HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
CƠ SỞ TPHCM
ĐỒ ÁN MÔN HỌC:
SOCIAL ENGINEERING
GVHD:
SVTH:
Ths. Lê Phúc
Hồ Ngọc Thiện
Trần Thị Thùy Mai
TP.Hồ Chí Minh, 4/ 2009
Social Engineering
1
MỤC LỤC
Chương 1: GIỚI THIỆU TỔNG QUAN VỀ SOCIAL ENGINEERIN G
1.1 Khái niệm về Social Engineering
1.2 Thủ thuật
1.3 Điểm yếu của con người
Chương 2: PHÂN LOẠI
2.1 Human – based
2.1.1 Impersonation
2.1.2 Important User
2.1.3 Third-party Authorization
2.1.4 Technical Support
2.1.5 In Person
2.2 Computer – based
2.2.1 Phising
2.2.2 Vishing
2.2.3 Pop-up Windows
2.2.4 Mail attachments
2.2.5 Websites
2.2.6 Interesting Software
Chương 3: CÁC BƯỚC TẤN CÔNG TRONG SOCIAL ENGINEERING
3.1 Thu thập thông tin
3.2 Chọn mục tiêu
3.3 Tấn công
Chương 4: CÁC MỐI ĐE DỌA TỪ SOCIAL ENGINEERING
4.1 Các mối đe dọa trực tuyến (Online Threats)
4.1.1 Các mối đe dọa từ E-mail (E-mail Threats)
4.1.2 Các ứng dụng pop-up và hộp hội thoại( Pop-Up Applications and Dialog
Boxes)
4.1.3 Instant Mesaging
4.2 Telephone-Based Threats
4.2.1 Private Branch Exchange
4.2.2 Service Desk
4.3 Waste Management Threats
4.4 Personal Approaches
4.4.1 Virtual Approaches
4.4.2 Physical Approaches
4.5 Reverse Social Engineering
Chương 5: THIẾT KẾ SỰ PHÒNG VỆ CHỐNG LẠI CÁC MỐI ĐE DỌA TỪ SOCIAL
ENGINEERING
5.1 Xây dựng một framework quản lý an ninh
5.2 Đánh giá rủi ro
5.3 Social engineering trong chính sách an ninh
Social Engineering
2
Chương 6: THỰC THI SỰ PHÒNG VỆ CHỐNG LẠI CÁC MỐI ĐE DỌA TỪ SOCI AL
ENGINEERING
6.1 Sự nhận thức
6.2 Quản lý sự cố
6.3 Xem xét sự thực thi
6.4 Social Engineering và mô hình phân l ớp phòng thủ chiều sâu
Social Engineering
3
Social Engineering
4
1.1 Khái niệm về Social Engineering:
Social engineering là lợi dụng sự ảnh hưởng và niềm tin để lừa một người nào đó nhằm mục
đích lấy cắp thông tin hoặc thuyết phục nạn nhân để thực hiện việc gì.
Các công ty mặc dù áp dụng các phương pháp xác thực, các firewalls, các mạng riêng ảo
VPN, các phần mềm giám sát mạng vẫn có rất nhiều khả năng bị tấn công.
Một nhân viên có thể vô tình để lộ thông tin key trong email hoặc trả lời điện thoại của một
người mà họ không quen biết hoặc thậm chí nói về đề án của họ với đồng nghiệp hàng giờ
liền ở quán rượu.
Bảo mật được xem là tốt nhất nếu nó có thể phát huy tr ên cả những liên kết yếu nhất. Social
Engineering là lợi dụng sự ảnh hưởng và niềm tin để lừa một người nào đó nhằm mục đích
lấy cắp thông tin hoặc thuyết phục nạn nhân để thực hiện việc gì. Và không có vấn đề gì khi
các công ty đầu tư cho các hệ thống chất lượng cao và các giải pháp bảo mật chẳng hạn như
các phương pháp xác thực đơn giản, các firewalls, mạng riêng ảo VPN và các phần mềm
giám sát mạng. Không có thiết bị hay giới hạn bảo mật nào hiệu quả khi một nhân viên vô
tình để lộ thông tin key trong email, hay tr ả lời điện thoại của người lạ hoặc một người mới
quen thậm chí khoe khoang về dự án của họ với đồng nghiệp hàng giờ liền ở quán rượu.
Thông thường, mọi người không nhận thấy sai sót của họ trong việc bảo mật, mặc dù họ
không cố ý. Những người tấn công đặc biệt rất thích phát triển kĩ năng về Social
Engineering và có thể thành thạo đến mức những nạn nhân của không hề biết rằng họ đang
bị lừa. Mặc dù có nhiều chính sách bảo mật trong công ty, nhưng họ vẫn có thể bị hại do
hacker lợi dụng lòng tốt và sự giúp đỡ của mọi người.
Những kẻ tấn công luôn tìm những cách mới để lấy được thông tin. Họ chắc chắn là họ nắm
rõ vành đai bảo vệ và những người trực thuộc – nhân viên bảo vệ, nhân viên tiếp tân và
những nhân viên ở bộ phận hỗ trợ - để lợi dụng sơ hở của họ. Thường thì mọi người dựa
vào vẻ bề ngoài để phán đoán. Ví dụ, khi nh ìn thấy một người mặc đồng phục màu nâu và
mang theo nhiều hộp cơm, mọi người sẽ mở cửa vì họ nghĩ đây là người giao hàng.
Một số công ty liệt kê danh sách nhân viên trong công ty kèm theo s ố điện thọai, email trên
Website của công ty. Ngoài ra, các công ty còn thêm danh sách các nhân viên chuyên
nghiệp đã được đào tạo trong cơ sở dữ liệu Oracle hay UNIX servers. Đây l à một số ít thông
tin giúp cho attacker biết được loại hệ thống mà họ đang định xâm nhập.
1.2 Thủ thuật:
Social Engineering bao gồm việc đạt được những thông tin mật hay truy cập trái phép, bằng
cách xây dựng mối quan hệ với một số ng ười.
