Hỏi đáp

Common Vulnerabilities Là Gì ? Định Nghĩa Và Giải Thích Ý Nghĩa – viettingame

Lỗ hổng Zero-day (hay 0-day) là thuật ngữ để chỉ những lỗ hổng ứng dụng hoặc phần cứng chưa được tìm đến và chưa được khắc phục. Những Hacker mà thậm chí tận dụng lỗ hổng này để tiến công xâm nhập vào khối hệ thống máy tính của doanh nghiệp, tổ chức để đánh cắp hoặc thay đổi dữ liệu. Một cuộc tấn công khai minh bạch thác lỗ hổng zero-day gọi là zero-day exploit hoặc zero-day attack.

Đang xem: Vulnerabilities là gì

*

Hacker mà thậm chí bán thông tin về Lỗ hổng Zero-day trên thị trường chợ đen. Hình ảnh: viettingame.com.

Tìm hiểu về Lỗ hổng Zero-day

Zero-day là gì?

Lỗ hổng zero-day (0-day vulnerability) thực chất là những lỗ hổng bảo mật của ứng dụng hoặc phần cứng chưa được phát hiện. Chúng tồn tại trong nhiều môi trường xung quanh như: website, ứng dụng mobile, khối hệ thống mạng doanh nghiệp, ứng dụng – phần cứng máy tính, thiết bị IoT, cloud, v.v…

Sự không giống nhau giữa một lỗ hổng bảo mật thường thì và một lỗ hổng zero-day nằm tại chỗ: Lỗ hổng Zero-day là những lỗ hổng chưa được biết tới bởi đối tượng người sử dụng sở hữu hoặc cung ứng thành phầm chứa lỗ hổng.

Trong thuật ngữ bảo mật máy tính, ngày mà bên cung ứng thành phầm chứa lỗ hổng biết tới sự tồn tại của lỗ hổng đó, gọi là “ngày 0”. Này là lý do thuật ngữ lỗ hổng Zero-day (0-day) Thành lập.

Thường thì ngay sau lúc phát hiện ra lỗ hổng 0-day, bên cung ứng thành phầm sẽ tung ra bạn dạng vá bảo mật cho lỗ hổng này để người sử dụng được bảo mật tốt hơn. Tuy nhiên trên thực tiễn, người sử dụng ít lúc update phiên bạn dạng mới của ứng dụng ngay lập tức. Điều đó tạo nên Zero-day được tìm đến là những lỗ hổng rất nguy hiểm, mà thậm chí gây thiệt hại trầm trọng cho doanh nghiệp và người sử dụng.

Một lúc được công bố thoáng rộng ra công chúng, lỗ hổng 0-day trở thành lỗ hổng n-day.

Thị trường Zero-day hoạt động và sinh hoạt thế nào?

Lỗ hổng Zero-day được nhìn nhận như một thứ hàng hóa siêu giá trị không những so với giới tin tặc, những doanh nghiệp phát triển ứng dụng mà còn so với những cơ quan tình báo cấp vương quốc. Mang ba phân mảng chính trong thị trường phát hiện và cung ứng Zero-day.

Trước nhất là chợ đen (black market), nơi giới hacker mũ đen sắm bán hoặc trao đổi thông tin về lỗ hổng và mã khai thác Zero-day nhằm mục đích triển khai những cuộc xâm nhập khối hệ thống máy tính, đánh cắp thông tin quan trọng của người sử dụng như mật khẩu, số thẻ tín dụng.

Tiếp đến là thị trường ‘white market’, bao hàm những chương trình săn lỗ hổng lấy thưởng (bug bounty). Những tập đoàn lớn technology to như Facebook, Google, Microsoft đều tổ chức những chương trình bug bounty này. Những lỗ hổng ứng dụng sau lúc được phát hiện sẽ được thông tin tực tiếp tới những doanh nghiệp sản xuất ứng dụng, hoặc những doanh nghiệp thứ ba chuyên tổ chức chương trình Bug Bounty như Hackerone, Bugcrowd, hay WhiteHub tại Việt Nam. Sau lúc được thông tin và kiểm duyệt thành công, những lỗ hổng này mà thậm chí được trả giá từ vài trăm cho tới hàng ngàn đô.

Ở đầu cuối là thị trường gray market, nơi những nhà nghiên cứu và phân tích bảo mật bán những đoạn mã khai thác Zero-days cho quân đội hoặc những cơ quan tình báo để phục vụ hoạt động và sinh hoạt bình an vương quốc, hay những chương trình thám thính. Những tổ chức này sẵn sàng dành ra cả trăm ngàn đô để sở hữu trong tay lỗ hổng tác động tới những nền tảng phổ cập, như hệ điều hành Windows hay iOS.

*

Tại vì sao lỗ hổng Zero-day lại nguy hiểm?

Vì thế chưa được tìm đến bởi xã hội và nhà phát triển, nên không tồn tại một bạn dạng vá bảo mật hay ứng dụng bảo mật nào chống lại được lỗ hổng zero-day.

