Muốn thực hành Maltego “ngọt” nhất, theo tôi cứ vào thẳng CyberQ iLAB chính hãng của CEH v13 từ EC-Council.

Có môi trường Lab sẵn, dữ liệu sẵn, thao tác theo đúng nội dung CEH nên học viên dễ hiểu hơn rất nhiều so với tự cài rồi mò từng bước.

👉 Tham khảo khóa học CEH v13 AI tiếng Việt:
https://cehvietnam.com/2026/07/15/khoa-hoc-ceh-v13-ai-tieng-viet/

Từ Footprinting đến trực quan hóa mối quan hệ trong OSINT và Cyber Reconnaissance

Trong chương trình Certified Ethical Hacker – CEH, một trong những công cụ đáng học kỹ nhất ở phần Footprinting and Reconnaissance là Maltego.

Nếu những công cụ như WHOIS, NSLookup, Ping hay một Search Engine thường trả lời từng câu hỏi riêng lẻ, thì Maltego được thiết kế theo một cách tiếp cận khác:

Bắt đầu từ một thông tin → mở rộng sang những thông tin liên quan → tiếp tục Pivot → trực quan hóa toàn bộ mối quan hệ thành Graph.

Đây chính là điểm khiến Maltego trở thành một công cụ đặc biệt hữu ích trong OSINT, Cyber Investigation và Reconnaissance.

EC-Council hiện vẫn đưa Maltego vào nhóm công cụ Reconnaissance phổ biến và mô tả nó như một công cụ phục vụ intelligence gathering và relationship mapping.

1. Maltego không đơn thuần là một công cụ tìm kiếm

Có thể hiểu Maltego như một nền tảng:

Data Collection + Relationship Discovery + Link Analysis + Visualization.

Thay vì nhận một danh sách kết quả dạng:

Domain
IP
Email
Name Server
Website

Maltego thể hiện chúng dưới dạng các node và các đường liên kết.

Ví dụ:

                  Domain
                    |
          ----------------------
          |                    |
        DNS                   MX
          |                    |
       IP Address          Mail Server
          |
       Netblock
          |
          AS

Khi số lượng dữ liệu tăng lên, cách biểu diễn dạng Graph giúp người phân tích nhìn thấy những quan hệ mà một danh sách thông thường rất khó thể hiện.

Maltego hiện định vị sản phẩm như một nền tảng phục vụ OSINT và Cyber Investigation, cho phép thu thập, kết hợp và ánh xạ dữ liệu từ nhiều nguồn để phát hiện các mối liên hệ.

2. Maltego nằm ở đâu trong quá trình CEH?

Trong CEH, Maltego phù hợp nhất với:

Module 02 – Footprinting and Reconnaissance.

Reconnaissance là quá trình xây dựng bức tranh ban đầu về mục tiêu trước khi bước sang:

Scanning

→ Enumeration

→ Vulnerability Analysis

→ Exploitation

Maltego đặc biệt hữu ích trong việc trả lời các câu hỏi như:

• Domain liên quan đến những DNS Name nào?
• Domain đang phân giải đến IP nào?
• IP thuộc Netblock nào?
• Hạ tầng thuộc Autonomous System nào?
• Những Website nào có liên quan?
• Domain sử dụng Name Server hoặc Mail Server nào?
• Có thể tìm thấy những Email Address hoặc tài liệu công khai nào?
• Hai tài sản tưởng như không liên quan có dùng chung một thành phần hạ tầng hay không?

Điểm mạnh của Maltego nằm ở chữ:

Relationship

Không chỉ:

“Tôi tìm thấy một IP.”

mà:

“IP này liên quan như thế nào đến Domain, Website, DNS, Netblock hoặc các tài sản khác?”

3. Khái niệm quan trọng nhất: Entity

Muốn hiểu Maltego, trước tiên phải hiểu Entity.

Trong Maltego, mỗi mẩu thông tin được thể hiện bằng một Entity, tức một node trên Graph.

Tài liệu Maltego định nghĩa Entity là một đơn vị thông tin có thể đại diện cho rất nhiều loại dữ liệu khác nhau. Các Entity tiêu chuẩn hiện bao gồm các nhóm như:

• Domain
• DNS Name
• IPv4 Address
• Website
• URL
• Email Address
• Person
• Alias
• Phone Number
• Và nhiều loại dữ liệu khác.

