Phòng vệ trước các tấn công bên trong môi trường mạng

Trong bài viết này chúng tôi sẽ giới thiệu cho các bạn một số bước cơ bản có thể được sử dụng để bảo vệ bạn trước các tấn công đến từ bên trong môi trường mạng.

Theo báo cáo của MSNBC.com, một thống kê được thực hiện bởi CSO Magazine đã phát hiện ra có đến hơn 58% tấn công được thực hiện từ bên ngoài, 21% tấn công được thực hiện bên trong; tuy nhiên mức nguy hiểm của các tấn công bên trong lại nguy hại hơn rất nhiều so với năm 2010, cụ thể là 33% so với 25%. Điều đáng lo ngại nhất là tấn công bên trong đang trở nên phức tạp hơn rất nhiều, có đến 22% tấn công bên trong có sử dụng các công cụ rootkit và công cụ hacker so với 9% vào năm ngoái, các công cụ tấn công cũng gia tăng ở mức độ đáng báo động. Bài viết này chúng tôi sẽ giới thiệu cho các bạn cách bảo vệ mạng của mình trước các tấn công bên trong ngày càng phức tạp.

Tại sao các tấn công bên trong ngày càng trở nên nguy hiểm hơn

Chúng ta có thể hiểu tấn công bên trong là tấn công được chỉ đạo bởi những người đang truy cập trái phép vào mạng và hệ thống của bạn. Họ rất có thể là một số nhân viên vì một lý do nào đó muốn chống lại công ty, một số vì động cơ muốn kiếm tiền bất chính mà sử dụng hệ thống để đánh cắp tài sản của công ty,… bất cứ ai lạm dụng đặc quyền của họ trong mạng công ty để sử dụng nó theo cách trái phép. Một số tấn công có thể là người bên trong bị đe dọa, mua chuộc bởi người bên ngoài nhằm đánh cắp các thông tin công ty, cài cắm virus hay malware để làm sập mạng của bạn,…

Một số kịch bản tấn công ở đây là:

• Tiêm nhiễm một cách có chủ tâm các máy tính và mạng công ty bằng malware hoặc virus để làm gián đoạn công việc và gây hậu quả mất năng suất.
• Cài đặt spyware, phần mềm keylogger hay các kiểu phần mềm tương tự như vậy để lấy cắp thông tin về những gì đồng nghiệp hay những người khác trong công ty đang thực hiện.
• Đánh cắp mật khẩu để đăng nhập vào mạng công ty để đội lốt trước người dùng nào đó.
• Copy các thông tin bảo mật của công ty và gửi ra bên ngoài mà không được phép .

Tại sao hầu hết các chiến lược bảo mật thường tập trung đến tấn công bên ngoài

Nếu các tấn công bên trong gây tổn hại đến công ty nhiều hơn thì tại sao hầu hết chính sách và chiến lược bảo mật thường tập trung vào bảo vệ mạng tránh các mối đe dọa đến từ bên ngoài? Có rất nhiều lý do để giải thích. Nền tảng của việc bảo mật mạng là tường lửa –  một “người gác cổng” được đặt giữa các máy tính (người dùng) trong mạng bên trong và những tấn công tiềm ẩn đến từ bên ngoài. Tuy nhiên có vấn đề đối với mô hình này là nó tạo ra một giả định lớn và đôi khi không hợp lệ, đó là tất cả người dùng bên trong phải hoàn toàn được tin tưởng. Chúng ta cũng không hề ngạc nhiên khi có rất nhiều công ty đưa ra giả định này. Đó là bản tính của con người, không mấy ai nghĩ người của mình lại phản bội mình. Mặc dù vậy đây có thể là một lỗi chí tử đối với bạn.

Có lẽ nguyên nhân chính là không hề đơn giản để chống lại các tấn công từ bên trong. Các nhân viên thường phải truy cập vào thông tin nhạy cảm để thực hiện công việc của họ. Họ có các chứng chỉ hợp lệ để đăng nhập vào mạng, do đó hoàn toàn dễ dàng khai thác bất cứ lỗ hổng bảo mật có thể gây gián đoạn các dịch vụ mạng. Một số người còn cho rằng  chúng ta không thể kiểm soát được những người này. Họ đưa ra quan điểm: Nếu bạn đưa cho ai đó chìa khóa để vào vương quốc, khi đó sẽ thực sự khó khăn trong việc ngăn chặn anh ta lạm dụng chúng để làm những gì anh ta muốn. Mặc dù vậy vẫn có rất nhiều bước có thể sử dụng để hạn chế những người bên trong thực hiện các hành vi phá hoại diện rộng.

