Gửi yêu cầu xử lý sự cố tấn công mạng chậm trễ gây hậu quả nghiêm trọng

Đây là một trong những phát hiện chính nằm trong Báo cáo phân tích phản ứng sự cố mới nhất của Kaspersky (Kaspersky’s Incident Response Analytics Report).

Cụ thể, năm 2018, khoảng 56% yêu cầu phản hồi sự cố (IR) được gửi về Trung tâm bảo mật Kaspersky sau khi công ty đã bị ảnh hưởng bởi tấn công mạng như phát sinh giao dịch chuyển tiền trái phép, máy trạm bị mã độc tống tiền (ransomware) mã hóa hay lỗi không có dịch vụ.

Trong khi đó, 44% yêu cầu được gửi đi ngay khi phát hiện tấn công ngay ở giai đoạn đầu, giúp tổ chức tránh khỏi những hậu quả nghiêm trọng về sau.

Nhiều ý kiến cho rằng phản ứng sự cố chỉ cần thiết khi tấn công mạng xảy ra và gây hậu quả nghiêm trọng. Tuy nhiên, phân tích về những trường hợp ứng phó sự cố mà Kaspersky thực hiện năm 2018 cho thấy hoạt động phản ứng sự cố không chỉ đóng vai trò điều tra mà còn là công cụ đẩy lùi tấn công mạng ngay từ giai đoạn đầu để ngăn chặn thiệt hại.

Năm 2018, 22% phản ứng sự cố được thực hiện sau khi phát hiện hoạt động độc hại ẩn trong hệ thống mạng và 22% được thực hiện sau khi phát hiện có tệp độc hại trong hệ thống mạng. Ngoài hai dấu hiệu trên, không còn dấu hiệu nào khác cho thấy có thể có một cuộc tấn công mạng sẽ diễn ra.

Tuy nhiên, không phải mọi bộ phận bảo mật của doanh nghiệp nào cũng có thể phân biệt liệu công cụ bảo mật tự động đã phát hiện và dừng hoạt động độc hại hay chưa, hay đây chỉ là bước đầu cho những hoạt động độc hại không nhìn thấy được, sẽ trở nên nghiêm trọng hơn về lâu dài, và cần có sự trợ giúp của chuyên gia bên ngoài. Do bước đầu đánh giá không chính xác, hoạt động mạng độc hại phát triển thành những cuộc tấn công mạng nghiêm trọng với hậu quả cực kỳ nặng nề.

Năm 2018, 26% trường hợp phản ứng sự cố muộn là do bị mã độc mã hóa tấn công, trong đó có 11% vụ dẫn đến bị mất cắp tiền. 19% được báo cáo sự cố sau khi phát hiện thư rác từ tài khoản email của công ty; phát hiện lỗi không có dịch vụ hoặc lỗ hổng bảo mật.

Ayman Shaaban, chuyên gia bảo mật tại Kaspersky cho biết: “Hiện nay, nhiều công ty đã cải tiến các phương pháp phát hiện và xây dựng quy trình ứng phó sự cố an ninh mạng. Nếu công ty phát hiện các cuộc tấn công càng sớm, hậu quả của chúng sẽ càng được giảm thiểu”.

Tuy nhiên, theo chuyên gia bảo mật Ayman Shaab, các công ty thường không quan tâm đúng mức đến các dấu hiệu của những cuộc tấn công mạng nghiêm trọng, và bộ phận phản ứng sự cố của chúng tôi khi nhận được tin thì cũng đã quá muộn. Mặt khác, nhiều công ty đã học được cách nhận biết dấu hiệu của một cuộc tấn công mạng nghiêm trọng, từ đó chúng tôi có thể giúp họ ngăn chặn được những hậu quả nặng nề về sau.

Các phát hiện khác của báo cáo bao gồm:

• 81% công ty cung cấp dữ liệu phân tích được phát hiện có dấu hiệu có hoạt động độc hại trong mạng nội bộ.

• 34% công ty cho thấy có dấu hiệu của một cuộc tấn công mạng tiên tiến.

• 54,2% tổ chức tài chính bị tấn công bởi một hoặc nhiều tấn công APT.

Để ứng phó hiệu quả với các sự cố, Kaspersky khuyến nghị: Công ty nên đảm bảo có một nhóm chuyên trách (ít nhất là nhân viên) chịu trách nhiệm về hoạt động bảo mật mạng, thực hiện sao lưu các dữ liệu quan trọng thường xuyên.

Để ứng phó kịp thời với tấn công mạng, hãy sử dụng nhóm phản ứng sự cố nội bộ để xử lý vấn đề trước khi báo với đơn vị bên ngoài để tránh sự leo thang của các sự cố phức tạp hơn; Xây dựng kế hoạch ứng phó sự cố với các hướng dẫn và quy trình chi tiết đối với các loại tấn công mạng khác nhau; cập nhật phần mềm và các bản vá thường xuyên; Thường xuyên đánh giá bảo mật cơ sở hạ tầng CNTT của công ty.

Các doanh nghiệp cũng cần đào tạo nâng cao nhận thức cho nhân viên về an toàn kỹ thuật số, cũng như hướng dẫn học cách nhận ra và tránh các email hoặc liên kết độc hại.