ISACA Now recently talked with Mark Kaigwa, African IT entrepreneur, about the future of IT in Africa. Kaigwa is a keynote speaker at the first-ever Africa CACS at the InterContinental Nairobi, Kenya, which takes place Monday, 8 August to Tuesday, 9 August. For more information click here.
The following is a question-and-answer session with Kaigwa.
ISACA NOW: It seems that the opportunities for IT in Africa are endless. Obviously, social media is huge. What other opportunities for IT in Africa do you see over the next 5–10 years? KAIGWA: I see mobility as one of the greatest epochs of Africa’s technological history. The last 7 years has witnessed nations shift from cyber cafés as the gateway to the Internet to the pockets of hundreds of millions on this continent. I believe that it is indeed something to marvel at.
The implications are massive. You can no longer have an election without factoring in the broader thinking that goes into the mobile phones we know and love. To the extent that in Kenya, where the inaugural Africa CACS will be held, serious conversations have revolved around whether mobile money and mobile phones should be used in the voting process. To illustrate, the total number of registered voters is estimated at 15 million while there are 25 million mobile money users.
I think the layer above mobile is what excites me as we’re only beginning to see the possibilities. Look at how connected devices are entering various sectors, such as the education system, where Kenya recently piloted a program that will see 100,000 students explore learning aided by laptops.
For national security, there’s been a push in the private and public sectors. When it comes to traffic and mobility, Nairobi loses a colossal amount in traffic per day. An IBM study found it the 4th most-stressful city for drivers (after Mexico City, Shenzhen and Beijing). The yearlong study was on how drivers react and vehicles behave as they negotiate obstacles on Nairobi streets. The public sector has seen the deployment of a national police surveillance system powered by 4G technology from Safaricom. This included connecting 195 police posts and HD and Ultra-HD CCTV cameras monitoring traffic and security connecting to a national command and control room.
Kenya’s investor community is pushing boundaries in the Internet of Things (IoT) with organizations like BRCK educating customers and the market. There is also Product Health, an organization looking into supporting solar enterprises. I have great interest in the data we are generating and what that data means for consumers and companies.
At the same time I recognize the risks. To illustrate, in Kenya today you have people that fall within the cracks when it comes to complying with the checks and balances of traditional access to capital and loans. However, one peek at their mobile devices tells a much better story than any bank account ever could. Companies from Silicon Valley and Silicon Savannah are battling for the future of finance, especially for lending based on mobile data.
Organizations like Branch, Saida and Tala take information on Android phones and score them on virtual creditworthiness. Small factors like how much airtime one uses, how many times you charge the phone each day, whether they gamble on sports betting web sites are included, in addition to their mobile money transactions. Tala claims to have over 10,000 data points to make a lending decision. No paperwork involved. M-KOPA pioneered this on a broader basis, pushing beyond access to mobile phones and consequently mobile money by exploring what happens when you build credit scoring based on purchasing power from micropayments.
Second to that, I’d say that chat apps and instant messaging applications also excite me. I’ve followed the growth of Ghanaian startup Beam and others using WhatsApp as an onboarding process. Remittances across the continent exceeded aid in 2012. Since the rise of cryptocurrencies there are myriad start-ups solving the payments space. Beam began this way but pivoted to a new and more interesting proposition.
It isn’t what gets the money into the country that matters, but where it goes and the certainty one has that it is buying what it was intended to buy. This means that if a person has sent $10,000 to family members to purchase a parcel of land, what else do they have but the family members’ word to go on when checking to see that this is what it was spent on?
ISACA NOW: What are the challenges to Africa’s IT revolution? What solutions do you envision? KAIGWA: If we take the two above scenarios, they invariably bring security challenges. The issue of cybersecurity is one that has people divided.
The greatest of these is that on the connectivity front. I’m interested in seeing how the debate on net neutrality plays out on the continent, particularly after India’s decision on net neutrality; we have yet to see any clear reverberations on the continent.
The continent isn’t homogenous. There are 54 different negotiating tables for Facebook to sit with regulators. It is also worth noting that the way true regional lines get erased is when telcos are able to use their borderless technologies and economies of scale to facilitate entry for technology giants. The case in point is Airtel as a partner for Facebook’s Internet.org on the continent.
Mobility itself remains a challenge. Yes, one can engage and build with mobile in mind, but that is not the be-all and end-all of technology. Challenges and pain points in the user experience of unstructured supplementary service data (USSD) are an area that needs further thought. The need to go through menu after menu can prove taxing, especially given the number of timeouts. User experience on mobile (outside of apps) remains a challenge. This considering that USSD does not grant uniformity. From an iPhone 6S plus to a Nokia 3310 (were one to be revived and put back on a network) the interaction is virtually the same.
Regarding mobile money, the Brookings Institute noted that when South American countries were compared to African ones (especially those advanced in the penetration and use of mobile money), there were generally higher rates of formal bank account ownership among marginalized groups (i.e., women and low-income individuals) and higher rates of debit card, credit card use and Internet use for bill payments and purchases than the African countries. Conversely for Africans it remains primarily mobile driven. I’m exploring what this means when it comes to delivering a consistent and cyber-secure experience on mobile channels to customer segments not aware of risks and vulnerable to fraud.
