MỤC LỤC LỜI MỞ ĐẦU CHƯƠNG I: TỔNG QUAN LÝ THUYẾT 5 1.1. Khái niệm 5 1.2. Các hình thức tấn công Social Engineering phổ biến 5 1.3. Các bước của 1 cuộc tấn công Social Engineering. 7 1.4. Thực trạng hình thức tấn công Social Engineering hiện nay 8 CHƯƠNG II: PHÂN TÍCH VÀ GIẢI THÍCH CÁC GIẢI PHÁP 9 2.1. Gửi thông tin cá nhân qua email chỉ khi biết chắc chắn về người nhận. 9 2.1.1. Phân tích giải pháp 9 2.1.2. Giải thích 11 2.2. Không tải xuống bất kỳ tệp đính kèm nào trừ khi biết rõ về nguồn gốc của chúng. 12 2.2.1. Phân tích giải pháp 12 2.2.2. Giải thích 14 2.3. Download các phần mềm về máy tính phải từ 1 nguồn uy tín. 15 2.3.1. Phân tích giải pháp 16 2.3.2. Giải thích 17 2.4. Khi truy cập trang web hãy chú ý đến URL của trang, đảm bảo rằng nó bắt đầu bằng https để tránh các trang web giả mạo. 18 2.4.1. Phân tích giải pháp 18 2.4.2. Giải thích 19 2.5. Chú ý đến cảnh báo của trình duyệt và suy nghĩ kỹ trước khi nhập thông tin cá nhân 20 2.5.1. Phân tích giải pháp 20 2.5.2. Giải thích 21 CHƯƠNG III: CÁC XU HƯỚNG AN NINH MẠNG HIỆN NAY. 22 CHƯƠNG IV: KẾT LUẬN 26
TRƯỜNG ĐẠI HỌC THƯƠNG MẠI KHOA HTTTKT&TMĐT - - BÀI THẢO LUẬN Đề tài: How to avoid Social Engineering Attacks Học phần: An toàn bảo mật thông tin Giáo viên hướng dẫn: Nguyễn Thị Hội Lớp học phần: 2157ECIT0921 Nhóm thực hiện: Nhóm 12 Hà Nội, 2021 DANH SÁCH CÁC THÀNH VIÊN NHÓM Nhóm 12 Học phần: An tồn bảo mật thơng tin Lớp học phần: 2157ECIT0921 MỤC LỤC LỜI MỞ ĐẦU CHƯƠNG I: TỔNG QUAN LÝ THUYẾT 1.1 Khái niệm 1.2 Các hình thức cơng Social Engineering phổ biến 1.3 Các bước công Social Engineering 1.4 Thực trạng hình thức cơng Social Engineering CHƯƠNG II: PHÂN TÍCH VÀ GIẢI THÍCH CÁC GIẢI PHÁP .9 2.1 Gửi thông tin cá nhân qua email biết chắn người nhận .9 2.1.1 Phân tích giải pháp 2.1.2 Giải thích 11 2.2 Khơng tải xuống tệp đính kèm trừ biết rõ nguồn gốc chúng 12 2.2.1 Phân tích giải pháp 12 2.2.2 Giải thích 14 2.3 Download phần mềm máy tính phải từ nguồn uy tín .15 2.3.1 Phân tích giải pháp 16 2.3.2 Giải thích 17 2.4 Khi truy cập trang web ý đến URL trang, đảm bảo bắt đầu https để tránh trang web giả mạo 18 2.4.1 Phân tích giải pháp 18 2.4.2 Giải thích 19 2.5 Chú ý đến cảnh báo trình duyệt suy nghĩ kỹ trước nhập thông tin cá nhân 20 2.5.1 Phân tích giải pháp 20 2.5.2 Giải thích 21 CHƯƠNG III: CÁC XU HƯỚNG AN NINH MẠNG HIỆN NAY 22 CHƯƠNG IV: KẾT LUẬN 26 LỜI MỞ ĐẦU Trong thời đại ngày nay, với phát triển mạnh mẽ công nghệ thông tin gia tăng nhanh chóng số lượng tội phạm an ninh mạng Vấn đề an tồn thơng tin khơng cịn nỗi lo nước phát triển mà trở thành nỗi lo chung toàn cầu Vào kỷ 21, sức mạnh phần cứng phần mềm phát triển vượt bậc không đủ khả bảo vệ khỏi việc rị rỉ thơng tin Vậy đâu nguyên nhân? Khi thiết bị phương tiện bảo vệ thơng tin tin cậy ngày nhiều giới đạo chích, mặt tiếp tục khai thác điểm yếu hệ thống kỹ thuật, mặt khác hướng ý vào khâu yếu hệ thống, người, lẽ khơng có phần cứng hay phần mềm khắc phục điểm yếu yếu tố người Đó lý khiến cho kỹ thuật Social Engineering- kỹ thuật tận dụng điểm yếu tâm lý tính nhẹ dạ, tin, ham lợi, người Thực tế cho thấy khả thành công phương thức công cao gấp nhiều lần công trực diện vào hệ thống kỹ thuật Đó lý khiến cho phương thức công trở nên tinh vi khó lường trước Trước vấn đề nhóm 12 chúng em định nghiên cứu phân tích chủ đề “How to avoid Social Engineering attacks” nhằm đưa phương pháp cụ thể phân tích giúp người đọc hiểu rõ cách giải pháp để tránh phương thức công gặp phải CHƯƠNG I: TỔNG QUAN LÝ THUYẾT 1.1 Khái niệm Social Engineering (hay công phi kỹ thuật) thuật ngữ phổ biến lĩnh vực bảo mật thông tin, mô tả kiểu cơng sử dụng hình thức thao túng hành vi người thay tập trung khai thác lỗ hổng bảo mật máy móc, thiết bị Qua đó, kẻ cơng đạt mục đích xâm nhập vào hệ thống, truy cập thông tin quan trọng,… mà không cần phải thực kỹ thuật công phức tạp 1.2 Các hình thức cơng Social Engineering phổ biến Các hình thức Social Engineering phổ biến – Theo DarkReading Phishing Phishing hình thức lừa đảo nhằm giả mạo tổ chức có uy tín ngân hàng, trang web giao dịch trực tuyến, cơng ty thẻ tín dụng để lừa người dùng chia sẻ thơng tin tài bí mật như: tên đăng nhập, mật giao dịch thông tin nhạy cảm khác Hình thức cơng cịn cài đặt phần mềm độc hại vào thiết bị người dùng Baiting Baiting