Hướng dẫn toàn diện về bảo mật Windows 7 – Phần 2

Quản trị mạng – Trong phần hai của loạt bài này, chúng tôi sẽ tiếp tục giới thiệu cho các bạn cách bảo mật Windows 7 và giới thiệu thêm một số chức năng bảo mật ít được biết đến hơn mà hệ điều hành này cung cấp.

>> Hướng dẫn toàn diện về bảo mật Windows 7 – Phần 1

Windows 7 là hệ điều hành máy khách cho các máy tính desktop mới nhất của Microsoft, nó được xây dựng dựa trên những điểm mạnh và sự khắc phục những điểm yếu có trong các hệ điều hành tiền nhiệm, Windows XP và Windows Vista. Mọi khía cạnh của hệ điều hành như, cách chạy các dịch vụ và cách load các ứng dụng sẽ như thế nào, đã làm cho hệ điều hành này trở nên an toàn hơn bao giờ hết. Tất cả các dịch vụ đều được nâng cao và có nhiều tùy chọn bảo mật mới đáng tin cậy hơn. Tuy nhiên những cải tiến cơ bản đối với hệ thống và các dịch vụ mới, Windows 7 còn cung cấp nhiều chức năng bảo mật tốt hơn, nâng cao khả năng thẩm định cũng như các tính năng kiểm tra, khả năng mã hóa các kết nối từ xa và dữ liệu, hệ điều hành này cũng có nhiều cải tiến cho việc bảo vệ các thành phần bên trong, bảo đảm sự an toàn cho hệ thống chẳng hạn như Kernel Patch Protection, Service Hardening, Data Execution Prevention, Address Space Layout Randomization và Mandatory Integrity Levels.

Có thể nói Windows 7 được thiết kế an toàn hơn. Thứ nhất, nó được phát triển trên cơ sở Security Development Lifecycle (SDL) của Microsoft. Thứ hai là được xây dựng để hỗ trợ cho các yêu cầu tiêu chuẩn chung để có được chứng chỉ Evaluation Assurance Level (EAL) 4, đáp ứng tiêu chuẩn xử lý thông tin Federal Information Processing Standard (FIPS) #140-2. Khi được sử dụng như một hệ điều hành độc lập, Windows 7 sẽ bảo vệ tốt người dùng cá nhân. Nó có nhiều công cụ bảo mật hữu dụng bên trong, tuy nhiên chỉ khi được sử dụng với Windows Server 2008 (R2) và Active Directory, thì sự bảo vệ sẽ đạt hiệu quả cao hơn. Bằng việc nâng mức độ bảo mật từ các công cụ như Group Policy, người dùng có thể kiểm soát mọi khía cạnh bảo mật cho desktop. Nếu được sử dụng cho cá nhân hoặc văn phòng nhỏ hệ điều hành này vẫn tỏ ra khá an toàn trong việc ngăn chặn nhiều phương pháp tấn công và có thể được khôi phục một cách nhanh chóng trong trường hợp gặp phải thảm họa, vì vậy mặc dù sẽ có nhiều ưu điểm hơn nếu có Windows 2008 nhưng điều này là không nhất thiết phải có để có được mức bảo mật cao cho Windows 7. Tuy nhiên dù có thể cho rằng Windows 7 về bản thân nó là một hệ điều hành an toàn nhưng điều đó không có nghĩa rằng bạn chỉ dựa vào các cấu hình mặc định mà quên đi việc thực hiện một số điều chỉnh để gia cố thêm khả năng bảo mật của mình. Cần phải biết rằng bạn chính là đối tượng tấn công của một số dạng malware hay các tấn công trên Internet khi máy tính của bạn được sử dụng trong các mạng công cộng. Cần biết rằng nếu máy tính được sử dụng để truy cập Internet nơi công công thì hệ thống của bạn và mạng mà nó kết nối đến sẽ là miếng mồi ngon cho những kẻ tấn công.

Trong bài này chúng tôi sẽ giới thiệu cho các bạn một số kiến thức cơ bản cần thiết để bảo mật Windows 7 được đúng cách, giúp bạn đạt được mức bảo mật cơ bản, xem xét một số cấu hình bảo mật nâng cao cũng như đi khám phá một số chức năng bảo mật ít được biết đến hơn trong Windows nhằm ngăn chặn và bảo vệ chống lại các tấn công có thể. Giới thiệu một số cách bảo đảm an toàn dữ liệu, thực hiện backup và chạy một cách nhanh chóng nếu bạn gặp phải một số tấn công hoặc bị trục trặc hệ thống ở mức độ thảm khốc ngoài khả năng xử lý của mình. Tiếp đó là một số khái niệm bảo mật, cách “làm vững chắc” Windows 7, cách cài đặt và cung cấp bảo mật cho các ứng dụng đang chạy, cách quản lý bảo mật trên một hệ thống Windows 7 và ngăn chặn các vấn đề gây ra bởi malware. Bài viết cũng giới thiệu cho quá trình bảo vệ dữ liệu, các tính năng backup và khôi phục hệ điều hành, cách khôi phục hệ điều hành trở về trạng thái hoạt động trước đó, một số cách bảo vệ dữ liệu và trạng thái hệ thống nếu thảm họa xảy ra. Chúng tôi cũng giới thiệu một số chiến lược để thực hiện nhanh chóng các công việc đó. Các chủ đề được giới thiệu trong bài cũng gồm có cách làm việc an toàn trong khi online, cách cấu hình điều khiển sinh trắc học để kiểm soát truy cập nâng cao, cách và thời điểm được sử dụng với Windows Server 2008 (và Active Directory) như thế nào, cách bạn có thể tích hợp một cách an toàn các tùy chọn cho việc kiểm soát, quản lý và kiểm tra. Mục tiêu của bài viết này là để giới thiệu cho các bạn các tính năng bảo mật của Windows 7, những nâng cao và ứng dụng của chúng cũng như cung cấp cho bạn những kiến thức về việc lên kế hoạch, sử dụng đúng các tính năng bảo mật này. Các khái niệm mà chúng tôi giới thiệu sẽ được chia nhỏ và được tổ chức theo phương pháp khối.

