An ninh mạng và An toàn hệ thống

An toàn máy tính và An toàn Internet

An toàn máy tính và An ninh mạng

An toàn công nghệ thông tin và Đảm bảo thông tin

Do có nhiều thiết bị kết nối mạng Internet với nhiều nguy cơ và đe doạ

Do có quá nhiều phần mềm độc hại

Do có quá nhiều nguy cơ tấn công mạng

Do có nhiều thiết bị kết nối mạng Internet

Việc đảm bảo thông tin trong hệ thống không bị đánh cắp

Việc đảm bảo cho hệ thống thông tin hoạt động trơn tru, ổn định

Việc đảm bảo cho hệ thống thông tin không bị tấn công

Việc đảm bảo các thuộc tính an ninh, an toàn của hệ thống thông tin

Quản lý cao cấp

Giám đốc điều hành

Nhân viên

Quản lý bộ phận

Phòng vệ nhiều lớp có chiều sâu

Cần đầu tư trang thiết bị và chuyên gia đảm bảo an toàn

Cần mua sắm và lắp đặt nhiều thiết bị an ninh chuyên dụng

Cân bằng giữa tính hữu dụng, chi phí và tính năng

Quản lý các ứng dụng

Quản lý hệ thống

Quản lý hệ điều hành

Quản lý rủi ro

Bí mật, Toàn vẹn và sẵn dùng

Bí mật và Toàn vẹn

Bí mật

Toàn vẹn

Vùng máy trạm

Vùng mạng WAN

Vùng mạng LAN-to-WAN

Vùng mạng LAN

Là việc phòng chống đánh cắp thông tin

Là việc bảo vệ chống truy nhập, sử dụng, tiết lộ, sửa đổi, hoặc phá huỷ thông tin một cách trái phép

Là việc bảo vệ chống sử dụng, tiết lộ, sửa đổi, vận chuyển hoặc phá huỷ thông tin một cách trái phép

Là việc phòng chống tấn công mạng

Định kỳ cập nhật thông tin về các lỗ hổng từ các trang web chính thức

Định kỳ cập nhật các bản vá và nâng cấp hệ điều hành

Định kỳ nâng cấp hệ thống phần mềm

Định kỳ nâng cấp hệ thống phần cứng

password83

reception

!SaLtNb83

LaT3r

Tăng khả năng phá hoại của mã tấn công

Tăng khả năng gây tràn bộ đệm

Tăng khả năng mã tấn công được thực hiện

Tăng khả năng gây lỗi chương trình

Điểm yếu hệ thống chỉ xuất hiện trong các mô đun phần mềm

Điểm yếu chỉ xuất hiện khi hệ thống bị tấn công

Điểm yếu hệ thống có thể xuất hiện trong cả các mô đun phần cứng và phần mềm

Điểm yếu hệ thống chỉ xuất hiện trong các mô đun phần cứng

Quản lý cao cấp

Giám đốc điều hành

Nhân viên

Quản lý bộ phận

CPU, Bộ nhớ, HDD, hệ điều hành và các ứng dụng

CPU, hệ điều hành và các ứng dụng

Hệ thống phần cứng và Hệ thống phần mềm

CPU, Bộ nhớ, HDD và Hệ thống bus truyền dẫn

Lỗi thiết kế, lỗi cài đặt và lập trình

Tất cả các khâu trong quá trình phát triển và vận hành

Lỗi quản trị

Lỗi cấu hình hoạt động

Triệt tiêu được hết các nguy cơ

Triệt tiêu được hết các mối đe doạ

Giảm thiểu các lỗ hổng bảo mật

Kiểm soát chặt chẽ người dùng

SQL Server 2012

SQL Server 2000

SQL Server 2008

SQL Server 2003

Năm lần nỗ lực login thất bại trên tài khoản “jsmith”

Hai lần login thành công với tài khoản Administrator

Năm trăm ngàn công việc in được gửi đến một máy in

Ba tập tin mới được lưu trong tài khoản thư mục bởi người sử dụng là “finance”

