Bảo mật máy chủ liền mạch cho môi trường hybrid IT
Máy chủ là khu vực chính của bề mặt tấn công doanh nghiệp với các rủi ro lớn nhất. Nó lưu trữ các thông tin về sức khỏe, thẻ tín dụng và sở hữu trí tuệ… Tất cả các cách xử lý dữ liệu nhạy cảm đều được tìm thấy trên các máy chủ.
Nhiều tổ chức vẫn chưa thực hiện các biện pháp bảo mật máy chủ phù hợp. Họ vẫn đang dựa vào các biện pháp kiểm soát bảo mật yếu và không linh hoạt hoặc họ sử dụng các công cụ bảo mật lỗi thời không thích ứng tốt với môi trường làm việc phân tán, đám mây kết hợp.
Để đáp ứng các yêu cầu ngày nay, bảo mật máy chủ doanh nghiệp đòi hỏi một giải pháp phần mềm hiện đại, liền mạch.
Câu chuyện về quản trị viên máy chủ
Hãy lấy John, một quản trị viên máy chủ mà tôi đã từng gặp. Làm việc tại nhà, anh ấy cần quyền truy cập từ xa vào các máy chủ Windows và Linux tại chỗ của công ty mình cũng như các máy chủ tại AWS. Để khắc phục sự cố máy chủ, anh ấy đôi khi đăng nhập bằng thiết bị của công ty và đôi khi bằng thiết bị cá nhân. Anh ấy sử dụng cùng một mật khẩu trên tất cả. Anh ấy dựa vào các kiểm soát truy cập có nguồn gốc từ máy chủ, vì vậy anh ấy đăng nhập với tư cách là người dùng cấp cao.
John có quyền truy cập vào mọi thứ, vì vậy một tội phạm mạng xâm nhập vào môi trường máy chủ của anh ấy, cài đặt các công cụ tấn công và triển khai ransomware là điều khá dễ dàng. Chúng có thể nâng cao quyền truy cập, thực hiện các chuyển động ngang qua các điểm cuối của máy chủ và lấy dữ liệu.
Bây giờ, hãy tưởng tượng…
John đi vào một hệ thống trung tâm để kiểm tra một tài khoản đặc quyền cho phép anh ta chỉ làm những gì anh ta cần làm. Anh ấy đã được cấp một danh tính kỹ thuật số giống nhau trên tất cả các thiết bị và tất cả các máy chủ, cho dù chúng là Unix, Windows, tại chỗ hay trên đám mây.
Quyền truy cập của anh ta được xác định bởi mức độ rủi ro liên quan. Thay vì luôn luôn có quyền truy cập vào mọi thứ trên máy chủ, quyền truy cập của anh ta được nâng lên đúng lúc với các đặc quyền phù hợp để thực hiện các nhiệm vụ khắc phục sự cố của mình. Sau đó, nó hết hạn.
Trong trường hợp này, chúng tôi đã tách xác thực khỏi ủy quyền. Xác thực xác nhận John là người mà anh ta nói là anh ta để anh ta có thể vào tòa nhà. Việc ủy quyền cho John quyền vào một căn phòng cụ thể.
Với cách tiếp cận bảo mật máy chủ này, ngay cả khi những kẻ tấn công xâm nhập vào môi trường của bạn, bạn có thể ngăn chặn chúng ngay từ đầu. Họ không thể di chuyển sang bên hoặc nâng cao quyền truy cập. Ngoài một vault cấp thông tin đăng nhập tài khoản đặc quyền, quy trình này cũng bao gồm các kiểm tra bảo mật tự động dọc theo đường dẫn truy cập, như quy trình công việc phê duyệt và xác thực đa yếu tố. Các biện pháp kiểm soát bảo mật này kiểm tra danh tính và đặc quyền của John trước khi mở khóa quyền truy cập vào các hệ thống mục tiêu.
Câu chuyện của John đã quen thuộc với nhiều doanh nghiệp đang phát triển. Môi trường CNTT hiện đại và các yêu cầu kinh doanh thay đổi nhanh chóng đang phá vỡ các mô hình bảo mật máy chủ cũ.
Hãy cùng tìm hiểu lý do tại sao lại như vậy và ngày nay, các giải pháp bảo mật hiện đại đang biến tầm nhìn về tương lai của John thành hiện thực như thế nào.
