Lỗ hổng Zero-Day là gì và bạn ngăn chặn nó như thế nào?

Lỗ hổng zero-day là một lỗi phần mềm mà các nhà phát triển có “zero day” để sửa. Tin tặc luôn tìm kiếm các lỗ hổng phần mềm để khai thác nhằm đánh cắp dữ liệu nhạy cảm hoặc tham gia vào các hình thức hoạt động độc hại khác.

Nếu một công ty tìm thấy lỗi trong phần mềm của họ, họ sẽ phải chạy đua với thời gian để đảm bảo rằng lỗi đó được sửa trước khi tin tặc có thể khai thác nó. Một trong những ví dụ đáng lo ngại nhất về cuộc tấn công zero-day được gọi là Stuxnet - một loại sâu máy tính độc hại có mục tiêu chính là các nhà máy làm giàu uranium của Iran.

Tin tặc đã tìm thấy lỗ hổng trong phần mềm chạy trên máy tính công nghiệp được gọi là bộ điều khiển logic khả trình (PLC). Như bạn có thể tưởng tượng, một cuộc tấn công zero-day vào chương trình hạt nhân của đất nước có thể gây ra hậu quả rất nghiêm trọng.

Lỗ hổng Zero-Day là gì?

Sự khác biệt chính giữa lỗ hổng zero-day và các loại lỗ hổng bảo mật khác là chúng phải được xử lý ngay khi được xác định. Tuy nhiên, cần lưu ý rằng ngay cả khi lỗ hổng zero-day đã được xác định và vá kịp thời, điều đó không tự động có nghĩa là mối đe dọa đã kết thúc.

Rất có thể những kẻ tấn công đã khai thác lỗ hổng này và cài đặt một số dạng cửa sau mà chúng sẽ sử dụng để giành quyền truy cập vào hệ thống sau này. Khi phát hiện ra lỗ hổng, các công ty phải luôn cảnh giác và giám sát mọi khía cạnh của môi trường CNTT để phát hiện hành vi đáng ngờ.

May mắn thay, hầu hết các lỗi zero-day đều được tìm thấy và vá trước khi chúng được công chúng biết đến. Trong một số trường hợp, các tổ chức trao tiền thưởng cho công chúng tìm thấy lỗi zero-day trong phần mềm của họ. Ví dụ: cả Microsoft và Google đều cung cấp phần thưởng tiền mặt lên tới 100 nghìn đô la cho những người xác định và báo cáo thành công lỗi có thể dẫn đến vi phạm nghiêm trọng.

Khai thác zero-day là gì?

Khai thác zero-day thường xuất hiện dưới dạng ứng dụng phần mềm độc hại được thiết kế để khai thác lỗ hổng zero-day. Cuộc tấn công zero-day có thể khai thác các lỗ hổng được tìm thấy trong nhiều hệ thống khác nhau, bao gồm hệ điều hành, trình duyệt web và các ứng dụng khác. Chúng cũng có thể được tìm thấy trong phần cứng, chẳng hạn như bộ định tuyến, bộ chuyển mạch và thiết bị Internet of Things (IoT).

Có lẽ ví dụ nổi tiếng nhất về cách khai thác zero-day là cuộc tấn công ransomware WannaCry xuất hiện vào tháng 5 năm 2017, lợi dụng lỗ hổng được tìm thấy trong Microsoft Windows. Việc khai thác zero-day rất khó bị chặn vì chúng thường có thể tránh được ngay cả những công nghệ phát hiện mối đe dọa dựa trên chữ ký tinh vi nhất.

Vì chúng là những vectơ tấn công hoàn toàn mới nên có rất ít hoặc không có thông tin gì về chúng và sẽ không có bản vá phần mềm nào có sẵn để cài đặt. Do rất khó phát hiện các hoạt động khai thác zero-day nên các công ty phải dựa vào các giải pháp tập trung vào dữ liệu có khả năng phát hiện, cảnh báo và ứng phó với các sự kiện bất thường trong thời gian thực - thường bằng cách phát hiện các sự kiện phù hợp với điều kiện ngưỡng. Trong một số trường hợp, lỗ hổng zero-day có thể biểu hiện dưới dạng khai thác zero-day nếu nó không được tìm thấy và vá kịp thời. Dù thế nào đi nữa, nếu không hành động nhanh chóng có thể gây ra nhiều thiệt hại.

Cách ngăn chặn các cuộc tấn công Zero-Day

Như đã đề cập trước đó, việc khai thác zero-day rất khó bị phát hiện tại thời điểm lây nhiễm. Vì vậy, bạn phải đảm bảo rằng bạn có thể phát hiện và ứng phó với các sự kiện bất thường khi chúng diễn ra.

Tuy nhiên, để làm được điều này, bạn phải có khả năng xác định các kiểu sử dụng điển hình, điều này trước tiên đòi hỏi sự hiểu biết về các kiểu hành vi được coi là “bình thường”. Bạn sẽ cần giám sát tất cả tài sản và tài nguyên quan trọng của mình, bao gồm tài khoản người dùng, tệp, thư mục, tài khoản email, VPN, DNS và Proxy Web.

