Trong thời đại cuộc cách mạng công nghiệp lần thứ tư, các thiết bị Internet vạn vật (Internet of Things - IoT) đã đem đến nhiều tiện ích cho các doanh nghiệp và tổ chức, giúp cho công việc hàng ngày của người dùng như mua sắm và thanh toán hóa đơn trở nên dễ dàng.
Tuy nhiên, đi kèm với sự tiện lợi này là những rủi ro mất an toàn bởi số lượng các thiết bị được kết nối trong cuộc sống ngày càng tăng, nguy cơ mất an toàn thông tin đến từ những thiết bị không đảm bảo an toàn ngày càng nhiều. Chính vì vậy, việc dự báo, phòng ngừa và khắc phục các lỗ hổng mạng và nâng cao nhận thức về bảo mật an ninh mạng là một trong những mối quan tâm hàng đầu của các tổ chức, cá nhân.
IoT tạo ra lượng dữ liệu khổng lồ từ cảm biến được gắn vào các bộ phận của máy móc, các hệ thống camera, nhà thông minh...
1. Sự phát triển bùng nổ của các thiết bị IoT
IoT là một mạng lưới của các đối tượng vật lý hay “các sự vật” được nhúng với thiết bị điện tử; phần mềm; cảm biến, mỗi đối tượng này được cung cấp một định danh riêng, có khả năng truyền tải, trao đổi thông tin, dữ liệu với nhau qua một cơ sở hạ tầng mạng. Việc kết nối được thực hiện qua Wi-Fi, mạng băng thông rộng (3G, 4G), Bluetooth, hồng ngoại... Các thiết bị có thể là điện thoại thông minh, máy pha cafe, máy giặt, tai nghe, bóng đèn, và nhiều thiết bị khác. IoT là mạng khổng lồ kết nối mọi thứ, bao gồm cả con người và sẽ tồn tại các mối quan hệ giữa người với người, người với thiết bị và thiết bị với thiết bị. Một mạng IoT có thể chứa từ 50 đến 100 nghìn tỷ đối tượng được kết nối và mạng lưới này có thể theo dõi sự di chuyển của từng đối tượng.
Các đối tượng chính sử dụng thiết bị IoT bao gồm: Chính phủ; doanh nghiệp và người tiêu dùng. Các nhóm đối tượng này được dự đoán sẽ đóng góp chủ yếu cho thị trường IoT. Theo công ty nghiên cứu Business Insider Intelligence (Mỹ), tính đến quý III/2020, trên thế giới có khoảng 5 tỷ thiết bị IoT được người tiêu dùng cài đặt, dự báo vốn đầu tư vào thị trường IoT là 400 triệu USD. Đối với các chính phủ, sẽ có khoảng 7,7 tỷ thiết bị IoT được cài đặt. Đối với thị trường doanh nghiệp, sẽ có khoảng 11,2 tỷ thiết bị.
Tuy nhiên, với tốc độ tăng trưởng bùng nổ cùng quá nhiều tiềm năng của IoT như vậy, công nghệ này không chỉ mang đến những cơ hội mới cho nhân loại mà còn ẩn chứa rất nhiều rủi ro trong quá trình phát triển.
2. Nhận diện các đe dọa bảo mật đến từ hệ thống IoT
IoT là một vấn đề vô cùng phức tạp. Để vận hành thành công một hệ thống IoT thì bên cạnh một ứng dụng điều khiển trung tâm, mạng Internet và các thiết bị thông minh, cần đến rất nhiều nhân lực có trình độ cao cũng như những đầu tư xứng đáng. Ngày nay, khi càng nhiều kết nối được tạo ra, dữ liệu càng được chia sẻ rộng rãi thì càng trở thành mục tiêu tấn công của tội phạm mạng. Vì vậy, trong bối cảnh bùng nổ của IoT, việc dự báo, phòng ngừa và khắc phục các lỗ hổng mạng là một trong những nhiệm vụ hàng đầu của các tổ chức và cá nhân.
