65% lãnh đạo doanh nghiệp sẽ tăng ngân sách bảo mật cho năm 2023

VSEC - BLOG Xu hướng thế giới mạng

Chi phí cho những vụ rò rỉ dữ liệu cao hơn nhiều cho với các chi phí tài chính trực tiếp của doanh nghiệp…

Tội phạm mạng (65%), lừa đảo trên thiết bị di động (41%), email (40%), rò rỉ dữ liệu đám mây (38%)… là những mối lo ngại của doanh nghiệp. (Ảnh minh họa).

Khảo sát gần đây về niềm tin số toàn cầu năm 2022 của PwC thực hiện tại 65 quốc gia với hơn 3.500 giám đốc điều hành cấp cao. Theo đó, cứ bốn công ty thì có một doanh nghiệp (27%) trên toàn cầu gặp sự cố rò rỉ dữ liệu thiệt hại từ 1 tới 20 triệu USD hoặc nhiều hơn thế trong vòng 3 năm vừa qua.

Các cuộc tấn công mạng tiếp tục gây thiệt hại cho các doanh nghiệp hàng triệu USD nhưng chưa đến 40% giám đốc điều hành tham gia khảo sát cho biết họ đã giảm thiểu hoàn toàn rủi ro an ninh mạng trong một số lĩnh vực bao gồm: làm việc từ xa và linh hoạt (38%); tăng tốc áp dụng đám mây (35%); tăng sử dụng Internet vạn vật (IoT) (34%); tăng cường số hóa chuỗi cung ứng (32%) và các hoạt động hành chính văn phòng (31%).

Ngoài ra, các giám đốc điều hành cấp cao bày tỏ lo ngại doanh nghiệp của họ không được chuẩn bị đầy đủ để giải quyết các mối đe dọa ngày càng tăng cao. Đứng đầu danh sách các rủi ro môi trường mạng năm 2023 là tội phạm mạng (65%); lừa đảo trên thiết bị di động (41%), email (40%), rò rỉ dữ liệu đám mây (38%); và xâm nhập email doanh nghiệp/chiếm đoạt tài khoản (33%) và ransomware (32%). Đối với các giám đốc tập trung vào vận hành, an ninh mạng của chuỗi cung ứng là một mối quan tâm lớn.

Mong muốn đối với việc công khai các sự cố mạng là như vậy nhưng chưa đến một nửa các lãnh đạo tham gia khảo sát (42%) hoàn toàn tự tin rằng tổ chức của mình có thể cung cấp thông tin về một sự cố trọng yếu trong một khoảng thời gian nhất định. Các giám đốc doanh nghiệp cũng lo ngại khi chia sẻ quá nhiều thông tin – 70% nói rằng chia sẻ thông tin và minh bạch có thể dẫn đến rủi ro mất lợi thế cạnh tranh.

TĂNG NGÂN SÁCH AN NINH MẠNG

Phần lớn các lãnh đạo doanh nghiệp tham gia khảo sát cho biết doanh nghiệp của họ đang tăng ngân sách cho bảo mật (69%) và 65% dự định sẽ chi nhiều hơn trong năm 2023.

“Các doanh nghiệp nên tập trung xây dựng chiến lược quản lý rủi ro an ninh mạng; có kế hoạch dự phòng nhằm ứng phó kịp thời để đảm bảo tính hoạt động liên tục của hệ thống; thiết lập hệ thống báo cáo rõ ràng và nhất quán.”
Bà Nguyễn Phi Lan, Phó Tổng giám đốc PwC Việt Nam.

Hầu hết các CEO nói rằng họ đang có kế hoạch tăng cường để giải quyết vấn đề an ninh mạng trong những năm tiếp theo (52%) và sẽ thúc đẩy các sáng kiến lớn để cải thiện tình hình an ninh mạng.

Bên cạnh đó, nhiều giám đốc tài chính (CFO) cũng đang có kế hoạch tăng cường tập trung vào an ninh mạng, bao gồm các giải pháp công nghệ (39%), tập trung vào chiến lược và phối kết hợp cùng kỹ thuật/ vận hành (37%), nâng cao kỹ năng và tuyển dụng những nhân sự an ninh mạng có năng lực (36%).

Kế hoạch nâng cao các nguồn lực an ninh mạng trong 12 tháng tới (Nguồn: PwC).

Theo các nhà lãnh đạo chuyên về marketing được khảo sát, chi phí cho những vụ rò rỉ dữ liệu cao hơn nhiều cho với các chi phí tài chính trực tiếp. Thiệt hại mà các tổ chức đã trải qua do rò rỉ dữ liệu hoặc sự cố dữ liệu cá nhân trong 3 năm qua bao gồm mất khách hàng (27%), mất dữ liệu khách hàng (25%) và thiệt hại về uy tín hoặc thương hiệu (23%).

Bà Nguyễn Phi Lan, Phó Tổng giám đốc, Lãnh đạo Bộ phận Quản trị Rủi ro PwC Việt Nam khuyến nghị, các doanh nghiệp nên tập trung xây dựng chiến lược quản lý rủi ro an ninh mạng; có kế hoạch dự phòng nhằm ứng phó kịp thời để đảm bảo tính hoạt động liên tục của hệ thống; thiết lập hệ thống báo cáo rõ ràng và nhất quán.

Nguồn: Vneconomy

Những chiêu thức lừa đảo qua mạng cần cảnh giác

VSEC - BLOG Xu hướng thế giới mạng

Trong những tháng cuối năm người tiêu dùng tại Việt Nam cũng như trên thế giới có xu hướng mua sắm gia tăng khi thị trường hàng hoá có dấu hiệu bình ổn và gần đến các dịp lễ lớn cuối năm như Giáng sinh, Tết Âm lịch. Đây là thời điểm vàng mua sắm và cũng là tháng “củ mật” mà tin tặc hoặc kẻ lừa đảo có thể gia tăng hoạt động lừa đảo trên mạng.

Theo Bộ công thương, quý III/2022, tổng mức bán lẻ hàng hoá và doanh thu dịch vụ tiêu dùng ước đạt 1.450,4 nghìn tỷ đồng, tăng 3.8% so với quý trước và tăng 41,7% so với cùng kỳ năm trước. Nhìn chung 9 tháng năm 2022, tổng mức bán lẻ hàng hoá và doanh thu dịch vụ tiêu dùng ước tăng 21% so với cùng kỳ năm trước trong đó quý I tăng 5% và quý II tăng 20,1%, quý III tăng 41.7%.

Tội phạm mạng gia tăng trong những tháng cuối năm

Thương mại điện tử hay các ứng dụng mua sắm được cho là yếu tố quan trọng giúp thúc đẩy hoạt động tiêu dùng cuối năm đặc biệt khi người tiêu dùng có xu hướng yêu thích hình thức mua sắm online hơn sau biến động của dịch Covid-19. Đây cũng là thời điểm người dùng cá nhân thậm chí chính người bán hàng có thể dễ dàng bị các tin tặc tấn công nhất khi thiếu cảnh giác trong lúc mua sắm trên mạng. Sau đây là một số hình thức mà người tiêu dùng đặc biệt cần lưu ý.

      1. Giả danh nhân viên các hãng/công ty tặng quà

Kẻ lừa đảo có được thông tin liên hệ của người mua sắm, giả mạo nhân viên bưu cục hoặc nhân viên chăm sóc khách hàng của một số hãng với thông tin nâng cấp gói bảo hành, thông báo chương trình khuyến mãi hoặc quà tặng. Người tiêu dùng cả tin sẽ cung cấp các thông tin để nhận quà tặng hoặc nộp một khoản phí, thuế để nhận được quà tặng.

Ngoài ra, nhiều đối tượng cũng giả mạo nhân viên ngân hàng, các công ty cho vay tiền để lừa lấy thông tin cá nhân của người dùng như số an sinh xã hội, sổ đỏ, …

      2. Đánh cắp thông tin cá nhân trên các trang mạng xã hội

Việc đánh cắp thông tin cá nhân trên các trang mạng xã hội, các ứng dụng chat để mượn tiền là hình thức lừa đảo mạng được nhiều đối tượng sử dụng dựa vào sự cả tin của người dùng. Khuyến nghị từ các chuyên gia là người tiêu dùng cần “chậm lại” để kiểm tra các thông tin trao đổi, liên hệ với người quen qua các kênh thông tin khác để đảm bảo thông tin nhắn là đáng tin cậy.

