Biên tập từ bài chia sẻ “A ransomware story” của Thái Dương và Calif Hacking Team tại CIO Vietnam Cybersecurity Summit, tháng 6/2024. Nội dung dựa trên tài liệu trình bày, không phải bản ghi nguyên văn. Các tình huống được tổng hợp từ nhiều sự kiện và được làm mờ chi tiết để bảo vệ thông tin. Phần ứng dụng do KNEXUS bổ sung được ghi rõ trong bài.
Muốn giành giải thưởng một triệu USD bằng toán học, bạn có thể thử chứng minh hoặc bác bỏ giả thuyết Riemann — một bài toán nổi tiếng liên quan đến các điểm không của hàm zeta.
Anh Thái Dương mở đầu bài chia sẻ bằng câu chuyện đó, rồi chuyển sang một cách kiếm tiền mà tội phạm có thể cho là dễ hơn: ransomware.
Cách mở mang tính châm biếm, nhưng đặt đúng trọng tâm. Phía sau mã độc là những người có mục tiêu, biết tìm cơ hội và tạo sức ép để thu tiền. Muốn hiểu ransomware, cần hiểu cách họ nhìn vào doanh nghiệp.
Ở phía còn lại, khi sự cố xảy ra, doanh nghiệp phải xử lý nhiều việc cùng lúc: xác định phạm vi xâm nhập, bảo vệ các hệ thống còn an toàn, tìm phương án phục hồi và thông tin cho các bên liên quan. Trong lúc đó, kẻ tấn công vẫn có thể có quyền truy cập.
Bài chia sẻ đi qua hai góc nhìn: kẻ tấn công mở rộng quyền kiểm soát như thế nào, và người chỉ huy sự cố phải làm gì để giành lại quyền kiểm soát.
Phần I. Kẻ tấn công nhìn doanh nghiệp như thế nào?
1. Cơ hội xâm nhập có thể xuất hiện trước khi nạn nhân được lựa chọn
Kẻ tấn công có thể nhắm tới một doanh nghiệp cụ thể. Nhưng cuộc tấn công cũng có thể bắt đầu từ một cơ hội: tìm thấy một điểm yếu có thể khai thác, rồi mới tìm hiểu tổ chức đứng sau điểm yếu đó.
Hai nguồn cơ hội được nêu trong bài là lỗ hổng N-day và thông tin đăng nhập bị lộ.
N-day là một lỗ hổng đã được biết đến. Cơ hội tồn tại khi doanh nghiệp vẫn còn sử dụng hệ thống dễ bị ảnh hưởng mà chưa được khắc phục. Thông tin đăng nhập bị lộ có thể được mua bán trên dark web, giúp kẻ tấn công tiếp cận môi trường bằng một tài khoản vốn đã được hệ thống công nhận.
Doanh nghiệp vì vậy có thể trở thành mục tiêu của một vấn đề rất bình thường: cập nhật chậm, thông tin xác thực bị đánh cắp hoặc quyền truy cập không được quản lý đầy đủ.
Trong bối cảnh bài trình bày, Thái Dương nêu rằng Microsoft Exchange, Outlook, VPN và firewall là những điểm đáng chú ý. Đây là các ví dụ để nhận diện cửa ngõ xâm nhập, không phải là danh sách đầy đủ cho mọi môi trường.
Gợi ý ứng dụng của KNEXUS: rà soát các dịch vụ tiếp xúc Internet và các tài khoản truy cập từ xa. Với mỗi điểm, xác định người chịu trách nhiệm, tình trạng cập nhật và bằng chứng kiểm tra gần nhất. Việc có người quản lý cần đi kèm với khả năng xác nhận trạng thái thực tế.
2. Sau điểm vào là đường đi tới những thành phần có sức ảnh hưởng lớn
Một hệ thống bị xâm nhập có thể chỉ là điểm khởi đầu.
Các sơ đồ trong bài lần lượt mở rộng đường tấn công tới Active Directory, EDR, PAM, cơ sở dữ liệu, hệ thống sao lưu, vCenter và ESXi. Đó là những thành phần liên quan đến danh tính, bảo mật, dữ liệu, quyền quản trị và hạ tầng ảo hóa.
