Lý thuyết cơ bản về tấn công phòng thủ, thu thập thông tin, dò quét lỗ hổng bảo mật, tấn công hệ thống, tấn công máy chủ và ứng dụng web, tấn công mạng không dây, một số kỹ thuật tấn công như DDOS, giả mạo DHCP, đầu độc ARP, DNS
Cơ bản về tấn công và phòng thủ hệ thống
Khái niệm cơ bản Elements of Information Security
Bảo mật thông tin là trạng thái an toàn của thông tin và cơ sở hạ tầng, đảm bảo khả năng bị đánh cắp, giả mạo hoặc gián đoạn thông tin và dịch vụ ở mức thấp hoặc chấp nhận được Chương trình bảo mật dựa trên năm yếu tố chính bao gồm tính bảo mật, tính toàn vẹn, tính khả dụng, tính xác thực và nguyên tắc không thoái thác, giúp giữ vững sự an toàn và đáng tin cậy cho hệ thống thông tin.
- Tính bí mật(Confidentiality)
Bảo mật đảm bảo rằng thông tin chỉ доступ được cho phép, giúp bảo vệ dữ liệu khỏi các mối đe dọa như xử lý sai cách hoặc nỗ lực hack Vi phạm bảo mật có thể xảy ra do việc xử lý dữ liệu không đúng quy trình hoặc từ các cuộc tấn công trên mạng Kiểm soát bảo mật hiệu quả bao gồm phân loại dữ liệu, mã hóa dữ liệu và xử lý thích hợp các thiết bị lưu trữ như DVD, ổ USB và đĩa Blu-ray để đảm bảo an toàn thông tin.
- Tính toàn vẹn(Integrity)
Tính toàn vẹn dữ liệu là yếu tố quan trọng đảm bảo độ tin cậy của thông tin và tài nguyên, ngăn chặn các thay đổi trái phép gây ảnh hưởng đến độ chính xác của dữ liệu Để duy trì tính toàn vẹn, các biện pháp như tổng kiểm tra bằng hàm toán học giúp xác minh rằng dữ liệu không bị thay đổi trái phép Ngoài ra, kiểm soát truy cập là cách hạn chế quyền chỉnh sửa dữ liệu chỉ cho những người được ủy quyền, đảm bảo tính xác thực và an toàn của hệ thống thông tin.
- Tính sẵn sàng(Availability)
Tính khả dụng đảm bảo rằng các hệ thống phân phối, lưu trữ và xử lý thông tin luôn sẵn sàng truy cập khi người dùng có thẩm quyền yêu cầu Điều này đặc biệt quan trọng trong việc ngăn chặn các cuộc tấn công từ chối dịch vụ (DDoS), giúp duy trì hoạt động liên tục và ổn định của hệ thống Đảm bảo tính khả dụng không chỉ nâng cao trải nghiệm người dùng mà còn bảo vệ dữ liệu và dịch vụ khỏi các rủi ro gây gián đoạn.
- Tính xác thực (Authenticity)
Tính xác thực là đặc tính của thông tin liên lạc, tài liệu hoặc dữ liệu đảm bảo tính chính hãng và không bị sửa đổi Vai trò chính của xác thực là xác nhận danh tính người dùng để đảm bảo rằng họ là chính hãng Các biện pháp kiểm soát như sinh trắc học, thẻ thông minh và chứng chỉ kỹ thuật số đóng vai trò quan trọng trong việc đảm bảo tính xác thực của dữ liệu, giao dịch, thông tin liên lạc và tài liệu.
- Tính chống chối bỏ (Non-repudiation)
Chống chối bỏ là phương pháp đảm bảo rằng người gửi tin nhắn không thể phủ nhận việc đã gửi, đồng thời người nhận không thể từ chối đã nhận tin Việc sử dụng chữ ký số là cách hiệu quả giúp xác thực danh tính của người gửi, từ đó nâng cao tính chống chối bỏ của thông điệp Các cá nhân và tổ chức thường áp dụng chữ ký số để đảm bảo tính toàn vẹn và xác thực của các tin nhắn điện tử Tính chống chối bỏ đóng vai trò quan trọng trong bảo mật thông tin và xây dựng lòng tin trong giao tiếp số.
Chiến tranh thông tin (Information warfare/InfoWar) – sử dụng công nghệ thông tin và truyền thông (ICT) để theo đuổi lợi thế cạnh tranh so với đối thủ.
Phân loại: Intelligence-based warfare, Electronic warfare, Psychological warfare, Economic warfare, Cyberwarfare
Web Application Attacks Web Server Attacks Malware Attacks MiTM Attacks System Hacking
Cyber Kill Chain là một phần của mô hình Intelligence Driven Defense để xác định và ngăn chặn hoạt động xâm nhập mạng.
Cyber Kill Chain là một cách hiệu quả và hiệu quả để minh họa cách kẻ thù có thể tấn công tổ chức mục tiêu.
Mô hình này giúp các tổ chức nhận diện và hiểu rõ các mối đe dọa tiềm ẩn ở mọi giai đoạn của cuộc tấn công, đồng thời đề xuất các biện pháp phản ứng phù hợp để ngăn chặn hiệu quả Nó cung cấp cho các chuyên gia bảo mật cái nhìn sâu sắc về chiến lược tấn công của kẻ địch, từ đó giúp triển khai các mức kiểm soát bảo mật phù hợp nhằm bảo vệ hệ thống CNTT của tổ chức một cách toàn diện.
Cyber Kill Chain là một phương pháp phòng thủ dựa trên trí tuệ nhân tạo nhằm xác định và ngăn chặn các hoạt động xâm nhập nguy hiểm Phương pháp này giúp các chuyên gia bảo mật theo dõi các bước mà kẻ thù thực hiện để đạt được mục tiêu của họ Áp dụng Cyber Kill Chain, doanh nghiệp có thể nhận diện sớm các cuộc tấn công mạng và đưa ra các biện pháp phòng ngừa hiệu quả Đây là công cụ quan trọng trong chiến lược bảo vệ hệ thống thông tin, giúp nâng cao khả năng phòng thủ trước các mối đe dọa mạng ngày càng tinh vi.
Cyber Kill Chain là một khuôn khổ được phát triển để bảo vệ không gian mạng dựa trên mô hình chuỗi giết quân sự, nhằm mục đích chủ động phát hiện và phản ứng với các cuộc tấn công mạng Phương pháp này bao gồm bảy giai đoạn bảo vệ nhằm giảm thiểu rủi ro từ các mối đe dọa trực tuyến Theo Lockheed Martin, các cuộc tấn công mạng thường diễn ra qua bảy giai đoạn khác nhau, từ trinh sát, xâm nhập cho đến hoàn thành mục tiêu cuối cùng Hiểu biết về mô hình Cyber Kill Chain giúp các chuyên gia bảo mật tận dụng các biện pháp kiểm soát phù hợp ở từng giai đoạn của cuộc tấn công để ngăn chặn trước khi nó thành công Ngoài ra, phương pháp này còn cung cấp cái nhìn sâu sắc về các giai đoạn của cuộc tấn công, giúp dự đoán chiến lược của đối phương và nâng cao khả năng phòng thủ của tổ chức.
