Danh sách kiểm tra an ninh mạng của MSP: Cách bảo vệ khỏi ransomware và các mối đe dọa mới nổi

Các nhà cung cấp dịch vụ quản lý (MSP) chịu trách nhiệm quản lý hạ tầng CNTT và dữ liệu cho nhiều khách hàng, khiến họ trở thành mục tiêu có giá trị cao đối với các cuộc tấn công mạng. Chỉ cần một vụ vi phạm an ninh tại một MSP cũng có thể gây ra hiệu ứng domino, lan rộng sang mọi môi trường của các khách hàng mà họ phục vụ. Bài viết trên blog này giải thích các mối đe dọa an ninh mạng phổ biến nhất nhắm vào các MSP, trình bày danh sách kiểm tra an ninh thực tiễn và đề cập đến các phương pháp hay nhất đang nổi lên nhằm giúp bảo vệ hạ tầng của cả nhà cung cấp lẫn khách hàng.

Giải pháp MSP cho BaaS và DRaaS

Sử dụng giải pháp bảo vệ dữ liệu đa năng của NAKIVO để cung cấp dịch vụ BaaS và DRaaS. Hỗ trợ đa nền tảng, các tính năng chống ransomware và khả năng phục hồi thảm họa tích hợp sẵn.

Khám phá giải pháp

Tại sao an ninh mạng lại quan trọng đối với các nhà cung cấp dịch vụ quản lý (MSP)

Nếu kẻ tấn công xâm nhập thành công vào một MSP, dữ liệu của rất nhiều khách hàng cũng có thể bị lộ. Các tội phạm mạng nhận thức rõ lợi thế này và coi các MSP là mục tiêu có giá trị cao: Chỉ cần một vụ xâm nhập thành công cũng có thể giúp chúng tiếp cận nhiều tổ chức cùng một lúc. Một hệ thống bảo mật vững chắc giúp các MSP giảm thiểu rủi ro này và bảo vệ các khách hàng đang phụ thuộc vào họ.

Các mối đe dọa an ninh mạng phổ biến đối với các MSP

Các mối đe dọa an ninh mạng đối với các MSP thường được chia thành hai loại: Các cuộc tấn công nhắm mục tiêu vào hạ tầng của nhà cung cấp và các chiến thuật được sử dụng để giành quyền truy cập ban đầu. Các cuộc tấn công chuỗi cung ứng tập trung vào việc xâm nhập các công cụ tập trung, chẳng hạn như các nền tảng giám sát và quản lý từ xa (RMM) và tự động hóa dịch vụ chuyên nghiệp (PSA), hoặc chèn mã độc vào các bản cập nhật phần mềm hợp pháp. Các chiến thuật dựa trên quyền truy cập dựa vào việc đánh cắp thông tin đăng nhập thông qua lừa đảo (phishing), kỹ thuật xã hội hoặc khai thác lỗ hổng xác thực yếu.

Phần mềm tống tiền (Ransomware) và các cuộc tấn công tống tiền kép

Phần mềm tống tiền là một trong những mối đe dọa an ninh mạng nghiêm trọng nhất đối với các MSP. Các biến thể gây thiệt hại nặng nề nhất sử dụng chiến thuật tống tiền kép: Kẻ tấn công trước tiên trích xuất dữ liệu khỏi môi trường của MSP, sau đó mã hóa dữ liệu đó. Nạn nhân phải đối mặt với yêu cầu tiền chuộc kèm theo đe dọa công khai hoặc bán dữ liệu bị đánh cắp.

Tác động là hai mặt: Thời gian ngừng hoạt động của hệ thống do dữ liệu bị mã hóa và rủi ro rò rỉ dữ liệu công khai.

Phần mềm tống tiền dưới dạng dịch vụ (RaaS) làm giảm rào cản gia nhập, cho phép một số lượng lớn kẻ tấn công triển khai các chiến dịch này ngay cả khi không có kỹ năng kỹ thuật cao.