Ví dụ, nếu bắt đầu với:

example.com

Maltego coi nó là:

Domain Entity

Từ Entity này, người sử dụng có thể tiếp tục tìm:

example.com
      |
      +---- DNS Name
      |
      +---- IP Address
      |
      +---- Name Server
      |
      +---- Mail Server
      |
      +---- Website

Mỗi kết quả lại trở thành một Entity mới.

Và mỗi Entity mới có thể tiếp tục trở thành điểm Pivot cho bước điều tra tiếp theo.

4. Transform – Trái tim của Maltego

Nếu Entity là dữ liệu, thì Transform là cơ chế biến một thông tin thành những thông tin liên quan.

Có thể hiểu rất đơn giản:

Transform là một truy vấn được thực hiện trên một Entity để tìm ra Entity khác.

Ví dụ:

Domain

chạy Transform:

To DNS Names

có thể tạo:

DNS Name

Sau đó:

DNS Name

chạy:

To IP Address [DNS]

sẽ tạo:

IPv4 Address

Tài liệu Maltego hiện mô tả Standard Transforms có thể thu thập OSINT từ nhiều nguồn như DNS server, search engine, social network, API và những nguồn Internet khác; bộ Standard Transforms hiện có hơn 150 Transforms.

Đây chính là cơ chế tạo nên sức mạnh của Maltego.

5. Từ một Domain có thể Pivot như thế nào?

Hãy xem một quy trình Footprinting đơn giản.

Giả sử trong môi trường Lab chúng ta được phép khảo sát:

example.com

Bước đầu tiên:

Domain

example.com

↓

DNS Names

Tìm các hostname liên quan.

↓

IP Address

Resolve DNS:

DNS Name → IPv4 / IPv6

Maltego hiện có Transform chính thức dùng DNS để resolve DNS Name thành IPv4 hoặc IPv6.

↓

Website

Kiểm tra DNS Name có cung cấp HTTP/HTTPS hay không.

↓

Netblock

Xác định IP thuộc dải địa chỉ nào.

↓

Autonomous System

Xác định hạ tầng mạng liên quan.

↓

Infrastructure Relationship

Bây giờ Graph không còn chỉ có:

example.com

mà có thể trở thành:

                     example.com
                          |
                 www.example.com
                          |
                       1.2.3.4
                          |
                      Netblock
                          |
                         AS

Đây là Infrastructure Footprinting.

Maltego chính thức đề xuất Domain là một điểm khởi đầu phổ biến cho Infrastructure Footprinting, nhưng cũng có thể bắt đầu từ IP, DNS Name hoặc Website.

6. Vì sao Graph quan trọng?

Giả sử chúng ta có ba Domain:

company-a.com
company-b.com
company-c.com

Nếu xem từng Domain riêng biệt, chúng có vẻ hoàn toàn độc lập.

Nhưng khi đưa lên Maltego:

company-a.com ----\
                   \
company-b.com ------> 10.10.10.10
                   /
company-c.com ----/

ta có thể phát hiện:

Ba Domain cùng liên quan đến một IP.

Hoặc:

Domain A ----\
              > Name Server X
Domain B ----/

Hoặc:

Website A ---- Tracking Code ---- Website B

Ví dụ tích hợp BuiltWith chính thức của Maltego có thể hỗ trợ tìm quan hệ giữa Website dựa trên công nghệ, IP và tracking code hiện tại hoặc lịch sử.

Đây là lý do Maltego thường được gọi là công cụ Link Analysis.

Giá trị không chỉ nằm ở dữ liệu riêng lẻ.

Giá trị nằm ở:

mối quan hệ giữa dữ liệu.

7. Maltego và khái niệm Pivoting

Một kỹ năng quan trọng khi sử dụng Maltego là:

Pivoting

Pivot nghĩa là lấy kết quả vừa tìm được làm điểm xuất phát cho bước tìm kiếm tiếp theo.