Kết quả của social engineer l à lừa một người nào đó cung cấp thông tin có giá trị hay sử
dụng thông tin đó.
Nó tác động lên phẩm chất vốn có của con ng ười, chẳng hạn như mong muốn trở thành
người có ích, tin tưởng mọi người và sợ những rắc rối.
Social engineering là thủ thuật và kỹ thuật làm cho một người nào đó đồng ý làm theo
những gì mà attacker muốn. Nó không phải là cách điều khiển suy nghĩ người khác, và nó
Social Engineering
5
không cho phép attacker làm cho ngư ời nào đó làm những việc vượt quá tư cách đạo đức
thông thường. Và trên hết, nó không dễ thực hiện chút n ào. Tuy nhiên, đó là một phương
pháp mà hầu hết Attackers dùng để tấn công vào công ty. Có 2 loại rất thông dụng :
Social engineering là việc lấy được thông tin cần thiểt từ một ng ười nào đó hơn là
phá hủy hệ thống.
Psychological subversion: mục đích của hacker hay attacker khi sử dụng PsychSub
thì phức tạp hơn và bao gồm sự chuẩn bị, phân tích t ình huống, và suy nghĩ cẩn thận về
chính xác những từ sử dụng và giọng điệu khi nói, và nó thường sử dụng trong quân đội.
Xem xét tình huống sau đây:
Attacker : “ Chào bà, tôi là Bob, tôi mu ốn nói chuyện với cô Alice”
Alice: “ Xin chào, tôi là Alice”.
Attacker: ” Chào cô Alice, tôi g ọi từ trung tâm dữ liệu, xin lỗi v ì tôi gọi điện cho cô sớm thế
này…”
Alice: ” Trung tâm dữ liệu à, tôi đang ăn sáng, nhưng không sao đ âu.”
Attacker: ” Tôi gọi điện cho cô vì những thông tin cá nhân của cô trong phiếu thông tin tạo
account có vấn đề.”
Alice: ” Của tôi à..à vâng.”
Attacker: ” Tôi thông báo v ới cô về việc server mail vừa bị sập tối qua, v à chúng tôi đang
cố gắng phục hồi lại hệ thống mail. Vì cô là người sử dụng ở xa nên chúng tôi xử lý trường
hợp của cô trước tiên.”
Alice: ”Vậy mail của tôi có bị mất không?”
Attacker: “Không đâu, chúng tôi có th ể phục hồi lại được mà. Nhưng vì chúng tôi là nhân
viên phòng dữ liệu, và chúng tôi không được phép can thiệp vào hệ thống mail của văn
phòng, nên chúng tôi cần có password của cô, nếu không chúng tôi không thể l àm gì được.”
Alice: ”Password của tôi à?uhm..”
Attacker: ”Vâng, chúng tôi hi ểu, trong bản đăng kí ghi r õ chúng tôi không được hỏi về vấn
đề này, nhưng nó được viết bởi văn phòng luật, nên tất cả phải làm đúng theo luật.” ( nỗ lực
làm tăng sự tin tưởng từ nạn nhân)
Attacker: ” Username của cô là AliceDxb phải không? Phòng hệ thống đưa cho chúng tôi
username và số điện thoại của cô, nhưng họ không đưa password cho chúng tôi. Không có
password thì không ai có th ể truy cập vào mail của cô được, cho dù chúng tôi ở phòng dữ
liệu. Nhưng chúng tôi phải phục hồi lại mail của cô, v à chúng tôi cần phải truy cập vào mail
của cô. Chúng tôi đảm bảo với cô chúng tôi sẽ không sử dụng password của cô v ào bất cứ
mục đích nào khác.”
Alice: ” uhm, pass này c ũng không riêng tư lắm đâu, pass của tôi là 123456”
Attacker: ” Cám ơn sự hợp tác của cô. Chúng tôi sẽ phục hồi lại mail của cô trong v ài phút
nữa.”
Alice: ” Có chắc là mail không bị mất không?”
Attacker: ” Tất nhiên là không rồi. Chắc cô chưa gặp trường hợp này bao giờ, nếu có thắc
mắc gì thì hãy liên hệ với chúng tôi. Cô có thể t ìm số liên lạc ở trên Internet.”
Alice: ” Cảm ơn.”
Attacker: ” Chào cô.”
1.3 Điểm yếu của mọi người:
Mọi người thường mắc phải nhiều điểm yếu trong các vấn đề bảo mật.
Social Engineering
6
Để đề phòng thành công thì chúng ta ph ải dựa vào các chính sách tốt và huấn luyện nhân
viên thực hiện tốt các chính sách đó.
Social engineering là phương pháp khó phòng chống nhất vì nó không thể dùng phần cứng
hay phần mềm để chống lại.
Chú ý: Social engineering t ập trung vào những điểm yếu của chuỗi bảo mật máy tính. Có
thể nói rằng hệ thống được bảo mật tốt nhất chỉ khi nó bị ngắt điện.
Một người nào đó khi truy cập vào bất cứ phần nào của hệ thống thì các thiết bị vật lý và
vấn đề cấp điện có thể là một trở ngại lớn. Bất cứ thông tin n ào thu thập được đều có thể
dùng phương pháp Social engineering đ ể thu thập thêm thông tin. Có nghĩa là một người
không nằm trong chính sách bảo mật cũng có thể phá hủy hệ thống bảo mật. Các chuy ên gia
bảo mật cho rằng cách bảo mật giấu đi thông tin th ì rẩt yếu. Trong trường hợp của Social
engineering, hoàn toàn không có s ự bảo mật nào vì không thể che giấu việc ai đang sử dụng
hệ thống và khả năng ảnh hưởng của họ tới hệ thống.