Lưu ý: Nếu làm việc trong công ty hoặc môi trường chuyên nghiệp khác, các bạn không nên thực hiện các điều chỉnh với máy tính của công ty. Hãy thực hiện theo đúng kế hoạch (hay chính sách) bảo mật đã được ban bố, cũng như những hành động, nguyên lý và hướng dẫn tốt nhất đã được công bố trong tổ chức. Nếu chưa quen với các chủ đề bảo mật và các sản phẩm của Microsoft, hãy đọc tài liệu hướng dẫn của sản phẩm trước khi áp dụng bất cứ thay đổi nào cho hệ thống.

Quản lý và kiểm tra bảo mật

Windows 7 có thể an toàn như một pháo đài. Nếu sử dụng Windows 7 trong doanh nghiệp, bạn có thể sử dụng cơ sở dữ liệu Active Directory và lợi dụng nhiều tính năng nâng cao về bảo mật khi đăng nhập vào một Domain, hoặc Group Policy nhằm thực thi bảo mật ở mức cao hơn. Dù bằng cách nào thì sự quản lý tập trung các công cụ bảo mật, các thiết lập và bản ghi là vấn đề quan trọng cần xem xét khi áp dụng bảo mật – cách bạn sẽ quản lý nó, kiểm tra nó và sau đó nâng cấp nó khi đã cài đặt và cấu hình như thế nào? Với Windows 7, bạn sẽ thấy có nhiều thay đổi dưới layout cơ bản về các công cụ và dịch vụ dùng cho mục đích bảo mật. Cho ví dụ từ khóa ‘Security’ trong menu Start mà chúng ta đã thảo luận là nơi tập trung sự việc quản lý ứng dụng bảo mật cho Windows 7.

Nguyên tắc chủ đạo là bạn cần phải áp dụng bảo mật (sau đó quản lý nó) một cách dễ dàng. Không ai thích dò dẫm toàn hệ điều hành để tìm ra các ứng dụng, dịch vụ, bản ghi và sự kiện hay các hành động cấu hình, kiểm tra. Với Windows 7, người ta có thể nói rằng một người dùng mới có thể bị lạc giữa một biển đường dẫn, wizard, applet và các giao diện điều khiển trước khi tìm ra và cấu hình Windows Firewall, tính năng bảo mật cơ bản nhất được cung cấp, thậm chí một số kỹ thuật viên nhiều kinh nghiệm có thể cho rằng vẫn còn nhiều rắc rối đi chăng nữa thì đây vẫn là phiên bản Windows cho phép quản lý dễ dàng nhất tất cả các thông tin bằng cách đánh chỉ số và cung cấp qua việc tìm kiếm trong menu Start.

Ngoài menu Start, một cách thuận tiện khác cho việc quản lý nhiều chức năng bảo mật trong Windows 7 là xây dựng một Microsoft Management Console (MMC) tùy chỉnh và bổ sung thêm các công cụ của bạn vào nó. Một trong những thứ sẽ làm lúng túng nhiều người dùng Windows mới là các giải pháp doanh nghiệp của Microsoft cung cấp một cách mới để tập trung sự điều khiển và kiểm tra mọi thứ trên các hệ thống trong mạng của bạn (MOM là một ví dụ hoàn hảo). Hệ điều hành khách là một đơn vị độc lập (stand-alone) nhưng cũng phải được bảo vệ cục bộ, vì vậy với người dùng gia đình, một giao diện quản lý tùy chỉnh sẽ là câu trả lời cho các câu hỏi về quản lý bảo mật tập trung. Tuy nhiên không may mắn, Security Center lại được phân nhỏ thành các Control Panel applet và MMC Snap-in – vậy bạn có thể tập trung sự truy cập nhanh chóng vào các công cụ chính như thế nào? Để áp dụng bảo mật cho hệ điều hành Windows 7, bạn phải truy cập nhiều vùng khác nhau của hệ thống để tùy chỉnh cấu hình nhằm “làm vững chắc” nó, vậy nếu được quyền chọn các ứng dụng và các chức năng cần thiết và đặt chúng vào một vùng nào đó, thì bạn có thể nhanh chóng và dễ dàng truy cập trở lại chúng để thẩm định bảo mật và xem lại các bản ghi.

Để tạo một giao diện quen thuộc, hãy vào menu Start và đánh vào đó ‘MMC /A’, khi đó bạn sẽ khởi chạy một Microsoft Management Console (MMC) mới. Có thể lưu nó vào bất cứ vị trí nào trên hệ thống và đặt tên cho nó là bất cứ gì bạn muốn. Để định cư, bạn cần phải vào menu File và chọn Add/Remove Snap-in. Thêm tất cả các công cụ mà bạn muốn hoặc cần. Hình 1 hiển thị một giao diện tùy chỉnh với hầu hết nếu không phải tất cả các tùy chọn bảo mật có sẵn.

