Trong năm 2020, nhiều tổ chức chính trị, tài chính, y tế và giáo dục đã thực hiện quá trình chuyển đổi số mạnh mẽ. Một số trường hợp hoàn toàn không nằm trong kế hoạch trước đó. Các tổ chức thực hiện sự thay đổi này chủ yếu do những tình huống xảy ra nằm ngoài tầm kiểm soát. Mặc dù việc chuyển đổi số đã mang lại cho các tổ chức, doanh nghiệp những thành tựu đáng kể nhưng chúng ta không thể phủ nhận xu hướng này cũng gây ra nhiều mối nguy hại liên quan đến các vấn đề bảo mật, an toàn thông tin.  

 

Trước bối cảnh đó, hai chuyên gia của Checkmarx đã có những dự đoán về các mối đe dọa mới, các cơ chế phòng thủ, cách tiếp cận triển khai và phát triển phần mềm, v.v. dựa trên việc quan sát xu hướng, hiểu biết chuyên môn, kiến thức sâu rộng về công nghệ nói riêng và các ngành công nghiệp phần mềm nói chung. Dự đoán của họ như sau: 

 

Maty Siman, CTO 

 

Bảo mật cần chạy đua để bắt kịp tốc độ phát triển, thích ứng với xu hướng đám mây (cloud). 

 

Các ứng dụng phát triển nhanh chóng trong khi việc duy trì bảo mật được đề cập rất nhiều nhưng không thực thi hiệu quả. Quá trình phát triển kết hợp với các nền tảng đám mây. Cùng với đó, xu hướng của nhiều tổ chức là đưa phiên bản phần mềm mới nhất đến với người dùng và khôi phục lại nếu phát hiện lỗi. Nhờ vậy, các tính năng được triển khai một cách nhanh hơn. Tuy nhiên, cách thức này hoàn toàn không khả thi đối với các cơ chế bảo mật thông tin. Các tổ chức không thể đẩy mã và sau đó quay lại để sửa các lỗ hổng. Điều này sẽ tạo nhiều cơ hội cho các kẻ tấn công xâm nhập vào hệ thống.  

 

Vào năm 2021, các công cụ được sử dụng để bảo mật ứng dụng được tích hợp vào chuỗi công cụ có tốc độ xử lý cao, khả năng mở rộng, hỗ trợ tích hợp nền tảng đám mây và đưa ra khuyến cáo giúp các nhà phát triển có thể hiểu và sử dụng để sửa lỗi một cách nhanh chóng. 

 

Việc lợi dụng các lỗ hổng trong mã nguồn mở sẽ gia tăng trong khi các tổ chức cố gắng tìm cách ngăn cản các tác nhân độc hại. 

 

Việc lợi dụng các lỗ hổng trong mã nguồn mở là một cách dễ dàng để tin tặc tấn công vào các tổ chức, doanh nghiệp. Xu hướng này được dự đoán sẽ gia tăng vào năm 2021. Hiếm có tuần nào trôi qua mà không phát hiện ra các gói mã nguồn mở độc hại. Do vậy, áp dụng các giải pháp ngăn chặn mã độc hại trong việc bảo mật các thành phần mã nguồn mở đang được các doanh nghiệp, tổ chức sử dụng là vô cùng thiết yếu. Nhưng điều đó vẫn chưa đủ để chống lại những kẻ cố ý đẩy mã độc vào các gói phần mềm. Thực trạng này cần phải thay đổi vào năm 2021.

 

Về cơ bản, tốt nhất là nên sử dụng các thành phần nguồn mở nổi tiếng, uy tín cho các dự án quan trọng và xem xét các chính sách mà các dự án nguồn mở chấp nhận những người đóng góp mới. 

 

Nhu cầu bảo mật dựa trên nền tảng đám mây làm gia tăng việc sử dụng Cơ sở hạ tầng dưới dạng code (Infrastructure as Code/ IaC). 

 

Các thay đổi diễn ra trong năm 2020 đã buộc nhiều tổ chức phải chuyển sang sử dụng đám mây để duy trì liên tục các hoạt động kinh doanh. Đám mây mang lại những lợi thế rõ ràng để hỗ trợ người dùng phân tán. Tuy nhiên, song song với sự chuyển đổi này là những thách thức mới, một trong những thách thức lớn nhất xoay quanh sự xuất hiện của IaC. 

