Sử dụng SPIKE và BURP cho việc bảo mật máy tính

HTTP proxy là một công cụ được sử dụng rộng rãi bởi các chuyên gia bảo mật máy tính. Tuy vậy không phải chuyên gia nào cũng hiểu thấu đáo được hết các khía cạnh bảo mật của máy tính. Bài này sẽ giới thiệu cho các bạn cách sử dụng một HTTP proxy như thế nào. 
Các HTTP Proxy và bạn

Thế giới bảo mật máy tính là một thế giới biến đổi không ngừng. Luôn có người khai thác các lỗ hổng và người vá lỗ hổng bảo mật trong các chương trình. Nói ai đó có thể hiểu biết tất cả các khía cạnh bảo mật mạng máy tính là một điều không tưởng. Vì bản chất của bảo mật máy tính và tính chất nhiều khía cạnh của nó, bất cứ chuyên gia bảo mật nào cũng cần phải chọn một lĩnh vực chuyên sâu nào đó cho chính mình. Một trong số đó là lĩnh vực bảo mật ứng dụng web với nhiều hình thái của nó. Tại sao chúng tôi lại nói là trong nhiều hình thái của nó? Đó là vì không phải tất cả các website đều được viết trên cùng một ngôn ngữ. Chúng cũng không chia sẻ tất cả cấu hình giống nhau hay hỗ trợ các chương trình phụ trợ như nhau.

Bảo mật ứng dụng web là một lĩnh vực đáng quan tâm trong thực tế cuộc sống. Các ứng dụng web ngày càng được mở rộng trên Internet với vô số ứng dụng khác nhau. Những ứng dụng đó được thiết kế cho các máy khách có thể sử dụng và tương tác với nó. Một điều nữa là bộ mặt trước công chúng của một công ty trên Internet được tạo bởi các chuyên gia lập trình không có nghĩa là không có lỗi. Và một điều nữa là không thể viết một mã hoàn hảo mà không quan tâm đến ngôn ngữ được sử dụng.

Điều này dẫn đến một khía cạnh khác của bảo mật ứng dụng web. Thường thì một số lượng lớn ứng dụng web được viết mã đều rơi vào tình trạng vẫn chưa đảm bảo tốt được chất lượng. Các lập trình viên hầu như đã cảm thấy hạnh phúc khi họ kết thúc được dự án đúng thời gian và tốn rất ít thời gian cho việc kiểm định lại mã đã được viết. Có một số công cụ bên ngoài có thể cho phép chúng ta kiểm định được mã nhưng một số trong chúng chưa thật sự đáng tin cậy. Những công cụ tốt thì hầu như rất đắt đỏ.

Tất cả những người không phải là lập trình viên cũng có thể biết điều đó, đó là khó khăn lớn trong việc viết mã. Nó cũng đặc biệt đúng khi nói đến chương trình phần mềm dành cho các doanh nghiệp với hàng nghìn dòng mã tạo nên một chương trình như vậy. Nhiều khi lập trình viên nắm tốt được công việc trong một chu trình phần mềm nhưng họ có thể không hiểu nhiều về giao thức mà họ đang tạo mã cho nó.

Vậy khi một lập trình viên kết thúc việc viết một ứng dụng web mà anh ta được giao nhiệm vụ thì cũng là lúc chúng ta cần phải kiểm tra lại nó và tìm xem có bất kỳ lỗ hổng nào không hoặc những trục trặc nhỏ trong đó hay không. Cách nào tốt nhất để giải quyết vấn đề kiểm tra này? Đây thực sự là một câu hỏi hay. Câu hỏi đưa chúng ta quay trở về mục đích của loạt bài này. Việc kiểm tra một ứng dụng web mới toanh tốt nhất là sử dụng HTTP proxy. Đây thực sự là một công cụ tuyệt vời, công cụ này sẽ cho phép các chuyên gia phát triển có thể tương tác được với ứng dụng web theo nhiều cách mà một web session điển hình sẽ không tạo lại. Chuyên gia phát triển có thể chặn yêu cầu phía trình khách và thay đổi hầu hết các trường bên trong để nhấn mạnh vào ứng dụng web.

Tiếp cận vấn đề

Trước khi vào vấn đề chúng tôi sẽ giới thiệu cho bạn một số thông tin về nền tảng cho chủ đề này, đây là một điều quan trọng khi chúng ta tiếp cận với một vấn đề mới nào đó. Hai HTTP proxy mà chúng ta sẽ quan sát và sử dụng là SPIKE và BURP. Cái thứ nhất được viết bởi Dave Aitel của Immunitysec, thành phần đi sau được viết bởi một số người khác.

Bây giờ là thời điểm cài đặt SPIKE proxy, đừng cho rằng bạn sẽ download được nó ngay bây giờ từ đường liên kết trong đoạn trên vì bạn sẽ nhận được một thông báo rằng cần có một bộ thông dịch Python cho SPIKE làm việc. Chính vì vậy bạn hãy download Python ở đây trước. Bạn cần phải cung cấp cho nó một địa chỉ email, nhưng chỉ cần như vậy là đủ. Khi đã download và cài đặt được Python bạn cần phải đặt SPIKE tại đường dẫn gốc của ổ C (c:\). Từ đây bạn mở cửa sổ lệnh của DOS, mở thư mục SPIKE. Bạn cần phải đọc file README.txt để cấu hình đúng cho trình duyệt web của mình.

Hình 1

Hình 2

Bước cuối cùng là đánh vào đó “runme.bat”. Khi đã thực hiện điều đó, bạn nhập tiếp trong thanh bar url của trình duyệt web http://spike/ và sẽ thấy được SPIKE. Chúc mừng bạn đã cài đặt và cấu hình một HTTP proxy. Những gì cần phải làm với tiếp lúc này? Câu trả lời rất dễ dàng. Hãy có một chút thư giãn với máychủ web. Trong trường hợp tôi đã cài đặt Apache web server trên Vmware khác cho mục đích kiểm tra của chúng ta. Điều này sẽ cho phép chúng ta chơi với SPIKE trong môi trường thử nghiệm được kiểm soát. Vẫn chưa có gì được làm với máy chủ web và tôi cài đặt một website của riêng trên đó.

Thời điểm kiểm tra

Bất cứ khi nào thực hiện bất kỳ công việc gì thì bạn cũng nên có một số biểu mẫu của packet sniffer đang chạy trong chế độ nền. Điều để có thể thẩm định đầu ra của công cụ mà bạn đang chạy trong trường hợp khác biệt và có các kết quả lạ. Cũng không khác biệt đối với trường hợp của chúng tôi. Tôi đã nghĩ đến tcpdump từ MicroOLAP, thành phần sẽ làm việc tốt với with Windows XP SP2. Nó cũng hoàn toàn miễn phí đối với người dùng gia đình.