ISACA NOW: Where are African enterprises at from a cybersecurity standpoint? Where are African citizens at, cybersecurity-wise? What are the challenges and solutions? KAIGWA: The biggest challenge here remains as seen above, to categorize the continent as homogenous. As is becoming an adage now—Africa is not a country. The contradictions, challenges and comparisons between countries yield different results each time. One can, however, find parallels when looking at the four corners of the continent. Kenya for East Africa, Nigeria and/or Ghana for West Africa, Egypt for Northern Africa and South Africa for Southern Africa.
To illustrate, one of the continent’s main pan-African organizations, the African Union (AU) in 2014 adopted its Convention on Cybersecurity and Personal Data Protection. The Convention sought to improve how African states address cybercrime, data protection, e-commerce and cybersecurity. Presently, only 8 of the AU’s 54 members have signed the Convention, with none ratifying it. The solutions will take a country-by-country examination of common ground and political will to take action as the consequences will be felt by nation states and the current and next generation of Africans coming online.
ISACA NOW: What will be the key takeaways from your address? KAIGWA: The key takeaways will be 3 provocations for Africa CACS based off of looking at the continent and observing the rise in mobility, the opportunity and threats, and how stakeholders in the public and private sectors and the general public can compete or collaborate to Africa’s advantage and strengths.
My talk begins and spends time looking at what one of the more recent digital “arms race” developments looked like and what the consequences are for the ISACA fraternity and beyond.
Editor’s note: For more information on the first-ever Africa CACS, 8 August to 9 August, click here.
Over time, the term risk assessment has become so commonplace that it has almost lost its meaning and is now much maligned.
Organizations run helter-skelter carrying out risk assessments that eventually become exercises in futility. One wonders why well-meaning managers, highly paid consultants and C-suite members with years of experience, access to tons of research, and armed with the best intentions eventually end up with unusable outcomes?
Here are 6 key lessons from more than a decade of working with organizations across the board on risk assessments from various perspectives, including information security, application security, health and safety, and a project standpoint. They include:
Strategize: The first step is to put in place a well-defined and articulated strategy which not only becomes a guidepost which can be revisited time and again, but which also can be the buoy you cling to when the time comes. A clear, well-articulated strategy can go a long way in ensuring successful risk assessments and driving outcomes.
Keep it simple: Simple is the friend of the wise and can go a long way in ensuring effective risk assessments and outcomes. A simple risk assessment is aligned with strategy, has wide and deep buy-in, and can help keep things practical. Simple risk assessment approaches deliver results easily and enable stakeholders to use them to manage risks effectively. Characterized by very close alignment to the organization and its context, its culture and ease of use, keeping it simple can help ensure sustainable success.
Buy-in, buy-in, buy-in: Irrespective of the reason for the risk assessment, effectiveness is determined by how deeply various stakeholders are involved, how much information is shared, and how the outcomes are perceived. Stakeholder buy-in can determine how the risk assessment is approached and how various stakeholders get involved; a sure shot way to achieve success. Buy-in is easier said than done and requires effective training and communication, transparency on all aspects relating to the risk assessment, a risk-aware organizational culture, and most importantly, visible management commitment.
Perfect is the enemy of practical: Aiming for perfection is desirable, but in most organizations considering day-to-day requirements, the outcomes expected and constraints ranging from limited time, the need to take action as you go along on identified risks, the dynamic nature of risks, and the need to balance risks and costs involved, it is imperative to ensure that the focus is on the practical. Being practical means the risk assessment used is repeatable, reliable and produces consistent results over time. Remember: you want to be able to identify potential risks and take reasonable actions to mitigate and recover in case risks occur.
Benchmark wisely: A key piece of advice on risk assessments is to benchmark. Assessing the outcomes of your risk assessment against what your peers in industry are doing can give your efforts a sense of stability and provide much needed navigational support. But it is worth remembering that your industry peers are as fickle as you are and no one wants to share information that is less-than-stellar. Very often benchmarking data comes with small print which simply means that the data is usable under certain standard test conditions and may be impractical if not outright nonsensical.
Modeling is best left to the ramp: Ok, I know your eyebrows might have merged with your hairline, but the point is, unless models are chosen appropriately and customized to suit your organizational needs and the purpose you have in mind, off-the-shelf models can actually make things more difficult. If you must choose a model, keep it simple (see point 2 above).
Combine the above in the right proportions and your risk assessment is guaranteed to deliver results and go a long way toward achieving organizational objectives and strategies leading to effective risk management.
The benefits of digital health are discussed widely around the world. The prospect of increased efficiency and enabling patients to take a more hands-on role in their own medical care are considered positive outcomes by many. However, concerns over data privacy and the prevalence of data breaches in the sector are creating barriers to the adoption of digital health in the United Kingdom (U.K.).
With this in mind, we recently hosted a roundtable event in London, inviting several experienced and respected individuals from all aspects of the healthcare sector to discuss some of the most pressing issues on the journey to digital health. During the event there were a number of different issues explored, and although there were a lot of opinions in the room, and a few debates, the participants all ultimately had the care of patients as their priority.
One goal everyone agreed upon was the need for some transparency on the journey to digital health. The following questions encapsulate concerns around a range of issues: What do patients today actually know about how their data is shared and more importantly perhaps, why it is shared?
