Được thiết kế để né tránh: Bề mặt tấn công ngày càng mở rộng của cơ sở hạ tầng trọng yếu

• cơ sở hạ tầng trọng yếu có thể gặp phải sự gián đoạn từ mạng lưới doanh nghiệp, và các vụ việc gần đây trong lĩnh vực y tế công cộng cho thấy chỉ một hành động của người dùng liên quan đến tệp tin độc hại cũng có thể gây ra hiệu ứng domino dẫn đến sự gián đoạn hoạt động.
• Email vẫn là một trong những điểm yếu dễ bị tấn công nhất trong bề mặt tấn công: một kênh được thiết kế để tiếp cận cả các thiết bị máy tính lẫn những người vận hành chúng trên quy mô lớn.
• Các môi trường cách ly hoàn toàn vẫn phụ thuộc vào nội dung từ phía kết nối, do đó việc kiểm tra ở chiều lên trở nên rất quan trọng trước khi các tệp được chuyển sang các hệ thống nhạy cảm hơn.
• Sự đổi mới là yếu tố thiết yếu để đảm bảo khả năng phục hồi, nhưng mỗi nhà cung cấp mới, mỗi giải pháp tích hợp và mỗi kênh cập nhật đều cần được lên kế hoạch một cách cẩn trọng, tương xứng với lợi ích hoạt động mà chúng mang lại.
• Một hệ thống phòng thủ được thiết kế phù hợp với thực tế này coi an ninh email là một trong những trụ cột của mô hình bảo mật đa lớp và toàn diện, nhằm kiểm tra và giảm thiểu rủi ro trước khi nội dung đến tay người đọc, dù là con người hay máy móc.

Trong cuốn sách * cơ sở hạ tầng trọng yếu*, việc cách ly thường được coi là đích đến cuối cùng của an ninh mạng: phân đoạn mạng, tạo khoảng cách vật lý (air gap) cho các hệ thống nhạy cảm nhất, và vấn đề sẽ được kiểm soát. Tuy nhiên, các hoạt động kinh doanh lại diễn ra bên ngoài lõi mạng được cách ly: lập lịch, hậu cần, thanh toán, hệ thống lưu trữ lịch sử quy trình, giám sát. Khu vực đó cũng là một bề mặt tấn công.

Vì vậy, vấn đề không chỉ nằm ở việc có gì nằm phía sau “khoảng cách không khí”, mà còn là những gì có thể bị gián đoạn trước khi bất kỳ yếu tố nào tiếp cận được nó. Đối với nhiều tổ chức thuộc lĩnh vực dịch vụ thiết yếu ( cơ sở hạ tầng trọng yếu ), bao gồm bệnh viện, ngân hàng và mạng lưới giao thông – những đơn vị không thể hoạt động đầy đủ nếu phải hoạt động hoàn toàn phía sau “khoảng cách không khí” – mạng lưới kinh doanh chính là một phần quan trọng trong cơ sở hạ tầng của họ.

Và lĩnh vực này có một “cửa trước” đặc biệt nhộn nhịp. Email là một trong những “cổng” bận rộn nhất trong bề mặt tấn công — một kênh mà mọi tổ chức đều để mở theo thiết kế, bởi vì đó chính là cách công việc được chuyển đến: các bản cập nhật từ nhà cung cấp, tài liệu của nhà thầu, bảng tính khởi động dự án. Email mang theo mối đe dọa kép: vừa xâm nhập vào các thiết bị thông qua các tệp tin và liên kết có khả năng thực thi, vừa tác động đến con người bằng sức thuyết phục khiến họ mở các tệp tin đó. Rất ít kênh nào có thể thực hiện cả hai điều này trên quy mô tương tự. Các trường hợp sau đây đã được công khai và cho thấy cách thức email, các tệp tin độc hại hoặc hành động của người dùng đáng tin cậy có thể trở thành bước đầu tiên dẫn đến sự gián đoạn hoạt động trên quy mô lớn hơn.

Cơ quan Quản lý Dịch vụ Y tế Ireland (HSE) là một trong số ít các nạn nhân đã lựa chọn phương án minh bạch hoàn toàn, bằng cách đặt hàng và công bố một báo cáo đánh giá độc lập; chính vì vậy, vụ việc này có thể được phân tích chi tiết. Vào tháng 3 năm 2021, một người dùng đã tương tác với một email lừa đảo khiến máy trạm của người này bị nhiễm phần mềm độc hại. Sau đó, những kẻ tấn công đã hoạt động bên trong môi trường này trong tám tuần trước khi kích hoạt ransomware, sử dụng khoảng thời gian đó để xâm nhập vào các máy chủ và tài khoản có quyền truy cập đặc quyền, di chuyển ngang và đánh cắp dữ liệu trước khi sự cố này trở nên rõ ràng trên quy mô toàn quốc. Dịch vụ y tế đã tắt các hệ thống CNTT của mình để ngăn chặn sự lây lan. Các bệnh viện phải quay trở lại sử dụng bút và giấy, các cuộc hẹn bị hủy bỏ trên toàn quốc, quá trình khôi phục mất hơn bốn tháng và chi phí khắc phục được ước tính là 102 triệu euro tính đến tháng 11 năm 2024.

