Playbook ứng phó sự cố mã độc tống tiền (Ransomware)

Mục tiêu: Bảo đảm có thể khôi phục mà không phải trả tiền chuộc

• Duy trì bản sao lưu ngoại tuyến (offline) hoặc bất biến, được mã hoá, và diễn tập khôi phục định kỳ[1]Bắt buộc
• Lập kế hoạch ứng cứu sự cố có danh sách đầu mối liên hệ (kỹ thuật, lãnh đạo, pháp chế, cơ quan chức năng) bản in giấy[1][2]
• Bắt buộc MFA cho VPN, RDP, email và tài khoản quản trị; không mở RDP trực tiếp ra Internet[1][3]Bắt buộc
• Ưu tiên vá các lỗ hổng trên thiết bị biên đang bị khai thác (danh mục CISA KEV)[1]

Mục tiêu: Xác định phạm vi ảnh hưởng

• Xác định các hệ thống bị ảnh hưởng và cô lập ngay khỏi mạng (rút cáp/tắt Wi-Fi, chặn trên switch); chỉ tắt nguồn khi không thể ngắt mạng[1]Bắt buộc
• Không xoá ghi chú tiền chuộc và tệp bị mã hoá; chụp ảnh màn hình, ghi lại tên biến thể và địa chỉ liên hệ của kẻ tấn công[1]
• Thu thập ảnh bộ nhớ (RAM) và nhật ký trên máy đang chạy trước khi khởi động lại[1][2]
• Kiểm tra bản sao lưu bóng còn hay đã bị xoá[1]
  vssadmin list shadows
• Rà đăng nhập bất thường 48 giờ gần nhất (4624 thành công, 4625 thất bại, 4672 quyền đặc biệt)[2]
  Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4672; StartTime=(Get-Date).AddDays(-2)} | Select-Object TimeCreated,Id,Message -First 100
• Thông báo lãnh đạo, bộ phận pháp chế và cơ quan chức năng có thẩm quyền theo quy định[1]Bắt buộc

Mục tiêu: Chặn lây lan và cắt kênh điều khiển

• Vô hiệu hoá tạm thời VPN/truy cập từ xa và chặn các IOC (IP, tên miền C2) đã biết trên tường lửa, proxy[1]
• Đặt lại mật khẩu tài khoản quản trị, tài khoản dịch vụ và tài khoản bị lộ; thu hồi phiên đăng nhập; với AD đặt lại mật khẩu krbtgt hai lần[1]Bắt buộc
• Rà cơ chế bám trụ: tác vụ theo lịch, dịch vụ mới, GPO bị sửa, khoá Run[1][2]
  Get-ScheduledTask | Where-Object {$_.State -ne 'Disabled'} | Select-Object TaskName,TaskPath,State

Mục tiêu: Đưa hệ thống trở lại an toàn

• Dựng lại hệ thống từ image sạch đã biết; không khôi phục lên máy còn dấu vết xâm nhập[1]Bắt buộc
• Kiểm tra bản sao lưu không chứa mã độc trước khi khôi phục; ưu tiên hệ thống thiết yếu[1]
• Vá lỗ hổng/điểm xâm nhập ban đầu trước khi kết nối lại mạng[1][2]
• Giám sát tăng cường ít nhất 30 ngày sau khôi phục để phát hiện tái nhiễm[2]

• Họp rút kinh nghiệm, cập nhật kế hoạch ứng cứu và danh mục kiểm soát[2]
• Lưu trữ chứng cứ, dòng thời gian sự cố và báo cáo theo yêu cầu pháp lý[2]