Bảo vệ Thiết bị

Mục tiêu Học tập 4.1.A: Xác định các loại thiết bị tính toán.

• 4.1.A.1 Máy chủ máy tính là các thiết bị cung cấp một hoặc nhiều dịch vụ cho các máy tính khác (ví dụ: DNS, DHCP, FTP). Bất kỳ máy tính nào cũng có thể là máy chủ, và trong môi trường doanh nghiệp, máy chủ thường có sức mạnh xử lý và dung lượng lưu trữ lớn hơn so với máy tính cá nhân.
• 4.1.A.2 Máy tính cá nhân là các thiết bị được thiết kế để một người sử dụng cho mục đích làm việc hoặc giải trí (ví dụ: xử lý văn bản, thiết kế đồ họa, duyệt web, và sản xuất hoặc xem phương tiện). Bao gồm máy tính bàn, laptop và notebook.
• 4.1.A.3 Máy tính cầm tay (còn gọi là máy tính di động hoặc thiết bị thông tin) nhỏ hơn máy tính cá nhân và chạy bằng pin. Bao gồm máy tính bảng, điện thoại thông minh và công nghệ đeo như đồng hồ thông minh.
• 4.1.A.4 Máy tính nhúng là các thiết bị là một phần của một cỗ máy. Các thiết bị nhúng có các bộ lệnh đặc biệt để giao tiếp với các thành phần chuyên dụng của cỗ máy mà chúng được nhúng vào. Máy tính nhúng thường chậm hơn và rẻ hơn so với các máy tính khác và có dung lượng lưu trữ tối thiểu.
• 4.1.A.5 Các thiết bị hàng ngày có máy tính nhúng thường được gọi là thiết bị Internet of Things (IoT). Máy tính nhúng được tìm thấy trong giao thông vận tải (ví dụ: ô tô, tàu hỏa và máy bay), các thiết bị vận hành cơ sở hạ tầng quan trọng (ví dụ: vận hành cầu dao tại trạm biến áp và bơm tại nhà máy xử lý nước), thiết bị y tế (ví dụ: bơm truyền dịch, máy cộng hưởng từ MRI, máy tạo nhịp tim và bơm insulin), và các thiết bị hàng ngày như máy giặt, máy pha cà phê và bộ điều nhiệt.

Mục tiêu Học tập 4.1.B: Xác định loại mã độc được sử dụng trong cuộc tấn công an ninh mạng.

• 4.1.B.1 Mã độc (Malware) là phần mềm độc hại có thể gây hư hỏng hoặc phá hủy thiết bị hoặc mạng, hoặc cho phép kẻ thù truy cập vào thiết bị và dữ liệu trên thiết bị đó.
• 4.1.B.2 Mã độc thường được sử dụng như một công cụ để thực hiện một phần kế hoạch của kẻ thù nhằm đạt được mục tiêu cuối cùng của chúng. Có nhiều loại mã độc, chẳng hạn như:
  • Virus là mã độc phải được kích hoạt bởi người dùng thực thi hoặc mở một tệp.
  • Sâu (Worms) lây lan từ máy tính này sang máy tính khác mà không cần tương tác của con người.
  • Trojan là mã độc được nhúng trong phần mềm khác trông có vẻ vô hại. Trojan truy cập từ xa (RATs) cung cấp quyền truy cập từ xa cho kẻ thù vào hệ thống mục tiêu.
  • Ransomware mã hóa các tệp của thiết bị, ngăn người dùng truy cập vào các tệp trên thiết bị. Ransomware thường hiển thị màn hình yêu cầu tiền chuộc và hứa sẽ cung cấp khóa giải mã cho các tệp của người dùng nếu người dùng thanh toán trong một khoảng thời gian cố định.
  • Spyware theo dõi các hành động của người dùng trên máy tính và gửi thông tin trở lại cho kẻ thù.
  • Keylogger là phần mềm hoặc phần cứng ghi lại các phím bấm của người dùng và gửi thông tin trở lại cho kẻ thù. Kẻ thù thường có thể trích xuất tên đăng nhập và mật khẩu từ dữ liệu keylogger.
  • Bomb logic (Logic bombs) được cài đặt để kích hoạt tác dụng chỉ khi một tập hợp các điều kiện cụ thể được đáp ứng; các điều kiện có thể bao gồm thời gian và ngày tháng, loại hoặc phiên bản hệ điều hành cụ thể, bộ ký tự mà máy tính đang sử dụng, v.v.
  • Rootkit là mã độc tinh vi xâm nhập vào hệ điều hành của máy tính mục tiêu và có thể kiểm soát hầu hết mọi khía cạnh của hệ thống, bao gồm cả việc làm cho chính rootkit trở nên vô hình đối với việc phát hiện.
• 4.1.B.3 Mặc dù hầu hết mã độc là một tệp hoặc một tập hợp các tệp, nhưng mã độc không có tệp (fileless malware) là mã độc hại tồn tại trong RAM và sử dụng các chương trình hợp lệ đã được cài đặt sẵn trên thiết bị để làm giả mạo nó.

