Các lỗ hổng bảo mật

Lỗ hổng bảo mật là khái niệm phổ biến trong giới an toàn thông tin (ATTT). Có rất nhiều định nghĩa khác nhau về lỗ hổng, nhưng tất cả đều có điểm chung là ám chỉ một điểm yếu (kỹ thuật hoặc phi kỹ thuật) của một phần mềm, phần cứng, giao thức, hay một HTTT. Trong lĩnh vực an ninh mạng, lỗ hổng bảo mật là một điểm yếu có thể bị khai thác bởi hành động phi pháp lên hệ thống mục tiêu. Các lỗ hổng có thể cho phép tin tặc chạy mã, truy cập bộ nhớ của hệ thống, cài đặt phần mềm độc hại và đánh cắp, phá hủy hoặc sửa đổi những dữ liệu nhạy cảm. Lỗ hổng bảo mật là một trong những nguyên nhân hàng đầu gây ra các cuộc tấn công mạng nhằm vào tổ chức, doanh nghiệp và gây thiệt hại lên tới hàng ngàn tỉ USD trên toàn cầu. Trong đó, lĩnh vực HKDD là lĩnh vực đã xảy ra nhiều vụ tấn công có quy mô lớn và gây ra nhiều thiệt hại cho các quốc gia, doanh nghiệp hàng không.

Trong bối cảnh phát triển mạnh mẽ của Cách mạng công nghiệp 4.0, ngành HKDD là ngành được Đảng và Nhà nước rất quan tâm, chú trọng đầu tư, phát triển. Đây là ngành kinh tế - kỹ thuật đem lại nguồn thu lớn cho đất nước, cũng như giải quyết nhiều việc làm cho người lao động. Trong đó, HTTT quan trọng ngành HKDD cũng là một trong những bộ phận được chú trọng đầu tư, phát triển mạnh mẽ để đáp ứng được yêu cầu của thực tiễn. Hệ thống thông tin ngành HKDD Việt Nam được chia thành những mạng riêng có tính độc lập tương đối, dựa theo đặc tính kỹ thuật, chức năng nhiệm vụ hoặc theo không gian quản lý, cụ thể như sau: Mạng thông tin phục vụ điều hành bay, mạng thông tin thương mại hàng không, mạng nội bộ hàng không. Đặc biệt trong hoạt động vận tải hàng không, quản lý bay là lĩnh vực quan trọng nhất vì nó là yếu tố quyết định tính an toàn cho mọi hoạt động của hàng không.

Đa phần HTTT quan trọng ngành HKDD ở Việt Nam có nguồn gốc từ nước ngoài. Hầu hết các hệ thống này được mua sắm từ một số công ty hàng không vũ trụ của các quốc gia như Pháp, Italia, Tây Ban Nha,… Mặc dù đây là những hệ thống có công nghệ tiên tiến, hiện đại nhưng đều tồn tại những lỗ hổng bảo mật. Đây là chính là cơ hội để các nhóm tin tặc khai thác và thực hiện hành vi tấn công mạng. Thời gian qua, tại Việt Nam đã xảy một số vụ tấn công mạng có quy mô lớn vào HTTT ngành HKDD thông qua việc khai thác các lỗ hổng bảo mật gây ra nhiều hậu quả, thiệt hại về kinh tế, chính trị và an ninh hàng không. Hiện nay trên HTTT ngành HKDD đã và đang tồn tại rất nhiều lỗ hổng, phổ biến như: Lỗ hổng Injection, Broken Authentication, XSS, Sensitive data exposure,… Mặc dù các lỗ hổng này đều được đội ngũ quản trị mạng của các cơ quan, doanh nghiệp HKDD thường xuyên kiểm tra, cập nhật bản vá tuy nhiên vì nhiều lý do khác nhau, trên một số HTTT vẫn không tránh khỏi việc tồn tại các lỗ hổng bảo mật.

Nguy cơ, thách thức đối với hệ thống thông tin quan trọng ngành hàng không dân dụng

Từ những lỗ hổng bảo mật kể trên đã làm nảy sinh nhiều nguy cơ, thách thức lớn đối với an ninh, an toàn HTTT quan trọng ngành HKDD ở Việt Nam hiện nay:

Thứ nhất, khai thác lỗ hổng bảo mật tấn công mạng để tán phát thông tin xấu, độc hại hoặc gây gián đoạn, ngưng trệ cho hoạt động của HTTT quan trọng ngành HKDD.

