IAA202 - Chương 15: Kế hoạch đội ứng cứu sự cố máy tính

Đáp án đúng: "How an organization should respond to a security incident". Kế hoạch ứng cứu sự cố (incident response plan) là tài liệu của đội CIRT mô tả tổ chức phải làm gì khi có sự cố an ninh: ai được báo, ai có quyền quyết định, các bước phát hiện, phân tích, ngăn chặn, loại bỏ, khôi phục và rút kinh nghiệm, giúp phản ứng nhanh và nhất quán thay vì xoay xở tuỳ hứng. "The annual financial audit process" thuộc lĩnh vực kế toán – kiểm toán tài chính, không liên quan tới xử lý sự cố. "The procedure for employee termination" là thủ tục nhân sự (thu hồi tài khoản, thẻ ra vào khi nghỉ việc), một biện pháp kiểm soát hành chính riêng. "The guidelines for data encryption" là hướng dẫn kỹ thuật bảo vệ dữ liệu, thuộc chính sách an ninh chứ không phải kế hoạch phản ứng khi sự cố đã xảy ra.

Đáp án đúng gồm ba ý: "Incident containment", "Evidence preservation" và "Communication with internal and external stakeholders". Đội ứng cứu sự cố máy tính (CIRT) được lập ra để xử lý sự cố an ninh khi nó xảy ra: ngăn chặn để sự cố không lan sang hệ thống khác, bảo toàn chứng cứ theo chuỗi lưu giữ (chain of custody) để còn điều tra hay khởi kiện, và trao đổi thông tin với ban lãnh đạo, bộ phận pháp lý, cơ quan chức năng hay khách hàng bị ảnh hưởng. "Daily server maintenance" là công việc vận hành thường ngày của bộ phận quản trị hệ thống, không phải nhiệm vụ của một đội chỉ được kích hoạt khi có sự cố. "Disaster site construction" là việc chuẩn bị cơ sở vật chất cho site dự phòng, thuộc phạm vi kế hoạch khôi phục thảm hoạ và quản lý cơ sở hạ tầng, nằm ngoài vai trò của CIRT.

Đáp án đúng: "Isolate the affected systems to prevent further damage". Giai đoạn ngăn chặn (containment) trong xử lý sự cố đứng sau phát hiện và trước loại bỏ, khôi phục; mục tiêu là chặn sự cố lan rộng, nên việc tiêu biểu là cô lập hệ thống bị ảnh hưởng, ví dụ ngắt khỏi mạng hay khoá tài khoản bị chiếm. "Develop new security policies" thuộc bước rút kinh nghiệm sau sự cố, khi tổ chức sửa chính sách để tránh lặp lại. "Update antivirus software" là biện pháp phòng ngừa hoặc thuộc bước loại bỏ, không ngăn ngay được sự lây lan đang diễn ra. "Reboot the affected systems" có thể xoá bằng chứng trong bộ nhớ và không chặn được kẻ tấn công nếu mã độc vẫn còn trên máy hay trên mạng.

Đáp án đúng: "inappropriate usage". Theo cách phân loại sự cố an ninh máy tính phổ biến (gồm các nhóm như truy cập trái phép, mã độc, từ chối dịch vụ, sử dụng không phù hợp), việc một người dùng hợp lệ tự cài phần mềm P2P trái với chính sách của tổ chức là một sự cố, và thuộc nhóm inappropriate usage (sử dụng không phù hợp): người đó có quyền dùng máy nhưng dùng sai so với quy định. "It’s not a computer security incident" sai vì vi phạm chính sách bảo mật đã là sự cố, chưa kể P2P còn mở đường cho rò rỉ dữ liệu và vi phạm bản quyền. "unauthorized access" chỉ trường hợp ai đó vào hệ thống hay dữ liệu mà họ không được cấp quyền, ở đây người dùng không vượt quyền truy cập. "malware" là phần mềm độc hại như virus, sâu, trojan; phần mềm P2P tự nó không phải mã độc dù có thể kéo mã độc về.