Những thách thức về bảo mật máy chủ của doanh nghiệp hiện đại
Môi trường CNTT doanh nghiệp đã trở nên đa dạng và phân tán. Hầu hết các tổ chức vẫn duy trì một số máy chủ trong môi trường cục bộ, tại chỗ. Trong khi đó, các dự án chuyển đổi đám mây đang tăng tốc, với các loại máy chủ mới xuất hiện, bao gồm khối lượng công việc đám mây, vùng chứa và dịch vụ vi mô, thiết bị lưu trữ, máy ảo, v.v. Các phiên bản này có thể ở nhiều nền tảng đám mây — AWS, Google và Azure.
Trong khi đó, số lượng người có quyền truy cập vào máy chủ đã tăng lên theo cấp số nhân. Thay vì một số quản trị viên máy chủ SQL và Unix đáng tin cậy làm việc trước đó, giờ đây bạn có các nhà phát triển tạo ra các phiên bản trên đám mây. Truy cập từ xa an toàn vào các máy chủ trên đám mây đã trở thành điều bắt buộc.
Quản trị viên máy chủ làm việc quá sức và có ít thời gian để quản lý bảo mật thủ công. Và đó là lúc sai lầm xảy ra…
Các tính chất của cloud rất khác với trung tâm dữ liệu cũ. Môi trường máy chủ phân tán, đa dạng khó quản lý và bảo mật hơn. Bạn có nhiều hệ điều hành và ứng dụng với các cấu hình rủi ro khác nhau. Thông thường, mỗi máy chủ đám mây được điều chỉnh bởi các chính sách khác nhau, thay vì một khuôn khổ bảo mật nhất quán giữa các nhóm, khu vực địa lý và đơn vị kinh doanh.
Quản trị viên máy chủ như John làm việc quá sức, căng thẳng và có ít thời gian để quản lý bảo mật thủ công. Sai lầm xảy ra và làm tăng rủi ro. Chúng tôi cần làm cho cuộc sống của họ dễ dàng hơn cũng như an toàn hơn.
Các vectơ tấn công điển hình vào máy chủ
Những kẻ tấn công có ba cách phổ biến để truy cập vào một máy chủ, một số dễ khai thác hơn những cách khác, tùy thuộc vào hoàn cảnh. Mỗi tuyến có ý nghĩa khác nhau đối với bảo mật máy chủ.
Con đường tấn công 1: Tấn công máy chủ thông qua các máy trạm của người dùng.
Với việc nhân viên làm việc từ xa và các tổ chức sử dụng nhiều dịch vụ đám mây hơn để hỗ trợ họ, bề mặt tấn công này lớn hơn bao giờ hết. Bất kỳ cuộc tấn công nào giành được quyền truy cập vào máy trạm của người dùng (lừa đảo vẫn là phương pháp được nhiều người biết đến) sẽ mang lại cho kẻ đe dọa một chỗ đứng vững chắc và là bước đệm vào mạng máy chủ.
Thực tiễn xấu phổ biến là cấp cho người dùng quyền truy cập tài khoản quản trị cục bộ (để cài đặt ứng dụng, máy in, v.v.) sẽ rơi vào tay kẻ tấn công. Với tài khoản đặc quyền này, kẻ tấn công sở hữu máy trạm và có thể khai thác tối đa. Nếu không có các biện pháp kiểm soát bảo mật máy chủ thích hợp, kẻ tấn công có thể cài đặt các công cụ hack và di chuyển theo chiều dọc từ máy trạm đến máy chủ.
Con đường tấn công 2: Tấn công máy chủ thông qua một kho mật khẩu cấp người dùng.
Một số tổ chức dựa vào kho mật khẩu yếu, cấp độ người dùng mang lại cảm giác an toàn sai. Tuy nhiên, không phải tất cả các vault đều được tạo ra như nhau. Nếu một vault không được bảo vệ đúng cách và một người dùng bị lừa đảo hoặc một kẻ nội gián trở thành kẻ lừa đảo, thì tác nhân đe dọa có thể giành được chỗ đứng trên một máy chủ. Nếu kẻ tấn công vượt qua vault, chúng cũng sẽ bỏ qua các kiểm soát truy cập dựa trên vault và khả năng ghi phiên. Điều đó khiến pháp y (forensics) khó tìm ra nguồn gốc của vụ tấn công hơn.
