Khi hạ tầng trực tuyến của doanh nghiệp ngày càng phức tạp — từ việc phân tán đến việc ứng dụng đám mây, thiết bị di động và Internet vạn vật (IoT) — quản lý bản vá càng tốn thời gian và nguồn lực hơn.
Tuy nhiên, trì hoãn việc áp dụng bản vá có thể rất rủi ro. Năm 2019, 60% các vụ xâm nhập là do chưa áp dụng bản vá bảo mật. Rò rỉ dữ liệu có thể gây thiệt hại tài chính hàng triệu đô la, chưa kể các khoản phạt nặng từ cơ quan chức năng.
Ngoài rò rỉ dữ liệu, còn có mối đe dọa từ ransomware và các chiến dịch tấn công có chủ đích lợi dụng lỗ hổng chưa được vá. Khi đại dịch Covid-19 buộc các tổ chức chuyển sang làm việc từ xa, nhu cầu vá lỗ hổng trong các công nghệ dùng cho mô hình này (như VPN) càng tăng. Năm 2020, lỗ hổng VPN CVE-2019-11510 đã có gần 800.000 lượt phát hiện dù còn tương đối mới.
Vì sao vá lỗi là thách thức với doanh nghiệp?
Dưới đây là một số thách thức các tổ chức gặp phải khi triển khai chính sách quản lý lỗ hổng và bản vá:
- Tính liên tục của hoạt động kinh doanh. Dù cập nhật thường xuyên là thói quen tốt, nhiều tổ chức thấy quá trình vá lỗi chậm, gây gián đoạn và tốn kém đến mức chọn trì hoãn (hoặc bỏ hẳn) để tránh gián đoạn vận hành.
- Số lượng lỗ hổng cần vá. Điều này đặc biệt đúng với các tổ chức liên tục nâng cấp hạ tầng CNTT, vì họ phải vá ngày càng nhiều lỗ hổng. Theo dữ liệu của Trend Micro, bao gồm đóng góp từ hơn 3.500 nhà nghiên cứu độc lập tham gia chương trình Zero Day Initiative (ZDI), số lỗ hổng được phát hiện và báo cáo tăng 40% từ năm 2019 đến 2020.
- Khả năng quan sát hạn chế. Hạ tầng trực tuyến càng lớn thì quy trình cập nhật càng phức tạp. Điều này càng khó khăn hơn khi hạ tầng CNTT bị phân mảnh, thường gồm nhiều phiên bản hệ điều hành hoặc ứng dụng khác nhau, đôi khi còn phân tán về mặt địa lý.
- Tần suất chu kỳ vá. Điều này khiến việc vá lỗi khó quản lý hiệu quả, nhất là khi khó xác định lỗ hổng nào liên quan hoặc nghiêm trọng nhất.
- Hệ thống cũ và hệ thống không thể vá. Bản vá có thể không còn được phát hành cho các hệ thống và ứng dụng đã hết vòng đời hoặc hết hỗ trợ, dù chúng vẫn đang vận hành các nghiệp vụ trọng yếu. Hệ thống nhúng, như trong máy bán hàng (POS), thiết bị IoT và hệ thống điều khiển công nghiệp, thường có phần mềm hoặc linh kiện không thể vá.
Điều gì xảy ra với hạ tầng CNTT không được vá?
Khi một lỗ hổng được công bố, báo cáo hoặc phát hiện, doanh nghiệp phải chạy đua với thời gian. Với tội phạm mạng và các tác nhân đe dọa, đó là cơ hội. Chẳng hạn, một tổ chức trung bình được cho là mất khoảng 69 ngày để vá một lỗ hổng nghiêm trọng trong ứng dụng. Các doanh nghiệp ở Anh mất trung bình 60 ngày mới xác định được mình đã bị xâm nhập.
Khoảng thời gian phơi nhiễm này khiến các hệ thống chưa vá dễ bị tấn công. Tháng 1/2020, các tác nhân đe dọa đã tấn công những máy chủ chưa vá để cài ransomware, đặt mạng của hơn 80.000 công ty vào tình trạng rủi ro.
Virtual patching giúp gì?
Virtual patching — hay che chắn lỗ hổng (vulnerability shielding) — là biện pháp an toàn trước các mối đe dọa khai thác lỗ hổng đã biết và chưa biết. Virtual patching hoạt động bằng cách triển khai các lớp chính sách và quy tắc bảo mật giúp ngăn chặn và đánh chặn hành vi khai thác đi theo đường mạng đến và từ lỗ hổng.
Một giải pháp virtual patching tốt cần có nhiều lớp. Gồm các khả năng kiểm tra và chặn hoạt động độc hại trong lưu lượng nghiệp vụ quan trọng; phát hiện và ngăn chặn xâm nhập; chống tấn công vào ứng dụng hướng ra web; và triển khai linh hoạt trên môi trường vật lý, ảo hóa hoặc đám mây.
Dưới đây là cách virtual patching bổ trợ cho các công nghệ bảo mật hiện có cũng như chính sách quản lý lỗ hổng và bản vá của tổ chức:
- Có thêm thời gian. Virtual patching cho đội bảo mật thời gian cần thiết để đánh giá lỗ hổng, kiểm thử và áp dụng bản vá chính thức. Với ứng dụng nội bộ, virtual patching cho lập trình viên thời gian sửa lỗi trong mã.
- Tránh gián đoạn không cần thiết. Virtual patching cho doanh nghiệp tự do hơn trong việc thực thi chính sách quản lý bản vá theo lịch của mình. Điều này giảm nguy cơ mất doanh thu do gián đoạn hoạt động ngoài kế hoạch hoặc không cần thiết.
- Cải thiện tuân thủ quy định. Virtual patching giúp tổ chức đáp ứng yêu cầu về thời hạn, như các yêu cầu của Quy định chung về bảo vệ dữ liệu của EU (GDPR) và tiêu chuẩn ngành thẻ thanh toán (PCI).
- Thêm một lớp bảo mật. Virtual patching cung cấp biện pháp kiểm soát bảo mật cho những thành phần trong hạ tầng CNTT không còn được phát hành bản vá (ví dụ hệ thống cũ và hệ điều hành hết hỗ trợ như Windows Server 2008) hoặc có chi phí vá quá cao.
- Linh hoạt. Virtual patching giảm nhu cầu triển khai giải pháp tạm thời hoặc bản vá khẩn cấp. Chẳng hạn, nó giúp việc xác định những điểm cụ thể trong mạng cần vá (hoặc bản vá có cần áp dụng cho mọi hệ thống không) trở nên dễ dàng hơn.
