Nghiên cứu kỹ thuật tấn công mạng nội bộ và phương pháp phòng chống

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG - NGUYỄN QUANG ANH NGUYỄN QUANG ANH NGHIÊN CỨU KỸ THUẬT TẤN CÔNG MẠNG NỘI BỘ KHOA HỌC MÁY TÍNH VÀ PHƯƠNG PHÁP PHÒNG CHỐNG LUẬN VĂN THẠC SĨ KỸ THUẬT (Theo định hướng ứng dụng) 2020 – 2022 HÀ NỘI – NĂM 2022 HÀ NỘI - NĂM 2022 i HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THƠNG - NGUYỄN QUANG ANH NGHIÊN CỨU KỸ THUẬT TẤN CÔNG MẠNG NỘI BỘ VÀ PHƯƠNG PHÁP PHỊNG CHỐNG Chun ngành: KHOA HỌC MÁY TÍNH Mã số: 8.48.01.01 LUẬN VĂN THẠC SĨ KỸ THUẬT (Theo định hướng ứng dụng) NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS ĐỖ XUÂN CHỢ HÀ NỘI - NĂM 2022 i LỜI CAM ĐOAN Tôi tên Nguyễn Quang Anh, xin cam đoan: Luận văn Thạc sĩ Kỹ thuật “Nghiên cứu kỹ thuật cơng mạng nội phương pháp phịng chống” cơng trình nghiên cứu tác giả hướng dẫn PSG.TS Đỗ Xuân Chợ Các kết nghiên cứu luận văn trung thực, không chép từ nguồn hình thức Các nguồn tài liệu tham khảo trích dẫn ghi nguồn quy định Tác giả luận văn Nguyễn Quang Anh ii LỜI CẢM ƠN Với lịng biết ơn sâu sắc, tơi xin gửi lời cảm ơn chân thành tới người giúp đỡ tơi q trình học tập, nghiên cứu khoa học Tôi xin chân thành cảm ơn: Trước hết xin cảm ơn thầy PGS.TS Đỗ Xuân Chợ nhiệt tình hướng dẫn truyền đạt kinh nghiệm quý báu giúp đỡ từ ngày bắt đầu hướng dẫn đến ngày bảo vệ Tiếp theo, xin cảm ơn thầy cô giảng viên Trường Học viện Cơng nghệ Bưu Viễn thơng tận tình giảng dạy, truyền đạt kiến thức quý báu Tôi xin trân trọng cảm ơn đơn vị nơi công tác làm việc tạo điều kiện thuận lợi cho thời gian học cao học Cuối cùng, tơi xin cảm ơn gia đình, đồng nghiệp, bạn bè đồng hành, cổ vũ giúp đỡ tơi hồn thành luận văn iii MỤC LỤC LỜI CAM ĐOAN i LỜI CẢM ƠN .ii MỤC LỤC iii MỤC LỤC ẢNH v DANH MỤC TỪ VIẾT TẮT viii LỜI NÓI ĐẦU TỔNG QUAN VỀ ĐỀ TÀI NGHIÊN CỨU CHƯƠNG 1: TỔNG QUAN VỀ MẠNG NỘI BỘ 1.1 Giới thiệu mạng nội 1.1.1 Mạng nội 1.1.2 Cách sử dụng hệ thống mạng nội 1.1.3 Lợi ích hệ thống mạng nội .6 1.2 Công nghệ truyền dẫn mạng dây Ethernet 1.2.1 Khái niệm Ethernet 1.2.2 Ethernet công nghệ mạng thiết bị rộng rãi 1.2.3 Lịch sử phát triển Ethernet 1.2.4 Các thành phần Ethernet .10 1.2.5 Hoạt động Ethernet .10 1.2.6 Sự khác Internet Ethernet 11 1.3 Kỹ thuật chuyển mạch mạng nội 12 1.3.1 Khái niệm chuyển mạch 12 1.3.2 Các công nghệ chuyển mạch .13 1.4 Kết luận Chương 19 CHƯƠNG 2: TẤN CƠNG MẠNG NỘI BỘ VÀ GIẢI PHÁP PHỊNG CHỐNG 20 2.1 Tổng quan an toàn bảo mật thông tin 20 2.2 Một số kỹ thuật công mạng nội 21 2.2.1 Tấn công sử dụng phần mềm độc hại (Malware) 21 iv 2.2.2 Tấn công giả mạo (Phishing) 22 2.2.3 Tấn công từ chối dịch vụ (DoS DDoS) 22 2.2.4 Tấn công sở liệu (SQL injection) 26 2.2.5 Khai thác lỗ hổng Zero-day (Zero day attack) 27 2.2.6 Tấn công Man in the middle (MitM) 28 2.2.7 Các loại khác .30 2.3 Một số giải pháp phịng chống cơng mạng nội 30 2.3.1 Sử dụng tường lửa (Firewall) 30 2.3.2 Công nghệ phát ngăn chặn xâm nhập IDS/IPS 33 2.3.3 Mạng riêng ảo VPN 34 2.3.4 Mạng