Big Data khiến khối lượng dữ liệu cần bảo vệ trở nên khổng lồ với nhiều định dạng phức tạp, đôi khi vượt quá khả năng bảo vệ

Hacker

Dữ liệu về người (xuất xứ từ các mạng xã hội, các trang thương mại điện tử, …) ngày càng có giá trị lớn hơn

Lỗi phần mềm do hãng sản xuất phần mềm vô tình tạo ra

IoT khiến cho những thiết bị điện tử gia dụng dễ dàng bị khống chế biến thành công cụ nghe lén

Ghi chính xác tên người nhận ngay trong tiêu đề email

Thường được tạo ra một cách tự động và gửi đi với số lượng lớn

Nội dung hợp lý, hấp dẫn, thường chứa đường link độc hại

Ghi chính xác tên người nhận ngay trong nội dung email

Tiêu đề lôi cuốn, hấp dẫn

Hậu quả chỉ giới hạn trong phạm vi mục tiêu tấn công

Sử dụng mã độc

Sử dụng nhiều hình thức tấn công khác nhau

Chỉ bao gồm một hình thức tấn công

Sau khi kích hoạt, thường sẽ phá hoạt bằng cách làm hỏng dữ liệu, xóa file hoặc xóa cả ổ đĩa

Nằm im cho đến khi một sự kiện cụ thể nào đó xảy ra, chẳng hạn một file cụ thể được mở thì mới kích hoạt

Là một đoạn mã độc được bí mật chèn vào hệ điều hành hoặc phần mềm ứng dụng

Thường được một người dùng thiếu hiểu biết về hệ thống vô tình đưa vào

6

4

7

5

Hacker cố gắng lây nhiễm mã độc ransomware vào mục tiêu

Hacker cố gắng theo dõi các cuộc giao tiếp để tìm kiếm những thông tin mã hóa yếu hay clear text

Hacker theo dõi để tìm ra những quy luật, những thông tin cá nhân về mục tiêu

Hacker tiến hành phân tích lưu lượng (traffic analysis)

Tránh bộc lộ cơ chế lây nhiễm

Theo dõi hoạt động của hệ thống

Lây lan ra phạm vi rộng hơn

Thực hiện những chức năng của phần mềm tiện ích thông thường

9

6

8

4

Là những phép thử do máy tính tạo ra một cách tự động

Là những phép thử cho phép phân biệt đối tượng đang tương tác là con người hay phần mềm tự động

Là những phép thử do con người tạo ra , chỉ có con người mới có thể vượt qua

Là những phép thử do con người tạo ra, máy tính hoàn toàn có thể vượt qua

Để diệt virus boot, thao tác đầu tiên là khởi động lại máy, sau đó vào ROM-BIOS chọn đĩa khởi động khác với đĩa đang nhiễm virus boot

Nếu máy bị nhiễm thì virus sẽ chiếm quyền điều khiểm trước cả ROM-BIOS

Khi phần mềm anti-virus diệt virus boot, nó sẽ xóa cả đoạn mã độc và các lệnh JUMP do virus tạo ra mà không cần khôi phục lại MBR hay Boot Sector gốc

Nếu máy bị nhiễm thì virus sẽ chiếm quyền điều khiểm sau hệ điều hành nhưng trước tất cả các trình ứng dụng

Lệnh phát hiện mã độc

Thiết bị phòng chống hoạt động độc lập

Nền tảng tường lửa

Hệ thống chống xâm nhập

Hệ thống phát hiện xâm nhập

Trú ẩn (Dormant)

Lây lan (Propagation)

Kích hoạt (Triggering)

Thực thi (Execution)

Trú ẩn (Dormant)

Lây lan (Propagation)

Kích hoạt (Triggering)

Thực thi (Execution)

Trú ẩn (Dormant)

Lây lan (Propagation)

Kích hoạt (Triggering)

