Kiểm thử tấn công hệ thống mạng của công ty WSmart

1 Kiểm Thử Tấn Công Hệ Thống Mạng Của Công ty WSmart Tài liệu thiết kế - Học kỳ GV hướng dẫn: Nguyễn Siêu Đẳng Lớp: J1.2004.E0 Tên nhóm: Nhóm Danh sách thành viên nhóm: Stt TP.Hồ Chí Minh, Ngày Tháng 12 Năm 2021 Lời Cảm Ơn Lời nhóm em xin gửi lời cảm ơn đến trường FPT JETKING cách thầy cô trường Đặc biệt em xin chân thành cảm ơn thầy Nguyễn Siêu Đẳng nhiệt tình giúp đỡ hướng dẫn nhóm suốt thời gian qua Thầy tạo điều kiện thuận lợi, cung cấp kiến thức góp ý kiến để nhóm em hồn thành báo cáo Nhóm xin gửi lời cảm ơn đến anh chị, bạn bè truyền đạt kinh nghiệm tạo điều kiện cho nhóm em hồn thành đề tài Trong q trình thực đề tài có sai sót, mong thầy bạn thẳng thắn góp ý để nhóm rút kinh nghiệm cơng trình tìm hiểu phát triển sau LỜI NHẬN XÉT CỦA GIÁO VIÊN ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… ………………………………………………………………………………………………… Chữ Ký Của Giáo Viên Mục Lục I Giới Thiệu Đề Tài II Hiện Trạng Thực Tế Bối cảnh Hiện trạng thực tế công ty WSm 2.1 M 2.2 M Nhu cầu công ty WSmart III Phương Pháp Tiếp Cận Quy trình kiểm thử bảo mật Phương pháp OWASP Phương pháp OSSTMM 3.1 T 3.2 P 3.3 C 3.3.1 Four Point Process (4PP) 3.3.2 Trifecta Kiểm thử Social Engineering 4.1 T 4.2 Đ 4.3 C 4.3.1 Các biện pháp dành cho cá 4.3.2 Các biện pháp kĩ thuật IV Phương Án Triển Khai Phương pháp triển khai 1.1 1.2 5 Công Cụ Tài Liệu Tham Khảo I GIỚI THIỆU ĐỀ TÀI Sự phát triển mạng Internet mang lại cho doanh nghiệp hội để phát triển hơn.Tuy nhiên song song với hội doanh nghiệp phải đối mặt với nhiều thách thức an ninh mạng Các cơng mạng đánh cắp thông tin, làm gián đoạn công việc kinh doanh sụp đổ hoàn toàn hệ thống mạng doanh nghiệp Gây ảnh hưởng nghiêm trọng đến liệu, tài chính, uy tín thương hiệu doanh nghiệp Vì xây dựng mạng lưới mạng an tồn giải pháp hiệu cho doanh nghiệp Kỹ thuật penetration test giúp phát lỗ hổng, rủi ro hay mối đe dọa bảo mật mà hacker khai thác ứng dụng phần mềm, mạng hay ứng dụng web Qua đưa giải pháp nhằm giảm thiểu khả bị công hacker II HIỆN TRẠNG THỰC TẾ Bối cảnh Ngày nay, Internet phần tách rời với hoạt động kinh doanh hầu hết doanh nghiệp Xây dựng hệ thống mạng tiêu chuẩn, ổn định, bảo mật tảng ban đầu cho phát triển bền vững doanh nghiệp Nghiên cứu Cisco cho thấy doanh nghiệp vừa nhỏ (DNVVN) Việt Nam bị lộ thông tin, bị cơng có nhiều mối lo mối đe dọa an ninh mạng so với trước Theo kết nghiên cứu, 59% DNVVN Việt Nam gặp cố mạng năm qua Hậu cố 86% số doanh nghiệp bị thông tin khách hàng vào tay kẻ xấu Điều khiến DNVVN lo ngại rủi ro an ninh mạng, 71% doanh nghiệp nói họ bất an an ninh mạng so với năm ngoái, 67% cho biết cảm thấy bị đe dọa nguy an ninh mạng Bên cạnh việc liệu khách hàng, DNVVN Việt Nam gặp cố mạng bị liệu nhân viên (67%), email nội (61%), thơng tin tài (58%), sở hữu trí tuệ (56%) thơng tin kinh doanh nhạy cảm (51%) Ngồi ra, 61% doanh nghiệp thừa nhận cố mạng tác động tiêu cực đến danh tiếng họ Hiện trạng thực tế công ty Công ty vừa xây dựng hệ thống mạng cho khoảng 100 User Công ty muốn kiểm thử hệ thống mạng trước đưa vào hoạt động Hệ thống bao gồm cách thiết bị đầu cuối Firewall, Switch… Server Website công ty 8 2.2 Mơ hình chi tiết Tầng Tầng Nhu cầu công ty Xác định mức độ an ninh hệ thống mạng Hệ thống hoạt động ổn định, giảm thiểu khả bị công gây gián đoạn hoạt động công ty Bảo mật sở liệu, thông tin quan trọng doanh nghiệp thông tin người dùng 10 III PHƯƠNG PHÁP TIẾP CẬN Quy trình tiến hành kiểm thử bảo mật (Pentest) Giai đoạn Pre-attack: Xác định phạm vi mục tiêu thử nghiệm, bao gồm hệ thống xử lý phương pháp thử nghiệm sử dụng Tập hợp thông tin liên quan đến hệ thống từ nguồn liệu công cộng từ Whois hay DNS Check tương ứng với giai đoạn Footprinting Reconnaissance Sau thu thập đầy đủ thơng tin cần thiết giai đoạn cơng thực bắt đầu, q trình gồm Penetrating The Perimeter, Acquiring The Target, Escalating Privilege Và Executing, Implant Và Retracing với ý nghĩa giai đoạn sau: Giai đoạn Attack: • Penetrating The Perimeter: Cơng đoạn gồm có xem xét báo cáo lỗi, kiểm tra danh sách truy cập Access Control List, đánh giá lọc giao thức hay quy tắt áp đặt Firewall giao 11 thức SSH, FTP, Telnet Ngoài ra, người thực cần tiến hành kiểm lỗi tràn đệm, SQL injection, hay cơng DoS Bên cạnh nên kiểm tra thêm cấu hình hệ thống mạng không dây hay ứng dụng web nội • Acquiring The Target: Đây trình tận dụng kết xác định lỗ hổng hệ thống, lỗi bảo mật ứng dụng để công, xâm nhập vào mục tiêu Trong giai đoạn bạn sử dụng chương trình khai thác tự động CORE IMPACT hay ứng dụng chuyên dùng cho penetration tester Back Track • Escalating Privilege: Sau thâm nhập hệ thống hacker tiến hành nâng quyền với để chiếm quyền quản trị cao Hành động gọi Escalating privilege hay leo thang mức ưu tiên • Executing, Implanting, Reacting: Đây cơng đoạn cuối q trình penetration test Cần lưu ý hành động giai đoạn không gây ảnh hưởng đến trình hoạt động doanh nghiệp, số tổ chức yêu cầu không tiến hành số thao tác giai đoạn việc chạy thử nghiệm số ứng dụng có khả làm lộ thông tin mật, ảnh hưởng đến hoạt động chung… Giai đoạn Post-attack: Kết kiểm thử thâm nhập sau tổng hợp thành báo cáo chi tiết, bao gồm: hổng cụ thể khai thác Dữ liệu nhạy cảm truy cập - Thời lượng mà người tiến hành kiểm tra pentest lại hệ thống mà khơng bị phát Thông tin nhân viên phụ trách bảo mật phân tích, giúp cấu hình cài đặt WAF cho doanh nghiệp, đưa giải pháp bảo mật ứng dụng khác để vá lỗ hổng bảo vệ chống lại công tương lai ❖ Phương pháp OWASP Tổng quan OWASP 12 OWASP đời năm 2001, tổ chức phi lợi nhuận, cộng đồng mở, mục tiêu tổ chức cải tiến an ninh phần mềm ứng dụng, đặc biệt ứng dụng web