tìm hiểu về an ninh mạng và kỹ thuật tấn công social engineering

Nhóm 9 An ninh mạng
LỜI NÓI ĐẦU
Với sự phát triển nhanh chóng của mạng internet và đặt biệt là các công nghệ
mạng, kèm theo đó là vấn đề bảo vệ các tài nguyên thông tin trên mạng, tránh sự mất
mát, xâm phạm là việc cần thiết và cấp bách. Bảo mật mạng có thể hiểu là cách bảo vệ,
đảm bảo an toàn cho các thành phần mạng bao gồm dữ liệu, thiết bị, cơ sở hạ tầng
mạng và đảm bảo mọi tài nguyên trên mạng tránh được việc đánh cắp thông tin, đồng
thời tăng tính bảo mật thông tin cho mạng được cao hơn. Đặc biệt với sự phát triển của
Internet cùng với sự ra đời các mạng xã hội vấn đề lừa đảo trên mạng diễn ra ngày
càng phức tạp hơn với đề tài “Tìm hiểu về an ninh mạng và kỹ thuật tấn công
Social Engineering” sẽ đưa cho chúng ta thấy cái nhìn tổng quát nhất về tình hình an
ninh mạng hiện nay và kỹ thuật tấn công Social Engineering để từ đó có phương pháp
phòng chống tốt nhất.

i
Nhóm 9 An ninh mạng
MỤC LỤC
CHƯƠNG 1: TỔNG QUAN VỀ AN NINH MẠNG 1
1.1. Mang máy tính và các vấn đề phát sinh 1
1.1.1. Sự cần thiết phải có an ninh mạng trong một hệ thống mạng 1
1.1.1.1. Các yếu tố cần được bảo vệ trong hệ thống mạng 1
1.1.1.2. Các yếu tố đảm bảo an toàn thông tin 1
1.1.2. Xác định nguy cơ đối với hệ thống mạng 2
1.1.2.1. Xác định các lỗ hổng hệ thống 2
1.1.2.2. Xác định các mối đe đoạ 3
1.1.2.3. Các biện pháp an toàn hệ thống 3
1.1.3. Đo lường mức độ nguy cơ của một hệ thống mạng 3
1.2. Các hình thức và kỹ thuật tấn công 4
1.2.1. Quá trình thăm dò tấn công 4
1.2.1.1. Thăm dò (Reconnaissace) 4
1.2.1.2. Quét hệ thống (Scanning) 4

1.2.1.3. Chiếm quyền điều khiển (Gainning access) 5
1.2.1.4. Duy trì điều khiển hệ thống (Maitaining access) 5
1.2.1.5. Xoá dấu vết (Clearning tracks) 5
1.3. Các biện pháp bảo mật mạng 5
1.3.1. Mã hoá, nhận dạng, chứng thực người dùng và phần quyền sử dụng 5
1.3.1.1. Mã hoá 5
1.3.1.2. Các giải thuật mã hoá 6
1.3.1.3. Chứng thực người dùng 8
1.3.2. Bảo mật máy trạm 11
1.3.3. Bảo mật truyền thông 11
1.3.4. Các công nghệ và kỹ thuật bảo mật 12
1.3.5. Bảo mật ứng dụng 14
1.3.6. Thống kê tài nguyên 15
CHƯƠNG 2: CHƯƠNG II: KỸ THUẬT TẤN CÔNG SOCIAL ENGINEERING 17
2.1. Social Engeering là gì 17
2.2. Nghệ thuật thao túng 18
2.3. Điểm yếu của mọi người 18
2.4. Phân loại kỹ thuật Social Egnieering 19
2.4.1. Human-Based Socal Engineering 19
2.4.2. Computer-Based Social Engineering 21
2.5. Các kiểu tấn công phổ biến 22
2.5.1. Insider Attacks 22
2.5.2. Identity Theft 22
2.5.3. Phishing Attacks 23
2.5.4. Online Scams 23
2.5.5. URL Obfuscation 23
2.6. Các mối đe dọa Socal Engineering 24
2.6.1. Online Threats 24
2.6.2. Telephone-Based Threats 26
2.6.3. Waste Management Threats 26

2.6.4. Personal Approaches 27
2.6.5. Reverse Social Engineering 27
2.7. Biện pháp đối phó Social Engineering 28
2.8. Tổng kết 29

ii
Nhóm 9 An ninh mạng
CHƯƠNG 1: TỔNG QUAN VỀ AN NINH MẠNG
1.1. Mang máy tính và các vấn đề phát sinh
1.1.1. Sự cần thiết phải có an ninh mạng trong một hệ thống mạng
An ninh mạng bảo vệ mạng của bạn trước việc đánh cắp và sử dụng sai mục đích
thông tin kinh doanh bí mật và chống lại tấn công bằng mã độc từ vi rút và sâu máy
tính trên mạng Internet. Nếu an ninh mạng không được triển khai công ty của bạn sẽ
gặp rủi ro trước xâm nhập trái phép, sự ngừng trệ hoạt động của mạng, sự gián đoạn
dịch vụ, sự không tuân thủ quy định và thậm chí là các hành động phạm pháp.
Từ đây ta thấy được an ninh trong hệ thống mạng luôn là vấn đề nóng hổi, cần
được quan tâm và mang tính quan trọng hơn hết.
1.1.1.1. Các yếu tố cần được bảo vệ trong hệ thống mạng
Yếu tố đầu tiên phải nói đến là dữ liệu, những thông tin lưu trữ trên hệ thống máy
tính cần được bảo vệ do các yêu cầu về tính bảo mật, tính toàn vẹn hay tính kịp thời.
Thông thường yêu cầu về bảo mật được coi là yêu cầu quan trọng đối với thông tin lưu
trữ trên mạng. Tuy nhiên, ngay cả khi những thông tin không được giữ bí mật, thì yêu
cầu về tính toàn vẹn cũng rất quan trọng. Không một cá nhân, một tổ chức nào lãng
phí tài nguyên vật chất và thời gian để lưu trữ những thông tin mà không biết về tính
đúng đắn của những thông tin đó.
Yếu tố thứ hai là về tài nguyên hệ thống, sau khi các Attacker đã làm chủ được
hệ thống chúng sẽ sử dụng các máy này để chạy các chương trình như dò tím mật khẩu
để tấn công vào hệ thống mạng.
Yếu tố thứ ba là danh tiếng một khi dữ liệu bị đánh cắp thì việc nghi ngờ nhau
trong công ty là điều không tránh khỏi, vì vậy sẽ ảnh hưởng đến danh tiếng của công

ty rất nhiều.
1.1.1.2. Các yếu tố đảm bảo an toàn thông tin
An toàn thông tin nghĩa là thông tin được bảo vệ, các hệ thống và những dịch vụ
có khả năng chống lại những tai hoạ, lỗi và sự tác động không mong đợi. Mục tiêu của
an toàn bảo mật trong công nghệ thông tin là đưa ra một số tiêu chuẩn an toàn và ứng
dụng các tiêu chuẩn an toàn này để loại trừ hoặc giảm bớt các nguy hiểm.
Hiện nay các biện pháp tấn công càng ngày càng tinh vi, sự đe doạ tới độ an toàn
thông tin có thể đến từ nhiều nơi khác nhau theo nhiều cách khác nhau, vì vậy các yêu
cầu cần để đảm bảo an toàn thông tin như sau:

1
Nhóm 9 An ninh mạng
 Tính bí mật: Thông tin phải đảm bảo tính bí mật và được sử dụng đúng đối tượng.
 Tính toàn vẹn: Thông tin phải đảm bảo đầy đủ, nguyên vẹn về cấu trúc,
không mâu thuẫn.
 Tính sẵn sàng: Thông tin phải luôn sẵn sàng để tiếp cận, để phục vụ theo
đúng mục đích và đúng cách.
 Tính chính xác: Thông tin phải chính xác, tin cậy.
 Tính không khước từ (chống chối bỏ): Thông tin có thể kiểm chứng được
nguồn gốc hoặc người đưa tin.
1.1.2. Xác định nguy cơ đối với hệ thống mạng
Nguy cơ hệ thống (Risk) được hình thành bởi sự kết hợp giữa lỗ hổng hệ thống
và các mối đe doạ đến hệ thống, nguy cơ hệ thống có thể định nghĩa trong ba cấp độ
thấp, trung bình và cao. Để xác định nguy cơ đối với hệ thống trước tiên ta phải đánh
giá nguy cơ hệ thống theo sơ đồ sau.
Hình 1-1 Quá trình đánh giá nguy cơ của hệ thống
1.1.2.1. Xác định các lỗ hổng hệ thống
Việc xác định các lỗ hổng hệ thống được bắt đầu từ các điểm truy cập vào hệ
thống như:
 Kết nối mạng Internet

 Các điểm kết nối từ xa
 Kết nối các tổ chức khác
 Các môi trường truy cập vật lý hệ thống
 Các điểm truy cập người dùng
 Các điểm truy cập không dây
Ở mỗi điểm truy cập, ta phải xác định được các thông tin có thể truy cập và mức
độ truy cập vào hệ thống.

2
Nhóm 9 An ninh mạng
1.1.2.2. Xác định các mối đe đoạ
Đây là một công việc khó khăn vì các mối đe dọa thường không xuất hiện rõ
ràng (ẩn), thời điểm và quy mô tấn công không biết trước. Các hình thức và kỹ thuật
tấn công đa dạng như:
 DoS/DDoS, BackDoor, Tràn bộ đệm,…
 Virus, Trojan Horse, Worm
 Social Engineering
1.1.2.3. Các biện pháp an toàn hệ thống
Các biện pháp an toàn hệ thống gồm các biện pháp như: firewall, phần mềm diệt
virut, điều khiển truy cập, hệ thống chứng thực (mật khẩu, sinh trắc học, thẻ nhận
dạng), mã hoá dữ liệu, hệ thống xâm nhập IDS, các kỹ thuật khác, ý thức người dùng,
hệ thống chính sách bảo mật và tự động vá lỗ hệ thống
1.1.3. Đo lường mức độ nguy cơ của một hệ thống mạng
Những nguy cơ bảo mật đe doạ mất mát dữ liệu nhạy cảm luôn là mối lo ngại
của những doanh nghiệp vừa và nhỏ. Dưới đây là các mức độ nguy cơ mà các
doanh nghiệp luôn luôn phải đối mặt:
- Một số doanh nghiệp vừa và nhỏ, những dữ liệu quan trọng hay thông tin khách
hàng thường được giao phó cho một cá nhân. Điều này tạo nên tình trạng "lệ thuộc
quyền hạn".
- Hệ thống máy tính, mạng của doanh nghiệp luôn phải đối mặt với nhiều nguy

cơ bảo mật, từ việc hư hỏng vật lý cho đến các trường hợp bị tấn công từ tin tặc hay
virus đều có khả năng gây tổn hại cho dữ liệu, do đó cần phải có kế hoạch xử lý rủi ro.
- Tin tặc hiện nay thường dùng các tập tin chứa đựng tài khoản mặc định
(username và password) của các thiết bị kết nối mạng để dò tìm quyền hạn truy xuất
khả năng đăng nhập vào hệ thống mạng, đặc biệt là các tài khoản thiết lập mặc định.
- Thiếu cảnh giác với mạng công cộng: một thủ đoạn chung tin tặc hay sử dụng
để dẫn dụ những nạn nhân là đặt một thiết bị trung chuyển wireless access-point không
cài đặt mật khẩu.
- Các doanh nghiệp không coi trọng việc đặt website của mình tại máy chủ nào,
mức độ bảo mật ra sao. Do đó, website kinh doanh của doanh nghiệp sẽ là mục tiêu
của các đợt tấn công SQL Injection.

3
Nhóm 9 An ninh mạng
Hơn 90% các cuộc tấn công vào hệ thống mạng đều cố gắng khai thác các lỗi bảo
mật đã được biết đến. Mặc dù các bản vá lỗi vẫn thường xuyên được những hãng sản
xuất cung cấp ngay sau khi lỗi được phát hiện nhưng một vài doanh nghiệp lại không
coi trọng việc cập nhật lỗi này dẫn đến việc các lỗi bảo mật luôn là những cuộc tấn
công
1.2. Các hình thức và kỹ thuật tấn công
1.2.1. Quá trình thăm dò tấn công
Hình 1-2 Quá trình thăm dò vào một hệ thống mạng
1.2.1.1. Thăm dò (Reconnaissace)
Thăm dò mục tiêu là một trong những bước qua trọng để biết những thông tin
trên hệ thống mục tiêu. Hacker sử dụng kỹ thuật này để khám phá hệ thống mục tiêu
đang chạy trên hệ điều hành nào, có bao nhiêu dịch vụ đang chạy trên các dịch vụ đó,
cổng dịch vụ nào đang đóng và cổng nào đang mở, gồm hai loại:
 Passive: Thu thập các thông tin chung như vị trí địa lý, điện thoại, email của
các cá nhân, người điều hành trong tổ chức.
 Active: Thu thập các thông tin về địa chỉ IP, domain, DNS,… của hệ thống

1.2.1.2. Quét hệ thống (Scanning)
Quét thăm dò hệ thống là phương pháp quan trọng mà Attacker thường dùng để
tìm hiểu hệ thống và thu thập các thông tin như địa chỉ IP cụ thể, hệ điều hành hay các
kiến trúc hệ thống mạng. Một vài phương pháp quét thông dụng như: quét cổng, quét
mạng và quét các điểm yếu trên hệ thống.

