Ransomware đi từ một email đến máy chủ production bằng cách nào

Khi một doanh nghiệp bị mã hóa dữ liệu, mốc thời gian được ghi nhớ luôn là buổi sáng phát hiện ra sự việc. Nhưng đó là chặng cuối cùng, không phải chặng đầu tiên. Điểm bắt đầu thường nằm xa hơn nhiều về phía trước, ở một hộp thư của một nhân viên không thuộc bộ phận kỹ thuật, và chuỗi sự kiện ở giữa gồm nhiều bước riêng biệt, mỗi bước đều có thể bị chặn.

Đó chính là lý do đáng để hiểu chuỗi này. Không phải để mô phỏng nó, mà vì phòng thủ hiệu quả không nằm ở một sản phẩm duy nhất. Nó nằm ở việc đặt các chốt chặn tại nhiều chặng, sao cho việc vượt qua một chốt vẫn chưa đủ để đi tới đích. Bài viết mô tả từng chặng ở mức khái niệm, đủ để đội vận hành biết cần đặt chốt ở đâu, và với mỗi chặng là biện pháp kiểm soát tương ứng.

Chặng 1: Truy cập ban đầu qua email

Email vẫn là con đường vào phổ biến nhất vì nó là kênh duy nhất mà doanh nghiệp buộc phải mở cho người lạ. Một thư đến từ bên ngoài, được viết bằng ngôn ngữ nghiệp vụ quen thuộc, đề cập tới một hóa đơn, một hồ sơ ứng tuyển hoặc một thay đổi lịch giao hàng, và yêu cầu người nhận mở tệp đính kèm hoặc đăng nhập vào một trang trông giống hệ thống nội bộ.

Hai kết quả có thể xảy ra ở chặng này: thiết bị của người nhận bắt đầu chạy mã do bên ngoài kiểm soát, hoặc thông tin đăng nhập của người nhận bị thu thập. Cả hai đều dẫn tới cùng một điều: một chỗ đứng hợp lệ bên trong tổ chức.

Biện pháp cắt đứt:

• Lọc thư ở tầng cổng vào với khả năng phân tích liên kết tại thời điểm nhấp chuột, vì một liên kết có thể vô hại lúc thư được gửi và độc hại vài giờ sau đó.
• Chặn hoặc cách ly các định dạng tệp không cần thiết cho công việc, đặc biệt là tệp có khả năng thực thi và tệp nén nhiều lớp.
• 구성 인증 người gửi theo các tiêu chuẩn phổ biến để giảm khả năng giả mạo tên miền của chính doanh nghiệp.
• Gắn nhãn rõ ràng cho thư đến từ bên ngoài, một biện pháp đơn giản nhưng có tác dụng đáng kể với các thư mạo danh lãnh đạo.
• Đào tạo tập trung vào hành vi báo cáo, không vào việc phát hiện. Chỉ số quan trọng là bao nhiêu người bấm nút báo cáo và trong bao lâu, chứ không phải bao nhiêu người không bị lừa. Một tổ chức có kênh báo cáo hoạt động tốt sẽ biết về chiến dịch đang diễn ra trước khi hệ thống tự động phát hiện.

Chặng 2: Thiết bị đầu cuối trở thành điểm tựa

Sau khi có mặt trên một máy trạm, mục tiêu tiếp theo là tồn tại lâu dài qua các lần khởi động lại và duy trì kênh liên lạc ra ngoài. Ở mức khái niệm, điều này có nghĩa là tạo ra một cơ chế khiến mã được chạy lại tự động, và thiết lập một luồng dữ liệu ra ngoài trông giống lưu lượng bình thường.

Biện pháp cắt đứt:

• Triển khai giải pháp phát hiện và phản ứng trên thiết bị đầu cuối với chế độ chặn được bật thực sự, không chỉ ghi nhận cảnh báo. Nhiều tổ chức triển khai công cụ nhưng để ở chế độ theo dõi trong nhiều tháng vì lo ngại ảnh hưởng người dùng.
• Loại bỏ quyền quản trị cục bộ trên máy trạm. Đây là một trong số ít biện pháp có chi phí thấp và tác động lớn, vì nó hạn chế đáng kể khả năng cài đặt cơ chế tồn tại lâu dài.
• Kiểm soát ứng dụng được phép chạy, ít nhất trong các thư mục mà người dùng có quyền ghi.
• Giám sát kết nối ra ngoài bất thường: đích đến mới xuất hiện, mẫu lưu lượng đều đặn theo chu kỳ, hoặc lượng dữ liệu đi ra lớn bất thường từ một máy trạm.
• Bảo đảm cập nhật bản vá cho trình duyệt, bộ ứng dụng văn phòng và hệ điều hành theo chu kỳ ngắn, vì đây là các thành phần tiếp xúc trực tiếp với nội dung bên ngoài.

