Vì sao remote support là attack surface lớn?

Remote support tool có 3 đặc tính nguy hiểm nếu mất kiểm soát:

• Full control: keyboard, mouse, screen, file transfer, registry - toàn bộ máy
• Persistent access: cài service, khởi động cùng OS, không cần user login
• Bypass firewall: outbound HTTPS 443 - gần như không firewall nào block

Vài incident thực tế:

• 2024 - Chiến dịch ScreenConnect exploit (CVE-2024-1709): > 1000 MSP bị attacker take over
• 2023 - TeamViewer credential stuffing: dùng password leak từ DB khác, attacker login vào TeamViewer account
• 2022 - AnyDesk MITM trên cafe Wi-Fi: spoof relay server, downgrade encryption

"Remote support là chìa khoá đến mọi máy bạn quản. Một config sai = doanh nghiệp bị ransomware. Đây là area duy nhất tôi không tiết kiệm - phải dùng tier cao nhất có 2FA + conditional access + audit log enterprise." - CISO doanh nghiệp e-commerce 1000 nhân viên HCM.

Cryptography stack: TeamViewer

TeamViewer dùng kiến trúc end-to-end encryption với các layer:

• Authentication: RSA 4096-bit public/private key
• Key exchange: Diffie-Hellman với Perfect Forward Secrecy (PFS)
• Session encryption: AES-256-CBC (chuyển sang AES-256-GCM trên v15.50+)
• Integrity: HMAC-SHA256
• Transport: TLS 1.2 hoặc 1.3 wrap thêm 1 layer

Mỗi session sinh key mới (PFS) - kể cả server TeamViewer bị compromise, attacker không decrypt được session quá khứ.

Code-signing và binary integrity

Binary TeamViewer được sign bằng EV code signing cert. Verify trên Windows:

# Verify TeamViewer binary signature
Get-AuthenticodeSignature "C:\Program Files\TeamViewer\TeamViewer.exe" |
  Format-List Status, StatusMessage, SignerCertificate

# Expected: Status=Valid, SignerCertificate CN=TeamViewer Germany GmbH

# Verify trên Linux
sha256sum /opt/teamviewer/tv_bin/TeamViewer
# So sánh với hash công bố tại teamviewer.com/en/integrity-checksums/

Cryptography stack: AnyDesk

AnyDesk public spec rõ ràng hơn TeamViewer:

• Transport: TLS 1.2 mặc định, TLS 1.3 từ v7.x
• Authentication: RSA 2048-bit Salsa20/SHA256-RSA challenge-response
• Session encryption: AES-256 chuyển sang Salsa20 stream cipher
• Key derivation: PBKDF2 cho password-based access
• Perfect Forward Secrecy: có, mỗi session key độc lập

Verify TLS 1.3 trên client AnyDesk

# Kiểm tra TLS version đang dùng (Linux)
ss -tlpn | grep anydesk
sudo openssl s_client -connect <peer-ip>:7070 -tls1_3
# Should see: Protocol  : TLSv1.3 / Cipher: TLS_AES_256_GCM_SHA384

# Trên Windows
netstat -ano | findstr "anydesk"
# Verify port 7070 outbound TLS established

2FA: bắt buộc cho production

2FA là defense quan trọng nhất chống credential stuffing. Cả 2 platform đều có:

TeamViewer 2FA

• TOTP (Google Authenticator, Authy, 1Password): mặc định
• WebAuthn / FIDO2 hardware key (YubiKey, Titan Key): v15.40+
• SMS: không khuyến nghị (SIM swap risk)
• Enforce 2FA toàn bộ user qua TeamViewer Admin Console

AnyDesk 2FA

• TOTP cho admin account namespace
• WebAuthn từ v8.x
• Enforce per-namespace

Conditional access: layer thứ 2

Ngay cả có password + 2FA, conditional access là layer phụ tránh worst-case:

TeamViewer Conditional Access (Corporate/Tensor)

• Allowlist account: chỉ account A, B, C được connect tới máy này
• IP whitelist: chỉ kết nối từ range IP nhất định (VPN corp)
• Device whitelist: chỉ device đã enroll mới được
• Time window: chỉ giờ hành chính (8h-18h)
• Geo-fencing: chặn IP từ countries cao risk

AnyDesk Access Control (Standard+)

• Whitelist namespace alias
• Block all unattended access except predefined IDs
• Require interactive permission từng session

Audit log: bằng chứng compliance

Audit log phải đáp ứng 3 tiêu chí:

• Immutable: không sửa được, append-only
• Retention > 1 năm: phục vụ audit ISO 27001 / SOC 2
• Granular: log từng action: connection, file transfer, clipboard, command

TeamViewer audit (Corporate/Tensor)

AnyDesk audit (Advanced/Ultimate)

• Connection log: in/out, duration, peer ID
• File transfer: filename, direction, size
• Session recording: manual (Advanced), auto option (Ultimate)
• API to fetch log → push tới SIEM

Hardening checklist 2026

1. Disable LAN connection mode: chỉ allow kết nối qua server TeamViewer/AnyDesk (E2EE chuẩn)
2. Random password mỗi máy: không dùng predefined password chung - script tạo password riêng, push qua RMM
3. Password complexity > 12 ký tự: mixed case, số, ký tự đặc biệt
4. 2FA enforce all account: không miễn trừ admin
5. WebAuthn cho admin: YubiKey hoặc Titan Key, không TOTP
6. Conditional access IP/device: chỉ allow VPN corporate hoặc device enrolled
7. Session recording mandatory: archive tới S3/Azure Blob, retention > 1 năm
8. Disable VPN over TeamViewer: feature ít dùng, bị abuse nhiều
9. Disable remote print mặc định: enable per-session khi cần
10. Update lên version mới nhất: enable auto-update, vendor patch CVE thường xuyên
11. Monitor anomaly: alert khi có connection từ IP/country lạ
12. Audit log review tuần: SOC review file transfer log, flag pattern bất thường

# Script kiểm tra config TeamViewer hardening
# Windows PowerShell
$tv = "HKLM:\SOFTWARE\WOW6432Node\TeamViewer"

# Verify settings
Get-ItemProperty $tv -Name "Security_AllowedTrustedUsers" | Format-List
Get-ItemProperty $tv -Name "TwoFactorAuthRequired" | Format-List
Get-ItemProperty $tv -Name "Security_PasswordStrength" | Format-List

# Lock down qua GPO ADMX template
# Download: teamviewer.com/en/for-developers/group-policy-objects/
# Import vào: C:\Windows\PolicyDefinitions\

# Settings recommend:
# - Disable unattended access nếu không cần
# - Force E2EE only (no LAN direct)
# - Min password length 12
# - Lockout after 5 failed attempts
# - Auto-update enabled

Detect compromise: dấu hiệu

• Connection từ IP/country lạ trong audit log
• Session ngoài giờ hành chính từ account không phải on-call
• File transfer outbound > 100MB lúc đêm
• Failed 2FA spike (brute force)
• Predefined password change không phải bạn làm
• Tài khoản admin login từ device không enrolled

Incident response: khi nghi compromise

1. Disconnect ngay: chấm dứt session active đang diễn ra
2. Disable account nghi ngờ: revoke session token toàn bộ device
3. Reset password tất cả: rotate password + key trong RMM
4. Force 2FA re-enrollment: revoke TOTP cũ, gen mới
5. Forensic audit log: export 30 ngày trước, phân tích timeline
6. Rebuild binary: nếu Custom Module bị tamper, rebuild và redeploy
7. Notify khách hàng: với MSP, có thể có nghĩa vụ pháp lý báo cáo

Compliance ISO 27001 / SOC 2 / HIPAA

Remote support tool cần đáp ứng:

• ISO 27001 Annex A.9: access control - 2FA, conditional access, periodic review
• ISO 27001 Annex A.12: operations security - audit log, recording
• SOC 2 CC6: logical access controls, monitoring
• HIPAA Security Rule §164.312: technical safeguards, audit controls, transmission security

Cả TeamViewer Corporate/Tensor và AnyDesk Ultimate đáp ứng đầy đủ khi config đúng. Vendor cung cấp SOC 2 Type II report và ISO 27001 cert cho audit của bạn.

Pháp lý Việt Nam 2026

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân - remote support truy cập data nhân viên/khách phải có consent
• Luật An ninh mạng 2018 - log truy cập, nội dung session phải lưu trữ tối thiểu 12 tháng
• Doanh nghiệp lĩnh vực ngân hàng/y tế cần thêm tuân thủ ngành

Bài viết liên quan

• TeamViewer vs AnyDesk 2026
• TeamViewer Business vs Premium vs Corporate
• MSP quản trị nhiều khách hàng 2026
• RustDesk self-host vs trả phí
• Dịch vụ quản trị server TND