Khi phát hiện hệ thống bị xâm nhập, đừng hoảng mà xoá sạch mọi thứ ngay. Hãy báo người phụ trách, cô lập phần bị ảnh hưởng, giữ lại bằng chứng, đổi mọi mật khẩu và khoá có thể đã lộ, rồi mới đi tìm cánh cửa kẻ xâm nhập đã dùng. Ghi chép mọi việc theo giờ, và nhờ chuyên gia khi vượt quá sức mình.
Chào bạn, đây là Nhà Lập Trình. Mình mong bạn không bao giờ cần tới tập này. Nhưng nếu một ngày bạn thấy những tệp lạ trên máy chủ, những tài khoản quản trị không ai tạo, hay khách hàng báo nhận được thư lạ từ hệ thống của bạn, thì những giờ đầu tiên sẽ quyết định rất nhiều. Tập này nói ở góc người trực sự cố của một đội nhỏ.
Giữ bình tĩnh và báo đúng người
Phản ứng tự nhiên khi phát hiện bị xâm nhập là hoảng, rồi lao vào xoá tệp lạ, khởi động lại máy, cài lại mọi thứ. Làm vậy có thể xoá mất dấu vết cần thiết để hiểu kẻ xâm nhập đã vào bằng cách nào và đã lấy gì. Không hiểu được điều đó, họ có thể quay lại bằng đúng cánh cửa cũ.
Việc đầu tiên là báo người phụ trách: trưởng nhóm, chủ doanh nghiệp, người quản trị hệ thống. Đừng tự xử lý một mình vì ngại. Sự cố bảo mật có thể kéo theo trách nhiệm pháp lý, thông báo cho khách hàng, làm việc với cơ quan chức năng, những quyết định mà người kỹ thuật không nên tự đưa ra.
Bắt đầu một cuốn nhật ký sự cố ngay từ phút đầu. Mỗi dòng ghi giờ, ai làm gì, thấy gì. Trong lúc căng thẳng, trí nhớ không đáng tin. Nhật ký này vô giá cho việc phân tích sau này và cho mọi báo cáo cần làm.
Nếu doanh nghiệp đã có kế hoạch ứng phó sự cố viết sẵn, lấy ra và làm theo. Nếu chưa có, sau sự cố này nhất định phải có.
Cô lập nhưng đừng xoá
Việc tiếp theo là ngăn thiệt hại lan rộng. Cô lập máy hoặc phần bị ảnh hưởng: ngắt khỏi mạng nội bộ, chặn truy cập từ bên ngoài, tạm dừng dịch vụ nếu cần. Mục tiêu là kẻ xâm nhập không đi tiếp được sang những máy khác, và không lấy thêm được dữ liệu.
Nhưng cô lập khác với xoá. Nếu có thể, hãy chụp lại trạng thái của máy trước khi làm gì thêm: sao chép ổ đĩa, lưu nhật ký hệ thống, nhật ký truy cập, danh sách tiến trình đang chạy. Nhật ký thường tự xoay vòng và xoá bản cũ sau một thời gian, nên lưu lại sớm.
Cân nhắc giữa giữ dịch vụ chạy và dừng hẳn là quyết định khó, cần người phụ trách kinh doanh cùng quyết. Dừng thì mất doanh thu, chạy tiếp thì có thể mất thêm dữ liệu.
Với đội nhỏ không có chuyên gia, đây là lúc cân nhắc gọi hỗ trợ từ bên ngoài: nhà cung cấp máy chủ, đơn vị chuyên về an toàn thông tin. Họ có kinh nghiệm và công cụ mà đội bạn có thể không có.
Đổi mọi thứ có thể đã lộ
Giả định rằng mọi bí mật mà máy bị xâm nhập đọc được đều đã bị lộ. Mật khẩu cơ sở dữ liệu, khoá dịch vụ bên ngoài, khoá của dịch vụ lưu trữ, mật khẩu tài khoản quản trị, khoá dùng để đăng nhập vào các máy khác.
Đổi tất cả, từ một máy sạch, không phải từ chính máy bị xâm nhập. Nếu kẻ xâm nhập còn trong máy đó, họ sẽ thấy luôn mật khẩu mới.
Buộc tất cả người dùng đăng nhập lại bằng cách huỷ mọi phiên đăng nhập đang có. Nếu có dấu hiệu bảng người dùng bị lấy, cân nhắc yêu cầu người dùng đổi mật khẩu, kể cả khi mật khẩu đã được băm đúng cách.
