Vậy bài toán đặt ra là doanh nghiệp phải làm gì để bảo vệ người dùng cuối(Enduser) trước các mối đe doạ tấn công trên Internet - Những người dùng rất "ngây thơ" về vấn đề an toàn thông tin? Câu trả lời hầu hết là đào tạo nhận thức an toàn thông tin cho nhân viên và khách hàng?!? Nhưng thực tế thì việc này cực kỳ khó, vì ngay cả các chuyên gia phân tích malware hàng đầu đôi lúc vẫn bị nhiễm malware vì một vài sai sót(human error).
Vậy nên đứng ở góc độ làm bảo mật cho doanh nghiệp thì các chuyên gia phải có trách nhiệm nghiên cứu giải pháp làm thế nào để bảo vệ người dùng cuối bằng các biện pháp kỹ thuật.
Các giải pháp bảo vệ cho người dùng cuối hiện nay thông thường các doanh thường sử dụng là Anti-Virus, hay các giải pháp nghe tên hoành tráng hơn là "Giải pháp phòng chống APT".
- Từ Tetcon 2012 đến các nghiên cứu bảo mật gần đây của Tavis Ormandy chứng minh rằng các Anti-Virus đã và đang trở thành mục tiêu của hacker và các giải pháp Anti-Virus đều tồn tại lỗ hổng bảo mật.
- Các giải pháp phòng chống APT đang được chào bán hiện nay cũng chỉ là một giải pháp cải tiến của IDS/IPS kết hợp với DNS Sinkhole mà thôi. Hơn nữa một số chuyên gia dự đoán tương lai của các giải pháp phòng chống APT này sẽ dịch chuyển về phía Endpoint.
Trong một chia sẻ tại Security Bootcamp 2016 tôi có đề cập sơ qua về chủ đề này, Bây giờ tôi sẽ đi sâu vào phân tích các giải pháp mà tôi đã tìm hiểu và PoC trong năm vừa qua. Thực sự tôi muốn làm nhiều hơn việc test tính năng của các giải pháp Endpoint Security(Chẳng hạn tìm các lỗ hổng bảo mật và exploit :D) nhưng thời gian và nhân lực có hạn nên tôi sẽ bổ sung trong tương lai vậy.
1. Vulnerability Scanning
Mục tiêu: Rà quét các lỗ hổng bảo mật trên endpoint(App, OS, Service, Network ...) và tình trạng update. Đồng thời thống kê thành dashboard cho người quản trị biết hiện trạng hệ thống công nghệ thông tin(CNTT) mình quản lý đang tồn tại những lỗ hổng nào để tiến hành cập nhật bản vá kịp thời.
Hầu hết các giải pháp Vulnerability Management hiện nay đều tập trung vào việc dò quét lỗ hổng bảo mật ở tầng network, OS và Service. Nghĩa là chỉ tập trung quét từ bên ngoài vào chứ chưa quan tâm đến các ứng dụng trên máy tính của Enduser(trừ Nessus). Ngoài ra trong đánh giá Top10 Endpoint protection cũng có đề cập đến tính năng này đã có trên một số sản phẩm, nhưng thực sự thì tôi chưa thấy tính năng này khi thử nghiệm?!?
Yêu cầu tối thiểu là phải scan được các lỗ hổng bảo mật ở mức OS(Windows, Linux, MacOS, tương lai có thể là Mobile), mức Service(Apache, tomcat, JBoss, Oracle, MySQL...) và mức App(Web browser, MS Office, Adobe Reader, Java ...)
2. Anti-Exploit
Mục tiêu: Bảo vệ các ứng dụng chưa kịp cập nhật bản vá lỗi tránh bị tấn công bằng cách làm chậm/làm khó việc exploit các lỗ hổng bảo mật.
- EMET của Microsoft: Phần mềm miễn phí với các tính năng cơ bản giúp hạn chế một số kiểu tấn công đơn giản nhưng không thích hợp để triển khai cho môi trường doanh nghiệp. Được tích hợp vào các phiên bản windows sau này.
- TRAPS của PaloAlto: giải pháp khá tốt để triển khai cho doanh nghiệp(Hỗ trợ whitelisting) nhưng phiên bản tôi thử nghiệm thì Traps không chặn được exploit sử dụng javascript engine(Chrome và Firefox).
- Endpoint Security của Malwarebytes: Về mặt cá nhân tôi thì đây là một giải pháp tương đối hoàn thiện về tư tưởng thiết kế cũng như triển khai cho doanh nghiệp, khi nào hoàn tất việc PoC tôi sẽ bổ sung sau.
