Cách thức hoạt động và điều gì khiến nó dễ bị tổn thương

SMB là một giao thức cho phép máy tính chia sẻ tệp và phần cứng (chẳng hạn như máy in và ổ cứng ngoài) khi được kết nối với cùng một mạng.

Khi mức độ phổ biến của giao thức SMB tăng lên, số lượng các cuộc tấn công độc hại cũng tăng theo. Giao thức SMB dễ bị tấn công mạng vì các phiên bản cũ của nó không sử dụng mã hóa, điều đó có nghĩa là bất kỳ tin tặc nào biết cách khai thác nó đều có thể truy cập vào các tệp và dữ liệu của bạn.

Và có những rủi ro khác liên quan đến SMB, điều này khiến việc hiểu cách thức hoạt động của giao thức, các loại giao thức khác nhau và cách duy trì sự bảo vệ là điều cần thiết.

Giao thức SMB là gì?

SMB là viết tắt của Khối tin nhắn máy chủ. Nó là một giao thức mạng được sử dụng để chia sẻ dữ liệu giữa các máy tính và thiết bị trên mạng cục bộ hoặc mạng diện rộng. Giao thức cho phép các máy tính mạng cục bộ chia sẻ tài nguyên như tệp, máy in và các thiết bị khác.

SMB được IBM phát triển vào giữa những năm 1980 để chia sẻ tệp trong DOS, nhưng kể từ đó, nó đã được nhiều hệ điều hành khác áp dụng, bao gồm Windows, Linux và macOS của Microsoft.

Giao thức SMB là một phần không thể thiếu trong nhiều hoạt động hàng ngày của các doanh nghiệp và tổ chức, vì nó giúp dễ dàng truy cập các tệp và tài nguyên từ các máy tính khác trên mạng.

Hãy tưởng tượng bạn đang làm việc với một nhóm trong đó các thành viên làm việc từ xa từ các địa điểm khác nhau. Trong những trường hợp như vậy, giao thức SMB là một cách tuyệt vời để chia sẻ tệp nhanh chóng và dễ dàng. Nó sẽ cho phép mỗi thành viên trong nhóm truy cập cùng một dữ liệu và cộng tác trên các dự án. Nhiều người có thể xem hoặc chỉnh sửa cùng một tệp từ xa như thể tệp đó hiện trên máy tính của chính họ.

Giao thức SMB hoạt động như thế nào?

Giao thức SMB tuân theo phương thức yêu cầu và phản hồi để tạo kết nối giữa máy khách và máy chủ. Đây là các bước mà nó hoạt động:

Bước 1. Yêu cầu từ khách hàng: Máy khách (thiết bị thực hiện yêu cầu) gửi yêu cầu đến máy chủ bằng các gói SMB. Gói chứa đường dẫn đầy đủ của tệp hoặc tài nguyên được yêu cầu.

Bước 2. Phản hồi từ máy chủ: Máy chủ (thiết bị có quyền truy cập vào tệp hoặc tài nguyên được yêu cầu) đánh giá yêu cầu và nếu thành công, sẽ phản hồi lại bằng một gói SMB chứa thêm thông tin về cách truy cập dữ liệu.

Bước 3. Xử lý bởi Khách hàng: Máy khách nhận được phản hồi và sau đó xử lý dữ liệu hoặc tài nguyên tương ứng.

Hãy để chúng tôi hiểu điều này với một ví dụ. Giả sử bạn muốn in tài liệu từ cabin của mình và máy in ở trong phòng hoặc khu vực khác của văn phòng. Sau khi bạn ra lệnh in tài liệu, máy tính của bạn (máy khách) sẽ gửi yêu cầu bằng cách sử dụng các gói SMB đến máy in (máy chủ) để in tài liệu đó. Máy in sẽ đánh giá yêu cầu và sau đó phản hồi lại bằng cách sử dụng các gói SMB về trạng thái, chẳng hạn như tài liệu đang được in, đang xếp hàng để in hay không thể in được do lỗi máy in.

Các loại giao thức SMB

Với sự tiến bộ trong công nghệ, giao thức SMB cũng đã có một số nâng cấp. Các loại giao thức SMB khác nhau hiện có là:

• Phiên bản SMB 1: Đây là phiên bản gốc của giao thức SMB được phát hành vào năm 1984 bởi IBM để trao đổi tệp trên DOS. Microsoft sau đó đã sửa đổi nó để sử dụng trên Windows.
• CIFS: Common Internet File System (CIFS) là phiên bản sửa đổi của SMBv1, được phát triển chủ yếu để hỗ trợ chia sẻ các tệp lớn hơn. Nó được phát hành lần đầu tiên với Windows 95.
• Phiên bản SMB 2: Microsoft đã phát hành SMB v2 vào năm 2006 cùng với Windows Vista như một giải pháp thay thế an toàn và hiệu quả hơn cho các phiên bản cũ hơn. Giao thức này đã giới thiệu các tính năng như xác thực được cải thiện, kích thước gói lớn hơn, ít lệnh hơn và hiệu quả tốt hơn.
• Phiên bản SMB 3: Microsoft đã phát hành SMB v3 cùng với Windows 8. Phiên bản này được thiết kế để cải thiện hiệu suất và hỗ trợ mã hóa đầu cuối cũng như các phương pháp xác thực được cải thiện.
• Phiên bản SMB 3.1.1: Phiên bản mới nhất của giao thức SMB đã được phát hành vào năm 2015 với Windows 10 và hoàn toàn tương thích với tất cả các phiên bản trước đó. Nó giới thiệu nhiều tính năng bảo mật hơn, chẳng hạn như mã hóa AES-128 và các tính năng bảo mật mở rộng để giải quyết các cuộc tấn công độc hại.