Kiểm tra các tài khoản lạ, quyền lạ, lịch chạy tự động lạ, khoá đăng nhập lạ được thêm vào. Kẻ xâm nhập thường để lại cửa sau để quay lại dù cửa chính đã đóng.
Tìm cửa vào rồi mới dựng lại
Trước khi đưa hệ thống chạy lại, phải hiểu kẻ xâm nhập đã vào bằng cách nào. Một thư viện có lỗ hổng chưa vá? Một mật khẩu yếu? Một khoá bị lộ trên kho mã? Một chức năng tải tệp không kiểm tra? Nếu không đóng được cửa đó, dựng lại chỉ để bị vào lần nữa.
Đọc nhật ký ngược về trước thời điểm phát hiện, tìm dấu hiệu bất thường đầu tiên. Thường kẻ xâm nhập đã ở trong hệ thống một thời gian trước khi bị phát hiện.
Khi dựng lại, cách an toàn nhất là dựng máy mới sạch từ đầu, cài mã từ kho mã đã kiểm tra, khôi phục dữ liệu từ bản sao lưu trước thời điểm bị xâm nhập. Sửa máy cũ thì luôn còn nghi ngờ sót lại thứ gì.
Nếu có dữ liệu cá nhân của người dùng bị lộ, doanh nghiệp có thể có nghĩa vụ thông báo cho người bị ảnh hưởng và cơ quan chức năng theo quy định. Hãy để người phụ trách hỏi ý kiến tư vấn pháp lý về việc này, đừng tự quyết.
Sau cơn bão: rút kinh nghiệm không đổ lỗi
Khi mọi thứ đã yên, hãy họp nhìn lại. Chuyện gì đã xảy ra, theo dòng thời gian. Vì sao cửa đó tồn tại. Vì sao không phát hiện sớm hơn. Những gì đã làm tốt trong lúc xử lý, những gì làm chưa tốt.
Mục tiêu là sửa hệ thống và quy trình, không phải tìm người để trách. Người để lộ mật khẩu hay quên vá thư viện thường chỉ là mắt xích cuối của một chuỗi thiếu sót về quy trình. Trách một người thì lần sau mọi người sẽ giấu sự cố.
Biến bài học thành việc cụ thể: bật cảnh báo cập nhật thư viện, bật xác thực hai lớp cho tài khoản quản trị, viết kế hoạch ứng phó sự cố, tập khôi phục từ sao lưu.
Không hệ thống nào an toàn tuyệt đối. Đội giỏi không phải đội không bao giờ bị xâm nhập, mà là đội phát hiện sớm, xử lý bình tĩnh, và không để cùng một cánh cửa mở lần thứ hai.
Câu hỏi thường gặp
Việc đầu tiên khi phát hiện bị xâm nhập là gì?
Báo người phụ trách và bắt đầu ghi nhật ký sự cố theo giờ. Sau đó cô lập phần bị ảnh hưởng để ngăn thiệt hại lan rộng, tránh xoá dấu vết vội vàng.
Có nên khởi động lại máy chủ ngay khi bị tấn công?
Nên cân nhắc. Khởi động lại có thể xoá dấu vết trong bộ nhớ và tiến trình đang chạy. Nếu có thể, lưu lại trạng thái và nhật ký trước, rồi cô lập máy khỏi mạng.
Sau khi bị xâm nhập cần đổi những mật khẩu nào?
Mọi mật khẩu và khoá mà máy bị xâm nhập có thể đọc được, như mật khẩu cơ sở dữ liệu, khoá dịch vụ bên ngoài và tài khoản quản trị. Nên đổi từ một máy sạch.
Có cần thông báo cho người dùng khi dữ liệu bị lộ không?
Tuỳ tính chất dữ liệu và quy định pháp luật, doanh nghiệp có thể có nghĩa vụ thông báo. Người phụ trách nên hỏi ý kiến tư vấn pháp lý để quyết định đúng.
Làm sao để lần sau phát hiện sớm hơn?
Theo dõi nhật ký đăng nhập và truy cập, bật cảnh báo khi có tài khoản quản trị mới hay đăng nhập từ nơi lạ, và định kỳ rà soát quyền cùng các lịch chạy tự động.