Điểm đáng chú ý là công cụ dùng để quản trị hoặc bảo vệ môi trường cũng cần được bảo vệ như một tài sản quan trọng. Nếu lớp quản trị bị chiếm quyền, phạm vi tác động có thể mở rộng sang nhiều hệ thống khác.
Các sơ đồ minh họa những đường đi có thể có giữa các thành phần; không nên đọc chúng như một thứ tự tấn công bắt buộc.
Thái Dương còn đối chiếu ransomware với hành vi đánh cắp tiền. Trong sơ đồ thứ hai, đường đi được mở rộng đến DevOps, Internet Banking và Core Banking. Cùng một điểm vào có thể phục vụ những mục tiêu khác nhau: gây gián đoạn, thu thập dữ liệu hoặc can thiệp vào các hoạt động tạo ra giá trị.
Điều này đặt ra một câu hỏi sâu hơn cho CIO: nếu một thành phần bị chiếm quyền, nó cho phép kẻ tấn công tiếp cận những gì tiếp theo?
Gợi ý ứng dụng của KNEXUS: chọn một điểm trong giả định và lần theo đường dẫn đến dịch vụ kinh doanh quan trọng. Trên mỗi chặng, kiểm tra các quyền cần có, ranh giới ngăn cản việc di chuyển và các dấu hiệu giúp đội ngũ phát hiện. Đặc biệt chú ý những quyền quản trị có thể tác động đồng thời đến hệ thống sản xuất và khả năng phục hồi.
3. Tống tiền kép tạo hai loại áp lực khác nhau
Ransomware có thể đồng thời mã hóa dữ liệu và lấy đi dữ liệu nhạy cảm.
Mã hóa khiến doanh nghiệp mất khả năng sử dụng dữ liệu hoặc hệ thống. Việc lấy dữ liệu tạo thêm sức ép liên quan đến thông tin đã rời khỏi tầm kiểm soát của tổ chức.
Khôi phục được hệ thống, nhưng chưa giải quyết được toàn bộ sự cố. Doanh nghiệp vẫn cần làm rõ dữ liệu nào có thể đã bị lấy đi, phạm vi nào vẫn đang trong giai đoạn điều tra và quyền truy cập nào chưa được xử lý.
Một cuộc tấn công có thể nhắm vào cả khả năng hoạt động lẫn quyền kiểm soát thông tin. Hai vấn đề cần được theo dõi riêng trong quá trình ứng phó.
4. Cách mã hóa ảnh hưởng đến tốc độ gây tác động và khả năng phục hồi
Phần kỹ thuật trong bài chia sẻ nhấn mạnh 3 đặc điểm: mã hóa một phần để tăng tốc, sử dụng mã hóa lai và hoạt động trên nhiều nền tảng. Những khác biệt này ảnh hưởng trực tiếp đến phạm vi thiệt hại và cách đánh giá khả năng phục hồi.
Với mã hóa một phần, ransomware có thể khiến tệp mất khả năng sử dụng mà không cần mã hóa toàn bộ nội dung. Mã hóa lai kết hợp các cơ chế mã hóa, cho phép quá trình gây tác động diễn ra mà không cần kết nối liên tục tới bên ngoài. Khả năng hoạt động trên Windows, Linux và ESXi, tùy mẫu hoặc biến thể, cũng cho thấy phạm vi bảo vệ cần bao gồm cả máy chủ và hạ tầng ảo hóa.
Thái Dương sử dụng 3 ví dụ để làm rõ những khác biệt này. Crytox được mô tả là hoạt động trên Windows, mã hóa 1 MB đầu của tệp và kết hợp RSA-2048 với AES-CBC. Mẫu được trình bày có điểm yếu liên quan đến việc phục hồi dữ liệu, cho thấy việc phân tích cách triển khai mã hóa có thể mở ra cơ hội khôi phục dữ liệu.
