Phân tích chuyên sâu

Rủi ro bảo mật lớn nhất hiện nay không phải là mã độc, mà chính là những công cụ bạn đang tin tưởng. Theo nghiên cứu, 84% các vụ tấn công nghiêm trọng hiện nay lạm dụng chính các tiện ích quản trị hợp lệ để xâm nhập hệ thống.

Khi công cụ quản trị trở thành vũ khí

PowerShell, WMIC, Netsh hay Certutil là những công cụ không thể thiếu của đội ngũ IT. Tuy nhiên, chúng cũng là bộ công cụ ưa thích của các tác nhân đe dọa hiện đại. Kỹ thuật này được gọi là 'Living-off-the-land' (LoTL) — sử dụng tài nguyên sẵn có để ẩn mình và thực hiện hành vi độc hại.

133 Binaries
Số lượng tệp thực thi 'Living-off-the-land' có sẵn trong một bản cài đặt Windows 11 tiêu chuẩn.

73% Điểm cuối
Tỷ lệ máy trạm đang kích hoạt PowerShell, phần lớn được gọi ngầm bởi các ứng dụng bên thứ ba.

Chiến lược Giảm thiểu Bề mặt Tấn công Động (DASR)

Đến năm 2030, dự kiến 60% các doanh nghiệp lớn sẽ áp dụng công nghệ DASR. Thay vì chỉ 'phát hiện và phản ứng', các tổ chức cần chủ động thu hẹp các nước đi mà kẻ tấn công có thể thực hiện ngay từ đầu thông qua quy trình đánh giá 45 ngày:

Học tập hành vi: Xây dựng hồ sơ hành vi cho từng cặp người dùng - máy tính trong 30 ngày.
Bảng điều khiển rủi ro: Nhận điểm số phơi nhiễm (0-100) và danh sách ưu tiên các công cụ đang bị lạm dụng.
Tăng tốc giảm thiểu: Áp dụng các biện pháp kiểm soát thủ công hoặc tự động để khóa các nhị phân không cần thiết.
Đánh giá hiệu quả: Xác định lượng bề mặt tấn công đã được thu hẹp và phát hiện các phần mềm 'Shadow IT'.

Hành động khẩn cấp cho Quản trị viên

Đừng chờ đợi đến khi xảy ra sự cố mới bắt đầu rà soát. Việc thu hẹp quyền hạn của các công cụ như PowerShell hay các công cụ quản trị từ xa có thể giảm tới 50% khối lượng công việc điều tra cho đội ngũ SOC.

Hãy nhớ: Một cuộc xâm nhập có trở thành thảm họa hay không phụ thuộc hoàn toàn vào những gì kẻ tấn công có thể tiếp cận được sau khi vào bên trong.

Nguồn tham khảo: The Hacker News

Liên hệ đội ngũ ứng cứu sự cố TMGS

Hiểm họa từ công cụ quản trị: Hiểu rõ bề mặt tấn công nội bộ trong 45 ngày