Các phần mềm, công cụ giám sát và quản lý giúp quản trị viên thực hiện các tác vụ như xử lý sự cố, hỗ trợ kỹ thuật cho người dùng. Tuy nhiên, tội phạm mạng cũng lợi dụng các công cụ này trong quá trình tấn công mạng vào hạ tầng của một công ty. Các công cụ, phần mềm này cho phép kẻ tấn công chạy các tiến trình trên thiết bị đầu cuối, truy cập và lấy các thông tin nhạy cảm, vượt qua các lớp phòng thủ, bảo vệ mạng.

Việc phân tích dữ liệu ẩn danh từ các trường hợp phản ứng sự cố cho thấy, có 18 công cụ hợp pháp khác nhau đã bị kẻ tấn công lợi dụng cho các mục đích xấu. Công cụ được sử dụng nhiều nhất là PowerShell chiếm 25% các trường hợp. PsExec đứng thứ hai với tỷ lệ 22%. Ứng dụng này được sử dụng để chạy tiến trình trên các thiết bị đầu cuối từ xa. Theo sau là SoftPerfect Network Scanner với 14% các trường hợp được sử dụng để truy xuất thông tin về môi trường mạng.

Điều này khiến các giải pháp bảo mật khó phát hiện các tấn công. Bởi hành động của các công cụ này vừa có thể là một phần trong hành động của tội phạm hoặc vừa có thể là các tác vụ do quản trị viên thực hiện.

Tuy nhiên, các chuyên gia của Kaspersky cũng lưu ý rằng đôi khi các hành động nguy hại bằng cách sử dụng phần mềm hợp pháp cũng bộc lộ khá nhanh. Ví dụ, chúng thường được sử dụng trong tấn công của mã độc tống tiền và thiệt hại gây ra là khá rõ ràng. Thời gian tấn công trung bình cho các cuộc tấn công này là 1 ngày.

“Để tránh bị phát hiện và ẩn náu lâu dài trong một hệ thống mạng đã bị chiếm quyền lâu nhất có thể, kẻ tấn công thường sử dụng các phần mềm vốn được phát triển cho các hành động thông thường của người dùng, các tác vụ của quản trị viên và gỡ lỗi hệ thống. Với các công cụ này, kẻ tấn công có thể thu thập thông tin về hệ thống mạng và sau đó thực hiện mở rộng tấn công, thay đổi cài đặt phần cứng, phần mềm hoặc thực hiện một số hành động nguy hại. 

Ví dụ, họ có thể sử dụng các phần mềm hợp pháp để mã hóa chính dữ liệu của khách hàng. Các phần mềm hợp pháp này cũng có thể giúp kẻ tấn công ẩn náu, tránh bị phát hiện bởi đội ngũ chuyên gia an ninh mạng, vì họ chỉ phát hiện ra tấn công khi đã có thiệt hại xảy ra. Sẽ không thể loại bỏ các công cụ này, tuy nhiên việc triển khai các hệ thống giám sát và ghi nhật ký (log) sẽ giúp phát hiện các hành vi bất thường trong hệ thống mạng và các tấn công mạng ngay khi mới ở giai đoạn đầu”, Konstantin Sapronov, Trưởng nhóm ứng cứu khẩn cấp toàn cầu của Kasperksy chia sẻ.

Ông Stephan Neumeier, Giám đốc điều hành Kaspersky Châu Á Thái Bình Dương lưu ý rằng, “Thực tế tội phạm mạng đang sử dụng các công cụ truy cập từ xa hợp pháp để tấn công một hệ thống mà không bị phát hiện trong thời gian dài, cho thấy tầm quan trọng của việc cần nhanh chóng phát hiện và phản ứng sự cố trong khi bảo vệ hệ thống khỏi một mối đe dọa chưa biết (unknown threat) có thể ẩn náu trong hệ thống và sử dụng một công cụ hợp pháp. Số lượng của các cuộc tấn công thành công như vậy đã tăng lên 30%, đây sẽ là mối quan tâm lớn của CIO và CISO - những người đảm nhận trách nhiệm lớn trong việc bảo vệ mạng của khỏi các mối đe dọa nghiêm trọng như tấn công zero-day và mã độc tống tiền.

Triển khai một giải pháp phát hiện và phản ứng trên thiết bị đầu cuối (Endpoint Detection and Response - EDR) để phát hiện các sự cố và phản ứng kịp có thể giúp ích rất lớn cho đội ngũ bảo mật. Giải pháp này không chỉ cung cấp báo cáo real-time về các hành động khác nhau đang diễn ra mà cũng đồng thời cảnh báo về các mối đe dọa đang ngờ, tiềm ẩn ngay cả khi chúng được ngụy trang dưới công cụ quản trị hợp pháp”

Để phát hiện và phản ứng những tấn công như vậy một cách kịp thời, các tổ chức nên triển khai giải pháp EDR kèm theo dịch vụ quản lý phát hiện và phản ứng (Manage Detection and Response - MDR). Đồng thời, Kaspersky cũng khuyến nghị các biện pháp sau:

Thứ nhất, Hạn chế quyền truy cập đối với các công cụ quản lý từ xa từ đị chỉ IP bên ngoài. Đảm bảo rằng giao diện điều khiển từ xa này chỉ có thể truy cập từ một số thiết bị nhất định.

Thứ hai, Thực thi chính sách mật khẩu đối với toàn bộ hệ thống công nghệ thông tin và triển khai xác thực đa nhân tố.

Cuối cùng, Tuân thủ nguyên tắc hạn chế quyền của người dùng và chỉ cung cấp quyền đủ để họ thực hiện công việc.