Trong khu “rừng rậm” Internet, một số mẹo hữu ích dành cho doanh nghiệp có thể tránh trở thành con mồi rơi vào bẫy của những kẻ săn mồi. Chúng bẫy chúng ta với “mũi giáo” lừa đảo (phishing), download drive-by và malware.

Các trình duyệt, Java, Javascript, HTML5 và các plug-in như Adobe Flash cho phép chúng ta sử dụng rất nhiều ứng dụng, nhưng đây cũng là cánh cửa tuyệt vời để tội phạm mạng tấn công chúng ta.

Bất kì công nghệ nào cũng có khuyết điểm có khả năng bị khai thác. Do đó, trình duyệt, thường được gọi là ứng dụng toàn cầu, được coi như một chiếc “ống dẫn” malware vào môi trường doanh nghiệp. Sự thật là, malware và những mối nguy hại của chúng đang phát triển cùng với nhu cầu của tội phạm mạng và black hats. Cùng với đó, các trình duyệt chẳng may đã trở thành một mục tiêu cụ thể. Đáng buồn thay, lịch sử cho thấy xu hướng tấn công này chỉ có gia tăng mà không thấy giảm. Cho dù gần đây có cuộc cách mạng về tính năng bảo mật, trình duyệt vẫn là một mục tiêu hàng đầu nếu bạn vẫn chưa chú ý tới vấn đề này trong môi trường doanh nghiệp.

Tuy nhiên, bạn vẫn có thể cải thiện khả năng bảo mật cho trình duyệt bằng cách thực hiện một số thay đổi đối với người dùng, công nghệ và các phương pháp. Chúng ta sẽ không còn là mồi cho cá piranha hay bữa ăn nhẹ của những con hổ dữ nữa mà có thể tự bảo vệ bản thân trong khu “rừng rậm” Internet. Dưới đây là top 10 lời khuyên để cải thiện bảo mật khi duyệt web.

1. Quản lý bản vá một cách tổng thể

Quản lý bản vá không phải là điều gì mới mẻ, nhưng nó hiếm khi được thực hiện một cách tổng thể, toàn diện. Hầu hết các công ty đều thực hiện công việc này rất tốt khi vá hệ điều hành chính nhưng đôi khi họ lại thiếu sót đối với những công nghệ liên quan tới web như Adobe Flash và Reader, Apple Quicktime và Java. Quản lý tổng thể các bản vá bao gồm toàn bộ ứng dụng desktop và ứng dụng bên thứ 3, bao gồm trình duyệt và các plug-in liên quan.

Nếu sự phức tạp trên desktop vẫn chưa đủ, công nghệ tiêu dùng (nhiều người dùng mang thiết bị của mình tới công ty) sẽ giới thiệu những hiểm họa mới về quản lý bản vá lẫn bảo mật. Mặc dù người điều hành muốn sử dụng một chiếc máy tính bảng mới hay người dùng muốn sử dụng những chiếc smartphone chạy trình duyệt cũ kỹ và dễ bị khai thác, trong mọi trường hợp chúng ta vẫn phải giữ cho các bản vá được cập nhật. Nỗ lực vá toàn diện và chặt chẽ sẽ rất tiện ích trong việc ngăn chặn nhiều mối nguy hại khác nhau. Hiển nhiên, đây không phải là thuốc chữa bách bệnh và bạn không thể chữa lỗi zero-day, nhưng khi làm những gì có thể, người dùng vẫn có khả năng giảm thiểu nguy cơ và chi phí.

2. Đóng cửa trình duyệt

Mặc dù là tín đồ của các phần mềm mã nguồn mở như Mozilla Firefox và Google Chrome, nhưng tôi vẫn sẽ tập trung vào vấn đề bảo mật trình duyệt với trung tâm là trình duyệt đang chiếm được nhiều thị phần nhất hiện nay:Microsoft Internet Explorer. Tất cả các thông số sử dụng trình duyệt hiện tại cho thấy Explorer hiện vẫn đang được sử dụng nhiều nhất. Bên cạnh đó, do Microsoft vẫn đang thống trị về lĩnh vực máy tính bàn, sức mạnh của Explorer thậm chí còn lớn hơn nữa.

