Việc mã độc ghi đè lên tệp gốc có thể khiến nó bị hỏng và mã độc đã đạt được mục tiêu của mình

Mã độc ghi đè lên tệp gốc làm nó tăng kích thước

Việc mã độc backup đoạn mã gốc vào nơi khác trên đĩa trước khi ghi đè nhằm giúp tệp không bị hỏng

Nếu ghi đè lên tệp gốc thì mã độc chọn những dữ liệu ít khi dùng đến hoặc những đoạn mã chức năng hiếm khi dùng đến để không bị lộ

X là lệnh Return

Y là lệnh Call

Chương trình gốc và mã độc luôn ở vị trí liền kề nhau

Hình vẽ trên minh họa kỹ thuật ghi đè: mã độc ghi đè lên các lệnh của tệp chủ

Không lây nhiễm nhiều lần vào cùng 1 tệp

Biến thể có variant là ".bc" ra đời sau ".bd"

Máy tính vừa mới cài đặt xong hệ điều hành thì vẫn còn sạch , chưa nhiễm virus

Trên 1 tệp chỉ có tối đa 1 mã độc (nhiều mã độc)

Sau khi tệp chủ được kích hoạt, virus thường trú chỉ nằm trong bộ nhớ, không còn trên tệp chủ

Sau khi tệp chủ được kích hoạt, virus thường trú sẽ chạy trước, sau khi virus kết thúc và dừng hoạt động thì mới đến lượt chương trình chủ được thực thi

Loại mã độc Backdoor:Win32/Bagle.aav!dll hoạt động trên hệ điều hành Linux

Sau khi được kích hoạt, virus file sẽ thực thi cho đến khi kết thúc và dừng hoạt động. Lúc đó mã độc chỉ còn trên file gốc, không còn trong bộ nhớ

Khi được kích hoạt, nếu bị xóa bản gốc nằm trên file thì virus thường trú vẫn tồn tại được vì nó luôn thường trú trong bộ nhớ chính

Sau khi được kích hoạt, virus sẽ cư trú trong RAM, không còn nằm trên đĩa cứng nữa (nó nằm trên cả 2 nơi)

Sau khi được kích hoạt, virus sẽ cư trú trên RAM, vì thế việc xóa tệp gốc trên đĩa cứng cũng không diệt được virus

Thông thường thì mỗi loại virus file chỉ lây nhiễm vào 1 kiểu file nào đó

Có 1 vài tệp hoàn toàn miễn nhiễm với virus, chẳng hạn file .pdf (Không tệp nào miễn nhiễm cả)

Đại đa số mã độc được thiết kế để chỉ hoạt động trên 1 hệ điều hành mà thôi

Đại đa số mã độc được thiết kế hoạt động dựa trên nhiều hệ điều hành khác nhau

Trong cách đặt tên CARO, trường hợp type cho biết hệ điều hành mà mã độc hoạt động

Trong cách đặt tên CARO, trường Platform cho biết mã độc thuộc dòng dõi nào

Để định danh và dễ phân biệt

Để thế giới dễ dàng phối hợp và chống lại mã độc

Có quá nhiều loại mã độc

Quy tắc đặt tên mã độc của CARO hiện đang được 1 số công ty lớn sử dụng, trong đó có Microsoft

Quy tắc đặt tên mã độc của CARO hiện đang được toàn thế giới sử dụng

Hiện nay thế giới chưa thống nhất một quy tắc đặt tên chung cho mã độc

Mỹ đã trở thành bộ tư lệnh tác chiến mạng, Australia có Trung tâm An ninh mạng quốc gia, Singapore đã thành lập Bộ chỉ huy an ninh mạng

Năm 2018 NATO thành lập trung tâm tác chiến không gian mạng (Cyberspace Operation Centre), một phần của cấu trúc chỉ huy NATO

Năm 2018 Bộ Quốc phòng nước ta thành lập Bộ tư lệnh Tác chiến không gian mạng

Năm 2014, Bộ Công an công bố Quyết định thành lập Cục An ninh mạng và phòng chống tội phạm công nghệ cao