Thực thi (Execution)

một địa chỉ đã ngừng hoạt động

một địa chỉ chưa cấp phát

một địa chỉ đang hoạt động

một địa chỉ của máy tính đang được bảo trì

Trong giai đoạn Lây lan (Propagation) virus sẽ sao chép bản thân vào mọi vật chủ tìm được

Trong giai đoạn Lây lan (Propagation), virus cố gắng sao chép bản thân vào các phần mềm hay vị trí khác trong máy tính

Virus có thể được Kích hoạt (Trigger) thông qua một sự kiện bàn phím, chuột hay bởi đồng hồ hệ thống

Trong giai đoạn Thực thi (Execution) virus sẽ phá hủy các tệp, làm gián đoạn quá trình hoạt động của hệ thống hoặc đánh cắp dữ liệu

Cơ quan Cảnh sát Liên minh Châu Âu (Europol) ước tính, đã có hơn 200.000 hệ thống ở 150 quốc gia, bao gồm cả các cơ quan nhà nước và doanh nghiệp lớn đã trở thành nạn nhân

Đến nay mới chỉ 1 phiên bản duy nhất

Trước khi lây nhiễm vào máy. Wana Cry sẽ thực hiện một thao tác đặc biệt để kiểm tra xem máy đã bị nhiễm hay chưa. Nếu đã bị nhiễm thì dừng không lây vào nữa

Lây nhiễm vào máy khi người dùng "lỡ" bấm nhầm vào file thực thi của ransomware

Khai thác lỗ hổng ETERNALBLUE của bộ phần mềm văn phòng MS Office

Cài mã độc vào một website có nhiều người xem hàng ngày để dễ dàng lây nhiễm mã độc cho máy tính của họ

Đầu tư thêm chi phí để nâng cấp cấu hình máy chủ, thiết bị và đường truyền cũng không giúp gì cho việc đối phó với DoS

Hình thức tấn công từ chối dịch vụ kiểu cổ điển Denial of Service, viết tắt là DoS, dùng một máy chủ công suất lớn liên tục gửi truy vấn tới mục

Nếu máy bị nhiễm thì virus sẽ chiếm quyền điều khiển trước cả hệ điều hành

Nếu máy bị nhiễm thì virus sẽ chiếm quyền điều khiển sau hệ điều hành nhưng trước tất cả các trình ứng dụng

Bật máy đang bị nhiễm lên rồi dùng những phần mềm diệt virus có trong máy để diệt thì không hiệu quả

Nếu máy bị nhiễm thì virus sẽ chiếm quyền điều khiến trước cả ROM - BIOS

Reverse engineering

Chống Antivirus

Blacklisting

Chống IDS

Dai dẳng

Kiên trì

Công khai

Bảo vệ

Dự án

Nhằm vắt kiệt dung lượng lưu trữ của máy chủ

Đối tượng tấn công thường không phải là công ty cung cấp dịch vụ SaaS

Nhằm phá hoạt về mặt vật lý các thiết bị như mạng router

Đối tượng tấn công có thể là công ty cung cấp dịch vụ IaaS

Nhằm phá hoại hệ thống Email, DNS

Luôn luôn lây nhiễm bằng cách bổ sung thêm đoạn mã độc vào cuối tệp gốc khiến cho kích thước tệp tăng lên.

Không thể trú ẩn trong tệp .doc hay .xlsx

Tập antivirus software thì không thể bị lây nhiễm.

Thường chọn vật chủ là các tệp chương trình như .exe; .com; .sys; .msi.

