Cuộc tấn công vào hệ thống Vietnam Airlines là dạng tấn công APT có chủ đích, được chuẩn bị kỹ lưỡng, diễn tiến kéo dài trước khi bùng phát và công tác xử lý, khắc phục sự cố đã kịp thời triển khai trên diện rộng, với sự tham gia của nhiều cơ quan, tổ chức. Tuy nhiên, qua sự kiện này, việc giám sát an toàn thông tin cần đượccác tổ chức đưa lên mức độ ưu tiên cao,để sẵn sàng đối phó với các cuộc tấn công tương tự.
Đánh giá tình hình an toàn thông tin liên quan đến các sự kiện an toàn mạng diễn ra trong tháng 7 vừa qua, Hiệp hội An toàn thông tin Việt Nam (VNISA) có những nhận định như sau:
Cuộc tấn công mạng chiều 29/07/2016 vào công tác phục vụ bay của các sân bay lớn Nội Bài, Tân Sơn Nhất… là cuộc tấn công mạng có chuẩn bị công phu (sử dụng mã độc không bị nhận diện bởi các các phần mềm chống virus); xâm nhập cả theo chiều sâu (kiểm soát cả một số máy chủ quan trọng như cổng thông tin, cơ sở dữ liệu khách hàng) và chiều rộng (nhiều máy tính ở các bộ phận chức năng khác nhau, tại các địa điểm khác nhau đều bị nhiễm mã độc); việc phát động tấn công được thực hiện đồng loạt và có liên quan tới các sự kiện kinh tế, chính trị.
Đến thời điểm này, có thể khẳng định cuộc tấn công vào hệ thống Vietnam Airlines là dạng tấn công APT, có chủ đích rõ ràng, được chuẩn bị kỹ lưỡng, diễn tiến kéo dài trước khi bùng phát vào ngày 29/07/2016. Có dấu hiệu cho thấy có thể hệ thống đã bị tin tặc xâm nhập từ giữa năm 2014, tuy nhiên mã độc sử dụng trong đợt tấn công này hoàn toàn mới, được thiết kế riêng cho cuộc tấn công ngày 29/07 và đã vượt qua được các công cụ giám sát an ninh, an toàn thông tin thông thường (như các phần mềm chống virus).
Cuộc tấn công diễn ra trên diện rộng với 2 điểm chính là cảng hàng không Nội Bài và Tân Sơn Nhất, cùng với nhiều sân bay nhỏ khác cũng bị ảnh hưởng do hệ thống CNTT phục vụ khách hàng được kết nối liên thông với nhau. Ngoài ra Website của Vietnam Airlines và Hệ thống điều khiển màn hình, loa phát thanh của các sân bay trên cũng bị xâm nhập và thay đổi dữ liệu.
Cần nói rõ, những dấu vết để lại hiện trường chưa đủ cơ sở để kết luận chính xác đối tượng tấn công là ai. Tuy nhiên có thể khẳng định đối tượng đã am hiểu hệ thống CNTT của các cụm cảng hàng không cả ở mức cấu trúc thông tin lẫn cơ chế vận hành thiết bị và có ý định khống chế vô hiệu hóa hoàn toàn dữ liệu hệ thống.
Cùng với các cơ quan chức năng, đội ngũ chuyên gia an toàn mạng của nhiều đơn vị, tổ chức ở Việt Nam và các thành viên VNISA vào cuộc đã bước đầu xác định được tác nhân chính (mã độc) phá hoại hệ thống, xác định cửa hậu (backdoor) đã bị khai thác từ khá lâu trước thời điểm phát động tấn công. Đội ngũ chuyên gia cũng đưa ra các phương án xử lý mã độc, khôi phục hoạt động hệ thống và từng bước đánh giá, đề xuất các giải pháp ngăn chặn sự cố tương tự có thể xảy ra trong tương lai, tìm hiểu rà soát tổng thể hệ thống.
Đồng thời với công tác xử lý sự cố tại Vietnam Airlines, VNCERT - Bộ TT&TT đã ra thông báo, hướng dẫn cụ thể cho các tổ chức, doanh nghiệp những công việc cần thực hiện để nâng cao mức độ an toàn của mạng máy tính, đề phòng các tấn công tiếp theo có thể xảy ra. Do nội dung công việc khá nhiều và việc thực thi không đơn giản, các tổ chức cần xem xét những khuyến cáo này và dựa trên tình hình cụ thể của đơn vị mình để có kế hoạch thực hiện theo các mức độ ưu tiên khác nhau.
Đây cũng là lúc cần phải xác định rõ công tác đảm bảo an toàn thông tin là một nhiệm vụ cần có sự tham gia trực tiếp của lãnh đạo cấp cao nhất của tổ chức, doanh nghiệp, chứ không chỉ là công tác thuần túy kỹ thuật của bộ phận CNTT. Chỉ với sự tham gia của cấp lãnh đạo thì việc huy động nhân sự, thời gian, vật lực để thực hiện các biện pháp bảo vệ kỹ thuật và phi kỹ thuật mới có thể được thực thi nhanh chóng.
