Tháng 12 năm ngoái, Microsoft có đưa ra một khuyến cáo chi tiết về việc làm thế nào để bảo vệ các tài khoản Office 365 khỏi những cuộc tấn công đánh cắp thông tin xác thực như những gì chúng ta đã thấy.

Bất kỳ ai sở hữu tài khoản Office 365 đều có thể bảo vệ tốt hơn tài khoản của mình nếu thực hiện theo các bước trong bài khuyến cáo. Từ những doanh nghiệp nhỏ cho đến những công ty lớn, việc thực hiện các biện pháp như Xác thực đa yếu tố (MFA – Multi-factor Authentication) nên được ưu tiên cao.

Bài viết này sẽ cung cấp cho bạn một chút nền tảng về một số đề xuất, đồng thời giới thiệu những hướng dẫn mới quan trọng về bảo mật được đưa ra bởi Microsoft.

Microsoft tung bản vá khẩn cấp xử lý lỗ hổng zero-day trong Internet Explorer

Điện toán đám mây ngày càng trở nên phổ biến

Việc ứng dụng điện toán đám mây vào các hoạt động kinh doanh tiếp tục tăng nhanh. Theo EuroStat, vào năm 2018, 42% doanh nghiệp của Anh phụ thuộc vào dịch vụ điện toán đám mây, so với 24% của năm 2014.

Tin tặc cũng lợi dụng xu hướng này để chuyển dịch mục tiêu của chúng sang các hệ thống đám mây. Chúng cũng sử dụng các kĩ thuật kinh điển, như dò tìm mật khẩu và các chiến dịch lừa đảo, để làm mũi nhọn cho các cuộc tấn công.

Việc được áp dụng nhanh chóng trên các tổ chức thuộc mọi quy mô, đã khiến Office 365 trở thành một mục tiêu hấp dẫn. Kcác hướng dẫn của chính Microsoft nhằm mục đích cảnh báo về sự gia tăng các nguy cơ gây ra bởi sự phổ biến này.

Sử dụng Xác thực đa yếu tố (MFA)

Trước khi xem xét tới khuyến cáo bảo mật của Microsoft, thì lời khuyên là: Bạn nên sử dụng một dạng nào đó của MFA để truy cập các dịch vụ đám mây.

Đôi khi được gọi là xác thực 2 yếu tố, xác thực hai bước hoặc 2FA, đây là tuyến phòng thủ đầu tiên và là một tuyến tốt cho tài khoản của bạn. Nếu bạn chưa sử dụng chức năng này, bạn nên sử dụng nó ngay lập tức.

Các mã sử dụng một lần được tạo bởi các ứng dụng xác thực có thể khó áp dụng trong các tổ chức lớn. Tuy nhiên, như giải thích hướng dẫn MFA của chúng tôi, chúng ta có thể đạt được cùng một mức độ bảo mật theo những cách khác, thân thiện với người dùng hơn. Ví dụ như đăng nhập từ một địa chỉ IP đáng tin cậy hoặc từ một thiết bị đã được đăng ký trước trong Azure AD.

Doanh nghiệp có thể sử dụng truy cập có điều kiện để củng cố việc sử dụng MFA. Các tổ chức và cá nhân nhỏ hơn nên tự kiểm tra và đảm bảo mỗi tài khoản của mình đều đã kích hoạt xác thực hai yếu tố.

Hướng dẫn bảo mật Office 365 mới từ Microsoft

Hướng dẫn bảo mật mới của Microsoft đưa ra những khuyến cáo mới nhất về cách triển khai cài đặt Office 365 để chúng đáp ứng các nguyên tắc bảo mật đám mây của NCSC  .

Chúng tôi khuyến nghị bản hướng dẫn này cho các doanh nghiệp trong cả khu vực công và tư nhân, mặc dù nó được hình thành để giải thích cách các cơ quan của Vương quốc Anh có thể cấu hình và sử dụng Office 365 để đáp ứng mối đe dọa tại văn phòng.

Bản hướng dẫn bao gồm tất cả các dịch vụ Office 365. Vì vậy, các biện pháp mà nó gợi ý sẽ giúp bạn tự tin rằng bạn đang sử dụng các tính năng mới hơn, chuyên biệt cho điện toán đám mây và các sản phẩm quen thuộc như SharePoint và Exchange.

