Hướng dẫn ứng phó với các cuộc tấn công mạng dành cho người dùng thiếu kinh nghiệm

PCHardwarePro » Cửa sổ » Hướng dẫn ứng phó với các cuộc tấn công mạng dành cho người dùng thiếu kinh nghiệm

Sống trong thế giới kết nối luôn đi kèm với cái giá phải trả: ngày càng dễ dàng hơn để virus, gian lận trực tuyến hoặc vi phạm an ninh mạng phá hỏng cả ngày của chúng ta. Chỉ cần một cú nhấp chuột vào liên kết độc hại cũng có thể làm tê liệt hoạt động của một công ty, đánh cắp dữ liệu bí mật hoặc làm đình trệ hoạt động của một bệnh viện.Tin tốt là, ngay cả khi không phải là chuyên gia máy tính, bạn vẫn có thể chuẩn bị để phản ứng một cách hợp lý và giảm thiểu thiệt hại.

Bài viết này tập hợp và sắp xếp các thông tin quan trọng từ các khuôn khổ và hướng dẫn an ninh mạng tốt nhất (NIST, GDPR, các thực tiễn tốt nhất về ứng phó sự cố, dịch vụ chuyên biệt, ví dụ thực tế, v.v.). Mục tiêu là cung cấp cho bạn một "cẩm nang khẩn cấp" rõ ràng để hiểu tấn công mạng là gì, các loại sự cố nào tồn tại và cách ứng phó từng bước nếu bạn không có kiến ​​thức chuyên môn về kỹ thuật.cả ở cấp độ cá nhân và trong phạm vi một công ty nhỏ hoặc vừa.

Tấn công mạng là gì và tại sao nó lại ảnh hưởng đến bạn ngay cả khi bạn không phải là người am hiểu công nghệ?

Khi nói về các cuộc tấn công mạng, chúng ta không chỉ đề cập đến những câu chuyện lớn về các công ty đa quốc gia. Tấn công mạng là bất kỳ hành động độc hại nào được thực hiện từ một thiết bị hoặc mạng nhằm mục đích đánh cắp, thay đổi, phá hủy dữ liệu hoặc làm gián đoạn hệ thống.Điều đó bao gồm mọi thứ, từ email cá nhân của bạn đến máy chủ của công ty.

Những kẻ tấn công có thể có nhiều động cơ khác nhau: Kiếm tiền bằng phần mềm tống tiền hoặc lừa đảo, do thám, phá hoại tổ chức, trả thù, hoặc thậm chí gây hại chỉ vì thử thách "kỹ thuật" thuần túy.Phạm vi tấn công trải rộng từ các email lừa đảo thông thường đến các hoạt động phức tạp nhắm vào chuỗi cung ứng phần mềm.

Hơn nữa, bề mặt tấn công là vô cùng rộng lớn: máy tính, điện thoại di động, máy tính bảng, dịch vụ đám mây và mạng Wi-Fi (hướng dẫn về mạng và bộ định tuyếnCác thiết bị IoT, máy chủ vật lý và ứng dụng web. Không có gì có kết nối internet là hoàn toàn an toàn, bất kể quy mô doanh nghiệp nhỏ đến đâu.

Đối với người dùng thiếu kinh nghiệm, vấn đề có hai khía cạnh: một mặt, Rất dễ rơi vào bẫy (lừa đảo trực tuyến, trang web giả mạo, tệp đính kèm độc hại).và, mặt khác, học cách cấu hình trình duyệt web Nó giúp tránh được những sự cố đó; mặt khác, khi có điều gì đó không ổn, rất khó để biết đó là lỗi thường gặp hay là một cuộc tấn công đang diễn ra và cần phải làm gì tiếp theo.

Các loại sự cố bảo mật phổ biến nhất (giải thích không dùng thuật ngữ chuyên ngành)

Trước khi trả lời, bạn cần biết mình đang phải đối mặt với điều gì. Không phải tất cả các sự cố đều có mức độ nghiêm trọng như nhau, và cách xử lý chúng cũng không giống nhau.Đây là những loại chính được mô tả trong các hướng dẫn chuyên nghiệp, được dịch sang ngôn ngữ đơn giản hơn.

