Mã độc tấn công vào Vietnam Airlines đã “qua mặt” các công cụ giám sát an ninh
- Cảnh báo về hình thức lây nhiễm mới của mã độc mã hóa tài liệu
- Truyền thông quốc tế lên tiếng về vụ tin tặc tấn công nhiều website của Việt Nam
- Hệ thống thông tin bị tin tặc tấn công sẽ hoạt động trở lại trong chiều nay
- Tin tặc tấn công sân bay Nội Bài, Tân Sơn Nhất, xuyên tạc về Biển Đông
Hệ thống có thể đã bị tin tặc xâm nhập từ giữa năm 2014
Theo VINASA, cuộc tấn công mạng chiều 29-7 vào công tác phục vụ bay của các sân bay Nội Bài, Tân Sơn Nhất… là cuộc tấn công mạng có chuẩn bị công phu (sử dụng mã độc không bị nhận diện bởi các các phần mềm chống virus); xâm nhập cả chiều sâu (kiểm soát cả một số máy chủ quan trọng như cổng thông tin, cơ sở dữ liệu khách hàng) và chiều rộng (nhiều máy tính ở các bộ phận chức năng khác nhau, vùng miền khác nhau đều bị nhiễm); phát động tấn công đồng loạt và có liên quan tới các sự kiện kinh tế, chính trị.
Đến thời điểm này có thể khẳng định cuộc tấn công vào hệ thống Vietnam Airlines là dạng tấn công APT, có chủ đích rõ ràng, được chuẩn bị kỹ lưỡng, diễn tiến kéo dài trước khi bùng phát vào ngày 29-7.
| Sự việc tin tặc tấn công vào Vietnam Airlines là lời cảnh báo đối với các tổ chức, doanh nghiệp về đảm bảo ATTT. |
Có dấu hiệu cho thấy có thể hệ thống đã bị tin tặc xâm nhập từ giữa năm 2014, tuy nhiên mã độc sử dụng trong đợt tấn công hoàn toàn mới, được thiết kế riêng cho cuộc tấn công ngày 29-7 và đã vượt qua được các công cụ giám sát an ninh thông thường (như các phần mềm chống virus)”- các chuyên gia của VINASA đưa ra nhận định.
Cũng theo VINASA, dù những dấu vết để lại hiện trường chưa đủ cơ sở để kết luận chính xác đối tượng tấn công là ai. Tuy nhiên có thể khẳng định đối tượng am hiểu hệ thống CNTT của các cụm cảng hàng không cả ở mức cấu trúc thông tin lẫn cơ chế vận hành thiết bị và có ý định khống chế vô hiệu hóa hoàn toàn dữ liệu hệ thống.
“Cùng với các cơ quan chức năng, các thành viên VNISA cùng với đội ngũ chuyên gia an ninh mạng của nhiều đơn vị, tổ chức ở Việt Nam vào cuộc đã bước đầu xác định được tác nhân chính (mã độc) phá hoại hệ thống, xác định cửa hậu backdoor đã bị khai thác từ khá lâu trước thời điểm phát động tấn công.
Đội ngũ chuyên gia về An toàn thông tin (ATTT) cũng đã đưa ra các phương án xử lý mã độc, khôi phục hoạt động hệ thống và từng bước đánh giá đề xuất các giải pháp ngăn chặn sự cố tương tự có thể xảy ra trong tương lai, tìm hiểu rà soát tổng thể hệ thống”- báo cáo của VINASA nhấn mạnh.
Bài học lớn cho các tổ chức, doanh nghiệp về ATTT
Theo các chuyên gia của VINASA, sự cố đáng tiếc tại Vietnam Airlines vừa qua cho thấy, đây không chỉ là bài học của riêng Vietnam Airlines mà còn là một lời cảnh báo đối với tất cả các tổ chức, doanh nghiệp trong nước về đảm bảo ATTT.
Đây cũng là lúc chúng ta cần phải xác định rõ công tác đảm bảo ATTT một công việc cần có sự tham gia trực tiếp của lãnh đạo cấp cao nhất của tổ chức, doanh nghiệp, chứ không chỉ là công tác thuần túy kỹ thuật của bộ phận CNTT vì chỉ với sự tham gia của lãnh đạo thì việc huy động nhân sự, thời gian, vật lực để thực hiện các biện pháp bảo vệ kỹ thuật và phi kỹ thuật mới có thể được thực thi.
Mặt khác, qua bài học sự cố tại Vietnam Airlines và cụm cảng hàng không, các hệ thống thông tin tương tự Vietnam Airlines như hệ thống đảm bảo hạ tầng điện nước; hệ thống quản lý nhà nước có ứng dụng CNTT như hải quan, thuế, tài chính ngân hàng, dịch vụ công điện tử; giao thông vận tải và cấp thoát nước; các hệ thống viễn thông, … cũng cần được rà soát qua nhằm tăng cường khả năng phát hiện sớm mã độc đang âm thầm hoạt động thông qua các hành vi bất thường.
|
Cần phải làm gì khi phát hiện có dấu hiệu bị tấn công? Theo VINASA, trong trường hợp phát hiện hệ thống CNTT có dấu hiệu bị tấn công thì cần thực hiện một số bước cơ bản như sau: Ghi nhận và cung cấp các hiện tượng, dấu hiệu ban đầu cho đơn vị chuyên trách xử lý sự cố an ninh thông tin. Ví dụ: chụp màn hình thể hiện hệ thống bị nhiễm mã độc, thu thập logo và gửi cho đội ngũ chuyên gia. Nhanh chóng cách ly hệ thống có dấu hiệu bị tấn công, đồng thời giữ nguyên hiện trường hệ thống đang bị nhiễm, tạm thời sử dụng hệ thống máy chủ dự phòng cho các hệ thống chính. Tiến hành thay đổi mật khẩu toàn hệ thống, đặc biệt là các hệ thống quan trọng như domain, cơ sở dữ liệu, ứng dụng core… . Backup dữ liệu mới nhất sang các bộ lưu trữ ngoài. Cuối cùng là liên lạc ngay với đơn vị chuyên trách xử lý sự cố ATTT như VNCERT, VNISA, Cục An Ninh Mạng-Bộ Công An. |