Sau khi cài đặt được công cụ này, chúng ta đã có được packet sniffer chạy trong chế độ nền. Lúc này sẽ bắt nó chỉ ghi các gói giữa máy tính mà SPIKE đang chạy và máy tính mà Apache web server đang chạy. Điều đó sẽ giảm được số lượng các gói mà máy tính đang tấn công có thể quan sát khác. Bạn cũng có thể lọc kỹ hơn điều đó bằng cách chỉ thị tcpdump để ghi các gói với cổng 80 trong nó. Ví dụ của tcpdump này bạn có thể xem ở hình dưới.

Hình 3

Bạn có thể thấy trên hình có 945 gói đã thu được trước khi hủy session của tcpdump. Đây là hành động chạy chế độ nền khác mà tôi đang chạy trên máy tính của mình. Điều đó cho thấy tại sao bạn muốn một bộ lọc chọn tương đối hẹp khi chạy các kiểm tra thí nghiệm hoặc trong thực hiện các công việc thực. Chúng ta có thể thấy nhiều điều, ở đây có một số phần cần phải lưu tâm trước khi chuyển sang học về cách sử dụng một HTTP proxy như thế nào. Đây cũng có thể là một bài tập về nhà trước khi chuyển sang vấn đề mới ở các phần sau.

Vô hiệu hóa bàn phím Windows 10 bằng 5 cách đơn giản sau

Vì một số lí do nào đó mà bạn muốn vô hiệu hóa bàn phím trên máy tính Windows của mình. Chẳng hạn như bạn đang xem một tập phim và bạn không muốn ai đó vô tình nhấn vào nút trên bàn phím và load lại từ đầu hoặc dùng lại. Khi đó bạn có thể vô hiệu hóa bàn phím trên máy tính Windows của mình.

Giống như các phiên bản trước, trên Windows 10 Microsoft không cung cấp cho người dùng các tùy chọn dễ dàng để vô hiệu hóa bàn phím nhưng quá trình vô hiệu hóa bàn phím trên Windows 10 cũng không quá khó khăn. Bạn có thể vô hiệu hóa bàn phím trên Windows 10 bằng cách nhờ đến sự trợ giúp của các tiện ích bên thứ ba hoặc không.

Trong bài viết dưới đây Quản trị mạng sẽ giới thiệu và hướng dẫn cho bạn 5 cách để vô hiệu hóa bàn phím trên Windows 10.

1. Sử dụng Device Manager để vô hiệu hóa bàn phím

Phương pháp này không áp dụng cho bàn phím được tích hợp sẵn trên máy tính Windows, điều này đồng nghĩa với việc bạn không thể vô hiệu hóa bàn phím được tích hợp sẵn trên Windows.

Bước 1:

Kích chuột phải vào nút Start trên thanh Taskbar để mở Power User Menu. Click chọn Device Manager để mở cửa sổ Device Manager.

Hoặc cách khác để mở cửa sổ Device Manager là nhập từ khóa Device Manager vào khung Seach trên thanh Taskbar hoặc trên Start Menu rồi nhấn Enter.

Bước 2:

Trên cửa sổ Device Manager, mở rộng mục Keyboards để xem các bàn phím kết nối với máy tính của bạn.

Bước 3:

Kích chuột phải vào mục keyboard, sau đó click chọn Uninstall device. Nếu kết nối nhiều bàn phím (keyboard), bạn sẽ phải vô hiệu hóa từng bàn phím một.

Bước 4:

Nếu trên màn hình xuất hiện cửa sổ xác nhận, click chọn nút Uninstall để xác nhận. Nếu được yêu cầu khởi động lại máy tính, click chọn Yes để khởi động lại máy tính của bạn và vô hiệu hóa bàn phím.

2. Sử dụng KeyFreeze để vô hiệu hóa bàn phím trên Windows 10

KeyFreeze là tiện ích miễn phí được thiết kế để hỗ trợ người dùng có thể vô hiệu hóa bàn phím trên máy tính Windows một cách nhanh chóng. Ngoài ra cũng có thể sử dụng KeyFreeze để vô hiệu hóa bàn phím được tích hợp sẵn trên laptop.

Việc sử dụng KeyFreeze khá dễ dàng và đơn giản. Sau khi mở phần mềm, click chọn nút Lock Keyboard & Mouse để vô hiệu hóa bàn phím và chuột. Để kích hoạt lại bàn phím và chuột một lần nữa, nhấn đồng thời tổ hợp phím Ctrl + Alt + Del để mở cửa sổ, sau đó click chọn phím Esc.

Tải KeyFreeze về máy và cài đặt tại đây.

3. Sử dụng Kidkeylock để đặt mật khẩu sử dụng cho bàn phím và chuột trên Windows 10

Không giống như KeyFreeze, Kidkeylock là phần mềm cao cấp giúp người dùng có thể vô hiệu hóa bàn phím và chuột, touchpad. Trong đó tính năng chính của Kidkeylock là khả năng đặt mật khẩu sử dụng cho bàn phím và chuột trên máy tính Windows.

Ngoài ra công cụ này còn cho phép bạn vô hiệu hóa nút chuột trái, chuột phải, hoặc vô hiệu hóa tổ hợp phím cụ thể.

Để vô hiệu hóa hoàn toàn bàn phím, bạn kéo thanh trượt tại mục Keyboard locks sang phía ngoài cùng bên phải như hình dưới đây, hoặc bạn cũng có thể thay đổi mật khẩu mặc định.

Tải Kidkeylock về máy và cài đặt tại đây.

4. Sử dụng Keyboard and Mouse Cleaner để vô hiệu hóa bàn phím

Keyboard and Mouse Cleaner là tiện ích portable, được thiết kế để vô hiệu hóa bàn phím và chuột trên máy tính Windows trong một khoảng thời gian cụ thể. Điều này có nghĩa là bạn có thể vô hiệu hóa bàn phím và chuột trong khoảng vài giây, vài phút hoặc vài giờ đồng hồ.

Tải Keyboard and Mouse Cleaner về máy và cài đặt tại đây.

5. Sử dụng CrazyLittleFingers

CrazyLittleFingers cũng là phần mềm tuyệt vời khác giúp bạn chặn bàn phím trên máy tính Windows. Điểm nổi bật nhất của phần mềm là đó là phiên bản portable do đó bạn không cần thao tác thêm bước cài đặt.

Tải và chạy phần mềm để chặn bàn phím và chuột trên máy tính của bạn. Nhấn đồng thời tổ hợp phím Ctrl + Alt + Del, sau đó nhấn phím Esc để bỏ chặn bàn phím và chuột.

Điểm hạn chế nhất của phần mềm là nó sẽ hiển thị một màn hình màu đen khi bạn vô hiệu hóa bàn phím và chuột.

Tải CrazyLittleFingers về máy và cài đặt tại đây.

Hướng dẫn cách sử dụng System Restore trên Windows

Máy tính của bạn trong quá trình sử dụng đôi khi sẽ gặp trục trặc như nhiễm virus, chạy lại hệ thống do gặp vấn đề về phần mềm,... Những trường hợp như thế sẽ đến việc cài đặt lại hệ điều hành. Tuy nhiên, chúng ta hoàn toàn có thể khôi phục lại hệ thống một cách nhanh chóng mà không cần phải cài lại máy tính, nhờ vào công cụ System Restore có sẵn trên Windows.

