Bkis “dò” các trang Web có vi phạm luật không? Việt Nam đã có những vụ tấn công gây thiệt hại nặng nề về tài chính nhưng tại sao Bkis không công bố?...

Đầu Xuân mới 2008, ICTnews đã có cuộc trao đổi với Giám đốc Trung tâm An ninh mạng Bách Khoa (Bkis) Nguyễn Tử Quảng xung quanh công việc của Bkis, đánh giá tình trạng an ninh mạng ở Việt Nam và những lời khuyên dành cho người sử dụng.

Hai năm vừa qua, Bkis liên tục đưa ra cảnh báo với xã hội, cá nhân anh thấy những cảnh báo đó có tác động thế nào với người dùng?

An ninh mạng là vấn đề xã hội, không đơn thuần là vấn đề kỹ thuật. Các vi phạm an ninh mạng đều do con người gây ra. Vì là vấn đề xã hội liên quan đến nhiều người dùng máy tính, nên không dễ dàng mà một sớm một chiều thay đổi được. Mục tiêu của Bkis là từng bước cung cấp thông tin, cảnh báo và hướng dẫn để mọi người thay đổi nhận thức, biến nhận thức thành hành động. Qua những sự việc cụ thể, Bkis phân tích bản chất là gì để người bình thường nắm được. Mỗi tháng có một bản tin như thế, để hướng dẫn người dùng.

Cách đây hai năm mọi người đều tin an ninh mạng là vấn đề kỹ thuật, họ đi mua giải pháp của hãng này hãng nọ. Nhưng hiện nay nhiều người nhận ra rằng đó không đơn thuần chỉ là vấn đề kỹ thuật, chỉ mua giải pháp là xong. Tôi tin là những bản tin hàng tháng của Bkis giúp ích nhiều cho người dùng.

Cụ thể với các trang Web chứng khoán. Đầu năm 2007, khảo sát của Bkis nhận thấy nhiều công ty chứng khoán không quan tâm tới an ninh mạng. Khi Bkis cảnh báo, hết thảy đều giật mình, lúc đầu có thể gây ra phản ứng tiêu cực, nhưng qua quan sát thấy các công ty đều đã quan tâm hơn.

Các chuyên gia Bkis được sàng lọc và giám sát rất kỹ

Nhưng tháng nào cũng đưa ra cảnh báo như vậy, có sợ nhàm không?

Thực ra, chúng tôi hoàn toàn có thể làm bài phân tích đầy đủ các khía cạnh an ninh mạng, lỗ hổng là gì, người dùng cần làm thế nào. Nhưng nếu làm như vậy sẽ không có tác động nhiều vì người dùng không đủ thời gian để đọc, nghiền ngẫm, rồi lại nhanh chóng rơi vào lãng quên.

Vì vậy, Bkis tìm cách đưa thông tin, khai thác ở nhiều khía cạnh khác nhau, từng bước hướng dẫn người dùng từ khía cạnh kỹ thuật đến việc quản lý rủi ro. Để mỗi lần đọc, người dùng biết thêm một chút, dần dần giúp người dùng hiểu thêm vấn đề.

Theo báo cáo Bkis, năm 2007 có tới hơn 33 triệu lượt máy tính ở Việt Nam bị nhiễm virus, với hơn 6700 virus mới. Liệu kết quả của Bkis có phản ánh tương đối chính xác số lượng máy tính nhiễm virus và số virus mới xuất hiện tại Việt Nam không?

Số lượng virus mà Bkis phản ánh là chính xác. Phần mềm diệt virus Bkav đã có hệ thống người dùng rộng khắp trên cả nước. Mỗi ngày có khoảng 130 nghìn người dùng tải về. Với hệ thống người dùng rộng khắp, gần như là ngay lập tức sau khi có hiện tượng virus, đã có người dùng báo lên. Sau đó chuyên gia của Bkis sẽ phân tích, cập nhật mẫu virus và thông báo cho người dùng tải về. Hiện nay, mỗi ngày Bkis cập nhật phần mềm Bkav vài lần.

Một nguồn thu thập virus nữa là thông qua phần mềm Bkav có bản quyền (BkavPro). Phần mềm này có hệ thống tự động ghi nhận báo cáo về tình trạng virus gửi lên máy chủ của Bkis. Bên cạnh đó, Bkis còn cài đặt hệ thống bẫy (honeypot) tự động bắt một số loại virus thường xuyên được cập nhật.

Tương tự với con số 342 trang Web Việt Nam bị tấn công trong năm 2007 theo thống kê của Bkis đã phản ánh đầy đủ thực trạng trang Web bị tấn công?

Tôi cho rằng kết quả này phản ánh tương đối chính xác hiện trạng trang Web bị tấn công vì Bkis hiện có người thường xuyên tham gia các diễn đàn của giới hacker trong và ngoài nước. Thông thường hacker sau khi hack xong, họ thường “ghi điểm” trên các diễn đàn hoặc các trang web ghi thành tích. Cộng đồng hacker cũng thường xuyên thông tin về hoạt động hack. Trên thế giới cũng có một số trang Web tổng hợp những thông tin hacker và những trang Web bị hacker tấn công. Ngoài ra, qua công việc hàng ngày của trung tâm như theo dõi tình trạng mạng, qua mạng lưới khách hàng cũng phần nào giúp Bkis nắm được tình trạng trang Web bị tấn công.

