Chúng tôi đi sâu vào các yếu tố cần thiết của bảo mật web trong phần đầu tiên của loạt bài gồm hai phần này, hỏi tần suất các công ty sử dụng phần mềm lỗi thời, quên đi việc triển khai chứng chỉ SSL và để các cổng không cần thiết mở. Chúng tôi cũng sẽ đề cập đến mối quan tâm ngày càng tăng của các cửa hàng trực tuyến gian lận, không chỉ gây ra mối đe dọa đáng kể cho người tiêu dùng mà còn cho các thương hiệu đã thành lập. Trong phần thứ hai, chúng ta sẽ xem xét các biện pháp bảo mật nâng cao hơn, chẳng hạn như ngăn chặn lừa đảo, tiêu đề HTTP tăng cường bảo mật và triển khai tệp security.txt.

Học hỏi từ những vi phạm trong quá khứ

Ransomware là một trong những mối đe dọa mạng phổ biến nhất đối với các tổ chức và có thể gây ra thiệt hại tài chính đáng kể. Bên cạnh đó, nó ảnh hưởng tiêu cực đến danh tiếng của công ty, niềm tin của người tiêu dùng và mối quan hệ của nhà đầu tư. Theo IBM, chi phí trung bình toàn cầu cho một vụ vi phạm dữ liệu vào năm 2023 là 4,45 triệu USD, tăng 15% trong 3 năm.

Bảo mật trang web đóng một vai trò quan trọng trong việc giảm thiểu rủi ro. Vụ vi phạm dữ liệu Equifax năm 2017, một trong những sự cố an ninh mạng nghiêm trọng và sâu rộng nhất cho đến nay, là do lỗ hổng trong khung ứng dụng web. Vụ vi phạm này đã làm lộ dữ liệu nhạy cảm của khoảng 147 triệu người tiêu dùng và có hậu quả sâu rộng, bao gồm các vụ kiện, giá cổ phiếu giảm và CEO từ chức.

Trong bối cảnh căng thẳng chính trị gia tăng trên toàn thế giới, các quốc gia và tổ chức quốc tế đã thực hiện các chính sách hoặc chiến lược quốc gia để cải thiện an ninh mạng. Những chiến lược này thường là một phần của những nỗ lực rộng lớn hơn để bảo vệ cơ sở hạ tầng quốc gia, doanh nghiệp và công dân khỏi các mối đe dọa mạng.

Nhưng các chiến lược này hiệu quả như thế nào và các doanh nghiệp thực hiện các biện pháp bảo mật cơ bản và nâng cao hơn tốt như thế nào? Dưới đây chúng tôi sẽ tập trung vào các khía cạnh cơ bản nhưng quan trọng của bảo mật trang web. Chúng tôi sẽ kiểm tra tình trạng kinh doanh, bao gồm các trang web thương mại điện tử, tại 13 quốc gia được chọn.

Trực quan hóa dữ liệu Flourish

Phần mềm lỗi thời và không được hỗ trợ

PHP (Hypertext Preprocessor) là một ngôn ngữ kịch bản mã nguồn mở để phát triển web. PHP đóng một vai trò quan trọng trong quản lý và bảo trì trang web do khả năng mở rộng, dễ sử dụng và khả năng tương thích với nhiều máy chủ web và hệ điều hành. Các bản phát hành PHP mới được hỗ trợ đầy đủ trong hai năm. Sau hai năm, hỗ trợ chỉ được tiếp tục cho các vấn đề bảo mật quan trọng trong 12 tháng nữa. Sau đó, phiên bản đó không còn được hỗ trợ.

Các phiên bản PHP không được hỗ trợ có thể gây ra rủi ro đáng kể. Chúng dễ bị khai thác bởi những kẻ tấn công mạng, dẫn đến vi phạm dữ liệu tiềm ẩn và xâm phạm trang web.