      3. Tạo các tài khoản xã hội giả mạo

Khi nền tảng các ứng dụng chat, mạng xã hội có thể dễ dàng tạo tài khoản, nhiều kẻ lừa đảo tận dụng điều này để tạo nên các tài khoản xã hội giả mạo. Mục tiêu nhắm đến là người bán hàng trên các kênh online, trang thương mại điện tử. Khi đặt mua hàng online, đối tượng sẽ yêu cầu gửi số tài khoản ngân hàng có internet banking, tên chủ tài khoản, số điện thoại, … nhằm mục đích đánh cắp thông tin và tìm cách hack tài khoản ngân hàng của người bán.

Chỉ cần có các thông tin trên, kẻ lừa đảo sẽ gửi một mẫu tin nhắn về việc tài khoản được cộng tiền và yêu cầu truy cập link và cập nhật toàn bộ thông tin đăng nhập, mã số OTP để nhận được tiền.

     4. Giả mạo nhân viên ngân hàng/ cơ quan công an/ viện kiểm sát,…

Đóng vai nhân viên ngân hàng hoặc cơ quan công an, kẻ lừa đảo sẽ thông tin về việc tài khoản ngân hàng của bạn đang bị sự cố, lỗi, liên quan đến các vụ án, …. Khi người nhận thông tin cảm thấy lo lắng sẽ bị dụ dỗ cung cấp mã pin, thông tin thẻ, cung cấp số điện thoại và nhận được dẫn truy cập link yêu cầu đăng nhập và kiểm tra thông tin tài khoản.

     5. Tạo các trang thông tin bán hàng, đầu tư giả mạo

Một hình thức lừa đảo được đầu tư công phu hơn là việc các đối tượng lừa đảo tạo các trang web bán hàng giả mạo. Giả mạo các website hoặc tên tuổi các đơn vị bán hàng có uy tín, các trang bán hàng giá rẻ, ưu đãi để khách hàng đăng nhập tài khoản mua hàng và đánh cắp thông tin thẻ tín dụng. Hoặc tạo các trang mạng đầu tư tài chính, tiền ảo với lãi suất siêu cao. Sau khi khách hàng tham gia đầu tư được một thời gian, các đối tượng sẽ chủ động đánh sập website giả mạo này để chiếm đoạt tiền đầu tư của khách hàng.

Lời khuyên của các chuyên gia dành cho người tiêu dùng là luôn cảnh giác trước bất cứ thông tin nào liên quan đến việc yêu cầu cung cấp thông tin cá nhân, tài khoản ngân hàng. Ngoài ta, tạo thêm xác thực đa yếu tố cũng là một lựa chọn cho người dùng.

Nguồn: Tổng hợp

Quản lý Xã hội số và Nghị định 53 hướng dẫn thi hành một số điều của Luật An ninh mạng

VSEC - BLOG Xu hướng thế giới mạng

Nghị định 53/2022/NĐ-CP hướng dẫn thi hành một số điều của Luật an ninh mạng sẽ có hiệu lực vào ngày 1/10 tới đây. Với sự phát triển của công nghệ, đặc biệt là hạ tầng công nghệ kết nối trong thế giới không biên giới đây là những quy định cần thiết mà các chuyên gia VSEC sẽ đưa ra những chia sẻ sau đây dưới góc nhìn của đơn vị cung cấp dịch vụ an ninh mạng.

Phỏng vấn Ông Trương Đức Lượng – Chairman VSEC

Câu hỏi: Gần đây chúng tôi đã nhận được liên hệ của một số tờ báo nước ngoài cũng như cộng đồng, rất quan tâm đến Điều 26 liên quan tới quy định cho các doanh nghiệp nước ngoài cung cấp dịch vụ xuyên biên giới. Ở góc nhìn chuyên gia về an ninh mạng, Ông có thể chia sẻ quan điểm của mình về nội dung này?

Ông Trương Đức Lượng: Trong khuôn khổ luật, mình cho rằng việc có những quy định như thế này là cần thiết. Với sự phát triển của công nghệ mà đặc biệt là hạ tầng công nghệ đã khiến việc kết nối trở nên dễ dàng hơn bao giờ hết. Các ứng dụng công nghệ cũng đã tạo ra một xã hội song song với xã hội thực mà trong đó chúng ta sống hàng ngày. Nôm na có thể gọi đó là xã hội số. Xã hội số mang rất nhiều đặc tính chung của xã hội thực và cũng có nhiều nét riêng. Nét riêng cơ bản nhất là tính không biên giới, tính định danh. Xã hội số bên cạnh tính tích cực thì cũng kèm theo nhiều tiêu cực như xã hội thực và việc phát triển xã hội số cũng cần đi kèm theo là các biện pháp quản lý để giúp người dân số bớt bị tác động tiêu cực như hăm dọa, lừa đảo, thông tin giả,…

VSEC – Đơn vị cung cấp dịch vụ MSSP đầu tiên tại Việt Nam đạt chứng nhận quốc tế CREST cho hai dịch vụ Pentest và SOC 

Hầu hết các ứng dụng công nghệ, từ mạng Internet đến các ứng dụng mạng xã hội,… đều là bắt nguồn từ Phương Tây mang theo những triết lý, văn hóa phương Tây. Xã hội số vì thế có thể nói được xây dựng hầu hết từ phương Tây. Và trong quá trình phát triển, sự xung đột giữa xã hội thực và xã hội số cũng là điều dễ hiểu khi mà tính chất không biên giới có sự khác biệt với tính chất biên giới của xã hội thực. Trong nhiều sự khác biệt, chúng ta có thể dễ thấy như quan điểm về tự do, quan điểm về kinh doanh, quan điểm về thuế,…

Ông Trương Đức Lượng – Chairman VSEC. 

Dẫn dắt vậy để đi đến nội dung điều 26 của Nghị định, trong đó đưa ra các điều khoản định nghĩa về loại hình doanh nghiệp/kinh doanh sẽ bị điều chỉnh bởi luật. Đó là các doanh nghiệp thuộc mảng: truyền thông (mạng xã hội), tài chính (cổng thanh toán), thương mại (chợ, sàn điện tử). Quản lý xã hội thực và xã hội số thì theo mình xã hội thực vẫn cần được ưu tiên, sự cố trên xã hội số có thể tạo ra nhiều thiệt hại trong xã hội thực. Điều này đã được chứng minh qua nhiều ví dụ qua phương tiện truyền thông. Do đặc tính không biên giới nên việc tạo ra một xã hội số có thể bắt nguồn từ bất kỳ đâu trên thế giới. Vì thế việc quản lý xã hội số sẽ khó đạt được hiệu quả nếu không có cách thức liên kết thực giữa nhà quản lý và đơn vị tạo ra xã hội số.

Hiện tại, điều 26 đang đưa ra các cách thức gồm có: Lưu trữ dữ liệu định danh tại Việt Nam và Lập văn phòng/chi nhánh tại Việt Nam. Tương lai có thể có những biện pháp khác còn hiện tại thì mình thấy hai công cụ này đủ để bắt đầu. Theo mình có các lý do sau. Thứ nhất là, các giao dịch điện tử và do đặc tính của công nghệ tính định danh thường là yếu, nên việc yêu cầu chi tiết các thông tin cần lưu trữ sẽ giúp cho tính chất khả thi trong thực thi quản lý khi xảy ra sự cố. Thứ hai là luật ra đời từ 2018 và đến này sau 4 năm thì các doanh nghiệp tại Việt nam cũng có sự trưởng thành nhất định để đáp ứng các yêu cầu kỹ thuật về lưu trữ hiện đại. Thứ 3 là trong quản lý thì tính chính danh quan trọng, và khi có những người có thẩm quyền đủ để làm việc và hiện diện tại Việt Nam thì cũng hiệu quả hơn nhiều trong công việc phối hợp, thông tin quản lý hoặc xử lý các sự cố. Vì thế nên việc có văn phòng hoặc chi nhánh của các công ty “xã hội ảo” tại Việt nam cũng có tác dụng lớn đối với các nhà quản lý.

