Botnet Mirai (Mirai Botnet)
1. Tổng quan
A. Khái niệm
Botnet Mirai là mã độc và botnet lây nhiễm hàng loạt các thiết bị IoT (camera IP·bộ định tuyến·DVR, v.v.) có bảo mật yếu bằng cách thử từ điển tài khoản·mật khẩu mặc định, biến chúng thành zombie (bot) bị điều khiển từ xa, rồi lợi dụng để thực hiện tấn công DDoS quy mô lớn theo lệnh của máy chủ chỉ huy·điều khiển (C&C). Đây là mối đe dọa tiêu biểu đã gây ra sự cố tê liệt Internet quy mô lớn vào nửa cuối năm 2016, khắc sâu vào nhận thức toàn thế giới mức độ nghiêm trọng của bảo mật IoT.
Lý do căn bản khiến Mirai trở thành hồi chuông cảnh tỉnh cho bảo mật IoT là nó đã chứng minh ở quy mô lớn rằng 'mỗi thiết bị IoT bị bỏ mặc lỏng lẻo đều có thể trở thành vũ khí tấn công mạnh mẽ'. Các botnet trước đây chủ yếu được tạo bằng cách lây nhiễm mã độc cho các PC nhiều lỗ hổng, nhưng PC được bảo vệ ở mức nhất định nhờ phần mềm diệt virus·tường lửa·vá định kỳ, và có người dùng thường trực nên dễ nhận ra bất thường. Ngược lại, thiết bị IoT có hiệu năng thấp nên khó cài phần mềm bảo mật, bị bỏ mặc nhiều năm trong trạng thái kết nối Internet 24 giờ mà không có người quản lý, và trên hết, thông tin xác thực mặc định được đặt khi xuất xưởng thường vẫn còn nguyên. Mirai đã nhắm chính xác vào điểm mù này.
Kỹ thuật tấn công của Mirai lại càng gây sốc ở chỗ nó không phải lỗ hổng zero-day tinh vi mà là phương thức đơn giản đến kinh ngạc. Mirai quét ngẫu nhiên không gian địa chỉ Internet để tìm thiết bị mở cổng truy cập từ xa (Telnet cổng 23, 2323), thử lần lượt (brute force) danh sách vài chục tài khoản·mật khẩu mặc định mà nhà sản xuất hay dùng như admin/admin, root/12345, root/xc3511, và khi đăng nhập thành công thì lập tức tải mã độc về để lây nhiễm. Vì có hàng trăm nghìn thiết bị chưa đổi mật khẩu nằm rải rác trên Internet, sự lây nhiễm lan rộng theo cấp số nhân.
Khi các zombie thu được như vậy đồng loạt dồn lưu lượng vào một mục tiêu cụ thể (DDoS) chỉ với một lệnh của máy chủ C&C, Mirai đã tạo ra trong thời gian ngắn các cuộc tấn công có quy mô chưa từng có vào thời điểm đó, từ vài trăm Gbps tới 1 Tbps. Mirai là sự kiện mang tính biểu tượng cho thấy bảo mật IoT tụt hậu tương xứng với sự tiện lợi mà IoT mang lại, và những sơ hở nhỏ của từng thiết bị khi tập hợp lại có thể đe dọa toàn bộ hạ tầng Internet.
B. Các vụ tấn công chủ yếu và tác động
Mức độ nguy hiểm của Mirai không phải là lo ngại trừu tượng mà đã lộ ra thành các sự cố lớn thực tế. Tháng 9 năm 2016 liên tiếp xảy ra cuộc tấn công khoảng 600Gbps nhắm vào trang của một nhà báo bảo mật (KrebsOnSecurity) và cuộc tấn công lên tới khoảng 1Tbps nhắm vào nhà cung cấp hosting Pháp OVH; và mang tính quyết định là tháng 10 năm 2016 làm tê liệt Dyn, nhà cung cấp dịch vụ DNS lớn của Mỹ, khiến vô số dịch vụ nổi tiếng như Twitter·Netflix·Reddit·Spotify rơi vào tình trạng không thể truy cập trên diện rộng. DNS tương ứng với danh bạ điện thoại của Internet, nên khi một điểm DNS sụp đổ, ngay cả các dịch vụ vẫn đang hoạt động bình thường cũng không truy cập được như hiệu ứng domino. Điều này để lại bài học rằng nếu nhắm vào 'dịch vụ nền tảng dùng chung' của Internet thay vì một trang cụ thể thì tác động lớn hơn nhiều.
