Phần mềm tống tiền có thể lây nhiễm vào dịch vụ lưu trữ đám mây không?
Người dùng và các tổ chức thường lầm tưởng rằng dịch vụ lưu trữ đám mây công cộng là một giải pháp lưu trữ rất đáng tin cậy và không thể bị ransomware tấn công. Thực tế là dịch vụ lưu trữ đám mây đáng tin cậy nhờ vào tính dự phòng của các ổ đĩa, kết nối mạng và các biện pháp sao chép được các nhà cung cấp đám mây triển khai tại trung tâm dữ liệu của họ. Tuy nhiên, điều này không có nghĩa là dữ liệu trên đám mây hoàn toàn an toàn và không thể bị ransomware làm hỏng. Bài viết này sẽ giải thích cách ransomware có thể tấn công dữ liệu trên đám mây và cách phòng ngừa mất mát dữ liệu trong trường hợp này.
Bức tranh an ninh đám mây đang thay đổi trước mối đe dọa từ ransomware
Thật không may, ransomware vẫn tiếp tục phát triển, ngày càng tinh vi và nguy hiểm hơn. Các cuộc tấn công mạng cũng ngày càng lan rộng. Do đó, các biện pháp an ninh đám mây phải không ngừng được cải tiến để theo kịp mối đe dọa này. Các nhà cung cấp dịch vụ an ninh mạng và sao lưu đang phát triển các giải pháp để giúp người dùng và tổ chức bảo vệ dữ liệu của họ.
Một trong những xu hướng nguy hiểm nhất trong những năm gần đây là ransomware as a service (RaaS). Các tội phạm mạng có kỹ năng cao bán các bộ công cụ ransomware sẵn sàng sử dụng cho những kẻ tấn công ít kỹ năng hơn, từ đó làm gia tăng số lượng các cuộc tấn công ransomware. Các chủng ransomware được sử dụng trong các loại tấn công này cũng có thể truy cập vào mạng nội bộ của các tổ chức và lây lan trên các môi trường đám mây.
Ransomware đám mây là một loại ransomware mới được thiết kế để truy cập dữ liệu trên đám mây. Nó có thể đánh cắp dữ liệu, gửi dữ liệu cho kẻ tấn công cũng như mã hóa dữ liệu. Loại ransomware này có thể khai thác các lỗ hổng trong môi trường đám mây.
Cách ransomware nhắm mục tiêu vào lưu trữ đám mây
Ransomware có thể nhắm mục tiêu vào lưu trữ đám mây theo nhiều cách, bao gồm khai thác lỗ hổng phần mềm và lừa đảo người dùng. Các nhà cung cấp dịch vụ đám mây như Microsoft, Amazon và Google luôn triển khai các biện pháp bảo mật mạnh mẽ, nhưng kẻ tấn công có thể khai thác các lỗ hổng ở phía người dùng, tức là bên trong cơ sở hạ tầng cục bộ của tổ chức.
- Đồng bộ hóa tệp . Các dịch vụ lưu trữ đám mây thường cho phép người dùng đồng bộ hóa tệp trên đĩa cục bộ ngoài lưu trữ đám mây (ví dụ: Microsoft OneDrive, Google Drive, v.v.). Nếu máy tính của người dùng bị nhiễm ransomware, ransomware sẽ mã hóa các tệp trên ổ đĩa cục bộ và sau đó các tệp bị hỏng sẽ được đồng bộ hóa lên dịch vụ lưu trữ đám mây. Kết quả là, các tệp trên đám mây công cộng cũng bị hỏng.
- Thông tin đăng nhập người dùng bị xâm phạm . Kẻ tấn công sử dụng các cuộc tấn công lừa đảo và tấn công dò mật khẩu để xâm phạm thông tin đăng nhập của người dùng và truy cập vào các tệp trên máy tính của người dùng cũng như các máy tính khác trong mạng. Sau khi cài đặt ransomware, các tệp sẽ bị mã hóa và do đó bị hỏng. Với phương pháp này, kẻ tấn công có thể truy cập vào tài khoản trên đám mây và xóa hoặc làm hỏng dữ liệu.