Phát triển chiến lược bảo mật để bảo vệ trước các tấn công bên trong

Một số tổ chức bán lẻ đã sử dụng các chương trình tránh mất cắp để ngăn chặn nhân viên của họ lấy trộm hàng hóa cũng như tiền, một số tổ chức có liên quan với dữ liệu điện tử nhạy cảm cũng có thể sử dụng các chương trình DLP (data loss prevention). Và hiện tại có rất nhiều hãng cung cấp công nghệ DLP, tuy nhiên một chiến lược toàn diện sẽ là tốt nhất so với việc chỉ mua một thiết bị DLP và sử dụng chúng.

Có thể chúng ta sẽ không bao giờ loại bỏ hoàn toàn được rủi ro đến từ các tấn công bên trong, tuy nhiên đây là một số thứ bạn có thể làm để giảm bớt những vụ việc và sự ảnh hưởng của nó:

• Sử dụng thiết bị hay phần mềm DLP chuyên dụng: Các thiết bị hoặc phần mềm DLP cho phép bạn lần theo lưu lượng dữ liệu của công ty, có thể là theo thời gian thực hay bằng cách thu thập các thông tin và tổng kết nó trong các báo cáo hàng ngày hoặc hàng tuần. Bạn nên có một hệ thống DLP có thể chặn và đọc các tin nhắn SSL hoặc được mã hóa, bằng không người dùng sẽ có thể mã hóa dữ liệu mà họ gửi ra ngoài mạng hết sức đơn giản. Lưu ý rằng nhược điểm của DLP là nó có thể ảnh hưởng khá tiêu cực đến hiệu suất mạng.
• Cấu hình tường lửa để kiểm soát lưu lượng theo cả hai chiều: Hầu hết các tường lửa hiện đại đều có khả năng lọc lưu lượng gửi vào và gửi ra, tuy nhiên phần lớn được cấu hình chỉ để điều khiển lưu lượng gửi vào. Thiết lập các nguyên tắc gửi ra trên tường lửa của bạn sẽ khóa chặn được hoặc cho phép lưu lượng mạng phù hợp với tiêu chuẩn bạn thiết lập. Cho ví dụ, bạn có thể khóa chặn các lưu lượng gửi ra sử dụng một cổng nào đó.
• Sử dụng các bộ kiểm tra gói dữ liệu bên trong mạng: Các thiết bị DLP và tường lửa thường ưu tiên tập trung vào lưu lượng được gửi ra ngoài mạng. Tuy nhiên bạn có thể sử dụng các công cụ kiểm tra gói dữ liệu chẳng hạn như các sản phẩm Network Analysis and Visibility (NAV) để kiểm tra nội dung các gói di chuyển bên trong mạng nội bộ, cho ví dụ khi người dùng download một file từ máy chủ vào máy tính của anh ta mà người dùng này không có quyền truy cập hoặc dữ liệu này không cần thiết đối với công việc của họ. Công cụ NAV có thể kiểm tra nội dung một cách sâu sắc và tìm kiếm từ hay kiểu dữ liệu cụ thể (chẳng hạn như số phúc lợi xã hội) bên trong một tài liệu hay một file nào đó. Nhược điểm của NAV cũng như DLP đó là làm chậm hiệu suất mạng.
• Sử dụng các sản phẩm bảo mật email có bộ lọc nội dung: Bạn có thể sử dụng tính năng lọc nội dung cho các sản phẩm bảo mật email, cho ví dụ, để khóa chặn tin nhắn được gửi ra có chứa những từ khóa nào đó, hay khóa chặn không cho người dùng gửi đính kèm, ngăn chặn người bên trong gửi thông tin bảo mật ra ngoài mạng của bạn.
• Mã hóa dữ liệu: Mã hóa dữ liệu nhạy cảm sẽ gây khó khăn cho những người bên trong mạng (cũng như người bên ngoài) trong việc truy cập và đọc thông tin.
• Chính sách đặc quyền tối thiểu: Để bảo mật và phòng vệ tốt nhất đối với những mối đe dọa đến từ bên trong, bạn luôn phải thực hiện một chính sách cho phép người dùng có các đặc quyền ở mức hạn chế nhất, tuy nhiên vẫn đảm bảo họ vẫn thực hiện tốt các công việc cần làm. Sử dụng chính sách như vậy khi cấu hình sản phẩm DLP của bạn hay các chính sách gửi ra đối với tường lửa bắt đầu bằng cách khóa chặn mọi thứ và sau đó cho phép những thứ nào cần thiết nhất, phương pháp này sẽ trái ngược hoàn toàn với việc bắt đầu cho phép mọi thứ và sau đó hạn chế những gì bạn cảm thấy cần thiết sau. Tương tự như vậy, các khóa để truy cập vào dữ liệu được mã hóa cũng chỉ nên cung cấp sẵn cho những người mà công việc của họ yêu cầu truy cập vào dữ liệu đó, không cung cấp cho tất cả các nhân viên.
