CERT là gì?
CERT = Computer Emergency Response Team (Đội ứng phẩn cấp sự cố máy tính). Có 2 nghĩa chính:
- Tổ chức/Cơ quan: Nhóm chuyên gia chịu trách nhiệm tiếp nhận, phân tích, xử lý, phối hợp ứng phó sự cố an ninh mạng (security incidents). Ví dụ: CERT/CC (Carnegie Mellon - CERT Coordination Center), CERT-In (Ấn Độ), VNCERT/CC (Việt Nam), JPCERT/CC (Nhật), KrCERT/CC (Hàn), US-CERT (CISA), GovCERT (Các quốc gia EU).
- Chứng chỉ/Kỹ năng: Chứng chỉ chuyên nghiệp về xử lý sự cố (Incident Handling), ví dụ: GCIH (GIAC Certified Incident Handler), ECIH (EC-Council Certified Incident Handler), Certified CERT Analyst (các chương trình quốc gia).
Vai trò & Chức năng của CERT (Tổ chức)
| Chức năng | Mô tả |
|---|---|
| Incident Handling (Xử lý sự cố) | Tiếp nhận báo cáo, triage, phân tích, containment, eradication, recovery, post-mortem. Điều phối với các bên liên quan (ISP, LE, vendor, victim). |
| Vulnerability Coordination (Điều phối lỗ hổng) | Nhận báo cáo lỗ hổng (CVD - Coordinated Vulnerability Disclosure), liên hệ vendor, theo dõi patch, công bố advisory (CVE, CERT Advisory). |
| Threat Intelligence & Sharing | Thu thập, phân tích, chia sẻ IOC (Indicators of Compromise), TTPs, malware analysis, campaign tracking. Tham gia ISAC/ISAO, FIRST, TF-CSIRT. |
| Alert/Advisory Publication | Phát hành cảnh báo (Alert), khuyến cáo (Advisory), best practice guide cho cộng đồng/ngành/quốc gia. |
| Training & Exercise | Đào tạo incident handler, tổ chức bài tập mô phỏng (Tabletop, Red/Blue/Purple Team, Cyber Drill quốc gia/khu vực). |
| Tool/Artifact Development | Phát triển công cụ phân tích malware, memory forensics, log analysis, network forensics (Volatility, YARA rules, Sigma rules, Zeek scripts). |
| Policy & Standard Contribution | Tham gia xây dựng tiêu chuẩn quốc gia/quốc tế (ISO 27035, NIST SP 800-61, RFC 2350, RFC 3067). |
CERT/CC (CERT Coordination Center) – CERT gốc
- Thành lập 1988 tại Carnegie Mellon University (SEI) sau worm Morris.
- Được tài trợ bởi DoD (US), hoạt động toàn cầu.
- Vai trò: Trung tâm điều phối CERT quốc gia (National CERTs) qua FIRST (Forum of Incident Response and Security Teams).
- Phát hành CERT Advisories, Vulnerability Notes, Technical Reports.
- Phát triển công cụ: CERT TAPIA (Threat Analysis), CERT STORM (Situational Awareness), Resilience Management Model (CERT-RMM).
CERT-In (India) – Ví dụ National CERT
- Thành lập 2004, dưới Bộ Electronics & IT (MeitY).
- Quyền lực pháp lý theo IT (Amendment) Act 2008 – bắt buộc tổ chức báo cáo sự cố trong 6 giờ.
- Chức năng: Incident response, Vulnerability coordination, Security audits, Training, Awareness, Cyber crisis management plan.
VNCERT/CC (Việt Nam)
- Đơn vị trực thuộc VNISA (Cục An ninh thông tin - Bộ TT&TT).
- Chức năng: Quốc gia CSIRT, điều phối xử lý sự cố cấp quốc gia, phát hành cảnh báo (VNCERT Alert), điều phối CVD, đào tạo, hợp tác quốc tế (FIRST, APCERT, ASEAN CERTs).
- Website: vncert.vn – báo cáo sự cố, xem cảnh báo, tài liệu kỹ thuật.
CERT vs CSIRT vs SOC
| Thuật ngữ | Phạm vi | Đặc điểm |
|---|---|---|
| CERT | Quốc gia / Ngành / Tổ chức lớn | Chức năng pháp lý, điều phối liên tổ chức, authority báo cáo bắt buộc, threat intel sharing cấp cao. |
| CSIRT (Computer Security Incident Response Team) | Tổ chức / Doanh nghiệp / Sector | Internal incident response team. Có thể là một phần của SOC. Theo chuẩn NIST SP 800-61, ISO 27035, FIRST. |
| SOC (Security Operations Center) | Tổ chức | Trung tâm vận hành bảo mật 24/7: Monitoring (SIEM), Alert triage, Threat hunting, Vulnerability management. CSIRT thường nằm trong SOC hoặc phối hợp chặt chẽ. |
Chứng chỉ liên quan đến CERT/Incident Handling
- GCIH (GIAC Certified Incident Handler) – Gold standard cho handler.
- ECIH (EC-Council Certified Incident Handler) – Entry/intermediate.
- CCISO (Certified CISO) – Management level.
- GCFA (GIAC Certified Forensic Analyst) – Forensics sâu.
- GNFA (GIAC Network Forensic Analyst) – Network forensics.
- Certified CERT Analyst – Các chương trình quốc gia (VNCERT, JPCERT, v.v.).
Quy trình xử lý sự cố chuẩn (NIST SP 800-61 Rev. 2)
- Preparation (Chuẩn bị): Policy, plan, team, tools, training, baseline, threat intel.
- Detection & Analysis (Phát hiện & Phân tích): Alert từ SIEM/EDR/NDR/user report → Triage → Scope & Impact → IOC extraction.
- Containment, Eradication & Recovery (Kiểm soát, Loại bỏ, Khôi phục): Short-term containment → Evidence preservation → Root cause analysis → Eradicate (malware, unauthorized access, vuln) → Recover (restore, verify, monitor).
- Post-Incident Activity (Hoạt động sau sự cố): Lessons learned meeting, Report, Update policy/playbook/baseline, Improve detection.
Xu hướng CERT hiện đại
- Automation & SOAR: Tự động triage, enrichment, containment (block IOC, isolate host).
- Threat Intelligence Platform (TIP): MISP, OpenCTI, EclecticIQ – ingest, enrich, share STIX/TAXII.
- Cloud-native IR: Forensic trên AWS/Azure/GCP (CloudTrail, VPC Flow Logs, GuardDuty, Detective).
- Supply Chain / SBOM: Phản ứng nhanh cho vulnerability trong dependency (Log4j, Spring4Shell, xz utils).
- AI/ML cho Detection & Triage: UEBA, Anomaly detection, Alert deduplication, Auto-correlation.
- Regulatory Mandate: NIS2 (EU), CIRCIA (US), Luật An ninh mạng (VN) – bắt buộc báo cáo, có CERT/CSIRT.
Kết luận
CERT là xương sống của khả năng phục hồi an ninh mạng (cyber resilience) ở cấp quốc gia, ngành, và tổ chức. Từ một team xử lý sự cố (CSIRT) đến National CERT với quyền lực pháp lý, mục tiêu chung là: Giảm thiểu tác động, rút ngắn thời gian phản ứng (MTTR), chia sẻ tri thức, nâng cao khả năng phòng thủ tập thể.