Con đường tấn công 3: Tấn công trực tiếp vào máy chủ
Các nhân viên bất mãn có thể dễ dàng bỏ qua các máy trạm của người dùng cuối và đi thẳng đến máy chủ, cho dù máy chủ đó ở trên đám mây hay on-prem. Một tác nhân đe dọa đã ở trên mạng và có các đặc quyền chính xác sẽ cố gắng di chuyển ngang từ máy chủ này sang máy chủ khác để giành quyền truy cập vào dữ liệu nhạy cảm và lấy đi hoặc mã hóa dữ liệu đó để đòi tiền chuộc.
Tầm quan trọng của quản lý truy cập đặc quyền đối với bảo mật máy chủ
Như bạn có thể thấy từ các vectơ tấn công phổ biến được nêu ở trên, các tài khoản đặc quyền là cốt lõi đối với chức năng của máy chủ. Con người, ứng dụng và dịch vụ sử dụng tài khoản và các vai trò và quyền liên quan của họ để đăng nhập vào cơ sở hạ tầng máy chủ và chạy các tác vụ đặc quyền. Những kẻ tấn công mạng cũng vậy, nhưng không phải vì những lý do tương tự.
Do đó, khía cạnh quan trọng nhất của bảo mật máy chủ là bảo mật tài khoản và quyền của họ để đăng nhập vào máy và chạy các lệnh và ứng dụng đặc quyền. Nếu các tài khoản đặc quyền này rơi vào tay kẻ xấu, hệ thống và dữ liệu của bạn sẽ gặp rủi ro. Chỉ cần một tài khoản đặc quyền bị xâm phạm để tác động đến hàng triệu người. Đây có thể là hàng triệu người liên quan đến danh tính bị đánh cắp, tài sản sở hữu trí tuệ, giá trị cổ đông, chi phí điều tra và dọn dẹp, tiền phạt theo quy định và tiền chuộc.
Sự tập trung của ngành bảo mật vào các tài khoản đặc quyền hiện đang lớn hơn bao giờ hết, vì một số lý do:
- Các cuộc tấn công ransomware và chuỗi cung ứng (chẳng hạn như SolarWinds và Colonial Pipeline) đang ngày càng nhắm mục tiêu và khai thác các tài khoản đặc quyền.
- Các quy định và hướng dẫn trong ngành đang tạo ra nhiều áp lực hơn đối với các doanh nghiệp trong việc quản lý và kiểm soát tốt hơn việc truy cập tài khoản đặc quyền vào máy chủ.
- Bảo hiểm mạng yêu cầu các công ty thực hiện kiểm soát truy cập, xác thực đa yếu tố và các loại bảo mật máy chủ bổ sung như một điều kiện tiên quyết để cấp chính sách.
- Các nhóm bảo mật đang ngày càng làm việc để điều chỉnh bảo mật máy chủ với các phương pháp hay nhất như Zero Trust và zero standing privileges, đòi hỏi quyền truy cập đặc quyền phải được giới hạn và quản lý cẩn thận.
Điều gì cản trở việc đạt được bảo mật máy chủ hiệu quả? Tại sao các phương pháp quản lý đặc quyền mà hầu hết các công ty sử dụng ngày nay không hiệu quả?
Có hai lý do khiến các doanh nghiệp phải vật lộn với bảo mật máy chủ: Thứ nhất, bảo mật máy chủ gốc là không đủ. Thứ hai, các công cụ truyền thống không thể thích ứng với các yêu cầu ngày nay về bảo mật máy chủ trên đám mây. Chúng ta hãy xem xét từng lý do trong số những lý do này một cách sâu sắc.
Lý do 1: Bảo mật gốc cho máy chủ không đủ
Windows servers
Mặc dù các máy chủ Windows được tích hợp tính năng quản lý chính sách tập trung và thực thi cục bộ, chúng chủ yếu dựa vào Active Directory (AD) để tạo và quản lý các chính sách kiểm soát truy cập. Cơ chế tạo ra AD rất phức tạp và dễ hư hỏng. Nhóm quản trị viên Windows có các nhiệm vụ quản lý quyền và vai trò phức tạp. Họ không muốn chạm vào AD vì sợ làm hỏng nó. Vì vậy, các quy tắc và cơ chế phát triển theo thời gian.