Có nhiều cách để hoàn thành mục tiêu đề ra. Cách đơn giản nhất là yêu cầu trực tiếp, đó là
đặt câu hỏi trực tiếp. Mặc d ù cách này rất khó thành công, nhưng đây là phương pháp d ễ
nhất, đơn giản nhất. Người đó biết chính xác họ cần g ì. Cách thứ hai, tạo ra một tình huống
mà nạn nhân có liên quan đến. Với các nhân tố khác h ơn chỉ là việc yêu cầu xem xét, điều
mà cá nhân họ quan tâm là nạn nhân có thể bị thuyết phục đến mức n ào, bởi vì attacker có
thể tạo ra những lý do thuyết phục h ơn những người bình thường. Attacker càng nỗ lực thì
khả năng thành công càng cao, thông tin thu đư ợc càng nhiều. Không có nghĩa là các tình
huống này không dựa trên thực tế. Càng giống sự thật thì khả năng thành công càng cao.
Một trong những công cụ quan trọng đ ược sử dụng trong Social engineering l à một trí nhớ
tốt để thu thập các sự kiện. Đó l à điều mà các hacker và sysadmin n ổi trội hơn, đặc biệt khi
nói đến những vấn đề liên quan đến lĩnh vực của họ.
Social Engineering
7
Social Engineering
8
Social engineering có thể chia làm 2 loại: human based và computer based.
2.1 Human-based Social engineering : là việc trao đổi giữa người với người để lấy được
thông tin mong muốn. Các kỹ thuật social engineering dựa v ào con người có thể đại khái chia
thành:
2.1.1 Impersonation: với kiểu tấn công social engineering n ày, hacker giả làm
một nhân viên hay người sử dụng hợp lệ trong hệ thống để đạt đ ược quyền
truy xuất. Ví dụ, hacker có thể làm quen với một nhân viên công ty , từ đó
thu thập một số thông tin có liên quan đến công ty đó. Có một quy luật được
thừa nhận trong giao tiếp x ã hội là khi nhận được sự giúp đỡ từ một ng ười
nào đó, thì họ sẵn sàng giúp đỡ lại mà không cần điều kiện hay yêu cầu gì cả.
Có thể xem nó như là một sự biết ơn. Sự biết ơn luôn thấy trong môi trường
hợp tác. Một nhân viên sẽ sẵn sàng giúp đỡ người khác với mong muốn là
sau này có thể người ta sẽ giúp lại họ. Social engineers cố gắng tận dụng đặc
điểm xã hội này khi mạo nhận người khác. Những mưu mẹo này đã được sử
dụng trong quá khứ cũng nh ư một sự ngụy trang để đạt được sự truy xuất vật
lý. Nhiều thông tin có thể được lượm lặt từ bàn giấy, thùng rác thậm chí là sổ
danh bạ và biển đề tên ở cửa.
2.1.2
Posing as Important User : Sự mạo nhận đạt tới một mức độ cao h ơn bằng
cách nắm lấy đặc điểm của một nhân vi ên quan trọng lời nói của họ có giá trị
và thông thường đáng tin cậy hơn. Yếu tố biết ơn đóng vai trò để nhân viên
vị trí thấp hơn sẽ tìm cách giúp đỡ nhân viên vị trí cao hơn để nhận lấy sự
quý mến của anh ta. Kẻ tấn công giả dạng nh ư một user quan trọng có thể lôi
kéo dễ dàng một nhân viên người mà không có sự đề phòng trước. Social
engineer sử dụng quyền lực để hăm dọa thậ m chí là đe dọa báo cáo nhân viên
với người giám sát nhân viên đó nếu họ không cung cấp thông tin theo y êu
cầu.
2.1.3
Third-person Authorization: Một kỹ thuật social engineering phổ biến
khác là kẻ tấn công bày tỏ là nguồn tài nguyên này anh ta đã được chấp nhận
của sự ủy quyền chỉ định. Chẳng hạn một ng ười chịu trách nhiệm cho phép
truy xuất đến thông tin nhạy cảm, kẻ tấn công có thể quan sát cẩn thận anh ta
và lợi dụng sự vắng mặt của anh ta nh ư là lợi thế để truy xuất tài nguyên. Kẻ
tấn công tiếp cận với nhân viên hỗ trợ hoặc người khác và tuyên bố là anh ta
đã được chấp nhận để truy xuất thông tin. Đây có thể l à hiệu quả đặc biệt nếu
người chịu trách nhiệm đang trong kỳ nghỉ hoặc ở ngo ài - nơi mà sự xác
minh không thể ngay lập tức. Người ta có khuynh hướng làm theo sự giao
phó ở nơi làm việc, thậm chí họ nghi ngờ rằng những y êu cầu có thể không
hợp pháp. Người ta có khuynh hướng tin rằng những người khác đang thể
hiện những quan điểm đúng của họ khi họ tuy ên bố. Trừ khi có bằng chứng
mạnh mẽ trái ngược lại, không thì người ta sẽ tin rằng người mà họ đang nói
chuyện đang nói sự thật về cái họ thấy hoặc cần.
Social Engineering
9
2.1.4
Technical Support: một chiến thuật thường hay được sử dụng, đặc biệt khi
nạn nhân không phải là chuyên gia về kỹ thuật. Kẻ tấn công có thể giả l àm
một người bán phần cứng hoặc kỹ thuật vi ên hoặc một nhà cung cấp liên
quan máy tính và tiếp cận với nạn nhân.
2.1.5
In Person: Kẻ tấn công có thể thực sự cố gắng để tham quan vị trí mục ti êu
và quan sát tình hình cho thông tin. H ắn ta có thể cải trang chính anh ta th ành
người phân phối thư, người lao công hoặc thậm chí rong ch ơi như một vị
khách ở hành lang. Anh ấy có thể giả làm nhà kinh doanh, khách ho ặc kỹ
thuật viên. Khi ở bên trong, anh ta có thể nhìn password trên màn hình, tìm
dữ liệu quan trọng nằm trên bàn hoặc nghe trộm các cuộc nói chuyện bí mật.
Có 2 kỹ thuật được sử dụng bởi attacker. Đó l à:
2.1.5.1 Dumpster Diving: tìm kiếm trong thùng rác, thông tin được viết
trên mảnh giấy hoặc bản in máy tính. Hacker có thể t ìm thấy
password, filename, hoặc những mẩu thông tin bí mật.