hình thức công sử dụng mồi câu để dụ dỗ nạn nhân sập bẫy Ví dụ, tin tặc lập website cung cấp dịch vụ miễn phí Tuy nhiên, để sử dụng dịch vụ này, người dùng phải cung cấp thông tin cá nhân họ Trong trường hợp này, dịch vụ miễn phí mồi câu để tin tặc lấy thơng tin người dùng Ngồi cách thức trên, baiting ẩn nấp thiết bị USB ổ cứng Tin tặc đưa mã độc vào thiết bị lây lan sang thiết bị khác trình người dùng sử dụng Vishing Hình thức cơng cịn gọi hình thức lừa đảo giọng nói Thay sử dụng email trang web giả mạo phishing vishing sử dụng dịch vụ điện thoại internet (VoIP) để thu thập thông tin cá nhân thơng tin tài từ nạn nhân Pretexting Pretexting hình thức cơng tin tặc tạo kịch lý hợp lý để lấy cắp thông tin nạn nhân Để đánh lừa nạn nhân, tin tặc thường mạo danh cảnh sát phóng viên tiếp cận qua dịch vụ viễn thơng Trong nói chuyện, tin tặc yêu cầu nạn nhân cung cấp số thơng tin định để xác nhận danh tính Scareware Scareware chương trình độc hại tin tặc “ngụy trang” ứng dụng hợp pháp Để thực công scareware, tin tặc đánh lừa người dùng máy tính họ bị nhiễm phần mềm độc hại Sau đó, tin tặc đề xuất nạn nhân cài đặt phần mềm scareware để khắc phục vấn đề Thông thường, scareware thường “ngụy trang” mác phần mềm antivirus Water holing Water Holing hình thức cơng có chủ đích vào tổ chức/doanh nghiệp việc lừa thành viên truy cập vào trang web chứa mã độc Tin tặc thường nhắm đến trang web có nhiều người truy cập, web đen tạo trang web riêng để lừa người dùng Sau chèn vào website mã khai thác liên quan đến lỗ hổng trình duyệt Nếu truy cập vào website này, mã độc thực thi lây nhiễm vào máy tính người dùng Quid pro quo Quid Pro Quo hình thức tin tặc giả vờ cung cấp lợi ích để đổi lấy thơng tin người dùng Tấn công Quid Pro Quo thường xảy hình thức tin tặc mạo danh nhân viên IT tổ chức lớn Chúng liên lạc qua điện thoại với nhân viên tổ chức định cơng, sau hướng dẫn họ cách nâng cấp cài đặt phần mềm Để thực hành vi độc hại dễ dàng hơn, chúng yêu cầu nạn nhân vơ hiệu hóa tạm thời phần mềm antivirus Nhờ đó, mã độc thực thi mà khơng gặp phải trở ngại từ phía nạn nhân Diversion theft Trong loại công này, Social Engineering lừa công ty giao hàng chuyển phát nhanh nhận giao sai vị trí, ngăn chặn giao dịch thực Tailgating Tấn cơng tailgating cịn gọi piggybacking Hình thức công thực tin tặc giả danh làm nhân viên lừa người có thẩm quyền để đột nhập vào cơng ty Qua đó, chúng có đủ thời gian để khai thác thơng tin quan trọng cần thiết thiết lập thiết bị vào hệ thống để tiếp tục theo dõi thực âm mưu công 1.3 Các bước công Social Engineering Khai thác thông tin phân tích hành vi: + Nếu mục tiêu cơng doanh nghiệp, tin tặc khai thác tình hình kinh doanh, tìm hiểu sơ lược máy nhân Những mắt xích yếu yếu tố chúng nhắm vào để công + Nếu mục tiêu công cá nhân, tin tặc phải tìm cách xây dựng mối quan hệ với người tìm người họ tin tưởng Tiếp theo, tin tặc xác định rõ ràng mục tiêu cơng (SĐT, địa chỉ, hay tài khoản ngân hàng…) Xây dựng công cụ công Tin tặc xây dựng công cụ công tùy theo mục tiêu cơng Ví dụ: Một số điện thoại đăng kí tên hiển thị ngân hàng mà người dùng sử dụng, tài khoản Facebook giả danh người thân người bị công,… Tấn công Sau thành công xây dựng niềm tin, tin tặc tiến hành đánh cắp thông tin quan trọng mà chúng xác định từ bước Đó thơng tin cá nhân tồn liệu doanh nghiệp 1.4 Thực trạng hình thức công Social Engineering Tại Việt Nam Theo số liệu từ Trung tâm Giám sát an tồn khơng gian mạng quốc gia (NCSC), tháng năm 2021, Cục An tồn thơng tin ghi nhận 5.082 công mạng gây cố vào hệ thống thơng tin Việt Nam cơng phishing chiếm 1.212 công chiếm 24% tổng số Lý giải nguyên nhân số cố công mạng tăng cao, chuyên gia cho việc áp dụng biện pháp giãn cách xã hội theo Chỉ thị 16 đưa đến số lượng người dùng, thời gian sử dụng mạng xã hội tăng lên Vì thế, lợi dụng quan tâm toàn xã hội tình hình dịch bệnh Covid-19, đối tượng xấu tiếp tục tăng cường công mạng, lừa đảo để chiếm đoạt tài sản, phá hoại thông tin người dùng tổ chức Năm 2020 Việt Nam đứng thứ 21 giới vụ công lừa đảo với 673.743 công ghi nhận Các công phi kỹ thuật lừa đảo phương thức công dễ dàng Đơn cử như: giả mạo website Zimbra, WesternUnion, Công ty an toàn thực phẩm Hà Nội… hay website giả mạo ngân hàng BIDV, Sacombank, Vietcombank; giả mạo thông