• Thứ Sáu, 13/03/2009 08:06 (GMT+7)

    Phòng thủ từ xa

    Thời gian gần đây, người ta nhắc nhiều đến khái niệm “quản lý rủi ro”. Trong lĩnh vực ATTT, hiện một số doanh nghiệp (DN) đã cung cấp dịch vụ (DV) kiểm tra an ninh mạng - một trong những nội dung của quản lý rủi ro.

    Với một ngân hàng, một công ty chứng khoán hay công ty bảo hiểm có lượng giao dịch lên đến hàng tỉ đồng mỗi ngày, việc đảm bảo ATTT hết sức quan trọng. Nếu hệ thống mạng bị hacker xâm nhập làm gián đoạn giao dịch, thay đổi dữ liệu thì ngoài thiệt hại hàng tỉ đồng còn gây mất niềm tin của khách hàng. Làm sao để giảm thiểu thiệt hại nếu chẳng may xảy ra sự cố là mối quan tâm của nhiều lãnh đạo DN hiện nay.

    Kiểm tra an ninh mạng là gì?

    Ông Võ Đỗ Thắng, giám đốc trung tâm An Ninh Mạng Athena giải thích: Các nhà cung cấp DV này sẽ kiểm tra các lỗ hổng hiện đang có trên hệ thống mạng DN. Họ sẽ đóng vai các nhân vật khác nhau (nhân viên, hacker) để tìm cách xâm nhập vào hệ thống mạng của DN, qua đó giúp DN nhận diện các lỗ hổng hiện có và đưa ra các giải pháp vá lỗ hổng. Nhờ đó, giúp DN có những giải pháp kịp thời để bảo vệ hệ thống thông tin, đảm bảo DN hoạt động liên tục. Việc dự phòng các sự cố xảy ra đối với hệ thống CNTT sẽ mang lại hiệu quả vô cùng lớn.

    Ở mức cao hơn, một số công ty ATTT còn có gói DV cung cấp thông tin. Chẳng hạn cảnh báo mới nhất từ các chuyên gia an ninh mạng về các kiểu xâm nhập trái phép mới của hacker trên toàn thế giới, các lỗ hổng mới xuất hiện trong các hệ điều hành như: Windows, Linux, Unix… và giúp khách hàng xây dựng các chính sách bảo mật thông tin; Tư vấn triển khai công nghệ phù hợp với pháp luật, chính sách, quy định của nội bộ và trong ngành. Vì vậy, điểm mấu chốt của việc kiểm tra, theo ông Henri Hoàng, giám đốc DV nâng cao hiệu quả thông tin của PricewaterhouseCooper (PwC), là để đảm bảo rằng hiện trạng và kế hoạch bảo mật thông tin liên kết chặt chẽ và đáp ứng được mục tiêu kinh doanh của DN.

    Nhà cung cấp DV Website ĐT
    Athena http://athena.com.vn/ 08.38244041
    Viện chiến lược CNTT-TT http://www.niics.gov.vn/ 04.35565043
    PricewaterhouseCooper http://www.pwc.com/ 08.38230796
    Misoft http://www.misoft.com.vn 04.3.9331613

    Những ích lợi do DV mang lại:
    - Nhìn hệ thống mạng của mình dưới con mắt của kẻ tấn công
    - Biết được khả năng bị tấn công là cao hay thấp
    - Hạn chế tối đa các tấn công

    Hai phương pháp kiểm tra được sử dụng phổ biến là "black box" (giả làm khách hàng hay hacker thực hiện các tấn công từ bên ngoài hệ thống vào) và "white box" (giả làm nhân viên trong DN có quyền truy cập vào một số tài nguyên và tìm lỗ hổng để nâng quyền truy cập lên cấp cao hơn). Ngoài ra, một số tổ chức chuyên nghiệp hơn như công ty PwC còn có các DV giả lập, mô phỏng các nguồn tấn công khác như thử thâm nhập từ modem, từ mạng vô tuyến…

    Doanh nghiệp được lợi gì?

    Kiểm tra an ninh mạng thường xuyên để phòng ngừa các cuộc xâm nhập trái phép, giúp đảm bảo an toàn cho hệ thống mạng hoạt động tốt.

    Hiện các nhà cung cấp có một số DV như kiểm tra an ninh mạng, đánh giá điểm yếu an ninh cho web được nhiều DN sử dụng hệ thống mạng máy tính, hệ thống website để quảng bá, giao dịch rất quan tâm. Tuy nhiên, một số DN khi trao đổi với người viết đã bày tỏ sự quan ngại về việc liệu có phải cung cấp những thông tin gì của DN cho nhà cung cấp DV? Về điều này, ông Thắng khẳng định: DN tham gia kiểm tra an ninh mạng hầu như không phải cung cấp bất kỳ một thông tin gì. Không những thế, khi phát hiện các lỗ hổng và đề xuất giải pháp, nhà cung cấp còn phải cam kết giữ kín và thực hiện theo đúng các điều khoản có trong hợp đồng và theo luật DN Việt Nam.

    Cũng theo ông Thắng, việc kiểm tra không hề gây gián đoạn hay ảnh hưởng đến hoạt động của DN, vì vậy, việc kiểm tra được thực hiện vào bất kỳ thời gian nào theo yêu cầu của DN. Trung bình, thời gian kiểm tra thường kéo dài 2 tuần. DN có thể kiểm tra theo định kỳ tháng, quý hoặc kiểm tra 24/24 giờ. Tuy nhiên, sau khi kiểm tra, DN không nên chủ quan mà cần có cơ chế giám sát thường xuyên.

    Công bố lỗ hổng trong công nghệ nhận dạng khuôn mặt

    Bkis đã công bố lỗ hổng trong công nghệ nhận dạng khuôn mặt trên các MTXT của Asus, Lenovo và Toshiba vào ngày 19/2/2009 tại hội thảo an ninh mạng Black Hat (Mỹ). Chuyên gia Nguyễn Minh Đức của trung tâm An Ninh Mạng Bkis, bằng một số thao tác kỹ thuật, đã vượt qua được tính năng bảo vệ bằng công nghệ nhận dạng khuôn mặt, lần lượt đăng nhập thành công vào MTXT Asus, Lenovo, Toshiba, dù chúng được thiết lập ở mức an ninh cao nhất. Chuyên gia Nguyễn Minh Đức khẳng định: "Lỗ hổng không thể khắc phục được và các nhà sản xuất cần phải loại bỏ, dừng phát triển công nghệ này. Họ cũng cần phải đưa ra thông báo chính thức tới người sử dụng trên toàn cầu, ngừng sử dụng tính năng nhận diện khuôn mặt trên các MTXT".

    Theo www.pcworld.com.vn, 23/2/2009


    Bằng Linh
    Từ khóa: Bằng Linh
    ID: B0903_76