Ngoài ra, cuối năm 2016, khi mã nguồn Mirai bị công khai trên diễn đàn trực tuyến, nó đã sinh ra vô số biến thể (ví dụ: các dòng được biết tới như Satori, Okiru, Mozi, v.v.). Ở chỗ kỹ thuật tấn công được đại chúng hóa khiến ai cũng có thể dễ dàng dựng botnet IoT, Mirai không phải sự kiện đơn lẻ mà trở thành 'bản thiết kế chuẩn' của các mối đe dọa IoT sau này. Bảng dưới đây tóm tắt các đặc điểm cốt lõi của Mirai.
| Đặc điểm | Nội dung |
|---|---|
| Phương thức tấn công | Quét Telnet + thử từ điển (brute force) tài khoản·mật khẩu mặc định để lây nhiễm IoT |
| Mục đích | DDoS quy mô lớn theo lệnh C&C (đa vector như SYN·UDP·HTTP·GRE flooding, v.v.) |
| Quy mô | Huy động tối đa hàng trăm nghìn thiết bị IoT zombie, tấn công ở mức vài trăm Gbps~1Tbps |
| Tác động | Công khai mã nguồn khiến nhiều biến thể lan rộng, đại chúng hóa botnet IoT |
2. Kiến trúc lây nhiễm·tấn công của botnet Mirai
Để hiểu hoạt động của Mirai, cần tách riêng 'quá trình mở rộng lây nhiễm' và 'quá trình nhận lệnh để tấn công'. Sơ đồ cấu trúc tổng thể dưới đây cho thấy các thành phần của botnet được kết nối như thế nào.
flowchart LR
ATT["Kẻ tấn công (người vận hành)"] --> CNC["Máy chủ C&C (chỉ huy·điều khiển)"]
ATT --> RPT["Máy chủ Report/Loader"]
SCAN["Scanner (bot đã nhiễm)"] -->|"Báo cáo IP·tài khoản thiết bị yếu"| RPT
RPT -->|"Cài mã độc"| BOT["IoT zombie (botnet)"]
BOT -->|"Quét thêm·lan truyền"| SCAN
CNC -->|"Lệnh tấn công"| BOT
BOT -->|"Lưu lượng lớn (DDoS)"| VIC["Mục tiêu bị hại (web·DNS, v.v.)"]
style CNC fill:#fde8e8,stroke:#d64545,stroke-width:2px
style BOT fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
Điểm cốt lõi trong cấu trúc trên là botnet tự phình to. IoT zombie đã bị nhiễm lại đóng vai trò scanner, dò tìm thiết bị yếu mới, rồi gửi IP của thiết bị tìm được và tài khoản đã thử thành công tới máy chủ report/loader; loader cài mã độc vào thiết bị đó để sáp nhập thành zombie mới. Vì đây là cấu trúc lây nhiễm tự nhân bản, nếu thất bại trong việc dập tắt ban đầu thì botnet sẽ tăng trưởng quy mô lớn trong chớp mắt.
Sơ đồ chi tiết quy trình tiếp theo thể hiện tuần tự các bước từ khi một thiết bị yếu bị lây nhiễm cho tới khi bị huy động vào tấn công.