4
Nhóm 9 An ninh mạng

Hình 1-3 Quét trộm đối với cổng không hoạt động

Hình 1-4 Đối với cổng hoạt động
1.2.1.3. Chiếm quyền điều khiển (Gainning access)
o Mức hệ điều hành/ mức ứng dụng
o Mức mạng
o Từ chối dịch vụ
1.2.1.4. Duy trì điều khiển hệ thống (Maitaining access)
Upload/download biến đổi thông tin
1.2.1.5. Xoá dấu vết (Clearning tracks)
Sau khi bị tấn công thì hệ thống sẽ lưu lại những vết do attacker để lại. Attacker
cần xoá chúng đi nhằm tránh bị phát hiện.
1.3. Các biện pháp bảo mật mạng
1.3.1. Mã hoá, nhận dạng, chứng thực người dùng và phần quyền sử dụng
1.3.1.1. Mã hoá
Mã hoá là cơ chế chính cho việc bảo mật thông tin. Nó bảo vệ chắc chắn thông
tin trong quá trình truyền dữ liệu, mã hoá có thể bảo vệ thông tin trong quá trình lưu
trữ bằng mã hoá tập tin. Tuy nhiên người sử dụng phải có quyền truy cập vào tập tin
này, hệ thống mã hoá sẽ không phân biệt giữa người sử dụng hợp pháp và bất hợp
pháp nếu cả hai cùng sử dụng một key giống nhau. Do đó mã hoá chính nó sẽ không
cung cấp bảo mật, chúng phải được điều khiển bởi key mã hoá và toàn bộ hệ thống.

5
Nhóm 9 An ninh mạng
Hình 1-5 Quá trình mã hoá
Mã hoá nhằm đảm bảo các yêu cầu sau:
o Tính bí mật (confidentiality): dữ liệu không bị xem bởi “bên thứ 3”.
o Tính toàn vẹn (Integrity): dữ liệu không bị thay đổi trong quá trình truyền.
Tính không từ chối (Non-repudiation): là cơ chế người thực hiện hành động
không thể chối bỏ những gì mình đã làm, có thể kiểm chứng được nguồn gốc hoặc
người đưa tin.
1.3.1.2. Các giải thuật mã hoá
 Giải thuật băm (Hashing Encryption)
Là cách thức mã hoá một chiều tiến hành biến đổi văn bản nhận dạng (cleartext)
trở thành hình thái mã hoá mà không bao giờ có thể giải mã. Kết quả của tiến trình
hashing còn được gọi là một hash (xử lý băm), giá trị hash (hash value), hay thông
điệp đã được mã hoá (message digest) và tất nhiên không thể tái tạo lại dạng ban đầu.
Trong xử lý hàm băm dữ liệu đầu vào có thể khác nhau về độ dài, thế nhưng độ
dài của xử lý Hash lại là cố định. Hashing được sử dụng trong một số mô hình xác
thực password. Một giá trị hash có thể được gắn với một thông điệp điện tử (electronic
message) nhằm hỗ trợ tính tích hợp của dữ liệu hoặc hỗ trợ xác định trách nhiệm
không thể chối từ (non-repudiation).

6
Nhóm 9 An ninh mạng

Hình 1-6 Mô hình giải thuật băm
Một số giải thuật băm
o MD5 (Message Digest 5): giá trị băm 128 bit.
o SHA-1 (Secure Hash Algorithm): giá trị băm 160 bit.
 Giải thuật mã hoá đồng bộ/đối xứng (Symmetric)

Mã hoá đối xứng hay mã hoá chia sẻ khoá (shared-key encryption) là mô hình
mã hoá hai chiều có nghĩa là tiến trình mã hoá và giải mã đều dùng chung một khoá.
Khoá này phải được chuyển giao bí mật giữa hai đối tượng tham gia giao tiếp. Có thể
bẻ khoá bằng tấn công vét cạn (Brute Force).
Hình 1-7 Giải thuật mã hoá đồng bộ/đối xứng
Cách thức mã hoá như sau:
o Hai bên chia sẻ chung 1 khoá (được giữ bí mật).
o Trước khi bắt đầu liên lạc hai bên phải trao đổi khoá bí mật cho nhau.
o Mỗi phía của thành phần liên lạc yêu cầu một khoá chia sẻ duy nhất, khoá
này không chia sẻ với các liên lạc khác.
Bảng dưới đây cho thấy chi tiết các phương pháp mã hóa đối xứng thông dụng.
Các loại mã hóa Đặc tính
Data Encryption Standard (DES) - Sử dụng một khối 64 bit hoặc một
khóa 56 bit.
- Có thể dễ dàng bị bẻ khóa.
Triple DES (3DES) - Áp dụng DES 3 lần.
- Sử dụng một khóa 168bit.
- Bị thay thế bởi AES.

7
Nhóm 9 An ninh mạng
Advanced Encryption Standard
(AES)
- Sử dụng Rhine doll có khả năng đề
kháng với tất cả tấn công đã biết.
- Dùng một khóa và khóa chiều dài có
thể thay đổi (128-192 hoặc 256 bit).
 Giải thuật mã hóa không đồng bộ/không đối xứng (Asymmetric)
Mã hóa bất đối xứng, hay mã hóa khóa công khai(public-key encryption), là mô
hình mã hóa 2 chiều sử dụng một cặp khóa là khóa riêng (private key) và khóa công

(public keys). Thông thường, một thông điệp được mã hóa với private key, và chắc
chắn rằng key này là của người gửi thông điệp (message sender). Nó sẽ được giải mã
với public key, bất cứ người nhận nào cũng có thể truy cập nếu họ có key này. Chú ý,
chỉ có public key trong cùng một cặp khóa mới có thể giải mã dữ liệu đã mã hóa với
private key tương ứng. Và private key thì không bao giờ được chia sẻ với bất kỳ ai và
do đó nó giữ được tính bảo mật, với dạng mã hóa này được ứng dụng trong chữ ký
điện tử.
Hình 1-8 Giải thuật mã hóa không đồng bộ/không đối xứng
Các giải thuật
o RSA (Ron Rivest, Adi Shamir, and Leonard Adleman).
o DSA (Digital Signature Standard).
o Diffie-Hellman (W.Diffie and Dr.M.E.Hellman).
1.3.1.3. Chứng thực người dùng
Là quá trình thiết lập tính hợp lệ của người dùng trước khi truy cập thông tin
trong hệ thống. Các loại chứng thực như:
 Username/password: Là loại chứng thực phổ biến nhất và yếu nhất của chứng
thực, username/password được giữ nguyên dạng chuyển đến Server.

