Điều tra pháp y kỹ thuật số dành cho quản trị viên và đội ngũ bảo mật

Informatec Digital » Recursos » Điều tra pháp y kỹ thuật số dành cho quản trị viên và đội ngũ bảo mật

Phân tích pháp y kỹ thuật số đã trở thành một công cụ quan trọng đối với bất kỳ quản trị viên hệ thống hoặc nhà quản lý an ninh nào khi xử lý các sự cố, vi phạm dữ liệu hoặc điều tra nội bộ. Nó không còn chỉ dành cho các phòng thí nghiệm cảnh sát hoặc các cơ quan an ninh lớn; ngày nay nó ảnh hưởng đến hoạt động hàng ngày của các doanh nghiệp, cơ quan hành chính công và các tổ chức thuộc mọi quy mô.

Trong bài viết này, chúng ta sẽ xem xét một cách toàn diện về bản chất của điều tra pháp y kỹ thuật số, cách nó tích hợp với an ninh mạng, các quy trình và công cụ được sử dụng, những hệ quả pháp lý mà nó mang lại, và vai trò của các nhà quản trị trong toàn bộ hệ sinh thái này. Chúng ta cũng sẽ xem xét các khuôn khổ như NIST, DFIR, Chuỗi xóa dữ liệu mạng (Cyber ​​Deletion Chain), mô hình Diamond và MITRE ATT&CK, cũng như ứng phó sự cố và duy trì hoạt động kinh doanh, để cung cấp cho bạn một sự hiểu biết toàn diện và thực tiễn.

Điều tra pháp y kỹ thuật số là gì và tại sao nó lại quan trọng đến vậy đối với các nhà quản trị?

Pháp y kỹ thuật số (hay pháp y máy tính) là ngành học chuyên về việc xác định, thu thập, bảo quản, phân tích và trình bày bằng chứng kỹ thuật số thu được từ các thiết bị, hệ thống và mạng theo cách thức đáng tin cậy về mặt kỹ thuật và có thể chấp nhận được về mặt pháp lý. Nó không chỉ giới hạn trong các vụ án hình sự: nó còn được sử dụng trong các cuộc điều tra nội bộ, kiện tụng dân sự, kiểm toán và tuân thủ quy định.

Nguồn gốc của nó bắt nguồn từ những năm 1980 với sự phổ biến của máy tính cá nhân , nhưng phải đến những năm 2000 và đầu thế kỷ 21, các quốc gia như Hoa Kỳ mới bắt đầu chuẩn hóa các thủ tục và chính sách, do sự gia tăng của tội phạm mạng và việc phân quyền lực lượng an ninh.

Ngày nay, lĩnh vực này đã phát triển vượt bậc do khối lượng dữ liệu kỹ thuật số khổng lồ mà chúng ta tạo ra trên mọi loại thiết bị: máy tính, điện thoại thông minh, máy tính bảng, hệ thống IoT , xe kết nối, cơ sở hạ tầng đám mây và dịch vụ trực tuyến. Mỗi nguồn này đều có thể chứa thông tin quan trọng để tái tạo lại những gì đã xảy ra trong một sự cố, từ gian lận đến vi phạm dữ liệu quy mô lớn.

Đối với quản trị viên hệ thống hoặc mạng, điều tra pháp y kỹ thuật số là vô cùng quan trọng vì nó cho phép họ hiểu được "cách thức, thời điểm và lý do" của một cuộc tấn công hoặc sự cố , xác định mức độ thiệt hại thực sự, xác định dữ liệu nào đã bị ảnh hưởng và bảo toàn bằng chứng có thể cần thiết trong các thủ tục pháp lý hoặc kỷ luật.

Hồ sơ chuyên gia pháp y kỹ thuật số và vai trò của người quản trị

Chuyên gia pháp y kỹ thuật số, hay chuyên viên pháp y máy tính , là một chuyên gia điều tra các thiết bị, hệ thống và mạng để trích xuất bằng chứng có giá trị chứng minh. Chức năng điển hình của họ bao gồm khôi phục thông tin đã xóa, phân tích siêu dữ liệu, tái tạo dòng thời gian và bảo toàn nghiêm ngặt chuỗi bằng chứng.

Các quản trị viên hệ thống, bảo mật hoặc mạng, dù không nhất thiết phải là chuyên gia, thường là những người đầu tiên phát hiện ra các dấu hiệu xâm phạm và tình cờ tìm thấy bằng chứng tiềm năng: nhật ký sự kiện bất thường, bản ghi lưu lượng truy cập, các tệp đáng ngờ, hệ thống bị xâm nhập, v.v. Do đó, điều cần thiết là họ phải hiểu những kiến ​​thức cơ bản về xử lý bằng chứng và tránh vô tình phá hủy hoặc thay đổi chúng.