tin xin trợ cấp tiêm chủng vắc xin phòng Covid-19, lừa đảo xác nhận tài khoản ngân hàng; tuyển dụng online lừa tiền… Ví dụ giả mạo website Ngân hàng TMCP An Bình (ABBANK) Các website tạo với giao diện tương đồng với website thống ABBANK nhằm yêu cầu khách hàng truy cập nhập username/password Hình minh họa cho thấy giao diện website giả mạo trang E-Banking ABBANK Đường link hiển thị https://bcdeas.com khơng giống với đường link thức ABBANK https://ebanking.abbank.vn Chiến dịch “Khiên Xanh” Trung tâm Giám sát an tồn khơng gian mạng quốc gia (NCSC) Cốc Cốc khởi động từ 20/5/2021 phát cảnh báo 12.052 trang web có yếu tố nguy hiểm, lừa đảo giả mạo Trên giới Theo thống kê cho thấy 98% công mạng dựa vào công phi kỹ thuật; 3% chuyên gia CNTT cho biết họ bị nhắm mục tiêu chương trình phi kỹ thuật vào 2020 Tấn công phi kỹ thuật tăng vọt 500% từ quý đến quý năm 2018; 83% người hỏi infosec toàn cầu trải qua công phishing vào năm 2018, tăng từ 76% vào năm 2017 Cuộc công lừa đảo BEC khiến tổ chức thiệt hại 676 triệu USD vào năm 2017 Lừa đảo đóng giả CEO gây thiệt hại lên đến 12 tỷ USD Có 30% tin nhắn lừa đảo mở người dùng mục tiêu 12% số người dùng nhấp vào file đính kèm link độc hại 53% chuyên gia bảo mật IT nói họ trải qua cơng lừa đảo có chủ đích vào năm 2017 Thỏa hiệp thông tin xác thực tăng 70% so với năm 2017 chúng tăng 280% kể từ năm 2016 CHƯƠNG II: PHÂN TÍCH VÀ GIẢI THÍCH CÁC GIẢI PHÁP 2.1 Gửi thơng tin cá nhân qua email biết chắn người nhận Tấn cơng lừa đảo qua Email hình thức giả mạo tổ chức uy tín để dụ bạn gửi thông tin cá nhân cho họ Mặc dù, Google hay tổ chức uy tín thường khơng hỏi thông tin cá nhân mật khẩu, tài khoản ngân hàng…qua mail nhiều người bị mắc bẫy Theo thống kê cho thấy, hình thức lừa đảo qua thư điện tử email hình thức cơng phi kỹ thuật phổ biến Những thông tin cá nhân mục tiêu lớn mà đối tượng muốn thu thập Vì việc gửi thơng tin cá nhân qua email chắn người nhận vơ cần thiết 2.1.1 Phân tích giải pháp Đối tượng lừa đảo thường mạo danh cán ngân hàng, cán công ty đối tác gửi email đề nghị người tiêu dùng cung cấp thông tin cá nhân, thông tin tài khoản (tên đăng nhập, mật khẩu…) để đăng nhập lại tài khoản bị khóa, để nhận khoản tiền thưởng lớn đề nghị nộp phí để nhận thưởng Từ đó, đối tượng đánh cắp thông tin cá nhân/tài khoản thực giao dịch nhằm chiếm đoạt tiền tài khoản người tiêu dùng Vì phải cảnh giác tìm hiểu xác người gửi e-mail Chỉ chắn người biết, xác tổ chức uy tín cách tìm liên hệ với trang web thức công ty/tổ chức mà đề cập đến, liên hệ với người cho gửi email theo cách khác để xác nhận Việc cảnh giác trước e-mail không bao giừ thừa, giúp bạn bảo vệ thơng tin cá nhân, tránh thiệt hại tiền nhiều hệ lụy liên quan Những thông tin mà email lừa đảo yêu cầu: - Tên người dùng mật bao gồm thay đổi mật - Số tài khoản ngân hàng - PIN - Số thẻ tín dụng - Ngày tháng năm sinh - Số điện thoại 10 tài liệu kinh doanh Tốt hết bật chế độ xem phần mở rộng file (đi file) máy tính để khơng click nhầm tải file Để tránh tình trạng bị nhiễm virut hay bị nhiễm mã độc, người dùng nên kiểm tra kỹ nguồn gốc chúng Hãy kiểm tra xem người gửi cho bạn ai, người quen xem văn phong có quen thuộc khơng tài khoản họ bị hack Gọi lại, chat lại kiểm tra trước click Nếu thấy link lạ q tuyệt đối khơng ấn vào Nội dung email thường bot viết dịch tự động Bạn thấy có lỗi tả, ngữ pháp, viết hoa, viết thường lung tung, không theo quy chuẩn Câu văn email gượng gạo, thiếu chủ ngữ vị ngữ đan xen từ khó hiểu, ví dụ ảnh Hãy xem xét cẩn thận với emai Trường hợp tổ chức uy tín tìm hiểu thật kỹ liên lạc với họ phương thức khác Sau kiểm tra đuôi file Nếu xuất đuôi lạ có khả cao mã độc, khơng nên mở Thay mở ra, bạn truy cập vào số trang web diệt virut, tải file lên thực quét 14 Hãy nhấp chuột phải lên link, chọn Copy link address (hoặc tùy chọn tương tự) Sau vào virustotal.com, chọn URL dán link vào để quét Link bị báo có virus bạn khơng nên mở Nếu link an tồn rồi, bạn mở, cần cảnh giác, bắt tải file hay điền thông tin đăng nhập mà bạn rõ tên miền truy cập đóng tab trình duyệt mở link lại Việc xác minh nguồn gốc file đính kèm vơ quan trọng giúp bạn tránh nguy gây an toàn cho bạn 2.2.2 Giải thích Nếu bạn khơng tìm hiểu kỹ mà tin tưởng ấn vào tệp đính kèm email, cửa sổ chat, thiết bị bạn bị mã độc