Trong các giao thức ứng phó sự cố an toàn thông tin doanh nghiệp, yêu cầu khách hàng ngừng hoạt động thiết bị luôn là biện pháp phòng vệ cực đoan nhất. Động thái mới đây của Kiteworks khi khuyến cáo đối tác toàn cầu ngắt kết nối máy chủ truyền tệp an toàn trong khung thời gian 6 tiếng đã đặt ra nhiều câu hỏi về tính chất của mối đe dọa cũng như chiến thuật phòng thủ trước các đợt tấn công khai thác lỗ hổng chuỗi cung ứng.
Cơ chế cảnh báo sớm và phạm vi ngắt kết nối diện rộng
Theo thông tin được xác nhận độc lập bởi cơ quan báo chí công nghệ Heise và trang tin BleepingComputer, Kiteworks đã chủ động gửi thông báo khẩn cấp tới các tổ chức tài chính, cơ quan chính phủ và doanh nghiệp lớn đang triển khai nền tảng lưu trữ tệp bảo mật. Nội dung khuyến nghị yêu cầu tắt hoàn toàn máy chủ hệ thống trong khoảng thời gian từ 4:00 đến 10:00 sáng Thứ Bảy (giờ Trung Âu), tương đương từ 22:00 Thứ Sáu đến 04:00 Thứ Bảy tại bờ Đông Hoa Kỳ.
Điều bất thường nằm ở phạm vi áp dụng: Kiteworks nhấn mạnh người dùng cần tắt máy chủ ngay cả khi thiết bị không được cấu hình định tuyến ra ngoài Internet (non-internet-facing systems). Khuyến cáo này cho thấy khả năng mối đe dọa không chỉ nhắm vào các cổng dịch vụ web ngoại vi mà có thể lợi dụng cơ chế liên lạc ngược chiều, đường truyền VPN hoặc các tác tử tự động bên trong mạng nội bộ.
CISO Frank Balonis khẳng định đây là hành động can thiệp phòng ngừa dựa trên dữ liệu chia sẻ từ các cơ quan tình báo liên bang, nhằm triệt tiêu cửa sổ tấn công (attack window) dự kiến của kẻ ẩn danh trước khi một cuộc phát tán mã độc quy mô lớn diễn ra.
Phân tích nguy cơ khai thác MFT và bài toán quản trị rủi ro Zero-Day
Nền tảng truyền tệp an toàn (Managed File Transfer – MFT) giữ vai trò huyết mạch trong việc trao đổi dữ liệu pháp lý, hồ sơ sức khỏe và bí mật thương mại giữa các tổ chức. Do đặc thù lưu trữ tập trung dữ liệu nhạy cảm cao độ, hạ tầng MFT luôn là mục tiêu hàng đầu của các chiến dịch gián điệp mạng và tống tiền dữ liệu (data-theft extortion).
Dù phiên bản Kiteworks 9.5.1 đã hoàn tất việc vá lỗi các lỗ hổng đã xác định, việc đội ngũ hỗ trợ kỹ thuật thừa nhận nguy cơ tấn công Zero-Day phản ánh kịch bản tin tặc có thể đang nắm giữ một vector tấn công chưa có chữ ký nhận diện. Trong lịch sử an ninh mạng, các chiến dịch khai thác lỗ hổng Zero-Day trên Accellion FTA, GoAnywhere MFT hay MOVEit Transfer của băng đảng tội phạm mạng Clop đều cho thấy tin tặc thường chọn thời điểm cuối tuần hoặc ngày nghỉ lễ để kích hoạt payload, nhằm kéo dài thời gian phản ứng của đội ngũ trực bảo mật (SOC).
Biện pháp hạ máy chủ có chủ đích trong 6 giờ dù gây gián đoạn cục bộ cho quy trình vận hành nhưng lại tước đi thời điểm vàng của kẻ tấn công, đồng thời tạo khoảng đệm cần thiết để các cơ quan chấp pháp và chuyên gia bảo mật điều tra nguồn gốc mã độc. Các chuyên gia an ninh khuyến nghị các quản trị viên tiếp tục rà soát nhật ký truy cập (access logs) và duy trì phiên bản phần mềm ở mức mới nhất.
Độc giả quan tâm có thể tìm hiểu thêm về cảnh báo kỹ thuật này trên BleepingComputer hoặc cổng thông tin bảo mật doanh nghiệp.