Luật đưa ra thường sẽ mất thời gian đi vào thực tế và chỉnh sửa bổ sung cho phù hợp, mình hi vọng luật sẽ là công cụ tốt để xã hội ảo trở nên lành mạnh và tích cực hơn, đem lại giá trị tốt đẹp cho xã hội thực

Xin cảm ơn Ông Trương Đức Lượng,

 

Tìm hiểu thêm về Nghị định 53/2022/NĐ-CP tại đây

Nguồn: VSEC

Việt Nam xếp thứ 8 trong Top10 cường quốc về an ninh mạng 2022

VSEC - BLOG Xu hướng thế giới mạng

Theo báo cáo National Cyber Power Index 2022*, Việt Nam đã chính thức có mặt trong top 10 quốc gia có năng lực An toàn thông tin cao nhất thế giới, đây là một bước nhảy ngoạn mục từ vị trí thứ 20 (năm 2020) lên vị trí thứ 8 (năm 2022).

Bảng xếp hạng Top10 các quốc gia dẫn đầu về năng lực an toàn thông tin 2022

Đáng chú ý, chỉ số intent (nói về mức độ quan tâm và đầu tư cho An ninh mạng) của Việt Nam cũng thăng hạng từ vị trí 16 lên vị trí 03 thế giới. Đây là tín hiệu tích cực trong việc nâng cao ý thức và năng lực đảm bảo ATTT của nhà nước và cộng đồng ATTT trong nước.

Chia sẻ về Báo cáo này, ông Phillip Hùng Cao – Kiến trúc sư giải pháp Công nghệ, Chiến lược gia về Zero Trust đã nhận định “Việt Nam có mặt ở vị trí thứ 8 trong báo cáo NCPI 2022 cho thấy rằng chúng ta đang đi đúng hướng trong việc tích cực tạo ra các sân chơi và cộng đồng an toàn thông tin đa dạng cho các lứa tuổi và tất cả đều đang cùng nhau phát triển. Chúng ta nhất định phải duy trì và phát triển tư duy mở này cho tương lai”.

*Báo cáo National Cyber Power Index (NCPI) được thực hiện bởi trung tâm Belfer Center của trường HARVARD Kennedy School, phát hành lần đầu tiên đưa ra vào năm 2020. Chia sẻ của Ông Eric Rosenback – Co-Didector, Belfer Center về mục tiêu của dự án là trở thành một nơi nghiên cứu hàng đầu và nghiêm ngặt để trả lời cho các vấn đề mà các lãnh đạo của các quốc gia đang phải đối mặt là các cuộc tấn công/xung đột trên không gian mạng. Thông qua các nghiên cứu này, các lãnh đạo có thể đưa ra các câu trả lời làm thế nào để tổ chức có thể huấn luyện, trang bị lực lượng quân sự để giành ưu thế trong trường hợp xảy ra các xung đột trên không gian mạng, làm thế nào để kiểm soát các leo thang hay tận dụng các công cụ pháp lý và chính sách để giảm thiệt hại khi xảy ra các tấn công, …

Báo cáo hiện sử dụng 8 chỉ số đo lường là Financial, Surveillance, Intelligence, Commerce, Defense, Information Control, Destructive và Norms. Tuy nhiên, báo cáo cũng có chỉ ra một số hạn chế về việc đo lường các yếu tố nhạy cảm như số lượng quân nhân, khả năng tình báo, …. Thứ hạng của Việt Nam được thăng hạng từ 20 lên 8 được đánh giá là do có sự gia tăng về các chỉ số như khả năng phòng thủ, thương mại, khả năng phá huỷ và các định mức.

Download Báo cáo tại đây

Theo National Cyber Power Index 2022

Top 6 vụ tấn công mạng của Hacker gây chấn động thế giới

VSEC - BLOG Xu hướng thế giới mạng

Đi cùng với xu hướng chuyển đổi số trên toàn cầu, số lượng các cuộc tấn công internet cũng đang tăng dần đều theo từng năm với mức độ nghiêm trọng và tinh vi ngày càng cao.

Cùng VSEC điểm qua một vài cuộc tấn công mạng lớn nhất thế giới đã được ghi nhận:

 

1. Adobe – Tập đoàn phần mềm nổi tiếng nước Mỹ bị hacker đánh cắp dữ liệu (Năm 2013)

Tháng 10/2013 Adobe đã công bố về việc hãng bị thất thoát dữ liệu bởi các Hacker. Có đến 2,9 triệu thông tin cá nhân từ các tài khoản bị đánh cắp từ mạng internet (bao gồm tên đăng nhập, các mật khẩu, tên thật, số thẻ tín dụng và ngày hết hạn). Ngay sau đó, tệp dữ liệu này được các tin tặc công khai trên internet với con số khủng lên đến 150 triệu (trong đó có 38 triệu tài khoản vẫn còn đang hoạt động).

 

2. Sự trả giá đắt của Sony vì phớt lờ cảnh báo từ Hacker

– Tháng 4/2011, Sony PlayStation Network (PSN) đã bị các tin tặc tổ chức cuộc tấn công mạng rầm rộ. Dịch vụ chơi game Multiplayer, mua trò chơi trực tuyến và các nội dung khác của Sony bị rò rỉ. Trong đó, có đến thông tin cá nhân của 77 triệu người chơi toàn cầu. Thậm chí, các thông tin ngân hàng của các tài khoản này còn bị các Hacker xâm phạm.

– Để xoa dịu người dùng, Sony đã phải chi 15 triệu đô la tiền bồi thường cho những người bị ảnh hưởng. Tuy nhiên, Sony đã quá xem thường các tin tặc ở thời điểm đó. Thậm chí khi các Hacker đã công bố lỗ hổng cơ sở dữ liệu của Sony nhưng họ đã bỏ ngoài tai lời cảnh báo này. Dữ liệu hoàn toàn không được mã hóa và dễ dàng tấn công bằng SQL Injection.

Thánh 11/2014 một công ty con của Sony là Sony Pictures Entertainment tiếp tục bị tấn công bởi một Virus mang tên “Guardians of Peace” và lần này thiệt hại còn lớn hơn trước khi có đến 100 terabyte (1TB bằng khoảng 1000 GB) bao gồm các dữ liệu quan trọng bị đánh cắp. Cuộc tấn công internet bởi các tin tặc lần này đã lấy đi nhiều kịch bản phim, email và dữ liệu cá nhân của 47.000 nhân viên. Nhiều nhân viên bị buộc phải nghỉ việc vì thiệt hại lần này.

 

3. Cơn ác mộng đối với hệ thống ngân hàng của Hàn Quốc (năm 2014)

Bài học lớn của chính phủ Hàn Quốc khi họ trải qua cuộc tấn công internet vào tháng 1 năm 2014. Dữ liệu lên đến 100 triệu thẻ tín dụng đã bị các tin tặc lấy đi. Ngoài ra, còn có thêm 20 triệu tài khoản ngân hàng cũng bị hack. Thêm vào đó, các ngân hàng tại Hàn Quốc đã phải chịu thiệt hại mất thêm 2 triệu khách hàng vì lo sợ thông tin cá nhân bị lộ đã đến ngân hàng để hủy thẻ hoặc đổi sang ngân hàng khác an toàn hơn.

 

4. Equifax – Một công ty tín dụng của Mỹ suýt chút nữa phá sản (Năm 2017)

 

Equifax – Một công ty tín dụng ở Mỹ, trong một báo cáo đã tiết lộ rằng họ đã phải xử lý khủng hoảng do bị tấn công internet trong nhiều tháng liên tục. Họ phát hiện cuộc tấn công vào tháng 7 năm 2017. Thông tin bị lộ được công bố bao gồm nhiều dữ liệu cá nhân tối mật của 143 triệu khách hàng tại Mỹ, Canada anh và gần 200.000 thông tin thẻ tín dụng.

Gần như không có cách nào để công ty có thể thu hồi lại thông tin bị rò rỉ sau cuộc tấn công internet năm 2017, lỗi này được xác định do lỗ hổng của Apache Struts đã được các tin tặc khai thác triệt để. Hậu quả để lại lớn đến mức các cổ đông lớn, giám đốc điều hành của công ty này đã phải bán gấp cổ phần để thoát thân khỏi cuộc khủng hoảng này.

 

5. Trang hẹn hò trực tuyến Tinder cũng từng là nạn nhân (Năm 2015)

Năm 2015, trang web hẹn hò trực tuyến đã bị tấn công internet nhằm mục đích đánh cắp toàn bộ thông tin của người dùng tại đây. Những thông tin quan trọng như tên thật, ngày tháng năm sinh, mã bưu chính, địa chỉ IP và cả sở thích tình dục… của 4 triệu tài khoản đã bị công khai trên một diễn đàn truy cập trên trình duyệt Tor.