Công cụ này sẽ giúp người dùng có thể khôi phục lại máy tính ở tại một thời điểm, có thể vài ngày trước hoặc một thánh trước đó. Thời điểm này có thể do người dùng tự tạo hoặc máy tính sẽ lên thời điểm. Mọi phần mềm chúng ta cài đặt đều sẽ không bị xóa trên hệ thống, do System Restore chỉ có nhiệm vụ khôi phục lại các file hệ thống mà thôi. Trong bài viết dưới đây, chúng tôi sẽ hướng dẫn bạn cách khôi phục lại hệ thống bằng System Restore Windows.

1. Cách sử dụng System Restore Windows XP:

Bước 1:

Trước hết chúng ta cần kích hoạt System Restore trên hệ điều hành Windows XP. Tại giao diện màn hình, chúng ta click chuột phải vào My Computer và chọn Properties. Tiếp đến trong tab System Restore, bạn hãy kích hoạt System Restore cho các ổ đĩa, đặc biệt là ổ C như hình dưới đây:

Bước 2:

Tiếp đến, mở System Restore bằng cách Start > All Programs > Accessories > System Tools > System Restore.

Chúng ta sẽ có thấy có 2 tùy chọn. Với tùy chọn đầu Restore my computer to an earlier time cho phé bạn khôi phục tại thời điểm trước đó. Tùy chọn thứ 2 Create a restore point tự tạo một thời điểm khôi phục. Bạn tích chọn vào tùy chọn đầu tiên rồi nhấn Next.

Bước 3:

Sau đó, chúng ta sẽ nhìn thấy lịch và các thời điểm được chọn để tiến hành khôi phục. Bạn chọn một thời điểm khi máy tính hoạt hiệu quả nhất, không gặp trục trặc rồi nhấn Next.

Bước 4:

Máy tính sẽ xuất hiện thông báo, nhấn Next để tiến hành sao lưu hệ thống. Máy tính sẽ khởi động lại lần nữa sau đó mới tiến hành sao lưu.

2. Sử dụng System Restore trên Windows Vista:

Bước 1:

Đầu tiên bạn cũng cần chắc chắn đã kích hoạt System Restore. Tiếp đến, thực hiện theo đường dẫn Start > All Programs > Accessories > System Tools > System Restore.

Tích chọn vào Choose a different restore point rồi nhấn Next để sang bước tiếp theo.

Bước 2:

Xuất hiện danh sách các thời điểm khôi phục. Tích chọn vào mục Show restore points older than 5 days bên dưới để hiện thêm thời gian khôi phục. Chúng ta tích chọn một thời điểm rồi nhấn Next để tiếp tục.

Cuối cùng chúng ta cần xác nhận lại thời gian khôi phục rồi nhấn Finish là xong.

3. Cách dùng System Restore trên Windows 7:

Bước 1:

Chúng ta cũng thực hiện theo đường dẫn Start > All Programs > Accessories > System Tools > System Restore. Xuất hiện danh sách các thời điểm phục hồi. Bạn chọn 1 thời điểm trong danh sách đó rồi nhấn Next.

Bước 2:

Cuối cùng, chúng ta chỉ cần nhấn Finish để xác nhận thời điểm phục hồi lại hệ điều hành mà thôi.

System Restore có cách sử dụng tương tự như nhau trên các hệ điều hành của Windows, nên bạn có thể dựa theo cách phục trên Windows 7 với Windows 8 hoặc Windows 10. Máy tính thông thường sẽ tự tạo thời điểm phục hồi, nhưng bạn nên tự tạo điểm khôi phục bằng System Restore.

Công nghệ mới giúp Wi-Fi nhanh gấp 3 lần

Wi-Fi quá yếu là một trong những bất tiện lớn nhất khi sử dụng các thiết bị công nghệ. Loại công nghệ mới ra đời này sẽ giúp cải thiện vấn đề trên.

Các nhà nghiên cứu tại Viện công nghệ MIT (Mỹ) vừa tìm ra phương pháp mới giúp mạng Wi-Fi nhanh hơn gấp 3 lần, theo Gizmodo.

Công nghệ có tên MegaMIMO 2.0 này được phát triển tại phòng Khoa học Vi tính và Trí tuệ Nhân tạo (CSAIL) thuộc Viện công nghệ MIT. Không chỉ giúp tăng tốc độ Wi-Fi nhanh gấp 3 lần, MegaMIMO 2.0 còn mở rộng phạm vi phủ sóng Wi-Fi lên gấp đôi.

Dựa trên nền tảng công nghệ MIMO đang được sử dụng trên các bộ định tuyến không dây, công nghệ này hoạt động bằng cách truyền đi nhiều tín hiệu dữ liệu qua cùng một kênh sóng radio để tăng tốc độ truyền tải thông tin.

MegaMIMO 2.0 đã khéo léo kết nối các điểm truy cập với nhau để truyền đi trên cùng một tần số và quang phổ giới hạn, nhằm tăng tốc độ và cường độ mà không làm giảm chất lượng tín hiệu. Theo các nhà nghiên cứu, điều này giúp tăng tốc độ Wi-Fi nhanh hơn gấp 3 lần hiện nay.

MegaMIMO 2.0 giúp Wi-Fi nhanh hơn 10 lần so với công nghệ MIMO point-to-point  như hiện nay. Ảnh: BGR.

Điều này không hề giống với việc đặt hai hay ba bộ router trong nhà. Nhiều điểm kết nối cùng truyền tín hiệu trên cùng một tần số sẽ gây ra hiện tượng nhiễu sóng, gây khó khăn cho thiết bị giải mã các dòng dữ liệu.

Bước đột phá của nhóm nghiên cứu CSAIL nằm ở chỗ, nhóm này đã tạo ra thuật toán mới cho phép xử lý nhiễu sóng có thể gây ra từ việc đặt nhiều điểm truy cập trên cùng tần số.

Hơn nữa, việc có nhiều bộ định tuyến không dây truyền thông tin cùng một lúc sẽ giúp nhiều dòng dữ liệu được truyền tải trong cùng một thời điểm.

Nhóm CSAIL đã tóm tắt cách hoạt động của MegaMIMO 2.0 là “gửi đi cùng một tần số trong cùng một lúc”.

Theo Forbes, MegaMIMO 2.0 đã được thử nghiệm với 4 máy phát sóng độc lập trong cùng một khu vực và cho thấy hiệu quả rõ rệt. Nhóm nghiên cứu CSAIL đang tìm cách để thương mại hóa công nghệ này trong tương lai không xa.