flowchart TD
A["Quét ngẫu nhiên dải IP Internet<br/>(dò cổng Telnet 23·2323)"] --> B["Đăng nhập bằng thử từ điển<br/>tài khoản·mật khẩu mặc định"]
B -->|"Thành công"| C["Gửi thông tin thiết bị·thông tin xác thực<br/>tới máy chủ Report"]
C --> D["Loader cài·chạy mã nhị phân độc hại<br/>phù hợp kiến trúc"]
D --> E["Sáp nhập zombie: loại bỏ mã độc cạnh tranh,<br/>che giấu dấu vết, chờ kết nối C&C"]
E --> F["Khi nhận lệnh tấn công từ C&C<br/>bắn lưu lượng DDoS vào mục tiêu"]
E --> A
style D fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
A. Giai đoạn lây nhiễm (quét·thử thông tin xác thực)
Điểm xuất phát của lây nhiễm là quét tràn lan. Bot Mirai lướt nhanh qua không gian địa chỉ Internet để tìm thiết bị mở cổng Telnet dùng cho truy cập từ xa. Telnet là giao thức cũ cung cấp đăng nhập từ xa không mã hóa, thường được bật sẵn trên thiết bị IoT khi xuất xưởng cho tiện, nên trở thành mục tiêu hàng đầu của Mirai. Cốt lõi phòng thủ ở giai đoạn này là 'đóng các dịch vụ·cổng không cần thiết'. Bởi vì nếu ngay từ đầu Telnet không bị lộ ra Internet thì bản thân việc thử đăng nhập đã không thể diễn ra.
Khi tìm được thiết bị mở cổng, Mirai lần lượt thử vài chục tổ hợp tài khoản·mật khẩu mặc định được tích hợp sẵn. Lỗ hổng mang tính quyết định ở đây không phải công nghệ mà là 'thói quen vận hành'. Vì nhà sản xuất cài cùng một mật khẩu mặc định vào hàng loạt sản phẩm cho tiện, người dùng không đổi, và thiết bị thậm chí không có thủ tục bắt buộc thay đổi, nên chỉ thử đơn giản cũng xuyên thủng được đăng nhập. Thực tế, danh sách thông tin xác thực Mirai sử dụng được phân tích là chứa phần đáng kể các tài khoản mã hóa cứng của dòng sản phẩm của một số nhà sản xuất nhất định.
Hàm ý thực tiễn của giai đoạn này rất rõ. Khi triển khai IoT phải 'bắt buộc đổi mật khẩu mặc định ngay khi lắp đặt', và nếu có thể thì thể chế hóa việc cấp mật khẩu ban đầu khác nhau cho từng thiết bị (unique default password) ngay từ khâu xuất xưởng. Thực tế, việc nhiều quốc gia sau đó ban hành quy định bảo mật IoT hạn chế sử dụng mật khẩu mặc định·dùng chung cũng bắt nguồn từ điểm này của Mirai.
B. Giai đoạn lan truyền·zombie hóa (cài mã độc)
Khi đăng nhập thành công, bot báo cáo thông tin và thông tin xác thực của thiết bị tới máy chủ report, và loader (Loader) gửi xuống·chạy mã nhị phân độc hại phù hợp với kiến trúc CPU (ARM·MIPS·x86, v.v.) của thiết bị đó. Thiết bị IoT đa dạng nên kiến trúc cũng khác nhau; việc Mirai chuẩn bị mã nhị phân cho nhiều kiến trúc để có thể lây nhiễm rộng rãi đã làm tăng sức lan rộng.
Thiết bị bị sáp nhập thành zombie còn thực hiện các hành vi tự bảo vệ và ẩn mình. Nó chấm dứt·chặn các mã độc cạnh tranh khác hoặc tiến trình quản lý từ xa để 'độc chiếm' thiết bị, ngụy trang tên tiến trình hoặc xóa dấu vết để tránh bị phát hiện, và do đặc tính khởi động lại là hết nhiễm (chủ yếu thường trú trong bộ nhớ) nên liên tục cố lây nhiễm lại. Hàm ý từ góc độ phòng thủ ở điểm này là 'khởi động lại đơn thuần chỉ là giải pháp tạm thời, nếu không đổi mật khẩu và cập nhật firmware thì sẽ sớm bị nhiễm lại'.