Mục tiêu Học tập 4.1.C: Giải thích cách kẻ thù có thể khai thác các lỗ hổng thiết bị phổ biến để gây ra thiệt hại, tổn thất, gián đoạn hoặc phá hủy.

• 4.1.C.1 Kẻ thù có thể phát triển các công cụ khai thác cho các lỗ hổng đã biết trong phần mềm (bao gồm cả hệ điều hành). Các thiết bị có phần mềm chưa được vá lỗi sẽ dễ bị tổn thương trước các công cụ này, cho phép kẻ thù làm sập hệ thống, xem xét hành vi của người dùng, bật hoặc tắt các dịch vụ hoặc thành phần khác nhau trên thiết bị (ví dụ: bật webcam hoặc micro), hoặc thậm chí chiếm quyền kiểm soát thiết bị để ra lệnh trộm cắp hoặc phá hủy thông tin trên thiết bị.
• 4.1.C.2 Kẻ thù có thể lợi dụng yêu cầu xác thực yếu bằng cách đoán mật khẩu của người dùng hoặc sử dụng kỹ thuật xã hội học để khiến người dùng tiết lộ mật khẩu của họ.
• 4.1.C.3 Khi hệ thống không có mật khẩu ở hệ thống nhập xuất cơ bản (BIOS) hoặc giao diện firmware mở rộng nhất quán (UEFI), kẻ thù có thể khởi động máy tính vào chế độ đặc biệt (ví dụ: "chế độ phục hồi") mang lại cho chúng quyền hạn cao hơn. Không có bảo vệ BIOS hay UEFI, kẻ thù có thể tải hệ điều hành riêng lên thiết bị từ ổ đĩa ngoài và sử dụng các công cụ chuyên dụng để thay đổi hoặc tạo hồ sơ người dùng, bao gồm thay đổi mật khẩu người dùng.
• 4.1.C.4 Kẻ thù có thể tải mã độc lên ổ đĩa ngoài, và nếu chức năng chạy tự động được bật, thì thiết bị sẽ chạy mã độc khi ổ đĩa ngoài được cắm vào.
• 4.1.C.5 Kẻ thù có thể tận dụng các cổng mở để kết nối với thiết bị.
• 4.1.C.6 Kẻ thù có thể gửi dữ liệu độc hại đến các thiết bị để làm gián đoạn chúng hoặc cố gắng chiếm quyền kiểm soát. Các thiết bị không có tường lửa (hoặc tường lửa được cấu hình sai) không thể lọc bỏ dữ liệu độc hại này.
• 4.1.C.7 Kẻ thù thường cố gắng cài đặt mã độc lên thiết bị để làm gián đoạn hoặc kiểm soát nó. Các thiết bị thiếu phần mềm chống mã độc sẽ dễ bị tổn thương hơn trước loại tấn công này.

Mục tiêu Học tập 4.1.D: Đánh giá và ghi chép các rủi ro từ các lỗ hổng thiết bị.

• 4.1.D.1 Rủi ro từ các lỗ hổng thiết bị có thể đến từ truy cập trái phép hoặc mã độc cho phép kẻ thù giả mạo một người dùng được ủy quyền, điều khiển từ xa một thiết bị, mã hóa ổ đĩa của thiết bị để đòi tiền chuộc dữ liệu, hoặc xóa bộ nhớ thiết bị, phá hủy dữ liệu hoặc khiến thiết bị không hoạt động. Mức độ rủi ro thay đổi tùy thuộc vào mức độ quan trọng của thiết bị, các dịch vụ mà thiết bị cung cấp hoặc dữ liệu mà nó lưu trữ.
• 4.1.D.2 Rủi ro cao từ các lỗ hổng thiết bị liên quan đến khả năng bị đánh cắp dữ liệu nhạy cảm hoặc các hoạt động then chốt.
  • Ví dụ minh họa cho 4.1.D.2:
    • Một tổ chức chưa cập nhật phiên bản mới nhất cho máy chủ email của mình, phiên bản đó bao gồm bản vá cho một lỗ hổng nghiêm trọng đã được biết đến.
• 4.1.D.3 Rủi ro trung bình từ các lỗ hổng thiết bị có thể nảy sinh từ các yêu cầu xác thực yếu hoặc từ các lỗ hổng ít có khả năng bị khai thác hơn.
  • Ví dụ minh họa cho 4.1.D.3:
    • Một nhà máy xử lý nước có các hệ thống nhúng điều khiển bơm. Các bơm có thể được truy cập từ xa qua tên người dùng và mật khẩu để quản lý từ xa cho nhà máy, nhưng các thiết bị không yêu cầu xác thực đa yếu tố (MFA).
• 4.1.D.4 Rủi ro thấp từ các lỗ hổng thiết bị thường liên quan đến các lỗ hổng mà nếu bị khai thác sẽ có ít tác động.
  • Ví dụ minh họa cho 4.1.D.4:
    • Laptop của nhân viên có cổng telnet 23 đang mở.

