Phát hiện mối đe dọa nội bộ cho doanh nghiệp nhỏ
Sự cố nội bộ chỉ là thiểu số trong các vụ vi phạm dữ liệu, nhưng tập trung quanh thời điểm nhân viên nghỉ việc. Hướng dẫn thực tế để phát hiện hành vi đánh cắp dữ liệu của nhân viên bằng những công cụ bạn đã có sẵn.
Thế nào là một mối đe dọa nội bộ
Mối đe dọa nội bộ là rủi ro khi một người có quyền truy cập hợp pháp sử dụng quyền đó — dù cố ý hay không — để gây hại cho tổ chức. Cybersecurity and Infrastructure Security Agency (CISA) của Hoa Kỳ định nghĩa một người trong nội bộ là bất kỳ ai đang có hoặc từng có quyền truy cập được ủy quyền, hoặc hiểu biết về các nguồn lực của một tổ chức, bao gồm nhân sự, cơ sở vật chất, thông tin, thiết bị, mạng lưới và hệ thống
. Từ khóa mang ý nghĩa quyết định ở đây là được ủy quyền. Không ai cần phải đột nhập cả.
Sự phân biệt cốt lõi của CISA là giữa gây hại vô ý và gây hại cố ý, và CISA còn nêu riêng hai tình huống cắt ngang cả hai nhóm này. Điều đó cho bạn bốn nhãn phân loại mà bạn sẽ gặp trong thực tế — đáng để biết, bởi vì cụm từ “ba loại mối đe dọa nội bộ” được lặp lại ở khắp nơi nhưng lại không khớp với nguồn gốc thật sự của nó:
- 1Vô ýChia thành hai nhánh. Sơ suất là khi một người trong nội bộ biết rõ chính sách nhưng vẫn tìm cách lách qua — chèn cửa cho khỏi đóng, bỏ qua các bản cập nhật, chuyển tệp sang ổ đĩa cá nhân để làm việc tại nhà. Tình cờ là việc gửi nhầm email hoặc bấm vào một đường link lừa đảo.
- 2Cố ýNhững hành động được thực hiện nhằm gây hại cho tổ chức vì lợi ích cá nhân hoặc do bất mãn cá nhân: rò rỉ thông tin, phá hoại, mang theo danh sách khách hàng hoặc mã nguồn khi rời đi.
- 3Câu kếtMột người trong nội bộ bị một đối tượng bên ngoài chiêu mộ. Ngày càng phổ biến trong các vụ gian lận và đánh cắp tài sản trí tuệ, vì chiêu mộ một nhân viên rẻ hơn nhiều so với việc phá vỡ một tường lửa.
- 4Bên thứ baNhà thầu, nhà cung cấp và các đơn vị cung cấp dịch vụ quản lý có một số quyền truy cập nhất định mà không phải là thành viên chính thức của tổ chức — thường là những tài khoản ít được theo dõi nhất trong một doanh nghiệp nhỏ.
Bây giờ đến phần mà hầu hết các bài viết về chủ đề này đều bỏ qua. Sự cố nội bộ không phải là cách phổ biến nhất khiến một doanh nghiệp nhỏ bị xâm phạm dữ liệu, và bạn nên nghi ngờ bất kỳ ai nói ngược lại với bạn. Data Breach Investigations Report năm 2026 của Verizon — được xây dựng dựa trên hơn 31,000 sự cố thực tế — phát hiện các đối tượng nội bộ xuất hiện trong 12% các vụ vi phạm, giảm so với 18% của năm trước
. Nhóm khảo sát doanh nghiệp nhỏ của báo cáo này, bao gồm các tổ chức dưới 1,000 nhân viên, quy gần như toàn bộ các vụ vi phạm cho các đối tượng bên ngoài có động cơ tài chính.
Vậy thì tại sao lại phải dành cả một buổi chiều cho việc này? Bởi vì cấu trúc chi phí ở đây bị đảo ngược. Nghiên cứu Cost of Insider Risks năm 2026 của Ponemon Institute và DTEX phát hiện rằng các sự cố nội bộ mất trung bình 67 ngày để kiểm soát, với chi phí khoảng $747,000 cho mỗi sự cố do sơ suất, $742,000 cho mỗi sự cố cố ý, và $842,000 cho trường hợp một đối tượng bên ngoài sử dụng thông tin đăng nhập bị đánh cắp. Các sự cố nội bộ hiếm gặp hơn phishing, nhưng chúng kéo dài lâu hơn trước khi ai đó nhận ra, và những gì bị mang đi thường chính là thứ mà doanh nghiệp thực sự được xây dựng dựa trên đó.
Lưu ý về con số gây chú ý nhất. Cũng chính nghiên cứu đó của Ponemon báo cáo chi phí rủi ro nội bộ trung bình hằng năm là $19.5 million, và bạn sẽ liên tục thấy con số này được trích dẫn mà không kèm theo bối cảnh. Nghiên cứu này bao gồm các tổ chức từ dưới 500 nhân viên đến hơn 75,000, và độ chênh lệch trong khoảng đó là vô cùng lớn — nhóm dưới 500 nhân viên có mức trung bình $8.9 million mỗi năm, còn nhóm trên 75,000 nhân viên là $28.4 million. Từ đó rút ra hai điều. Nhóm nhỏ nhất đó vẫn kéo dài tới 500 người, vì vậy một doanh nghiệp 30 người nằm ở vị trí thấp hơn nhiều so với trọng tâm của nhóm này — và mọi tổ chức trong mẫu khảo sát đều đã từng trải qua một sự cố nội bộ đáng kể, đây không phải là một mẫu ngẫu nhiên. Hãy dùng những con số này để hiểu hình dạng tổng thể của chi phí, chứ không phải để dự đoán chi phí của riêng doanh nghiệp bạn.