8
Nhóm 9 An ninh mạng
Hình 1-9 Chứng thực bằng user và password
- Tuy nhiên phương pháp này xuất hiện những vấn đề như dễ bị đánh cắp trong
quá trình đến server.
- Giải pháp
o Đặt mật khẩu dài tối thiểu là tám kí tự, bao gồm chữ cái, số, biểu tượng.
o Thay đổi password: 01 tháng/lần.
 Không nên đặt cùng password ở nhiều nơi.
 Xem xét việc cung cấp password cho ai.
 CHAP (Challenge Hanshake Authentication Protocol): Dùng để mã hóa mật
khẩu khi đăng nhập, dùng phương pháp chứng thực thử thách/hồi đáp. Định kỳ kiểm

tra lại các định danh của kết nối sử dụng cơ chế bắt tay 3 bước và thông tin bí mật
được mã hóa sử dụng MD5. Hoạt động của CHAP như sau:
Hình 1-10 Hoạt động của CHAP
 Kerberos
Kerberos là một giao thức mật mã dùng để xác thực trong các mạng máy tính
hoạt động trên những đường truyền không an toàn. Giao thức Kerberos có khả năng
chống lại việc nghe lén hay gửi lại các gói tin cũ và đảm bảo tính toàn vẹn của dữ liệu.
Mục tiêu khi thiết kế giao thức này là nhằm vào mô hình máy chủ-máy khách (client-
server) và đảm bảo nhận thực cho cả hai chiều.

9
Nhóm 9 An ninh mạng
Kerberos hoạt động sử dụng một bên thứ ba tham gia vào quá trình nhận thực gọi
là key distribution center – KDC (KDC bao gồm hai chức năng: "máy chủ xác thực"
(authentication server - AS) và "máy chủ cung cấp vé" (ticket granting server - TGS).
"Vé" trong hệ thống Kerberos chính là các chứng thực chứng minh nhận dạng của
người sử dụng.). Mỗi người sử dụng trong hệ thống chia sẻ một khóa chung với máy
chủ Kerberos. Việc sở hữu thông tin về khóa chính là bằng chứng để chứng minh nhận
dạng của một người sử dụng. Trong mỗi giao dịch giữa hai người sử dụng trong hệ
thống, máy chủ Kerberos sẽ tạo ra một khóa phiên dùng cho phiên giao dịch đó.
Hình 1-11 Mã hóa Kerberos
 Chứng chỉ (Certificates)
Một Server (Certificates Authority - CA) tạo ra các certificates.
 Có thể là vật lý: smartcard
 Có thể là logic: chữ ký điện tử
Sử dụng public/private key (bất cứ dữ liệu nào được mã hóa bằng public key chỉ
có thể giải mã bằng private key). Sử dụng “công ty thứ 3” để chứng thực. Được sử
dụng phổ biến trong chứng thực web, smart cards, chữ ký điện tử cho email và mã hóa
email.
- Nhược điểm

 Triển khai PKI (Public Key Infrastructure) kéo dài và tốn kém.
 Smart cards làm tăng giá triển khai và bảo trì.
 Dịch vụ CA tốn kém.
 Sinh trắc học
Có thể dùng các phương pháp sau: mống mắt/võng mạc, vân tay, giọng nói. Ưu
điểm của phương pháp này rất chính xác, thời gian chứng thực nhanh, tuy nhiên giá
thành cao cho phần cứng và phần mềm, việc nhận diện có thể bị sai lệch.
 Kết hợp nhiều phương pháp (Multi-factor)

10
Nhóm 9 An ninh mạng
Sử dụng nhiều hơn một phương pháp chứng thực như: mật khẩu/ PIN, smart
card, sinh trắc học, phương pháp này nhằm tạo sự bảo vệ theo chiều sâu với nhiều tầng
bảo vệ khác nhau.
 Ưu điểm: làm giảm sự phụ thuộc vào password, hệ thống chứng thực
mạnh hơn và cung cấp khả năng cho Public Key Infrastructure (PKI).
o Nhược điểm: tăng chi phí triển khai, tăng chi phí duy trì, chi phí nâng
cấp
1.3.2. Bảo mật máy trạm
Sự kiểm tra đều đặn mức bảo mật được cung cấp bởi các máy chủ phụ thuộc chủ
yếu vào sự quản lý. Mọi máy chủ ở trong một công ty nên được kiểm tra từ Internet để
phát hiện lỗ hổng bảo mật. Thêm nữa, việc kiểm tra từ bên trong và quá trình thẩm
định máy chủ về căn bản là cần thiết để giảm thiểu tính rủi ro của hệ thống, như khi
firewall bị lỗi hay một máy chủ, hệ thống nào đó bị trục trặc.
Hầu hết các hệ điều hành đều chạy trong tình trạng thấp hơn với mức bảo mật tối
thiểu và có rất nhiều lỗ hổng bảo mật. Trước khi một máy chủ khi đưa vào sản xuất, sẽ
có một quá trình kiểm tra theo một số bước nhất định. Toàn bộ các bản sửa lỗi phải
được cài đặt trên máy chủ, và bất cứ dịch vụ không cần thiết nào phải được loại bỏ.
Điều này làm tránh độ rủi ro xuống mức thấp nhất cho hệ thống.
Việc tiếp theo là kiểm tra các log file từ các máy chủ và các ứng dụng. Chúng sẽ

cung cấp cho ta một số thông tin tốt nhất về hệ thống, các tấn công bảo mật. Trong rất
nhiều trường hợp, đó chính là một trong những cách để xác nhận quy mô của một tấn
công vào máy chủ.
1.3.3. Bảo mật truyền thông
Tiêu biểu như bảo mật trên FTP, SSH
 Bảo mật truyền thông FTP
Hình 1-12 Bảo mật FTP
FTP là giao thức lớp ứng dụng trong bộ giao thức TCP/IP cho phép truyền dữ
liệu chủ yếu qua port 20 và nhận dữ liệu tại port 21, dữ liệu được truyền dưới dạng

11
Nhóm 9 An ninh mạng
clear-text, tuy nhiên nguy cơ bị nghe lén trong quá trình truyền file hay lấy mật khẩu
trong quá trình chứng thực là rất cao, thêm vào đó user mặc định Anonymous không
an toàn tạo điều kiện cho việc tấn công tràn bộ đệm.
Biện pháp đặt ra là sử dụng giao thức S/FTP (S/FTP = FTP + SSL/TSL) có tính
bảo mật vì những lí do sau:
o Sử dụng chứng thực RSA/DSA .
o Sử dụng cổng TCP 990 cho điều khiển, cổng TCP 989 cho dữ liệu.
o Tắt chức năng Anonymous nếu không sử dụng.
o Sử dụng IDS để phát hiện tấn công tràn bộ đệm.
o Sử dụng IPSec để mã hóa dữ liệu.
 Bảo mật truyền thông SSH
SSH là dạng mã hóa an toàn thay thế cho telnet, rlogin hoạt động theo mô hình
client/server và sử dụng kỹ thuật mã hóa public key để cung cấp phiên mã hóa, nó chỉ
cung cấp khả năng chuyển tiếp port bất kỳ qua một kết nối đã được mã hóa. Với telnet
hay rlogin quá trình truyền username và password dưới dạng cleartext nên rất dễ bị
nghe lén, bằng cách bắt đầu một phiên mã hóa.
Khi máy client muốn kết nối phiên an toàn với một host, client phải bắt đầu kết
nối bằng cách thiết lập yêu cầu tới một phiên SSH. Một khi server nhận dược yêu cầu