Nhưng Tinder đã vẫn chưa tỉnh ngộ, năm 2016 họ đã phải chịu tổn thất nặng nề hơn và lần này hậu quả để lại gấp 100 lần. 400 triệu tài khoản đã bị đánh cắp thông tin nhạy cảm, 20 năm dữ liệu của ứng dụng hẹn hò khổng lồ chính thức bị công khai trên mạng. Những Hacker đã sử dụng phương thức Local File Inclusion ( một kỹ thuật đưa một tệp cục bộ chuyển thẳng về kho tài nguyên trực tuyến của tin tặc.

6. Khách hàng của Hotel Marriott bị lộ thông tin

Cuộc tấn công internet lần này được thực hiện bởi các tin tặc đã nhắm vào kho cơ sở dữ liệu lên đến 500 triệu khách của tập đoàn khách sạn Starwood thuộc sở hữu của Marriott (bao gồm cả tài khoản ngân hàng). Lỗ hổng bảo mật đã tồn tại từ năm 2014 nhưng đến tháng 9 năm 2018 đã chính thức phát sinh vấn đề từ đây. Đó là lần duy nhất tập đoàn Marriott dính phải vụ kiện bảo mật lớn nhất chưa từng có từ trước đến giờ.

Số lượng các cuộc tấn công internet vẫn đang không ngừng gia tăng theo từng năm. Để đảm bảo ATTT, cần xây dựng hệ thống an ninh mạng toàn diện, phòng thủ chắc chắn. Công ty cổ phần An ninh mạng Việt Nam – VSEC cung cấp cho bạn những phương án an toàn với chi phí tối ưu nhất trong việc đánh giá bảo mật, thiết lập giám sát, cảnh báo, xử lý sự cố ATTT cho doanh nghiệp.

Tấn công chuỗi cung ứng – Nỗi khiếp sợ của các doanh nghiệp

VSEC - BLOG Xu hướng thế giới mạng

Tấn công chuỗi cung ứng (supply chain attack) là một cuộc tấn công mạng nhắm vào một doanh nghiệp thông qua các nhà cung cấp (provider/vendor) của doanh nghiệp đó.

Thực trạng tấn công chuỗi cung ứng hiện nay

Một nghiên cứu mới cho biết chuỗi cung ứng như là một nam châm thu hút các cuộc tấn công mạng. Một con số khổng lồ 97% các công ty đã bị ảnh hưởng bởi các cuộc tấn chuỗi cung ứng và 93% trong số đó thừa nhận rằng họ đã bị tấn công trực tiếp vì những điểm yếu trong chuỗi cung ứng. Theo phân tích của nhà cung cấp bảo mật Sonatype, các cuộc tấn công chuỗi cung ứng phần mềm này đã tăng 650% trong năm 2021, phân tích của nhà cung cấp bảo mật Sonatype đã ghi nhận 12.000 sự cố trong năm 2021

Nick Weaver, nhà nghiên cứu bảo mật tại Viện Khoa học Máy tính quốc tế của UC Berkeley cho biết: “Các cuộc tấn công vào chuỗi cung ứng rất đáng sợ bởi vì chúng thực sự khó đối phó và vì chúng cho thấy rõ rằng bạn đang tin tưởng vào toàn bộ hệ sinh thái đó”.

Với một cuộc tấn công được tổ chức tốt, chúng có thể ảnh hưởng tới mạng lưới khách hàng của nhà cung cấp, đôi khi lên tới hàng trăm hoặc thậm chí hàng nghìn nạn nhân. Và bất kỳ công ty nào sản xuất phần mềm hoặc phần cứng cho các tổ chức khác đều có thể là mục tiêu tiềm năng của những kẻ tấn công.

 

 

Các cuộc tấn công chuỗi cung ứng điển hình

  • Cửa hậu SolarWinds SUNBURST: Vào ngày 13/12/2020, cửa hậu SUNBURST lần đầu tiên được tiết lộ. Cuộc tấn công đã sử dụng bộ quản lý và giám sát công nghệ thông tin SolarWinds Orion phổ biến để phát triển một bản cập nhật trojan độc hại. Chúng nhắm mục tiêu vào các dịch vụ chạy phần mềm Orion và Bộ Tài chính Thương mại Hoa Kỳ. Fortune 500, các công ty viễn thông, cơ quan chính phủ khác và các trường đại học cũng có khả năng bị ảnh hưởng. Mối quan tâm đặc biệt trong cửa hậu SUNBURST là các máy chủ chuyên dụng bị nhắm mục tiêu. Thông thường, các loại máy chủ này ít được giám sát thường xuyên. Việc ngăn chặn các cuộc tấn công như cửa hậu SUNBURST đòi hỏi sự giám sát thường xuyên ở tất cả các cấp của mạng công ty.
  • Khai thác lỗ hổng trong Log4j: Một cách thực hiện tấn công chuỗi cung ứng khác là khai thác các lỗ hổng phần mềm mã nguồn mở. Nổi bật trong đó là cuộc tấn công của tin tặc thực hiện khai thác lỗ hổng trong Log4j. Cuộc tấn công này cho phép tin tặc thực thi mã từ xa, bao gồm khả năng chiếm toàn quyền kiểm soát máy chủ. Log4j là một lỗ hổng zero-day được tin tặc phát hiện trước khi nhà cung cấp phần mềm biết về nó. Vì lỗ hổng này gắn với một phần của thư viện mã nguồn mở cho nên bất kỳ thiết bị nào trong số 3 tỷ thiết bị đang sử dụng Java đều có thể bị ảnh hưởng.
  • Tấn công phần mềm Kaseya VSA: Mục đích chính của việc sử dụng các cuộc tấn công chuỗi cung ứng là khai thác các lỗ hổng của nhà cung cấp và tấn công các khách hàng của họ. Đó chính xác là những gì nhóm tin tặc Revil sử dụng khi thực hiện tấn công Kaseya VSA – một nền tảng dịch vụ giám sát và quản lý từ xa dành cho các hệ thống công nghệ thông tin và khách hàng của họ. Bằng cách khai thác một lỗ hổng trong Kaseya VSA, REvil đã có thể gửi mã độc tống tiền tới 1.500 công ty là khách hàng của Kaseya VSA.

  • Cuộc tấn công Capital One và lỗi bảo mật cơ sở hạ tầng đám mây: Không phải tất cả các cuộc tấn công đều được các nhóm tin tặc tinh nhuệ thực hiện, Capital One (Mỹ) đã trải qua một vụ vi phạm dữ liệu lớn khi một nhân viên của Amazon tận dụng kiến ​​thức nội bộ về Dịch vụ Web Amazon (AWS) để đánh cắp 100 triệu USD từ ứng dụng thông qua thẻ tín dụng. Cuộc tấn công đã công khai những nguy cơ về việc sử dụng cơ sở hạ tầng đám mây.
  • Lỗ hổng trên thiết bị di động cá nhân và thiết bị của nhà cung cấp: Vào tháng 3/2022, công ty an ninh mạng Okta (Mỹ) tiết lộ rằng một trong những nhà cung cấp của họ (Sitel) đã gặp phải vi phạm thông qua một nhân viên cung cấp các chức năng dịch vụ khách hàng trên máy tính xách tay. Mặc dù mức độ vi phạm bị hạn chế, chỉ có hai hệ thống xác thực Okta bị truy cập trái phép và không có tài khoản khách hàng hoặc thay đổi cấu hình nào được thực hiện. Tuy nhiên, các thiết bị của nhà thầu phụ và mang các thiết bị cá nhân sẽ giống như mối nguy hiểm tiềm ẩn mà tin tặc sẽ nhắm đến để thông qua chúng thực hiện các cuộc tấn công lớn hơn.

 

Làm thế nào để hạn chế tối đa việc tấn công chuỗi cung ứng

Mọi doanh nghiệp, tổ chức trong chuỗi cung ứng phải hiểu rằng các cuộc tấn công mạng luôn luôn tiềm ẩn và có thể bị tấn công bất cứ lúc nào. Do đó, các DN cần phải nâng cao sức đề kháng cho hệ thống phòng thủ an ninh mạng của mình. Dưới đây là một giải pháp các DN, tổ chức có thể áp dụng nhằm bảo vệ và hạn chế tối đa những rủi ro an ninh mạng có thể xảy ra.

Chọn nhà cung cấp cẩn thận: Doanh nghiệp cần đảm bảo rằng các nhà cung cấp có các chính sách và hệ thống bảo mật được chứng nhận. Điều này nên được ghi rõ trong hợp đồng hợp tác giữa 2 bên.

