Tải driver và firmware Advantech đúng nguồn nghe như việc vặt, cho tới khi một tệp sai chỗ làm dừng cả chuyền. Một vụ việc cũ minh hoạ rõ cách phần mềm giả mạo qua mặt người dùng.
Tháng 1 năm 2018, các nhà nghiên cứu của hãng bảo mật Symantec công bố một biến thể mã độc trên Android có tên FakeApp. Điểm đáng chú ý không nằm ở quy mô lây nhiễm, khi đó còn thấp, mà ở cách làm: mã độc khai thác đường liên kết của ứng dụng hợp pháp rồi dựng một lớp giao diện giả trùm lên, giả đúng dịch vụ thật. Người dùng nhập mật khẩu và thông tin thẻ vào lớp giả, dữ liệu được gửi ra máy chủ bên ngoài. Vào thời điểm đó, ứng dụng bị nhắm tới nhiều nhất là Uber.
Đó là bài học dùng được cho môi trường nhà xưởng, nơi phần mềm cài lên máy phần lớn không đến từ một kho ứng dụng có kiểm duyệt. Bài này bàn phần nguồn tải và quy trình cài. Phần thói quen của người dùng nằm ở bài đào tạo an ninh mạng cho nhà máy, phần xử lý khi máy đã nhiễm nằm ở bài mã độc tống tiền trong nhà máy.
Cách FakeApp đánh lừa người dùng
Kỹ thuật khi đó được mô tả là mới. Mã độc không cần phá dịch vụ thật, chỉ cần chen vào giữa: gọi đúng đường liên kết của ứng dụng thật, hiển thị đúng màu sắc và bố cục, chờ người dùng gõ thông tin. Người dùng không có dấu hiệu nào để nghi ngờ vì mọi thứ trông đúng. Đại diện Uber khi đó khuyến nghị ba việc rất cơ bản: chỉ tải ứng dụng từ nguồn đáng tin cậy, giữ phần mềm được cập nhật, và xem kỹ các quyền mà ứng dụng đòi hỏi.
Ba khuyến nghị đó vẫn còn nguyên giá trị, chỉ cần đổi đối tượng từ điện thoại cá nhân sang máy tính đặt trong xưởng.
Vì sao máy trong xưởng dễ dính hơn máy văn phòng
Máy văn phòng thường nằm trong một hệ quản lý tập trung, có phần mềm bảo vệ và có chính sách cài đặt. Máy đặt tại chuyền thì khác ở bốn điểm.
- Phần mềm đến từ nhiều nguồn. Driver bo mạch, tiện ích của hãng thiết bị, phần mềm của nhà tích hợp, bản vá do nhà thầu mang tới.
- Máy ít khi được cập nhật. Dây chuyền đang chạy nên việc cài đặt bị dồn vào kỳ bảo dưỡng, có khi cả năm một lần.
- Người cài không phải người dùng. Nhà thầu cài xong rồi rời đi, không ai giữ hồ sơ tệp đã dùng.
- Tệp thường đi bằng thiết bị lưu trữ rời. Máy không nối Internet nên tệp được chép qua ổ USB, mất luôn mọi kiểm tra ở khâu tải.
Nguồn tải hợp lệ cho từng loại phần mềm
| Loại tệp | Nguồn hợp lệ | Cách kiểm | Dấu hiệu phải dừng |
|---|---|---|---|
| Driver bo mạch, chipset, cổng vào ra | Trang hỗ trợ của hãng, tra theo đúng mã máy và mã bo mạch | Đối chiếu mã sản phẩm ghi trên tem máy với mục tải | Trang tổng hợp driver, tệp nén kèm chương trình cài tự động lạ |
| Firmware thiết bị mạng và bộ điều khiển | Trang hỗ trợ của hãng hoặc nhà phân phối chính thức | So mã băm công bố trên trang tải với mã băm tính lại | Không có mã băm, tệp gửi qua thư điện tử, phiên bản không có trong danh sách phát hành |
| Bản cài hệ điều hành | Bản gốc có bản quyền, lưu trong kho nội bộ | So mã băm, kiểm chữ ký số của tệp cài | Bản đã tuỳ biến sẵn, bản kèm sẵn phần mềm không rõ nguồn |
| Phần mềm giám sát và phần mềm quản lý thiết bị | Nhà cung cấp phần mềm hoặc nhà tích hợp có hợp đồng | Yêu cầu đường tải chính thức kèm tài khoản, không nhận tệp rời | Bản bẻ khoá, bản không có hỗ trợ |
| Tiện ích nhỏ và công cụ chẩn đoán | Kho nội bộ đã duyệt | Kiểm trước trên máy thử, không cài thẳng lên máy đang chạy | Tệp tải từ diễn đàn, tệp do người dùng tự tìm |
Trang hỗ trợ và tài liệu của hãng nằm tại mục hỗ trợ trên advantech.com. Khi tra, dùng đúng mã in trên tem máy chứ không dùng tên dòng sản phẩm, vì cùng một dòng có nhiều bo mạch khác nhau.