- Khai thác API đám mây . Các nhà cung cấp dịch vụ đám mây cung cấp các giao diện lập trình ứng dụng (API) để mang lại sự tiện lợi hơn và khả năng phát triển các ứng dụng của bên thứ ba để hoạt động với các dịch vụ đám mây. API cho phép các ứng dụng tự động hóa các tác vụ khi làm việc với các dịch vụ đám mây. Kẻ tấn công có thể lợi dụng các lỗ hổng trong API hoặc sử dụng các khóa API bị đánh cắp để truy cập vào bộ nhớ đám mây. Một khi đã xâm nhập thành công, chúng có thể triển khai phần mềm tống tiền để làm hỏng và xóa các tệp tin. Do đó, các lỗ hổng API có thể cho phép phần mềm tống tiền vượt qua các biện pháp kiểm soát an ninh thông thường, giúp kẻ tấn công truy cập trực tiếp vào dữ liệu lưu trữ trên đám mây.
- Thư mục chia sẻ và công cụ cộng tác . Các thư mục chia sẻ chủ yếu được sử dụng cho mục đích hợp tác trong tổ chức. Nếu một thiết bị hoặc tài khoản bị xâm nhập, ransomware có thể được tải lên các thư mục chia sẻ. Vì người dùng khác có thể truy cập các tệp chia sẻ này, ransomware có thể lây lan nhanh chóng trong toàn tổ chức. Các công cụ hợp tác dựa trên đám mây như Microsoft Teams hoặc Google Workspace có thể làm gia tăng sự lây lan của ransomware nếu các tệp chia sẻ bị nhiễm.
- Các biện pháp kiểm soát truy cập yếu . Nếu không có chính sách bảo mật mạnh mẽ, kẻ tấn công có thể lợi dụng các quyền truy cập được cấu hình sai. Nếu người dùng có quyền ghi không cần thiết hoặc quyền truy cập quản trị vào lưu trữ đám mây, ransomware có thể chiếm quyền truy cập này để mã hóa và phá hủy tệp.
Bảo vệ lưu trữ đám mây khỏi ransomware
Bảo vệ lưu trữ đám mây khỏi ransomware đòi hỏi sự kết hợp của các phương pháp, bao gồm các biện pháp phòng ngừa, kiểm soát truy cập và chiến lược khôi phục dữ liệu. Mặc dù các nhà cung cấp dịch vụ đám mây đảm bảo mức độ bảo mật cao, họ chỉ chịu trách nhiệm về cơ sở hạ tầng đám mây cơ bản. Các tổ chức sử dụng các tài nguyên này để lưu trữ dữ liệu của họ phải chịu trách nhiệm về việc bảo vệ dữ liệu và các biện pháp liên quan để tránh mất dữ liệu từ phía họ. Điều này được gọi là mô hình trách nhiệm chung, là một phần của thỏa thuận cấp phép người dùng cuối của hầu hết các nhà cung cấp dịch vụ đám mây.
Dưới đây, bạn có thể xem các biện pháp bảo vệ chính chống lại ransomware dành cho các tổ chức:
- Kích hoạt tính năng tạo phiên bản cho tệp trên đám mây . Tính năng tạo phiên bản tệp cho phép bạn khôi phục các phiên bản tệp trước đó chưa bị nhiễm nếu các phiên bản tệp mới nhất bị mã hóa hoặc hỏng do ransomware. Bạn có thể cấu hình tính năng này để lưu giữ nhiều phiên bản của mỗi tệp trên bộ lưu trữ đám mây. Các nhà cung cấp dịch vụ lưu trữ đám mây chính, chẳng hạn như Microsoft OneDrive và Google Drive, đều cung cấp tính năng quản lý phiên bản tệp.