Truy cập trái phép vào dữ liệu hoặc hệ thốngAi đó đang truy cập trái phép vào email công ty, máy chủ công ty hoặc bảng điều khiển quản trị. Điều này thường do mật khẩu yếu (bạn có thể kiểm tra bảo mật mật khẩu), thông tin đăng nhập bị đánh cắp hoặc lạm dụng quyền hạn bởi nhân viên nội bộ.

Rò rỉ hoặc vi phạm thông tinDữ liệu cần được bảo vệ lại rơi vào tay bên thứ ba hoặc bị lộ trên internet. Chúng có thể bị rò rỉ do nhầm lẫn (chuyển file không chính xác, cấu hình đám mây mở) hoặc thông qua các cuộc tấn công đánh cắp toàn bộ cơ sở dữ liệu. Hậu quả về mặt pháp lý và danh tiếng có thể rất nghiêm trọng.đặc biệt nếu chúng ảnh hưởng đến dữ liệu cá nhân được bảo vệ bởi GDPR.

Mối đe dọa nội bộNguy hiểm không phải lúc nào cũng đến từ bên ngoài. Nhân viên bất mãn, sự tắc trách nghiêm trọng hoặc thiếu đào tạo có thể tạo điều kiện cho các vụ tấn công nghiêm trọng. Một người có quyền hạn cao nhưng không biết cách quản lý chúng đúng cách có thể gây ra nhiều thiệt hại hơn cả một hacker bên ngoài..

Vi phạm an ninh vật lýÍt xảy ra hơn, nhưng nguy hiểm. Chúng ta đang nói về những kẻ xâm nhập vào phòng máy chủ, đánh cắp máy tính xách tay hoặc thiết bị USB chứa thông tin nhạy cảm, hoặc can thiệp vào các thiết bị quan trọng.

các cuộc tấn công zero-dayCác lỗ hổng bảo mật chưa được biết đến trong phần mềm mà hiện chưa có bản vá lỗi. Trên thực tế, Nó giống như việc có một cánh cửa phụ mở mà ngay cả nhà sản xuất cũng không biết.Những lỗi này rất khó lường trước, nhưng việc quản lý và giám sát bản vá tốt sẽ giảm thiểu thiệt hại.

CryptojackingKẻ tấn công đang sử dụng thiết bị của bạn (mà bạn không hề hay biết) để khai thác tiền điện tử. Bạn sẽ nhận thấy máy tính của mình chạy chậm hơn, quạt chạy hết tốc độ và mức tiêu thụ năng lượng cao. Chúng không phải lúc nào cũng đánh cắp dữ liệu, nhưng chúng làm giảm hiệu năng và phát sinh chi phí..

Phần mềm độc hại và ransomwarePhần mềm tống tiền là phần mềm độc hại xâm nhập vào hệ thống của bạn để đánh cắp, mã hóa hoặc phá hủy thông tin. Nó mã hóa các tập tin của bạn và đòi tiền chuộc để khôi phục chúng. Đây là một trong những hình thức tống tiền sinh lợi nhất đối với kẻ tấn công và là một trong những hình thức gây thiệt hại nặng nề nhất cho các công ty..

Tại sao việc có kế hoạch ứng phó sự cố lại vô cùng quan trọng (ngay cả đối với doanh nghiệp nhỏ)

Các công ty liên tục phải hứng chịu các cuộc tấn công mạng; các nghiên cứu cho thấy các vụ tấn công xảy ra cứ vài chục giây một lần trên toàn cầu. Nếu không có kế hoạch ứng phó sự cố, phản ứng thường sẽ hỗn loạn, chậm chạp và tốn kém.Trong lĩnh vực an ninh mạng, thời gian là yếu tố then chốt.

Một kế hoạch ứng phó sự cố an ninh mạng tốt, ngay cả một kế hoạch đơn giản dành cho các tổ chức nhỏ (xem phần của chúng tôi) Hướng dẫn an ninh mạng dành cho doanh nghiệp vừa và nhỏ), được sử dụng cho: Phát hiện vấn đề sớm, ngăn chặn chúng, khôi phục hoạt động càng sớm càng tốt và rút kinh nghiệm từ mỗi sự cố để tăng cường khả năng phòng vệ..