Vì sao thời điểm nghỉ việc là điểm nóng rủi ro
Bởi vì rủi ro tập trung vào một khung thời gian hẹp và có thể dự đoán được. Software Engineering Institute của Carnegie Mellon — bộ phận CERT đã nghiên cứu các vụ việc nội bộ trong suốt hai thập kỷ — đã nói thẳng điều này trong phân tích của họ về các vụ đánh cắp tài sản trí tuệ: phần lớn người trong nội bộ đánh cắp tài sản trí tuệ trong vòng 30 ngày kể từ khi rời khỏi tổ chức
. Phát hiện đó có từ năm 2011, và cũng đáng để lưu ý về “tuổi đời” của nó; tuy nhiên nó vẫn đứng vững như một nguyên tắc tổ chức của thực hành quản lý rủi ro nội bộ kể từ đó đến nay, và mọi báo cáo dữ liệu telemetry của các nhà cung cấp được công bố từ đó đến nay đều cho thấy hoạt động tập trung quanh cùng một khung thời gian nghỉ việc.
Chỉ riêng câu đó thôi cũng hữu ích về mặt vận hành hơn bất kỳ nguồn dữ liệu threat-intelligence nào mà một doanh nghiệp nhỏ có thể mua. Điều đó có nghĩa là bạn không cần giám sát liên tục mọi người. Bạn chỉ cần biết khi nào có ai đó sắp rời công ty, và theo dõi đúng một số ít tín hiệu trong những tuần trước và sau thời điểm đó.
Kiểm tra số liệu thống kê trước khi lên kế hoạch dựa trên chúng
Ba con số thống trị hầu hết mọi bài viết về hành vi đánh cắp dữ liệu của nhân viên, và mỗi con số đều được trích dẫn theo cách phóng đại hơn thực tế. Điều này có ý nghĩa thực tiễn quan trọng: nếu bạn tin rằng một nửa nhân viên của mình đang đánh cắp dữ liệu, bạn sẽ mua sai công cụ và đối xử tệ với mọi người trong quá trình đó.
- “45% nhân viên mang theo dữ liệu khi họ nghỉ việc.” Có thật, nhưng đó là nhóm nhỏ tại Hoa Kỳ trong một khảo sát của Tessian vào tháng 5 năm 2020. Con số tổng thể trong chính nghiên cứu đó là 34%, và con số tại Anh là 23%. Yếu tố bổ nghĩa này gần như luôn bị lược bỏ mỗi khi con số được trích dẫn.
- “72% nhân viên mang dữ liệu công ty đi.” Đây là một cách hiểu sai. Con số 72% trong báo cáo năm 2019 của Code42 là tỷ lệ lãnh đạo an ninh thông tin đồng ý với phát biểu thể hiện quan điểm
đó không chỉ là dữ liệu của công ty, đó là công sức của tôi — và ý tưởng của tôi
. Đây là một phát hiện về cách con người cảm nhận về quyền sở hữu, chứ không phải về việc có bao nhiêu người trong số họ thực sự sao chép tệp. - “63% mang theo dữ liệu từ người sử dụng lao động trước đó.” Con số này có nguồn thật, có thể tra cứu được — Global Data Exposure Report năm 2019 của Code42 — công bố tháng 10 năm 2019. Nhưng hãy lưu ý đến nhóm khảo sát, đây chính là sai lầm tương tự khiến con số 72% bị hiểu sai: những người trả lời là 1,028 lãnh đạo an ninh và 615 người ra quyết định kinh doanh, không phải một lát cắt đại diện cho toàn bộ nhân viên. Và nó mô tả những người mang dữ liệu đến khi gia nhập công ty, đây là một rủi ro khác so với rủi ro mà bạn đang cố phát hiện khi ai đó rời đi.
Con số đáng tin cậy nhất đến từ Cyberhaven Labs vào năm 2022, và nó đáng tin cậy chính vì đây là dữ liệu telemetry được quan sát trực tiếp chứ không phải tự khai báo: trên khoảng 1.4 million nhân viên xử lý dữ liệu nhạy cảm, 9.4% đã làm rò rỉ dữ liệu trong một khung thời gian sáu tháng. Bài blog chứa con số này sau đó đã bị gỡ xuống — báo cáo gốc vẫn còn tồn tại dưới dạng tải xuống có yêu cầu đăng ký — vì vậy cách dễ nhất để kiểm chứng ngày nay là thông qua các bài báo cùng thời điểm đó. Dù thế nào, hãy xem đây là số liệu đã cũ. Báo cáo điều tra năm 2023 của DTEX cho biết tỷ lệ nhân viên sắp nghỉ việc mang theo tài sản trí tuệ nhạy cảm là 12%.
Kết luận thực tiễn: giả định hợp lý để lập kế hoạch là khoảng một trong mười nhân viên, không phải một trong hai. Khi một nhà cung cấp đưa ra một con số nào đó, hãy hỏi đó là báo cáo nào, năm nào, và khảo sát trên nhóm đối tượng nào — khảo sát ý kiến của lãnh đạo an ninh và dữ liệu telemetry từ các endpoint được giám sát không phải là cùng một loại bằng chứng, và ý định tự khai báo không phải là hành vi thực tế.
Hướng dẫn của CISA cũng đáng để ghi nhớ ở đây: việc đánh giá rủi ro nên dựa trên hành vi, không phải hồ sơ nhân khẩu học
, và những hành vi này hiếm khi mang tính bộc phát
— chúng luôn đi theo sau một quyết định có chủ đích. Không có khuôn mẫu nhân khẩu học nào để bạn phải để ý, và việc cố tìm ra một khuôn mẫu như vậy sẽ khiến bạn vừa sai vừa bất công.
Dữ liệu thực sự rời khỏi công ty bằng cách nào
Dữ liệu rời khỏi một mạng Windows quy mô nhỏ thông qua một danh sách kênh khá ngắn và không có gì đặc biệt. Điều quan trọng về mặt vận hành không phải là bản thân kênh đó, mà là liệu nó có để lại dấu vết mà bạn có thể tìm thấy sau này hay không — và với khá nhiều kênh trong số đó, câu trả lời trung thực là không.