Chặng 3: Thu thập thông tin xác thực

Chỗ đứng ban đầu hầu như luôn là một tài khoản quyền thấp. Để đi tiếp, cần thông tin xác thực tốt hơn. Nguồn cung phổ biến không phải là kỹ thuật tinh vi mà là sự cẩu thả tích tụ theo thời gian: mật khẩu lưu trong trình duyệt, tệp văn bản chứa thông tin đăng nhập trên ổ đĩa dùng chung, kịch bản tự động có nhúng mật khẩu, tài liệu hướng dẫn nội bộ ghi kèm thông tin đăng nhập, và mật khẩu quản trị cục bộ giống nhau trên toàn bộ máy trạm.

Biện pháp cắt đứt:

• Xác thực đa yếu tố chống giả mạo cho mọi lối vào từ bên ngoài, và cho mọi thao tác quản trị. Yếu tố dựa trên khóa mật mã hoặc thiết bị vật lý bền vững hơn nhiều so với mã một lần gửi qua tin nhắn.
• Đặt mật khẩu quản trị cục bộ khác nhau cho từng máy, quản lý tập trung và xoay tự động. Điều này vô hiệu hóa việc dùng lại một thông tin xác thực trên hàng trăm máy.
• Triển khai kho quản lý bí mật cho hệ thống, để mật khẩu không còn nằm trong kịch bản và tệp cấu hình.
• Quét ổ đĩa dùng chung và kho mã nguồn nội bộ để tìm thông tin xác thực bị lưu nhầm, và coi kết quả là việc cần khắc phục chứ không phải việc cần quy trách nhiệm.
• Cảnh báo trên các hành vi bất thường liên quan tới danh tính: đăng nhập từ vị trí mới, nhiều lần thất bại rồi thành công, hoặc một tài khoản đột nhiên truy cập các hệ thống chưa từng dùng.

Chặng 4: Nâng quyền

Với thông tin xác thực tốt hơn, bước tiếp theo là đạt tới quyền quản trị ở cấp miền hoặc cấp nền tảng cloud. Ở mức khái niệm, điều này thường xảy ra qua một trong ba đường: một tài khoản dịch vụ có quyền quá rộng, một hệ thống chưa được vá cho phép nâng quyền cục bộ, hoặc một cấu hình phân quyền cho phép một danh tính tự sửa quyền của chính nó.

Biện pháp cắt đứt:

• Loại bỏ quyền quản trị thường trực. Nếu quyền cao chỉ tồn tại trong các khoảng thời gian ngắn được phê duyệt, cửa sổ để chiếm dụng nó hẹp đi rất nhiều.
• Tách tài khoản quản trị khỏi tài khoản làm việc hằng ngày, và không dùng tài khoản quản trị để đọc email hoặc duyệt web.
• Dùng máy trạm quản trị riêng cho các thao tác đặc quyền, tách khỏi môi trường làm việc thông thường.
• Rà soát định kỳ quyền hiệu lực của các tài khoản dịch vụ, đặc biệt các tài khoản có quyền chỉnh sửa cấu hình phân quyền.
• Cảnh báo trên các thay đổi cấu hình quyền: thêm thành viên vào nhóm quản trị, gắn chính sách quyền cao vào một danh tính, hoặc tạo mới một danh tính có quyền rộng.

Chặng 5: Di chuyển ngang

Quyền cao chỉ có giá trị nếu nó dẫn tới nơi có dữ liệu quan trọng. Chặng này là quá trình đi từ vùng người dùng sang vùng máy chủ, thường bằng chính các cơ chế quản trị hợp lệ mà đội vận hành vẫn dùng hằng ngày. Đó là lý do chặng này khó phát hiện: hoạt động trông giống công việc quản trị bình thường, chỉ khác ở việc ai đang thực hiện và vào lúc nào.

Biện pháp cắt đứt:

• Phân vùng mạng theo chức năng, với nguyên tắc mặc định là chặn giữa các vùng. Vùng người dùng cuối không nên có đường đi trực tiếp tới vùng máy chủ ứng dụng và cơ sở dữ liệu.
• Cấm hoàn toàn kết nối ngang giữa các máy trạm, một hạn chế ít ảnh hưởng tới công việc nhưng cắt đứt một trong những đường lan truyền phổ biến nhất.
• Đưa mọi truy cập quản trị vào máy chủ đi qua một điểm trung gian có ghi nhật ký phiên làm việc và yêu cầu xác thực đa yếu tố.
• Đặt cảnh báo dựa trên ngữ cảnh chứ không chỉ dựa trên hành động: một tài khoản quản trị đăng nhập vào một máy chủ mà nó chưa từng chạm tới, hoặc vào khung giờ khác thường, là tín hiệu đáng điều tra ngay cả khi hành động đó được phép.
• Với hạ tầng cloud, tách môi trường sản xuất sang tài khoản riêng để một danh tính trong môi trường thử nghiệm không có đường đi tự nhiên sang môi trường sản xuất.