The lack of transparency in the processes and management behind the U.K.’s recently cancelled Care.data initiative is often cited as one of the main reasons for its failure. One million people reportedly opted out of Care.data, and it was understood that many of these people were discouraged by the prospect of their information being shared for purposes beyond direct care. There was an echo of concern about the prospect of data being sold to third parties. The reality is there was little information offered over how data would be shared, and with whom, which leaves people to draw their own conclusions.
With this in mind, we wonder how many of the people who opted out understood or had access to information telling them where exactly their data would have been shared, or for what purpose. We also don’t know if these people were aware that their data would be anonymised and used in research to help find a cure for a common serious illness, and if knowing this would have made a difference to their decision.
During our discussion in London, it was evident that prioritising transparency could make a significant difference by improving the chances of gaining access to more anonymised data to both ensure public safety, and to enhance public benefit through research, and also by giving patients more control.
Solutions mentioned included enabling patients to access information about who has viewed their medical records, and even granting the ability to give or withdraw consent on a case by case basis. More could be done to communicate public need and the positive effects that anonymised data can bring (e.g. communicating that this data has led to the development of a new drug to treat a particular disease).
There are plenty of stories relating to data breaches in the healthcare sector. It’s interesting to think if it would make a difference if patients were able to read more success stories about data sharing, or if patients were told they could view exactly which practice or practitioner had seen their data – and if this visibility and control would instill more confidence in the prospect of data sharing. The question over whether patients would pay attention, if granted more transparency, was brought up by the participants at our roundtable session. Privacy of data and security are key concerns that patients cite when it came to data sharing initiatives, but even if you’ve quelled these fears, people ultimately want to know how they will personally benefit from tracking its use and granting consent. Many of us will readily hand over our sensitive financial data for the convenience of mobile banking, because it makes our lives easier.If the public knew that sharing their data could positively influence someone’s health and significantly impact the lives of others, this could add another dimension to the way people think about healthcare data. Overall, being open about the reasons why data sharing is a benefit seems to be the key to real positive change in the sector.
The solution to achieving this will require co-operation across all aspects of the sector, driven by a real will to understand the issues, the objectives being achieved and where accountabilities should lie. Following the discussion at our roundtable event, and the enthusiasm of all participants for this culture of transparency, we’re encouraged that the commitment for this development is there, which is a positive first step.
–By Faisal Malik, head of Business Development, EMEA (ISC)2
Trước hết chúng ta phải thừa nhận với nhau rằng, những năm gần đây các tổ chức, doanh nghiệp bắt đầu có ý thức hơn trong việc đầu tư cho ATTT, ít nhiều thì hệ thống phòng thủ của chúng ta đang trở nên mạnh hơn, được đầu tư trang bị nhiều giải pháp, công nghệ bảo mật tiên tiến. Nhưng ở bên kia chiến tuyến khác, các cuộc tấn công chống lại các hệ thống máy tính sẽ ngày càng phức tạp, gia tăng về tần suất và mức độ tinh vi. Khi việc phòng thủ thất bại những gì còn lại của an toàn thông tin chỉ có thể là xử lý, phản hồi. Nói cách khác xử lý, phản hồi là tuyến phòng thủ cuối cùng của an toàn thông tin.
Những vụ việc lớn trong nước những năm gần đây như VCCORP, VNA bị hack hay rộng hơn trên thế giới như Sony Picture, Ebay, Target hay HackingTeam một công ty chuyên cung cấp “vũ khí tấn công mạng” bị tấn công thâm nhập dữ liệu, hay những báo cáo về sự gia tăng các cuộc tấn công APT cho thấy những hệ thống phòng thủ tưởng như rất kiên cố, cuối cùng cũng thất bại. Rõ ràng. Kẻ tấn công đang ngày càng trở nên tinh nhuệ và khó lường hơn, được trang bị và hậu thuẫn, chống lưng bởi những tổ chức có tiềm lực, mục tiêu nhắm đến vẫn là những dữ liệu có giá trị như thông tin tình báo, sở hữu trí tuệ, kinh doanh… Bất cứ tổ chức nào cũng có thể là mục tiêu tiếp theo. Lúc này khả năng phản ứng của một tổ chức đối với các sự cố mà mình gặp phải sẽ tạo nên sự khác biệt so với những phần còn lại. Trước khi đi vào chi tiết, tôi muốn kể một vài câu chuyện về vấn đề xử lý, phản hồi các sự cố an toàn thông tin (sự cố) tại Việt Nam mà tôi từng tham gia.