Phishing

APT

DDOS

DOS

Passive attack

Cảnh giác khi tải về cài đặt phần mềm và App miễn phí

Thiết lập Firewall (tường lửa)

Dùng mật khẩu dài hơn 10 ký tự, bao gồm họ tên và bố và mẹ

Thường xuyên cập nhật bản vá hệ điều hành

Sử dụng Antivirus software

Phòng chống được cuộc tấn công insider attack

Ngắt kết nối mạng khi cuộc tấn công SYN fload bắt đầu xảy ra

Giảm bớt lượng tài nguyên bị tiêu hao trong thời gian bị tấn công SYN flood

Làm gia tăng số lượng kết nối có thể tiếp nhận

Trên đĩa cứng có virus

Trong máy có loại Virus boot

Bản thân tập khởi động của chương trình anti-virus bị nhiễm virus

Trong máy có loại mã độc Trojan

Tấn công APT thường được thực hiện bởi hacker tập sự, mục tiêu được lựa chọn một cách ngẫu nhiên, kỹ thuật tấn công đơn giản

Virus cần vật chủ để ký sinh và lây lan, còn worm thì không

Tấn công APT có thể kéo dài nhiều tháng với nhiều mục tiêu bị theo dõi

Về mặt lý thuyết, Mã độc (Malware) phải cần vật chủ để ký sinh và ẩn nấp trong đó

Thường có lệnh jump ở cuối đoạn mã độc để trả lại quyền điều khiển cho chương trình gốc

Sau khi virus được kích hoạt, cho dù tìm được file gốc để xóa đi thì vẫn không diệt được virus

Ghi đè đoạn mã độc lên nhiều vị trí trong tệp gốc để tránh nguy cơ bị diệt. Nếu bị phát hiện và xóa ở chỗ này thì vẫn còn bản sao ở chỗ khác

Thường lây nhiễm vào mọi loại file

Thường chèn lệnh Jump vào đầu chương trình để nhảy tới vị trí có đoạn mã gốc

Gửi những dữ liệu đánh cắp được

Ra lệnh và điều khiển hoạt động của mã độc

Gửi thêm các module của mã độc cho Trojan thông qua backdoor

Nhận những dữ liệu đánh cắp được do Trojan gửi về

Kết nối với backdoor để nhận lệnh, tải về và cài đặt các module của mã độc

Theo dõi, đánh cắp mật khẩu

Thực hiện những chức năng của phần mềm tiện ích thông thường để ngụy trang

Tránh không bị antivirus software phát hiện

Theo dõi hoạt động của hệ thống, chờ đến khi được kích hoạt bởi một sự kiện nào đó

Sử dụng C&C server để đánh lạc hướng

Thực hiện footprinting để kết nối lên C&C server

Cài đặt cửa hậu (backdoor)

Cố gắng lây nhiễm malware vào mục tiêu

Sự kiểm toán

Tính bí mật

Sự mạo danh

Sự định danh

Search engine, footprinting

Zero - day attack

Insider attack

Reverse engineering

DoS attack

An123456789

YeuToQuocYeuDongBao!K69

NguyenVanAn-29062001

An-Nguyen-Van-29062001

NVAn987654321

B gặp bất lợi

A gặp bất lợi

C gặp bất lợi

C sẽ gửi gói tin ACK cho B

Không bị lộ

Tìm được Clear Text password

Phân tích lưu lượng thành công

Đánh cắp được thông tin

Sai

Đ

Một ví dụ là tấn công mật khẩu

Có thể sắp xếp vào loại tấn công Social Engineering

Khai thác các đặc điểm tâm lý của người dùng như tò mò, chủ quan, thiếu cảnh giác, thiếu cẩn thận

Có thể thực hiện thông qua tin nhắn

Có thể thực hiện thông qua email

132.127.0.1 và 0:0:0:0:0

f2:f2:f2:a1:a1:a1 và 7b:7b:7b:15:15:15

f2:f2:f2:a1:a1:a1 và 132.127.0.5

132.127.0.1 và 7b:7b:7b:15:15:15

tất cả đều sai

Để phân biệt mã độc là Worm, Virus hay Trojan thì phải căn cứ vào thành phần thứ nhất (Type)

Muốn biết môi trường hoạt động (hệ điều hành) của mã độc thì nhìn vào thành phần thứ 2 (Platform)

Có những dòng mã độc chứa những đại biểu có nguyên lý hoạt động. Tên của dòng mã độc được mô tả ở trường FamilyName