Babuk có mã nguồn công khai và các phiên bản cho Windows, Linux, ESXi. Slide nêu cơ chế mã hóa 500 MB đầu, đồng thời mô tả các kết hợp khác nhau theo nền tảng: Curve25519 với modified Serpent trên ESXi, HC-128 trên Windows và ChaCha20 trên NAS. Những khác biệt đó khiến việc phân tích và phục hồi cần bám sát mẫu mã gốc và môi trường bị ảnh hưởng.
Với LockBit 3, tài liệu mô tả mã nguồn đóng nhưng có bộ tạo mã độc được công khai; đề cập Windows, Linux và ESXi; sử dụng mã hóa các đoạn được chọn, với raw RSA-1024 và modified Salsa20. Các lỗi liên quan đến việc phục hồi hoặc làm hỏng dữ liệu được nêu trong bài cũng cho thấy có công cụ giải mã chưa đủ để bảo đảm rằng mọi tệp đều được khôi phục nguyên vẹn.
Những đặc điểm này phản ánh các mẫu và cách phân tích trong tài liệu năm 2024, không đại diện cho mọi biến thể cùng tên.
Điểm cốt lõi là khả năng phục hồi phụ thuộc một phần vào cách mã độc được triển khai. Phân tích chuyên sâu có thể tìm ra điểm yếu, nhưng doanh nghiệp cần chuẩn bị phương án phục hồi có thể kiểm chứng, thay vì trông chờ kẻ tấn công mắc lỗi.
5. Kẻ tấn công tìm hiểu nạn nhân để định giá sức ép
Sau khi tạo tác động, kẻ tấn công còn quan tâm đến doanh nghiệp là ai, có nguồn lực tài chính như thế nào và có thể trả bao nhiêu.
Một đoạn trao đổi minh họa trong slide cho thấy bên tấn công giảm yêu cầu từ 3 triệu xuống 1 triệu USD, với lý do mạng của nạn nhân chưa bị ảnh hưởng hoàn toàn. Chi tiết này cho thấy phạm vi tác động có thể trở thành một yếu tố trong cách bên tấn công đưa ra yêu cầu.
Đây không phải là cơ sở để dự đoán mọi cuộc thương lượng. Nhưng nó làm rõ rằng kẻ tấn công đánh giá tình thế của nạn nhân và sử dụng sự gián đoạn để tạo áp lực.
Doanh nghiệp càng ít hiểu về phạm vi thiệt hại và lựa chọn phục hồi, càng khó đánh giá tình hình. Thông tin kỹ thuật chính xác, vì vậy có giá trị trực tiếp đối với người ra quyết định.
Phần II. Người chỉ huy giữ quyền kiểm soát như thế nào?
6. Giữ bình tĩnh, sau đó thiết lập quyền chỉ huy
Phần ứng phó trong bài chia sẻ của anh Thái Dương bắt đầu bằng hai thông điệp: giữ bình tĩnh và nắm quyền chỉ huy. Khi nhiều nhóm cùng tham gia xử lý, doanh nghiệp cần một người duy trì bức tranh chung, xác định ưu tiên và điều phối các hoạt động.
Mô hình được trình bày gồm Incident Commander — người chỉ huy sự cố, cùng ba đầu mối phụ trách kỹ thuật, truyền thông và pháp lý. Người chỉ huy điều phối toàn bộ nỗ lực ứng phó; Ops Lead phụ trách công việc kỹ thuật và phục hồi; Communications Lead điều phối thông tin trong và ngoài tổ chức; Legal Lead phụ trách các vấn đề pháp lý liên quan.
Các đầu mối cần phối hợp chặt chẽ vì một phát hiện kỹ thuật có thể làm thay đổi nội dung thông báo cho khách hàng, còn một quyết định phục hồi có thể cần cân nhắc từ nhiều phía. Người chỉ huy có trách nhiệm kết nối thông tin và các quyết định để mọi nhóm cùng làm việc trên một trạng thái sự cố được cập nhật.
Anh Thái Dương tóm lược trách nhiệm này bằng ba chữ C: Command — chỉ huy, tổ chức và điều phối nỗ lực ứng phó; Control — kiểm soát, duy trì quyền kiểm soát tình hình; và Communicate — giao tiếp, bảo đảm thông tin được trao đổi giữa các nhóm xử lý, trong tổ chức và với bên ngoài.