Câu chuyện đầu tiên diễn ra vào tháng 8/2014 khi tôi tham gia Forensic cho một máy chủ bị tấn công, kẻ tấn công khi đã khai thác thành công lỗ hổng File upload của một website, có được quyền điều khiển máy chủ cung cấp dịch vụ, sau đó tiến hành Deface một loạt các site trên máy chủ đấy. Từ những thông tin có được từ phía nhà cung cấp dịch vụ, theo họ thì vấn đề này sẽ được đội ngũ kỹ thuật của họ giải quyết êm đẹp bằng việc restore lại dữ liệu mới nhất mà trước đó họ đã update.? Tất nhiên dữ liệu đó sạch hay không nó lại nằm ngoài khả năng của họ. May mắn là trên hệ thống của họ host site của một số cơ quan quan trọng. Nên nhóm của tôi mới có cơ hội tiếp cận. Nhiệm vụ của chúng tôi là điều tra tìm ra thông tin về cuộc tấn công (càng nhiều càng tốt). Câu chuyện thứ hai diễn ra vào tháng 10/2014, một trong những tổ chức hoạt động trong lĩnh vực internet, truyền thông lớn nhất của Việt Nam bị tấn công gây thiệt hại lớn về uy tín lẫn tài chính cho đơn vị này. Công ty chúng tôi nhận được yêu cầu hỗ trợ, mục tiêu cuối cùng vẫn là tìm ra thủ phạm tấn công, tuy nhiện ở vụ này không chỉ chúng tôi mà ngay cả VNCERT, và một số đơn vị khác tham gia ứng phó đều không được tiếp cận nhiều đến hệ thống của khách hàng bởi vì nhiều lý do. Hai câu chuyện trên đều có 1 điểm chung đó là khả năng xử lý, phản hồi của họ rất yếu. Họ không có quy trình, công cụ, cũng như một đội ngũ lành nghề để đáp ứng những công việc trên.
Ở vụ thứ nhất, trong quá trình phân tích các bản ghi sự kiện, chúng tôi tìm thấy nhiều bằng chứng cho thấy kẻ tấn công đã thực hiện quá trình Cover Track. Chính vì thế chúng tôi cần những bản ghi từ hệ thống quản lý log tập trung của nhà cung cấp dịch vụ để phân tích rõ hơn. Tuy nhiên, thật đáng tiếc khi một nhà cung cấp dịch vụ Hosting mà lại không xây dựng một hệ thống như vậy.Ở vụ thứ hai, lúc chúng tôi trao đổi thông tin với khách hàng, thì phần lớn các máy bị tấn công đều đã được tắt nguồn và niêm phong để tiến hành Dead analysis, đây là một cách làm thiếu sót, bởi vì những chứng cứ liên quan đến kẻ tấn công như dữ liệu trong bộ nhớ RAM, dữ liệu mạng, các truy cập… vô tình được phá hủy. Ở vụ này họ chỉ cung cấp cho chúng tôi mẫu mã độc để phân tích, câu chuyện vui nhưng kết thúc chỉ có thế. Tất nhiên là công cụ tìm diệt mã độc sau đó đã ra đời và “làm sạch” đáng kể hệ thống của khách hàng. Ở hai câu chuyện trên, cái mà chúng tôi cần nhất là dữ liệu, càng nhiều, càng tin cậy càng tốt. Chúng tôi cần tiếp cận và thu thập càng nhiều thông tin về hệ thống để xây dựng timeline phục vụ cho việc phân tích. Trong xử lý, phản hồi thì Forensics được xem là một trong những key quan trọng nhất, và một trong những key quan trọng nhất trong Forensics chính là dữ liệu để phân tích. Ở 2 trường hợp trên chúng tôi đều không có những thứ chúng tôi cần.
Hai câu chuyện ở 2 tổ chức, nhưng cũng là câu chuyện của rất rất nhiều công ty, cơ quan khác mà tôi có cơ hội làm việc. Tất cả những sự cố đều thực hiện sau khi việc đã rồi, có nghĩa là họ không có các quy trình cụ thể để thu thập, lưu trữ cũng như bảo vệ những dữ liệu cần thiết phục vụ cho những công việc phản hồi sau này. Công việc của những đơn vị, cá nhân tham gia xử lý sự cố gặp rất nhiều khó khăn vì dữ liệu bị phá hủy, không đủ dữ liệu để phân tích.
Lướt qua những báo cáo gần đây của Trustwave hay Mandiant, cho biết các tổ chức phải mất rất nhiều thời gian để phát hiện sự xâm nhập vào tổ chức mình. Để phát hiện hệ thống của mình bị xâm nhập có tới hơn 64% tổ chức mất 3 tháng liền (Trustwave Global Security Report), và con số 243 ngày cũng là số thời gian mà kẻ tấn công âm thầm hoạt động trên các hệ thống nạn nhân, mà các tổ chức không hề hay biết (Mandiant M-Trend Report) . Trong khi 46% thời gian để tấn công thỏa hiệp hệ thống diễn ra trong vài phút (Verizon Data Breach Report).Khi mà chúng ta đang cần một phương pháp để phản ứng nhanh với các sự cố, thì hiện tại những gì tôi quan sát được, phần lớn công việc ứng phó sự cố trong các tổ chức tại Việt Nam, vẫn đang bỏ ngõ. Nhiều tổ chức, công ty lớn trên thế giới, họ duy trì một đội phản ứng sự cố, sẵn sàng 24/7 để đối phó với các sự cố tiềm năng có thể xảy ra với đơn vị mình. Trong khi ở Việt Nam khi nhắc đến ứng phó sự cố đồng nghĩa với việc nhắc đến VNCERT hay CMC hay BKAV.
