Vào đầu năm nay, Sophos đã hỏi hơn 5.600 chuyên gia CNTT về kinh nghiệm của họ với bảo hiểm mạng. Các kết quả khác nhau, nhưng điểm mấu chốt là bảo hiểm mạng ngày càng khó mua hơn và đắt hơn một phần do sự gia tăng các cuộc tấn công. Tuy nhiên, điều đó có nghĩa là để có được bảo hiểm mạng, các công ty bắt buộc phải có các biện pháp bảo vệ vững chắc hơn, có nghĩa là khả năng phòng thủ tổng thể đã được cải thiện.

2. Bad news và Good news với Cyber insurance.

2.1 Bad News.

So với cùng năm ngoái các công ty đã đối mặt mới các vấn đề gia tăng sau:

+ Tăng 57% số lượng các tấn công

+ Tăng 59% mức độ phức tạp của các cuộc tấn công

+ Tăng 53% tác động của các cuộc tấn công đối với hệ thống

Và khi nói đến ransomware, mọi thứ đang trở nên tồi tệ hơn. Khi được hỏi liệu họ có bị tấn công bởi ransomware vào năm ngoái hay không, 66% người được hỏi cho biết có – tăng từ 37% khi Sophos hỏi cùng một câu hỏi vào năm ngoái.

Hơn nữa, khoản thanh toán tiền chuộc do ransomware trung bình hiện ở mức 800.000 đô la trong khi năm ngoái là khoảng 170.000 đô la.

Vậy khi các tổ chức doanh nghiệp cố gắng mua bảo hiểm mạng họ gặp phải những khó khăn nào:

+ 54% cho biết mức độ an ninh mạng mà họ cần đủ điều kiện hiện đã cao hơn

+ 47% cho biết các chính sách hiện phức tạp hơn

+ 40% cho biết ít công ty cung cấp bảo hiểm mạng hơn

+ 37% cho biết quá trình này mất nhiều thời gian hơn

+ 34% cho biết nó đắt hơn

Vì vậy chúng ta có thể thấy rằng các cuộc tấn công sẽ diễn ra thường xuyên hơn, phức tạp hơn, có tác động mạnh hơn và ít công ty đưa ra các chính sách khó có được những chính sách đắt đỏ hơn.

2.2 Good News.

Với tất cả các tin tức xấu được liệt kê ở trên đã trở thành một yếu tố buộc phải đảm bảo an ninh tốt hơn. Dữ liệu chỉ ra rằng 97% những người được khảo sát cho biết họ đã thay đổi các biện pháp phòng vệ để đảm bảo họ mua được bảo hiểm.

Vậy những các tổ chức doanh nghiệp đã thực hiện thay đổi gì:

+ 64% đã triển khai các công nghệ và dịch vụ mới

+ 56% đã tăng cường các hoạt động đào tạo và giáo dục nhân viên

+ 52% đã thay đổi quy trình và hành vi

Tin tốt khác là nếu bạn có thể đảm bảo bảo hiểm mạng, đây có vẻ là một khoản đầu tư đáng giá: 98% số người được hỏi cho biết rằng bảo hiểm mạng bao gồm bảo hiểm ransomware đã thanh toán cho các khiếu nại có liên quan. Các khoản thanh toán tiền chuộc thực tế cũng giảm, từ 44% vào năm 2019 xuống còn 40% vào năm 2021.

3. Sophos MTR có thể giúp ích gì ?

Để đảm bảo rằng bạn có thể mua được bảo hiểm không gian mạng. Theo nhà môi giới bảo hiểm mạng hàng đầu Marsh McLennan Agency, các biện pháp kiểm soát an ninh sau đây là những điều bắt buộc phải có:

+ Xác thực đa yếu tố để truy cập từ xa và các đặc quyền

+ Endpoint detection and response (EDR)

+ Sao lưu an toàn, được mã hóa và thử nghiệm

+ Quản lý quyền truy cập đặc quyền (Privileged access managemen-PAM)

+ Lọc email và bảo mật web

Ngoài ra còn phải có các yếu tố sau:

+ Lập kế hoạch và thử nghiệm ứng phó sự cố mạng

+ Đào tạo nâng cao nhận thức về an ninh mạng và kiểm tra lừa đảo

+ Giảm thiểu Remote Desktop Protocol (RDP)

+ Ghi log và giám sát /bảo vệ mạng

+ Bảo vệ hoặc thay thế với các hệ thống End-of-life

Với Sophos MTR, bạn có được dịch vụ phản hồi và săn lùng mối đe dọa 24/7, công cụ phát hiện và phản hồi (XDR) mở rộng mạnh mẽ và khả năng bảo vệ endpoint đẳng cấp thế giới của Sophos. Vậy Sophos XDR giúp ích gì trong việc mua bảo hiểm mạng:

+ Endpoint detection and response (EDR): Sophos MTR nâng cao cung cấp cho bạn khả năng bảo vệ endpoint và workload hàng đầu thế giới của Sophos để ngăn chặn các cuộc tấn công mạng trước khi chúng có thể chạy, cùng với khả năng tìm kiếm, điều tra và phản ứng mối đe dọa 24/7 do nhóm chuyên gia về mối đe dọa của Sophos cung cấp – để phát hiện và ngăn chặn các cuộc tấn công. Nếu bạn muốn tự mình săn lùng mối đe dọa, bạn có thể làm điều đó với giải pháp XDR của chúng tôi.

+ Bảo mật web: Bảo vệ hệ thống khỏi các payload đáng ngờ được tải xuống từ trình duyệt web. Các tính năng kiểm soát cho phép quản trị viên cảnh báo hoặc chặn các trang web dựa trên danh mục của chúng, chặn các loại tệp nguy hiểm và áp dụng các biện pháp kiểm soát rò rỉ dữ liệu đối với việc chia sẻ tệp và email dựa trên web. Môi trường Web Control for Cloud Workload bảo mật dữ liệu khi người dùng truy cập vào virtual desktop không nằm sau cổng web truyền thống.

+ Quản lý truy cập đặc quyền (PAM): Sophos XDR ghi lại tất cả hoạt động của người dùng, bao gồm xác thực và nhật ký kiểm tra Microsoft 365 để hiển thị các thay đổi đối với cài đặt đặc quyền. Cũng bao gồm quyền truy cập vào nhật ký Windows từ thiết bị và domain controller để xem các sự kiện Windows. Nó bổ sung và nâng cao các giải pháp PAM chuyên dụng. Sophos Endpoint bảo vệ và ngăn chặn những nỗ lực thu thập hoặc đánh cắp thông tin đăng nhập của người dùng trực tiếp từ bộ nhớ.

+ Lập kế hoạch và thử nghiệm ứng phó sự cố mạng: Sophos MTR cung cấp khả năng tìm kiếm, phát hiện và phản ứng mối đe dọa 24/7 do một nhóm chuyên gia cung cấp dưới dạng dịch vụ. Nó bao gồm phạm vi ứng phó sự cố không giới hạn, vì vậy nếu bạn gặp phải một sự kiện, đội ngũ chuyên gia ứng phó của Sophos sẽ tham gia và giải quyết miễn phí.

+ Giảm thiểu Remote Desktop Protocol (RDP): Sophos XDR cho phép bạn xác định khi nào RDP đã được sử dụng. Remote terminal cho phép quản trị viên bật và tắt chính sách RDP. Nó cũng cung cấp khả năng hiển thị chính sách RDP trên tất cả các thiết bị được quản lý và phát hiện các thay đổi đối với nó.

+ Bảo vệ hoặc thay thế với các hệ thống End-of-life: Sophos XDR xác định phần mềm và hệ thống đã lỗi thời và không được hỗ trợ.

+ Quản lý bản vá và quản lý lỗ hổng: Sophos XDR cung cấp quyền truy cập vào tất cả các ứng dụng trên thiết bị, thông tin phiên bản, SHA256, thông tin bản vá và nhật ký của chúng, bao gồm lịch sử thực thi ứng dụng, kết nối mạng, v.v. Nó cũng bao gồm các truy vấn để kiểm tra các ứng dụng đã cài đặt dựa trên thông tin về lỗ hổng bảo mật online và các truy vấn để xác định các điểm yếu về bảo mật trong cài đặt registry.

