Bảo mật thiết bị đầu cuối (Endpoint Security) khi làm việc từ xa

Bảo mật thiết bị đầu cuối (endpoint security) là tập hợp công cụ và chính sách bảo vệ mọi thiết bị kết nối vào dữ liệu doanh nghiệp: laptop, máy bàn, điện thoại, máy tính bảng và cả máy chủ. Khi nhân viên làm việc từ nhà, quán cà phê hay khi đi công tác, chiếc laptop trở thành "văn phòng" thu nhỏ, nằm ngoài tường lửa công ty. Bảo vệ được thiết bị này là bảo vệ được phần lớn cửa ngõ mà kẻ tấn công hay chọn.

Làm việc từ xa đã thay đổi bức tranh rủi ro ra sao

Trước đây, mô hình bảo mật dựa trên vành đai: máy tính nằm trong mạng nội bộ, đi ra Internet qua tường lửa và proxy của công ty. Làm việc từ xa phá vỡ vành đai đó. Thiết bị kết nối qua Wi-Fi gia đình với router cũ chưa cập nhật, qua mạng công cộng, đôi khi dùng chung với người thân. Dữ liệu công việc nằm cạnh ứng dụng giải trí, phần mềm tải về từ nguồn không rõ.

Kết quả là đội IT mất khả năng quan sát. Họ không biết máy nào đã cập nhật bản vá, máy nào đang có tiến trình lạ, máy nào vừa cắm USB không rõ nguồn gốc. Endpoint security hiện đại ra đời để lấy lại khả năng quan sát và kiểm soát đó, bất kể thiết bị đang ở đâu.

Các lớp công nghệ cần biết

EPP: lớp phòng ngừa

Endpoint Protection Platform là thế hệ tiếp theo của phần mềm diệt virus. Ngoài nhận diện mẫu mã độc đã biết, EPP dùng phân tích hành vi và học máy để chặn tệp đáng ngờ, kiểm soát ứng dụng được phép chạy, chặn thiết bị ngoại vi và quản lý tường lửa trên máy.

EDR: lớp phát hiện và phản ứng

Endpoint Detection and Response ghi nhận liên tục hoạt động trên thiết bị như tiến trình, kết nối mạng, thay đổi registry, rồi phân tích để phát hiện chuỗi hành vi tấn công. Khi có sự cố, EDR cho phép cô lập máy khỏi mạng, dừng tiến trình, thu thập bằng chứng từ xa. Đây là năng lực đặc biệt quan trọng khi không thể mang máy về văn phòng ngay.

XDR và MDR

XDR mở rộng EDR bằng cách tương quan dữ liệu từ email, mạng, danh tính và đám mây. MDR là dịch vụ do đối tác vận hành, có người giám sát cảnh báo suốt ngày đêm. Doanh nghiệp không có đội an ninh riêng thường chọn MDR thay vì tự mua EDR mà không ai theo dõi.

MDM/UEM: lớp quản lý thiết bị

Mobile Device Management hay Unified Endpoint Management giúp đăng ký thiết bị, áp chính sách cấu hình (mã hóa ổ đĩa, khóa màn hình, phiên bản hệ điều hành tối thiểu), phân phối ứng dụng và xóa dữ liệu từ xa khi thiết bị bị mất.

Chính sách tối thiểu cho thiết bị làm việc từ xa

Công cụ chỉ phát huy khi đi kèm chính sách rõ ràng. Một bộ tiêu chuẩn tối thiểu nên gồm:

• Mã hóa toàn bộ ổ đĩa bằng BitLocker trên Windows hoặc FileVault trên macOS, khóa khôi phục được lưu tập trung.
• Cập nhật tự động cho hệ điều hành, trình duyệt và ứng dụng văn phòng, có hạn chót cài bản vá bảo mật nghiêm trọng.
• Không dùng quyền quản trị cho tài khoản làm việc hằng ngày; cài phần mềm qua cổng ứng dụng được duyệt.
• Khóa màn hình tự động sau vài phút không dùng.
• Xác thực đa yếu tố cho email, VPN, hệ thống nội bộ.
• Sao lưu dữ liệu công việc lên kho lưu trữ của công ty thay vì chỉ để trên máy.

