Mối đe dọa và Lỗ hổng bảo mật

Threats & Vulnerability• Threats – Hành động hoặc sự kiện gây hại đến hệ thống mối đe dọa • Vulnerability – Lỗ hổng hoặc điểm yếu của hệ thống mà từ đó cho phép người khác xâm nhập vào

Network Security

Lương Trần Hy Hiến

Threats & Vulnerability

• Threats

– Hành động hoặc sự kiện gây hại đến hệ thống (mối đe dọa)

• Vulnerability

– Lỗ hổng hoặc điểm yếu của hệ thống mà từ

đó cho phép người khác xâm nhập vào hệ thống

Mối đe dọa - Threat

• Compromise Intellectual Properties

• Deliberate Software Attack

• Deviations in Qualities of Service

• Espionage or Trespass

• Forces of nature

• Human error or Failure

• Information extortion

• Missing, Inadequate, or Incomplete Organization

• Missing, Inadequate, or Incomplete control

• Sabotage or Vandalism

• Theft

Deliberate Software Attacks

• Xảy ra khi một cá nhân hay nhóm người

thiết kế, phát triển phần mềm để tấn công một hệ thống

• Phần mềm này gọi là malware (malicious

software)

• Viruses, worms, Trojan horse, logic

bombs, backdoor

Deviation in Quality of Service

• Hệ thống thông tin của một tổ chức phụ

thuộc vào nhiều hệ thống hỗ trợ: mạng

lưới điện, mạng lưới thông tin.

• Nguy cơ xuất hiện nếu các dịch vụ hỗ trợ

bị suy giảm.

• Các tổ chức sử dụng các biện pháp kiểm soát (control)

để bảo vệ thông tin như xác thực, phân quyền.

• Hành động vượt quá các biện pháp kiểm soát là xâm

nhập trái phép (trespass).

• Người sử dụng công nghệ máy tính để thu thập thông tin trái phép là hacker.

Espionage or Trepass

• Phân loại hacker theo năng lực

– Script kiddies – Elite hacker

• Phân loại hacker theo quy mô

– Cá nhân – Nhóm – Tổ chức, quốc gia

• Là những điểm yếu của hệ thống kiểm

soát.

• Attack: hành động tận dụng lỗ hổng để

xâm phạm hệ thống kiểm soát.

• Expoit: hành động sử dụng kĩ thuật máy

tính (chương trình, dữ liệu, lệnh, ) tận

dụng lỗ hổng hệ thống thể thực hiện

những tác vụ không mong muốn.

Attack (1) : Malicious Software

Attack (1) : Malicious Software

• Bảo vệ ứng dụng:

– Sử dụng Firewall – Sử dụng Chương trình Anti-virus – Sử dụng Chương trình Anti-spyware

Attack (2) : Password Cracking

• Phương pháp lưu mật khẩu

– Không mã hóa – Mã hóa 2 chiều – Mã hóa 1 chiều

• Password cracking

– Brute force attack – Dictionary attack

Không mã hóa mật khẩu

Mã hóa 2 chiều

Mã hóa 1 chiều

Password Cracking

Password Cracking (tt)

• Brute force attack

– Mã hóa hàng ngàn passwords có sẵn bằng hàm hash – So sánh kết quả với dữ liệu hash trong database

• Dictionary attack

– Lưu danh sách các username & password thông dụng – Dùng các thông tin này để thử đăng nhập hệ thống

Bảo vệ mật khẩu

• Giới hạn số lần đăng nhập thất bại

• Sử dụng mật khẩu mạnh (strong password)

– Chiều dài tối thiểu – Không sử dụng các từ trong tự điển, dãy ký tự liên tiếp – Kết hợp chữ cái, kí tự số, kí tự đặc biệt

• Chứng thực người dùng khi đổi & reset mật khẩu

– Khi thay đổi mật khẩu, nên chứng thực lại người dùng: mật khẩu cũ, tài khoản người dùng…

– Khi nhận được yêu cầu reset mật khẩu, cũng nên xác nhận lại yêu cầu reset

• Sử dụng các giao thức đáng tin cậy khi xử lý mật khẩu

Attack (3): Denial-of-Service (DoS)

• Gửi liên tiếp nhiều yêu cầu đến server

• Mục tiêu

– Chiếm đường truyền mạng – Chặn kết nối giữa hai máy tính – Làm cho server không có khả năng phục vụ client

DoS Attacks

Bảo vệ Email

• Không hiển thị địa chỉ email trên web

<a href= mailto:yourmail@gmail.com >Gui mail</a>

• Sử dụng hình ảnh hoặc ký tự đặc biệt để

thay thế

hienlth at hcmup dot edu dot vn

• Thiết lập rule cho mailing list chỉ nhận

email từ mail nội bộ

• Sử dụng CAPCHA đề phòng nhập liệu tự

động…

Zero day attack

Hình thức tấn công vào lỗi phần mềm, khi

lỗi này chưa được phát hiện.

Q & A

THE END