cơng, chí bạn lộ thơng tin cá nhân Bị lây nhiễm mã độc từ chủ quan điều vô tồi tệ Một số virus trò đùa liên tục đẩy ổ CD ngồi, hay hình số câu trêu chọc,… nhiều gây nên khó chịu cho người dùng Trong nhiều trường hợp, virus thực mối đe doạ tới an tồn thơng tin máy tính Dưới số tác hại thấy bạn download file mã độc khiến máy tính bị nhiễm virus: Tiêu tốn tài nguyên hệ thống (CPU, nhớ, dung lượng đĩa cứng ,… ) Các máy tính bị nhiễm virus thường có tượng chạy chậm, bị treo tự động tắt máy hay khởi động lại, đèn báo ổ cứng hay kết nối mạng nhấp nháy liên tục, … Trong nhiều trường hợp, virus gây tượng khơng thể kết nối mạng Phá huỷ liệu Có nhiều loại virus xoá làm hỏng tệp chương trình hay liệu Các tệp thường bị cơng nhiếu tệp liệu văn *.doc hay tệp bảng tính*.xls tệp chưong trình*.exe&.com Một số virus hoạt động vào thời điểm định 15 virus “thứ sáu ngày 13”, có virus nguy hiểm hơn, bất ngờ xóa liệu khiến người dùng không kịp trở tay Gây khó chịu khác Chúng lợi dụng máy tính nạn nhân để phát tán thư quảng cáo, thu thập địa email, hay biến thành “trợ thủ” để phát tán hay lừa thêm người quen bạn Nguy hiểm hơn, bạn bị đánh cắp thông tin cá nhân lưu thiết: ngày nhiều thông tin quan trọng lưu máy tính loại sổ sách, chứng từ, thẻ tín dụng,… Nhiều loại virus viết với mục đích đánh cắp thơng tin để trục lợi Mã hoá liệu để tống tiền tượng xuất năm gần Khi virus xâm nhập vào máy nạn nhân, mã hố liệu quan trọng người dùng yêu cầu họ phải trả tiền để khơi phục lại Việc bị mã độc công mối nguy hại lớn, người dùng phải cẩn thận trước chiêu trị lừa đảo kẻ cơng, có e-mail lạ gửi đến bạn đừng vội ấn vào thứ có Chính kẻ cơng lợi dụng tị mị tâm lý người dùng nên nhiều người trở thành nạn nhân loại hình Tốt hết khơng ấn tệp đính kèm gửi cho bạn bạn chưa chắn nguồn gốc chúng 2.3 Download phần mềm máy tính phải từ nguồn uy tín Trang web khơng thể phát máy bạn có bị xâm phạm hay khơng Nếu trang web cảnh báo bạn có vấn đề bảo mật bị nhiễm virus yêu cầu bạn tải xuống phần mềm diệt virus, đừng nóng vội, bình tĩnh đảm bảo tải xuống phần mềm phải từ nguồn tải xuống uy tín 2.3.1 Phân tích giải pháp Một số đối tượng thường dùng thơng báo giả việc máy tính người dùng bị nhiễm virut, chẳng hạn “Máy bạn nhiễm virus (mã độc) xxx đấy, nhấn vào để diệt virus (mã độc)” Lúc này, người dùng cần tỉnh táo thường thơng báo dạng thường thông báo lừa đảo, đánh vào tâm lý hoang mang người dùng Các hacker dụ người dùng click chọn “download” phần mềm mã độc nhúng đoạn mã script chèn vào quảng cáo Đặc biệt lướt web 16 mà thấy thơng báo tương tự thật khó tin hơn, khả phát virus hay mã độc điện thoại, PC từ trang web gặp Những thông báo đáng tin cậy phải xuất phát từ phần mềm diệt virus có quyền mà người dùng cài đặt vào máy trước (ví dụ BKAV Pro, Kaspersky, ) Cửa sổ bật lên lừa đảo người dùng cài đặt phần mềm độc hại Khi thấy thông báo dạng này, người dùng bỏ qua (mặc kệ chúng), khơng click vào cịn có nghi ngờ liên hệ với quan chức để xử lý trường hợp cần thiết Bởi trang web khơng thể phát máy bạn có bị xâm phạm hay khơng Nếu trang web cho biết bạn có vấn đề bảo mật bị lây nhiễm yêu cầu bạn tải xuống phần mềm, đảm bảo tải xuống phần mềm từ nguồn tải xuống uy tín để tránh xảy rắc rối Lợi ích người dùng download phần mềm từ nguồn gốc uy tín: - Người dùng đảm bảo trải nghiệm phần mềm hợp pháp Trong trình sử dụng nhận hỗ trợ sản phẩm kĩ thuật đồng thời nhận phiên nâng cấp, cập nhật vá lỗi hãng Từ gia tăng chất lượng phần mềm, giúp người dùng có trải nghiệm thú vị 17 - Máy tính bạn bảo vệ khỏi nguy nhiễm virus hay phần mềm gián điệp Các thông tin cá nhân mà bảo mật tốt hơn, tránh bị rị rỉ bên ngồi - Các liệu, file quan trọng giữ an toàn máy tính người dùng khỏi nguy bị đánh cắp, bị xóa hay làm hỏng 2.3.2 Giải thích Nếu người dùng cảnh giác, lo lắng ban đầu mà nhanh chóng ấn tải phần mềm từ nguồn không rõ, kẻ cộng chờ lợi dụng tâm lý người dùng lúc lo lắng nên làm theo hướng dẫn chúng mà tự download phần mềm khơng an tồn, khơng từ nguồn uy tín gây hậu nghiêm trọng: - Máy tính bạn dễ bị nhiễm virus Thông thường cảnh báo kiểu thường chúng dẫn bạn tự tải xuống mã độc, hay phần mềm chứa virus, xâm nhập vào thiết bị ăn cắp liệu Bởi mà nảy sinh việc rò rỉ thơng tin cá nhân: thẻ tín dụng, số cước công dân, tài khoản ngân hàng,… loạt hệ lụy khác thơng tin bị rị rỉ - Khơng có khả phịng vệ trước công mối đe dọa tiềm tàng Trong q trình sử dụng bán khơng nhận hỗ trợ sản phẩm kỹ thuật bạn sử dụng phần mềm không hợp pháp Bạn không nhận cập nhật, nâng cấp hay vá lỗi từ hãng, điều ảnh hưởng không nhỏ đến chất lượng phần mềm tính bảo mật phần mềm - Nguy liệu, format ổ cứng cao Các file quan trọng bạn bị đánh cắp, bị xóa hay làm hỏng Các thơng tin hợp đồng kinh tế, hợp đồng vay vốn, chiến lược kinh doanh, marketing, chí bảng lương… thơng tin nhạy cảm ảnh hưởng đến tồn cơng ty Đơn giản hơn, liệu công việc bạn công sức để soạn bị lấy cắp xóa hết… Cho nên người dùng cần ảnh giác trước chiêu trò đánh vào tâm lý thời vậy, cần suy nghĩ bình tĩnh, tốt đừng để ý đến cảnh báo web khả phát cảnh báo bạn nhiễm mã độc Hãy tìm hiểu nguồn uy tín muốn tải xuống phần mềm để tránh bạn khỏi công phi kỹ thuật 18 2.4 Khi truy cập trang web ý đến URL trang, đảm bảo bắt đầu https để tránh trang web giả mạo Khi truy cập trang web, ý đến URL trang Những kẻ cơng thường làm cho URL trông giống với trang web hãng để đánh lừa bạn nhập thơng tin, thực giao dịch khơng an tồn Trước bạn nhập thông tin cá nhân trang web, kiểm tra URL để đảm bảo bắt đầu https Chữ S kết nối mã hóa an tồn 2.4.1 Phân tích giải pháp Người dùng cần ln nâng cao cảnh giác, không gửi thông tin nhạy cảm tên người dùng, mật hay thông tin thẻ ngân hàng,… qua internet Trước gửi cần kiểm tra tính xác thực bảo mật trang web Các kẻ cơng thường tạo websie giả mạo tổ chức hay quan để đánh lừa bạn, đăng ký hay điền thơng tin cá nhân, trang web trang web khơng an tồn, độ bảo mật thấp gây nhiều rủi ro Trang web bị làm giả với mục đích lừa đảo nhiều nhóm ngân hàng Đơn cử vào cuối tháng 5/2021, quan chức đưa cảnh báo website giả mạo trang tin Ngân hàng TMCP Xuất nhập Việt Nam (Eximbank) Website giả mạo sử dụng tên, hình ảnh Ngân hàng Eximbank với tên miền khác (eximbank.xyz) Đáng lưu ý trang web giả mạo có thiết kế, logo, màu sắc, chí đăng tải nhiều nội dung thông tin, dịch vụ ngân hàng Eximbank dễ gây nhầm lẫn cho người dùng truy cập Thậm chí cịn có website giả mạo công an, hay Bộ y tế để lừa đảo trợ cấp Covid 19 Bạn bị lừa truy cập tài khoản, đăng ký thành viên hay thực giao dịch trang web đó, thông tin hay tài khoản ngân hàng, mật bạn bị đánh cắp, bạn bị lừa tiền Vậy nên cẩn trọng ý đến URL Các trang web đảm bảo an tồn có URL bắt đầu với https://, trang đạt chứng SSL, xác minh độ tin cậy, Các trang có https:// màu đỏ thường trang có SSL hết hạn cung cấp từ nguồn khơng uy tín Tìm kiếm URL bắt đầu "https" - dấu hiệu cho thấy trang web an tồn - thay "http” – khơng cung cấp kết nối an tồn Chữ 's' cuối https viết tắt "Secure" (Bảo mật) Nó có nghĩa tất giao tiếp trình duyệt trang web 19 mã hóa Ngồi ra, địa trang web bạn truy cập có biểu tượng ổ khóa đóng — dấu hiệu thơng tin bạn mã hóa Tầm quan trọng HTTPS: Nó ngăn chặn trang web phát tán thơng tin doanh nghiệp theo hình nào, theo dõi mạng dễ dàng xem Thông tin gửi qua HTTP thơng thường chia thành gói liệu dễ bị “đánh hơi” thủ thuật hay phần mềm miễn phí Điều làm cho việc liên lạc qua phương tiện khơng an tồn wifi cơng cộng Trên thực tế giao tiếp xảy qua HTTP dạng văn thông thường, khiến chúng có khả truy cập cao có cơng cụ phù hợp dễ dàng bị công đường dẫn Hãy cẩn trọng xác định website hãng, an tồn để tránh bị lừa hay dụ dỗ tiền thông tin cá nhân bị nhiễm mã độc trang web giả mạo khơng uy tín 2.4.2 Giải thích Việc người dùng khơng ý truy cập vào trang web giả mạo trở thành nạn nhân vụ công phi kỹ thuật (Social engineering attack), bạn bị lừa đăng nhập tài khoản, đăng ký thành viên hay thực giao dịch trang web đó, thơng tin hay tài khoản ngân hàng, mật bạn bị đánh cắp, bạn bị lừa tiền bị lộ thông tin cá nhân Nếu chẳng may người dùng bị đánh lừa click vào trang web khơng an tồn, có giao thức HTTP thay giao thức HTTPS dễ xảy nguy cơ: - Bị đánh cắp thông tin: Khi bạn gửi gói tin qua giao thức http trình duyệt mặc định bạn kết nối với máy chủ cần kết nối, mà gói tin sử dụng dạng ký tự 20 văn thông thường khơng mã hóa Bởi gói tin dễ dàng bị hack - Bị đánh lừa trang web giả mạo trở thành nạn nhân tự cung cấp tiền hay thông tin cho kẻ cơng: Người dùng khơng có cách để xác định trang web truy cập có phải trang thống hay khơng Các trang web