Giai đoạn này cũng cho thấy tầm quan trọng của 'quản lý liên tục trong vận hành'. Người dùng khó nhận ra việc bị nhiễm, và dù thiết bị trông như hoạt động bình thường vẫn có thể bị huy động tấn công ở phía sau, nên cần có hệ thống giám sát thường trực như phát hiện lưu lượng bất thường ở tầng mạng và chặn liên lạc tới các tên miền·IP C&C độc hại đã biết.
C. Giai đoạn tấn công (thực thi DDoS)
Khi đã có đủ zombie, kẻ tấn công thông qua máy chủ C&C chỉ định mục tiêu và loại tấn công để ra lệnh, và các zombie đồng loạt bắn lưu lượng. Mirai hỗ trợ nhiều vector tấn công như SYN flooding·UDP flooding·HTTP flooding·GRE flooding, có thể thay đổi loại tấn công tùy theo cách phòng thủ của mục tiêu. 'DDoS đa vector' kết hợp nhiều loại như vậy vượt qua được các biện pháp phòng thủ chỉ chặn một loại, nên gây khó khăn cho việc ứng phó.
Khó khăn bản chất của DDoS là từng gói lưu lượng trông 'như yêu cầu bình thường'. Nếu chặn vô điều kiện các yêu cầu đến từ hàng trăm nghìn IP khác nhau thì người dùng hợp lệ cũng bị chặn, nên cần kết hợp CDN·vùng làm sạch (scrubbing center) hấp thụ·phân tán tấn công volumetric, và phòng thủ thông minh phân tích mẫu lưu lượng để lọc bot. Như trường hợp Dyn, khi hạ tầng dùng chung như DNS trở thành mục tiêu, việc thiết kế dự phòng·cấu hình anycast để sự tê liệt tại một điểm không lan ra toàn bộ dịch vụ cũng rất quan trọng.
D. So sánh với botnet truyền thống
Để nắm chính xác tính chất của Mirai, sẽ hữu ích khi đối chiếu với botnet truyền thống dựa trên PC. Hai loại botnet có cùng khung xương là 'kiểm soát nhiều thiết bị đầu cuối bị nhiễm qua C&C để lợi dụng', nhưng có khác biệt rõ rệt về đối tượng lây nhiễm, phương thức và độ khó phát hiện, và chính khác biệt này giải thích vì sao Mirai lan rộng nhanh và rộng đến vậy.
| Phân loại | Botnet PC truyền thống | Mirai (botnet IoT) |
|---|---|---|
| Đối tượng lây nhiễm | PC·server (được bảo vệ phần nào nhờ diệt virus·vá lỗi) | Thiết bị IoT (khó cài phần mềm bảo mật, bị bỏ mặc) |
| Phương thức lây nhiễm | Khai thác lỗ hổng·tệp đính kèm phishing, v.v. | Thử từ điển tài khoản·mật khẩu mặc định Telnet |
| Phát hiện·ứng phó | Người dùng·phần mềm diệt virus có thể nhận biết | Không có người quản lý nên khó nhận biết lây nhiễm |
| Mục đích chính | Đa mục đích như spam·đánh cắp thông tin·DDoS | Ban đầu chuyên về DDoS quy mô lớn |
Hàm ý thực tiễn của phép so sánh này là 'IoT cần chiến lược phòng thủ khác PC'. Nếu bảo mật PC phụ thuộc phần lớn vào phần mềm diệt virus·sự nhận biết của người dùng, thì với IoT các phương tiện phòng thủ đó rất yếu, nên phải đặt trọng tâm vào 'giá trị mặc định an toàn ở giai đoạn thiết kế·lắp đặt' và 'phát hiện·chặn bất thường ở tầng mạng'. Nguyên nhân gốc rễ khiến Mirai thành công dù chỉ với kỹ thuật đơn giản chính là khoảng trống phòng thủ này.
3. Mối đe dọa bảo mật và ứng phó theo vòng đời dịch vụ IoT
Bảo mật IoT không phải vấn đề của một thời điểm cụ thể mà là nhiệm vụ phải bảo đảm trong suốt toàn bộ vòng đời của thiết bị. Mirai đã khoét chính xác vào những lỗ hổng tiêu biểu của quản lý vòng đời là 'bỏ mặc mật khẩu mặc định khi lắp đặt' và 'thiếu cập nhật trong vận hành'. Bảng dưới đây tóm tắt mối đe dọa và ứng phó theo từng giai đoạn; các giai đoạn liên kết trước sau với nhau nên chỉ tăng cường một giai đoạn thì không bảo đảm được an toàn.
| Giai đoạn | Mối đe dọa bảo mật | Ứng phó |
|---|---|---|
| Thiết kế·phát triển | Thiết kế yếu, tài khoản mã hóa cứng, phần mềm chưa kiểm chứng | Thiết kế·lập trình an toàn (Security by Design), tích hợp sẵn bảo mật cơ bản |
| Phân phối·lắp đặt | Mật khẩu mặc định·dùng chung, mở cổng không cần thiết (Telnet) | Bắt buộc đổi mật khẩu ban đầu, phơi nhiễm tối thiểu (thu gọn cổng·dịch vụ) |
| Vận hành·sử dụng | Lỗ hổng chưa vá, nhiễm mã độc, bị sáp nhập vào botnet | Cập nhật firmware định kỳ, phát hiện bất thường·kiểm soát truy cập |
| Thải bỏ | Rò rỉ dữ liệu·thông tin xác thực còn sót, thiết bị bị bỏ mặc bị tái lợi dụng | Xóa hoàn toàn dữ liệu, hủy thông tin xác thực, thu hồi·vô hiệu hóa |
Đặc biệt, từ góc nhìn Mirai, mắt xích yếu nhất là giai đoạn 'phân phối·lắp đặt' và 'vận hành·sử dụng'. Dù đưa bảo mật vào ở giai đoạn thiết kế đến đâu, nếu khi lắp đặt mật khẩu mặc định vẫn giữ nguyên thì cũng bị vô hiệu hóa; và dù phát hiện lỗ hổng trong vận hành, nếu bản vá không được phân phối·áp dụng thì cửa tấn công vẫn tiếp tục mở. Do đó, quản lý vòng đời phải được tiếp cận như 'hệ thống quản lý liên tục' chứ không phải 'một lần xử lý'.
4. 7 nguyên tắc bảo mật chung cho IoT
Các nguyên tắc bảo mật chung do các cơ quan tại Hàn Quốc và quốc tế đưa ra để tăng cường bảo mật IoT yêu cầu nội tại hóa bảo mật từ thiết kế tới thải bỏ. Nên hiểu các nguyên tắc này cùng với Mirai, vì chúng là biện pháp ứng phó trực tiếp với các lỗ hổng mà Mirai đã phơi bày. Chẳng hạn, nguyên tắc 'thiết lập bảo mật ban đầu an toàn' nhắm vào việc thử mật khẩu mặc định, còn nguyên tắc 'bản vá bảo mật mới nhất' nhắm vào việc bỏ mặc trong vận hành.
| Nguyên tắc (ý chính) | Nội dung | Ý nghĩa từ góc nhìn Mirai |
|---|---|---|
| 1. Nội tại hóa bảo mật ở giai đoạn thiết kế | Phản ánh bảo mật từ hoạch định·thiết kế (Security by Design) | Điểm xuất phát để loại bỏ tài khoản mã hóa cứng |
| 2. Phần mềm·phần cứng an toàn | Phát triển đã kiểm chứng·lập trình an toàn | Chặn thực thi mã nhị phân yếu |
| 3. Thiết lập bảo mật ban đầu an toàn | Giá trị mặc định an toàn như đổi mật khẩu mặc định | Vô hiệu hóa chính việc thử từ điển |
| 4. Áp dụng xác thực·mã hóa | Xác thực hai chiều, mã hóa dữ liệu·truyền thông | Thay thế kết nối văn bản rõ như Telnet |
| 5. Bản vá·cập nhật bảo mật mới nhất | Xử lý lỗ hổng liên tục | Ngăn bỏ mặc trong vận hành |
| 6. Vận hành·quản lý an toàn | Phát hiện bất thường, kiểm soát truy cập | Phát hiện sớm việc bị sáp nhập vào botnet |
| 7. Hệ thống ứng phó·khôi phục sự cố | Ứng phó sự cố·thải bỏ an toàn | Chặn lan rộng lây nhiễm·khôi phục |
Nếu chỉ học thuộc các nguyên tắc như 'danh sách hạng mục' thì sẽ không phát huy sức mạnh trong thực tế. Điều quan trọng là hiểu mỗi nguyên tắc 'cắt đứt giai đoạn tấn công nào'. Trong chuỗi lây nhiễm của Mirai (quét→thử→cài→tấn công), chỉ cần cắt đứt một mắt xích bất kỳ là ngăn được việc hình thành botnet, nên các nguyên tắc vận hành như một hệ phòng thủ nhiều lớp (defense in depth) chồng lên nhau.