| Kênh | Dấu vết để lại trên một máy tính Windows tiêu chuẩn |
|---|---|
| Thiết bị lưu trữ USB | Bao phủ tốt, một khi đã được cấu hình. Event 6416 khi cắm thiết bị, cộng với các sự kiện 4663 cho từng tệp nếu Audit Removable Storage được bật. |
| Tải lên webmail cá nhân | Không có gì. Lượt tải lên là một yêu cầu POST được mã hóa; Windows chỉ thấy một kết nối TLS và không hơn. |
| Đồng bộ đám mây cá nhân (Dropbox, Drive, OneDrive cá nhân) | Không có gì theo mặc định. Ứng dụng đồng bộ là một tiến trình hợp lệ, có chữ ký số, giao tiếp với một endpoint hợp lệ. |
| Dán nội dung vào một công cụ AI dành cho người dùng cá nhân | Không có gì theo mặc định — cùng vấn đề tải lên được mã hóa như webmail. Đáng nêu riêng vì với người thực hiện, việc này hiếm khi cảm thấy giống như đang đánh cắp dữ liệu. |
| Chuyển tiếp thư đến địa chỉ cá nhân | Bao phủ tốt — nhưng nằm trong Microsoft 365, không phải Windows. Hãy tìm Set-Mailbox và New-InboxRule trong unified audit log. |
| In tài liệu | Event 307 trong PrintService log — nhưng log này bị tắt theo mặc định, và tên tài liệu bị thay thế bằng chuỗi ký tự “Print Document” trừ khi bạn thay đổi một chính sách khác. |
| Clipboard và chuyển hướng ổ đĩa qua RDP | Yếu. Không có bản ghi riêng cho từng tệp theo mặc định. Group Policy có thể tắt chuyển hướng ổ đĩa, đồng thời cũng ngăn việc truyền tệp qua clipboard. |
| Điện thoại chụp lại màn hình | Không bao giờ có gì cả. Không tồn tại biện pháp kiểm soát kỹ thuật nào cho việc này, và không có sản phẩm nào có thể bán cho bạn một giải pháp như vậy. |
Theo thuật ngữ của MITRE ATT&CK, những kênh này tương ứng với T1052.001 (rò rỉ dữ liệu qua USB), T1567.002 (rò rỉ dữ liệu tới dịch vụ lưu trữ đám mây — mô tả của chính MITRE nêu tên Dropbox và Google Docs) và T1114.003 (quy tắc chuyển tiếp email). Phân tích phát hiện của MITRE cho trường hợp USB là thiết bị USB được cắm vào, theo sau là việc truy cập và tập hợp tệp với khối lượng lớn hoặc mang tính nhạy cảm
— đây chính xác là Event 6416 được đối chiếu với 4663, và cũng chính xác là những gì các phần tiếp theo sẽ thiết lập.
Một điểm tinh vi khiến nhiều người mắc bẫy: Windows chỉ coi một thiết bị là phương tiện lưu trữ di động nếu nó hiển thị dưới dạng một ổ đĩa có ký tự riêng. Một điện thoại hoặc máy ảnh kết nối qua MTP thay vào đó lại được liệt kê như một Windows Portable Device — một loại thiết bị khác, với cơ chế ghi log khác. Việc chặn USB mass storage không chặn được điện thoại.
Hàng liên quan đến AI mới xuất hiện gần đây hơn các hàng còn lại và đáng để theo dõi: cũng chính báo cáo năm 2026 của Verizon phát hiện việc nhân viên sử dụng các công cụ AI chưa được phê duyệt trên thiết bị công ty đã tăng gấp ba lần chỉ trong một năm, từ 15% lên 45%. Phần lớn trong số đó là do mọi người đang cố hoàn thành công việc, không phải đang đánh cắp dữ liệu — đây là lý do vì sao vấn đề này nên thuộc về một cuộc trao đổi chính sách hơn là một cuộc điều tra.
Trước khi bạn giám sát bất cứ điều gì
Trước khi bật dù chỉ một chính sách audit, hãy soạn thảo thông báo trước. Đây không phải là một chú thích tuân thủ để dọn dẹp sau — tại ba bang của Hoa Kỳ, đây là một nghĩa vụ theo luật định gắn liền với thời điểm trước khi việc giám sát bắt đầu, và không đạo luật nào trong số đó miễn trừ cho người sử dụng lao động nhỏ. Một công ty mười người tại New York chịu sự điều chỉnh giống hệt như một công ty mười nghìn người.
| Bang | Yêu cầu | Chế tài |
|---|---|---|
| New York — N.Y. Civil Rights Law § 52-c | Thông báo ngay khi tuyển dụng, bằng văn bản hoặc hình thức điện tử, được nhân viên xác nhận bằng văn bản hoặc điện tử — và một thông báo được niêm yết ở nơi dễ thấy. Bao gồm giám sát điện thoại, email và internet. | $500, sau đó $1,000, rồi $3,000 cho mỗi vi phạm tiếp theo. Do Attorney General thực thi. |
| Connecticut — Conn. Gen. Stat. § 31-48d | Thông báo bằng văn bản trước, gửi tới các nhân viên bị ảnh hưởng, mô tả các loại hình giám sát, cộng với một thông báo được niêm yết ở nơi dễ thấy — và đạo luật quy định rõ rằng việc niêm yết đó sẽ cấu thành thông báo bằng văn bản trước được yêu cầu, vì vậy thông báo được niêm yết sẽ hoàn thành nghĩa vụ này. Đây là đạo luật có phạm vi rộng nhất trong ba đạo luật: bất kỳ hình thức thu thập nào khác ngoài quan sát trực tiếp đều được tính, vì vậy camera và ghi phím đều nằm trong phạm vi. | $500, sau đó $1,000, rồi $3,000. Do Labor Commissioner thực thi. |
| Delaware — 19 Del. C. § 705 | Hoặc một thông báo điện tử hằng ngày mỗi khi nhân viên truy cập email hoặc internet của công ty, hoặc một thông báo bằng văn bản một lần mà nhân viên xác nhận. Không yêu cầu niêm yết. | $100 cho mỗi vi phạm, được theo đuổi qua một vụ kiện dân sự. |
Ranh giới cơ sở của luật liên bang, và cái bẫy
Electronic Communications Privacy Act là ngưỡng tối thiểu ở cấp liên bang. Có hai ngoại lệ đảm nhận phần lớn công việc cho người sử dụng lao động. Ngoại lệ dành cho nhà cung cấp dịch vụ tại 18 U.S.C. § 2511(2)(a)(i) bao gồm việc chặn thu trên chính cơ sở hạ tầng của bạn, khi đó là một phần cần thiết đi kèm với dịch vụ, hoặc để bảo vệ quyền lợi hay tài sản của nhà cung cấp dịch vụ đó
. Riêng biệt, § 2511(2)(d) khiến luật liên bang trở thành luật đồng ý một bên: hợp pháp khi một trong các bên tham gia liên lạc đã đưa ra sự đồng ý từ trước
.
