An ninh mạng & An toàn thông tin

Hệ thống tự động phân tích hành vi tập tin đáng nghi và cảnh báo mã độc tập trung bằng học máy

Cơ quan

Phòng PA05 - Công an tỉnh Cao Bằng

Lĩnh vực

An ninh mạng & An toàn thông tin

Thực trạng, vấn đề đang tồn tại

Qua giám sát an toàn thông tin các mạng chuyên dùng của cơ quan chính quyền số cấp tỉnh và cấp xã, đơn vị liên tục phát hiện các đợt tấn công, lây lan mã độc nhằm âm thầm đánh cắp thông tin đăng nhập, tài khoản nghiệp vụ và dữ liệu nhạy cảm, thông qua thư điện tử giả mạo chứa tệp đính kèm độc hại hoặc phần mềm bẻ khóa. Điển hình là sự cố tại máy tính của một cơ quan chính quyền cấp xã bị nhiễm mã độc gián điệp ghi bàn phím (Keylogger) hoạt động ẩn danh dưới dạng tiến trình giả mạo. Việc quét mã độc truyền thống phụ thuộc hoàn toàn vào cơ sở dữ liệu chữ ký có sẵn nên yếu thế trước mã độc thế hệ mới, đồng thời việc chia sẻ thông tin về mã độc mới giữa các đơn vị chưa thông suốt.

Thời điểm, bối cảnh

Xảy ra liên tục trong quá trình vận hành mạng chuyên dùng cấp tỉnh và cấp xã, đặc biệt tại nơi trực tiếp tiếp nhận hồ sơ dân cư nhưng hạ tầng bảo mật hạn chế.

Đối tượng bị ảnh hưởng

Hệ thống chính quyền địa phương cấp tỉnh và cấp xã, đội ngũ cán bộ quản trị và vận hành hệ thống, an toàn thông tin của người dân có dữ liệu lưu trên hệ thống chính quyền cơ sở.

Tác động của vấn đề

Nguy cơ lộ lọt thông tin nghiêm trọng, dữ liệu định danh và lịch sử sử dụng dịch vụ công của người dân có thể trở thành nguồn đầu vào cho các băng nhóm tội phạm lừa đảo chiếm đoạt tài sản. Đơn vị này bị tấn công nhưng đơn vị khác không được cảnh báo, dẫn đến nguy cơ lây nhiễm dây chuyền.

Đề xuất giải pháp

Xây dựng hệ thống tự động phân tích hành vi của tập tin đáng nghi chỉ trong vài giây bằng công nghệ học máy. Khi phát hiện tệp tin chứa mã độc thông qua các hành vi đặc trưng như đăng ký bộ lắng nghe sự kiện bàn phím, chụp ảnh màn hình liên tục hoặc cố gắng kết nối trái phép, hệ thống tự động cập nhật Dấu hiệu chỉ thị xâm nhập (IOC) gồm mã băm Hash, tên tiến trình giả mạo, IP máy chủ điều khiển C2 vào cơ sở dữ liệu chung của tỉnh. Ngay lập tức hệ thống đẩy cảnh báo thời gian thực đến toàn bộ tường lửa và máy trạm của tất cả cơ quan, đơn vị chính quyền địa phương trên địa bàn tỉnh để chủ động ngăn chặn trước khi mã độc kịp lây lan.

Mức ưu tiên / cấp thiết

3/5 - cần giải quyết (đơn vị tự đánh giá)

BTL86-09

Lừa đảo Deepfake AI. Các hình thức giả mạo bằng AI ngày càng tinh vi khiến người dân khó phân biệt thật giả.

BTL86-14

Website và fanpage giả mạo ngân hàng, cơ quan nhà nước, sàn thương mại điện tử được tạo hàng loạt với vòng đời rất ngắn, thường dưới 72 giờ. Cơ chế chặn lọc dựa trên danh sách đen luôn đi sau, người dân không có công cụ kiểm tra tức thời trước khi nhập thông tin cá nhân, tài khoản.

BTL86-15

Lừa đảo qua điện thoại và tin nhắn với các kịch bản giả danh công an, viện kiểm sát, nhân viên ngân hàng, con đang cấp cứu gây thiệt hại lớn nhưng chưa có công cụ cảnh báo ngay trong lúc người dân đang nghe gọi hoặc đọc tin nhắn. Kịch bản lừa đảo biến đổi liên tục theo thời sự trong khi tuyên truyền không theo kịp.

BTL86-16

Công nghệ deepfake ngày càng rẻ và dễ tiếp cận, bị lợi dụng để vượt qua xác thực eKYC khi mở tài khoản ngân hàng, giả mạo cuộc gọi video người thân để lừa chuyển tiền, và giả mạo hình ảnh, giọng nói lãnh đạo tổ chức. Các công cụ phát hiện hiện có chủ yếu tối ưu cho dữ liệu nước ngoài.

BTL86-17

Nạn nhân lừa đảo trực tuyến thường không biết trình báo ở đâu, cần cung cấp thông tin gì. Hồ sơ trình báo thiếu chuẩn hóa khiến việc tổng hợp, liên kết các vụ việc giữa các địa phương chậm và khó truy vết theo chiều rộng của chiến dịch lừa đảo.

BTL86-18

Tiền lừa đảo được luân chuyển qua chuỗi tài khoản trung gian gồm tài khoản thuê, mua bán trái phép với tốc độ rất nhanh, phân tán qua nhiều ngân hàng và ví điện tử, khiến việc phong tỏa thủ công thường chậm hơn tốc độ rút tiền của đối tượng.