2.1. Lỗ hổng bảo mật trong IoT
Ước tính, mỗi ngày có ít nhất 6 triệu thiết bị IoT mới xuất hiện và tham gia vào hệ thống, đồng nghĩa với việc số lượng lỗ hổng bảo mật ngày càng gia tăng trong hệ thống IoT. Các nhà nghiên cứu đã tìm thấy 47 lỗ hổng bảo mật trong 23 thiết bị IoT của 21 nhà sản xuất. Theo dự án bảo mật web mở OWASP, 10 lỗ hổng bảo mật thường gặp trên các thiết bị IoT đó là: (1) Mật khẩu yếu, có thể đoán được hoặc mật khẩu được đặt mặc định; (2) Các dịch vụ mạng được sử dụng để truy cập các thiết bị IoT không an toàn; (3) Các kết nối mở rộng trong hệ sinh thái IoT không an toàn; (4) Thiếu các cơ chế cập nhật an toàn, hoặc cơ chế cập nhật còn nhiều thụ động; (5) Sử dụng các thành phần, thư viện phần mềm không an toàn hoặc lỗi thời; (6) Bảo vệ quyền riêng tư không đầy đủ; (7) Truyền và lưu trữ dữ liệu không an toàn; (8) Thiếu sự quản lý các thiết bị IoT; (9) Cài đặt mặc định không an toàn; (10) An ninh vật lý kém.
2.2. Khả năng bị tấn công trên diện rộng
Hệ thống IoT luôn là nơi cho tội phạm mạng tấn công, xâm nhập và khai thác do số lượng thiết bị khổng lồ sẽ làm tăng xác suất, tần số và mức độ nghiêm trọng của các cuộc tấn công. Trong trường hợp tấn công thành công, hacker sẽ nhanh chóng kiểm soát toàn bộ hệ thống mạng và làm tê liệt nhiều thiết bị IoT cùng lúc.
Nghiên cứu bảo mật của TrapX Security đã chỉ ra cách tấn công chiếm quyền điều khiển một bộ điều khiển nhiệt gia dụng kết nối Internet - NEST (thuộc sở hữu của Google). Từ đó, khai thác lỗ hổng bảo mật này để giành quyền kiểm soát toàn bộ các thiết bị kết nối trong ngôi nhà. Hay theo báo cáo gần đây của Công ty an ninh mạng Darktrace, các hacker đã chiếm quyền điều khiển một bể nuôi cá thông minh tại một sòng bạc ở Bắc Mỹ để kiểm soát hệ thống máy chủ của sòng bạc và đánh cắp 10 GB dữ liệu người chơi về máy chủ ở Ba Lan.
Những ví dụ trên đây chỉ là số ít trong rất nhiều dẫn chứng về việc thiết bị IoT là một trong những mắt xích yếu gây hiệu ứng lan truyền dẫn đến toàn bộ hệ thống mạng của một tổ chức, doanh nghiệp hay cá nhân bị tê liệt. Thông qua việc kiểm soát các thiết bị IoT, hacker không chỉ đánh cắp dữ liệu mà còn gây ra nhiều hậu quả đáng tiếc.
2.3. IoT - nguồn dữ liệu không giới hạn
Với hàng chục tỷ thiết bị trong hệ thống, IoT tạo ra lượng dữ liệu khổng lồ từ cảm biến được gắn vào các bộ phận của máy móc, các hệ thống camera, thành phố thông minh, nhà thông minh, điện thoại thông minh... Có thể khẳng định IoT là nguồn dữ liệu không có giới hạn. Theo dự báo của IDC (International Data Corporation), vào năm 2025, IoT sẽ tạo ra khoảng 79,4 Zettabyte dữ liệu. Không những thế, nguồn dữ liệu này còn chứa thông tin dữ liệu, mật khẩu người dùng. Những dữ liệu này được các công ty, doanh nghiệp sử dụng trong quảng cáo, tiếp thị và cũng là thứ để hacker tống tiền, tấn công tài khoản ngân hàng hoặc các loại tài khoản khác của người dùng.
2.4. Nguy cơ của các cuộc tấn công từ chối dịch vụ phân tán DDoS
Xu thế mới của DDoS (Distributed Denial of Service) là lợi dụng các lỗ hổng từ các thiết bị IoT để biến chúng thành các botnet (các mạng máy tính được tạo lập từ các máy tính mà hacker có thể điều khiển từ xa). Nghiên cứu mới đây của Symantec đã cho thấy, nạn tấn công thiết bị IoT đang ngày càng gia tăng. Tội phạm mạng đã lợi dụng những lỗ hổng bảo mật này để chiếm quyền điều khiển các mạng gia đình và các thiết bị tiêu dùng được kết nối, từ đó thực hiện những cuộc tấn công từ chối dịch vụ DDoS.
Điển hình của việc lợi dụng các thiết bị IoT thực hiện tấn công DDoS chính là mã độc Mirai. Các tội phạm mạng đã lợi dụng mã nguồn của Mirai để lây nhiễm sang các thiết bị IoT nhằm tạo ra các botnet sau vai trò rất lớn của phần mềm độc hại này trong việc tạo ra một cuộc tấn công DDoS vào website của phóng viên an ninh mạng Brian Krebs - đây là cuộc tấn công từ chối dịch vụ đạt kỷ lục với lưu lượng 620 Gbps từ các thiết bị IoT bị nhiễm. Đặc điểm của mạng botnet này là nó không dựa trên máy tính, mà được xây dựng từ các thiết bị IoT bị nhiễm Mirai như máy ảnh, máy quay kỹ thuật số (DVR)... Những thiết bị này chủ yếu bị lây nhiễm do người dùng sử dụng tên và mật khẩu có độ bảo mật yếu, hoặc dùng mặc định.
