Lỗ hổng PrintNightmare là gì?

Lỗ hổng PrintNightmare cho phép kẻ tấn công thực thi mã từ xa trên thiết bị của chúng tôi và do đó chiếm quyền kiểm soát chúng. Không hoàn toàn rõ ràng lỗ hổng này được phát hiện lần đầu tiên khi nào, mặc dù hầu hết tài liệu về chủ đề này đều nói rằng nó được Cơ quan An ninh Cơ sở hạ tầng An ninh mạng Hoa Kỳ phát hiện vào khoảng tháng 6 năm 2021.

Lỗ hổng PrintNightmare là gì?

Lỗ hổng tồn tại trên tất cả các thiết bị chạy Windows 7 trở lên. Nó nằm trong dịch vụ Windows Print Spooler và ảnh hưởng đến Windows Print Queue. Nói chính xác hơn, dịch vụ Hàng đợi in không hạn chế quyền truy cập vào chức năng RpcAddPrinterDriverEx, cho phép kẻ tấn công chạy các chương trình độc hại trên thiết bị của người dùng. Kẻ tấn công khai thác thành công lỗ hổng này có thể thực hiện các hoạt động với đặc quyền cấp hệ thống, nghĩa là chúng có thể truy cập, chỉnh sửa và xóa dữ liệu nhạy cảm, cài đặt chương trình và tạo tài khoản đặc quyền mới.

Điều gì đã được thực hiện để khắc phục lỗ hổng PrintNightmare?

Microsoft đã phát hành bản vá cho lỗ hổng PrintNightmare vào ngày 1 tháng 7 năm 2021 và được cập nhật lần cuối vào ngày 16 tháng 7 năm 2021. Hiện tại, các bản vá có sẵn cho Windows 10, Windows 8.1, Windows RT 8.1, Windows 7 và một số phiên bản của Windows Server, bao gồm các bản phát hành 2019, 2012 R2 và 2008. Các bản cập nhật cho Windows Server 2012 và 2016 sắp ra mắt, cùng với bản cập nhật cho Windows 10 phiên bản 1607. Vào thời điểm bài viết này được xuất bản, các bản vá có thể sẽ có sẵn cho tất cả các phiên bản Windows.

Mẹo để tự bảo vệ mình trước lỗ hổng PrintNightmare

Nếu máy tính của bạn không được kết nối trực tiếp với máy in và bạn nhận được các bản cập nhật tự động thì chỉ cần tắt dịch vụ Hàng đợi in có thể là đủ để bảo vệ thiết bị của bạn khỏi lỗ hổng PrintNightmare. Nếu không, bạn nên thực hiện một số bước bổ sung.

1. Cài đặt các bản cập nhật liên quan

Bước đầu tiên rõ ràng nhất để giảm thiểu lỗ hổng PrintNightmare là cài đặt các bản vá/cập nhật có liên quan. Nếu vì bất kỳ lý do gì, bạn cần cài đặt các bản cập nhật theo cách thủ công, bạn sẽ cần đi tới Cài đặt > Cập nhật & Bảo mật > Windows Update, sau đó khởi động lại máy để các thay đổi có hiệu lực.

2. Vô hiệu hóa dịch vụ Print Spooler

Tắt dịch vụ Bộ đệm máy in sẽ tắt các tính năng in cục bộ và từ xa. Điều này đặc biệt phù hợp với các thiết bị, ứng dụng và dịch vụ không yêu cầu khả năng in. Ví dụ: máy chủ bộ điều khiển miền không cần quyền truy cập vào máy in và do đó bạn nên đảm bảo rằng dịch vụ Bộ đệm máy in bị tắt trên tất cả các bộ điều khiển miền. Bạn có thể tắt dịch vụ Bộ đệm máy in bằng lệnh PowerShell sau:

Dịch vụ dừng -Bộ đệm tên -Force

Set-Service -Name Spooler -StartupType bị vô hiệu hóa

3. Vô hiệu hóa in ấn từ xa thông qua Chính sách nhóm

Bạn cũng có thể định cấu hình Chính sách nhóm để chặn in từ xa bằng cách tắt tùy chọn 'Cho phép Bộ đệm máy in chấp nhận kết nối máy khách' trong Cấu hình máy tính > Mẫu quản trị > Máy in. Bạn sẽ cần khởi động lại dịch vụ Bộ đệm máy in cho Chính sách nhóm để các thay đổi có hiệu lực. Mặc dù máy chủ của bạn không còn chấp nhận các hoạt động in từ xa nhưng nó vẫn có thể kết nối với máy in cục bộ.