Microsoft đã có khá nhiều bước tiến trong việc tăng cường bảo mật cho trình duyệt Internet Explorer, rất nhiều trong số chúng có trong Active Directory qua Group Policy. Active Directory không chỉ là dịch vụ sổ địa chỉ tập trung cung cấp các xác thực và ủy quyền cho miền Windows, nó còn quản lý được các policy bảo mật trong môi trường Windows. Group Policy cho phép các admin quản lý tập trung cấu hình của Internet Explorer, từ đó có thể đóng cửa hoàn toàn tất cả các trình duyệt.

Internet Explorer phiên bản 8 và 9 cung cấp khoảng 1,500 cấu hình cài đặt, vậy nên bạn khó có thể nói rằng nó không đủ độ linh hoạt để đáp ứng nhu cầu bảo mật của bản thân. Đối với sử dụng riêng cho doanh nghiệp, trình duyệt này có tính năng quản lý giao diện người dùng bằng cách disable một số menu hoặc lựa chọn cấu hình – điều chỉnh khu vực bảo mật (cho phép người dùng đặt mức độ tin cậy – trust – mà ứng dụng hoặc trình duyệt cần có); cài đặt màn hình lọc thông minh (giúp bảo vệ khỏi phần mềm hoặc trang web có chứa mã độc); sử dụng Active X control và lọc (cung cấp khả năng quản lý add-ons); quản lý và chặn các download,....

3. Lọc Proxy với khả năng quét malware

Là một tầng bảo mật phụ và như một phần của nỗ lực thêm chiều sâu cho bảo mật, một proxy lọc với khả năng quét malware sẽ là lựa chọn hoàn hảo. Các doanh nghiệp cung cấp những sản phẩm như thiết bị quản lý các mối nguy hại tập trung và các proxy lọc chuyên dụng với khả năng lọc Layer 7 tiên tiến, khả năng quét malware.

Những thiết bị này cho phép bạn có thêm được một tầng ứng dụng phụ theo dõi lưu lượng truy cập vào doanh nghiệp bạn; kết hợp với khả năng chặn địa chỉ URL, quét malware và cải thiện tính năng ghi. Điều này giúp giảm thiểu được chi phí chung cũng như tăng tốc khả năng thực hiện.

4. Phát triển khả năng chống malware

Chống malware đã phát triển từ những chữ ký và mẫu công nghệ đơn giản cho tới việc bao gồm các chức năng chẩn đoán và dựa trên hành động. Đây là một hướng phát triển đúng đắn trong thời kỳ có rất nhiều mối nguy hại trên web như hiện nay.

Các tính năng như dò tìm địa chỉ URL có chứa mã độc, firewall tiên tiến ngay trên máy khách, dò tìm xâm nhập trái phép vào host, cách ly và cho các ứng dụng vào danh sách đen/trắng giờ đây cũng được hỗ trợ rộng rãi. Những phương pháp chống malware này sẽ thêm một tầng phòng vệ chủ động cho những điểm yếu nhất trong môi trường doanh nghiệp. Bộ ứng dụng chống malware bạn sử dụng cần phải hỗ trợ những tính năng cốt lõi này cùng các công cụ quản lý khác. Nếu chưa có, bạn nên bổ xung ngay.

