Top 6 hình thức tấn công mạng phổ biến năm 2020

Các cuộc tấn công mạng đang được diễn ra từng giờ, từng ngày. Số vụ tấn công gia tăng với tốc độ đáng kinh ngạc. Mỗi năm lại có những phương thức, xu hướng và kỹ thuật tấn công mạng mới. Dưới đây là TOP 6 kiểu tấn công mạng phổ biến năm 2020.

1. Tấn công bằng phần mềm độc hại (Malware Attack)

 

Một trong những hình thức tấn công mạng điển hình nhất những năm gần đây là hình thức tấn công bằng phần mềm độc hại (malware). Các phần mềm độc hại này bao gồm: ransomeware (mã độc tống tiền), spyware (phần mềm gián điệp), virus và worm (phần mềm độc hại có khả năng lây lan với tốc độ chóng mặt). Các tin tặc thường lợi dụng các lỗ hổng bảo mật để cài đặt malware nhằm xâm nhập và tấn công hệ thống.

Một số hậu quả do malware gây ra:

•           Chặn người dùng truy cập vào các file hoặc folder nhất định

•           Theo dõi hành động của người dùng và đánh cắp dữ liệu

•           Làm hỏng phần cứng và làm ngưng trệ hoạt động

2. Tấn công giả mạo (Phishing Attack)

Phishing Attack là hình thức tấn công trong đó tin tặc giả mạo thành một tổ chức hoặc cá nhân uy tín để lấy lòng tin của người dùng, sau đó đánh cắp các dữ liệu nhạy cảm như tài khoản ngân hàng, thẻ tín dụng…

 

Các cuộc tấn công giả mạo thường được thực hiện qua email. Cụ thể, bạn sẽ nhận được một email giả mạo tổ chức/ cá nhân đáng tin cậy với thông điệp vô cùng khẩn thiết, yêu cầu bạn phải click vào đường link nếu không muốn gánh hậu quả. Nếu click vào liên kết, bạn sẽ được chuyển đến một website giả mạo và được yêu cầu đăng nhập. Khi đó, tin tặc đã có được thông tin đăng nhập của bạn và sử dụng nó để lấy cắp các dữ liệu quan trọng khác như tài khoản ngân hàng, tài khoản tín dụng… Lúc này, thông tin của bạn đã trôi nổi trên thị trường chợ đen.

Mục đích của tấn công Phishing thường là đánh cắp dữ liệu nhạy cảm như thông tin thẻ tín dụng, mật khẩu, đôi khi phishing là một hình thức để lừa người dùng cài đặt malware vào thiết bị (khi đó, phishing là một công đoạn trong cuộc tấn công malware).

3. Tấn công trung gian (Man in the middle attack)

Tấn công trung gian là hình thức tin tặc xen vào giữa phiên giao dịch hay giao tiếp giữa hai đối tượng. Khi đã xâm nhập thành công, chúng sẽ theo dõi được mọi hành vi và có thể đánh cắp mọi dữ liệu trong phiên giao dịch đó.

 

Tấn công trung gian dễ xảy ra khi nạn nhân truy cập vào một mạng wifi không an toàn. Khi đó, tin tặc có thể xâm nhập vào thiết bị của nạn nhân và kiểm soát mọi hành vi, thông tin trong giao dịch đó.

4. Tấn công từ chối dịch vụ (DoS & DDoS)

DoS (Denial of Service) là hình thức tấn công mà tin tặc đánh sập một hệ thống hoặc máy chủ tạm thời bằng cách tạo ra một lượng traffic khổng lồ ở cùng một thời điểm khiến cho hệ thống bị quá tải. Khi đó, người dùng không thể truy cập vào mạng trong thời gian tin tặc tấn công.

DDoS (Distributed Denial of Service) là hình thức biến thể của DoS. Theo đó, tin tặc sử dụng một mạng lưới các máy tính để tấn công. Sự nguy hiểm thể hiện ở chỗ chính các máy tính thuộc mạng lưới máy tính trên cũng không biết bản thân đang bị lợi dụng làm công cụ tấn công.

Hình thức tấn công Ddos chủ yếu nhắm vào các mục tiêu như: website, máy chủ trò chơi, máy chủ DNS… làm chậm, gián đoạn hoặc đánh sập hệ thống. Theo dự đoán của các cơ quan bảo mật, tần suất và phương thức tấn công Ddos sẽ ngày càng tăng lên, người dùng nên đặc biệt cẩn trọng.

 

5. Tấn công cơ sở dữ liệu (SQL Injection)

SQL Injection là hình thức tấn công trong đó tin tặc chèn một đoạn mã độc hại vào server sử dụng ngôn ngữ SQL để đánh cắp những dữ liệu quan trọng.

 

Hậu quả lớn nhất của SQL Injection là làm lộ dữ liệu trong database. Lộ dữ liệu khách hàng là điều đặc biệt tối kỵ bởi điều này ảnh hưởng nặng nề đến mức độ uy tín của doanh nghiệp. Khi khách hàng mất niềm tin vào doanh nghiệp, chắc chắn họ sẽ chuyển qua sử dụng dịch vụ của doanh nghiệp khác, dẫn đến tình trạng doanh số giảm sút, thậm chí phá sản.