Mục tiêu Học tập 4.2.A: Giải thích tại sao các hàm băm (còn gọi là đầu ra hash, tổng kiểm tra, digest tin nhắn hoặc digest) được sử dụng để lưu mật khẩu.

• 4.2.A.1 Một hàm băm mã hóa (còn gọi là hàm digest tin nhắn) là một thuật toán toán học nhận dữ liệu nhị phân có độ dài tùy ý, xử lý theo một bộ chỉ thị và trả về một chuỗi nhị phân có độ dài cố định gọi là hash (hoặc tổng kiểm tra hoặc digest tin nhắn). Các hàm băm mã hóa nổi tiếng bao gồm:
  • MD5
  • SHA-1, SHA-256, SHA-512 (SHA viết tắt của Secure Hash Algorithm)
  • NTHash
  • RIPEMD-160
• 4.2.A.2 Một hash n-bit có $2^n$ đầu ra có thể. Số lượng đầu vào là vô hạn, vì vậy tất nhiên hai đầu vào khác nhau sẽ tạo ra cùng một hash. Điều này được gọi là va chạm.
• 4.2.A.3 Các hàm băm mã hóa có các tính chất sau đây:
  • Hashs kháng va chạm; khó để tìm thấy hai đầu vào khác nhau của cùng một hàm hash tạo ra cùng một đầu ra.
  • Hashs có tính kháng ảnh tượng trước; cho trước một hash, việc suy ra đầu vào đã tạo ra hash đó là không khả thi.
  • Hashs có tính lặp lại; cùng một đầu vào sẽ luôn tạo ra cùng một hash.
  • Hashs có độ dài cố định; độ dài bit của hash cho một hàm hash cụ thể là không đổi bất kể kích thước của đầu vào.
• 4.2.A.4 Kẻ thù cố gắng xâm phạm các hàm hash bằng cách ép buộc va chạm trong đầu ra của chúng. Nếu tồn tại một thuật toán hiệu quả để ép buộc va chạm cho một hàm hash cụ thể, thì hàm hash đó sẽ bị bãi bỏ (không còn được sử dụng trong các môi trường an toàn). MD5 và SHA1 là ví dụ về các hàm hash bị bãi bỏ.
• 4.2.A.5 Các dịch vụ xác thực dựa trên mật khẩu không nên lưu mật khẩu dưới dạng văn bản rõ, do đó nếu kẻ thù truy cập vào thư mục người dùng:mật khẩu, chúng sẽ không ngay lập tức biết mật khẩu của tất cả người dùng. Thay vào đó, mật khẩu người dùng nên được băm và hash được lưu trong cơ sở dữ liệu. Khi người dùng nhập mật khẩu của họ, nó được băm, và hash được so sánh với hash được lưu trên tập tin. Nếu các hash khớp nhau, thì người dùng được xác thực.
• 4.2.A.6 Nếu hai người dùng có cùng mật khẩu, thì các giá trị băm (hash) của mật khẩu sẽ giống nhau trong thư mục user:password. Để ngăn chặn điều này, một vài bit ngẫu nhiên (được gọi là muối/salt) được băm cùng với mật khẩu của người dùng để tạo ra giá trị băm. Muỗi của mỗi người dùng là duy nhất, vì vậy ngay cả khi hai người dùng có cùng mật khẩu, họ vẫn sẽ có giá trị băm mật khẩu khác nhau do có muối khác nhau.

Mục tiêu học tập 4.2.B: Giải thích cách các cuộc tấn công mật khẩu khai thác điểm yếu bảo mật.