Trong các báo cáo định kỳ hàng tháng, Bkis thường cảnh báo về các lổ hổng của các trang Web. Bkis phát hiện những trang Web dính lỗ hổng bằng cách nào?

Bkis có chuyên gia thường xuyên đi khảo sát các trang Web quan trọng và không quan trọng. Xem các trang Web đó có lỗ hổng không, nếu có gửi cảnh báo và hướng dẫn chủ trang Web khắc phục. Đây là cách rất có hiệu quả. Nếu chỉ cảnh báo chung chung thì ai cũng nghĩ là ông nào đấy dính lỗ hổng chứ không phải mình. Vì thế, có tình huống sau khi Bkis gửi công văn cảnh báo họ mới cuống cuồng lên cho xử lý và có biện pháp đề phòng. Năm vừa qua, Bkis đã cảnh báo lỗ hổng cho 140 cơ quan, sẽ tiếp tục làm trong năm nay.

Mặc dù mục đích là tích cực, nhưng liệu việc thâm nhập vào các trang Web khảo sát và phát hiện lỗ hổng của Bkis có vi phạm luật không?

Chúng tôi đã nghĩ đến việc này, đã tìm hiểu rất kỹ. Tôi khẳng định là mọi việc khảo sát của Bkis đều tuân thủ các luật hiện có. Bản thân trung tâm cũng đặt ra các quy định đạo đức nghề nghiệp, trong đó có quy định rất cụ thể liên quan đến việc khảo sát. Hơn nữa, tất cả những người tham gia khảo sát trang Web được sàng lọc và được đào tạo rất kỹ mới được làm việc này. Ngoài ra, Bkis có cơ chế giám sát cả về kỹ thuật và quản lý. Đến nay, không có gì đáng tiếc xảy ra. Mặc dù, phải nói là trong quá trình kiểm tra, khảo sát các công ty chứng khoán, họ hoàn toàn có thể trục lợi, chắc chắn họ có thể làm được, kể cả ngay tại thời điểm này.

Trong các báo cáo của Bkis chủ yếu đề cập đến virus, các vụ hacker tấn công, ít khi đề cập đến vi phạm quyền riêng tư trên môi trường mạng, phải chăng vấn đề này không nóng?

Vi phạm riêng tư cũng rất đáng ngại, chẳng hạn như có người lừa lấy mật khẩu người khác sau đó đưa lên mạng, hay tống tiền nạn nhân, bêu xấu người khác. Những vụ việc đó cũng khá nhiều. Điển hình như tháng 10 năm ngoái, nhiều người sử dụng phản ánh việc họ bị kẻ xấu đánh cắp các mật khẩu Yahoo, Gmail, sau đó thực hiện hành vi lừa đảo bạn bè của họ hoặc tiết lộ những thông tin nhạy cảm lấy được trong hòm thư của nạn nhân.

Bkis ít đề cập đến vấn đề vi phạm quyền riêng tư trong các báo cáo của mình vì mục tiêu của trung tâm là đưa ra từng vấn đề, sau đó cảnh báo, hướng dẫn người dùng đủ các khía cạnh quanh vấn đề đó, để người dùng nhận thức được. Nếu vấn đề nào cũng đưa ra loạn lên sẽ không có tác dụng cảnh báo. Tới đây lần lượt từng vấn đề an ninh mạng được đề cập.

Các báo cáo của Bkis chủ yếu đề cập đến những lỗ hổng, những vụ tấn công website không lớn, phải chăng ở Việt Nam chưa có vụ tấn công nào gây thiệt hại nặng nề về tài chính?

Những vụ tấn công gây thiệt hại lớn là có. Nhưng đó là những vụ rất nhạy cảm, nếu công bố có thể gây tổn hại nghiêm trọng đến cả hệ thống xã hội.

Nhìn tới năm 2008, anh dự báo nguy cơ virus và hacker sẽ như thế nào?

Sẽ không có hacker vãng lai, như sinh viên vi phạm theo cách vô ý thức. Những vụ xử lý hacker như vậy đã có tác dụng răn đe. Nửa cuối năm 2007 đã không còn thấy vụ hacker tấn công vô ý thức nữa. Năm 2008 sẽ có nhiều hơn những vụ hacker tấn công trục lợi, có thể sẽ có sự cấu kết với ngwười chơi chứng khoán để cùng nhau tiến hành hành vi thâm nhập hệ thống sàn chứng khoán. Virus sẽ tiếp tục nhiều, chủ yếu là các virus qua USB và qua các trang Web.

Trong tình hình đó, anh có khuyến cáo gì với người dùng?

Các cá nhân không nên vào các trang Web không rõ nguồn gốc, đó là những ổ virus. Nên dùng những dịch vụ chống virus chuyên nghiệp. Không nên làm những gì mình không thạo, để dành thời gian công sức vào chuyên môn của mình. Như vậy ai cũng sẽ được lợi. Các doanh nghiệp cũng nên thuê dịch vụ an ninh mạng, chống virus cho máy tính. Hiện nay ở Việt Nam có nhiều nhà cung cấp dịch vụ đảm bảo.

Cảm ơn anh!

(Theo ICTnews)