Lợi thế thực tiễn — và nó thực sự có giá trị, dù không phải là câu chuyện “một tài liệu duy nhất giải quyết mọi thứ” gọn gàng mà đôi khi bạn nghe kể — là một bản xác nhận giám sát có chữ ký đảm nhận hai vai trò cùng lúc. Luật liên bang không bắt buộc phải có sự đồng ý ở nơi ngoại lệ dành cho nhà cung cấp dịch vụ đã áp dụng, nhưng sự đồng ý là con đường độc lập thứ hai theo § 2511(2)(d), và có cả hai sẽ tạo ra một vị thế vững chắc hơn so với chỉ dựa vào một trong hai. Cùng một chữ ký đó đồng thời đáp ứng yêu cầu xác nhận mà New York và Delaware đòi hỏi.
Tuy nhiên, nó không bao phủ mọi thứ, và có ba khoảng trống đáng nêu ra. Chỉ riêng một chữ ký thì không hoàn thành nghĩa vụ niêm yết — New York yêu cầu cả thông báo trên tường lẫn xác nhận, và ở Connecticut, việc niêm yết chính là thông báo bắt buộc. Phạm vi của ngoại lệ dành cho nhà cung cấp dịch vụ được hình thành qua án lệ chứ không phải một ranh giới rõ ràng, vì vậy lập luận “chúng tôi sở hữu chiếc laptop này” là một vị thế khởi đầu vững chắc, chứ chưa phải một biện hộ đã được xác lập chắc chắn. Và nếu bạn ghi âm cuộc gọi, hãy kiểm tra riêng luật nghe lén của bang bạn: một số bang yêu cầu tất cả các bên đều phải đồng ý, nghiêm ngặt hơn ngưỡng tối thiểu của luật liên bang.
Cái bẫy. Những ngoại lệ này chỉ bao phủ hệ thống của bạn. Việc sử dụng thông tin đăng nhập đã lưu trong trình duyệt của một nhân viên sắp rời đi để đăng nhập vào webmail cá nhân hoặc dịch vụ lưu trữ đám mây cá nhân của họ chính xác là tình huống “vượt quá phạm vi được ủy quyền” mà Stored Communications Act được viết ra để xử lý. Đây cũng là cách phổ biến nhất khiến một người sử dụng lao động đang điều tra hành vi đánh cắp dữ liệu tự biến mình thành bị đơn.
Nếu bạn có nhân viên tại EU, câu trả lời sẽ đảo ngược
Theo GDPR, cơ sở pháp lý phù hợp cho việc giám sát tại nơi làm việc là lợi ích hợp pháp theo Article 6(1)(f) — không phải sự đồng ý. Opinion 2/2017 của Article 29 Working Party kết luận rằng nhân viên gần như không bao giờ ở vị thế có thể tự do đưa ra, từ chối hoặc thu hồi sự đồng ý
và rằng sự đồng ý khó có khả năng là một cơ sở pháp lý cho việc xử lý dữ liệu tại nơi làm việc
. Đây là điều ngược lại hoàn toàn so với lập trường tại Hoa Kỳ, nơi một chữ ký là biện hộ vững chắc nhất của bạn.
Lợi ích hợp pháp đòi hỏi một bài kiểm tra ba phần được ghi chép lại đầy đủ — một mục đích cụ thể, sự cần thiết thực sự mà không có giải pháp thay thế nào ít xâm phạm hơn, và một hoạt động cân bằng giữa lợi ích đó với quyền của nhân viên — và Article 21 trao cho mọi nhân viên quyền phản đối. Một đánh giá tác động bảo vệ dữ liệu là bắt buộc khi việc giám sát mang tính hệ thống và có khả năng gây rủi ro cao, và các cơ quan quản lý quốc gia luôn coi việc giám sát nhân viên liên tục thuộc trường hợp này. Article 88 cũng cho phép các quốc gia thành viên áp đặt các quy định quốc gia nghiêm ngặt hơn, vì vậy đặc biệt là Đức, Pháp và Hà Lan còn đi xa hơn cả ngưỡng cơ sở của GDPR.
Thiết lập phát hiện với chi phí bằng không
Để phát hiện các kênh rò rỉ dữ liệu phổ biến nhất, bạn có thể bắt đầu với các thiết lập Group Policy đã có sẵn trong Windows và không tốn chi phí. Dưới đây là thứ tự mang lại độ bao phủ lớn nhất với ít công sức nhất.
1. Audit Removable Storage — thiết lập giá trị cao nhất
Đây là thiết lập nên được bật đầu tiên, và lý do nằm ở một chi tiết mà chính Microsoft nêu trong tài liệu của họ nhưng gần như không ai nhắc lại: Một sự kiện audit bảo mật được tạo ra cho tất cả các đối tượng và tất cả các loại truy cập được yêu cầu, không phụ thuộc vào SACL của đối tượng đó.
Hãy đọc lại điều đó nếu bạn từng cố thiết lập auditing cho hệ thống tệp. Auditing hệ thống tệp thông thường sẽ không hoạt động cho đến khi bạn cấu hình system access control list trên từng thư mục mà bạn quan tâm — Microsoft nêu rõ rằng không có sự kiện audit nào được tạo ra đối với các SACL mặc định của hệ thống tệp
. Audit Removable Storage bỏ qua toàn bộ điều đó. Bật nó lên, và bạn sẽ nhận được một sự kiện 4663 cho mỗi lần đọc hoặc ghi tệp trên một thiết bị USB, trên mọi máy tính, mà không cần cấu hình riêng cho từng thư mục. Hướng dẫn của Microsoft đánh giá nó ở mức Success và Failure trên cả máy trạm, member server và domain controller, trong khi Audit File System chỉ được đánh giá là “if needed”.
Xác minh trước khi tin tưởng vào nó. Microsoft lưu ý rằng một số phiên bản Windows 10 còn cần giá trị registry HKLM\SYSTEM\CurrentControlSet\Control\Storage\HotPlugSecureOpen được đặt thành 1 trước khi các sự kiện audit về thiết bị lưu trữ di động bắt đầu xuất hiện. Hãy bật chính sách này, sao chép một tệp thử nghiệm sang USB, và xác nhận bạn thực sự thấy Event 4663 với Task Category “Removable Storage device”. Một biện pháp kiểm soát mà bạn cứ mặc định là đang hoạt động còn tệ hơn là không có biện pháp kiểm soát nào cả.