5. Chuyên sâu — biến đổi mối đe dọa sau Mirai và xu hướng quản lý
Di sản lớn nhất Mirai để lại là 'thời đại biến thể' do mã nguồn bị công khai. Tái sử dụng khung xương cơ bản của Mirai (quét–thử–loader–C&C–DDoS), các biến thể liên tiếp xuất hiện không chỉ dừng ở thử mật khẩu mặc định mà còn kết hợp khai thác lỗ hổng thiết bị đã biết (CVE) để tăng sức lây nhiễm. Ngoài ra, một số botnet IoT có xu hướng đa dạng hóa mục đích vượt ra ngoài DDoS thuần túy sang đào tiền mã hóa, lợi dụng làm proxy, đánh cắp thông tin, v.v. Tức là hợp lý khi hiểu rằng botnet IoT đã tiến hóa theo hướng 'lây nhiễm đa dạng hơn, kiếm tiền đa dạng hơn' với Mirai làm nguyên mẫu.
Về mặt quy định·tiêu chuẩn, Mirai cũng trở thành bước ngoặt. Nhiều quốc gia·cơ quan đã chỉnh đốn chế độ theo hướng hạn chế sử dụng mật khẩu mặc định·dùng chung cho thiết bị IoT, và yêu cầu vận hành kênh tiếp nhận báo cáo lỗ hổng, ghi rõ thời hạn cung cấp cập nhật bảo mật, v.v. Tiêu biểu, Vương quốc Anh có xu hướng luật hóa yêu cầu bảo mật đối với thiết bị kết nối dành cho người tiêu dùng (cấm mật khẩu mặc định dùng chung, v.v.), và Mỹ·EU cũng đã thúc đẩy các chính sách liên quan tới dán nhãn·chứng nhận bảo mật IoT. Tại Hàn Quốc cũng đã có chứng nhận bảo mật IoT và hướng dẫn bảo mật chung, và chính sách đang phát triển theo hướng khuyến khích thị trường lựa chọn 'thiết bị đã được kiểm chứng bảo mật'. (Tên gọi và thời điểm thi hành cụ thể của luật·chế độ khác nhau theo từng quốc gia và liên tục được sửa đổi, nên khi trích dẫn nên kiểm tra văn bản gốc mới nhất.)
Ứng phó kỹ thuật cũng đã tiến hóa. Nhà mạng·nhà cung cấp đám mây đã tăng cường hạ tầng scrubbing hấp thụ DDoS volumetric quy mô lớn và phòng thủ phân tán dựa trên anycast, còn doanh nghiệp đang áp dụng thiết kế hướng Zero Trust, cô lập thiết bị IoT vào phân đoạn riêng (network segmentation) để dù bị nhiễm cũng hạn chế lan rộng nội bộ và tham gia tấn công bên ngoài. Từ góc độ bài thi, nếu trình bày đối chiếu 'vì sao sự đơn giản của Mirai lại hiệu quả (lỗ hổng trong thói quen vận hành)' và 'sau đó phòng thủ·quy định đã được đa tầng hóa như thế nào' thì có thể thể hiện chiều sâu.
