Cách kiểm tra và phát hiện thiết bị phần cứng lạ cắm vào máy chủ

Để phát hiện thiết bị phần cứng lạ trên máy chủ, bạn cần kết hợp ba lớp: kiểm tra trực quan phía trước và phía sau máy định kỳ, so sánh danh sách thiết bị mà hệ điều hành nhận diện với một bản chuẩn đã lưu, và theo dõi nhật ký sự kiện cắm thiết bị theo thời gian thực. Không lớp nào đủ một mình: thiết bị ghi phím phần cứng có thể không hiện trong hệ điều hành, còn card mạng lạ cắm bên trong thùng máy thì mắt thường khó thấy.

Những thiết bị lạ thường gặp trên máy chủ

• Ổ USB lưu trữ: dùng để chép dữ liệu ra hoặc đưa công cụ vào.
• Thiết bị giả bàn phím: tự chạy lệnh khi có phiên quản trị mở.
• Thiết bị ghi phím phần cứng: gắn giữa bàn phím và cổng cắm, ghi lại mọi thứ gõ vào.
• Card mạng USB hoặc thiết bị Wi-Fi nhỏ: tạo đường kết nối ra ngoài, bỏ qua tường lửa.
• Thiết bị KVM qua IP không được phép: cho phép điều khiển máy từ xa ở mức phần cứng.
• Thiết bị cắm vào cổng mạng của tủ rack: máy tính mini hoặc thiết bị nghe lén nối vào switch.

Lớp 1: Kiểm tra trực quan

Đây là bước đơn giản nhưng hay bị bỏ qua. Lập lịch kiểm tra định kỳ phòng máy chủ, ví dụ hằng tuần hoặc sau mỗi lần có nhà thầu vào làm việc. Khi kiểm tra:

1. Chụp ảnh mặt trước và mặt sau của từng máy chủ, từng switch khi hệ thống ở trạng thái chuẩn, lưu làm ảnh đối chiếu.
2. So sánh thực tế với ảnh: có thêm thiết bị nào ở cổng USB, cổng mạng, cổng màn hình không.
3. Lần theo dây bàn phím từ bàn phím tới máy chủ, kiểm tra có khối nhỏ nào chen giữa không.
4. Kiểm tra tem niêm phong trên vỏ máy và tủ rack còn nguyên không.
5. Đếm cáp mạng trên switch, đối chiếu với sơ đồ đấu nối.

Cách này hiệu quả hơn nhiều khi phòng máy có kiểm soát ra vào và ghi hình. Nếu có camera, việc rà soát đoạn ghi hình khi phát hiện thiết bị lạ giúp xác định ai và lúc nào.

Lớp 2: Liệt kê thiết bị trên hệ điều hành

Trên Windows Server

• Device Manager: chọn View > Show hidden devices để thấy cả thiết bị đã từng cắm. Chú ý các mục Keyboards, Human Interface Devices, Network adapters, Disk drives, Universal Serial Bus controllers.
• PowerShell: lệnh Get-PnpDevice -PresentOnly liệt kê thiết bị đang kết nối; có thể lọc theo lớp, ví dụ Keyboard, Net, DiskDrive, rồi xuất ra tệp để so sánh với bản chuẩn.
• Lịch sử ổ USB: khóa Registry HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR lưu thông tin các ổ lưu trữ USB đã từng cắm vào máy.

Trên Linux

• lsusb: liệt kê thiết bị USB đang kết nối kèm mã nhà sản xuất và mã sản phẩm.
• lspci: liệt kê thiết bị PCI, hữu ích để phát hiện card mạng hoặc card mở rộng mới.
• ip link: liệt kê giao diện mạng; một giao diện lạ xuất hiện là dấu hiệu cần xem xét.
• Nhật ký kernel: lệnh dmesg hoặc journalctl -k cho thấy sự kiện thiết bị được cắm vào, kể cả thời điểm.

Mẹo quan trọng là có bản chuẩn: xuất danh sách thiết bị khi máy chủ mới được triển khai, lưu vào hệ thống quản lý cấu hình, rồi chạy so sánh tự động định kỳ. Bất kỳ khác biệt nào đều được báo cáo.

Lớp 3: Giám sát và cảnh báo theo thời gian thực

Đưa các nguồn này vào hệ thống SIEM hoặc ít nhất một máy thu nhật ký tập trung, đặt cảnh báo cho các sự kiện như "bàn phím mới trên máy chủ không có người trực". Máy chủ hiếm khi cần cắm thiết bị mới, nên cảnh báo loại này ít gây nhiễu.

Thiết bị ghi phím phần cứng: trường hợp đặc biệt

Thiết bị ghi phím loại gắn giữa dây bàn phím và cổng cắm thường hoạt động trong suốt, hệ điều hành chỉ thấy bàn phím bình thường. Vì vậy cách phát hiện chủ yếu là kiểm tra trực quan và hạn chế dùng bàn phím vật lý trên máy chủ: quản trị qua kết nối từ xa có xác thực mạnh, dùng KVM có kiểm soát. Khi bắt buộc dùng bàn phím, dùng loại cắm trực tiếp, cố định đầu cáp bằng khóa giữ cáp. Bạn có thể tham khảo các loại khóa trong bài khóa cổng USB vật lý.

Phòng ngừa để giảm việc phải phát hiện

• Tắt cổng USB không dùng trong BIOS/UEFI, đặt mật khẩu firmware.
• Áp chính sách giới hạn cài thiết bị mới trên máy chủ Windows.
• Dùng tính năng bảo mật cổng trên switch, tắt cổng mạng không dùng.
• Khóa tủ rack, kiểm soát ra vào phòng máy bằng thẻ, ghi nhật ký người vào.
• Đi kèm nhà thầu, kỹ thuật viên bảo trì khi họ làm việc trong phòng máy.

Khi phát hiện thiết bị lạ

Đừng rút ngay nếu chưa ghi nhận. Chụp ảnh vị trí, ghi thời điểm, đeo găng nếu cần giữ dấu vết, sau đó mới tháo và niêm phong thiết bị. Thu thập nhật ký liên quan trên máy chủ trước khi khởi động lại. Đánh giá phạm vi: thiết bị đã ở đó bao lâu, những tài khoản nào đã đăng nhập trong thời gian đó, cần đổi mật khẩu nào. Nếu nghi dữ liệu bị đánh cắp, quy trình xử lý nên bám theo các bước phát hiện và xử lý dấu hiệu rò rỉ thông tin nội bộ. Với máy có dấu hiệu nhiễm mã độc, hãy cô lập khỏi mạng nội bộ trước khi phân tích.