Lừa đảo qua email (phishing) và kỹ thuật xã hội

Các MSP nắm giữ thông tin đăng nhập có đặc quyền cao, cho phép truy cập vào nhiều môi trường khách hàng. Việc đánh cắp các thông tin đăng nhập này cung cấp cho tội phạm mạng một con đường trực tiếp để tiếp cận dữ liệu khách hàng. Lừa đảo qua email (phishing) và kỹ thuật xã hội là những chiến thuật chính được sử dụng để chiếm đoạt thông tin đăng nhập, không chỉ từ người dùng cá nhân hay tổ chức, mà còn từ các MSP. Lừa đảo qua email dựa trên việc mạo danh, sử dụng các phương tiện liên lạc điện tử để lừa nhân viên MSP tiết lộ thông tin đăng nhập của họ. Email vẫn là một trong những cuộc tấn công lừa đảo phương thức tấn công chính, thường được kết hợp với các kỹ thuật xã hội như email giả mạo, trang web giả mạo và các liên kết độc hại.

Các công cụ truy cập từ xa bị xâm nhập

Các công cụ truy cập từ xa, chẳng hạn như nền tảng RMM, là mục tiêu hàng đầu của các cuộc tấn công chuỗi cung ứng. Vì các công cụ này cho phép kiểm soát tập trung nhiều môi trường máy khách, nên việc xâm nhập vào một trong số đó có thể giúp kẻ tấn công tiếp cận mọi tổ chức mà nhà cung cấp dịch vụ quản lý (MSP) đang quản lý. Chiến lược của kẻ tấn công là biến nền tảng quản lý của MSP thành kênh phân phối phần mềm độc hại.

Ngoài các nền tảng RMM, kẻ tấn công còn có thể nhắm mục tiêu vào các cổng VPN, dịch vụ máy tính từ xa và hệ thống sao lưu bằng cách thu thập thông tin đăng nhập thông qua các vectơ tấn công liên quan. Các lỗ hổng zero-day và các lỗ hổng chưa được vá trên nền tảng RMM đặc biệt nguy hiểm vì chúng có thể ảnh hưởng đến tất cả khách hàng cùng một lúc.

Các mối đe dọa từ bên trong và các cấu hình sai

Các mối đe dọa từ bên trong xảy ra khi những cá nhân có quyền truy cập hợp pháp — chẳng hạn như nhân viên hiện tại hoặc cựu nhân viên, nhà thầu hoặc đối tác — liên quan đến việc vi phạm an ninh. Những người bên trong này có thể hành động có chủ ý thay mặt cho những kẻ tấn công bên ngoài, hoặc họ có thể do sơ suất, vô tình làm tổn hại đến an ninh do bất cẩn hoặc sai sót. Các lỗi cấu hình là những sai sót trong thiết lập hệ thống mà kẻ tấn công có thể khai thác. Cùng nhau, hai yếu tố này cho phép kẻ tấn công vượt qua các biện pháp phòng thủ biên và xâm nhập vào hạ tầng của nhà cung cấp dịch vụ quản lý (MSP) cũng như môi trường của khách hàng.

Ví dụ, một nhân viên sơ suất có thể sập bẫy một cuộc tấn công lừa đảo tinh vi nhằm chiếm đoạt mã xác thực hai yếu tố. Các lỗi quản trị, chẳng hạn như gửi thông tin đăng nhập qua kênh không được mã hóa, cũng có thể làm lộ quyền truy cập.

Các sai sót trong cấu hình có thể xuất hiện dưới nhiều hình thức: Một cổng tường lửa bị bỏ mở sau khi thử nghiệm, hoặc cài đặt chia sẻ quá thoáng trên một tài nguyên như AWS S3 bucket nơi lưu trữ dữ liệu khách hàng hoặc bản sao lưu.

Danh sách kiểm tra an ninh mạng thiết yếu cho MSP

Danh sách kiểm tra sau đây nêu rõ các biện pháp quan trọng để giảm thiểu rủi ro bị xâm nhập và mất dữ liệu. Đầu tư vào các biện pháp bảo vệ này sẽ tiết kiệm chi phí đáng kể so với việc khắc phục hậu quả của một vụ vi phạm và các hệ lụy tiếp theo.