Trực quan hóa dữ liệu Flourish

Trong phân tích của chúng tôi về 13 quốc gia, tỷ lệ các trang web kinh doanh có phiên bản PHP không được hỗ trợ dao động từ 8% đến 29%. Gần một phần ba tiếng Thổ Nhĩ Kỳ, một phần tư tiếng Pháp và một phần năm các trang web kinh doanh của Tây Ban Nha đang hoạt động trên các phiên bản PHP không còn nhận được các bản cập nhật bảo mật. Na Uy “chiến thắng” ở đây, được xếp hạng là quốc gia có tỷ lệ thấp nhất (8%) các trang web kinh doanh dễ bị tổn thương.

Đối với nghiên cứu này, chúng tôi đã xem xét các nhánh PHP không được hỗ trợ từ 4 đến 7.4, nhưng 8.0 cũng không còn được hỗ trợ kể từ ngày 26 tháng 11 năm 2023, có nghĩa là tỷ lệ thực sự trên mỗi quốc gia có thể còn cao hơn nữa. Đối với quản trị viên trang web, điều quan trọng là phải thường xuyên kiểm tra các bản phát hành mới và đảm bảo phần mềm được cập nhật. Các nhà cung cấp dịch vụ lưu trữ cũng có vai trò, cảnh báo khách hàng khi các phiên bản cũ hơn không còn nhận được các bản vá bảo mật và hỗ trợ di chuyển sang các bản phát hành mới.

Chứng chỉ SSL trên cơ sở bảo mật

Chứng chỉ SSL cung cấp sự bảo vệ cơ bản cho một trang web bằng cách đảm bảo rằng tất cả các giao tiếp với trình duyệt bên ngoài đều được mã hóa. Có được một cái khá đơn giản và miễn phí cho phiên bản cơ bản nhất. Do đó, không có lý do gì để không có chứng chỉ liên quan đến một trang web.

Trong mẫu của chúng tôi, Cộng hòa Séc (11%) có tỷ lệ trang web kinh doanh không có chứng chỉ SSL cao nhất, tiếp theo là Tây Ban Nha (5%). Hai công ty này cũng có tỷ lệ chứng chỉ không hợp lệ cao nhất, lần lượt là 9% và 5%. Chỉ có Thổ Nhĩ Kỳ có thị phần lớn hơn; Ở đây, 10% của tất cả các trang web kinh doanh có chứng chỉ không hợp lệ. Người chiến thắng chung cuộc về bảo vệ SSL là Indonesia, chỉ có 4% thị phần các trang web có chứng chỉ không hợp lệ hoặc không có chứng chỉ.

Trực quan hóa dữ liệu Flourish

Quá nhiều cổng mở dẫn đến lỗ hổng

Thuật ngữ ‘cổng mở’ đề cập đến một cổng mạng được cấu hình để chấp nhận các gói dữ liệu. Một trang web cần một số cổng mở nhất định để nhận lưu lượng truy cập. Tuy nhiên, các cổng mở có thể là một lỗ hổng đáng kể nếu không được quản lý đúng cách. Càng có nhiều cổng mở, nguy cơ ai đó lẻn vào nơi họ không nên càng cao.

Hình 3 cho thấy số lượng cổng mở trung bình cho các trang web kinh doanh cho mỗi quốc gia, có nghĩa là chính xác 50% tất cả các trang web giảm xuống dưới và 50% trên con số đó. Na Uy xếp hạng an toàn nhất với trung bình chỉ có hai cảng mở. Ở đầu kia của quy mô, Nam Phi và Chile có trung bình 11 cảng mở, báo hiệu sự dễ bị tổn thương lớn hơn giữa các doanh nghiệp ở các quốc gia này.

Trực quan hóa dữ liệu Flourish

Tương tự như việc bảo vệ cửa vật lý chống lại truy cập trái phép, bắt buộc phải bảo vệ các cổng mở chống lại tội phạm mạng. Điều này liên quan đến việc triển khai tường lửa, cập nhật phần mềm và chỉ mở cổng khi cần thiết. Các cổng mở mà không có biện pháp bảo mật thích hợp mời kẻ tấn công truy cập vào dữ liệu nhạy cảm, thực thi mã độc hoặc làm gián đoạn dịch vụ. Đó là lý do tại sao giám sát và quản lý thường xuyên các cổng mở là thành phần thiết yếu của an ninh mạng hiệu quả.

Cửa hàng trực tuyến gian lận

Trước khi chúng ta chuyển sang các biện pháp bảo mật nâng cao hơn trong phần thứ hai của phân tích 2 phần về bảo mật trang web doanh nghiệp này, chúng ta hãy xem xét một phần được áp dụng nhiều hơn của bảo mật: webshop giả mạo. Các cửa hàng trực tuyến này thường bán hàng giả hoặc cung cấp sản phẩm với giá cực kỳ thấp, thu hút người tiêu dùng chi tiêu mà không bao giờ cung cấp sản phẩm.

Cấp độ tin cậy độc quyền của chúng tôi cung cấp một dấu hiệu về mức độ tin cậy mà một cửa hàng trực tuyến sở hữu. Thang đo dao động từ A đến F, trong đó A biểu thị mức độ tin cậy cao. Xếp hạng D, E hoặc F cho thấy ít đáng tin cậy hơn, với điểm E và F gần như chắc chắn cho thấy một cổng mua sắm trực tuyến gian lận. Hình 4 cho thấy tỷ lệ cao nhất của các cửa hàng trực tuyến đáng ngờ được tìm thấy ở Na Uy (4,8%), tiếp theo là Estonia (4,6%) và Indonesia (3,2%). Các quốc gia có tỷ lệ thấp nhất trong số các trang web thương mại điện tử là Nam Phi (1,3%), Chile (0,6%) và Brazil (0,2%). Thật thú vị, trong khi Na Uy đạt điểm tương đối cao về các biện pháp an ninh khác, nền kinh tế mạnh mẽ của họ có lẽ thu hút một số lượng đáng kể các cửa hàng web gian lận hơn.

Theo dõi các cửa hàng trực tuyến đáng ngờ và gỡ chúng xuống càng nhanh càng tốt để giảm thiểu thiệt hại cho người tiêu dùng và danh tiếng thương hiệu có lẽ là một nhiệm vụ đối với cơ quan thực thi pháp luật quốc gia. Tương tự như lừa đảo trong thế giới thực, người tiêu dùng cần được bảo vệ để làm cho web an toàn hơn cho tất cả mọi người.

Trực quan hóa dữ liệu Flourish

Trong phần đầu tiên về bảo mật trang web doanh nghiệp ở một số quốc gia được chọn, chúng tôi đã phát hiện ra sự khác biệt quan trọng trong các biện pháp bảo mật được thực hiện bởi các trang web kinh doanh trên toàn cầu. Đáng chú ý, tỷ lệ các trang web kinh doanh chạy các phiên bản PHP không được hỗ trợ là tương đối cao. Ngoài ra, ở một số quốc gia, một số lượng tương đối lớn các cảng mở trên các trang web kinh doanh cho thấy có thể làm nhiều hơn để thắt chặt an ninh. Trong khi các cảng mở là cần thiết, Na Uy đang dẫn đầu gói và cho thấy rằng việc có tối thiểu các cảng mở là có thể quản lý được đối với hầu hết các doanh nghiệp. Về mặt tích cực, phạm vi bảo hiểm SSL tương đối cao trên tất cả các quốc gia.

Trong phần tiếp theo, chúng ta sẽ xem xét các biện pháp an toàn bổ sung và mức độ chúng được thực hiện trên các trang web kinh doanh ở cùng 13 quốc gia này.

Tải xuống toàn bộ Triển vọng An ninh mạng Toàn cầu 2024 (pdf) từ Diễn đàn Kinh tế Thế giới tại đây.

Theo: The alarming state of business website security across countries | Blog | Dataprovider.com