Ngoài 2 tổ chức trên, nước ta không còn cơ quan chức năng nào khác phụ trách đảm bảo an ninh trên không gian mạng

Sự mạo danh

Sự kiểm toán

Tính bí mật

Sự định danh

Tính bí mật (Confidentially) đảm bởi dữ liệu không bị xem bởi những người dùng không đủ quyền hạn. Ví dụ về công cụ đảm bảo tính bí mật là việc kiểm tra bằng User ID và Password

Tính toàn vẹn (Integrity) đảm bảo thông tin không bị thay đổi so với bản gốc

Tính toàn vẹn của hệ thống (System Integrity) đảm bảo rằng 1 hệ thống thực hiện chính xác các chức năng, từ chối thực hiện với người không đủ quyền hạn

Tính toàn vẹn dữ liệu (Data Integrity) đảm bảo dữ liệu không bị xem bởi những người dùng không đủ quyền hạn

Là công cụ thực hiện tính chất Data Intagrity

Lúc đầu bản rõ được viết theo chiều dọc

Chiếc gậy đóng vai trò là khóa giải mã, có nó thì mới đọc được thông đi

Có thể nhận dạng từ xa (thiết bị kiểm tra giấu kín ở cách xa đối tượng tình nghi)

Mống mắt không thay đổi theo tuổi tác hay môi trường làm việc

Mống mắt là 2 bên trùng nhau, vì vậy nếu bị tai nạn hỏng 1 bên mắt thì vẫn có thể kiểm tra đối với mắt còn lại

Tỷ lệ trùng lặp nhỏ hơn so với nhận dạng ADN

Là công nghệ sinh trắc học ra đời trước và hiện nay thông dụng hơn so với nhận dạng vân tay

Các thiết bị loT chưa được các hãng sản xuất quan tâm bảo vệ kỹ càng như máy tính PC

Các thiết bị loT chưa được quan tâm bảo vệ kỹ càng như máy tính PC vì sự coi nhẹ của người dùng (thói quen, nhận thức)

Khó triển khai các biện pháp bảo vệ trên thiết bị loT vì cấu hình của chúng yếu

Sự đa dạng và môi trường không dây của các thiết bị lo vô tình tạo điều kiện cho kẻ gian

Máy tính PC khó cài chip hạt gạo hơn so với các thiết bị loT cấu hình yếu hơn

Tỷ lệ trùng lặp lớn hơn so với công nghệ nhận dạng vân tay

Tránh được sự lây nhiễm vi khuẩn do tiếp xúc trực tiếp

An toàn hơn nhận dạng vân tay vì đối tượng bị kiểm tra được phép tiếp xúc trực tiếp với công cụ kiểm tra

Chính xác hơn do có tới 266 điểm đặc trưng, so với chỉ 13 đến 60 điểm đặc trưng của công nghệ nhận dạng vân tay

Sau khi phẫu thuật mắt hay đối với những người khiếm thị hoặc đeo kính, việc quét mống mắt sẽ bị giảm độ chính xác

Khối lượng dữ liệu cần bảo vệ trở nên khổng lồ

Khối lượng dữ liệu cần bảo vệ tăng lên nhanh chóng

Dữ liệu và thông tin cần bảo vệ tốn lại rất đa dạng, do đó khó triển khai bảo vệ chu toàn

Những dữ liệu và thông tin cần bảo vệ có giá trị cao, dem lai mối lợi lớn cho tội phạm một khi bị chúng chiếm đoạt

Volume: Khối lượng dữ liệu sản sinh ra là khổng lồ

Velocity: Dữ liệu được tạo ra một cách nhanh chóng

Variety: Dữ liệu rất đa dạng với nhiều định dạng phức tạp chẳng hạn dữ liệu có cấu trúc, phi cấu trúc, bản cấu trúc

Variability: Độ tin cậy thấp của dữ liệu

Lỗ hổng EternalBlue mà mã độc Wanna Cry lợi dụng de lây lan

Sự cố Y2K

Sự kiện YouTube phai nâng cấp bộ đếm vì Gangnam Style năm 2014

Tên lửa Ariane 5 (Cơ quan Vũ trụ Châu Âu) trị giá 1 tỷ đô la phát nổ

Nhân viên Nhà nước không được trao đổi dữ liệu công việc qua bất cứ hệ thống email nào ngoài email công vụ