Trong nhiều tổ chức, các quản trị viên thường đảm nhiệm nhiều vai trò khác nhau như chuyên viên phân tích pháp y kỹ thuật số, chuyên viên ứng phó sự cố, chuyên gia nội bộ, điều tra viên tội phạm mạng, tư vấn viên về an ninh và tuân thủ, hoặc nhân viên an ninh . Ngoài ra, cũng có thể có những vị trí chuyên về các môi trường cụ thể: mạng lưới, điện toán đám mây, blockchain và tiền điện tử, hoặc các môi trường được quản lý chặt chẽ.

Thị trường việc làm trong lĩnh vực này đang bùng nổ: số lượng việc làm trong lĩnh vực pháp y máy tính và an ninh mạng đang tăng trưởng vượt trội so với mức trung bình , được thúc đẩy bởi sự gia tăng các cuộc tấn công mạng, làm việc từ xa, điện toán đám mây và các yêu cầu về quy định và tuân thủ.

Tầm quan trọng của pháp y kỹ thuật số trong an ninh mạng hiện đại

Từ góc độ an ninh mạng doanh nghiệp, điều tra pháp y kỹ thuật số là trụ cột cơ bản của bất kỳ chiến lược phòng thủ nào , đặc biệt trong môi trường có số lượng lớn thiết bị đầu cuối, làm việc từ xa và sử dụng dịch vụ đám mây rộng rãi. Vai trò của nó không chỉ giới hạn ở việc "xem xét lại" sau một sự cố, mà còn liên tục cung cấp thông tin cho các biện pháp phòng ngừa.

Trong số những đóng góp chính, pháp y kỹ thuật số cho phép bạn xác định nguyên nhân gốc rễ của sự cố , hỗ trợ ngăn chặn và khắc phục các cuộc tấn công, tạo ra thông tin tình báo hữu ích để tăng cường các biện pháp kiểm soát (tường lửa, EDR, MFA, phân đoạn mạng, v.v.) và ghi lại toàn bộ quy trình để phục vụ kiểm toán và tuân thủ quy định.

Lĩnh vực này tích hợp liền mạch với việc ứng phó sự cố an ninh . Đến mức, các giải pháp tiên tiến kết hợp cả hai khái niệm trong cái gọi là DFIR (Điều tra pháp y kỹ thuật số và ứng phó sự cố), một phương pháp kết hợp trong đó các công cụ pháp y nhanh chóng phân tích bằng chứng, xác định hướng tấn công và phạm vi, sau đó tự động hóa hoặc hướng dẫn các hành động ngăn chặn và khắc phục.

Đối với các nhà quản trị, điều này có nghĩa là nhiều nền tảng bảo mật hiện nay đã tích hợp các chức năng DFIR : từ săn lùng mối đe dọa đến phân tích bộ nhớ, đối chiếu với thông tin tình báo về mối đe dọa và tái tạo lại cuộc tấn công bằng cách sử dụng dòng thời gian chi tiết.

Các yếu tố thúc đẩy sự tăng trưởng của thị trường pháp y kỹ thuật số

Thị trường các giải pháp và dịch vụ pháp y kỹ thuật số hiện đã trị giá hàng tỷ đô la và tiếp tục tăng trưởng với tốc độ hai chữ số , với dự báo cho thấy nó sẽ tăng gấp đôi trong thập kỷ tới. Một số yếu tố góp phần vào sự tăng trưởng này.

Thứ nhất, sự gia tăng liên tục các cuộc tấn công mạng và vi phạm dữ liệu , được khuếch đại bởi sự mở rộng của các thiết bị kết nối và IoT, đã nhân lên nhiều cơ hội cho kẻ tấn công và nhu cầu điều tra chi tiết sau các sự cố.

Thứ hai, các yêu cầu pháp lý về bảo vệ dữ liệu và quyền riêng tư buộc các tổ chức phải hiểu rõ những gì đã xảy ra trong một vụ vi phạm, ghi lại bằng chứng và thường phải báo cáo trong thời hạn rất nghiêm ngặt. Pháp y kỹ thuật số là công cụ cho phép các tổ chức chứng minh sự cẩn trọng cần thiết và cung cấp thông tin đáng tin cậy cho các cơ quan chức năng, khách hàng và đối tác.