giả thật gần giống 100% người dùng khó phát Việc bạn truy cập vào trang web giả không khiến bạn bị lừa để lấy cắp thơng tin mà cịn khiến giao dịch bị ảnh hưởng Các rủi ro truy cập trang web khơng thức gây ảnh hưởng khơng nhỏ đến cá nhân, tổ chức thời gian, tiền bạc Bởi HTTPS đóng vai trị quan trọng giúp bạn bước đầu xác định tính xác thực trang web để tránh bị đánh lừa cách tiếc nuối 2.5 Chú ý đến cảnh báo trình duyệt suy nghĩ kỹ trước nhập thơng tin cá nhân Một số trình duyệt, Google Chrome, cảnh báo bạn trang web bạn cố truy cập bị nghi ngờ Social engineering attack phần mềm độc hại Hãy ý đến cảnh báo suy nghĩ kỹ trước nhập thông tin cá nhân bạn vào trang web 2.5.1 Phân tích giải pháp Hiện có nhiều trang web giả mạo, chứa mã độc chờ lừa người dùng truy cập vào dụ dỗ người dùng thoa tác lên để lấy cắp thơng tin Tuy nhiên số trình duyệt, Google Chorme có tính duyệt web an toàn cảnh báo bạn nghi ngờ rang web giả mạo Bạn ý đến cảnh báo cân nhắc truy cập vào điền thông tin cá nhân lên để tranh bị lừa kẻ cơng Dịch vụ Duyệt web an tồn Google Chrome bảo vệ bạn khỏi trang web độc hại cảnh báo bạn nội dung tải xuống độc hại Chrome Google Chrome thực điều cách phân tích URL trang web để tìm phần mềm độc hại, lừa đảo phi kỹ thuật Nếu thấy thông báo này, người dùng nên suy nghĩ kỹ trước truy cập vào trang web đó, tức Chrome cho địa web trang web mà bạn mong muốn Có thể cố gắng cài đặt thu thập thông tin cá nhân người dùng: 21 - Trang web bạn truy cập chứa phần mềm độc hại: Trang web mà bạn bắt đầu truy cập tìm cách cài đặt phần mềm xấu, gọi phần mềm độc hại, máy tính bạn - Bạn truy cập trang web lừa đảo: Trang web mà bạn cố truy cập trang web lừa đảo - Trang web đáng ngờ: Trang web mà bạn muốn truy cập đáng ngờ khơng an tồn - Trang web truy cập chứa chương trình độc hại: Trang web mà bạn bắt đầu truy cập tìm cách lừa bạn cài đặt chương trình gây cố bạn duyệt web trực tuyến - Trang cố gắng tải tập lệnh từ nguồn chưa xác thực: Trang web mà bạn cố truy cập khơng an tồn Bạn thấy thơng báo “Có trang web khơng?” “Bạn truy cập vào trang web giả mạo” Bạn cảnh giác đến cảnh báo xem xét, cân nhắc thật kỹ trước bạn muốn nhập thông tin cá nhân hay đăng ký tài khoản lên trước bạn thật xác định trang web uy tín an tồn 2.5.2 Giải thích Khi bạn bỏ qua cảnh báo Google Chrome tiếp tục truy cập trang web nhập thơng tin cá nhân u cầu xảy nhiều nguy nghiêm trọng bị lừa trang web giả mạo: - Bị lừa nhập thông tin cá nhân: Kẻ công sử dụng thông tin bạn để thực hành vi bất chính, đặc biệt bạn để lộ mật ngân hàng, SĐT,… bị đánh cắp tiền Tin tặc rao bán khối liệu phát tán mạng xã hội Nghiêm trọng hơn, chúng quay lại tống tiền Lúc này, hậu không nằm việc liệu mà cịn thiệt hại tài nặng nề - Mất uy tín cá nhân: Bạn bị lấy cắp thông tin tin tặc tạo nên tài khoản giả mạo để lừa người thân, bạn bè chủ sở hữu gây hiểu nhầm lừa đảo làm uy tín cá nhân bạn - Bị lừa trang web khơng an tồn, tệ tự bị dụ dỗ để tải xuống phần mềm độc hại khiến máy bị nhiễm virus 22 Và cịn nhiều nguy khác xảy bạn truy cập phải trang web độc hại khác bị đánh lừa chúng Hãy để ý đến cảnh báo trinhd duyệt trước thực giao dịch hay nhập thông tin cá nhân Các trang web bạn truy cập tự cơng máy tính bạn, hồn tồn bạn bị đánh lừa thực thao tác đăng nhập hay tải xuống tệp mã độc trang web đó, nên thấy cảnh báo từ trình duyệt cẩn trọng, suy nghĩ kỹ để tự phòng vệ cho thân Các cảnh báo công cụ hỗ trợ tốt cho bạn việc bảo vệ thân khỏi công CHƯƠNG III: CÁC XU HƯỚNG AN NINH MẠNG HIỆN NAY An ninh mạng lĩnh vực phát triển nhanh chóng, tin tặc nhà cung cấp bảo mật cạnh tranh để vượt qua Các mối đe dọa - cách thức sáng tạo để chống lại chúng - xuất Trong phần này, nhóm trình bày xu hướng an ninh mạng 3.1 Tấn cơng có chủ đích dựa công vào chuỗi cung ứng phần mềm Tấn công chuỗi cung ứng công nhắm vào doanh nghiệp thông qua nhà cung cấp (provider/vendor) doanh nghiệp Điều có nghĩa, doanh nghiệp sở hữu chuỗi cung ứng lớn phức tạp, nguy bị công cao Hậu từ công để lại doanh nghiệp phải gánh chịu việc: rị rỉ thơng tin, xáo trộn gián đoạn hoạt động kinh doanh, doanh thu giảm sút, ảnh hưởng tới uy tín – thương hiệu, hội đầu tư Nguyên nhân chủ yếu dẫn tới công vào chuỗi cung ứng hệ thống bảo mật lỏng lẻo quy trình vận hành, hợp tác bên Cụ thể, nhiều doanh nghiệp cho