LAN ảo VLAN .35 2.3.5 Các biện pháp khác 36 2.4 Kết luận Chương 37 CHƯƠNG 3: THỰC NGHIỆM VÀ ĐÁNH GIÁ 38 3.1 Phần mềm hỗ trợ thực nghiệm .38 3.2 Cài đặt triển khai mơ hình 41 3.3 Kịch thử nghiệm 43 3.3 Tiến hành công phịng thủ mơ hình thử nghiệm 44 3.5 Kết luận Chương 69 KẾT LUẬN 70 TÀI LIỆU THAM KHẢO 71 Tiếng Anh .71 Website 71 v MỤC LỤC ẢNH Hình 1.1 Mạng nội Hình 1.2 Xây dựng mạng nội Hình 1.3 Ứng dụng hệ thống mạng nội Hình 1.4 Các thành phần Ethernet 10 Hình 1.5 Giao tiếp thơng qua chuyển mạch 13 Hình 1.6 Chuyển mạch thông điệp 15 Hình 1.7 Chuyển mạch gói 16 Hình 1.8 Chuyển mạch ảo 18 Hình 2.1 Tấn công DDoS 22 Hình 2.2 Tấn cơng TCP SYN flood 23 Hình 2.3 Tấn cơng Teardrop 24 Hình 2.4 Tấn công Smurf 24 Hình 2.5 Tấn cơng Ping Of Dead 25 Hình 2.6 Tấn cơng Botnet 26 Hình 2.7 Tấn cơng sở liệu 27 Hình 2.8 Khai thác lỗ hổng Zero-day 27 Hình 2.9 Tấn cơng Man in the middle 28 Hình 2.10 Tấn cơng Replay 29 Hình 2.11 Mơ tả vị trí tường lửa cứng mạng 31 Hình 2.12 Phần mềm tường lửa AVS Firewall 32 Hình 2.13 Mơ hình diễn tả hệ thống IDS 33 Hình 2.14 Sự khác IPS IDS 34 vi Hình 2.15 Mơ hình VPN 35 Hình 2.16 Mơ hình VLAN mạng nội 36 Hình 3.1 Cơng cụ Emulated Virtual Environment – Next Generation 38 Hình 3.2 Hệ điều hành cung cấp công cụ kiểm thử công Kali Linux 40 Hình 3.3 Cài đặt Eve-ng VMware 41 Hình 3.4 Đăng nhập tài khoản sử dụng Eve-ng 42 Hình 3.5 Import sơ đồ lab tạo 42 Hình 3.6 Mơ hình thử nghiệm 43 Hình 3.7 Minh họa bảng MAC 45 Hình 3.8 Sơ đồ tổng quan kịch MAC Overflow Eve-ng 45 Hình 3.9 Mở máy ảo Kali linux 46 Hình 3.10 Hiển thị bảng MAC thiết bị SW14 ban đâu 47 Hình 3.11 Mở terminal máy kali linux 47 Hình 3.12 Cài đặt gói dnsiff 48 Hình 3.13 Sử dụng lệnh DoS thiết bị SW14 48 Hình 3.14 Máy attacker gửi liên tục địa MAC giả mạo 49 Hình 3.15 Hiển thị bảng MAC SW14 sau bị attack 50 Hình 3.16 Clear bảng MAC SW14 50 Hình 3.17 Cấu hình port security SW14 51 Hình 3.18 Từ máy attacker công lại lần 52 Hình 3.19 Cổng Ether0/1 Sw14 tự động ngắt thấy dấu hiệu attack 52 Hình 3.20 Kiểm tra lại bảng MAC thiết bị SW14 thấy bình thường 53 Hình 3.21 Sơ đồ lab công ARP-Poisoning 55 Hình 3.22 Trên máy attacker add mục tiêu PC2 Local Server3 55 vii Hình 3.23 Kiểm tra bảng MAC thiết bị nạn nhân 56 Hình 3.24 Thực từ máy PC2 telnet đến Local Server 57 Hình 3.25 Máy attacker sử dụng công cụ Wireshark để nghe 57 Hình 3.26 Attacker dị tài khoản telnet 58 Hình 3.27 Cấu hình ip snooping SW14 để phòng vệ 58 Hình 3.28 Tấn cơng lại lần từ máy Attacker thấy SW14 cảnh báo 59 Hình 3.29 Kiểm tra lại bảng Mac thiết bị PC2 thấy bình thường 59 Hình 3.30 Kiểm tra lại bảng Mac thiết bị Local-Server3 59 Hình 3.31 Sơ đồ lab cơng Access-Cracking 61 Hình 3.32 Kiểm tra địa IP máy attacker 62 Hình 3.33 Ping broadcast để dị IP thiết bị GATE 63 Hình 3.34 Sử dụng Nmap dị thơng tin thiết bị thơng qua IP 64 Hình 3.35 Dị thành cơng tài khoản mật để truy cập vào thiết bị 65 Hình 3.36 Xâm nhập vào thiết bị GATE 65 Hình 3.37 Nhập lệnh show ip để thám thông tin hệ thống 66 