Đối thoại với Web3 Nhà cung cấp dịch vụ bảo mật xuất sắc: "Cuộc chiến tấn công và phòng thủ" của Cloud Security

Hệ sinh thái được xây dựng bởi Web3 với công nghệ cơ bản của Blockchain (Sổ cái phân tán) đang nhanh chóng lặp lại, sự đổi mới công nghệ của chuỗi công cộng L1 và L2 giúp nó trở thành thế hệ tiếp theo của các mạng máy tính cơ bản, các cơ sở hạ tầng khác nhau không ngừng cải thiện như các thành phần “Lego” và Web3 BUIDLers tiếp tục xây dựng các dApp phong phú trong nhiều phiên bản ứng dụng.

Là một cơ sở cơ bản đặc biệt quan trọng của Web3, các dịch vụ đám mây cũng không thể thiếu đối với toàn bộ hệ sinh thái Web3, với hàng chục nghìn chương trình chạy trên các máy chủ đám mây mỗi năm. Theo dữ liệu được báo cáo công khai từ cơ quan bảo mật của Immunefi, “46,5% tổn thất tài chính vào năm 2022 đến từ cơ sở hạ tầng cơ bản, với việc quản lý, thực hành và kế hoạch ứng phó khẩn cấp đối với khóa riêng là quan trọng nhất”. Bảo mật đám mây Web3 tiếp tục phải đối mặt với những thách thức, chẳng hạn như rò rỉ khóa riêng, truy cập trái phép, phân tích và kiểm toán SmartContract, tấn công DDoS, các mối đe dọa nội bộ, tuân thủ và ổn định và các vấn đề khác đã gây khó khăn cho BUIDLers Web3 và cũng mang lại những thách thức mới cho các nhà cung cấp dịch vụ đám mây và nhà cung cấp dịch vụ bảo mật.

Là công ty đầu tiên ra mắt dịch vụ đám mây, Amazon Web Services (AWS) luôn dẫn đầu trong lĩnh vực dịch vụ đám mây và hiện AWS đang tích cực nắm bắt hệ sinh thái Web3, đồng thời cùng nhau triển khai chuỗi hội thảo trực tuyến và ngoại tuyến về “Bảo mật Web3” với CrossSpace, thương hiệu cộng đồng Web3 hàng đầu, để đi sâu vào lĩnh vực bảo mật dịch vụ đám mây, lắng nghe những thách thức thực hành bảo mật từ các sàn giao dịch, chuỗi công khai, cơ sở hạ tầng và dApp và thảo luận về các giải pháp thiết thực.

Là một phần của loạt bài này, chúng tôi rất vinh dự được phỏng vấn bốn nhà cung cấp dịch vụ bảo mật Web3 hàng đầu, Beosin, CertiK, MetaTrust và SlowMist, cũng như các chuyên gia bảo mật đám mây AWS, để thảo luận về những thách thức hiện tại của bảo mật đám mây và cách giải quyết chúng.

Tại sao bảo mật đám mây Web3 lại quan trọng như vậy?

Bảo mật là ưu tiên hàng đầu đối với bất kỳ doanh nghiệp nào. Dịch vụ đám mây và Web3 đang củng cố lẫn nhau. Kể từ khi ra mắt mainnet Bitcoin vào năm 2009 và ra mắt mainnet Ethereum vào năm 2015, các sự cố bảo mật và tổn thất tài sản đã tăng lên hàng năm, vì vậy bảo mật là nền tảng của thế giới Web3 cần được chú ý nhiều hơn. Cho dù đó là một sàn giao dịch tập trung hay DeFi phi tập trung, GameFi, NFT, DAO, Xã hội, Cầu nối và các kịch bản khác, sẽ có nhiều kịch bản ứng dụng khác nhau dựa trên mã thông báo. Làm thế nào để đảm bảo tính bảo mật của toàn bộ quá trình xử lý token đã trở thành vấn đề mà Web3 BUDLers cần cân nhắc kỹ lưỡng. Là một chuyên gia trong lĩnh vực bảo mật đám mây và là một tổ chức đã phục vụ nhiều bên dự án Web3, AWS đã và đang chú ý đến tính bảo mật của lĩnh vực Blockchain và Web3, tích cực liên lạc với các bên dự án và tổ chức các hình thức chia sẻ và đào tạo bảo mật Web3 khác nhau.