- Kích hoạt mã hóa dữ liệu . Mã hóa mạnh mẽ ngăn chặn kẻ tấn công dễ dàng truy cập hoặc thao túng các tệp nhạy cảm nếu chúng xâm nhập vào bộ lưu trữ đám mây của bạn. Kích hoạt mã hóa trong quá trình truyền tải và khi lưu trữ nếu có thể để đảm bảo mức độ bảo mật cao. Dữ liệu đã được mã hóa chỉ có thể được truy cập bởi những người dùng được ủy quyền có khóa hoặc mật khẩu. Thông thường, có các tùy chọn để sử dụng tính năng mã hóa tích hợp sẵn của dịch vụ hoặc áp dụng mã hóa phía máy khách. Lưu ý rằng phần mềm tống tiền có thể mã hóa các tệp đã được mã hóa, nhưng kẻ tấn công không thể đọc các tệp mà bạn đã mã hóa nếu không có khóa.
- Cấu hình quyền truy cập người dùng cẩn thận . Áp dụng nguyên tắc quyền hạn tối thiểu khi cấu hình quyền truy cập. Kẻ tấn công luôn dễ dàng hơn khi bắt đầu một cuộc tấn công ransomware bằng cách lây nhiễm vào người dùng thông thường, chứ không phải quản trị viên hệ thống. Khi người dùng chỉ có các quyền quản trị và ghi cần thiết, ransomware sẽ khó lây lan qua mạng và lây nhiễm các tài nguyên khác hơn.
- Triển khai phát hiện mối đe dọa nâng cao . Cài đặt phần mềm chống virus trên máy tính của người dùng cuối để phát hiện và loại bỏ ransomware nếu nó cố gắng lây nhiễm vào họ. Nếu máy tính không bị nhiễm ransomware, nó sẽ không thể mã hóa các tệp được đồng bộ hóa với lưu trữ đám mây.
- Giám sát . Sử dụng hệ thống giám sát có cảnh báo và thông báo tự động để nhanh chóng phát hiện hành vi đáng ngờ, có thể là dấu hiệu của hoạt động ransomware. Các hoạt động như sửa đổi hàng loạt tệp, chia sẻ hàng loạt và các nỗ lực đăng nhập từ các vị trí không xác định nên được coi là hoạt động đáng ngờ. Khi ransomware được phát hiện sớm, việc ngăn chặn cuộc tấn công và tránh hậu quả phá hoại sẽ dễ dàng hơn.
- Cách ly lưu trữ đám mây . Tránh cấu hình đồng bộ hóa tệp từ đĩa cục bộ với lưu trữ đám mây. Điều này có thể giảm nguy cơ làm hỏng các tệp được lưu trữ trên đám mây nếu máy tính của người dùng cục bộ bị nhiễm ransomware.
- Vô hiệu hóa chia sẻ tệp với các nguồn không đáng tin cậy . Hạn chế chia sẻ tệp với người dùng bên ngoài để giảm thiểu nguy cơ nhiễm ransomware qua các tài liệu được chia sẻ. Các macro trong tài liệu Microsoft Office là một cách phổ biến để lây nhiễm máy tính của người dùng. Thiết lập các chính sách nghiêm ngặt về ai có thể chia sẻ tệp và với ai, đồng thời thường xuyên kiểm tra các thư mục được chia sẻ để đảm bảo người dùng không được phép không có quyền truy cập.
- Giáo dục người dùng . Liên tục giáo dục người dùng và tổ chức các khóa đào tạo nâng cao nhận thức về an ninh mạng. Khi người dùng hiểu ít nhất các nguyên tắc chính của các cuộc tấn công ransomware và biết phải làm gì nếu phát hiện các dấu hiệu đáng ngờ, nguy cơ nhiễm ransomware sẽ giảm xuống. Các cuộc tấn công lừa đảo (phishing) lây nhiễm vào máy tính người dùng là một cách phổ biến để phát tán ransomware trong cơ sở hạ tầng của tổ chức. Người dùng cần biết cách nhận diện các email lừa đảo và các liên kết đáng ngờ, đồng thời báo cáo cho quản trị viên hệ thống nếu phát hiện dấu hiệu của một cuộc tấn công mạng tiềm ẩn.
