Ransomware Protection ở tầng Lưu trữ & Sao lưu — Lớp phòng thủ cuối cùng cho Ngân hàng & Bảo hiểm

Khi một cuộc tấn công ransomware xâm nhập thành công vào hệ thống ngân hàng hay công ty bảo hiểm, kịch bản không dừng lại ở việc mã hóa vài máy chủ. Các dòng mã độc hiện đại được thiết kế để truy tìm và phá hủy chính những bản sao lưu — thứ đáng lẽ là "phao cứu sinh" cuối cùng của tổ chức. Khi tường lửa, EDR và các chương trình đào tạo nhận thức đã bị vượt qua, câu hỏi sống còn không còn là "làm sao ngăn tấn công" mà là "liệu chúng ta còn một bản dữ liệu sạch để khôi phục hay không". Đây chính là lúc tầng lưu trữ và sao lưu trở thành lớp phòng thủ cuối cùng — Last Line of Defense.

Vì sao phải phòng thủ ngay tại tầng Storage & Backup?

Các họ ransomware như LockBit, BlackCat, Akira hay RansomHub đã thay đổi hoàn toàn cách vận hành. Trước khi khởi động quá trình mã hóa dữ liệu sản xuất, chúng thường:

Tìm và xóa các snapshot, backup job, replication target để triệt tiêu khả năng khôi phục.
Tấn công trực tiếp vào backup server nếu server này nằm chung domain hoặc chung mạng với hệ thống sản xuất.
Lợi dụng credential hợp lệ của quản trị viên để xóa dữ liệu backup mà không cần khai thác lỗ hổng nào.

Hệ quả là các cơ chế bảo vệ phụ thuộc vào hệ điều hành hay tài khoản admin đều có thể bị vô hiệu hóa. Chỉ có cơ chế bất biến (immutability) và cách ly mạng (air gap) thực thi ngay tại tầng storage mới đủ sức ngăn ransomware xóa đi bản sao sạch.

Ba trụ cột không thể thiếu của Ransomware Protection

Một kiến trúc bảo vệ thực sự hiệu quả chỉ đạt được khi hội tụ đồng thời ba yếu tố. Thiếu bất kỳ trụ cột nào, toàn bộ hệ thống phòng thủ đều có thể sụp đổ.

1. Immutable tại firmware của Storage Array

Đây là lớp bảo vệ mạnh nhất hiện nay, bởi nó được thực thi ngay tại firmware của storage controller, hoàn toàn độc lập với hệ điều hành hay tài khoản quản trị.

Cơ chế hoạt động dựa trên Redirect-on-Write hoặc Copy-on-Write. Khi kích hoạt Retention Lock / Compliance Lock / Snapshot Lock, storage array sẽ từ chối mọi lệnh xóa hay ghi đè lên snapshot đã khóa — kể cả khi lệnh đó đến từ tài khoản có quyền cao nhất (root/admin). Thời gian lock có thể cấu hình linh hoạt, ví dụ 7 năm cho dữ liệu tài chính theo yêu cầu tuân thủ.

Trên các dòng storage phổ biến, cơ chế này được triển khai cụ thể như sau:

Dell PowerStore / PowerMax: Snapshot Lock kết hợp PowerProtect Cyber Recovery Vault.
IBM FlashSystem: Safeguarded Copy — tạo bản sao bất biến trong một pool riêng, không thể xóa.
HPE Alletra / Primera / 3PAR: Immutable Snapshots tích hợp cùng lớp backup.
Infortrend ESDS / GS: Retention policy trên snapshot kèm cơ chế lock.

Kết quả kỹ thuật: ransomware không thể xóa bản snapshot ngay cả khi đã chiếm được quyền admin của hệ thống lưu trữ.

2. Air-Gap / Isolation — không thể tiếp cận

Immutability ngăn dữ liệu bị xóa, nhưng air gap đảm bảo bản sao lưu nằm ngoài tầm với của kẻ tấn công. Có ba mô hình chính:

Physical Air Gap: sử dụng Tape Library (LTO-8/9) với robotic arm; bản backup cuối cùng được eject và lưu trong vault an toàn, ngắt kết nối hoàn toàn. Mức bảo vệ cao nhất, chi phí và yêu cầu vận hành cũng cao nhất — rất phù hợp với dữ liệu nhạy cảm của ngân hàng Việt Nam.
Logical Air Gap: tách biệt backup network bằng VLAN riêng, firewall chỉ cho phép one-way push từ production sang backup và không có rule truy cập ngược; hoặc triển khai Data Diode phần cứng. Mức bảo vệ cao, chi phí trung bình, là lựa chọn phổ biến và thực tế nhất.
Cyber Vault / Isolated Recovery Environment (IRE): môi trường khôi phục hoàn toàn cô lập, không kết nối production; backup được restore định kỳ để kiểm tra sạch. Mức bảo vệ rất cao và được khuyến nghị đặc biệt cho hệ thống Core Banking.

