Bảo vệ VPN trước các cuộc tấn công ransomware kích hoạt luật thông báo vi phạm dữ liệu
Hầu hết mọi người nghĩ ransomware là tình huống khóa và đòi tiền: kẻ tấn công mã hóa tập tin của bạn, bạn trả tiền, bạn lấy lại chúng. Thực tế còn tàn khốc hơn. Các nhóm ransomware hiện đại không chỉ mã hóa dữ liệu; chúng đánh cắp nó trước. Chính bước thứ hai đó, đánh cắp dữ liệu, đã biến một sự cố ransomware thành một vụ vi phạm dữ liệu phải báo cáo theo luật định, kích hoạt nghĩa vụ thông báo theo các luật như HIPAA, các quy chế tiểu bang về vi phạm dữ liệu, và Quy tắc Thông báo Vi phạm Dữ liệu Sức khỏe của FTC. Hiểu được vị trí của bảo vệ VPN trong bức tranh này giúp cả cá nhân và tổ chức ứng phó một cách thông minh hơn.
Cách Ransomware Trở thành Vụ Vi phạm Dữ liệu Phải Báo cáo
Không phải mọi cuộc tấn công ransomware đều được coi là vi phạm dữ liệu theo luật Hoa Kỳ. Chỉ mã hóa đơn thuần, khi dữ liệu bị xáo trộn trên hệ thống của bạn nhưng không bao giờ rời khỏi đó, có thể không đạt ngưỡng pháp lý. Yếu tố kích hoạt là sự truy cập hoặc thu thập trái phép thông tin được bảo vệ. Khi kẻ tấn công sao chép tập tin trước khi mã hóa, hành động đánh cắp dữ liệu đó đã chuyển đổi sự cố thành một vụ vi phạm đòi hỏi phải thông báo cho các cá nhân bị ảnh hưởng, cơ quan quản lý, và trong một số trường hợp là truyền thông.
Mô hình "tống tiền kép" này hiện là thông lệ tiêu chuẩn của các nhóm ransomware. Kẻ tấn công đe dọa công bố dữ liệu bị đánh cắp trên các trang web rò rỉ nếu không trả tiền chuộc, tạo cho chúng hai điểm đòn bẩy. Rủi ro pháp lý cho các tổ chức nạn nhân cũng theo cấu trúc kép tương tự: gián đoạn hoạt động do mã hóa cộng với các hậu quả về quy định và uy tín từ vụ vi phạm.
Vụ vi phạm dữ liệu của Conduent, làm lộ thông tin cá nhân nhạy cảm của khoảng 25 triệu người Mỹ, minh họa chính xác kịch bản này. Một công ty dịch vụ kinh doanh xử lý dữ liệu cho các nhà cung cấp dịch vụ chăm sóc sức khỏe và cơ quan chính phủ đã trở thành phương tiện để một cuộc tấn công ransomware vượt ngưỡng thành vi phạm, ảnh hưởng đến những người không có mối quan hệ trực tiếp với công ty bị xâm phạm.
Vai trò của VPN trong Chuỗi Tấn công Ransomware
Để hiểu VPN thực tế có thể làm gì, việc phác thảo chuỗi tấn công ransomware điển hình sẽ hữu ích. Kẻ tấn công thường xâm nhập ban đầu qua email lừa đảo, các cổng giao thức bàn làm việc từ xa (RDP) bị lộ, hoặc các lỗ hổng chưa được vá trong các hệ thống hướng ra internet. Sau khi có chỗ đứng, chúng di chuyển ngang qua mạng, leo thang đặc quyền, xác định dữ liệu có giá trị, đánh cắp nó, và cuối cùng triển khai mã độc mã hóa.
VPN hoạt động chủ yếu ở hai điểm trong chuỗi đó.
Thứ nhất, đối với nhân viên làm việc từ xa kết nối vào tài nguyên công ty, VPN mã hóa đường hầm giữa thiết bị đầu cuối và mạng. Điều này ngăn kẻ tấn công chặn thông tin đăng nhập hoặc token phiên qua các kết nối không an toàn, đặc biệt là trên Wi-Fi công cộng, một vectơ phổ biến để thu thập thông tin đăng nhập dẫn đến xâm nhập sau này.
Thứ hai, VPN site-to-site phân đoạn lưu lượng mạng giữa các văn phòng chi nhánh và trung tâm dữ liệu. Phân đoạn đúng cách hạn chế sự di chuyển ngang. Nếu kẻ tấn công xâm phạm một phân đoạn, một kiến trúc VPN được cấu hình tốt với kiểm soát truy cập nghiêm ngặt có thể làm chậm hoặc ngăn chúng lan sang các hệ thống chứa dữ liệu nhạy cảm, chính là dữ liệu mà nếu bị đánh cắp sẽ kích hoạt thông báo vi phạm.
Đối với các tổ chức, việc kết hợp truy cập VPN với xác thực đa yếu tố là đặc biệt quan trọng. Hướng dẫn phòng chống ransomware của chính CISA đã nhấn mạnh MFA trên tất cả các kết nối VPN như một biện pháp kiểm soát nền tảng, và có lý do chính đáng: thông tin đăng nhập bị đánh cắp được sử dụng để chống lại một điểm cuối VPN không được bảo vệ là một trong những con đường xâm nhập phổ biến nhất của các toán vận hành ransomware.