Chặng 6: Tìm kiếm dữ liệu và hệ thống sao lưu

Trước khi mã hóa, mục tiêu là hiểu môi trường: dữ liệu quan trọng nằm ở đâu, và quan trọng hơn, hệ thống 백업 nằm ở đâu. Đây là chặng quyết định mức độ nghiêm trọng của toàn bộ sự cố. Nếu hạ tầng sao lưu nằm trong cùng miền quản trị và có thể bị xóa bằng chính thông tin xác thực đã chiếm được, thì phương án khôi phục biến mất trước khi việc mã hóa bắt đầu.

Biện pháp cắt đứt:

• Tách hoàn toàn hạ tầng sao lưu khỏi miền xác thực của môi trường sản xuất. Thông tin xác thực dùng cho hệ thống sao lưu phải khác, và không được lưu trên các hệ thống mà nó bảo vệ.
• Dùng bản sao lưu bất biến với thời hạn lưu giữ không thể rút ngắn, để việc xóa không còn là một thao tác khả dụng đối với bất kỳ danh tính nào.
• Cảnh báo mạnh trên mọi thao tác chạm vào cấu hình sao lưu: thay đổi lịch, giảm thời hạn lưu giữ, gỡ tài nguyên khỏi phạm vi bảo vệ, hoặc xóa điểm khôi phục.
• Giám sát các hoạt động khảo sát diện rộng: một tài khoản liệt kê hàng loạt thư mục chia sẻ, hoặc gọi các API liệt kê tài nguyên trên nhiều dịch vụ trong thời gian ngắn.
• Theo dõi lượng dữ liệu đi ra khỏi môi trường, vì việc sao chép dữ liệu ra ngoài thường diễn ra ở chặng này, trước khi có bất kỳ dấu hiệu nào nhìn thấy được.

Chặng 7: Mã hóa

Chặng cuối cùng thường là chặng nhanh nhất, và là chặng duy nhất mà nạn nhân nhìn thấy. Đến thời điểm này, phần lớn cơ hội phòng thủ đã trôi qua. Điều còn lại là giảm phạm vi ảnh hưởng và rút ngắn thời gian khôi phục.

Biện pháp cắt đứt và giảm thiệt hại:

• Chức năng chặn hành vi trên thiết bị đầu cuối, nhận diện các mẫu truy cập tệp hàng loạt bất thường thay vì dựa vào chữ ký.
• Ảnh chụp nhanh hệ thống tệp và cơ sở dữ liệu ở tần suất cao với quyền xóa bị giới hạn, tạo thêm một lớp khôi phục ngoài bản sao lưu chính.
• Kế hoạch cách ly đã được viết sẵn và diễn tập: ai có thẩm quyền ngắt kết nối một phân vùng mạng, bằng cách nào, và làm sao liên lạc nội bộ khi hệ thống thư nội bộ không dùng được.
• Quy trình khôi phục được kiểm chứng bằng diễn tập định kỳ, với mục tiêu thời gian khôi phục được xác nhận bằng số liệu thực tế chứ không phải bằng giả định.

Rút ra điều gì từ chuỗi này

Điểm quan trọng nhất là chuỗi có nhiều chặng, và mỗi chặng cần thời gian. Khoảng thời gian giữa lần truy cập đầu tiên và thời điểm mã hóa là tài sản phòng thủ lớn nhất mà một tổ chức có, nhưng chỉ khi tổ chức đó có khả năng nhìn thấy điều đang diễn ra trong khoảng thời gian đó.

Vì vậy, thứ tự ưu tiên hợp lý cho hầu hết doanh nghiệp là: xác thực đa yếu tố chống giả mạo, loại bỏ quyền quản trị thường trực, phân vùng mạng đủ để chặn đường đi từ vùng người dùng sang vùng máy chủ, sao lưu bất biến tách khỏi miền quản trị chính, ghi nhật ký tập trung ở nơi không thể bị xóa, và một kế hoạch ứng phó đã được diễn tập. Không có mục nào trong danh sách này là một sản phẩm duy nhất, và cũng không mục nào cần được hoàn thiện trước khi bắt đầu mục tiếp theo.

HiTechCloud có thể hỗ trợ gì

HiTechCloud là đối tác của AWS và Google Premier Partner, đồng thời vận hành hạ tầng đặt trong nước. Chúng tôi hỗ trợ doanh nghiệp thiết kế phân vùng mạng và tách môi trường trên cloud, triển khai sao lưu bất biến tách khỏi miền quản trị của môi trường sản xuất, thiết lập ghi nhật ký tập trung phục vụ phát hiện và điều tra, và diễn tập quy trình khôi phục để xác nhận thời gian khôi phục thực tế. Liên hệ với chúng tôi nếu bạn cần đánh giá hiện trạng của hệ thống.