Nhóm Sophos Rapid Response đã tổng hợp một danh sách các nhận thức sai lầm về bảo mật phổ biến nhất mà họ gặp phải trong 12 tháng qua trong khi vô hiệu hóa và điều tra các cuộc tấn công mạng trong một loạt các tổ chức.

Dưới đây là danh sách 10 nhận thức sai lầm hàng đầu, cùng với quan điểm của Sophos giúp loại bỏ từng nhận thức sai lầm dựa trên kinh nghiệm và quan sát của người ứng phó sự cố ở tuyến đầu của các cuộc tấn công

Số 1: Chúng ta không phải là mục tiêu, chúng ta quá nhỏ hoặc không có tài sản có giá trị đối với hacker

Sophos Counterpoint: Nhiều nạn nhân của cuộc tấn công mạng cho rằng họ quá nhỏ, trong một lĩnh vực không có lợi ích hoặc thiếu loại tài sản sinh lợi có thể thu hút kẻ thù. Sự thật là không quan trọng, bởi vì chỉ cần bạn có hoạt động kinh doanh, có dữ liệu nhạy cảm, bạn đều có thể là mục tiêu tấn công. Bất chấp các tiêu đề trên các phương tiện truyền thông, hầu hết các cuộc tấn công không phải do những kẻ tấn công xuyên quốc gia, các nước tiên tiến gây ra, chúng được gây ra bởi những kẻ cơ hội tìm kiếm con mồi dễ dàng, chẳng hạn như các tổ chức có lỗ hổng bảo mật, lỗi hoặc cấu hình sai mà tội phạm mạng có thể dễ dàng khai thác.

Nếu bạn tin rằng tổ chức của mình không phải là mục tiêu, có thể bạn đang không chủ động tìm kiếm các hoạt động đáng ngờ trên mạng của mình, chẳng hạn như sự hiện diện của Mimikatz (một ứng dụng mã nguồn mở cho phép người dùng xem và lưu thông tin xác thực) trên domain controller của bạn và bạn có thể bỏ lỡ những dấu hiệu ban đầu của một cuộc tấn công.

Số 2: Không cần các công nghệ bảo mật tiên tiến được cài đặt ở mọi nơi

Sophos Counterpoint: Một số nhóm IT vẫn tin rằng phần mềm bảo mật endpoint đủ để ngăn chặn tất cả các mối đe dọa hoặc họ không cần bảo mật cho máy chủ của mình. Những kẻ tấn công tận dụng tối đa các giả định như vậy. Bất kỳ sai lầm nào trong cấu hình vá lỗi hoặc bảo vệ đều khiến máy chủ trở thành mục tiêu chính chứ không phải mục tiêu phụ như trước đây có thể xảy ra.

Danh sách các kỹ thuật tấn công cố gắng bỏ qua hoặc vô hiệu hóa phần mềm endpoint và tránh bị phát hiện bởi các nhóm bảo mật ngày càng dài ra. Ví dụ: Các cuộc tấn công do con người điều khiển nhằm khai thác kỹ thuật xã hội và nhiều điểm dễ bị tổn thương để xâm nhập, mã độc được đóng gói và làm xáo trộn nhiều được đẩy trực tiếp vào bộ nhớ. Các cuộc tấn công phần mềm độc hại ‘fileless’ như DLL (Dynamic Link Library) và các cuộc tấn công sử dụng các tác nhân truy cập từ xa hợp pháp như Cobalt Strike cùng với các công cụ và kỹ thuật quản trị IT hàng ngày. Các công nghệ chống vi-rút cơ bản sẽ phải vật lộn để phát hiện và chặn các hoạt động như vậy.

Tương tự, giả định rằng các endpoint được bảo vệ có thể ngăn những kẻ xâm nhập tìm đường đến các máy chủ không được bảo vệ là một sai lầm. Theo các sự cố mà Sophos Rapid Response đã điều tra, các máy chủ hiện là mục tiêu tấn công số một và những kẻ tấn công có thể dễ dàng tìm thấy đường đi trực tiếp bằng cách sử dụng thông tin đăng nhập bị đánh cắp. Trên thực tế, những kẻ tấn công thường xâm nhập và cài đặt backdoor trong các máy Linux để sử dụng chúng làm nơi trú ẩn an toàn và duy trì quyền truy cập vào mạng của mục tiêu.

