IAP301 - Phần 8: Chính sách đội ứng cứu sự cố

Đáp án đúng: "False". Khi xảy ra sự cố, nhóm phản ứng đầu tiên là computer security incident response team, viết tắt CSIRT (đội ứng cứu sự cố an toàn thông tin), cùng các first responders (người ứng cứu đầu tiên) như bộ phận vận hành hay trung tâm giám sát an ninh: họ phát hiện, khoanh vùng, ngăn chặn và thu thập chứng cứ. Nhóm risk management and metrics (quản trị rủi ro và đo lường) có vai trò khác: đánh giá rủi ro, theo dõi chỉ số, báo cáo xu hướng và đề xuất cải tiến sau khi sự cố đã được xử lý, chứ không trực tiếp lao vào ứng cứu ban đầu. Vì vậy phát biểu rằng nhóm này "thường là nhóm phản ứng đầu tiên" là sai, và phương án "True" không thể chọn: nó nhầm vai trò phân tích, đo lường hậu kỳ với vai trò ứng cứu tức thời của đội phản ứng sự cố.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG thuộc charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, được tổ chức ra sao và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi hằng năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission statement" là nội dung đúng của charter vì nêu sứ mệnh và phạm vi hoạt động của đội. "Organizational structure" cũng thuộc charter vì xác định đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm của từng thành viên khi xử lý sự cố. Ba mục này đều nên có trong charter nên không được chọn.

Đáp án đúng: "By using an incident severity rating". Incident severity rating (thang xếp hạng mức độ nghiêm trọng của sự cố) là tiêu chí định sẵn trong chính sách ứng phó sự cố, dựa trên phạm vi ảnh hưởng, loại dữ liệu liên quan, số người dùng bị ảnh hưởng và tác động tới hoạt động kinh doanh, giúp phân loại sự cố lớn hay nhỏ một cách nhất quán để quyết định mức leo thang và nguồn lực cần huy động. Phương án "By checking the system logs" chỉ là nguồn chứng cứ giúp phát hiện và điều tra; nhật ký không tự cho biết sự cố nghiêm trọng tới đâu. Phương án "By interviewing affected users" thu thập thông tin chủ quan, hữu ích khi điều tra nhưng không phải chuẩn phân loại. Phương án "By reviewing incident reports" diễn ra sau khi sự cố đã được xử lý và ghi lại, trong khi việc xác định lớn hay nhỏ phải làm ngay từ đầu để chọn cách ứng phó.

Đáp án đúng: "As soon as an incident is declared". IRT (incident response team, nhóm ứng phó sự cố) phải ghi chép mọi sự kiện, hành động và bằng chứng ngay từ khi sự cố được tuyên bố, vì nhật ký đầy đủ từ đầu giúp tái dựng diễn biến, giữ chuỗi lưu giữ bằng chứng (chain of custody) và phục vụ bài học kinh nghiệm sau này. "Only after executive approval" sai vì chờ lãnh đạo phê duyệt mới ghi sẽ làm mất thông tin ở giai đoạn đầu, vốn quan trọng nhất; lãnh đạo được báo cáo nhưng không phải điều kiện để bắt đầu ghi chép. "Once containment is complete" sai vì các bước ngăn chặn (containment) chính là hành động cần được ghi lại, bỏ qua chúng thì không đánh giá được phản ứng có đúng không. "After forensic analysis is finalized" sai vì điều tra số cần dựa vào ghi chép từ trước; đợi phân tích xong mới ghi thì bằng chứng khó được chấp nhận.

Đáp án đúng: "Severity". Để quyết định một sự cố là lớn hay nhỏ, đội ứng cứu phân loại sự cố theo severity rating (mức độ nghiêm trọng), xét phạm vi ảnh hưởng, loại dữ liệu bị lộ, số hệ thống và người dùng bị tác động, thiệt hại tài chính, nghĩa vụ pháp lý. Mức nghiêm trọng quyết định ai được báo, cần huy động bao nhiêu nguồn lực và tốc độ phản hồi. "Important" chỉ là tính từ chung chung, không phải tên một thang phân loại sự cố. "Urgent" gần với khái niệm khẩn cấp về thời gian, có thể là một yếu tố khi ưu tiên xử lý nhưng không phải thang xác định lớn hay nhỏ. "Non vital" chỉ mô tả một mức thấp (không thiết yếu) chứ không phải tên phương pháp đánh giá; một thang đánh giá phải bao gồm nhiều mức từ thấp đến cao như severity.

Đáp án đúng: "Recovery". Trong quy trình ứng phó sự cố, sau khi mối đe doạ đã được ngăn chặn (containment) và loại bỏ, tổ chức chuyển sang giai đoạn recovery (khôi phục): đưa hệ thống trở lại hoạt động bình thường, khôi phục dữ liệu từ bản sao lưu, kiểm tra hệ thống sạch rồi theo dõi để chắc sự cố không tái diễn. "Reporting" là việc báo cáo sự cố cho lãnh đạo, cơ quan quản lý hay bên liên quan; nó diễn ra xuyên suốt và khi kết thúc chứ không phải giai đoạn bắt đầu ngay sau ngăn chặn. "Monitoring" là giám sát để phát hiện dấu hiệu bất thường, thuộc về phía phát hiện trước khi có sự cố, dù sau khôi phục cũng có theo dõi thêm. "Escalation" là chuyển sự cố lên cấp xử lý cao hơn khi mức độ nghiêm trọng vượt thẩm quyền, xảy ra ở giai đoạn đánh giá và ứng phó, trước khi mối đe doạ được kiểm soát.