6. Khai thác lỗ hổng Zero Day (Zero Day Attack)

 

Lỗ hổng Zero-day là các lỗ hổng bảo mật chưa được các nhà phát triển phần mềm biết tới, vì vậy chưa có bản vá chính thức cho các lỗ hổng này. Nói cách khác, cuộc tấn công khai thác lỗ hổng Zero Day xảy ra một cách bất ngờ mà các nhà phát triển phần mềm không thể dự liệu trước. Do đó, hậu quả của việc tấn công vào các lỗ hổng này thường gây ra thiệt hại vô cùng nặng nề cho nạn nhân.

Trên đây là giới thiệu tổng quan về những hình thức tấn công phổ biến mà PTIT.vn muốn thông tin đến bạn. Tiếp theo, chúng ta hãy cùng đi sâu vào tìm hiểu từng loại tấn công nhé !

Link: 

https://ptit.vn/khai-thac-lo-hong-zero-day-zero-day-attack.html

https://ptit.vn/tan-cong-co-so-du-lieu-sql-injection.html

https://ptit.vn/tan-cong-tu-choi-dich-vu-dos-ddos.html

https://ptit.vn/tan-cong-trung-gian-man-in-the-middle-attack.html

https://ptit.vn/tan-cong-gia-mao-phishing-attack.html

https://ptit.vn/tan-cong-bang-phan-mem-doc-hai-malware-attack.html

 Khai thác lỗ hổng Zero Day (Zero Day Attack)

Zero-day là gì?

 

Zero-day hay lỗ hổng zero-day là thuật ngữ dùng để chỉ những lỗ hổng đang được hacker khai thác một cách tích cực. Tuy nhiên, những lỗ hổng này lại chưa được xác định hoặc chưa được khắc phục, vá bởi cơ quan có chức năng giảm thiểu lỗ hổng bảo mật, bao gồm cả các doanh nghiệp phát triển, kinh doanh hệ thống phần mềm và phần cứng.

Thậm chí, ngay cả khi đã được phát hiện, hacker vẫn có thể tiếp tục khai thác lỗ hổng zero-day để đánh cắp thông tin hoặc các hành vi xấu khác. Những cuộc tấn công nhắm vào lỗ hổng zero-day được gọi là zero-day exploit hoặc zero-day attack.

Các cuộc tấn công zero-day attack được coi là mối đe dọa nghiêm trọng bởi vì chưa được phát hiện nên chẳng có bản vá hay phần mềm nào chống lại lỗ hổng zero-day. Bản chất này cũng khiến tỷ lệ khai thác thành công các lỗ hổng zero-day cao hơn nhiều và các cuộc tấn công thường ảnh hưởng tới hàng ngàn, hàng triệu người dùng.

Với mức độ nguy hiểm của mình, lỗ hổng zero-day luôn được các hacker săn lùng. Thông tin về lỗ hổng zero-day luôn được bán giá cao trên dark web.

Các biện pháp chống lại lỗ hổng zero-day

Trên thế giới không có hệ thống nào được coi là hoàn hảo. Bất cứ hệ thống phần mềm hay phần cứng nào cũng đều có những lỗ hổng, cả zero-day và lỗ hổng thông thường. Vì thế, chúng ta không thể loại bỏ hoàn toàn lỗ hổng zero-day mà chỉ có thể phát hiện, khắc phục nó một cách nhanh nhất.

Với người dùng, bạn cần thường xuyên cập nhật phiên bản mới cho hệ điều hành cũng như các ứng dụng của mình. Thông thường, khi phát hiện ra bất cứ lỗ hổng bảo mật nào, các nhà phát triển phần mềm đều sẽ tung ra bản vá trong thời gian ngắn nhất. Bạn cũng có thể áp dụng các biện pháp bảo mật khác như cài đặt phần mềm chống virus...

Các doanh nghiệp, sử dụng phần mềm, phần cứng, nên trang bị hệ thống giám sát bảo mật theo thời gian thực. Ngoài ra, hệ thống IDS (phát hiện xâm nhập) và IPS (ngăn chặn xâm nhập) có thể giúp bảo vệ mạng máy tính của doanh nghiệp trước các cuộc tấn công một cách hiệu quả.

Với doanh nghiệp phát triển hệ thống phần mềm, phần cứng, cần nâng cao quy trình kiểm duyệt sản phẩm để phát hiện ra lỗ hổng, lỗi một cách hiệu quả nhất. Song song với đó, nên triển khai các chương trình săn lỗi nhận thưởng để thu hút các hacker mũ trắng tham gia kiểm thử bảo mật cho sản phẩm.

Tấn công cơ sở dữ liệu (SQL Injection)

SQL Injection là gì?

SQL Injection là một kỹ thuật lợi dụng những lỗ hổng về câu truy vấn của các ứng dụng. Được thực hiện bằng cách chèn thêm một đoạn SQL để làm sai lệnh đi câu truy vấn ban đầu, từ đó có thể khai thác dữ liệu từ database. SQL injection có thể cho phép những kẻ tấn công thực hiện các thao tác như một người quản trị web, trên cơ sở dữ liệu của ứng dụng.

Ví dụ thực tiễn SQL Injection

Ví dụ, trong form đăng nhập, người dùng nhập dữ liệu, trong trường tìm kiếm người dùng nhập văn bản tìm kiếm, trong biểu mẫu lưu dữ liệu, người dùng nhập dữ liệu cần lưu. Tất cả các dữ liệu được chỉ định này đều đi vào cơ sở dữ liệu.