phép nhà cung ứng tiếp cận với thơng tin “nhạy cảm”, mà thơng tin gây ảnh hưởng tới doanh nghiệp bị lộ Thời gian tới, dự báo có nhiều chiến dịch cơng vào chuỗi cung ứng phần mềm, đặc biệt phần mềm sử dụng quan phủ, nhà nước, doanh nghiệp lớn 3.2 Tội phạm mạng nhắm đến 5G Theo hãng bảo mật Fortinet (Mỹ), 5G diện nhiều khu vực tội phạm mạng lợi dụng thiết bị sử dụng công nghệ 5G cải tiến tốc độ, hiệu suất để tạo mối nguy hại tốc độ quy mơ chưa có Thời gian tới, thiết bị thơng minh khơng cịn đơn giản mục tiêu công tội phạm mạng, mà trở thành "đường dẫn" cho quy trình cơng sâu Hiện nay, 23 khơng người dùng mạng xã hội bị lừa chuyển tiền, bị dụ tải file, bấm vào link chứa mã độc Trong kỷ nguyên 5G IoT, tin tặc âm thầm theo dõi thời gian biểu hàng ngày, thói quen thu thập số thơng tin tài người dùng, từ tạo tin cậy tăng tỷ lệ thành công cho vụ lừa đảo phi kỹ thuật 3.3 Các thiết bị IoT tiếp tục mục tiêu tin tặc Internet of Things (IoT) ngày mở rộng tạo nhiều hội cho tội phạm mạng Internet of Things đề cập đến thiết bị vật lý khơng phải máy tính, điện thoại máy chủ, kết nối với internet chia sẻ liệu Ví dụ thiết bị IoT: thiết bị theo dõi thể dục đeo được, tủ lạnh thơng minh, đồng hồ thơng minh trợ lý giọng nói Amazon Echo Google Home Ước tính đến năm 2026, có 64 tỷ thiết bị IoT lắp đặt khắp giới Do vậy, nhiều thiết bị bổ sung thay đổi động lực kích thước mà gọi bề mặt công mạng - tức số lượng điểm xâm nhập tiềm ẩn cho tác nhân độc hại So với máy tính xách tay điện thoại thơng minh, hầu hết thiết bị IoT có khả xử lý lưu trữ Điều khiến việc sử dụng tường lửa, chống vi-rút ứng dụng bảo mật khác để bảo vệ chúng khó khăn Do đó, cơng IoT nằm số xu hướng công mạng thảo luận 3.4 Hệ thống thiết bị điều khiển công nghiệp trở thành mục tiêu tin tặc Hệ thống điều khiển công nghiệp (Industrial Control System - ICS) tổ hợp phương tiện kỹ thuật, chương trình phần mềm người thực điều khiển quy trình cơng nghệ sản xuất sở công nghiệp Các cơng vào ICS có đặc điểm chung có độ phức tạp cao, chuẩn bị công phu việc thực tiến hành qua nhiều giai đoạn, với hậu xảy nặng nề Các ICS có vai trị vơ quan trọng quốc gia, đặc biệt tích hợp cơng nghệ số hệ thống ICS, nên trở thành xu hướng cơng cho nhóm APT năm 2022 3.5 Trí tuệ nhân tạo (AI) giải pháp việc phát hiện, phịng chống cơng mạng Sự tiên tiến AI mang công nghệ học máy (machine learning) ứng dụng vào tất lĩnh vực, bao gồm an ninh mạng Các thuật toán chuyên sâu chuyên gia an ninh sử dụng để nhận dạng khuôn măt, xử lý ngôn ngữ phát mối đe dọa Tuy nhiên, AI tin tặc ứng dụng để phát triển mã độc phương thức công tinh vi hơn, địi hỏi doanh nghiệp tổ chức cần có giải pháp tiên tiến để phòng ngừa bảo vệ hệ thống Chính vậy, 24 phát triển Trí tuệ nhân tạo điều then chốt công tác bảo vệ chống lại công không ngừng phát triển Cơng nghệ cải tiến với AI nhìn thấy, dự đoán chống lại công sau cần phải trở thành thực công mạng tương lai diễn tích tắc Vai trị chủ đạo người đảm bảo hệ thống an ninh phải trang bị đầy đủ thông tin, không chủ động chống lại cơng mà cịn thực dự đoán trước kiện để phịng tránh 3.6 Bảo đảm an tồn cho điện tốn đám mây Theo nhiều chuyên gia, bảo đảm an toàn, an ninh mạng cho điện toán đám mây trọng tâm tổ chức quan tâm năm tới Trong xu hướng dịch chuyển sang công nghệ 4.0, chuyển đổi số doanh nghiệp tư nhân tổ chức nhà nước diễn cách mạnh mẽ, việc cloud hóa hay sử dụng đám mây xu hướng tất yếu Tuy nhiên, việc tập trung xây dựng Cloud tạo lỗ hổng bảo mật, lỗi bảo mật từ việc cấu hình sai Các công DDoS tập trung nhiều vào đám mây vấn đề bảo mật, quyền riêng tư thách thức lớn với tổ chức sở hữu đám mây sử dụng dịch vụ tảng đám mây Tấn công lừa đảo trực tuyến diễn biến phức tạp, gia tăng số lượng phương thức Với diễn biến khó lường đại dịch COVID-19, chuyên gia dự công lừa đảo trực tuyến phức tạp, gia tăng số lượng phương thức 3.7 Ransomware tiếp tục phát triển mạnh Bước sang năm 2022, ransomware phương thức cơng chính, tội phạm mạng tiếp tục "gia tăng giá trị" cách đánh cắp liệu trước chúng mã hóa Tội phạm mạng sử dụng chiến thuật tống tiền bổ sung này, trở thành vấn đề lớn lĩnh vực chăm sóc sức khỏe, nơi kẻ cơng sử dụng hồ sơ bệnh nhân bị đánh cắp để tống tiền họ cách đe dọa tiết lộ bệnh sử Mặt khác, công tiếp tục nhằm vào sở hạ tầng y tế chăm