Đến cuối năm 2023, tín hiệu thị trường tăng giá đang dần rõ nét, số lượng dự án Web3 triển khai máy chủ đám mây sẽ tăng nhanh, và vai trò của đám mây như một lớp hạ tầng ngày càng trở nên quan trọng, vì vậy bảo mật đám mây là yếu tố bảo mật mà mọi nhà phát triển và BUDLers phải chú ý.

*** Những thách thức lớn đối với bảo mật đám mây ngày nay là gì?***

Trong cuộc phỏng vấn này, công ty bảo mật Beosin cho biết: “Cuộc tấn công của các nhà cung cấp dữ liệu dịch vụ đám mây là một trong những loại tấn công chính trong thời gian gần đây, chủ yếu thông qua các cuộc tấn công DDoS, chiếm đoạt tài khoản, cấy ghép độc hại và các phương tiện khác, chống lại các dịch vụ điện toán và lưu trữ được cung cấp bởi các nhà cung cấp dữ liệu dịch vụ đám mây và hậu quả là rò rỉ dữ liệu nhạy cảm và gián đoạn dịch vụ.” Nhóm nghiên cứu chia sẻ, "Mixin Network và Fortress IO gần đây đã mất lần lượt 200 triệu đô la và 15 triệu đô la, do các cuộc tấn công vào các nhà cung cấp dịch vụ đám mây. "

Việc rò rỉ dữ liệu nhạy cảm, đặc biệt là rò rỉ khóa riêng, là nguyên nhân gây ra các sự cố bảo mật được nhiều chuyên gia bảo mật đề cập nhiều lần trong cuộc phỏng vấn này. Báo cáo hàng quý bảo mật quý 3 của CertiK cũng tuyên bố rằng “rò rỉ khóa cá nhân là một trong những lý do gây ra tổn thất đáng kể trong quý”. 14 vụ trộm cắp khóa riêng dẫn đến thiệt hại tổng cộng 204 triệu USD. "

Ngoài các vi phạm dữ liệu, nhóm SlowMist cũng xác định một số danh mục khác liên quan đến các mối đe dọa bảo mật đám mây, bao gồm:

1. Thỏa hiệp tài khoản và truy cập trái phép: Tin tặc có thể truy cập trái phép vào tài khoản người dùng và thông tin đăng nhập thông qua bẻ khóa mật khẩu, kỹ thuật xã hội hoặc tấn công mật khẩu yếu.

2. Tấn công DDoS: Các cuộc tấn công từ chối dịch vụ phân tán (DDoS) có thể khiến các dịch vụ đám mây không khả dụng, làm tê liệt các dịch vụ bằng cách ngốn tài nguyên hoặc làm ngập lưu lượng mạng, dẫn đến gián đoạn kinh doanh.

3. Các mối đe dọa nội bộ độc hại: Người dùng nội bộ hoặc nhân viên có thể lạm dụng quyền hạn của họ để đánh cắp dữ liệu, phá hủy thông tin hoặc tham gia vào các hành vi độc hại khác.

4. Tuân thủ và quản lý dữ liệu: Nhóm dự án đã không sử dụng hiệu quả các công cụ khác nhau để bảo vệ dữ liệu trong quá trình xử lý dữ liệu trên nền tảng của nhà cung cấp dịch vụ đám mây, dẫn đến nhầm lẫn hoặc mất mát dữ liệu.

Trước góc độ tấn công đa chiều của hacker và tiềm ẩn rủi ro bảo mật nội bộ, các chuyên gia bảo mật Web3 kêu gọi mọi người nhận ra rằng bảo mật đám mây đòi hỏi một chiến lược bảo mật toàn diện, vì vậy nó không chỉ là một biện pháp phòng ngừa bảo mật đơn giản một chiều.

*** “Trận chiến tấn công và phòng thủ” của Cloud Security, Làm thế nào để phá vỡ trò chơi?***

Trước những thách thức liên tục của bảo mật đám mây, làm thế nào để làm tốt công việc “phòng thủ” để giúp dữ liệu riêng tư và bảo mật tiền của người dùng? Các chuyên gia và nhóm từ các cơ quan an ninh khác nhau đã đưa ra quan điểm của họ.

