Loạt công cụ giúp xử lí sự cố trên máy tính từ xa

Phần mềm truy cập máy từ xa Teamviewer bị tin tặc lợi dụng

Tội phạm mạng lợi dụng phần mềm TeamViewer để xâm nhập trái phép vào mạng lưới nội bộ của doanh nghiệp.

Hãng bảo mật Kaspersky Lab vừa đưa ra cảnh báo, tội phạm mạng đang lợi dụng phần mềm giúp máy tính truy cập từ xa TeamViewer để đánh cắp thông tin dữ liệu cần thiết và xâm nhập trái phép vào mạng lưới nội bộ của doanh nghiệp.

Theo đó, các chuyên gia của hãng đã dẫn chứng một trường hợp có thật được Kaspersky Lab nghiên cứu thực tế. Một nhân viên đã cài đặt TeamViewer để có thể làm việc tại nhà thông qua kết nối từ xa giữa máy tính cá nhân với máy tính làm việc đặt trong văn phòng công ty. Điều này gây ra một số sự cố bảo mật cho công ty: các công cụ chống virus phát hiện ra nhiều phần mềm độc hại hơn, xuất hiện thường xuyên các nỗ lực truy cập trái phép vào những dữ liệu bí mật...

Bộ phận an ninh CNTT của công ty tìm thấy trong máy tính cá nhân của nhân viên này một phần mềm gián điệp được thiết kế để ghi lại các dữ liệu nhập từ bàn phím và chụp lại các vùng màn hình, chuyển giao nhiều thông tin cần thiết cho bọn tội phạm mạng để chúng truy cập được vào các máy trạm văn phòng, từ đó xâm nhập mạng nội bộ của công ty, tìm hiểu, cài đặt phần mềm độc hại, tìm kiếm các sơ hở và cố gắng sao chép các tập tin có nguồn gốc từ mạng nội bộ này.

Từ nghiên cứu trường hợp thực tế trên, các chuyên gia Kaspersky Lab đã đưa ra một số giải pháp xử lý khi doanh nghiệp gặp phải tình huống tương tự.

Phân tích cơ bản

Khi phát hiện một sự cố bảo mật, nhiệm vụ đầu tiên của một nhân viên CNTT là tìm hiểu xem liệu máy tính xảy ra sự cố đã được cách ly chưa, hay nó vẫn có khả năng tái xuất hiện cùng các máy tính khác trong mạng lưới. Nên sử dụng một phần mềm kiểm kê đánh giá cho phép thu thập thông tin về tất cả các phần mềm đã được cài đặt trên máy tính người dùng.

Bên cạnh đó, theo dõi các phần mềm này để kiểm tra mức độ được sử dụng của chúng. Một phân tích cơ bản sẽ cung cấp cho nhân viên an ninh CNTT một bức tranh tổng thể về cách phần mềm truy cập từ xa được sử dụng trong mạng nội bộ, ai sử dụng nó và có sử dụng thường xuyên hay không.

Để phòng tránh các sự cố bảo mật xảy ra, điều quan trọng nhất là tất cả nhân viên phải ý thức được chính sách bảo mật của công ty mình.

Kiểm soát lưu lượng mạng

Không kiểm soát đầy đủ trên các kết nối được thực hiện với mạng công ty là một trong những nguồn gốc của sự cố bảo mật. Các công cụ thích hợp nhất để kiểm soát các kết nối mạng là tường lửa và IPS. Những công cụ kiểm soát mạng vành đai của công ty (Corporate Network Perimeter) cũng quan trọng, nhưng nó chỉ có một tác dụng hạn chế trong trường hợp được mô tả ở trên.

TeamViewer từ máy của khách thiết lập kết nối với các máy cùng loại thông qua nhiều máy chủ từ xa, trong khi dữ liệu dưới dạng các gói dữ liệu HTTP được mã hóa có thể được truyền qua cổng 80 và 443. Việc ngăn chặn tất cả các lưu lượng truy cập như vậy không hề khả thi và còn khiến cho công việc dậm chân tại chỗ. Mặt khác, ngăn chặn kết nối đến tất cả các tên miền, các địa chỉ IP của máy chủ TeamViewer đòi hỏi trải qua khá nhiều công đoạn, tất cả tên miền có liên quan cùng địa chỉ IP yêu cầu được xác định, và những danh sách này đều phải được cập nhật hàng ngày sau đó.

Kiểm soát ứng dụng

Đây là một công cụ thích hợp để giảm thiểu nguy cơ xâm nhập vào mạng công ty thông qua TeamViewer vì nó có thể hạn chế tình trạng sử dụng tràn lan. Nhờ tùy chọn này, nhân viên an ninh CNTT có thể giải quyết được hai vấn đề: Thứ nhất, kiểm soát toàn bộ việc sử dụng TeamViewer, trong đó, chế độ Từ chối mặc định (Default Deny Mode) sẽ giải quyết mọi rắc rối phát sinh trong quá trình duy trì và cập nhật danh sách các phần mềm trái phép; Thứ hai, hạn chế truy cập vào TeamViewer và các tính năng của nó để giảm thiểu xâm nhập trái phép của tội phạm mạng.

Ngoài ra, nhân viên an ninh CNTT có thể áp dụng chính sách HIPS để hạn chế một số tính năng của TeamViewer, chẳng hạn như hạn chế quyền truy cập vào tài nguyên mạng, hạn chế đặc quyền để khởi động hoặc truyền tải ứng dụng, vô hiệu hóa mọi thay đổi trong cấu hình...

Chính sách bảo mật

Một số thiết lập trong TeamViewer giúp giảm nguy cơ xâm nhập, trong đó nổi bật là tùy chọn hạn chế danh sách các ID máy khách mà kết nối được cho phép, và thiết lập một kết nối VPN giữa hai máy khách TeamViewer. Tuy nhiên, chính người dùng mới là người quyết định hạn chế đặc biệt này có được sử dụng hay không. Đương nhiên, người quản trị có thể cài đặt và cấu hình TeamViewer, đặt mật khẩu bảo vệ cho phép chống lại bất kỳ thay đổi nào trong cài đặt. Nhưng mọi cố gắng áp đặt kiểm soát đối với các thay đổi thiết lập là vô nghĩa bởi người dùng vẫn có thể chạy một phiên bản di động trên một ổ đĩa USB.

Do đó, để phòng tránh các sự cố bảo mật xảy ra, điều quan trọng nhất là tất cả nhân viên phải ý thức được chính sách bảo mật của công ty mình. Một trong những nhiệm vụ của nhân viên an ninh CNTT là thực hiện các hướng dẫn an ninh thường xuyên cho người lao động và đảm bảo chính sách hiện đang theo đuổi. Ví dụ, người dùng nên khởi chạy TeamViewer với đặc quyền tối thiểu, không có khả năng gia tăng đặc quyền; Tạo một mã khóa mới cho mỗi lần sử dụng; Chỉ sử dụng TeamViewer khi cần thiết, không để chạy tự động; Không lưu trữ thông tin kết nối hoặc chuyển chúng cho người khác trong lúc chưa mã hóa; Ngay lập tức thông báo cho bộ phận bảo mật của công ty nếu nghi ngờ có một cuộc tấn công mạng...

Theo GenK