Tại sao các tổ chức không đầu tư nhiều hơn cho Incident Response? Để chúng ta có thể phát hiện và ứng phó nhanh các tấn công nhắm vào tổ chức mình. Trước khi trả lời câu hỏi này tôi muốn nói qua một chút về góc nhìn của kẻ xâm nhập, để mọi người thấy sự cần thiết của ứng phó sự cố, và nếu chúng ta làm tốt công việc này thì sẽ giảm thiểu rất nhiều thiệt hại cho tổ chức mình khi sự cố xảy ra. Ở đây có lẽ chúng ta đều biết những thỏa hiệp ban đầu chỉ cung cấp một bàn đạp để từ đó từng bước tấn công sâu hơn hệ thống. Các công việc trong thực tế của kẻ tấn công thường bắt đầu sau khi đã thiết lập được vị trí của mình trên hệ thống Victim. Từ việc tìm hiểu về môi trường, tiến hành lây lan, mở rộng phạm vi tiếp cận sang các hệ thống khác, leo thang đặc quyền trở thành người quản trị và đánh cắp dữ liệu. Đây là công việc mất nhiều thời gian mới có thể đạt được mục đích, đôi khi tính bằng ngày, tuần hoặc thậm chí cả tháng. Điển hình như vụ siêu thị bán lẻ Target bị tấn công bởi mã độc BlackPOS dẫn đến việc hơn 70 triệu thông tin tài khoản người dùng bị rò rỉ. Bằng cách sử dụng kỹ thuật “ RAM scarping” để phân tích bộ nhớ tiến trình trên thiết bị đầu cuối của hệ thống POS, trước khi dữ liệu được mã hóa. Điều này cho phép kẻ tấn công trích xuất dữ liệu từ bộ nhớ khi dữ liệu đang trong quá trình xử lý của thiết bị đầu cuối trước khi được truyền thông qua mạng. Không chỉ Target mà phần lớn các cuộc tấn công vào hệ thống POS đòi hỏi cần nhiều thời gian để thu thập dữ liệu, lúc này mã độc được sử dụng phải đảm bảo được việc cư trú thời gian dài trên thiết bị đầu cuối đã bị xâm nhập. Không giống như đánh cắp cơ sở dữ liệu khi hàng triệu bản ghi được truy cập, đánh cắp dữ liệu trên hệ thống POS đòi hỏi kẻ tấn công phải chờ đợi tới khi giao dịch diễn ra và thu thập dữ liệu theo thời gian thực, mỗi khi một thẻ tín dụng được sử dụng. Chính vì thế việc phát hiện ra sớm các dấu hiệu của việc hệ thống bị thỏa hiệp, và đáp trả một cách nhanh chóng, chính xác sẽ giúp các tổ chức giảm thiểu thiệt hại và các chi phí phục hồi. Các công việc cần làm tôi sẽ nói rõ hơn ở phần tiếp theo.
Quay lại vấn đề tại sao các tổ chức không đầu tư nhiều hơn cho Incident Response? Để chúng ta có thể phát hiện và ứng phó nhanh các tấn công nhắm vào tổ chức mình.Với câu hỏi trên, câu trả lời tôi nhận được ở nhiều tổ chức khá mơ hồ, kiểu như “Hệ thống của chúng tôi có gì đâu, ai tấn công làm gì” hay “Hệ thống của chúng tôi rất an toàn, được trang bị nhiều thiết bị bảo mật hiện đại nhất nên IR thấy chưa cần thiết”. Đây là những suy nghĩ đầy sai lầm. John chambers CEO của Cisco từng nói “There are two types of companies: those who have been hacked and those who don’t yet know they have been hacked.” Thế nên chúng ta nên bỏ suy nghĩ “nếu chúng ta bị tấn công” (có nghĩa là có hoặc không) mà hãy suy nghĩ là “khi nào thì điều đó diễn ra”. Lấy ví dụ về cuộc chiến sinh tồn nơi hoang dã, chúng ta thấy khi sư tử săn mồi thì những con ngựa yếu nhất và chậm nhất so với những con còn lại sẽ bị ăn thịt. Trong an toàn thông tin cũng thế, chừng nào mà hệ thống của chúng ta yếu hơn so với những tổ chức còn lại, thì chúng ta vẫn là mục tiêu ưa thích, việc tấn công đôi khi không nhằm vào dữ liệu hay tài sản mà chúng ta đang có, đơn giản công việc đó chỉ là một thú vui, hay sử dụng hệ thống tấn công làm nơi phát tán mã độc hoặc sử dụng những hệ thống đó để làm bàn đạp tấn công các hệ thống của những tổ chức khác.