Cũng đáng biết: những khuyến nghị theo từng phân mục này đến từ các trang tài liệu auditing Windows 10 đã được lưu trữ của Microsoft. Bảng khuyến nghị chính sách audit hiện tại dành cho Windows Server để trống hoàn toàn các hàng Object Access, vì vậy hãy xem chúng như hướng dẫn có cơ sở hợp lý chứ không phải chính sách đang còn hiệu lực chính thức.
2. Audit PNP Activity — biết khi nào một thiết bị xuất hiện
Thiết lập này nằm dưới Detailed Tracking, không phải Object Access — một chi tiết nhỏ khiến nhiều người mất mười phút lục tìm trong cây chính sách. Nó tạo ra Event ID 6416, “A new external device was recognized by the System”, trên Windows 10 và Server 2016 trở lên. Nội dung sự kiện mang theo đường dẫn instance của thiết bị, vendor ID và một ClassName — hãy lọc theo DiskDrive để tách các thiết bị lưu trữ khỏi bàn phím và chuột. Microsoft đánh giá khối lượng sự kiện này là thường ở mức thấp
và bổ sung một mẹo tinh chỉnh hữu ích: báo cáo bất cứ khi nào Subject Security ID không phải là SYSTEM. Lưu ý về giới hạn — 6416 chỉ ghi lại việc cắm vào và kích hoạt, không ghi lại việc rút ra, vì vậy nó sẽ không cho bạn biết một chiếc USB đã được cắm trong bao lâu.
3. Audit Logon — bắt được các mẫu hình hoạt động ngoài giờ
Event ID 4624 ghi lại các lượt đăng nhập thành công kèm theo một Logon Type: 2 cho đăng nhập trực tiếp tại bàn phím, 3 cho mạng, 10 cho RDP, 7 cho mở khóa. Microsoft xác nhận rõ ràng trường hợp sử dụng này: bạn có thể cần giám sát việc sử dụng một tài khoản ngoài giờ làm việc.
Một lượt đăng nhập loại 10 vào tối thứ Bảy từ một tài khoản chưa từng làm việc vào cuối tuần là cảnh báo có tín hiệu cao rẻ nhất mà bạn từng có thể xây dựng được.
Trường dữ liệu kết nối tất cả lại với nhau là Logon ID. Nó xuất hiện trong 4624 và lặp lại trong mọi sự kiện truy cập tệp 4663 thuộc cùng phiên đăng nhập đó, vì vậy đây chính là yếu tố giúp bạn trả lời được câu hỏi “ai đã sao chép những tệp này” thay vì chỉ dừng lại ở “các tệp đã bị sao chép”. Đừng bỏ qua trường này khi bạn xây dựng một truy vấn.
4. SACL, nhưng chỉ ở nơi thực sự xứng đáng
Đối với hai hoặc ba share thực sự chứa những dữ liệu quý giá nhất, hãy thêm một SACL và bật Audit File System. Có một lưu ý đáng biết: danh sách các loại truy cập được Microsoft khuyến nghị giám sát bao gồm ghi, xóa và thay đổi quyền — nhưng không bao gồm ReadData. Đọc chính là biểu hiện của hành vi đánh cắp, vì vậy hãy chủ động thêm nó vào. Microsoft cũng cảnh báo không nên bật auditing tràn lan, và điều đó hoàn toàn đúng: đặt SACL cho toàn bộ một file server và bạn sẽ chìm ngập trong dữ liệu, rồi ngừng theo dõi, điều này còn tệ hơn cả việc không ghi log gì cả.
5. Tăng dung lượng log, rồi thực sự đặt lịch rà soát
Security log mặc định sẽ nhanh chóng bị ghi đè một khi các sự kiện 4663 bắt đầu đổ về, và một log đã ghi đè lên bằng chứng thì không còn là một biện pháp kiểm soát nữa. Hãy tăng dung lượng trước tiên. Sau đó đặt một lịch hẹn định kỳ hằng tháng trong lịch làm việc — các sự kiện USB, các lượt đăng nhập ngoài giờ, bất kỳ quy tắc chuyển tiếp hộp thư mới nào. Phát hiện là một thói quen, không phải một ô cần tích; log mà không ai đọc thì chưa từng bắt được ai cả.
Đừng bỏ qua bước tập trung dữ liệu. Mọi thứ ở trên đều là theo từng máy riêng lẻ, và một buổi rà soát hằng tháng đòi hỏi đăng nhập lần lượt vào bốn mươi máy tính sẽ không thể duy trì được đến tháng thứ hai. Windows Event Forwarding đi kèm sẵn trong Windows mà không tốn thêm chi phí: hãy trỏ các endpoint của bạn về một collector duy nhất, đăng ký nhận một số Event ID nêu trên, và việc rà soát sẽ trở thành một truy vấn duy nhất thay vì bốn mươi truy vấn. Hãy thiết lập điều này trước khi bạn bật các chính sách audit, không phải sau đó — nếu không, kết quả thực tế sẽ là bạn tạo ra rất nhiều bằng chứng nhưng không bao giờ thực sự xem qua bất kỳ bằng chứng nào trong số đó.
Một bổ sung miễn phí đáng để cài đặt: Sysmon, thuộc bộ công cụ Sysinternals của Microsoft, lấp đầy khá nhiều khoảng trống nêu trên. Event 3 ghi log các kết nối mạng gắn với một tiến trình — nó bị tắt trừ khi bạn cấu hình — và Event 22 ghi log các truy vấn DNS, vì vậy một lượt tra cứu tới một tên miền chia sẻ tệp dành cho người dùng cá nhân sẽ trở nên có thể nhìn thấy được. Event 9 bắt được các thao tác đọc đĩa thô, điều mà Microsoft lưu ý thường được dùng để tránh các công cụ auditing truy cập tệp
. Ba sự kiện này là những sự kiện đáng để chạy thường xuyên.