Trong một số trường hợp, bạn sẽ cần phải phản hồi các sự kiện phù hợp với điều kiện ngưỡng được xác định trước, điều này có thể giúp ngăn chặn sự lây lan của phần mềm tống tiền. Ví dụ: nếu số X tệp đã được mã hóa trong vòng Y giây, thì một tập lệnh tùy chỉnh có thể được thực thi để ngăn chặn cuộc tấn công trong đường đi của nó. Điều này có thể bao gồm vô hiệu hóa tài khoản người dùng, hạn chế quyền truy cập, dừng các quy trình cụ thể, sao lưu dữ liệu hoặc đơn giản là tắt (các) máy chủ bị ảnh hưởng.

Như mọi khi, nguyên tắc đặc quyền tối thiểu (PoLP) phải được áp dụng để ngăn chặn kẻ tấn công thành công di chuyển ngang qua mạng. Ngoài việc theo dõi và báo cáo về các sự kiện quan trọng của hệ thống, bạn cũng nên xem xét các công cụ và kỹ thuật sau để giúp bạn bảo vệ bản thân khỏi các mối đe dọa zero-day.

Quản lý bản vá tự động

Đương nhiên, cách tốt nhất để giải quyết các lỗ hổng phần mềm là đảm bảo rằng tất cả các hệ thống và phần mềm đều được cập nhật. Điều này bao gồm mọi hệ điều hành, trình duyệt web, phần cứng mạng và thiết bị IoT được sử dụng. Tuy nhiên, việc cập nhật các hệ thống này theo cách thủ công là một công việc tốn thời gian và dễ xảy ra lỗi. Một lựa chọn tốt hơn là sử dụng một giải pháp quản lý bản vá phức tạp có thể tìm nguồn bản vá từ nhà cung cấp, cài đặt, kiểm tra và triển khai các bản vá một cách tự động.

Có sẵn Kế hoạch ứng phó sự cố (IRP)

Tất cả các công ty nên có sẵn kế hoạch ứng phó sự cố đã được thử nghiệm và kiểm tra. Có bảy giai đoạn ứng phó sự cố được trích dẫn rộng rãi, bạn có thể đọc thêm về bảy giai đoạn ứng phó sự cố tại đây.

Sử dụng Windows Defender Exploit Guard

Windows Defender Exploit Guard (có sẵn trong Windows 2010 trở lên) có thể giúp bạn phát hiện và chặn mã độc xâm nhập vào mạng của mình. Nó có thể chặn các macro độc hại tiềm ẩn, bao gồm các tập lệnh JavaScript, VBScript và PowerShell được tải xuống và thực thi - thông qua trang web hoặc thông qua người dùng nhấp vào tệp đính kèm email. Exploit Guard cũng có thể giám sát và phản hồi các thay đổi tệp do ứng dụng thực hiện và ngăn phần mềm độc hại giao tiếp với máy chủ ra lệnh và kiểm soát (C&C).

Sử dụng giải pháp Chống virus thế hệ tiếp theo (NGAV)

Khi các chủng phần mềm độc hại mới và cải tiến xuất hiện có khả năng trốn tránh hầu hết các giải pháp chống vi-rút truyền thống, chúng tôi phải đảm bảo rằng chúng tôi có sẵn các công nghệ phát hiện mối đe dọa mới nhất và tốt nhất. Ngoài việc tận dụng thông tin về mối đe dọa, các giải pháp Chống virus thế hệ tiếp theo (NGAV) còn sử dụng kỹ thuật máy học để tìm hiểu các mẫu hoạt động có thể được kiểm tra nhằm xác định khả năng lây nhiễm phần mềm độc hại tiềm ẩn. Nếu phát hiện bất kỳ hoạt động bất thường nào, họ có thể tự động hóa phản hồi để ngăn chặn cuộc tấn công lan sang các điểm cuối khác.

Đào tạo nâng cao nhận thức về an ninh

Giống như bất kỳ chiến lược an ninh mạng nào, chúng ta phải nhớ rằng nhân viên của chúng ta thường là tuyến phòng thủ đầu tiên. Chúng tôi phải đảm bảo rằng họ đã được đào tạo nâng cao nhận thức về an ninh mạng đầy đủ để có thể xác định và báo cáo các email đáng ngờ, hoạt động tài khoản bất thường, những bất thường về phần cứng và bất kỳ điều gì khác có thể cho thấy mạng đã bị xâm phạm.

Nếu bạn muốn biết Lepide có thể giúp bạn hiểu rõ các mối đe dọa mà dữ liệu của bạn gặp phải như thế nào, hãy lên lịch dùng thử Nền tảng bảo mật dữ liệu Lepide với một trong các kỹ sư của chúng tôi hoặc bắt đầu dùng thử miễn phí ngay hôm nay.