Kaspersky Lab: lỗ hổng ứng dụng Web rất dễ bị lợi dụng

Theo các phân tích và kết quả trong báo cáo “Đánh giá An ninh của hệ thống thông tin doanh nghiệp năm 2017” của Kaspersky Lab, tỷ lệ thử nghiệm tấn công bằng cách lợi dụng các điểm yếu lỗ hổng trên ứng dụng web thành công vào mạng lưới doanh nghiệp đạt gần ba phần tư (73%).

Mỗi cơ sở hạ tầng công nghệ Thông tin (CNTT) đều mang một nét đặc trưng riêng, điều này khiến những cuộc tấn công nguy hiểm nhất khi nhắm vào các tổ chức này cũng rất riêng biệt. Hàng năm, bộ phận Dịch vụ bảo mật của Kaspersky Lab đều thực hiện một cuộc mô phỏng thực tế về các kịch bản tấn công có thể xảy ra để giúp các doanh nghiệp trên toàn thế giới xác định được các lỗ hổng trong mạng lưới của họ cũng như tránh được các thiệt hại về mặt tài chính, vận hành và uy tín. Mục đích của báo cáo hàng năm về thử nghiệm thâm nhập là giúp các chuyên gia bảo mật CNTT nhận thức về các lỗ hổng liên quan, các tấn công chống lại hệ thống thông tin doanh nghiệp hiện đại, để từ đó tăng cường khả năng bảo vệ của tổ chức.

Kết quả của cuộc nghiên cứu năm 2017 cho thấy trong số các doanh nghiệp được phân tích, chỉ có khoảng 43% tổ chức có biện pháp bảo vệ chống lại các tấn công bên ngoài, tỷ lệ này được đánh giá là rất thấp. 73% là tỷ lệ thành công của các cuộc tấn công từ bên ngoài vào mạng lưới doanh nghiệp trong năm 2017 thông qua các lỗ hổng ứng dụng web. Một vector phổ biến khác dùng để thâm nhập là tấn công vào các giao diện quản lý có sẵn một cách công khai, có tính xác thực yếu hoặc mặc định. Trong dự án thử nghiệm thâm nhập từ bên ngoài, các chuyên gia Kaspersky Lab đã đạt được những đặc quyền cao nhất trong toàn bộ cơ sở hạ tầng CNTT đối với 29% các doanh nghiệp, bao gồm quyền truy cập cấp quản trị cho các hệ thống kinh doanh, máy chủ, thiết bị mạng và máy tính nhân viên, với tư cách là một 'kẻ tấn công' không hề có kiến thức về nội bộ tổ chức mục tiêu và ẩn náu trên Internet.

Tình hình bảo mật thông tin trong mạng nội bộ của các công ty thậm chí còn có những biểu hiện tệ hơn. Tỷ lệ bảo mật chống lại các tấn công nội bộ được xem là thấp hoặc cực kỳ thấp khi 93% các doanh nghiệp được khảo sát hoàn toàn không quan tâm điều này. Các đặc quyền cao nhất trong mạng nội bộ bị chiếm đoạt ở 86% các công ty được phân tích; và 42% trong số đó chỉ cần hai bước tấn công là có thể đạt được. Trung bình, với hai đến ba vector tấn công, các đặc quyền cao nhất có thể bị chiếm đoạt trong mỗi dự án. Một khi những kẻ tấn công có được đặc quyền trong hệ thống, chúng có thể toàn quyền kiểm soát toàn bộ mạng lưới bao gồm các hệ thống kinh doanh quan trọng.

MS17-010 – lỗ hổng đã bị khai thác rộng rãi trong các cuộc tấn công nhắm vào cá nhân và bởi ransomware WannaCry và NotPetya/ExPetr – được phát hiện ở 75% các công ty đã qua thử nghiệm xâm nhập nội bộ sau khi thông tin về lỗ hổng trên được công khai. Các tổ chức này đã không cập nhật hệ thống Windows của họ cả 7-8 tháng sau khi bản vá được phát hành. Nhìn chung, phần mềm lỗi thời đã được tìm thấy ở mạng lưới hoạt động của 86% các công ty được phân tích và trong mạng nội bộ của 80% các công ty này, điều này cho thấy việc thực hiện yếu kém các quy trình bảo mật CNTT cơ bản ở nhiều doanh nghiệp có thể khiến họ trở thành mục tiêu tấn công dễ dàng của bọn tội phạm.

Theo kết quả của các dự án đánh giá bảo mật, các ứng dụng web của những cơ quan chính phủ được xem là kém an toàn nhất, với nguy cơ có lỗ hổng cao, được tìm thấy trong mỗi ứng dụng (100%). Ngược lại, các ứng dụng thương mại điện tử được bảo vệ tốt hơn nhờ sự can thiệp khả thi từ bên ngoài, chỉ hơn một phần tư lỗ hổng chứa nguy cơ cao, khiến chúng trở thành những phần mềm an toàn nhất.

Ông Sergey Okhotin, Chuyên viên Phân tích An ninh Cấp cao về Phân tích Dịch vụ Bảo mật, Kaspersky Lab cho biết thực hiện các phân tích định lượng về biện pháp bảo mật đơn giản như lọc mạng và mật khẩu sẽ làm tăng đáng kể độ bảo mật mạng. Ví dụ, một nửa số vectơ tấn công đã có thể được ngăn chặn bằng cách hạn chế quyền truy cập vào các giao diện quản lý.

Để cải thiện an ninh mạng, các công ty nên:

 

Từ khóa: an ninh bảo mật, An ninh mạng, bảo mật, bảo mật web, Hồng Oanh, Kaspersky Lab, lỗ hổng bảo mật, ứng dụng web