Giám sát chặt chẽ các nhà cung cấp phần mềm: Bạn phải kiểm soát các nhà cung cấp phần mềm, đặc biệt là đối với phần mềm có quyền truy cập đặc quyền vào tài sản của công ty.

Giới hạn quyền truy cập dữ liệu với đối tác, nhà cung cấp: Số lượng người có quyền truy cập vào dữ liệu càng ít thì việc kiểm soát và giảm thiểu các mối đe dọa càng dễ dàng nên hãy giới hạn quyền truy cập với đối tác của bạn.

Bảo vệ điểm cuối của nhà phát triển: Triển khai nền tảng bảo vệ điểm cuối, công nghệ phát hiện và phản hồi điểm cuối nhằm phát hiện những hành vi bất thường để dễ dàng xử lý sự cố khi cần thiết.

Đào tạo nhân viên, nhà cung cấp và đối tác: Tiến hành các buổi đào tạo để giáo dục nhân viên về tất cả các khía cạnh bảo mật như chính sách công ty, bảo mật mật khẩu và các phương pháp tấn công kỹ thuật là điều quan trọng không nên bỏ qua.

Chuẩn bị sẵn sàng một kế hoạch dự phòng: Không có phương pháp nào chắc chắn 100% nên hãy đảm bảo rằng doanh nghiệp có một kế hoạch ứng phó sự cố để đối phó hiệu quả với một cuộc khủng hoảng tiềm ẩn.

Và Vsec luôn ở đây, để giúp cho môi trường công nghệ thông tin trở nên an toàn hơn, giữ cho niềm tin và sự trung thành của khách hàng vào dịch vụ của các bạn!

Theo: ictvietnam, computerweekly, helpnetsecurity, gep.com

Những thất bại lớn nhất của giới công nghệ trong năm 2021

VSEC - BLOG Xu hướng thế giới mạng

Bên cạnh các thành phần đáng chú ý, giới hạn nghệ thuật cũng đối mặt với nhiều lỗi và sự cố nghiêm trọng. Năm 2021 với sự đan xen giữa các công thức và hi vọng, trong hoàn cảnh dịch bệnh Covid-19 lan rộng trên toàn cầu, giới công nghệ cũng được thúc đẩy và đạt được một số thành tựu quan trọng. Tuy nhiên, hiện không sản phẩm lỗi hoặc sự cố nghiêm trọng. 

Ảnh: Getty Images.

Rò nổ dữ liệu tại Facebook và LinkedIn.

Vào tháng 4, các chuyên gia an ninh mạng cho biết thông tin cá nhân của 530 triệu người dùng Facebook. Trong đó bao gồm số điện thoại, ngày sinh và địa chỉ email bị đăng tải công khai. Cũng trong tháng 4, LinkedIn xác nhận thông tin công khai của khoảng 500 triệu hồ sơ người dùng đang bị hacker rao bán. Theo mạng xã hội này, dữ liệu được tổng hợp từ nhiều nguồn khác nhau, không phải là vụ tấn công nhằm vào Linkedln. Các vụ việc kể trên một lần nữa cho thấy khả năng dữ liệu người dùng tại những tập đoàn lớn dễ bị tổn thương như thế nào trước sự xâm nhập của tội phạm mạng.

Ảnh: Trend Micro

Mất hơn 4 triệu USD bởi ransomware.

Năm nay, số lượng các cuộc tấn công ransomware (đánh cắp dữ liệu đòi tiền chuộc) tăng mạnh, đặc biệt là những cuộc tấn công nhắm vào những doanh nghiệp và cơ sở hạ tầng quan trọng như ngành Năng lượng, Tài chính – Ngân hàng, Cơ quan nhà nước,… Vào tháng 5, tin tặc đã xâm nhập vào đơn vị vận hành đường ống dẫn nhiên liệu lớn nhất nước Mỹ, Colonial Pipeline, buộc công ty này phải tạm dừng hoạt động. CEO Pipeline thừa nhận phải trả cho những kẻ tấn công 4,4 triệu USD. Sang tháng 6, cơ quan điều tra của Mỹ tuyên bố thu hồi được số tiền mã hóa trị giá 2,3 triệu USD, một phần trong số tiền chuộc mà Colonial Pipeline đã trả cho tin tặc trong vụ tấn công chấn động này.

Ảnh: Shutterstock.

Internet toàn cầu ngừng hoạt động 2 lần.

Trong vòng chưa đầy 2 tuần, Internet toàn cầu đã xảy ra sự cố liên tiếp, khiến cho một phần lớn mạng lưới ngừng kết nối, ảnh hưởng nghiêm trọng đến các dịch vụ. Sự cố này cũng cho thấy mức độ phụ thuộc lớn của đời sống con người vào Internet. Đầu tiên, vào ngày 8/6, hàng loạt trang web bao gồm Reddit, CNN, Amazon… đã ngừng hoạt động do mạng phân phối nội dung Fastly gặp sự cố. Đến 17/6, vấn đề lặp lại với, Akamai Technologies – một công ty có chức năng tương tự – khiến nhiều website mất truy cập, gồm các trang web của Southwest Airlines, United Airlines, Commonwealth Bank of Australia và Hong Kong Stock Exchange. Sự việc được phát hiện trong vòng một phút và kéo dài chưa đến một giờ đối với hầu hết trang web bị ảnh hưởng. Tuy nhiên, đây không phải là sự cố Internet lớn duy nhất trong năm. Vào tháng 12, dịch vụ điện toán đám mây của Amazon đã bị 3 lần ngừng hoạt động dẫn đến sự cố cho Disney+, Slack, Netflix, Hulu và nhiều nền tảng khác.

Ảnh: Reuters.

Khủng hoảng Facebook.

Ngày 4/10 là thời điểm tồi tệ trên nhiều khía cạnh đối với công ty hiện đã đổi tên thành Meta. Đêm trước đó, người tố giác Frances Haugen tiết lộ danh tính trên chương trình “60 Minutes” và tuyên bố rằng Facebook biết rõ việc nền tảng bị dùng để lan truyền thông tin sai lệch, ngôn từ kích động thù địch và bạo lực. Sáng 4/10, sự việc nghiêm trọng đến mức khiến Facebook, WhatApp và Instagram ngừng hoạt động trong nhiều giờ. Hãng tuyên bố nguyên nhân là vấn đề khi “thay đổi cấu hình”. Cổ phiếu Facebook lao dốc khi hãng đối mặt với hàng loạt khó khăn, gồm việc sập mạng, sự xuất hiện của Frances Haugen, nguy cơ bị quốc hội Mỹ giám sát chặt chẽ hơn.

Ảnh: CNN

Xe “tự lái hoàn toàn” của Tesla trễ hẹn.

Elon Musk nhiều lần nói về phần mềm “tự lái hoàn toàn” của công ty xe điện Tesla. Tuy nhiên, đến cuối năm 2021, nó vẫn chưa trở thành hiện thực. Autopilot cung cấp các tính năng hỗ trợ người lái nhưng yêu cầu tài xế phải luôn tỉnh táo, sẵn sàng điều khiển. Ngoài ra, những người đã mua gói dịch vụ thử nghiệm với giá 10.000 USD cho biết tính năng tự lái không tốt như kỳ vọng. Đã có vài sự cố khi xử lý tình huống giao thông xuất hiện trên đường. Chẳng hạn một chiếc Tesla Model 3 đâm vào xe tải giao hàng khi tránh người đi xe đạp, thậm chí đi vào làn đường trái chiều hay sắp đâm vào hàng rào.

Các xu hướng công nghệ sẽ lên ngôi trong năm 2022

VSEC - BLOG Xu hướng thế giới mạng

Khi quá trình số hóa trong kinh doanh và xã hội tiếp tục tăng tốc, hãy cùng xem xét một số xu hướng công nghệ được dự đoán là triển vọng trong năm 2022.

Việc tăng tốc áp dụng các công nghệ kỹ thuật số giúp ích trong tốc độ truyền đạt thông tin, tránh lãng phí, cải thiện cuộc sống của người tiêu dùng.

Những dự đoán về xu hướng công nghệ phổ biến trong năm 2022 dưới đây được chia sẻ bởi ông Madhav Sheth – Giám đốc điều hành kiêm Chủ tịch Tập đoàn Realme tại Ấn Độ.