Hình 1: Tạo giao diện bảo mật tập trung tùy chỉnh với Microsoft Management Console Snap-In

Bạn sẽ thấy nhiều công cụ hữu dụng bên trong các tùy chọn snap-in có sẵn. Cho ví dụ, TPM Management là một Microsoft Management Console (MMC) snap-in cho phép các quản trị viên có thể tương tác với Trusted Platform Module (TPM) Services. TPM services được sử dụng để quản trị phần cứng bảo mật TPM trong máy tính của bạn. Điều này có nghĩa bạn cần phần cứng chuyên dụng, nâng cấp BIOS và chọn đúng chíp CPU. Cũng giống như việc ảo hóa cần một chíp chuyên dụng, TPM cũng vậy. TPM là một cách giới thiệu mức bảo mật phần cứng mới cho phương trình để bạn biết mình đang dần có một hệ thống vững chắc. Bạn có thể quản lý nó ở đây nếu thuân thủ theo TPM. TPM sẽ sử dụng bus phần cứng để truyền tải các thông báo và có thể được sử dụng kết hợp với các tính năng phần mềm giống như BitLocker.

Khi đã tạo các giao diện điều khiển và đã biết cách truy cập vào các vùng để áp dụng các cấu hình bảo mật bên trong hệ điều hành, bước tiếp theo của bạn là kiểm tra hệ thống của mình. Có nhiều cách để thực hiện điều đó. Cho ví dụ, bạn có thể sử dụng phương pháp đơn giản (người dùng gia đình) và chỉ cần để ý đến nó theo thời gian trên một lịch trình đơn giản. Giống như, các tối chủ nhật sau khi lướt mạng, bạn kiểm tra các bản ghi tường lửa và các bản ghi Event Viewer trong giao diện điều khiển. Nếu đào sâu vào các tùy chọn có thể cấu hình, bạn sẽ phát hiện thấy mình có thể lập lịch trình các cảnh báo và thông báo, lọc các bản ghi và tự động lưu để xem lại,... Bảo đảm rằng bạn cần phải để ý đến mọi thứ. Bởi lẽ bảo mật tốt không có nghĩa là bảo mật đó sẽ được duy trì mãi mãi.

Vậy, nói tóm lại – cách điển hình để bạn có thể truy cập và áp dụng bảo mật cho Windows 7 được nhanh là bên trong menu Start. Bạn cũng có thể làm việc bên trong Control Panel (các applet chẳng hạn như Administrative Tools, Windows Firewall và Windows Defender) để tăng truy cập vào các công cụ và các thiết lập bảo mật. Cũng có thể tạo một MMC tùy chỉnh và cấu hình nó nhằm tăng sự truy cập vào các công cụ khác vẫn còn ẩn khuất đâu đó, cũng như cung cấp một giao diện điều khiển tập trung để quản trị vấn đề bảo mật. Mặc dù có thể duyệt nhiều vùng khác nhau trong hệ điều hành và thực hiện cùng một việc, tuy nhiên hy vọng mẹo này có thể giúp bạn áp dụng bảo mật dễ dàng hơn bằng cách cung cấp sự truy cập vào các công cụ bảo mật có trong Windows 7. Ngoài ra bạn có thể áp dụng các template; tạo các nhiệm vụ và hành động và thậm chí tạo các cấu hình bảo mật với các tập công cụ nâng cao.

Mẹo: Bạn cũng có thể áp dụng việc quản lý bảo mật trong các công cụ giống như PowerShell và Netsh (chẳng hạn như lệnh netsh advfirewall), từ đó có nhiều cách dễ dàng có thể áp dụng nhiều tùy chọn dựa trên kịch bản hay dòng lệnh để triển khai bảo mật trong Windows 7. Cũng có thể sử dụng các nhiệm vụ ‘task’ để bắt đầu các công việc, kịch bản hoặc file batch và các dịch vụ để bạn có thể (ví dụ) giữ một backup các bản ghi của Event Viewer cho hành động thẩm định, xem lại và cất giấu an toàn.

Tiếp đến, cần có khả năng truy cập và cấu hình thêm hệ thống cơ bản sau khi cài đặt để “làm vững chắc” nó và do Windows Updates là không thể tránh được, nên bạn cần tạo một kế hoạch để chúng có thể download và cài đặt ngay lập tức. Đại đa số, các nâng cấp đều đến sau các tấn công, vì vậy test và cài đặc chúng ngay khi có thể là một hành động cần làm. Có nhiều lý do tại sao chúng được phát hành. Và được đặt tên là ‘Security Updates’ như thể hiện trong hình 2. Các nâng cấp này luôn được đánh số và bạn có thể được nghiên cứu trực tuyến để tìm kiếm thêm thông tin.

Hình 2: Cài đặt Windows Security Updates với Windows Update

Bạn cũng cần có được các gói dịch vụ mới được phát hành và áp dụng lại chúng nếu cần. Các ứng dụng và các dịch vụ đang chạy khác trong hệ thống cũng cần được quản lý, kiểm tra và nâng cấp thường xuyên, nhất là với các chương trình phát hiện và loại bỏ Virus, Spyware.

Khi hệ thống của bạn đã được vá và được cấu hình cho sử dụng, nhiệm vụ tiếp theo là cài đặt Microsoft Security Essentials (MSE), một chương trình Antivirus (AV) của nhóm thứ ba, cấu hình Windows Defender (spyware) để sử dụng và cấu hình bảo mật nhằm phát hiện (malware) phần mềm mã độc.