** Đội Beosin:**

"Vi phạm dữ liệu nhạy cảm xảy ra thường xuyên và các kỹ thuật viên nên mã hóa dữ liệu khi lưu trữ và truyền dữ liệu để tránh bị truy cập bởi các bên thứ ba trái phép. Đối với dữ liệu nhạy cảm như khóa riêng tư, chúng tôi khuyên bạn nên sử dụng công nghệ điện toán bảo vệ quyền riêng tư và mã hóa đồng cấu để ngăn chặn rò rỉ khóa riêng tư.

Đồng thời, nhóm dự án cần đảm bảo rằng khách hàng chỉ truy cập dịch vụ đám mây thông qua các API bảo mật để tránh các hoạt động độc hại như tấn công tiêm và tập lệnh chéo trang. Bạn cũng có thể sử dụng API để xác thực và xác minh dữ liệu trước khi truy cập các dịch vụ đám mây nhằm đảm bảo bảo mật truy cập và bảo mật dữ liệu. Xét rằng khả năng bảo vệ an ninh của máy tính cá nhân với tư cách là khách hàng còn yếu, không nên gọi trực tiếp API để truy cập và vận hành hệ thống thông qua máy tính cá nhân, mà để hoàn thành quyền truy cập có liên quan thông qua máy tính để bàn ảo đám mây hoặc máy chủ nhảy an toàn. "

** Giáo sư Kang Li, Giám đốc An ninh, CertiK:**

"Chúng tôi chủ yếu quan sát thấy hai loại rủi ro phổ biến khi sử dụng nền tảng đám mây, đó là cấu hình dữ liệu đám mây không đúng của người dùng và rủi ro do người dùng ẩn các dịch vụ của phụ trợ đám mây sang dApps. Hầu hết thời gian, đám mây cung cấp rất nhiều bảo vệ tài nguyên và kiểm soát dữ liệu, nhưng thường do người dùng sử dụng cấu hình không đúng cách, người ngoài có cơ hội vào phần phụ trợ của người dùng. Một loại rủi ro khác đến từ thực tế là các nhà phát triển của phía dự án ẩn các dịch vụ của nền đám mây khỏi dApp - để tạo điều kiện cho việc sử dụng riêng của họ, một số nhà phát triển sẽ thiết kế giao diện cho toàn bộ dự án mà họ nghĩ chỉ được sử dụng nội bộ, để dApp có thể được truy cập trực tiếp bởi Ứng dụng di động mà không bị lộ ra công chúng. Mặc dù API đám mây của nhóm dự án có quyền kiểm soát đặc biệt, nhưng điều này vẫn dẫn đến rất nhiều tương tác giữa dApp và phụ trợ.

Đối mặt với hai loại rủi ro này, CertiK đã thiết lập các dịch vụ bảo mật cho cả dApp dựa trên đám mây và đám mây, bao gồm kiểm tra mã, đánh giá rủi ro, xác minh danh tính nhóm và kiểm tra lý lịch. "Nếu bạn không thể đảm bảo rằng nhóm phát triển có thể được tin cậy, điều quan trọng là phải có một chuyên gia kiểm toán tiến hành kiểm toán toàn bộ dApp. "

Giáo sư Yang Liu, Đồng sáng lập MetaTrust:

"Là một lớp cơ sở hạ tầng, bảo mật đám mây cần phải làm tốt công việc bảo mật dữ liệu và bảo vệ quyền riêng tư của người dùng. Xây dựng bảo mật toàn diện, toàn diện, đặc biệt tập trung vào bảo vệ dữ liệu. Đặt quyền truy cập cho các loại dữ liệu khác nhau để ngăn chặn truy cập trái phép. Cơ chế của các dịch vụ đám mây rất phức tạp và các loại dữ liệu khác nhau cần phải có cơ chế truy cập độc lập.