Motives, Goals, and Objectives of Information Security Attacks
(Động cơ, mục đích và mục tiêu của các cuộc tấn công An toàn thông tin)
Những kẻ tấn công thường có động cơ (mục tiêu) và mục tiêu đằng sau các cuộc tấn công bảo mật thông tin của chúng Động cơ bắt nguồn từ quan niệm rằng hệ thống mục tiêu lưu trữ hoặc xử lý thứ gì đó có giá trị,dẫn đến nguy cơ bị tấn công vào hệ thống Mục đích của cuộc tấn công có thể là làm gián đoạn hoạt động kinh doanh của tổ chức mục tiêu, đánh cắp thông tin có giá trị vì mục đích tò mò hoặc thậm chí là để trả thù chính xác Do đó, những động cơ hoặc mục tiêu này phụ thuộc vào trạng thái tinh thần của kẻ tấn công, lý do thực hiện một hoạt động như vậy, cũng như các nguồn lực và khả năng của chúng Sau khi kẻ tấn công xác định mục tiêu của mình, họ có thể sử dụng nhiều công cụ, kỹ thuật tấn công và phương pháp khác nhau để khai thác lỗ hổng trong hệ thống máy tính hoặc chính sách bảo mật và kiểm soát.
Attacks = Motive (Goal) + Method + Vulnerability
Mục tiêu đứng sau các vụ tấn công bảo mật thông tin:
- Phá vỡ tính liên tục trong kinh doanh
- Thực hiện đánh cắp thông tin
- Tạo ra sự sợ hãi và hỗn loạn bằng cách phá vỡ cơ sở hạ tầng quan trọng
- Mang lại tổn thất tài chính cho mục tiêu
- Tuyên truyền niềm tin tôn giáo hoặc chính trị
- Đạt được các mục tiêu quân sự của một quốc gia
- Làm hỏng danh tiếng của mục tiêu
Passive Attacks Không làm thay đổi dữ liệu và thường khó bị phát hiệnVí dụ: Sniffing, eavesdropping, footprinting
Active Attacks Làm thay đổi dữ liệu hoặc làm gián đoạn kết nối
Ví dụ: Dos/DDos, MiTM, Malware, SQLi
Close-in Attacks Được thực hiện khi kẻ tấn công và mục tiêu ở trong một khoảng cách vật lý tương đối gần
Ví dụ: Social engineering (eavesdroping, shoulder surfing, dumpster diving)
Insider Attacks Sử dụng các đặc quyền để thực hiện các hành vi hoặc cố ý gây ra các hiểm họa gây mất ATTT cho tổ chức
Ví dụ: Trộm cắp thiết bị vật lý, cài đặt keylogger, malware
Distribution Attacks Tấn công diễn ra khi attackers giả mạo thiết bị phần cứng, phần mềm trước khi cài đặt
Ví dụ: Hardware backdoor, software backdoor
1.2 Mô hình tấn công và phòng thủ hệ thống
Có hai mô hình thử nghiệm tấn công hay Penetration Test (pentest) chính là black box và white box Mô hình black box mô phỏng các cuộc tấn công từ bên ngoài hệ thống, giúp đánh giá khả năng phòng thủ của tổ chức từ bên ngoài Trong khi đó, mô hình white box được thực hiện bởi các ethical hacker từ vị trí bên trong tổ chức, nhằm kiểm thử các lỗ hổng nội bộ và nâng cao bảo mật hệ thống.
Báo cáo kiểm tra an toàn thông tin (ethical hacking report) là kết quả của quá trình thử nghiệm xâm nhập, bao gồm các hoạt động tấn công thử nghiệm, mô hình tấn công và phương pháp được sử dụng Nội dung báo cáo được so sánh theo từng giai đoạn trong quy trình Đánh giá An ninh (Conduct Security Evaluation) Trong báo cáo, các lỗ hổng bảo mật phải được mô tả chi tiết kèm hướng dẫn khắc phục hoặc khuyến nghị phòng chống Do tính chất quan trọng của thông tin, các báo cáo thử nghiệm xâm nhập nên được gửi dưới dạng hard-copy để đảm bảo an toàn và bảo mật dữ liệu.
Thông tin lỗi cần được giữ bí mật để tránh bị kẻ xấu lợi dụng nhằm tấn công hoặc khai thác, vì nếu không, những tài liệu này có thể phản tác dụng và gây hại cho hệ thống.
1.3 Quy trình tấn công hệ thống
Reconnaissance là giai đoạn quan trọng trong quá trình thu thập thông tin về mục tiêu hoặc tổ chức Trong đó, passive reconnaissance đề cập đến phương pháp thu thập dữ liệu một cách thụ động, nghĩa là không tiết lộ hoặc gây chú ý đến mục tiêu trong quá trình thu thập thông tin Phương pháp này giúp hacker hoặc người kiểm tra an ninh có thể nắm bắt dữ liệu cần thiết mà không làm tổn hại hoặc bị phát hiện, nâng cao hiệu quả trong quá trình phân tích Việc hiểu rõ passive reconnaissance là bước quan trọng để xây dựng các chiến lược phòng thủ và bảo vệ hệ thống khỏi các mối đe dọa tiềm ẩn.
Quá trình passive reconnaissance là việc quan sát và ghi nhận thông tin hoạt động của một tổ chức như giờ làm việc của nhân viên tại các tòa nhà công sở, thường thông qua các công cụ tìm kiếm như Google hoặc cơ sở dữ liệu Whois Quá trình này còn được gọi là thu thập thông tin (information gathering), là bước quan trọng trong toàn bộ quy trình tấn công của hacker Các phương pháp thu thập thông tin một cách bị động như social engineering và dumpster diving cũng được trình bày trong các phần sau của nội dung.
Quy trình tấn công hệ thống
1.2 Mô hình tấn công và phòng thủ hệ thống
Có hai mô hình thử nghiệm tấn công (penetration test hay pentest) chính là black box và white box Mô hình black box mô phỏng tình huống tấn công từ bên ngoài hệ thống, giúp đánh giá khả năng phòng thủ từ bên ngoài Trong khi đó, mô hình white box thực hiện khi hacker đạo đức (ethical hacker) tấn công từ bên trong tổ chức, nhằm kiểm tra lỗ hổng nội bộ của hệ thống mạng máy tính.
Báo cáo kiểm thử xâm nhập (penetration test) hay báo cáo an toàn thông tin (ethical hacking report) là tài liệu chứa đựng các hoạt động tấn công thử nghiệm, mô hình tấn công và phương pháp đã sử dụng, được so sánh theo từng giai đoạn trong quy trình Đánh giá Bảo mật Báo cáo này cần mô tả chi tiết các lỗ hổng bảo mật, đi kèm hướng dẫn và khuyến nghị về cách phòng chống nhằm tăng cường an ninh hệ thống Do tính chất nhạy cảm của dữ liệu, các báo cáo kiểm thử thường được gửi dưới dạng bản cứng (hard-copy) để đảm bảo an toàn thông tin.