Thứ ba, các công nghệ như trí tuệ nhân tạo và máy học đang cách mạng hóa cách phân tích khối lượng lớn dữ liệu pháp y, xác định các mẫu bất thường, phân loại bằng chứng theo mức độ liên quan, phát hiện phần mềm độc hại ẩn giấu và tái tạo lại các sự cố nhanh hơn nhiều so với các phương pháp thủ công truyền thống.

Cuối cùng, việc ứng dụng rộng rãi điện toán đám mây , tự động hóa và siêu kết nối đã tạo ra các kịch bản nghiên cứu mới: môi trường lai, container, SaaS, cơ sở hạ tầng đa đám mây, nơi mà pháp y đòi hỏi các kỹ thuật và công cụ chuyên biệt.

Các quy trình và giai đoạn phân tích pháp y kỹ thuật số theo NIST.

Để nghiên cứu được chặt chẽ và kết quả của nó có thể chịu được sự kiểm tra về mặt kỹ thuật và pháp lý, điều cần thiết là phải tuân theo một quy trình phương pháp luận được xác định rõ ràng . Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) đề xuất một mô hình được chấp nhận rộng rãi dựa trên bốn giai đoạn cơ bản.

Bước đầu tiên là thu thập dữ liệu . Điều này bao gồm việc xác định các nguồn thông tin tiềm năng (ổ cứng, thiết bị di động, nhật ký, bộ nhớ, lưu lượng mạng, dịch vụ đám mây), gắn nhãn và ghi chép lại chúng, và thu được các bản sao pháp y theo các quy trình nghiêm ngặt để tránh làm thay đổi nội dung hoặc siêu dữ liệu của nó. Ưu tiên hàng đầu là thu thập dữ liệu dễ thay đổi nhất trước, chẳng hạn như RAM, và sau đó là dữ liệu ít thay đổi hơn, chẳng hạn như ổ cứng hoặc bản sao lưu.

Giai đoạn thứ hai là kiểm tra , trong đó các bản sao thu được sẽ được xử lý bằng sự kết hợp giữa các kỹ thuật thủ công và tự động. Các quy trình như giải nén, giải mã, lọc thông tin không liên quan và trích xuất các bằng chứng cụ thể (lịch sử duyệt web, nhật ký, tệp tạm thời, nhật ký hệ thống, v.v.) có thể được áp dụng. Mục tiêu là chắt lọc khối lượng dữ liệu khổng lồ thành một tập hợp bằng chứng có thể hữu ích và dễ quản lý.

Giai đoạn thứ ba là phân tích , trong đó kết quả điều tra được diễn giải, trình tự thời gian được tái tạo, các dữ kiện từ nhiều nguồn được đối chiếu và các câu hỏi thúc đẩy cuộc điều tra được trả lời: điều gì đã xảy ra, khi nào, như thế nào, từ đâu, bằng những công cụ nào và tác động của nó đến tính bảo mật, tính toàn vẹn và tính khả dụng là gì.

Giai đoạn thứ tư và cũng là giai đoạn cuối cùng là báo cáo . Báo cáo bao gồm việc ghi lại toàn bộ quy trình đã thực hiện, mô tả rõ ràng và khách quan các phát hiện, biện minh cho các công cụ và phương pháp đã sử dụng, chỉ ra những hạn chế gặp phải và đề xuất, nếu phù hợp, các hành động bổ sung (các nguồn dữ liệu mới cần kiểm tra, cải tiến kiểm soát, thay đổi cấu hình, v.v.).

Các loại bằng chứng kỹ thuật số và chuỗi bằng chứng bảo quản

Trong bối cảnh pháp lý, bằng chứng có thể được phân loại là trực tiếp hoặc gián tiếp , và cũng theo các khái niệm như bằng chứng tốt nhất, bằng chứng xác nhận hoặc bằng chứng gián tiếp. Trong lĩnh vực kỹ thuật số, chúng ta đang nói về các tập tin, nhật ký mạng, nội dung bộ nhớ, nhật ký ứng dụng, dấu vết người dùng và nhiều hơn nữa.

Bằng chứng tốt nhất thường là bằng chứng được bảo quản ở trạng thái ban đầu, chẳng hạn như thiết bị vật lý bị thu giữ hoặc hình ảnh từng bit còn nguyên vẹn, trong khi bằng chứng bổ trợ hỗ trợ hoặc củng cố các giả thuyết được rút ra từ bằng chứng tốt nhất đó. Bằng chứng gián tiếp hoặc bằng chứng tình huống là bằng chứng, khi kết hợp với các dữ kiện khác, giúp xây dựng một lời giải thích hợp lý về những gì đã xảy ra.

