Một kịch bản mình luôn dùng khi nói chuyện với ban giám đốc SMB: 23 giờ, ransomware chạy trên máy kế toán, mã hóa thư mục Documents và ổ mạng \\fileserver\KeToan. OneDrive đồng bộ ngoan ngoãn các file đã bị mã hóa lên cloud. Sáng hôm sau, 12 người không mở được file nào. Câu hỏi đầu tiên của giám đốc không phải “ai làm”, mà là “bao giờ làm việc lại được“.
Business Premium cho bạn ba lớp: chặn (ASR rules, Controlled folder access, Tamper protection), phát hiện và ngắt (Defender for Business EDR, Automated investigation, Isolate), và khôi phục (OneDrive Files Restore, version history, Recycle Bin 93 ngày). Lớp khôi phục là lớp hay bị bỏ qua nhất, vì nó chỉ được kiểm tra khi đã quá muộn.
Bài này mình sẽ hướng dẫn bạn bật Controlled folder access ở chế độ audit rồi block, rà lại các thiết lập chống ransomware, kiểm tra OneDrive Known Folder Move đã phủ hết máy, và chạy một buổi diễn tập khôi phục OneDrive 60 phút có đo thời gian.
Điều kiện cần
| Yêu cầu | Chi tiết |
|---|---|
| License | Microsoft 365 Business Premium (Defender for Business, Intune, OneDrive) |
| Quyền | Endpoint Security Manager hoặc Intune Administrator; SharePoint Administrator (khôi phục OneDrive người khác); Security Operator |
Kiến trúc tổng quan
Bước 1: rà lại thiết lập chống ransomware
Mục đích là chắc chắn các thiết lập từ bài 5 đã thực sự áp trên mọi máy.
// Kiểm tra tamper protection và chế độ antivirus qua sự kiện gần nhất
DeviceTvmSecureConfigurationAssessment
| where Timestamp > ago(1d)
| where ConfigurationId in ("scid-2003", "scid-91") // tamper protection, ASR - VERIFY mã scid
| summarize arg_max(Timestamp, IsCompliant) by DeviceName, ConfigurationId
| where IsCompliant == 0
Với toàn bộ máy (kể cả Defender for Business): Defender portal → Reports → Endpoints → Device health → Microsoft Defender Antivirus health, xem cột Tamper protection, Antivirus mode.
Checklist:
| Thiết lập | Ở đâu | Phải là |
|---|---|---|
| Tamper protection | Settings → Endpoints → Advanced features | On |
| ASR “Use advanced protection against ransomware” | Intune ASR policy (bài 5) | Block |
| ASR “Block credential stealing from LSASS” | Intune ASR policy | Block |
| Cloud block level | Intune Antivirus (bài 5) | High |
| Antivirus mode | Device health report | Active (không Passive) |
Bước 2: Bật Controlled folder access ở chế độ audit
Mục đích là chỉ cho phép ứng dụng tin cậy ghi vào thư mục quan trọng, nhưng đo ảnh hưởng trước.
- Intune → Endpoint security → Attack surface reduction → Create policy → Windows → Attack Surface Reduction Rules
- Enable Controlled Folder Access: Audit Mode
- Controlled Folder Access Protected Folders: thêm
C:\Data, thư mục dữ liệu phần mềm kế toán (mặc định đã có Documents, Pictures, Desktop…) - Gán nhóm
Intune-Pilottrước, sau đóIntune-Users
Lưu ý: Chạy audit ít nhất 14 ngày. Controlled folder access là tính năng hay gây lỗi nhất với phần mềm cũ: phần mềm kế toán ghi file sao lưu vào Documents, công cụ xuất hóa đơn ghi PDF vào Desktop đều có thể bị chặn.
Bước 3: đọc audit và thêm ứng dụng được phép
Mục đích là liệt kê ứng dụng hợp lệ sẽ bị chặn khi chuyển block.
// Ứng dụng sẽ bị Controlled folder access chặn (máy P2), 14 ngày
DeviceEvents
| where Timestamp > ago(14d)
| where ActionType == "ControlledFolderAccessViolationAudited"
| summarize Events = count(), Devices = dcount(DeviceName) by InitiatingProcessFolderPath
| order by Events desc
Với máy Defender for Business: Reports → Endpoints → Attack surface reduction rules (Controlled folder access hiện cùng báo cáo)
Thêm ứng dụng hợp lệ vào Controlled Folder Access Allowed Applications trong policy, dùng đường dẫn đầy đủ tới file .exe.
Từ thực tế: Đừng thêm
C:\Program Files\*hay cả thư mục cài đặt vào allow list chỉ để “cho nhanh”. Ransomware thật sự hay chạy từAppDatahoặcTemp, nhưng một số biến thể dùng tiến trình hợp lệ có sẵn. Allow từng file.execụ thể, kiểm tra chữ ký số của nhà cung cấp.
Bước 4: xác nhận OneDrive phủ hết dữ liệu quan trọng
Mục đích là dữ liệu nằm ở nơi khôi phục được. File chỉ nằm trên ổ C: của laptop là file không khôi phục được sau ransomware.
