Bài này viết cho lúc có cảnh báo. Đọc trước, để lúc có chuyện thì làm theo chứ không phải nghĩ.
1. Phân loại cảnh báo trước khi hành động
Không phải cảnh báo nào cũng nghiêm trọng như nhau. Ba nhóm, xử lý khác nhau:
| Nhóm | Dấu hiệu | Mức độ |
|---|---|---|
| Đã chặn xong | Cảnh báo ghi rõ mối đe doạ đã bị chặn hoặc cách ly | Bình thường, lớp bảo vệ đang làm đúng việc |
| Chặn nhầm | Phần mềm quý Khách hàng đang dùng bị chặn | Cần báo để đưa vào danh sách cho phép |
| Chưa xử lý được | Cảnh báo lặp lại, hoặc ghi nhận hành vi đáng ngờ mà chưa chặn dứt điểm | 🔴 Nghiêm trọng, xử lý ngay |
Nhóm thứ ba là nhóm cần phản ứng. Hai nhóm đầu xử lý theo nhịp bình thường.
2. Dấu hiệu cần phản ứng ngay
Gặp bất kỳ dấu hiệu nào dưới đây thì coi là sự cố nghiêm trọng:
- Cảnh báo về mã độc tống tiền, dù đã bị chặn.
- Nhiều máy cùng báo một loại cảnh báo trong thời gian ngắn. Đây là dấu hiệu đang lan.
- Cảnh báo về công cụ tấn công hoặc công cụ dò quét chứ không phải mã độc thông thường. Nghĩa là có người đang chủ động thao tác, không phải máy nhiễm ngẫu nhiên.
- Có tệp bị đổi tên hàng loạt hoặc không mở được.
- Có tài khoản quản trị mới mà không ai trong đội tạo.
- Cảnh báo lặp lại nhiều lần trên cùng một máy dù đã xử lý.
3. Khi có dấu hiệu nghiêm trọng: thứ tự việc
Việc nên làm, theo đúng thứ tự này
- Cô lập máy khỏi mạng, nhưng ĐỪNG tắt máy. Ngắt kết nối mạng chặn đường lan sang máy khác. Tắt máy thì mất hết dấu vết đang nằm trong bộ nhớ, và những dấu vết đó là thứ giúp biết chuyện gì đã xảy ra.
- Ghi lại thời điểm và nguyên văn cảnh báo.
- Báo cho bộ phận hỗ trợ Cloudzone ngay, kèm thông tin ở mục 4.
- Kiểm bản sao lưu còn nguyên không, nhưng đừng nối ổ sao lưu vào máy đang nghi nhiễm. Kiểm từ một máy khác.
- Đổi mật khẩu các tài khoản quản trị từ một máy sạch, không phải từ máy đang nghi nhiễm.
Việc KHÔNG nên làm
- 🔴 Không tắt máy nếu nghi mã độc tống tiền. Xem lý do ở điểm 1.
- 🔴 Không nối ổ sao lưu hoặc ổ mạng vào máy nghi nhiễm. Đây là cách làm mất luôn bản sao lưu.
- 🔴 Không trả tiền chuộc. Trả rồi vẫn có thể không lấy lại được dữ liệu, và hệ thống bị đánh dấu là mục tiêu dễ.
- Không tự xoá tệp lạ trước khi có người xem. Chúng là manh mối.
- Không khôi phục đè lên cho tới khi chắc đường vào đã bị bịt. Khôi phục rồi nhiễm lại là mất công hai lần và mất luôn bản sao lưu vừa dùng.
4. Báo cho Cloudzone: gửi đủ sáu thông tin
- Máy nào: tên máy và địa chỉ IP.
- Nguyên văn cảnh báo, chụp màn hình là tốt nhất.
- Thời điểm cảnh báo đầu tiên xuất hiện.
- Có bao nhiêu máy đang báo cùng loại cảnh báo.
- Hiện tượng quan sát được: tệp không mở được, dịch vụ dừng, máy chậm bất thường, hay chưa thấy gì khác lạ.
- Thay đổi gần đây: vừa cài phần mềm mới, vừa mở một tệp đính kèm, vừa cấp tài khoản cho ai, vừa mở thêm cổng ra Internet.
Điểm 6 thường chứa câu trả lời. Phần lớn sự cố bắt đầu từ một thay đổi gần đây chứ không phải tự nhiên xuất hiện.
5. Khi cảnh báo là chặn nhầm
Hiện tượng: một phần mềm quý Khách hàng vẫn dùng bỗng không chạy, và có cảnh báo trùng thời điểm.
Cách xử lý:
- Đừng tự tắt lớp bảo vệ trên máy đó. Tắt là máy trần trong lúc chờ xử lý.
- Ghi lại: tên phần mềm, đường dẫn tệp bị chặn, nguyên văn cảnh báo.
- Báo cho bộ phận hỗ trợ để đưa vào danh sách cho phép.
- Nếu việc gấp, nêu rõ mức độ gấp để được xử lý ưu tiên.
Lưu ý: đưa một phần mềm vào danh sách cho phép là giảm mức bảo vệ cho đúng phần mềm đó. Nên chỉ làm với phần mềm quý Khách hàng biết rõ nguồn gốc, không làm với tệp lạ tải từ Internet về.
6. Sau khi xử lý xong
Tìm cho ra đường vào. Dọn sạch mã độc mà không bịt đường vào thì tuần sau nó quay lại. Những đường vào thường gặp: tệp đính kèm trong thư, phần mềm tải từ nguồn không rõ, tài khoản bị dò mật khẩu, phần mềm cũ còn lỗ hổng chưa vá.
Rà lại ba thứ cơ bản:
| Thứ | Việc cần làm |
|---|---|
| Tài khoản | Xoá tài khoản của người đã nghỉ, bỏ tài khoản dùng chung, đổi mật khẩu yếu |
| Bản vá | Cập nhật hệ điều hành và các phần mềm đang chạy |
| Cổng mở | Đóng những cổng không thật sự cần mở ra Internet |
Thử khôi phục một phần từ bản sao lưu. Không phải để khôi phục thật, mà để biết chắc bản sao lưu dùng được. Rất nhiều đơn vị phát hiện bản sao lưu hỏng đúng vào lúc cần tới nó.
Ghi lại hồ sơ sự cố. Xảy ra lúc nào, trên máy nào, đường vào là gì, xử lý thế nào, mất bao lâu.
7. Thói quen làm giảm hẳn số sự cố
- Xem danh sách cảnh báo theo nhịp cố định, đừng chờ có chuyện mới xem.
- Mỗi máy mới dựng xong là cài lớp bảo vệ ngay, đừng để sau.
- Giữ bản sao lưu ở nơi tách biệt, có khoá truy cập riêng, và thử khôi phục định kỳ.
- Không dùng tài khoản quản trị cho việc hằng ngày.
8. Liên hệ
Trường hợp nghi nhiễm mã độc tống tiền hoặc nhiều máy cùng báo, hãy liên hệ bộ phận hỗ trợ kỹ thuật Cloudzone ngay qua kênh đã được cấp khi bàn giao dịch vụ, đừng chờ tới giờ hành chính.