Nhân viên Nhà nước có thể trao đổi công việc qua một hệ thống email công vụ của một cơ quan Nhà nước khác

Ngoài giờ hành chính, nhân viên Nhà nước có thể trao đổi dữ liệu công

Hàng trăm

Hàng ngàn

Hàng chục ngàn

Gần một triệu

Cá nhân

Công ty

Tập đoàn quốc tế

Quốc gia

Phát lệnh cảnh báo cho các cơ quan tổ chức trên toàn quốc để ngăn chặn

Phát lệnh cảnh báo, gửi và cập nhật blacklist cho các cơ quan tổ chức trên toàn quốc để ngăn chăn

Phát lệnh cảnh báo, đặt tường lửa trên toàn quốc

Phát lệnh cảnh báo, đặt tường lửa và thực hiện truy quét, tìm diệt mã độc trên toàn quốc

Nước Mỹ

Một vài quốc gia

Một châu lục

Toàn cầu

Phải tốn nhiều tiền mới lấy lại được dữ liệu

Mặc dù người sử dụng đã cẩn trọng, thậm chí không vào Internet, vẫn có thể bị lây nhiễm

Khiến các ứng dụng gặp lỗi khi hoạt động

Đánh cắp dữ liệu tác nghiệp

Mã hóa toàn bộ dữ liệu

Mã hóa toàn bộ dữ liệu, khóa máy rồi hiển thị thông tin đòi tiền chuộc

Xóa sạch tất cả dữ liệu

Sao chép dữ liệu về máy chủ của hacker, xóa sạch ổ cứng rồi hiển thị thông tin đòi tiền chuộc

Vài chục

Hàng trăm

Hơn một ngàn

Vài chục ngàn

Mã độc

Virus

Ransomware

Vụ tấn công mạng

Nhân viên thiều hiểu biết hoặc bất cần: Lỗ hổng bảo mật trong phần mềm trên server. Lỗ hổng bảo mật trên Website

Lỗ hổng bảo mật trong phần mềm trên server. Lỗ hổng bảo mật trên Website. Nhân viên thiếu hiểu biết hoặc bất cần

Lỗ hổng bảo mật trên Website, Lỗ hổng bảo mật trong phần mềm trên server. Nhân viên thiếu hiểu biết hoặc bất cần

Nhân viên thiều hiểu biết hoặc bất cần, Lồ hổng bảo mật trong phần mềm trên server, Lỗ hổng bảo mật trong phần cứng

Data Integrity

System Integrity

Confidentiality

Availability

Kết nối với backdoor để nhận lệnh, tải về và cài đặt các module của mã độc

Gửi các module của mã độc đến mục tiêu thông qua backdoor

Ra lệnh cho mã độc tại mục tiêu hành động

Thường đặt trên các server ở nước thứ 3

Đánh cắp được thông tin

Không bị lộ

Phân tích lưu lượng thành công

Tìm được Clear Text password

Lưu lượng tấn công DDoS hướng tới nhiều máy trạm khác nhau trong mạng LAN của nạn nhân

Chỉ có DoS hướng đến mục tiêu làm tê liệt dịch vụ mạng còn DDoS nhằm mục tiêu khác

DoS chỉ sử dụng một vài máy còn DDoS khống chế rất nhiều máy làm công cụ tấn công

Lưu lượng tấn công DoS chỉ phát sinh từ máy của tin tặc

Ngăn chặn được một phần lưu lượng tấn công khi cuộc tấn công SYN flood xảy ra

Giảm bớt lượng tài nguyên bị tiêu hao trong thời gian bị tấn công SYN flood

Phòng chống được cuộc tấn công SYN flood xuất phát từ những máy ở xa, có tốc độ mạng chậm

Chờ được những client ở xa có tốc độ mạng chậm

195.0.0.255 và 4.4.4.4

3.3.3.3 và 4.4.4.4

3.3.3.3 và 195.0.0.255

4.4.4.4 và 195.0.0.255

Thực thi các phần mềm cần bảo vệ trong một không gian cách ly khỏi môi trường bên ngoài