Thay vì nhập dữ liệu đúng, kẻ tấn công lợi dụng lỗ hổng để insert và thực thi các câu lệnh SQL bất hợp pháp để lấy dữ liệu của người dùng… SQL Injection được thực hiện với ngôn ngữ lập trình SQL. SQL (Structured Query Language) được sử dụng để quản lý dữ liệu được lưu trữ trong toàn bộ cơ sở dữ liệu.

Sự nguy hiểm của SQL Injection

• Hack tài khoản cá nhân.
• Ăn cắp hoặc sao chép dữ liệu của trang web hoặc hệ thống.
• Thay đổi dữ liệu nhạy cảm của hệ thống.
• Xóa dữ liệu nhạy cảm và quan trọng của hệ thống.
• Người dùng có thể đăng nhập vào ứng dụng với tư cách người dùng khác, ngay cả với tư cách quản trị viên.
• Người dùng có thể xem thông tin cá nhân thuộc về những người dùng khác, ví dụ chi tiết hồ sơ của người dùng khác, chi tiết giao dịch của họ,…
• Người dùng có thể sửa đổi cấu trúc của cơ sở dữ liệu, thậm chí xóa các bảng trong cơ sở dữ liệu ứng dụng.
• Người dùng có thể kiểm soát máy chủ cơ sở dữ liệu và thực thi lệnh theo ý muốn.

Ví dụ tấn công

Việc kiểm tra lỗ hổng này có thể được thực hiện rất dễ dàng. Đôi khi ta chỉ cần nhập ký hiệu ' hoặc " vào các trường được kiểm tra. Nếu nó trả về bất kỳ thông báo bất ngờ hoặc bất thường, thì ta có thể chắc chắn rằng SQL Injection khả thi cho trường đó.

Ví dụ: một Form đăng nhập như sau

Và đoạn code server xử lý của bạn:

if(isset($_POST['username']) && isset($_POST['password'])){

$sql = "SELECT * FROM tbl_user WHERE username='". $_POST['username'] . "' AND password = '" .$_POST['password'] ."'";

}

Nếu như người dùng không nhập bình thường nữa mà chẳng hạn như họ có thêm một dấu nháy ‘ hoặc " vào thì dòng code của bạn sẽ bị lỗi ngay. Hoặc họ có thể sửa thành một câu truy vấn luôn luôn đúng như sau.

SELECT * FROM tbl_user WHERE username = '' OR '1' = '1' and password = '' OR '1' = '1'

Hoặc chèn thêm một câu lệnh truy vấn phía sau:

VD:

SELECT * FROM tbl_user WHERE username = 'admin' and password = 'admin'; Drop table users;

Các phần dễ bị tấn công

Các phần dễ bị tấn công bao gồm:

• Form đăng nhập
• Form tìm kiếm
• Form nhận xét
• Bất kì trường lưu hoặc trường đầu vào của dữ liệu
• Liên kết của website

Cần lưu ý là trong khi thử nghiệm chống lại tấn công này là không thể chỉ kiểm tra một hoặc một vài trường bởi vì một trường có thể được bảo vệ chống lại SQL Injection, nhưng một trường khác thì không. Do đó, điều quan trọng là đừng quên kiểm tra tất cả các trường của trang web.

Cách giảm thiểu và phòng ngừa SQL Injection

Luôn kiểm tra kỹ các trường nhập dữ liệu và các bạn cần ràng buộc thật kỹ dữ liệu người dùng nhập vào.

Ví dụ:

//Thông thường

$id = $_GET['id'];

//Ràng buộc

$id = isset($_GET['id'])?(string)(int)$_GET['id']:false;

Dùng Regular Expression để loại bỏ đi các ký tự lạ hoặc các ký tự không phải là số.

$id = isset($_GET['id']) ? $_GET['id'] : false;

$id = str_replace('/[^0-9]/', '', $id);

Hoặc dùng các hàm có sẵn để giảm thiểu lỗi. Mỗi khi truy vấn thì mọi người nên sử dụng thêm hàm mysqli_real_escape_string để chuyển đổi một chuỗi thành một query an toàn.

$id = isset($_GET['id'])?(string)(int)$_GET['id']:false;

$sql= 'SELECT * FROM tbl_user WHERE id= ' . mysqli_real_escape_string($id);

Và lời khuyên cuối cùng là chúng ta nên dùng các Framework và hạn chế dùng code thuần tối đa nếu có thể. Framework luôn có cộng đồng hoặc các chuyên gia bảo mật giúp tìm lỗi và update liên tục, từ đó chúng ta có thể giảm bớt thời gian xử lý lỗi để tăng thời gian làm sản phẩm cũng là một điều hay.

 “Tấn công từ chối dịch vụ Dos và Ddos”

Có thể bạn đã từng nghe nhiều về DoS, DDoS hay tấn công từ chối dịch vụ và cũng có thể đã từng là nạn nhân của kiểu tấn công này. Vậy DoS, DDoS là gì, dấu hiệu nào để nhận biết DoS, DDoS và tác hại của chúng ra sao? Trong bài viết này, chúng ta sẽ cùng nhau tìm hiểu về kiểu tấn công kinh điển này, cũng như đưa ra cho bạn một số việc cần làm nếu nghi ngờ dịch vụ của mình đang bị DDoS, rôi cách kiểm tra, phòng tránh DDoS đang được áp dụng tại các trung tâm dữ liệu.