Để hiểu cơ chế kỹ thuật đằng sau cách ransomware lan truyền một khi đã xâm nhập mạng, việc xem lại những điều cơ bản về cách hoạt động của loại phần mềm độc hại này là đáng giá, vì giai đoạn mã hóa chỉ là hành động cuối cùng của một vụ xâm nhập dài hơn nhiều.
Hạn chế: Những gì VPN Không thể Chặn
Bảo vệ VPN trước các cuộc tấn công ransomware là có thực nhưng có giới hạn. VPN không phải là sự thay thế cho bảo mật điểm cuối, và sự phân biệt này rất quan trọng.
Nếu một nhân viên nhấp vào tệp đính kèm email độc hại trên một thiết bị đã được kết nối với VPN, phần mềm độc hại sẽ có quyền truy cập trực tiếp vào mạng được bảo vệ. Đường hầm mã hóa hoạt động theo cả hai chiều: nó bảo vệ lưu lượng hợp pháp và đồng thời cũng mang lưu lượng độc hại một khi thiết bị đầu cuối bị xâm phạm. VPN không kiểm tra tải trọng để tìm phần mềm độc hại, không vá các lỗ hổng phần mềm và không ngăn người dùng tải xuống các tệp bị nhiễm.
Các nhóm ransomware cũng đã nhắm mục tiêu cụ thể vào chính phần mềm VPN. Các lỗ hổng trong các sản phẩm VPN được triển khai rộng rãi đã bị khai thác làm vectơ xâm nhập ban đầu, có nghĩa là một thiết bị VPN chưa được vá có thể trở thành cánh cửa kẻ tấn công bước qua, thay vì là rào cản ngăn chúng lại. Luôn cập nhật phần mềm VPN không phải là tùy chọn; đó là một phần của hệ thống phòng thủ.
Ngoài ra, VPN không cung cấp sự bảo vệ chống lại các mối đe dọa nội bộ, tài khoản nhà cung cấp bị xâm phạm, hoặc những kẻ tấn công đã thiết lập sự hiện diện dai dẳng qua các phương tiện khác trước khi chính sách VPN được thực thi.
Cá nhân và Tổ chức Nên Làm gì Ngay bây giờ
Đối với tổ chức, ưu tiên hàng đầu là coi truy cập VPN như một lớp trong kiến trúc zero-trust rộng lớn hơn. Điều đó có nghĩa là thực thi MFA trên mọi kết nối VPN, áp dụng nguyên tắc đặc quyền tối thiểu để người dùng chỉ có thể tiếp cận các hệ thống liên quan đến vai trò của họ, và giám sát nhật ký VPN để phát hiện hành vi bất thường như đăng nhập vào giờ lạ hoặc từ các vị trí không mong đợi.
Phân đoạn mạng thông qua chính sách VPN nên được xem xét với ngưỡng thông báo vi phạm dữ liệu trong tâm trí. Hãy tự hỏi hệ thống nào chứa dữ liệu mà nếu bị đánh cắp sẽ kích hoạt nghĩa vụ báo cáo, và đảm bảo những hệ thống đó nằm trong các phân đoạn được kiểm soát chặt chẽ nhất.
Quản lý bản vá cho các thiết bị VPN xứng đáng được chú ý đặc biệt. Nhiều sự cố ransomware nổi đình nổi đám trong những năm gần đây bắt nguồn từ các lỗ hổng chưa được vá trong các sản phẩm VPN. Xử lý các bản cập nhật phần mềm VPN với cùng mức độ khẩn cấp như các bản vá hệ điều hành sẽ thu hẹp một lỗ hổng thường bị bỏ qua.
Đối với cá nhân, sử dụng VPN trên mạng công cộng hoặc mạng chia sẻ giúp giảm nguy cơ bị chặn thông tin đăng nhập. Tuy nhiên, việc sử dụng VPN cá nhân nên đi kèm với mật khẩu mạnh, duy nhất và MFA trên mọi tài khoản quan trọng, vì đánh cắp thông tin đăng nhập hơn là chặn mạng mới là mối đe dọa cấp độ cá nhân có khả năng xảy ra cao hơn.
Sao lưu vẫn là biện pháp kiểm soát phục hồi đáng tin cậy nhất đối với ransomware. Các bản sao lưu ngoại tuyến hoặc bất biến mà kẻ tấn công không thể tiếp cận hoặc mã hóa là thứ giúp khôi phục hoạt động mà không cần trả tiền chuộc và không gánh chịu các hậu quả thông báo vi phạm dữ liệu sau khi mất dữ liệu.
Bài học từ các sự cố như vụ vi phạm của Conduent là việc kiểm soát mạng không đầy đủ tại một tổ chức có thể phơi bày hàng chục triệu người chưa từng tương tác trực tiếp với tổ chức đó. Xem xét lại cấu hình VPN, chính sách truy cập và chiến lược phân đoạn của bạn không phải là một bài tập trừu tượng. Đó là công việc thực tế quyết định liệu một cuộc tấn công ransomware sẽ được ngăn chặn hay trở thành một vụ vi phạm dữ liệu mang theo các hậu quả pháp lý, tài chính và uy tín trong nhiều năm.