Theo Symantec, với nhiều vụ chiếm quyền điều khiển tự động hóa nhà và các thiết bị an ninh nhà. Trong đó, kẻ tấn công thường ít quan tâm đến nạn nhân mà phần lớn muốn chiếm quyền điều khiển thiết bị để thêm nó vào botnet, rồi sử dụng để thực hiện tấn công DDoS. Hầu hết phần mềm độc hại nhằm mục tiêu vào thiết bị IoT như máy chủ web, router, modem, thiết bị lưu trữ dữ liệu qua mạng NAS, hệ thống camera quan sát và hệ thống điều khiển. Bảo mật yếu kém trên nhiều thiết bị IoT đã khiến chúng dễ dàng trở thành mục tiêu tấn công và thậm chí ngay cả khi đã bị nhiễm mã độc, nạn nhân vẫn không hề hay biết.
Mỗi thiết bị IoT đều có thể là một điểm bắt đầu của một cuộc tấn công
3. Giải pháp phòng chống và cách khắc phục
Các hình thức tấn công phổ biến từ thiết bị IoT là sử dụng các thiết bị này như một mạng lưới botnet để thực hiện tấn công từ chối dịch vụ DDoS, hay lây nhiễm malware để thực thi các đoạn chương trình được viết sẵn nhằm mục đích tấn công vào hệ thống để lấy cắp dữ liệu. Mỗi thiết bị IoT đều có thể là một điểm bắt đầu của một cuộc tấn công. Trong khi các doanh nghiệp trong mọi lĩnh vực, từ sản xuất đến bán lẻ, từ công nghiệp ô tô đến ngành y tế đều đang ứng dụng IoT để khai thác dữ liệu, ra quyết định nhằm tiết kiệm chi phí, đảm bảo an toàn và nâng cao hiệu quả doanh nghiệp. Do đó, những nguy cơ rủi ro an toàn thông tin là hiện hữu. Tuy nhiên, các doanh nghiệp có thể hạn chế tối đa rủi ro từ IoT và khai thác triệt để lợi ích của công nghệ này bằng các giải pháp sau:
- Rà quét và phân loại các thiết bị IoT để giảm rủi ro cho doanh nghiệp: Phân loại, chia tách các thiết bị IoT thành các nhóm đối tượng khác nhau, ví dụ nhóm đối tượng có kết nối Internet và đối tượng chỉ có kết nối với hệ thống mạng của doanh nghiệp, không có bất cứ kết nối nào ra bên ngoài. Nhóm thiết bị có kết nối Internet cần được áp dụng các chính sách an toàn thông tin chặt chẽ hơn, do chúng thuộc nhóm dễ bị hacker khai thác nhất.
- Kiểm soát chặt chẽ các thiết bị có nguy cơ lây nhiễm cao như một số thiết bị y sinh hay camera an ninh là các thiết bị IoT dễ bị tấn công, khai thác nhất. Do đó, các chính sách an toàn thông tin đối với loại thiết bị này cần được xem xét kỹ. Chẳng hạn như mật khẩu sử dụng truy cập nghiêm cấm sử dụng mật khẩu mặc định. Ngoài ra, việc cập nhật các bản vá lỗi, các phiên bản hệ điều hành mới cho các thiết bị này cũng là nhiệm vụ thiết yếu hàng đầu trong giảm thiểu rủi ro mất an toàn thông tin.
- Xây dựng phương án quy hoạch mạng riêng (VLAN) cho các thiết bị IoT vì thời gian gần đây ghi nhận một sự gia tăng số lượng mạng riêng ảo (VLAN) trong các doanh nghiệp. Tuy nhiên, các doanh nghiệp cần lưu ý trong thiết kế hệ thống hãy loại bỏ việc sử dụng các mạng riêng ảo hoặc quy hoạch cùng dải mạng cho các thiết bị IoT và các thiết bị công nghệ thông tin trọng yếu. Người quản trị cần xác định, quy hoạch các phân lớp mạng riêng cho hai nhóm thiết bị này. Tùy theo mức ưu tiên, chỉ cho phép truy cập từ thiết bị thuộc vùng có mức bảo mật cao đến các thiết bị thuộc vùng có mức bảo mật thấp hơn, chiều ngược lại sẽ bị chặn.
