NSA và CISA tiết lộ 10 lỗi cấu hình sai về an ninh mạng hàng đầu

10 tháng 10, 2023

Ngày 5 tháng 10, Cơ quan An ninh Quốc gia (NSA) và Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng (CISA) đã tiết lộ mười lỗi cấu hình sai an ninh mạng phổ biến nhất được các đội đỏ và xanh của họ phát hiện trong mạng của các tổ chức lớn.

Lời khuyên ngày 5 tháng 10 cũng nêu chi tiết những chiến thuật, kỹ thuật và quy trình mà các tác nhân đe dọa sử dụng để khai thác thành công những cấu hình sai này với nhiều mục tiêu khác nhau, bao gồm giành quyền truy cập, di chuyển ngang và nhắm mục tiêu vào các thông tin hoặc hệ thống nhạy cảm.

Thông tin trong báo cáo được đội Đỏ và Đội Xanh của hai cơ quan thu thập trong quá trình đánh giá và trong các hoạt động ứng phó sự cố.

NSA cho biết: “Các nhóm này đã đánh giá tình hình an ninh của nhiều mạng trên khắp Bộ Quốc phòng (DoD), Cơ quan hành pháp dân sự liên bang (FCEB), chính quyền tiểu bang, địa phương, bộ lạc và lãnh thổ (SLTT) và khu vực tư nhân”. .

Eric cho biết: “Những đánh giá này đã cho thấy các cấu hình sai phổ biến như thông tin xác thực mặc định, quyền dịch vụ và cấu hình của phần mềm và ứng dụng; phân tách đặc quyền người dùng/quản trị không đúng cách; giám sát mạng nội bộ không đủ; quản lý bản vá kém, khiến mọi người Mỹ gặp rủi ro”. Goldstein, Trợ lý Giám đốc Điều hành về An ninh mạng tại CISA.

10 cấu hình mạng phổ biến nhất được phát hiện trong quá trình đánh giá của đội Đỏ và Xanh cũng như các nhóm Săn lùng và Ứng phó sự cố của NSA và CISA bao gồm:

Cấu hình mặc định của phần mềm, ứng dụng
Phân tách không đúng đặc quyền của người dùng/quản trị viên
Giám sát mạng nội bộ không đầy đủ
Thiếu phân đoạn mạng
Quản lý bản vá kém
Bỏ qua kiểm soát truy cập hệ thống
Phương thức xác thực đa yếu tố (MFA) yếu hoặc bị định cấu hình sai
Danh sách kiểm soát truy cập (ACL) không đầy đủ trên các dịch vụ và chia sẻ mạng
Vệ sinh thông tin kém
Thực thi mã không hạn chế

Như đã nêu trong khuyến cáo chung, những cấu hình sai phổ biến này mô tả các lỗ hổng hệ thống trong mạng của nhiều tổ chức lớn.

Điều này nhấn mạnh nhu cầu quan trọng cho các nhà sản xuất phần mềm trong việc áp dụng các nguyên tắc bảo mật theo thiết kế, từ đó giảm thiểu rủi ro bị xâm phạm.

Goldstein kêu gọi các nhà sản xuất phần mềm áp dụng một loạt các biện pháp chủ động nhằm giải quyết hiệu quả những cấu hình sai này và giảm bớt những thách thức mà những người bảo vệ mạng phải đối mặt.

Điều này bao gồm việc tích hợp các biện pháp kiểm soát bảo mật vào kiến trúc sản phẩm từ các giai đoạn phát triển ban đầu và trong suốt vòng đời phát triển phần mềm.

Hơn nữa, các nhà sản xuất nên ngừng sử dụng mật khẩu mặc định và đảm bảo rằng việc xâm phạm một biện pháp kiểm soát bảo mật duy nhất không gây nguy hiểm cho tính toàn vẹn của toàn bộ hệ thống. Thực hiện các biện pháp chủ động để loại bỏ toàn bộ danh mục lỗ hổng, chẳng hạn như sử dụng ngôn ngữ mã hóa an toàn cho bộ nhớ hoặc triển khai các truy vấn được tham số hóa, cũng là điều cần thiết.

Cuối cùng, Goldstein cho biết phải bắt buộc xác thực đa yếu tố (MFA) cho người dùng có đặc quyền và thiết lập MFA làm tính năng mặc định và biến nó thành một thông lệ tiêu chuẩn thay vì một lựa chọn tùy chọn.

NSA và CISA cũng khuyến khích những người bảo vệ mạng thực hiện các biện pháp giảm thiểu được khuyến nghị nhằm giảm nguy cơ kẻ tấn công khai thác các cấu hình sai phổ biến này.

Các biện pháp giảm thiểu có tác dụng này bao gồm:

Loại bỏ thông tin xác thực mặc định và cấu hình cứng,
Vô hiệu hóa các dịch vụ không sử dụng và thực hiện các biện pháp kiểm soát truy cập nghiêm ngặt,
Đảm bảo cập nhật thường xuyên và tự động hóa quá trình vá lỗi, ưu tiên vá các lỗ hổng đã biết đã bị khai thác,
Và giảm thiểu, hạn chế, kiểm tra và giám sát chặt chẽ các tài khoản và đặc quyền quản trị.

Bên cạnh việc áp dụng các biện pháp giảm thiểu phác thảo, NSA và CISA khuyến nghị "thực hiện, kiểm tra và xác thực chương trình bảo mật của tổ chức của bạn chống lại các hành vi đe dọa được ánh xạ tới khung MITER ATT&CK dành cho doanh nghiệp" trong tư vấn ngày hôm nay.

Hai cơ quan liên bang cũng khuyên nên kiểm tra kho kiểm soát bảo mật hiện có để đánh giá hiệu suất so với các kỹ thuật ATT&CK được mô tả trong khuyến nghị.

Nguồn: bleepingcomputer.com

< Bài viết cũ hơn Bài viết mới hơn >