Hoạt động này được tin tặc tiến hành thông qua việc dò tìm, khai thác các lỗ hổng trên HTTT quan trọng ngành HKDD nhằm làm thay đổi giao diện hoặc phát tán những thông tin xấu, độc hại lên các cổng/trang thông tin điện tử của cơ quan, doanh nghiệp hàng không. Mục đích là để tuyên truyền, xuyên tạc tình hình kinh tế, chính trị, văn hóa, xã hội ở Việt Nam, hoặc để lại những thông điệp mang tính răn đe, cảnh báo Chính phủ, các cơ quan chức năng. Bên cạnh đó, nhiều cuộc tấn công mạng còn nhằm mục đích gây gián đoạn, ngưng trệ hoạt động của HTTT quan trọng ngành HKDD, gây khó khăn cho hoạt động thương mại của doanh nghiệp HKDD.

Thời gian qua, nhiều cuộc tấn công mạng mang màu sắc chính trị hay những cuộc tấn công mang tính chất trả đũa, đe dọa để giải quyết những mâu thuẫn, xung đột về lợi ích đã được nhiều quốc gia, nhóm tin tặc thực hiện, trong đó nhiều cuộc tấn công nhắm vào HTTT tại các sân bay như: Singapore tháng 11/2013, Ba Lan tháng 6/2015, Ai cập tháng 8/2015, Nhật Bản tháng 01/2016… [2]. Hầu hết các vụ tấn công đều nhằm vào hạ tầng thông tin quan trọng ngành HKDD, bởi hậu quả, thiệt hại xảy ra thường rất nghiêm trọng, ảnh hưởng cả về kinh tế, chính trị, an ninh trật tự. Nguyên nhân là các hệ thống này được ứng dụng nhiều kỹ thuật công nghệ hiện đại nhưng một số bộ phận kỹ thuật có tính năng bảo mật thấp, tồn tại nhiều lỗ hổng bảo mật nên rất dễ bị các nhóm tin tặc khai thác, tấn công và kiểm soát hoạt động khi tiến hành các cuộc tấn công có chủ đích (APT). Vấn đề này đã đặt ra nhiều nguy cơ, thách thức lớn đối với an ninh HTTT quan trọng về an ninh quốc gia ngành HKDD ở Việt Nam. Nhất là trong điều kiện nhiều HTTT quan trọng của ngành này chưa được đầu tư hạ tầng kỹ thuật một cách đồng bộ và còn phụ thuộc nhiều vào kỹ thuật công nghệ của nước ngoài. Bên cạnh đó, Việt Nam cũng đang có những mâu thuẫn, tranh chấp, xung đột về lợi ích với một số quốc gia láng giềng, trong khu vực.

Thứ hai, khai thác lỗ hổng bảo mật để tán phát virus, mã độc nhằm chiếm đoạt bí mật nhà nước, dữ liệu trên HTTT quan trọng về an ninh quốc gia ngành HKDD hoặc nhằm đòi tiền chuộc.

Đây cũng là một trong những hoạt động rất tinh vi, xảo quyệt của các nhóm gián điệp mạng, đặc biệt là tin tặc. Thủ đoạn của các đối tượng là thông qua các lỗ hổng bảo mật để phát tán những dòng virus, mã độc có tính năng gây hại cho mạng máy tính và có khả năng làm lây lan trên hệ thống máy tính, thiết bị thông tin khác. Mục đích của đối tượng là chiếm đoạt, đánh cắp bí mật nhà nước, dữ liệu quan trọng hoặc phá hủy các loại dữ liệu này. Trong lĩnh vực HKDD và nhiều lĩnh vực khác, mục đích của tin tặc chủ yếu nhắm đến chiếm đoạt dữ liệu để đòi tiền chuộc từ doanh nghiệp hoặc khách hàng.

 Điển hình, tại hội thảo “Phòng ngừa mã độc, cửa hậu và lộ lọt thông tin” trong khuôn khổ Vietnam Security Summit 2019, ông Nguyễn Tiến Nam, Phó trưởng ban công nghệ thông tin của hãng Hàng không Vietnam Airlines cho biết chỉ trong 4 tháng đầu năm 2019 có tổng cộng 1.650 đợt tấn công mạng nhằm vào hệ thống của hãng. Nếu phân loại theo hình thức tấn công thì mã độc đứng đầu với 1.622 vụ, còn lại là các hình thức như tấn công dò quét hệ thống, tấn công web, tấn công xác thực dò tìm tài khoản mật khẩu yếu và khai thác lỗ hổng phần mềm hệ thống, thiết bị [1].

Đây thật sự là thách thức lớn với các doanh nghiệp hàng không Việt Nam trong công tác bảo đảm an ninh, an toàn hệ thống.

Thứ ba, thông qua lỗ hổng bảo mật, tin tặc có thể xâm nhập khống chế, kiểm soát được một số hệ thống điều khiển máy bay nhằm nhiều mục đích khác nhau.

