Hơn 20% website Việt Nam không “phòng trộm”

SGTT.VN - Nguy cơ các website Việt Nam tiếp tục bị tấn công rất cao, các cổng thông tin điện tử (tức là các website lớn) của các thành phố, các tỉnh, các bộ có đến 20% là không sử dụng “nhật ký truy cập để phòng trộm”, gần 30% các website này không có người chuyên trách quản trị hệ thống, các hệ thống này luôn nằm trong mức độ “nguy hiểm”, nhất là khi các hacker muốn thử công cụ tấn công mới.

Đây là chia sẻ của TS Vũ Quốc Khánh (giám đốc Trung tâm ứng cứu khẩn cấp máy tính Việt Nam - VNCert) bên lề hội thảo An toàn thông tin do bộ Thông tin và truyền thông tổ chức ngày 23.11 tại Hà Nội.

Độ nguy hiểm các website: 30%

Theo TS Vũ Quốc Thành (tổng thư ký của Hiệp hội An toàn thông tin Việt Nam), kết quả khảo sát về an toàn thông tin (ATTT) Việt Nam trong 5 tháng cho thấy các mã độc, virus vẫn là một trong những đối thủ “đáng gờm” nhất đe dọa an ninh hệ thống các website. Trong đó, động cơ tấn công của các hacker thường không rõ rang, các website cũng không có khả năng ghi nhận các hành vi tấn công, cũng như địa chỉ IP của đối thủ. Cũng trong năm 2010, việc lừa đảo qua email tiếng Việt tăng mạnh, các cuộc tấn công có mục tiêu vụ lợi, có tổ chức mang tính quốc tế cũng tăng nhanh. Việt Nam liên tục có tên trong danh sách quốc tế về vấn đề liên quan đến ATTT.

TS Vũ Quốc Khánh, giám đốc Trung tâm ứng cứu khẩn cấp máy tính Việt Nam - VNCert. Ảnh: T.L

Còn theo TS Vũ Quốc Khánh (giám đốc VnCert), nguy cơ các website Việt Nam tiếp tục bị tấn công rất cao, với độ nguy hiểm khoảng 30%. Theo điều tra riêng cho thấy, các cổng thông tin điện tử, tức là các website lớn của các tỉnh, thành phố, bộ ngành thì có đến hơn 20% là không sử dụng “nhật ký truy cập” nhằm ghi lại các địa chỉ IP truy cập vào máy chủ thì làm sao biết “trộm” vào nhà hay không. Bên cạnh đó, có khoảng 30% các website không có người chuyên trách quản trị hệ thống, rõ ràng không sớm thì muộn các hệ thống sẽ bị tấn công nhất là khi các hacker có công cụ tấn công mới muốn thử.

Chia sẻ về xu hướng tội phạm công nghệ cao năm 2010, đại tá Trần Văn Hòa, phó cục trưởng cục Cảnh sát phòng chống tội phạm công nghệ cao, bộ Công an cho hay, hầu hết các DN, ngân hàng đã có website cung cấp thông tin dịch vụ nhưng chưa xây dựng giải pháp tổng thể về bảo mật. Phần lớn, không phát hiện được hacker xâm nhập bất hợp pháp, lấy cắp dữ liệu. Đặc biệt, sự phổ biến của web 2.0, các mạng xã hội như Facebook, Twitter, blog, podcast và wiki làm nảy sinh hàng loạt các thách thức cho ATTT và giao dịch trực tuyến.

Trước đó, trong tháng 10, mạng xã hội số một thế giới Facebook cũng đối diện với thông tin khi tạp chí Wall Street Journal (Mỹ) phát hiện ít nhất 25 ứng dụng đang thu thập thông tin cá nhân (tên tuổi, thói quen truy cập) của thành viên Facebook cung cấp cho các nhà quảng cáo, trong đó có nhiều chương trình rất phổ biến với người dùng Việt Nam như Farmville, Mafia Wars....

Chủ quan hay vì phần mềm không bản quyền?

Các mạng xã hội như Facebook làm nảy sinh hàng loạt các thách thức cho ATTT và giao dịch trực tuyến. Ảnh: T.L

Ông Hòa nhấn mạnh, khi các hacker tấn công sẽ làm ngưng trệ hoạt động của hệ thống mạng, trộm cắp thông tin cá nhân, thông tin thẻ tín dụng để mua bán xuyên quốc gia trên mạng, sử dụng trái phép dữ liệu, đưa thông tin trái phép lên mạng, đặc biệt còn bí mật điều khiển máy tính, trộm cắp những giá trị cốt lõi cần lưu trữ.

Các hình thức, thủ đoạn của tội phạm ngày càng phức tạp như cắp tiền bằng thẻ trắng để rút tiền từ máy ATM, mua hàng bằng tài khoản trộm cắp, thông đồng với các đơn vị chấp nhận thẻ để sử dụng thẻ giả rút tiền, rồi lừa đảo qua hình thức B2B, C2C, chưa kể tới các hình thức phán tán thư rác, thư quảng cáo…

Tuy nhiên, hiện nay việc các website phản ứng lại khi bị tấn công là chưa có, khi tấn công cũng chỉ dừng lại việc báo cáo nội bộ chứ chưa báo cáo các cơ quan luật pháp hay trung tâm ứng cứu. Đặc biệt, các website thường không định lượng được mức độ thiệt hại khi bị tấn công, nhận thức về ATTT còn thấp, TS Thành cho biết.

TS Khánh phân tích, việc người dùng không sử dụng các phần mềm bản quyền, các mã hợp pháp cũng là một nguyên nhân khiến ATTT không được đảm bảo. Bởi qua khảo sát người Việt Nam sử dụng rất nhiều nền tảng để làm web từ mã nguồn mở, cho đến các mã nguồn thương mại, nhiều web lại tự xây dựng trên nền dotnet hay công cụ xây dựng webserver khác nhau. Việc sử dụng các hệ thống không bản quyền thì sẽ không có khả năng update các bản vá lỗ hổng an ninh, do đó khả năng bị lợi dụng lỗ hổng tấn công vào website cao là đương nhiên.

Đi trước hacker một bước

Trao đổi về việc bảo vệ các website, giám đốc VNCert Vũ Quốc Khánh cho biết, cần các nhà quản trị hệ thống phải luôn luôn cập nhật kỹ thuật tấn công mới nhất, giám sát theo dõi việc truy cập, phát hiện để khắc phục lỗ hổng trước một bước so với hacker. Bởi có những công nghệ hôm nay được coi là an toàn nhưng sau một thời gian người ta có thể phát hiện ra các lỗ hổng và hacker sẽ lợi dụng ngay.

Bên cạnh đó, các nhà quản trị phải thực hiện theo chuẩn về hệ thống ATTT, thực thị việc áp dụng các quy trình quản lý ATTT một cách triệt để từ việc theo dõi, đánh giá, tìm hiểu nguy cơ, ngăn ngừa khắc phục rồi đánh giá ngược lại để nâng cấp chứ không đơn thuần là mua thiết bị, sản phẩm chống tấn công đơn thuần.

Đặc biệt, các hệ thống website phải cân nhắc giữa chi phí bảo mật và rủi ro khi hệ thống bị sập như thế nào. Ví dụ, có thể chi nhiều tiền để làm bảo mật cho tốt, khả năng tấn công là thấp nhất. Nhưng với một chi phí thấp hơn ta có thể làm “dự phòng” hệ thống đúp, khi một cái hỏng ta “bật” cái khác lên, điều quan trọng là cân nhắc trên cơ sở nguồn lực đánh giá rủi ro.

Thanh Tuyền