Cyber Range: Môi trường diễn tập có kiểm soát

Cyber Range cung cấp môi trường mô phỏng các thành phần hạ tầng và dịch vụ công nghệ để tổ chức thực hành theo kịch bản. Tùy cấu hình và phạm vi triển khai, môi trường có thể bao gồm:

• Máy chủ và dịch vụ ứng dụng.
• Hệ thống mạng và thiết bị đầu cuối.
• Dịch vụ định danh và quản lý tài khoản.
• Firewall và các thành phần bảo vệ mạng.
• Hệ thống thu thập log, giám sát và phân tích sự kiện an toàn thông tin.
• Các tình huống lỗi cấu hình, lỗ hổng đã biết hoặc dấu hiệu xâm nhập được mô phỏng.

Mỗi kịch bản cần xác định mục tiêu, phạm vi, điều kiện bắt đầu và trạng thái hệ thống mong muốn. Các hoạt động tấn công chỉ diễn ra trong môi trường được cấp phép, theo quy tắc diễn tập đã thống nhất.

Red Team & Blue Team: Hai góc nhìn, một mục tiêu cải thiện

Chương trình tổ chức hoạt động theo vai trò để người tham gia hiểu cách một tình huống an ninh mạng được nhìn nhận từ phía kiểm thử và phía phòng thủ.

Hai nhóm cùng làm việc trên một kịch bản có mục tiêu và quy tắc rõ ràng. Mục đích không chỉ là xác định bên nào đạt điểm cao hơn mà còn tìm ra cách nâng cao hiệu quả phát hiện, phản ứng và bảo vệ hệ thống.

Rèn luyện quy trình ứng cứu sự cố

Khi một sự kiện đáng ngờ xảy ra, việc xử lý cần có trình tự, phân công trách nhiệm và cơ chế phối hợp rõ ràng. Trong chương trình, người tham gia có thể thực hành các hoạt động:

• Tiếp nhận và đánh giá cảnh báo.
• Xác định hệ thống, tài khoản hoặc dịch vụ có dấu hiệu bị ảnh hưởng.
• Thu thập và phân tích thông tin phục vụ điều tra.
• Thực hiện biện pháp ngăn chặn phù hợp với kịch bản.
• Loại bỏ nguyên nhân trong phạm vi được giao.
• Khôi phục và kiểm tra hoạt động của hệ thống.
• Tổng kết sự cố, xác định nguyên nhân và đề xuất biện pháp phòng ngừa.

Quy trình được xây dựng dựa trên mục tiêu diễn tập và tài liệu tham chiếu phù hợp, chẳng hạn hướng dẫn xử lý sự cố của NIST. Các bước cụ thể được điều chỉnh theo loại sự cố và môi trường triển khai, không áp dụng máy móc một quy trình duy nhất cho mọi tình huống.

Đánh giá kết quả dựa trên tiêu chí xác định trước

Diễn tập chỉ mang lại giá trị khi kết quả được ghi nhận và phân tích có hệ thống. Tùy khả năng của Cyber Range và cấu hình từng kịch bản, chương trình có thể theo dõi:

• Các mục tiêu tấn công hoặc phòng thủ đã hoàn thành.
• Khả năng duy trì hoạt động của các dịch vụ được đưa vào diễn tập.
• Thời điểm phát sinh sự kiện và thời điểm phát hiện.
• Thời gian phản ứng và xử lý theo mốc thời gian được ghi nhận.
• Chất lượng phân tích log và bằng chứng.
• Mức độ tuân thủ quy trình và phối hợp giữa các thành viên.

Các chỉ số như MTTD (Mean Time to Detect) và MTTR (Mean Time to Respond hoặc Recover, tùy cách định nghĩa) chỉ được sử dụng khi có dữ liệu và phương pháp tính phù hợp.

Kết quả phản ánh hiệu suất trong phạm vi kịch bản, thời lượng và điều kiện diễn tập; không tự động đại diện cho năng lực toàn diện của đội ngũ hoặc mức độ an toàn của toàn bộ hệ thống doanh nghiệp.

Purple Team: Chuyển kết quả diễn tập thành hành động cải thiện

Sau khi hoàn thành kịch bản, các nhóm cùng phân tích những gì đã xảy ra để tìm nguyên nhân và thống nhất các bước cải thiện. Hoạt động tổng kết có thể bao gồm:

• Đối chiếu hoạt động mô phỏng tấn công với log và cảnh báo thu được.
• Xác định kỹ thuật hoặc hành vi chưa được phát hiện kịp thời.
• Đánh giá hiệu quả của quy tắc giám sát và quy trình phản ứng.
• Xác định lỗi cấu hình, điểm yếu hoặc khoảng trống trong phối hợp.
• Đề xuất điều chỉnh quy tắc phát hiện, quy trình xử lý và biện pháp bảo vệ.
• Lập danh sách hành động cải thiện theo mức độ ưu tiên.

Purple Team không chỉ là một vòng tổng kết mà còn là cách kết nối kết quả kiểm thử với hoạt động cải tiến phòng thủ, giúp đội ngũ hiểu rõ vấn đề và có cơ sở kiểm chứng hiệu quả của các điều chỉnh tiếp theo.