Ngoài ra, việc tuân thủ dữ liệu cũng cần được thực hiện nghiêm túc. Hiện tại, rất nhiều dữ liệu trong đám mây nằm trong cùng một đám mây, có thể bị hạn chế do các khu vực khác nhau. Nếu bạn không hiểu tình huống này, nó có thể dễ dàng dẫn đến các vấn đề tuân thủ do vi phạm dữ liệu xuyên biên giới gây ra. Do đó, kiểm soát truy cập và xác thực cũng rất quan trọng. Chúng ta cần xây dựng một cơ chế kiểm soát và xác thực truy cập nghiêm ngặt và chi tiết để ngăn chặn truy cập trái phép. "

** Nhóm SlowMist: **

"Bảo mật đám mây đòi hỏi một chiến lược bảo mật toàn diện, bao gồm kiểm soát truy cập thích hợp, mã hóa, giám sát liên tục và các cơ quan bảo mật chuyên nghiệp để tiến hành đầy đủ các cuộc kiểm toán, giáo dục và đào tạo và các biện pháp khác để đảm bảo tính bảo mật và ổn định của môi trường đám mây. Ví dụ: mã hóa đầu cuối của dữ liệu quan trọng, nếu mã hóa được sử dụng, việc quản lý bảo mật của khóa mã hóa là rất quan trọng, hãy giữ một bản sao lưu của khóa, tốt nhất là không ở trên đám mây. Ví dụ: bằng cách ngăn chặn các lỗ hổng cơ bản như cấu hình sai, rủi ro bảo mật đám mây được giảm đáng kể. Cuối cùng, cho dù bạn là cá nhân, doanh nghiệp vừa hay nhỏ hay người dùng đám mây cấp doanh nghiệp, điều quan trọng là phải đảm bảo rằng mạng và thiết bị của bạn an toàn nhất có thể. "

AWS: Bảo mật là bảo vệ nhiều lớp kiểu củ hành

Dù ở Web2 hay Web3, AWS đang tích cực cung cấp dịch vụ bảo mật và điện toán đám mây cho nhiều dự án khác nhau. Là một doanh nghiệp hàng đầu và tham gia tích cực vào điện toán đám mây, các chuyên gia kỹ thuật AWS Web3 tin rằng bảo mật không phải là bảo vệ một lớp của mô hình trứng, mà là một mô hình hành tây bảo vệ nhiều lớp, được mở ra dần dần và mở ra từng lớp. Cụ thể, lớp đầu tiên là phát hiện mối đe dọa và ứng phó sự cố, lớp thứ hai là xác thực danh tính và kiểm soát truy cập, lớp thứ ba là bảo mật mạng và cơ sở hạ tầng, lớp thứ tư là bảo vệ dữ liệu và quyền riêng tư, và lớp thứ năm là kiểm soát rủi ro và tuân thủ. AWS cung cấp giải pháp hoàn chỉnh cho từng lớp để giúp chủ dự án Web3 quản lý toàn bộ hệ thống ứng dụng an toàn hơn.

** Kết luận: Để giành chiến thắng trong trận chiến tấn công và phòng thủ của bảo mật đám mây Web3, nó cần dựa vào nỗ lực chung của tất cả các bên **

Tính bảo mật của hệ sinh thái Web3 không thể tách rời khỏi tính bảo mật của cơ sở hạ tầng đám mây và tất cả những người tham gia liên quan đến cơ sở hạ tầng đám mây, bao gồm các bên dự án, nhà cung cấp dịch vụ đám mây và nhà cung cấp dịch vụ bảo mật, cần thiết lập chiến lược bảo mật toàn diện, tiến hành kiểm tra thường xuyên và tiến hành kiểm tra tự bảo mật để đảm bảo bảo mật tối đa.

Đối với các nhà phát triển Web3, ngoài việc nâng cao trình độ đạo đức của bản thân, họ cũng cần tiếp tục nâng cao các kỹ năng liên quan đến bảo mật và có thể tích cực tham gia vào các hoạt động và đào tạo của AWS cho các nhà phát triển, chẳng hạn như Web3 Ethical Hacking và Security Best Practice, để xác định các rủi ro hợp đồng phổ biến.

Mục tiêu chung của chúng tôi là xây dựng một hệ sinh thái Web3 an toàn và đạt được sự phát triển bền vững trong ngành, và chúng tôi hy vọng bạn có thể lấy cảm hứng từ cuộc phỏng vấn này và tích cực áp dụng nó vào thực tiễn hàng ngày của bạn.

Nếu các dự án Web3 cần biết cách xây dựng các ứng dụng đám mây an toàn, hãy nhấp vào liên kết để tìm hiểu thêm: