Các bước phục hồi dữ liệu sau sự cố tấn công mạng

Sau một cuộc tấn công mạng, phục hồi dữ liệu không bắt đầu bằng việc khôi phục bản sao lưu ngay lập tức. Nếu chưa ngăn chặn và làm sạch hệ thống, dữ liệu vừa khôi phục có thể bị mã hóa hoặc đánh cắp lần nữa. Quy trình phục hồi đúng gồm các bước: cô lập, đánh giá, bảo toàn bằng chứng, loại bỏ nguyên nhân, khôi phục có kiểm soát, giám sát tăng cường và rút kinh nghiệm. Bài viết đi qua từng bước theo góc nhìn của doanh nghiệp vừa và nhỏ.

Bước 1: Cô lập để ngăn thiệt hại lan rộng

Khi phát hiện dấu hiệu tấn công như file bị mã hóa, tài khoản bị chiếm quyền hay lưu lượng bất thường, ưu tiên đầu tiên là ngăn chặn lây lan:

• Ngắt kết nối mạng các máy bị ảnh hưởng (rút cáp mạng, tắt Wi-Fi) nhưng cân nhắc chưa tắt nguồn để giữ dữ liệu trong bộ nhớ phục vụ điều tra.
• Vô hiệu hóa các tài khoản nghi bị xâm phạm, đặc biệt tài khoản quản trị.
• Tách các bản sao lưu đang kết nối ra khỏi hệ thống để bảo vệ chúng.
• Chặn các kết nối ra ngoài đáng ngờ tại tường lửa.

Cô lập nhanh giúp giới hạn số lượng máy và dữ liệu bị ảnh hưởng. Trong nhiều vụ mã độc tống tiền, vài giờ chậm trễ có thể khiến thiệt hại tăng lên nhiều lần.

Bước 2: Đánh giá phạm vi và mức độ

Sau khi kiểm soát được tình hình, cần trả lời các câu hỏi:

• Hệ thống nào bị ảnh hưởng? Máy trạm, máy chủ, cơ sở dữ liệu, dịch vụ đám mây?
• Dữ liệu nào bị mã hóa, xóa, thay đổi hay bị sao chép ra ngoài?
• Có dữ liệu cá nhân của khách hàng, nhân viên bị ảnh hưởng không?
• Kẻ tấn công vào bằng đường nào, đã ở trong hệ thống bao lâu?
• Bản sao lưu nào còn nguyên vẹn, thời điểm gần nhất là khi nào?

Câu trả lời quyết định thứ tự ưu tiên khôi phục và nghĩa vụ thông báo.

Bước 3: Bảo toàn bằng chứng

Trong lúc gấp rút, nhiều tổ chức xóa sạch và cài lại máy ngay, làm mất dấu vết cần thiết để hiểu cuộc tấn công. Trước khi làm sạch, nên:

• Lưu lại nhật ký hệ thống, nhật ký tường lửa, nhật ký xác thực.
• Tạo bản sao ảnh đĩa của máy bị ảnh hưởng quan trọng nếu có năng lực.
• Chụp màn hình thông báo đòi tiền chuộc, ghi lại tên file, phần mở rộng lạ.
• Ghi chép thời gian, hành động đã thực hiện.

Bằng chứng giúp xác định nguyên nhân gốc rễ, hỗ trợ làm việc với cơ quan chức năng, bảo hiểm và chuyên gia ứng cứu.

Bước 4: Loại bỏ nguyên nhân và làm sạch

Khôi phục dữ liệu vào một hệ thống còn lỗ hổng hoặc còn cửa hậu thì chỉ là mời kẻ tấn công quay lại. Cần:

1. Xác định và vá lỗ hổng bị khai thác: phần mềm chưa cập nhật, dịch vụ truy cập từ xa mở ra Internet, mật khẩu yếu.
2. Tìm và loại bỏ các cơ chế duy trì truy cập mà kẻ tấn công cài lại: tài khoản lạ, tác vụ lập lịch, phần mềm điều khiển từ xa.
3. Đặt lại mật khẩu toàn bộ tài khoản có khả năng bị lộ, ưu tiên tài khoản quản trị và tài khoản dịch vụ.
4. Bật xác thực đa yếu tố nếu chưa có.
5. Với máy bị nhiễm nặng, cài lại từ đầu từ nguồn sạch thay vì cố "dọn dẹp".