Hạn chế và kiểm soát quyền truy cập mạng

Sử dụng tường lửa và phân đoạn mạng để hạn chế quyền truy cập vào mạng nội bộ và ngăn chặn phần mềm độc hại nếu một máy chủ bị xâm nhập. Mục tiêu là hạn chế sự di chuyển ngang để một máy chủ hoặc máy trạm bị xâm nhập không thể cho phép kẻ tấn công truy cập tự do vào toàn bộ môi trường MSP.

Áp dụng nguyên tắc đặc quyền tối thiểu: Chỉ cấp quyền truy cập cần thiết để thực hiện một tác vụ cụ thể. Sử dụng kiểm soát truy cập dựa trên vai trò để gán quyền truy cập cho các vai trò công việc. Hãy xem xét áp dụng kiến trúc “zero-trust” (không tin tưởng), yêu cầu xác thực mọi người dùng và thiết bị trước khi cấp quyền truy cập, bất kể vị trí mạng. Sử dụng các cổng (gateway) để cách ly các máy trạm khỏi các phần khác của môi trường, đồng thời hạn chế kết nối chỉ với các địa chỉ IP và cổng cần thiết cho hoạt động bình thường.

Tăng cường bảo mật và giám sát hạ tầng

Việc tăng cường bảo mật giúp giảm diện tích tấn công bằng cách giảm thiểu lỗ hổng và cấu hình hệ thống theo tiêu chuẩn an toàn cơ bản. Kết hợp với việc giám sát liên tục, điều này giúp phát hiện sớm các cuộc xâm nhập. Các biện pháp chính bao gồm:

• Khắc phục lỗ hổng bằng cách cài đặt các bản cập nhật bảo mật kịp thời.
• Loại bỏ các tài khoản và dịch vụ không cần thiết.
• Bảo mật các cấu hình mặc định.
• Kích hoạt Xác thực đa yếu tố (MFA).
• Giám sát cơ sở hạ tầng để phát hiện các bất thường và phản ứng kịp thời.

Bảo mật các công cụ quản lý từ xa

Các nền tảng RMM và PSA là chìa khóa truy cập vào tất cả các môi trường khách hàng, khiến chúng trở thành mục tiêu chính của các cuộc tấn công chuỗi cung ứng. Việc bảo mật các công cụ này là điều thiết yếu:

• Triển khai kiểm soát truy cập mạnh mẽ và tăng cường bảo mật danh tính.
• Sử dụng giám sát chủ động để bảo vệ các nền tảng quản trị và tự động hóa.
• Cài đặt các bản vá bảo mật cho các công cụ RMM và PSA ngay khi chúng được phát hành.
• Cách ly các máy chủ quản lý khỏi các phần khác của mạng.
• Rà soát các biện pháp bảo vệ quy trình và tự động hóa, đặc biệt đối với các chức năng RMM nhạy cảm nhất.

Tăng cường bảo mật điểm cuối và người dùng

Bảo mật điểm cuối và người dùng hoạt động như một hệ thống phòng thủ hai lớp. Kẻ tấn công thường nhắm mục tiêu vào người dùng cuối và thiết bị của họ như một điểm xâm nhập vào môi trường MSP:

• Triển khai giải pháp bảo vệ điểm cuối có khả năng phát hiện mối đe dọa nâng cao, bao gồm giám sát hành vi để xác định hoạt động đáng ngờ có thể cho thấy sự hiện diện của phần mềm độc hại.
• Cấu hình quản lý bản vá tự động để đảm bảo các bản cập nhật bảo mật được áp dụng một cách nhất quán.
• Xem xét kích hoạt mã hóa để giảm thiểu rủi ro mất cắp dữ liệu.
• Tổ chức các khóa đào tạo nhận thức về an ninh mạng định kỳ để hướng dẫn người dùng về các chiến thuật tấn công mạng hiện nay và các hành động cần thiết để phòng ngừa và báo cáo sự cố tấn công.
• Ghi nhật ký các sự kiện truy cập, chẳng hạn như đăng nhập, nâng quyền truy cập và truy cập tệp tin.