Nếu tổ chức của bạn chỉ dựa vào bảo mật cơ bản mà không có các công cụ tích hợp và nâng cao hơn như phát hiện hành vi và dựa trên AI và trung tâm giám sát an ninh 24/ do con người kiểm soát – thì những kẻ xâm nhập cuối cùng sẽ tìm đường vượt qua hàng phòng thủ của bạn.

Số 3: Có các chính sách bảo mật mạnh mẽ

Sophos Counterpoint: Có các chính sách bảo mật cho ứng dụng và người dùng là rất quan trọng. Tuy nhiên, chúng cần được kiểm tra và cập nhật liên tục khi các tính năng và chức năng mới được thêm vào các thiết bị kết nối mạng. Xác minh và kiểm tra các chính sách, sử dụng các kỹ thuật như kiểm tra thâm nhập và chạy thử các kế hoạch khắc phục thảm họa của bạn.

Số 4: Máy chủ Remote Desktop Protocol (RDP) có thể được bảo vệ khỏi những kẻ tấn công bằng cách thay đổi các cổng mà chúng đang sử dụng và sử dụng xác thực đa yếu tố (MFA)

SophosCounterpoint: Cổng tiêu chuẩn được sử dụng cho các dịch vụ RDP là 3389, vì vậy hầu hết những kẻ tấn công sẽ quét cổng này để tìm các máy chủ truy cập từ xa đang mở. Tuy nhiên, quá trình quét sẽ xác định bất kỳ dịch vụ đang mở nào, bất kể cổng chúng đang ở đâu, do đó, việc thay đổi các cổng tự cung cấp ít hoặc không có khả năng bảo vệ.

Hơn nữa, mặc dù việc giới thiệu xác thực đa yếu tố là quan trọng, nhưng nó sẽ không tăng cường bảo mật trừ khi chính sách được thực thi cho tất cả nhân viên và thiết bị. Hoạt động RDP nên diễn ra trong ranh giới bảo vệ của mạng riêng ảo (VPN), nhưng ngay cả điều đó cũng không thể bảo vệ hoàn toàn một tổ chức nếu những kẻ tấn công đã có chỗ đứng trong mạng. Tốt nhất, trừ khi việc sử dụng nó là cần thiết, bảo mật IT nên hạn chế hoặc vô hiệu hóa việc sử dụng RDP bên trong và bên ngoài.

Số 5: Chặn địa chỉ IP từ các khu vực có nguy cơ cao như Nga, Trung Quốc và Triều Tiên bảo vệ chúng ta trước các cuộc tấn công từ những khu vực địa lý đó

Sophos Counterpoint: Chặn IP từ các khu vực cụ thể không gây hại gì, nhưng nó có thể mang lại cảm giác an toàn sai nếu bạn chỉ dựa vào điều này để bảo vệ. Kẻ thù lưu trữ cơ sở hạ tầng độc hại của họ ở nhiều quốc gia, với các điểm nóng bao gồm Mỹ, Hà Lan và phần còn lại của châu Âu.

Số 6: Các bản sao lưu cung cấp khả năng miễn nhiễm khỏi tác động của ransomware

Sophos Counterpoint: Luôn cập nhật các bản sao lưu tài liệu là điều tối quan trọng trong kinh doanh. Tuy nhiên, nếu các bản sao lưu của bạn được kết nối với mạng thì chúng sẽ nằm trong tầm với của những kẻ tấn công và dễ bị mã hóa, xóa hoặc vô hiệu hóa trong một cuộc tấn công bằng ransomware.

Cần lưu ý rằng việc giới hạn số người có quyền truy cập vào các bản sao lưu của bạn có thể không tăng cường bảo mật một cách đáng kể vì những kẻ tấn công sẽ dành thời gian trong mạng của bạn để tìm kiếm những người này và thông tin đăng nhập của họ.