Điều đó cũng dẫn tới tỉ lệ khai thác thành công lỗ hổng 0-day cao hơn hẳn so với những lỗ hổng n-day thường thì. Một lúc cuộc tiến công 0-day ra mắt, nó sở hữu nguy cơ tiềm ẩn tác động tới hàng ngàn tới hàng triệu người sử dụng, tùy thuộc vào Referring của thành phầm chứa lỗ hổng.

Xem thêm: The Best Offline No – Best Offline Rpg Games For Android In 2021

Nguy hiểm là vậy, Zero-day ko phải là mối lo ngại chính so với phần to người tiêu dùng, mà nó là mối mối đe dọa so với nhà cung ứng ứng dụng/dịch vụ. Theo thống kê của Verizon Enterprise Solution, hơn 95% những lỗi bảo mật bị khai thác đều dựa trên những công bố phát hành trước đó ít nhất một năm. Những lỗ hổng này được công khai minh bạch và gán với một vài ID nhất định theo một khối hệ thống quy chuẩn chỉnh chung trên toàn toàn cầu, này là CVE.

CVE là gì?

CVE (Common Vulnerabilities and Exposures) là một trong chương trình được khởi xướng vào năm 1999 bởi MITRE. Mục đích của chương trình này là phân loại và nhận dạng những lỗ hổng về phần cứng hoặc ứng dụng, tập hợp thành 1 khối hệ thống mở để chuẩn chỉnh hóa qui trình xác thực những lỗ hổng đã được biết. Những lỗ hổng này mà thậm chí kéo theo những vụ tiến công bình an mạng dưới những hình thức như chiếm quyền điều khiển và tinh chỉnh khối hệ thống tiềm năng, đọc những dữ liệu quan trọng của người sử dụng như địa chỉ, số Smartphone, mã thẻ ngân hàng.

Như vậy, mà thậm chí coi CVE như một trung tâm dữ liệu về những lỗ hổng bảo mật, tạo tiện nghi cho việc so sánh thông tin giữa những dụng cụ và dịch vụ bảo mật không giống nhau. Danh sách CVE chứa số ID, thông tin trạng thái, mô tả ngắn gọn và tài liệu tìm hiểu thêm liên quan tới lỗ hổng bảo mật. Bằng việc tham chiếu CVE ID của 1 lỗ hổng nhất định, những tổ chức mà thậm chí tích lũy thông tin nhanh chóng gọn và đúng đắn từ nhiều nguồn tin không giống nhau.

Những thành phầm và dịch vụ tương thích với CVE mà thậm chí giúp những người xây dựng hoặc duy trì khối hệ thống ứng dụng dễ dàng và đơn giản xác định và thiết đặt những bạn dạng vá lỗi từ nhà cung ứng ứng dụng nhờ tích hợp sẵn những thông tin quan trọng để tiện tra cứu vãn về lỗ hổng tồn tại trong ứng dụng.

Những liệu pháp chống lại lỗ hổng Zero-day

Lỗ hổng ứng dụng, dù là Zero-day hay đã được công bố, luôn luôn tạo ra những rủi ro bảo mật trầm trọng cho những người sử dụng. Bất kể các bạn là người sử dụng máy tính thường thì hay là quản trị viên cho một khối hệ thống ứng dụng, chúng ta nên chủ động triển khai những liệu pháp bảo mật website, bảo mật Mobile, bảo mật mạng nội bộ, bảo mật IoT, bảo mật thành phầm SaaS và những thành phần khác.

Update ứng dụng và hệ điều hành

Trước nhất, chúng ta nên tiến hành thiết đặt những bạn dạng update ứng dụng từ nhà sản xuất. Điều này giúp giảm thiểu và hạn chế nguy cơ tiềm ẩn lây nhiễm ứng dụng ô nhiễm và rủi ro bị tin tặc khai thác lỗ hổng. Những bạn dạng update ứng dụng thường bao hàm những bạn dạng vá lỗ hổng bảo mật quan trọng nhất mới được phát hiện sắp trên đây từ nhà sản xuất.

Ngoài ra, cần liên tục update hệ điều hành máy trạm và sever (windows, macOS, linux,…) để tránh những rủi ro tiến công zero-day và n-day mà thậm chí xẩy ra. Điều này đồng nghĩa với việc ko sử dụng ứng dụng và hệ điều hành không tồn tại bạn dạng quyền, bởi sẽ rất khó khăn trong quy trình update.

Triển khai giám sát bảo mật theo thời hạn thực

Với technology học máy (machine-learning), những giải pháp giám sát thông minh mà thậm chí phát hiện và chú ý những hoạt động và sinh hoạt đáng ngờ hoặc những mối mối đe dọa (threats) theo thời hạn thực. Từ đó bảo vệ sever, máy trạm, và khối hệ thống của người tiêu dùng khỏi những mối mối đe dọa từ zero-day attack.

