Sự cố an ninh mạng (Security Incident) là gì?
Theo NIST SP 800-61 Rev. 2: Sự cố an ninh máy tính là vi phạm hoặc đe dọa vi phạm chính sách bảo mật, chính sách sử dụng chấp nhận được, hoặc thực tiễn bảo mật tiêu chuẩn. Trong bối cảnh mạng: Bất kỳ sự kiện gây hại hoặc đe dọa đến tính bảo mật, toàn vẹn, khả dụng của hệ thống/mạng/dữ liệu.
Phân loại sự cố an ninh mạng (Common Taxonomy)
| Loại sự cố | Mô tả | Ví dụ |
|---|---|---|
| Unauthorized Access (Truy cập trái phép) | Kẻ tấn công hoặc insider truy cập hệ thống/dữ liệu không có quyền | Credential stuffing, Exploit RCE, SSH brute-force, Pass-the-hash, VPN bypass |
| Malware / Ransomware | Mã độc xâm nhập, mã hóa dữ liệu, cài backdoor, C2 beaconing | LockBit, BlackCat, Clop, Emotet, Cobalt Strike Beacon, Rootkit, Fileless malware |
| Phishing / Social Engineering | Lừa đảo lấy credential, cài malware, BEC (Business Email Compromise) | Spear phishing, Whaling, Vishing, Smishing, QRishing, Consent phishing (OAuth) |
| Denial of Service (DoS/DDoS) | Làm quá tải tài nguyên khiến dịch vụ không khả dụng | Volumetric (UDP flood), Protocol (SYN flood), Application (HTTP flood), Ransom DDoS |
| Data Breach / Leakage (Rò rỉ dữ liệu) | Dữ liệu nhạy cảm bị lộ ra bên ngoài (yêu cầu, vô ý, cấu hình sai) | S3 bucket public, GitHub secret leak, Email sent to wrong recipient, Insider theft |
| Privilege Escalation (Leo thang đặc quyền) | Từ user thường → Admin/Root/System qua lỗ hổng/cấu hình sai | Kernel exploit, Token manipulation, Kerberoasting, DLL hijacking, Sudo misconfig |
| Insider Threat (Đe dọa nội bộ) | Nhân viên/Contractor cố ý hoặc vô tình gây hại | Data exfiltration, Sabotage, Credential sharing, Shadow IT, Departing employee |
| Man-in-the-Middle (MitM) | Chặn/sửa đổi lưu lượng giữa 2 bên | ARP spoofing, DNS spoofing, SSL stripping, Rogue AP, BGP hijack |
| Web Application Attack | Tấn công lỗ hổng ứng dụng web | SQLi, XSS, RCE, SSRF, IDOR, Log4Shell, Spring4Shell, Path Traversal |
| Supply Chain / Third-party | Tấn công qua nhà cung cấp/phần mềm thứ 3 | SolarWinds, Kaseya, 3CX, Dependency confusion, Malicious npm/PyPI package |
Quy trình ứng biến sự cố (Incident Response - IR) theo NIST SP 800-61
- Preparation (Chuẩn bị): Chính sách IR, Playbook/Runbook, Team (CSIRT/SOC), Tool (SIEM, EDR, Forensics, Sandbox), Threat Intel, Comms plan, Training/Tabletop exercise.
- Detection & Analysis (Phát hiện & Phân tích):
- Nguồn: SIEM Alert, EDR Alert, User report, Threat Intel, Threat Hunt, Vendor notification.
- Triage: False positive? Mức độ nghiêm trọng (Critical/High/Med/Low)? Phạm vi ảnh hưởng?
- Thu thập bằng chứng: Disk image, Memory dump, Network capture (PCAP), Log preservation (Chain of Custody).
- Phân tích: IOC extraction, TTP mapping (MITRE ATT&CK), Root cause, Blast radius.