DoS là gì?

DoS tên đầy đủ tiếng Anh là Denial of Service, dịch ra tiếng Việt là từ chối dịch vụ. Tấn công từ chối dịch vụ DoS là cuộc tấn công nhằm làm sập một máy chủ hoặc mạng, khiến người dùng khác không thể truy cập vào máy chủ/mạng đó. Kẻ tấn công thực hiện điều này bằng cách "tuồn" ồ ạt traffic hoặc gửi thông tin có thể kích hoạt sự cố đến máy chủ, hệ thống hoặc mạng mục tiêu, từ đó khiến người dùng hợp pháp (nhân viên, thành viên, chủ tài khoản) không thể truy cập dịch vụ, tài nguyên họ mong đợi.

Nạn nhân của tấn công DoS thường là máy chủ web của các tổ chức cao cấp như ngân hàng, doanh nghiệp thương mại, công ty truyền thông, các trang báo, mạng xã hội...

Ví dụ, khi bạn nhập vào URL của một website vào trình duyệt, lúc đó bạn đang gửi một yêu cầu đến máy chủ của trang này để xem. Máy chủ chỉ có thể xử lý một số yêu cầu nhất định trong một khoảng thời gian, vì vậy nếu kẻ tấn công gửi ồ ạt nhiều yêu cầu đến máy chủ sẽ làm nó bị quá tải và yêu cầu của bạn không được xử lý. Đây là kiểu “từ chối dịch vụ” vì nó làm cho bạn không thể truy cập đến trang đó.

Kẻ tấn công có thể sử dụng thư rác để thực hiện các tấn công tương tự trên tài khoản email của bạn. Dù bạn có một tài khoản email của công ty hay dùng dịch vụ miễn phí như Gmail thì vẫn bị giới hạn số lượng dữ liệu trong tài khoản. Bằng cách gửi nhiều email đến tài khoản của bạn, kẻ tấn công có thể làm đầy hòm thư đến và ngăn chặn bạn nhận được các mail khác

DDoS là gì?

DDoS (Distributed Denial of Service), nghĩa tiếng Việt là từ chối dịch vụ phân tán. Tấn công DDoS là nỗ lực làm sập một dịch vụ trực tuyến bằng cách làm tràn ngập nó với traffic từ nhiều nguồn.

Khi DDoS, kẻ tấn công có thể sử dụng máy tính của bạn để tấn công vào các máy tính khác. Bằng cách lợi dụng những lỗ hổng về bảo mật cũng như sự không hiểu biết, kẻ này có thể giành quyền điều khiển máy tính của bạn. Sau đó chúng sử dụng máy tính của bạn để gửi số lượng lớn dữ liệu đến một website hoặc gửi thư rác đến địa chỉ email nào đó. Đây là kiểu tấn công phân tán vì kẻ tấn công sử dụng nhiều máy tính, bao gồm có cả máy tính của bạn để thực hiện tấn công Dos.

Mặc dù DDoS cung cấp một chế độ tấn công ít phức tạp hơn các dạng tấn công mạng khác, nhưng chúng đang ngày càng mạnh mẽ và tinh vi hơn. Có ba loại tấn công cơ bản:

• Volume-based: Sử dụng lưu lượng truy cập cao để làm tràn ngập băng thông mạng
• Protocol: Tập trung vào việc khai thác các tài nguyên máy chủ
• Application: Tập trung vào các ứng dụng web và được xem là loại tấn công tinh vi và nghiêm trọng nhất

 

Sự khác biệt giữa tấn công DoS và DDoS

Tóm lại, tấn công DoS nghĩa là một máy tính gửi một lượng lớn lưu lượng truy cập đến máy tính của nạn nhân và đánh "sập" nó. Tấn công DoS là một cuộc tấn công trực tuyến được sử dụng để làm cho trang web không khả dụng với người dùng, khi được thực hiện trên một trang web. Cuộc tấn công này làm cho máy chủ của một trang web được kết nối với Internet "sập" bằng cách gửi một lượng lớn lưu lượng truy cập đến nó.

Còn trong cuộc tấn công DDoS, các cuộc tấn công được thực hiện từ nhiều địa điểm khác nhau bằng cách sử dụng nhiều hệ thống.

 

2 kiểu tấn công này có những điểm khác biệt như sau:

DOS	DDOS
DoS là viết tắt của Denial of service.	DDoS là viết tắt của Distributed Denial of service.
Trong cuộc tấn công DoS, chỉ một hệ thống nhắm mục tiêu vào hệ thống nạn nhân.	Trong DDos, nhiều hệ thống tấn công hệ thống nạn nhân.
PC bị nhắm mục tiêu được load từ gói dữ liệu gửi từ một vị trí duy nhất.	PC bị nhắm mục tiêu được load từ gói dữ liệu gửi từ nhiều vị trí.
Tấn công DoS chậm hơn so với DDoS.	Tấn công DDoS nhanh hơn tấn công DoS.
Có thể bị chặn dễ dàng vì chỉ sử dụng một hệ thống.	Rất khó để ngăn chặn cuộc tấn công này vì nhiều thiết bị đang gửi gói tin và tấn công từ nhiều vị trí.
Trong cuộc tấn công DoS, chỉ một thiết bị duy nhất được sử dụng với các công cụ tấn công DoS.	Trong cuộc tấn công DDoS, nhiều bot được sử dụng để tấn công cùng một lúc.
Các cuộc tấn công DoS rất dễ theo dõi.	Các cuộc tấn công DDoS rất khó theo dõi.
Lưu lượng truy cập trong cuộc tấn công DoS ít hơn so với DDoS.	Các cuộc tấn công DDoS cho phép kẻ tấn công gửi một lượng lớn lưu lượng truy cập đến mạng nạn nhân.
Các loại tấn công DoS: 1. Tấn công tràn bộ đệm 2. Tấn công Ping of Death hoặc ICMP flood 3. Tấn công Teardrop Attack	Các loại tấn công DDoS: 1. Tấn công Volumetric (tấn công băng thông) 2. Tấn công Fragmentation Attack (phân mảnh dữ liệu) 3. Application Layer Attack (khai thác lỗ hổng trong các ứng dụng)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Tác hại của DoS và DDoS

Đây là những hậu quả điển hình mà DDoS và DoS gây ra:

• Hệ thống, máy chủ bị DoS sẽ sập khiến người dùng không truy cập được
• Doanh nghiệp sở hữu máy chủ, hệ thống sẽ bị mất doanh thu, chưa kể đến khoản chi phí cần phải bỏ ra để khắc phục sự cố.
• Khi mạng sập, mọi công việc yêu cầu mạng đều không thể thực hiện, làm gián đoạn công việc, ảnh hưởng đến hiệu suất công việc.
• Nếu người dùng truy cập website khi nó bị sập sẽ ảnh hưởng đến danh tiếng của công ty, nếu website sập trong thời gian dài thì có thể người dùng sẽ bỏ đi, lựa chọn dịch vụ khác thay thế.
• Đối với những vụ tấn công DDoS kỹ thuật cao có thể dẫn đến việc lấy trộm tiền bạc, dữ liệu khách hàng của công ty.

Các kiểu tấn công từ chối dịch vụ phổ biến hiện nay

SYN Flood:

SYN Flood khai thác điểm yếu trong chuỗi kết nối TCP, được gọi là bắt tay ba chiều. Máy chủ sẽ nhận được một thông điệp đồng bộ (SYN) để bắt đầu "bắt tay". Máy chủ nhận tin nhắn bằng cách gửi cờ báo nhận (ACK) tới máy lưu trữ ban đầu, sau đó đóng kết nối. Tuy nhiên, trong một SYN Flood, tin nhắn giả mạo được gửi đi và kết nối không đóng => dịch vụ sập.

UDP Flood:

User Datagram Protocol (UDP) là một giao thức mạng không session. Một UDP Flood nhắm đến các cổng ngẫu nhiên trên máy tính hoặc mạng với các gói tin UDP. Máy chủ kiểm tra ứng dụng tại các cổng đó nhưng không tìm thấy ứng dụng nào.

HTTP Flood:

HTTP Flood gần giống như các yêu cầu GET hoặc POST hợp pháp được khai thác bởi một hacker. Nó sử dụng ít băng thông hơn các loại tấn công khác nhưng nó có thể buộc máy chủ sử dụng các nguồn lực tối đa.

Ping of Death:

Ping of Death điều khiển các giao thức IP bằng cách gửi những đoạn mã độc đến một hệ thống. Đây là loại DDoS phổ biến cách đây hai thập kỷ nhưng đã không còn hiệu quả vào thời điểm hiện tại.

Smurf Attack:

Smurf Attack khai thác giao thức Internet (IP) và ICMP (Internet Control Message Protocol) sử dụng một chương trình phần mềm độc hại gọi là smurf. Nó giả mạo một địa chỉ IP và sử dụng ICMP, sau đó ping các địa chỉ IP trên một mạng nhất định.

Fraggle Attack:

Fraggle Attack sử dụng một lượng lớn lưu lượng UDP vào mạng phát sóng của router. Nó giống như một cuộc tấn công Smurf, sử dụng UDP nhiều hơn là ICMP.

Slowloris:

Slowloris cho phép kẻ tấn công sử dụng nguồn lực tối thiểu trong một cuộc tấn công và các mục tiêu trên máy chủ web. Khi đã kết nối với mục tiêu mong muốn, Slowloris giữ liên kết đó mở càng lâu càng tốt với HTTP tràn ngập. Kiểu tấn công này đã được sử dụng trong một số DDoSing kiểu hacktivist (tấn công vì mục tiêu chính trị) cao cấp, bao gồm cuộc bầu cử tổng thống Iran năm 2009. Việc giảm thiểu ảnh hưởng với loại hình tấn công này là rất khó khăn.

Application Level Attacks:

Application Level Attacks khai thác lỗ hổng trong các ứng dụng. Mục tiêu của loại tấn công này không phải là toàn bộ máy chủ, mà là các ứng dụng với những điểm yếu được biết đến.

NTP Amplification:

NTPAmplification khai thác các máy chủ NTP (Network Time Protocol), một giao thức được sử dụng để đồng bộ thời gian mạng, làm tràn ngập lưu lượng UDP. Đây là reflection attack bị khuếch đại. Trong reflection attack bất kỳ nào đều sẽ có phản hồi từ máy chủ đến IP giả mạo, khi bị khuếch đại, thì phản hồi từ máy chủ sẽ không còn tương xứng với yêu cầu ban đầu. Vì sử dụng băng thông lớn khi bị DDoS nên loại tấn công này có tính phá hoại và volumne cao.