Một đội kỹ thuật giỏi vẫn cần một cơ chế chỉ huy rõ ràng. Khi thông tin thay đổi liên tục và áp lực gia tăng, cơ chế đó giúp các nhóm hiểu rõ cùng một tình hình, biết việc cần ưu tiên và phối hợp hành động một cách nhất quán.
7. Kiểm soát người tham gia, bàn giao và thông tin
Trong khủng hoảng, việc bổ sung người hỗ trợ có thể tăng năng lực, nhưng cũng làm tăng nhu cầu điều phối.
Bài chia sẻ đề xuất kiểm soát ai được phép hỗ trợ, giới hạn sự tham gia trong phạm vi cần thiết, thiết kế giao thức bàn giao và theo dõi cả những vấn đề nhỏ.
Bàn giao cần giúp người tiếp nhận biết tình trạng hiện tại đang ở đâu, hành động nào đã thực hiện và công việc nào vẫn chưa thực hiện. Những vấn đề nhỏ cũng cần được ghi nhận vì chúng có thể trở thành trở ngại ở bước tiếp theo.
War room tạo đầu mối để điều phối. Đây là nơi có thể gặp người chỉ huy trực tiếp. Tài liệu gợi ý bố trí gần đội kỹ thuật hoặc có kênh liên lạc trực tiếp với họ, với không gian phục vụ một nhóm họp nhỏ, tối đa khoảng 10 người.
Giá trị của war room nằm ở khả năng tập trung điều phối và rút ngắn khoảng cách giữa thông tin và quyết định.
Nhật ký sự cố giữ gìn bức tranh chung. Tài liệu cập nhật trực tiếp cần trả lời bốn câu hỏi:
Ai đang phụ trách?
Đã làm những gì?
Tiếp theo sẽ làm gì?
Những vấn đề lớn đang nằm ở đâu?
Trong giai đoạn khẩn cấp, tài liệu có thể chưa đẹp hoặc chưa hoàn chỉnh. Điều quan trọng là phải đủ rõ để người chỉ huy biết được trạng thái và quyết định bước tiếp theo.
Gợi ý ứng dụng của KNEXUS: ghi thêm thời điểm, người thực hiện, kết quả và căn cứ quyết định. Phân biệt thông tin đã xác nhận, giả thuyết đang điều tra và câu hỏi chưa có lời giải.
8. Bảo vệ chính hoạt động ứng phó
OpSec — an toàn trong hoạt động xử lý — được nhấn mạnh qua việc ưu tiên trao đổi trực tiếp khi phù hợp, quy định kênh trực tuyến an toàn và bảo đảm các nguyên tắc bảo mật được phổ biến, tuân thủ.
Hoạt động ứng phó cũng cần được bảo vệ khi doanh nghiệp chưa biết tài khoản hoặc kênh giao tiếp nào đã bị ảnh hưởng.
Gợi ý ứng dụng của KNEXUS: chuẩn bị kênh liên lạc dự phòng và cách kiểm soát người tham gia. Đội ngũ cần biết sẽ phối hợp như thế nào nếu email hoặc môi trường danh tính thông thường không còn đáng tin cậy.
9. Chọn phương án phục hồi trong điều kiện bất định
Khi dữ liệu đã bị mã hóa, Thái Dương trình bày 3 hướng xử lý: trả tiền chuộc để nhận được khóa giải mã, phân tích ransomware để tìm điểm yếu và khôi phục từ bản sao lưu. Mỗi hướng đều có những điều kiện quyết định khả năng thành công.
Với phương án nhận khóa giải mã, doanh nghiệp phụ thuộc vào việc bên tấn công cung cấp khóa và các công cụ để hoạt động như kỳ vọng. Có khả năng không đảm bảo toàn bộ dữ liệu sẽ được phục hồi nguyên vẹn. Phân tích ransomware có thể mở ra cơ hội khôi phục nếu mã độc có điểm yếu, nhưng kết quả không chắc chắn. Khôi phục từ sao lưu cũng phụ thuộc vào chất lượng bản sao và khả năng thực hiện kế hoạch khôi phục.