Đáp án đúng: "All of the above". Công cụ điều tra số (forensic tool) giúp nhóm ứng phó sự cố thu thập và bảo toàn bằng chứng số theo cách đáng tin cậy, nên cả ba giá trị đều đúng. "Gathers evidence" đúng vì công cụ trích xuất nhật ký, tệp đã xoá, lịch sử truy cập và dấu vết khác từ hệ thống. "Helps evidence to be accepted by the court" đúng vì công cụ được thừa nhận rộng rãi tạo ra quy trình lặp lại được, có giá trị băm để chứng minh bằng chứng không bị thay đổi, hỗ trợ chuỗi lưu giữ bằng chứng (chain of custody). "Can take a bit image of a machine" đúng vì công cụ có thể tạo bản sao từng bit (bit-stream image) của ổ đĩa, để phân tích trên bản sao mà không đụng vào bản gốc. Mỗi ý chỉ là một mặt giá trị nên phương án gộp mới là câu trả lời đầy đủ.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG nên có trong charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, tổ chức thế nào và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi theo năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission" là nội dung đúng của charter vì xác định sứ mệnh và phạm vi hoạt động của đội. "Organizational. structure" cũng thuộc charter vì cho biết đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm từng thành viên khi xử lý sự cố. Ba mục này đều nên có nên không được chọn.

Đáp án đúng: "A breach is a confirmed event that compromises the confidentiality, integrity, or availability of information.". Breach (vi phạm an ninh) là sự kiện đã được xác nhận làm tổn hại tới thông tin, và tổn hại đó có thể ở bất kỳ thuộc tính nào trong bộ ba CIA: confidentiality (bí mật), integrity (toàn vẹn), availability (sẵn sàng). Ví dụ lộ hồ sơ khách hàng, dữ liệu bị sửa trái phép hay hệ thống bị ransomware khóa đều có thể là breach. Những mô tả chỉ giữ một thuộc tính thì quá hẹp: phương án kết thúc bằng "compromises the confidentiality of information." chỉ gồm việc lộ thông tin; phương án kết thúc bằng "compromises the integrity of information." chỉ gồm việc thông tin bị sửa đổi; phương án kết thúc bằng "compromises the availability of information." chỉ gồm việc thông tin không truy cập được. Mỗi trường hợp đó đúng là một dạng breach nhưng không phải mô tả đầy đủ nhất.

Đáp án đúng: "The chronological documentation that shows how evidence was controlled, transferred, and analyzed". Chain of custody (chuỗi lưu giữ chứng cứ) là hồ sơ ghi theo trình tự thời gian mọi lần chứng cứ được thu giữ, chuyển giao, lưu trữ và phân tích: ai giữ, lúc nào, ở đâu, làm gì. Hồ sơ này chứng minh chứng cứ số như ổ cứng hay bản sao nhật ký không bị thay đổi, nhờ đó có giá trị trước tòa hoặc khi xử lý kỷ luật; thiếu một mắt xích là chứng cứ có thể bị bác bỏ. Phương án "The sequence of management approvals required for budget increases" sai vì đó là quy trình phê duyệt ngân sách, không liên quan tới chứng cứ. Phương án "The order in which employees are notified about an incident" sai vì đó là danh sách thông báo trong kế hoạch ứng phó sự cố. Phương án "A list of potential custodians for company data during a disaster" sai vì chỉ mượn chữ custodian (người giám hộ) nhưng nói về phân công giữ dữ liệu khi thảm họa, không phải theo dõi chứng cứ.

Đáp án đúng: "This is used to assess the severity of the threat.". Triage (phân loại ưu tiên) trong ứng phó sự cố là bước đầu sau khi phát hiện: xem xét sự kiện để xác định mối đe doạ nghiêm trọng tới đâu, ảnh hưởng tài sản nào, từ đó quyết định mức ưu tiên, ai xử lý và có cần leo thang không, giống như phân loại bệnh nhân ở phòng cấp cứu. "This is used to assess the severity of the vulnerability." mô tả việc đánh giá lỗ hổng, thường làm trong quản lý lỗ hổng định kỳ với thang như CVSS, không phải mục đích của triage khi sự cố đang diễn ra. "This is used to assess the severity of the exploit." chỉ nhìn vào kỹ thuật khai thác, một phần của mối đe doạ, chưa đủ để đánh giá tác động tổng thể lên tổ chức. "This is used to assess the severity of the prevention." không có nghĩa trong ứng phó sự cố, vì biện pháp phòng ngừa không phải thứ được đo mức nghiêm trọng.

Đáp án đúng gồm ba ý: "IRT provides on-site response", "IRT acts in a support role" và "IRT acts in a coordination role". Mô hình của incident response team (IRT, đội ứng phó sự cố) được phân theo cách đội tham gia xử lý: ứng cứu tại chỗ khi đội trực tiếp có mặt và xử lý sự cố; vai trò hỗ trợ khi đội hướng dẫn từ xa còn đơn vị bị ảnh hưởng tự thực hiện; vai trò điều phối khi đội kết nối và sắp xếp công việc giữa nhiều nhóm hay nhiều địa điểm, thường ở tổ chức lớn phân tán. "IRT provides in-site response" không phải tên một mô hình, nó chỉ là biến thể sai của ứng cứu tại chỗ. "IRT acts in a expert role" sai vì chuyên môn là năng lực mọi đội đều cần, không phải một cách tổ chức riêng. "IRT acts in a technical role" cũng sai vì kỹ năng kỹ thuật có mặt trong cả ba mô hình chứ không tạo thành mô hình thứ tư.