Một số tổ chức có Windows/AD sử dụng Kerberos để kiểm soát truy cập và quản lý xác thực, đăng nhập một lần và chia sẻ tệp. Mặc dù điều đó thật tuyệt, nhưng Kerberos không áp dụng cho Linx/Unix. Trong môi trường máy chủ hỗn hợp với các hệ điều hành khác nhau, mô hình này sẽ không mở rộng quy mô.
Linux/Unix servers
Linux/Unix luôn là vấn đề lớn nhất đối với bảo mật máy chủ. Giờ đây, đây là hệ điều hành ưa thích cho các nhóm DevOps, những người đang tận dụng các máy chủ trong đám mây, rủi ro còn lớn hơn. Bảo mật máy chủ Linux/Unix bản địa rất hạn chế và không có khả năng dựa vào AD cho các chính sách trung tâm. Theo truyền thống, các máy chủ Unix/Linux được quản lý trên cơ sở từng máy, không tập trung.
Hệ thống tệp/thư mục cho máy chủ Linux/Unix chỉ cho phép ba cấp độ truy cập tiêu chuẩn (chủ sở hữu, nhóm và thế giới). Mỗi có quyền đọc/ghi/thực thi. Đó là nó. Chủ sở hữu — người đã tạo tệp — có thể làm bất cứ điều gì họ muốn. Quyền truy cập không phải là chi tiết. Nó không giới hạn thời gian. Không có yêu cầu và quy trình phê duyệt. Kết quả là, mọi người được đặc quyền quá mức và có những đặc quyền thường trực nguy hiểm.
Quay lại người bạn John của chúng ta trước đó: Giả sử anh ấy cần quyền truy cập vào máy chủ A. Để đăng nhập và giải quyết một helpdesk ticket, anh ta tạo một tài khoản cục bộ — một tài khoản gốc. Nếu John cần quyền truy cập vào 10 máy, anh ấy sẽ tạo 10 tài khoản cục bộ. Đó là rất nhiều chi phí cần quản lý và rất dễ bị mất dấu. Chính sách không nhất quán và tài khoản không được quản lý làm tăng nguy cơ bảo mật máy chủ. John có khả năng sử dụng cùng một mật khẩu để giúp cuộc sống của anh ấy dễ dàng hơn. Anh ta có thể có hàng tá tài khoản cá nhân hoặc tài khoản đặc quyền dùng chung trên các hệ thống này. Mỗi cái đại diện cho một vectơ tấn công, làm tăng bề mặt mối đe dọa.
Lý do 2: Quản lý quyền truy cập đặc quyền cũ (PAM) không thể thích ứng
Các tổ chức thường triển khai giải pháp PAM để giải quyết vấn đề bảo mật máy chủ. Vấn đề là, nhiều người vẫn đang sử dụng các hệ thống được xây dựng cách đây một thập kỷ cho các trung tâm dữ liệu, nơi mọi thứ đều nằm trên cùng một mạng. Các sản phẩm này không được thiết kế để xử lý môi trường máy chủ ngày nay mà không tốn nhiều công sức và chi phí, ngay cả khi được “cloudwashed” —chạy phần mềm cũ trong phiên bản đám mây.
Nhiều dịch vụ PAM đã cũ kỹ với khả năng tự động hóa tối thiểu. Việc quản trị thủ công mà họ yêu cầu đối với bảo mật máy chủ gây ra sự cố có thể ảnh hưởng nghiêm trọng đến các nhóm có nguồn lực hạn chế cũng như áp lực về thời hạn và sự nhanh nhẹn.
Hãy thẳng thắn. Cơ sở hạ tầng PAM phải xử lý nhiều bộ phận chuyển động, kết hợp các thư mục và máy với nhau được triển khai tại chỗ và máy chủ trong đám mây, trong DMZ, nhiều đám mây riêng ảo và trên các nhà cung cấp đám mây. Điều này đặc biệt khó khăn nếu “giải pháp” PAM của bạn bao gồm nhiều công cụ và phần mềm kế thừa từ các nhà cung cấp khác nhau, dẫn đến việc triển khai dễ dàng đòi hỏi nhiều chăm sóc và cung cấp.