Việt Nam trước hiểm họa tấn công APT

Đó là lời cảnh báo của các chuyên gia đến từ nhiều công ty hoạt động trong lĩnh vực an ninh thông tin, CNTT có uy tín trên thế giới tại Ngày ATTT Việt Nam 2015 tại TP.HCM hôm 19/11. Theo các chuyên gia, sự bảo vệ ngày nay là không đủ để đối phó với tấn công mạng hiện đại vì các giải pháp triển khai khác nhau thường độc lập với nhau. Để đạt mục tiêu giảm thiểu nguy cơ bị tấn công có chủ đích thì các giải pháp an ninh mạng phải được kết hợp chặt chẽ dưới cái nhìn bức tranh toàn cảnh, phát hiện sớm, phản ứng nhanh. 

Ông Tất Thành Cang – Phó Bí thư, Phó Chủ tịch UBND TP.HCM cho biết, Thành phố trước đây đã phê duyệt chương trình xây dựng và triển khai an ninh thông tin trong cơ quan quản lý nhà nước giai đoạn 2012-2015. Ảnh: Cao Minh

Hệ thống nào cũng có thể bị tấn công APT xuyên thủng

Tấn công có chủ đích, hay tấn công APT gần đây được nhắc tới liên tục, đặc biệt trong Ngày ATTT năm nay. Vậy tấn công APT là gì và nguy hiểm ra sao?

APT là viết tắt của cụm từ “Advanced Persistent Threat” – những mối nguy hiểm cao thường trực. Tấn công APT là hình thức mà hacker, hay một nhóm hacker có tổ chức, tấn công bền bỉ có chủ đích nhắm vào tổ chức, doanh nghiệp (TC/DN) cụ thể nhằm đạt cho được mục tiêu, chẳng hạn như đánh cắp dữ liệu quan trọng bằng mọi cách.

Tội phạm mạng đang trở thành một ngành công nghiệp có lợi nhuận lớn, giá trị hàng tỷ đô la Mỹ. Các cuộc tấn công của hacker chuyên nghiệp, có tổ chức, phần lớn là có chủ đích nhằm kiếm tiền hoặc phá hoại theo đơn đặt hàng. Theo các chuyên gia thuyết trình tại Ngày ATTT 2015, tội phạm mạng đang có những bước phát triển rất nhanh, sử dụng nhiều kỹ thuật tiên tiến, khai thác các lỗ hổng zero-day, tấn công bằng nhiều phương thức tinh vi để xuyên thủng các hệ thống phòng vệ.

Điều đặc biệt nguy hiểm của tấn công APT là hacker có thể tạo ra malware riêng cho từng mục tiêu cụ thể, ủ bệnh rất lâu, thậm chí theo chia sẻ của các chuyên gia bảo mật thì có những loại malware có hành vi thể hiện rất ít nên cực kỳ khó phát hiện, kể cả khi chạy kiểm thử trong môi trường giả lập Sandbox. Với những loại malware này, giải pháp truyền thống dựa trên phân tích chữ ký (signature) trở nên bất lực trong việc phát hiện và ngăn chặn.

Chiêu thức đánh lừa kiểu phi kỹ thuật (social engineering) thông qua những email hay website có chứa mã độc vẫn được hacker dùng nhiều và rất hiệu quả. Xu hướng BYOD và người dùng truy cập làm việc từ xa cũng tạo điệu kiện hơn cho hacker xâm nhập mạng TC/DN. Việc truy tìm hacker không hề dễ, chưa kể là tội phạm tấn công mạng và nạn nhân thường không cùng một quốc gia nên càng gây khó cho các cơ quan thực thi pháp luật.

Minh chứng rõ nhất là trường hợp nhóm APT30 suốt 10 năm qua đã tấn công nhiều cơ quan chính phủ và nhà báo tại các nước Đông Nam Á, trong đó có Việt Nam, bằng cùng một phương thức mà gần đây mới bị phát hiện, theo công bố của công ty bảo mật FireEyE của Mỹ trong một cuộc họp báo hồi tháng 5.

Vụ hãng phim Sony Pictures bị hacker tấn công vào cuối năm 2014 gây thiệt hại hàng tỷ đô la Mỹ, và nhiều nạn nhân trước đó như Home Depot, eBay, JPMorgan báo hiệu các TC/DN đang đối mặt với nguy cơ thiệt hại khó lường nếu phương thức bảo mật không thay đổi.

Mức độ nguy hiểm của tấn công APT được ông Nguyễn Thành Đồng – kỹ sư bảo mật của công ty NPCore chia sẻ tại Ngày ATTT, qua sự cố nhiều ngân hàng và đài truyền hình Hàn Quốc bị tê liệt do hacker tấn công vào năm 2013, tổn thất vô cùng to lớn. Đây đều là những đơn vị có hạ tầng CNTT tốt với hệ thống an ninh thông tin được đầu tư bài bản.

Tại Việt Nam, theo ông Võ Đỗ Thắng – Giám đốc Trung tâm Athena cho biết, dữ liệu nội bộ TC/DN có giá trị đang là đích nhắm tấn công APT. Đối tượng bị tấn công nhiều tập trung vào nhóm các DN tư nhân, FDI có doanh thu lớn, nhất là những đơn vị không có người chuyên trách CNTT. Nhiều doanh nghiệp có sản phẩm độc quyền như điện, nước, xăng, dầu, thực phẩm, cùng các ngân hàng, cơ quan chính phủ cũng là đối tượng của tấn công APT, nhiều đơn vị bị xâm nhập sâu.

“Có doanh nghiệp FDI ở Bình Dương bị cài mã độc trong hệ thống máy tính hơn một năm mà không biết, đã bị mất hàng gigabyte dữ liệu kế toán, bí mật kinh doanh, các bản thiết kế sản phẩm… Giá trị thiệt hại sơ bộ lên đến hàng trăm ngàn đô la Mỹ”, ông Thắng cho biết.

Tấn công phá hoại đáng chú ý tại Việt Nam là vụ VCCorp bị tấn công làm ngưng trệ nhiều ngày một loạt trang web trong nước có lượt truy cập cao mà công ty chịu trách nhiệm quản lý kỹ thuật, gây thiệt hại cho VCCorp hàng chục tỷ đồng.

Tình hình chung là sự vi phạm không còn là “nếu” mà là “khi nào”. Và TC/DN sẽ chịu thiệt hại tàn khốc do mất quá nhiều thời gian để phát hiện malware. Theo thống kê, thời gian trung bình để phát hiện xâm nhập đã giảm xuống còn 205 ngày – vẫn là khoảng thời gian quá lớn.

Cuộc thi “Sinh viên với ATTT” trong khuôn khổ chuỗi hoạt động của Ngày ATTT Việt Nam 2015. Ảnh: Cao Minh

Cuộc chiến không cân sức

Theo cảnh báo của ông Nguyễn Quốc Thành – phụ trách kỹ thuật của Trend Micro, mọi hàng rào phòng thủ tiêu chuẩn đã trở nên lỗi thời trước những cuộc tấn công APT được thiết kế riêng. Hệ thống bị xuyên thủng chỉ là vấn đề thời gian trước kiểu tấn công “đo ni đóng dày” – nghiên cứu, thiết kế, lập trình và thử nghiệm cho mục tiêu cụ thể.