 

IaC đã buộc các nhà phát triển phải bước ra ngoài vùng an toàn do thiếu kế hoạch đào tạo thích hợp và áp lực xây dựng mã nhanh chóng cho những môi trường này. Kiến trúc thực tế của mã này cực kỳ phức tạp và các giải pháp bảo mật trên thị trường hiện nay nói chung khó có thể phát hiện các lỗ hổng trong mã.

 

Theo chuyên gia dự đoán, vào năm 2021, những kẻ tấn công ác ý sẽ khai thác lỗi sai của nhà phát triển trong những môi trường linh hoạt này. Các tổ chức cần phải tập trung chủ yếu vào đào tạo bảo mật đám mây, các phương pháp về IaC, bổ sung ngân sách cho bảo mật phần mềm và ứng dụng để hỗ trợ lực lượng lao động từ xa cũng như các hệ sinh thái phần mềm phức tạp hơn.

 

 

 

Erez Yalon, Director of Security Research 

 

Bảo mật đám mây sẽ là trọng tâm.  

 

API là thuật ngữ thông dụng khi nói đến bảo mật và phát triển phần mềm hiện đại. Nhưng nếu năm 2020 là năm của API, thì năm 2021 sẽ là năm mà bảo mật đám mây được xem là trọng tâm. API đóng một vai trò quan trọng trong bảo mật đám mây, nhưng trọng tâm sẽ chuyển sang cách các công nghệ dựa trên đám mây tiếp tục phát triển và tăng độ ứng dụng trong các tổ chức.  

 

Bảo mật hệ sinh thái - kết quả của các giải pháp dựa trên đám mây được kết nối với nhau cần được chú trọng. Tại thời điểm hiện nay, sự hiểu biết rộng rãi về bảo mật đám mây vẫn còn sơ khai. API, container và công cụ điều phối hiện đã trở nên phổ biến trong phát triển phần mềm, trong khi các tổ chức đã và đang nỗ lực để tăng cường kết nối giữa các công cụ khác nhau mà họ đã sử dụng để tăng hiệu quả và năng suất. Nhưng tại mỗi điểm kết nối, nguy cơ xảy ra lỗ hổng vẫn có thể dẫn đến vi phạm. Vào năm 2021, các tổ chức được cho rằng sẽ nắm bắt được thực tế phức tạp của phần mềm và từng bước hành động để bảo vệ chính họ. 

 

 

Các API chứa lỗ hổng là nguyên nhân chính gây ra các vi phạm liên quan đến phần mềm và ứng dụng. 

 

Các chuyên gia dự đoán rằng, mặc dù nhận thức về bảo mật API đã được cải thiện trong vài năm qua, trong năm 2021, API sẽ vẫn là vectơ tấn công hàng đầu, nếu không muốn nói là lựa chọn tiên quyết của các kẻ tấn công ác. Tuy API là một trong những cách thuận tiện để các nhà phát triển xây dựng và chạy nhiều ứng dụng phức tạp nhưng những vấn đề như kiểm soát truy cập đặt ra thách thức lớn vì việc tính toán và loại bỏ các lỗ hổng này là một nhiệm vụ khó khăn với số lượng ít các giải pháp hỗ trợ. 

 

Khi các tin tặc tiếp tục gia tăng những cuộc tấn công nhắm mục tiêu vào API và những kẻ này sẽ tận dụng các lỗ hổng trong thời gian ngắn nhất, các tổ chức cần phải bắt kịp cách các chương trình này có thể bị khai thác và các nhà phát triển buộc phải nhanh chóng xác định cách để bảo mật tốt hơn quy trình xác thực và ủy quyền API. 

 

VNCS – Nhà phân phối chính thức sản phẩm Checkmarx tại Việt Nam. Hãy liên hệ với chúng tôi để được tư vấn về các giải pháp bảo vệ hệ thống thông tin của doanh nghiệp mình một cách tốt nhất.

 

Xem thêm: The Forrester Wave: Splunk dẫn đầu Nền tảng phân tích bảo mật