5. “Chăm sóc” các thiết bị di động

Smartphone và máy tính bảng ngày càng hiện diện nhiều hơn trong môi trường doanh nghiệp. Cùng với đó, malware cũng theo những thiết bị này vào công ty bạn. Các thiết bị hàng đầu như Google Android và Apple iOS đã cùng chia sẻ những vấn đề về bảo mật và chúng ta chỉ có thể mong chờ điều này tiếp tục được thực hiện. Nhân viên quản lý hệ thống và quản lý mạng không có khả năng quản lý hoặc tính năng bảo mật trên thiết bị di động giống như trên hệ điều hành cho máy tính desktop truyền thống. Người dùng có thể dễ dàng bị lừa download mã độc, phishing hoặc các kỹ thuật lừa đảo khác ngay trên thiết bị di động của mình. Điều này xảy ra khi thiết bị thiếu phương pháp bảo vệ được cung cấp bởi các giao thức bảo mật và trình duyệt mạnh mẽ như trên máy tính desktop.

Apple cần phải hành động nhiều hơn thay vì chỉ khẳng định phần mềm của mình luôn an toàn và cho rằng không cần bất kì một phần mềm diệt malware nào cả. Tương tự, Google cũng cần phải tập trung nhiều hơn vào những thị trường chưa được chú tâm. Thật thà mà nói, cả 2 công ty cần phải nỗ lực hơn nữa để có thể cải thiện vấn đề bảo mật. Hiện nay, các ứng dụng quản lý bên thứ 3 dành cho Android và iOS đang làm rất tốt công việc cung cấp khả năng quản lý và tăng bảo mật.

6. Policy tạo mật khẩu tốt và xác thực bằng 2 yếu tố

Các công cụ và kiến thức phá mật khẩu được cung cấp miễn phí hiện đang tồn tại rất nhiều. Do đó, mật khẩu và policy tạo mật khẩu của bạn cần phải đủ mạnh để có thể làm nản lòng hacker. Bất kì lúc nào, policy mật khẩu của bạn cần phải bao gồm đầy đủ các yêu cầu về độ dài, độ phức tạp và độ tuổi mật khẩu (thời hạn sử dụng mật khẩu).

Xác nhận bằng 2 yếu tố thường là một lựa chọn tốt, nhưng nó thường không được phức tạp cho lắm cũng như khá tốn kém. Đối với những ai sử dụng mật khẩu truyền thống, bảo vệ trình duyệt bằng tính năng quản lý mật khẩu có thể giúp ngăn chặn người dùng khỏi việc bị hiển thị những mật khẩu quan trọng. Tuy nhiên, một việc đáng buồn là những việc như vậy vẫn xảy ra. Đối với những vấn đề liên quan tới việc quản lý mật khẩu, có rất nhiều ứng dụng có khả năng thực hiện việc này, một số được tích hợp sẵn ngay trong trình duyệt còn số khác lại được tạo bởi bên thứ 3. Chúng ta có thể kể đến một số cái tên tiêu biểu như RoboForm, LastPass hay ứng dụng mã nguồn mở KeePass.

Cho dù bạn sử dụng mật khẩu ở đâu đi chăng nữa, các policy mạnh mẽ luôn là một ý tưởng tốt nhất

7. Thường xuyên yêu cầu người dùng tham gia khóa đào tạo bảo mật

Trong khi nhiều công ty đã chú tâm vào việc đào tạo bảo mật cho người dùng cuối, điều này vẫn là xa xỉn trên toàn cầu. Tuy nhiên, người dùng đóng một vai trò quan trọng trong việc bảo vệ thông tin – môi trường an toàn hơn và bảo mật hơn sẽ được thiết lập bởi người dùng được đào tạo bài bản. Đào tạo bảo mật cho người dùng cuối nên được thực hiện thường xuyên bởi các mối nguy hại luôn không ngừng phát triển. Ít nhất, việc đào tạo hàng năm sẽ giúp người dùng nhớ và cải thiện kỹ năng của họ trong việc đối phó với các mối nguy hại mới nhất. Một lực lượng nhân viên có nhận thức bảo mật cao sẽ là một tài sản lớn trong việc chống lại rất nhiều mối nguy hiểm hiện nay.