2.1.5.2 Shoulder Surfing: là một kỹ thuật thu thập password bằng cách
xem qua vai người khác khi họ đăng nhập v ào hệ thống. Hacker có
thể xem người sử dụng hợp lệ đăng nhập v à sau đó sử dụng password
đó đề giành được quyền truy xuất đến hệ thống.
Khi ở bên trong, kẻ xâm nhập có cả một menu các sách l ược để chọn,
bao gồm đi lang thang những h ành lang của tòa nhà để tìm kiếm các văn
phòng trống với tên đăng nhập mà mật khẩu của nhân viên đính trên pc của
họ; đi vào phòng mail để chèn các bản ghi nhớ giả mạo vào hệ thống mail
server công ty; cố gắng đạt quyền truy xuất đến ph òng server hay phòng điện
thoại để lấy nhiều thông tin h ơn từ hệ thống đang vận hành; đặt bộ phân tích
protocol trong wiring closet đ ể bắt gói dữ liệu, username, v à password hay
chỉ đơn giản đánh cắp thông tin nhằm đến.
Ví dụ: Một người gọi cho nhân viên hỗ trợ và nói là anh ta quên mất
password. Trong sự hoảng sợ, anh ta còn nói thêm là nếu anh ta nhỡ hạn cuối
của một dự án quảng cáo th ì ông chủ có thể đuổi việc anh ta. Ng ười nhân
viên hỗ trợ cảm thấy thông cảm cho anh ta v à nhanh chóng khởi động lại
password, việc làm này giúp cho hacker xâm nh ập vào hệ thống mạng của
công ty.
Ví dụ: Tháng 6 năm 2000, Larry Ellison, ch ủ tịch Oracle, thừa nhận
là Oracle đã dùng đến dumpster diving để cố gắng t ìm ra thông tin về
Microsoft trong trường hợp chống độc quyền. Danh từ “larrygate”, không l à
mới trong hoạt động tình báo doanh nghiệp.
Một số thứ mà dumpster có thể mang lại:
Sách niên giám điện thoại công ty – biết ai gọi sau đó dùng để
mạo nhận là những bước đầu tiên để đạt quyền truy xuất tới
các dữ liệu nhạy cảm. Nó giúp có đ ược tên và tư cách chính
xác để làm có vẻ như là nhân viên hợp lệ. Tìm các số đã gọi là
một nhiệm vụ dễ dàng khi kẻ tấn công có thể xác định tổng
đài điện thoại của công ty từ sác h niên giám.
Các biểu đồ tổ chức; bản ghi nhớ; sổ tay chính sách công ty;
lịch hội họp, sự kiện, và các kỳ nghỉ; sổ tay hệ thống; bản in
Social Engineering
10
của dữ liệu nhạy cảm hoặc t ên đăng nhập và password; bản
ghi source code; băng và đ ĩa; các đĩa cứng hết hạn.
2.2 Computer-based Social engineering: là sử dụng các phần mềm để lấy được
thông tin mong muốn. Có thể chia thành các loại như sau:
2.2.1
Phising:
Thuật ngữ này áp dụng cho một email xuất hiện đến từ một
công ty kinh doanh, ngân hàng ho ặc thẻ tín dụng yêu cầu chứng thực thông
tin và cảnh báo sẽ xảy ra hậu quả nghiêm trọng nếu việc này không được
làm. Lá thư thường chứa một đường link đến một trang web giả mạo trông
hợp pháp với logo của công ty v à nội dung có chứa form để yêu cầu
username, password, số thẻ tín dụng hoặc số pin.
2.2.2
Vishing:
Thuật ngữ là sự kết hợp của “voice” và phishing. Đây cũng là
một dạng phising, nhưng kẻ tấn công sẽ trực tiếp gọi điện cho nạn nhân thay
vì gởi email. Người sử dụng sẽ nhận được một thông điệp tự động với nội
dung cảnh báo vấn đề liên quan đến tài khoản ngân hàng. Thông điệp này
hướng dẫn họ gọi đến một số điện thoại để khắc phục vấn đề. Sau khi gọi, số
điện thoại này sẽ kết nối người được gọi tới một hệ thống hỗ trợ giả, y êu cầu
họ phải nhập mã thẻ tín dụng. Và Voip tiếp tay đắc lực thêm cho dạng tấn
công mới này vì giá rẻ và khó giám sát một cuộc gọi bằng Voip.
2.2.3
Pop-up Windows: Một cửa sổ sẽ xuất hiện trên màn hình nói với user là
anh ta đã mất kết nối và cần phải nhập lại username v à password. Một
chương trình đã được cài đặt trước đó bởi kẻ xâm nhập sau đó sẽ email thông
tin đến một website ở xa.
2.2.4
Mail attachments: Có 2 hình thức thông thường có thể được sử dụng.
Đầu tiên là mã độc hại. Mã này sẽ luôn luôn ẩn trong một file đính k èm trong
email. Với mục đích là một user không nghi ngờ sẽ cli ck hay mở file đó, ví
dụ virus IloveYou, sâu Anna Kournikova( trong tr ường hợp này file đính
kèm tên là AnnaKournikova.jpg.vbs. N ếu tên file đó bị cắt bớt thì nó sẽ
giống như file jpg và user sẽ không chú ý phần mở rộng .vbs). Thứ hai cũng
có hiệu quả tương tự, bao gồm gởi một file đánh lừa hỏi user để xóa file hợp
pháp. Chúng được lập kế hoạch để làm tắc nghẽn hệ thống mail bằng cách
báo cáo một sự đe dọa không tồn tại v à yêu cầu người nhận chuyển tiếp một
bản sao đến tất cả bạn và đồng nghiệp của họ. Điều này có thể tạo ra một
hiệu ứng gọi là hiệu ứng quả cầu tuyết.