Bảo vệ dữ liệu bằng sao lưu và khôi phục thảm họa

Về mặt bảo mật dữ liệu, sao lưu là một trong những yếu tố quan trọng nhất trong danh sách kiểm tra của MSP. Ngay cả khi các công cụ bảo mật khác không thể ngăn chặn việc mất dữ liệu, việc sao lưu vẫn đóng vai trò là tuyến phòng thủ cuối cùng trong việc bảo vệ dữ liệu.

Quá trình khôi phục sau thảm họa đòi hỏi phải có các bản sao lưu hoặc bản sao để đảm bảo quá trình khôi phục diễn ra nhanh chóng hơn. Hãy xây dựng một kế hoạch khôi phục sau thảm họa với các thông số được xác định rõ ràng RTO và RPO Thực hiện các bài kiểm tra định kỳ kiểm thử khôi phục sau thảm họa để đảm bảo dữ liệu có thể được khôi phục nhanh chóng khi cần thiết. Với phần mềm sao lưu và khôi phục sau thảm họa đáng tin cậy cùng các quy trình làm việc đã được kiểm thử, một nhà cung cấp dịch vụ quản lý (MSP) có thể nâng cao đáng kể khả năng phục hồi tổng thể.

Triển khai hệ thống phát hiện và ứng phó mối đe dọa liên tục

Hệ thống phát hiện và ứng phó mối đe dọa liên tục cho phép các MSP xác định và ngăn chặn một cuộc tấn công mạng đang diễn ra, lý tưởng nhất là trước khi nó leo thang thành sự cố chuỗi cung ứng ảnh hưởng đến nhiều khách hàng.

Cấu hình hệ thống phát hiện và ứng phó được quản lý (MDR) để giảm thiểu thời gian kẻ tấn công có thể ẩn náu trong mạng mà không bị phát hiện. Các hệ thống phản ứng truyền thống có thể mất vài ngày hoặc vài tuần để phát hiện một vụ vi phạm, trong khi các hệ thống phát hiện và ứng phó mối đe dọa liên tục có thể rút ngắn thời gian này xuống còn vài phút. Hướng đến các chỉ số tham chiếu sau:

• Thời gian trung bình để phát hiện (MTTD): Vài phút
• Thời gian trung bình để phản ứng (MTTR): Dưới 90 phút

Cấu hình các kịch bản phản ứng tự động để khi phát hiện hành vi nguy hiểm (ví dụ: hoạt động ghi đĩa cường độ cao có thể cho thấy việc mã hóa tệp hoặc các hoạt động phá hoại khác), hệ thống có thể:

• Cách ly máy chủ bị nhiễm khỏi mạng
• Vô hiệu hóa tài khoản người dùng bị xâm phạm
• Chặn các địa chỉ IP độc hại trong tường lửa

Duy trì quản lý danh tính và quyền truy cập mạnh mẽ

Danh tính — người dùng và thông tin đăng nhập của họ — tạo thành một vành đai bảo mật thiết yếu, đóng vai trò là tuyến phòng thủ quan trọng. Theo Báo cáo điều tra về các vụ rò rỉ dữ liệu của Verizon, phần lớn các vụ vi phạm liên quan đến thông tin đăng nhập bị đánh cắp hoặc yếu, đó là lý do tại sao việc đưa quản lý danh tính vào chiến lược bảo mật của MSP là rất quan trọng. Quản lý danh tính và quyền truy cập (IAM) mạnh mẽ giúp chống lại trực tiếp hành vi đánh cắp thông tin đăng nhập, một trong những phương thức tấn công chính trong các cuộc tấn công chuỗi cung ứng.

• Sử dụng mật khẩu mạnh đáp ứng các yêu cầu về độ phức tạp (độ dài, sự đa dạng của ký tự, tính duy nhất) để giảm thiểu rủi ro từ các cuộc tấn công brute-force và tấn công từ điển.
• Cấu hình hệ thống IAM để phân tích bối cảnh của mỗi lần đăng nhập (vị trí, thời gian trong ngày, thông tin thiết bị) và áp dụng các quy tắc chặn khi các thông số có vẻ bất thường hoặc đáng ngờ.
• Xem xét việc sử dụng quyền truy cập theo nhu cầu (JIT), trong đó quyền truy cập có đặc quyền cao được cấp trong một khoảng thời gian cụ thể, chẳng hạn như trong khung thời gian bảo trì máy chủ đã lên lịch.
• Cấu hình IAM để quản lý toàn bộ vòng đời của từng danh tính, từ khi gia nhập đến khi rời đi.

