Lĩnh vực An ninh mạng xử lý ứng phó vi phạm an ninh thông tin (Incident Response)

Lĩnh vực nào xử lý vi phạm an ninh thông tin?

Incident Response (IR) / Xử lý sự cố an ninh là lĩnh vực (domain) chuyên chịu trách nhiệm: phát hiện, điều tra, hạn chế, khử trừ, phục hồi và rút kinh nghiệm từ các vi phạm an ninh thông tin (Security Breach / Data Breach).

Quy trình ứng phó vi phạm chuẩn (NIST SP 800-61 / ISO 27035)

1. Chuẩn bị (Preparation): Chính sách IR, Playbook, Tooling (EDR, SIEM, Forensic), Team/On-call, Communication plan, Legal/PR ready.
2. Phát hiện & Phân tích (Detection & Analysis): Alert từ SIEM/EDR/User report → Triage → Xác minh (True/False positive) → Phân loại mức độ (Critical/High/Medium/Low) → Scope (bị ảnh hưởng gì).
3. Hạn chế (Containment): Ngắn hạn: isolate network, block IOC, disable account. Dài hạn: patch vuln, rotate credential, rebuild system sạch.
4. Khử trừ (Eradication): Xóa malware, persistence mechanism, rootkit, attacker artifact. Verify sạch.
5. Phục hồi (Recovery): Restore từ backup sạch, verify integrity, monitoring tăng cường, staggered return production.
6. Hoạt động sau sự cố (Post-Incident Activity): Root Cause Analysis (RCA), Lessons Learned, Update policy/playbook/detection, Tabletop exercise.

Phân loại vi phạm (Breach Types)

• Data Breach: Dữ liệu nhạy cảm bị truy xuất/lộ trái phép (PII, PHI, IP, Financial).
• Network Breach: Kẻ xấu truy cập trái phép hạ tầng mạng (lateral movement, C2).
• System Compromise: Server/endpoint bị kiểm soát (RCE, malware, webshell).
• Identity Breach: Credential theft, session hijack, MFA bypass, privilege escalation.
• Physical/Skimming: Mất thiết bị, card skimming, hardware implant.

Nguyên nhân phổ biến nhất dẫn đến vi phạm

1. Credential Thieves/Phishing: Weak/stolen password, MFA fatigue, adversary-in-the-middle (Evilginx2).
2. Vulnerability Exploitation: Unpatched internet-facing (VPN, Exchange, VPN, Firewall, Web App).
3. Misconfiguration: Public S3, open security group, excessive IAM, default creds.
4. Supply Chain/3rd Party: Compromised vendor, malicious dependency, CI/CD poisoning.
5. Insider Threat: Malicious, negligent, compromised employee/contractor.

Vai trò CISO sau vi phạm dữ liệu

• Lãnh đạo IR team, báo cáo Board/Legal/Regulator (72h GDPR, 4h SEC material incident).
• Quyết định containment strategy (shutdown hay monitor).
• Quản lý truyền thông: nội bộ, khách hàng, báo chí, nhà đầu tư.
• Chịu trách nhiệm cuối cùng - thường là người "chịu lỗi" công khai.

Kỹ năng cần cho IR Specialist

• Forensic: Disk/Memory/Network (Volatility, FTK, EnCase, Velociraptor, KAPE).
• Log Analysis: SIEM (Splunk/KQL/SPL), CloudTrail, VPC Flow Logs, Zeek/Suricata.
• Malware Analysis: Static/Dynamic, YARA, CAPA, Ghidra, IDA Pro.
• Threat Intel: MITRE ATT&CK mapping, TTP attribution, IOC enrichment.
• Soft skill: Viết báo cáo executive, làm việc với Legal/PR/Law Enforcement, crisis communication.