Tương tự, việc lưu trữ các bản sao lưu trên đám mây cũng cần được thực hiện cẩn thận, trong một sự cố mà Sophos Rapid Response điều tra, những kẻ tấn công đã gửi email cho nhà cung cấp dịch vụ đám mây từ một tài khoản quản trị IT bị tấn công và yêu cầu họ xóa tất cả các bản sao lưu. Nhà cung cấp đã tuân thủ.

Công thức chuẩn cho các bản sao lưu an toàn có thể được sử dụng để khôi phục dữ liệu và hệ thống sau cuộc tấn công bằng ransomware là 3: 2: 1: ba bản sao của mọi thứ, sử dụng hai hệ thống khác nhau, một trong số đó là offline

Một lưu ý cuối cùng về sự thận trọng, có sao lưu offline tại chỗ sẽ không bảo vệ thông tin của bạn khỏi các cuộc tấn công bằng mã độc tống tiền, nơi bọn tội phạm đánh cắp và đe dọa xuất bản dữ liệu của bạn thay vì hoặc cũng như mã hóa dữ liệu đó.

Số 7: Nhân viên hiểu về bảo mật

Sophos Counterpoint: Theo State of Ransomware 2021, 22% tổ chức tin rằng họ sẽ bị tấn công bởi ransomware trong 12 tháng tới vì khó có thể ngăn người dùng vi phạm bảo mật.

Các kỹ thuật xã hội như email lừa đảo đang trở nên khó phát hiện hơn. Thông điệp thường được viết thủ công, viết chính xác, có sức thuyết phục và được nhắm mục tiêu cẩn thận. Nhân viên của bạn cần biết cách phát hiện những tin nhắn đáng ngờ và phải làm gì khi nhận được chúng. Họ thông báo cho ai để các nhân viên khác có thể được đặt trong tình trạng báo động?

Số 8: Các nhóm ứng phó sự cố có thể khôi phục dữ liệu sau một cuộc tấn công bằng ransomware

Sophos Counterpoint: Điều này rất khó xảy ra. Những kẻ tấn công ngày nay mắc ít lỗi hơn rất nhiều và quá trình mã hóa đã được cải thiện, vì vậy việc dựa vào những người phản hồi để tìm ra lỗ hổng có thể khắc phục thiệt hại là cực kỳ hiếm. Các bản sao lưu tự động như Windows Volume Shadow Copies cũng bị xóa bởi hầu hết các ransomware hiện đại cũng như ghi đè lên dữ liệu gốc được lưu trữ trên đĩa khiến cho việc khôi phục không thể khác ngoài việc trả tiền chuộc.

Số 9: Trả tiền chuộc sẽ lấy lại dữ liệu sau một cuộc tấn công bằng ransomware

Sophos Counterpoint: Theo khảo sát của State of Ransomware năm 2021, một tổ chức trả tiền chuộc thu hồi được trung bình khoảng 2/3 (65%) dữ liệu của mình. Chỉ 8% lấy lại tất cả dữ liệu của họ và 29% khôi phục được ít hơn một nửa.

Hơn nữa, khôi phục dữ liệu chỉ là một phần của quá trình khôi phục, trong hầu hết các trường hợp, ransomware sẽ vô hiệu hóa hoàn toàn máy tính và phần mềm cũng như hệ thống cần được xây dựng lại từ đầu trước khi có thể khôi phục dữ liệu. Cuộc khảo sát năm 2021 cho thấy chi phí khôi phục trung bình gấp mười lần nhu cầu tiền chuộc.

Số 10: Việc phát tán ransomware là toàn bộ cuộc tấn công, nếu chúng ta sống sót thì chúng ta vẫn ổn

Sophos Counterpoint: Thật không may, trường hợp này hiếm khi xảy ra. Phần mềm tống tiền chỉ là điểm mà những kẻ tấn công muốn bạn nhận ra rằng chúng đang ở đó và những gì chúng đã làm.