Lưu ý: Microsoft gần đây đã phát hành một dòng phần mềm bảo mật mới mang tên Forefront. Dòng sản phẩm này bao phủ tất cả các khía cạnh trong triển khai và quản lý bảo mật trong doanh nghiệp. Chúng cũng tạo sự chắc chắn rằng hệ điều hành khách được an toàn với chức năng mới, chẳng hạn như Microsoft Antivirus, có bên trong gói sản phẩm MSE.

Ngăn chặn và bảo vệ Malware

Mọi hệ thống dù là máy chủ file của Windows, desktop Linux hoặc máy trạm Apple OS X, tất cả đều phải đối mặt với malware. Malware là một thuật ngữ được sử dụng để đại diện cho tất cả các kiểu phần mềm mã độc có thể đâm thủng, xâm nhập, chiếm quyền điều khiển và cuối cùng phá hủy hệ điều hành máy tính của bạn, các ứng dụng hoặc dữ liệu cũng khó có thể khắc phục khi bị tấn công. Tồi tệ hơn, malware không chỉ nhắm đến hệ điều hành cơ bản mà nó còn nhắm đến cả dữ liệu cá nhân, sự riêng tư và nhận dạng. Malware tồn tại dưới nhiều hình thức khác nhau, chẳng hạn như viruse, worm, logic bomb và Trojan. Để giữ cho Windows 7 được an toàn, bạn cần cấu hình nó sao cho tránh được phần mềm mã độc xâm nhập vào hệ thống. Malware có thể xâm nhập theo con đường điển hình nhất là qua truy cập Internet công cộng, nhận email, các tin nhắn IM (instant messaging), sử dụng dữ liệu chia sẻ trên web và các máy chủ FTP, hoặc các ứng dụng phần mềm dựa trên kết nối mạng công cộng khác, chẳng hạn như phần mềm chia sẻ file ngang hàng (P2P). Khi một hệ thống (hoặc email mailbox) nào đó bị xâm nhập, malware có thể phát tán một cách nhanh chóng và đôi khi bạn không hề hay biết điều này. Malware cũng có thể truy cập vào hệ thống của bạn từ các ổ đĩa lạ hoặc các ổ đĩa ngoài không được bảo vệ, các ổ USB và đôi khi là cả qua bản thân mạng. Gần như rằng thông qua hành động nhận email hoặc xem nội dung trên các máy chủ trong mạng Internet công cộng thì bạn sẽ là đối tượng của một số dạng tấn công.

Để tránh malware, bạn phải cố gắng không giới thiệu nó. Việc ngăn chặn (phòng ngừa) malware khác với sự bảo vệ (chống) malware; mặc dù vậy cả hai công việc được thực hiện cùng nhau sẽ có nhiều lợi ích. Việc ngăn chặn chủ yếu tập trung vào các bước cần phải thực hiện để tránh malware xâm nhập vào hệ thống của bạn, từ đó bạn có thể ngăn chặn các tấn công hoặc các vấn đề tương lai có thể xảy ra. Bạn có thể hạn chế sự phơi bày theo nhiều cách. Việc ngăn chặn cần có kỷ luật và cần hiểu biết, áp dụng các khái niệm này một cách nhất quán khi cấu hình bất cứ nền tảng phần mềm nào. Sự bảo vệ là hình thức cài đặt các ứng dụng chẳng hạn như phần mềm Antivirus và các bộ quét Spyware. Bảo vệ (chống) malware còn có thể bằng việc áp dụng các hình thức các công cụ quét và lọc, các công cụ thẩm định và giao thức hoặc mã hóa tạo truyền thông an toàn.

Lưu ý: Có hai kiểu ứng dụng bảo mật; đi tiên phong (chủ động) và phản ứng trở lại. Lên kế hoạch, thiết kế và cân nhắc trong giao đoạn lập kế hoạch sẽ giúp bạn đi đúng hướng, nhưng để tiếp tục hỗ trợ, bạn cần xem xét cách quản lý và hỗ trợ nó. Với malware, bạn cần ưu tiên hàng đầu vào việc nâng cấp chương trình AV để có thể quét và ngăn chặn các mối đe dọa và các khai thác mới. Chủ động nên kế hoạch để bạn có thể cập nhật mọi thứ một cách an toàn, tuy nhiên luôn cần có một kế hoạch cho trường hợp sự phòng chống của bạn bị vi phạm.

Để quản lý, kiểm tra và bảo mật hệ thống trước các mối đe dọa malware tiềm ẩn, bạn nên cài đặt, cấu hình và cập nhật liên tục phần mềm Antivirus và phần mềm gỡ bỏ Spyware. Có thể cài đặt thêm ứng dụng phần mềm của các hãng thứ ba, hoặc sử dụng một số công cụ của Microsoft, chẳng hạn như Windows Defender như thể hiện trong hình 3 bên dưới.

Hình 3: Sử dụng Windows Defender

Windows Defender có thể quét và loại bỏ Spyware. Một ứng dụng antivirus sẽ quét một cách tích cực và cố gắng tìm và loại bỏ virus, worm và Trojan. Nếu cả hai được sử dụng cùng nhau, bạn có thể bảo vệ một cách chủ động hệ thống của mình trước hầu hết các tấn công. Giống như bản thân hệ điều hành, bạn cũng cần liên tục cập nhật các ứng dụng này với nhiều bản vá hoặc chúng có thể trở thành mục tiêu để tấn công. Thêm vào đó, các file định nghĩa mới cũng cần được download và cài đặt thường xuyên để quét các mối đe dọa mới.