Một số chuyên gia an ninh mạng cho biết các thiết bị thông tin liên lạc vệ tinh của máy bay chở khách có thể bị đột nhập qua wifi và các hệ thống giải trí trên phi cơ. Theo Ruben Santamarta (chuyên gia an ninh mạng của IOActive), các thiết bị bán ra của nhà cung cấp hệ thống truyền dẫn thông tin vệ tinh toàn cầu SATCOM có nhiều lỗ hổng bảo mật. Sau khi phân tích các sản phẩm này, IOActive xác định 100% thiết bị có thể bị lạm dụng bởi hàng loạt hướng tấn công. Chúng có thể cho phép tin tặc kiểm soát các thiết bị đầu cuối của SATCOM bằng cách truy cập qua cửa hậu hoặc dựa vào thông tin quan trọng được mã hóa cứng, cho phép bất kỳ ai cũng có quyền đăng nhập để truy cập một thiết bị có mật khẩu chính. Trong các trường hợp khác, thiết bị SATCOM được cho là sử dụng giao thức không an toàn hoặc có thuật toán mã hóa còn sơ hở. Việc sử dụng các lỗ hổng này sẽ khiến các HTTT có thể bị can thiệp hoặc điều khiển từ xa, có khả năng gây ra những hậu quả khó có thể lường trước được. Trong một số trường hợp, thậm chí một tin nhắn SMS hoặc tin nhắn được thiết kế đặc biệt cũng có thể thực hiện được điều này. Trong số các lỗ hổng nêu trên, tin tặc có thể sử dụng chúng để bỏ qua cơ chế về quyền truy cập giao diện, từ đó kiểm soát được các kênh liên kết vệ tinh, giúp khống chế, kiểm soát được máy bay nhằm thực hiện nhiều mục đích, ý đồ khác nhau [3].

Giải pháp bảo đảm an toàn hệ thống thông tin quan trọng ngành hàng không dân dụng

Từ những nguy cơ, thách thức trên, việc phòng ngừa, khắc phục, xử lý các lỗ hổng bảo mật để bảo đảm an ninh, an toàn cho HTTT quan trọng ngành HKDD là rất quan trọng. Do vậy, các lực lượng chức năng và cơ quan, doanh nghiệp ngành HKDD cần làm tốt một số công việc sau đây:

Một là, thường xuyên triển khai các phương tiện kỹ thuật để rà quét, phát hiện, ngăn chặn, xử lý lỗ hổng bảo mật gây mất an ninh, an toàn HTTT quan trọng ngành HKDD

Nhằm kịp thời phát hiện, ngăn chặn, xử lý các lỗ hổng bảo mật gây mất an ninh, an toàn ngành HKDD, lực lượng chuyên trách bảo đảm an ninh mạng của Bộ Công an cần tăng cường phối hợp với các cơ quan, doanh nghiệp HKDD triển khai công tác kiểm tra, rà quét đối với các HTTT, nhất là các HTTT quan trọng về ANQG. Việc kiểm tra, rà quét không chỉ giúp các lực lượng chức năng phát hiện, khắc phục, mà còn vô hiệu hóa, xử lý hoạt động của các virus, mã độc đã được cài đặt, phát tán trên hệ thống. Để thực hiện hiệu quả công tác này, lực lượng chuyên trách của Bộ Công an cần tăng cường đầu tư các thiết bị kỹ thuật chuyên dụng, nghiên cứu triển khai các giải pháp kỹ thuật và sản xuất, ứng dụng phần mềm hiện đại theo kịp sự phát triển của khoa học công nghệ, cũng như có khả năng ngăn chặn, đối phó với thủ đoạn hoạt động của các nhóm tin tặc, tội phạm mạng.

Công tác này cần được tiến hành thường xuyên, định kỳ hoặc theo kế hoạch có trước, đặc biệt chú trọng vào thời điểm hệ thống được đầu tư nâng cấp mới hoặc khi có những dấu hiệu bất thường trong hoạt động vận hành.

Hai là, tổ chức thẩm định, đánh giá về an ninh, an toàn đối với HTTT quan trọng ngành HKDD trước khi đưa vào lắp đặt, vận hành hoạt động.

