Security Breach / Data Breach – Phản ứng sự cố chuẩn NIST 800-61 / ISO 27035
Security Breach: Truy cập trái phép vào hệ thống/mạng/dữ liệu. Data Breach: Dữ liệu nhạy cảm bị lộ, đánh cắp, xóa hoặc sửa đổi. Cả hai đều yêu cầu phản ứng nhanh, có hệ thống.
1. Chuẩn bị (Preparation) – Trước khi xảy ra
- Xây dựng Incident Response Plan (IRP), gán role: Incident Commander, Lead Analyst, Comms, Legal, IT Ops.
- Triển khai SIEM, EDR, NDR, DLP, honeypot – có visibility.
- Định kỳ tập trận (Tabletop exercise, Red/Blue/Purple team).
- Backup offline, test restore, immutable backup.
- Cyber insurance, retained forensic firm, law enforcement contact.
2. Nhận diện (Identification / Detection)
- Nguồn: SIEM alert, EDR detection, user report, threat intel feed, ransom note, dark web monitoring, partner notification.
- Xác nhận: True Positive hay False Positive? Thu thập IOC (IP, hash, domain, email, TTPs).
- Phân loại mức độ: Critical / High / Medium / Low (theo CVSS, tác động nghiệp vụ, dữ liệu liên quan).
- Kích hoạt IRP, thông báo cho stakeholders (Legal, PR, CISO, DPO nếu dữ liệu cá nhân).
3. Chईa chặn (Containment) – Ngăn chặn lan rộng
| Short-term (Ngay lập tức) | Long-term (Bền vững) |
|---|---|
| Cô lập VLAN / quarantine host (EDR network quarantine) | Vá lỗ hổng root cause (patch, config change) |
| Block IOC tại firewall/proxy/DNS (IP, domain, hash) | Rotate credential bị compromize (service account, admin, user) |
| Disable compromised account / revoke session token | Rebuild system từ image sạch (golden image) |
| Snapshot disk/memory cho forensic | Hardening: least privilege, MFA, segmentation, zero trust |
4. Khử trừ (Eradication) – Loại bỏ gốc rễ
- Xác định Initial Access Vector: Phishing, VPN vuln, supply chain, insider, stolen cred...
- Loại bỏ malware, persistence (scheduled task, service, Run key, WMI, kernel driver).
- Quét lại toàn bộ môi trường với IOC mới tìm được.
- Verify: không còn IOC, không còn anomalous behavior (EDR/NDR quiet).
5. Khôi phục (Recovery) – Trở về trạng thái bình thường
- Restore từ backup sạch (verify integrity, scan trước khi restore).
- Chuyển traffic production sang hệ thống đã rebuild (blue/green, canary).
- Giám sát chặt chẽ 30-90 ngày (enhanced monitoring): UEBA, honeytoken, canary token.
- Thông báo cho khách hàng/đối tác/cơ quan quản lý (theo luật: GDPR 72h, Việt Nam ND 13/2023/NĐ-CP).
6. Học hỏi (Lessons Learned / Post-Incident Review)
- Báo cáo After-Action Review (AAR) trong 2 tuần: timeline, root cause (5 Whys), gap kiểm soát, action items.
- Cập nhật IRP, runbook, detection rule, hardening baseline.
- Đào tạo lại nhân sự, cập nhật threat model.
- Đo lường MTTR (Mean Time To Respond/Recover) – mục tiêu giảm dần.
7. Checklist hành động ngay cho cá nhân/nếu tài khoản bị lộ
- Đổi mật khẩu ngay (mọi nơi dùng chung mật khẩu).
- Bật MFA (Authenticator app / YubiKey – tránh SMS).
- Kiểm tra HaveIBeenPwned, DeHashed.
- Đăng xuất tất cả phiên (Sign out everywhere).
- Xem lại quyền truy cập app bên thứ ba (OAuth).
- Đóng băng tín dụng (credit freeze) nếu SSN/CCCD/số thẻ bị lộ (US).
- Báo cảnh sát/CSĐT nếu lừa đảo tài chính.
8. Sai lầm thường gặp
- Xóa log / reboot server trước khi forensic → mất bằng chứng.
- Thông báo quá sớm khi chưa hiểu phạm vi → mất uy tín.
- Chỉ containment mà không eradication → tái nhiễm.
- Không có backup offline / test restore → ransomware trả tiền vẫn không lấy lại data.
- Thiếu liên lạc khẩn cấp với pháp lý/PR → vi phạm luật báo cáo.