 

Thiết bị công nghệ được thiết kế để phục vụ làm việc từ xa

Để ứng phó với đại dịch Covid 19, các công ty hay tổ chức đều triển khai hình thức làm việc online, đây chính là tiền đề để các thiết bị công nghệ phát triển.

Ví dụ tăng cường, đổi mới hiệu suất pin là chìa khóa khi làm việc online. Nó cho phép các thiết bị sử dụng lâu hơn và sạc nhanh hơn, giúp quá trình làm việc không bị gián đoạn.

Thêm vào đó, năm 2022 có thể chứng kiến công nghệ được thúc đẩy theo hướng AI, điều này giúp những người trong môi trường làm việc từ xa có trải nghiệm điện “rảnh tay” điều khiển thiết bị theo ý muốn mà “không cần chạm”. AI còn có thể sẽ được sử dụng để loại bỏ các tiếng ồn xung quanh khi thực hiện cuộc gọi video.

VR, trình xử lý ngôn ngữ, âm thanh không gian, cảm biến và camera cũng sẽ hướng thay đổi theo cách nhân viên tương tác với công nghệ.

Nhu cầu về 5G

Việc áp dụng 5G được kỳ vọng vượt qua 4G vào năm tới. 5G được kỳ vọng không chỉ do lợi thế về tốc độ vượt trội mà còn là nhờ độ tin cậy cũng như mang lại những trải nghiệm mới cho người dùng.

Trong khi nhiều công ty giới thiệu điện thoại thông minh và thiết bị hỗ trợ 5G, ngành công nghiệp bán dẫn được hưởng lợi nhiều nhất. Tuy nhiên, việc khai thác tiềm năng đó đòi hỏi một cách marketing thu hút và sáng tạo hơn.

Trong vòng một thập kỷ tới đây, 5G được dự đoán sẽ định hình lại bức tranh công nghệ vì thế đây là thời điểm thích hợp để phát triển các sản phẩm hỗ trợ 5G.

Tai nghe Bluetooth sẽ dần chiếm lĩnh thị trường

Bất chấp đại dịch COVID-19, thị trường tai nghe Bluetooth toàn cầu tăng trưởng 78% so với cùng kỳ năm ngoái và dự kiến tăng 33% so với cùng kỳ năm 2021 tương đương khoảng 310 triệu chiếc được bán ra.

Sự gia tăng hình thức làm việc tại nhà, công với nhu cầu sử dụng smartphone để giải trí hàng ngày làm tăng lượng mua tai nghe không dây. Hơn nữa, với sự phát triển ngày càng cao của công nghệ AI và Machine Learning (ML), người dùng sẽ có trải nghiệm âm thanh dễ nghe và phong phú hơn

Với việc ứng dụng rộng rãi ML giúp cải tiến phân tích và phát hiện tiếng ồn môi trường chính xác, tai nghe Bluetooth có thể hỗ trợ các chức năng như tập thể dục, hội họp và đánh giá sức khỏe thể chất.

Tăng cường thực hành bảo mật

Tội phạm mạng giờ đây không chỉ còn là mối đe dọa đối với các doanh nghiệp mà còn với các chính cá nhân làm việc tại nhà vì họ là những mắt xích yếu trong hệ thống bảo mật công nghệ thông tin của các công ty.

Ngày càng có nhiều sự tập trung vào các luật quyền sở hữu trí tuệ, hệ thống mạng vật lý, hay các cuộc tấn công mã độc.

Công nghệ an ninh mạng sẽ kết hợp với các công cụ AI và ML sẽ giải quyết các vấn đề như xác minh danh tính từ xa thông qua điện thoại thông minh, hộ chiếu kỹ thuật số hay xác thực du lịch điện tử.

Một xu hướng khác là Zero-Trust, đây là mô hình bảo mật yêu cầu toàn bộ người dùng mạng phải được xác thực, ủy quyền; đồng thời phải liên tục xác nhận cấu hình và trạng thái bảo mật trước khi được cấp hoặc giữ quyền truy cập vào các ứng dụng và dữ liệu của tổ chức.

Nguồn: ictnews.vietnamnet.vn

Top 10 cuộc tấn công Ransomware 2017

VSEC - BLOG Nổi bật Xu hướng thế giới mạng

Năm 2017 là năm mà ransomware và sự ảnh hưởng trực tiếp của nó khiến mọi người ai ai cũng biết tới. Với hàng loạt các cuộc tấn công lan rộng như WannaCry và NotPetya, chúng đã thu hút mọi sự chú ý mặc những lý do trái chiều và trở thành một mối đe dọa nghiêm trọng cho các tổ chức, doanh nghiệp. Hãy cùng nhìn lại những cuộc tấn công nguy hiểm nhất trong năm nay!

 

https://vsec.com.vn/blog/9/top-10-cuoc-tan-cong-ransomware-2017%5C

Lương 4000$ đô không khó nếu bạn có 5 chứng chỉ này

VSEC - BLOG Bảo mật cho người mới Nổi bật

Vài năm trở lại đây, an ninh mạng là một ngành rất “hot” trong thế giới rộng lớn của lĩnh vực CNTT, được cả những người trẻ cũng như các tập đoàn trong và ngoài nước quan tâm. Mức thu nhập của một nhân sự an ninh mạng có thể lên tới hàng chục ngàn đô la. Việc sở hữu trong tay những tấm chứng chỉ quan trọng cũng sẽ góp phần nâng cao trình độ cũng như mức thu nhập của bạn trong tương lai.

Tại hội thảo và triển lãm quốc tế về an toàn không gian mạng (Vietnam Security Summit 2021), các chuyên gia an ninh mạng nhận định Việt Nam vẫn là nước có tỷ lệ nhiễm mã độc và hứng chịu những cuộc tấn công mạng thuộc nhóm cao trên thế giới, các hoạt động vi phạm trên không gian mạng cũng có chiều hướng gia tăng.

Tuy nhiên, nguồn nhân lực phục vụ cho công tác đảm bảo an toàn, an ninh mạng hiện nay lại tỉ lệ nghịch với những nguy cơ an ninh, an toàn thông tin. Sự thiếu hụt về nguồn nhân lực chủ yếu nằm ở nhóm các chuyên gia về bảo mật an toàn thông tin có chất lượng cao. Vậy hành trình nào để trở thành những kỹ sư, chuyên gia an ninh mạng tại Việt Nam? Hay cần chuẩn bị những kiến thức, dắt mình những chứng chỉ quốc tế nào để nằm trong tầm ngắm của các doanh nghiệp tuyển dụng?

Để giúp các bạn có cái nhìn rõ ràng hơn và có mục tiêu trong tương lai, chuyên gia VSEC đã chỉ ra 5 chứng chỉ quan trọng mà một chuyên gia an ninh mạng cần phải có sau:

 

1. Offensive Security Certified Professional (OSCP)

Chứng chỉ OSCP

Các hacker mũ trắng đều đánh giá OSCP là kỳ thi cấp chứng chỉ an ninh mạng khó nhất. OSCP là một bài kiểm tra nghiêm ngặt, trong thế giới thực dành cho những người kiểm tra thâm nhập, những người muốn thăng tiến sự nghiệp của họ. Để tham gia OSCP, bạn phải có nhiều kinh nghiệm về an ninh mạng. Chắc chắn, bạn cần có kiến ​​thức về ngôn ngữ lập trình như Python cũng như các kỹ năng cơ bản về Linux. Bạn cũng cần biết về mạng TCP / IP.

 Chuyên gia VSEC chia sẻ về chứng chỉ OSCP

2. Certified Information Systems Security Professional (CISSP)

Mặc dù kỳ thi OCSP là khó nhất do khung thời gian ngắn và cách tiếp cận thực hành, nhưng CISSP được coi là đỉnh cao của chứng chỉ an ninh mạng. CISSP dành cho những người kiểm tra khả năng thâm nhập và các chuyên gia an ninh mạng muốn giữ tiêu chuẩn vàng về sự xuất sắc cho chứng nhận an ninh mạng.

Kỳ thi CISSP có 100-150 câu hỏi trắc nghiệm và “cải tiến nâng cao ”, kéo dài trong 3 giờ. Điểm đậu là 700 trên 1000 điểm.

 Chứng chỉ CISSP

3. Offensive Security Web Expert (OSWE)

Chứng chỉ OSWE là một trong những chứng chỉ về bảo mật thuộc Offensive Security – một công ty quốc tế của Mỹ hoạt động trong lĩnh vực bảo mật thông tin, kiểm tra thâm nhập và pháp y kỹ thuật số. Chứng chỉ OSWE là vô giá đối với bất kỳ cá nhân nào đang theo đuổi sự nghiệp bảo mật ứng dụng web.

