Theo đó, 7 nhóm yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR gồm có: Yêu cầu về tài liệu, yêu cầu về quản trị hệ thống, yêu cầu về kiểm soát lỗi, yêu cầu về log, yêu cầu về tài nguyên xử lý, yêu cầu về tính khả dụng của hệ thống, yêu cầu về chức năng phát hiện và phản ứng.
Với mỗi yêu cầu, Bộ Thông tin và Truyền thông (TT&TT) cũng đưa ra các tiêu chí, điều kiện mà sản phẩm EDR cần đáp ứng để đảm bảo chất lượng. Cụ thể, ở nhóm yêu cầu quản trị hệ thống, sản phẩm EDR cần cho phép quản lý vận hành đáp ứng các yêu cầu: Cho phép thiết lập, thay đổi, áp dụng và hoàn tác sự thay đổi trong cấu hình hệ thống, cấu hình quản trị từ xa, cấu hình tài khoản xác thực và phân quyền người dùng, cấu hình tập luật bảo vệ; Cho phép thay đổi thời gian hệ thống; Cho phép thay đổi thời gian duy trì phiên kết nối; Cho phép đăng xuất tài khoản người dùng có phiên kết nối còn hiệu lực; Cho phép xóa log; Cho phép gửi cảnh báo qua thư điện tử hoặc tin nhắn...
Sản phẩm EDR cho phép quản trị từ xa an toàn đáp ứng các yêu cầu: Sử dụng giao thức có mã hóa như: TLS hoặc tương đương; Tự động đăng xuất tài khoản và hủy bỏ phiên kết nối quản trị từ xa khi hết thời gian duy trì phiên kết nối.
Với nhóm yêu cầu về chức năng phát hiện và phản ứng, theo khuyến nghị của Bộ TT&TT, sản phẩm EDR cần có chức năng phát hiện sự cố đáp ứng các yêu cầu: Cho phép phát hiện tấn công, mã độc dựa theo thông tin địa chỉ IP, tên miền, giá trị băm và theo hành vi; Cho phép người dùng chủ động thực hiện quét tại các tệp tin và thư mục khả nghi tại máy của mình; Cho phép quản lý cảnh báo; xem chi tiết thông tin cảnh báo; bổ sung, làm giàu thông tin cảnh báo; Cho phép điều tra phản ứng trên một giao diện tập trung duy nhất.
Cùng với đó, sản phẩm cần có chức năng điều tra và phản ứng sự cố đáp ứng các yêu cầu: Cho phép phân tích các tiến trình đang chạy từ xa trên máy chủ/máy trạm; Cho phép tìm kiếm log trên máy chủ/máy trạm; Cho phép thiết lập chính sách chặn các ứng dụng độc hại hoạt động trên máy chủ/máy trạm bằng cách định nghĩa đường dẫn/giá trị băm; Cho phép chặn kết nối độc hại từ máy chủ/máy trạm bằng cách điều khiển tường lửa hệ điều hành trên máy chủ/máy trạm hoặc tường lửa được tích hợp trên EDR.
Theo Cục An toàn thông tin, mục đích của việc xây dựng và ban hành yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR là nhằm khuyến nghị các cơ quan, tổ chức có liên quan đến hoạt động nghiên cứu, phát triển, lựa chọn, sử dụng sản phẩm an toàn thông tin trong nước.
Đồng thời, tạo chuẩn mực chung đối với các sản phẩm an toàn thông tin trong nước, hướng tới chuẩn mực quốc tế; thí điểm, đánh giá thực tế việc áp dụng yêu cầu kỹ thuật làm cơ sở xây dựng, ban hành tiêu chuẩn, quy chuẩn kỹ thuật cho từng sản phẩm trong giai đoạn tiếp theo.
Đối tượng áp dụng các nhóm yêu cầu kỹ thuật cơ bản đối với sản phẩm EDR là các cơ quan, tổ chức có liên quan đến hoạt động nghiên cứu, phát triển, đánh giá, lựa chọn sản phẩm EDR khi đưa vào sử dụng trong các hệ thống thông tin.
Phát triển hệ sinh thái sản phẩm an toàn, an ninh mạng Việt Nam là một trong những nhiệm vụ quan trọng, dài hạn của Bộ TT&TT, trực tiếp là Cục An toàn thông tin.
Hà Trần
