Hãy ngắt kết nối Internet

• Đã có một sự cố trong đó một công ty bảo mật "ảo" tên là "ClownStrike" làm tê liệt phần lớn cơ sở cài đặt Windows bằng một bản cập nhật nội dung chưa được kiểm thử đầy đủ
• Có rất nhiều người để chỉ trích trong tình huống này, nhưng nhiều ý kiến lại lặp lại lập luận rằng "những hệ thống như thế này không nên được kết nối với Internet"

Những cân nhắc thực tế của việc không kết nối Internet

• Máy tính doanh nghiệp hiện đại gần như hoàn toàn đóng vai trò là thiết bị truyền thông
• Trong thực tế, rất khó tạo ra giá trị nếu không có sự liên kết vượt qua ranh giới tổ chức và địa lý
• Các hệ thống như đặt chỗ và lập lịch của hãng hàng không về bản chất là hệ thống truyền thông, nên không thể hoạt động nếu không có mạng

Tầm quan trọng của kết nối mạng đối với bảo trì và vận hành

• Ngay cả với những hệ thống không cần truyền thông thời gian thực, kết nối mạng vẫn rất hữu ích cho bảo trì, giám sát và đáp ứng các thay đổi trong yêu cầu kinh doanh

Nhiều ý nghĩa khác nhau của việc không kết nối Internet

• Có nhiều dạng không kết nối Internet, nên nếu không có định nghĩa rõ ràng thì rất khó thảo luận một cách nghiêm túc
• Có nhiều kịch bản, từ một thiết bị đơn lẻ không có kết nối mạng cho đến các giải pháp cross-domain được NSA chứng nhận
• Cũng có nhiều hình thức kết nối Internet bị hạn chế như mạng diện rộng riêng, tunneling được mã hóa, AWS private VPC

Sự bất tiện khi vận hành hệ thống không có kết nối Internet

• Gần như mọi môi trường phần mềm đều được thiết kế với giả định có kết nối Internet, nên trong môi trường offline mọi thứ đều trở nên khó khăn hơn
• Từ cập nhật OS, package manager, chứng chỉ TLS cho đến cấp phép đám mây, đều phát sinh thêm công việc và chi phí trên nhiều phương diện
• Cũng có nhiều trường hợp thời gian và chi phí tăng mạnh do các tương tác phức tạp với nhà cung cấp phần mềm doanh nghiệp

Không có nhiều môi trường offline

• Các môi trường offline theo nghĩa mạnh chủ yếu chỉ giới hạn trong quốc phòng, cơ quan tình báo và một số ngân hàng
• Những ngành này từ lâu đã nổi tiếng là tiêu tốn quá nhiều thời gian và chi phí
• Ngay cả các hình thức nhẹ hơn cũng thường chỉ thấy ở các ngành bị quản lý chặt chẽ hoặc một số doanh nghiệp coi trọng bảo mật

Đề xuất để cải thiện

• Áp dụng chính sách mạng hạn chế tối đa khi có thể (các nền tảng đám mây như AWS giúp việc này dễ hơn)
• Phát triển phần mềm với môi trường offline trong đầu (giảm thiểu kết nối bên ngoài, chuẩn bị phương án thay thế cho endpoint, v.v.)
• Xem xét lại TLS và các giả định ngầm khác, như sử dụng system trust store và giải quyết dependency tại thời điểm triển khai
• Docker là một ví dụ nghịch lý khiến việc quản lý môi trường offline trở nên khó hơn

Ý kiến của GN⁺

• Sự cố CrowdStrike là vấn đề không liên quan đến việc có kết nối Internet hay không. Ngay cả trong môi trường offline, các bản cập nhật bảo mật vẫn là bắt buộc
• Tuy nhiên, trên thực tế, cập nhật offline dễ bị trì hoãn và điều này đôi khi lại có lợi cho bảo mật
• Việc tách rời mạng hấp dẫn về mặt khái niệm nhưng cực kỳ khó triển khai trong thực tế. Trong tương lai, ngành phần mềm cần chuẩn bị tốt hơn cho điều này
• Đồng thời, cần nhận thức giới hạn mang tính nền tảng của môi trường IT hiện đại vốn giả định có kết nối Internet, và ưu tiên tìm kiếm các biện pháp cải thiện khả thi như tăng cường chính sách mạng
• Trong các lĩnh vực đòi hỏi an ninh cực cao như hạ tầng trọng yếu hay quốc phòng, có thể đáng để cân nhắc tách biệt mạng vật lý dù phải chấp nhận những khó khăn đi kèm