Hình 3.38 Thực định tuyến cho máy attacker vào bên mạng 66 Hình 3.39 Tiếp tục thám thiết bị mạng nội cơng ty 67 Hình 3.40 Tiếp tục lặp lại việc thám thiết bị nội 68 viii DANH MỤC TỪ VIẾT TẮT STT Ký hiệu chữ viết tắt Chữ viết đầy đủ Dịch nghĩa LAN Local Area Network Mạng cục Mbps Megabit per second Megabit giây MAC Medium Access Control Địa vật lý MITM Man in the middle Tấn công xe DDoS Distributed Denial of Tấn công từ chối dịch vụ Service phân tán Structured Query Language Ngôn ngữ truy vấn mang SQL tính cấu trúc ARP Address Resolution Protocol Giao thức truyền thông mạng với địa vật lý IP Internet Protocol Giao thức Internet WAN Wide Area Network Mạng diện rộng 10 CSMA Carrier Sense Multiple Đa truy cập theo cảm Access nhận sóng 57 Hình 3.24 Thực từ máy PC2 telnet đến Local Server Từ máy kali thực nghe tài khoản mật sử dụng công cụ WireShark: Hình 3.25 Máy attacker sử dụng cơng cụ Wireshark để nghe Ta thấy tài khoản mật để telnet đến Local-Server-3: 58 Hình 3.26 Attacker dò tài khoản telnet 3.3.2.3 Giải pháp Giải pháp ta sử dụng ip snooping Switch14 với mục đích chặn gói arp giả mạo kẻ cơng Cấu hình SW14 sau: Hình 3.27 Cấu hình ip snooping SW14 để phịng vệ 59 Sau cấu hình máy kali thực cơng lại xuất dịng thơng báo chặn gói ARP cổng e0/1 SW14: Hình 3.28 Tấn công lại lần từ máy Attacker thấy SW14 cảnh báo Và địa MAC thiết bị PC-2 Local-SERVER-3 khơng bị thay đổi Hình 3.29 Kiểm tra lại bảng Mac thiết bị PC2 thấy bình thường Hình 3.30 Kiểm tra lại bảng Mac thiết bị Local-Server3 thấy bình thường 60 3.3.3 Phương thức công Access-Cracking Việc hệ thống mục tiêu sử dụng cấu hình thiết lập mặc định nhà sản xuất thiết bị phần cứng hay phần mềm làm cho việc cơng vào mục tiêu trở nên dễ dàng hết Nhiều công cụ công mã khai thác giả định mục tiêu sử dụng thiết lập mặc định (default setting) Vì vậy, phương án phịng ngừa hiệu bỏ qua đơn giản thay đổi thiết lập mặc định Các nhiều dạng thiết lập mặc định như: username, password, access code, path name, folder name, component, service, configuration, setting… Nhiệm vụ ta cần biết tất thiết lập mặc định sản phẩm phần cứng phần mềm mà triển khai cố gắng thay đổi thiết lập mặc định thành thiết lập khác bí mật Ta xem tài liệu kèm với sản phẩm dịch vụ tìm kiếm Internet để biết hệ thống có thiết lập mặc định Ví dụ sau: thiết lập mặc định cho phép hacker truy cập quản lý router giả sử có tên model ABC-123 nạn nhân từ xa thơng qua HTTP, Telnet, SSH… username password mặc định tài khoản có quyền quản trị Hacker tìm kiếm Internet với từ khóa “default password + ABC-123” dễ dàng biết thiết lập mặc định mà số người dùng thường quên đổi Giải pháp điều chỉnh lại lựa chọn mặc định như: – Cố gắng tránh cài đặt hệ điều hành lên ổ đĩa thư mục mặc định – Đừng cài đặt ứng dụng, phần mềm tới vị trí chuẩn chúng… Ta điều chỉnh nhiều thiết lập mặc định hệ thống trở nên ‘khó tương thích’ với cơng cụ mã khai thác hacker, đồng nghĩa với việc hacker cần nhiều nỗ lực để công vào mục tiêu 61 3.3.3.1 Tấn công