Người chỉ huy, vì vậy, cần đánh giá từng phương án dựa trên tình trạng thực tế và bằng chứng hiện có, làm rõ khả năng thực hiện, giới hạn và những điều chưa biết.
Trọng tâm tiếp theo là xác định tập dữ liệu và hệ thống tối thiểu cần thiết để khôi phục các hoạt động kinh doanh quan trọng nhất. Anh Thái Dương đề xuất bắt đầu từ phạm vi nhỏ, tìm những kết quả có thể đạt được sớm, đồng thời xác định rõ hành động, người chịu trách nhiệm và các tiêu chí thành công.
Để làm được điều đó, đội kỹ thuật cần phối hợp với người phụ trách nghiệp vụ. Chủ hoạt động kinh doanh xác định việc nào cần được khôi phục trước; đội kỹ thuật làm rõ dữ liệu, hệ thống và các phụ thuộc cần thiết. Một hệ thống được bật lại chỉ tạo ra giá trị khi hoạt động mà nó phục vụ có thể thực hiện được.
Trong slide, quá trình xử lý được minh họa bằng sơ đồ giải mã → làm sạch → cô lập → phục hồi.
Lưu ý về ứng dụng của KNEXUS: đây là thứ tự thể hiện trong slide, không nên áp dụng máy móc cho mọi tình huống. Việc cô lập và bảo toàn bằng chứng cần được cân nhắc theo diễn biến thực tế; nếu có nguy cơ tiếp tục lan rộng, không chờ giải mã mới thực hiện biện pháp cô lập.
10. Chỉ huy sự cố là một vòng lặp liên tục
Chỉ huy sự cố đòi hỏi người phụ trách liên tục thu nhận thông tin, điều phối hành động và đánh giá lại tình hình. Mỗi phát hiện mới có thể làm thay đổi phạm vi xử lý, thứ tự ưu tiên hoặc nhu cầu về nguồn lực.
Ở mỗi vòng cập nhật, người chỉ huy cần nắm được trạng thái của từng nhóm: công việc đang tiến triển đến đâu, có thông tin mới nào cần chuyển ngay cho nhóm khác, trở ngại nào đang làm chậm quá trình xử lý và có cần bổ sung nhân sự hoặc nguồn lực hay không. Đồng thời, cần nhận diện những vấn đề có thể phát sinh trong thời gian tới để chuẩn bị trước.
Các thông tin này phải được phản ánh kịp thời trong nhật ký sự cố và trên dashboard chung. Lãnh đạo, pháp lý, truyền thông và các bên liên quan cần nhận được cập nhật phù hợp để phối hợp trên cùng một bức tranh về tình hình. Người chỉ huy cũng cần đánh giá liệu bản thân có đủ nguồn lực để duy trì việc điều phối hay có cần bổ sung thêm nguồn lực.
Trong quá trình đó, cần chủ động tìm những công việc có thể thực hiện song song, tránh để các nhóm chờ đợi khi đã có thể hành động. Với mỗi quyết định khắc phục hoặc làm sạch hệ thống, người chỉ huy phải xem xét thông tin hiện có đã đủ làm căn cứ hay chưa, phần nào còn cần xác minh và khi nào đội ngũ có thể cung cấp lần cập nhật tiếp theo.
Cuối mỗi vòng là câu hỏi: sự cố đã thực sự kết thúc chưa? Nếu chưa, quá trình kiểm tra tiếp tục, với ưu tiên được điều chỉnh theo tình hình mới.
Thông điệp nghỉ ngơi trong bài chia sẻ cũng có ý nghĩa trong việc vận hành. Sự cố kéo dài dễ khiến đội ngũ quá tải và làm giảm chất lượng ra quyết định. Người chỉ huy cần theo dõi mức độ mệt mỏi của từng đầu mối, bố trí nghỉ ngơi và bàn giao rõ ràng để duy trì khả năng xử lý liên tục.
