Phòng thủ phải đi cùng điều tra
Diễn tập an ninh mạng là hoạt động mô phỏng các cuộc tấn công để kiểm tra khả năng bảo vệ hệ thống, xử lý sự cố và phối hợp điều tra giữa những lực lượng liên quan. Chương trình năm nay đáng chú ý vì đưa điều tra số vào cùng quy trình phòng thủ, thay vì xem truy tìm dấu vết là việc chỉ bắt đầu sau khi hệ thống đã được khôi phục.
Ngày 27/10 tại Hà Nội, Cục An ninh mạng thuộc Bộ Công an phối hợp Hiệp hội An ninh mạng quốc gia tổ chức chương trình với kịch bản tấn công vào hệ thống thông tin của một tổ chức tài chính. Cách đặt bài toán này sát với rủi ro thực tế: ở ngân hàng và dịch vụ thanh toán, một sự cố có thể làm lộ dữ liệu khách hàng, gián đoạn giao dịch, gây thiệt hại tài sản và bào mòn niềm tin của người dùng. Vì thế, năng lực ứng phó không thể chỉ đo bằng tốc độ chặn một cảnh báo; đội xử lý còn phải biết cuộc xâm nhập bắt đầu từ đâu, lan đến mức nào và để lại chứng cứ gì.
Một kịch bản, nhiều lớp xử lý
Trong phiên thực hành kéo dài 7,5 giờ, 10 đội gồm 90 cán bộ, chiến sĩ và chuyên viên từ 46 đơn vị xử lý hệ thống mô phỏng hạ tầng tài chính. Họ phải giám sát, phát hiện và ngăn chặn tấn công, đồng thời phân tích nhật ký, truy vết hành vi qua các giai đoạn, khoanh vùng, xử lý sự cố, khôi phục hệ thống và thu thập chứng cứ điện tử. Đây là cách tiếp cận đúng: khi chỉ tập trung dựng lại dịch vụ, tổ chức có thể bỏ lỡ dấu vết giúp xác định phạm vi xâm nhập; ngược lại, điều tra mà không kiềm chế cuộc tấn công sẽ để thiệt hại tiếp tục lan rộng.
Kịch bản nhiều giai đoạn cũng buộc các đội nối những dấu hiệu riêng lẻ thành một chuỗi: từ xâm nhập máy chủ, mở rộng quyền trong mạng nội bộ đến lạm dụng thành phần đám mây và chiếm đoạt tài sản số trong môi trường mô phỏng. Phần điều tra có 43 thử thách theo hình thức CTF; các đội giải được 39 thử thách, đạt khoảng 91%, còn đội Đồng Xuân đứng đầu với 6.140 điểm. Kết quả cho thấy bài tập có thể kiểm tra đồng thời năng lực phòng thủ mạng và điều tra số, thay vì chấm riêng từng khâu.
Giá trị nằm ở phối hợp sau diễn tập
Có 90 người tham gia là một quy mô đáng kể, nhưng thước đo quan trọng hơn là khả năng phối hợp khi sự cố vượt khỏi phạm vi một đơn vị. Chương trình hướng tới củng cố kết nối giữa lực lượng chuyên trách, các bộ, ngành, địa phương, tổ chức tài chính và doanh nghiệp an ninh mạng. Điều đó cần thiết trong bối cảnh các nhóm tấn công có chủ đích tiếp tục nhắm vào hệ thống trọng yếu, còn thủ đoạn thay đổi từ mã độc tống tiền và đánh cắp dữ liệu đến khai thác chuỗi cung ứng, dịch vụ bên thứ ba.
Diễn tập chỉ tạo ra giá trị bền vững nếu bài học được đưa về từng hệ thống thật. Bước tiếp theo là duy trì chia sẻ kinh nghiệm, kết nối lực lượng sau chương trình và rà soát các hệ thống thuộc phạm vi quản lý; đặc biệt cần chú trọng tài khoản đặc quyền, thông tin xác thực, môi trường đám mây và giám sát dấu hiệu xâm nhập. Nói cách khác, ứng phó sự cố mạng không kết thúc khi dịch vụ hoạt động trở lại: tổ chức còn phải hiểu cách kẻ tấn công vào được, giữ chứng cứ và giảm khả năng sự việc tái diễn.