Ví dụ:

Domain

↓

IP

↓

Netblock

↓

AS

Hoặc:

Domain

↓

Website

↓

Technology

↓

Other related Websites

Hoặc trong một investigation được cấp phép:

Domain

↓

Public Email

↓

Publicly associated information

Mỗi bước mở rộng Graph thêm một tầng.

Đây là cách một cuộc Reconnaissance thực tế thường diễn ra:

Không biết trước toàn bộ thông tin cần tìm.

Ta bắt đầu từ một điểm nhỏ và liên tục mở rộng.

8. Passive Reconnaissance và Active Reconnaissance

Một điểm học viên CEH cần đặc biệt lưu ý:

Không phải mọi Transform trong Maltego đều là Passive Reconnaissance.

Một số Transform chỉ truy vấn:

• Search Engine.
• Passive DNS.
• WHOIS Database.
• API.
• Public Data Sources.

Những hoạt động này thường không cần tương tác trực tiếp với target.

Nhưng một số Transform có thể:

• Resolve DNS.
• Query Website.
• Kiểm tra HTTP/HTTPS Port.
• Tương tác với dịch vụ.

Ví dụ tài liệu Maltego có Transform kiểm tra HTTP/HTTPS port để xác định một DNS Name có phải Website hay không.

Vì vậy, khi sử dụng Maltego trong kiểm thử bảo mật, không nên có suy nghĩ:

“Maltego = Passive OSINT.”

Chính xác hơn là:

Maltego là một framework cho nhiều phương pháp thu thập dữ liệu; mức độ tương tác phụ thuộc vào Transform được sử dụng.

Đây là một kiến thức rất quan trọng đối với Ethical Hacker.

9. Maltego Machines – Tự động hóa Reconnaissance

Nếu Transform thực hiện từng bước, Machine cho phép ghép nhiều Transform thành một workflow tự động.

Maltego định nghĩa Machines là các macro tự động hóa quá trình chạy nhiều Transform trên cùng một tập dữ liệu.

Ví dụ Maltego có các Machine phục vụ Footprinting:

Footprint L1

→ Footprint nhanh, cơ bản.

Footprint L2

→ Mức độ trung bình.

Footprint L3

→ Mở rộng sâu hơn.

Tài liệu chính thức hiện vẫn liệt kê các Machine Footprint L1/L2/L3 phục vụ quá trình Domain Footprinting.

Đây là bước rất hay để giảng CEH.

Học viên có thể thực hiện:

Lần đầu

Chạy từng Transform bằng tay để hiểu quá trình.

Sau khi đã hiểu

Chạy Machine để thấy cách Reconnaissance được tự động hóa.

Không nên làm ngược lại.

Nếu vừa mở Maltego đã chạy Machine và nhìn hàng trăm node xuất hiện, học viên có thể có rất nhiều dữ liệu nhưng không hiểu dữ liệu đến từ đâu.

10. Data Hub và Connectors

Maltego không giới hạn ở dữ liệu được tích hợp sẵn.

Hệ sinh thái của nó có Data Hub, nơi người sử dụng có thể cài thêm các nguồn dữ liệu và Connector.

Các Connector có thể đưa dữ liệu từ những nguồn bên ngoài vào Graph.

Maltego mô tả Hub item có thể cung cấp:

• Transforms
• Entities
• Machines
• Third-party integrations

để mở rộng khả năng investigation.

Điều này biến Maltego từ một phần mềm Reconnaissance đơn thuần thành:

một nền tảng tổng hợp dữ liệu điều tra.

Ví dụ, tùy Connector và quyền truy cập, Maltego có thể kết hợp dữ liệu từ:

• Passive DNS.
• WHOIS.
• Threat Intelligence.
• Website Technology.
• Search Engine.
• Historical Web Data.
• Commercial Intelligence Sources.

Một số Connector yêu cầu API Key hoặc tài khoản riêng.

11. Maltego hiện nay vẫn rất đáng học

Khác với nhiều công cụ CEH cũ, Maltego vẫn được phát triển mạnh.

Trong năm 2026, tài liệu chính thức tiếp tục cập nhật:

• Maltego Graph.
• Standard Transforms.
• Connectors.
• Machines.
• Credit system.
• Entity catalog.
• Graph Browser và các thành phần mới của nền tảng.