Advanced Persistent DoS (APDoS):

Advanced Persistent DoS (APDoS) là một loại tấn công được sử dụng bởi hacker với mong muốn gây ra những thiệt hại nghiêm trọng. Nó sử dụng nhiều kiểu tấn công được đề cập trước đó HTTP Flood, SYN Flood, v.v...) và thường nhắm tấn công theo kiểu gửi hàng triệu yêu cầu/giây. Các cuộc tấn công của APDoS có thể kéo dài hàng tuần, phụ thuộc vào khả năng của hacker để chuyển đổi các chiến thuật bất cứ lúc nào và tạo ra sự đa dạng để tránh các bảo vệ an ninh.

Zero-day DDoS Attacks:

Zero-day DDoS Attacks là tên được đặt cho các phương pháp tấn công DDoS mới, khai thác các lỗ hổng chưa được vá.

HTTP GET

HTTP GET là một kiểu tấn công lớp ứng dụng (Application Layer attack), quy mô nhỏ hơn và được nhắm tới những mục tiêu hơn. Application Level Attacks khai thác lỗ hổng trong các ứng dụng. Mục tiêu của loại tấn công này không phải là toàn bộ máy chủ, mà là các ứng dụng với những điểm yếu được biết đến.

Kiểu tấn công này sẽ nhắm vào Lớp thứ 7 trong mô hình OSI. Đây là lớp có lưu lượng mạng cao nhất, thay vì hướng vào lớp thứ 3 thường được chọn làm mục tiêu trong các cuộc tấn công Bulk Volumetric. HTTP GET khai thác quy trình trình của một trình duyệt web hoặc ứng dụng HTTP nào đó và yêu cầu một ứng dụng hoặc máy chủ cho mỗi yêu cầu HTTP, đó là GET hoặc POST.

HTTP Flood gần giống như các yêu cầu GET hoặc POST hợp pháp được khai thác bởi một hacker. Nó sử dụng ít băng thông hơn các loại tấn công khác nhưng nó có thể buộc máy chủ sử dụng các nguồn lực tối đa. Rất khó để chống lại kiểu tấn công này vì chúng sử dụng các yêu cầu URL tiêu chuẩn, thay vì các tập lệnh bị hỏng hoặc khối lượng lớn.

Làm thế nào để tránh bị tấn công từ chối dịch vụ?

Thực sự không có một biện pháp cụ thể nào để tránh trở thành nạn nhân của DoS hay DDoS. Tuy nhiên chúng tôi sẽ giới thiệu cho các bạn vài bước với mục đích giảm bớt phần nào kiểu tấn công mà sẽ sử dụng máy tính của bạn đế đi tấn công máy tính khác.

• Cài đặt và duy trì phần mềm chống virus.
• Cài đặt tường lửa và cấu hình nó để giới hạn lưu lượng đến và đi từ máy tính của bạn.
• Làm theo các hướng dẫn thực hành an toàn về phân phối địa chỉ email của bạn.
• Dùng các bộ lọc email để giúp bạn quản lý lưu lượng không mong muốn.

Cụ thể, ví dụ như đối với 1 data center, nên triển khai các biện pháp phòng tránh sau:

Các ISP thường có bảo vệ DDoS ở lớp 3 và Lớp 4 (lưu lượng mạng), nhưng lại bỏ qua Lớp 7, nơi bị nhắm làm mục tiêu nhiều hơn, và nhìn chung thì sự đồng đều ở các lớp bảo vệ cũng không được đảm bảo.

Các công ty xử lý DDoS: họ sử dụng cơ sở hạ tầng hiện có của mình để chống lại bất kỳ mối đe dọa nào đến với họ. Thông thường, điều này được thực hiện thông qua cân bằng tải (load balancer), mạng phân phối nội dung (CDN) hoặc kết hợp cả hai. Các trang web nhỏ hơn và các dịch vụ có thể thuê bên ngoài của các bên thứ ba nếu họ không có vốn để duy trì một loạt các máy chủ.

Các nhà cung cấp dịch vụ chống DDoS luôn sẵn sàng. Thông thường, họ sẽ định tuyến lại lưu lượng truy cập đến của bạn thông qua hệ thống của riêng họ và "cọ rửa" nó để chống lại các phương thức tấn công đã biết. Họ có thể quét các lưu lượng truy cập đáng ngờ từ các nguồn hoặc từ các geolocation không phổ biến. Hoặc họ cũng có thể định tuyến lại lưu lượng truy cập hợp pháp của bạn khỏi các nguồn botnet.

Hầu hết các tường lửa hiện đại và Hệ thống bảo vệ xâm nhập (Intrusion Protection Systems - IPS) đều cung cấp khả năng phòng thủ trước các cuộc tấn công DDoS. Các thiết bị này có thể ở dưới dạng một thiết bị duy nhất quét tất cả lưu lượng truy cập đến hệ thống hoặc phần mềm được phân phối ở cấp máy chủ. Các ứng dụng chống DDoS chuyên dụng cũng có sẵn trên thị trường và có thể bảo vệ tốt hơn trước các cuộc tấn công nhắm vào Lớp 7.

