Incident Response • Malware • LAN Security
Phát Hiện Malware Trong Mạng LAN: Quy Trình Xử Lý Chuẩn SOC – Đừng Hoảng, Hãy Làm Đúng
Khi AV/EDR/SIEM phát cảnh báo malware trong LAN, đừng vội xóa file. Hãy xử lý theo đúng thứ tự: cô lập, xác định phạm vi,
thu thập bằng chứng, phân tích IOC, làm sạch/rebuild, vá lỗ hổng, giám sát tăng cường và rút kinh nghiệm.
Tư duy quan trọng trước khi xử lý malware
- Malware hiếm khi chỉ nằm trên một máy – có thể đã lan lateral movement.
- Xóa vội có thể mất bằng chứng (log/memory/IOC) khiến điều tra bế tắc.
- Xử lý sai thứ tự dễ làm tái nhiễm hoặc “đánh động” kẻ tấn công.
Quy trình xử lý malware trong LAN theo chuẩn SOC
-
1) Cô lập ngay hệ thống bị nghi nhiễm (Containment)
- Ngắt kết nối LAN/WiFi/VPN của máy nghi nhiễm.
- Không shutdown vội nếu chưa thu thập đủ log/memory.
- Mục tiêu: chặn malware tiếp tục lateral movement.
-
2) Xác định phạm vi lây nhiễm (Scoping)
- Kiểm tra máy cùng subnet, user đăng nhập chung, folder share.
- Rà soát log AD, firewall, switch, EDR/SIEM để tìm bất thường.
- Không giả định “chỉ có 1 máy dính”.
-
3) Thu thập bằng chứng trước khi xử lý (Forensics-lite)
- Sao lưu log: Security, System, Application, AV/EDR.
- Lưu hash file, process, registry key liên quan.
- Bước này là nền tảng để điều tra nguyên nhân & rút kinh nghiệm.
-
4) Phân tích loại malware & IOC (Triage/Analysis)
- Xác định: ransomware/trojan/backdoor/C2 agent.
- Kiểm tra IOC: hash, domain/IP, scheduled task, service lạ.
- Truy vết vector: email, USB, RDP, exploit lỗ hổng…
-
5) Làm sạch hoặc rebuild hệ thống (Eradication/Recovery)
- Máy quan trọng: ưu tiên rebuild thay vì “clean cho xong”.
- Reset password các tài khoản từng đăng nhập.
- Xóa persistence: startup, task scheduler, service, GPO bất thường.
-
6) Vá lỗ hổng & siết cấu hình (Hardening)
- Update OS, phần mềm, firmware liên quan.
- Disable dịch vụ không cần thiết (SMB cũ, RDP mở rộng…).
- Áp dụng least privilege, network segmentation, MFA (nếu có).
-
7) Giám sát tăng cường sau sự cố (Post-incident Monitoring)
- Theo dõi log/traffic/hành vi trong vài ngày đến vài tuần.
- Tạo rule cảnh báo dựa trên IOC vừa phát hiện.
- Đảm bảo malware không quay lại lần 2.
-
8) Rút kinh nghiệm & chia sẻ nội bộ (Lessons Learned)
- Viết incident report ngắn gọn: nguyên nhân – hậu quả – cách xử lý.
- Update checklist/playbook xử lý sự cố.
- Training lại user nếu nguyên nhân đến từ phishing.
Câu hỏi thường gặp (FAQ)
Có nên tắt máy ngay khi nghi nhiễm malware không?
Không nên shutdown vội nếu bạn chưa thu thập đủ log/memory. Ưu tiên cô lập mạng để chặn lây lan, sau đó thu thập bằng chứng rồi mới xử lý.
Vì sao rebuild thường an toàn hơn “clean malware”?
Vì “clean” dễ bỏ sót persistence/backdoor. Rebuild (kèm hardening + reset credential) giúp cắt đứt dấu vết và giảm rủi ro tái nhiễm.
IOC là gì và cần lưu những gì?
IOC (Indicator of Compromise) là dấu hiệu xâm nhập như hash file, domain/IP, scheduled task, service lạ, registry key… Lưu IOC giúp bạn tạo rule cảnh báo và săn tìm (threat hunting).
Bước quan trọng nhất để tránh “dính lại” là gì?
Vá lỗ hổng + siết cấu hình (hardening) và giám sát tăng cường dựa trên IOC. Nếu nguyên nhân là phishing thì training lại user là bắt buộc.