Một sự cố bảo mật email hiếm khi chỉ dừng lại ở mức độ vấn đề email; nó có thể gây ra hiệu ứng domino dẫn đến gián đoạn hoạt động và kinh doanh, kèm theo những hậu quả tài chính. Vào năm 2024, Ascension cho biết một nhân viên đã tải xuống một tệp tin độc hại trong một sự cố mà tổ chức này mô tả là “một sai lầm vô ý”. Vụ việc này đã khiến một trong những mạng lưới bệnh viện lớn nhất của Mỹ phải chuyển hướng các xe cứu thương, hoãn các dịch vụ chăm sóc y tế và sau đó báo cáo rằng có 5.599.699 người bị ảnh hưởng.

Một kịch bản mà các nhà lãnh đạo an ninh nên xem xét là trường hợp ban đầu không có gì xảy ra, khi kẻ tấn công ẩn náu bên trong mạng nội bộ của doanh nghiệp và thu thập: sơ đồ mạng, tài liệu kỹ thuật, thông tin đăng nhập, lịch trình bảo trì, cũng như chính các quy trình chuyển giao dữ liệu. Và khi việc thu thập thông tin chuyển sang hành động, hậu quả có thể lan sang cả thế giới thực. Đó là cách mà vụ tấn công vào mạng lưới điện của Ukraine năm 2015 được cho là đã diễn ra: các báo cáo công khai và phân tích kỹ thuật mô tả việc các mạng công ty đã bị xâm nhập trước đó thông qua các email lừa đảo có chứa phần mềm độc hại BlackEnergy, tiếp theo là hoạt động trinh sát, đánh cắp thông tin đăng nhập và phá hoại có phối hợp các trạm biến áp. Vụ việc này đã ảnh hưởng đến khoảng 225.000 khách hàng. Một tin nhắn đáng tin cậy, một hành động thường ngày, nhưng lại gây ra nhiều hậu quả nghiêm trọng về mặt vận hành.

cơ sở hạ tầng trọng yếu đang đổi mới vì đó là điều bắt buộc. Môi trường đe dọa ngày càng gia tăng, kỳ vọng về thời gian hoạt động liên tục ngày càng cao, và khả năng phục hồi ngày càng phụ thuộc vào các hệ thống thông minh hơn, kết nối tốt hơn. Một trạm biến áp từng vận hành theo cùng một logic trong hai mươi năm nay có thể báo cáo dữ liệu lên hệ thống phân tích đám mây; một máy bơm trước đây chỉ được kiểm tra thủ công mỗi ca làm việc nay có thể truyền dữ liệu từ xa đến nhà cung cấp; và công tác bảo trì vốn chờ đến khi sự cố xảy ra nay có thể được hướng dẫn bởi các dự báo dựa trên trí tuệ nhân tạo (AI) và học máy. Những cải tiến này không phải là những sự phân tâm không cần thiết; chúng chính là cách mà các hệ thống điều khiển phân tán ( cơ sở hạ tầng trọng yếu ) duy trì khả năng cạnh tranh. Cơ hội là rất lớn, miễn là mô hình bảo mật phát triển song song với công nghệ xung quanh nó.

Mỗi làn sóng đổi mới đó đều mang lại sự thay đổi: mã nguồn mới, tích hợp mới, nhà cung cấp mới, kênh cập nhật và các đường dẫn truy cập từ xa mới. Với một kế hoạch chi tiết, sự thay đổi đó có thể được quản lý. Các nhà lãnh đạo an ninh có thể xác định cách dữ liệu di chuyển, cách các nhà cung cấp kết nối, cách xác thực các bản cập nhật và vị trí kiểm tra nội dung trước khi nó đến các quy trình làm việc nhạy cảm. Rủi ro không nằm ở chính sự đổi mới; mà nằm ở sự tin tưởng không có kế hoạch. Mỗi nhà cung cấp và nhà thầu mới đều có thể tạo ra một mối quan hệ email mới, kèm theo các tệp đính kèm, hóa đơn và thông báo cập nhật mà người dùng được kỳ vọng sẽ mở ra. Bề mặt tiếp xúc mở rộng, và số lượng điểm xâm nhập mà các yếu tố không đáng tin cậy có thể xâm nhập dưới vỏ bọc hợp pháp cũng tăng theo.