[GN⁺]

Ý kiến trên Hacker News

• Với tư cách là người làm trong lĩnh vực bảo mật/hệ thống/vận hành, tôi thấy đa số mọi người làm việc không tốt, và toàn bộ ngành được thiết lập để dung túng điều đó

  • Khi triển khai biển hiệu số, chỉ nên cho phép truy cập mạng tới địa chỉ IP của máy chủ, và chỉ chấp nhận cập nhật đã ký cùng kết nối ghim chứng chỉ
  • Các thiết bị IoT có bảo mật yếu, với nhiều mật khẩu mặc định và cổng mở
  • Đa số công ty không làm tốt công việc, và việc làm theo "thực tiễn tốt nhất" hay hướng dẫn của nhà cung cấp không có nghĩa là đang làm đúng

• Ở Thụy Điển có một mạng riêng tên là Sjunet được tách biệt khỏi Internet và được các nhà cung cấp dịch vụ y tế sử dụng

  • Có thể xem Sjunet là một môi trường air-gap trên toàn ngành, giúp cải thiện bảo mật với chi phí thấp

• Với tư cách là kỹ sư điều khiển, các máy dùng cáp Ethernet không nên được kết nối Internet

  • Trong nhà máy sản xuất, các hệ thống PLC và HMI dùng Ethernet nhưng không bị phơi ra Internet
  • Những máy cũ như máy hàn điện trở không cần các hệ thống bảo mật hiện đại

• Tôi không đồng ý với lập luận rằng không nên air-gap hệ thống

  • Không nên dùng các thực hành phát triển lấy Internet làm trung tâm
  • Một máy MRI đi lấy phụ thuộc JS từ NPM là điều sai trái

• Khi vận hành mạng riêng, các dịch vụ nội bộ có khả năng cao sẽ không có chứng chỉ TLS từ các CA phổ biến

  • Có thể lãng phí rất nhiều thời gian vì các vấn đề với trust store của JRE

• Sau khi dùng kiosk của McDonald's, tôi đã thử cả thiết bị ở những nơi khác

  • Kiosk ở một khu ẩm thực có thể truy cập Internet hoàn toàn, và có thể tải phần mềm độc hại xuống
  • Kiosk đỗ xe không được harden
  • Màn hình tương tác của một thương hiệu bia không gây hại lớn, nhưng tôi đã để lại thông điệp "uống nước đi"

• Kết luận chính không phải là hệ thống không nên kết nối Internet

  • Hệ thống không nên cho phép luồng mạng outbound
  • Trên nhiều sản phẩm phần mềm doanh nghiệp có thể tắt cập nhật tự động
  • Có thể rollout cập nhật theo từng giai đoạn để giảm thiểu sự cố

• Hamnet có thể định tuyến Internet một phần và sử dụng phổ tần vô tuyến nghiệp dư

  • Việc sử dụng cho mục đích thương mại bị cấm

• Hệ thống đặt chỗ của hãng hàng không cần được kết nối mạng, nhưng nhiều thiết bị thì không cần phải trực tuyến

  • Có quá nhiều thiết bị kết nối Internet như tủ lạnh, ấm đun nước, cửa gara
  • Mọi biện pháp bảo mật đều khiến người dùng cảm thấy bất tiện

• Một số phần mềm nhất định đã mất đi độ phổ biến và không còn gây hại nữa

  • Tuy nhiên vẫn còn rất nhiều hộp đen và phần mềm độc quyền, cùng với năng lực khôi phục thảm họa còn thiếu