Sysmon cũng có thể ghi log các thay đổi trên clipboard (Event 24), và bạn nên cân nhắc thật kỹ trước khi bật tính năng đó. Clipboard mang theo mật khẩu, tin nhắn cá nhân và dữ liệu của người khác, và việc thu thập chúng là một hành động mang tính xâm phạm nhiều hơn hẳn so với chỉ ghi log rằng một tệp đã được di chuyển. Nếu bạn thực sự bật tính năng này, hãy nêu rõ điều đó trong thông báo giám sát thay vì gộp chung vào một mô tả chung chung — nội dung công bố phải khớp với những gì bạn thực sự thu thập, nếu không thông báo đó sẽ không hoàn thành đúng vai trò của nó.
Những gì Windows không thể nhìn thấy
Windows không thể nhìn vào bên trong lưu lượng được mã hóa, và chỉ riêng giới hạn đó thôi cũng đã xác định ranh giới của thiết lập miễn phí này. Việc thẳng thắn về điều này quan trọng hơn nhiều so với thêm một danh sách tính năng nữa, bởi vì một biện pháp kiểm soát mà bạn nhầm tưởng là mình đang có còn tệ hơn một biện pháp mà bạn biết rõ là mình không có.
- Nội dung HTTPS. Mọi lượt tải lên webmail, đồng bộ đám mây cá nhân và ứng dụng nhắn tin đều mờ đục. Bạn có thể thấy rằng một kết nối đã xảy ra; bạn sẽ không thấy được điều gì đã đi qua kết nối đó.
- Lưu lượng ra khỏi mạng kèm quy kết danh tính. Việc ghi log của Windows Firewall bị tắt theo mặc định, và ngay cả khi được bật, nó cũng chỉ ghi lại các bộ thông tin kết nối — chứ không ghi tiến trình nào hay người dùng nào đã thực hiện.
- Tệp nào đã đi đến đâu. Windows ghi log việc đọc tệp và việc gửi dữ liệu qua mạng một cách độc lập với nhau và không bao giờ đối chiếu chúng với nhau. Việc ghép nối hai nửa đó lại chính xác là mục đích tồn tại của các sản phẩm data loss prevention.
- Một camera điện thoại chĩa vào màn hình. Không có dấu vết, không có biện pháp kiểm soát, không có sản phẩm nào giải quyết được. Đây là kênh rò rỉ dữ liệu lâu đời nhất và đến nay vẫn chưa có lời giải.
Hai điều mà nhiều nội dung trên internet hiểu sai
Thứ nhất, thời lượng phiên làm việc. Nhiều hướng dẫn đề xuất ghép sự kiện đăng nhập 4624 với sự kiện đăng xuất 4634 để đo xem một người đã làm việc trong bao lâu. Microsoft có ghi nhận trường hợp sử dụng này nhưng kèm theo một cảnh báo mà hầu hết các bài viết đều bỏ qua: Các sự kiện đăng xuất không đáng tin cậy 100 phần trăm. Ví dụ, máy tính có thể bị tắt mà không qua một quá trình đăng xuất và tắt máy đúng cách; trong trường hợp đó, một sự kiện đăng xuất sẽ không được tạo ra.
Độ dài phiên làm việc là một xu hướng hợp lý để theo dõi; nhưng nếu bạn xây dựng một cảnh báo cứng dựa trên nó, cảnh báo đó sẽ kích hoạt với cả những người chỉ đơn giản là gập laptop lại.
Thứ hai, ghi log việc in ấn. Việc bật PrintService operational log thường được trình bày như thể nó cho bạn một bản ghi về những gì đã được in. Nó cho bạn Event 307 kèm theo tác vụ in — nhưng tên tài liệu bị làm mờ thành chuỗi ký tự cố định “Print Document” cho đến khi bạn thay đổi một thiết lập riêng khác. Hãy bật log này, in một trang thử nghiệm, và kiểm tra tên tài liệu trước khi bạn dựa vào nó.
Cũng có hai tuyên bố về khoa học pháp y đối với USB được lan truyền rộng rãi — một tập hợp các Event ID của DriverFrameworks cho việc cắm vào và rút ra, và một sự kiện chẩn đoán Partition mang theo số serial của thiết bị — xuất hiện trong hàng chục bài blog nhưng không hề được Microsoft ghi nhận ở bất kỳ đâu, và log liên quan bị tắt theo mặc định. Chúng có thể vẫn hoạt động. Đừng xây dựng một biện pháp kiểm soát dựa trên chúng mà không tự kiểm tra trên phần cứng của chính bạn trước.
Khi nào công cụ chuyên dụng đáng để đầu tư
Công cụ chuyên dụng thực sự đáng đầu tư tại thời điểm mà thiết lập miễn phí không còn trả lời được những câu hỏi bạn thực sự đang đặt ra — thường là khi bạn cần khả năng quan sát các lượt tải lên được mã hóa, hoặc khi việc rà soát log sự kiện thô bằng tay không còn khả thi nữa. Dưới đây là một so sánh trung thực ở quy mô 10 đến 50 máy tính.
| Phương án | Phạm vi bao phủ | Chi phí và công sức |
|---|---|---|
| Auditing tích hợp sẵn của Windows | Sao chép tệp qua USB, cắm thiết bị, thời điểm đăng nhập, truy cập tệp trên các share được chọn. | Không tốn chi phí bản quyền. Nửa ngày làm việc với Group Policy, sau đó rà soát thủ công hằng tháng. |
| Sysmon (miễn phí) | Bổ sung kết nối mạng, truy vấn DNS, thay đổi clipboard, thao tác đọc đĩa thô. | Miễn phí. Cần một tệp cấu hình và một nơi để gửi sự kiện đến; đòi hỏi kỹ năng quản trị cao hơn so với các chính sách audit. |
| Kiểm soát thiết bị thông qua giải pháp bảo vệ endpoint | Chặn thay vì chỉ quan sát — hạn chế hoặc từ chối thiết bị lưu trữ di động, chỉ cho phép ổ đĩa được mã hóa. | Đi kèm sẵn trong một số bộ giải pháp endpoint. Lưu ý rằng tính năng kiểm soát thiết bị của Microsoft Defender không được hỗ trợ trên server. |
| Phần mềm giám sát hoạt động | Biến các sự kiện thô thành báo cáo và dòng thời gian dễ đọc; bổ sung hoạt động ứng dụng và web, ảnh chụp màn hình và theo dõi tệp. | Giấy phép theo mỗi người dùng hoặc trả một lần. Triển khai trong một buổi sáng; không cần chuyên gia bảo mật. |
| DLP cấp doanh nghiệp | Chặn theo nội dung — hạng mục duy nhất trả lời được một cách đáng tin cậy câu hỏi “tệp nào đã đi đến đâu” trên các kênh được mã hóa. | Chi phí cao nhất và gánh nặng cấu hình cũng cao vượt trội. Thường vượt quá khả năng vận hành tốt của một doanh nghiệp ở quy mô này. |
Khoảng trống khiến hầu hết doanh nghiệp nhỏ phải rời khỏi mức miễn phí không nằm ở khả năng phát hiện mà ở khả năng diễn giải. Windows sẵn sàng ghi lại hàng nghìn sự kiện 4663; nhưng biến chúng thành “đây là những gì người này đã làm trong hai tuần vừa qua” lại là công việc thủ công mà không ai duy trì nổi lâu dài. Đó chính là công việc mà giải pháp giám sát hoạt động đã được công bố trên các máy tính của công ty đảm nhận — và nó chỉ thực sự hiệu quả, cả về mặt pháp lý lẫn văn hóa, khi được xây dựng trên nền tảng công bố công khai đã trình bày ở phần trước.
