Thảm họa an ninh mạng lớn nhất có thể đã được phòng tránh

Lỗ hổng của Accenture và Equifax trong năm 2017 chiếm hết tít nóng các tờ báo đã có thể được ngăn chặn bằng những biện pháp cơ bản.

Ngay cả những tập đoàn lớn nhất cũng đang phải đối mặt với những thách thức an ninh công nghệ. Chỉ trong 2 năm qua, những thương hiệu nổi tiếng nhất cũng bị đánh gục bởi những lỗ hổng dữ liệu và lỗi bảo mật.

Vậy những công ty này đã làm gì để ngăn chặn thảm họa này trước khi nó xảy ra? Chúng tôi đã đặt câu hỏi với những chuyên gia bảo mật toàn cầu về những sự kiện nổi bật này.

Những thông tin nhạy cảm bị công khai

Trong tháng 9, 2017, 4 máy chủ lưu trữ dữ liệu đám mây của Accenture bị đặt trong tình trạng không bảo mật và thông tin có thể tải xuống được.

Kho dữ liệu Amazon Web Services (AWS) S3 bị thiết lập cho truy nhập công khai thay vì truy nhập riêng. Điều này có nghĩa là ai cũng có thể tải xuống các nội dung bằng cách đơn giản là chỉ cần nhập vào địa chỉ web của kho dữ liệu. Máy chủ chứa những dữ liệu nhạy cảm bao gồm nền tảng dữ liệu đám mây của Accenture, hoạt động bên trong, thông tin khách hàng cũng như hơn 40000 password ở dạng văn bản.

“Số lượng các công ty sử dụng dịch vụ đám mây công khai tăng lên, những vấn đề như thế này xảy ra thường xuyên hơn”, Dmitry Kulshitsky, một kỹ sư bảo mật nói. “Accenture không phải là trường hợp duy nhất. Các kỹ sư vốn đã quen với mô hình trung tâm dữ liệu kiểu cũ, với nhiều lớp bảo vệ được quản lý bởi nhiều nhóm khác nhau. Mô hình đám mây công khai thay đổi hoàn toàn. Trong thế giới phần mềm định hình mới, chỉ cần một click chuột là bạn có thể cho cả thế giới biết kiến trúc bên trong hệ thống của bạn.”

Dù cho số lượng báo cáo về các lỗ hổng ngày càng tăng lên, vẫn có nhiều cách để các doanh nghiệp tránh khỏi các lỗ hổng tương tự. Các biện pháp này bao gồm sự phối hợp nội bộ, đảm bảm bộ phận IT có những kỹ năng phù hợp để vận hành trong môi trường điện toán đám mây công khai, và thiết lập kho dữ liệu S3 một cách chính xác.

Theo Yun Zhi Lin, phó chủ tịch bộ phận kỹ thuật phụ trách khu vực Châu Á-Thái Bình Dương của công ty tư vấn toàn cầu Contino, Acceture có thể sử dụng các dịch vụ phù hợp hơn trong việc dưu trữ các dữ liệu nhạy cảm như AWS Parameter Store, AWS Key Management Service (KMS) hay Hashicorp Vaulti, mã hóa toàn bộ dữ liệu nhạy cảm sử dụng mã hóa phía máy chủ, và đảm bảo tất cả các kho dữ liệu S3 ở chế độ riêng tư, chỉ có thể truy nhập bởi các nguồn đám mây riêng ảo (VPC) thông qua các điểm cuối VPC.

“Thêm nữa, nếu nhóm của bạn củng cố vững chắc một nền tảng đám mây đa người dùng và cách ly từng môi trường bằng chính tài khoản AWS của môi trường đó, tầm ảnh hưởng của thảm họa này có thể bị giới hạn lại và lỗ hổng trong từng khu vực không ảnh hưởng sang các khu vực khác,” ông nói thêm.

Lin cho rằng những phương pháp đo lường dự phòng như vậy lẽ ra là những “kiến thức cơ bản” của mỗi học viên đã hoàn thành các khóa học AWS associate-level hay khóa học kiến trúc entry-level. Accenture, với vai trò là một đối tác Premier AWS, chắc chắn sẽ có không ít những người được đào tạo với trình độ này.

“Bài học sống còn của các công ty là họ nên tự tạo cho mình một chiến lược cho hệ thống đám mây của mình, với sự cố vấn nếu cần thiết,” ông nói và nhấn mạnh rằng điều này cho phép các tổ chức vun đắp năng lực và tự kiểm soát dữ liệu của mình trên Cloud, thay vì “tin tưởng một cách mù quáng vào các bên thứ 3, các nền tảng không an toàn và thiếu minh bạch được xây dựng bởi các team không đủ trình độ”.

