Phòng thủ phải đi cùng điều tra
Diễn tập an ninh mạng là hoạt động mô phỏng các cuộc tấn công để kiểm tra khả năng phát hiện, ngăn chặn, xử lý sự cố và phối hợp điều tra, qua đó giúp lực lượng bảo vệ hệ thống rèn kỹ năng trong tình huống có áp lực thời gian. Ngày 27/10 tại Hà Nội, Cục An ninh mạng, Bộ Công an, phối hợp Hiệp hội An ninh mạng quốc gia tổ chức chương trình diễn tập cấp quốc gia với cách tiếp cận này. Đây là hướng đi cần thiết: nếu chỉ tập trung khôi phục dịch vụ, tổ chức có thể bỏ lỡ dấu vết giúp xác định kẻ tấn công và cách chúng xâm nhập. Ngược lại, điều tra mà không kiềm chế được cuộc tấn công sẽ để hệ thống tiếp tục chịu tổn hại. Đặt hai nhiệm vụ trong cùng một quy trình khiến phòng thủ mạng gắn với mục tiêu bảo vệ hoạt động và làm rõ sự cố.
Kịch bản tài chính thử sức phối hợp
Kịch bản đặt hệ thống thông tin của một tổ chức tài chính trước cuộc tấn công mạng, trong phiên thực hành kéo dài 7,5 giờ. Mười đội với 90 cán bộ, chiến sĩ và chuyên viên từ 46 đơn vị phải giám sát hệ thống, phát hiện và ngăn chặn tấn công, khoanh vùng sự cố, xử lý và khôi phục hoạt động. Quy mô này quan trọng vì sự cố ở ngân hàng, tổ chức tài chính không dừng ở trục trặc kỹ thuật: chúng có thể làm thất thoát tài sản, lộ dữ liệu khách hàng, gián đoạn thanh toán và bào mòn niềm tin của người sử dụng. Kịch bản nhiều giai đoạn cũng buộc người tham gia nhìn ra mối liên hệ giữa những dấu hiệu bất thường, thay vì xử lý từng cảnh báo như sự việc riêng lẻ. Với dịch vụ tài chính phụ thuộc vào tính liên tục, tốc độ ứng phó và khả năng phối hợp đều có ý nghĩa thiết thực.
Truy vết và giữ chứng cứ ngay trong lúc ứng phó
Điểm đáng chú ý không chỉ là chặn cuộc tấn công, mà còn là điều tra số diễn ra song song: các đội phân tích nhật ký, truy vết hành vi của tin tặc qua từng giai đoạn, đồng thời thu thập chứng cứ điện tử phục vụ điều tra. Cách tổ chức này phản ánh một thực tế nghề nghiệp: xử lý sự cố phải giữ lại thông tin đủ tin cậy để làm rõ phương thức, phạm vi và hậu quả, thay vì chỉ đưa hệ thống trở lại hoạt động. Phần điều tra được chấm theo hình thức CTF với 43 thử thách; các đội giải được 39 thử thách, đạt khoảng 91%, còn đội Đồng Xuân đứng đầu với 6.140 điểm. Những con số cho thấy khối lượng thực hành đáng kể, nhưng thành công lâu dài còn phụ thuộc vào việc duy trì quy trình thu thập chứng cứ mà không làm gián đoạn các biện pháp phòng thủ.
Từ diễn tập đến năng lực ứng phó thực tế
Cuộc diễn tập diễn ra khi nguy cơ an ninh mạng ngày càng phức tạp, từ mã độc tống tiền và đánh cắp dữ liệu đến khai thác lỗ hổng trong chuỗi cung ứng, dịch vụ bên thứ ba; lĩnh vực tài chính-ngân hàng được đánh giá là mục tiêu hàng đầu. Vì vậy, giá trị của chương trình không nên dừng ở điểm số hay một buổi thực hành. Các đơn vị cần biến kinh nghiệm thành việc rà soát hệ thống, kiểm soát tài khoản đặc quyền, quản lý thông tin xác thực, bảo vệ môi trường đám mây và tăng cường giám sát dấu hiệu xâm nhập. Việc tiếp tục chia sẻ kinh nghiệm và duy trì kết nối giữa các lực lượng cũng là bước kế tiếp được đặt ra sau diễn tập. Kết luận đáng rút ra rất rõ: phòng thủ hiệu quả không chỉ là chặn được kẻ tấn công, mà còn là bảo toàn dấu vết để hiểu điều gì đã xảy ra và ngăn sự cố tái diễn.
