Nghi doanh nghiệp bị ransomware: 10 phút đầu tiên nên làm gì?

Khi gặp vấn đề này trong firewall và an toàn thông tin doanh nghiệp, điều quan trọng không phải là thử thật nhiều cách mà là xác định đúng lớp đang lỗi: người dùng, thiết bị, mạng, dịch vụ hay cấu hình quản trị.

Cách xử lý nhanh

Ưu tiên cô lập thiết bị bị nghi nhiễm khỏi mạng, bảo toàn bằng chứng và ngăn lan rộng. Không xóa log, không cắm backup trực tiếp vào máy nhiễm và không vội trả tiền trước khi đánh giá phạm vi.

Dấu hiệu và nguyên nhân thường gặp

Trước khi thay đổi cấu hình, hãy xác nhận phạm vi ảnh hưởng: chỉ một người dùng, một thiết bị hay nhiều thiết bị cùng gặp lỗi. Phạm vi ảnh hưởng là dữ kiện quan trọng để biết nên bắt đầu ở endpoint hay hạ tầng dùng chung.

• tài khoản bị lộ hoặc phishing dẫn đến thực thi mã độc
• máy chưa vá dịch vụ bị khai thác
• share/credential rộng giúp ransomware lan sang server/NAS

Quy trình kiểm tra từng bước

Bước 1: Ngắt mạng thiết bị nghi nhiễm nhưng giữ nguồn nếu cần bảo toàn trạng thái

Trong thực tế hỗ trợ doanh nghiệp, ngắt mạng thiết bị nghi nhiễm nhưng giữ nguồn nếu cần bảo toàn trạng thái. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Bước 2: Báo ngay người phụ trách IT/security và ghi thời điểm phát hiện

Ở bước này, báo ngay người phụ trách IT/security và ghi thời điểm phát hiện. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Bước 3: Khóa/đổi credential có nguy cơ từ một máy sạch

Về mặt kỹ thuật, khóa/đổi credential có nguy cơ từ một máy sạch. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Bước 4: Kiểm tra server/NAS/backup và cô lập vùng bị ảnh hưởng trước khi phục hồi

Khi kiểm tra tại hiện trường, kiểm tra server/NAS/backup và cô lập vùng bị ảnh hưởng trước khi phục hồi. Nên ghi lại kết quả trước và sau khi thay đổi để có cơ sở so sánh; nếu nhiều người cùng xử lý, thông tin này cũng giúp tránh lặp lại các bước đã thử.

Cách xác nhận đã xử lý đúng

Không nên kết luận chỉ vì lỗi tạm thời biến mất. Với hệ thống doanh nghiệp, cần có tiêu chí xác nhận để tránh lỗi quay lại sau vài giờ hoặc sau khi người dùng đổi mạng/khởi động lại thiết bị.

• không còn phát hiện file mới bị mã hóa trong vùng đã cô lập
• backup sạch được xác định trước khi restore

Những việc không nên làm

• format máy ngay làm mất bằng chứng
• kết nối ổ backup offline vào máy đang nghi nhiễm

Khi nào nên chuyển cho IT chuyên trách?

Nếu lỗi ảnh hưởng nhiều người, liên quan quyền quản trị, dữ liệu, bảo mật, firewall, server hoặc cần thay đổi cấu hình production, nên dừng thử nghiệm ngẫu nhiên và chuyển cho người phụ trách IT. Với firewall và an toàn thông tin doanh nghiệp, việc có log, ảnh chụp lỗi, thời điểm xảy ra và các bước đã thử sẽ rút ngắn đáng kể thời gian xử lý.

Gợi ý vận hành lâu dài

Sau khi xử lý xong, nên ghi lại nguyên nhân gốc, cấu hình đã thay đổi và biện pháp phòng ngừa. Những sự cố lặp lại nhiều lần thường là tín hiệu cần chuẩn hóa tài liệu, monitoring, patching hoặc thiết kế hệ thống thay vì tiếp tục xử lý từng lần riêng lẻ.

Xem thêm các bài trong Bảo mật & Firewall.

Bài viết liên quan

• Nhân viên nhập mật khẩu Microsoft 365 vào trang phishing: cần xử lý ngay những gì?
• Endpoint Security làm máy chậm: cách kiểm tra mà không tắt bảo vệ tùy tiện