Access-Cracking Kiểu cơng mục đích thám thiết bị bên hệ thống mạng sử dụng kỹ thuật Nmap để dị thơng tin thiết bị, phiên bản, hệ điều hành, v.v… sau tiến hành dò tài khoản mật sử dụng Hydra để bẻ khóa mật Hình 3.31 Sơ đồ lab cơng Access-Cracking Máy kali từ vùng ngồi outside có địa ip 192.168.229.140: - Nhập lệnh ip a để kiểm tra thông tin IP card mạng máy Kali linux (Attacker) 62 Hình 3.32 Kiểm tra địa IP máy attacker Từ máy kali thực câu lệnh ping –b 192.168.229.255 (địa broadcast) để dò xem thiết bị trả lời, từ tìm mục tiêu cơng - Và sau ta thấy xuất địa IP 192.168.220.130 (địa thiết bị router GATE) trả lời: 63 Hình 3.33 Ping broadcast để dò IP thiết bị GATE Sau thực câu lệnh sử dụng nmap (nmap -O -v 192.168.229.130) để thực xem chi tiết thiết bị địa tìm thấy (GATE) hệ điều hành, cồng mở, địa MAC… 64 Hình 3.34 Sử dụng Nmap dị thơng tin thiết bị thơng qua IP Phát router mở cổng 23 telnet máy kali thực dò tài khoản mật để xâm nhập cách nhập câu lệnh sau: hydra -l admin -P /usr/share/wordlists/rockyou.txt.gz telnet://192.168.229.130 65 Hình 3.35 Dị thành công tài khoản mật để truy cập vào thiết bị GATE Sau dò tài khoản mật đăng nhập attacker thực telnet vào router: Hình 3.36 Xâm nhập vào thiết bị GATE 66 Telnet thành công attacker tiếp tục thực câu lệnh show để xem cổng thiết bị có thiết bị kết nối đến: Hình 3.37 Nhập lệnh show ip để thám thông tin hệ thống Sau hiển thị thông tin địa ip cổng router attacker tiếp tục sử dụng câu lệnh: “ip route add 192.168.200.0/24 via 192.168.229.130” - Mục tiêu để dẫn đường cho máy attacker vào vùng nội có dải ip 192.168.200.0/24: Hình 3.38 Thực định tuyến cho máy attacker vào bên mạng nội 67 Sau hoàn thành việc bypass qua vùng biên attacker tiếp tục làm lại việc ping –b đến địa broadcast 192.168.200.255 để thám nội thiết bị trả lời: Hình 3.39 Tiếp tục thám thiết bị mạng nội công ty Sau thực thám sử dụng nmap với địa ip trả lời để xem chi tiết thông tin thiết bị nạn nhân thông qua IP (nmap -O -v 192.168.200.1): 68 Hình 3.40 Tiếp tục lặp lại việc thám thiết bị nội Từ ta biết hệ điều hành thiết bị biết thiết bị mở cổng để thực thám xâm nhập tiếp giống kịch giai đoạn đầu 3.3.3.2 Giải pháp Giải pháp cho kiểu công ta thực lắp thiết bị tường lửa cấu hình luật để chặn lưu lượng trái phép truy cập vào hệ thống mạng vận hành thiết bị router tích hợp tính Firewall cấu hình sách cụ thể khơng cho phép thiết bị bên ngồi giao tiếp đến Router Đặc biệt không dung tính DHCP để tự động cấp IP cho thiết bị cắm vào, sử dụng IP tĩnh quản lý chặt chẽ danh sách IP cấp 69 Hạn chế số lần đăng nhập lock out cố tình đăng nhập sai nhiều lần Đồng thời lưu ý cấu hình thiết bị mới, cần xóa hồn tồn cấu hình mặc định, tài khoản root, tài khoản mặc định thiết bị, thay tài khoản khác có tính bảo mật cao 3.4 Hướng phát triển Sau thực thành thạo công cụ hệ điều hành Kali Linux trau dồi kỹ lập trình với ngơn ngữ Python hồn tồn xây dựng riêng ứng dụng trang web để sử dụng pentest cho hệ thống Hoặc tập hợp cơng cụ đánh giá an tồn thơng tin cho người dùng với mục đích học tập dễ sử dụng, tham khảo triển khai nơi làm việc 3.5 Kết luận Chương Trong Chương 3, luận văn trình bày phần thực nghiệm mơ cơng chống công với phương thức Tấn công nội theo kịch bản:  MAC-Overflow: công DoS làm tràn bảng MAC  ARP- Poisoning: công Man in the Middle để chèn vào vào hệ thống nhằm nghe thông tin Tấn công từ bên ngồi vào hệ thống:  Access-Cracking: Máy cơng bên ngồi outside sử dụng cơng cụ scan nmap để dò địa IP public cơng ty từ thám thơng tin thiết bị nghiên cứu lỗ hổng để công vào vùng biên Sau sử dụng cơng cụ Hydra để bẻ khóa mật xâm nhập vào hệ thống Đồng thời với phương pháp công, học viên trình bày phương pháp để phịng chống thực nghiệm phòng chống, kết đạt ngăn phương pháp cơng Từ cho thấy hiệu cơng tác phịng chống cơng mạng nội 70 KẾT LUẬN Trong phạm vi nghiên cứu, luận văn giới thiệu tổng quan mạng nội bộ, số công nghệ lõi sử dụng mạng nội Giới thiệu sơ phương pháp công vào mạng nội bộ, đồng thời đưa số giải pháp để phòng chống cơng Dựa sở để tiến hành thực nghiệm mô hệ thống mạng nội thực công 03 phương pháp công mạng (02 phương pháp công từ bên 01 phương pháp cơng từ bên ngồi) Bám sát theo mục tiêu nhiệm vụ đề tài, luận văn thu số kết như:  Mơ mơ hình mạng thiết kế cơng cụ EVE-NG  Tìm hiểu lỗ hổng mặt cấu kiểu cơng phổ biến  Thành thạo số cơng cụ có sẵn hệ điều hành Kali Linux  Đưa giải pháp ngăn chặn công Những hạn chế tồn  Do kinh nghiệm thực tế chưa nhiều, kiến thức lỗ hổng hạn chế, thời gian có hạn, chưa khai thác thêm nhiều kiểu công  Chưa vận dụng nhiều công cụ để tạo mã khai thác cơng cụ khơng có sẵn để thực cơng phịng chống 71 TÀI LIỆU THAM KHẢO Tiếng Anh [1] D Son, Sooel; Shmatikov, Vitaly (August 14, 2017) "The Hitchhiker's Guide to DNS Cache Poisoning" (PDF) Cornell University Archived (PDF) from the original on [2] Ramachandran, Vivek & Nandi, Sukumar (2005) "Detecting ARP Spoofing: An Active Technique" In Jajodia, Suchil & Mazumdar, Chandan (eds.) Information systems security: first international conference, ICISS 2005, Kolkata, India, Birkhauser p 239 ISBN 978-3-540-30706-8 Computer Network [3] Forouzan, Behrouz (February 17, 2012) “Data Communications and Networking McGraw-Hill” p 14 ISBN 9780073376226 [4] Gary A Donahue (June, 2007) “Network Warrior” O'Reilly [5] Stoneburner, G.; Hayden, C.; Feringa, A (2004) "Engineering Principles for Information Technology Security" csrc.nist.gov.doi:10.6028/NIST.SP.800-27rA [6] Yehuda Afek, Anat Bremler-Barr, Alon Noy – (October 2, 2019), “Eradicating Attacks on the Internal Network with Internal Network Policy” [7] Schatz, Daniel; Bashroush, Rabih; Wall, Julie (2017) "Towards a More Representative Definition of Cyber Security" Journal of Digital Forensics, Security and Law 12 (2) ISSN 1558-7215 Website [1] https://www.msspalert.com/cybersecurity-guests/multi-vector-attacksdemand-multi-vector-protection/ [2] https://www.rapid.7.com/fundarmentals/vulnerabilities-exploits-threats/