Thông tin lỗi cần được giữ bí mật để tránh bị kẻ xấu lợi dụng tấn công hoặc khai thác, nếu không, những tài liệu này có thể phản tác dụng và gây hại cho hệ thống của bạn.
1.3 Quy trình tấn công hệ thống
Reconnaissance là giai đoạn then chốt trong quá trình kiểm thử bảo mật, nhằm thu thập thông tin về hệ thống mục tiêu Trong đó, passive reconnaissance là phương pháp thu thập dữ liệu một cách thụ động, không gây chú ý và không làm lộ thông tin về tổ chức Quá trình này giúp các nhà nghiên cứu hiểu rõ hơn về cấu trúc hệ thống và các điểm yếu tiềm ẩn mà không làm tổn hại đến hoạt động của mục tiêu Việc sử dụng passive reconnaissance là bước quan trọng trong việc xây dựng chiến lược tấn công hay phòng thủ an ninh mạng hiệu quả.
Quá trình passive reconnaissance đơn giản là theo dõi thông tin hoạt động của một tòa nhà công sở nhằm ghi nhận giờ làm việc của nhân viên Tuy nhiên, quá trình này thường được thực hiện qua các công cụ tìm kiếm như Google hoặc cơ sở dữ liệu Whois Đây còn gọi là bước thu thập thông tin (information gathering) trong toàn bộ quá trình tấn công của hacker Các phương pháp thu thập thông tin một cách bị động như social engineering và dumpster diving cũng đóng vai trò quan trọng trong quá trình này.
Hình thức tấn công sniffing hay nghe lén là ví dụ điển hình cho passive reconnaissance, giúp hacker thu thập nhiều thông tin giá trị như dãy địa chỉ IP, tên miền của tổ chức và các máy chủ ẩn danh Phương pháp này còn bao gồm việc theo dõi các dịch vụ đang hoạt động trên mạng, tương tự như các hệ thống giám sát trong tòa nhà hoặc thiết bị thu âm chuyên dụng để đánh cắp cuộc gọi và cuộc trò chuyện của mục tiêu.
Active reconnaissance là quá trình thu thập thông tin của mục tiêu theo phương pháp chủ động, trong đó hacker trực tiếp tác động lên hệ thống để ghi nhận phản hồi dữ liệu Ví dụ điển hình là khi kẻ tấn công sử dụng các công cụ như Nessus, SuperScan để quét mạng, xác định các máy chủ hoặc dịch vụ đang chạy trên hệ thống mục tiêu Ưu điểm của active reconnaissance là khả năng thu thập dữ liệu nhanh và chính xác hơn so với passive reconnaissance, nhưng nhược điểm là dễ bị phát hiện và dò tìm hơn bởi các hệ thống phòng thủ.
Trong quá trình kiểm tra bảo mật, các nhà kiểm thử thường sử dụng hai phương pháp passive reconnaissance và active reconnaissance để thu thập thông tin về hệ thống mục tiêu Tuy nhiên, trong các hoạt động thử nghiệm thâm nhập (penetration test), phương pháp active reconnaissance thường được ưa chuộng vì khả năng thu nhận kết quả nhanh chóng Đây là các kỹ thuật hợp pháp nhằm đánh giá lỗ hổng bảo mật, giúp các chuyên gia bảo mật xác định điểm yếu của hệ thống một cách hiệu quả.
Là việc thu thập thông tin mà không cần tương tác trực tiếp với mục tiêu
Ví dụ: Tìm kiếm thông tin trên các phương tiện truyền thông công cộng
Là việc thu thập thông tin có sự tương tác trực tiếp với mục tiêu
Ví dụ: Gọi điện, gửi email
Quét là giai đoạn trước cuộc tấn công, nơi kẻ tấn công sử dụng dữ liệu thu thập được trong quá trình do thám để tiến hành quét mạng nhằm tìm kiếm thông tin cụ thể Quét là một phần mở rộng hợp lý của hoạt động trinh sát tích cực và thường bị nhầm lẫn với nó, mặc dù có sự khác biệt nhỏ là quét liên quan đến việc thăm dò sâu hơn Các giai đoạn trinh sát và quét thường chồng lên nhau và không phải lúc nào cũng dễ phân biệt Kẻ tấn công có thể sử dụng các công cụ đơn giản như Traceroute của Windows hoặc công cụ Cheops để thu thập thông tin quan trọng về hệ thống mạng, như ánh xạ hệ thống, bộ định tuyến và tường lửa.
Quá trình quét mạng bao gồm sử dụng các công cụ như trình quay số, trình quét cổng, trình ánh xạ mạng, ping và quét lỗ hổng nhằm thu thập thông tin hệ thống Các hacker khai thác các dữ liệu như số máy chủ hoạt động, cổng mở, trạng thái cổng, hệ điều hành, loại thiết bị và thời gian hoạt động để chuẩn bị cho các cuộc tấn công mạng Việc hiểu rõ quá trình này giúp tăng cường các biện pháp phòng thủ và bảo vệ hệ thống khỏi các mối đe dọa mạng tiềm ẩn.
Trình quét cổng là công cụ giúp phát hiện các cổng đang lắng nghe để thu thập thông tin về dịch vụ đang chạy trên máy mục tiêu Để phòng thủ hiệu quả, cần tắt các dịch vụ không cần thiết và áp dụng lọc cổng phù hợp nhằm giảm thiểu khả năng bị phát hiện Tuy nhiên, những hacker vẫn có thể sử dụng các công cụ quét để xác định các quy tắc lọc cổng, do đó, việc bảo vệ hệ thống cần kết hợp nhiều phương pháp an ninh mạng để ngăn chặn hiệu quả các cuộc tấn công.
Các công cụ phổ biến nhất trong lĩnh vực an ninh mạng là máy quét lỗ hổng, giúp phát hiện hàng nghìn lỗ hổng đã biết trên hệ thống mục tiêu Điều này tạo lợi thế cho hacker vì họ chỉ cần tìm một phương tiện xâm nhập duy nhất, trong khi các chuyên gia bảo mật phải liên tục cập nhật và vá tất cả các lỗ hổng để bảo vệ hệ thống Tuy nhiên, các tổ chức vẫn cần cảnh giác cao độ khi sử dụng hệ thống phát hiện xâm nhập, vì kẻ tấn công luôn có khả năng sử dụng các kỹ thuật trốn tránh nhằm vượt qua các biện pháp phòng thủ.
