Bài học sau những sự cố mất an toàn thông tin

Theo thống kê của Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam, năm 2016 Trung tâm này đã ghi nhận tổng số 134.375 sự cố tấn công mạng của cả 3 loại hình Phishing (lừa đảo), Malware (mã độc) và Deface (thay đổi giao diện). So với năm 2015, số lượng vụ tấn công mạng năm 2016 nhiều gấp hơn 4,2 lần (năm 2015 là 31.585), trong đó, loại hình tấn công Phishing là 10.057 sự cố (gấp hơn 1,7 lần so với năm 2015), Malware là 46.664 sự cố (gấp gần 2,8 lần năm 2015) và Deface là 77.654 sự cố (gấp hơn 8,7 lần năm 2015).

Đặc biệt, chiều 29/7/2016, hàng loạt màn hình hiển thị thông tin chuyến bay cùng hệ thống phát thanh của sân bay Nội Bài, Tân Sơn Nhất bất ngờ bị tấn công, trên các màn hình hiển thị nội dung kích động, xuyên tạc về Biển Đông. Hệ thống phát thanh của sân bay cũng phát đi những thông điệp tương tự. Cùng thời điểm, trên website của hãng hàng không quốc gia Việt Nam (vietnamairlines.com) cũng bị thay đổi nội dung, đồng thời đăng tải thông tin của hơn 400.000 thành viên Golden Lotus. Vụ tấn công sau đó được Vietnamairlines và các cơ quan chức năng trong lĩnh vực ATTT phối hợp xử lý tốt. Nhưng đây là vụ tấn công mạng nghiêm trọng vào hệ thống hạ tầng CNTT quan trọng của quốc gia và để lại nhiều hệ lụy xấu.

Mã độc được sử dụng để tấn công hệ thống Vietnam Airlines sau khi xâm nhập vào máy tính sẽ ẩn mình dưới vỏ bọc là phần mềm diệt virus. Nhờ đó, nó có thể nằm yên trong thời gian dài mà không bị phát hiện. Kết quả phân tích cho thấy mã độc được dùng để tấn công hệ thống thông tin của Vietnam Airlines cũng xuất hiện tại nhiều cơ quan, doanh nghiệp khác.

Mã độc có chức năng thu thập tài khoản mật khẩu, nhận lệnh cho phép hacker kiểm soát, điều khiển máy tính nạn nhân từ xa, thực hiện các hành vi phá hoại như xóa dấu vết, thay đổi âm thanh, hiển thị hình ảnh, mã hóa dữ liệu… Ngoài ra, nó còn có thành phần chuyên để thao tác, xử lý với cơ sở dữ liệu SQL.

Phó chủ tịch phụ trách an ninh mạng của Bkav Ngô Tuấn Anh cho biết: Hacker đã xâm nhập được sâu vào hệ thống. Khả năng lớn là máy quản trị viên đã bị kiểm soát, theo dõi bởi phần mềm gián điệp (spyware). Đây là cách thức tấn công không mới, thông thường các phần mềm gián điệp này lợi dụng lỗ hổng an ninh trong file văn bản (Word, Excel, Power Point) để phát tán. Các phần mềm gián điệp này không phải là những vi rút lây nhiễm một cách ngẫu nhiên vào hệ thống mà được phát tán một cách có chủ đích.

Những năm qua, Bkav đã nhiều lần cảnh báo về phần mềm gián điệp tại Việt Nam. Đơn cử như, trong năm 2013, Bkav đã cảnh báo và phân tích 2 lỗ hổng MS13-051 và MS12-027 trên phần mềm Microsoft Word là 2 “vũ khí” được tin tặc sử dụng trong chiến dịch phần mềm gián điệp hoành hành tại Việt Nam. Lỗ hổng MS13-051 tồn tại trong cơ chế xử lý ảnh PNG của Microsoft Office 2003 đã bị hacker âm thầm khai thác từ năm 2009, và trong suốt 4 năm 2009 - 2013, nhiều người dùng tại Việt Nam có thể đã trở thành nạn nhân của tội phạm mạng mà không hề hay biết. Số vụ tấn công mạng ngày càng tăng cả về quy mô và mức độ nghiêm trọng, gây nhiều thiệt hại. Theo thống kê của Bkav, tại Việt Nam, trung bình mỗi tháng lại có hơn 300 website của các doanh nghiệp, tổ chức trong nước bị tấn công. 40% website của VN có thể bị tin tặc tấn công bất cứ lúc nào với những lỗ hổng, sự lơ là, chủ quan của không ít cá nhân, doanh nghiệp.

Kết quả này cho thấy các doanh nghiệp Việt Nam, đặc biệt là các doanh nghiệp không chuyên về CNTT còn lơ là, chưa đầu tư tập trung và nghiêm túc cho việc đảm bảo an ninh an toàn thông tin.