Để bằng chứng này được chấp nhận và đáng tin cậy, điều cần thiết là phải duy trì một chuỗi giám sát bằng chứng nghiêm ngặt ; nghĩa là, phải có hồ sơ chi tiết về người thu thập từng bằng chứng, thời gian, cách thức, nơi lưu trữ, quyền truy cập và các thao tác đã được thực hiện trên đó. Bất kỳ sơ hở hoặc sự thao túng không chính đáng nào cũng có thể làm sụp đổ hoàn toàn vụ án.

Hơn nữa, việc bảo toàn tính toàn vẹn và xác thực của dữ liệu là vô cùng quan trọng . Thông lệ tiêu chuẩn là luôn làm việc với các bản sao pháp y, không bao giờ sử dụng bản gốc, và sử dụng các hàm băm mật mã (như SHA-256) để định kỳ xác minh rằng các bản sao không bị thay đổi. Trong trường hợp bộ nhớ khả biến, các công cụ chuyên dụng được sử dụng để thu thập dữ liệu trước khi máy tắt, nếu không thông tin đó sẽ bị mất.

Thứ tự thu thập bằng chứng và tính biến động của dữ liệu

Trong RFC 3227, IETF khuyến nghị thứ tự thu thập bằng chứng dựa trên tính dễ thay đổi của chúng . Dữ liệu dễ thay đổi nhất, chẳng hạn như nội dung RAM, các tiến trình đang chạy, kết nối mạng đang hoạt động hoặc bộ nhớ đệm, nên được thu thập trước tiên vì chúng có thể biến mất ngay khi hệ thống tắt hoặc khởi động lại.

Tiếp theo, cần thu thập các dữ liệu ít thay đổi hơn , chẳng hạn như các tập tin tạm thời, nhật ký hệ thống, nội dung ổ đĩa, cấu hình thiết bị, và cuối cùng là thông tin được lưu trữ trên phương tiện lưu trữ lâu dài hoặc bản sao lưu. Trong suốt toàn bộ quá trình, việc ghi chép cẩn thận thông tin về hệ thống nguồn là bắt buộc: phần cứng, phần mềm, phiên bản, người dùng có quyền truy cập, cấu hình liên quan, v.v.

Chuyên viên phân tích hoặc quản trị viên đóng vai trò người phản ứng đầu tiên phải tránh những hành động bốc đồng như tắt máy, định dạng lại ổ cứng, cài đặt lại hoặc "làm sạch" hệ thống. Bất kỳ hành động nào như vậy đều có thể phá hủy bằng chứng không thể thay thế và cản trở cả quá trình điều tra lẫn việc bào chữa của tổ chức trước các cơ quan chức năng hoặc tòa án.

Các công cụ chính cho phân tích pháp y kỹ thuật số

Công tác điều tra pháp y hiện đại dựa trên một bộ công cụ chuyên dụng cho phép kiểm tra có hệ thống và đáng tin cậy các loại bằng chứng khác nhau . Trong số những công cụ được sử dụng rộng rãi nhất là một số bộ phần mềm và tiện ích mã nguồn mở và thương mại.

Ví dụ, Autopsy là một nền tảng đồ họa dựa trên The Sleuth Kit , hỗ trợ phân tích hệ thống tập tin, khôi phục dữ liệu đã xóa, kiểm tra siêu dữ liệu, phân tích hoạt động web và xử lý khối lượng dữ liệu lớn. Nó rất phổ biến trong các cuộc điều tra máy tính người dùng và phương tiện lưu trữ.

Wireshark là công cụ hàng đầu trong lĩnh vực điều tra mạng , có khả năng thu thập và giải mã các gói dữ liệu trong thời gian thực hoặc từ các tệp pcap. Nó cho phép xác định các liên lạc đáng ngờ, lưu lượng truy cập đến các miền điều khiển và kiểm soát, các mẫu rò rỉ dữ liệu và các nỗ lực khai thác lỗ hổng, điều này rất cần thiết để tái tạo lại vectơ tấn công.

Volatility tập trung vào phân tích bộ nhớ RAM . Bằng cách sử dụng các bản sao bộ nhớ, nó có thể tiết lộ các tiến trình đang hoạt động, các kết nối đang mở, các mô-đun đã được tải, các dấu vết phần mềm độc hại không để lại dấu vết trên ổ đĩa và nhiều yếu tố khác thường bị bỏ sót bởi các công cụ truyền thống. Điều này rất quan trọng trong việc điều tra các phần mềm độc hại tiên tiến hoặc các cuộc tấn công chỉ hoạt động trong bộ nhớ.

