Sau khi phát hiện ra lỗ hổng Heartbleed, Google thành lập một nhóm nghiên cứu tập trung tìm kiếm các lỗ hổng trong phần mềm Web.
Lỗ hổng Heartbleed trong OpenSSL (Nguồn: Internet)
Google đã thiết lập một lực lượng đặc nhiệm nội bộ để tìm hiểu các hoạt động và kỹ thuật của những tội phạm Internet nguy hiểm, nhằm giảm bớt số lượng các cuộc tấn công có mục tiêu. Chris Evans, một nhà nghiên cứu bảo mật của Google viết trên blog hôm thứ 3, công bố sáng kiến được gọi là Project Zero: "Bạn có thể sử dụng Web mà không sợ tội phạm mạng hay các dự án xâm nhập do chính phủ bảo trợ khai thác lỗi phần mềm để lây nhiễm máy tính của bạn, ăn cắp bí mật hoặc theo dõi thông tin liên lạc của bạn. Trong các cuộc tấn công tinh vi, chúng ta thấy việc sử dụng các lỗ hổng 'zero-day' để nhắm mục tiêu, ví dụ, các nhà hoạt động nhân quyền hoặc tiến hành hoạt động gián điệp công nghiệp. Điều này cần phải dừng lại. Chúng tôi suy nghĩ nhiều hơn để giải quyết vấn đề này. Mục tiêu của chúng tôi là làm giảm đáng kể số lượng người bị thiệt hại do các cuộc tấn công có mục tiêu" Evans đã viết.
Đầu năm nay, một nhà nghiên cứu của Google phát hiện ra Heartbleed, một lỗ hổng nghiêm trọng trong thư viện mật mã OpenSSL dẫn đến hàng triệu trang web có thể bị tấn công. Google lên kế hoạch tài trợ cho nhiều chương trình nghiên cứu tương tự như chương trình mà nhờ đó đã phát hiện ra Heartbleed. Công ty đã tập hợp một đội ngũ các nhà nghiên cứu cho Project Zero và có kế hoạch thuê các chuyên gia an ninh để bổ sung cho dự án và những người này sẽ làm toàn thời gian cho dự án.
Minh họa tội phạm mạng (Nguồn: Internet)
Nhóm Project Zero sẽ điều tra các kỹ thuật và công nghệ mà tội phạm mạng sử dụng. Ngoài ra, các nhà nghiên cứu sẽ điều tra cách bảo vệ người sử dụng từ các cuộc tấn công thông qua các kỹ thuật như phân tích chương trình để xác định những điểm yếu. Một hoạt động nhóm sẽ thực hiện là tìm kiếm các lỗi mới trong phần mềm. Lỗ hổng trong phần mềm có thể được sử dụng bởi những kẻ tấn công nguy hiểm xâm nhập bất hợp pháp vào hệ thống máy tính. Một lỗ hổng zero-day sẽ bị khai thác bởi tội phạm mạng ngay khi được công bố. Trong những trường hợp này, các nhà bảo trì phần mềm phải nhanh chóng phát hành bản vá lỗi càng sớm càng tốt. Project Zero sẽ xây dựng một cơ sở dữ liệu bên ngoài gồm tất cả các lỗi mà các nhà nghiên cứu tìm thấy và gửi kết quả cho các công ty hoặc các bên duy trì phần mềm khác.
Minh họa công ty Google (Nguồn: Internet)
Google không đơn độc trong việc xây dựng một đội phản ứng bảo mật Internet. TippingPoint của Hewlett-Packard hiện đang thu thập những thông tin về lỗ hổng phần mềm. Bộ An ninh Nội địa Hoa Kỳ duy trì Hệ thống đánh giá tổn thương phổ biến (Common Vulnerability Scoring System), đây là một cơ sở dữ liệu được sử dụng rộng rãi để lưu trữ và đánh giá mức độ nghiêm trọng các lỗ hổng tiềm năng.
Theo CSO
Thêm bình luận