Tấn công Supply Chain: Mối đe dọa tiềm ẩn trong chuỗi cung ứng

Tấn công chuỗi cung ứng (supply chain attack) là khi kẻ tấn công không đánh trực tiếp vào mục tiêu, mà xâm nhập một bên mà mục tiêu tin tưởng: nhà cung cấp phần mềm, đơn vị quản lý dịch vụ CNTT, nhà sản xuất thiết bị hay đối tác xử lý dữ liệu. Từ một điểm đó, mã độc hoặc quyền truy cập lan tới hàng trăm, hàng nghìn tổ chức qua những kênh hợp pháp như bản cập nhật phần mềm. Đây là mối đe dọa tiềm ẩn vì nó vượt qua các lớp phòng thủ được xây dựng để chống người lạ. Bài viết phân tích các dạng tấn công chuỗi cung ứng, bài học từ những vụ nổi bật và cách tổ chức quản lý rủi ro từ bên thứ ba.

Các mắt xích có thể bị tấn công

Riêng mảng thư viện mã nguồn mở được phân tích sâu trong bài rủi ro từ thư viện mã nguồn mở. Bài này tập trung vào bức tranh rộng hơn.

Bài học từ những vụ nổi bật

Bản cập nhật bị cài cắm

Vụ SolarWinds được công bố cuối năm 2020 là ví dụ kinh điển. Kẻ tấn công xâm nhập hệ thống build của nhà cung cấp phần mềm giám sát mạng Orion, chèn cửa hậu vào bản cập nhật hợp lệ có chữ ký số. Hàng nghìn khách hàng đã cài bản cập nhật, sau đó kẻ tấn công chọn lọc một số tổ chức giá trị cao, gồm cả cơ quan chính phủ, để khai thác sâu hơn. Bài học: chữ ký số chứng minh phần mềm đến từ nhà cung cấp, không chứng minh nó sạch nếu chính nhà cung cấp bị xâm nhập.

Công cụ quản lý từ xa của MSP

Năm 2021, một nhóm ransomware khai thác lỗ hổng trong phần mềm quản trị từ xa Kaseya VSA, vốn được nhiều đơn vị dịch vụ CNTT dùng để quản lý khách hàng. Ransomware lan từ MSP xuống các doanh nghiệp nhỏ là khách hàng của họ. Bài học: quyền quản trị mà bạn trao cho nhà cung cấp dịch vụ cũng là quyền mà kẻ tấn công có thể thừa hưởng.

Chuỗi cung ứng nối tiếp

Năm 2023, ứng dụng tổng đài 3CX bị phát hiện chứa mã độc trong bản cài đặt chính thức. Điều tra cho thấy máy tính của một nhân viên 3CX bị nhiễm qua một phần mềm khác cũng đã bị tấn công chuỗi cung ứng trước đó. Bài học: rủi ro chuỗi cung ứng có thể lan nhiều tầng.

Phần mềm truyền tệp của bên thứ ba

Lỗ hổng trong phần mềm truyền tệp MOVEit năm 2023 khiến dữ liệu của rất nhiều tổ chức bị đánh cắp, nhiều tổ chức trong số đó không trực tiếp dùng phần mềm này mà dữ liệu của họ nằm ở nhà cung cấp dịch vụ có dùng. Hậu quả được bàn trong bài sự cố rò rỉ dữ liệu lớn.

Vì sao tấn công chuỗi cung ứng khó phát hiện

• Hoạt động độc hại đi qua kênh được tin cậy và cho phép sẵn trong tường lửa.
• Phần mềm có chữ ký số hợp lệ nên không bị cảnh báo.
• Kẻ tấn công có nguồn lực cao, thường thuộc nhóm APT, kiên nhẫn chờ đợi trước khi hành động, như mô tả trong bài APT tấn công hạ tầng quan trọng.
• Tổ chức thiếu thông tin về những gì bên trong phần mềm và hệ thống của nhà cung cấp.

Quản lý rủi ro bên thứ ba: khung thực hành

1. Kiểm kê và phân tầng nhà cung cấp

Liệt kê mọi nhà cung cấp có quyền truy cập hệ thống, xử lý dữ liệu hoặc cung cấp phần mềm chạy với đặc quyền. Phân tầng theo mức độ ảnh hưởng: phần mềm quản trị, bảo mật, giám sát và MSP thường thuộc tầng cao nhất.

2. Đánh giá trước khi ký

Yêu cầu thông tin về quy trình phát triển an toàn, kết quả kiểm toán độc lập, chứng chỉ như ISO/IEC 27001, cam kết thời gian vá lỗi và quy trình thông báo sự cố. Với phần mềm, có thể yêu cầu danh mục thành phần phần mềm (SBOM).

3. Điều khoản hợp đồng

Ghi rõ nghĩa vụ bảo mật, thời hạn thông báo khi có sự cố, quyền kiểm toán, xử lý dữ liệu khi chấm dứt hợp đồng.

4. Kiểm soát kỹ thuật

• Cấp quyền truy cập từ xa tối thiểu, có thời hạn, qua kênh có giám sát và ghi phiên.
• Đặt phần mềm quản trị của bên thứ ba trong vùng mạng được kiểm soát chặt.
• Giám sát hành vi của phần mềm sau khi cập nhật, không chỉ kiểm tra chữ ký.
• Áp dụng nguyên tắc zero trust: không mặc định tin cậy bất kỳ thành phần nào chỉ vì nó nằm trong mạng.

5. Đánh giá định kỳ

Rủi ro thay đổi theo thời gian. Đưa nhà cung cấp quan trọng vào chương trình đánh giá định kỳ, tương tự kiểm toán an toàn thông tin định kỳ trong nội bộ tổ chức.

6. Kịch bản ứng phó

Chuẩn bị trước: nếu nhà cung cấp X bị xâm nhập, ta ngắt kết nối thế nào, hệ thống nào bị ảnh hưởng, ai liên lạc với ai. Khi có cảnh báo về thiết bị hoặc phần mềm biên, quy trình tương tự bài ứng phó lỗ hổng VPN có thể áp dụng.

Doanh nghiệp nhỏ bắt đầu từ đâu

Không cần chương trình phức tạp. Hãy bắt đầu với danh sách nhà cung cấp có quyền truy cập, bật xác thực đa yếu tố cho mọi tài khoản của họ, thu hồi quyền không còn dùng, và yêu cầu đơn vị dịch vụ CNTT giải thích cách họ bảo vệ công cụ quản trị từ xa. Những bước này đã loại bỏ được phần lớn rủi ro phổ biến.