Bộ Quốc phòng Namibia bị tấn công bằng ransomware, CSIRT phản ứng

Một mạng lưới chính phủ đang bị tấn công

Nhóm Ứng phó Sự cố An ninh mạng Namibia (NAM-CSIRT), hoạt động trực thuộc Cơ quan Quản lý Truyền thông Namibia (Cran), đã xác nhận vào cuối tuần trước rằng họ đã phát hiện hoạt động trái phép trên mạng lưới của Bộ Quốc phòng và Cựu chiến binh (MODVA). Việc công bố này đánh dấu một trong những sự cố an ninh mạng đáng chú ý hơn được báo cáo liên quan đến một tổ chức chính phủ Namibia trong thời gian gần đây, và nó đặt sự chú ý vào cách các nhóm tấn công ransomware tiếp tục thăm dò cơ sở hạ tầng quốc phòng quốc gia để tìm điểm yếu.

Mặc dù thông tin chi tiết vẫn còn hạn chế ở giai đoạn này, sự tham gia của NAM-CSIRT cho thấy sự cố đủ nghiêm trọng để cần đến một phản ứng chính thức ở cấp quốc gia. Các nhóm CSIRT như NAM-CSIRT tồn tại chính xác cho những thời điểm như thế này: để phát hiện, ngăn chặn và điều phối phản ứng đối với các sự cố mạng ảnh hưởng đến các hệ thống chính phủ quan trọng trước khi chúng leo thang thành các cuộc khủng hoảng an ninh quốc gia hoặc niềm tin công chúng rộng lớn hơn.

Tại sao Ransomware tiếp tục nhắm vào mạng lưới chính phủ

Các bộ của chính phủ, đặc biệt là những bộ gắn liền với quốc phòng và an ninh, là mục tiêu hấp dẫn đối với các nhóm tấn công ransomware vì một lý do đơn giản: dữ liệu họ nắm giữ rất nhạy cảm, và áp lực khôi phục hoạt động nhanh chóng có thể khiến các cơ quan sẵn sàng đàm phán hơn. Các bộ quốc phòng nói riêng thường quản lý một hỗn hợp các hệ thống CNTT cũ, hồ sơ mật và mạng lưới hành chính vốn không được thiết kế ban đầu để đối phó với các mô hình mối đe dọa hiện đại.

Đây không phải là một mô hình đơn lẻ. Đầu năm nay, trang web của tổng thống Kenya đã bị tấn công bằng ransomware, khi tin tặc làm biến dạng trang web và yêu cầu tiền chuộc 5 Bitcoin, buộc nhà chức trách phải hạn chế truy cập công khai trong khi họ điều tra. Những sự cố như thế này minh họa một xu hướng rộng hơn: cơ sở hạ tầng số của chính phủ châu Phi, vốn đã mở rộng nhanh chóng trong những năm gần đây, không phải lúc nào cũng được đầu tư tương xứng vào các biện pháp phòng thủ an ninh mạng, giám sát và năng lực ứng phó sự cố.

Các nhóm ransomware thường đi theo con đường ít kháng cự nhất. Những mạng lưới thiếu phân đoạn mạnh mẽ giữa các hệ thống hành chính và nhạy cảm, dựa vào phần mềm lỗi thời hoặc có lịch vá bảo mật không nhất quán thì dễ bị xâm phạm hơn nhiều so với các môi trường được gia cố và giám sát tốt. Khi mạng lưới của một bộ quốc phòng bị xâm phạm, mối lo ngại vượt ra ngoài tổn thất tài chính hoặc gián đoạn hoạt động. Nó đặt ra câu hỏi về khả năng lộ lọt các liên lạc chính phủ nhạy cảm, hồ sơ nhân sự hoặc thông tin chiến lược, ngay cả trước khi bất kỳ sự lộ lọt nào như vậy được xác nhận.

Vai trò của các CSIRT quốc gia trong việc hạn chế thiệt hại

Việc NAM-CSIRT công khai xác nhận sự cố tự nó đã là một bước đáng chú ý. Nhiều chính phủ miễn cưỡng tiết lộ các vi phạm an ninh mạng một cách nhanh chóng, vì lo ngại tổn hại danh tiếng hoặc vì các chi tiết kỹ thuật đầy đủ vẫn đang được xác định. Một sự thừa nhận kịp thời và minh bạch, ngay cả khi còn hạn chế, giúp thiết lập kỳ vọng cho các bên liên quan bị ảnh hưởng và báo hiệu rằng một quy trình phản ứng có cấu trúc đang được tiến hành.