Vậy, điều gì sẽ xảy ra khi quá trình hiện đại hóa diễn ra nhanh hơn các biện pháp phòng thủ được thiết kế để đối phó với nó? Đó chính là hiệu ứng tích lũy: ngay cả khi khả năng của kẻ tấn công bị đóng băng ngay hôm nay, mức độ tiếp xúc vẫn có thể gia tăng, bởi vì môi trường liên tục xuất hiện thêm các điểm kết nối mới. Trí tuệ nhân tạo (AI) và học máy có thể nâng cao khả năng phục hồi hoạt động ở phía phòng thủ, nhưng khả năng của kẻ tấn công cũng ít có dấu hiệu chậm lại. AI có thể đẩy nhanh quá trình nghiên cứu, xác định mục tiêu và cải tiến liên tục ở phía tấn công, điều này khiến an ninh được lên kế hoạch và thích ứng trở thành một phần của sự đổi mới có trách nhiệm thay vì là rào cản đối với nó.

Rất ít nhà khai thác có thể dự đoán chính xác môi trường của họ sẽ như thế nào trong năm năm tới, vì vậy kiến trúc bảo mật hiện tại có thể đã chỉ còn bảo vệ cấu trúc mạng của ngày hôm qua. Mục tiêu không phải là kìm hãm sự đổi mới, mà là đảm bảo rằng bảo mật cũng phát triển song song với nó. Việc cách ly vẫn rất quan trọng, nhưng nó chỉ đóng vai trò như một lớp trong mô hình khả năng phục hồi rộng lớn hơn, chứ không phải là giải pháp duy nhất.

Các nhà lãnh đạo an ninh thường đánh giá mức độ nghiêm trọng của một mối đe dọa bằng cách đặt ra ba câu hỏi: liệu đối thủ có ý định, khả năng và cơ hội hay không? Đối với nhiều môi trường “ cơ sở hạ tầng trọng yếu ”, câu trả lời cho cả ba câu hỏi này ngày càng là “có”.

• Mục đích:cơ sở hạ tầng trọng yếu là mục tiêu được các đối tượng xấu nhắm đến một cách có chủ đích sau khi nghiên cứu kỹ lưỡng về nạn nhân, và trang web này có khả năng vẫn sẽ thu hút sự chú ý vì lợi ích tiềm năng mang lại xứng đáng với công sức bỏ ra.
• Khả năng: Các cuộc tấn công ngày càng được công nghiệp hóa, với trí tuệ nhân tạo (AI) giúp giảm chi phí xây dựng, thử nghiệm và luân chuyển các chiến dịch.
• Cơ hội: diện tích tấn công thay đổi khi sự đổi mới kết nối các hệ thống vốn trước đây hoạt động độc lập, trong khi nội dung tiếp tục vượt qua những ranh giới còn tồn tại.

Đằng sau cả ba yếu tố này đều là hai yếu tố không thay đổi: mọi người sẽ tiếp tục dựa vào email, bởi vì nó là yếu tố thiết yếu để duy trì hoạt động kinh doanh, và nội dung sẽ tiếp tục vượt qua nhiều ranh giới mà chúng ta vạch ra, bởi vì đó chính là cách các doanh nghiệp vận hành.

Một hệ thống phòng thủ được xây dựng dựa trên thực tế đó có cấu trúc dễ nhận biết. Hệ thống này coi an ninh email là một trong những “cổng” bận rộn nhất trong vành đai bảo vệ và phân bổ nguồn lực tương ứng, như một trụ cột của mô hình toàn diện. Hệ thống này bố trí các lớp kiểm soát tại cổng đó, mỗi lớp thực hiện một nhiệm vụ khác nhau, để nội dung được kiểm tra và rủi ro được giảm thiểu trước khi người đọc (con người hoặc máy móc) tiếp xúc với nó. Hệ thống sử dụng phân tích hỗ trợ bởi trí tuệ nhân tạo (AI) trong vòng lặp vận hành để tăng tốc độ tương quan, phân loại và học hỏi từ các nỗ lực bị chặn, từ đó tiến gần hơn đến nhịp độ mà kẻ tấn công đặt ra. Đồng thời, hệ thống coi việc cải tiến liên tục là một phần của quá trình hiện đại hóa có trách nhiệm, bởi môi trường đe dọa luôn thay đổi.

Câu hỏi đáng để bạn suy ngẫm trong bối cảnh của chính mình rất đơn giản: khi nội dung di chuyển đến những hệ thống mà bạn không thể chấp nhận được việc mất mát, điểm cuối cùng mà nội dung đó thực sự được kiểm tra là ở đâu, và liệu điểm đó có thể phát hiện được nội dung được thiết kế để trông có vẻ an toàn và đáng tin cậy hay không? Đối với nhiều tổ chức, việc truy vết nội dung đó trở lại nơi nó lần đầu tiên xuất hiện thường dẫn đến cùng một điểm: hộp thư đến.