11. Truyền thông phải giúp người liên quan hành động
Các nguyên tắc được nêu gồm: nhất quán, thông tin sớm và thường xuyên, với mức độ chi tiết phù hợp; đồng thời theo dõi sự lan truyền thông tin về sự cố.
Trong truyền thông khủng hoảng, Thái Dương nhấn mạnh 3 việc: cho người liên quan biết họ có thể làm gì, không giảm nhẹ vấn đề và giải thích những lựa chọn khó đang phải cân nhắc.
Gợi ý ứng dụng của KNEXUS: một bản cập nhật có thể làm rõ điều gì đã được xác nhận, điều gì đang được điều tra, doanh nghiệp đang làm gì, người nhận cần hành động như thế nào và khi nào sẽ có thông tin tiếp theo.
Sự nhất quán cần xuất phát từ cùng một bức tranh về sự cố. Khi bằng chứng thay đổi, nội dung cũng phải được cập nhật tương ứng.
Bài trình bày kết thúc bằng thông điệp “Move to the cloud, now!” cùng hình ảnh một căn nhà bị sạt lở sát mép nước. Slide có yếu tố hình ảnh và hài hước; nếu chỉ dựa vào tài liệu, chưa đủ căn cứ để chuyển thành một khuyến nghị kiến trúc cloud cụ thể.
Điều doanh nghiệp cần chuẩn bị trước khi khủng hoảng bắt đầu
Từ hai góc nhìn trong bài, KNEXUS đề xuất chuẩn bị 3 đầu ra có thể kiểm chứng.
Bản đồ đường tấn công giúp thấy một điểm vào có thể dẫn tới danh tính, quyền quản trị, dữ liệu, hạ tầng và sao lưu như thế nào.
Cơ chế chỉ huy có thể được kích hoạt, xác định người chỉ huy, đầu mối, quyền hành động, kênh liên lạc, nhịp cập nhật và cách bàn giao.
Phương án phục hồi theo ưu tiên kinh doanh xác định các hoạt động quan trọng, dữ liệu và hệ thống tối thiểu, người chịu trách nhiệm, và các tiêu chí thành công.
Ba đầu ra này cần được thử cùng nhau. Một lần diễn tập có thể cho thấy đội kỹ thuật phát hiện được sự cố nhưng chưa rõ ai được quyền quyết định; hoặc hệ thống được khôi phục nhưng nghiệp vụ vẫn chưa vận hành được. Những phát hiện đó tạo cơ sở để sửa trước khi áp lực thực sự xuất hiện.
Bài chia sẻ của Thái Dương cho thấy sự chuẩn bị cần bao phủ cả đường tấn công lẫn cách tổ chức ứng phó. Hiểu kẻ tấn công giúp bạn nhận ra những điểm có thể khiến bạn mất quyền kiểm soát. Chuẩn bị người chỉ huy giúp doanh nghiệp tổ chức hành động để lấy lại quyền kiểm soát.
Trong cuộc rà soát tiếp theo, hãy chọn một tài khoản quản trị quan trọng và thử trả lời: nếu tài khoản này bị chiếm quyền hôm nay, kẻ tấn công có thể đi tới đâu, ai sẽ chỉ huy và hoạt động nào cần được phục hồi trước?
Gợi ý ứng dụng
Những điểm truy cập từ bên ngoài và các tài khoản quản trị trọng yếu của doanh nghiệp hiện được rà soát bằng những bằng chứng nào?
Khi xảy ra ransomware, ai sẽ chỉ huy và hoạt động kinh doanh nào đã được xác định cần phục hồi trước?
Trên đường từ một điểm xâm nhập tới hạ tầng hoặc hệ thống sao lưu, khoảng trống kiểm soát nào chưa được kiểm chứng?
Trong cơ chế ứng phó hiện tại, quyền quyết định, kênh liên lạc hoặc quy trình bàn giao nào vẫn chưa rõ ràng?
Trong 30 ngày tới, đội ngũ sẽ diễn tập kịch bản nào, giao cho ai và dùng tiêu chí gì để xác nhận kết quả?
Sau diễn tập, thay đổi nào cần được ưu tiên thực hiện và khi nào sẽ kiểm tra lại bằng chứng hoàn thành?