Chu trình phản hồi sự cố (Incident Response Lifecycle) - Thứ tự chuẩn
Theo NIST SP 800-61 Rev. 2 và SANS Institute, quy trình phản hồi sự cố an ninh mạng gồm 6 giai đoạn chính theo thứ tự:
1. Chuẩn bị (Preparation)
- Xây dựng chính sách, playbook, runbook.
- Thiết lập SOC/CSIRT, công cụ (SIEM, EDR, Forensic, Threat Intel).
- Đào tạo, 演练 (tabletop exercise, red/blue team).
- Hardening hệ thống, backup, baseline hành vi bình thường.
2. Phát hiện & Phân tích (Detection & Analysis)
- Thu thập log, alert từ SIEM, EDR, IDS/IPS, báo cáo người dùng.
- Triage: phân loại độ nghiêm trọng (Critical/High/Medium/Low), false positive.
- Phân tích gốc rễ (Root Cause Analysis), IOC, TTP (MITRE ATT&CK).
- Báo cáo nội bộ, pháp lý, bên liên quan (theo quy định).
3. Chắn chứa (Containment)
- Ngắn hạn: Cô lập mạng, block IP/domain, disable account, quarantine endpoint.
- Dài hạn: Áp dụng patch, thay đổi cấu hình, chuyển dịch vụ sang hệ thống sạch.
- Thu thập bằng chứng (forensic image, memory dump) trước khi chắn chứa nếu có thể.
4. Khử trừ (Eradication)
- Loại bỏ mã độc, backdoor, tài khoản giả, persistence mechanism.
- Vô hiệu hóa lỗ hổng bị khai thác (patch, config change).
- Xoay khóa (credential rotation), revoke certificate/session.
5. Khôi phục (Recovery)
- Khôi phục hệ thống từ backup sạch / golden image.
- Xác thực tính toàn vẹn (hash compare, file integrity monitoring).
- Giám sát cường độ cao (enhanced monitoring) trong giai đoạn early life.
- Triển khai lại vào production theo kế hoạch phân giai đoạn.
6. Học hỏi & Cải tiến (Lessons Learned / Post-Incident Activity)
- Họp review (Post-mortem) trong 1-2 tuần sau sự cố.
- Tài liệu hóa: timeline, root cause, impact, what went well/poorly.
- Cập nhật: playbook, detection rule, hardening, architecture, training.
- Đo lường: MTTR, MTTD, số sự cố lặp lại, chi phí.
So sánh các khung tham chiếu
| Khung tham chiếu | Số giai đoạn | Giai đoạn |
|---|---|---|
| NIST 800-61 | 4 (gộp) | Preparation; Detection & Analysis; Containment, Eradication & Recovery; Post-Incident Activity |
| SANS | 6 | Preparation; Identification; Containment; Eradication; Recovery; Lessons Learned |
| ISO 27035 | 5 | Plan & Prepare; Detect & Report; Assess & Decide; Respond; Learn |
| PagerDuty | 4 | Detect; Escalate; Investigate; Resolve & Recover + Postmortem |
Ưu tiên khi phát hiện sự cố
Ưu tiên #1: Chắn chứa (Containment) – giảm thiểu thiệt hại ngay lập tức. Đừng chờ phân tích xong mới hành động.
SOC Playbook là gì?
Tài liệu hướng dẫn phản hồi tự động/hữu hướng cho các kịch bản cụ thể (phishing, ransomware, insider threat, DDoS...). Giúp analyst junior xử lý nhất quán, nhanh chóng; senior tập trung threat hunting chủ động.
Mẹo ghi nhớ thứ tự: "Chuẩn bị → Phát hiện → Chắn chứa → Khử trừ → Khôi phục → Học hỏi" (P-D-C-E-R-L).