Tweet
Chỉ một tài khoản bị lộ qua Telnet cũng có thể khiến toàn bộ hệ thống gặp rủi ro
Trong nhiều hệ thống cũ, không ít thiết bị mạng vẫn được quản trị bằng Telnet hoặc HTTP. Hai giao thức này rất thuận tiện nhưng lại có một điểm yếu nghiêm trọng: mọi dữ liệu đều truyền dưới dạng văn bản thuần (plaintext).
Điều đó có nghĩa là nếu kẻ tấn công nghe lén được lưu lượng mạng, chúng có thể nhìn thấy:
Đây chính là lý do Telnet và HTTP gần như không còn được khuyến nghị trong các môi trường doanh nghiệp.
SSH - Chuẩn quản trị từ xa an toàn
SSH là lựa chọn thay thế Telnet phổ biến nhất hiện nay.
Khác với Telnet, SSH mã hóa toàn bộ phiên làm việc giữa quản trị viên và thiết bị mạng, giúp:
Ngày nay, hầu hết Router, Switch, Firewall, Linux Server và Windows Server đều hỗ trợ SSH.
SNMPv3 - Không chỉ giám sát mà còn bảo mật
Nhiều doanh nghiệp vẫn đang sử dụng SNMPv2c với community string như "public" hoặc "private". Đây là cơ chế xác thực khá yếu và dễ bị lộ.
SNMPv3 cải thiện đáng kể bằng cách bổ sung:
Nếu hệ thống đang sử dụng SolarWinds, PRTG, Zabbix hoặc các nền tảng giám sát khác, nên ưu tiên cấu hình SNMPv3 whenever có thể. HTTPS thay cho HTTP
Nếu thiết bị hỗ trợ giao diện web, hãy luôn bật HTTPS và tắt HTTP.
HTTPS sử dụng TLS để:
TLS không chỉ dùng cho HTTPS.
Nhiều dịch vụ quản trị cũng nên được triển khai cùng TLS, ví dụ:
Nhờ đó, dữ liệu xác thực và thông tin quản trị luôn được bảo vệ khi truyền trên mạng. Đừng chỉ thay giao thức, hãy siết luôn quyền truy cập
Bên cạnh việc chuyển sang các giao thức bảo mật, doanh nghiệp cũng nên:
Bảo mật giao diện quản trị không chỉ đơn giản là đổi Telnet sang SSH hay HTTP sang HTTPS. Một kiến trúc an toàn cần kết hợp giao thức mã hóa, xác thực mạnh, giới hạn nguồn truy cập và quản trị tập trung qua PAW hoặc Jump Server. Đây là những biện pháp cơ bản nhưng có thể ngăn chặn hiệu quả nhiều cuộc tấn công nhằm vào tài khoản quản trị và hạ tầng mạng của doanh nghiệp.
Trong nhiều hệ thống cũ, không ít thiết bị mạng vẫn được quản trị bằng Telnet hoặc HTTP. Hai giao thức này rất thuận tiện nhưng lại có một điểm yếu nghiêm trọng: mọi dữ liệu đều truyền dưới dạng văn bản thuần (plaintext).
Điều đó có nghĩa là nếu kẻ tấn công nghe lén được lưu lượng mạng, chúng có thể nhìn thấy:
- Username và Password quản trị.
- Cấu hình thiết bị.
- Các lệnh mà quản trị viên đang thực hiện.
Đây chính là lý do Telnet và HTTP gần như không còn được khuyến nghị trong các môi trường doanh nghiệp.
SSH - Chuẩn quản trị từ xa an toàn
SSH là lựa chọn thay thế Telnet phổ biến nhất hiện nay.
Khác với Telnet, SSH mã hóa toàn bộ phiên làm việc giữa quản trị viên và thiết bị mạng, giúp:
- Bảo vệ thông tin đăng nhập.
- Ngăn chặn nghe lén.
- Giảm nguy cơ bị Man-in-the-Middle (MitM).
- Đảm bảo dữ liệu không bị chỉnh sửa trong quá trình truyền.
Ngày nay, hầu hết Router, Switch, Firewall, Linux Server và Windows Server đều hỗ trợ SSH.
SNMPv3 - Không chỉ giám sát mà còn bảo mật
Nhiều doanh nghiệp vẫn đang sử dụng SNMPv2c với community string như "public" hoặc "private". Đây là cơ chế xác thực khá yếu và dễ bị lộ.
SNMPv3 cải thiện đáng kể bằng cách bổ sung:
- Xác thực người dùng.
- Mã hóa dữ liệu.
- Kiểm tra tính toàn vẹn của thông điệp.
Nếu hệ thống đang sử dụng SolarWinds, PRTG, Zabbix hoặc các nền tảng giám sát khác, nên ưu tiên cấu hình SNMPv3 whenever có thể. HTTPS thay cho HTTP
Nếu thiết bị hỗ trợ giao diện web, hãy luôn bật HTTPS và tắt HTTP.
HTTPS sử dụng TLS để:
- Mã hóa toàn bộ dữ liệu.
- Xác thực máy chủ bằng certificate.
- Giảm nguy cơ bị giả mạo hoặc đánh cắp thông tin đăng nhập.
TLS không chỉ dùng cho HTTPS.
Nhiều dịch vụ quản trị cũng nên được triển khai cùng TLS, ví dụ:
- LDAP → LDAPS
- SMTP → SMTPS hoặc STARTTLS
- Syslog → Syslog over TLS
Nhờ đó, dữ liệu xác thực và thông tin quản trị luôn được bảo vệ khi truyền trên mạng. Đừng chỉ thay giao thức, hãy siết luôn quyền truy cập
Bên cạnh việc chuyển sang các giao thức bảo mật, doanh nghiệp cũng nên:
- Tắt hoàn toàn Telnet, HTTP và các phiên bản SNMP cũ.
- Chỉ cho phép địa chỉ IP của đội ngũ quản trị truy cập vào cổng quản trị bằng ACL hoặc Firewall.
- Không công khai cổng quản trị ra Internet.
- Yêu cầu quản trị viên truy cập thông qua Jump Server (Bastion Host) hoặc Privileged Access Workstation (PAW) để tạo thêm một lớp bảo vệ.
Bảo mật giao diện quản trị không chỉ đơn giản là đổi Telnet sang SSH hay HTTP sang HTTPS. Một kiến trúc an toàn cần kết hợp giao thức mã hóa, xác thực mạnh, giới hạn nguồn truy cập và quản trị tập trung qua PAW hoặc Jump Server. Đây là những biện pháp cơ bản nhưng có thể ngăn chặn hiệu quả nhiều cuộc tấn công nhằm vào tài khoản quản trị và hạ tầng mạng của doanh nghiệp.
Attached Files