FTK Imager chủ yếu được sử dụng để tạo ảnh sao lưu chính xác của các thiết bị lưu trữ , xác minh tính toàn vẹn của chúng bằng cách sử dụng hàm băm và khôi phục dữ liệu đã bị xóa hoặc bị hỏng. Đây là một công cụ rất phổ biến trong giai đoạn thu thập bằng chứng, cả trong môi trường kinh doanh và trong các cuộc điều tra pháp lý.

Cuối cùng, Khung Pháp y Kỹ thuật số (DFF) cung cấp một nền tảng mở rộng để thu thập và phân tích dữ liệu kỹ thuật số , với giao diện đồ họa và khả năng xử lý lượng lớn thông tin và các trường hợp phức tạp. Là mã nguồn mở, nó cho phép tùy chỉnh theo nhu cầu cụ thể của từng tổ chức hoặc trường hợp.

Mối quan hệ giữa pháp y kỹ thuật số, trí tuệ nhân tạo và xác thực đa yếu tố (MFA).

Mối quan hệ giữa pháp y kỹ thuật số và an ninh mạng là hai chiều: trong khi an ninh tập trung vào việc ngăn chặn và phát hiện các cuộc tấn công , pháp y lại điều tra những gì đã xảy ra để cải thiện các biện pháp phòng thủ đó. Sự phối hợp này đang được tăng cường nhờ sự xuất hiện của trí tuệ nhân tạo (AI) và các kỹ thuật xác thực tiên tiến.

Các thuật toán trí tuệ nhân tạo được ứng dụng trong lĩnh vực pháp y giúp phân tích khối lượng lớn hồ sơ, tập tin và lưu lượng truy cập , xác định các mẫu bất thường, phân loại bằng chứng theo mức độ liên quan, phát hiện phần mềm độc hại liên tục biến đổi hoặc thậm chí suy luận chuỗi sự kiện từ các tín hiệu rời rạc.

Kết hợp với các hệ thống như xác thực đa yếu tố (MFA) và xác thực sinh trắc học , phân tích pháp y có thể phát hiện các nỗ lực đánh cắp danh tính, truy cập đáng ngờ với yếu tố xác thực thứ hai bị xâm phạm, cấu hình sai trong hệ thống truy cập hoặc thiếu sót trong quản lý danh tính.

Hơn nữa, thông tin thu được từ các cuộc điều tra pháp y được dùng để cung cấp dữ liệu cho các nền tảng và khung phân tích tình báo mối đe dọa như IDS/IPS, SIEM hoặc XDR, từ đó sử dụng trí tuệ nhân tạo và máy học để tăng cường khả năng phòng thủ và tự động hóa một phần quy trình ứng phó sự cố.

Ý nghĩa pháp lý, tuân thủ và quyền riêng tư

Khi xảy ra vi phạm dữ liệu hoặc sự cố nghiêm trọng, pháp y kỹ thuật số đóng vai trò then chốt trong việc thực hiện các nghĩa vụ pháp lý và quy định . Chức năng chính của nó là bảo toàn bằng chứng một cách đáng tin cậy bằng cách tạo ra các bản ghi và nhật ký không thể bị giả mạo, phản ánh chính xác những gì đã xảy ra.

Thứ hai, nó giúp các tổ chức tuân thủ các nghĩa vụ báo cáo do các quy định về bảo vệ dữ liệu và an ninh mạng đặt ra: thời hạn thông báo vi phạm, xác định các loại dữ liệu bị ảnh hưởng, số lượng người bị ảnh hưởng ước tính, nguyên nhân có thể xảy ra của sự cố và các biện pháp khắc phục đã thực hiện.

Thứ ba, điều tra pháp y kỹ thuật số phải nghiêm túc tôn trọng quyền riêng tư của nhân viên và khách hàng . Việc truy cập dữ liệu của người dùng trong khuôn khổ điều tra phải được pháp luật cho phép, tương xứng và được ghi chép đầy đủ. Các quy định như GDPR của châu Âu hoặc CCPA ở California đặt ra những giới hạn rất rõ ràng mà các công ty phải tuân thủ.

Đối với người quản trị, thực tế này có nghĩa là họ không chỉ phải suy nghĩ về mặt kỹ thuật, mà còn phải suy nghĩ về mặt tuân thủ và quản trị : lưu trữ nhật ký, chính sách giám sát, quản lý sự đồng ý, quy trình truy cập dữ liệu cá nhân trong quá trình điều tra, v.v.