VPN, SSL/TLS, PGP

Điều khiển truy nhập

Điều khiển truy nhập, tường lửa, proxy và các giao thức bảo mật, ứng dụng dựa trên mật mã

Tường lửa, proxy

An toàn máy tính, An ninh mạng, Quản lý ATTT và Chính sách ATTT

An toàn máy tính và dữ liệu, An ninh mạng, Quản lý ATTT và Chính sách ATTT

An toàn máy tính, An ninh mạng, Quản lý rủi ro ATTT và Chính sách ATTT

An toàn máy tính, An toàn dữ liệu, An ninh mạng, Quản lý ATTT

Bảo mật, Toàn vẹn và Khả dụng

Bảo mật, Toàn vẹn và Sẵn dùng

Bí mật, Toàn vẹn và Sẵn dùng

Bí mật, Toàn vẹn và không chối bỏ

Các điều kiện bên trong và bên ngoài hệ thống thay đổi theo thời gian

Trình độ cao của tin tặc và công cụ tấn công ngày càng phổ biến

Số lượng và khả năng phá hoại của các phần mềm độc hại ngày càng tăng

Máy tính, hệ điều hành và các phần mềm được nâng cấp nhanh chóng

Một hệ thống tích hợp các thành phần nhằm phục vụ việc thu thập, lưu trữ, xử lý thông tin, chuyển giao thông tin, tri thức và các sản phẩm số

Một hệ thống gồm các thành phần phần cứng và phần mềm nhằm phục vụ việc thu thập, lưu trữ, xử lý thông tin, chuyển giao thông tin

Một hệ thống gồm các thành phần cứng nhằm phục vụ việc thu thập, lưu trữ, xử lý thông tin, chuyển giao thông tin, tri thức và các sản phẩm số

Một hệ thống gồm các thành phần phần mềm nhằm phục vụ việc thu thập, lưu trữ, xử lý thông tin, chuyển giao thông tin, tri thức và các sản phẩm số

Bảo vệ vật lý

Các kỹ thuật mã hóa

sử dụng VPN

Bảo vệ vật lý, VPN, hoặc mã hóa

Sử dụng kỹ thuật tạo dự phòng ra đĩa cứng

Sử dụng kỹ thuật tạo dự phòng ra băng từ

Sử dụng kỹ thuật tạo dự phòng ngoại vi

Sử dụng kỹ thuật tạo dự phòng cục bộ

Kiểm thử phần mềm

Thiết kế phần mềm

Lập trình phần mềm

Quản trị phần mềm

Lỗi tràn bộ đệm

Lỗi quản trị

Lỗi cấu hình

Lỗi thiết kế

Lớp an ninh mạng

Lớp an ninh hệ thống

Lớp an ninh cơ quan/tổ chức

Lớp an ninh hệ điều hành và phần mềm

Các biến đầu vào của hàm

Bộ đệm hoặc biến cục bộ của hàm

Con trỏ khung ngăn xếp (sfp)

Địa chỉ trỏ về của hàm

Phần mềm nghe lén

Phần mềm quảng cáo

Phần mềm phá mã

Phần mềm độc hại

vùng người dùng

vùng máy trạm

vùng mạng LAN

vùng mạng LAN-to-WAN

vùng máy trạm

vùng mạng LAN-to-WAN

vùng truy nhập từ xa

vùng hệ thống và ứng dụng

vùng người dùng

vùng mạng LAN

vùng mạng WAN

vùng mạng LAN-to-WAN

Cân bằng giữa An toàn, Hữu dụng và Tin cậy

Cân bằng giữa An toàn, Rẻ tiền và Chất lượng

Cân bằng giữa An toàn, Hữu dụng và Rẻ tiền

Cân bằng giữa An toàn, Tin cậy và Rẻ tiền

Tin tặc và các phần mềm độc hại

Mất thông tin và các phần mềm nghe lén.

Phần cứng và phần mềm độc hại.

Các phần mềm độc hại.

Quản lý cao cấp

Giám đốc điều hành

Nhân viên

Quản lý bộ phận

Phần cứng (Hardware), phần mềm (Software), cơ sở dữ liệu (Databases), hệ thống mạng (Networks), tập các lệnh kết hợp (Procedures).