- HitmanPro.Alert của SurfRight: Về mặt tính năng thì giải pháp này khá tốt tuy nhiên trước giờ chỉ hướng đến đối tượng sử dụng cá nhân nên không phù hợp với môi trường doanh nghiệp. Hy vọng trong tương lai sẽ có điều chỉnh.
- Trend Micro Vulnerability Protection: Có vài vấn đề tôi không thích cách tiếp cận này của TrendMicro
- Có vulnerability scanning agent tuy nhiên lại không hề đưa ra thống kê report nào để người quản trị cập nhật bản vá.
- Chặn các exploit theo dạng signature có sẵn nên số lượng rule khá lớn và có thể bị bypass.
Các giải pháp trên hầu hết là áp dụng cho windows, trên môi trường Linux(Chủ yếu là server) và MacOS thì khá hiếm(giải pháp thường thấy là Grsecurity or AppArmor + Chroot + ClamAV). Nếu bạn đọc biết được thêm các giải pháp nào khác thì bổ sung giúp
3. Whitelisting/Blacklisting
Mục tiêu: Là xây dựng các policy chỉ cho phép một vài ứng dụng được thực thi trên máy enduser(Whitelisting). Hoặc chặn các phần mềm độc hại(Blacklisting)
Thực sự nếu đối với các môi trường số lượng và chủng loại ứng dụng ít thay đổi thì nên làm whitelisting vì nó sẽ hạn chế được rất nhiều nguy cơ và rủi ro liên quan do malware gây nên, đặc biệt là trong bối cảnh Ransomware đang có dấu hiệu bùng phát.
Ngoài giải pháp Traps của PaloAlto nêu trên thì có khá nhiều hãng có sản phẩm "Next-Gen Endpoint Protection" đều trang bị sẵn như: SentinelOne, CarbonBlack và Cyclance
Các giải pháp trên ưu điểm là gọn nhẹ(không scan toàn bộ ổ cứng hay file) và đều dùng cơ chế phát hiện và ngăn chặn khi malware được thực thi. Nếu 3 giải pháp trên có thêm tính năng anti-exploit(hoặc monitor and protect process) thì khá hoàn hảo.
4. Malware Prevent
Mục tiêu: Phát hiện và ngăn các malware đã biết và phân tích hành vi để chặn các malware mới.
Hầu hết các giải pháp Anti-Virus truyền thống lẫn các sản phẩm "Next-Gen Endpoint Protection" đều có những tính năng này. Ưu tiên các sản phẩm gọn nhẹ, chạy được đa nền tảng.
5. Threat Detection and Response
Mục tiêu: Khi tất cả các vòng bảo vệ phía trên đều bị bypass thì đây là chốt chặn cuối cùng để bảo vệ enduser và xử lý việc gỡ bỏ, forensic và điều tra số.
Thường các giải pháp giúp ích rất nhiều cho các chuyên gia an ninh thông tin của doanh nghiệp nhanh chóng phát hiện và xử lý các sự có khi hệ thống CNTT bị tấn công. Các công ty có đội ngũ làm an toàn thông tin thì nên cân nhắc triển khai các giải pháp này.
Các sản phẩm tiêu biểu gồm trên thị trường gồm có: CounterTack Sentinel, Encase Guidance, CarbonBlack, RSA Endpoint, ...
6. Các yêu cầu khác
- Personal Firewall: Hỗ trợ tạo rule giới hạn truy cập một số nhóm PC đặc thù của doanh nghiệp đồng thời cách ly PC bị nhiễm malware ra khỏi hệ thống một cách nhanh nhất
- Hỗ trợ tốt các hệ thống SIEM hoặc Security Intelligence
- Device Control và Data Loss Prevention: Có thể tuỳ chọn thêm nhưng cá nhân tôi không nên dồn quá nhiều tính năng cho phía endpoint.
Tổng Kết
Về mặt nguyên tắc thì không có giải pháp kỹ thuật nào là toàn diện vì thế phải cân nhắc lựa chọn giải pháp phù hợp. Xây dựng nhiều lớp phòng thủ để làm chậm kẻ tấn công và đội ngũ bảo mật phải nhanh chóng phát hiện sự cố(Reduce Time to Discover, Increase Time to Compromise).
-- Bài viết sẽ còn bổ sung và điều chỉnh --