Quét mạng thường xuyên và theo dõi lưu lượng với các cảnh báo cũng có thể giúp bạn nắm bắt được những nguy cơ của một cuộc tấn công DDoS sớm, cũng như đưa ra những hành động để giảm thiểu thiệt hại.

Nhận biết các cuộc tấn công DoS và DdoS

Không phải sự sập đổ hoàn toàn nào của dịch vụ cũng là kết quả của một tấn công từ chối dịch vụ. Có nhiều vấn đề kỹ thuật với một mạng hoặc với các quản trị viên đang thực hiện việc bảo trì và quản lý. Mặc dù thế nhưng với các triệu chứng dưới đây bạn có thể nhận ra tấn công DoS hoặc DdoS:

Thực thi mạng chậm một cách không bình thường (mở file hay truy cập website)

• Không vào được website bạn vẫn xem
• Không thể truy cập đến bất kỳ một website nào
• Số lượng thư giác tăng một cách đột biến trong tài khoản của bạn.

Nên làm gì nếu bạn nghĩ mình đang bị tấn công từ chối dịch vụ?

Cho dù bạn có xác định đúng tấn công DoS hoặc DdoS đi chăng nữa thì bạn cũng không thể xác định được nguồn hoặc đích của tấn công. Chính vì vậy bạn nên liên hệ đến các chuyên gia kỹ thuật để được hỗ trợ.

• Nếu bạn thấy rằng không thể truy cập vào chính các file của mình hoặc vào bất cứ website mở rộng nào từ máy tính thì bạn nên liên hệ với người quản trị mạng của mạng đó. Điều này có thể chỉ ra rằng máy tính của bạn hoặc mạng của tổ chức đang bị tấn công hay không.
• Nếu bạn thấy những vấn đề xảy ra trên chính máy tính của mình, thì bạn hãy liên hệ với nhà cung cấp dịch vụ (ISP). Nếu có vấn đề, ISP có thể khuyên bạn có những hành động thích hợp.

Công tác kiểm tra và chuẩn bị trong ứng phó với DDoS tại các trung tâm dữ liệu

Khi bạn sở hữu một hệ thống bảo vệ DDoS tại chỗ, bước đầu tiên cần thực hiện là xác định các phương thức tấn công và các ứng dụng quan trọng. Cổng nào đang mở? Băng thông nào đang có sẵn cho bạn sử dụng? Có khả năng tắc nghẽn mạng ở đâu? Những hệ thống quan trọng nào cần bảo vệ bổ sung?

Lưu ý hơn đến các khu vực dễ bị tổn thương dựa trên sự phụ thuộc vào các hệ thống khác trong cơ sở hạ tầng của bạn, ví dụ như cơ sở dữ liệu trung tâm có thể gỡ bỏ chức năng đối với một số ứng dụng trong trường hợp nó bị quá tải.

Có nhiều công cụ phần mềm mã nguồn mở mà bạn có thể sử dụng để kiểm tra giảm thiểu từ DDoS, cũng như các tùy chọn phần cứng có thể đạt đến mức lưu lượng đa gigabit. Tuy nhiên, tùy chọn phần cứng sẽ là một giải pháp tốn kém. Thay vào đó, một công ty bảo mật mũ trắng chuyên nghiệp có thể cung cấp cho bạn những thử nghiệm như một dịch vụ tùy chọn.

Các cuộc tấn công DDoS chắc chắn sẽ gây ra nhiều phiền toái, nhưng với những sự chuẩn bị kỹ càng, bạn có thể sẵn sàng để ngăn chặn hoặc đưa ra những giải pháp khắc phục một cách nhanh chóng, qua đó tránh những gián đoạn dịch vụ cho người dùng đồng thời giảm thiểu đáng kể những thiệt hại mà DDoS gây ra.

Tấn công trung gian (Man in the middle attack)

Tấn công trung gian (Man in the middle attack) là gì ?

Bạn có thể đã nghe thuật ngữ ‘Man-in-the-middle (MiTM) Attack’ ? Có thể bạn đã mường tượng được phần nào về cách thức tấn công của nó. Nhưng bạn vẫn đang băn khoăn ‘Chính xác thì cuộc Man-in-the-middle là gì?’ Đúng? Hãy để chúng tôi giải thích cho bạn. Như đúng cái tên của nó, loại tấn công xảy ra khi có một thiết bị nằm ở giữa hai hệ thống giao tiếp và cố gắng để ngăn chặn việc chuyển giao thông tin liên tục. Nói một cách đơn giản, một cuộc tấn công MiTM là một phiên bản hiện đại của bugging.

Đầu tiên nhìn xung quanh bạn, nhìn vào chiếc smartphone của bạn, nhìn vào các ứng dụng trong đó, nhìn vào PC của bạn, nhìn vào những thiết bị thông minh kết nối với nhau, nhìn vào trang web bạn đang xem. Những thứ này có gì chung? Điều gì đang thúc đẩy tất cả những điều này phát triển? Câu trả lời sẽ là dữ liệu / thông tin. Cho dù đó là từ một máy tính khác, một máy chủ khác, một quốc gia khác – dữ liệu không biết giới hạn.