Phần cứng (Hardware), phần mềm (Software), người dùng (Actor), hệ thống mạng (Networks), tập các lệnh kết hợp (Procedures).

Phần cứng (Hardware), phần mềm (Software), dữ liệu (Data), bảo vệ (Security), hệ thống mạng (Networks), tập các lệnh kết hợp (Procedures).

Phần cứng (Hardware), phần mềm (Software), cơ sở dữ liệu (Databases), mạng riêng ảo (VPN), tập các lệnh kết hợp (Procedures).

$$A = \frac{\text{Uptime}}{\text{Uptime} + \text{Downtime}}$$

$$A = \frac{\text{Uptime}}{\text{Loadtime} + \text{Downtime}}$$

$$A = \frac{\text{Uptime}}{\text{Uptime} + \text{Downtime} + \text{Loadtime}}$$

$$A = \frac{\text{Uptime}}{\text{Uptime} + \text{Loadtime}}$$

Lập kế hoạch (Plan), Thực thi kế hoạch (Do), Giám sát kết quả thực hiện (Monitor), Thực hiện các kiểm soát (Control).

Lập kế hoạch (Plan), Thực thi kế hoạch (Do), Thực hiện kiểm tra (Check), Hành động (Act).

Lập kế hoạch (Plan), Thực thi kế hoạch (Do), Giám sát kết quả thực hiện (Monitor), Thực hiện kiểm tra (Check).

Lập kế hoạch (Plan), Thực thi kế hoạch (Do), Thực hiện kiểm tra (Check), Thực hiện các kiểm soát (Control).

Chính sách an toàn ở mức người dùng (User security policy).

Chính sách an toàn ở mức vật lý (Physical security policy)

Chính sách an toàn ở mức tổ chức (Organizational security policy)

Chính sách an toàn ở mức logic (Logical security policy)

tính hợp lệ (validity) … sự chính xác (accuracy).

tính hợp lệ (validity) … sự chính xác (rigorous).

sự hợp pháp (legalization) … sự chính xác (accuracy).

sự hợp pháp (legalization) … sự chính xác (rigorous).

Coi nhẹ hoặc vi phạm các chính sách an ninh an toàn; đưa CD/DVD/USB với các files cá nhân vào hệ thống; thiếu ý thức về vấn đề an ninh an toàn.

Đưa CD/DVD/USB với các files cá nhân vào hệ thống; người dùng tải ảnh, âm nhạc, video; truy nhập trái phép vào máy trạm.

Coi nhẹ hoặc vi phạm các chính sách an ninh an toàn; thăm dò và rà quét trái phép các cổng dịch vụ; thiếu ý thức về vấn đề an ninh an toàn.

Đưa CD/DVD/USB với các files cá nhân vào hệ thống; người dùng tải ảnh, âm nhạc, video; nguy cơ từ người dùng giả mạo trong mạng WLAN.

vùng người dùng

vùng hệ thống/ứng dụng

vùng truy cập từ xa

vùng mạng LAN-to-WAN

Coi nhẹ hoặc vi phạm các chính sách an ninh an toàn; đưa CD/DVD/USB với các files cá nhân vào hệ thống; thiếu ý thức về vấn đề an ninh an toàn.

Đưa CD/DVD/USB với các files cá nhân vào hệ thống; người dùng tải ảnh, âm nhạc, video; truy nhập trái phép vào máy trạm.

Quản lý cao cấp

Giám đốc điều hành

Nhân viên

Quản lý bộ phận

Tường lửa, mạng riêng ảo (VPN).

Lớp chính sách & thủ tục đảm bảo ATTT.

Lớp quản trị tài khoản và phân quyền người dùng.

Lớp phát hiện và ngăn chặn phần mềm độc hại.

Đảm bảo an toàn hdh, máy tính, dịch vụ; sử dụng tường lửa, proxy.

Các kỹ thuật và hệ thống pháp hiện, ngăn chặn tấn công, xâm nhập.

Vấn đề về phòng chống phần mềm độc hại, giám sát mạng.