Bên cạnh đó, Nhiều quy định yêu cầu phải chứng minh rằng các biện pháp hợp lý đã được thực hiện để bảo vệ dữ liệu cá nhân và các hệ thống quan trọng.GDPR ở châu Âu, NIS2, các tiêu chuẩn như NIST hoặc CIS, hoặc các yêu cầu cụ thể theo từng lĩnh vực (y tế, ngân hàng, năng lượng) đều yêu cầu bạn phải ghi lại những gì mình làm trước, trong và sau một cuộc tấn công.

Từ góc độ kinh doanh, kế hoạch ứng phó tác động trực tiếp đến ba lĩnh vực chính: Quản lý rủi ro và chi phí, duy trì hoạt động kinh doanh, tuân thủ pháp luật và uy tín.Vấn đề không chỉ là "đảm bảo an toàn", mà còn là khả năng tiếp tục hoạt động mà không làm công ty sụp đổ trước khủng hoảng kỹ thuật số.

6 giai đoạn của chu kỳ ứng phó sự cố

Các khuôn khổ chuyên nghiệp thường có một chu trình khá chuẩn, bạn có thể dễ dàng điều chỉnh ngay cả khi nhóm của bạn có quy mô nhỏ. Hãy coi những giai đoạn này như một chu kỳ lặp đi lặp lại và được cải thiện sau mỗi sự cố..

XUẤT KHẨU Chuẩn bịĐây là giai đoạn đặt nền móng trước khi bất cứ điều gì nghiêm trọng xảy ra. Việc xác định các chính sách đơn giản (“phải làm gì nếu…”), các vai trò cơ bản (ai điều phối, ai liên lạc với khách hàng, ai liên lạc với nhà cung cấp CNTT), lập danh mục tài sản, xem xét các bản sao lưu, và Đào tạo người dùng để họ không mắc phải những lỗi cơ bản..

2. Nhận dạng hoặc phát hiệnMục tiêu là phát hiện ra càng sớm càng tốt bất kỳ điều bất thường nào đang xảy ra. Đây là lúc những điều sau đây phát huy tác dụng. Cảnh báo phần mềm diệt virus, thông báo email, máy tính hoạt động bất thường, đăng nhập không rõ nguyên nhân, hệ thống chậm không rõ lý do.Người dùng không cần phải chẩn đoán cuộc tấn công; họ chỉ cần báo cáo nó nhanh chóng.

3. Ngăn chặnKhi đã nhận ra mình có vấn đề, mục tiêu đầu tiên là ngăn chặn nó trở nên tồi tệ hơn. Điều này bao gồm việc... Cách ly các thiết bị bị nhiễm, ngắt kết nối chúng khỏi mạng, chặn người dùng khả nghi, tạm thời cắt quyền truy cập từ xa và tắt các dịch vụ bị ảnh hưởng..

4. Diệt trừĐã đến lúc dọn dẹp. Loại bỏ phần mềm độc hại, gỡ cài đặt phần mềm trái phép, đóng các điểm xâm nhập (lỗ hổng bảo mật, mật khẩu bị rò rỉ, tài khoản còn sót lại), và Hãy đảm bảo rằng kẻ tấn công không còn cách nào dễ dàng để xâm nhập trở lại..

5. Phục hồiSau khi môi trường được kiểm soát và làm sạch, bạn phải cẩn thận khôi phục lại trạng thái bình thường. Khôi phục từ các bản sao lưu đã được xác minh. Khởi động hệ thống theo từng giai đoạn và theo dõi sát sao trong vài ngày đầu để phát hiện bất kỳ hoạt động bất thường nào..

6. Những bài học kinh nghiệmĐây là phần mà hầu hết mọi người thường bỏ qua, nhưng lại là phần mang lại giá trị lớn nhất trong trung hạn. Hãy ghi lại những gì đã xảy ra, mất bao lâu để bạn phát hiện ra vấn đề, điều gì hiệu quả và điều gì không. Cập nhật kế hoạch ứng phó và tăng cường các biện pháp kiểm soát và đào tạo. để lần sau nỗi sợ hãi sẽ bớt nghiêm trọng hơn.