Xây dựng và kiểm thử kế hoạch ứng phó sự cố

Trong một cuộc tấn công chuỗi cung ứng nhắm vào nhà cung cấp dịch vụ quản lý (MSP), thời gian là yếu tố then chốt. Một kế hoạch ứng phó sự cố cung cấp các quy trình rõ ràng, từng bước để thực hiện trong tình huống áp lực, thay thế sự bối rối bằng hành động có tổ chức. Kế hoạch này nên bao gồm các hướng dẫn chi tiết cho các tình huống cụ thể, chẳng hạn như việc đánh cắp thông tin đăng nhập, một cuộc tấn công ransomware hoặc sự xâm nhập vào hệ thống RMM.

Kế hoạch cần xác định cách cách ly các hệ thống bị xâm nhập và ngăn chặn sự di chuyển ngang của phần mềm độc hại do kẻ tấn công phát tán. Các vai trò và quy trình rõ ràng cũng giúp giảm thiểu thời gian ngừng hoạt động bằng cách loại bỏ sự bối rối trong quá trình xử lý sự cố đang diễn ra. Việc kiểm tra kế hoạch là điều thiết yếu vì chỉ có các bài tập thực tế mới có thể xác nhận liệu kế hoạch có hoạt động hiệu quả trong thực tế hay không.

Các thực hành tốt nhất đang nổi lên trong lĩnh vực an ninh mạng của MSP

Ngoài danh sách kiểm tra cơ bản, các MSP nên xem xét áp dụng các thực hành mới nổi này để củng cố tư thế an ninh tổng thể của mình.

Kiến trúc Zero-Trust

Kiến trúc Zero-Trust hoạt động dựa trên nguyên tắc ““không bao giờ tin tưởng, luôn xác minh”.” Không có thiết bị, người dùng hay ứng dụng nào được tin tưởng mặc định, bất kể chúng nằm bên trong hay bên ngoài ranh giới mạng. Đối với các nhà cung cấp dịch vụ quản lý (MSP), khung kiến trúc này giúp giảm thiểu rủi ro từ các cuộc tấn công chuỗi cung ứng và hạn chế thiệt hại do thông tin đăng nhập bị đánh cắp.

Kiến trúc Zero-Trust yêu cầu quá trình xác thực chi tiết và liên tục ngay cả sau khi người dùng đã được xác thực và kết nối. Phương pháp này giới hạn quyền truy cập chỉ vào các tài nguyên cụ thể cần thiết cho từng phiên làm việc, ngay cả khi kẻ tấn công chiếm được thông tin đăng nhập VPN hoặc mật khẩu của quản trị viên. Kết hợp với phân đoạn vi mô (micro-segmentation), kiến trúc Zero-Trust hạn chế khả năng di chuyển ngang trong trường hợp xảy ra vi phạm.

Phát hiện mối đe dọa và tự động hóa dựa trên trí tuệ nhân tạo (AI)

Các hệ thống trí tuệ nhân tạo (AI) và học máy (ML) có thể phân tích khối lượng lớn dữ liệu bảo mật trên nhiều môi trường khách hàng và phản ứng với các mối đe dọa nhanh hơn so với các quy trình thủ công. Đối với các nhà cung cấp dịch vụ quản lý (MSP) quản lý danh mục khách hàng đa dạng, các công cụ dựa trên AI giúp nâng cao tốc độ, độ chính xác và quy mô của các hoạt động bảo mật.