sóc sức khỏe dẫn đến hậu nghiêm trọng Khi tội phạm mạng tiếp tục phát triển mơ hình kiếm tiền, chúng trở nên táo bạo nhắm mục tiêu đến nhiều ngành công nghiệp khác Chúng theo đuổi mục tiêu có hội, chứng kiến nhiều cơng có chủ đích nhằm vào tổ chức doanh nghiệp mà trước mức độ rủi ro không cao, bao gồm tổ chức là: dịch vụ tài chính, phủ, chăm sóc sức khỏe, giáo dục lượng 25 3.8 Mật dần biến lên Zero Trust Trong năm 2019, tỷ hồ sơ bị công liệu bị xâm nhập trái phép Mật lỏng lẻo vấn đề báo động, đặc biệt với malware tạo AI Trong thực tế, 63% hoạt động xâm nhập liệu xác nhận liên quan đến việc sử dụng mật yếu, mật mặc định mật bị đánh cắp Zero Trust giải pháp tương lai Giống tên gọi nó, hệ thống Zero Trust khơng tự động tin tưởng điều diễn bên phạm vi bảo vệ Vì vậy, các truy cập đáng ngờ vượt qua tường lửa, chúng cần phải thực yếu tố xác thực bổ sung để tiếp cận phần khác hệ thống Xác thực đa yếu tố cho doanh nghiệp giúp giảm 99,9% nguy sử dụng danh tính trái phép Bằng cách sử dụng sinh trắc học cách xác định danh tính khác nhau, tổ chức tăng cường mức độ an tồn hợp lý hóa trải nghiệm người dùng, đồng thời mở rộng quy mô mà đảm bảo quyền riêng tư cá nhân 3.9 Rủi ro an ninh mạng làm việc từ xa Đại dịch Covid-19 buộc hầu hết tổ chức phải chuyển lực lượng lao động họ sang làm việc từ xa, thường nhanh Làm việc nhà đặt rủi ro an ninh mạng xu hướng nhắc đến nhiều lĩnh vực an ninh mạng Văn phịng gia thường bảo vệ văn phịng tập trung, có xu hướng có tường lửa, định tuyến quản lý truy cập an tồn nhóm bảo mật CNTT điều hành Trong trình gấp rút trì hoạt động, việc kiểm tra an ninh truyền thống khơng nghiêm ngặt thường lệ Do đó, xu hướng an ninh mạng quan trọng tổ chức tập trung vào thách thức bảo mật lực lượng lao động phân tán Điều có nghĩa xác định giảm thiểu lỗ hổng bảo mật mới, cải thiện hệ thống, triển khai biện pháp kiểm soát bảo mật đảm bảo theo dõi lập tài liệu thích hợp 26 CHƯƠNG IV: KẾT LUẬN Ngày công Social Engineering gia tăng nhanh trở nên phổ biến, dù có nhiều cảnh báo nhiều người bị mắc bẫy trở thành nạn nhân hình thức cơng Điều quan trọng thân bạn phải biết nên không nên đưa thơng tin quan trọng cho Điều tương tự bạn tương tác trực tuyến sử dụng trang web: Bạn cần phải biết trang web có hợp pháp an tồn để cung cấp thông tin cá nhân bạn hay không? Nếu bạn hỏi chuyên gia bảo mật họ cho bạn biết liên kết yếu chuỗi bảo mật người - đối tượng dễ dàng chấp nhận người kịch quen thuộc Giống bạn bảo vệ ngơi nhà Khơng quan trọng bạn có ổ khóa chốt cửa Khơng quan trọng bạn có ni chó để trơng nhà hay có hệ thống báo động hàng rào dây thép gai chí bảo vệ hay không Chỉ cần bạn tin tưởng người cổng, nói người giao pizza bạn cho vào nhà mà khơng kiểm tra, bạn hồn tồn trở nên bị động trước rủi ro mang lại Vì tự thân người cần chủ động, thận trọng tự trang bị cho hiểu biết cần thiết tham gia vào môi trường internet dù nhiều tiện ích tiềm ẩn nhiều rủi ro DANH MỤC TÀI LIỆU THAM KHẢO Slide giảng An tồn bảo mật thơng tin – Bộ mơn CNTT, Trường ĐH Thương Mại Giáo trình An tồn bảo mật thơng tin – Trường ĐH Thương Mại How to avoid social engineering attacks http://www.youtube.com/watch?v=XEtvwzN_xJk Social Engineering gì? Những điều bạn cần biết “Tấn công phi kỹ thuật” http://resources.cystack.net/social-engineering/ Tấn công phi kỹ thuật (Social Engineering) làm để tránh sập bẫy https://voz.vn/t/tan-cong-phi-ky-thuat-va-cach-phong-tranh.159037/ Tấn công phi kỹ thuật (trang web lừa đảo giả mạo) http://developers.google.com/search/docs/advanced/security/social-engineering? hl=vi Thực trạng công mạng Việt Nam quý I/2021 27 https://securitybox.vn/12545/thuc-trang-tan-cong-mang-o-viet-nam-vao-quy-i2021/ 28 ... Trường ĐH Thương Mại Giáo trình An tồn bảo mật thông tin – Trường ĐH Thương Mại How to avoid social engineering attacks http://www.youtube.com/watch?v=XEtvwzN_xJk Social Engineering gì? Những điều... duyệt web an to? ?n cảnh báo bạn nghi ngờ rang web giả mạo Bạn ý đến cảnh báo cân nhắc truy cập vào điền thơng tin cá nhân lên để tranh bị lừa kẻ công Dịch vụ Duyệt web an to? ?n Google Chrome bảo vệ... trang E-Banking ABBANK Đường link hiển thị https://bcdeas.com không giống với đường link thức ABBANK https://ebanking.abbank.vn Chiến dịch “Khiên Xanh” Trung tâm Giám sát an to? ?n không gian mạng