- Xây dựng các hệ thống giám sát an ninh mạng: Đối với các hệ thống lớn, việc giám sát được thực hiện trên hai hệ thống là NOC (dùng cho giám sát dịch vụ mạng) và SOC (dùng cho giám sát an toàn thông tin). Với các hệ thống nhỏ hơn, việc giám sát dù không phân định rõ giữa NOC và SOC cũng cần có phương án giám sát an toàn thông tin. Bởi nhờ vào quá trình giám sát 24/7 và đưa ra các cảnh báo khi có bất thường xảy ra trong hệ thống, việc đề xuất các biện pháp phòng thủ cũng như quá trình truy vết dựa trên hệ thống (cho phép xem lại các log, sự kiện) cũng dễ dàng hơn.
4. Kết luận và một số khuyến nghị
IoT là mạng kết nối hàng tỷ thiết bị, với nền tảng là sự liên kết chặt chẽ, cốt lõi và giá trị của hệ thống là tập dữ liệu khổng lồ. Có thể thấy rằng, hệ sinh thái IoT ngày càng da dạng và phát triển không ngừng. Trong tương lai, tất cả các sự vật, thiết bị sẽ được kết nối với nhau và trở thành IoE (Internet of Everything). IoT thúc đẩy việc số hóa thông minh của các ngành, các tầng lớp xã hội, trở thành động lực thúc đẩy sự chuyển đổi số trên khắp thế giới, mang lại giá trị kinh tế rất lớn.
Lợi ích mà IoT đem lại là không thể phủ nhận, nhưng nguy cơ và thách thức mà IoT đặt ra cũng không hề nhỏ. Các công cụ được sử dụng để tấn công IoT ngày càng trở nên tinh vi hơn, các thuật toán tấn công và trí thông minh nhân tạo góp phần tạo nên mối đe dọa với IoT. Do đó, việc nâng cao nhận thức của các tổ chức/cá nhân là vô cùng cần thiết. Nhằm nâng cao bảo mật hệ thống IoT, chúng ta cần lưu ý một vài khuyến nghị sau:
Một là, các nhà sản xuất và phát triển thiết bị IoT cần đảm bảo theo đúng tiêu chuẩn, quy định và không ngừng cải tiến các thiết bị IoT; đưa ra yêu cầu bắt buộc người dùng thay đổi mật khẩu mặc định khi sử dụng; cập nhật phần mềm, gói bảo mật một cách tự động; đặt vấn đề an toàn thông tin cho thiết bị IoT lên hàng đầu và lấy đó làm lợi thế cạnh tranh của các doanh nghiệp.
Hai là, các doanh nghiệp cung cấp dịch vụ Internet, dịch vụ viễn thông chủ động giám sát, ngăn chặn các máy chủ có khả năng điều khiển, phát tán mã độc IoT; hỗ trợ người dùng trong công tác rà quét, tháo gỡ mã độc IoT; kiểm tra thiết bị IoT trước khi cho phép kết nối mạng.
Ba là, các doanh nghiệp cung cấp sản phẩm, dịch vụ bảo mật cần đẩy mạnh nghiên cứu, phát triển, nâng cấp các sản phẩm bảo mật thông tin cho hệ thống IoT; hợp tác với nhà cung cấp thiết bị IoT, nhà cung cấp dịch vụ mạng để tích hợp các biện pháp bảo mật thông tin trong các thiết bị IoT.
Bốn là, người dùng là các cá nhân, tổ chức cần cân nhắc khi sử dụng các thiết bị IoT, lựa chọn sản phẩm của các nhà sản xuất uy tín; thay đổi mật khẩu, cấu hình mặc định và thường xuyên, định kỳ thay đổi mật khẩu, cấu hình để nâng cao tính bảo mật; sử dụng các sản phẩm bảo mật hệ thống IoT, đặt các thiết bị IoT dưới sự giám sát, theo dõi của hệ thống tường lửa; nâng cao nhận thức, hiểu biết về bảo mật IoT để giảm thiểu rủi ro.
TÀI LIỆU THAM KHẢO:
1. https://www.vista.gov.vn/;
2. https://leginfo.legislature.ca.gov/;
3. https://start.paloaltonetworks.com/unit-42-iot-threat-report;
4. https://www.siemplify.co/blog/how-to-prepare-your-security-operations-for-the-continuing-iot-upsurge/.
Diệu Ngân
Đại học Khoa học xã hội và Nhân văn
Chuyên đề Công nghệ và Ngân hàng số, số 08/2020
https://tapchinganhang.gov.vn