Ngay cả khi một nguồn dữ liệu bên ngoài thay đổi, Maltego cũng tiếp tục thay đổi integration.

Ví dụ, sau khi Microsoft ngừng Bing Search API, Maltego đã thay các Bing Search Transform bằng các nguồn tìm kiếm khác như Brave Search và Google Custom Search.

Điều này cho thấy một điểm quan trọng:

Maltego không phải một tool CEH “cũ nhưng còn tải được”.

Nó vẫn là một nền tảng investigation hiện hành.

12. Phiên bản miễn phí có đủ để học CEH không?

Có.

Maltego hiện có Basic plan miễn phí, trong đó có Maltego Graph Community Edition.

Theo thông tin chính thức hiện tại, Community Edition có thể:

• Tạo Graph lên tới khoảng 10.000 Entities.
• Trả về tối đa 24 kết quả cho mỗi Transform.
• Có 200 Credits mỗi tháng ở mức cơ bản.
• Sử dụng một số nguồn dữ liệu và Connector với giới hạn nhất định.

Đối với mục tiêu:

học CEH → hiểu Entity → chạy Transform → Footprint Domain → phân tích Graph

thì phiên bản miễn phí đã đủ để thực hành những nguyên lý quan trọng.

Maltego Graph Desktop hiện có installer cho Windows, Linux và macOS.

13. Cách thực hành Maltego đúng trong CEH

Một bài thực hành Maltego không nên có mục tiêu:

“Tạo Graph càng lớn càng tốt.”

Học viên nên thực hiện theo từng bước.

Bước 1 – Xác định câu hỏi

Ví dụ:

Domain này đang sử dụng hạ tầng DNS nào?

Bước 2 – Tạo Entity ban đầu

Domain

Bước 3 – Chạy Transform có mục đích

Ví dụ:

Domain → DNS Name

Bước 4 – Phân tích kết quả

Không chạy tiếp ngay.

Hãy hỏi:

Node này có ý nghĩa gì?

Bước 5 – Pivot

DNS Name → IP Address

Bước 6 – Correlate

Kiểm tra:

• Nhiều hostname có chung IP không?
• Nhiều IP có cùng Netblock không?
• Có tài sản nào dùng chung Name Server không?
• Có quan hệ bất thường nào xuất hiện không?

Bước 7 – Ghi nhận kết quả

Graph cuối cùng phải trả lời được một câu hỏi cụ thể.

Đó mới là một cuộc Reconnaissance có phương pháp.

14. Đừng sử dụng “Run All Transforms” như một phương pháp học

Maltego rất hấp dẫn ở chỗ chỉ cần vài cú click có thể sinh ra rất nhiều dữ liệu.

Nhưng đây cũng chính là một cái bẫy đối với học viên.

Nếu cứ:

Run All Transforms

↓

Run All Transforms

↓

Run All Transforms

Graph rất nhanh sẽ trở thành:

Data Noise.

Một Graph lớn không đồng nghĩa với một cuộc điều tra tốt.

Cách tiếp cận chuyên nghiệp hơn là:

Question

→ Transform

→ Result

→ Validation

→ Pivot

→ Conclusion

Người học phải biết vì sao mình chạy Transform đó.

15. Maltego không tự chứng minh một mối quan hệ là đúng

Đây là một điểm rất quan trọng.

Giả sử Maltego cho thấy:

Domain A → IP X
Domain B → IP X

Không nên lập tức kết luận:

Domain A và Domain B thuộc cùng một tổ chức.

Có thể chúng chỉ sử dụng:

• Shared Hosting.
• CDN.
• Cloud Provider.
• Reverse Proxy.
• Một hạ tầng dùng chung.

Tương tự:

Person → Email → Domain

không tự động chứng minh mối quan hệ hiện tại hoặc quyền sở hữu.

Maltego giúp:

discover relationships

nhưng người phân tích phải:

validate relationships.

Đây chính là sự khác nhau giữa:

Data Collection

và

Intelligence Analysis.

16. Giá trị của Maltego vượt ra ngoài CEH

Mặc dù học viên thường gặp Maltego lần đầu trong Footprinting, kỹ năng Link Analysis có thể tiếp tục được sử dụng trong nhiều lĩnh vực Cybersecurity:

OSINT

Thu thập và liên kết thông tin công khai.

