Các phần mềm, công cụ giám sát và quản lý giúp quản trị viên thực hiện các tác vụ như xử lý sự cố, hỗ trợ kỹ thuật cho người dùng. Tuy nhiên, tội phạm mạng cũng lợi dụng các công cụ này trong quá trình tấn công mạng vào hạ tầng của một công ty. Các công cụ, phần mềm này cho phép kẻ tấn công chạy các tiến trình trên thiết bị đầu cuối, truy cập và lấy các thông tin nhạy cảm, vượt qua các lớp phòng thủ, bảo vệ mạng.
Việc phân tích dữ liệu ẩn danh từ các trường hợp phản ứng sự cố cho thấy, có 18 công cụ hợp pháp khác nhau đã bị kẻ tấn công lợi dụng cho các mục đích xấu. Công cụ được sử dụng nhiều nhất là PowerShell chiếm 25% các trường hợp. PsExec đứng thứ hai với tỷ lệ 22%. Ứng dụng này được sử dụng để chạy tiến trình trên các thiết bị đầu cuối từ xa. Theo sau là SoftPerfect Network Scanner với 14% các trường hợp được sử dụng để truy xuất thông tin về môi trường mạng.
Điều này khiến các giải pháp bảo mật khó phát hiện các tấn công. Bởi hành động của các công cụ này vừa có thể là một phần trong hành động của tội phạm hoặc vừa có thể là các tác vụ do quản trị viên thực hiện.
Tuy nhiên, các chuyên gia của Kaspersky cũng lưu ý rằng đôi khi các hành động nguy hại bằng cách sử dụng phần mềm hợp pháp cũng bộc lộ khá nhanh. Ví dụ, chúng thường được sử dụng trong tấn công của mã độc tống tiền và thiệt hại gây ra là khá rõ ràng. Thời gian tấn công trung bình cho các cuộc tấn công này là 1 ngày.
“Để tránh bị phát hiện và ẩn náu lâu dài trong một hệ thống mạng đã bị chiếm quyền lâu nhất có thể, kẻ tấn công thường sử dụng các phần mềm vốn được phát triển cho các hành động thông thường của người dùng, các tác vụ của quản trị viên và gỡ lỗi hệ thống. Với các công cụ này, kẻ tấn công có thể thu thập thông tin về hệ thống mạng và sau đó thực hiện mở rộng tấn công, thay đổi cài đặt phần cứng, phần mềm hoặc thực hiện một số hành động nguy hại.
Ví dụ, họ có thể sử dụng các phần mềm hợp pháp để mã hóa chính dữ liệu của khách hàng. Các phần mềm hợp pháp này cũng có thể giúp kẻ tấn công ẩn náu, tránh bị phát hiện bởi đội ngũ chuyên gia an ninh mạng, vì họ chỉ phát hiện ra tấn công khi đã có thiệt hại xảy ra. Sẽ không thể loại bỏ các công cụ này, tuy nhiên việc triển khai các hệ thống giám sát và ghi nhật ký (log) sẽ giúp phát hiện các hành vi bất thường trong hệ thống mạng và các tấn công mạng ngay khi mới ở giai đoạn đầu”, Konstantin Sapronov, Trưởng nhóm ứng cứu khẩn cấp toàn cầu của Kasperksy chia sẻ.
Ông Stephan Neumeier, Giám đốc điều hành Kaspersky Châu Á Thái Bình Dương lưu ý rằng, “Thực tế tội phạm mạng đang sử dụng các công cụ truy cập từ xa hợp pháp để tấn công một hệ thống mà không bị phát hiện trong thời gian dài, cho thấy tầm quan trọng của việc cần nhanh chóng phát hiện và phản ứng sự cố trong khi bảo vệ hệ thống khỏi một mối đe dọa chưa biết (unknown threat) có thể ẩn náu trong hệ thống và sử dụng một công cụ hợp pháp. Số lượng của các cuộc tấn công thành công như vậy đã tăng lên 30%, đây sẽ là mối quan tâm lớn của CIO và CISO - những người đảm nhận trách nhiệm lớn trong việc bảo vệ mạng của khỏi các mối đe dọa nghiêm trọng như tấn công zero-day và mã độc tống tiền.
Triển khai một giải pháp phát hiện và phản ứng trên thiết bị đầu cuối (Endpoint Detection and Response - EDR) để phát hiện các sự cố và phản ứng kịp có thể giúp ích rất lớn cho đội ngũ bảo mật. Giải pháp này không chỉ cung cấp báo cáo real-time về các hành động khác nhau đang diễn ra mà cũng đồng thời cảnh báo về các mối đe dọa đang ngờ, tiềm ẩn ngay cả khi chúng được ngụy trang dưới công cụ quản trị hợp pháp”
Để phát hiện và phản ứng những tấn công như vậy một cách kịp thời, các tổ chức nên triển khai giải pháp EDR kèm theo dịch vụ quản lý phát hiện và phản ứng (Manage Detection and Response - MDR). Đồng thời, Kaspersky cũng khuyến nghị các biện pháp sau:
Thứ nhất, Hạn chế quyền truy cập đối với các công cụ quản lý từ xa từ đị chỉ IP bên ngoài. Đảm bảo rằng giao diện điều khiển từ xa này chỉ có thể truy cập từ một số thiết bị nhất định.
Thứ hai, Thực thi chính sách mật khẩu đối với toàn bộ hệ thống công nghệ thông tin và triển khai xác thực đa nhân tố.
Cuối cùng, Tuân thủ nguyên tắc hạn chế quyền của người dùng và chỉ cung cấp quyền đủ để họ thực hiện công việc.
Trọng Huấn
14:00 | 16/07/2020
11:00 | 08/07/2020
11:00 | 24/12/2020
08:00 | 06/01/2021
11:00 | 22/01/2021
16:00 | 12/06/2020
14:00 | 14/10/2020
10:00 | 10/04/2024
Một nhà cung cấp dịch vụ trung tâm dữ liệu bị tấn công với hình thức và thủ đoạn tương tự như vụ tấn công mã độc tống tiền vào VnDirect, chỉ khác về loại mã độc cụ thể mà tin tặc dùng để mã hóa dữ liệu.
13:00 | 19/03/2024
Cơ quan an ninh mạng Hoa Kỳ (CISA) đã yêu cầu các cơ quan của Chi nhánh điều hành dân sự liên bang Hoa Kỳ (FCEB) bảo mật hệ thống Windows của họ trước một lỗ hổng nghiêm trọng trong Dịch vụ phát trực tuyến của Microsoft (MSKSSRV.SYS).
14:00 | 22/02/2024
Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.
14:00 | 16/01/2024
Các tài khoản X (Twitter) chính thức của Netgear và Hyundai MEA (có hơn 160.000 người theo dõi) là những tài khoản nổi tiếng mới nhất bị tin tặc tấn công để phát tán lừa đảo, nhằm lây nhiễm phần mềm độc hại, chiếm đoạt tiền điện tử của các nạn nhân.
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024