Xử lý bằng chứng, quy trình pháp y và xác định thủ phạm vụ tấn công

Trong nhiều trường hợp, các chuyên gia phân tích an ninh mạng cấp cao là những người đầu tiên phát hiện hành vi bất thường và tìm ra bằng chứng ban đầu về hoạt động tội phạm hoặc hành vi sai trái. Việc biết cách xử lý những bằng chứng này rất quan trọng để bảo vệ tổ chức và ngăn ngừa thiệt hại đến giá trị chứng cứ của chúng.

Theo hướng dẫn của NIST, quy trình pháp y được cấu trúc thành bốn bước chính: thu thập, kiểm tra, phân tích và báo cáo , như đã mô tả ở trên. Mỗi giai đoạn phải được ghi chép lại trong các quy trình nội bộ, và các quy trình này phải tuân thủ các yêu cầu pháp lý hoặc tiêu chuẩn của tổ chức.

Sau quá trình điều tra là bước xác định thủ phạm của vụ tấn công , tức là cố gắng xác định kẻ chịu trách nhiệm: một nhân viên bất mãn, một nhóm tội phạm, một băng đảng có tổ chức, một quốc gia, hay bất kỳ loại đối thủ nào khác. Việc xác định thủ phạm này hiếm khi dựa trên bằng chứng trực tiếp; thay vào đó, nó dựa vào sự tương quan giữa các chiến thuật, kỹ thuật và quy trình (TTP), mô hình cơ sở hạ tầng, phong cách lập trình, hoặc các dấu vết đã biết từ các chiến dịch khác.

Các nguồn và khung phân tích tình báo về mối đe dọa như MITRE ATT&CK giúp đối chiếu các phát hiện của một sự cố với các chiến dịch trước đó của các tác nhân đã biết, cho phép đưa ra các kết luận hợp lý về kẻ đứng sau cuộc tấn công và mục tiêu mà nó theo đuổi, luôn luôn phải hết sức cẩn trọng để không biến suy đoán thành sự thật.

Chuỗi tấn công mạng: Phá vỡ cuộc tấn công theo từng giai đoạn

Chuỗi tấn công mạng (Cyber ​​Kill Chain), được phát triển bởi Lockheed Martin, mô tả bảy bước điển hình mà kẻ tấn công thực hiện để hoàn thành một cuộc xâm nhập thành công . Hiểu rõ các bước này cho phép các quản trị viên và nhà phân tích phát hiện và ngăn chặn cuộc tấn công càng sớm càng tốt, giảm thiểu tác động của nó.

Các bước này bao gồm từ giai đoạn trinh sát ban đầu (thu thập thông tin công khai, quét mạng, xác định dấu vết của tổ chức) đến việc vũ khí hóa và phân phối phần mềm độc hại (chuẩn bị phần mềm độc hại hoặc mã khai thác và gửi chúng qua các trang web bị xâm nhập, thiết bị USB, v.v.), thông qua việc khai thác, cài đặt cửa hậu, thiết lập trung tâm điều khiển (C2) và các hành động cuối cùng trên mục tiêu (đánh cắp dữ liệu, mã hóa hệ thống, sử dụng mạng cho các cuộc tấn công khác, v.v.).

Về mặt phòng thủ, ý tưởng là phá vỡ chuỗi tấn công ở bất kỳ mắt xích nào trong số này . Phát hiện và ngăn chặn cuộc tấn công càng sớm thì thiệt hại càng ít. Ví dụ, chính sách lọc email hiệu quả và các chiến dịch nâng cao nhận thức người dùng có thể vô hiệu hóa giai đoạn gửi thư, trong khi phân đoạn phù hợp và kiểm soát đặc quyền nghiêm ngặt có thể ngăn chặn sự lây lan ngang và các hành động có chủ đích.

Phân tích pháp y, bằng cách tái hiện lại từng bước hành động của kẻ tấn công, cho phép tinh chỉnh các biện pháp kiểm soát an ninh để phá vỡ các chuỗi tấn công trong tương lai ở giai đoạn sớm hơn , từ đó củng cố khả năng phòng thủ tổng thể của tổ chức.

Mô hình kim cương trong phân tích xâm nhập

Mô hình Kim cương đưa ra một cách khác để hiểu các sự cố, định nghĩa chúng là sự tương tác giữa bốn yếu tố chính: kẻ thù, năng lực, cơ sở hạ tầng và nạn nhân . Một sự kiện xâm nhập được mô tả là tình huống trong đó kẻ thù sử dụng một năng lực, được hỗ trợ bởi cơ sở hạ tầng, để tấn công nạn nhân.