“Hacker có quá nhiều lợi thế so với bên bị tấn công. Chúng dễ dàng kết nối với các hacker lão luyện trên mạng, có nhiều điểm yếu trên hệ thống phòng thủ để khai thác tấn công và có mục tiêu rõ ràng. Trong khi đó đối tượng bị tấn công có quá nhiều công việc thường ngày, không dễ gì tập trung toàn bộ sức lực cho hệ thống phòng thủ vốn luôn có nhiều sơ hở, họ cũng không có điều kiện giao tiếp thường xuyên với các chuyên gia, và chỉ một sai lầm là phải trả giá”, ông Thành phân tích.

Ông Quang Hùng, trưởng đại diện của công ty FireEyE tại Việt Nam, cũng đồng quan điểm với ông Thành của Trend Micro khi cho rằng đang có một khoảng cách lớn về tương quan lực lượng và năng lực giữa tội phạm mạng và đội ngũ phòng thủ. Theo FireEyE , các mối đe dọa tấn công APT ngày nay dễ dàng vô hiệu hóa khả năng bảo vệ của các giải pháp bảo mật truyền thống. “Hoạt động tấn công còn tỏ ra nguy hiểm hơn trước nhiều vì có tổ chức và thậm chí còn được bảo trợ bởi các nhóm tội phạm mạng (FIN4) hay bởi chính phủ (APT1, APT28, APT30)”, ông Hùng nhấn mạnh với từ “bảo trợ”.

FireEyE phân loại nhiều nhóm tấn công, như APT25 chuyên nhắm vào lĩnh vực ngân hàng, APT1 và APT30 thì được thiết kế cho đối tượng tấn công là các cơ quan chính phủ, công ty năng lượng bao gồm dầu khí, điện lực.

“Không tổ chức nào có thể an toàn” khi tội phạm mạng đang gia tăng xu hướng tấn công có mục đích, có tổ chức và có trình độ cao, theo nhận định của ông Keshav Dhakad – Giám đốc khu vực, Bộ phận phòng chống tội phạm số, Microsoft châu Á. Ông cho rằng thách thức an ninh mạng được đặt ra trước thực tế người dùng luôn mong muốn truy cập mọi thứ để làm việc với năng suất cao, thiết bị bùng nổ về số lượng, chủng loại làm xói mòn mọi tiêu chuẩn, ứng dụng triển khai trên nhiều nền tảng ngày càng nhiều nhưng ngay từ khâu lập trình các nhà phát triển phần mềm đã không chú trọng đến an ninh, ATTT.

Lực lượng tấn công dưới sự chỉ đạo của TS. Nguyễn Anh Tuấn - Ủy viên BCH VNISA phía Nam tại buổi Diễn tập về ATTT tại TP.HCM hôm 18/11. Ảnh: Nhật Thanh

Vấn đề nhân lực

APT chỉ là một phần trong câu chuyện xu thế tấn công nhiều hướng và đa dạng, trước thực tế phần lớn các TC/DN chưa nhận thức đầy đủ mối nguy hiểm của các lỗ hổng bảo mật, thiếu nhân viên chuyên trách về ATTT, nhân lực trình độ thấp nên không hiểu vá lỗ hổng sao cho đúng, chưa hiểu phải bảo vệ gì và bảo vệ thế nào.

Trong bài phát biểu “Tương lai của an ninh mạng”, ông Peter Sparkes – Giám đốc khối dịch vụ quản lý bảo mật của Symantec khu vực châu Á–Thái Bình Dương và Nhật Bản nhấn mạnh “nhân lực là vấn đề trọng yếu”. Ông cho biết, các cuộc tấn công ngày nay diễn ra nhanh hơn nên các giải pháp phòng chống chỉ tập trung vào thiết bị là không đủ mà phải nhìn toàn cảnh, bảo vệ toàn hệ thống, và phải bảo vệ người dùng cuối.

Tình trạng thiếu hụt chuyên gia ATTT là điều đáng lo ngại, theo ông Olaf Krohmann – Giám đốc giải pháp bảo mật Cisco, khu vực châu Á. Không đủ nhân lực để sẵn sàng chống lại tấn công mạng ngay từ hôm nay thì tương lai khó khăn càng chồng chất. Đại diện của Cisco cho biết, tới năm 2020, khoảng 75% nền kinh tế thế giới được số hóa, với 56 tỷ thiết bị được kết nối trong xu hướng Internet of Things, diện tấn công trở nên quá rộng nên sẽ quá khó để phát hiện sớm các cuộc xâm nhập – điều cực kỳ quan trọng để giữ ATTT.

“Bất lực trước những gì chúng ta không nhìn thấy” là câu nói quen thuộc của nhiều chuyên gia ATTT để nói lên tầm quan trọng của phát hiện.

Phát hiện ngày càng khó nên phải có cách tiếp cận mới. Đó là quan điểm của ông Chris Petersen – Phó chủ tịch công nghệ và sản phẩm, đồng thời là nhà sáng lập Logrhythm với bài phát biểu “Phòng chống tấn công mạng công nghệ cao: hệ thống phân tích, nhận diện và phòng vệ thông minh”. Kẻ xấu từ bên trong nên phân tích dữ liệu và hành vi rất quan trọng. Các máy có khả năng học với trí tuệ nhân tạo sẽ giúp phân tích thông minh. Tuy nhiên ông cũng chỉ ra rằng quyết định thuộc về con người, và phân tích thông minh là để hỗ trợ giúp con người ra quyết định đúng. Mẫu số chung theo ông vẫn là phát hiện sớm, và muốn thế thì phải hiểu bức tranh tổng thể,  ngoài trợ giúp của máy thông minh để phân tích dữ liệu lớn vẫn cần tới chuyên gia mà tình trạng chung là quá thiếu.

Theo cảnh báo của các chuyên gia bảo mật thì các phương pháp truyền thống đang thất bại do kỹ thuật tấn công lây nhiễm phát triển quá nhanh, với nhiều thủ đoạn tinh vi vượt trình độ của nhân viên có trách nhiệm về ATTT của TC/DN. Con người là nhân tố quan trọng nhất, không có kỹ năng thì không thể bảo vệ hệ thống.

Lực lượng ứng cứu sự cố ATTT TP.HCM trong vai trò phòng thủ, dưới sự chỉ đạo của TS. Trịnh Ngọc Minh - Phó chủ tịch VNISA phía Nam tại buổi diễn tập ATTT tại TP.HCM hôm 18/11. Ảnh: Cao Minh

Và hành động của chúng ta

Phát biểu tại Ngày ATTT 2015, Giám đốc sở TTTT TP.HCM, ông Lê Thái Hỷ nhấn mạnh, điều cốt yếu là chúng ta phải hành động và hành động ngay. Nhân sự có mặt của Thứ trưởng Bộ TTTT  Nguyễn Thành Hưng, ông Lê Thái Hỷ bày tỏ TP.HCM mong muốn đầu tư một phòng thí nghiệm ATTT, làm thao trường diễn tập thực hành để huấn luyện và đào tạo đội ngũ kỹ thuật trình độ cao, phục vụ công tác đảm bảo ATTT trong dài hạn.