Trong giai đoạn này, các cuộc tấn công thực sự diễn ra khi kẻ tấn công khai thác lỗ hổng đã xác định từ những giai đoạn trinh sát và quét để xâm nhập hệ thống và mạng đích Việc giành quyền truy cập vào hệ điều hành, ứng dụng hoặc cấp độ mạng cho phép kẻ tấn công thực hiện các hành động gây thiệt hại lớn, mặc dù họ có thể gây ra hậu quả nghiêm trọng mà không cần truy cập vào hệ thống Các hình thức tấn công như từ chối dịch vụ (DDoS) có thể cạn kiệt tài nguyên hoặc làm gián đoạn dịch vụ bằng cách kết thúc các quy trình, sử dụng logic bomb hoặc time bomb, hoặc cấu hình lại hệ thống để gây hỏng hóc Ngoài ra, kẻ tấn công còn có thể tiêu thụ tất cả các liên kết truyền thông, làm cạn kiệt tài nguyên mạng và hệ thống, gây ra tác động phá hoại nghiêm trọng.
Các hacker có thể tấn công hệ thống mục tiêu cục bộ (ngoại tuyến), qua mạng LAN hoặc Internet bằng nhiều phương thức, như bẻ khóa mật khẩu, tấn công tràn bộ đệm dựa trên ngăn xếp, từ chối dịch vụ và chiếm quyền điều khiển phiên Kỹ thuật giả mạo được sử dụng để khai thác lỗ hổng bằng cách gửi gói dữ liệu chứa lỗi và giả danh là người dùng hợp pháp hoặc hệ thống khác, từ đó xâm phạm hệ thống mục tiêu Trào ngập gói tin (packet flooding) giúp phá vỡ sự sẵn có của các dịch vụ thiết yếu, gây gián đoạn hoạt động hệ thống Các cuộc tấn công Smurf cố gắng làm quá tải mạng lưới bằng cách gửi lượng lớn dữ liệu khiến các người dùng tràn ngập, tạo ra sự rối loạn và che giấu danh tính của hacker.
Cơ hội để có quyền truy cập vào hệ thống mục tiêu của tin tặc phụ thuộc vào kiến trúc, cấu hình hệ thống, kỹ năng của thủ phạm và mức độ truy cập ban đầu Khi đã có quyền truy cập, kẻ tấn công cố gắng leo thang đặc quyền để kiểm soát toàn diện hệ thống Trong quá trình này, chúng cũng gây tổn hại cho các hệ thống trung gian kết nối liên quan.
Ví dụ: Password cracking, Buffer overflow, MS17-100, SQL Injection
Thu thập thông tin
Khái niệm cơ bản
Thu thập thông tin (Footprinting) là bước đầu quan trọng trong quá trình tấn công hệ thống thông tin Trong bước này, hacker thu thập dữ liệu về mạng mục tiêu nhằm xác định các điểm yếu và phương thức xâm nhập khả thi Quá trình này giúp xác định các lỗ hổng trong hệ thống, từ đó phát triển các chiến lược tấn công hiệu quả hơn Việc thu thập thông tin một cách chính xác và có hệ thống là bước nền tảng để tiến hành các hoạt động xâm nhập một cách thành công.
Footprinting thụ động: Thu thập thông tin về mục tiêu mà không cần tương tác trực tiếp.
Footprinting chủ động: Thu thập thông tin về mục tiêu bằng tương tác trực tiếp.
Các thông tin thu được:
Thông tin tổ chức: Chi tiết nhân viên, số điện thoại, địa chỉ, nền tảng tổ chức, công nghệ web, v.v.
Thông tin mạng lưới: tên miền (Domain), tên miền phụ (Sub-domain), khối mạng, địa chỉ IP của các hệ thống có thể tiếp cận, Whois, DNS, v.v.
Thông tin hệ thống: Hệ điều hành và vị trí của web server, users và passwords, v.v.
Đặc điểm an ninh: Footprinting cho phép kẻ tấn công biết được đặc điểm an ninh của tổ chức mục tiêu.
Rút gọn phạm vi: Nó giúp thu hẹp phạm vi của kẻ tấn công đến một phạm vi cụ thể như các địa chỉ
IP, mạng lưới, tên miền, truy cập từ xa, v.v.
Xác định điểm yếu: Nó cho phép kẻ tấn công xác định các lỗ hổng trong các hệ thống đích để chọn khai thác thích hợp
Vẽ bàn đồ mạng là một kỹ thuật quan trọng giúp các nhà bảo mật và hacker có thể xác định và phân tích cơ sở hạ tầng mạng của tổ chức mục tiêu Kỹ thuật này cho phép những kẻ tấn công vẽ bản đồ chi tiết về các thiết bị, địa chỉ IP và các kết nối trong hệ thống mạng, giúp họ hiểu rõ môi trường thực tế mà mình sẽ tấn công Việc vẽ bàn đồ mạng không chỉ hỗ trợ các hacker trong việc xác định điểm yếu mà còn giúp các chuyên gia an ninh phòng thủ xây dựng các lớp phòng vệ hiệu quả hơn để bảo vệ hệ thống khỏi các mối đe dọa Do đó, vẽ bàn đồ mạng là bước quan trọng trong quá trình đánh giá rủi ro và lập kế hoạch tấn công hoặc phòng thủ mạng một cách chính xác và toàn diện.
Phương pháp thu thập thông tin
Kẻ tấn công có thể sử dụng công cụ tìm kiếm như Google, Bing, Yahoo!, Ask để vẽ bản đồ hoặc phân tích cơ sở hạ tầng mạng của tổ chức mục tiêu, từ đó nắm bắt môi trường thực tế cần phá vỡ Họ tận dụng các toán tử tìm kiếm nâng cao để tạo các truy vấn phức tạp nhằm tìm kiếm, lọc và sắp xếp thông tin liên quan đến mục tiêu một cách chính xác Công cụ tìm kiếm còn giúp phát hiện các nguồn tài nguyên công cộng, như nhập các cụm từ khóa như “Cổng làm việc hàng đầu” để lấy thông tin quan trọng về tổ chức mục tiêu Ngoài ra, kỹ thuật Google hacking được sử dụng để khai thác các lỗ hổng trong các cấu hình tìm kiếm nhằm thu thập dữ liệu nhạy cảm và mở rộng phạm vi tấn công.
Google Hacking là kỹ thuật sử dụng các toán tử tìm kiếm nâng cao của Google để tạo ra các truy vấn phức tạp, nhằm trích xuất thông tin nhạy cảm hoặc ẩn một cách hiệu quả Kỹ thuật này giúp khám phá dữ liệu bị hạn chế hoặc dễ bị tổn thương trên internet, từ đó nâng cao nhận thức về an ninh mạng Việc hiểu rõ cách thức Google Hacking hoạt động là cực kỳ quan trọng trong việc bảo vệ thông tin cá nhân và tổ chức khỏi các cuộc tấn công mạng hoặc rò rỉ dữ liệu.
Sử dụng công cụ tìm kiếm nâng cao và tìm kiếm hình ảnh nâng cao của Google giúp người dùng thực hiện các tìm kiếm trên web một cách chính xác và đáng tin cậy hơn Điều này tối ưu hóa quá trình thu thập thông tin, nâng cao hiệu quả nghiên cứu và đảm bảo độ chính xác của dữ liệu thu thập được Tìm kiếm nâng cao không chỉ giúp tiết kiệm thời gian mà còn nâng cao khả năng tìm thấy các nội dung phù hợp và chính xác theo nhu cầu.
Cơ sở dữ liệu Hacking của Google (GHDB) là một nguồn thông tin đáng tin cậy, cung cấp các truy vấn nhằm khám phá phạm vi tiếp cận ngày càng mở rộng của công cụ tìm kiếm Google GHDB giúp các chuyên gia an ninh mạng xác định các lỗ hổng và điểm yếu trên internet, hỗ trợ nâng cao hệ thống bảo mật Việc sử dụng GHDB mang lại lợi ích lớn cho các nhà kiểm thử xâm nhập, giúp phát hiện các nguy cơ bảo mật tiềm ẩn hiệu quả Đây là công cụ quan trọng để phân tích và nâng cao an toàn thông tin trong môi trường số hiện nay.
The Exploit Database is a comprehensive repository that stores information about security vulnerabilities and exposés, including Common Vulnerabilities and Exposures (CVE) It focuses on documenting exploit techniques related to various vulnerabilities in software and systems This resource is essential for cybersecurity professionals to identify, analyze, and mitigate potential threats effectively By maintaining an up-to-date collection of exploits and vulnerabilities, the Exploit Database plays a crucial role in enhancing cybersecurity awareness and defense strategies.
Sử dụng dịch vụ web để tìm kiếm URL bên ngoài của công ty mục tiêu qua các công cụ tìm kiếm như Google, Bing giúp xác định các liên kết liên quan Miền phụ cung cấp thông tin chi tiết về các phòng ban và đơn vị kinh doanh khác nhau trong tổ chức, có thể tìm thấy bằng phương pháp thử sai hoặc sử dụng dịch vụ như Netcraft Ngoài ra, ta có thể sử dụng Sublist3r, một tập lệnh Python hiệu quả trong việc liệt kê các miền phụ từ nhiều nguồn khác nhau Các dịch vụ mạng xã hội cung cấp thông tin hữu ích về cá nhân và tổ chức, giúp kẻ tấn công thực hiện các kỹ thuật xã hội và các cuộc tấn công khác như tra cứu vị trí, email, trang web, blog, địa chỉ liên hệ và các ngày quan trọng.
Trong việc sử dụng mạng xã hội, các kẻ tấn công thường sử dụng kỹ thuật xã hội để thu thập thông tin nhạy cảm từ các nền tảng này Họ tạo ra hồ sơ giả mạo, sử dụng danh tính giả để dụ dỗ nhân viên cung cấp dữ liệu quan trọng Ngoài ra, các hacker còn thu thập thông tin về sở thích của nhân viên nhằm mục đích lừa đảo và khiến họ tiết lộ thêm những dữ liệu nhạy cảm, gây nguy cơ nghiêm trọng cho bảo mật thông tin doanh nghiệp.
Utilize information from the target websites through Website FootPrinting to monitor and analyze relevant data Employ tools like Burp Suite, ZAP Proxy, Paros Proxy, Website Informer, and Firebug to inspect headers and gather essential insights for security assessment and vulnerability detection.
rạng thái kết nối và content-type
Accept-Ranges và thông tin thay đổi cuối cùng
Web server đang sử dụng và phiên bản của nó là thông tin quan trọng trong việc xác định các lỗ hổng bảo mật có thể bị khai thác Các nền tảng Web Spiders tự động tìm kiếm và thu thập dữ liệu trên website mục tiêu, bao gồm tên nhân viên, địa chỉ email và các thông tin quan trọng khác Những dữ liệu này sau đó có thể được lợi dụng để thực hiện các hoạt động footprinting và các cuộc tấn công phi kỹ thuật nhằm xâm nhập hệ thống Để dễ dàng phân tích, hacker có thể sao chép và tạo bản sao website vào hệ thống cục bộ, cho phép truy cập offline qua trình duyệt và tìm kiếm cấu trúc danh mục cùng các thông tin giá trị mà không cần gửi yêu cầu tới web server Các công cụ Web Mirroring giúp tải toàn bộ nội dung của website như thư mục, HTML, hình ảnh, flash và video về máy tính cá nhân, xây dựng cấu trúc đệ quy của tất cả tệp tin, hỗ trợ quá trình phân tích và khai thác dữ liệu hiệu quả hơn.
Email tracking thường được sử dụng để giám sát việc gửi email đến một người nhận cụ thể, giúp theo dõi hoạt động của email nhằm thu thập thông tin về người nhận mục tiêu Attackers có thể sử dụng công cụ này để theo dõi email, trích xuất thông tin như định danh người gửi, máy chủ email, địa chỉ IP, vị trí địa lý, từ đó phục vụ các cuộc tấn công phi kỹ thuật hoặc các hình thức tấn công khác Các công cụ như eMailTrackerPro phân tích headers của email để tiết lộ các thông tin quan trọng như vị trí địa lý người gửi và địa chỉ IP, giúp hacker xác định thông tin nhạy cảm của người nhận và tăng khả năng thành công của các cuộc tấn công mạng.
Việc thu thập Thông tin Cạnh tranh (Competitive Intelligence) là quá trình tự nhiên, không can thiệp để phân tích và nhận diện các thông tin về đối tượng trên Internet Quản lý Danh tiếng Trực tuyến (ORM) giúp theo dõi và đánh giá mức độ danh tiếng của đối tượng trên mạng, từ đó điều chỉnh các chiến lược để giảm thiểu tiêu cực trong kết quả tìm kiếm và nâng cao độ nổi tiếng.
Dịch vụ Whois là cơ sở dữ liệu lưu trữ thông tin cá nhân của chủ sở hữu tên miền, được duy trì và vận hành bởi các nhà cung cấp Internet khu vực (RIRs) Khi thực hiện truy vấn Whois, người dùng có thể nhận được các thông tin liên quan đến chủ sở hữu tên miền, giúp kiểm tra tính xác thực và quản lý các tài nguyên Internet một cách hiệu quả.
Tên cho tiết của domain
Thông tin liên lạc của chủ domain
Các bản ghi mới nhất o Hacker có thể:
Thu thập thông tin phục vụ cho kỹ nghễ xã hội
Tạp lập 1 bản đồ các mục tiêu trong mạng lưới tổ chức
Có được thông tin về bên trong mạng lưới o Tìm kiếm thông tin IP geolocation:
Thông tin của một thành phố hoặc khu vực bao gồm nhiều yếu tố quan trọng như quốc gia, bang, quận, thành phố, ngôn ngữ, vĩ độ và kinh độ, giúp xác định vị trí chính xác Ngoài ra, dữ liệu còn có mã bưu điện, múi giờ, tốc độ mạng internet, nhà cung cấp dịch vụ Internet (ISP), tên miền, mã vùng, mã trạm thời tiết, mạng di động, độ cao so với mực nước biển và còn nhiều thông tin khác Những yếu tố này rất cần thiết cho việc tối ưu hóa công tác SEO, phân tích địa lý và nâng cao trải nghiệm người dùng trên các nền tảng trực tuyến.