Đại diện Cục An toàn thông tin dự báo, tấn công có chủ đích vào những hệ thống thông tin quan trọng sẽ tiếp tục là vấn đề “nóng” trong năm 2017, đặc biệt là một số hệ thống liên quan tới hạ tầng giao thông, tài chính ngân hàng và một số hệ thống điều khiển.
Để đảm bảo an toàn, các doanh nghiệp, đặc biệt là các doanh nghiệp phi CNTT, cần thực hiện những biện pháp rà soát bảo vệ trước những cuộc tấn công có thể xảy ra. Bên cạnh việc trang bị thiết bị an toàn, an ninh tốt, thì cũng cần nâng cao chất lượng nguồn nhân lực CNTT. Các doanh nghiệp cũng cần áp dụng quy trình kiểm tra hệ thống thường xuyên, trang bị giải pháp cảnh báo về những mối nguy tiềm ẩn nhằm đảm bảo cho hoạt động thông suốt của hệ thống. Đặc biệt, trong một dự án IT, cần đầu tư ít nhất từ 5 đến 10% cho an ninh mạng, nếu không hệ quả tất yếu là hệ thống bị xâm nhập, bị đánh cắp dữ liệu. Việc khắc phục rất tốn kém và mất nhiều thời gian.

Qua bài học sự cố tại Vietnam Airlines và cụm cảng hàng không, các hệ thống thông tin tương tự Vietnam Airlines như hệ thống đảm bảo hạ tầng điện nước; hệ thống quản lý nhà nước có ứng dụng CNTT như hải quan, thuế, tài chính ngân hàng, dịch vụ công điện tử; giao thông vận tải và cấp thoát nước; các hệ thống viễn thông, … cần được rà soát qua nhằm tăng cường khả năng phát hiện sớm mã độc đang âm thầm hoạt động thông qua các hành vi bất thường.

Bên cạnh sự chuẩn bị tốt về nhân lực, trang thiết bị thì việc điều phối ứng phó an ninh mạng cũng là điều cực kỳ quan trọng. Chúng ta có con người, có thiết bị an ninh mạng nhưng trong trường hợp xảy ra sự cố mà không huy động các nguồn lực đó và không có kịch bản để ứng phó thì toàn bộ hệ thống về con người, thiết bị đó đều không có giá trị. Cần thường xuyên tổ chức diễn tập với kịch bản cụ thể về phương án ứng cứu sự cố an ninh mạng, giống như các cuộc diễn tập về cứu hỏa, phòng cháy chữa cháy định kỳ thường niên.

Ngoài ra các tổ chức, doanh nghiệp – đặc biệt là các tổ chức có hệ thống mạng lớn, trải dài ở mức quốc gia – cần đưa việc giám sát an toàn thông tin lên ưu tiên hàng đầu bởi các cuộc tấn công chưa có dấu hiệu dừng lại, chưa xác định hết quy mô mà tin tặc muốn xâm nhập và phá hoại.

Cụ thể tổ chức, doanh nghiệp cần thực hiện các bước sau:

• Cần có nhân viên/bộ phận chuyên trách hoặc thuê ngoài dịch vụ giám sát an ninh thông tin cho tổ chức. Các sự kiện hệ thống cần được lưu trữ tập trung ra một hệ thống độc lập nhằm thuận tiện cho việc theo dõi, đồng thời lưu trữ thông tin cần thiết hỗ trợ cho việc truy vết sự cố, hạn chế việc tin tặc xâm nhập hệ thống sau đó cố tình xóa dấu vết.
• Thực hiện sao lưu các dữ liệu hệ thống đầy đủ, định kỳ và bản lưu trữ phải ở vị trí an toàn về mặt vật lý nhằm đảm bảo khả năng phục hồi dữ liệu trong tình huống xấu nhất khi hệ thống dữ liệu chính bị phá hủy hoàn toàn.
• Đối với các hệ thống quan trọng cần thay đổi thường kỳ mật khẩu đăng nhập của các tài khoản đặc quyền – các tài khoản hệ thống có quyền hạn cao. Tránh sử dụng chung các định danh truy cập hệ thống.
• Về lâu dài, cần có qui trình định kỳ thường xuyên rà soát các rủi ro có khả năng gây mất ANTT trên hệ thống và có phương án xử lý kịp thời. Thường xuyên tiến hành các diễn tập, đào tạo ANTT để nâng cao tính sẵn sàng và tinh nhuệ của đội ngũ quản trị hệ thống CNTT. Đầu tư các phương án tăng cường, gia cố về ANTT.

Trong trường hợp phát hiện hệ thống CNTT có dấu hiệu bị tấn công thì cần thực hiện một số bước cơ bản như sau:

• Ghi nhận và cung cấp các hiện tượng, dấu hiệu ban đầu cho đơn vị chuyên trách xử lý sự cố an ninh thông tin. Ví dụ: chụp màn hình thể hiện hệ thống bị nhiễm mã độc, thu thập log và gửi cho đội ngũ chuyên gia.
• Nhanh chóng cách ly hệ thống có dấu hiệu bị tấn công, đồng thời giữ nguyên hiện trường hệ thống đang bị nhiễm, tạm thời sử dụng hệ thống máy chủ dự phòng cho các hệ thống chính.
• Tiến hành thay đổi mật khẩu toàn hệ thống, đặc biệt là các hệ thống quan trọng như domain, cơ sở dữ liệu, ứng dụng core… . Backup dữ liệu mới nhất sang các bộ lưu trữ ngoài.