từ client, hai bên thực hiện cơ chế three-way handshake trong đó bao gồm việc xác
minh các giao thức, khóa phiên sẽ được thay đổi giữa client và server, khi khóa phiên
đã trao đổi và xác minh đối với bộ nhớ cache của host key, client lúc này có thể bắt
đầu một phiên an toàn
1.3.4. Các công nghệ và kỹ thuật bảo mật
 Bảo mật bằng firewall
Là một hàng rào giữa hai mạng máy tính, nó bảo vệ mạng này tránh khỏi sự xâm
nhập từ mạng kia, đối với những doang nghiệp cỡ vừa là lớn thì việc sử dụng firewall
là rất cần thiết, chức năng chính là kiểm soát luồng thông tin giữa mạng cần bảo vệ và
Internet thông qua các chính sách truy cập đã được thiết lập.
Firewall có thể là phần cứng, phần mềm hoặc cả hai. Tất cả đều có chung một
thuộc tính là cho phép xử lý dựa trên địa chỉ nguồn, bên cạnh đó nó còn có các tính
năng như dự phòng trong trường hợp xảy ra lỗi hệ thống.

12
Nhóm 9 An ninh mạng
Hình 1-13 Mô hình tổng quát firewall
Do đó việc lựa chọn firewall thích hợp cho một hệ thống không phải là dễ dàng.
Các firewall đều phụ thuộc trên một môi trường, cấu hình mạng, ứng dụng cụ thể. Khi
xem xét lựa chọn một firewall cần tập trung tìm hiểu tập các chức năng của firewall
như tính năng lọc địa chỉ, gói tin
 Bảo mật bằng VPN (Virtual Private Network)
VPN là một mạng riêng ảo được kết nối thông qua mạng công cộng cung cấp cơ
chế bảo mật trong một môi trường mạng không an toàn. Đặc điểm của VPN là dữ liệu
trong quá trình truyền được mã hóa, người sử dụng đầu xa được chứng thực, VPN sử
dụng đa giao thức như IPSec, SSL nhằm tăng thêm tính bảo mật của hệ thống, bên
cạnh đó tiết kiệm được chi phí trong việc triển khai.
Hình 1-14 Bảo mật bằng VPN
 Bảo mật bằng IDS (Phát hiện tấn công)
IDS (Intrusion Detection System) là hệ thống phát hiện xâm nhập, hệ thống bảo

mật bổ sung cho firewall với công nghệ cao tương đương với hệ thống chuông báo

13
Nhóm 9 An ninh mạng
động được cấu hình để giám sát các điểm truy cập có thể theo dõi, phát hiện sự xâm
nhập của các attacker. Có khả năng phát hiện ra các đoạn mã độc hại hoạt động trong
hệ thống mạng và có khả năng vượt qua được firewall. Có hai dạng chính đó là
network based và host based
Hình 1-15 Hệ thống chống xâm nhập IDS
1.3.5. Bảo mật ứng dụng
 Hệ thống thư điện tử
Thư điện tử hay email là một hệ thống chuyển nhận thư từ qua các mạng máy
tính, là một phương tiện thông tin rất nhanh. Một mẫu thông tin (thư từ) có thể được
gửi đi ở dạng mã hoá hay dạng thông thường và được chuyển qua các mạng máy tính
đặc biệt là mạng Internet. Nó có thể chuyển mẫu thông tin từ một máy nguồn tới một
hay rất nhiều máy nhận trong cùng lúc.
Ngày nay, email chẳng những có thể truyền gửi được chữ, nó còn có thể truyền
được các dạng thông tin khác như hình ảnh, âm thanh, phim, và đặc biệt các phần
mềm thư điện tử kiểu mới còn có thể hiển thị các email dạng sống động tương thích
với kiểu tệp HTML.
o Gửi: giao thức SMTP (TCP 25)
- Nhận: giao thức POP3/IMAP (TCP 110/143)
Hình 1-16 Thư điện tử
Lợi ích của thư điện tử như tốc độ di chuyển cao, chi phí rẻ và tiện lợi. Tuy nhiên
có những vấn đề về bảo mật, spam mail, sự lây lan của virus, trojan

14
Nhóm 9 An ninh mạng
 Bảo vệ hệ thống email
 Sử dụng S/MIME nếu có thể

 Cấu hình Mail Server tốt, không bị open relay
 Ngăn chặn Spam trên Mail Server
 Cảnh giác với email lạ
 Bảo mật ứng dụng Web
o Web traffic: Sử dụng giao thức bảo mật SSL/TSL để mã hóa thông tin giữa
Client và Server, hoạt động tầng Transport, sử dụng mã hóa không đối xứng
và MD5, sử dụng Public Key để chứng thực và mã hóa giao dịch giữa Client
và Server và TSL bảo mật tốt hơn.
Vấn đề đặt ra là trong quá trình chứng thực cả Client và Server đều phải cần triển
khai PKI, ảnh hưởng đến Performance, việc triển khai tiềm tàng một số vấn đề:
phương thức triển khai, cấu hình hệ thống, lựa chọn phần mềm.
o Web Client: Trong mô hình client/server, máy client là một máy trạm mà
chỉ được sử dụng bởi 1 người dùng với để muốn thể hiện tính độc lập cho
nó. Các điểm yếu của Client như JavaScript, ActiveX, Cookies, Applets.
o Web Server: Server cung cấp và điều khiển các tiến trình truy cập vào tài
nguyên của hệ thống. Vai trò của server như là một nhà cung cấp dịch vụ
cho các clients yêu cầu tới khi cần, các dịch vụ như cơ sở dữ liệu, in ấn,
truyền file, hệ thống Các lỗi thường xảy ra trong WEB Server: lỗi tràn bộ
đệm, CGI/ Server Script và HTTP, HTTPS
1.3.6. Thống kê tài nguyên
Hình 1-17 Thống kê tài nguyên bằng Monitoring
Là khả năng kiểm soát (kiểm kê) hệ thống mạng, bao gồm:
 Logging: Ghi lại các hoạt động phục vụ cho việc thống kê các sự kiện trên
mạng. Ví dụ muốn kiểm soát xem những ai đã truy cập file server, trong
thời điểm nào, làm gì (Event Viewer).

15
Nhóm 9 An ninh mạng
 Scanning: Quét hệ thống để kiểm soát những dịch vụ gì đang chạy trên
mạng, phân tích các nguy cơ của hệ thống mạng. Ví dụ Task manager.

 Monitoring: Phân tích logfile để kiểm tra các tài nguyên mạng được sử
dụng như thế nào. Ví dụ các syslog server.