Bước 5: Khôi phục dữ liệu có kiểm soát

Khi môi trường đã sạch, bắt đầu khôi phục theo thứ tự ưu tiên kinh doanh:

Một số lưu ý khi khôi phục:

• Kiểm tra bản sao lưu trước khi dùng: quét mã độc, xác nhận thời điểm sao lưu trước khi kẻ tấn công xâm nhập.
• Khôi phục vào môi trường cách ly trước: kiểm tra tính toàn vẹn rồi mới đưa vào vận hành.
• Đối chiếu dữ liệu: dữ liệu phát sinh giữa thời điểm sao lưu và sự cố có thể cần nhập lại từ chứng từ, email, hệ thống đối tác.

Nếu bản sao lưu không có hoặc đã bị phá hủy, việc khôi phục trở nên rất khó khăn. Đây là lý do cần chuẩn bị trước, như hướng dẫn trong bài cấu hình sao lưu đám mây an toàn.

Về việc trả tiền chuộc

Trả tiền chuộc không đảm bảo nhận được khóa giải mã hoạt động, không đảm bảo dữ liệu bị đánh cắp sẽ không bị công bố, và có thể khiến tổ chức trở thành mục tiêu lặp lại. Nhiều cơ quan an ninh mạng khuyến cáo không trả tiền chuộc. Quyết định này cần có sự tham gia của ban lãnh đạo, tư vấn pháp lý và cơ quan chức năng.

Bước 6: Giám sát tăng cường sau khôi phục

Sau khi hệ thống hoạt động trở lại, cần theo dõi chặt chẽ trong nhiều tuần:

• Theo dõi đăng nhập bất thường, đặc biệt tài khoản quản trị.
• Giám sát lưu lượng ra ngoài.
• Cảnh báo khi có thay đổi lớn đối với file hoặc cấu hình.
• Kiểm tra lại các máy đã được đánh giá là sạch.

Bước 7: Thông báo và rút kinh nghiệm

Thông báo

Nếu sự cố liên quan đến dữ liệu cá nhân, doanh nghiệp cần xem xét nghĩa vụ thông báo cho cơ quan quản lý và chủ thể dữ liệu theo quy định pháp luật về bảo vệ dữ liệu cá nhân. Thông báo cho khách hàng nên rõ ràng: chuyện gì xảy ra, dữ liệu nào bị ảnh hưởng, doanh nghiệp đã làm gì và khách hàng nên làm gì.

Rút kinh nghiệm

Tổ chức buổi họp đánh giá sau sự cố với các câu hỏi: điều gì đã xảy ra, điều gì hiệu quả, điều gì chưa, cần thay đổi gì. Kết quả nên được chuyển thành hành động cụ thể: cập nhật chính sách, bổ sung đào tạo, đầu tư công cụ.

Chuẩn bị trước để phục hồi nhanh hơn

• Có kế hoạch ứng phó sự cố bằng văn bản, phân công vai trò rõ ràng.
• Sao lưu theo nguyên tắc nhiều bản, nhiều nơi, có ít nhất một bản ngoại tuyến hoặc không thể sửa đổi.
• Diễn tập khôi phục định kỳ.
• Lưu danh bạ liên hệ khẩn cấp ở nơi không phụ thuộc hệ thống bị tấn công.
• Cân nhắc hợp đồng với đơn vị ứng cứu sự cố chuyên nghiệp.

Hiểu cách mã độc tống tiền hoạt động giúp phòng ngừa hiệu quả hơn; xem bài nhận diện và phòng tránh ransomware.