Bốn bước kiểm trước khi cài lên máy đang chạy
- Ghi nguồn. Trước khi tải, ghi lại địa chỉ trang, ngày tải, phiên bản và người tải vào hồ sơ máy.
- Đối chiếu mã băm. Với firmware và bản cài hệ điều hành, so chuỗi mã băm trên trang tải với chuỗi tính lại trên máy tải.
- Thử trên máy dự phòng. Cài lên một máy cùng cấu hình để trong xưởng, chạy thử một ca rồi mới đưa vào máy chính.
- Sao lưu trước khi cài. Lưu cấu hình và ảnh ổ đĩa của máy chính, có đường lùi nếu bản mới gây lỗi.
Kho phần mềm nội bộ giúp bỏ hẳn khâu đi tìm
Phần lớn rủi ro sinh ra ở lúc kỹ thuật viên phải tự tìm tệp trong giờ cao điểm. Một kho nội bộ đủ đơn giản sẽ xoá tình huống đó: mỗi máy một thư mục, bên trong có driver theo đúng mã bo mạch, firmware đang dùng và bản kế tiếp, tệp cấu hình, kèm một tệp ghi chú nguồn tải và mã băm. Chỉ tổ bảo trì có quyền ghi vào kho, mọi người khác chỉ đọc.
Với đội máy nằm rải rác nhiều xưởng, phần mềm quản lý thiết bị giúp nắm phiên bản đang chạy và đẩy bản cập nhật theo nhóm mà không phải mang ổ USB đi từng nơi; nội dung nêu ở bài phần mềm DeviceOn. Cách khoá cổng và siết BIOS để chặn tệp đi vào bằng ổ rời trình bày ở bài bảo mật máy tính công nghiệp Advantech.
Chọn thiết bị Advantech để bớt phải cài phần mềm ngoài
Máy được chọn đúng ngay từ đầu sẽ ít phải cài thêm. Hai điểm nên cân nhắc khi mua: máy có sẵn danh sách driver theo đúng mã bo mạch trên trang hỗ trợ của hãng, và máy có cấu hình BIOS cho phép khoá cổng vào ra. Máy lắp trong tủ rack phòng điều khiển chọn theo danh mục máy tính công nghiệp IPC; một cấu hình phổ biến là máy tính công nghiệp IPC-610H. Máy đặt ngay tại chuyền, ít cổng hở, nằm trong danh mục máy tính không quạt.
Danh mục máy tính công nghiệp của hãng trên site kiến thức nằm tại danh mục máy tính công nghiệp Advantech trên IPC247. Khi cần chọn cấu hình theo điều kiện lắp đặt, dùng công cụ chọn máy theo yêu cầu.
Câu hỏi thường gặp về tải driver và firmware Advantech đúng nguồn
Mã độc FakeApp năm 2018 làm gì?
FakeApp là biến thể mã độc trên Android được các nhà nghiên cứu của Symantec mô tả đầu năm 2018. Nó khai thác đường liên kết của ứng dụng hợp pháp rồi dựng một lớp giao diện giả trùm lên, khiến người dùng nhập mật khẩu và thông tin thẻ vào lớp giả và dữ liệu bị gửi ra máy chủ bên ngoài.
Tải driver và firmware cho máy tính công nghiệp ở đâu là đúng nguồn?
Chỉ tải từ trang hỗ trợ của hãng theo đúng mã máy và mã bo mạch, hoặc lấy từ nhà phân phối chính thức. Không tải từ trang tổng hợp driver, không dùng tệp gửi kèm thư điện tử và không dùng bản chép lại từ máy khác mà không đối chiếu phiên bản.
Kho phần mềm nội bộ nên gồm những gì?
Một thư mục có kiểm soát, mỗi máy một mục con, trong đó có bản cài hệ điều hành, driver theo đúng mã bo mạch, firmware đang dùng, tệp cấu hình và một tệp ghi rõ nguồn tải, ngày tải, phiên bản và mã băm. Kho này chỉ người bảo trì được ghi.
Có cần kiểm mã băm của tệp tải về không?
Nên kiểm với firmware và bản cài hệ điều hành, vì đây là hai loại tệp gây hậu quả lớn nhất khi sai. Cách làm là so chuỗi mã băm ghi trên trang tải với chuỗi tính lại trên máy. Nếu trang tải không công bố mã băm thì ít nhất phải tải qua kết nối được mã hoá và ghi lại địa chỉ nguồn.
Máy trong xưởng có nên cho cài thêm phần mềm không?
Không nên để mở. Cách gọn là chốt danh sách phần mềm được phép chạy trên từng máy, người đứng máy dùng tài khoản thường không có quyền cài đặt, mọi thay đổi đi qua bảo trì và được ghi vào nhật ký.
Đọc thêm về thiết bị: toàn bộ máy tính công nghiệp Advantech cùng các hãng khác trên ipc247.com.
