Dịch nghĩa của từ tailgating là gì, Định nghĩa, ví dụ, giải thích
9. Tấn công phi kỹ thuật - Khái niệm, giai đoạn, phương pháp tấn công phi kỹ thuật và mạo danh trên mạng xã hội
9. Tấn công phi kỹ thuật - Khái niệm, giai đoạn, phương pháp tấn công phi kỹ thuật và mạo danh trên mạng xã hội
Tóm tắt
Ở chương này, chúng ta sẽ tìm hiểu khái niệm cơ bản và cách thức hoạt động của tấn công phi kĩ thuật.Bạn đang xem: Tailgating là gì
Kĩ thuật này khá khác biệt với các kĩ thuật đánh cắp thông tin trước đây. Tất cả các công cụ và kĩ thuật để hack một hệ thống đều thuộc chuyên môn và đòi hỏi kiến thức về mạng, hệ điều hành và các lĩnh vực khác. Tấn công phi kĩ thuật là một phần của việc đánh cắp thông tin phi kĩ thuật. Đây là kĩ thuật phổ biến nhất do dễ thực hiện bởi vì tính cách bất cẩn thường thấy ở con người.
Bạn đang xem: Dịch nghĩa của từ tailgating là gì, Định nghĩa, ví dụ, giải thích
Mô hình an ninh bao gồm an ninh mạng, bảo mật tài nguyên hệ thống, trong đó con người là nhân tố quan trọng nhất. Nếu người dùng bất cẩn để lộ chứng thư đăng nhập, tất cả các lớp bảo mật còn lại sẽ thất bại. Tuyên truyền về phi kĩ thuật, tấn công phi kĩ thuật và hậu quả của sự bất cẩn sẽ tăng cường an ninh mạng cho người dùng.
Chương này bao gồm tổng quan khái niệm phi kĩ thuật, các kiểu tấn công phi kĩ thuật; bạn sẽ tìm hiểu về cách thức hoạt động của các tấn công phi kĩ thuật khác nhau, mối nguy hiểm, cách kẻ tấn công mạo danh người dùng, lấy cắp nhân dạng và giảm thiểu nguy cơ tấn công phi kĩ thuật. Chúng ta sẽ bắt đầu với khái niệm tấn công phi kĩ thuật.
Khái niệm phi kĩ thuật
Giới thiệu phi kĩ thuật
Phi kĩ thuật là hành động lấy cắp thông tin từ người dùng. Bởi vì nó không bao gồm tương tác với hệ thống mục tiêu hay mạng, nó được coi là một tấn công phi kĩ thuật.
Phi kĩ thuật được xem là nghệ thuật thuyết phục mục tiêu tiết lộ thông tin. Có thể là tương tác một một với mục tiêu hoặc thuyết phục mục tiêu trên nền tảng bất kì. Ví dụ, mạng xã hội là một nền tảng phổ biến của phi kĩ thuật. Sự xuất hiện của tấn công phi kĩ thuật chứng minh sự bất cẩn hay kém nhận thức của người dùng về các thông tin họ sở hữu.
Nguy cơ tấn công phi kĩ thuậtMột nhân tố quan trọng dẫn đến tấn công phi kĩ thuật là “niềm tin”. Người dùng A tin tưởng một người B và không bảo vệ các chứng thư đăng nhập trước người đó. Người B có thể để lộ thông tin với người C, từ đó người C thực hiện tấn công với người dùng A.
Những tổ chức không nhận thức hay nhân viên không được luyện tập đầy đủ về tấn công phi kĩ thuật và cách phòng tránh có nguy cơ trở thành nạn nhân của tấn công này. Mỗi tổ chức cần huấn luyện nghiệp vụ nhân viên về tấn công phi kĩ thuật.
Các tổ chức cũng cần bảo vệ cơ sở hạ tầng của mình. Nhân viên ở các cấp độ khác nhau nên bị giới hạn ở những đặc quyền khác nhau. Ví dụ nhân viên ở các văn phòng ban khác không được truy cập vào tài nguyên của ban Tài chính. Trong trường hợp một nhân viên có quyền tự do truy cập thì tấn công phi kĩ thuật như Dumpster Diving hay Shoulder surfing dễ xảy ra.
Thiếu chính sách an ninh và bảo mật cũng là một nguy cơ khác. Chính sách an ninh cần phải chặt chẽ để ngăn người dùng mạo danh người dùng khác. Bảo mật giữa người dùng không thẩm quyền hay client và nhân viên tổ chức cần phải được duy trì để phòng tránh truy cập không thẩm quyền hay đánh cắp.
Các giai đoạn tấn công phi kĩ thuật
Tấn công phi kĩ thuật không phải là một tấn công phức tạp đòi hỏi kiến thức chuyên môn sâu sắc. Tấn công phi kĩ thuật bao gồm các bước sau đây:
Nghiên cứuGiai đoạn nghiên cứu là thu thập thông tin về tổ chức mục tiêu. Những thông tin này có thể thu thập thông qua dumpster diving, quét website của tổ chức, tìm hiểu thông tin trên mạng, thu thập thông tin từ nhân viên tổ chức, ...
Chọn mục tiêuTrong giai đoạn này, kẻ tấn công chọn mục tiêu trong số các nhân viên của tổ chức. Một nhân viên chán nản và mệt mỏi sẽ dễ được lựa chọn bởi vì anh ta dễ để lộ thông tin hơn.