• 4.2.B.1 Nếu kẻ thù có thể đánh cắp mật khẩu của một người dùng hợp lệ, và tổ chức của người dùng đó chưa bật xác thực đa yếu tố (MFA) hoặc các biện pháp bảo vệ xác thực khác, thì kẻ thù có thể hành động trong tổ chức đó với tất cả quyền truy cập và đặc quyền mà người dùng đó sở hữu.
• 4.2.B.2 Các cuộc tấn công mật khẩu có thể được phân loại thành trực tuyến (online) và ngoại tuyến (offline).
  • Các cuộc tấn công mật khẩu trực tuyến cố gắng thử nghiệm các kết hợp user:password trên giao diện xác thực đang hoạt động.
  • Các cuộc tấn công mật khẩu ngoại tuyến đã thu thập được cơ sở dữ liệu user:password và có thể chạy các cuộc tấn công mật khẩu đối với cơ sở dữ liệu này trên máy tính riêng của chúng. Phương pháp này bỏ qua bất kỳ biện pháp khóa tài khoản nào có thể đang được áp đặt.
• 4.2.B.3 Nhiều người dùng tái sử dụng cùng một mật khẩu (hoặc các biến thể của cùng một mật khẩu) cho tất cả các dịch vụ và tài khoản của mình, mặc dù có cảnh báo không nên làm như vậy. Khi cơ sở dữ liệu người dùng của một tổ chức bị trộm, tên đăng nhập, email và mật khẩu sẽ bị bán cho kẻ thù hoặc đăng lên mạng. Kẻ thù thường bắt đầu cố gắng xâm nhập vào tài khoản bằng cách thử các thông tin xác thực bị trộm hoặc bị rò rỉ cho một cá nhân cụ thể.
• 4.2.B.4 Nhiều người dùng đặt mật khẩu dễ bị đoán, và kẻ thù sẽ cố gắng đoán các mật khẩu phổ biến cho tài khoản của người dùng. Phun mật khẩu (Password spraying) là một cuộc tấn công trong đó kẻ thù thử một mật khẩu phổ biếnagainst nhiều tài khoản người dùng khác nhau.
• 4.2.B.5 Một số dịch vụ và thiết bị (ví dụ: bộ chuyển đổi, bộ định tuyến và thiết bị IoT) được cấu hình sẵn với người dùng quản trị và mật khẩu mặc định. Đổ độn thông tin xác thực (Credential stuffing) là một cuộc tấn công trong đó kẻ thù cố gắng truy cập các dịch vụ hoặc thiết bị này bằng cách sử dụng các thông tin xác thực mặc định phổ biến hoặc thông tin xác thực tài khoản đã bị trộm.
• 4.2.B.6 Các cuộc tấn công mật khẩu ngoại tuyến sử dụng các công cụ phá mã băm tự động để băm các mật khẩu khả dĩ và so sánh chúng với giá trị băm đã thu thập được. Mặc dù không thể đảo ngược giá trị băm, nhưng kẻ thù có thể sử dụng các công cụ này để băm nhiều mật khẩu tiềm năng và so sánh chúng với giá trị băm mục tiêu. Nếu kẻ thù tìm thấy một giá trị băm trùng khớp, họ có thể sử dụng mật khẩu tạo ra giá trị băm đó để đăng nhập vào tài khoản người dùng. Các cuộc tấn công ngoại tuyến bao gồm:
  • Các cuộc tấn công brute force, nơi kẻ thù sử dụng công cụ tự động để thử tất cả các mật khẩu tiềm năng mà người dùng có thể có
  • Các cuộc tấn công từ điển, nơi kẻ thù sử dụng công cụ tự động để thử một danh sách các mật khẩu phổ biến
• 4.2.B.7 Cuộc tấn công bảng cầu vồng (Rainbow table attack) sử dụng một danh sách các mật khẩu phổ biến để tạo ra một bảng cầu vồng. Bảng cầu vồng là một bảng chứa mỗi mật khẩu tiềm năng và giá trị băm tương ứng của nó. Bảng sau đó được sắp xếp theo các giá trị băm, và kẻ thù sử dụng công cụ tự động để tìm kiếm trong danh sách các giá trị băm để tìm giá trị băm đã thu thập được. Nếu các giá trị băm trùng khớp, thì kẻ thù đã tìm thấy một mật khẩu tạo ra cùng một giá trị băm, và mật khẩu đó sẽ cho phép kẻ thù đăng nhập vào tài khoản người dùng.

Mục tiêu học tập 4.2.C: Xác định loại xác thực được sử dụng để xác minh danh tính của người dùng.

• 4.2.C.1 Các cơ chế xác thực là các kiểm soát kỹ thuật nhằm xác minh danh tính của người dùng để đảm bảo chỉ những người dùng được ủy quyền mới truy cập hệ thống. Bằng chứng mà người dùng cung cấp để tự xác định danh tính được gọi là một yếu tố. Các yếu tố xác thực phổ biến bao gồm:
  • Những gì người dùng biết (yếu tố kiến thức)
  • Những gì người dùng có (yếu tố sở hữu)
  • Những gì người dùng là (yếu tố sinh trắc học)
  • Nơi người dùng ở (yếu tố vị trí)
• 4.2.C.2 Các yếu tố kiến thức có thể là mật khẩu, mã PIN hoặc câu trả lời cho các câu hỏi thách thức được chọn trước. Đối với một yếu tố kiến thức có hiệu quả, nó cần phải là thứ mà kẻ thù không thể dễ dàng đoán; tuy nhiên, các yếu tố kiến thức khó đoán đối với kẻ thù cũng có thể khó nhớ hơn đối với người dùng.
• 4.2.C.3 Một yếu tố sở hữu là một vật thể mà người dùng có và là duy nhất đối với họ, chẳng hạn như thẻ truy cập, thẻ ngân hàng, điện thoại di động hoặc token xác thực. Càng khó để kẻ thù lấy được vật thể (hoặc bản sao của nó), yếu tố sở hữu càng an toàn.
• 4.2.C.4 Các yếu tố sinh trắc học đo lường các đặc điểm của cơ thể con người và có thể bao gồm vân tay, dấu lòng bàn tay, nhận diện khuôn mặt, quét mống mắt hoặc võng mạc, hoặc nhận diện giọng nói. Các yếu tố sinh trắc học khó để kẻ thù sao chép vì chúng là duy nhất đối với từng cá nhân.
• 4.2.C.5 Các yếu tố vị trí sử dụng thông tin về tín hiệu Wi-Fi, dữ liệu GPS, cài đặt múi giờ, và thậm chí thông tin địa chỉ IP để đưa ra quyết định về vị trí. Các quy tắc có thể được thiết lập để cho phép hoặc từ chối truy cập dựa trên yếu tố vị trí.
• 4.2.C.6 Xác thực đa yếu tố (MFA) là khi một hệ thống sử dụng hơn một yếu tố để xác thực người dùng. MFA an toàn hơn xác thực đơn yếu tố vì nó yêu cầu người dùng cung cấp ít nhất hai yếu tố xác thực riêng biệt.

Mục tiêu học tập 4.2.D: Cấu hình cài đặt đăng nhập để làm cho thiết bị an toàn hơn.

• 4.2.D.1 Yêu cầu độ phức tạp trong mật khẩu là một cài đặt đăng nhập có thể được cấu hình. Khi được bật, người dùng đặt mật khẩu mới phải bao gồm ít nhất một ký tự từ mỗi tập ký tự. Mật khẩu có ký tự từ mỗi tập ký tự khó bị bẻ mã hơn đáng kể so với mật khẩu sử dụng ký tự từ chỉ một hoặc hai tập ký tự. Các tập ký tự chính thường được yêu cầu là:
  • Chữ cái in hoa (A–Z)
  • Chữ cái thường (a–z)
  • Digit số (0–9)
  • Ký tự đặc biệt (!"#$%&'()*+,-./:;<=>?@ [ \ ] ^_`{|}~)
• 4.2.D.2 Yêu cầu độ dài mật mã tối thiểu là một cài đặt đăng nhập có thể được cấu hình. Điều này có nghĩa là người dùng phải có ít nhất một số lượng ký tự nhất định trong mật mã của họ. Mật mã càng dài và phức tạp thì công cụ kỹ thuật số càng mất nhiều thời gian để phá mật mã đó.
• 4.2.D.3 Yêu cầu tuổi đời mật mã tối đa là một cài đặt đăng nhập có thể được cấu hình. Khi được cấu hình, người dùng sẽ nhận được yêu cầu thay đổi mật mã sau một số ngày nhất định kể từ lần thay đổi mật mã cuối cùng, thường là mỗi 90 hoặc 120 ngày. Nếu mật mã của người dùng bị lộ, việc thay đổi nó có thể ngăn chặn kẻ tấn công truy cập vào tài khoản của người dùng. Tuy nhiên, một số tiêu chuẩn quốc gia khuyến nghị các tổ chức không bắt buộc người dùng thay đổi mật mã theo khoảng thời gian cố định để ngăn người dùng tạo ra các quy luật mật mã (ví dụ: PasswordFall2028).
• 4.2.D.4 Yêu cầu hệ thống lưu trữ một số lượng mật mã trước đó của người dùng là một cài đặt đăng nhập có thể được cấu hình. Điều này ngăn người dùng sử dụng lại mật mã. Nhiều tổ chức lưu trữ hash của 5–10 mật mã trước đó của người dùng để ngăn việc tái sử dụng.
• 4.2.D.5 Yêu cầu thời gian khóa sau một số lần thử đăng nhập không thành công là một cài đặt đăng nhập có thể được cấu hình. Điều này ngăn kẻ tấn công liên tục thử ngẫu nhiên các mật mã sai. Nhiều tổ chức khóa tài khoản người dùng sau 3–5 lần thử đăng nhập không thành công. Thời gian khóa có sự khác nhau tùy theo từng trường hợp.

Mục tiêu học tập 4.3.A: Xác định các kiểm soát quản lý liên quan đến bảo mật thiết bị.

• 4.3.A.1 Chính sách sử dụng chấp nhận sẽ mô tả phạm vi các hoạt động được phép, bị cấm hoặc bắt buộc đối với người dùng trên các thiết bị do tổ chức sở hữu, và có thể bao gồm:
  • Cấm người dùng truy cập vào các trang web cụ thể hoặc loại trang web nhất định (ví dụ: mạng xã hội hoặc game)
  • Yêu cầu người dùng giữ cho phần mềm luôn được cập nhật
  • Cho phép người dùng kết nối các thiết bị ngoại vi
  • Cấm người dùng kết nối ổ đĩa ngoài hoặc phương tiện lưu trữ
• 4.3.A.2 Chính sách mật mã sẽ chi tiết hóa các yêu cầu về mật mã người dùng trong tổ chức và có thể bao gồm:
  • Độ dài mật mã tối thiểu hoặc tối đa
  • Khoảng thời gian tối thiểu hoặc tối đa mà người dùng có thể giữ nguyên mật mã cũ
  • Việc cấm tái sử dụng mật mã
  • Các quy tắc xây dựng mật mã (ví dụ: không dùng từ điển và yêu cầu bộ ký tự)
  • Khuyến nghị sử dụng công cụ quản lý mật mã an toàn thay vì ghi chép mật mã
• 4.3.A.3 Chính sách cài đặt phần mềm sẽ mô tả những gì (nếu có) phần mềm mà người dùng được phép cài đặt trên thiết bị của mình và thường cũng bao gồm quy trình để người dùng yêu cầu phần mềm chuyên biệt mà họ cần để thực hiện nhiệm vụ, và có thể bao gồm:
  • Việc cấm người dùng cài đặt phần mềm lên thiết bị của họ
  • Quy trình để người dùng yêu cầu phần mềm mới cần thiết cho vai trò của họ
  • Danh sách phần mềm đã được phê duyệt dành cho người dùng

Mục tiêu học tập 4.3.B: Giải thích cách phần mềm chống mã độc có thể làm cho thiết bị an toàn hơn.

• 4.3.B.1 Phần mềm chống mã độc (đôi khi được gọi là phần mềm diệt virus) có các công cụ để cô lập và loại bỏ mã độc có thể làm hỏng, gián điệp hoặc phá hủy hệ thống. Mã độc chứa các chỉ báo khiến nó có thể bị phát hiện; các chỉ báo này được gọi là chữ ký.
• 4.3.B.2 Phần mềm chống mã độc có cơ sở dữ liệu chứa các chữ ký mã độc. Nó định kỳ quét các tệp trên thiết bị và kiểm tra xem có tệp nào khớp với bất kỳ chữ ký nào trong cơ sở dữ liệu của nó hay không. Nếu có sự trùng khớp, phần mềm sẽ cô lập và xóa các tệp độc hại.

Mục tiêu học tập 4.3.C: Giải thích tại sao việc duy trì hệ điều hành và phần mềm của thiết bị ở phiên bản mới nhất giúp tăng cường bảo mật.

• 4.3.C.1 Khi các lỗ hổng trong hệ điều hành và phần mềm được phát hiện, nhà cung cấp hoặc tổ chức duy trì phần mềm hệ điều hành sẽ sửa chữa và gửi bản cập nhật. Một bản cập nhật nhỏ được gọi là bản vá.
• 4.3.C.2 Đảm bảo rằng hệ điều hành và các ứng dụng phần mềm của máy tính được cập nhật lên phiên bản mới nhất sẽ ngăn các kẻ tấn công lợi dụng các lỗ hổng đã biết.

Mục tiêu học tập 4.3.D: Cấu hình tường lửa dựa trên máy chủ.