Việc sao lưu tạo dự phòng dữ liệu, đảm bảo dữ liệu không bị mất mát khi xảy ra sự cố.

Sử dụng tường lửa

Sử dụng công nghệ xác thực mạnh

Sử dụng các kỹ thuật mật mã

Sử dụng cơ chế cấm thực hiện mã trong dữ liệu

Tăng khả năng phá hoại của mã tấn công

Tăng khả năng gây tràn bộ đệm

Tăng khả năng mã tấn công được thực hiện

Tăng khả năng gây lỗi chương trình

Điểm yếu hệ thống chỉ xuất hiện trong các mô đun phần mềm

Điểm yếu chỉ xuất hiện khi hệ thống bị tấn công

Điểm yếu hệ thống có thể xuất hiện trong cả các mô đun phần cứng và phần mềm

Điểm yếu hệ thống chỉ xuất hiện trong các mô đun phần cứng

Ngăn xếp (Stack) và vùng nhớ cấp phát động (Heap)

Ngăn xếp (Stack) và Bộ nhớ đệm (Cache)

Hàng đợi (Queue) và vùng nhớ cấp phát động (Heap)

Hàng đợi (Queue) và Ngăn xếp (Stack)

Bất kỳ điểm yếu nào trong hệ thống cho phép mối đe dọa có thể gây tác hại

Các điểm yếu trong hệ điều hành

Tất cả điểm yếu hoặc khiếm khuyết trong hệ thống

Các điểm yếu trong các phần mềm ứng dụng

Lỗi thiết kế, lỗi cài đặt và lập trình

Tất cả các khâu trong quá trình phát triển và vận hành

Triệt tiêu được hết các nguy cơ

Triệt tiêu được hết các mối đe dọa

Giảm thiểu các lỗ hổng bảo mật

Kiểm soát chặt chẽ người dùng

Kiểm tra tất cả các dữ liệu đầu vào, đặc biệt dữ liệu nhập từ người dùng và từ các nguồn không tin cậy.

Tạo các bộ lọc để lọc bỏ 1 số ký tự đặc biệt của các ngôn ngữ trong các trường hợp cần thiết mà kẻ tấn công có thể sử dụng.

Luôn chạy các chương trình ứng dụng với quyền tối thiểu – vừa đủ để thực thi các tác vụ.

Sử dụng giải thuật mã hóa/giải mã, hàm băm yếu, lạc hậu, hoặc có lỗ hổng (DES, MD4, MD5, ...)

Hệ điều hành

Các dịch vụ mạng

Các ứng dụng

Các thành phần phần cứng

Mã Java

Mã C/C++

Mã máy

Mã Hợp ngữ

Khai thác nhằm đánh cắp các thông tin trong hệ thống

Khai thác gây tổn hại đến các thuộc tính an ninh của hệ thống đó

Khai thác, tấn công phá hoại và gây tê liệt hệ thống

Khai thác nhằm chiếm quyền điều khiển hệ thống

Kiểm thử phần mềm

Thiết kế phần mềm

Lập trình phần mềm

Quản trị phần mềm

Lỗi tràn bộ đệm

Lỗi quản trị

Lỗi cấu hình

Lỗi thiết kế

Spoofing

Trojan horse

Man in the middle

Phishing

IDS

IPS

SIEM

DLP

Nguy hiểm, Quan trọng, Trung bình, Thấp

Nguy hiểm, Cao, Trung bình, Thấp

Cao, Quan trọng, Trung bình, Không quan trọng

Cao, Trung bình, Thấp, Yếu

Gây mất dữ liệu của người dùng

Có thể khiến cho ứng dụng ngừng hoạt động, gây mất dữ liệu hoặc thậm chí giúp kẻ tấn công kiểm soát hệ thống

Khiến chương trình ngừng hoạt động

Chiếm quyền kiểm soát và phá hỏng hệ thống

Kiểm tra tất cả các dữ liệu đầu vào, đặc biệt dữ liệu nhập từ người dùng và từ các nguồn không tin cậy