Bằng những thông tin này hacker có thể áp dụng kỹ nghệ xã hội như Spamming hoặc Phising
Việc sử dụng DNS có thể giúp kẻ tấn công thu thập thông tin về các DNS nhằm xác định các host quan trọng trong mạng, từ đó thực hiện các cuộc tấn công tiếp theo Thông tin về phạm vi mạng cung cấp cho hacker dữ liệu về mô hình mạng của mục tiêu, hỗ trợ quá trình tấn công Công cụ ARIN Whois Database giúp xác định phạm vi địa chỉ IP của mạng, trong khi Regional Internet Registry (RIR) cho phép bạn xác định dải IP và Subnetmask chính xác, tăng khả năng tấn công hiệu quả.
Kỹ nghệ xã hội là nghệ thuật khai thác hành vi của con người để trích xuất thông tin bí mật, dựa trên thực tế rằng hầu hết mọi người không nhận thức được giá trị của thông tin cá nhân và thường bất cẩn trong việc bảo vệ dữ liệu của mình.
Kỹ thuật tấn công thăm dò
Quét mạng là bước đầu tiên trong quá trình tấn công của hacker nhằm xác định cổng và dịch vụ của một hệ thống mạng.
Quá trình quét mạng thu thập thông tin của một tổ chức để thực hiện hoạt động tấn công vào các mục tiêu
Mục tiêu của quét mạng bao gồm việc xác định thời gian của hệ thống, địa chỉ IP và các cổng đang hoạt động để đánh giá khả năng bảo mật Quét hệ thống còn giúp phát hiện thông tin về hệ điều hành, kiến trúc hệ thống nhằm nâng cao nhận thức về môi trường mạng Đồng thời, quá trình này cũng giúp xác định các lỗ hổng bảo mật hiện tại trên hệ thống, từ đó đề xuất các biện pháp phòng ngừa phù hợp Cuối cùng, quét mạng còn cung cấp thông tin về các dịch vụ máy chủ đang cung cấp để tối ưu hóa quản lý mạng và đảm bảo an toàn dữ liệu.
Các công cụ quét mạng là thiết yếu trong việc quản trị và bảo mật hệ thống Nmap, công cụ mã nguồn mở miễn phí, giúp các chuyên gia xác định thiết bị đang hoạt động trong hệ thống, dò tìm cổng mở và phát hiện các nguy cơ bảo mật Bên cạnh đó, Hping2 và Hping3 là các công cụ dựa trên dòng lệnh, cho phép tạo gói tin tùy chỉnh cho giao thức TCP/IP nhằm kiểm tra và phân tích mạng một cách chính xác.
Các kỹ thuật quét mạng: o Quét nối mạng dịch vụ:
ICMP scanning là phương pháp kiểm tra hệ thống trực tiếp, trong đó các hacker sử dụng tính năng quét ICMP để gửi các gói tin ICMP đến hệ thống mục tiêu nhằm thu thập thông tin chi tiết về hệ thống đó Phương pháp này giúp xác định các lỗ hổng và điểm yếu bảo mật của hệ thống một cách hiệu quả.
Ping Sweep, còn gọi là quét ICMP, là kỹ thuật quét mạng cơ bản dùng để xác định dải địa chỉ IP nào ánh xạ đến các máy chủ hoặc máy tính trực tiếp trong mạng Phương pháp này giúp các quản trị viên mạng phát hiện các thiết bị đang hoạt động và xác định vị trí của các thiết bị mạng trong hệ thống Quét ping/ICMP là bước quan trọng trong quy trình quét mạng nhằm đảm bảo an ninh và giám sát hệ thống mạng hiệu quả.
ICMP Echo Scanning là công cụ quét ping giúp kiểm tra toàn bộ phạm vi địa chỉ IP mạng để xác định các hệ thống đang hoạt động, từ đó xác nhận các thiết bị trực tuyến trong mạng của bạn Ngoài ra, việc quét TCP mạng dịch vụ cũng giúp phát hiện các dịch vụ đang chạy trên các cổng TCP cụ thể, hỗ trợ quản trị mạng trong việc phát hiện các lỗ hổng bảo mật và tối ưu hóa hệ thống mạng của bạn.
TCP Connect / Full Open Scan là phương pháp quét TCP đáng tin cậy nhất, trong đó hệ điều hành sử dụng lệnh gọi hệ thống TCP connect () để cố gắng mở kết nối đến tất cả các cổng trên máy đích, giúp xác định trạng thái hoạt động của các cổng một cách chính xác.
Quét ẩn xảy ra khi quá trình đặt lại đột ngột kết nối TCP giữa máy khách và máy chủ diễn ra trước khi hoàn thành quá trình bắt tay ba chiều, dẫn đến trạng thái kết nối ở trạng thái mở một nửa Hiểu rõ về hiện tượng này giúp bảo vệ hệ thống khỏi các cuộc tấn công mạng tiềm ẩn và duy trì tính toàn vẹn của kết nối TCP Việc phát hiện sớm quét ẩn là yếu tố quan trọng trong việc nâng cao an ninh mạng và đảm bảo hoạt động liên tục của dịch vụ.
Kẻ tấn công quét cờ TCP ngược bằng cách gửi các gói thăm dò TCP có đặt cờ FIN, URG, PSH hoặc không có cờ để xác định trạng thái của các cổng trên máy chủ đích Khi cổng mở, không có phản hồi nào từ máy chủ, trong khi các cổng đóng sẽ phản hồi bằng gói RST, giúp hacker xác định chính xác các cổng mở và đóng Bên cạnh đó, kỹ thuật quét dịch vụ UDP qua mạng cũng được sử dụng để kiểm tra các dịch vụ đang chạy trên các cổng UDP của hệ thống mục tiêu.
Sử dụng giao thức UDP thay vì TCP Không có bắt tay ba chiều cho quá trình quét UDP. Giao thức UDP có thể khó sử dụng hơn so với quét TCP vì bạn có thể gửi một gói tin, nhưng bạn không thể xác định máy chủ còn sống, đã chết hay đã được lọc
Công nghệ trốn tránh IDS/Firewall bao gồm các kỹ thuật như phân mảnh gói tin để gửi các gói thăm dò bị phân mảnh tới máy chủ dự kiến, giúp dễ dàng lắp ráp lại dữ liệu sau khi nhận đủ các mảnh; sử dụng định tuyến nguồn để gửi gói tin không đúng định dạng qua các tuyến đường đặc biệt dẫn đến máy chủ mục tiêu; tạo hoặc chỉ định thủ công địa chỉ IP mồi nhử nhằm làm mờ nhận diện thực của IDS/Firewall; thay đổi địa chỉ IP nguồn để các gói tin trông như đến từ một nguồn khác, qua đó tránh bị phát hiện; và sử dụng proxy server, chuỗi các máy chủ proxy, để ẩn nguồn thật của quá trình quét và vượt qua các hạn chế của IDS/Firewall.
