Cách phòng chống Ransomware hiệu quả cho hệ thống máy chủ

Phòng chống ransomware hiệu quả cho hệ thống máy chủ dựa trên ba trụ cột: khiến kẻ tấn công khó vào, khó lan rộng và nếu chúng vẫn mã hóa được dữ liệu thì doanh nghiệp vẫn khôi phục được mà không cần trả tiền chuộc. Máy chủ là nơi chứa cơ sở dữ liệu, file dùng chung, hệ thống kế toán, ERP, nên khi bị mã hóa, cả công ty có thể ngừng hoạt động. Bài viết tập trung vào những biện pháp phòng thủ có tác động thực tế nhất.

Ransomware ngày nay hoạt động như thế nào

Ransomware hiện đại hiếm khi là một tệp độc lập tự lây lan. Phần lớn các vụ nghiêm trọng là chiến dịch có người điều khiển, diễn ra theo nhiều giai đoạn: xâm nhập ban đầu qua email lừa đảo, dịch vụ truy cập từ xa lộ ra Internet hoặc lỗ hổng chưa vá; leo thang lên quyền quản trị; di chuyển ngang tới máy chủ quan trọng; đánh cắp dữ liệu; vô hiệu hóa sao lưu; cuối cùng mới mã hóa. Nhiều nhóm còn áp dụng tống tiền kép: vừa đòi tiền giải mã, vừa đe dọa công bố dữ liệu đã lấy.

Điều này có ý nghĩa quan trọng: mã hóa là bước cuối, thường diễn ra sau khi kẻ tấn công đã ở trong hệ thống nhiều ngày. Doanh nghiệp có nhiều cơ hội phát hiện và chặn chúng trước đó nếu có đủ khả năng quan sát.

Thu hẹp cửa vào

Không để dịch vụ quản trị lộ ra Internet

Remote Desktop, SSH, giao diện quản trị máy ảo hay thiết bị mạng mở trực tiếp ra Internet là cửa vào phổ biến. Hãy đặt chúng sau VPN hoặc cổng truy cập có xác thực đa yếu tố, giới hạn theo IP nguồn và tắt hoàn toàn nếu không dùng. Định kỳ quét từ bên ngoài để biết thực sự đang có cổng nào mở.

Vá lỗi có ưu tiên

Không thể vá mọi thứ ngay lập tức, nhưng cần ưu tiên: thiết bị biên như VPN, tường lửa, máy chủ email, ứng dụng web công khai và các lỗ hổng đã bị khai thác thực tế. Hệ điều hành hết hỗ trợ là rủi ro đặc biệt lớn; câu chuyện về rủi ro khi vẫn chạy hệ điều hành đã hết hỗ trợ vẫn còn nguyên tính thời sự với nhiều máy chủ cũ trong doanh nghiệp.

Chặn email độc hại

Lọc tệp đính kèm thực thi và macro, kiểm tra đường link, áp dụng SPF, DKIM, DMARC cho tên miền. Kết hợp với đào tạo người dùng, như phân tích trong bài cách đào tạo nhân viên phòng tránh lừa đảo.

Bảo vệ tài khoản quản trị: chìa khóa của mọi chiến dịch

Kẻ tấn công cần quyền quản trị miền (Domain Admin) hoặc quyền root để triển khai ransomware trên diện rộng. Bảo vệ những tài khoản này là biện pháp có hiệu quả cao nhất:

• Tách tài khoản quản trị khỏi tài khoản dùng hằng ngày; không đọc email hay lướt web bằng tài khoản quản trị.
• Bắt buộc xác thực đa yếu tố cho mọi truy cập quản trị.
• Dùng máy trạm quản trị riêng (PAW) hoặc máy nhảy được kiểm soát chặt.
• Mật khẩu tài khoản quản trị cục bộ khác nhau trên từng máy, ví dụ dùng Windows LAPS.
• Giảm số lượng tài khoản đặc quyền, rà soát định kỳ, xóa tài khoản dịch vụ không dùng.
• Ghi log và cảnh báo khi có đăng nhập đặc quyền bất thường.

Ngăn lây lan bên trong mạng

Mạng phẳng, nơi mọi máy nói chuyện được với mọi máy, giúp ransomware lan nhanh. Phân đoạn mạng tách máy chủ khỏi máy trạm, tách hệ thống sao lưu, tách môi trường quản trị. Trên máy chủ, chỉ mở những cổng cần thiết; tắt SMBv1 và các giao thức cũ. Kiểm soát ứng dụng (application allowlisting) trên máy chủ ổn định là biện pháp hiệu quả vì máy chủ hiếm khi cần cài phần mềm mới.