- Containment, Eradication & Recovery (Einschließung, Loại bỏ & Phục hồi):
- Containment (Kiềm chế): Short-term (Block IP, Disable account, Quarantine host, VLAN isolation) → Long-term (Patch, Config change, Network segmentation).
- Eradication (Triệt tiêu): Xóa malware, Rotate credential, Revoke cert, Remove persistence, Close vuln.
- Recovery (Phục hồi): Restore từ backup sạch, Rebuild system, Verify integrity, Monitor closely (Enhanced monitoring), Go/No-Go decision.
- Post-Incident Activity (Hoạt động sau sự cố):
- Root Cause Analysis (RCA): 5 Whys, Fishbone diagram.
- Lessons Learned Meeting: Blameless postmortem — What went well? What failed? Action items.
- Update: IR Plan, Playbook, Detection rules, Architecture, Training, Vendor contract.
- Metrics: MTTD, MTTR, MTTC (Contain), MTBF (Between Failures), Cost, Data volume lost.
- Reporting: Internal (Board, Legal, PR), External (Regulator, Law Enforcement, Customers, Cyber Insurance) — tuân thủ thời hạn báo cáo (GDPR 72h, SEC 4 ngày, v.v.).
Incident Response Plan (Kế hoạch ứng biến) — Yếu tố bắt buộc
- Phân loại mức độ nghiêm trọng (Severity Matrix: SEV-1 đến SEV-4/5).
- Roles & Responsibilities: Incident Commander, Lead Analyst, Comms Lead, Legal, PR, Exec Sponsor.
- Communication Plan: Internal (Slack/Teams/War room), External (Template, Approval flow).
- Escalation Path: Khi nào báo CISO, CEO, Legal, Board, Regulator, Law Enforcement.
- Tool Access: SIEM, EDR, Forensics, Ticketing, Secure Comms (Signal/Keybase).
- Legal/Regulatory Requirements: Breach notification law, Evidence preservation, Chain of custody.
- Review & Update: Hàng quý / sau mỗi sự cố lớn / thay đổi lớn hạ tầng.
Báo cáo sự cố an ninh (Incident Reporting)
- Nội bộ: IT Helpdesk / Security Email / Hotline / SIEM "Report Phish" button.
- Pháp lý/Yêu cầu: GDPR (72h), CCPA, SEC (Material cyber incident 4 business days), NIS2 (24h early warning, 72h final), Vietnam: Luật An ninh mạng (Bộ TT&TT, NCSC).
- Bảo hiểm Cyber: Thông báo ngay khi phát hiện — điều kiện bồi thường.
- Law Enforcement: Cảnh sát điều tra (C03/C05 Việt Nam), FBI IC3 (US), Action Fraud (UK) — khi có bằng chứng tội phạm.
Ví dụ sự cố thực tế nổi tiếng (Case Studies)
- SolarWinds (2020): Supply chain attack → Trojanized Orion update → 18k+ tổ chức bị compromise → APT29 (Cozy Bear).
- Colonial Pipeline (2021): Ransomware DarkSide → VPN account không MFA → Ngừng vận hành 6 ngày → Trả $4.4M BTC.
- Log4Shell (CVE-2021-44228): Zero-day RCE trong Log4j → Khai thác hàng triệu server Java → Patch khẩn cấp toàn cầu.
- MoveIT Transfer (2023): SQLi zero-day (Clop ransomware) → 2000+ tổ chức, 60M+ bản ghi bị đánh cắp.
Kết luận
Sự cố an ninh mạng là "khi" không phải "nếu". Tổ chức thành熟 không phải không bao giờ bị hack — mà là phát hiện sớm, kiềm chế nhanh, phục hồi vững chắc, và học hỏi liên tục. Đầu tư vào: CSIRT có năng lực, Playbook tự động hóa (SOAR), Threat Intelligence chất lượng, Văn hóa Blameless, và Kiểm tra IR Plan định kỳ — đó là cách giảm thiểu thiệt hại thực sự.