Một nghiên cứu gần đây của công ty an ninh mạng McAfee báo cáo các website tên miền .vn của Việt Nam đang trở thành miếng mồi béo bở cho tội phạm công nghệ. Theo khảo sát của McAfee, khoảng 58% các trang web dùng tên miền .vn có chứa các đoạn mã xâm nhập, gây nguy cơ cho người truy cập.
An ninh mạng cần một giải pháp đồng bộ, tổng thể
Khảo sát ghi nhận Việt Nam mới trở thành “điểm đến hấp dẫn” cho tội phạm công nghệ cao vào năm 2010, vì năm 2009 các tên miền của Việt Nam chỉ đứng thứ 39 trên bảng xếp hạng nguy cơ toàn cầu. Năm 2010, các tên miền của Việt Nam xếp thứ ba trong bảng khảo sát của McAfee về mức độ nguy hiểm (29,4%), chỉ xếp sau tên miền thương mại .com (31,3%) và .info (30,7%) và dẫn đầu về mức độ nguy hiểm trong hệ thống tên miền quốc gia.
Giải thích tiến trình gia tăng trong các hoạt động đột nhập, giám đốc nghiên cứu an ninh mạng của McAfee Labs, bà Paula Greve, nói: “Tội phạm mạng nhắm vào các vùng mà chi phí đăng ký trang mạng rẻ và tiện nghi, cũng như ít nguy cơ bị phát hiện. Một tên miền an toàn trong năm nay có thể trở thành nguy hiểm trong năm sau”.
Theo khảo sát, khoảng 15.000 trong số 24.000 trang web sử dụng đuôi .vn bị tội phạm mạng khống chế và khai thác. Nhiều trang có tên miền .vn được dùng như địa chỉ để chuyển sang các trang hoạt động đột nhập hoặc mạng lưới bị các hệ thống điều khiển tự động chuyên đột nhập máy tính kiểm soát.
Giải pháp đồng bộ
Theo chuyên gia an ninh mạng, vấn đề an ninh mạng cần một giải pháp đồng bộ, tổng thể từ công nghệ đến con người. Về công nghệ, ngay từ khi xây dựng trang web có hai vấn đề cần quan tâm là mã nguồn (source code) và nơi lưu trữ website (hosting).
Vấn đề mã nguồn cho báo điện tử hiện nay có hai hướng tiếp cận, hoặc là mua trọn gói các phần mềm quản trị nội dung của các hãng lớn như Microsoft, IBM... hoặc thuê các công ty thiết kế web viết mã nguồn.
Với Microsoft có SharePoint Server, IBM có Lotus Note. Với các gói phần mềm của các “đại gia”, người dùng sẽ được hỗ trợ tối đa về các vấn đề nâng cấp và bảo mật bởi đây là công ty ở tầm toàn cầu. Cùng với sự hỗ trợ này thì chi phí cũng phải tương xứng, phải chi trả tiền bản quyền tính theo từng năm. Hiện nay đã có vài trang báo mạng sử dụng công nghệ SharePoint Server của “đại gia” Microsoft như Báo Thanh Niên, Báo Phụ Nữ TPHCM.
Trong khi đó nếu đi theo hướng thuê công ty lập trình viết mã nguồn riêng thì nên chú ý tuyệt đối không sử dụng những mã nguồn không rõ nguồn gốc như các mã nguồn mở, mã nguồn miễn phí, các mã nguồn dùng thử... Với những loại mã nguồn này, chúng thường được cài “cửa hậu” để kẻ xấu lợi dụng khi người sử dụng dùng đến.
Chính vì những yếu tố trên nên vấn đề mã nguồn cần được thảo luận và xác định nguồn gốc rõ ràng của mã nguồn trong hợp đồng. Từ những điều khoản này trong quá trình xây dựng trang mạng sẽ rà soát xác định lỗ hổng và đưa ra biện pháp khắc phục. Thậm chí, cần thuê chuyên gia an ninh mạng để rà soát lại. Khi đã có một trang mạng được lập trình an toàn, cần phải đặt nó ở máy chủ “sạch” để hạn chế rủi ro.
Bảo mật từ con người
Với các trang mạng lớn, để có một máy chủ “sạch”, cần có hệ thống máy chủ riêng. Như vậy người quản trị máy chủ sẽ có toàn quyền quản lý và điều khiển, tự đưa ra những chính sách bảo mật riêng cho tổ chức, như thiết lập cấu hình tường lửa, hạn chế mở các cổng (port)... Đặc biệt, không thuê host dùng chung với các trang mạng khác, điều này tránh việc trang mạng bị tấn công “hàng ngang”. Nghĩa là trang mạng đã được lập trình an toàn nhưng lưu trữ chung cùng với máy chủ có những trang mạng không an toàn xây dựng bằng các mã nguồn không rõ nguồn gốc như nêu ở trên thì tin tặc sẽ tấn công dễ dàng vào các trang mạng không an toàn, rồi từ đây sẽ dễ dàng “thanh toán” những trang nằm chung trên máy chủ đó.
Ngoài việc có hệ thống công nghệ chuẩn mực, quy trình vận hành cũng là yếu tố quan trọng, bảo đảm sự an toàn của website. Ở một số công ty, các quản trị mạng thường kết nối máy chủ với hệ thống mạng nội bộ (LAN) để dễ dàng truy cập quản trị hệ thống. Đây là kẽ hở để kẻ xấu trong nội bộ dễ dàng tấn công website hay vô tình tiếp tay cho tin tặc từ bên ngoài tấn công trang mạng bằng thủ đoạn lây nhiễm virus các máy trong mạng LAN rồi chiếm quyền điều khiển máy chủ. Một hệ thống an toàn cần thiết kế hệ thống mạng riêng ảo (VPN) để truy cập ngang hàng với máy chủ và cách ly hoàn toàn với người dùng. Với người sử dụng (phóng viên, biên tập viên) dùng mật khẩu không đủ mạnh (ngắn, không kết hợp chữ và số, dễ nhớ...) cũng có thể “giúp” hacker dễ dàng tấn công hệ thống.