Hướng dẫn của Microsoft gồm hai phần:

• Tài liệu đầu tiên như một lời hưởng ứng với 14 nguyên tắc bảo mật điện toán đám mây của NCSC. Nó cũng giải thích các mục cấu hình tương ứng với các nguyên tắc bảo mật như thế nào.
• Tài liệu thứ hai mô tả các cấu hình đề nghị cho một dịch vụ Office 365, kèm theo hướng dẫn thực hiện từng bước một.

Trong tài liệu thứ hai, Microsoft đã chia các khuyến nghị thành ba loại: tốt, tốt hơn và  tốt nhất.

Các doanh nghiệp nên đặt mục tiêu thực hiện tất cả các khuyến nghị trong danh mục tốt. Và, lý tưởng nhất là những khuyến nghị trong danh mục tốt hơn, được bao gồm trong giấy phép Office 365 E3.

Chuyển sang xác thực sử dụng điện toán đám mây

Hướng dẫn mới này bao gồm một thay đổi lớn,có thể gây ra một số tranh cãi.

Bây giờ chúng tôi khuyên rằng các môi trường lai -ví dụ như môi trường sử dụng đồng thời Active Directory cùng với Azure AD – nên ưu tiên sử dụng xác thực mặc định với  Azure AD hơn là ADFS.

Trong một phát biểu của Microsoft, đây là “xác thực một lần liền mạch bằng cách đồng bộ các mã băm của mật khẩu”, được cấu hình để sử dụng MFA cho mỗi người dùng hoặc truy cập có điều kiện.

Đồng bộ hóa mật khẩu lên đám mây có thể vẻ như là một việc đáng sợ, nhưng chúng tôi nghĩ rằng các tổ chức sử dụng Azure AD làm nguồn xác thực chính của họ sẽ thực sự giảm rủi ro so với ADFS. Điều này là do:

• Chỉ có mã băm của mật khẩu của bạn được gửi đến Azure AD và không phải là mã băm có thể sử dụng lại được NTLM như thường được nói tới trong các cuộc tấn công “pass the hash”. (Microsoft giải thích thêm trong tài liệu Azure AD Connect của họ). Điều này có nghĩa là thông tin đăng nhập được gửi tới Azure AD không thể được sử dụng để xác thực với bất kỳ thiết bị tại chỗ nào của bạn, bởi chúng dựa trên Active Directory.
• Chúng ta đã dựa vào Azure AD để đưa ra quyết định kiểm soát truy cập  quy định ai có thể xem dữ liệu nào, được lưu trữ trong Office 365. Vì vậy, chúng ta cần phải tin tưởng rằng nó được xây dựng và vận hành an toàn. Lưu trữ mã băm mật khẩu không thay đổi yêu cầu bảo mật đó.
• Tính khả dụng của Office 365 sẽ không còn bị ảnh hưởng bởi bất kỳ sự cố ngừng hoạt động hoặc thời gian ngừng hoạt động nào do cơ sở hạ tầng ADFS hoặc Active Directory tại chỗ của bạn.
• Các công nghệ bảo mật thông tin toàn diện của Microsoft chỉ có thể hoạt động trên các tài khoản được hoàn toàn đồng bộ với đám mây. Các lợi ích bao gồm dịch vụ phát hiện người dùng sử dụng mật khẩu dễ đoán và đánh dấu các tài khoản có mật khẩu được sử dụng lại đã bị rò rỉ thông qua các sự cố lộ lọt dữ liệu từ các dịch vụ khác.
• Các tiện ích mở rộng cho Quyền truy cập có điều kiện bao gồm đánh giá về mức độ an toàn của của thiết bị, trong tương lai, có lẽ chỉ khả dụng đối với người dùng xác thực trực tiếp với Azure AD.

Hành động theo hướng dẫn mới

Chúng tôi khuyên các tổ chức đã sử dụng Office 365 đối chiếu lại việc triển khai của họ với các khuyến cáo của NCSC và hướng dẫn mới được Microsoft công bố, coi các đề xuất của họ là mức tối thiểu các bạn nên áp dụng.

Các tổ chức nhỏ có thể sẽ thấy phù hợp hơn với phần tóm tắt của bản khuyến cáo, trong khi các tổ chức lớn hơn và khu vực công nên sử dụng hướng dẫn chi tiết hơn.

Nếu bạn chưa sử dụng các biện pháp bảo vệ trước nguy cơ dò mật khẩu và rò rỉ thông tin như MFA hoặc Truy cập có điều kiện thì chúng tôi xin nhắc lại – bạn nên bắt đầu ngay bây giờ.

Microsoft tung ra bản vá Patch Tuesday tháng 10 2018

Andrew A – Trưởng nhóm nghiên cứu bảo mật đám mây NCSC