Quá trình kiểm thử bằng cách sử dụng điện thoại
Bước 18: Gọi một đối tượng và đóng giả làm một đồng nghiệp và yêu cầu thông tin nhạy cảm.
Người kiểm thử sẽ gọi tới một đối tượng trong danh sách lựa chọn và giả mạo làm một đồng nghiệp của họ, yêu cầu họ cung cấp các thông tin nhạy cảm như mật khẩu, lịch làm việc của các người quản lý cấp cao, bản kế hoạch của các dự án đang hoặc là chuẩn bị thực hiện…
Bước 19: Gọi một mục tiêu người dùng và đóng giả làm một người dùng quan trọng.
Người kiểm thử sẽ gọi tới một đối tượng trong danh sách lựa chọn và giả mạo làm một người dùng quan trọng, yêu cầu họ cung cấp các thông tin nhạy cảm, bỏ qua các chính sách, thủ tục an toàn của tổ chức…
Bước 20: Gọi tới một mục tiêu và đóng giả làm hỗ trợ kỹ thuật và yêu cầu thông tin nhạy cảm.
Người kiểm thử gọi tới một đối tượng trong danh sách lựa chọn và giả mạo làm một người hỗ trợ kỹ thuật, yêu cầu họ cung cấp các thông tin nhạy cảm, thực hiện các hành động giúp xâm nhập vào hệ thống và truy cập tài nguyên của tổ chức…
Bước 21: Nhắc đến một người quan trọng trong tổ chức và thử thu thập dữ liệu.
Người kiểm thử gọi tới một đối tượng trong danh sách lựa chọn và nhắc tới một người quan trọng trong tổ chức như các quản lý cấp cao, yêu cầu họ cung cấp thông tin nhạy cảm, bỏ qua các chính sách, thủ tục an toàn trong tổ chức…
Bước 22: Gọi tới một mục tiêu và hối lộ họ để đổi lấy thông tin cá nhân.
Người kiểm thử gọi tới một mục tiêu và sử dụng tiền, các vật phẩm có giá trị, hứa hẹn các cơ hội đem đến lợi ích cho họ để đổi lấy các thông tin nhạy cảm hoặc yêu cầu họ giúp chúng ta thông qua được các chính sách, thủ tục kiểm soát an toàn trong tổ chức.
Bước 23: Đe dọa mục tiêu với một hậu quả khủng khiếp.
Người kiểm thử gọi tới một mục tiêu và sử dụng các lời lẽ đe dọa họ, ép họ phải gửi các thông tin cá nhân hoặc làm các việc trái với chính sách, thủ tục của tổ chức.
Bước 24: Sử dụng kỹ thuật tấn công lừa đảo ngược để moi móc thông tin của người dùng.
Sử dụng các kỹ thuật tấn công lừa đảo ngược để có thể đi vào trong hệ thống và thu thập các thông tin nhạy cảm hoặc hủy bỏ khả năng an ninh của các thiết bị an toàn.
Quá trình kiểm thử bằng cách gặp trực tiếp nạn nhân
Bước 25: Kết bạn với các nhân viên trong tổ chức và cố gắng trích xuất thông tin.
Trực tiếp gặp gỡ, làm thân và kết bạn với các nhân viên trong tổ chức, tiếp tục nói chuyện phiếm, tâm sự để trích xuất các thông tin nhạy cảm.
Bước 26: Cố gắng mạo danh trong một vai trò thuận lợi như là một kiểm toán viên ngoài của tổ chức.
Người kiểm thử mạo danh là một người đóng vai trò quan trọng đối với tổ chức như là kiểm toán viên, các nhân viên giám sát, nhân viên bán hàng đến ký hợp đồng mới, các đối tác làm ăn với các thương vụ quan trọng của tổ chức…
Bước 27: Cố gắng mạo danh trong một vai trò thuận lợi như là một chuyên gia kỹ thuật.
Việc mạo danh một người trong vai trò là chuyên gia kỹ thuật của tổ chức có thể giúp người kiểm thử xâm nhập vào hệ thống, lấy thông tin nhật ký của hệ thống...
Bước 28: Thử mặc đồng phục và đeo thẻ định danh giả hoặc sử dụng kỹ thuật PiggyBacking để đi vào trong.
Ở bước này, người kiểm thử mặc đồng phục và đeo thẻ định danh giả, hoặc sử dụng kỹ thuật PiggyBacking và yêu cầu giúp đỡ để được đi vào bên trong tổ chức.
Bước 29: Thử sử dụng các kỹ thuật nghe trộm và nhìn trộm.
Người kiểm thử sử dụng các kỹ thuật nghe trộm, nhìn trộm ở các cự ly xa, gần, đi ngang qua vị trí người đang làm việc để thu thập thông tin nhạy cảm…
Bước 30: Ghi lại tất cả những thứ được tìm ra vào trong một bản báo cáo chuyên môn.
Cuối cùng, người kiểm thử ghi lại tất cả những thông tin kiểm thử vào trong một bản báo cáo chuyên môn về kiểm thử tấn công lừa đảo để phân tích và đánh giá.