Windows Defender là một tiện ích hữu dụng cho việc quét các file hệ thống (Quick hoặc Full), và được cập nhật thường xuyên, một trong những điểm quan trọng nhất khi lựa chọn bất cứ phần mềm spyware nào. Nếu các khái niệm không được cập nhật tương xứng với các tấn công mới bị phát hiện trên toàn thế giới thì hệ thống của bạn không thể bảo vệ bạn trước những tấn công này.

Một số chương trình AV có thể quét một cách thông minh hệ thống của bạn để tìm ra “những điều không bình thường”, hoặc “so khớp một mẫu trong một tấn công tương tự”, thứ được gọi là những khám phá. Mặc dù hữu dụng nhưng không thể bắt được mọi thứ để giữ cho các công cụ này cập nhật. Windows Update sẽ nâng cấp Windows Defender khi bạn chạy nó. Các ứng dụng thứ ba (loại trừ các driver thiết bị chính) thường không tìm thấy thông qua Microsoft. Cũng cần cân nhắc đến việc chạy các công cụ này trong trạng thái tích cực, vì khi đó bạn sẽ phải trả giá về hiệu suất bộ nhớ và xử lý cũng như toàn bộ những gánh nặng về tài nguyên của hệ thống ở mức độ đáng kể. Vì vậy cần phải đi xem xét kế hoạch cho việc triển khai này từ trước và bảo đảm rằng các hệ thống Windows của bạn có thể xử lý được nó. Khi đã thiết lập bảo vệ malware và chạy, bạn vẫn cần “làm vững chắc” một cách tích cực các vùng cần được khóa, chẳng hạn như các thiết lập Internet Explorer.

Bạn có thể bảo mật Windows 7 bằng cách sử dụng một tính năng mới mang tên Data Execution Prevention (DEP). Đây là một tính năng sẽ kiểm tra các chương trình của bạn và cách chúng sử dụng bộ nhớ hệ thống như thế nào. Sử dụng tính năng này bạn sẽ có thêm một mức bảo mật cho các chương trình muốn cư trú và sử dụng bộ nhớ như một cách khởi chạy tấn công. Bạn có thể bật nó cho tất cả các chương trình, hoặc chỉ một số chương trình bạn chọn. Để cấu hình cho sử dụng, bạn cần vào menu Start, mở Control Panel. Kích System applet, sau đó chọn tab Advanced, Performance Options, Data Execution Prevention như thể hiện trong hình 4 bên dưới.

Hình 4: Cấu hình Data Execution Prevention (DEP) trong Windows 7

Virus ngày nay phức tạp hơn rất nhiều so với chúng trước kia. Mỗi năm qua đi, các hack trở nên ngày càng khó ngăn chặn và malware ngày càng trở nên tinh vi hơn, có thể tự ẩn mình và phân phối trọng tải thê thảm. Thêm vào đó nó có thể thực hiện tấn công mà người dùng hoặc quản trị viên hệ thống không hề hay biết. Điều này là vì công nghệ ngày càng trở nên phức tạp và các tấn công cũng vậy. Cho ví dụ, bằng cách vào một trang web và xem nội dung bên trong của nó, bạn có thể cài đặt malware vào hệ thống của mình mà không hề hay biết thông qua các kịch bản lợi dụng các khai thác trong các lỗ hổng của trình duyệt web. Ngoài ra, do sự linh hoạt, trình duyệt rõ ràng được tạo ra để hoạt động với tất cả các giao thức, ngôn ngữ kịch bản, các plug-in và toolbar; do đó nó cũng khó giữ mức bảo mật cao mà không cần nâng cấp liên tục trình duyệt. Một gánh nặng nữa là việc truy cập các site để thực hiện công việc và liên tục bị hỏi về việc đưa các site vào vùng an toàn trước khi được phép truy cập, hoặc cho phép trình duyệt kiểm tra nhanh chóng xem các website có hợp lệ hay không. Vâng, nó sẽ giúp bạn an toàn hơn, tuy nhiên bạn sẽ phải giải quyết nhiều vấn đề phức tạp có liên quan đến việc hạn chế hoặc cho phép truy cập dựa trên mong muốn của mình, không chỉ là các file cấu hình hay danh sách các thiết lập mặc định.

Do việc truy cập Internet là hầu như được thực hiện cho các công việc hoặc giải trí, nên sự khóa chặn của Internet Explorer (IE) là cần thiết trừ khi bạn muốn lộ diện bản thân mình trước malware và các tấn công trình duyệt khi truy cập trực tuyến. Internet Explorer đã được nâng cấp một cách liên tục để bạn có nhiều tùy chọn bảo mật cho nó, có thể lướt web an toàn và được thông báo về những rủi ro tiềm ẩn, từ đó giúp bạn có thể quyết định có tiếp tục thực hiện hành vi nào đó hay không. Trong các phiên bản Windows trước, vấn đề này đã bị giảm nhẹ dưới nhiều cách làm và nhiều công cụ nhưng cốt lõi của vấn đề vẫn là Explorer, IE và cách nó thắt chặt ở mức độ thế nào với hệ điều hành cơ bản là một vấn đề thực. Phần mềm được phân tích và được viết lại hoàn toàn để nhóm tất cả các khía cạnh của ứng dụng bảo mật và các tập công cụ bảo mật tích hợp, chẳng hạn như Phishing filter. Đồng thời những tiến bộ về công nghệ khi được tích hợp vào các sản phẩm của Microsoft đã tạo nhiều tiến bộ trong mã và vì vậy các ứng dụng có tính bảo mật hơn. Ngày nay, IE là trình duyệt web an toàn nhất hiện có và thậm chí còn an toàn hơn khi được triển khai với Group Policy.