- Microsoft 365 admin center → Reports → Usage → OneDrive → Files: user nào có số file thấp bất thường
- Kiểm tra Known Folder Move (cấu hình ở bài 4) bằng script trên máy:
# Desktop, Documents, Pictures có đang trỏ vào OneDrive không
$shell = "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders"
Get-ItemProperty $shell | Select-Object Desktop, Personal, "My Pictures"
- Với file server nội bộ: OneDrive không bảo vệ được. Cần backup riêng, có ít nhất một bản offline hoặc immutable (không ghi đè được từ mạng nội bộ)
Kết quả kỳ vọng: cả 3 thư mục trỏ vào %OneDrive%; file server có lịch backup và bản offline được ghi rõ.
Bước 5: diễn tập khôi phục OneDrive trong 60 phút
Mục đích là đo thời gian khôi phục thật (RTO), trước khi phải làm thật.
Chuẩn bị: một tài khoản thử nghiệm test.restore@khongkho.com có 200-500 file trong OneDrive.
- Phút 0: ghi giờ bắt đầu. Mô phỏng “mã hóa”: dùng script đổi tên hàng loạt file trong thư mục thử nghiệm (không dùng mã độc thật)
# CHỈ chạy trên thư mục thử nghiệm của tài khoản test. Mô phỏng ransomware đổi tên file.
$target = "$env:OneDrive\DienTap"
Get-ChildItem $target -File -Recurse | ForEach-Object {
Rename-Item $_.FullName ($_.Name + ".locked")
}
Set-Content "$target\DOC_TOI_DE_KHOI_PHUC.txt" "Đây là bài diễn tập khôi phục."
- Chờ OneDrive đồng bộ xong (biểu tượng tick xanh)
- Phút 10: user (hoặc admin thay user) mở OneDrive trên web → Settings (bánh răng) → OneDrive settings → Restore your OneDrive
- Chọn Custom date and time, kéo thanh thời gian về thời điểm trước khi đổi tên → Restore
- Ghi giờ hoàn tất, kiểm tra file đã về tên cũ, mở được
Lưu ý: OneDrive Files Restore chỉ khôi phục trong 30 ngày gần nhất. Admin khôi phục OneDrive của người khác bằng cách cấp quyền Site collection admin cho mình trên OneDrive đó trong Microsoft 365 admin center → Users → [user] → OneDrive → Get access to files, rồi làm như trên.
Bước 6: viết runbook một trang
Mục đích là sáng hôm sau ai cũng biết phải làm gì.
RUNBOOK RANSOMWARE - [TÊN CÔNG TY]
1. NGẮT (phút 0-15): Isolate mọi máy có alert ransomware (bài 9). Rút cáp mạng file server
nếu thấy file .locked / ghi chú đòi tiền. Khóa user liên quan (card bài 7).
2. BÁO (phút 15): Giám đốc, IT, đối tác hỗ trợ [tên, SĐT]. Không trả tiền chuộc khi chưa họp.
3. XÁC ĐỊNH PHẠM VI (giờ 1): Defender incident → máy, user, thư mục bị ảnh hưởng.
4. LÀM SẠCH (giờ 1-2): Full scan, xác nhận không còn tiến trình độc trước khi khôi phục.
5. KHÔI PHỤC (giờ 2-4): OneDrive Restore từng user; file server từ bản backup offline.
6. HẬU KIỂM: đổi mật khẩu, kiểm tra admin, classification incident, bài học.
Thời gian diễn tập gần nhất: [ngày] - RTO đo được: [x] phút
Lỗi thường gặp
| Lỗi | Nguyên nhân | Cách sửa |
|---|---|---|
| Phần mềm kế toán không lưu được file | Controlled folder access chặn | Thêm .exe vào Allowed Applications |
| Không thấy Restore your OneDrive | Tài khoản cá nhân, hoặc thiếu quyền | Dùng tài khoản công ty; admin cấp quyền qua Get access to files |
| File khôi phục vẫn bị mã hóa | Chọn thời điểm sau khi bị mã hóa | Kéo về sớm hơn, dựa vào cột hoạt động đột biến |
| File server không khôi phục được | Backup chung mạng, bị mã hóa cùng | Bản backup offline hoặc immutable |
Tổng kết
| Thành phần | Đã làm |
|---|---|
| Chặn | Tamper protection, ASR ransomware, Controlled folder access audit → block |
| Dữ liệu | Known Folder Move phủ mọi máy, file server có backup offline |
| Khôi phục | Diễn tập OneDrive Files Restore, đo RTO |
| Quy trình | Runbook một trang, số điện thoại thật |
Tài liệu tham khảo
- Protect important folders with controlled folder access
- Ransomware protection in Microsoft 365
- Restore your OneDrive
- Tamper protection
- Redirect and move Windows known folders to OneDrive
Công ty bạn đã từng diễn tập khôi phục dữ liệu chưa? RTO đo được là bao nhiêu? Chia sẻ trong comment nhé.