2.2.5
Websites: Một mưu mẹo để làm cho user không chú ý để lộ ra dữ liệu nhạy
cảm, chẳng hạn như password họ sử dụng tại nơi làm việc. Ví dụ, một
website có thể tạo ra một cuộc thi hư cấu, đòi hỏi user điền vào địa chỉ email
và password. Password điền vào có thể tương tự với password được sử dụng
cá nhân tại nơi làm việc. Nhiều nhân viên sẽ điền vào password giống với
password họ sử dụng tại nơi làm việc, vì thế social engineer có username hợp
lệ và password để truy xuất vào hệ thống mạng tổ chức.
Social Engineering
11
2.2.6
Social Engineering
Interesting Software: Trong trường hợp này nạn nhân được thuyết phục tải
về và cài đặt các chương trình hay ứng dụng hữu ích như cải thiện hiệu suất
của CPU, RAM, hoặc các tiện ích hệ thống hoặc nh ư một crack để sử dụng
các phần mềm có bản quyền. Và một Spyware hay Malware ( chẳng hạn nh ư
Keylogger) sẽ được cài đặt thông qua một chương trình độc hại ngụy trang
dưới một chương trình hợp pháp.
12
3.1 Thu thập thông tin: Một trong những chìa khóa thành công c ủa Social Engineering l à
thông tin. Đáng ngạc nhiên là dễ dàng thu thập đầy đủ thông tin của một tổ chức và nhân viên
trong tổ chức đó. Các tổ chức có khuynh h ướng đưa quá nhiều thông tin lên website của họ như
là một phần của chiến lược kinh doanh. Thông tin n ày thường mô tả hay đưa ra các đầu mối
như là các nhà cung cấp có thể ký kết; danh sách điện thoai v à email; và chỉ ra có chi nhánh hay
không nếu có thì chúng ở đâu. Tất cả thông tin này có thể là hữu ích với các nhà đầu tư tiềm
năng, nhưng nó cũng có thể bị sử dụng trong tấn công Social Engineering. Những thứ mà các tổ
chức ném đi có thể là nguồn tài nguyên thông tin quan tr ọng. Tìm kiếm trong thùng rác có thể
khám phá hóa đơn, thư từ, sổ tay,.. có thể giúp cho kẻ tấn công kiếm được các thông tin quan
trọng. Mục đích của kẻ tấn công trong b ước này là hiểu càng nhiều thông tin càng tốt để làm ra
vẻ là nhân viên, nhà cung cấp, đối tác chiến lược hợp lệ,…
3.2 Chọn mục tiêu: Khi khối lượng thông tin phù hợp đã được tập hợp, kẻ tấn công tìm kiếm
điểm yếu đáng chú ý trong nhân vi ên của tổ chức đó. Mục tiêu thông thường là nhân viên hỗ
trợ, được tập luyện để đưa sự giúp đỡ và có thể thay đổi password, tạo t ài khoản, kích hoạt lại
tài khoản,… Mục đích của hầu hết kẻ tấn công là tập hợp thông tin nhạy cảm và lấy một vị trí
trong hệ thống. Kẻ tấn công nhận ra l à khi chúng có thể truy cập, thậm chí là cấp độ khách, thì
chúng có thể nâng quyền lên, bắt đầu tấn công phá hoại và che giấu vết.Trợ lý administrator là
mục tiêu kế tiếp. Đó là vì các cá nhân này có thể tiếp cận với các dữ liệu nhạy cảm thông
thường được lưu chuyển giữa các thành viên quản trị cấp cao. Nhiều các trợ lý này thực hiện
các công việc hàng ngày cho quản lý của họ mà các công việc này yêu cầu đặc quyền tài khoản
của người quản lý.
3.3 Tấn công:
Sự tấn công thực tế thông th ường dựa trên cái mà chúng ta gọi đó là “sự
lường gạt”. Gồm có 3 loại chính:
o Ego attack: trong loại tấn công đầu tiên này, kẻ tấn công dựa vào một vài đặc
điểm cơ bản của con người. Tất cả chúng ta thích nói về ch úng ta thông minh như
thế nào và chúng ta biết hoặc chúng ta đang làm hoặc hiệu chỉnh công ty ra sao. Kẻ
tấn công sẽ sử dụng điều n ày để trích ra thông tin từ nạn nhân của chúng. Kẻ tấn
công thường chọn nạn nhân là người cảm thấy bị đánh giá không đúng mức và đang
làm việc ở vị trí mà dưới tài năng của họ. Kẻ tấn công thường có thể phán đoán ra
điều này chỉ sau một cuộc nói chuyện ngắn.
o Sympathy attacks: Trong loại tấn công thứ hai này, kẻ tấn công thường giả vờ là
nhân viên tập sự, một nhà thầu, hoặc một nhân viên mới của một nhà cung cấp hoặc
Social Engineering
13
đối tác chiến lược, những người này xảy ra tình huống khó xử và cần sự giúp đỡ đề
thực hiện xong nhiệm vụ. Sự quan trọng của bước thu thập trở nên rõ ràng ở đây, khi
kẻ tấn công sẽ tạo ra sự tin cậy với nạn nhân bằn g cách dùng các từ chuyên ngành
thích hợp hoặc thể hiện kiến thức về tổ chức. Kẻ tấn công giả vờ là hắn đang bận và
phải hoàn thành một vài nhiệm vụ mà yêu cầu truy xuất, nhưng hắn không thể nhớ
username và password,… Một cảm giác khẩn cấp luôn luôn là phần trong kịch bản.
Với bản tính con người là thông cảm nên trong hầu hết các trường hợp yêu cầu sẽ
được chấp nhận. Nếu kẻ tấn công thất bại khi lấy truy xuất hoặc thông tin từ một
nhân viên, hắn sẽ tiếp tục cố gắng cho đến khi t ìm thấy người thông cảm, hoặc cho
đến khi hắn nhận ra là tổ chức nghi ngờ.
o Intimidation attacks:
Với loại thứ ba, kẻ tấn công giả vờ l à là một nhân vật
có quyền, như là một người có ảnh hưởng trong tổ chức. Kẻ tấn công sẽ nhằm vào
nạn nhân có vị trí thấp hơn vị trí của nhân vật mà hắn giả vờ. Kẻ tấn công tạo một lý
do hợp lý cho các yêu cầu như thiết lập lại password, thay đổi t ài khoản, truy xuất
đến hệ thống, hoặc thông tin nhạy cảm .
