Dịch vụ Điều tra và Ứng phó sự cố An Toàn Thông Tin (X-SFR)

1.Giới thiệu Dịch vụ

Điều tra và ứng cứu sự cố an toàn thông tin (DFIR) là một dịch vụ chuyên biệt tập trung vào việc xác định, khắc phục và điều tra các sự cố an ninh mạng. Các chuyên gia của DFIR thu thập và kiểm tra nhiều thông tin để xác định ai đã tấn công, cách họ xâm nhập, các bước chính xác mà kẻ tấn công đã thực hiện để xâm phạm hệ thống và bạn có thể làm gì để vá những lỗ hổng bảo mật đó.

DFIR có hai thành phần chính:

• Điều tra số: Một tập hợp con của khoa học pháp y kiểm tra dữ liệu hệ thống, hoạt động của người dùng và các bằng chứng kỹ thuật số khác để xác định xem một cuộc tấn công có đang diễn ra hay không và ai có thể đứng đằng sau hoạt động đó.
• Ứng phó sự cố: Quy trình tổng thể mà một tổ chức sẽ tuân theo để chuẩn bị, phát hiện, ngăn chặn và phục hồi sau sự cố vi phạm dữ liệu.

2. Phạm vi cung cấp và tính năng

Thực hiện điều tra số - Digital Forensic nhằm xác định các yếu tố liên quan tới sự cố bao gồm:

• Các lỗ hổng bảo mật đã bị khai thác
• Các hệ thống Máy chủ/ Máy trạm/ Tài khoản người dung đã bị ảnh hưởng
• Các dữ liệu/thông tin tài khoản bị ảnh hưởng
• Các File mã độc, công cụ tấn công đã được sử dụng
• Luồng tấn công của Attacker

Thực hiện quán trình Ứng phó sự cố theo từng giai đoạn:

• Identification: Xác định các yếu tố liên quan đến sự cố, làm rõ luồng tấn công thông qua quá trình Digital Forensic
• Containment: triển khai các phương án ngăn chặn tạm thời, cách ly các dối tượng liên quan tới sự cố. Sau đó tập trung vào các ngăn chặn dài hạn bao gồm các khắc phục, vá lỗi
• Remediation: Thực hiện quá trình khắc phục và giải quyết các vấn đề liên quan tới sự cố (loại bỏ mã độc, khắc phục lỗ hổng bảo mật, sao lưu dữ liệu,…)
• Recovery: Khôi phục lại các hệ thống bị ảnh hưởng, đưa ra các phương án giám sát nhằm xác định sự cố đã được giải quyết hoàn toàn và không có mối đe dọa tương tự đang tồn tại trong hệ thống
• Lessons Learned: Tổng hợp báo cáo chi tiết về sự cố, đưa ra các giải pháp nhằm phát hiện, ngăn chặn sự cố có thể xảy ra trong tương lai, đúc rút các kinh nghiệm có được trong quá trình xử lý sự cố

3. Mô hình triển khai dịch vụ

a. Tiếp nhận

• Tiếp nhận thông tin từ đối tác về thời điểm tấn công, hậu quả và hiện trạng của hệ thống.
• Nhận định tình huống: đã bị tấn công, đang bị tấn công, hoặc hệ thống đã bị thay đổi hiện trạng sau quá trình khôi phục.
• Phạm vi sự cố: sự cố cả hệ thống mạng máy tính, sự cố một máy tính, sự cố dữ liệu.

b. Phân loại

• Tấn công lừa đảo
• Tấn công mã độc mã hoá dữ liệu
• Tấn công nhằm mục đích phá hoại
• Các hình thức khác

c. Thu thập bằng chứng

• Thông tin về đầu mối liên hệ
• Sơ đồ mạng của hệ thống
• Mục tiêu bị ảnh hưởng (loại máy chủ, phần mềm, thiết bị mạng, hệ điều hành...)
• Tài khoản truy cập vào các hệ thống bị ảnh hưởng để trích xuất dữ liệu phân tích
• Thông tin nhật ký hệ thống (Log)
• Bộ nhớ và trạng thái kết nối mạng
• Mẫu dữ liệu bị can thiệp
• Mẫu mã độc

d. Phân tích

• Phân tích điểm yếu của các máy chủ, thiết bị mạng, phần mềm có trong hệ thống.
• Phân tích các mẫu Log
• Ghi nhận lại dòng thời gian (timeline) các sự kiện xảy ra trong hệ thống ở các khoảng thời gian trước, trong và sau thời điểm xảy ra sự cố
• Phân tích mã độc

e. Báo cáo

• Tổng hợp báo cáo kết quả điều tra, ghi nhận đầy đủ các bằng chứng số, nhận định nguyên nhân và kết quả xử lý.
• Đề xuất các giải pháp để cải thiện ATTT cho hệ thống, cả về quy trình, phần cứng và phần mềm.

4. Lợi ích mang lại

• Ứng phó với sự cố với tốc độ và độ chính xác
• Thực hiện theo một quy trình nhất quán khi điều tra và đánh giá sự cố
• Giảm thiểu mất mát hoặc đánh cắp dữ liệu cũng như tổn hại về danh tiếng do cuộc tấn công an ninh mạng gây ra
• Tăng cường các giao thức và quy trình bảo mật hiện có thông qua sự hiểu biết đầy đủ hơn về bối cảnh mối đe dọa và các rủi ro hiện có
• Phục hồi sau các sự kiện bảo mật nhanh hơn và hạn chế sự gián đoạn đối với hoạt động kinh doanh
• Hỗ trợ truy tố kẻ đe dọa thông qua bằng chứng và tài liệu