8. Policy và phương pháp đúng đắn

Policy bảo mật máy tính đúng đắn sẽ giúp người dùng hiểu được cách họ nên và không nên sử dụng nguồn thông tin như thế nào.

Người dùng nên đọc, chấp nhận và ký vào các policy bảo mật. Các phương pháp nên được đưa ra để người dùng hiểu được vai trò của họ trong việc đảm bảo an toàn cho doanh nghiệp. Policy và phương pháp nên được “ôn lại” trong quá trình đào tạo để người dùng cảnh giác và thu hút họ thực hiện một cách tự nguyện.

Đưa những policy và phương pháp như vậy vào công việc đào tạo người dùng cuối hàng ngày có thể tạo cho họ có nền tảng về các nguy cơ bảo mật và cách họ phản ứng đúng đắn khi đối mặt với chúng.

9. Quyền tối thiểu

Rất khó để tưởng tượng nhưng một số công ty vẫn cho máy tính desktop chạy với quyền admin. Để tránh những yêu cầu liên tục khi cần phải cài đặt hoặc cấu hình phần mềm, đội IT đôi khi lại cho phép người dùng cài đặt tất cả những gì họ muốn.

Người dùng cuối thường thiếu đi chuyên môn cần thiết để dò tìm ra malware, vậy nên họ hay bị thất bại trong việc tìm ra chúng. Thêm vào đó, các mối nguy hại từ bên trong cũng rất thực tế và bằng việc chạy các máy desktop theo kiểu như vậy, bạn giống như đang thách thức các nguy cơ về bảo mật.

Để giảm thiểu những nguy hại tiềm ẩn mà malware trên web hay nhắm tới, người dùng chỉ nên có được một số quyền tối thiểu cần thiết phục vụ cho công việc hàng ngày. Giảm phân quyền là việc đơn giản có thể giúp bảo mật tốt hơn.

10. Phòng vệ toàn diện

Đừng bị “ru ngủ” bởi những cảnh báo bảo mật sai mà rất nhiều phần mềm bảo mật cung cấp. Không có bất kì một dịch vụ, sản phẩm, hành động, nỗ lực nào là đủ để có được bảo mật toàn diện.

Những gì cần thiết là nỗ lực toàn diện, phù hợp để giảm thiểu nguy hại bằng cách sử dụng các phương pháp đã nêu trên – những thói quen bảo mật hay mà bạn nên học hỏi. Bảo mật không phải là giải pháp đơn giản như việc chỉ-và-kích, nó còn là một quá trình liên tục, đa dạng, lặp lại và đòi hỏi sự phối hợp.

Mặc dù 10 phương pháp nêu trên chỉ là một trong rất nhiều phương pháp hữu hiệu chúng tôi có thể giới thiệu cho các bạn trong bài viết này, nhưng chúng vẫn là một bước để hình thành hướng đi đúng đắn. Công nghệ không thôi vẫn chưa đủ để công ty của bạn được an toàn, nhưng có một cái nhìn toàn diện về bảo mật sẽ giúp giảm thiểu những mối nguy hại lây nhiễm qua web. Với việc malware trên web, điện toán đám mây cùng các thiết bị xách tay vẫn đang và tiếp tục phát triển thì chẳng có lý do gì để khẳng định rằng các mối nguy hiểm sẽ sớm bị loại bỏ.

Công ty của bạn không thể là “thiên đường” chứa mã độc, Javascript có chứa mã độc, plug-in lỗi hay các khai thác dựa trên trình duyệt khác. Do vậy, bạn sẽ phải “thuần hóa” trình duyệt hay ít nhất cũng phải làm cho nó an toàn hơn. Bên cạnh đó, hãy triển khai một hệ thống phòng vệ toàn diện, điều tra kỹ lưỡng các mối nguy hại trên web và cuối cùng là hưởng thụ một môi trường ít nguy hại hơn.

Theo QTM