Hướng dẫn thực hành dành cho người dùng thiếu kinh nghiệm

Mặc dù các công ty thường nói về CSIRT, SOC, SIEM và các từ viết tắt khác, nhưng đối với người dùng thông thường, điều quan trọng là phải có một kịch bản rõ ràng, đơn giản khi họ phát hiện ra sự cố. Hãy coi những bước này như "sơ cứu kỹ thuật số" trước khi các chuyên gia can thiệp..

1. Giữ bình tĩnh và ghi lại những gì bạn thấy.Các lỗi lạ, cửa sổ bật lên chưa từng xuất hiện trước đây, tập tin được mã hóa, tin nhắn yêu cầu tiền, email được gửi dưới tên bạn mà bạn không hề hay biết… Bạn càng ghi lại nhiều chi tiết (ảnh chụp màn hình, thời gian ước tính, bạn đang làm gì), nhóm kỹ thuật sẽ càng dễ dàng tái tạo lại những gì đã xảy ra..

2. Ngắt kết nối thiết bị bị ảnh hưởng khỏi mạng.Nếu bạn nghi ngờ có điều gì đó không ổn, Tháo cáp mạng hoặc tắt Wi-Fi trên thiết bị để làm chậm quá trình lây lan.Không nhất thiết phải tắt hoàn toàn trừ khi có chỉ dẫn từ nhân viên kỹ thuật; đôi khi để máy hoạt động sẽ tốt hơn để có thể thực hiện phân tích pháp y.

3. Đừng cố gắng "sửa chữa" bằng cách xóa lung tung mọi thứ.Việc định dạng lại ổ cứng một cách bừa bãi, xóa email hoặc tập tin đáng ngờ, hoặc cài đặt lại chương trình có thể phá hủy những bằng chứng quan trọng. Cách hành động khôn ngoan nhất là để mọi thứ nguyên trạng và chờ hướng dẫn từ nhóm CNTT hoặc nhà cung cấp của bạn..

4. Thay đổi mật khẩu từ một thiết bị sạch.Nếu có dấu hiệu truy cập trái phép vào các tài khoản (email, ngân hàng trực tuyến, mạng nội bộ), Hãy sử dụng một thiết bị khác mà bạn biết chắc chắn là an toàn để thay đổi mật khẩu. và kích hoạt xác thực hai yếu tố bất cứ khi nào có thể.

5. Báo cáo sự cố thông qua các kênh đã được thiết lập.Trong một công ty, thường sẽ có hộp thư hoặc số điện thoại báo sự cố, một nhân viên an ninh hoặc một nhà cung cấp dịch vụ bên ngoài. Việc báo cáo nhanh chóng và chính xác là chìa khóa để giảm thời gian phát hiện (MTTD) và thời gian phản hồi (MTTR)..

Vai trò của các công cụ và dịch vụ chuyên dụng (SOC, SIEM, EDR, ứng phó sự cố bên ngoài)

Đằng sau một phản hồi hiệu quả thường là một tập hợp các công nghệ hoạt động ngầm. Người dùng thiếu kinh nghiệm không cần phải biết cách cấu hình chúng, nhưng việc hiểu chức năng cơ bản của chúng sẽ rất hữu ích (xem các khóa an ninh mạng chung) để đánh giá xem công ty có được bảo vệ tốt hay không.

Giải pháp bảo mật thiết bị (EDR, phần mềm chống virus nâng cao) Họ liên tục giám sát hoạt động của máy tính và máy chủ để phát hiện các hoạt động đáng ngờ, chặn phần mềm độc hại, đồng thời hỗ trợ việc ngăn chặn và khắc phục sự cố.

Nền tảng SIEM Chúng thu thập và đối chiếu các bản ghi từ nhiều nguồn khác nhau (tường lửa, máy chủ, ứng dụng, hệ thống đám mây). Chúng giúp bạn nhìn thấy "bản đồ toàn cảnh" về những gì đang diễn ra trong môi trường xung quanh bạn. và tự động hóa cảnh báo khi phát hiện các kiểu tấn công.

Công cụ tình báo mối đe dọa Chúng giúp đặt những gì hệ thống của bạn nhìn thấy vào bối cảnh những gì đang xảy ra trên thế giới: các chiến dịch lừa đảo đang hoạt động, địa chỉ IP độc hại, phần mềm độc hại đang thịnh hành, v.v. Điều này cho phép ngăn chặn các cuộc tấn công trước khi chúng gây ra hậu quả nghiêm trọng..