Những mối nguy hiểm của giao thức SMB là gì?

Mặc dù giao thức SMB là một tài sản lớn đối với nhiều doanh nghiệp, nhưng nó cũng liên quan đến một số rủi ro bảo mật. Tin tặc đã nhắm mục tiêu giao thức này để có quyền truy cập vào các hệ thống và mạng của công ty. Nó đã trở thành một trong những vectơ tấn công phổ biến nhất được bọn tội phạm mạng sử dụng để xâm phạm mạng và hệ thống của công ty.

Điều tồi tệ hơn là mặc dù đã có các phiên bản nâng cấp của SMB, nhưng nhiều thiết bị Windows vẫn đang chạy trên phiên bản 1 hoặc 2 cũ hơn, kém bảo mật hơn. Điều này làm tăng cơ hội cho những kẻ độc hại khai thác các thiết bị này và giành quyền truy cập vào dữ liệu nhạy cảm.

Dưới đây là các khai thác SMB phổ biến nhất.

Tấn công vũ phu

Các vectơ tấn công phổ biến nhất được sử dụng bởi tin tặc chống lại giao thức SMB bao gồm các cuộc tấn công vũ phu. Trong các cuộc tấn công như vậy, tin tặc sử dụng các công cụ tự động để đoán kết hợp tên người dùng và mật khẩu chính xác. Sau khi có quyền truy cập vào mạng, họ có thể đánh cắp dữ liệu nhạy cảm hoặc cài đặt phần mềm độc hại trên hệ thống.

Man-in-the-Middle tấn công

Một vectơ tấn công khác được sử dụng để chống lại giao thức SMB là các cuộc tấn công trung gian. Tại đây, một hacker đưa mã độc vào mạng, cho phép chúng chặn liên lạc giữa hai hệ thống. Sau đó, họ có thể xem và thay đổi dữ liệu được trao đổi.

Tấn công tràn bộ đệm

Tin tặc cũng sử dụng các cuộc tấn công tràn bộ đệm đối với giao thức SMB. Trong các cuộc tấn công như vậy, tin tặc gửi một lượng dữ liệu khổng lồ để lấp đầy bộ nhớ của hệ thống bằng rác, do đó làm hỏng hệ thống. Kỹ thuật này thường được sử dụng để cài đặt phần mềm độc hại trong hệ thống, có thể được sử dụng để giành quyền truy cập vào dữ liệu bí mật hoặc khởi chạy một cuộc tấn công từ chối dịch vụ.

Tấn công ransomware

Các cuộc tấn công ransomware cũng là một mối đe dọa lớn đối với giao thức SMB. Trong kiểu tấn công này, tin tặc mã hóa dữ liệu được lưu trữ trên hệ thống và sau đó yêu cầu tiền chuộc để đổi lấy các khóa mã hóa. Nếu tiền chuộc không được trả, họ có thể xóa vĩnh viễn tất cả dữ liệu được mã hóa.

Thực thi mã từ xa

Thực thi mã từ xa là một vectơ tấn công khác được sử dụng để chống lại giao thức SMB. Trong các cuộc tấn công như vậy, tin tặc đưa mã độc vào hệ thống, cho phép chúng kiểm soát nó từ xa. Khi đã truy cập được vào hệ thống, họ có thể đánh cắp dữ liệu bí mật hoặc khai thác các lỗ hổng khác trong mạng.

Luôn được bảo vệ khi sử dụng Giao thức SMB

Mặc dù có một số rủi ro liên quan đến giao thức SMB nhưng nó vẫn là một phần quan trọng của Windows. Do đó, điều quan trọng là đảm bảo rằng tất cả các hệ thống và mạng kinh doanh đều được bảo mật trước các cuộc tấn công độc hại.

Để luôn được bảo vệ, bạn chỉ nên sử dụng phiên bản mới nhất của giao thức SMB, thường xuyên cập nhật phần mềm bảo mật và theo dõi mạng của mình để phát hiện các hoạt động đáng ngờ. Điều quan trọng nữa là đào tạo nhân viên của bạn về các phương pháp hay nhất về an ninh mạng và đảm bảo rằng tất cả người dùng đang sử dụng mật khẩu mạnh. Bằng cách làm theo các biện pháp này, bạn có thể đảm bảo rằng doanh nghiệp của mình vẫn an toàn trước các cuộc tấn công độc hại.