 Chứng chỉ OSWE

4. Certified Ethical Hacker (CEH)

CEH là một chứng chỉ trình độ trung cấp được cấp bởi Hội đồng Quốc tế về tư vấn Thương mại điện tử (International Council of Electronic Commerce Consultants/ EC-Council) là chứng chỉ mà bất cứ chuyên gia công nghệ thông tin nào muốn theo đuổi sự nghiệp bảo mật cần phải trang bị cho mình. Những chuyên gia sở hữu chứng chỉ CEH có kiến thức và kỹ năng trong các lĩnh vực như kiểm tra thăm dò mạng lưới, điều tra, Trojans, virus, ngăn chặn tấn công hệ thống, tấn công trang chủ, mạng không dây và các ứng dụng web, thâm nhập SQL, mật mã, thâm nhập thử nghiệm, lẩn tránh IDS, tường lửa….

Để tham gia kỳ thi này, bạn cần phải hoàn thành chương trình đào tạo CEH trước. Kỳ thi bao gồm 125 câu hỏi, kéo dài trong 4 giờ.

Chứng chỉ CEH

5. Computer Hacking Forensics Investigator (CHFI)

CHFI là chứng chỉ chuyên gia bảo mật có những kỹ năng và kiến thức để phát hiện, phân tích các bằng chứng kỹ thuật số phức tạp. Đây là một kỳ thi khó, nhưng thời gian ngắn và ít khốc liệt hơn các cuộc thi trên.

     Chứng chỉ CHFI

“Công ty Cổ phần An ninh mạng Việt Nam (VSEC) với 20 năm kinh nghiệm là thành viên của tập đoàn công nghệ G-Group (được tạp chí nhân sự hàng đầu châu lục HR Asia bình chọn là nơi làm việc tốt nhất châu Á 2 năm liên tiếp). VSEC sở hữu đội ngũ các chuyên gia hàng đầu và đạt được nhiều thành tựu trên thị trường quốc tế – dẫn đầu đổi mới trong lĩnh vực điều tra và phân tích các mối đe dọa ATTT. VSEC cũng là đơn vị đầu tiên hoạt động đánh giá An toàn thông tin tại Việt Nam, đồng thời cũng là nhà cung cấp dịch vụ bảo mật đầu tiên tại Việt Nam đạt chứng nhận CREST cho dịch vụ đánh giá bảo mật – Pentest và Giám sát an toàn thông tin – SOC. VSEC đã hợp tác tổ chức Đào tạo – Diễn tập cho nhiều đơn vị lớn trong nước như: Tập đoàn Điện lực Việt Nam và các đơn vị thành viên, Bộ y tế, Ngân hàng nhà nước, Bộ ban ngành các tỉnh, thành phố,…”

 

Loại hình trung tâm vận hành và giám sát an ninh mạng nào phù hợp với doanh nghiệp tài chính ngân hàng

VSEC - BLOG Bảo mật cho người mới

Trung tâm Vận hành và Giám sát An ninh mạng – SOC – đảm nhiệm vai trò phát hiện và xử lý tấn công một cách nhanh nhất nhằm giảm thiểu rủi ro cho hệ thống công nghệ thông tin của doanh nghiệp. Đặc biệt đối với các đơn vị Tài chính Ngân hàng vốn là mục tiêu hàng đầu của tin tặc. Tuỳ thuộc vào quy mô hệ thống IT, nguồn lực nhân sự, các mô hình trung tâm SOC nào sẽ được các đơn vị này cân nhắc sử dụng?

Tại các quốc gia phát triển, trung tâm SOC (Security Operations Center) đã không còn xa lạ với các cơ quan chính phủ, doanh nghiệp lớn, các ngân hàng và tổ chức tài chính. Từ những năm đầu của thế kỷ 21, doanh nghiệp trong khu vực châu á đã có xu hướng sử dụng SOC như một phần tất yếu của hệ thống công nghệ thông tin. Song tại Việt Nam, mô hình này lại chưa được vận dụng nhiều do chi phí và thiếu nhân sự chuyên môn.

Mỗi đơn vị có thể xây dựng mô hình SOC khác nhau nhưng tựu chung đều nhằm mục đích đáp ứng nhu cầu bảo mật của doanh nghiệp. Với đặc điểm có lượng giao dịch lớn, kết nối đa điểm và phát triển nhanh chóng các loại hình digital banking, mobile banking, thanh toán ảo, … nên mô hình SOC cho ngành tài chính ngân hàng lại càng phải thiết kế sao cho phù hợp với quy mô của hệ thống.

5 cấp độ trung tâm SOC

Có 5 cấp độ của SOC được biết bao gồm: Level 1: Basic detection & Prevention (Phát hiện & Ngăn chặn), Level 2: Context, Control & Coverage (Bối cảnh, Kiểm soát và Phạm vi), Level 3: Basic Hunting & APT (Săn tìm tấn công chủ đích APT), Level 4: Remediation (Khắc phục) và Level 5: Deep Hunting (Săn tìm mối đe dọa sâu hơn). Với mỗi cấp độ này, nhà điều hành doanh nghiệp sẽ cần một đội ngũ nhân sự ở các cấp độ chuyên môn tương đương. Từ những nhân sự thực hiện nhiệm vụ giám sát, ngăn chặn, cảnh báo cho đến mức độ phức tạp hơn là các nhà phân tích, nhà nghiên cứu các mối đe doạ và các thành viên săn tìm mối đe doạ, …

Trung bình, một trung tâm SOC sẽ cần tối thiểu từ 10 đến 20 nhân sự đảm nhận công việc chuyên biệt. Mô hình SOC càng phức tạp, số lượng nhân sự càng lớn thì càng đặt ra thách thức về chi phí cho nhà quản lý. Bởi chi phí chi trả không chỉ dừng ở mức lương cho chuyên gia mà còn là chi phí để tuyển dụng, thuê người ngay từ giai đoạn xây dựng SOC ban đầu. Chính vì điều này mà trên thế giới đã bắt đầu phân chia ra 3 mô hình SOC mà theo Gartner các doanh nghiệp có thể lựa chọn là: SOC nội bộ (fully insourced), Thuê ngoài (fully outsourced) và Kết hợp (hybrid/co-managed SOC)

Dù là mô hình SOC nội bộ hay kết hợp, nhà quản trị doanh nghiệp cũng đều phải tính toán đến chi phí duy trì nhân sự, đầu tư trang thiết bị và công nghệ. Cho dù hệ thống SOC mới đang được lên kế hoạch, doanh nghiệp cũng đã phải chi trả chi phí để thuê nhân sự để thiết kế và xây dựng mô hình vận hành trước khi thu được hiệu quả có thể đo đếm được. Chính vì vậy, cho dù có nguồn vốn lớn các Ngân hàng và tổ chức tài chính không phải lúc nào cũng chọn lựa việc xây dựng một trung tâm SOC nội bộ hay kết hợp.

Mô hình trung tâm SOC Thuê ngoài – VSEC

“Trong 20 năm cung cấp dịch vụ bảo mật tại Việt Nam, phục vụ hơn 50% khách hàng Ngân hàng, tổ chức tài chính, chúng tôi tin rằng mô hình SOC thuê ngoài có thể đáp ứng được câu chuyện tối ưu nguồn lực tài chính và đầu tư cho doanh nghiệp. Chúng ta có thể tốn hàng nghìn giờ để nỗ lực cứu vãn hệ thống công nghệ sau tấn công nhưng chỉ cần chưa quá 4 giờ đồng hồ để tìm ra và ngăn chặn hiểm hoạ thông qua trung tâm SOC” – Ông Vũ Thế Hải, SOC Manager VSEC chia sẻ.

Với Trung tâm SOC, VSEC – Công ty cổ phần An ninh mạng Việt Nam mở rộng phạm vi cung cấp dịch vụ đúng với tiêu chí là MSSP – Managed Security Service Provider – Nhà cung cấp dịch vụ bảo mật toàn diện tại Việt Nam. Trung tâm SOC của VSEC cũng là trung tâm SOC đầu tiên tại Việt Nam được nhận chứng chỉ CREST- chứng nhận đạt các tiêu chuẩn quốc tế về năng lực chuyên gia, kinh nghiệm chuyên môn, khả năng công nghệ, các chính sách, quy trình, thủ tục và đạo đức nghề nghiệp liên quan đến việc cung cấp dịch vụ trung tâm SOC. Không chỉ cung cấp một giải pháp hoàn chỉnh của SOC mà VSEC cũng có thể tư vấn, đào tạo và triển khai thử nghiệm mô hình SOC tiêu chuẩn quốc tế phù hợp theo nhu cầu của từng doanh nghiệp.