Mẹo: Để giữ mức rủi ro do tấn công gây ra ở mức thấp, chúng ta cần phải hạn chế việc truy cập vào các máy chủ web đang hosting các nội dung được biết đến đến như nguyên nhân gây ra các vấn đề này cho hệ thống của bạn. Các máy chủ đó gồm có các site khiêu dâm, các site download phần mềm miễn phí, chia sẻ file hoặc phần mềm P2P, máy chủ FTP công cộng, các biểu đồ IRC và,... Bạn có thể tạo một máy ảo và sử dụng nó để tăng cường sự bảo mật, tuy nhiên giải pháp này không hẳn đã an toàn. Nếu hạn chế được sự phơi bày, bạn sẽ giảm được khả năng trở thành nạn nhân của một tấn công.

Truy cập web theo một nguyên tắc chặt chẽ là một điều quan trọng. Ngoài việc cẩn thận, Internet Explorer cũng cần được cấu hình theo một cách nào đó để bạn không thể thực hiện bất cứ thứ gì không cho phép một cách rứt khoát. Trong phần này, chúng tôi đã giới thiệu sự cân bằng giữa bảo mật và tính linh hoạt và đó là một trong những ví dụ tốt nhất mà bạn có thể thao khảo. Cách bạn sử dụng Internet công cộng an toàn như thế nào mà không cần tốn gấp đôi số lượng thời gian mà bạn đang truy cập nó? Tìm ra một mức cân bằng nào đó và như được đề cập ở trên, có một kế hoạch cho việc khôi phục từ một tấn công có thể.

Các bước khóa IE (chẳng hạn như bật và cấu hình Phishing filter, sử dụng InPrivate Browsing, hoặc các tính năng bảo mật khác) sẽ giúp bạn an toàn hơn nếu không sử dụng bất cứ một thành phần nào, vì vậy tốt nhất hãy làm cho trình duyệt của bạn được an toàn nếu có thể, sau đó tắt hoặc giải phóng một số tùy chọn bảo mật khi bạn đã thích nghi với cách làm việc như một thói quen truy cập hiện hành. Khi cấu hình Internet Properties của IE, như thể hiện trong hình 5, bạn có thể áp dụng các cấu hình bảo mật trên tab Security cũng như các cấu hình bảo mật khác trên các tab khác.

Hình 5: Cấu hình Tab Options trong cửa sổ Internet Properties

Mẹo: Trong tab Internet Properties Security, bạn sẽ tìm thấy một hộp kiểm, nơi bạn có thể kích hoạt Protected Mode. Đây là chế độ cung cấp mức bảo mật cơ sở cho trình duyệt web của bạn.
Cho ví dụ, nếu chọn tab General, bạn có thể thay đổi trang chủ thành trống để mỗi lần mở trình duyệt bạn có thể chọn nơi mà mình muốn truy cập, không phải trình duyệt chọn trước cho bạn. Nếu bị chiếm quyền điều khiển, trang mặc định hiện hành có thể sẽ bị thay đổi thành một trang nào đó mà bạn không hề hay biết. Bạn cũng có thể xóa lưu ký duyệt của mình bất cứ khi nào thoát khỏi IE. Bạn có thể cấu hình các vùng an toàn, danh sách hạn chế, lọc, dịch vụ ủy nhiệm các giao thức nâng cao và,... Cần bỏ thời gian để nghiên cứu về cách trình duyệt của bạn có thể được bảo vệ như thế nào vì nó là tuyến đầu tiên trong quá trình phòng chống các tấn công malware của bạn.

Tất cả các công cụ này cũng làm việc cùng nhau sẽ tốt hơn – chẳng hạn như IE có thể giữ trạng thái khóa chặn, nhưng nếu có thứ gì đó lọt qua, thì UAC sẽ cắm cờ thành phần đó nếu nó cố tình tự động cài đặt.

Việc tránh malware xâm nhập có thể được thực hiện bằng nhiều tính năng khác nhau trong hệ thống ngoài các ứng dụng phần mềm Spyware và AV. Cho ví dụ, UAC (như được giới thiệu ở trên) là một ví dụ điển hình về tầm quan trọng sao nó cần phải có một công cụ như vậy. Nếu bạn truy cập một máy chủ web có chứa mã độc để xem và download nội dung, các kịch bản trong bản thân trang chủ của nó có thể được cấu hình để chạy các ứng dụng, các ứng dụng này sẽ cài đặt một cách thầm lặng trong chế độ background khi bạn sử dụng máy tính của mình. Nếu có bất cứ chương trình nào đó cố gắng tự cài đặt vào Windows 7, UAC (nếu được cấu hình ở mức bảo mật cao nhất), có thể bảo vệ bạn tránh được các kiểu tấn công như vậy.

Những thứ khác bạn có thể thực hiện để ngăn chặn malware là điều chỉnh Windows Firewall, kiểm tra hành động ghi chép của nó và cố gắng làm quen với những gì quả thực đang chạy trên hệ thống của bạn và bao nhiêu tài nguyên hệ thống mà nó đang sử dụng (việc khởi chạy và cư trú trong bộ nhớ, hiệu suất không gian đĩa,...). Sử dụng Task Manager cũng là một cách tuyệt vời để nhanh chóng tìm ra nhiều vấn đề như đã đề cập. Hình 6 thể hiện những gì đang chạy trong hệ thống của bạn. Nếu quan sát tab Processes, bạn sẽ thấy những gì đang chạy trong bộ nhớ và thấy quá trình đó có hợp lệ hay không.