Xem thêm: Tận Dụng Ngay 6 Tác Dụng Của Nước Cam Để Nâng Cao Sức Khỏe Mùa Hè
Giai đoạn này bao gồm việc tạo ra một mối quan hệ với mục tiêu sao cho anh ta không nhận ra được ý định của kẻ tấn công. Mục tiêu sẽ có niềm tin với kẻ tấn công. Niềm tin càng lớn thì mục tiêu càng dễ tiết lộ thông tin.
Khai thácKhai thác mối quan hệ để lấy được các thông tin nhạy cảm như tên người dùng, mật khẩu, thông tin mạng, …
Phương pháp tấn công phi kĩ thuật
Các loại tấn công phi kĩ thuật
Tấn công phi kĩ thuật có thể thực hiện bằng những phương pháp khác nhau. Những phương pháp ấy được chia thành những loại sau đây:
Tấn công phi kĩ thuật dựa trên con ngườiKĩ thuật này bao gồm tương tác một một giữa kẻ tấn công với nạn nhân. Tấn công phi kĩ thuật thu thập thông tin nhạy cảm bằng những chiêu trò như tạo niềm tin, lợi dụng thói quen, hành vi và bổn phận đạo đức.
1. Mạo danhMạo danh là một phương pháp tấn công dựa trên con người. Về cơ bản, mạo danh là giả mạo thành một người hay một vật nào đó. Mạo danh trong tấn công phi kĩ thuật là kẻ tấn công giả mạo thành một người dùng chính thống hay người có thẩm quyền. Phương pháp này thực hiện trong thực tế hoặc qua một kênh giao tiếp như email, điện thoại, ...
Mạo danh nhân dạng được thực hiện bởi đánh cắp nhân dạng, khi kẻ tấn công có đủ thông tin cá nhân về một người có thẩm quyền, kẻ tấn công sẽ mạo danh thành người dùng chính thống đang cung cấp thông tin cá nhân của người dùng chính thống. Một cách khác là mạo danh thành cố vấn chuyên môn để yêu cầu chứng thư đăng nhập.
2. Nghe trộm và nhìn qua vai (Eavesdropping and Shoulder Surfing)Nghe trộm là kĩ thuật trong đó kẻ tấn công lấy thông tin bằng các nghe đoạn hội thoại. Nó không gồm nghe đoạn hội thoại mà bao gồm đọc hoặc truy cập vào thông tin nào đó mà người dùng không được thông báo về hoạt động đó.
Kĩ năng nhìn qua vai(Shoulder Surfing) đã được định nghĩa trong chương DẤU VẾT. Như tên gọi của nó, kĩ thuật này là lấy thông tin bằng cách đứng sau mục tiêu khi anh ta đang tương tác với thông tin nhạy cảm.
3. Dò tìm bãi phế thải (Dumpster Diving)Nói đơn giản, thuật ngữ này nghĩa là tìm “kho báu” từ bãi rác. Đây là một kĩ thuật tuy cũ nhưng vẫn hiệu quả. Nó bao gồm tiếp cận với thùng rác của người dùng như rác máy in, bàn làm việc hay rác công ti để tìm hóa đơn điện thoại, thông tin liên lạc, thông tin tài chính, mã tài nguyên và các tài liệu hữu ích khác.
4. Tấn công phi kĩ thuật đảo ngượcĐây là quá trình yêu cầu tương tác giữa kẻ tấn công và nạn nhân, khi mà kẻ tấn công làm nạn nhân tin rằng anh ta đang có vấn đề hoặc sẽ có vấn đề trong tương lai. Nếu nạn nhân bị thuyết phục, anh ta sẽ cung cấp thông tin mà kẻ tấn công yêu cầu. Tấn công phi kĩ thuật đảo ngược được thực hiện qua những bước sau:
Kẻ tấn công phá hoại hệ thống mục tiêu hay nhận diện lỗ hổng bảo mật.Kẻ tấn công giới thiệu bản thân như một người có thẩm quyền có thể giải quyết mục tiêu.Kẻ tấn công tạo niềm tin với nạn nhân và lấy quyền truy cập đến các thông tin nhạy cảm.Sau khi tấn công phi kĩ thuật đảo ngược thành công, người dùng thường liên lạc kẻ tấn công để giúp đỡ.5. Piggybacking và TailgatingPiggybacking và Tailgating là hai kĩ thuật giống nhau. Piggyback là phương pháp mà trong đó người không có thẩm quyền chờ một người có thẩm quyền để lấy quyền truy cập vào khu vực giới hạn. Còn tailgating là kĩ thuật trong đó người không có thẩm quyền lấy quyền truy cập vào khu vực giới hạn bằng cách theo người có thẩm quyền. Bằng cách sử dụng ID giả và theo sát người dùng khi đi qua điểm kiểm tra, tailgating trở nên đơn giản.
Phi kĩ thuật dựa trên máy tínhCó nhiều cách khác nhau để thực hiện phi kĩ thuật dựa trên máy tính bao gồm cửa sổ yêu cầu chứng thư đăng nhập, tin nhắn internet và email ví dụ như chữ cái Hoax, chữ cái Chain và Spam.
PhishingQuá trình phishing là kĩ thuật gửi một email giả trông như email chính thống đến host mục tiêu. Khi người nhận mở link, anh ta bị dụ dỗ đưa ra thông tin. Người nhận thường được đưa đến một webpage giả giống như webpage thật. Do điểm tương đồng nên người dùng sẽ cung cấp các thông tin nhạy cảm cho webpage giả này.
Spear PhishingĐây là loại phishing tập trung vào một cá nhân. Loại phishing này tạo ra tỉ lệ phản hồi cao hơn so với một tấn công phishing ngẫu nhiên.
Phi kĩ thuật dựa trên điện thoại1. Phát hành ứng dụng ác ýChuyên mục:
