Bảo mật toàn bộ sản phẩm, không chỉ mật khẩu Wi-Fi
Một mạng gia đình bao gồm router, modem hoặc cổng cáp quang, tài khoản đám mây của nhà cung cấp, ứng dụng quản lý, điện thoại, máy tính, ti vi, camera, loa, thiết bị gia dụng, hệ thống trò chơi, máy in, và đôi khi các thiết bị y tế hoặc công việc. Một mật khẩu Wi-Fi mạnh là hữu ích, nhưng nó không thể bù đắp cho một router không còn được hỗ trợ, một trang quản lý từ xa bị lộ, một tài khoản nhà cung cấp bị xâm phạm, hoặc một thiết bị không bao giờ nhận cập nhật bảo mật.
AI có thể giúp tội phạm viết các tin nhắn thuyết phục và điều chỉnh các kỹ thuật tấn công đã biết, nhưng các hộ gia đình không nên phản ứng bằng cách mua một gói đăng ký “bảo mật AI” trước tiên. Các ưu tiên tiêu dùng hiện tại của CISA vẫn là nhận diện lừa đảo, mật khẩu mạnh duy nhất, MFA, và cập nhật phần mềm kịp thời. Hãy áp dụng những biện pháp kiểm soát đó một cách có hệ thống, bắt đầu với router và các tài khoản quản lý các thiết bị khác.
Đây là hướng dẫn tổng quát cho hộ gia đình Hoa Kỳ, không phải một sự đảm bảo chống lại xâm nhập hoặc tư vấn an ninh mạng cá nhân hóa. Đừng thay đổi một router được sử dụng để giám sát y tế, dịch vụ báo động, khả năng tiếp cận, làm việc từ xa, hoặc quản lý tòa nhà mà không hiểu các yêu cầu dịch vụ. Nếu bạn đối mặt với theo dõi, bạo hành gia đình, hoặc một sự xâm phạm có chủ đích, hãy sử dụng một thiết bị an toàn và tìm kiếm sự giúp đỡ đủ trình độ trước khi thực hiện các thay đổi có thể cảnh báo kẻ tấn công.
Kiểm kê những gì được kết nối
Hãy mở danh sách thiết bị của router hoặc ứng dụng quản lý từ một thiết bị đáng tin cậy. Hãy tạo một bản kiểm kê đơn giản: tên thiết bị, chủ sở hữu, mục đích, loại kết nối, tài khoản nhà cung cấp, trạng thái cập nhật tự động, và ngày kết thúc hỗ trợ dự kiến. Các mục không xác định không tự động là kẻ xâm nhập — thiết bị thường sử dụng tên mơ hồ hoặc địa chỉ ngẫu nhiên hóa — nhưng hãy điều tra chúng. Hãy tắt một thiết bị đáng ngờ hoặc ngắt kết nối tạm thời và xem điều gì biến mất.
Hãy loại bỏ thiết bị không còn được sử dụng. Một sản phẩm kết nối với một ứng dụng bị bỏ rơi hoặc hỗ trợ đã hết hạn vẫn mở rộng mạng. Trước khi mua một thiết bị mới, hãy hỏi liệu nó có hỗ trợ cập nhật tự động, thông tin xác thực duy nhất, MFA cho tài khoản đám mây, báo cáo lỗ hổng, và một thời gian hỗ trợ đã nêu hay không. Đường cơ sở IoT tiêu dùng của NIST tập trung vào toàn bộ hệ sinh thái của sản phẩm, bao gồm ứng dụng và dịch vụ phụ trợ, không chỉ thiết bị vật lý.
Cấu hình router một cách có chủ ý
Hãy sử dụng phương pháp đã được ghi lại của nhà cung cấp hoặc nhà cung cấp internet để truy cập router; đừng theo một liên kết đăng nhập trong một tin nhắn không mời. Sau đó:
- Cài đặt firmware hiện tại và bật cập nhật bảo mật tự động nếu được hỗ trợ.
- Thay thế thông tin xác thực quản trị viên mặc định bằng một mật khẩu duy nhất được lưu trong một trình quản lý mật khẩu.
- Bảo vệ tài khoản đám mây của nhà cung cấp bằng MFA hoặc passkey khi có sẵn.
- Vô hiệu hóa quản trị từ xa hướng internet trừ khi có một nhu cầu cụ thể, được bảo mật.
- Sử dụng WPA3-Personal khi mọi thiết bị thiết yếu hỗ trợ nó; nếu không, sử dụng WPA2-AES. Hãy tránh các chế độ WEP và WPA đã lỗi thời.
- Vô hiệu hóa các tính năng mã PIN Thiết lập Bảo vệ Wi-Fi nếu không cần thiết.
- Đổi tên mạng để nó không tiết lộ họ, căn hộ, địa chỉ, hoặc kiểu router.
- Lưu một bản sao lưu an toàn của cài đặt nếu sản phẩm hỗ trợ điều đó, và biết cách đặt lại và khôi phục router.
Hồ sơ router cấp tiêu dùng của NIST coi cấu hình an toàn, cập nhật, kiểm soát truy cập, bảo vệ dữ liệu, bảo mật giao diện, và tài liệu sản phẩm là các yêu cầu kết nối với nhau. Nếu một router không còn nhận các bản sửa lỗi, việc thay thế có thể hữu ích hơn việc thêm một thiết bị bảo mật khác.
Hãy ghi lại ai sở hữu tài khoản nhà cung cấp internet và cách liên hệ với nhà cung cấp mà không sử dụng internet gia đình. Các cổng do nhà cung cấp cung cấp có thể hạn chế cài đặt hoặc cập nhật tự động; hãy xác nhận thay vì giả định. Việc thay đổi cài đặt DNS, tường lửa, hoặc cầu nối mà không hiểu chúng có thể làm gián đoạn dịch vụ và không cần thiết cho một đường cơ sở hộ gia đình hợp lý.
Phân đoạn thiết bị khi router hỗ trợ điều đó
Hãy đặt thiết bị khách vào một mạng khách. Nếu router cung cấp một mạng IoT cách ly, hãy sử dụng nó cho các thiết bị thông minh ít tin cậy hơn như ti vi, loa, phích cắm, thiết bị gia dụng, và camera, trong khi giữ máy tính và điện thoại truy cập hồ sơ nhạy cảm trên mạng chính. Hãy xác nhận rằng sự cách ly “khách” hoặc “IoT” thực sự ngăn các thiết bị đó tiếp cận mạng chính; các triển khai sản phẩm khác nhau.
Phân đoạn không phải là một liều thuốc chữa bách bệnh. Nhiều sản phẩm thông minh giao tiếp thông qua đám mây của nhà cung cấp, và một tài khoản đám mây bị xâm phạm có thể ảnh hưởng đến một thiết bị bất kể vị trí mạng cục bộ. Một số thiết bị cần giao tiếp cục bộ với một điện thoại, hub, máy in, hoặc bộ điều khiển khả năng tiếp cận, vì vậy hãy kiểm tra các chức năng hộ gia đình sau khi di chuyển chúng.
Đừng đặt thiết bị được quản lý bởi người sử dụng lao động vào một cấu hình tùy tiện vi phạm chính sách công việc. Hãy tuân theo các quy tắc VPN, cập nhật, và báo cáo sự cố của người sử dụng lao động. Nếu router hỗ trợ một mạng công việc riêng biệt và người sử dụng lao động cho phép, điều đó có thể giảm sự tương tác với các thiết bị cá nhân và IoT.
Giữ mọi điểm cuối có thể được hỗ trợ
Hãy bật cập nhật hệ điều hành, trình duyệt, ứng dụng, và bảo mật tự động. Hãy khởi động lại thiết bị khi cần để hoàn thành chúng. Hãy loại bỏ các tiện ích mở rộng trình duyệt và ứng dụng không sử dụng; mỗi cái có thể giữ quyền hoặc thông tin xác thực. Hãy sử dụng tài khoản người dùng tiêu chuẩn cho việc sử dụng máy tính hằng ngày khi khả thi thay vì một tài khoản quản trị viên.
Điện thoại và máy tính bảng nên có một mã mở khóa không tầm thường, mã hóa, cập nhật tự động, và một chức năng định vị/khóa đã được cấu hình. Hãy sao lưu dữ liệu không thể thay thế và kiểm tra rằng việc khôi phục hoạt động. Một bản sao lưu liên tục gắn với một máy tính có thể bị ảnh hưởng bởi phần mềm độc hại hoặc xóa nhầm, vì vậy hãy giữ một phiên bản bổ sung được cách ly hoặc sử dụng một dịch vụ có lịch sử phiên bản.
Máy in, lưu trữ mạng, camera, và hub tự động hóa gia đình xứng đáng có sự chú ý tương tự như máy tính xách tay. Hãy thay đổi thông tin xác thực mặc định, cập nhật chúng, vô hiệu hóa các dịch vụ bạn không sử dụng, và tránh phơi bày giao diện của chúng trực tiếp ra internet. Nếu một sản phẩm yêu cầu chuyển tiếp cổng để hoạt động, hãy hiểu chính xác dịch vụ nào trở nên có thể truy cập được và tìm kiếm hướng dẫn từ nhà cung cấp hoặc chuyên gia.
Bảo mật camera thông minh, loa, và thiết bị y tế
Hãy coi các camera và micrô trong nhà là nhạy cảm. Hãy hạn chế nơi chúng được đặt, ai có thể xem chúng, cách các đoạn phim được lưu giữ, và liệu các tích hợp bên thứ ba có cần thiết hay không. Hãy sử dụng các đăng nhập hộ gia đình riêng biệt thay vì một quản trị viên chung khi dịch vụ cung cấp các vai trò. Hãy loại bỏ cư dân cũ, khách, người lắp đặt, và thiết bị đã lỗi thời kịp thời.
Đối với các thiết bị sức khỏe hoặc y tế kết nối, tính khả dụng có thể quan trọng như tính bảo mật. Hãy tuân theo hướng dẫn của bác sĩ lâm sàng, nhà sản xuất, và nhà cung cấp. Đừng chặn quyền truy cập đám mây, đặt lại cài đặt gốc một thiết bị giám sát, hoặc di chuyển nó giữa các mạng trong quá trình chăm sóc mà không xác nhận hậu quả. Công trình của NIST về y tế từ xa và tích hợp nhà thông minh nhấn mạnh rằng các thành phần nhà thông minh tiêu dùng thêm các sự phụ thuộc về quyền riêng tư và an ninh mạng vào chăm sóc tại nhà.
Biến khả năng chống lừa đảo thành một phần của bảo mật mạng
Một kẻ tấn công không cần khai thác router nếu một thành viên hộ gia đình cài đặt phần mềm truy cập từ xa, phê duyệt một lần đăng nhập độc hại, hoặc tiết lộ một mã. Hãy bỏ qua bài kiểm tra “ngữ pháp tồi” cũ. Hãy xác minh người gửi và hành động được yêu cầu.
Đừng nhấp vào một liên kết “gia hạn” router, phần mềm diệt virus, phát trực tuyến, hoặc tiện ích từ một tin nhắn bất ngờ. Hãy mở ứng dụng đã biết hoặc gõ địa chỉ dịch vụ. Không bao giờ cung cấp một mã đăng nhập dùng một lần cho một người gọi. Đừng cài đặt một công cụ chia sẻ màn hình vì một cửa sổ bật lên tuyên bố máy tính bị nhiễm. Nếu một cuộc gọi hỗ trợ là cần thiết, hãy bắt đầu nó thông qua một số đã được xác minh.
Hãy sử dụng một trình quản lý mật khẩu và thông tin xác thực duy nhất cho router, nhà cung cấp internet, email, nhà cung cấp thiết bị, và các tài khoản phát trực tuyến. Hãy ưu tiên passkey hoặc khóa bảo mật phần cứng khi có sẵn. Hãy xem Củng cố Danh tính Số để biết chi tiết về khôi phục và bộ xác thực dự phòng.
Giám sát mà không trở thành trung tâm điều hành bảo mật của riêng bạn
Hãy bật thông báo cho các lần đăng nhập quản trị viên mới, thay đổi mật khẩu, thiết bị mới, và các tính năng bảo mật bị vô hiệu hóa. Hãy xem lại danh sách thiết bị kết nối của router và các phiên tài khoản nhà cung cấp vài lần một năm. Nhật ký và cảnh báo quá mức mà không ai đọc không phải là sự bảo vệ; hãy chọn các tín hiệu gắn với một hành động.
Các dấu hiệu cảnh báo bao gồm cài đặt thay đổi mà không giải thích, các lời nhắc MFA lặp lại, một quản trị viên mới, camera di chuyển hoặc kích hoạt bất ngờ, các chuyển tiếp cổng không được nhận ra, sử dụng dữ liệu không giải thích được, hoặc thiết bị chuyển hướng đến các trang bất thường. Internet chậm một mình không phải là bằng chứng của sự xâm phạm.
Nếu sự xâm phạm là khả dĩ, hãy ngắt kết nối thiết bị bị ảnh hưởng khỏi mạng mà không phá hủy bằng chứng. Hãy sử dụng một thiết bị đáng tin cậy khác để bảo mật email chính, trình quản lý mật khẩu, router, và tài khoản nhà cung cấp; thu hồi các phiên; liên hệ với ISP hoặc nhà sản xuất; và ghi lại những gì đã xảy ra. Đặt lại cài đặt gốc có thể loại bỏ bằng chứng hữu ích và không sửa được một thông tin xác thực đám mây bị đánh cắp, vì vậy đừng biến nó thành phản ứng tự động đầu tiên. Đối với tổn thất vật chất hoặc tội phạm, hãy báo cáo qua IC3.gov và các kênh địa phương phù hợp.
Một chu kỳ bảo trì thực tế
Tuần này: cập nhật firmware router, thay đổi thông tin xác thực quản trị viên của nó, bảo mật các tài khoản nhà cung cấp và nhà cung cấp internet, bật cập nhật điểm cuối tự động, và tạo một mạng khách.
Tháng này: kiểm kê thiết bị, loại bỏ sản phẩm và tài khoản không sử dụng, tách các thiết bị IoT tương thích, xem lại camera và micrô, và kiểm tra sao lưu.
Hai lần một năm: xác minh hỗ trợ firmware, thành viên tài khoản, phương thức khôi phục, thiết bị kết nối, chuyển tiếp cổng, và khôi phục sao lưu. Hãy thay thế thiết bị không được hỗ trợ theo một lịch trình đã lên kế hoạch.
Mục tiêu không phải là một pháo đài hoàn hảo. Đó là một mạng có các thiết bị được biết đến, được hỗ trợ, được cập nhật, ít phơi bày, và có thể khôi phục — cộng với một hộ gia đình sẽ không cấp quyền truy cập chỉ vì một tin nhắn hào nhoáng hoặc một giọng nói chân thực yêu cầu điều đó.