Triển khai khối hệ thống IDS và IPS

Khối hệ thống phát hiện xâm nhập (IDS) và Khối hệ thống ngăn chặn xâm nhập (IPS) mà thậm chí bảo vệ khối hệ thống của người tiêu dùng chống lại những kẻ xâm nhập đã biết và không biết. Chúng mà thậm chí ko phát hiện ra những mối mối đe dọa mọi lúc, nhưng chúng sẽ chú ý về những hoạt động và sinh hoạt đáng ngờ của tin tặc.

Sử dụng ứng dụng quét lỗ hổng bảo mật

Lớp phòng thủ thứ hai chúng ta nên sở hữu là những ứng dụng bảo mật chuyên được sự dụng. Việc sở hữu một ứng dụng bảo mật tự động giúp giảm thiểu và hạn chế kinh tế đáng kể so với những dịch vụ tư vấn từ Chuyên Viên. Quan trọng hơn, những ứng dụng này giúp đỡ bạn sớm phát hiện lỗ hổng bảo mật trên website và tìm thấy những khuyến cáo thích ứng để giải quyết và xử lý chúng trong lúc này.

Phát hiện lỗ hổng bảo mật trên website với viettingame.com WebShield.

Với 14 ngày sử dụng miễn phí, viettingame.com WebShield sẽ giúp đỡ bạn phát hiện những lỗ hổng bảo mật mới và cũ còn tồn tại trên website của người tiêu dùng – cùng với CVE ID để các bạn trực tiếp tra cứu vãn và giải quyết và xử lý.

Xem thêm: Coding Games And Programming Challenges To Code Better, trò chơi Tutorials

Triển khai bộ dụng cụ kiểm soát truy vấn mạng

Kiểm soát truy vấn mạng (NAC) là một phương pháp để triển khai những chính sách bảo mật hoặc ngăn chặn trên network. Nó giúp bảo vệ những khối hệ thống quan trọng nhất của người tiêu dùng tách biệt khỏi những khối hệ thống khác. Vì thế vậy, NAC mà thậm chí cấm những khối hệ thống bị tiến công truy vấn vào những khối hệ thống quan trọng để phòng tránh rủi ro bị tiến công zero-day cho toàn khối hệ thống.

Giải pháp chống lại Zero-day cho doanh nghiệp

Với những doanh nghiệp sale dựa trên nền tảng Website, ứng dụng desktop, mobile hay SaaS, việc ứng dụng tồn tại lỗ hổng Zero-day để tin tặc khai thác là một nhược điểm chí mạng. Những dụng cụ quét lỗ hổng tự động không thể thỏa mãn nhu cầu được nhu yếu, do hacker luôn luôn sáng sủa tạo và phát hiện ra những lỗ hổng mới nhanh chóng hơn vận tốc update của ứng dụng bảo mật. Lúc đó, một chương trình Bug Bounty sẽ giải quyết và xử lý vấn đề.

Bug Bounty giúp doanh nghiệp kết nối với xã hội hàng trăm Chuyên Viên/pentester/hacker mũ trắng để kiểm thử bảo mật cho thành phầm. Lúc đó, những Chuyên Viên sẽ tìm lỗ hổng bảo mật zero-day trong thành phầm technology của doanh nghiệp.

Những doanh nghiệp sẽ trả tiền thưởng (gọi là bounty) cho ngẫu nhiên Chuyên Viên nào tìm ra những lỗ hổng 0-day nguy hiểm, mà thậm chí tác động tới doanh nghiệp hoặc người sử dụng.

Hiện nay tại Việt Nam, WhiteHub là một đơn vị tin cậy để tổ chức một chương trình Bug Bounty với những ưu điểm sau:

Xã hội to mạnh với hơn 500+ Chuyên Viên bảo mật, pen-tester và hacker mũ trắng sở hữu trình độ và tay nghề cao, giúp phát hiện lỗ hổng zero-day nhanh chóng và hiệu suất cao. Hỗ trợ kiểm thử website, mobile app, SAAS, API, IoT,… tùy từng nhu yếu của doanh nghiệp. Doanh nghiệp chỉ trả tiền lúc sở hữu lỗ hổng zero-day được tìm thấy. Giúp tiết kiệm chi phí kinh tế và tối ưu hiệu suất cao đầu tư bảo mật.

Quý doanh nghiệp mong muốn tìm hiểu chương trình Bug Bounty vui lòng để lại thông tin ở link đăng ký tư vấn, đội ngũ Chuyên Viên WhiteHub sẽ liên hệ và tư vấn giải pháp tốt nhất, thích ứng với doanh nghiệp của người tiêu dùng.

Về Viettingame.com

Viettingame.com - Chuyên trang web tổng hợp những thông tin hữu ích trên internet như thông tin về game, tin tổng hợp
Xem tất cả các bài viết của Viettingame.com →

Trả lời

Email của bạn sẽ không được hiển thị công khai.