• 4.3.D.1 Tường lửa dựa trên máy chủ cho phép hoặc từ chối lưu lượng đi vào hoặc ra khỏi một thiết bị đơn lẻ. Điều này cung cấp thêm một lớp bảo vệ trong trường hợp máy chủ được kết nối với mạng bị xâm nhập.
• 4.3.D.2 Tường lửa dựa trên máy chủ là phần mềm chạy trên thiết bị và tuân theo một bộ quy tắc (một danh sách kiểm soát truy cập - ACL) giống như tường lửa dựa trên mạng. Các quy tắc tường lửa được triển khai theo thứ tự, áp dụng quy tắc đầu tiên khớp.
• 4.3.D.3 Tường lửa dựa trên máy chủ cũng có thể chặn các loại lưu lượng đi ra được chỉ định. Tường lửa dựa trên máy chủ luôn nên chặn các cổng hoặc dịch vụ không cần thiết cho một thiết bị cụ thể.
  • Ví dụ minh họa cho 4.3.D.3:
    • Một tường lửa dựa trên máy chủ được cấu hình để chặn lưu lượng FTP đi ra. Điều này ngăn một kẻ tấn công có quyền truy cập từ xa vào máy chủ sử dụng FTP để đánh cắp một tệp dữ liệu sang máy chủ của kẻ tấn công.
• 4.3.D.4 Các quy tắc cho tường lửa dựa trên máy chủ có thể cho phép hoặc từ chối lưu lượng dựa trên cổng nguồn hoặc đích, địa chỉ IP, dịch vụ, giao thức hoặc ứng dụng.

Mục tiêu học tập 4.4.A: Giải thích cách phát hiện các cuộc tấn công vào thiết bị.

• 4.4.A.1 Các quá trình và cài đặt hệ thống, các lần thử đăng nhập, các lần thử tải xuống tệp, và các hành động của người dùng đều được ghi lại bởi các hệ thống máy tính. Các nhật ký này có thể được sử dụng để tái tạo lại bối cảnh dẫn đến và diễn ra trong một sự cố an ninh mạng.
• 4.4.A.2 Chỉ báo vi phạm (IoC) là bằng chứng cho thấy một đối thủ đã xâm nhập vào thiết bị hoặc mạng.
• 4.4.A.3 Nhật ký xác thực (hoặc auth logs) ghi lại mọi lần đăng nhập được thử trên hệ thống. Phân tích nhật ký xác thực có thể tiết lộ các cuộc tấn công đang diễn ra.
• 4.4.A.4 Các IoC dựa trên máy chủ được phát hiện khi phân tích nhật ký và cài đặt cấu hình. Các chỉ báo, như những ví dụ sau đây, có thể được tìm thấy trong nhật ký xác thực, nhật ký hoạt động của người dùng và tệp cấu hình hệ thống:
  • Tệp bất thường được tạo ra hoặc thay đổi
  • Quy trình hoặc dịch vụ không mong đợi
  • Thay đổi cấu hình hệ thống trái phép
  • Cài đặt hoặc cập nhật phần mềm trái phép
• 4.4.A.5 Các IoC dựa trên tệp được phát hiện khi phân tích các tệp trên thiết bị. Các chỉ báo thường được tìm thấy trong tệp thực thi và có thể bao gồm:
  • Tệp có giá trị hash khớp với mã độc đã biết
  • Tên tệp được biết đến là do một loại mã độc cụ thể tạo ra
  • Đường dẫn tệp liên quan đến hoạt động độc hại
• 4.4.A.6 Các IoC dựa trên hành vi được phát hiện khi phân tích nhật ký. Các chỉ báo có thể được tìm thấy trong nhật ký xác thực và nhật truy cập và có thể bao gồm:
  • Nhiều lần thử đăng nhập thất bại
  • Thời gian hoặc vị trí đăng nhập bất thường
  • Cố gắng truy cập dữ liệu nhạy cảm trái phép
  • Cố gắng nâng cao quyền hạn người dùng trên hệ thống

Mục tiêu học tập 4.4.B: Xác định các biện pháp kiểm soát để phát hiện các cuộc tấn công vào thiết bị.

