Phòng ngừa (Prevention) vs Phát hiện & Phản hồi (Detection & Response)
An ninh mạng hiệu quả yêu cầu cả hai: Preventive controls (ngăn chặn) + Detective/Responsive controls (phát hiện, điều tra, khử trừ, phục hồi).
Tại sao chỉ phòng ngừa không đủ?
- Không thể ngăn chặn 100%: Zero-day, insider threat, supply chain attack, human error luôn tồn tại.
- Kẻ tấn công thích ứng: Polymorphic malware, file-less, living-off-the-land bypass AV/EDR.
- Thời gian phát hiện trung bình (MTTD): 204 ngày (IBM 2023) – phòng ngừa thất bại, cần phát hiện sớm.
- Phân tích sự cố quá khứ (Post-incident analysis) cung cấp threat intelligence để cải thiện phòng ngừa – vòng lặp phản hồi (feedback loop).
- Yếu tố con người: Phishing, social engineering, misconfiguration – không thể kiểm soát hoàn toàn bằng kỹ thuật.
3 bước phản hồi sự cố an ninh (NIST 800-61简化)
- Xác định (Identify): Thu thập bằng chứng (logs, PCAP, memory dump, endpoint telemetry), xác nhận IOC (Indicators of Compromise).
- Chèn ép & Khử trừ (Contain & Eradicate): Cách ly host/network, block IOC, xóa malware, vá lỗ hổng, rotate credentials.
- Phục hồi & Học bài (Recover & Lessons Learned): Khôi phục từ backup sạch, giám sát tái phát, báo cáo root cause, cập nhật chính sách/công cụ/đào tạo.
Mã thực hành ISO/IEC 27002
Khác với ISO 27001 (yêu cầu chứng nhận), ISO 27002 là mã thực hành (code of practice) – tài liệu tư vấn chung cung cấp 114 kiểm soát nhóm vào 14 mục (A.5-A.18) tập trung vào: Bảo mật (Confidentiality), Toàn vẹn (Integrity), Sẵn sàng (Availability). Giúp tổ chức lựa chọn kiểm soát phù hợp rủi ro.
Chức năng Quản trị sự cố (Incident Management) đặc thù Cyber
Quy trình thời gian thực: Nhận diện → Phân loại → Ưu tiên → Điều tra → Chèn ép → Khử trừ → Phục hồi → Báo cáo → Cải tiến. Cung cấp góc nhìn toàn cảnh (single pane of glass) về tình hình an ninh, tích hợp SIEM, SOAR, Threat Intel, Ticketing (ServiceNow, Jira).
Khung làm việc toàn diện (Defense in Depth + Continuous Monitoring)
| Lớp | Phòng ngừa (Preventive) | Phát hiện (Detective) | Phản hồi (Responsive) |
|---|---|---|---|
| Mạng | NGFW, Segmentation, ZTNA, DDoS Protection | NDR (Zeek, Corelight), NetFlow Analytics | Auto-block IOC, Quarantine VLAN |
| Endpoint | NGAV/EDR, App Control, Disk Encryption, Patch Mgmt | EDR Telemetry, EDR Alerts, Hunt Queries | Isolate Host, Kill Process, Rollback |
| Identity | MFA, PAM, Conditional Access, Zero Trust | UEBA, Impossible Travel, Password Spray Detect | Force MFA, Disable Account, Reset Password |
| Application/Data | WAF, API Gateway, DLP, Encryption, Secure SDLC | RASP, Database Audit, API Anomaly Detection | Block Request, Revoke Token, Restore Backup |
| Cloud | CSPM, CIEM, IaC Scanning, SCP | CloudTrail/Log Analytics, GuardDuty, Defender for Cloud | Auto-remediate (Lambda/Runbook), Quarantine Resource |
Kết luận
"Phòng bệnh hơn chữa bệnh" đúng nhưng không đủ trong an ninh mạng. Chiến lược Assume Breach (giả định đã bị xâm nhập) buộc phải đầu tư cân bằng: Prevention (30%), Detection (40%), Response (30%). Chỉ có khả năng phát hiện nhanh, phản hồi hiệu quả, học hỏi từ sự cố mới giảm thiểu được tác động kinh doanh khi – không phải nếu – bị vi phạm.