Khi nguồn lực nội bộ hạn chế, nhiều tổ chức thường tìm đến các giải pháp khác. dịch vụ ứng phó sự cố thuê ngoàiCác đội chuyên trách này có thể: Cung cấp hỗ trợ kịp thời trong các tình huống khủng hoảng, hỗ trợ tuân thủ quy định, đóng góp chuyên môn trong ngành và bổ sung cho cơ sở hạ tầng an ninh hiện có..

Trong giới chuyên môn cao cấp hơn, người ta đã bắt đầu bàn tán về... SOAR và phối khíCác nền tảng kết nối tất cả các công cụ này và tự động hóa nhiều bước lặp đi lặp lại trong quá trình ứng phó (chặn địa chỉ IP, mở sự cố, cách ly nhóm), để lại các quyết định quan trọng cho con người.

Chuẩn bị chủ động: từ đánh giá mức độ sẵn sàng đến khả năng phục hồi mạng.

Ứng phó hiệu quả trong lúc khủng hoảng sẽ dễ dàng hơn nhiều nếu bạn đã chuẩn bị kỹ lưỡng từ trước. Ứng phó sự cố chủ động dựa trên việc hiểu rõ môi trường, các mối liên hệ và công cụ của bạn trước khi vấn đề trở nên nghiêm trọng..

Một phần quan trọng trong quá trình chuẩn bị đó là Đanh gia sự săn sangMột cuộc đánh giá định kỳ, trong đó nhóm bảo mật xác minh rằng, nếu một cuộc tấn công xảy ra vào ngày mai, họ có thể phản ứng trong vòng vài phút, chứ không phải vài ngày. Mục tiêu là, khi thời điểm đến, Một cuộc tấn công mạng nghiêm trọng có thể được ứng phó trong vòng chưa đầy một giờ..

Loại đánh giá này tập trung vào những khía cạnh rất cụ thể: Xác định rõ ràng các đầu mối liên hệ trong tổ chức, đảm bảo quyền truy cập vào các công cụ và hồ sơ cần thiết, nắm vững kiến ​​thức chuyên sâu về các hệ thống, dịch vụ và dữ liệu quan trọng, và xem xét các nghĩa vụ pháp lý liên quan đến việc xử lý dữ liệu..

Ngoài ra, Đánh giá Mức độ Sẵn sàng còn có mục đích là: Phát hiện các lỗ hổng bảo mật, cơ hội cải tiến và thử nghiệm các công cụ mới có thể bổ sung cho các biện pháp phòng thủ hiện có.Đây không phải là việc chỉ làm một lần rồi thôi; nó đòi hỏi phải cập nhật liên tục vì môi trường và các mối đe dọa luôn thay đổi.

Kết hợp với các biện pháp chủ động khác như diễn tập xử lý sự cố, đánh giá cam kết và diễn tập nhóm Đỏ.Điều này tạo nên cái gọi là khả năng phục hồi trên không gian mạng: khả năng của một tổ chức chống lại, phản ứng và phục hồi sau các cuộc tấn công mà không bị sụp đổ.

Các biện pháp phòng ngừa đơn giản nhưng hiệu quả cho bất kỳ tổ chức nào.

Mặc dù không có môi trường nào an toàn 100%, Có những biện pháp phòng ngừa về mặt tổ chức, kỹ thuật và pháp lý giúp giảm đáng kể khả năng xảy ra và tác động của một cuộc tấn công.ngay cả trong các doanh nghiệp nhỏ.

Từ góc độ tổ chức, nên thực hiện các bước sau: Xây dựng chính sách bảo mật rõ ràng, phân loại thông tin theo mức độ nhạy cảm, hạn chế quyền truy cập theo vai trò, kiểm soát thiết bị di động và thiết bị lưu trữ tạm thời, thực hiện chính sách bàn làm việc gọn gàng và sử dụng két an toàn giấy tờ, đồng thời cung cấp đào tạo định kỳ cho toàn bộ nhân viên..

Từ góc độ pháp lý, điều này rất quan trọng. Tuân thủ các quy định về bảo vệ dữ liệu (như GDPR), ghi chép lại các sự cố và đưa các điều khoản về bảo mật và sử dụng thông tin vào hợp đồng với nhân viên và bên thứ ba.và thiết lập các thủ tục thông báo cho các cơ quan chức năng và các bên liên quan khi cần thiết.

