Bài kiểm tra kép: bảo vệ hệ thống và điều tra
Diễn tập an ninh mạng là hoạt động thực hành mô phỏng tình huống tấn công để kiểm tra khả năng bảo vệ hệ thống, xử lý sự cố và phối hợp điều tra của các lực lượng chuyên trách. Chương trình quốc gia năm 2026 đặt yêu cầu ấy vào một kịch bản có sức ép rõ ràng: hệ thống thông tin của một tổ chức tài chính bị tấn công, còn các đội phải vừa ngăn chặn vừa lần theo dấu vết.
Ngày 27/10 tại Hà Nội, Cục An ninh mạng, Bộ Công an phối hợp Hiệp hội An ninh mạng quốc gia tổ chức chương trình với 90 cán bộ, chiến sĩ và chuyên viên từ 46 đơn vị, chia thành 10 đội. Phiên thực hành kéo dài 7,5 giờ liên tục. Điểm đáng giá không nằm riêng ở việc dựng hàng rào phòng thủ mạng, mà ở chỗ các đội không thể xem xử lý sự cố và điều tra số là hai công việc tách rời: quyết định ứng cứu phải đi cùng việc bảo toàn thông tin có thể giúp làm rõ cách thức xâm nhập.
Một chuỗi tấn công, nhiều quyết định liên tiếp
Kịch bản được thiết kế theo nhiều giai đoạn, từ xâm nhập máy chủ, mở rộng quyền kiểm soát trong mạng nội bộ đến khai thác thành phần liên quan môi trường đám mây và chiếm đoạt tài sản số trên mạng chuỗi khối mô phỏng. Theo mô tả của chương trình, tin tặc mở đầu bằng việc khai thác lỗ hổng, tận dụng tài khoản dùng chung mật khẩu và quyền quản trị vượt mức để lan rộng quyền kiểm soát.
Ở các bước sau, khóa truy cập đám mây bị lợi dụng để cài mã độc vào hình ảnh ứng dụng, duy trì kết nối với máy chủ điều khiển và tìm cách lấy dữ liệu nhạy cảm; giai đoạn cuối mô phỏng việc khai thác lỗ hổng kiểm soát truy cập để chiếm đoạt tài sản số và che giấu giao dịch. Cấu trúc này buộc người tham gia nối các dấu hiệu thành một diễn biến thống nhất, thay vì chỉ đóng từng cảnh báo riêng lẻ. Đây là lựa chọn đúng: với một tổ chức tài chính, bỏ sót mối liên hệ giữa các bước có thể khiến phản ứng kỹ thuật không theo kịp mục tiêu của kẻ tấn công.
Chặn tấn công nhưng không làm mất dấu vết
Các đội phải giám sát hệ thống, phát hiện và ngăn chặn hoạt động tấn công, đồng thời phân tích nhật ký để truy vết hành vi qua từng giai đoạn. Công việc còn gồm khoanh vùng, xử lý sự cố, khôi phục hoạt động và thu thập chứng cứ điện tử phục vụ điều tra. Đây là phần khó nhất của bài toán: khôi phục dịch vụ là cần thiết, nhưng nếu vội vàng mà không ghi nhận đúng dữ liệu, cơ hội xác định phương thức, phạm vi và hậu quả của vụ việc cũng có thể bị thu hẹp.
Phần điều tra được tổ chức theo hình thức CTF với 43 thử thách; các đội trả lời được 39 câu, tương đương khoảng 91%. Đội Đồng Xuân đứng đầu với 6.140 điểm. Kết quả này cho thấy người tham gia xử lý được khối lượng thử thách đáng kể trong thời gian liên tục, nhưng ý nghĩa lớn hơn là năng lực phòng thủ và điều tra được đặt chung trong một phép thử. Mục tiêu truy vết không chỉ là tìm ra nơi hệ thống bị xâm nhập, mà còn hiểu hành vi của tin tặc để ứng phó có căn cứ.
Giá trị nằm ở phối hợp ngoài phòng diễn tập
Chương trình có đại diện các đơn vị thường trực bảo vệ an ninh mạng thuộc bộ, ngành Trung ương và địa phương, cùng lãnh đạo Phòng An ninh mạng Công an các tỉnh, thành phố; lực lượng thực hành gồm các đơn vị chuyên trách của một số bộ, ngành và phòng an ninh mạng tại 32 tỉnh, thành phố. Việc cùng xử lý một kịch bản giúp các đầu mối hiểu cách phối hợp khi cần chia sẻ thông tin, phân công ứng cứu và hỗ trợ điều tra.
Tuy vậy, diễn tập không thể xóa ngay điểm yếu đã được thừa nhận: năng lực bảo vệ và cơ chế điều phối liên ngành ở một số nơi còn thiếu đồng bộ. Vì thế, một kết quả thi tốt chỉ có ý nghĩa khi được chuyển thành quy trình phối hợp và năng lực thường trực ngoài thực địa. Với lĩnh vực tài chính, nơi sự cố có thể ảnh hưởng đến dữ liệu và hoạt động hệ thống, thông điệp của cuộc diễn tập rất rõ: phòng thủ mạng phải đi cùng điều tra số, còn chứng cứ điện tử cần được bảo toàn ngay từ lúc ứng cứu bắt đầu.