16
Nhóm 9 An ninh mạng
CHƯƠNG 2: CHƯƠNG II: KỸ THUẬT TẤN CÔNG SOCIAL
ENGINEERING
2.1. Social Engeering là gì
Social engineering sử dụng sự ảnh hưởng và sự thuyết phục để đánh lừa người
dùng nhằm khai tác các thông tin có lợi cho các cuộc tấn công hoặc thuyết phục nạn
nhân thực hiện một hành động nào đó. Social engineer (người thực hiện công việc tấn
công bằng phương pháp socal engineering) thường sử dụng điện thoại hoặc internet để
dụ dỗ người dùng tiết lộ thông tin nhạy cảm hoặc để có được họ có thể làm một
chuyện gì đó để chống lại các chính sách an ninh của tổ chức. Bằng phuong pháp này,
Social engineer tiến hành khai thác các thói quen tự nhiên của người dùng, hơn là tìm
các lỗ hổng bảo mật của hệ thống. Điều này có nghĩa là người dùng với kiến thức bảo
mật kém cõi sẽ là cơ hội cho kỹ thuật tấn công này hành động.
Sau đây là một ví dụ về kỹ thuật tấn công social engineering được Kapil Raina
kể lại, hiện ông này đang là một chuyên gia an ninh tại Verisign, câu chuyện xẩy ra
khi ông đang làm việc tại một công ty khác trước đó: “Một buổi sàng vài năm trước,
một nhóm người lạ bước vào công ty với tư cách là nhân viên của một công ty vận
chuyển mà công ty này đang có hợp động làm việc chung. Và họ bước ra với quyền
truy cập vào toàn bộ hệ thống mạng công ty. Họ đã làm điều đó bằng cách nào?. Bằng
cách lấy một lượng nhỏ thông tin truy cập từ một số nhân viên khác nhau trong công
ty. Đầu tiên họ đã tiến hành một nghiên cứu tổng thể về công ty từ hai ngày trước.
Tiếp theo họ giã vờ làm mất chìa khóa để vào cửa trước, và một nhân viên công ty đã
giúp họ tìm lại được. Sau đó, họ làm mất thẻ an ninh để vào cổng công ty, và chỉ bằng
một nụ cười thân thiện, nhân viên bảo vệ đã mở cửa cho họ vào. Trước đó họ đã biết
trường phòng tài chính vừa có cuộc công ta xa, và những thông tin của ông này có thể
giúp họ tấn công hệ thống. Do đó họ đã đột nhập văn phòng của giám đốc tài chính

này. Họ lục tung các thùng rác của công ty để tìm kiếm các tài liệu hữu ích. Thông qua
lao công của công ty, họ có thêm một số điểm chứa tài liệu quan trọng cho họ mà là
rác của người khác. Điểm quan trọng cuối cùng mà họ đã sử dụng là giả giọng nói của
vị giám đốc vắn mặt này. Có thành quả đó là do họ đã tiến hành nghiên cứu giọng nói
của vị giám đốc. Và những thông tin của ông giám đốc mà họ thu thập được từ thùng
rác đã giúp cho họ tạo sự tin tưởng tuyệt đối với nhân viên. Một cuộc tấn công đã diễn
ra, khi họ đã gọi điện cho phòng IT với vai trò giám đốc phòng tài chính, làm ra vẽ

17
Nhóm 9 An ninh mạng
mình bị mất pasword, và rất cần password mới. Họ tiếp tục sử dụng các thông tin khác
và nhiều kỹ thuật tấn công đã giúp họ chiếm lĩnh toàn bộ hệ thống mạng”. Nguy hiểm
nhất của kỹ thuật tấn công này là quy trình thẩm định thông tin cá nhân. Thông qua
tường lửa, mạng riêng ảo, phần mềm giám sát mạng sẽ giúp rộng cuộc tấn công, bởi
vì kỹ thuật tấn công này không sử dụng các biện pháp trực tiếp. Thay vào đó yếu tố
con người rất quan trọng. Chính sự lơ là của nhân viên trong công ty trên đã để cho kẽ
tấn công thu thập được thông tin quan trọng.
2.2. Nghệ thuật thao túng
Social Engineering bao gồm việc đạt được những thông tin mật hay truy cập
trái phép, bằng cách xây dựng mối quan hệ với một số người. Kết quả của social
engineer là lừa một người nào đó cung cấp thông tin có giá trị. Nó tác động lên phẩm
chất vốn có của con người, chẳng hạn như mong muốn trở thành người có ích, tin
tưởng mọi người và sợ những rắc rối.
Social engineering vận dụng những thủ thuật và kỹ thuật làm cho một người
nào đó đồng ý làm theo những gì mà Social engineer muốn. Nó không phải là cách
điều khiển suy nghĩ người khác, và nó không cho phép Social engineer làm cho người
nào đó làm những việc vượt quá tư cách đạo đức thông thường. Và trên hết, nó không
dễ thực hiện chút nào. Tuy nhiên, đó là một phương pháp mà hầu hết Attackers dùng
để tấn công vào công ty. Có 2 loại rất thông dụng :
• Social engineering là việc lấy được thông tin cần thiểt từ một người nào

đó hơn là phá hủy hệ thống.
• Psychological subversion: mục đích của hacker hay attacker khi sử
dụng PsychSub (một kỹ thuật thiên về tâm lý) thì phức tạp hơn và bao
gồm sự chuẩn bị, phân tích tình huống, và suy nghĩ cẩn thận, chính xác
những từ sử dụng và giọng điệu khi nói, và nó thường sử dụng trong
quân đội.
2.3. Điểm yếu của mọi người
Mọi người thường mắc phải nhiều điểm yếu trong các vấn đề bảo mật. Để đề
phòng thành công thì chúng ta phải dựa vào các chính sách tốt và huấn luyện nhân
viên thực hiện tốt các chính sách đó. Social engineering là phương pháp khó phòng
chống nhất vì nó không thể dùng phần cứng hay phần mềm để chống lại.

18
Nhóm 9 An ninh mạng
Một người nào đó khi truy cập vào bất cứ phần nào của hệ thống thì các thiết bị
vật lý và vấn đề cấp điện có thể là một trở ngại lớn. Bất cứ thông tin nào thu thập được
đều có thể dùng phương pháp Social engineering để thu thập thêm thông tin. Có nghĩa
là một người không nằm trong chính sách bảo mật cũng có thể phá hủy hệ thống bảo
mật. Các chuyên gia bảo mật cho rằng cách bảo mật giấu đi thông tin là rẩt yếu. Trong
trường hợp của Social engineering, hoàn toàn không có sự bảo mật nào vì không thể
che giấu việc ai đang sử dụng hệ thống và khả năng ảnh hưởng của họ tới hệ thống.
Có nhiều cách để hoàn thành mục tiêu đề ra. Cách đơn giản nhất là yêu cầu trực
tiếp, đó là đặt câu hỏi trực tiếp. Mặc dù cách này rất khó thành công, nhưng đây là
phương pháp dễ nhất, đơn giản nhất. Người đó biết chính xác họ cần gì.
Cách thứ hai, tạo ra một tình huống mà nạn nhân có liên quan đến. Với các
nhân tố khác nhau cần được yêu cầu xem xét, làm thế nào để nạn nhân dễ dàng dính
bẩy nhất, bởi vì attacker có thể tạo ra những lý do thuyết phục hơn những người bình
thường. Attacker càng nỗ lực thì khả năng thành công càng cao, thông tin thu được
càng nhiều. Không có nghĩa là các tình huống này không dựa trên thực tế. Càng giống
sự thật thì khả năng thành công càng cao.