Về mặt kỹ thuật, những điều cơ bản rất rõ ràng: Cập nhật hệ thống và ứng dụng, sử dụng mật khẩu xác thực hai yếu tố mạnh, duy trì sao lưu ngoại tuyến, bảo vệ mạng bằng tường lửa, phân đoạn và giám sát, đồng thời triển khai các giải pháp bảo mật điểm cuối và email..

Đối với nhiều công ty, mua bảo hiểm an ninh mạng chuyên biệt Đó là một mảnh ghép khác của bức tranh: chúng không ngăn chặn cuộc tấn công, nhưng chúng giúp chi trả các chi phí phục hồi, tư vấn pháp lý, thông báo và thiệt hại về danh tiếng khi mọi việc trở nên tồi tệ.

Chi phí thực sự của một cuộc tấn công mạng: thời gian, tiền bạc, danh tiếng và các bên thứ ba bị ảnh hưởng.

Các trường hợp được ghi nhận từ các tổ chức lớn cho thấy rõ tác động thực sự của việc không phát hiện hoặc phản ứng kịp thời. Sản xuất bị đình trệ trong nhiều tháng, các dịch vụ thiết yếu ngừng hoạt động, thiệt hại trực tiếp và gián tiếp lên đến hàng triệu đô la, và uy tín bị tổn hại cần nhiều năm để phục hồi..

Ngoài vấn đề tiền bạc, tác động đến bên thứ ba cũng nghiêm trọng không kém, thậm chí còn nghiêm trọng hơn: Khách hàng không được phục vụ, bệnh nhân không thể truy cập hồ sơ y tế, sinh viên không có nền tảng học tập, nhà cung cấp bị chặn, đối tác kinh doanh mất lòng tin vào mối quan hệ..

Một điểm quan trọng được nhấn mạnh trong các hướng dẫn chuyên nghiệp là thời gian phản ứng: Sự cố được phát hiện và phản ứng được kích hoạt càng sớm thì thời gian xảy ra càng ngắn, phạm vi càng nhỏ và việc khắc phục càng dễ dàng hơn.Việc phản hồi trong vòng chưa đầy một giờ trước những dấu hiệu rõ ràng của sự cam kết không phải là điều xa xỉ, mà là điều cần thiết.

Áp lực từ phía cơ quan quản lý cũng cần được tính đến: Nhiều công ty được yêu cầu báo cáo các vụ vi phạm an ninh cho các cơ quan chức năng và các bên bị ảnh hưởng.Việc che giấu sự cố hoặc trì hoãn thông báo có thể dẫn đến các hình phạt bổ sung và làm xói mòn thêm lòng tin của khách hàng và nhà đầu tư.

Đó là lý do tại sao, Một kế hoạch ứng phó được chuẩn bị kỹ lưỡng cũng bao gồm cả chiến lược truyền thông.Những thông tin nào được chia sẻ, cho ai, khi nào, và ai là người đại diện trước khách hàng, giới truyền thông và các cơ quan quản lý? Sự minh bạch được quản lý tốt có thể tạo nên sự khác biệt giữa việc mất hoặc giữ vững lòng tin.

Tóm lại, tất cả những điều trên cho thấy rằng, mặc dù các cuộc tấn công mạng có vẻ như chỉ là vấn đề "kỹ thuật", nhưng tác động của chúng lại mang tính nhân văn và liên quan sâu sắc đến hoạt động kinh doanh: Việc này ảnh hưởng đến sự liên tục hoạt động kinh doanh, những người phụ thuộc vào dịch vụ, uy tín được xây dựng trong nhiều năm và sự ổn định kinh tế của tổ chức.Việc có các biện pháp phòng ngừa hợp lý, kế hoạch ứng phó sự cố phù hợp với quy mô của từng đơn vị và người dùng được đào tạo tối thiểu, ngay cả khi không có kiến ​​thức chuyên sâu, sẽ biến một thảm họa tiềm tàng thành một vấn đề nghiêm trọng nhưng có thể kiểm soát được.

Bài viết liên quan:

Bảo mật di động: hướng dẫn toàn diện để bảo vệ điện thoại thông minh của bạn