 

Thật không may, tất cả các chuyến đi này mang đến những câu hỏi không thể tránh khỏi về an ninh và riêng tư. Khi dữ liệu rời đi từ điểm cuối này đến điểm kết thúc khác, khoảng thời gian truyền dẫn là nơi kiểm soát nó bị mất phần nào. Khi kẻ tấn công tự đặt mình vào giữa điểm kết thúc và chặn và / hoặc tampers với dữ liệu này trong quá cảnh, nó được gọi là tấn công man-in-the-middle (MiTM). Theo thuật ngữ của công an thì nó tương tự nghe lén vậy.

Đúng vậy, khi bạn cố gắng nghe lỏm được cuộc trò chuyện giữa hai người mà họ không biết, nó giống như một cuộc tấn công Man in the middle.

Trong khi truyền dữ liệu đang diễn ra giữa một thiết bị (PC / Điện thoại) và máy chủ web, kẻ tấn công sử dụng các kỹ năng và công cụ của anh ta để đặt một thiết bị vào giữa hai điểm cuối và chặn dữ liệu. Trong khi hai bên tin rằng họ đang nói chuyện với nhau, nhưng thật sự họ đang liên lạc (và thông qua) thủ phạm.

Các cuộc tấn công này không chỉ diễn ra trong quá trình truyền thông giữa các thiết bị, mà còn có thể xảy ra ở bất cứ nơi nào hai hệ thống đang trao đổi dữ liệu.

Man in the middle hoạt động như thế nào?

Khi nói đến các cuộc tấn công MiTM, không chỉ có một phương pháp duy nhất có thể gây ra thiệt hại – có bốn! Đó là Sniffing, Packet Injection, Session Hijacking và SSL Stripping. Hãy cùng tìm hiểu qua về các phương pháp này

• Sniffing: Sniffing hoặc Packet Sniffing là một kỹ thuật được sử dụng để nắm bắt các gói dữ liệu chảy vào và ra khỏi một hệ thống / mạng. Packet Sniffing trong mạng tương đương với việc nghe trộm trong điện thoại. Hãy nhớ rằng Sniffing là hợp pháp nếu được sử dụng đúng cách và nhiều doanh nghiệp làm điều đó vì mục đích bảo mật.
• Packet Injection: Trong kỹ thuật này, kẻ tấn công đưa các gói dữ liệu độc hại vào với dữ liệu thông thường. Bằng cách này, người dùng thậm chí không nhận thấy tệp / phần mềm độc hại vì chúng đến như một phần của luồng truyền thông hợp pháp. Những tập tin này rất phổ biến trong các cuộc tấn công trung gian cũng như các cuộc tấn công từ chối dịch vụ.
• Gỡ rối phiên: Bạn đã từng gặp lỗi “Phiên hoạt động đã hết hạn” chưa? Nếu bạn đã từng thực hiện thanh toán trực tuyến hoặc điền vào biểu mẫu, bạn sẽ biết thuật ngữ này. Thời gian giữa khi bạn đăng nhập vào tài khoản ngân hàng của bạn và đăng xuất khỏi tài khoản đó được gọi là một phiên. Các phiên này thường là mục tiêu của tin tặc vì chúng có khả năng chứa thông tin kín đáo. Trong hầu hết các trường hợp, một hacker thiết lập sự hiện diện của anh ta / cô ta trong phiên, và cuối cùng nắm quyền kiểm soát nó. Các cuộc tấn công này có thể được thực thi theo nhiều cách khác nhau.
• Loại bỏ SSL: SSL Stripping hoặc SSL Downgrade attack là một loài hiếm khi nói đến các cuộc tấn công MiTM, nhưng cũng là một trong những nguy hiểm nhất. Như chúng ta đều biết, chứng chỉ SSL/TLS giữ liên lạc của chúng tôi an toàn trực tuyến thông qua mã hóa. Trong các cuộc tấn công SSL, kẻ tấn công loại bỏ kết nối SSL / TLS và giao thức được chuyển từ HTTPS an toàn sang HTTP không an toàn.
• Làm thế nào để ngăn chặn các cuộc tấn công man-in-the-middle?
• Hãy nhớ rằng những cuộc tấn công này không dễ dàng như việc tắt tai nghe của bạn, chúng có tính chất rất phức tạp. Bạn cần phải có một số kỹ năng về kĩ thuật và phải được hỗ trợ bởi các công cụ phù hợp.
• Dưới đây là các thực tiễn được đề xuất của chúng tôi để bảo vệ chống lại các cuộc tấn công giữa người:
• Đảm bảo rằng các trang web bạn truy cập đã được cài SSL
• Trước khi nhấp vào email, hãy kiểm tra người gửi email
• Nếu bạn là quản trị viên trang web, bạn nên triển khai HSTS
• KHÔNG mua hàng hoặc gửi dữ liệu nhạy cảm trên mạng Wi-Fi công cộng.
• Đảm bảo trang web của bạn không có bất kỳ nội dung hỗn hợp nào
• Nếu trang web của bạn đang sử dụng SSL, hãy đảm bảo bạn đã tắt giao thức SSL / TLS không an toàn. Bạn chỉ nên bật TLS 1.1 và TLS 1.2
• Không nhấp vào liên kết hoặc email độc hại
• Không tải xuống nội dung vi phạm bản quyền
• Bảo mật mạng gia đình / công việc của bạn
• Có các công cụ bảo mật thích hợp được cài đặt trên hệ thống của bạn