• 4.4.B.1 Hiệu suất là tiêu chí để xác định phương pháp phát hiện. Các công cụ phát hiện sử dụng bộ nhớ và sức mạnh xử lý của hệ thống và có thể ảnh hưởng đến hiệu suất của thiết bị. Các công cụ phát hiện dựa trên bất thường sử dụng nhiều tài nguyên hệ thống hơn so với các công cụ dựa trên chữ ký. Phát hiện dựa trên chữ ký là lựa chọn tốt hơn cho các thiết bị có tài nguyên hệ thống yếu hơn. Nhiều thiết bị nhúng không có đủ tài nguyên hệ thống để chạy bất kỳ công cụ phát hiện nào trên thiết bị.
• 4.4.B.2 Chi phí là tiêu chí để xác định phương pháp phát hiện. Các tổ chức mua phần mềm phát hiện cần xem xét chi phí mua đủ giấy phép phần mềm cho số lượng thiết bị cần giám sát. Một số tổ chức mua dịch vụ phát hiện và phản ứng đầu cuối (EDR) từ nhà cung cấp bên thứ ba. Mặc dù các dịch vụ này đắt đỏ, nhưng chúng cung cấp cách tiếp cận toàn diện, thống nhất để phát hiện mối đe dọa cho các thiết bị của tổ chức; chúng thường bao gồm nền tảng cảnh báo tập trung để giám sát các cuộc tấn công có thể xảy ra trên thiết bị.
• 4.4.B.3 Độ nhạy cảm hoặc tính quan trọng của thiết bị là tiêu chí để xác định phương pháp phát hiện. Các thiết bị lưu trữ hoặc xử lý thông tin nhạy cảm hoặc cung cấp các dịch vụ quan trọng dễ bị nhắm mục tiêu bởi đối thủ hơn và được hưởng lợi từ mô hình phát hiện lai để cung cấp khả năng bảo vệ tối đa, nếu có thể.

Mục tiêu học tập 4.4.C: Đánh giá tác động của phương pháp phát hiện thiết bị.

• 4.4.C.1 Tốc độ và hiệu suất là các yếu tố trong việc đánh giá tác động của phương pháp phát hiện. Phát hiện dựa trên chữ ký nói chung nhanh hơn phát hiện dựa trên bất thường, và hiệu ứng này càng rõ rệt trên các thiết bị, vốn thường thiếu sức mạnh xử lý để chạy hiệu quả các công cụ phát hiện dựa trên bất thường. Triển khai các công cụ phát tốn tài nguyên trên thiết bị có thể làm giảm hiệu suất thiết bị.
• 4.4.C.2 Giai đoạn của cuộc tấn công là một yếu tố trong việc đánh giá tác động của phương pháp phát hiện. Để thực hiện các hành động trên thiết bị, đối thủ phải vượt qua sự kết hợp giữa các biện pháp kiểm soát an ninh vật lý- hoặc lớp mạng mang tính bảo vệ, răn đe và phát hiện. Việc phát hiện và ngăn chặn cuộc tấn công ở cấp thiết bị có thể ngăn đối thủ truy cập dữ liệu nhạy cảm hoặc phá vỡ các dịch vụ quan trọng.
• 4.4.C.3 False positives so với khả năng dễ dàng vượt qua phát hiện là một yếu tố trong việc đánh giá tác động của phương pháp phát hiện. Hầu hết các công cụ phát hiện cấp thiết bị đều dựa trên chữ ký, và phát hiện dựa trên chữ ký có tỷ lệ false positives thấp. Tuy nhiên, phát hiện dựa trên chữ ký dễ bị đối thủ vượt qua hơn.

Mục tiêu học tập 4.4.D: Áp dụng các kỹ thuật phát hiện để xác định các chỉ báo của cuộc tấn mật khẩu bằng cách phân tích tệp nhật ký.

• 4.4.D.1 Các cuộc tấn mật khẩu trực tuyến có thể được phát hiện trong nhật ký xác thực. Một người dùng duy nhất cố gắng nhập nhiều mật khẩu sai là chỉ báo của cuộc tấn mật khẩu trực tuyến. Nếu cơ sở dữ liệu hash mật khẩu: người dùng đã bị xâm phạm, tất cả mật khẩu người dùng trong cơ sở dữ liệu nên được coi là không an toàn và tất cả người dùng nên bị buộc phải đặt lại mật khẩu của họ.
• 4.4.D.2 Nếu một người dùng được ủy quyền đang đăng nhập từ một vị trí hoặc địa chỉ IP khác với dự kiến, hoặc vào thời điểm khác so với bình thường, điều này có thể là chỉ báo cho thấy mật khẩu của người dùng đã bị xâm phạm.
• 4.4.D.3 Một chỉ báo của việc phun mật khẩu là nhiều người dùng cố gắng đăng nhập trong vài giây liên tiếp từ cùng một địa chỉ IP hoặc từ các địa chỉ IP bất thường.
• 4.4.D.4 Một chỉ báo của việc nhồi credentia (credential stuffing) là một loạt các kết hợp user:password mặc định đang được thử nghiệm trên một thiết bị trong thời gian ngắn, thường từ cùng một địa chỉ IP.
• 4.4.D.5 Các cuộc tấn mật khẩu ngoại tuyến không thể được phát hiện, vì cuộc tấn công diễn ra trên máy tính của đối thủ.