Đáp án đúng: "Data leakage". Phần mềm ngang hàng (peer-to-peer) chia sẻ thư mục trên máy người dùng ra mạng bên ngoài, nhiều khi người dùng chia sẻ nhầm cả thư mục chứa tài liệu nội bộ, dữ liệu khách hàng hay mật khẩu, nên rủi ro lớn nhất là rò rỉ dữ liệu nhạy cảm ra ngoài tổ chức, kéo theo vi phạm tuân thủ và mất uy tín. "Loss of copyrights" sai vì việc tệp bị chia sẻ không làm tổ chức mất quyền tác giả về mặt pháp lý. "Piracy of the organization’s copyrighted material" là một rủi ro có thật khi tác phẩm của tổ chức bị phát tán trái phép, nhưng nó chỉ là một trường hợp hẹp của rò rỉ dữ liệu, còn rò rỉ bao trùm mọi loại thông tin nhạy cảm nên nghiêm trọng hơn. "DoS attacks" không phải hậu quả điển hình; phần mềm ngang hàng có thể ngốn băng thông nhưng hiếm khi gây từ chối dịch vụ cho tổ chức.

Đáp án đúng: "To identify the root cause of the incident, understand its scope and impact.". Nhóm ứng phó sự cố máy tính (computer incident response team, CIRT) điều tra sau sự cố để tìm nguyên nhân gốc, xác định sự cố đã lan tới đâu và gây thiệt hại gì; kết quả này dùng để loại bỏ triệt để, khôi phục và sửa kiểm soát để sự cố không tái diễn. "To assign blame and identify the individuals responsible" sai vì mục tiêu là cải thiện an toàn chứ không phải đổ lỗi; tập trung vào đổ lỗi khiến mọi người giấu thông tin. "To recover from the incident as quickly as possible without considering potential future threats" bỏ qua bài học rút ra, dễ để sự cố lặp lại. "To implement immediate changes to security controls without a thorough analysis" có thể sửa sai chỗ hoặc gây sự cố mới vì chưa hiểu nguyên nhân.

Đáp án đúng gồm ba ý: "Help the organization well-prepared for incidents", "Identifying roles and responsibilities" và "Cost and time savings". Kế hoạch CIRT (kế hoạch của nhóm ứng phó sự cố máy tính) giảm thiểu rủi ro vì nó chuẩn bị sẵn thủ tục trước khi sự cố xảy ra, phân rõ ai làm gì trong nhóm, và nhờ vậy khi có sự cố tổ chức phản ứng nhanh, tốn ít thời gian và chi phí hơn so với xử lý ứng biến. Cần nói thẳng chỗ tranh cãi: "Better understanding of required skills" cũng là một lợi ích có thật, vì kế hoạch nêu kỹ năng cần cho từng vai trò nên tổ chức biết phải đào tạo hay tuyển ai. Tuy vậy, ba ý được chọn là ba lợi ích trực tiếp nhất của việc lập kế hoạch: chuẩn bị sẵn, phân vai rõ, và tiết kiệm chi phí, thời gian khi sự cố xảy ra; hiểu biết về kỹ năng là hệ quả phụ của việc phân vai nên không được tính là một lợi ích riêng.

Đáp án đúng: "True". Kế hoạch CIRT (Computer Incident Response Team, đội ứng phó sự cố máy tính) ghi rõ ai là thành viên, vai trò và trách nhiệm từng người, cách liên lạc và ai có quyền quyết định; xác định thành viên từ trước là một lợi ích chính vì khi sự cố xảy ra không còn thời gian tìm người, phân việc, và đội có thể phản ứng ngay theo phân công đã thống nhất. Có thể cãi rằng lợi ích lớn nhất của kế hoạch là giảm thiệt hại và rút ngắn thời gian khống chế sự cố, nhưng chính việc xác định thành viên trước là thứ tạo ra lợi ích đó, nên phát biểu vẫn đúng. Chọn "False" là cho rằng việc nêu thành viên chỉ là chi tiết hành chính, bỏ qua giá trị của việc chuẩn bị nhân sự trước, vốn là điều quyết định tốc độ ứng phó.

Đáp án đúng: "Preparation, detection and analysis, containment, eradication and recovery, and postincident recovery". Vòng đời ứng cứu sự cố theo NIST SP 800-61 đi từ chuẩn bị (lập đội, công cụ, quy trình), phát hiện và phân tích để xác nhận sự cố, ngăn chặn để không lan rộng, loại bỏ nguyên nhân và khôi phục hệ thống, rồi hoạt động sau sự cố để rút kinh nghiệm, nên chuỗi này đủ và đúng thứ tự. Chuỗi "Preparation, deletion and analysis" sai vì thay phát hiện bằng xoá, không có bước xoá trước khi phân tích. Chuỗi "Detection and analysis, containment, backup and eradication" bỏ mất bước chuẩn bị và chèn sao lưu vào chỗ của khôi phục. Chuỗi "Preparation, detection, deletion and analysis" lại chèn bước xoá vô nghĩa và gộp ngăn chặn với khôi phục, bỏ mất bước loại bỏ nguyên nhân, nên không phản ánh đúng vòng đời.

