱性 | ぜいじゃくせい |
THÚY NHƯỢC TÍNH | Lỗ hổng bảo mật, tính dễ tổn thương (Vulnerability) | Technical |
| 警戒 | けいかい |
CẢNH GIỚI | Cảnh giác, đề phòng | N2 |
| 共通脆弱性タイプ一覧 | きょうつうぜいじゃくせいたいぷいちらん |
CỘNG THÔNG THÚY NHƯỢC TÍNH NHẤT LÃM | Danh mục phân loại điểm yếu bảo mật chung (CWE) | Technical |
| 個別識別番号 | こべつしきべつばんごう |
CÁ BIỆT THỨC BIỆT PHIÊN HIỆU | Mã số định danh cá biệt (Unique Identifier) | Technical |
| 体系化 | たいけいか |
THỂ HỆ HÓA | Hệ thống hóa | N1 |
| 依存関係 | いぞんかんけい |
Y TỒN QUAN HỆ | Mối quan hệ phụ thuộc (Dependency) | Technical |
| 浸透 | しんとう |
THẤM THẤU | Thấm sâu, lan tỏa, phổ biến rộng rãi | N1 |
| 設定不備 | せっていふび |
THIẾT ĐỊNH BẤT BỊ | Lỗi cấu hình thiếu sót (Misconfiguration) | Technical |
| 提唱 | ていしょう |
ĐỀ XƯỚNG | Đề xướng, khởi xướng, nêu ra (khái niệm/học thuyết) | N1 |
| 毛色が違う | けいろがちがう |
MAO SẮC | Mang sắc thái khác, thuộc trường phái/tính chất khác | N1 |
| 課金 | かきん |
KHÓA KIM | Trả phí, nạp tiền mua gói dịch vụ | N2 |
| 需要 | じゅよう |
NHU YẾU | Nhu cầu (thị trường) | N3 |
| 従事 | じゅうじ |
TÙNG SỰ | Làm việc chuyên trách, gắn bó với nghề nghiệp | N1 |
📐 Ngữ pháp tiếng Nhật IT bổ trợ (文法解説)
- 〜ですら (
N1): Ngay cả… cũng…- Cấu trúc:
Danh từ (+ trợ từ) + ですら - Sắc thái sử dụng: Nhấn mạnh một ví dụ cực đoan (ngay cả chính phủ hay ngân hàng vốn bảo mật cao cũng không tránh khỏi).
- Cấu trúc:
- 〜ておく (
N3): Làm sẵn (để chuẩn bị cho tương lai)- Cấu trúc:
V-て + おく - Sắc thái sử dụng: 勉強しておけば = Nếu học chuẩn bị sẵn từ bây giờ.
- Cấu trúc:
- 〜のではないでしょうか (
N3): Chẳng phải là… hay sao? / Có lẽ là…- Cấu trúc:
Câu thông thường + のではないでしょうか - Sắc thái sử dụng: Cách nêu ý kiến thuyết phục một cách lịch sự, nhẹ nhàng.
- Cấu trúc:
- とはいえ (
N2): Tuy nói là vậy nhưng…- Cấu trúc:
Mệnh đề 1 + とはいえ + Mệnh đề 2 - Sắc thái sử dụng: Công nhận mệnh đề trước rồi đưa ra thực tế/khó khăn cần lưu ý ở mệnh đề sau.
- Cấu trúc:
- 〜にいくほど / 〜ほど (
N3): Càng… thì càng…- Cấu trúc:
V-る / Tính từ + ほど - Sắc thái sử dụng: 上級レベルにいくほどほぼ英語しかない = Càng lên trình độ cao thì càng gần như chỉ có tiếng Anh.
- Cấu trúc:
- 〜がち (
N3): Hay có khuynh hướng…, dễ rơi vào trạng thái…- Cấu trúc:
V-ます / Danh từ + がち - Sắc thái sử dụng: イメージされがちな = Thường hay bị hình dung phiến diện là…
- Cấu trúc:
- 〜きれない (
N3): Không thể… hết được- Cấu trúc:
V-ます + きれない - Sắc thái sử dụng: 紹介しきれない = Quá rộng nên không thể giới thiệu hết toàn bộ.
- Cấu trúc:
- 〜つつある (
N2): Đang dần dần…- Cấu trúc:
V-ます + つつある - Sắc thái sử dụng: 標準になりつつあります = Đang trong quá trình dần trở thành tiêu chuẩn.
- Cấu trúc:
- 〜とともに (
N2): Cùng với…, song hành với…- Cấu trúc:
V-る / Danh từ + とともに - Sắc thái sử dụng: 攻撃が進化するとともに = Cùng với sự tiến hóa của tấn công.
- Cấu trúc: