Mạng của bạn đã bị hack: làm quen với nó

Vào thứ ba thứ hai hàng tháng, "Bản vá thứ ba", Microsoft đưa ra các bản vá cho các lỗi và lỗ hổng bảo mật trong Windows và trong các ứng dụng của Microsoft. Hầu hết các vấn đề được giải quyết bao gồm các lỗ hổng bảo mật nghiêm trọng, lỗi lập trình có thể cho phép tin tặc xâm nhập bảo mật mạng, đánh cắp thông tin hoặc chạy mã tùy ý. Adobe, Oracle và các nhà cung cấp khác có lịch trình vá lỗi riêng. Một nghiên cứu mới đáng báo động của NSS Labs cho thấy, trung bình, tin tặc có khoảng năm tháng truy cập không bị kiểm soát vào các lỗ hổng bảo mật này giữa phát hiện ban đầu và khắc phục. Tồi tệ hơn, các thị trường chuyên biệt tồn tại để bán các lỗ hổng mới được phát hiện.

Tiến sĩ Stefan Frei, Giám đốc nghiên cứu tại NSS Labs, đã giám sát một nghiên cứu với hơn mười năm dữ liệu từ hai "chương trình mua lỗ hổng" chính. Báo cáo của Frei chỉ ra rằng tất cả các số liệu kết quả là tối thiểu; rõ ràng có nhiều hơn nữa đang diễn ra mà họ chỉ đơn giản là không biết về. Dựa trên những gì họ biết, thị trường thông tin về khai thác đã tăng trưởng đáng kể trong vài năm qua. Mười năm trước, hai công ty được nghiên cứu chỉ có một số lỗ hổng không được tiết lộ vào bất kỳ ngày nào. Trong vài năm qua, con số đó đã tăng lên hơn 150, hơn 50 trong số đó liên quan đến năm nhà cung cấp hàng đầu: Microsoft, Apple, Oracle, Sun và Adobe.

Khai thác để bán, giá rẻ

Stuxnet và các cuộc tấn công khác ở cấp quốc gia dựa vào nhiều lỗ hổng bảo mật không được tiết lộ để xâm nhập an ninh. Người ta cho rằng những người sáng tạo của họ trả cổ tức rất lớn để có quyền truy cập độc quyền vào các lỗ hổng zero-day này. NSA đã ngân sách 25 triệu đô la để mua khai thác trong năm 2013. Nghiên cứu của Frei tiết lộ rằng giá bây giờ thấp hơn nhiều; vẫn còn cao, nhưng trong tầm tay của các tổ chức tội phạm mạng.

Frei trích dẫn một bài báo của New York Times đã kiểm tra bốn nhà cung cấp khai thác cửa hàng. Giá trung bình của họ cho kiến ​​thức về một lỗ hổng chưa được tiết lộ dao động trong khoảng từ 40.000 đến 160.000 đô la. Dựa trên thông tin thu được từ các nhà cung cấp đó, ông kết luận rằng họ có thể cung cấp ít nhất 100 khai thác độc quyền mỗi năm.

Các nhà cung cấp chống lại

Một số nhà cung cấp phần mềm cung cấp tiền thưởng lỗi, tạo ra một loại chương trình nghiên cứu cộng đồng. Một nhà nghiên cứu phát hiện ra lỗ hổng bảo mật chưa biết trước đây có thể nhận được phần thưởng hợp pháp trực tiếp từ nhà cung cấp. Điều đó chắc chắn an toàn hơn so với việc đối phó với kẻ lừa đảo trên mạng hoặc với những kẻ bán cho kẻ lừa đảo trên mạng.

Tiền thưởng lỗi điển hình từ hàng trăm đến hàng ngàn đô la. "Bounty Bypass Bounty" của Microsoft trả 100.000 đô la, nhưng đó không phải là một lỗi tiền thưởng đơn giản. Để kiếm được nó, một nhà nghiên cứu phải khám phá một "kỹ thuật khai thác thực sự mới lạ" có thể lật đổ phiên bản Windows mới nhất.

Bạn đã bị hack

Tiền thưởng lỗi là tốt, nhưng sẽ luôn có những người nhận phần thưởng lớn hơn được cung cấp bởi các nhà cung cấp khai thác cửa hàng và tội phạm mạng. Báo cáo kết luận rằng bất kỳ doanh nghiệp hoặc tổ chức lớn nào cũng nên cho rằng mạng của mình đã bị hack. Chặn hoặc thậm chí phát hiện cuộc tấn công zero-day là khó khăn, vì vậy đội an ninh nên lập kế hoạch cho điều tồi tệ nhất với kế hoạch ứng phó sự cố được xác định rõ.

Còn doanh nghiệp nhỏ và mạng cá nhân thì sao? Báo cáo không nói về họ, nhưng tôi cho rằng ai đó đã trả 40.000 đô la trở lên để truy cập vào khai thác sẽ nhắm mục tiêu lớn nhất có thể.

Bạn có thể đọc báo cáo đầy đủ trên trang web của NSS Labs.