Các CSIRT quốc gia thường điều phối một số luồng công việc song song trong một sự cố như thế này: cô lập các hệ thống bị ảnh hưởng để ngăn chặn lây lan thêm, bảo toàn bằng chứng pháp y để hiểu cách xâm nhập đã xảy ra, khôi phục dịch vụ từ các bản sao lưu sạch khi có thể, và liên lạc với các cơ quan chính phủ liên quan và, khi thích hợp, với công chúng. Hiệu quả của phản ứng này thường phụ thuộc vào nền tảng được xây dựng từ lâu trước khi một cuộc tấn công xảy ra, bao gồm các công cụ giám sát mạng đã có sẵn, các kế hoạch ứng phó sự cố đã được thử nghiệm, và các tuyến báo cáo rõ ràng giữa các bộ và CSIRT quốc gia.

Điều này có nghĩa gì đối với bạn

Hầu hết độc giả không quản lý mạng lưới của một bộ quốc phòng, nhưng những bài học cơ bản áp dụng rộng rãi cho bất kỳ tổ chức nào xử lý dữ liệu nhạy cảm. Các nhóm ransomware không chỉ nhắm vào các tập đoàn lớn hay chính phủ; chúng khai thác bất kỳ lỗ hổng nào dễ tiếp cận nhất, cho dù đó là một máy chủ chưa được vá, một mạng lưới được phân đoạn yếu, hay một nhân viên nhấp vào liên kết độc hại.

Nếu bạn làm việc trong lĩnh vực CNTT, bảo mật hoặc tuân thủ tại bất kỳ tổ chức nào, sự cố này là lời nhắc nhở để xem xét lại phân đoạn mạng của chính bạn, đảm bảo các bản sao lưu được kiểm tra và lưu trữ ngoại tuyến hoặc trong bộ nhớ bất biến, và xác nhận rằng kế hoạch ứng phó sự cố của bạn nêu rõ những người và bước cụ thể thay vì dựa vào hướng dẫn chung. Nếu bạn chỉ là một thành viên của công chúng, những sự cố như thế này nhấn mạnh lý do tại sao các cơ quan chính phủ ngày càng kêu gọi công dân thận trọng về cách dữ liệu cá nhân của họ được lưu trữ và chia sẻ với các tổ chức công, vì một vi phạm tại bất kỳ cơ quan nào cũng có thể gây ra hiệu ứng lan rộng.

Những điểm cần hành động

• Các tổ chức nên coi phân đoạn mạng là yêu cầu cơ bản, không phải nâng cấp tùy chọn, đặc biệt đối với các hệ thống xử lý thông tin nhạy cảm hoặc mật.
• Thường xuyên kiểm tra kế hoạch ứng phó sự cố thông qua các bài tập mô phỏng thay vì cho rằng chúng sẽ hoạt động khi cần thiết.
• Duy trì các bản sao lưu ngoại tuyến hoặc bất biến mà ransomware không thể truy cập hoặc mã hóa cùng với các hệ thống chính.
• Hỗ trợ và đầu tư vào năng lực CSIRT quốc gia, vì phát hiện nhanh và phản ứng phối hợp có thể hạn chế đáng kể thiệt hại của một cuộc xâm nhập.
• Theo dõi các cập nhật chính thức từ nhà chức trách Namibia khi cuộc điều tra này phát triển, và thận trọng với các tuyên bố chưa được xác minh lan truyền trực tuyến trước khi các chi tiết được xác nhận được công bố.

Khi cuộc điều tra về sự cố mạng lưới MODVA tiếp tục, vụ việc này là lời nhắc nhở kịp thời rằng khả năng phục hồi an ninh mạng trong các tổ chức chính phủ không phải là một dự án một lần mà là một cam kết liên tục, đòi hỏi đầu tư bền vững, trách nhiệm giải trình rõ ràng và khả năng phản ứng nhanh chóng khi — không phải nếu — sự cố tiếp theo xảy ra.