Trung tâm Vận hành và Giám sát An ninh mạng – SOC -VSEC

Các nguyên nhân chính gây ra rủi ro bảo mật

VSEC - BLOG Bảo mật cho người mới

Vào một ngày hè cuối tháng 4/2017, ông Trương Đức Lượng, Giám đốc Công ty VSEC, đã có một bài chia sẻ về đề tài rất nóng hiện nay là rủi ro bảo mật thông tin tại một cuộc hội thảo nhỏ do VSEC tổ chức tại Hà Nội, Việt Nam. Hội thảo đề cập khá nhiều phương diện mà rủi ro bảo mật thông tin có thể được gây ra ở phía máy chủ cũng như máy trạm.

Link sự kiện Workshop “Rủi ro bảo mật & An toàn thông tin” của VSEC:

https://www.youtube.com/watch?v=yuekJt9C1fU

Rủi ro phía máy chủ

Các rủi ro bảo mật liên quan đến máy chủ có thể do nhiều nguyên nhân, chẳng hạn như cơ chế xác thực yếu, tham chiếu các đối tượng không an toàn, thiếu chức năng kiểm soát truy cập, và sử dụng các thành phần có lỗi bảo mật.

Cơ chế xác thực yếu (Poor Authorization and Authentication) xảy ra chủ yếu do thiếu hoặc không kiểm soát xác thực. Một số ứng dụng tại Việt Nam thường sử dụng các giá trị không đổi như IMEI, UUID làm phương thức xác thực duy nhất. Tại hội thảo, diễn giả đưa ra một số ví dụ về việc một ứng dụng sử dụng UUID để làm phương thức xác thực, và một vài ví dụ về việc ứng dụng phân các API ra thành các lớp theo mức độ bảo mật khác nhau (Low Security, Medium Security, High Security).

Tham chiếu các đối tượng không an toàn (Insecure Direct Object Reference) xảy ra khi lập trình viên để lộ tham chiếu tới các đối tượng trong hệ thống (file, thư mục, các khóa trong cơ sở dữ liệu) mà không kiểm soát sự truy cập. Kẻ tấn công có thể truy cập tới các dữ liệu trái phép. Đây là một trong những chủ đề nhiều khách mời chú ý đến nhất bởi mức độ nguy hiểm của nó. Diễn giả cung cấp hình ảnh một số app mobile banking của ngân hàng gặp phải lỗi này. Cách phòng chống được đưa ra là sử dụng Access Reference Map và Access Modal Diagram. Một khách mời chia sẻ đã từng sử dụng Access Reference Map nhưng lại làm rối các ID ở phía client, vì vậy không an toàn. Một khách mời khác chia sẻ không sử dụng Access Reference Map nhưng để trường ID rất phức tạp, kẻ tấn công khó có thể đoán ra được.
Thiếu chức năng kiểm soát truy cập (Missing Function Level Access Control) xảy ra khi server không kiểm soát user khi sử dụng hàm này có quyền thực thi hay không. Điều này dẫn đến kẻ tấn công có thể sử dụng các quyền không được phép. Diễn giả đưa ra một số hình ảnh về trường hợp bất kì người nào cũng có thể sử dụng hàm của người quản trị, lấy thông tin từ hệ thống Mail server.

Sử dụng các thành phần có lỗi bảo mật (Using Components with Known Vulnerabilities) xảy ra khi server sử dụng các thành phần (hệ điều hành, framework, thư viện, v.v…) đã có các lỗ hổng được công bố. Một số lỗi đã được tìm ra và khai thác tự động bởi các vài công cụ, tuy nhiên chính điều này làm tăng nguy cơ hệ thống bị tấn công. Biện pháp tốt nhất để phòng chống rủi ro này là thường xuyên cập nhật hệ thống lên các phiên bản mới nhất, cắt giảm các chức năng không cần thiết. VSEC cũng chia sẻ với mọi người một tình huống khi triển khai dịch vụ cho đối tác, bên đối tác biết rằng framework đó cũ, có nhiều lỗ hổng nhưng không thể cập nhật lên phiên bản mới được vì điều này làm ảnh hưởng đến toàn bộ hệ thống bên họ.

WannaCry, virut ransomware đang làm mưa làm gió tại 150 nước hiện nay

(Nguồn: theverge.com)

Rủi ro phía máy trạm

Một số nguyên nhân gây ra rủi ro bảo mật thông tin từ phía máy trạm bao gồm: Lưu trữ các thông tin không an toàn, Lỗi rò rỉ dữ liệu không mong muốn, Sử dụng đường truyền không an toàn, Sử dụng thuật toán mã hóa yếu, và Thiếu các phương thức bảo vệ tệp tin thực thi.

Lưu trữ các thông tin không an toàn (Insecure Data Storage): Xảy ra khi người lập trình lưu các thông tin quan trọng vào trong thiết bị nhưng không mã hóa hay có biện pháp bảo vệ. Khi diễn ra đưa ra một số trường hợp lưu Token trong máy dưới dạng cleartext, các khách mời cũng chia sẻ về một số phương án, cách phòng chống khi gặp những trường hợp như vậy.

Lỗi rò rỉ dữ liệu không mong muốn (Unintended Data Leakage): Lỗi này thuộc về hệ điều hành và framework, lỗi này nằm ngoài mong muốn của lập trình viên. Một số điểm dễ bị lộ thông tin như bộ đệm copy/paste, log hệ thống, các dữ liệu phân tích gửi cho bên thứ ba. Các khách mời cũng chia sẻ về cách cài ứng dụng nào để phòng chống việc bị hiện ảnh chụp màn hình trên Recent App, chống copy những gì, v.v…

Sử dụng đường truyền không an toàn (Insufficient Transport Layer Protection): Lỗi này xảy ra khi các ứng dụng không sử dụng các giao thức mã hóa, hoặc có sử dụng thì sử dụng các phiên bản cũ, hoặc chỉ mã hóa một phần của đường truyền. Diễn giả có đưa ra một số thông số thống kê về số lượng app không kiểm tra certificate của server, bỏ qua các lỗi về certificate. Diễn giả có đưa thêm cách phòng chống mà một số ứng dụng của Việt Nam thường dùng như mã hóa gói tin gửi lên, tạo signature cho gói tin. Nhưng diễn giả cũng gợi ý thêm rằng nên mã hóa cả gói tin nhận về, và đưa ra một ví dụ về việc khai thác bằng cách thay đổi các thông tin trả về từ phía server.

Sử dụng thuật toán mã hóa yếu (Broken Cryptography): Lỗi này ảnh hưởng đến tính bí mật của dữ liệu cần mã hóa. Diễn giả đưa ra hình ảnh một số ứng dụng hardcode mật khẩu mã hóa trong tệp tin, sử dụng mã hóa base64 không an toàn, v.v…

Thiếu các phương thức bảo vệ tệp tin thực thi (Lack of Binary Protections): Diễn giả trình bày về quá trình biên dịch từ mã java sang tệp tin apk, và giải thích tại sao tệp tin apk lại dễ dàng bị dịch ngược. Khi bị dịch ngược, các thông tin nhạy cảm bị lộ như: API, các phương thức mã hóa, giải mã, cấu trúc hoạt động của chương trình. Diễn giả cũng đưa ra một số công cụ làm rối như DexGuard, ProGuard cho Android và một số kĩ thuật làm rối.

Kết luận

Đề cập trong cuộc hội thảo của ông Lượng, Giám đốc Công ty VSEC, chỉ là các nguyên nhân chủ yếu của rủi ro bảo mật thông tin. Ngoài ra còn nhiều rủi ro khác nữa. Tuy nhiên, nếu khắc phục tốt các rủi ro này thì hệ thống CNTT của doanh nghiệp đã tránh được 91% nguy cơ. Ngày nay, thế giới càng ngày càng kết nối, tại điều kiện thuận lợi cho công việc của chúng ta nhưng cũng hỗ trợ bọn tin tặc tốt hơn. Đã đến lúc thực sự nghiêm túc nhìn nhận vấn đề bảo mật thông tin!

Contact