6. Lưu ý và hàm ý (góc độ Kỹ sư chuyên nghiệp)
Bảo mật giá trị mặc định là tuyến phòng thủ đầu tiên. Như Mirai đã chứng minh, việc bỏ mặc tài khoản·mật khẩu mặc định·dùng chung là lỗ hổng lớn nhất, nên phải ưu tiên áp dụng bắt buộc đổi mật khẩu khi lắp đặt, cấp mật khẩu ban đầu duy nhất cho từng thiết bị, đóng các cổng truy cập từ xa không cần thiết như Telnet. Đây là lĩnh vực mà biện pháp đơn giản nhất mang lại hiệu quả lớn nhất.
Cần quản lý liên tục trong toàn bộ vòng đời. IoT dễ bị bỏ mặc lâu sau khi triển khai, nên cập nhật firmware từ xa (OTA), ghi rõ thời hạn cung cấp cập nhật bảo mật, và hệ thống phân phối nhanh khi phát hiện lỗ hổng là bắt buộc. Với thiết bị kiểu 'lắp rồi quên', quản lý tự động hóa là lời giải.
Góc nhìn mối đe dọa tập thể·trách nhiệm hệ sinh thái là quan trọng. Từng thiết bị IoT dù nhỏ bé nhưng khi tập hợp hàng loạt có thể đe dọa hạ tầng Internet, nên cần bảo mật ở cấp độ hệ sinh thái, nơi nhà sản xuất (thiết kế·cập nhật an toàn)·người dùng (cài đặt ban đầu·quản lý)·nhà mạng (chặn lưu lượng bất thường)·chính phủ (quy định·chứng nhận) cùng chịu trách nhiệm. Đây là vấn đề cấu trúc không thể dứt điểm chỉ bằng nỗ lực của một chủ thể.
Phải phản ánh phòng thủ nhiều lớp và khả năng phục hồi vào thiết kế. Cần tiếp cận bằng chiến lược không chỉ là 'phòng ngừa hoàn toàn' mà bao gồm cả 'giảm thiểu thiệt hại và khôi phục nhanh', song hành phòng thủ nhiều lớp cắt đồng thời nhiều mắt xích của chuỗi lây nhiễm (đóng cổng+xác thực mạnh+vá lỗi+phát hiện bất thường) với dự phòng·anycast cho hạ tầng dùng chung như DNS, scrubbing DDoS, tách mạng IoT (phân đoạn).
Phải phản ánh xu hướng quy định·chứng nhận vào chiến lược kinh doanh. Quy định bảo mật IoT như cấm mật khẩu mặc định·dán nhãn bảo mật đang được tăng cường trên toàn thế giới, nên tổ chức phát triển·xuất khẩu sản phẩm sẽ có lợi hơn khi nhìn nhận việc tuân thủ quy định không phải là chi phí mà là điều kiện gia nhập thị trường và tài sản uy tín, và ứng phó chủ động.
Tài liệu tham khảo
- CISA, "Understanding and Responding to Distributed Denial-of-Service Attacks": https://www.cisa.gov/news-events/news/understanding-denial-service-attacks
- Cloudflare Learning, "What is the Mirai botnet?": https://www.cloudflare.com/learning/ddos/glossary/mirai-botnet/
- KrebsOnSecurity, "Source Code for IoT Botnet 'Mirai' Released": https://krebsonsecurity.com/2016/10/source-code-for-iot-botnet-mirai-released/
- Cơ quan Internet và An ninh Hàn Quốc (KISA), thư viện tài liệu bảo mật IoT: https://www.kisa.or.kr/
Tóm tắt một câu: Botnet Mirai là mối đe dọa IoT tiêu biểu lây nhiễm hàng loạt bằng thử từ điển các thiết bị IoT mở cổng Telnet và bỏ mặc mật khẩu mặc định, rồi lợi dụng để thực hiện DDoS quy mô lớn theo lệnh C&C; cần hiểu đồng thời bảo mật theo vòng đời·7 nguyên tắc bảo mật chung giúp cắt đứt nhiều lớp chuỗi lây nhiễm (quét→thử→cài→tấn công), cùng sự lan rộng biến thể sau khi mã nguồn bị công khai và việc tăng cường quy định về mật khẩu mặc định.