Banner Grabbing o Lấy biểu ngữ là phương pháp xác định hệ điều hành đang chạy trên hệ thống mục tiêu từ xa Có 2 loại lấy biểu ngữ là: chủ động và bị động o Việc xác định hệ điều hành được sử dụng trên máy chủ mục tiêu cho phép kẻ tấn công tìm ra các lỗ hổng mà hệ thống đặt ra và các cách khai thác có thể hoạt động trên hệ thống để tiếp tục thực hiện các cuộc tấn công bổ sung.
Vẽ sơ đồ mạng là bước quan trọng trong việc xác định các mục tiêu của mạng, cung cấp thông tin giá trị về kiến trúc và cấu trúc của hệ thống cho các phần tử xấu Sơ đồ mạng giúp hiển thị các đường dẫn logic hoặc vật lý hướng tới mục tiêu tiềm năng, hỗ trợ quá trình phân tích và đánh giá an ninh mạng Các công cụ lập bản đồ và khám phá mạng như phần mềm quét lược đồ giúp xác định các thiết bị, các điểm yếu và các lối đi lớn trong hệ thống mạng, từ đó tăng khả năng phòng thủ hoặc tấn công.
Cho phép bạn xem bản đồ mạng của mình, phát hiện các vi giả mạo ở cả phạm vi phần cứng và phần mềm.
Chúng tôi cung cấp thông báo tức thì về mỗi máy chủ, giúp bạn nắm bắt tình trạng hoạt động hoặc sự cố kỹ thuật, từ đó dễ dàng xác định khi máy chủ ngừng hoạt động hoặc gặp các vấn đề về hiệu suất, đảm bảo hệ thống luôn vận hành một cách tối ưu và hiệu quả.
Kiểm thử xâm nhập là quá trình đánh giá khả năng bảo mật của hệ thống mạng bằng cách quét mạng để phát hiện các lỗ hổng bảo mật Quá trình này giúp xác định các hệ thống đang hoạt động, các cổng mở và dịch vụ liên kết, từ đó đánh giá mức độ an toàn của mạng Ngoài ra, kiểm thử còn lấy biểu ngữ hệ thống từ xa nhằm mô phỏng các nỗ lực tấn công mạng, giúp doanh nghiệp kịp thời khắc phục các điểm yếu bảo mật.
Dò quét lỗ hổng bảo mật
Phần mềm quét lỗ hổng bảo mật là công cụ chuyên dụng được phát triển bởi các chuyên gia bảo mật nhằm đánh giá hiệu quả hệ thống máy tính, mạng và các ứng dụng Những phần mềm này giúp xác định nhanh chóng các lỗ hổng bảo mật đã biết, từ đó hỗ trợ các doanh nghiệp và tổ chức nâng cao an ninh mạng Việc sử dụng phần mềm quét lỗ hổng bảo mật đóng vai trò quan trọng trong việc phòng ngừa các cuộc tấn công mạng và bảo vệ dữ liệu quan trọng Do đó, việc lựa chọn và sử dụng phần mềm quét lỗ hổng phù hợp là bước thiết yếu để duy trì an toàn toàn diện cho hệ thống công nghệ thông tin.
Phương pháp này cho phép phần mềm quét lỗi bảo mật truy cập trực tiếp vào hệ thống thông qua các phương thức quản trị từ xa như SSH, RDP, sử dụng thông tin đăng nhập để xác thực an toàn Sau khi kết nối thành công, phần mềm sẽ tiến hành quét toàn bộ hệ thống để phát hiện các lỗ hổng bảo mật tiềm ẩn Kết quả của quá trình quét sẽ được tổng hợp thành báo cáo chi tiết giúp quản trị viên dễ dàng đánh giá và xử lý các vấn đề bảo mật.
Các công cụ dò quét:
Acunetix là một công cụ quét lỗ hổng bảo mật trên web với công nghệ thu thập thông tin tiên tiến, giúp phát hiện mọi loại lỗ hổng bảo mật một cách hiệu quả Nó có khả năng quét các trang web phức tạp, kể cả những trang được bảo vệ bằng mật khẩu, đảm bảo an toàn tối đa cho hệ thống của bạn Với khả năng phát hiện tự động các điểm yếu nghiêm trọng, Acunetix là giải pháp đáng tin cậy để bảo vệ trang web khỏi các cuộc tấn công mạng.
2.4.2 beSECURE beSECURE là một trình quét lỗ hổng bảo mật tự phục vụ của Beyond Security có thể được triển khai tại chỗ, trên đám mây hoặc trong các môi trường kết hợp
Burp Suite là một trình quét lỗ hổng web thường xuyên được cập nhật và tích hợp với các hệ thống theo dõi lỗi như Jira.
GFI Languard là công cụ quét lỗ hổng web và mạng hàng đầu, giúp phát hiện các điểm yếu bảo mật quan trọng Phần mềm này có khả năng tự động triển khai các bản vá trên nhiều hệ điều hành, ứng dụng của bên thứ ba và trình duyệt web, đảm bảo hệ thống luôn được bảo vệ tối ưu Với GFI Languard, doanh nghiệp có thể nâng cao an ninh mạng, giảm thiểu rủi ro từ các lỗ hổng bảo mật và duy trì hoạt động liên tục, hiệu quả.
Frontline VM là công cụ quét lỗ hổng mạng đã được cấp bằng sáng chế, thuộc nền tảng bảo mật SaaS đám mây Frontline.Cloud của Digital Defense Nền tảng này không chỉ giúp phát hiện và quét lỗ hổng mạng mà còn cung cấp các tính năng quét ứng dụng web, công nghệ đánh giá mối đe dọa và quản lý lỗ hổng bảo mật hiệu quả.
Trong giai đoạn điều tra, kẻ tấn công tạo ra các kết nối tích cực với hệ thống nhằm thu thập thông tin Họ thực hiện các truy vấn có mục đích rõ ràng để khai thác dữ liệu về mục tiêu một cách hiệu quả Quá trình này giúp kẻ tấn công mở rộng kiến thức về hệ thống và chuẩn bị các bước tiếp theo trong cuộc tấn công Điều tra kỹ lưỡng và nắm bắt các kết nối sau đó là yếu tố quan trọng để xác định các lỗ hổng bảo mật và ngăn chặn các nguy cơ tiềm ẩn.