Dù bạn chọn phương án nào, hãy áp dụng nó cho tất cả mọi người ở cùng một mức độ thay vì chỉ nhắm vào riêng người mà bạn nghi ngờ. Việc giám sát bí mật, nhắm mục tiêu vào một nhân viên cụ thể chính là nơi rủi ro pháp lý tập trung, và đó cũng là cách bạn phá hủy lòng tin của chín đồng nghiệp còn lại khi họ biết được chuyện đó sau này.
Danh sách kiểm tra khi nghỉ việc và giờ đầu tiên
Vì phần lớn các vụ đánh cắp tài sản trí tuệ xảy ra trong vòng 30 ngày kể từ khi nghỉ việc, danh sách kiểm tra dưới đây có giá trị hơn bất kỳ công cụ nào trong danh sách trước đó. Ai cũng nói “thu hồi quyền truy cập ngay lập tức”; nhưng gần như không ai viết ra cụ thể điều đó có nghĩa là gì trong thực tế.
- Vô hiệu hóa tài khoản, đừng xóa nó. Việc xóa sẽ phá hủy dấu vết audit và bất kỳ hộp thư nào bạn có thể cần đến sau này.
- Thu hồi các phiên đăng nhập và token đang hoạt động, không chỉ đổi mật khẩu. Một phiên đã đăng nhập trên điện thoại cá nhân vẫn tồn tại sau khi mật khẩu đã được đổi.
- Kiểm tra các quy tắc chuyển tiếp hộp thư — cả chuyển tiếp ở cấp hộp thư lẫn các quy tắc hộp thư đến. Các quy tắc có thể được tạo ra sao cho không hiển thị trong Outlook, vì vậy hãy kiểm tra ở phía server.
- Trích xuất log audit ngay bây giờ, đừng để sau. Microsoft 365 Audit (Standard) lưu trữ dữ liệu trong 180 ngày theo mặc định — nhưng công cụ admin audit search đã lỗi thời chỉ lùi lại được 90, và thời gian lưu trữ khác nhau tùy theo giấy phép. Hãy xuất những gì bạn cần thay vì tin rằng nó vẫn còn ở đó vào quý sau.
- Ngắt kết nối các ứng dụng đồng bộ đám mây cá nhân khỏi máy tính và kiểm tra xem những thư mục nào đã được đồng bộ.
- Đổi các thông tin đăng nhập dùng chung — khóa Wi-Fi, tài khoản admin dùng chung, các tài khoản mà chưa ai kịp cấp đăng nhập riêng cho từng người. Trong một doanh nghiệp nhỏ, đây thường là phần dài nhất của danh sách.
- Thu hồi phần cứng, bao gồm bất kỳ ổ đĩa hoặc dongle nào do cá nhân đang giữ, và ghi lại những gì đã được trả về.
- Giữ nguyên thiết bị của người đã nghỉ việc trong hai tuần trước khi cài đặt lại, nếu việc nghỉ việc diễn ra không mấy êm đẹp.
- Thực hiện buổi phỏng vấn thôi việc với thỏa thuận sở hữu trí tuệ trong tay. Bộ phận CERT của Carnegie Mellon từ lâu đã khuyến nghị sử dụng buổi phỏng vấn thôi việc để cùng người rời đi rà lại thỏa thuận mà họ đã ký, và để họ xác nhận lại thỏa thuận đó một lần nữa. Việc này chỉ tốn mười phút và là mục duy nhất trong danh sách này giải quyết vấn đề ý định, chứ không phải cơ hội.
Nếu bạn nghĩ rằng điều đó đang xảy ra ngay lúc này
Bảo toàn trước, điều tra sau, rồi mới hành động — theo đúng thứ tự đó, bởi vì bản năng tự nhiên thường đảo ngược cả ba bước này.
- Đừng tắt máy tính. Việc tắt nguồn sẽ làm mất mọi thứ đang lưu trong bộ nhớ và có thể kích hoạt việc dọn dẹp dữ liệu khi tắt máy. Thay vào đó, hãy cách ly máy khỏi mạng và để nó tiếp tục chạy.
- Đừng tự ý lục lọi trên máy đó. Mỗi thư mục bạn mở sẽ ghi đè lên dấu thời gian truy cập — chính là loại metadata mà sau này bạn sẽ cần dựa vào. Nếu vụ việc có khả năng phải trình bày trước ai đó, hãy cho tạo một bản image trước đã.
- Thu thập log trước khi chúng bị ghi đè. Hãy xuất Security log từ endpoint và kết quả tìm kiếm audit liên quan trong Microsoft 365 ngay lập tức.
- Không bao giờ mở tài khoản cá nhân của họ. Thông tin đăng nhập được lưu trong trình duyệt của công ty không cho bạn quyền hạn để làm điều đó, và việc sử dụng chúng chính là nơi vị thế vững chắc của người sử dụng lao động sụp đổ.
- Gọi cho luật sư trước khi đối chất với bất kỳ ai. Một cuộc trò chuyện diễn ra khi bằng chứng còn chưa đầy đủ sẽ báo động cho chính người vẫn còn khả năng xóa dữ liệu — và nếu bạn sai, bạn đã cáo buộc một nhân viên phạm tội.