Trong thực tế Pentest, Audit cho rất nhiều cơ quan, doanh nghiệp trong và ngoài nước, với hàng trăm ứng dụng, thiết bị, hệ thống chúng tôi đều phát hiện ra lỗi, tất cả những lỗ hổng ở đây không phải là zero-day, phần lớn thuộc top 10 OWASP, và các sai sót trong cấu hình các thiết bị, một số lỗi nghiêm trọng như shellshock, Jboss (CVE-2010-0738), Padding Oracle… vẫn chưa được khắc phục. Những thiết bị đình đám như F5, SourceFire hay của nhiều hãng nữa… sau khi được đưa vào triển khai thì vẫn giữ nguyên hiện trạng như ban đầu trước khi được bàn giao, hoặc được “tối ưu” không đáng kể, tất cả các cấu hình gần như được thiết lập là mặc định. Nhiều thiết bị dễ dàng đạt được quyền quản trị thông qua tấn công từ điển. Cho nên suy nghĩ rằng “hệ thống chúng tôi đã an toàn, vì chúng tôi có những thiết bị bảo mật tuyệt vời” cần được điều chỉnh. Cũng liên quan đến các thiết bị bảo mật. Cách đây hơn 2 năm, tôi có nhận được yêu cầu hỗ trợ từ một đơn vị nhà nước làm về truyền hình, viễn thông. Một trong rất nhiều website của tổ chức này bị tấn công thay đổi giao diện. Điều đáng nói ở đây khiến tôi vô cùng ngạc nhiên khi ngồi review lại toàn bộ hệ thống của khách hàng. Trong mô hình tổng thể tổ chức này được trang bị gần như đầy đủ các thiết bị bảo mật tiên tiến nhất đang có trên thị trường, từ F5, SourceFire, PaloAlto cho đến FireEye…Vậy câu hỏi đặt ra là vai trò của những thiết bị này ở đâu khi hệ thống của tổ chức này bị tấn công. Ở đây cụ thể tôi muốn nói đến thiết bị F5, câu trả lời cho điều này chỉ có một. Đó là thiết bị F5 được cài đặt với tất cả mọi thứ đều ở chế độ mặc định, các tính năng, tập luật (ngăn chặn sql injection, file upload, xss… đều không được tinh chỉnh) ngay cả username/password cũng được để mặc định. Chúng ta đều đồng ý rằng khi hệ thống được trang bị nhiều thiết bị thì sẽ an tâm hơn phần nào, nhưng khi mà bản thân các thiết bị đó không được đảm bảo an toàn, gặp nhiều sai sót trong cấu hình an ninh, thiết bị tồn tại lỗ hổng bảo mật dẫn đến bị thỏa hiệp thì lúc đó việc đầu tư nhiều vào thiết bị với việc không đầu tư đều có một kết quả như nhau là chúng ta đã không bảo vệ được tổ chức mình trước các cuộc tấn công từ không gian mạng.
Ngoài hai câu trả lời trên thì vấn đề tài chính và nhân lực cũng là một trong những thách thức lớn cho các tổ chức khi duy trì một đội ngũ để ứng phó sự cố 24/7. Tôi hiểu và chia sẻ với điều này, vấn đề này không thể giải quyết ngày một ngày hai, hơn nữa cũng phụ thuộc nhiều vào tiềm lực, hướng kinh doanh và nhiều vấn đề khác của tổ chức nữa.
Không có quy trình, công cụ và những kỹ sư lành nghề. Hiện tại nhiều tổ chức phát hiện ra các sự cố của mình thông qua hệ thống phần mềm diệt virus hay cảnh báo từ thiết bị IDS, tường lửa, và thường thì những cảnh báo ít được phân tích chuyên sâu, bởi vì họ không có một đội ngũ kỹ sư lành nghề để đáp ứng những yêu cầu đó. Thông thường các cảnh báo được đưa ra, nhưng không đánh giá hết được mức độ nghiêm trọng nếu như sự cố đó xảy ra. Chưa nói đến việc rất rất nhiều thiết bị như IDS và Firewall đang được cấu hình sai, cảnh báo nhầm, dẫn đến hạn chế trong việc phát hiện sự cố. Bên cạnh những thiết bị bảo mật, các tổ chức cũng phát hiện sự cố của mình thông qua các report của đội ngũ đánh giá bảo mật ở công ty ngoài, khi họ phát hiện có dấu hiệu xâm nhập vào tổ chức, hay những thông báo từ kẻ tấn công, hoặc người dùng cuối khi họ thấy mạng trong công ty bất thường. Nhiều đơn vị, thậm chí không phát hiện rằng hệ thống, thiết bị của mình đã và đang bị thỏa hiệp. Đặt câu hỏi, bạn sẽ là người thành công hay thất bại? Thì rõ ràng câu trả lời chúng ta muốn là thành công. Điều đó đồng nghĩa với việc đã đến lúc chúng ta đầu tư nhiều hơn cho Incident Response, chúng ta cần lựa chọn quy trình, phương pháp, công cụ kết hợp với những chuyên viên lành nghề để có thể xử lý, phản hồi nhanh các cuộc tấn công vào tổ chức mình.Để làm được điều đó, trước hết chúng ta cần một đội ngũ những kỹ sư lành nghề, có võ và một quy trình tốt để ứng phó sự cố. Quy trình này phải xuyên suốt từ việc Chuẩn bị cho đến tiến hành Phát hiện và phân tích, thực hiện các biện pháp ngăn chặn, loại bỏ, phục hồi cũng như những hoạt động cần thiết sau sự cố.
