Giám đốc SANS - ông Alan Paller cho biết: "Khi yêu cầu những người trong hệ thống của bạn thử nghiệm với hàng ngàn khả năng lỗi bảo mật, doanh nghiệp của bạn sẽ phải gián đoạn công việc. Điều mà Top 20 lỗi bảo mật mong muốn là đưa cho bạn một khởi điểm để thực hiện việc củng cố bảo mật mỗi năm".

Danh sách SANS được thực hiện từ những đề xuất của những nhà nghiên cứu và các hãng bảo mật hàng đầu thế giới, như Trung tâm Phòng vệ Cơ sở hạ tầng Quốc gia Mỹ (National Infrastructure Protection Center) và Trung tâm Cộng tác Bảo mật Hạ tầng Quốc gia của Anh.

Thực tế, Top 20 là hai danh sách mười lỗ hổng: Đó là mười lỗ hổng bị khai thác nhiều nhất trong Windows và mười lỗ hổng được lợi dụng nhiều nhất để tấn công vào các hệ thống máy chủ Unix và Linux.

Đứng đầu trong danh sách Windows năm nay là các dịch vụ và phần mềm máy chủ Web, còn trong danh sách Unix là các hệ thống tên miền BIND. Mỗi đề mục trong danh sách thường đại diện cho một dạng lỗi mở rộng hơn, và hơn 100 trang tài liệu SANS sau đó sẽ vạch ra cụ thể từng lỗ hổng bảo mật trong các dạng lỗi chung, cùng các hướng dẫn và biện pháp khắc phục.

"Hàng mới" năm nay

Nhiều lỗi bảo mật đã được liệt kê trên danh sách từ trước, nhưng đã có một số ngạc nhiên mới trong năm nay, theo nhận xét của ông Ross Patel - giám đốc phụ trách danh sách Top 20 của SANS.

Những dạng lỗi bảo mật mới luôn được các hacker săn tìm và khai thác.

Theo ông Patel, các lỗ hổng bảo mật trong những ứng dụng chia sẻ file và nhắn tin IM, được xếp thứ hạng 7 và 10 trong danh sách lỗi Windows, đại diện cho những dạng nguy cơ bảo mật khá mới: "Hầu như lo ngại mà mọi chuyên gia đều đồng ý là những nguy cơ xoay quanh chia sẻ file và mạng ngang hàng peer-to-peer. Giống như IM, các ứng dụng chia sẻ file đều đơn giản và còn hoạt động ở trạng thái nguyên sơ, nên các mối đe doạ về bảo mật thường được theo dõi cẩn trọng".

Các trình duyệt Web, đứng ở vị trí thứ 6 trong danh sách Windows, lại là một chủ đề nóng khác.

"Liên tục qua các năm, những trình duyệt Web cho Windows đã trở thành chủ đề gây ra phần lớn thiệt hại, thương tổn và những cuộc tranh cãi quyết liệt giữa các chuyên gia bảo mật trên khắp các châu lục." - ông Patel nói - "Với một số lỗ hổng trong trình duyệt Internet Explorer của Microsoft, khiến một số chuyên gia bảo mật đã từng đưa ra khuyến nghị nên đổi sang trình duyệt web khác, những người đóng góp ý kiến cho bản danh sách Windows cũng suy xét rằng liệu có nên đưa ra khuyến nghị tương tự trong bản danh sách hay không".

Khắc phục lỗ hổng

Những lỗ hổng mới luôn xuất hiện rất nhiều, khiến nhà quản trị hệ thống không thể xác định cần ưu tiên khắc phục lỗi nào trước.

Tuy nhiên, cuối cùng họ đã quyết định rằng động thái này còn quá sớm để bàn tới, và họ nên tán thành bất cứ nền tảng bảo mật nào mà người dùng lựa chọn.

Thực tế, năm nay là lần đầu tiên bảng danh sách này đưa ra những hướng dẫn về cách khắc phục các lỗ hổng trên nhiều nền tảng phần mềm khác nhau. Ông Patel nói: "Chúng tôi đã cố gắng tạo ra danh sách phản ánh thích đáng nhất về tình hình bảo mật của năm nay".

Theo ông Gerhard Eschelbeck, giám đốc công nghệ của hãng bảo mật mạng Qualys, một hãng tham gia đóng góp cho danh sách vấn đề bảo mật của SANS, Top 20 hiện được các tổ chức, đơn vị doanh nghiệp sử dụng rộng rãi như một chuẩn mốc về bảo mật.

"Hiện có một sự đồng lòng giữa mọi người trong ngành công nghệ và nghiên cứu rằng đây là danh sách của những vấn đề bảo mật nhiêm trọng nhất." - ông Eschelbeck cho biết - "Với 50 lỗi bảo mật mới được công bố mỗi tuần, khoảng 2.500 lỗi mỗi năm, một thử thách lớn cho các công ty là họ phải quyết định nên kiểm tra hệ thống của mình theo những nguy cơ mắc lỗi nào. Bảng danh sách này đã giúp họ ưu tiên hoá được những vấn đề bảo mật nghiêm trọng".

Hiện tại, bảng danh sách này được công bố tại website của SANS.

"Do chỉ là một bộ khá nhỏ những vấn đề bảo mật, nên bạn có thể đưa chúng tới những nhà quản trị hệ thống, và cho họ vài tháng để thực hiện mọi biện pháp khắc phục bảo mật được khuyến nghị trong đó, và biến họ thành những người hùng." - ông Paller của SANS cho biết - "Nó giúp sắp xếp đống vấn đề bảo mật hỗn độn trở nên hợp lý hơn".

Bình Minh (Theo PC World)