Một trong những công cụ quan trọng được sử dụng trong Social engineering là
một trí nhớ tốt để thu thập các sự kiện. Đó là điều mà các hacker và sysadmin nổi trội
hơn, đặc biệt khi nói đến những vấn đề liên quan đến lĩnh vực của họ.
2.4. Phân loại kỹ thuật Social Egnieering
Social engineering có thể được chia thành hai loại phổ biến:
Human-based: Kỹ thuật Social engineering liên quan đến sự tương tác giữa
con người với con người để thu được thông tin mong muốn. Ví dụ như chúng ta phải
gọi điện thoại đến phòng Help Desk để truy tìm mật khẩu.
Computer-based: Kỹ thuật này liên quan đến việc sử dụng các phần mềm để
cố gắng thu thập thông tin cần thiết. Ví dụ bạn gửi email và yêu cầu người dùng nhập
lại mật khẩu đăng nhập vào website. Kỹ thuật này còn được gọi là Phishing (lừa đảo).
2.4.1. Human-Based Socal Engineering
Kỹ thuật Human Based có thể chia thành các loại như sau:
Impersonation: Mạo danh là nhân viên hoặc người dùng hợp lệ. Trong kỹ
thuật này, kẽ tấn công sẽ giả dạng thành nhân viên công ty hoặc người dùng hợp lệ của
hệ thống. Hacker mạo danh mình là người gác công, nhân viên, đối tác, để độp nhập

19
Nhóm 9 An ninh mạng
công ty. Một khi đã vào được bên trong, chúng tiến hành thu thập các thông tin từ
thùng rác, máy tính để bàn, hoặc các hệ thống máy tính, hoặc là hỏi thăm những người
đồng nghiệp.
Posing as Important User: Trong vai trò của một người sử dụng quan trọng
như người quan lý cấp cao, trưởng phòng, hoặc những người cần trợ giúp ngay lập tức,
hacker có thể dụ dỗ người dùng cung cấp cho chúng mật khẩu truy cập vào hệ thống.
Third-person Authorization: Lấy danh nghĩa được sự cho phép của một
người nào đó để truy cập vào hệ thống. Ví dụ một tên hacker nói anh được sự ủy
quyền của giám đốc dùng tài khoản của giám đốc để truy cập vào hệ thống.
Calling Technical Support: Gọi điện thoại đến phòng tư vấn kỹ thuật là một
phương pháp cổ điển của kỹ thuật tấn công Social engineering. Help-desk và phòng hổ

trợ kỹ thuật được lập ra để giúp cho người dùng, đó cũng là con mồi ngon cho hacker.
Shoulder Surfing là kỹ thuật thu thập thông tin bằng cách xem file ghi nhật ký
hệ thống. Thông thường khi đăng nhập vào hệ thống, quá trình đăng nhập được ghi
nhận lại, thông tin ghi lại có thể giúp ích nhiều cho hacker.
Dumpster Diving là kỹ thuật thu thập thông tin trong thùng rác. Nghe có vẽ
“đê tiện” vì phải lôi thùng rác của người ta ra để tìm kiếm thông tin, nhưng vì đại cuộc
phải chấp nhận hi sinh. Nói vui vậy, thu thập thông tin trong thùng rác của các công ty
lớn, thông tin mà chúng ta cần thu có thể là password, username, filename hoặc những
thông tin mật khác. Ví dụ: Tháng 6 năm 2000, Larry Ellison, chủ tịch Oracle, thừa
nhận là Oracle đã dùng đến dumpster diving để cố gắng tìm ra thông tin về Microsoft
trong trường hợp chống độc quyền. Danh từ “larrygate”, không là mới trong hoạt động
tình báo doanh nghiệp.
Một số thứ mà dumpster có thể mang lại: (1).Sách niên giám điện thoại công ty
– biết ai gọi sau đó dùng để mạo nhận là những bước đầu tiên để đạt quyền truy xuất
tới các dữ liệu nhạy cảm. Nó giúp có được tên và tư cách chính xác để làm có vẻ như
là nhân viên hợp lệ. Tìm các số đã gọi là một nhiệm vụ dễ dàng khi kẻ tấn công có thể
xác định tổng đài điện thoại của công ty từ sách niên giám. (2).Các biểu đồ tổ chức;
bản ghi nhớ; sổ tay chính sách công ty; lịch hội họp, sự kiện, và các kỳ nghỉ; sổ tay hệ
thống; bản in của dữ liệu nhạy cảm hoặc tên đăng nhập và password; bản ghi source
code; băng và đĩa; các đĩa cứng hết hạn.

20
Nhóm 9 An ninh mạng
Phương pháp nâng cao hơn trong kỹ thuật Social engineering là Reverse
Social Engineering (Social engineering ngược). Trong kỹ thuật này, hacker trở thành
người cung cấp thông tin. Điều đó không có gì là ngạc nhiên, khi hacker bây giờ chính
là nhân viên phòng help desk. Người dùng bị mất password, và yêu cầu nhân viên
helpdesk cung cấp lại.
2.4.2. Computer-Based Social Engineering
Computer Based: là sử dụng các phần mềm để lấy được thông tin mong muốn. Có

thể chia thành các loại như sau:
Phising: Thuật ngữ này áp dụng cho một email xuất hiện đến từ một công ty kinh
doanh, ngân hàng hoặc thẻ tín dụng yêu cầu chứng thực thông tin và cảnh báo sẽ xảy
ra hậu quả nghiêm trọng nếu việc này không được làm. Lá thư thường chứa một đường
link đến một trang web giả mạo trông hợp pháp với logo của công ty và nội dung có
chứa form để yêu cầu username, password, số thẻ tín dụng hoặc số pin.
Vishing: Thuật ngữ là sự kết hợp của “voice” và phishing. Đây cũng là một dạng
phising, nhưng kẻ tấn công sẽ trực tiếp gọi điện cho nạn nhân thay vì gởi email. Người
sử dụng sẽ nhận được một thông điệp tự động với nội dung cảnh báo vấn đề liên quan
đến tài khoản ngân hàng. Thông điệp này hướng dẫn họ gọi đến một số điện thoại để
khắc phục vấn đề. Sau khi gọi, số điện thoại này sẽ kết nối người được gọi tới một hệ
thống hỗ trợ giả, yêu cầu họ phải nhập mã thẻ tín dụng. Và Voip tiếp tay đắc lực thêm
cho dạng tấn công mới này vì giá rẻ và khó giám sát một cuộc gọi bằng Voip.
Pop-up Windows: Một cửa sổ sẽ xuất hiện trên màn hình nói với user là anh ta
đã mất kết nối và cần phải nhập lại username và password. Một chương trình đã được
cài đặt trước đó bởi kẻ xâm nhập sau đó sẽ email thông tin đến một website ở xa.
Mail attachments: Có 2 hình thức thông thường có thể được sử dụng. Đầu tiên là
mã độc hại. Mã này sẽ luôn luôn ẩn trong một file đính kèm trong email. Với mục đích
là một user không nghi ngờ sẽ click hay mở file đó, ví dụ virus IloveYou, sâu Anna
Kournikova( trong trường hợp này file đính kèm tên là AnnaKournikova.jpg.vbs. Nếu
tên file đó bị cắt bớt thì nó sẽ giống như file jpg và user sẽ không chú ý phần mở
rộng .vbs). Thứ hai cũng có hiệu quả tương tự, bao gồm gởi một file đánh lừa hỏi user
để xóa file hợp pháp. Chúng được lập kế hoạch để làm tắc nghẽn hệ thống mail bằng
cách báo cáo một sự đe dọa không tồn tại và yêu cầu người nhận chuyển tiếp một bản

21
Nhóm 9 An ninh mạng
sao đến tất cả bạn và đồng nghiệp của họ. Điều này có thể tạo ra một hiệu ứng gọi là
hiệu ứng quả cầu tuyết.
Websites: Một mưu mẹo để làm cho user không chú ý để lộ ra dữ liệu nhạy cảm,

chẳng hạn như password họ sử dụng tại nơi làm việc. Ví dụ, một website có thể tạo ra
một cuộc thi hư cấu, đòi hỏi user điền vào địa chỉ email và password. Password điền
vào có thể tương tự với password được sử dụng cá nhân tại nơi làm việc. Nhiều nhân
viên sẽ điền vào password giống với password họ sử dụng tại nơi làm việc, vì thế
social engineer có username hợp lệ và password để truy xuất vào hệ thống mạng tổ
chức.
Interesting Software: Trong trường hợp này nạn nhân được thuyết phục tải về và
cài đặt các chương trình hay ứng dụng hữu ích như cải thiện hiệu suất của CPU, RAM,
hoặc các tiện ích hệ thống hoặc như một crack để sử dụng các phần mềm có bản
quyền. Và một Spyware hay Malware ( chẳng hạn như Keylogger) sẽ được cài đặt
thông qua một chương trình độc hại ngụy trang dưới một chương trình hợp pháp.
2.5. Các kiểu tấn công phổ biến
2.5.1. Insider Attacks
Nếu một hacker không tìm được cách nào để tấn công vào tổ chức, sự lựa chọn
tốt nhất tiếp theo để xâm nhập là thuê một nhân viên, hoặc tìm kiếm một nhân viên
đang bất mãn, để làm nội gián, cung cấp các thông tin cần thiết. Đó chính là Insider
Attack – tấn công nội bộ. Insider Attack có một thế mạnh rất lớn, vì những gián điệp
này được phép truy cập vật lý vào hệ thống công ty, và di chuyển ra vào tự do trong
công ty. Một ví dụ điển hình tại Việt Nam, đó chính là vụ tấn công vào Vietnamnet
(năm 2010) được cho rằng có liên quan đến sự rò rĩ các thông tin nội bộ.
Một kiểu khác của tấn công nội bộ, là chính sự phá đám của các nhân viên.
Những nhân viên làm việc với mức lương thấp kém, và anh ta muốn có mức lương cao
hơn. Bằng cách xâm nhập vào CSDL nhân sự công ty, anh ta có thể thay đổi mức
lương của mình. Hoặc một trường hợp khác, nhân viên muốn có tiền nhiều hơn, bằng
cách đánh cấp các bảng kế hoạch kinh doanh mang bán cho các công ty khác.
2.5.2. Identity Theft
Một hacker có thể giả danh một nhân viên hoặc ăn cấp danh tính của một nhân
viên để thâm nhập vào hệ thống. Thông tin được thu thập thông qua kỹ thuật Dumpster
Diving hoặc Shoulder Surfing kết hợp với việc tạo ID giả (fake ID) có thể giúp các

22
Nhóm 9 An ninh mạng
hacker xâm nhập vào tổ chức. Việc tạo tài khoản xâm nhập vào hệ thống mà không bị
phản đối gì hết như thế được ví von là ăn trộm hợp pháp (Identity Theft).
2.5.3. Phishing Attacks
Vụ lừa đảo liên quan đến email, thường mục tiêu là ngân hàng, công ty thẻ tín
dụng, hoặc tổ chức liên quan tài chính. Email yêu cầu người nhận xác nhận thông tin
ngân hàng, hoặc đặt lại email, mã số PIN. Người dùng click vào một đường link trong
email, và được dẫn đến một trang web giả mạo. Hacker nắm bắt thông tin có lợi cho
mục đích tài chính hoặc chuẩn bị cho một cuộc tấn công khác. Trong các cuộc tấn
công, con mồi là những người dùng bình thường, họ chỉ biết cung cấp những thông tin
mà hacker yêu cầu. Vì vậy, phía cần phòng chống là các công ty cung cấp dịch vụ, làm
sao cho hacker không thể giả mạo.
2.5.4. Online Scams
Một số trang web cung cấp miễn phí hoặc giảm giá đặc biệt vài thứ gì đó, có thể
thu hút một nạn nhân đăng nhập bằng username và password thường dùng hằng ngày
để đăng nhập vào hệ thống máy tính của công ty. Các hacker có thể sử dụng tên người
dùng và mật khẩu hợp lệ, khi nạn nhân nhập vào các thông tin trên website.
Đình kèm vào email những đoạn mã độc hại để gửi cho nạn nhân, những thứ đó
có thể là một chương trình keylogger để chụp lại mật khẩu. Virus, trojan, worm là
những thứ khác có thể được đính kèm vào email để dụ dỗ người dùng mở file. Trong
ví dụ dưới đây mà một email bất chính, dùng để dụ nạn nhân mở một liên kết không an
toàn.
Pop-up windows cũng là một kỹ thuật tương tự. Trong cách thức này, một cửa sổ
pop-up sẽ mở ra với lời mời người dùng cài vào máy tính một phần miễn phí. Vì nhẹ
dạ mà nạn nhân vô tình cài vào một mã độc hại.
2.5.5. URL Obfuscation
URL thường được sử dụng trong thanh địa chỉ của trình duyệt để truy cập vào một
trang web cụ thể. URL Obfuscation là làm ẩn hoặc giả mạo URL xuất hiện trên các
thanh địa chỉ một cách hợp pháp. Ví dụ địa chỉ http://204.13.144.2/Citibanj có thể

xuất hiện là địa chỉ hợp pháp cho ngân hành Citibank, tuy nhiên thực tế thì không.
URL Obfuscation sử dụng để làm cho cuộc tấn công và lừa đảo trục tuyến trở nên hợp
pháp hơn. Một trang web xem qua thì hợp pháp với hình ảnh, tên tủi của công ty,
nhưng những liên kết trong đó sẽ dẫn đến những trang web của hacker.

23