4. Sử dụng giải pháp bảo mật điểm cuối đáng tin cậy

Sau khi cài đặt các bản cập nhật và vô hiệu hóa các tính năng gây ra các mối đe dọa bảo mật, chúng ta nên nghĩ cách giảm thiểu khả năng xảy ra sự cố trong tương lai. Chúng ta không nên bỏ qua tầm quan trọng của các giải pháp bảo mật điểm cuối, được thiết kế để bảo vệ các điểm cuối (máy tính để bàn, máy tính xách tay và thiết bị di động) khỏi bị kẻ thù khai thác. Các nền tảng bảo vệ điểm cuối hiện đại (EPP) sử dụng tính năng kiểm tra gói sâu (và các kỹ thuật khác) để phát hiện, phân tích, ngăn chặn và cách ly các mối đe dọa khi chúng phát sinh.

EPP có thể được sử dụng để phát hiện và ứng phó với vô số mối đe dọa bảo mật, bao gồm các cuộc tấn công ransomware, phần mềm độc hại không có tệp, các cuộc tấn công đa hình và trong bối cảnh bảo vệ chống lại lỗ hổng PrintNightmare, các cuộc tấn công thực thi mã từ xa. EPP cung cấp cho quản trị viên một bảng điều khiển tập trung mà họ có thể sử dụng để kiểm soát cách sử dụng các điểm cuối trên mạng. Thông qua bảng điều khiển này, quản trị viên có thể kiểm soát những chương trình mà người dùng có thể chạy cũng như đẩy các bản cập nhật/bản vá đến điểm cuối khi cần thiết.

5. Giám sát việc tạo tài khoản người dùng và truy cập dữ liệu nhạy cảm

Như đã đề cập, nếu kẻ tấn công khai thác thành công lỗ hổng PrintNightmare, chúng sẽ có thể truy cập dữ liệu và tạo tài khoản người dùng với các đặc quyền cấp hệ thống. Trong trường hợp đó, bạn sẽ cần một giải pháp có thể phát hiện, cảnh báo và phản hồi cả việc tạo tài khoản người dùng trái phép và truy cập trái phép vào dữ liệu nhạy cảm.

Tất nhiên, việc cố gắng xác định nên sử dụng công nghệ nào và cho mục đích gì có thể khiến các nhóm bảo mật phải đau đầu. Xét cho cùng, có rất nhiều thuật ngữ và từ viết tắt được sử dụng để mô tả chúng, chẳng hạn như EPP/EDR, IPS/IDS, SIEM, UBA, DCAP, DLP, v.v.

Tệ hơn nữa, nhiều công nghệ phát hiện mối đe dọa sẽ kết hợp một số hoặc tất cả các công nghệ trên.

Trong bối cảnh giám sát tài khoản và dữ liệu, hai thuật ngữ phù hợp nhất là; Phân tích hành vi người dùng (UBA) và Kiểm tra và bảo vệ lấy dữ liệu làm trung tâm (DCAP). Hầu hết các giải pháp UBA/DCAP phức tạp đều sử dụng thuật toán học máy để phát hiện và phản hồi hành vi đáng ngờ của người dùng, chẳng hạn như tạo tài khoản đặc quyền bất thường khi một người dùng nhất định truy cập tệp lần đầu tiên hoặc các loại hành vi khác khác với những gì sẽ được coi là “ Bình thường ". Việc đảm bảo rằng quản trị viên nhận được cảnh báo theo thời gian thực khi thực hiện các thay đổi đáng ngờ sẽ giúp bạn ứng phó kịp thời với các cuộc tấn công vào lỗ hổng PrintNightmare (và các vectơ tấn công tương tự khác).

Phần kết luận

Nền tảng bảo mật dữ liệu Lepide là giải pháp bảo vệ và kiểm tra tập trung vào dữ liệu được thiết kế đặc biệt để cung cấp cho bạn khả năng hiển thị về hành vi của người dùng liên quan đến dữ liệu nhạy cảm của bạn. Nó cũng cung cấp khả năng hiển thị đầy đủ về mọi thay đổi được thực hiện đối với người dùng, máy tính, quyền, cấu hình và nhiều hơn thế nữa.

Nếu bạn muốn biết Nền tảng bảo mật dữ liệu Lepide có thể giúp bạn hiểu rõ hơn về dữ liệu nhạy cảm như thế nào và bảo vệ bạn khỏi các mối đe dọa bảo mật, hãy lên lịch dùng thử với một trong các kỹ sư của chúng tôi hoặc bắt đầu dùng thử miễn phí ngay hôm nay.