Social Engineering
14
Social Engineering
15
Có 5 nhân tố tấn công chính mà một hacker social engineering s ử dụng:
4.1 Các mối đe dọa trực tuyến (Online Threats): trong thế giới kinh doanh được
kết nối ngày càng tăng của chúng ta, nhân viên thường sử dụng và đáp ứng các yêu cầu và
thông tin đến một cách tự động từ cả inside v à outside công ty. Sự kết nối này giúp hacker có
thể tiếp cận được với các nhân viên. Các tấn công trực tuyến như e-mal, pop-up application, và
instant message sử dụng trojan, worm, virus – gọi là malware – gây thiệt hại và phá hủy tài
nguyên máy tính. Hacker social engineering thuyết phục nhân viên cung cấp thông tin thông
qua mưu mẹo tin được, hơn là làm nhiễm malware cho máy tính thông qua tấn công trực tiếp.
Một tấn công có thể cung cấp thông tin mà sẽ giúp cho hacker làm một cuộc tấn công malware
sau đó, nhưng kết quả không là chức năng của social engineering. V ì thế, phải có lời khuyên
cho nhân viên làm thế nào để nhận diện và tránh các cuộc tấn công social engineering trực
tuyến.
4.1.1
Các mối đe dọa từ E-mail (E-mail Threats):
Nhiều nhân viên nhận hàng
chục hoặc hàng trăm e-mail mỗi ngày, từ cả kinh doanh và từ hệ thống e-mail riêng.
Khối lượng e-mail có thể làm cho nó trở thành khó khăn để gây sự chú ý cho mỗi
bài viết. Điều này thì rất hữu ích với hacker. Hầu hết ng ười dùng e-mail cảm thấy tốt
khi họ giải quyết với một mẩu thư. Nếu hacker có thể làm một yêu cầu đơn giản mà
dễ dàng giải quyết, thì sau đó mục tiêu sẽ đồng ý mà không nghĩ là anh ấy hoặc cô
ấy đang làm chuyện gì.
Một ví dụ của tấn công kiểu n ày là gởi e-mail đến nhân viên nói rằng ông chủ
muốn tất cả lịch nghỉ gởi cho cuộc họp v à tất cả mọi người trong danh sách được sao
chép vào trong e-mail. Chỉ đơn giản là trich tên ở ngoài từ danh sách sao chép và
đánh lừa tên người gởi để mail xuất hiện bắt đầu từ nguồn b ên trong. Việc đánh lừa
này đặc biệt đơn giản nếu một hacker đạt quyền truy xuất đến một hệ thống máy tính
công ty, bởi vì không cần phải phá vỡ thông qua phạm vi t ường lửa. Sự hiểu biết về
lịch trình kỳ nghỉ có thể không là mối đe dọa bảo mật, nhưng nó có nghĩa là một
hacker biết khi nào nhân viên vắng mặt. Hacker sau đó có thể giả mạo ng ười này với
khả năng bị khám phá ra giảm đi. Sử dụng e-mail như là một công cụ social
engineering đã trở nên phổ biến qua hơn một thập kỷ qua. Phising được mô tả là sử
dụng e-mail để nhận dạng cá nhân hoặc thông tin giới hạn từ một user. Hacker có
thể gởi e-mail mà có vẻ đến từ tổ chức hợp lệ, chẳng hạn ngân h àng hoặc các công
ty đối tác. Minh họa dưới đây chỉ ra một link hợp lệ bề ngoài đến từ trang quản lý tài
khoản Contoso.
Social Engineering
16
Tuy nhiên, nếu nhìn kỹ hơn chúng ta có thể nhận thấy 2 sự khác biệt:
Dòng chữ trong dòng link trên chỉ ra là trang web này bảo mật, sử dụng
https, mặc dù link thật sự của trang web sử dụng http
Tên công ty trong mail là “Contoso”, nhưng link th ật sự thì tên công ty gọi là
“Comtoso”
Như thuật ngữ phising ngụ ý, sự tiếp cận có tính lý thuyết, với một y êu cầu chung
cho thông tin khách hàng. S ự ngụy trang thực tế được dùng trong những thông báo
thư điện tử, với những biểu tượng công ty, phông, và thậm chí những số điện thoại
hỗ trợ tự do rõ ràng hợp lệ, làm thư điện tử có vẻ có thể tin được hơn. Trong mỗi email phising là một yêu cầu cho thông tin user, thường làm thuận tiện cho việc nâng
cấp hay thêm vào dịch vụ. E-mail có thể chứa hyperlink có thể xúi giục nhân vi ên
phá vỡ tính bảo mật của công ty. Có một loạt các lựa chọn khác nhau cho hacker sử
dụng trong phising, bao gồm các h ình ảnh có hyperlink mà tải xuống là malware,
chẳng hạn virus hoặc spyware, hoặc văn bản đ ược thể hiện trong một tấm ảnh, đề
vượt qua bộ lọc bảo mật hyperlink. Hầu hết các biện pháp bảo mật làm cho các user
không có chứng thực ở ngoài. Một hacker có thể vượt qua nhiều sự phòng thủ nếu
hắn có thể lừa một user đ ưa vào trojan, worm, hoặc virus vào công ty thông qua
đường link. Một hyperlink có thể dẫn một user đến một tr ang web mà sử dụng ứng
dụng pop-up để yêu cầu cung cấp thông tin hoặc đ ưa ra sự giúp đỡ.
Để có thể chống lại các cuộc tấn công của hacker social engineering bằng cách tiếp
cận với chủ nghĩa hoài nghi bất cứ thứ gì không ngờ trong Inbox. Để hỗ trợ phương
pháp tiếp cận này trong một tổ chức, nên bao gồm trong các chính sách an ninh cụ
thể e-mail hướng dẫn cách sử dụng đó bao gồm:
Đính kèm trong tài liệu
Hyperlink trong tài liệu
Yêu cầu thông tin cá nhân hay công ty từ b ên trong công ty.