“Tôi mong muốn Ủy ban quốc gia về ứng dụng CNTT và Bộ TTTT xem xét và ủng hộ đề xuất của Sở TTTT TP.HCM đầu tư một phòng thí nghiệm về ATTT cho khu vực phía Nam”.

VNISA phía Nam đã nhiều lần lên tiếng về việc thiếu diễn tập ATTT là một lỗ hổng lớn đối với các TC/DN trong việc xây dựng hệ thống bảo đảm ATTT cho đơn vị trong bối cảnh các cuộc tấn công mạng ngày càng phức tạp, đặc biệt là hình thức tấn công APT với sự đeo bám dai dẳng của hacker. Tình hình phức tạp tới mức Thứ trưởng Nguyễn Thành Hưng thậm chí còn đề cập tới dấu hiệu “chiến tranh mạng” trong tương lai gần khi phát biểu tại buổi diễn tập bảo vệ Hệ thống thông tin TP.HCM 2015 do Sở TTTT phối hợp cùng VNISA phía Nam tổ chức hôm 18/11.

Ông Trịnh Ngọc Minh – Phó chủ tịch BCH VNISA phía Nam cho biết, đã có những chuyển biến mạnh mẽ là chúng ta đã tham gia diễn tập ATTT với các nước trong khu vực (gần 100 cơ quan, tổ chức của Việt Nam đã tham gia cuộc diễn tập quốc tế về chống tấn công mạng, với sự tham gia của 14 quốc gia hôm 28/10 – PV) để xây dựng khả năng phát hiện, phân tích và ứng cứu mỗi khi  bị tấn công bằng mã độc.

Qua thành công của buổi diễn tập chống tấn công mạng hôm 18/11, lấy “thao trường Cyber Range” của Cisco làm thực địa với những kịch bản xảy ra như trong thực tế, đại diện VNISA phía Nam khuyến nghị cơ quan quản lý nhà nước cần tiếp tục liên kết và chủ trì các hoạt động diễn tập thường xuyên với những kịch bản ngày càng khó hơn, sát thực tế hơn để sẵn sàng xử lý sự cố an ninh mạng trong thực tế.

VNISA phía Nam cũng khuyến nghị các DN cần chú ý đến con người và qui trình; Truyền thông, báo chí nên tích cực vào cuộc để nâng cao nhận thức cho toàn xã hội. VNISA phía Nam còn cho biết sẽ cố gắng phát huy vai trò của mình trong việc làm cầu nối giữa các đơn vị chuyên ngành và các DN có nhu cầu.

6 bài học kinh nghiệm chống tấn công APT

Những bài học quí báu này của một chuyên gia bảo mật kỳ cựu có thể giúp bạn tránh được sự đe dọa của những mối nguy hiểm cao thường trực - Advanced Persistent Threat.

Những mối nguy hiểm cao thường trực (Advanced Persistent Threat - APT) gây nhiều chú ý trong thời gian gần đây vì tính chất cực kỳ nguy hiểm của chúng. Mỗi cuộc tấn công APT đều có chủ đích, tấn công bền bỉ vào doanh nghiệp, tổ chức cụ thể để đánh cắp dữ liệu quan trọng bằng mọi cách. Một cuộc tấn công APT thường được tiến hành bởi một tổ chức chuyên nghiệp có trụ sở nằm ngoài quốc gia của nạn nhân, do đó gây trở ngại cho cơ quan thực thi pháp luật. Các tổ chức tin tặc này thường chia thành các nhóm riêng, nhưng sẵn sàng phối hợp với nhau để đột nhập mạng và hệ thống của doanh nghiệp và đánh cắp các thông tin có giá trị ngay khi có thể. Đây là công việc thường ngày của chúng, và hầu hết đều rất có nghề.

Theo các chuyên gia, các APT có thể gây nguy hại cho hạ tầng thông tin của bất kỳ tổ chức nào. Tuy nhiên, vấn đề là không phải ai cũng nhận thức được điều đó. Với mục đích giúp mọi người hiểu hơn về hiểm họa từ những cuộc tấn công APT, bài viết chia sẻ 6 bài học kinh nghiệm rút ra từ thực tiễn nhiều năm hỗ trợ các công ty chống lại APT của chuyên gia bảo mật Roger A. Grimes, người có kinh nghiệm phòng chống tin tặc và phần mềm độc hại từ năm 1987. Hiện Roger làm tư vấn cho nhiều công ty có tên trong danh sách Fortune 100 và cả các công ty nhỏ. Ông đã viết nhiều sách về bảo mật máy tính.

Câu chuyện thứ 1:
Những con mắt APT luôn rình rập
Roger kể, có lần ông mất hơn một năm trời để đối phó một cuộc tấn công APT tại một công ty đa quốc gia mà liên quan đến đủ thứ, từ những vệ tinh công nghệ cao và súng ống cho tới tủ lạnh và đào tạo.
Công ty cầu cứu Roger vào lúc đang bị đe dọa bởi hai cuộc tấn công APT đồng thời, và đó không phải là điều lạ. Theo kinh nghiệm của ông, nhiều công ty chỉ phát hiện ra bị tấn công APT sau nhiều năm, thậm chí có công ty bị ba nhóm APT xâm nhập trong tám năm trời mà không hề hay biết.
Nhận thức được mối đe dọa nghiêm trọng, công ty đã thành lập một đội đặc nhiệm lớn, không chỉ bộ phận IT mà gồm cả các chuyên gia liên quan khác. Roger cho biết, họ quyết định sẽ thiết lập lại toàn bộ mật khẩu trong vòng vài tháng. Việc chậm đổi mật khẩu có vẻ khó hiểu, nhưng theo ông, trong những tình huống như thế này, đổi mật khẩu ngay sẽ không có tác dụng nếu không chắc chắn ngăn được kẻ tấn công tiếp tục đột nhập vào hệ thống. Xác định toàn bộ những điểm yếu, khắc phục, rồi mới đổi mật khẩu. Đó là cách phòng thủ tốt nhất.
Như những trường hợp tương tự ông đã trải qua, mọi người liên quan bắt buộc phải giữ bí mật. Các mật hiệu được thiết lập, do vậy đội có thể thảo luận về dự án bằng email mà không sợ đánh động những kẻ xâm nhập hay gây sự chú ý tới các nhân viên ngoài đội dự án. Ngày thiết lập lại toàn bộ mật khẩu được dự kiến trùng với cuộc thi đấu bóng chày trong năm của công ty, vốn được tổ chức hàng năm nhằm nâng cao tinh thần cho các nhân viên. Vì vậy, dự án mang tên “thi đấu bóng chày công ty” (tên công ty không nêu ra đây để bảo vệ danh tính). Từ thời điểm đó về sau, không ai đề cập đến APT hay đặt lại mật khẩu. Mọi người chỉ nói về giải bóng chày.  
Máy tính của công ty đã bị nhiễm hoàn toàn, vì vậy một số laptop và router không dây được mua mới. Toàn bộ công việc liên quan đến dự án được thực hiện trên những laptop mới mua này với một mạng không dây bảo mật để ngăn chặn mọi rủi ro rò rỉ thông tin về dự án, mặc dù đã sử dụng mật hiệu. Đội dự án chọn một trong số nhiều phòng họp của ban điều hành làm bản doanh và họ bắt đầu thảo luận những việc cần làm.