Thực hiện cơ chế Blacklisting

Gọi ứng dụng Antivirus

Thực hiện cơ chế Reverse engineering

Hoạt động trong môi trường cách ly được tạo bởi những thiết bị không kết nối ra Internet bên ngoài

Distributed Reflection DoS: tấn công từ chối dịch vụ theo kiểu phân tán

Kẻ tấn công mạo danh những máy tính đang bảo trì hoặc ngừng làm việc để trực tiếp gửi rất nhiều gói tin đến nạn nhân

Kẻ tấn công mạo danh nạn nhân (địa chỉ gửi là IP của nạn nhân) gửi gói tin SYN tới các server phản xạ dẫn tới hiện tượng nhân băng thông về phía nạn nhân

Kẻ tấn công sử dụng đàn botnet để tạo ra cơn bão gói tin

Kiểu tấn công LAND gửi tới nạn nhân những gói tin với giá trị offset sai lệch, chồng chéo nhau

Nạn nhân không thể lắp ráp 3 gói tin tới đích với giá trị offset như sau. Gói tin thứ nhất: 1-100; gói thứ hai: 201-1000; gói thứ ba: 101-500

Kiểu tấn công LAND giả mạo địa chỉ IP của chính nạn nhân để gửi các gói tin tấn công

Kiểu tấn công LAND gửi những mảnh khác nhau của gói tin mà nạn nhân không thể lắp ghép lại được

Lợi dụng cơ chế "Three way handshake" của giao thức TCP

Gói tin được gửi ở bước 3 là ACK, do tin tặc gửi tới nạn nhân

Gói tin được gửi ở bước 1 là SYN

Gói tin được gửi ở bước 2 là SYN/ACK, do chính nạn nhân gửi đi

Lợi dụng lệnh Ping

Gửi gói tin có kích thước bất thường khiến cho máy tính của nạn nhân gặp phải khó khăn khi xử lý

Lợi dụng cơ chế bắt tay ba bước của giao thức TCP

Hiện nay một số website phòng chống hình thức tấn công Ping of Death bằng cách đặt chế độ từ chối mọi gói tin gửi qua giao thức ICMP

Name - phone number

mã OTP - số PIN

Mật khẩu - Vân tay

Name - Password

mống mắt - giọng nói

APT

Passive attack

DOS

Phishing

DDOS

120.1.1.1

8.8.8.8

192.168.1.1

134.112.1.1

SYN/ACK

SYN

ACK

RST

Kết quả thu được là các thông tin xác thực hoặc file dữ liệu

Một ví dụ là hình thức tấn công SMURT

Do nhân viên trong cơ quan tiến hành hoặc tiếp tay

Một ví dụ là vụ việc của Edward Snowden

có thể là một bước trong chiến dịch APT

Luôn thuộc loại Passive attack

Lợi dụng lỗi tràn bộ đệm khi thực hiện chương trình

Được thiết kế để thực hiện tấn công DOS

Được thiết kế một cách đặc biệt để thực thi đoạn mã độc hoặc phá hoại, khiến một việc thực thi một phần mềm bị trục trặc

Ghi đè lên một ô nhớ nhằm thay đổi địa chỉ trả về để tái định hướng tới đoạn mã độc

Gây ra một thao tác truy nhập bộ nhớ nguy hiểm

7. return 0;

1. int main(int argc, char *argv[]) {

4. fprintf(stderr, "USAGE: %s string\n", argv[0]);

3. if (argc < 2) {

2. char buffer[8];

Kiên trì

Dai dẳng

Công khai

Bảo vệ

Dự án

Sử dụng C&C server

Sử dụng kỹ năng IT

Sử dụng mã độc Trojan

Sử dụng kỹ năng lập trình

Được kẻ gian sử dụng trong cuộc gọi điện thoại lừa đảo

Có thể lợi dụng một đặc điểm nào đó của giao thức mạng, điển hình là SYN Flood

Có thể hướng tới việc vắt kiệt băng thông mạng của nạn nhân

Hiện nay tin tặc chỉ dùng một server duy nhất có công suất lớn để gửi rất nhiều gói tin làm nghẽn băng thông của nạn nhân