Yêu cầu thông tin cá nhân hay công ty từ bên ngoài công ty.
4.1.2
Các ứng dụng pop-up và hộp hội thoại( Pop-Up Applications and Dialog Boxes)
Không thực tế khi cho rằng các nhân vi ên không sử dụng Internet trong công
ty truy xuất cho các hoạt động không phải là công việc. Hầu hết nhân viên duyệt
Web cho các lý do cá nhân, ch ẳng hạn như mua sắm hoặc nghiên cứu trực tuyến.
Trình duyệt cá nhân có thể làm cho nhân viên, và vì th ế hệ thống máy tính công ty,
tiếp xúc với các social engineer. Mặc dù điều này có thể không là mục tiêu cụ thể
của công ty, họ sẽ sử dụng các nhân vi ên trong một nỗ lực để đạt được quyền truy
xuất vào tài nguyên công ty. Một trong những mục đích phổ biến l à nhúng một mail
engine vào môi trường máy tính công ty thông qua đó hacker có thể bắt đầu phising
hoặc các tấn công khác vào email của cá nhân hay của công ty.
Hai phương thức thông thường để lôi kéo user click v ào một nút bấm bên
trong một hộp hội thoại là đưa ra một cảnh báo của vấn đề, chẳng hạn như hiển thị
Social Engineering
17
một thông báo lỗi ứng dụng hoặc hệ thống, bằng cách đề nghị cung cấp thêm dịch
vụ - ví dụ, một download miễn phí l àm cho máy tính của user nhanh hơn. Với các
user IT và Web có kinh nghiệm, những phương pháp này dường như là các mánh
khóe lừa bịp dễ thấy. Nhưng với các user thiếu kinh nghiệm th ì các phương thức này
có thể đe dọa và lừa được họ.
Bảo vệ user từ các ứng dụng pop -up social engineering phần lớn là một chức
năng của sự ý thức. Để tránh vấn đề này, bạn có thể thiết lập cấu h ình trình duyệt
mặc định sẽ ngăn chặn pop -up và download tự động, nhưng một vài pop-up có thể
vượt qua thiết lập này. Sẽ hiệu quả hơn để đảm bảo rằng người dùng nhận thức được
rằng họ không nên bấm vào cửa sổ pop-up, trừ khi họ kiểm tra với nhân vi ên hỗ trợ.
4.1.3
Instant Mesaging:
Có một số mối đe dọa tiềm tàng của IM khi nó được hacker nhắm đến. Đầu tiên là
tính chất không chính thức của IM. Tính tán gẫu của IM, k èm theo đó là lựa chọn cho mình
một cái tên giả mạo, nghĩa là sẽ không hoàn toàn rõ ràng khi bạn đang nói chuyện với một
người mà bạn tin rằng bạn đang nói đến.
Hình minh họa dưới đây chỉ ra spoofing làm việc như thế nào, cho cả e-mail và IM:
Hacker (màu đỏ) giả mạo user đã biết và gởi một bản tin e-mail hay IM mà người
nhận sẽ cho rằng nó đến từ một người mà họ đã biết. Sự quen biết làm giảm nhẹ sự phòng
thủ của user, vì thế họ có nhiều khả năng click v ào một liên kết hoặc mở tập tin đính k èm từ
một ai đó mà họ biết – hoặc họ nghĩ là họ biết. Hầu hết các nhà cung cấp IM cho phép xác
nhận user dựa trên địa chỉ e-mail, điều này có thể giúp cho hacker người mà đã được xác
nhận với một địa chỉ theo tiêu chuẩn trong công ty để gởi lời mời đến những ng ười khác
trong tổ chức. Tính năng này hiện không chứa một mối đe dọa, nh ưng nó có nghĩa là số
lượng các mục tiêu bên trong công ty được tăng lên rất nhiều.
4.2 Telephone-Based Threats:
Nó là một môi trường truyền thông quen thuộc, nh ưng nó cũng không ám chỉ ai, bởi vì mục
tiêu không thể thấy được hacker. Các tùy chọn thông tin liên lạc cho hầu hết các hệ thống máy tính
Social Engineering
18
cũng có thể làm Private Branch Exchange (PBX) m ột mục tiêu hấp dẫn. Thêm nữa, có lẽ rất thô lỗ,
tấn công là để ăn cắp thẻ tín dụng hoặc thẻ điện thoại tại các buồng điện thoại. Hầu hết các cuộc tấn
công này là một hành vi trộm cắp thông thường là từ một cá nhân. Hầu hết mọi ng ười ý thức được
rằng họ nên thận trọng với những đôi mắt tò mò khi sử dụng ATM, nhưng đa số ít thận trọng hơn
khi sử dụng mã PIN tại buồng điện thoại.
Voip là một thị trường đang phát triển mà cung cấp lợi ích về chi phí cho công ty. Hiện nay,
do sự giới hạn tương đối số lượng các bản cài đặt, VoIP hacking không được xem là mối đe dọa
chính. Tuy nhiên, càng nhiều doanh nghiệp sử dụng công nghệ n ày, VoIP spoofing để trở nên lan
rộng như e-mail và IM spoofing.
4.2.1
Private Branch Exchange :
Hacker có 3 mục đích chính đề tấn công một PBX:
o Yêu cầu thông tin, thường là thông qua việc giả dạng một người sử dụng hợp pháp,
hoặc để truy cập vào các hệ thống điện thoại hoặc truy cập từ xa vào hệ thống máy
tính
o Đạt quyền truy xuất để sử dụng miễn phí điện thoại
o Đạt quyền truy xuất để giao tiếp với hệ thống mạng
Mỗi mục đích này là một biến thể của cùng một chủ đề, với các hacker gọi điện
thoại cho công ty và cố gắng để có được số điện thoại để cung cấp truy cập trực tiếp hoặc
thông qua một PBX đến mạng điện thoại công cộng. Thuật ngữ hacker gọi là phreaking.
