Microsoft Defender for Endpoint có lỗ hổng trong kênh liên lạc với dịch vụ đám mây, cho phép kẻ tấn công bỏ qua xác thực, giả mạo dữ liệu, rò rỉ thông tin và tải file độc hại vào gói điều tra.
Lỗ hổng ảnh hưởng đến tính toàn vẹn và bảo mật khi kết nối giữa thiết bị và dịch vụ đám mây, mở cửa cho hành vi tấn công nội bộ hoặc sau khi hệ thống bị xâm phạm. Cần kiểm tra bản vá, giảm quyền truy cập và rà soát gói điều tra ngay lập tức.
Lỗ hổng nằm ở giao tiếp giữa Microsoft Defender for Endpoint và dịch vụ đám mây.
Kẻ tấn công có thể bỏ qua xác thực, giả mạo dữ liệu, rò rỉ thông tin và tải file độc hại vào gói điều tra.
Khuyến nghị: cập nhật bản vá, hạn chế quyền truy cập, rà soát và xác thực gói điều tra.
Tổng quan lỗ hổng
Lỗ hổng tác động lên kênh trao đổi giữa Microsoft Defender for Endpoint (DFE) và dịch vụ đám mây, tạo điều kiện cho kẻ tấn công can thiệp vào luồng dữ liệu.
Vấn đề chủ yếu là cách xác thực và xử lý dữ liệu giữa endpoint và cloud có thể bị lợi dụng để giả mạo thông tin, dẫn tới việc hệ thống tin rằng các file hay gói điều tra là hợp lệ mặc dù đã bị chỉnh sửa.
Rủi ro cụ thể
Kẻ tấn công đã xâm phạm hệ thống có thể bỏ qua cơ chế xác thực, làm giả dữ liệu, rò rỉ thông tin nhạy cảm và chèn file độc hại vào gói điều tra.
Hậu quả gồm mất tính toàn vẹn bằng chứng, lộ thông tin nội bộ và khả năng triển khai mã độc qua các gói được tin tưởng, làm suy giảm hiệu quả điều tra và phản ứng sự cố.
Khuyến nghị hành động
Kiểm tra cập nhật chính thức từ nhà cung cấp, triển khai bản vá, áp dụng các biện pháp giảm thiểu quyền truy cập và tăng cường giám sát giao tiếp endpoint–cloud.
Rà soát các gói điều tra hiện có, xác thực chữ ký và nguồn gốc file, cách ly hệ thống nghi ngờ bị xâm nhập và tiến hành phân tích forensics trước khi tin tưởng dữ liệu.
Làm thế nào để kiểm tra nếu bị ảnh hưởng?
Kiểm tra nhật ký kết nối endpoint–cloud, tìm bất thường trong gói điều tra, rà soát bản cập nhật bảo mật của nhà cung cấp và áp dụng biện pháp phát hiện xâm nhập.
Nên làm gì ngay nếu phát hiện chỉ điểm bị lợi dụng?
Cách ly hệ thống, chặn kết nối liên quan, lưu giữ bằng chứng, cập nhật bản vá nếu có và tiến hành phân tích forensics bởi đội an ninh nội bộ hoặc bên thứ 3 đáng tin cậy.
Đâu là biện pháp phòng ngừa dài hạn?
Áp dụng chính sách phân quyền tối thiểu, mã hóa kênh liên lạc, kiểm tra chữ ký số gói điều tra và duy trì cập nhật bản vá định kỳ cho sản phẩm bảo mật.