Điều đầu tiên đội dự án quan tâm là sự dư thừa quản trị viên domain. Có quá nhiều quản trị viên, tổng cộng tới hơn 1.000 người. Thật khó để xác định những quản trị viên domain nào thực sự cần thiết và ai nên loại bỏ, vì vậy đội dự án đi đến quyết định sẽ vô hiệu hóa tất cả vào ngày “thi đấu bóng chày công ty”, và  buộc những người thực sự cần truy cập với quyền quản trị domain phải xác nhận lại nhu cầu. Đội phác thảo một mẫu đơn (form) yêu cầu quyền truy cập quản trị domain trên một trong những laptop của dự án và để đấy, dự kiến sẽ gửi ngay trước ngày “thi đấu bóng chày công ty” để những ai cần tài khoản quản trị domain có được một bản trong thời gian chuẩn bị.
Thật ngạc nhiên là ngay đầu giờ sáng hôm sau giám đốc dự án cho biết vừa mới nhận được hai đơn yêu cầu quyền quản trị domain. Sai lầm của những kẻ gửi đơn yêu cầu quá dễ nhận ra bởi mẫu đơn của đội dự án chưa phải là bản chính thức và cũng chưa tới ngày gửi đi. Những đơn này có vài lỗi nhỏ nhưng đáng chú ý và cho thấy nó không xuất phát từ mẫu đơn phác thảo của đội dự án. Chúng được tạo ra bởi các thành viên thuộc một chi nhánh nước ngoài. Quá trình điều tra sau đấy cho thấy APT xuất phát từ kẻ nằm vùng đã xâm nhập toàn bộ các phòng họp sử dụng màn chiếu dữ liệu và các hệ thống họp video của ban điều hành. Chúng theo dõi và thu thập thông tin những cuộc họp được cho là bí mật. Sai lầm duy nhất của chúng ở đây là không hiểu rằng mẫu đơn chưa được chính thức thông qua và sẽ không được gửi đi trong vài tháng. May mắn là bất đồng ngôn ngữ đã làm lộ chân tướng của những kẻ xấu.

Bài học: Nếu thiết bị hội nghị được kết nối mạng và có khả năng thu âm hay ghi hình, hãy chắc chắn là chúng bị vô hiệu hóa trước khi cuộc họp diễn ra.

Câu chuyện thứ 2: 
Không phải mọi APT đều cao cấp như các chuyên gia nghĩ
Đây là câu chuyện về một nhóm APT đã dành được toàn quyền kiểm soát mạng của một công ty bằng cách sử dụng các công cụ vượt qua hash (PtH) để phá vỡ hash mật khẩu. Hash mật khẩu là phương thức bảo mật mật khẩu lưu trữ trong cơ sở dữ liệu dưới dạng mã hóa. Công ty quyết định đã tới lúc vô hiệu hóa những hash mật khẩu LM (LAN Manager) yếu mà Microsoft đã khuyến nghị vô hiệu hóa từ hơn 10 năm trước, và đã vô hiệu hóa mặc định từ năm 2008. APT trường hợp này đã sử dụng các hash mật khẩu LM chiếm được để lây nhiễm mạng.
Roger tìm mọi cách thuyết phục khách hàng kế hoạch này không có tác dụng vì, theo mặc định, có ít nhất hai loại hash mật khẩu Windows tồn tại trong các cơ sở dữ liệu xác thực Microsoft, đó là LM và NT (NT LAN Manager). Những kẻ tấn công đã tải về cả hai loại, và công cụ PtH chúng đang dùng có thể sử dụng một trong hai. Thậm chí ông còn chỉ cho khách hàng thấy công cụ của tin tặc chuyển đổi giữa các hash LM và NT ra sao, đây là một tính năng rất phổ biến của các công cụ tấn công PtH. Tệ hơn nữa, ngay cả khi việc lưu trữ các hash LM bị vô hiệu hóa, chúng vẫn được tạo trong bộ nhớ khi ai đó đăng nhập vào.
Dù vậy khách hàng vẫn tiến hành vô hiệu hóa các hash và thiết lập lại các mật khẩu. Các cơ sở dữ liệu cục bộ và Active Directory đều không chứa các hash mật khẩu LM khả dụng. Kết quả là các cuộc tấn công PtH chấm dứt. Điều đó cũng cho thấy nhóm APT thậm chí không hiểu rõ công cụ chúng sử dụng.

Bài học: Chữ “Advanced” có trong cụm từ APT,  nhưng không có nghĩa là mọi kẻ tấn công APT đều có nghề cao. Thêm nữa, các chuyên gia cũng có thể sai.

Câu chuyện thứ 3: Thuốc chữa bệnh có thể là thuốc độc 
Câu chuyện về một tổ chức vốn từng là khách hàng của một hãng bảo mật có uy tín về phòng chống APT. Hãng này cũng bán cả phần mềm phát hiện APT. Trước đây hãng bảo mật đã xử lý APT sau đó cài phần mềm của mình lên toàn bộ các máy của tổ chức này và không hề đụng tới trong gần một năm. Suốt thời gian đó khách hàng không phát hiện bất kỳ dấu hiệu nào về APT.
Roger đã dành vài ngày để giúp khách hàng triển khai một số bẫy dụ những kẻ tấn công xâm nhập, gọi là honeypot (tạm dịch: hũ mật ong). Ông giải thích, bẫy có thể dùng lại một máy tính, bộ định tuyến hoặc máy chủ lâu ngày không sử dụng. Khi tin tặc hay phần mềm độc hại kết nối, honeypot ngay lập tức sẽ gửi cảnh báo kích hoạt hệ thống phản ứng với sự cố. Thường thì bẫy sẽ phát huy hiệu quả ngay trong một hai ngày đầu.
Trong trường hợp này, ông cho biết đã phát hiện những nỗ lực đăng nhập mạng từ nhiều máy trạm, tất cả đều không có lý do đăng nhập chính đáng. Một số máy trạm này được tách ra để kiểm tra ổ cứng của chúng. Hóa ra APT đã cài một Trojan truy cập từ xa vào mỗi máy. Tên của Trojan giống phần mềm phát hiện APT. Ai đó đã thay phần mềm chống APT hợp pháp bằng một Trojan trên hầu hết các máy. Đó là lý do vì sao không có APT nào bị phát hiện. Hóa ra phần mềm phát hiện APT của khách hàng bị nhiễm Trojan này trong quá trình tạo đĩa cài.

Bài học: Trước hết, kiểm chứng tính toàn vẹn của bản cài đặt, ngăn ngừa việc sửa đổi trái phép hay sáng tạo ra một số cách để phát hiện điều đó. Thứ hai, honeypot là một cách tuyệt vời để phát hiện phần mềm độc hại. Thứ ba, luôn tìm kiếm và xem xét các kết nối mạng bất thường từ những nơi không mong muốn.

Câu chuyện thứ 4: 
Máy chủ PKI hại chủ
Những năm trước, việc APT tấn công vào các máy chủ hạ tầng khóa công khai (Public Key Infrastructure – PKI) hiếm khi xảy ra, nhưng giờ đây đã khá phổ biến. Câu chuyện sau đây xảy ra với một công ty đặt máy chủ PKI trong khu vực an ninh.
Các máy chủ PKI nội bộ công ty trong trường hợp này được dùng để tạo ra thẻ thông minh cho nhân viên. Những thẻ thông minh này không chỉ được nhân viên sử dụng để đăng nhập máy tính mà còn để mở cửa vào các tòa nhà của công ty và sử dụng cơ sở hạ tầng khác.
Máy chủ xác thực (Certification Authority – CA) của công ty là một máy ảo, đã bị vô hiệu hóa, trên một máy chủ lưu trữ VMware. Những kẻ xấu phát hiện ra nó, sao chép ra ngoài, phá mật khẩu quản trị (yếu) cục bộ, và tạo ra CA cấp dưới ủy quyền. Chúng sử dụng CA này để cấp phép truy cập PKI cho chính chúng tất cả những thứ mà chúng có thể.
Roger cho biết đã rất ngạc nhiên khi thấy trong một đoạn video từ camera giám sát có hai người đàn ông lạ mặt đã sử dụng thẻ thông minh giả mạo tự tạo, đi vào tòa nhà qua lối vào của nhân viên, và lên tầng lầu nơi lưu trữ dữ liệu nhạy cảm. Ông đã xây dựng lại hệ thống PKI an toàn hơn cho công ty.

Bài học: Hãy bảo vệ các máy chủ PKI CA. Máy chủ CA không cần nối mạng thì nên tách hẳn khỏi mạng, để ở nơi an toàn, thay vì vô hiệu hóa hay đặt trên mạng với những card mạng của chúng bị vô hiệu hóa. Các khóa riêng CA nên được bảo vệ bằng một thiết bị phần cứng (Hardware Storage Module), và mọi mật khẩu liên quan phải đặt thật dài (từ 15 ký tự trở lên) và phức tạp. Thêm nữa, phải đảm bảo việc giám sát những máy chủ CA trái phép khác thêm vào như những CA ủy quyền.

Câu chuyện thứ 5: 
Đừng quên bất kỳ tài khoản nào
Đổi mật khẩu là điều thường thấy trong nhiều trường hợp đối phó với các cuộc tấn công APT. Trong câu chuyện này, công ty nạn nhân đã chuẩn bị hết sức chu đáo, lên kế hoạch không chỉ thiếp lập lại toàn bộ tài khoản người dùng và dịch vụ, mà còn cả tài khoản máy tính. Hiếm có như vậy, đặc biệt khi nói đến thiết lập lại các tài khoản dịch vụ và máy tính.
Nhưng chỉ sau vài ngày thiết lập mật khẩu mới, APT chiếm lại, lấy toàn bộ email, kiểm soát tất cả những tài khoản quyền cao, bao gồm các tài khoản bảo mật IT. Cứ như là việc thiết lập lại mật khẩu chưa từng xảy ra. Điều này khiến những người trong cuộc hoàn toàn bất ngờ vì những lỗ hổng nhận biết đã được khắc phục, nhân viên được hướng dẫn và không có bất kỳ dấu hiệu nào về Trojan mở cổng hậu.
Hóa ra có một tài khoản Windows tích hợp sẵn mang tên “krbtgt” được sử dụng để xác thực Kerberos. Chúng ta không thể đụng đến, xóa bỏ hay thay đổi mật khẩu của tài khoản này. Đó không phải là tài khoản người dùng thực sự mà hiện ra trong những công cụ quản lý tài khoản người dùng, và nhóm APT này biết vậy. Sau khi xâm nhập hệ thống, chúng thêm tài khoản krbtgt tới các nhóm cấp cao khác. Vì các khách hàng thường không để ý nó, kể cả khi thiết lập lại mật khẩu, nó có thể được khai thác như một tài khoản mở cửa hậu. Đây quả là chiêu hiểm của tin tặc.
Công ty bị tổn hại trong câu chuyện này đã thiết lập lại các mật khẩu của các tài khoản krbtgt và mọi thứ khác thêm một lần nữa. Và vấn đề đã được giải quyết. Việc thiết lập lại các tài khoản krbtgt gây ra những phiền phức xác thực nhất định. Nhưng đó là điều phải làm.

Bài học: Nếu bạn thiết lập lại toàn bộ tài khoản, phải chắc chắn bạn biết “toàn bộ” nghĩa là gì.

Câu chuyện thứ 6: 
Thông tin quá tải cũng khuyến khích sáng tạo APT
Câu chuyện cuối cùng không phải là về một công ty cụ thể, và nó cho thấy quá trình phát triển APT trong những năm qua. Giới hành nghề APT hồi đầu thu thập ngay mọi thứ có thể sau khi xâm nhập thành công vào một tổ chức. Chúng sao chép mọi email hiện có và cài chương trình tự động “tóm” mọi email mới gửi. Nhiều khi còn cài Trojan để theo dõi mạng và cơ sở dữ liệu, và sao chép những nội dung mới được tạo ra. Mặt khác, nhiều công ty sử dụng dịch vụ sao chép trực tuyến nên chúng không hề tốn tiền.

Những ngày đó đã qua lâu rồi. Trong thế giới ngày nay, cơ sở dữ liệu lên tới hàng terabyte đã là chuyện bình thường thì APT gặp một vấn đề. Khi chúng có toàn quyền truy cập một mạng và biết nơi toàn bộ thông tin được lưu trữ, chúng phải lựa chọn nhiều hơn. Trước đây chúng thường lấy mọi thứ, nhưng bây giờ có lựa chọn rõ ràng. Giờ đây APT cao cấp hơn nhiều, tích hợp cả máy tìm kiếm, đôi khi với những hàm API của chính chúng hay vay mượn API của những máy tìm kiếm nổi tiếng khác để tìm dữ liệu cụ thể. Chúng có lẽ vẫn lấy vài gigabyte dữ liệu mỗi ngày, nhưng những gì chúng lấy mang tính chọn lọc cao.

Bài học: APT có cùng vấn đề tìm kiếm và quản lý dữ liệu như bạn. Đừng để chúng lập chỉ mục dữ liệu tốt hơn bạn.