Cách tiếp cận thông thường nhất là hacker giả vờ là một kỹ sư điện thoại, yêu cầu một
đường dây bên ngoài hoặc password để phân tích và giải quyết các vấn đề được báo cáo
trong hệ thống điện thoại nội bộ, nh ư mình minh họa bên dưới:
Yêu cầu về thông tin hoặc truy cập qua điện thoại là một tương đối rủi ro dưới hình
thức tấn công. Nếu mục tiêu trở nên đáng ngờ hoặc từ chối tuân thủ yêu cầu, các hacker có
thể chỉ cần gác máy. Tuy nhiên, nhận thấy là các cuộc tấn công có nhiều phức tạp h ơn một
hacker chỉ cần gọi điện thoại một công ty và các yêu cầu cho một người sử dụng ID và mật
khẩu. Các hacker thường trình bày một kịch bản, yêu cầu hoặc cung cấp trợ giúp, tr ước khi
Social Engineering
19
yêu cầu thông tin xảy ra cho cá nhân hoặc doanh nghiệp , gần như là một sự suy nghĩ sau khi
hành động.
Hầu hết các user không có bất kỳ kiến thức về hệ thống điện thoại nội bộ, ngoài các
số điện thoại riêng của mình. Đây là một phần của việc phòng thủ quan trọng nhất mà bạn
có thể đưa vào chính sách bảo mật. Thật là hiếm khi hacker tiếp cận user thô ng thường theo
cách này. Các mục tiêu thông thường hầu hết là nhân viên tiếp tân hay tổng đài. Bạn phải
chỉ rõ rằng chỉ có bàn dịch vụ có chứng thực để cung cấp sự trợ giúp đến nhà cung cấp điện
thoại. Bằng cách này, tất cả các cá nhân có thẩm quyền đối vớ i tất cả các cuộc gọi hỗ trợ kỹ
thuật. Cách tiếp cận này cho phép nhân viên m ục tiêu định hướng lại như các truy vấn có
hiệu quả và nhanh chóng tới một thành viên đủ điều kiện.
4.2.2
Service Desk:
Bàn cung cấp dịch vụ - hoặc bàn trợ giúp – là một trong những phòng thủ trụ cột
chống lại hacker, nhưng ngược lại nó cũng là mục tiêu cho các hacker social engineering.
Mặc dù nhân viên hỗ trợ thường nhận thấy được mối đe dọa của hacking, họ cũng đào tạo
để giúp đỡ và hỗ trợ người gọi, cung cấp cho họ t ư vấn và giải quyết các vấn đề của họ. Đôi
khi sự nhiệt tình chứng tỏ bởi nhân viên hỗ trợ kỹ thuật cung cấp một giải pháp l àm mất
hiệu lực sự cam kết của họ tuân thủ các thủ tục bảo mật v à đưa nhân viên cung cấp giải
pháp vào một tình thế khó xử: nếu họ thực thi nghi êm ngặt các tiêu chuẩn bảo mật, yêu cầu
xác nhận tính hợp lệ là các yêu cầu hoặc câu hỏi đến từ một ủy quyền ng ười sử dụng, thì
điều này có thể không có tác dụng và làm cản trở. Nhân viên tiếp thị, bán hàng và sản xuất
cảm thấy rằng là các bộ phận IT không cung cấp dịch vụ tức thời mà họ yêu cầu thì có
khuynh hướng than phiền, và những người quản lý cấp cao nhất được yêu cầu chứng minh
nhận dạng của họ thường ít thông cảm với tính cẩn thận của nhân vi ên hỗ trợ.
Bàn cung cấp dịch vụ cần phải cân bằng tính bả o mật với hiệu quả kinh doanh,
chẳng hạn như các thủ tục và chính sách bảo mật phải hỗ trợ họ. Thật khó hơn để bảo vệ
cho nhân viên phân tích bàn d ịch vụ chống lại hacker b ên trong hay làm hợp đồng. Chẳng
hạn hacker đã có sự hiểu biết về các thủ tục b ên trong và có đủ thời gian để đảm bảo rằng
họ có tất cả các thông tin cần thiết, trước khi họ tiến hành một cuộc gọi cho bàn dịch vụ.
4.3 Waste Management Threats:
Dumpster diving là một hoạt động có giá trị cho hacker. Giấy tờ vứt đi có thể chứa
thông tin mang lại lợi ích tức thời cho hacker, chẳng hạn như user ID và số tài khoản bỏ đi,
hoặc có thể phục vụ như là thông tin nền, như các biểu đồ tổ chức và danh sách điện thoại. Các
loại thông tin này là vô giá đối với hacker social engineering, bởi v ì nó làm cho hắn ta có vẻ
đáng tin khi bắt đầu cuộc tấn công.
Phương tiện lưu giữ điện tử thậm chí còn hữu ích hơn cho hacker. Nếu một công ty,
không có các quy tắc quản lý chất thải bao gồm sử dụng các ph ương tiện thông tin dư thừa, thì
có thể tìm thấy tất cả các loại thông tin trên ổ đĩa cứng, CD, DVD không c òn sử dụng.
Nhân viên phải hiểu được đầy đủ sự tác động của việc ném giấy thải hoặc ph ương tiện
lưu trữ điện tử vào thùng rác. Sau khi di chuy ển rác thải ra ngoài công ty, thì tính sở hữu nó có
thể trở thành không rõ ràng về pháp luật. Dumpster diving có thể không đ ược coi là bất hợp
pháp trong mọi hoàn cảnh, vì thế phải chắc chắn rằng đưa ra lời khuyên như thế nào để giải
quyết với những vật liệu thải. Luôn luôn cắt thành miếng nhỏ giấy vụn và xóa đi hoặc phá hủy
các phương tiện có từ tính. Nếu có loại chất thải quá lớn hoặc khó để đặt v ào máy hủy, chẳng
hạn như niên giám điện thoại, hoặc nó có kỹ thuật v ượt quá khả năng của user để hủy nó, th ì
Social Engineering
20
- Xem thêm -