- Sao lưu dữ liệu thường xuyên . Việc có bản sao lưu sẽ giúp bạn khôi phục dữ liệu nếu dữ liệu gốc bị mất sau một cuộc tấn công ransomware. Hãy thiết lập sao lưu tự động định kỳ và đặt lịch trình cũng như chính sách lưu trữ phù hợp để đảm bảo có thể khôi phục dữ liệu cho các khoảng thời gian khác nhau. Sao lưu dữ liệu cục bộ và dữ liệu lưu trữ trên đám mây.
- Kích hoạt sao lưu không thể thay đổi . Nếu ransomware có thể truy cập vào kho lưu trữ sao lưu, thì các bản sao lưu sẽ bị hỏng và không thể sử dụng được. Sao lưu không thể thay đổi sử dụng nguyên tắc ghi một lần, đọc nhiều lần (WORM). Một khi bản sao lưu không thể thay đổi đã được ghi, nó không thể bị sửa đổi cho đến khi thời gian không thể thay đổi hết hạn. Ngoài sao lưu không thể thay đổi, bạn có thể sử dụng các thiết bị lưu trữ cách ly như băng từ hoặc ổ cứng được ngắt kết nối sau khi ghi dữ liệu sao lưu. Sao lưu cách ly cũng chống lại ransomware vì ransomware không thể truy cập vật lý vào chúng.
- Tổ chức đào tạo khôi phục thảm họa . Điều quan trọng là phải sẵn sàng đối phó với các cuộc tấn công ransomware và kiểm tra các bản sao lưu. Mỗi nhân viên cần biết phải làm gì nếu phát hiện cuộc tấn công ransomware – cách ngăn chặn lây nhiễm và mã hóa tệp. Khi cuộc tấn công ransomware đã bị ngăn chặn và loại bỏ, điều quan trọng là phải khắc phục các lỗ hổng mà ransomware đã lợi dụng và khôi phục dữ liệu. Khi các kịch bản khôi phục dữ liệu đã được kiểm tra kỹ lưỡng, bạn có thể khôi phục dữ liệu một cách dễ dàng và nhanh chóng.
Đảm bảo tuân thủ và bảo mật với NAKIVO
NAKIVO Backup & Replication là giải pháp bảo vệ dữ liệu cho phép bạn sao lưu và khôi phục dữ liệu trong trường hợp xảy ra cuộc tấn công ransomware. Giải pháp NAKIVO có bộ tính năng đa dạng, bao gồm các tính năng đặc biệt hữu ích trong việc bảo vệ dữ liệu và bản sao lưu khỏi ransomware.
- Sao lưu dữ liệu trên đám mây . Giải pháp NAKIVO hỗ trợ sao lưu VMware vSphere, Proxmox VE, Hyper-V, Nutanix AHV, máy trạm/máy chủ Windows và Linux, Amazon EC2 và Microsoft 365, bao gồm Exchange Online, OneDrive for Business, SharePoint Online và Microsoft Teams.
- Lưu trữ bản sao lưu trên các loại lưu trữ khác nhau . Bạn có thể lưu trữ bản sao lưu trên đám mây và trên bộ lưu trữ cục bộ. Amazon EC2, Amazon S3, bộ lưu trữ tương thích S3, Azure Blob Storage, BackBlaze B2 và các nền tảng lưu trữ đám mây khác đều được hỗ trợ. Về bộ nhớ cục bộ, bạn có thể lưu trữ bản sao lưu trên các kho lưu trữ cục bộ trên máy Linux và Windows, thiết bị NAS và phương tiện băng từ. Việc ngắt kết nối phương tiện sao lưu và sử dụng bản sao lưu cách ly mạng giúp bảo vệ chống lại ransomware.
- Bản sao lưu bất biến . Các kho lưu trữ sao lưu được gắn vào hệ thống Linux Phương tiện vận chuyển hỗ trợ tính bất biến của bản sao lưu. Bản sao lưu không thể thay đổi có thể được ghi một lần và không thể sửa đổi trong khoảng thời gian đã định. Các kho lưu trữ sao lưu trong Amazon S3 cũng hỗ trợ sao lưu không thể thay đổi và đảm bảo bảo vệ chống ransomware trên đám mây.