Attack Surface Mapping

Xác định Domain, DNS, IP, Netblock và các tài sản liên quan.

Threat Intelligence

Liên kết Domain, IP, Malware, Hash và Threat Infrastructure.

Incident Response

Phân tích quan hệ giữa các Indicator.

Phishing Investigation

Liên kết Email, Domain, URL và hạ tầng liên quan.

Digital Investigation

Kết hợp dữ liệu từ nhiều nguồn và trực quan hóa chúng thành Graph.

Maltego Standard Transforms hiện được tài liệu chính thức mô tả là hỗ trợ các use case như infrastructure footprinting, social media investigation, digital forensics, threat intelligence và web-content analysis.

17. Maltego và tư duy CEH

Có thể so sánh một số công cụ Reconnaissance như sau:

NSLookup

→ Cho tôi biết DNS.

WHOIS

→ Cho tôi biết thông tin đăng ký.

Ping

→ Cho tôi một số thông tin về khả năng kết nối.

Traceroute

→ Cho tôi đường đi mạng.

Search Engine

→ Cho tôi dữ liệu đã được index.

Maltego

→ Giúp tôi liên kết những kết quả đó thành một bức tranh.

Đây chính là giá trị lớn nhất của Maltego trong CEH.

Nó giúp người học chuyển từ tư duy:

“Tôi đang sử dụng công cụ gì?”

sang:

“Tôi đang xây dựng Intelligence về mục tiêu như thế nào?”

18. Một workflow Maltego nên ghi nhớ

Khi mới học, có thể nhớ workflow đơn giản sau:

Domain

↓

DNS Names

↓

IP Addresses

↓

Netblocks / AS

↓

Websites

↓

Related Infrastructure

↓

Public Information

↓

Correlation

↓

Validation

↓

Reconnaissance Report

Sau đó mới chuyển sang những giai đoạn chủ động hơn:

Network Scanning

↓

Enumeration

↓

Vulnerability Analysis

19. Học Maltego không phải để học một phần mềm

Đây là điều quan trọng nhất của bài thực hành.

Nếu mục tiêu chỉ là:

biết kéo Domain vào Graph → click Transform

thì giá trị đào tạo rất thấp.

Mục tiêu thực sự là giúp học viên hiểu ba kỹ năng:

1. Pivoting

Từ một thông tin tìm ra thông tin tiếp theo.

2. Correlation

Liên kết nhiều nguồn dữ liệu khác nhau.

3. Link Analysis

Quan sát và phân tích quan hệ giữa các Entity.

Đây đều là những kỹ năng vẫn có giá trị ngay cả khi công cụ thay đổi.

20. Kết luận

Maltego là một trong những công cụ Reconnaissance đáng học sâu nhất trong CEH bởi nó thể hiện rất rõ cách một Ethical Hacker chuyển từ:

một thông tin đơn lẻ

sang:

một bản đồ Intelligence về mục tiêu.

Có thể tóm tắt Maltego bằng chuỗi:

Entity

→ Transform

→ New Entity

→ Relationship

→ Pivot

→ Correlation

→ Graph

→ Intelligence

Học viên không nên xem Maltego chỉ là một công cụ “tìm Email, IP hay Domain”.

Giá trị thật sự của nó là giúp chúng ta trả lời:

Các thông tin này liên quan với nhau như thế nào?

Quan hệ nào đáng chú ý?

Quan hệ nào cần được xác minh thêm?

Từ kết quả hiện tại, bước Reconnaissance tiếp theo nên là gì?

Khi trả lời được những câu hỏi đó, người học đã vượt qua mức tool-based learning và bắt đầu tiếp cận CEH theo đúng tư duy của một Ethical Hacker và Cybersecurity Investigator.

Lưu ý thực hành: Chỉ thực hiện Reconnaissance chủ động đối với hệ thống thuộc quyền quản lý của bạn, môi trường Lab hoặc mục tiêu mà bạn được phép kiểm thử. Đồng thời cần hiểu rõ Transform đang sử dụng lấy dữ liệu từ nguồn công khai hay trực tiếp tương tác với hệ thống mục tiêu.

Bài làm của học viên