Kẻ thù có thể đã ở trong mạng của bạn nhiều ngày nếu không phải vài tuần trước khi phát tán ransomware, khám phá, vô hiệu hóa hoặc xóa các bản sao lưu, tìm các máy có thông tin hoặc ứng dụng có giá trị cao để nhắm mục tiêu mã hóa, xóa thông tin và cài đặt các tải trọng bổ sung như backdoor . Duy trì sự hiện diện trong mạng của nạn nhân cho phép kẻ tấn công khởi động cuộc tấn công thứ hai nếu chúng muốn.

Sophos MTR (Managed Threat Response) là một dịch vụ săn tìm, phát hiện và phản ứng với mối đe dọa kết hợp với Machine Learning và phân tích của con người để có một phương pháp tiếp cận bảo vệ hệ thống mạng một cách chủ động. MTR kết hợp giữa Endpoint Protection và EDR của Sophos cùng với đội ngũ chuyên gia giàu kinh nghiệm nhằm vô hiệu hóa các mối đe dọa phức tạp và tinh vi nhất có thể chưa bị phát hiện.

Bài viết sẽ hướng dẫn 4 bước để triển khai Sophos MTR cho tổ chức doanh nghiệp.

Bước 1: Tạo tài khoản Sophos Central.

Bạn có thể tạo tài khoản Sophos Central theo hướng dẫn như video bên dưới.

Bước 2: Apply license MTR.

Tại dashboard Sophos Central di chuyển đến góc trên bên trái, click mũi tên sổ xuống tại email dùng để tạo tài khoản. Chọn Licensing.

Click Apply License Key

Copy và dán License Key đã mua. Click chọn “I have read….Sophos Privacy Policy”. Sau cùng chọn Apply.

Sau khi apply license MTR sẽ xuất hiện trong License Details.

Bước 3: Cấu hình Sophos MTR.

Tiếp theo là cung cấp thông tin về Authorized Contacts (Email, tên, số điện thoại liên hệ) để Sophos MTR có thể liên hệ khi phát hiện các mối đe dọa và có hướng xử lý. Bạn có thể cung cấp tối đa 3 liên hệ, sắp xếp theo thứ tự ưu tiên Primary > Secondary > Tertiary.

Kéo xuống phần Threat Response Mode: Bạn có thể chọn cách Sophos MTR phản ứng như thế nào với các mối đe dọa.

+ Notify: Sophos MTR sẽ thông báo cho bạn theo như liên hệ bạn đã cung cấp ở trên về việc phát hiện các mối đe dọa và cung cấp thông tin chi tiết để giúp bạn sắp xếp thứ tự ưu tiên và phản hồi.

+ Collaborate: Sophos MTR sẽ làm việc với nhóm nội bộ của bạn hoặc các đầu mối liên hệ bên ngoài để phản hồi phát hiện mối đe dọa.

+ Authorize: Sophos MTR sẽ xử lý thực hiện các hành động ngăn chặn và vô hiệu hóa mối đe dọa và sau đó sẽ thông báo cho bạn về các hành động đã thực hiện.

Click Save.

Bạn có thể thay đổi Authorize Contacts và Threat Response Mode bằng cách đi đến Global Settings > General > Managed Threat Response Preferences.

Bước 4: Triển khai Sophos MTR.

Đi đến phần Protect Device. Đối với máy tính để cài đặt bạn di chuyển đến Endpoint Protection, click chọn Download Complete Windows/macOS Installer.

Đối với Server bạn đi đến Server Protection, click chọn Download Windows/Linux Server Installer và tiến hành cài đặt.

 Sau khi cài đặt xong trên Computer và Server để kiểm tra bạn đi đến mục Device.

Chọn tab Computer đễ kiểm tra các máy tính đã cài đặt và tab Server cũng tương tự.

Ở đây ta có thể thấy máy tính với user là katelyn mới chỉ apply license Endpoint, để apply thêm license Intercept X và MTR bạn click vào dấu + bên dưới MTR.

Mục Intercept X chọn máy tính của katelyn trong bảng Eligible Computer nhấn dấu mũi tên > để chuyển sang bảng Assigned Computer.

Chuyển xuống mục Managned Threat Response cũng thực hiện tương tự như trên. Click Save.

Kết quả máy tính katelyn đã được apply license Intercept X và MTR.