Trước hết là khâu chuẩn bị. Hầu hết các quy trình ứng phó sự cố thường nhấn mạnh vào công tác này. Công tác chuẩn bị tạo điều kiện thuận lợi cho các giai đoạn tiếp theo của quá trình ứng phó sự cố. Để qúa trình ứng phó được xuyên suốt cần có những hệ thống phục vụ cho việc thu thập và lưu trữ dữ liệu (Log Management, hệ thống live response từ xa) , những phần mềm chuyên dụng (Suricata, Grr, volatility, FTK, The sleuthkit, wireshark, IDA, Xplico,…) đội nào có tiền thì chơi sang xài Encase, X-ways Forensics, McAfee…) Ngoài ra thì cần chuẩn bị phương thức liên lạc và truyền thông (các kênh liện lạc của đội, số điện thoại, email..) nhằm đảm bảo cho hoạt động ứng phó sự cố được tiến thành xuyên suốt. À chú ý privacy, nên duy trì một kênh kết nối tốt, an toàn trong tổ chức cũng như với các đội bên ngoài, ở Việt Nam thì có thể thiết lập mối liên hệ với Vnsecurity (nơi tập trung nhiều chuyên gia giỏi, có trách nhiệm với cộng đồng, Vncert (trung tâm ứng cứu khẩn cấp sự cố máy tính) CMC InfoSec, và một số hiệp khách võ công thâm hậu khác không thuộc những tổ chức trên,… Việc chuẩn bị cần đảm bảo đầy đủ các công cụ và thiết bị cần thiết để đội ứng phó sự cố có thể thực hiện các công việc từ sao lưu dữ liệu, thu thập thông tin (thu thập bộ nhớ ram, clone đĩa cứng..), cho đến phân tích dữ liệu và kênh kết nối để thực hiện leo thang thông tin khi có trường hợp khẩn cấp.
Sau khi hoàn tất việc chuẩn bị, những kỹ sư lành nghề cần trang bị cho mình những bí kíp, chiêu thức để phát hiện và phân tích (phân tích dữ liệu mạng, bản ghi sự kiện, bộ nhớ RAM, khôi phục dữ liệu bị xóa, trích xuất và phân tích mã độc…). Đây là giai đoạn khó khăn nhất trong quá trình ứng phó sự cố. Để phát hiện chính xác và đánh giá xem sự cố đã xảy ra hay chưa, cần lưu ý rằng sự cố có thể được phát hiện thông qua nhiều công cụ khác nhau, các mức độ và tính trung thực cũng khác nhau. Việc phát hiện sự cố phụ thuộc vào kiến thức kỹ thuật, kinh nghiệm trong việc phân tích các dữ liệu liên quan đến sự cố. Chúng ta cần xác định rõ đâu là dấu hiệu hiện hữu, đâu là dấu hiệu tiềm năng. Ví dụ như log của máy chủ web ghi nhận được các bản ghi của các công cụ dò quét lỗ hổng bảo mật (Acunetix, nikto, sqlmap, w3af…) hay một lời tuyên bố sẽ tấn công nhằm vào các máy chủ, ứng dụng của tổ chức thì nó được xem là dấu hiệu tiềm năng. Trong khi đó, dấu hiệu hiện hữu là những dấu hiệu cho thấy sự cố đã hoặc đang xảy ra. Nếu một dấu hiệu tiềm năng được phát hiện, tổ chức có thể thực hiện ngăn chặn sự cố này trước khi sự cố này xảy ra. Trong khi các dấu hiệu tiềm năng là khá ít thì các dấu hiệu hiện hữu thì lại rất phổ biến. Ví dụ như các thiết bị phát hiện xâm nhập cảnh báo kẻ tấn công đang khai thác lỗi tràn bộ đệm, phần mềm chống mã độc hại cảnh báo một máy chủ bị nhiễm phần mềm độc hại, một quản trị viên nhìn thấy một tệp tin khác thường trên máy chủ hay máy chủ ghi lại sự thay đổi cấu hình.
Việc phân tích sự cố sẽ dễ dàng hơn nếu các dấu hiệu được đảm bảo là chính xác. Tuy nhiên các dấu hiệu không phải lúc nào cũng đúng. Ví dụ như các hệ thống phát hiện xâm nhập có thể đưa ra những cảnh báo sai. Hoặc tệ hơn, hệ thống phát hiện xâm nhập đưa ra quá nhiều cảnh báo làm cho việc phân tích trở nên vô cùng khó khăn.Đội ứng phó sự cố nên phân tích một cách nhanh chóng và xác định xem sự cố đã thật sự xảy ra hay chưa. Khi đã xác định một sự cố đã thật sự xảy ra, nhóm nghiên cứu bắt đầu thực hiện các bước phân tích ban đầu đề xác định phạm vi của sự việc. Ví dụ như vùng mạng, máy chủ bị ảnh hưởng, nguồn gốc của vụ việc, làm thế nào để sự việc xảy ra. Những phân tích ban đầu sẽ cung cấp thông tin cho các hoạt động phân tích sâu tiếp theo.
Xác định mức độ ưu tiên cho các sự kiện cũng là một vấn đề quan trọng. Các sự cố không nên được xử lý theo thứ tự thời gian phát hiện. Thay vào đó, việc xử lý các sự cố cần được ưu tiên dựa vào các yếu tố như mức độ ảnh hưởng đến hoạt động của hệ thống, ảnh hưởng về mặt thông tin đến hoạt động bình thường của tổ chức và các tổ chức khác nếu như sự cố ảnh hưởng đến các dữ liệu gắn liền với tổ chức đó, ảnh hưởng đến chi phí khôi phục, thời gian và nguồn lực của tổ chức trong đó chưa kể đến một số trường hợp các sự cố xảy ra không thể phục hồi.