Phát hiện dựa trên AI tập trung vào phân tích hành vi, giúp xác định các mối đe dọa chưa từng được biết đến trước đây, bao gồm cả những mối đe dọa khai thác lỗ hổng zero-day. Các công cụ này cũng giúp giảm số lượng các trường hợp phát hiện dương tính giả, cho phép các quản trị viên tập trung vào các mối đe dọa thực sự và các nhiệm vụ quan trọng khác.

Bảo hiểm an ninh mạng và sự sẵn sàng tuân thủ

Bảo hiểm an ninh mạng và việc tuân thủ các quy định giúp các nhà cung cấp dịch vụ quản lý (MSP) quản lý các rủi ro tài chính và pháp lý phát sinh sau một cuộc tấn công mạng. Ngay cả khi các biện pháp phòng ngừa thất bại, bảo hiểm có thể bù đắp chi phí khắc phục, và sự sẵn sàng tuân thủ có thể ngăn chặn các khoản phạt bổ sung.

Bảo hiểm mạng là công cụ quản lý rủi ro tài chính được thiết kế để giảm thiểu chi phí do vi phạm dữ liệu và tống tiền mạng gây ra. Phạm vi bảo hiểm thường bao gồm các chi phí trực tiếp (phản ứng sự cố, phí pháp lý và thông báo) cũng như gián đoạn hoạt động kinh doanh (mất doanh thu, khôi phục hệ thống).

Về mặt tuân thủ, các MSP phải đáp ứng các yêu cầu quy định như GDPR, HIPAA và PCI DSS. Cả hệ thống nội bộ của MSP lẫn môi trường của khách hàng đều phải tuân thủ các quy định áp dụng. Ngoài ra, nhiều khách hàng yêu cầu các cam kết hợp đồng tuân thủ về các khung bảo mật cụ thể (như SOC 2 hoặc ISO 27001) làm điều kiện của hợp đồng dịch vụ.

Bảo mật chuỗi cung ứng và quản lý rủi ro nhà cung cấp

Các MSP phải chủ động bảo vệ toàn bộ hệ sinh thái phần mềm và dịch vụ mà họ phụ thuộc vào. Đối với một MSP, chuỗi cung ứng bao gồm:

• Các nền tảng RMM và PSA
• Phần mềm sao lưu và chống vi-rút
• Các nhà cung cấp dịch vụ đám mây (AWS, Azure, v.v.)
• Các nhà cung cấp bên thứ ba và nhà thầu phụ

Một lỗ hổng trong bất kỳ thành phần nào trong số này đều có thể trở thành điểm xâm nhập để kẻ tấn công làm tổn hại đến MSP và khách hàng của họ. Trước khi tích hợp một công cụ mới, MSP nên:

• Đánh giá tình hình bảo mật và thành tích của nhà cung cấp
• Xác minh tính toàn vẹn của chuỗi cung ứng phần mềm
• Tiến hành đánh giá nhà cung cấp định kỳ, theo dõi thông tin tình báo về mối đe dọa và duy trì chiến lược rút lui

Kết luận

An ninh mạng của MSP đòi hỏi sự quan tâm liên tục vì rủi ro không chỉ ảnh hưởng đến nhà cung cấp mà còn lan rộng đến mọi khách hàng trong danh mục của họ. Hiểu rõ các mối đe dọa phổ biến và chiến lược tấn công là bước đầu tiên để xây dựng hệ thống phòng thủ hiệu quả. Các nhà cung cấp dịch vụ quản lý (MSP) kết hợp các biện pháp phòng ngừa, giám sát liên tục cùng chiến lược bảo vệ dữ liệu vững chắc kèm theo sao lưu và khôi phục thảm họa sẽ có vị thế tốt nhất để bảo vệ hạ tầng của mình cũng như các khách hàng phụ thuộc vào họ.

Hãy dùng thử miễn phí giải pháp của NAKIVO để triển khai các dịch vụ BaaS và DRaaS

Hãy tải về phiên bản dùng thử miễn phí trong 15 ngày của NAKIVO dành cho các nhà cung cấp dịch vụ quản lý (MSP) để cung cấp các dịch vụ BaaS, DRaaS và các dịch vụ bảo vệ dữ liệu khác.

TẢI XUỐNG BẢN DÙNG THỬ MIỄN PHÍ