Đáp án đúng: "This is a form of inappropriate usage.". Sự cố an toàn máy tính (computer security incident) gồm cả vi phạm chính sách sử dụng; khi chính sách đã cấm rõ phần mềm P2P mà người dùng vẫn cài, đó là sử dụng không phù hợp (inappropriate usage), tức người dùng hợp lệ dùng tài nguyên trái quy định. "This is not a computer security incident." sai vì vi phạm chính sách an toàn đã ban hành cũng là sự cố, nhất là P2P có thể làm lộ dữ liệu và kéo mã độc vào. "This is a form of unauthorized access." không khớp vì người dùng dùng chính máy được cấp, không vượt quyền truy cập hệ thống hay dữ liệu của người khác. "This is a form of malware." sai vì phần mềm P2P là ứng dụng hợp pháp, chỉ bị cấm theo chính sách; nó không tự là mã độc dù có thể trở thành đường lây.

Đáp án đúng: "All of them". Kế hoạch CIRT có thể khác nhau giữa các tổ chức, nhưng thường gồm chung một số nội dung: danh sách thành viên và vai trò, các chính sách quy định khi nào và ai được hành động, quy trình ứng phó sự cố ở mức tổng thể và các thủ tục chi tiết từng bước; thiếu bất kỳ phần nào thì đội ứng phó đều lúng túng. "Members" đúng nhưng chưa đủ, vì đội có người mà không có quy tắc hành động thì không phối hợp được. "Policies" cũng chỉ là một phần, quy định quyền hạn mà không chỉ cách làm. "Incident response process" tả các giai đoạn lớn như chuẩn bị, phát hiện, ngăn chặn, khắc phục, rút kinh nghiệm nhưng cần thủ tục để thực thi. "Incident response procedure" là các bước cụ thể cho từng loại sự cố, lại cần quy trình và con người đi kèm. Vì cả bốn thường cùng có mặt nên đáp án gộp là đúng.

Đáp án đúng: "Containment". Trong vòng đời ứng cứu sự cố, sau khi phát hiện và phân tích xác nhận đúng là có sự cố, bước tiếp theo là ngăn chặn (containment): cô lập máy bị nhiễm, ngắt kết nối mạng, khoá tài khoản bị chiếm để sự cố không lan sang hệ thống khác, rồi mới đến loại bỏ nguyên nhân và khôi phục. "Spread avoidance" mô tả gần đúng mục tiêu nhưng không phải tên một giai đoạn trong quy trình ứng cứu sự cố. "Incident response" là tên của toàn bộ quy trình ứng cứu, bao trùm mọi giai đoạn từ chuẩn bị tới rút kinh nghiệm, không phải riêng bước chặn lây lan. "Impact and priority calculation." là việc đánh giá mức tác động và mức ưu tiên của sự cố, thuộc bước phân tích trước khi ngăn chặn chứ không phải hành động ngăn sự cố lan rộng.

Đáp án đúng: "Unauthorized access incident". Cách phân loại sự cố của NIST chia theo bản chất hành vi; sự cố truy cập trái phép là khi ai đó chiếm được quyền vào hệ thống, mạng hay dữ liệu mà họ không được phép, thường nhờ tấn công phi kỹ thuật như lừa lấy mật khẩu, hoặc tấn công kỹ thuật như khai thác lỗ hổng hay dò mật khẩu. "Malware incident" là sự cố do mã độc như virus, sâu, trojan lây nhiễm, trọng tâm là phần mềm độc hại chứ không phải hành vi đăng nhập trái phép. "DoS attack" là tấn công từ chối dịch vụ, làm hệ thống quá tải để người dùng hợp lệ không truy cập được, không cần chiếm quyền vào. "Inappropriate usage incident" là khi người dùng hợp lệ dùng tài nguyên sai chính sách, chẳng hạn vi phạm AUP, tức họ có quyền truy cập nhưng dùng sai mục đích.