Không dùng user quản trị (root hoặc admin) để chạy các chương trình ứng dụng

Tạo các bộ lọc để lọc bỏ các ký tự đặc biệt và các từ khóa của các ngôn ngữ trong các trường hợp cần thiết mà kẻ tấn công có thể sử dụng

Kiểm tra sự hợp lý của nội dung dữ liệu

Các trường dữ liệu text

Các file âm thanh, hình ảnh, hoặc đồ họa do người dùng hoặc các tiến trình khác cung cấp

Các dữ liệu từ mạng hoặc các nguồn không tin cậy

Các dữ liệu được đưa ra bởi hệ thống

Bước / Phương thức

Dữ liệu / Phương thức

Dữ liệu / Khả năng

Bước / Khả năng

Mượn quyền

Xin quyền

Doạt quyền

Đưa quyền

Không dùng user quản trị (root hoặc admin) để chạy các chương trình ứng dụng

Sử dụng các công cụ phân tích mã tự động tìm các điểm có khả năng xảy ra lỗi

Luôn chạy các chương trình ứng dụng với quyền tối thiểu – vừa đủ để thực thi các tác vụ

Kiểm soát chặt chẽ người dùng, xóa bỏ hoặc cấm truy nhập với những người dùng ngầm định kiểu everyone

Mật khẩu được lưu dưới dạng rõ (plain text)

Sử dụng mật khẩu đơn giản, dễ đoán, hoặc dùng mật khẩu trong thời gian dài

Sử dụng cơ chế xác thực không đủ mạnh

Chọn mật khẩu đủ mạnh để sử dụng

Sử dụng mật khẩu và quyền phù hợp để truy cập

Thực hiện đọc/ghi file lưu ở những nơi mà các người dùng khác cũng có thể ghi file đó

Không kiểm tra chính xác loại file, định danh thiết bị, các links hoặc các thuộc tính khác của file trước khi sử dụng

Không kiểm tra mã trả về sau mỗi thao tác với file

Thường xuyên cập nhật thông tin về các điểm yếu, lỗ hổng bảo mật từ các trang web chính thức

Người dùng được quyền truy nhập vào mọi tác vụ của hệ thống

Cần có chính sách quản trị người dùng, mật khẩu và quyền truy nhập chặt chẽ ở mức hệ điều hành và mức ứng dụng

Sử dụng các biện pháp phòng vệ ở lớp ngoài như tường lửa, proxies

Vị trí / Quá trình

Vị trí / Hành vi

Trật tự / Quá trình

Trật tự / Hành vi

Có điểm yếu đã biết và đã được khắc phục

Có điểm yếu đã biết và chưa được khắc phục

Có điểm yếu chưa biết/chưa được phát hiện

Tất cả các đáp

SYN floods

DDos

Buffer Overflows

Worms

Khoảng thời gian / Chèn mã độc

Khoảng cách / Thay đổi biến

Khoảng thời gian / Thay đổi biến

Khoảng cách / Chèn mã độc

Dịch vụ cung cấp

Bản thân hệ điều hành

Con người tạo ra

Tất cả đều đúng

Mối đe doạ là bất kỳ một hành động tấn công nào vào hệ thống mạng.

Mối đe doạ là bất kỳ một hành động nào có thể gây hư hại đến các tài nguyên hệ thống.

Mối đe doạ là bất kỳ một hành động tấn công nào vào hệ thống máy tính.