Trên cơ sở chức năng, nhiệm vụ được giao, Bộ Công an phối hợp với Bộ Giao thông vận tải và các cơ quan, doanh nghiệp ngành HKDD tổ chức kiểm tra, thẩm định, đánh giá và rà soát, phát hiện lỗ hổng cùng các nguy cơ, dấu hiệu xuất hiện để đưa ra quyết định về việc lựa chọn HTTT an toàn trước khi đưa vào lắp đặt, vận hành hoạt động trong lĩnh vực này. Bên cạnh đó cũng cần chú trọng vào thẩm định năng lực của các đối tác, đơn vị thiết kế thi công nhằm đảm bảo năng lực thi công cũng như chất lượng của hệ thống. Công tác kiểm tra, thẩm định, đánh giá cần được thực hiện ngay từ giai đoạn lựa chọn đối tác cung cấp HTTT quan trọng ngành HKDD. Trong giai đoạn này, việc kiểm tra, đánh giá chủ yếu tập trung vào năng lực, uy tín, chất lượng thương hiệu của đối tác cung cấp hệ thống và những vấn đề phức tạp liên quan đến chất lượng, sự cố kỹ thuật mất an toàn từ hệ thống. Đến giai đoạn trước khi đưa HTTT vào lắp đặt, vận hành hoạt động, công tác thẩm định, đánh giá cần tập trung vào việc rà soát, đánh giá tiêu chuẩn, chất lượng kỹ thuật công nghệ của hệ thống. Trong đó, có việc chú trọng sử dụng các phương tiện, biện pháp kỹ thuật để kiểm tra, đánh giá mức độ an ninh, an toàn hệ thống, nhất là việc rà quét, phát hiện các lỗ hổng trên hệ thống.

Ba là, hướng dẫn các cơ quan, doanh nghiệp ngành HKDD triển khai các giải pháp kỹ thuật và đầu tư, nâng cấp phương tiện, thiết bị đảm bảo an ninh, an toàn cho HTTT

 Nhằm bảo đảm an ninh, an toàn HTTT quan trọng ngành HKDD, Bộ Công an phối hợp với Bộ Giao thông vận tải và cơ quan, doanh nghiệp ngành HKDD thường xuyên triển khai các giải pháp kỹ thuật để kiểm tra, rà soát phát hiện những điểm yếu trên hệ thống, đánh giá về mức độ bảo đảm an ninh, ATTT và có biện pháp khắc phục, xử lý. Bộ Công an chủ động phối hợp, hướng dẫn các cơ quan, doanh nghiệp này mua sắm các phương tiện, thiết bị hiện đại thay thế vào những bộ phận yếu kém dễ xảy ra nguy cơ mất an ninh, ATTT; ưu tiên xây dựng, nâng cấp HTTT quan trọng ngành HKDD. Trong đó, cần chú trọng xây dựng các giải pháp kỹ thuật nhằm đảm bảo an toàn cho hệ thống này như: sử dụng các phương tiện, thiết bị kỹ thuật cảnh báo từ xa, kiểm soát và chống xâm nhập trái phép vào HTTT; nghiên cứu, ứng dụng các phần mềm bảo mật với nhiều tầng, nhiều lớp bảo vệ khác nhau để bảo vệ các HTTT quan trọng, các máy tính nối mạng; xây dựng trung tâm xử lý, giám sát và cảnh báo an ninh mạng có chức năng giám sát 24/7 tình hình an ninh HTTT quan trọng ngành HKDD,…

Bốn là, chủ động, tăng cường xây dựng, đào tạo lực lượng chuyên trách bảo đảm an ninh, an toàn HTTT quan trọng ngành HKDD

Để nâng cao khả năng vận hành hệ thống và ứng phó với các nguy cơ, thách thức về an ninh, an toàn đối với HTTT quan trọng, các cơ quan, doanh nghiệp HKDD cần chủ động trong xây dựng cơ chế, chính sách để tuyển chọn được những cán bộ có trình độ, chuyên môn tốt, giỏi lĩnh vực công nghệ thông tin. Mỗi cơ quan, doanh nghiệp ngành HKDD chủ động thành lập một lực lượng chuyên trách bảo đảm an ninh, an toàn HTTT của cơ quan, đơn vị, trong đó có sự phân công chức năng, nhiệm vụ và tổ chức hoạt động cụ thể. Bên cạnh những nhiệm vụ chuyên môn theo quy định, đội ngũ này cần chủ động tăng cường kiểm tra, rà soát phát hiện lỗ hổng bảo mật trên HTTT cơ quan, đơn vị mình và đề xuất phương án khắc phục, xử lý.

Các cơ quan, doanh nghiệp ngành HKDD cần tăng cường phối hợp, đề xuất với Bộ Công an mở các lớp bồi dưỡng, khóa huấn luyện cách thức xử lý một số tình huống, các cuộc tấn công mạng gây mất an ninh, an toàn HTTT quan trọng ngành HKDD thông qua việc khai thác lỗ hổng bảo mật. Đặc biệt chú trọng tổng kết rút kinh nghiệm thực tiễn từ các vụ tấn công đã xảy ra để nâng cao nhận thức và kỹ năng phát hiện, xử lý cho lực lượng chuyên trách này.