Kiểm soát truy cập dựa trên trạng thái thiết bị

Một bước tiến quan trọng là gắn quyền truy cập với "sức khỏe" của thiết bị. Thay vì chỉ kiểm tra mật khẩu, hệ thống danh tính kiểm tra thêm: máy có được công ty quản lý không, đã mã hóa chưa, EDR có đang chạy không, hệ điều hành có đủ mới không. Thiết bị không đạt chuẩn chỉ được truy cập hạn chế, ví dụ đọc email trên web nhưng không tải được tệp đính kèm. Đây chính là tinh thần "không tin mặc định" của mô hình Zero Trust, và nó thay thế dần vai trò của VPN truyền thống.

Điện thoại di động: điểm mù thường bị bỏ quên

Nhân viên đọc email, duyệt chứng từ, nhận mã xác thực trên điện thoại. Thế nhưng nhiều doanh nghiệp chỉ đầu tư bảo vệ laptop. Điện thoại có rủi ro riêng: ứng dụng giả mạo, tin nhắn chứa đường link độc hại, ứng dụng xin quyền trợ năng để chiếm điều khiển máy. Các chiêu lừa đảo nhắm vào điện thoại Android là ví dụ cho thấy kẻ gian đang chuyển hướng mạnh sang thiết bị di động.

Với điện thoại, giải pháp thường là quản lý ứng dụng (MAM) thay vì quản lý toàn bộ máy: dữ liệu công việc nằm trong vùng chứa riêng, có thể xóa mà không ảnh hưởng ảnh và tin nhắn cá nhân. Cách này dễ được nhân viên chấp nhận hơn khi họ dùng máy riêng.

Con người vẫn là lớp bảo vệ cuối

Không công cụ nào chặn được hoàn toàn việc nhân viên tự nhập mật khẩu vào trang giả hay cho người lạ điều khiển máy từ xa qua cuộc gọi "hỗ trợ kỹ thuật". Đào tạo định kỳ, kèm bài tập mô phỏng, giúp nhân viên làm việc từ xa có phản xạ đúng. Nội dung chi tiết có trong bài đào tạo nhân viên nhận biết lừa đảo.

Cũng cần một kênh báo cáo đơn giản. Nhân viên thấy máy chạy chậm bất thường, nhận cuộc gọi đáng ngờ hay lỡ bấm vào link lạ phải biết báo cho ai, và không bị trách phạt khi báo sớm. Phản ứng trong vài phút đầu thường quyết định sự cố dừng ở một máy hay lan ra cả hệ thống.

Triển khai từng bước cho doanh nghiệp vừa và nhỏ

1. Kiểm kê toàn bộ thiết bị đang truy cập dữ liệu công ty, kể cả máy cá nhân.
2. Đăng ký thiết bị vào hệ thống quản lý, áp chính sách mã hóa và cập nhật.
3. Triển khai EPP/EDR trên mọi máy tính, ưu tiên máy của bộ phận kế toán, nhân sự, quản trị.
4. Bật xác thực đa yếu tố và truy cập có điều kiện theo trạng thái thiết bị.
5. Quyết định ai giám sát cảnh báo: đội nội bộ hay dịch vụ MDR.
6. Viết và diễn tập kịch bản xử lý khi thiết bị bị mất hoặc bị nhiễm mã độc.

Làm việc từ xa đã trở thành một phần bình thường của nhiều doanh nghiệp. Khi văn phòng có thể là bất cứ đâu, thiết bị đầu cuối chính là tuyến phòng thủ đầu tiên, và cần được đầu tư tương xứng.