Vi rút có khả năng tự lây lan mà không cần tương tác của người dùng

Sâu có khả năng tự lây lan mà không cần tương tác của người dùng

Sâu có khả năng phá hoại lớn lớn

Vi rút có khả năng phá hoại lớn lớn

Interceptions

Fabrications

Interruptions

Modifications

Thụ động

Chủ động

Chiếm quyền điều khiển

Chủ động và bị động

Fabrications

Modifications

Interruptions

Interceptions

ICMP broadcast

ARP broadcast

DHCP broadcast

DNS broadcast

UDP Ping

DNS Cache Poisoning

Smurf

DNS spoofing

Modifications

Fabrications

Interruptions

Interceptions

Unicast

Multicast

Anycast

Broadcast

Máy chủ web

Máy chủ cơ sở dữ liệu của trang web

Máy chủ và máy khách web

Máy khách/trình duyệt web

SQLCheck

SQL Server

SQLmap

SQLite

Phạm vi tấn công

Mức độ gây hại

Kỹ thuật tấn công

Tần suất tấn công

Gửi các yêu cầu tấn công chèn mã

Đánh cắp dữ liệu từ máy chủ cơ sở dữ liệu

Gửi thư rác, thư quảng cáo

Thực hiện tấn công tràn bộ đệm

Tìm mật khẩu trong từ điển các mật khẩu

Thử các từ có tần suất sử dụng cao làm mật khẩu trong từ điển

Vét cạn các mật khẩu có thể có

Lắng nghe trên đường truyền để đánh cắp mật khẩu

Lây lan thông qua sao chép các file

Lây lan thông qua dịch vụ POP

Lây lan thông qua khả năng thực thi từ xa

Lây lan thông qua Microsoft Office

SYN requests

DNS spoofing

IP spoofing

Ping of death

Gây hư hỏng phần cứng máy chủ

Cản trở người dùng hợp pháp truy nhập các tài nguyên hệ thống

Đánh cắp dữ liệu trong hệ thống

Cản trở người dùng hợp pháp truy nhập các file dữ liệu của hệ thống

Chứa các ký tự từ nhiều dạng ký tự

Khả năng chống tấn công phát lại và chứa các ký tự từ nhiều dạng ký tự

Độ dài từ 8 ký tự trở lên, gồm chữ cái hoa, thường, chữ số và ký tự đặc biệt

Độ dài lớn hơn hoặc bằng 8 ký tự

Đánh cắp các thông tin trong cơ sở dữ liệu

Chèn, xóa hoặc sửa đổi dữ liệu

Vượt qua các khâu xác thực người dùng

Chiếm quyền điều khiển hệ thống

Sử dụng các hệ thống IPS/IDS

Sử dụng chứng chỉ số để xác thực thông tin nhận dạng các bên

Sử dụng mã hóa để đảm bảo tính bí mật các thông điệp truyền

Sử dụng tường lửa để ngăn chặn

Các file tài liệu của bộ phần mềm Open Office

Các file tài liệu của bộ phần mềm Microsoft Exchange

Các file tài liệu của bộ phần mềm Microsoft SQL

Các file tài liệu của bộ phần mềm Microsoft Office

Máy trạm

Người dùng

Máy chủ

Hệ điều hành & ứng dụng

UNION INSERT

UNION SELECT

SELECT UNION

INSERT SELECT

Kỹ thuật chèn mã

Kỹ thuật giả mạo địa chỉ IP

Kỹ thuật gây tràn bộ đệm

Kỹ thuật xã hội

Virus, zombie, spyware

Virus, trojan, zombie

Virus, worm, trojan

Virus, worm, zombie

Ẩn mã của virus

Thay thế các chương trình

Xáo trộn mã của virus

Sửa đổi các chương trình

Reflectors

Requesters

Forwarders

Injectors

Để vượt qua các hệ thống IPS và IDS

Để vượt qua các hàng rào kiểm soát an ninh

Để đánh cắp các dữ liệu nhạy cảm trên máy trạm

Để đánh cắp các dữ liệu nhạy cảm trên máy chủ

MAC

Role-Based

Rule-Based

DAC

Cấm tự động thực hiện macro trong Microsoft Exchange

Sử dụng tường lửa

Cấm tự động thực hiện macro trong Microsoft Office

Sử dụng IPS/IDS

SYN Firewalls

SYN IDS

SYN Proxy

SYN Cache

Đánh cắp dữ liệu từ máy chủ CSDL

Thực hiện tấn công DoS

Thực hiện tấn công tràn bộ đệm

Thực hiện tấn công DDoS

Đánh cắp toàn bộ dữ liệu trên máy chủ

Phá hỏng máy chủ

Đánh cắp thông tin nhạy cảm trong cơ sở dữ liệu máy chủ

Đánh cắp thông tin nhạy cảm của người dùng

Chèn mã XSS, CSRF

Chèn mã SQL

Tràn bộ đệm

SQLi, XSS, CSRF và Buffer overflow

Thủ tục cơ sở dữ liệu có khả năng cấm chèn mã

Thủ tục cơ sở dữ liệu độc lập với các ứng dụng

Thủ tục cơ sở dữ liệu cho phép tách mã lệnh SQL khỏi dữ liệu người dùng

Thủ tục cơ sở dữ liệu lưu trong cơ sở dữ liệu và chạy nhanh hơn câu lệnh trực tiếp