Triển khai EDR trên máy chủ và máy trạm giúp phát hiện hành vi đặc trưng như xóa bản sao bóng (shadow copy), mã hóa hàng loạt tệp, công cụ đánh cắp thông tin đăng nhập. Cần có người theo dõi cảnh báo, kể cả ngoài giờ, vì nhiều vụ mã hóa được chọn chạy vào đêm hoặc cuối tuần. Đây là lý do nhiều doanh nghiệp dựa vào trung tâm giám sát an ninh SOC.

Sao lưu: tuyến phòng thủ cuối cùng

Nếu mọi lớp khác thất bại, sao lưu quyết định doanh nghiệp mất vài giờ hay vài tuần. Nguyên tắc 3-2-1 vẫn là nền tảng: ít nhất ba bản dữ liệu, trên hai loại phương tiện, một bản ở ngoài cơ sở. Với ransomware, cần bổ sung:

• Một bản bất biến hoặc ngoại tuyến: lưu trữ đối tượng có khóa không cho xóa trong thời gian quy định, băng từ tách khỏi hệ thống, hoặc kho sao lưu đám mây có tài khoản riêng.
• Hệ thống sao lưu không dùng chung danh tính với miền chính: nếu Domain Admin bị chiếm, kẻ tấn công không thể đăng nhập vào máy chủ sao lưu.
• Kiểm thử khôi phục thực tế: đo thời gian khôi phục một máy chủ, một cơ sở dữ liệu, cả hệ thống. Nhiều doanh nghiệp chỉ phát hiện sao lưu hỏng khi cần dùng.
• Sao lưu cấu hình: Active Directory, cấu hình tường lửa, máy ảo hóa, không chỉ dữ liệu.

Với doanh nghiệp đã dùng đám mây, có thể kết hợp sao lưu với kế hoạch dự phòng rộng hơn, xem thêm bài khôi phục sau thảm họa với giải pháp Cloud.

Khi sự cố xảy ra: những giờ đầu tiên

1. Cô lập: ngắt máy bị ảnh hưởng khỏi mạng nhưng không tắt nguồn vội, vì bộ nhớ có thể chứa bằng chứng.
2. Kích hoạt đội ứng cứu: IT, lãnh đạo, pháp chế, truyền thông và đối tác ứng cứu sự cố nếu có.
3. Xác định phạm vi: máy nào bị mã hóa, tài khoản nào bị chiếm, dữ liệu có bị đánh cắp không.
4. Bảo vệ sao lưu: kiểm tra ngay tính toàn vẹn, ngắt kết nối nếu cần.
5. Đổi thông tin đăng nhập: ưu tiên tài khoản đặc quyền, tài khoản dịch vụ.
6. Khôi phục từ nguồn sạch: không khôi phục lên hệ thống chưa loại bỏ được kẻ tấn công.
7. Thông báo: cơ quan chức năng, khách hàng, đối tác theo yêu cầu pháp lý và hợp đồng.

Kịch bản này cần được viết ra và diễn tập trước. Trong lúc khủng hoảng, không ai có thời gian tìm số điện thoại nhà cung cấp hay quyết định ai có quyền ngắt hệ thống.

Danh sách kiểm tra nhanh

• Không có cổng quản trị nào mở trực tiếp ra Internet.
• Mọi tài khoản đặc quyền có xác thực đa yếu tố.
• Máy chủ đã vá lỗ hổng nghiêm trọng, không còn hệ điều hành hết hỗ trợ ở vùng quan trọng.
• EDR chạy trên máy chủ và có người theo dõi cảnh báo.
• Có ít nhất một bản sao lưu bất biến hoặc ngoại tuyến, đã kiểm thử khôi phục trong quý gần nhất.
• Kịch bản phản ứng sự cố được in ra giấy và diễn tập.

Ransomware là mối đe dọa kinh doanh chứ không chỉ là vấn đề kỹ thuật. Khi lãnh đạo hiểu rằng câu hỏi không phải "có bị tấn công không" mà là "khôi phục được trong bao lâu", việc đầu tư cho các biện pháp trên sẽ dễ được ưu tiên hơn.