Không điều nào trong số này đòi hỏi phải có một đội ngũ bảo mật. Nó chỉ đòi hỏi bạn quyết định, trước khi bất cứ điều gì xảy ra, rằng bạn sẽ thực hiện đúng đắn cái phiên bản nhàm chán của việc này: thông báo được ký ngay từ ngày đầu tiên, ba chính sách audit được bật lên, một danh sách kiểm tra được chạy mỗi khi có ai đó rời đi, và một giờ mỗi tháng thực sự dành để xem xét. Đó chính là hình hài của việc phát hiện mối đe dọa nội bộ ở quy mô này, và nó hoàn toàn nằm trong tầm tay.
Câu hỏi thường gặp
Ba loại mối đe dọa nội bộ là gì?
Cách gọi phổ biến “ba loại” không khớp với hướng dẫn thực tế của CISA. Cách phân chia chính của CISA là vô ý so với cố ý. Vô ý lại chia thành hai: sơ suất — một người trong nội bộ biết rõ chính sách nhưng vẫn tìm cách lách qua — và tình cờ, chẳng hạn như gửi nhầm email hoặc bấm vào một đường link lừa đảo. Cố ý nghĩa là hành động được thực hiện nhằm gây hại cho tổ chức vì lợi ích cá nhân hoặc do bất mãn. CISA cũng nêu riêng các mối đe dọa câu kết, trong đó một người trong nội bộ bị một đối tượng bên ngoài chiêu mộ, và các mối đe dọa từ bên thứ ba đến từ nhà thầu và nhà cung cấp có quyền truy cập nhất định mà không phải là thành viên chính thức của tổ chức.
Làm thế nào để phát hiện mối đe dọa nội bộ trong một doanh nghiệp nhỏ?
Hãy bắt đầu với hệ thống ghi log bạn đã có sẵn. Trên Windows, bật Audit Removable Storage để ghi lại mọi thao tác đọc hoặc ghi tệp trên thiết bị USB, bật Audit PNP Activity để ghi lại việc cắm thiết bị, và bật Audit Logon để bạn có thể phát hiện truy cập ngoài giờ làm việc. Trường Logon ID liên kết sự kiện đăng nhập của một người dùng với các sự kiện truy cập tệp trong cùng phiên đăng nhập đó — đây chính là yếu tố biến “tệp đã bị sao chép” thành “người này đã sao chép chúng”. Sau đó, hãy bổ sung việc rà soát hằng tháng các quy tắc chuyển tiếp hộp thư trong Microsoft 365.
Những dấu hiệu cảnh báo hành vi đánh cắp dữ liệu của nhân viên là gì?
Tín hiệu mạnh nhất là thời điểm: Software Engineering Institute của Carnegie Mellon phát hiện rằng phần lớn người trong nội bộ đánh cắp tài sản trí tuệ thực hiện điều đó trong vòng 30 ngày kể từ khi rời công ty. Trong khoảng thời gian đó, hãy chú ý đến việc truy cập hàng loạt tệp nằm ngoài vai trò thông thường của một người, các bản sao chép lớn sang thiết bị lưu trữ di động, các quy tắc chuyển tiếp thư mới đến một địa chỉ cá nhân, và việc truy cập vào những giờ bất thường. CISA nêu rõ rằng việc đánh giá nên dựa trên hành vi, không phải hồ sơ nhân khẩu học — không có khuôn mẫu nhân khẩu học nào có thể dự đoán được điều này.
Việc giám sát máy tính của nhân viên có hợp pháp không?
Tại Hoa Kỳ, nhìn chung là hợp pháp trên thiết bị thuộc sở hữu công ty vì mục đích kinh doanh chính đáng, theo ngoại lệ dành cho nhà cung cấp dịch vụ của Electronic Communications Privacy Act. Nhưng New York, Connecticut và Delaware đều yêu cầu thông báo bằng văn bản cho nhân viên trước khi việc giám sát bắt đầu, và không đạo luật nào trong số đó có ngoại lệ dành cho doanh nghiệp nhỏ. Tại EU, cách phân tích lại đảo ngược: người sử dụng lao động dựa vào lợi ích hợp pháp theo GDPR Article 6(1)(f), và các cơ quan quản lý coi sự đồng ý của nhân viên là không đáng tin cậy do sự mất cân bằng quyền lực.
Tôi có thể phát hiện hành vi đánh cắp dữ liệu mà không cần mua phần mềm bảo mật không?
Có, đối với các kênh phổ biến nhất. Windows có thể ghi log mọi tệp được sao chép sang USB, mọi thiết bị ngoại vi được nhận diện, và mọi lượt đăng nhập kèm thời gian và loại đăng nhập — tất cả thông qua Group Policy, không tốn chi phí bản quyền. Công cụ Sysmon miễn phí của Microsoft bổ sung thêm khả năng ghi log kết nối mạng, truy vấn DNS và thay đổi clipboard. Điều bạn không thể có được miễn phí là khả năng quan sát các lượt tải lên được mã hóa tới webmail hoặc dịch vụ lưu trữ đám mây dành cho người dùng cá nhân; việc đó thực sự đòi hỏi một công cụ trả phí.
Tôi nên làm gì nếu nghi ngờ một nhân viên đang đánh cắp dữ liệu công ty?
Đừng bắt đầu tự ý lục lọi trên máy của người đó, và đừng tắt máy — cả hai việc đều phá hủy bằng chứng, và việc tắt máy sẽ làm mất mọi thứ đang lưu trong bộ nhớ. Hãy bảo toàn trước tiên: cách ly thiết bị khỏi mạng nhưng vẫn để nó chạy, và thu thập các log liên quan trước khi chúng bị ghi đè. Kiểm tra thời gian lưu trữ audit trong Microsoft 365 của bạn thay vì mặc định giả sử: Audit Standard lưu trữ dữ liệu 180 ngày theo mặc định, còn công cụ tìm kiếm audit quản trị cũ hơn chỉ lùi lại được 90 ngày. Hãy mời luật sư tư vấn trước khi hành động dựa trên những gì bạn phát hiện, và không bao giờ sử dụng thông tin đăng nhập đã lưu để mở email cá nhân hoặc tài khoản đám mây cá nhân của người đó.