Khi việc quản lý các bản patch hết hiệu lực

Lỗ hổng an ninh Equifax gần đây dẫn đến việc rò rỉ dữ liệu cá nhân của khoảng 143 triệu người Mỹ, khiến họ dễ bị trở thành nạn nhân của những vụ đánh cắp thông tin và nhiều hình thức phạm tội khác. Thông tin bị đánh cắp bao gồm tên, địa chỉ, số an sinh xã hội và trong một số trường hợp có cả thông tin thẻ tín dụng.

Sự việc xảy ra do 1 lỗi của một phầm mềm mã nguồn mở đã được tổ chức chú ý đến nhưng không thể sửa, kiểm tra và triển khai lại. Hậu quả của thảm họa này là cả CIO và giám đốc bộ phận an ninh đã “từ chức”.

Equifax có khoảng 2 tháng để sửa lỗi nhằm tránh rò rỉ dữ liệu. 2 tháng có vẻ là đủ, tuy nhiên Kulshitsky nói rằng trên thực tế có rất nhiều công ty gặp khó khăn trong việc phát hiện và sửa những lỗi mới xuất hiện một cách kịp thời.

Trong trường hợp cụ thể này, Kulshitsky nói rằng các kỹ sư của Equifax cần phải quét toàn bộ các ứng dụng web của họ để tìm ra ứng dụng bị ảnh hưởng trước khi thực hiện các bài kiểm tra ngốn khoảng thời gian lên đến nhiều tuần trước khi phần mềm sau khi sửa chữa có thể được phát hành.

“Cập nhật những ứng dụng tới hạn có thể tốn rất nhiều thời gian (có thể hàng tháng), đặc biệt với các tổ chức chống rủi ro. Quá trình thay đổi quản lý có thể trì hoãn việc này, nếu tính nghiêm trọng của vấn đề bảo mật bị đánh giá không đúng, ví dụ như việc lên kế hoạch cập nhật vào patch tiếp theo thay vì patch sắp tới. Nhiều tổ chức không dám chấp nhận rủi ro để đưa những bản sửa lỗi vào đúng ngày ra mắt sản phẩm,” ông nói.

Vậy ra, một trong những lý do khiến vấn đề này làm mất nhiều thời gian để giải quyết có thể là do sự thiếu linh hoạt của doanh nghiệp. Nếu triển khai các bản cập nhật và các mã code mới là một quá trình dài, mỗi lần thay đổi một đoạn code là một lần chúng ta nín thở vì quá trình này cần được kiểm tra nghiêm ngặt. Nếu không thực hiện điều này, khi gặp vấn đề, công ty sẽ rất khó khăn trong việc tìm kiếm nguồn gốc vấn đề.

Emre Erkune, tư vấn viên cấp cao ở DevSecOps ở Contino cho rằng Equifax đã có thể tránh được vụ rò rỉ dữ liệu vừa rồi nếu có các DevOps practices.

“DevOps xuất hiện trên thị trường vì những vấn đề giống như thế này. Các doanh nghiệp kiểu cũ thường vận hành theo kiểu càng nhiều ‘người’ thì càng ‘mạnh’ vì tất cả mọi thứ được thực hiện bởi con người. Ngày nay, con người xây dựng các hệ thống, công nhận, kiểm tra và để hệ thống hoạt động tự động giống với con người nhất có thể. Các thực thể mạnh trong quá khứ cần phải thay đổi cả về văn hóa làm việc lẫn công nghệ để không bị tụt lại phía sau”.

“Các sự kiện gần đây xảy ra ở Equifax giống như những lời cảnh báo rằng những vòng tròn bảo vệ xung quanh là chưa đủ để bảo vệ các dự liệu quan trọng khi hacker tăng cường tấn công vào những điểm yếu tồn tại trong lớp ứng dụng.” – Cameron Townshend, Sonatype.

Cameron Townshend, kỹ sư giải pháp kiến trúc thuộc bộ phận hỗ trợ công cụ DevOps ở Sonatype, cho biết rằng với 80% đến 90% các ứng dụng hiện đại được tạo nên từ những thành phần nguồn mở, các tổ chức phải tự động và liên tục quản lý chất lượng các thành phần này và các thư việc của bên thứ 3 trong chuỗi cung ứng phần mềm của họ.

“Bỏ qua vấn đề này là một hành động cẩu thả,” Townshend nói, chỉ ra rằng các nhóm phát triển hoạt động hiệu quả nhất không chỉ thực hiện vệ sinh các mã nguồn mở trong các vòng phát triển phần mềm, họ còn thực hiện việc đó trong các ứng dụng sản xuất bằng cách sửa lỗi phần mềm khi chúng bị phát hiện.