3. Quy trình test khôi phục định kỳ — đảm bảo hoạt động khi cần

Một bản sao lưu không được kiểm chứng là một giả định rủi ro. Vì vậy, quy trình Regular Restore Test trong môi trường cô lập cần được thực hiện ít nhất 2 lần/năm, kèm báo cáo và video ghi lại. Đây là bằng chứng cho thấy dữ liệu không chỉ tồn tại mà còn có thể khôi phục thành công trong tình huống thực tế.

Lớp phần mềm sao lưu bổ trợ và các biện pháp kỹ thuật

Để tạo defense-in-depth, lớp storage array nên kết hợp cùng lớp backup software:

Veeam: Hardened Linux Repository (XFS + immutability attribute) hoặc Object Storage với S3 Object Lock (WORM).
Commvault: Immutable snap copies kết hợp air-gapped copy.
Mô hình kết hợp: snapshot bất biến từ array được backup software đẩy tiếp sang immutable tier.

Bên cạnh đó, cần củng cố bằng các biện pháp:

Network Segmentation: backup network không route được từ user VLAN hay server VLAN, ngoại trừ management port được bảo vệ bởi PAM và MFA.
Privileged Access Management (PAM): mọi tài khoản admin storage/backup phải đi qua CyberArk, BeyondTrust hoặc Thycotic; tuyệt đối không dùng shared account.
Encryption + Key Management: dữ liệu backup mã hóa AES-256, key quản lý riêng qua KMIP server hoặc HSM, tách biệt với production key.
Anomaly Detection: giám sát thời gian chạy job, thay đổi dung lượng đột ngột, số file bị xóa và tích hợp SIEM (Splunk, QRadar, Elastic).

Quy trình khôi phục sau tấn công

Khi sự cố xảy ra, một quy trình chuẩn giúp giảm thiểu thiệt hại:

Phát hiện tấn công và ngắt kết nối production ngay lập tức.
Xác định timestamp cuối cùng trước khi dữ liệu bị mã hóa dựa trên snapshot timeline.
Khôi phục từ immutable snapshot gần nhất còn sạch (RPO gần như bằng 0 nếu snapshot liên tục).
Restore vào Isolated Recovery Environment để quét malware và xác minh toàn vẹn.
Failover sang DR site nếu cần; nếu DR cũng bị ảnh hưởng, dùng bản air-gapped tape.
Đưa hệ thống trở lại production sau khi đã verify sạch.
Ghi nhận toàn bộ quy trình để báo cáo NHNN, Bộ Tài chính và công ty bảo hiểm (nếu có Cyber Insurance).

Lưu ý triển khai cho ngân hàng và bảo hiểm tại Việt Nam

Trong bối cảnh yêu cầu localization dữ liệu, các tổ chức nên:

Ưu tiên giải pháp on-premise kết hợp air-gap thay vì public cloud backup cho dữ liệu Core Banking và hồ sơ bảo hiểm.
Áp dụng hai lớp immutability: storage array (firmware) và backup software (repository lock).
Duy trì DR Drill định kỳ với sự tham gia của IT, Security, Compliance và Ban lãnh đạo.

Chi phí đầu tư ban đầu chắc chắn cao hơn giải pháp thông thường, nhưng thiệt hại khi bị tấn công lớn hơn rất nhiều: trung bình một ngân hàng cần 4–6 tuần để phục hồi hoàn toàn nếu không có immutable và air gap.

Kết luận

Ransomware Protection ở tầng lưu trữ và sao lưu không phải là một tính năng đơn lẻ, mà là sự kết hợp đồng bộ của ba yếu tố: immutable tại storage firmware (không thể xóa), air gap / isolation (không thể tiếp cận) và quy trình test khôi phục định kỳ (đảm bảo hoạt động khi cần). Chỉ khi hội tụ cả ba, tổ chức mới thực sự có một lớp phòng thủ cuối cùng đáng tin cậy.

NTCOM đồng hành cùng các ngân hàng và doanh nghiệp bảo hiểm trong việc thiết kế, triển khai và vận hành kiến trúc bảo vệ dữ liệu toàn diện — từ storage bất biến, air-gap, đến quy trình DR Drill đáp ứng yêu cầu của NHNN và Bộ Tài chính. Liên hệ đội ngũ chuyên gia của NTCOM để được tư vấn giải pháp phù hợp với hạ tầng và mức độ tuân thủ của tổ chức bạn.