Các biến thể trong cùng một dòng mã độc được phân biệt bởi trường Variant

Ngày nay có nhiều quy tắc đặt tên mã độc khác nhau đang được áp dụng

ROM-BIOS, Master Boot Record trên đĩa khởi động, hệ điều hành, các Application, virus boot

virus boot, ROM-BIOS, đĩa khởi động, hệ điều hành, các Application

ROM-BIOS, virus boot, hệ điều hành, các Application

ROM-BIOS, Master Boot Record trên đĩa khởi động, hệ điều hành, các Application

ROM-BIOS, Master Boot Record trên đĩa khởi động, hệ điều hành, virus boot, các Application

RST

SYN

SYN/ACK

ACK

Máy sẽ hoạt động bình thường trở lại

Virus không bị diệt, máy cũng không khởi động được

Virus đã bị vô hiệu hóa nhưng máy không khởi động được

Sau khi kích hoạt, thường sẽ phá hoại bằng cách làm hỏng dữ liệu, xóa file hoặc xóa cả ổ đĩa.

Logic bomb có thể được kích hoạt bởi điều kiện tích cực như xảy ra thao tác xóa tên một nhân viên nào đó khỏi bảng lương.

Logic bomb có thể được kích hoạt bởi điều kiện tiêu cực như: một phần mềm cụ thể nào đó được kích hoạt.

Không thể bị phát hiện bởi anti-virus software.

Sau khi kích hoạt, thường sẽ phá hoại bằng cách làm hỏng dữ liệu, xóa file hoặc xóa cả ổ đĩa.

Logic bomb có thể được kích hoạt bởi điều kiện tích cực như xảy ra thao tác xóa tên một nhân viên nào đó khỏi bảng lương.

Không thể bị phát hiện bởi anti-virus software.

Nằm im như một quả bom hẹn giờ cho đến khi một sự kiện cụ thể nào đó xảy ra, chẳng hạn một file cụ thể được mở, thì mới kích hoạt.

Khai thác những lỗ hổng bảo mật chưa được vá

Khai thác những lỗ hổng bảo mật chưa được công bố hoặc chưa được vá

Khai thác những lỗ hổng bảo mật tạo ra bởi chip gián điệp gắn trong bo mạch

Khai thác những lỗ hổng bảo mật của các hệ thống thiết bị mạng

Khai thác những lỗ hổng bảo mật của phần mềm bảo mật, phần mềm ứng dụng

Tấn công có chủ đích

Thời gian kéo dài, kiên trì dai dẳng

Kỹ thuật tấn công phức tạp, có thể bao gồm nhiều hình thức tấn công khác nhau

Kỹ thuật tấn công hiện đại, tiên tiến

Virus Trapdoor mở ra một "cửa hậu" cho phép hacker truy cập vào, thậm chí chiếm quyền điều khiển hệ thống

Kể cả khi chưa được kích hoạt và không hoạt động, virus trapdoor vẫn thường trú trong bộ nhớ để chờ mở cổng cho kẻ tấn công truy cập vào máy của nạn nhân

Có thể được tạo ra do lỗi của nhà phát triển phần mềm, sau đó bị hacker phát hiện

Virus tạo ra backdoor bằng cách lừa để nạn nhân đồng ý trao cho nó quyền thiết lập backdoor, chẳng hạn tạo ra một ứng dụng có vẻ hữu ích nhưng ngầm chứa mã độc. Khi cài đặt ứng dụng người dùng sẽ đồng ý với những yêu cầu của tiến trình cài đặt và vô tình trao cho virus quyền thiết lập backdoor

Nếu hacker gửi 1 gói tin tới mạng khuếch đại thì sẽ có N gói tin dội tới máy của nạn nhân. N phụ thuộc vào số máy trạm của mạng khuếch đại

Kẻ tấn công thực hiện bằng cách gõ một số lệnh Ping tại dấu nhắc cửa sổ lệnh Command Prompt