Mặt khác, qua bài học sự cố tại Vietnam Airlines và cụm cảng hàng không, các hệ thống thông tin tương tự Vietnam Airlines như hệ thống đảm bảo hạ tầng điện nước; hệ thống của cơ quan quản lý nhà nước có ứng dụng CNTT như hải quan, thuế, tài chính, ngân hàng, dịch vụ công điện tử; giao thông vận tải và cấp thoát nước; các hệ thống viễn thông, … cần được rà soát nhằm tăng cường khả năng phát hiện sớm mã độc đang âm thầm hoạt động, thông qua các hành vi bất thường.
Công tác xử lý sự cố tấn công mạng vừa qua đã được triển khai trên diện rộng và sẽ được xem xét rút kinh nghiệm, hoàn thiện để đối phó với các cuộc tấn công tương tự trong tương lai. Việc xử lý sự cố cần được hoàn thiện từ dưới lên, từ các tổ chức, doanh nghiệp tới cấp quốc gia. Các kỹ năng quan trọng như xử lý sự cố, phân tích mã độc và điều tra số cần được chú trọng đào tạo nâng cao, đảm bảo có được lực lượng ứng cứu “tinh nhuệ” hiện diện ở nhiều nơi để kịp thời xử lý sự cố.
Ngoài ra, các tổ chức, doanh nghiệp (đặc biệt là các tổ chức có hệ thống mạng CNTT quy mô lớn, triển khai trên toàn quốc) cần đưa việc giám sát an toàn thông tin lên mức độ ưu tiên hàng đầu, bởi các cuộc tấn công chưa có dấu hiệu dừng lại, chưa xác định hết quy mô mà tin tặc muốn xâm nhập và phá hoại.
Các tổ chức, doanh nghiệp cần thực hiện các bước sau:
- Bố trí nhân viên/bộ phận chuyên trách hoặc thuê ngoài dịch vụ giám sát an toàn thông tin cho tổ chức. Các sự kiện trong hệ thống cần được lưu trữ tập trung tại một hệ thống độc lập nhằm thuận tiện cho việc theo dõi; đồng thời lưu trữ thông tin cần thiết hỗ trợ cho việc truy vết sự cố, hạn chế việc tin tặc xâm nhập hệ thống sau đó cố tình xóa dấu vết.
- Thực hiện sao lưu các dữ liệu hệ thống một cách đầy đủ, định kỳ và bản lưu trữ phải để ở vị trí an toàn về mặt vật lý nhằm đảm bảo khả năng phục hồi dữ liệu trong tình huống xấu nhất, khi hệ thống dữ liệu chính bị phá hủy hoàn toàn.
- Đối với các hệ thống CNTT quan trọng, cần thay đổi thường kỳ mật khẩu đăng nhập của các tài khoản đặc quyền (các tài khoản hệ thống có quyền hạn cao). Tránh sử dụng chung các định danh truy cập hệ thống.
- Cần có quy trình thường xuyên, định kỳ rà soát các rủi ro có khả năng gây mất ATTT trên hệ thống và có phương án xử lý kịp thời. Thường xuyên tiến hành các diễn tập, đào tạo ATTT để nâng cao tính sẵn sàng và khả năng tinh nhuệ của đội ngũ cán bộ quản trị hệ thống CNTT. Đầu tư các phương án tăng cường, củng cố về ATTT cho hệ thống.
Trường hợp phát hiện hệ thống CNTT có dấu hiệu bị tấn công thì cần thực hiện một số bước cơ bản sau:
- Ghi nhận và cung cấp các hiện tượng, dấu hiệu ban đầu về cuộc tấn công cho đơn vị chuyên trách xử lý sự cố an toàn thông tin (ví dụ, chụp màn hình thể hiện hệ thống bị nhiễm mã độc, thu thập log và gửi cho chuyên gia ATTT).
- Nhanh chóng cách ly hệ thống có dấu hiệu bị tấn công, đồng thời giữ nguyên hiện trường hệ thống đang bị nhiễm, tạm thời sử dụng hệ thống máy chủ dự phòng cho các hệ thống chính.
- Tiến hành thay đổi mật khẩu toàn hệ thống, đặc biệt là các hệ thống quan trọng như domain, cơ sở dữ liệu, ứng dụng core… . Backup dữ liệu mới nhất sang các bộ lưu trữ ngoài.
- Liên lạc ngay với đơn vị chuyên trách xử lý sự cố ATTT như VNCERT, Hiệp hội ATTT Việt Nam (VNISA), Cục An ninh mạng - Bộ Công An,…