- Cài đặt lịch trình và thời gian lưu trữ . NAKIVO Backup & Replication cung cấp các cài đặt nâng cao Lập lịch và duy trì . Bạn có thể lên lịch các tác vụ sao lưu để chạy tự động vào bất kỳ thời điểm nào, định kỳ hoặc sau một tác vụ khác. Các cài đặt thời gian lưu trữ linh hoạt cho phép bạn triển khai các chính sách lưu trữ phức tạp để khôi phục dữ liệu từ các điểm khôi phục gần đây hoặc cũ. Bạn có thể sử dụng sơ đồ ông nội – cha – con trai (GFS) hoặc các chính sách lưu trữ phức tạp hơn, giúp đáp ứng các yêu cầu tuân thủ.
- Chức năng khôi phục thảm họa . Bạn có thể sử dụng tính năng Khôi phục trang web để tạo các quy trình khôi phục thảm họa và thực hiện kiểm tra khôi phục thảm họa. Phương pháp này giúp bạn chuẩn bị cho các sự cố có thể xảy ra, từ đó khôi phục dữ liệu một cách trơn tru và nhanh chóng trên đám mây và tại chỗ.
- Khôi phục chi tiết . Nếu dữ liệu của bạn bị nhiễm ransomware và bạn cần khôi phục chỉ các tệp và đối tượng cụ thể, bạn có thể thực hiện điều đó nhanh chóng với tính năng khôi phục chi tiết. Bạn có thể khôi phục các tệp và thư mục cụ thể từ các máy ảo VMware vSphere, Microsoft Hyper-V, máy vật lý Linux/Windows và bản sao lưu Amazon EC2, cũng như khôi phục các tệp Microsoft OneDrive cụ thể, email Exchange, trang SharePoint, đối tượng Microsoft Teams, v.v.
- Kiểm soát truy cập dựa trên vai trò . Bạn có thể cấu hình tài khoản người dùng, vai trò và quyền truy cập trong NAKIVO Backup & Replication cho các hoạt động sao lưu và khôi phục. Việc cấu hình quyền truy cập phù hợp thông qua nhiều cấp độ truy cập sẽ hạn chế truy cập trái phép. Chế độ đa người dùng rất hữu ích cho các tổ chức lớn và các nhà cung cấp dịch vụ quản lý quan tâm đến bảo vệ chống ransomware trên đám mây.
- Mã hóa bản sao lưu . Mã hóa dữ liệu sao lưu giúp bảo vệ dữ liệu khỏi bị đánh cắp bởi tội phạm mạng nếu máy chủ sao lưu bị nhiễm ransomware. Bạn nên sử dụng các bản sao lưu và tuân theo Quy tắc sao lưu 3-2-1 với NAKIVO Backup & Replication để tránh bản sao lưu bị hỏng do ransomware. Bạn có thể bật mã hóa bản sao lưu tại nguồn, mã hóa mạng và mã hóa bản sao lưu khi không sử dụng (ở cấp độ kho lưu trữ).
- Quét phần mềm độc hại cho bản sao lưu . Điều quan trọng là phải đảm bảo dữ liệu sao lưu không chứa virus và ransomware. Trong trường hợp bạn khôi phục các tệp chứa virus và ransomware, việc lây nhiễm thứ cấp có thể làm hỏng dữ liệu sau khi khôi phục. Giải pháp NAKIVO hỗ trợ tích hợp với các phần mềm diệt virus khác nhau để quét các bản sao lưu và kiểm tra xem chúng có bị nhiễm virus hay không.
Kết luận
Việc bảo vệ dữ liệu đám mây khỏi ransomware đòi hỏi phải áp dụng một loạt các biện pháp phòng ngừa và thực hiện sao lưu dữ liệu thường xuyên. Dữ liệu được lưu trữ trên đám mây công cộng có thể bị nhiễm ransomware theo nhiều cách khác nhau. Điều quan trọng là phải bảo vệ các bản sao lưu được lưu trữ trên đám mây và tại chỗ khỏi ransomware vì ransomware có thể tấn công các tệp sao lưu. NAKIVO Backup & Replication có thể bảo vệ dữ liệu của bạn trên đám mây và tại chỗ bằng các tính năng sao lưu và khôi phục nâng cao.