Hình 6: Sử dụng Task Manager

Bạn cũng nên kiểm tra các bản ghi Event Viewer để thẩm định rằng các định nghĩa virus, cũng như các dịch vụ được download, cập nhật và được cài đặt đúng cách, không có lỗi nguy cấp nào được liệt kê mà không được chú trọng. Với tất cả các biện pháp phòng và chống đó, bạn vẫn có thể bị nhiễm malware vào hệ thống, sau đó nó có thể gây hại và phá hủy hoàn toàn dữ liệu của bạn.

Do malware vẫn có thể phá hủy một cách tiềm tàng hệ thống của bạn, thậm chí sau khi đã bảo mật toàn bộ hệ thống (cũng như đã cập nhật) nên bạn cần xem xét đến việc tạo một backup. Bạn luôn luôn cần backup dữ liệu cá nhân của mình mà không cần quan tâm tới việc mình đang ở trên hệ thống Windows, Linux hay Apple. Bạn có thể thực hiện backup theo nhiều cách, chẳng hạn như sử dụng tiện ích backup trong Windows 7, sử dụng một công cụ của hãng thứ ba, hoặc đơn giản là copy tất cả dữ liệu của bạn qua một ổ cứng ngoài hoặc burn nó vào một CD/DVD-ROM để cất giữ an toàn. Rõ ràng, giải pháp đơn giản nhất là bỏ qua nó và hy vọng mọi thứ sẽ tốt đẹp. Tuy nhiên nếu dựa vào dữ liệu của mình hoặc thấy nó là quan trọng, bạn hãy thực hiện backup cho nó ngay lập tức.

Khi dữ liệu đã được backup và được bảo vệ, bạn cần backup hệ thống với System Restore cũng như xem xét các phương pháp khôi phục thảm họa khác để có thể hoạt động trở lại sau khi gặp một vấn đề sự cố nào đó. Nếu không quen, bạn có thể khởi chạy và chạy System Restore và bắt đầu làm việc với nó. Công cụ này cực kỳ hữu dụng vì nó sẽ tạo một snapshot cấu hình hệ thống hiện hành và backup nó để dự phòng sau này. Mặc dù hành động này sẽ tiêu tốn của bạn một chút không gian đĩa, tuy nhiên nó sẽ rất đáng giá khi bạn gặp phải sự cố thực sự.

Các điểm truy cập malware khác cũng có thể nằm trong các tài liệu Windows Office và có thể được chạy như các chương trình được sử dụng tự động với ý định xâm nhập hệ thống của bạn. Các macro là các công cụ hữu dụng, tuy nhiên mặc định bị khóa toàn bộ. Sự nguy hiểm trong việc cho phép Macro (mặc định) là nếu bạn nhận một email có một tài liệu Office phân phối tải trọng, rất có thể bạn sẽ vô tình mở nó và tiêm nhiễm malware vào hệ thống. Quả thực đôi khi chúng ta quá để ý đến ứng dụng bảo mật trên hệ điều hành cơ sở mà thiếu suy nghĩ đến các chương trình chạy trên nó, hoặc mạng mà máy tính kết nối. Malware cũng có thể tiêm nhiễm qua mạng. Worm sẽ di chuyển từ chia sẻ Windows này sang chia sẻ Windows khác, các bộ quét có thể quét dọn hệ thống của bạn với hy vọng tìm được nó. Trojan có thể được cài đặt để kết nối các máy chủ từ xa và báo cáo các thông tin chi tiết về hệ thống của bạn và,...Bảo mật mạng – ngoài bảo mật hệ thống, cũng không được bỏ qua. Các tường lửa mạng có thể khóa sự truy cập của các tấn công, router và các switch có thể được làm vững chắc và cấu hình mã hóa nâng cao có thể được sử dụng để tạo các kết nối an toàn đến một mạng từ xa. Thậm chí việc quản lý quan mạng cũng cần được xem xét. Cho ví dụ, nếu không vô hiệu hóa dịch vụ Telnet (có trong Windows Features) và đang sử dụng nó một cách tích cực thay vì Secure Shell (SSH) (lấy ví dụ như vậy), thì bạn sẽ đang sử dụng giao thức TCP/IP có thể bị tấn công một cách dễ dàng. Tất cả bảo mật mà bạn đã tạo cho các hệ thống của mình hiện bị đánh liều vì bạn không thể bắt ứng dụng capture hoặc đánh hơi dữ liệu trên mạng của mình để từ đó có thể quét tích cực và capture mật khẩu trong sáng (không được mã hóa), cũng có thể xảy ra với mật khẩu được sử dụng tài khoản dịch vụ mặc định Windows Administrator. Chính vì vậy luôn luôn xem xét mạng như một điểm truy cập tiềm tàng cho malware và các tấn công vì nó thường bị bỏ qua.