NetBIOS là chuỗi 16 ký tự ASCII duy nhất dùng để xác định thiết bị mạng qua TCP/IP, trong đó 15 ký tự dành cho tên thiết bị và ký tự thứ 16 cho loại bản ghi dịch vụ hoặc tên NetView hỗ trợ lấy danh sách các tài nguyên chia sẻ của máy chủ từ xa hoặc trong nhóm làm việc, giúp quản lý hệ thống hiệu quả Việc sử dụng bộ phận PsTools để liệt kê các tài khoản người dùng là cách kiểm soát và quản lý hệ thống từ xa qua dòng lệnh, nâng cao hiệu quả vận hành mạng.
SNMP (Simple Network Management Protocol) là quá trình liệt kê các tài khoản người dùng và thiết bị mạng trên hệ thống đích, giúp quản lý mạng hiệu quả Hệ thống SNMP bao gồm hai thành phần chính là người quản lý và tác nhân; trong đó, tác nhân được tích hợp sẵn trên mọi thiết bị mạng để thu thập và gửi dữ liệu, còn trình quản lý được cài đặt trên một máy tính riêng biệt để giám sát và điều phối toàn bộ hoạt động mạng.
Giao thức LDAP (Giao thức truy cập thư mục nhẹ) là một giao thức Internet sử dụng để truy cập các dịch vụ thư mục phân tán, giúp quản lý và truy xuất dữ liệu có cấu trúc phân cấp và hợp lý, chẳng hạn như thư mục email công ty Máy khách bắt đầu phiên LDAP bằng cách kết nối đến tác nhân hệ thống thư mục (DSA) qua cổng TCP 389 và gửi các yêu cầu hoạt động tới DSA để truy cập dữ liệu Thông tin giữa máy khách và máy chủ được mã hóa theo quy tắc mã hóa cơ bản (BER), đảm bảo truyền tải dữ liệu an toàn và chính xác.
Kẻ tấn công thường lợi dụng các truy vấn dịch vụ LDAP để thu thập thông tin nhạy cảm như tên người dùng hợp lệ, địa chỉ email, chi tiết phòng ban và các dữ liệu quan trọng khác Thông tin này có thể được sử dụng để thực hiện các cuộc tấn công mạng tinh vi hơn, gây ảnh hưởng đáng kể đến hệ thống và an ninh tổ chức Việc xác định và ngăn chặn các truy vấn LDAP độc hại là yếu tố then chốt trong bảo vệ dữ liệu và duy trì an toàn hệ thống mạng.
Giao thức thời gian mạng (NTP) được thiết kế để đồng bộ hóa đồng hồ của các máy tính kết nối mạng, đảm bảo tính chính xác và đồng bộ cao NTP chủ yếu sử dụng cổng UDP 123 làm phương tiện giao tiếp chính, giúp truyền dữ liệu nhanh chóng và hiệu quả Nhờ đó, NTP có khả năng duy trì thời gian chính xác trong vòng 10 mili giây (1/100 giây) qua Internet công cộng, góp phần đảm bảo hoạt động của hệ thống mạng diễn ra suôn sẻ và đồng bộ.
Liệt kê SMTP o SMTP cung cấp 3 lệnh tích hợp:
- VRFY - Xác thực người dùng.
- EXPN - Cho biết địa chỉ gửi thực tế của một lia ses và danh sách gửi thư.
Lệnh RCPT TO xác định người nhận thư trên máy chủ SMTP Máy chủ SMTP phản hồi khác với các lệnh như VRFY và EXPN, giúp xác định danh sách người dùng hợp lệ trên máy chủ Kẻ tấn công có thể tương tác trực tiếp với máy chủ SMTP thông qua lệnh telnet, từ đó thu thập danh sách người dùng hợp lệ để thực hiện các cuộc tấn công mạng.
Liệt kê DNS bằng cách sử dụng chuyển vùng là quá trình định vị máy chủ DNS và lấy các bản ghi của mạng mục tiêu Kẻ tấn công có thể thu thập thông tin quan trọng như tên máy chủ DNS, tên miền, tên máy, tên người dùng và địa chỉ IP của các mục tiêu tiềm năng Trong kỹ thuật này, kẻ tấn công cố gắng lấy toàn bộ tệp vùng của một miền từ máy chủ DNS để phân tích và lợi dụng thông tin.
Các kỹ thuật liệt kê khác: Liệt kê Ipsec, Liệt kê VoIP, Liệt kê RPC,
Để ngăn chặn Footprinting, tổ chức cần hạn chế nhân viên truy cập các mạng xã hội từ mạng nội bộ và cấu hình các thiết bị, máy chủ để tránh rò rỉ dữ liệu quan trọng Tập huấn cho nhân viên về việc sử dụng tên giả trên các nền tảng blog, diễn đàn giúp giảm thiểu rủi ro lộ thông tin nhạy cảm Không tiết lộ các thông tin nhạy cảm qua các bản thông cáo báo chí, báo cáo thường niên hoặc danh mục sản phẩm, đồng thời giới hạn những nội dung được đăng tải trên website và internet Sử dụng các kỹ thuật Footprinting để loại bỏ thông tin nhạy cảm công khai, cùng với việc sử dụng trang web ẩn danh và hạn chế công cụ tìm kiếm lưu trữ cache các trang web nhằm bảo vệ dữ liệu Phát triển và thực hiện các chính sách bảo mật chặt chẽ để bảo vệ thông tin, kết hợp sử dụng cả internal DNS và external DNS để hạn chế truy cập các máy chủ quan trọng Đào tạo nhân viên thường xuyên về các kỹ thuật xã hội phổ biến giúp nâng cao nhận thức Mã hóa dữ liệu và đặt mật khẩu mạnh để bảo vệ thông tin nhạy cảm, vô hiệu hóa chức năng liệt kê thư mục trên web server, sử dụng bộ lọc TCP/IP và IPSec để đảm bảo an toàn dữ liệu Cuối cùng, đặt các máy chủ phía sau proxy để giấu IP nội bộ, giúp giảm thiểu rủi ro bị khai thác thông qua các kỹ thuật Footprinting.
Các biện pháp đối phó liệt kê o SNMP
Xóa tác nhân SNMP hoặc tắt dịch vụ SNMP
Nếu tắt SNMP không phải là một tùy chọn, thì hãy thay đổi tên chuỗi cộng đồng mặc định
Nâng cấp lên SNMP3, mã hóa mật khẩu và tin nhắn
Triển khai tùy chọn bảo mật Chính sách nhóm được gọi là "Hạn chế bổ sung cho kết nối ẩn danh”
Đảm bảo rằng quyền truy cập vào các đường ống phiên rỗng, chia sẻ phiên rỗng và lọc IPSec bị hạn chế o DNS
Tắt chuyển vùng DNS tới các máy chủ không đáng tin cậy
Đảm bảo rằng các máy chủ riêng và địa chỉ IP của chúng không được công khai trong các tệp vùng DNS hoặc máy chủ DNS công cộng
Sử dụng các dịch vụ đăng ký DNS cao cấp để ẩn thông tin nhạy cảm như thông tin máy chủ lưu trữ (HINFO) khỏi công khai