Có thể nhằm vào lớp ứng dụng, cụ thể là các phần mềm chạy trên Web server của nạn n

một địa chỉ đã ngừng hoạt động

một địa chỉ của máy tính đang được bảo trì

một địa chỉ chưa cấp phát

một địa chỉ đang hoạt động

Thiết lập trung tâm điều khiển và C&C server

Thiết lập host trung gian để ra lệnh cho mã độc

Gửi email đính kèm file chứa mã độc hoặc đường link chứa backdoor

Sử dụng Social Engineering để lừa gạt, khai thác thông tin

Xóa dấu vết bằng cách gửi dữ liệu đánh cắp được cho C&C server

APT sử dụng DOS để đánh cắp thông tin

DOS sử dụng APT để khai thác thông tin về mục tiêu

APT sử dụng DOS để tạo ra Backdoor

APT sử dụng DOS để đánh lạc hướng

DOS sử dụng APT để làm tê liệt hệ thống

Danh sách địa chỉ mà mã độc sẽ lây lan thông qua việc gửi email

Danh sách được ghi nhận bởi các tổ chức chống thư rác, chuyên thống kê những server phát tán thư rác

Máy chủ phát tán mã độc

Danh sách những địa chỉ IP bị nghi ngờ

C&C server

Mã hóa dữ liệu rồi đòi tiền chuộc

Đánh cắp dữ liệu

Xóa file

Gửi email chứa bản sao mã độc đến mọi địa chỉ email có liên quan đến mục tiêu

Phá hoại hoạt động của hệ thống

Thực hiện footprinting để kết nối lên C&C server

Sử dụng C&C server để đánh lạc hướng

Cài đặt cửa hậu (backdoor)

Cố gắng lây nhiễm malware vào mục tiêu

Hệ thống không thể nhận dạng những gói tin của tin tặc gửi tới nhằm làm nghẽn băng thông

Hệ thống có thể nhận dạng những gói tin DoS của tin tặc gửi tới vì chúng chứa những signature đặc trưng của mã độc

Công cụ tấn công chỉ là những phần mềm bình thường mà ai cũng sử dụng hàng ngày như trình duyệt

Hoạt động tấn công của tin tặc được hệ thống ưu tiên phục vụ vì hiểu nhầm là các yêu cầu trao đổi từ khách hang

255.255.255.0

192.168.1.1

B4-2E-99-76-63-3D

192.168.1.7

Những địa chỉ email được nhúng trong các trang web, nhúng vào danh sách khách hàng để phát hiện địa chỉ IP chuyên phát tán spam mail

Có thể nhầm lẫn, khiến hoạt động của mỗi cá nhân hay tổ chức bị ảnh hưởng

Thư rác

Những địa chỉ email cũ của nhân viên đã thôi việc, được dùng để phát hiện những địa chỉ chuyên phát tán spam mail

Những địa chỉ email được các tổ chức chống thư rác sử dụng để phát hiện những địa chỉ phát tán spam mail

Đầu tư thêm chi phí để nâng cấp cấu hình máy chủ, thiết bị và đường truyền cũng không giúp gì cho việc đối phó với DoS

Hình thức tấn công từ chối dịch vụ kiểu cổ điển Denial of Service, viết tắt là DoS, dùng một máy chủ công suất lớn liên tục gửi truy vấn tới mục tiêu khiến nó bị tắc nghẽn

Cài mã độc vào một website có nhiều người xem hàng ngày để dễ dàng lây nhiễm mã độc cho máy tính của họ

Cài mã độc vào một website có nhiều người xem hàng ngày để khống chế và huy động máy tính của họ t

mat_khau_hoa_hong

Chieu*tren*pho*vang!285

hoa_hong_01012001

password_hoa_hong_do_tham

Thường kéo dài trong nhiều ngày

Cướp quyền điều khiển hệ thống mạng của nạn nhân

Khiến cho nạn nhân không thể cung cấp dịch vụ mạng

Khiến cho nạn nhân không thể sử dụng dịch vụ mạng

Xóa file dữ liệu, gây trục trặc hệ thống mạng của nạn nhân

Tìm kiếm thông tin về blacklist

Khám phá các thông tin về mục tiêu cần bảo vệ

Khám phá các thông tin về mục tiêu cần tấn công

Tìm kiếm thông tin về backdoor

Ở giai đoạn chuẩn bị, nhưng thường chiếm nhiều thời gian hơn các giai đoạn tiếp theo

Mục đích là tìm cách dụ dỗ người khác dùng gõ các thông tin xác thực

Hacker xây dựng những trang web lừa đảo trông " giống hệt" như các trang web phổ biến để người dùng click vào đó

Hacker gửi nhiều gói tin ICMP làm tắc nghẽn băng thông

Hacker xây dựng những trang web lừa đảo có đường link tương tự trang web thông dụng để khiến người dùng nhầm lẫn

Không xác định trước được mục tiêu tấn công

Sử dụng Social engineering

Phising email thường có nội dung hấp dẫn

Nhằm vào một mục tiêu định trước

Giảm bớt lượng tài nguyên bị tiêu hao trong thời gian bị tấn công SYN flood

Ngắt kết nối mạng khi cuộc tấn công SYN flood bắt đầu xảy ra

Phòng chống được cuộc tấn công insider attack

Làm gia tăng

Có cả một thị trường chợ đen mua bán lỗ hổng bảo mật zero-day

Khai thác những lỗ hổng bảo mật chưa được công bố hoặc chưa được vá

Khai thác những lỗ hổng bảo mật của các hệ thống thiết bị mạng

Khai thác những lỗ hổng bảo mật tạo ra bởi chip gián điệp gắn trong bo mạch

Có nhiều phần mềm công cụ để thực hiện Dictionary Attack

Dictionary attack: thử những mật khẩu tổ hợp từ những thông tin đánh cắp được

Brute force: thử tất cả các chuỗi mật khẩu có thể

Brute Force: tin tặc thử các mật khẩu mà hắn đánh cắp được từ nạn nhân

Địa chỉ gửi thường là các email công vụ

Địa chỉ nhận thường ghi chính xác họ tên, giới tính của người nhận

Title thường hấp dẫn, cuốn hút

Địa chỉ gửi thường là các email miễn phí

C gặp bất lợi

C sẽ gửi gói tin ACK cho B

B gặp bất lợi

A gặp bất lợi

lỗ hổng bảo mật

Lỗ hổng bảo mật chưa được vá

Lỗ hổng bảo mật chưa được công bố

Danh sách các lỗ hổng bảo mật chưa được công bố

Là những phép thử cho phép phân biệt đối tượng đang tương tác là con người hay phần mềm tự động

Là những phép thử do con người tạo ra , chỉ có con người mới có thể vượt qua

Là những phép thử do máy tính tạo ra một cách tự động

Là những phép thử do con người tạo ra, máy tính hoàn toàn có thể vượt qua

Attacker có thể cài mã độc vào một website có lượng truy cập lớn để tất cả những người truy cập website đều vô tình tham gia vào cuộc tấn công DoS

DdoS dễ bị ngăn chặn và truy bắt vì lưu lượng tấn công chỉ xuất phát từ một địa chỉ IP

Hình thức DoS tiên tiến hiện nay là tin tặc chỉ dùng một sever duy nhất có công suất lớn để gửi rất nhiều gói tin làm nghẽn băng thông của nạn nhân

Hình thức DoS sổ điển là ra lệnh cho mạng các zombie đồng loạt tấn công. Ngày nay hình thức này ít được sử dụng vì dễ bị ngăn chặn và lần vết

Việc đăng nhập vào Facebook thông qua một thao tác nháy chuột vào ảnh là xác thực 2 lớp

Một ví dụ về việc rút tiền từ máy rút tiền tự động ATM

Tiến hành việc xác thực dựa trên hai yếu tố:

Tiếng anh là Two-factor authentication, còn gọi là Xác thực hai bước

Hệ thống phát hiện xâm nhập

Lệnh phát hiện mã độc

Hệ thống chống xâm nhập

Thiết bị phòng chống hoạt động độc lập

Nền tảng tường lửa

192.168.178.255

193.12.15.7

255.1.1.