Gói phần mềm Microsoft Security Essentials (MSE) có thể download miễn phí từ Microsoft, đây là phần mềm khi được cài đặt, nó sẽ bổ sung phần mềm quét AV cho hệ thống của bạn. Được thiết kế cho XP, Vista và Windows 7, gói phần mềm Security Essentials chỉ có sẵn từ Microsoft nếu bạn có một copy hợp lệ. Còn nếu không có, bạn không thể download và cài đặt nó. Trong trường hợp có thể, hãy cài đặt nó ngay tức khắc. Bạn sẽ cần hợp lệ hóa copy Windows 7 của mình nếu chưa làm việc đó trong quá trình cài đặt. Khi đã hợp lệ hóa, chương trình cài đặt sẽ kiểm tra hệ thống của bạn để xem các chương trình AV khác có đang chạy hay không. Bạn sẽ nhân được lời khuyên để sử dụng một bảo vệ AV nào, tuy nhiên không may, nếu bạn chọn để chạy cả hai cùng lúc, đôi khi điều đó sẽ xảy ra hiện tượng xuyên nhiễu giữa hai phần mềm, và bạn phải quản lý và kiểm tra (cũng như nâng cấp) và chịu gánh nặng về hiệu suất vì các chương trình AV sẽ sử dụng công suất xử lý và bộ nhớ khá cao, ảnh hưởng rõ nét đến hiệu suất của toàn bộ hệ thống. Khi được cài đặt, bạn có thể nâng cấp nó như thể hiện trong hình 7 bên dưới.

Hình 7: Chạy Microsoft Security Essentials Updates

Tiếp (trong hình 8), bạn có thể quét Quick, Full hoặc Custom để kiểm tra malware trên hệ thống. Việc thực hiện quét tích cực và thiết lập sự bảo vệ thời gian thực có thể được thực hiện nhanh chóng và dễ dàng. Đơn giản, chạy MSE và liên tục cập nhật nó để có sự bảo vệ AV hoàn tất. Một ưu điểm khác mà bạn có lúc này là nó có thể được cập nhật với Windows Update.

Hình 8: Quét Malware trong hệ thống với Microsoft Security Essentials

Khi đã cài đặt sự bảo vệ malware và thực hiện mọi thứ để ngăn chặn tích cực mối đe dọa này, bạn có thể tiếp tục “làm vững chắc” nó, tạo image cho nó, thiết lập một điểm khôi phục hoặc tiến lên tạo một hệ thống sản xuất thực và sử dụng nó.

Sử dụng một máy tính trên mạng Internet sẽ có nhiều nguy cơ tấn công. Cài đặt và sử dụng bảo vệ malware và spyware và giữ cập nhật nó liên tục. Luôn xem xét một thứ rằng khi được bảo vệ, bạn vẫn cần tự cập nhật để duy trì trạng thái bảo vệ và cố gắng tuân thủ theo các thói quen truy cập mạng của mình.

Mẹo: Cân nhắc việc không sử dụng các mục như Desktop Gadgets hoặc các nội dung “sống” khác vì như đề cập ở trên, bạn có thể tạo các lỗ hổng trong hệ thống của mình bởi các chương trình như vậy, cho dù chúng đã được ký. Nếu không cần thứ gì đó, hoặc không sử dụng nó nữa, một hành động an toàn là bạn nên remove nó ngay lập tức. Hành động trên của bạn không chỉ giúp giải phóng được không gian và sức mạnh trong xử lý mà bạn còn giảm được những rủi ro đến từ các tấn công bằng các hạn chế khả năng có thể vô tình cài đặt một gadget được được ký và tiềm tàng nhiều mối nguy hiểm. Bất cứ thứ gì không được gán, từ một nguồn không tin tưởng hoặc đáng ngờ, bạn không nên cài đặt chúng.

Kết luận

Hệ thống Windows 7 tại nhà có thể được khóa và được quản lý một cách dễ dàng. Bạn thậm chí còn có thể cấu hình nó một cách an toàn để có thể truy cập trên Internet từ một vị trí từ xa. Windows 7 có thể được xây dựng để đạn bắn không thủng nếu bạn thực sự muốn “làm vững chắc” nó và khóa toàn bộ các điểm có thể truy cập của hệ thống này. Tuy nhiên nó vẫn là một đối tượng cho các tấn công và có thể sẽ là như vậy nếu máy tính của bạn truy cập Internet. Chính vì vậy chúng ta cần phải lên kế hoạch cho những gì có thể xảy ra và làm vững chắc Windows 7 theo kế hoạch đó.

Khi xem xét đến việc sử dụng Windows 7, trong áp lực các tấn công và các khai thác ngày nay, các tùy chọn bảo mật và khả năng linh hoạt là ưu tiên hàng đầu khi tạo quyết định. Windows 7 rất an toàn, tuy nhiên không thể an toàn 100%. Bạn cần phải áp dụng các kiến thức, các công cụ và các cấu hình nâng cao để bảo mật tất cả các khía cạnh của nó và tiếp đó là cập nhật, kiểm tra chúng một cách thường xuyên. Cũng rất giá trị nếu bạn muốn tránh tấn công. Windows 7 có nhiều nâng cao về bảo mật và có thể được cấu hình để khôi phục một cách nhanh chóng.
Thêm vào đó, các nguyên lý bảo mật cơ bản chẳng hạn như Defense in Depth phải được áp dụng kết hợp với các hướng dẫn bảo mật khác và những thói quen tốt nhất để bạn không những áp dụng bảo mật để bảo vệ mà còn bổ sung thêm nhiều lớp bảo mật để phòng và chống cho toàn bộ kiến trúc và mã chạy bên trong nó.

Chúng ta mới chỉ động chạm tới bề mặt ở đây, còn có rất nhiều thứ mà chúng ta cần biết và tìm hiểu, tuy nhiên hy vọng phần này sẽ cung cấp cho các bạn được nhiều thông tin quý giá. Để tìm hiểu thêm, bạn có thể tham khảo các liên kết tham chiếu gồm có các thông tin chi tiết cũng như các công cụ, template và hướng dẫn miễn phí. Và hãy nhớ theo dõi phần ba của loạt bài này.