• Thẩm định truy cập file: Thực thi thẩm định sự truy cập đối với các đối tượng hệ thống file sẽ giúp bạn phát hiện lúc nào người bên trong truy cập các thông tin không liên quan đến công việc của họ.
• Vùng có liên quan đến công việc: Đây là một chính sách nhằm bảo đảm rằng không cá nhân nào có thể tiến hành một phiên giao dịch quan trọng (chẳng hạn như chuyển tiền tệ) một mình. Một cá nhân có thể khởi tạo quá trình đó nhưng nó không thể kết thúc mà không có sự xác thực của ai khác. Điều này sẽ cho phép kiểm tra nhiều lần và tạo sự cân bằng trong việc bảo vệ chống lại các nhân viên phản bội hay kẻ xâm nhập nào đó.
• Kiểm soát các thiết bị USB: DLP, tường lửa và lọc nội dung email sẽ giúp ngăn chặn được người bên trong tổ chức gửi các thông tin nhạy cảm của công ty ra ngoài mạng thông qua Internet. Tuy nhiên, các thiết bị như ổ USB ngoài rất hay được sử dụng bởi những người bên trong công ty nhằm giúp họ copy các thông tin nhạy cảm và mang nó ra ngoài công ty. Để tránh điều này, bạn có thể vô hiệu hóa các cổng USB trên hệ thống của những người không cần thiết sử dụng. Bạn có thể sử dụng chính sách nhóm của Windows hay phần mềm nào đó của hãng thứ ba để hạn chế hay khóa chặn việc cài đặt các thiết bị USB. Các phần mềm như GFI Endpoint Security có thể được sử dụng để quản lý sự truy cập người dùng, ghi lại các hành động của thiết bị USB, thẻ nhớ, CD, ổ mềm, iPod cũng như các thiết bị nghe nhạc MP3, điện thoại di động, PDA và bất cứ thứ gì có thể kết nối với máy tính thông qua đường USB.
• Các dịch vụ quản lý quyền hạn: Quản lý quyền hạn cho phép bạn cung cấp sự truy cập dữ liệu đối với người dùng nhưng sẽ giúp bạn ngăn chặn được việc những người này chia sẻ dữ liệu với những người không có thẩm quyền. Windows Rights Management Services (RMS) cho phép bạn khóa chặn việc copy hoặc in ấn các tài liệu, khóa chặn việc chuyển tiếp hoặc copy nội dung email,… Windows cũng cho phép khóa chặn hàng vi chụp toàn màn hình để bảo vệ các tài liệu và email. Tuy vẫn còn rất nhiều cách mà người dùng trong công ty bạn có thể khai thác (cho ví dụ như sử dụng máy ảnh từ điện thoại di động của họ để chụp ảnh màn hình) nhưng điềi này sẽ khiến họ khó khăn hơn trong việc biển thủ các thông tin được bảo mật.
• Quản lý sự thay đổi: Các công cụ quản lý cấu hình và quản  lý thay đổi, Configuration and Change Management, có thể giúp bạn nhận dạng thời điểm người dùng bên trong tổ chức thực hiện những thay đổi đối với cấu hình hệ thống nhằm tăng quyền truy cập đến các thông tin mà họ không cần thiết. Có rất nhiều sản phẩm trên thị trường có thể được sử dụng để tìm kiếm sự thay đổi trong mạng.
• Quản lý nhận dạng: Do các đặc quyền truy cập được phép dựa trên sự nhận dạng của người dùng nên cấp bách bạn phải có một hệ thống quản lý nhận dạng tốt. Điều này càng trở nên quan trọng hơn trong các môi trường mạng ngày nay, nơi công ty liên doanh và di rời một số hay tất cả dữ liệu vào đám mây, điều khiến mọi thứ trở nên phức tạp hơn bao giờ hết.
• Theo Windowsecurity/QTM