Ngoài ra, mô hình còn giới thiệu các đặc điểm meta như dấu thời gian (khi nào sự việc xảy ra), giai đoạn (ở điểm nào trong chu kỳ tấn công), kết quả (tác động đến tính bảo mật, tính toàn vẹn và tính khả dụng), hướng của sự kiện, phương pháp (ví dụ: lừa đảo, quét cổng, tấn công DDoS) và các tài nguyên được sử dụng.

Từ góc độ quản trị viên, mô hình này cho phép hình dung cách nhiều sự kiện được liên kết trong một chiến dịch phức tạp , cách cuộc tấn công tiến triển từ nạn nhân bị xâm nhập ban đầu đến những người khác trong tổ chức, và cách cùng một cơ sở hạ tầng chỉ huy và kiểm soát có thể được sử dụng để nhắm mục tiêu vào các mục tiêu khác nhau.

Bằng cách đối chiếu các sự kiện này với Chuỗi Tấn công Mạng (Cyber ​​Kill Chain), ta có được cái nhìn toàn diện về hoạt động của kẻ thù, đồng thời xác định được những cơ hội cụ thể để cải thiện khả năng phát hiện, phản hồi và khả năng phục hồi.

Quy trình ứng phó sự cố và vòng đời sự cố theo NIST

Ứng phó sự cố bao gồm các phương pháp, chính sách và quy trình mà một tổ chức sử dụng để chuẩn bị, phát hiện, ngăn chặn, loại bỏ và phục hồi sau một sự cố an ninh. Tiêu chuẩn NIST 800-61 định nghĩa một vòng đời bốn giai đoạn.

Đầu tiên là giai đoạn chuẩn bị , trong đó năng lực ứng phó được thiết lập (CSIRT hoặc CSIRC), các chính sách và kế hoạch được xây dựng, các quy trình được xác định, vai trò được phân công và nhóm được cung cấp các công cụ, quyền truy cập vào nhật ký, ảnh hệ thống sạch, tài liệu về các tài sản quan trọng, sơ đồ mạng và nói chung là tất cả các nguồn lực cần thiết.

Giai đoạn thứ hai là phát hiện và phân tích . Tại đây, cơ sở hạ tầng được giám sát liên tục bằng cách sử dụng nhật ký , công cụ EDR, IDS/IPS, SIEM, cảnh báo người dùng, v.v., các sự cố tiềm ẩn được xác định, các cảnh báo sai được phân biệt với các vấn đề thực sự, phạm vi và tác động của chúng được xác định, và các bên liên quan nội bộ và bên ngoài được thông báo.

Giai đoạn thứ ba kết hợp giữa khoanh vùng, diệt trừ và phục hồi . Chiến lược khoanh vùng tốt nhất được lựa chọn dựa trên loại sự cố (cô lập thiết bị, phân đoạn mạng, chặn tên miền, thu hồi thông tin đăng nhập, v.v.), phần mềm độc hại hoặc nguyên nhân gốc rễ được diệt trừ (áp dụng bản vá, xóa tài khoản bị xâm phạm, dọn dẹp cấu hình) và các dịch vụ và dữ liệu được khôi phục từ bản sao lưu hoặc thông qua quá trình tái cấu trúc có kiểm soát.

Giai đoạn thứ tư bao gồm các hoạt động sau sự cố : xem xét chi tiết mọi thứ đã xảy ra, lập tài liệu toàn diện, phân tích bài học kinh nghiệm, xác định những cải tiến cần thiết trong chính sách, công cụ, kiến ​​trúc, đào tạo và quy trình, cũng như xem xét thời gian phản hồi và hiệu quả của CSIRT.

Yêu cầu về lưu trữ và báo cáo dữ liệu sự cố

Sau khi hoàn tất quá trình xử lý sự cố kỹ thuật, bước tiếp theo là quản lý dữ liệu và bằng chứng thu được một cách hiệu quả . Điều này không có nghĩa là lưu giữ mọi thứ mãi mãi, mà là bảo quản những gì hữu ích cho mục đích pháp lý, quy định, kiểm toán và cải thiện an ninh.

Thời gian lưu giữ phụ thuộc vào các yếu tố như khả năng xảy ra kiện tụng (trong trường hợp đó, bằng chứng có thể phải được lưu giữ trong nhiều năm), loại dữ liệu (ví dụ: email, hồ sơ, bản sao pháp y), quy tắc nội bộ của tổ chức và các nghĩa vụ được quy định bởi các luật hoặc quy định cụ thể.

