Bộ TT&TT đã có quyết định ban hành yêu cầu kỹ thuật cơ bản đối với sản phẩm Phát hiện và phản ứng sự cố an toàn thông tin trên thiết bị đầu cuối (Endpoint Detection and Response – EDR).
Theo đó, 7 nhóm yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR gồm có: Yêu cầu về tài liệu, yêu cầu về quản trị hệ thống, yêu cầu về kiểm soát lỗi, yêu cầu về log, yêu cầu về tài nguyên xử lý, yêu cầu về tính khả dụng của hệ thống, yêu cầu về chức năng phát hiện và phản ứng.
Với mỗi yêu cầu, Bộ TT&TT cũng đưa ra các tiêu chí, điều kiện mà sản phẩm EDR cần đáp ứng để đảm bảo chất lượng. Cụ thể, ở nhóm yêu cầu quản trị hệ thống, sản phẩm EDR cần cho phép quản lý vận hành đáp ứng các yêu cầu: Cho phép thiết lập, thay đổi, áp dụng và hoàn tác sự thay đổi trong cấu hình hệ thống, cấu hình quản trị từ xa, cấu hình tài khoản xác thực và phân quyền người dùng, cấu hình tập luật bảo vệ; Cho phép thay đổi thời gian hệ thống; Cho phép thay đổi thời gian duy trì phiên kết nối; Cho phép đăng xuất tài khoản người dùng có phiên kết nối còn hiệu lực; Cho phép xóa log; Cho phép gửi cảnh báo qua thư điện tử hoặc tin nhắn...
Sản phẩm EDR cho phép quản trị từ xa an toàn đáp ứng các yêu cầu: Sử dụng giao thức có mã hóa như TLS hoặc tương đương; Tự động đăng xuất tài khoản và hủy bỏ phiên kết nối quản trị từ xa khi hết thời gian duy trì phiên kết nối.
Với nhóm yêu cầu về chức năng phát hiện và phản ứng, theo khuyến nghị của Bộ TT&TT, sản phẩm EDR cần có chức năng phát hiện sự cố đáp ứng các yêu cầu: Cho phép phát hiện tấn công, mã độc dựa theo thông tin địa chỉ IP, tên miền, giá trị băm và theo hành vi; Cho phép người dùng chủ động thực hiện quét tại các tệp tin và thư mục khả nghi tại máy của mình; Cho phép quản lý cảnh báo; xem chi tiết thông tin cảnh báo; bổ sung, làm giàu thông tin cảnh báo; Cho phép điều tra phản ứng trên một giao diện tập trung duy nhất.
Cùng với đó, sản phẩm cần có chức năng điều tra và phản ứng sự cố đáp ứng các yêu cầu: Cho phép phân tích các tiến trình đang chạy từ xa trên máy chủ/máy trạm; Cho phép tìm kiếm log trên máy chủ/máy trạm; Cho phép thiết lập chính sách chặn các ứng dụng độc hại hoạt động trên máy chủ/máy trạm bằng cách định nghĩa đường dẫn/giá trị băm; Cho phép chặn kết nối độc hại từ máy chủ/máy trạm bằng cách điều khiển tường lửa hệ điều hành trên máy chủ/máy trạm hoặc tường lửa được tích hợp trên EDR.
 |
| Bộ TT&TT giao Cục An toàn thông tin chủ trì hướng dẫn việc áp dụng các yêu cầu trong "Yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR" (Ảnh minh họa: securityintelligence.com) |
Cục An toàn thông tin cho biết, mục đích của việc xây dựng và ban hành yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR là nhằm khuyến nghị các cơ quan, tổ chức có liên quan đến hoạt động nghiên cứu, phát triển, lựa chọn, sử dụng sản phẩm an toàn thông tin trong nước.
Đồng thời, tạo chuẩn mực chung đối với các sản phẩm an toàn thông tin trong nước, hướng tới chuẩn mực quốc tế; thí điểm, đánh giá thực tế việc áp dụng yêu cầu kỹ thuật làm cơ sở xây dựng, ban hành tiêu chuẩn, quy chuẩn kỹ thuật cho từng sản phẩm trong giai đoạn tiếp theo.
Đối tượng áp dụng các nhóm yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR là các cơ quan, tổ chức có liên quan đến hoạt động nghiên cứu, phát triển, đánh giá, lựa chọn sản phẩm EDR khi đưa vào sử dụng trong các hệ thống thông tin.
Phát triển hệ sinh thái sản phẩm an toàn, an ninh mạng Việt Nam là một trong những nhiệm vụ quan trọng, dài hạn của Bộ TT&TT, trực tiếp là Cục An toàn thông tin.
Từ tháng 6/2021, để góp phần hiện thực hóa mục tiêu nêu trên và phục vụ hoạt động đánh giá, kiểm định sản phẩm, dịch vụ an toàn thông tin, Cục An toàn thông tin đã đề xuất việc xây dựng danh mục yêu cầu kỹ thuật cơ bản cho 11 sản phẩm an toàn thông tin trong nước.
Đến nay, Bộ TT&TT đã ban hành yêu cầu kỹ thuật cơ bản cho 8/11 sản phẩm và khuyến nghị các cơ quan, tổ chức áp dụng, bao gồm: Sản phẩm Tường lửa ứng dụng web (Web Application Firewall); Sản phẩm Quản lý và phân tích sự kiện an toàn thông tin (Security Information and Event Management – SIEM); Sản phẩm Nền tảng tri thức mối đe dọa an toàn thông tin (Threat Intelligence Platform – TIP); Sản phẩm Phòng, chống xâm nhập lớp mạng (Network-based Intrusion Prevention System - NIPS); Sản phẩm Mạng riêng ảo (Virtual Private Network - VPN); Sản phẩm Điều phối, tự động hóa và phản ứng an toàn thông tin (Security Orchestration, Automation and Response - SOAR); Sản phẩm Phòng, chống mã độc (Anti-Virus - AV); Sản phẩm Phát hiện và phản ứng sự cố an toàn thông tin trên thiết bị đầu cuối (Endpoint Detection and Response - EDR).
Vân Anh