Tấn công chèn mã SQL

Tấn công chèn mã XSS

Tấn công chèn mã CSRF

Tấn công chèn mã HTML

Sử dụng các thư viện lập trình an toàn hoặc sử dụng cơ chế cấm thực hiện mã trong dữ liệu (DEP)

Sử dụng tường lửa

Sử dụng các kỹ thuật mật mã

Sử dụng công nghệ xác thực mạnh

Địa chỉ máy nạn nhân làm địa chỉ của gói tin

Địa chỉ router làm địa chỉ của gói tin

Địa chỉ máy nạn nhân làm địa chỉ nguồn của gói tin

Địa chỉ router làm địa chỉ nguồn của gói tin

Worms

Viruses

Zombies

Trojans

Một lỗi hoặc một khiếm khuyết tồn tại trong hệ thống

Một lỗi khi xây dựng phần cứng máy tính

Một lỗi hoặc một khiếm khuyết tồn tại trong kết nối mạng

Là 1 khiếm khuyết của phần mềm

Lỗ hổng là bất kỳ điểm yếu nào trong hệ thống cho phép hacker có thể gây tác hại

Lỗ hổng là bất kỳ điểm yếu nào trong hệ thống cho phép mối đe dọa có thể gây tác hại

Lỗ hổng là bất kỳ điểm yếu nào trong mạng cho phép mối đe dọa có thể gây tác hại

Lỗ hổng là bất kỳ điều gì trong hệ thống cho phép mối đe dọa có thể gây tác hại

Các mối đe dọa thường khai thác một hoặc một số lỗ hổng đã biết để thực hiện các cuộc tấn công phá hoại

Không thể triệt tiêu được hết các lỗ hổng, nhưng có thể giảm thiểu các mối đe dọa, qua đó giảm thiểu khả năng bị tận dụng để tấn công

Nếu tồn tại một lỗ hổng trong hệ thống, sẽ có khả năng một mối đe dọa trở thành hiện thực

Không thể triệt tiêu được hết các mối đe dọa, nhưng có thể giảm thiểu các lỗ hổng, qua đó giảm thiểu khả năng bị tận dụng để tấn công

Interceptions

Fabrications

Interruptions

Modifications

Không gây ra thay đổi trên hệ thống

Sửa đổi dữ liệu trong file

Nghe lén

Giám sát lưu lượng trên đường truyền

Tấn công từ chối dịch vụ

Tràn bộ đệm

Tấn công kiểu Social Engineering

Tấn công giả mạo địa chỉ

Xâm phạm vào bộ nhớ riêng của ứng dụng

Để mật khẩu ở dạng bản rõ

Dữ liệu đầu vào từ người dùng hoặc từ các nguồn khác không được kiểm tra hoặc kiểm tra không kỹ lưỡng

Sử dụng thủ tục bất tay ba bước

Không sử dụng người dùng có quyền system admin hoặc database owner làm người dùng truy cập dữ liệu

Người dùng được quyền truy nhập vào mọi tác vụ của hệ thống

Chia nhóm người dùng, chi cấp quyền vừa đủ để truy cập các bảng biểu, thực hiện câu truy vấn và chạy các thủ tục

Tốt nhất, không cấp quyền thực hiện các câu truy vấn, cập nhật, sửa, xóa trực tiếp dữ liệu; Thủ tục hóa tất cả các câu lệnh và chỉ cấp quyền thực hiện thủ tục

Flooding attacks

Logic attacks

SYN cache

Sniffing

Hỏng hóc

Dừng

Ngập lụt

Giả mạo

Sử dụng kỹ thuật lọc

Giảm thời gian chờ