Đến đây kết thúc quá trình kiểm thử tấn công lừa đảo. Các tổ chức cần lưu lại tất cả các bản báo cáo chuyên môn này để sử dụng trong việc đưa giải pháp an toàn và phục vụ trong các lần kiểm thử sau này. Các tài liệu này phải được giữ bí mật, không được công bố ra ngoài phạm vi được cho phép.
Nguyễn Hà
11:00 | 12/07/2022
09:00 | 25/11/2022
15:00 | 14/12/2022
07:00 | 30/05/2022
14:00 | 24/02/2022
14:00 | 08/08/2022
09:00 | 04/04/2024
Mạng riêng ảo (VPN) xác thực và mã hóa lưu lượng truy cập mạng để bảo vệ tính bí mật và quyền riêng tư của người dùng ngày càng được sử dụng phổ biến trong cả môi trường cá nhân và doanh nghiệp. Do đó, tính bảo mật của VPN luôn là chủ đề nghiên cứu nhận được nhiều sự quan tâm. Bài báo sẽ trình bày hai tấn công mới khiến máy khách VPN rò rỉ lưu lượng truy cập bên ngoài đường hầm VPN được bảo vệ thông qua khai thác lỗ hổng TunnelCrack. Hai tấn công này đã được xác nhận là có khả năng ảnh hưởng đến hầu hết các VPN của người dùng. Ngoài ra, nhóm tác giả cũng đưa ra các biện pháp đối phó để giảm thiểu các cuộc tấn công lợi dụng lỗ hổng này trong thực tế.
13:00 | 19/03/2024
Hiện nay, khi mức độ phổ biến của Hệ thống tệp liên mạng (Interplanetary File System - IPFS) ngày càng phát triển thì cũng kéo theo những rủi ro và mối đe dọa bởi tội phạm mạng nhanh chóng phát triển các kỹ thuật tấn công và lợi dụng công nghệ IPFS để mở rộng hoạt động phạm tội của chúng. Các cuộc tấn công này thậm chí còn trở nên nguy hiểm hơn khi nhiều dịch vụ lưu trữ tệp, lưu trữ web và đám mây hiện đang sử dụng IPFS. Xu hướng gần đây cho thấy sự gia tăng đáng lo ngại về các cuộc tấn công lừa đảo tận dụng IPFS, trong đó kẻ tấn công lạm dụng tính chất phi tập trung của công nghệ này để lưu trữ và phân phối nội dung độc hại. Bài báo trình bày tổng quan và thực trạng tấn công lừa đảo IPFS, từ đó đưa ra phương pháp phù hợp để phòng tránh trước các cuộc tấn công lừa đảo IPFS.
08:00 | 09/01/2024
Nhiều người trong chúng ta thường có thói quen chỉ để ý đến việc bảo vệ an toàn máy tính và điện thoại của mình nhưng lại thường không nhận ra rằng đồng hồ thông minh (ĐHTM) cũng có nguy cơ bị tấn công mạng. Mặc dù ĐHTM giống như một phụ kiện cho các thiết bị chính nhưng chúng thường được kết nối với điện thoại, máy tính cá nhân và có khả năng tải các ứng dụng trên mạng, cài đặt tệp APK hay truy cập Internet. Điều đó có nghĩa là rủi ro mất an toàn thông tin trước các cuộc tấn công của tin tặc là điều không tránh khỏi. Vậy nên để hạn chế những nguy cơ này, bài báo sau đây sẽ hướng dẫn người dùng cách sử dụng ĐHTM an toàn nhằm tránh việc bị tin tặc lợi dụng đánh cắp thông tin.
09:00 | 27/12/2023
Với sự phát triển mạnh mẽ của công nghệ thông tin hiện nay, các ứng dụng giải trí, nhắn tin, gọi điện đang dần trở nên phổ biến. Những dịch vụ truyền thông được cung cấp trực tiếp đến người xem thông qua Internet (Over The Top - OTT) trở thành một trong những mục tiêu bị tin tặc tấn công nhiều nhất. Bài báo đưa ra thực trạng sử dụng dịch vụ ứng dụng OTT tại Việt Nam và những thách thức trong công tác bảo đảm an ninh, an toàn thông tin trên các thiết bị di động và dữ liệu cá nhân trong thời gian qua. Từ đó, đưa ra các giải pháp nhằm nâng cao hiệu quả bảo đảm an ninh, an toàn thông tin cho dữ liệu cá nhân người dùng ứng dụng OTT trên nền tảng Internet trong thời gian tới.
Lược đồ chữ ký số dựa trên hàm băm là một trong những lược đồ chữ ký số kháng lượng tử đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) chuẩn hóa trong tiêu chuẩn đề cử FIPS 205 (Stateless Hash Based Digital Signature Standard) vào tháng 8/2023. Bài báo này sẽ trình bày tổng quan về sự phát triển của của lược đồ chữ ký số dựa trên hàm băm thông qua việc phân tích đặc trưng của các phiên bản điển hình của dòng lược đồ chữ ký số này.
09:00 | 01/04/2024
Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành phiên bản mới của hệ thống Malware Next-Gen có khả năng tự động phân tích các tệp độc hại tiềm ẩn, địa chỉ URL đáng ngờ và truy tìm mối đe dọa an ninh mạng. Phiên bản mới này cho phép người dùng gửi các mẫu phần mềm độc hại để CISA phân tích.
13:00 | 17/04/2024