Lợi dụng giao thức TCP/ IP

Hacker sẽ chọn những địa chỉ không có thực hoặc địa chỉ không hoạt động để giả mạo địa chỉ và gửi gói tin ICMP tới mạng khuếch đại

Lợi dụng giao thức ICMP

Đủ độ dài tối thiểu của mật khẩu mạnh

Bao gồm đầy đủ chữ thường, chữ in HOA, chữ số, ký tự đặc biệt

Chứa câu nói nổi tiếng và dễ đoàn

Chứa thông tin cá nhân

Social Engineering

Phishing

Cài đặt mã độc Adware

Passive attack

Đa số Zombie sẽ phá hoại hoạt động của hệ thống mà nó ẩn nấp

Có thể được sử dụng như công cụ để tấn công DDOS

Bí mật tiềm ẩn trên máy, khi hoạt động sẽ kết nối với máy tính khác qua Internet để thực hiện chức năng nào đó do hacker thiết kế

Đa số Zombie sẽ đánh cắp dữ liệu trên máy mà nó ẩn nấp

Có thể chiếm quyền điều khiển máy tính để huy động nó tham gia tấn công các website và mạng

Hình thức DoS cổ điển là ra lệnh cho mạng các zombie đồng loạt tấn công. Ngày nay hình thức này ít được sử dụng vì dễ bị ngăn chặn và lần vết

Attacker có thể cài mã độc vào một website có lượng truy cập lớn để tất cả những người truy cập website đều vô tình tham gia vào cuộc tấn công DoS

Hình thức DoS tiên tiến hiện nay là tin tặc chỉ dùng một sever duy nhất có công suất lớn để gửi rất nhiều gói tin làm nghẽn băng thông của nạn nhân

DdoS dễ bị ngăn chặn và truy bắt vì lưu lượng tấn công chỉ xuất phát từ một địa chỉ IP

Backup dữ liệu định kỳ lên Google Drive, Dropbox

Không tò mò mở email lạ

Không click vào những ảnh quảng cáo hay đường link lạ

Không download file từ địa chỉ không chắc chắn

Tải về và cài đặt tất cả những Antivirus software miễn phí tìm được trên mạng

mã OTP - số PIN

Mật khẩu - Vân tay

Name - phone number

Name - Password

Thường được phát tán và lây lan bởi các Trojan

Khi được kích hoạt sẽ giúp hacker điều khiển máy tính từ xa để thực hiện những tác vụ độc hại, thường là đối với một mục tiêu hoàn toàn xa lạ với máy tính đó

Thường được sử dụng trong hình thức tấn công Man in the Middle

Bí mật tiềm ẩn trên máy nạn nhân, khi được kích hoạt sẽ kết nối với máy tính khác qua mạng Internet để thực hiện những chức năng do hacker thiết kế

Khi mã độc Zombie ẩn nấp trong máy được kích hoạt, nó sẽ đánh cắp dữ liệu và phá hoại các phần mềm trong máy

Ghi đè lên những dữ liệu ít khi dùng trong tệp gốc

Copy đoạn chương trình gốc sang nơi khác trên đĩa, ghi đè mã độc lên vị trí ban đầu (có lệnh jump tới đoạn chương trình gốc) để tránh làm tăng kích thước tệp gốc.

Chèn đoạn mã độc vào những dữ liệu ít khi dùng đến trong tệp thực thi .txt

Nén toàn bộ đoạn mã độc lại trước khi chèn vào tệp gốc để tránh làm tăng kích thước.

Bổ sung lệnh Jump vào đầu tệp thực thi để nhảy tới vị trí của mã độc.

Nếu nạn nhân trả tiền chuộc thì chắc chắn sẽ lấy lại được dữ liệu

Hiển thị thông tin đòi tiền chuộc (bằng tiền ảo) và đồng hồ đếm ngược

Chỉ có một phiên bản duy nhất

Chỉ khóa máy khiến người dùng không thể sử dụng, không tác động vào các tệp dữ liệu trên đĩa