Hơn nữa, các tổ chức có thể hưởng lợi từ việc chia sẻ thông tin sự cố với các cộng đồng chuyên ngành, cơ sở dữ liệu ngành hoặc các khuôn khổ chia sẻ như VERIS, luôn tôn trọng tính bảo mật và các yêu cầu pháp lý. Điều này giúp cải thiện thông tin tình báo về mối đe dọa toàn cầu và cho phép các tổ chức học hỏi kinh nghiệm từ những người khác.

Song song đó, nhóm pháp lý phải xem xét các yêu cầu báo cáo và truyền thông nào áp dụng cho sự cố: thông báo cho các cơ quan bảo vệ dữ liệu, cơ quan quản lý ngành, khách hàng bị ảnh hưởng, nhà cung cấp chính, công ty bảo hiểm an ninh mạng, v.v., và phối hợp thông điệp theo cách nhất quán với các phát hiện của cuộc điều tra pháp y.

Phục hồi sau thảm họa và duy trì hoạt động kinh doanh

Ngoài các sự cố an ninh mạng "thuần túy", các tổ chức cần phải xem xét các thảm họa ảnh hưởng nghiêm trọng đến hoạt động của họ , cho dù đó là thảm họa tự nhiên (lũ lụt, hỏa hoạn, động đất) hay do con người gây ra (phá hoại, sự cố quy mô lớn, các cuộc tấn công tàn phá).

Kế hoạch phục hồi sau thảm họa (DRP) xác định cách thức đánh giá, cứu hộ, sửa chữa và khôi phục các cơ sở và tài sản bị ảnh hưởng trong và sau thảm họa. Kế hoạch này bao gồm danh mục các hệ thống quan trọng, các ưu tiên phục hồi, quy trình vận hành, các bên chịu trách nhiệm, nhà cung cấp chính và cơ chế liên lạc.

Các biện pháp kiểm soát phục hồi được chia thành kiểm soát phòng ngừa, kiểm soát phát hiện và kiểm soát khắc phục . Biện pháp đầu tiên nhằm ngăn chặn thảm họa xảy ra hoặc giảm xác suất xảy ra; biện pháp thứ hai cho phép phát hiện các tình huống bất thường hoặc rủi ro gia tăng; và biện pháp thứ ba được kích hoạt sau sự kiện để khôi phục hoạt động bình thường.

Kế hoạch duy trì hoạt động kinh doanh (BCP) tiến thêm một bước so với Kế hoạch phục hồi sau thảm họa (DRP), vạch ra cách thức duy trì hoạt động của các chức năng quan trọng của tổ chức ngay cả khi văn phòng chính hoặc các hệ thống thông thường không hoạt động. Điều này có thể bao gồm việc chuyển hoạt động đến một địa điểm khác, sử dụng cơ sở hạ tầng thay thế, dựa vào các nhà cung cấp bên ngoài hoặc triển khai các phương án làm việc từ xa kéo dài.

Tất cả những điều này được hỗ trợ bởi phân tích tác động kinh doanh (BIA) , giúp xác định các quy trình thiết yếu, sự phụ thuộc của hệ thống, thời gian ngừng hoạt động tối đa có thể chấp nhận được, tổn thất có thể chấp nhận được và các nguồn lực cần thiết để duy trì hoặc khôi phục dịch vụ ở mức độ chấp nhận được.

Đối với người quản trị hoặc quản lý kỹ thuật, tầm nhìn rộng này có nghĩa là an ninh và điều tra pháp y kỹ thuật số không kết thúc khi một sự cố được giải quyết : chúng là một phần của chu trình chuẩn bị, ứng phó và cải tiến liên tục, cần thiết phải được tích hợp với hoạt động kinh doanh liên tục và quản lý rủi ro tổng thể của tổ chức.

Bối cảnh hiện tại đòi hỏi các nhà quản trị và đội ngũ an ninh phải kết hợp kiến ​​thức chuyên sâu về kỹ thuật điều tra tội phạm mạng, hiểu biết về các khuôn khổ như NIST, DFIR, MITRE ATT&CK, Chuỗi Phá hủy Mạng (Cyber ​​Destruction Chain) và Mô hình Kim cương (Diamond Model), với sự nhạy bén đối với các vấn đề pháp lý, quyền riêng tư và tính liên tục kinh doanh . Chỉ bằng cách này, họ mới có thể điều tra các sự cố một cách nghiêm túc, bảo vệ vụ kiện trước tòa nếu cần thiết, tăng cường hiệu quả tư thế an ninh và đảm bảo tổ chức có thể tiếp tục hoạt động ngay cả trong các tình huống nguy cấp.