Sau khi phát hiện và phân tích sự cố đang diễn ra đối với tổ chức mình, những kỹ sư lành nghề sẽ tiền hành các biện pháp nghiệp vụ để ngăn chặn, loại bỏ và phục hồi. Ở giai đoạn này chúng ta nên biết, đối với các loại sự cố khác nhau thì chiến lược ngăn chặn cũng khác nhau. Ví dụ chiến lược ngăn chặn đối với sự cố lây nhiễm phần mềm độc hại, sẽ khác so với chiến lược ngăn chặn sự cố tấn công từ chối dịch vụ. Các tổ chức nên tạo ra các chiến lược ngắn hạn riêng biệt cho từng loại sự cố lớn, có các tài liệu chuẩn, nội dung chiến lược rõ ràng để tạo điều kiện thuận lợi cho việc đưa ra quyết định.Sau khi sự cố đã được ngăn chặn, việc loại bỏ các thành phần của sự cố ra khỏi hệ thống là cần thiết. Ví dụ như sự cố về lây lan mã độc hại. Trong quá trình clean, điều quan trọng là xác định tất cả các ảnh hưởng đối với tổ chức để có kế hoạch xử lý.
Trong quá trình phục hồi, các quản trị viên hệ thống khôi phục lại hoạt động bình thường của hệ thống và xác nhận rằng hệ thống đang hoạt động bình thường. Quá trình phục hồi có liên quan đến các hành động như khôi phục lại từ các bản sao lưu hệ thống sạch, xây dựng lại hệ thống từ đầu, thay thế tệp tin bị thỏa hiệp, cài đặt các bản vá lỗi, thay đổi mật khẩu, thắt chặt các chính sách an toàn thông tin. Việc loại bỏ và phục hồi nên được thực hiện theo từng giai đoạn. Đối với các sự cố có quy mô lớn, việc phục hồi có thể mất rất nhiều thời gian, vì vậy việc chia giai đoạn đảm bảo trong giai đoạn đầu tiên, các cơ chế an ninh tổng thể được tăng cường để ngăn chặn các sự cố tương tự trong tương lai. Giai đoạn sau nên tập trung vào những thay đổi dài hạn (ví dụ như những thay đổi về có sở hạ tầng…).
Công việc cuối cùng của quy trình ứng phó sự cố là hoạt động sau sự cố. Đây là một phần quan trọng trong quá trình xử lý sự cố, nhằm việc rút ra các bài học kinh nghiệm về cuộc ứng phó sự cố. Sau khi sự cố đã xảy ra, chúng ta cần phải giải quyết được các câu hỏi như: Chính xác điều gì đã xảy ra? vào thời gian nào? Nhân viên và các quản lý thực hiện giải quyết vụ việc có tốt không? Những điều gì mà nhân viên và các quản lý nên làm khi có sự cố xảy ra? Làm thế nào để chia sẻ thông tin với các tổ chức khác? Các hành động để ngăn chặn sự cố tương tự trong tương lai là gì? Các dấu hiệu về sự cố tương tự là gì? Những công cụ hay nguồn lực nào cần thiết để giải quyết nhanh sự cố trong tương lai?Tổ chức nên thực hiện các buổi nói chuyện giữa các bên liên quan và rút ra các bài học kinh nghiệm cần thiết để đảm bảo sự cố tương tự sẽ không xảy ra. Buổi nói chuyện như thế này sẽ chỉ ra được cách thức phối hợp giữa các bên liên quan khi có sự cố xảy ra.
From the activities of political parties to the rise of electronic, wireless voting and tabulation machines, the electoral process has increasingly become technology-driven expanding voter participation. On the one hand, improved access and outreach through cyber innovations encourages more citizenry to help shaping their community’s or nation’s future. On the other, it has meant that elections and the electoral process are now vulnerable to cybersecurity attacks.
Although media outlets worldwide are treating the recent Democratic National Committee hacks in the United States as if it were a new phenomenon, using cyberspace to influence election outcomes is not new. In a demonstration this year, David Levin, of Vanguard Cybersecurity, pierced cybersecurity measures safeguarding elections information at the Florida Divisions of Elections not once, but three separate times. The 2008 and 2012 campaigns of both U.S. political parties fell victim to cyberattacks. Further, such activity is not a uniquely American phenomenon. Just this year, a hacker claimed to have been hired to affect the 2012 and 2014 national election outcomes in Mexico and Colombia, respectively, as well as several similar efforts in South and Central America. Digital spying on the opposition, the installation of malware, the hacking of websites, the creation of false social media profiles—all of these tactics and more have been and continue to be deployed by hackers to move electorates around the world toward a particular candidate.
Trained Cybersecurity Professionals Needed
To address this vulnerability, campaigns and political parties are increasing outreach to the IT and cybersecurity communities for well-trained, certified professionals to ensure cybersecurity for political and electoral efforts. This acceleration and opportunity is critically important: these events, scale and scope are not merely caused by technology; they are caused by people who are compromising the integrity of the electoral process. The solution lies with people as well. Our focus, a campaign platform plank, if you will, is on the pressing need for cybersecurity professionals to help ensure clean, fair, non-cyber-influenced elections.
Elections have an impact and history that extends over time, as do technologies. However, even the humblest of tools can accomplish little on its own. To maximize its value, cyber technology tools are best utilized by trained and certified individuals, people with the competencies, expertise and experience. To that end, it is imperative that we increase the ranks of our cybersecurity professionals, and their involvement globally, to preserve the integrity of electoral processes and results. No election—or business outcome—should be subjected to cybersecurity-based influences when the solution is at hand: highly skilled, trained and certified professionals.
Matthew S. Loeb, CGEIT, FASAE, CAE, Chief Executive Officer of ISACA