PAM hiện đại cho phép máy chủ của bạn tự bảo vệ
PAM hiện đại cho bảo mật máy chủ kết hợp vault truyền thống quản lý kiểm soát truy cập rộng, với các khả năng linh hoạt, kịp thời để nâng cao người dùng. Cách tiếp cận này cho phép các máy chủ tự bảo vệ và ngăn các cuộc tấn công tiến triển. Nói cách khác, PAM hiện đại bao gồm một vault cộng với nâng cấp đặc quyền trên mỗi điểm cuối máy chủ, cả tại chỗ và trên đám mây.
Cách đặc quyền giúp máy chủ tự bảo vệ
Thay vì cung cấp cho người dùng toàn quyền truy cập, nguyên tắc về đặc quyền ít nhất nói rằng chỉ cung cấp mức đặc quyền thấp nhất có thể. Bằng cách đó, nếu người dùng bị lừa đảo, kẻ tấn công có thể làm được rất ít điều với tài khoản đó.
Trong mô hình bảo mật máy chủ này, bất cứ khi nào người dùng – danh tính con người hoặc máy móc – yêu cầu các đặc quyền bổ sung để chạy các ứng dụng hoặc lệnh, các đặc quyền người dùng của họ có thể được nâng cao với sự kiểm soát và giám sát thích hợp. Họ nhận được đặc quyền vừa đủ được cấp đúng lúc, trong một thời gian giới hạn.
Người dùng chỉ có thể yêu cầu các quyền gia tăng mà họ cần cho nhiệm vụ hiện có — thường ở mặt sau của help desk ticket. Nếu được cấp, người dùng có thể thực hiện tác vụ với tùy chọn áp dụng MFA để đảm bảo danh tính bổ sung. Khi công việc trên máy chủ hoàn tất, giải pháp PAM sẽ tự động loại bỏ các quyền đó để tránh các đặc quyền thường trực.
Bằng cách này, bạn có thể quản lý tập trung các chính sách bảo mật máy chủ cho quyền truy cập, đặc quyền và MFA, vì vậy chúng nhất quán trên tất cả các loại máy chủ, bất kể hệ điều hành nào, bất kể chúng ở đâu.
Kiến trúc PAM được xây dựng để tăng cường bảo mật, tính linh hoạt và quy mô
Máy chủ của bạn có thể nằm trong trung tâm dữ liệu, DMZ, một hoặc hàng chục đám mây ảo riêng tư hoặc trải rộng trên nhiều nhà cung cấp đám mây. Kiến trúc của bảo mật máy chủ hiện đại bao trùm cơ sở hạ tầng CNTT phân tán này bằng cách đặt các điều khiển quản lý truy cập đặc quyền (PAM) ở trung tâm cũng như ở cấp máy chủ.
Có hai yếu tố chính của kiến trúc PAM hiện đại để bảo mật máy chủ – central management plane và control plane.
- Central management plane chứa vault an toàn và tập trung các chính sách về danh tính và quản lý thông tin xác thực.
- Control plane bao gồm tất cả các điểm cuối, bao gồm cả máy chủ, máy khách lightweight PAM, thông minh được cài đặt trên mỗi hệ thống cục bộ.
Mỗi client trong control plane enroll với management plane, tạo ra một mối quan hệ tin cậy lẫn nhau. Chúng có được một nhận dạng máy duy nhất để xác thực lẫn nhau và xác thực các chính sách.
Lợi ích của việc sử dụng máy khách PAM thông minh (intelligent PAM clients) trên máy chủ là rất nhiều:
- Tránh rủi ro về các tài khoản quản trị viên backdoor, được sử dụng để cung cấp các tài khoản đặc quyền cục bộ mới cho mỗi phiên đăng nhập.
- Nó thực thi nguyên tắc ít đặc quyền nhất bằng cách chỉ cho phép đăng nhập và nâng cấp cho những người dùng đã được xác minh. Nó có thể xác thực các chính sách đó là từ nguồn đáng tin cậy thực thi MFA khi đăng nhập và nâng cao đặc quyền để đảm bảo danh tính bổ sung.
- Nó có thể thực thi các chính sách dựa trên quy trình làm việc để kiểm soát truy cập JIT (Understanding just-in-time) và nâng cao đặc quyền JIT ở cấp độ mỗi lệnh và mỗi ứng dụng.
- Nó ghi lại tất cả hoạt động cục bộ ở cấp máy chủ, thay vì dựa vào công cụ ghi phiên trung tâm.
Tùy thuộc vào các trường hợp, giải pháp PAM để bảo mật máy chủ của bạn có thể tập trung các chức năng nâng cao đặc quyền trong Active Directory hoặc nền tảng SaaS. Ví dụ: nếu bạn dựa nhiều vào Active Directory để quản lý và bảo vệ các máy chủ Windows tại chỗ và bạn có hệ điều hành Linux và UNIX (* NIX) tại chỗ mạnh mẽ, với AD bắc cầu giải pháp PAM của bạn có thể đưa hệ thống * NIX vào Windows fold. Sau đó, bạn có thể quản lý tập trung các chính sách PAM toàn cầu cho cả máy chủ Windows và * NIX, dưới một mái nhà. Bạn cũng có thể mở rộng các dịch vụ Active Directory trước đây chỉ có sẵn cho các điểm cuối của Windows, chẳng hạn như đăng nhập vào hệ thống * NIX bằng thông tin đăng nhập Active Directory, xác thực Kerberos và đăng nhập một lần cũng như quản lý và thực thi chính sách nhóm.
Ngoài ra, nếu bạn đang chuyển đổi cơ sở hạ tầng sang đám mây và chuyển sang các thư mục đám mây như Okta, Azure AD hoặc Ping để xác thực người dùng, thì quản lý chính sách PAM tập trung trong nền tảng SaaS sẽ thích hợp hơn để giải quyết vấn đề bảo mật máy chủ trên đám mây.
Tự động hóa để tăng năng suất CNTT
Hãy nhớ người bạn của chúng ta John, quản trị viên máy chủ? Người bị căng thẳng và làm việc quá sức?
Để giúp anh ấy tham gia vào việc sử dụng PAM hiện đại có nghĩa là bạn phải đảm bảo an ninh máy chủ liền mạch, với những va chạm hoạt động tối thiểu. Tự động hóa được tích hợp trong các giải pháp PAM hiện đại giúp giảm độ phức tạp và tăng hiệu quả.
Ví dụ: PAM hiện đại có thể tự động khám phá các phiên bản máy chủ mới, khối lượng công việc đám mây, tài khoản đặc quyền và khóa SSH và đưa chúng vào quản lý tập trung. Điều này đặt ra một khoảng trống lớn trong chi phí hoạt động và giúp bạn tránh được các lỗ hổng bảo mật do shadow IT.
Đưa các phiên bản mới được phát hiện vào quản lý PAM bao gồm tự động cung cấp các ứng dụng khách PAM đăng ký máy chủ vào nền tảng PAM, gán danh tính máy duy nhất để xác thực lẫn nhau, thiết lập nguồn gốc tin cậy với nền tảng và tích trữ các tài khoản đặc quyền được chia sẻ cục bộ.
Lựa chọn một giải pháp PAM phù hợp cho tương lai
Một giải pháp bảo mật máy chủ từ một nhà cung cấp duy nhất, với nền tảng PAM-as-a-Service hiện đại, giúp giảm thiểu các nỗ lực thủ công và sự phức tạp, cuối cùng là giảm chi phí. Giải pháp PAM là một yếu tố thúc đẩy kinh doanh khi nó đảm bảo các dự án chuyển đổi đám mây và các mô hình mới cho công việc từ xa.
Để liên tục giảm thiểu rủi ro, PAM phải phát triển và trưởng thành theo từng bước với doanh nghiệp của bạn. Hãy cẩn thận với các giải pháp PAM không có khả năng để hỗ trợ sự phát triển đó. Chú ý đến việc bao gồm tất cả các cơ sở PAM (thông tin xác thực và secret vault, quản lý phiên, nâng cao đặc quyền, MFA và phân tích và ghi phiên), với một kiến trúc hỗ trợ cơ sở hạ tầng phân tán và được xây dựng trên nền tảng SaaS hiện đại.
Bảo mật máy chủ yêu cầu một phương pháp PAM hiện đại được xây dựng cho tương lai.
Nguồn: Seamless server security for a hybrid IT environment, VSS