Đối với OWASP, an tồn phần mềm nói chung ứng dụng web nói riêng phải trọng từ giai đoạn đầu tiên: định nghĩa, thiết kế trì giai đoạn sau như: phát triển, triển khai, bảo trì Tóm lại, đánh giá an ninh nên áp dụng suốt vòng đời phát triển phần mềm Vì hướng dẫn khơng dành cho người đánh phải đọc sử dụng người phát triển kiểm thử phần mềm Giữ thông tin an ninh liên tục cập nhật khía cạnh quan trọng dự án hướng dẫn Để đáp ứng yêu cầu trên, OWASP áp dụng phương pháp tiếp cận wiki, cộng đồng OWASP phát triển mở rộng thông tin tài liệu hướng dẫn để bắt kịp với phát triển nhanh chóng mối đe dọa an ninh nhằm vào ứng dụng Theo OWASP, ứng dụng web mạng hầu hết phải tiếp xúc với bên ngoài, nên đối tượng chịu công phá hoại sửa đổi trái phép Vì vậy, cánh cổng cho kẻ công xâm nhập vào lớp ứng dụng trước thực bước xâm nhập vào hệ thống Vì lỗ hổng an ninh phổ biến, số phương pháp đánh giá giới thiệu nhằm đánh giá trầm trọng rủi ro an ninh ứng dụng web Một nỗ lực thực cộng đồng mở OWASP xây dựng khung làm việc đánh giá an toàn ứng dụng web thúc đẩy dự án OWASP top 10 nhằm nâng cao nhận thức an ninh ứng dụng tổ chức phương pháp OWASP chia thành 11 bước thực bao gồm: • Information Gathering: Thu thập thơng tin đối tượng server chạy ứng dụng phiên ứng dụng, framework, web server, hệ điều hành, • Configuration and Deployment Management Testing: Đánh giá hệ thống máy chủ, tảng chạy ứng dụng hệ điều hành, web server • Identify Management Testing: Nhận định khả có lỗi nằm đâu Xác định điểm để thực công Kiểm tra lại cách thức tạo tài khoản ứng dụng Logic xử lý quyền người dùng 13 • Authentication Testing: Kiểm tra xác thực đăng nhập, sử dụng kỹ thuật để bypass xác thực leo thang đặc quyền Các sách quản lý người dùng ứng dụng có hoạt động • Authorization Testing: Kiểm tra giới hạn quyền cho user Phân quyền tài nguyên cho nhóm đối tượng riêng đối tượng • Session Management Testing: Kiểm tra phiên đăng nhập Kiểm tra việc quyền hợp pháp User có đầy đủ đăng nhập hay chưa leo thang đặc quyền hay khơng • Input Validation Testing: Thực kiểm tra biến nhập liệu khả inject vào biến đầu vào • Testing for Error Handling: Kiểm tra cách xử lý lỗi ứng dụng • Testing for Weak Cryptography: Kiểm tra cách mà ứng dụng mã hóa thơng tin đường truyền • Business Logic Testing: Kiểm tra tính logic nghiệp vụ ứng dụng kiểm tra giúp kiểm định xem xử lý ứng dụng hợp với logic chức ứng dụng hay khơng • Client Side Testing: Kiểm tra thực thi mã máy người dùng Response nhận từ server browser hiển thị cho người dùng Ngoài mã html cịn có mã Javascript Nếu inject code đặc biệt javascript vào response làm cho browser thực thi mã làm thay đổi số tính ứng dụng Phương Pháp OSSTMM 3.1 Tổng quan OSSTMM Open Source Security Testing Methodology Manual OSSTMM dự án ISECOM – tổ chức phi lợi nhuận thành lập New York, Hoa Kỳ Catalonia, Tây Ban Nha Dự án phát triển cộng đồng mở, với đối tượng tham gia bình đẳng khơng ảnh hưởng trị thương mại Đây phương pháp khoa học giúp mơ tả xác an ninh hoạt động đặc trưng thông qua đánh giá cách quán lặp lặp lại kênh vật lý, tương tác người, kết nối không dây, có dây, tương tự số Phương pháp phù hợp với hầu hết kiểu đánh 14 đánh giá an ninh, đánh giá lỗ hổng, … Hiện dự án phát triển nâng cấp lên tới phiên 3.0 Phương pháp OSSTMM định nghĩa loạt thuật ngữ sử dụng như: kiểm sốt, bề mặt cơng, hướng, hướng cơng, an ninh, an toàn, độ xốp, hạn chế, lỗ hổng, điểm yếu, RAV, hoạt động, an ninh hoàn hảo… Ngoài ra, phương pháp OSSTMM xây dựng sở lý thuyết mô tả chi tiết thành phần cấu thành an ninh hoạt động lượng hóa thành phần cơng thức tính tốn chúng An ninh khái niệm tương đối mà với mức độ an ninh thực tế tốt tổ chức lại an ninh so với tổ chức khác Vì vậy, lượng hóa thuộc tính an ninh giúp tính tốn biểu diễn an ninh cách quán lặp lặp lại 3.2 Phạm vi Phạm vi tổng thể thiết bị cần kiểm tra an ninh Phạm vi bao gồm loại: Telecom, Data Networks, Physical, Human, Wireless Class Physical Securit Physical Spectrum Security Communication Security Data Networks 15 3.3 Các bước tổng quát để pentest 3.3.1 Four Point Process (4PP) 4PP chia Quy trình pentest theo chuẩn OSSTMM chia thành giai đoạn : Chú thích: Tester: Chính chuyên viên kiểm tra an ninh Environment: Môi trường mà đối tượng hoạt động Target: Đối Tượng cần kiểm tra Emanations: Đây dấu vết lưu lại đối tượng hoạt động mơi trường Các giai đoạn làm việc tester: Induction (Z): Thiết lập nguyên tắc đối tượng thông qua môi trường kiện tester xác định thực tế liên quan đến đối tượng từ môi trường mà mục tiêu cư trú Khi đối tượng bị ảnh hưởng mơi trường ảnh hưởng tới hoạt động ? Inquest (C): Điều tra dấu vết lưu lại đối tượng hoạt động Một hệ thống tiến trình thường để lại chữ 16 ký chứng tỏ tồn qua tương tác với mơi trường Interaction (A/B): Tester tác động trực tiếp đến đối tượng để kiểm tra phản ứng nó, từ phân tích phản ứng Ở tester kiểm tra cách áp tiêu chuẩn không phi tiêu chuẩn để lấy phản ứng khác Intervention (X/Y/Z): Tương tác thay đổi tài nguyên đối tượng đối tượng khác đến đối tượng 3.3.2 Trifecta Trifecta phương pháp kiểm tra ninh tồn diện có sở vững kết hợp với phương pháp 4PP đơn giản giúp cho chuyên viên dễ dàng hiểu vận hành Phương pháp trình bày dạng sơ đồ có mũi tên dẫn bước thực dễ dàng vận dụng thực tế Chú thích: Target: Đối tượng cần kiểm tra an ninh Environmental: môi trường tác động gián tiếp lên đối tượng cần kiểm tra Các bước sơ đồ: 17 Bước – Collect passive data: Thụ động thu thập liệu đối tượng hoạt động bình thường để từ hiểu cách hoạt động đối tượng cần kiểm tra Bước – Actively test target: Chủ động kiểm tra biểu đối tượng thao tác vượt qua mức giới hạn mà đối tượng đáp ứng Ví dụ: Tăng nhiều số lượng kết nối không theo luật tới firewall để xem firewall có phản ứng nào? Bước – Analyze data returned: Phân tích liệu nhận trực tiếp từ thao tác thử nghiệm Bước – Analyze emanations: Phân tích liệu gián tiếp từ nguồn tài nguyên người quản trị, chương trình,… Bước – Correlate and Reconcile: Tương quan đối chiếu thông tin kết kiểm tra liệu trực tiếp (bước 3) gián tiếp (bước 4), từ định quy trình vận hành an ninh cho đối tượng Bước – Determine and Reconcile Errors: Xác định đưa phương pháp xử lý lỗi tìm Bước – Derive Metrics: Rút số liệu từ sau thực hai thử nghiệm bình thường giới hạn đối tượng Bước – Correlate and Determine Optimum Protection: Tương quan đối chiếu kết liệu thu bước 2, từ xác định mức độ tối ưu bảo vệ kiểm soát tốt cho đối tượng Bước – Map the Optimal Operational State: Lập đồ trạng thái tối ưu hoạt động (bước 8) cho quy trình (bước 5) Bước 10 – Gap Analysis: Phân tích lỗ hổng để từ xác định cải tiến cần thiết cho trình bảo vệ điều khiển đối tượng cách tối ưu Kiểm thử Social Engineering 4.1 Tổng quan Social Engineering Social Engineering kết hợp từ Social (xã hội) Engineering (kỹ thuật), thể chất kiểu cơng này: mánh khóe, kỹ thuật cơng nhắm vào tính xã hội người, thứ mà khơng tồn máy móc Social Engineering Attack biết đến với tên Tấn công phi kỹ thuật 18 Bằng cách tác động trực tiếp đến tâm lý người, xây dựng mối quan hệ có chủ đích, Social Engineering khai thác thơng tin dùng thơng tin vào mục đích riêng (tống tiền, trộm cắp tài sản, đe dọa, phá hủy cá nhân/ tổ chức,…) Khi áp dụng Social Engineering, tội phạm thường che giấu danh tính động thực vẻ đáng tin cậy khiến cho đối phương cảnh giác, từ dễ dàng xâm nhập sơ hở Social Engineering không trực tiếp sử dụng phương thức kỹ thuật (phá hủy hệ thống, tin tặc) dùng cách thức tinh vi để dẫn đến công kỹ thuật 4.2 Đối tượng dễ bị công Social Engineering Các tâm lý hành vi tội phạm Social Engineering khai thác thường khía cạnh nghĩa vụ đạo đức, lịng tin, đe dọa, tính tham lam, thiếu hiểu biết, tị mị, tự mãn,…Thơng qua đó, đối tượng thường bị khai thác thường là: Lễ tân, bảo vệ: thường tiếp xúc với tất người công ty, không bảo vệ trang bị kiến thức an ninh, lại nắm rõ lịch trình thơng tin nhiều đối tượng 19 Nhân viên tạp vụ: dễ dàng tiếp cận thông tin thiết bị quan trọng Nhân viên văn phịng: quản lý thơng tin phận, có quyền truy cập vào hệ thống công ty Quản lý/ Giám đốc cấp cao: nắm nhiều thông tin quan trọng, nắm thơng tin mật thiết tới tài cơng ty Người dùng: giải quyết, xử lý thông tin hàng ngày Các đối tượng khai thác thuộc phần chiến thuật SE: 4.3 Cách thức phịng chống cơng Social Engineering 4.3.1 Cách biện pháp dành cho cá nhân • Cập nhập trang bị thông tin cần thiết an ninh • Luôn xác nhận liên lạc với người thân, tránh trao đổi thơng tin/ tài sản với người lạ • Tránh sử dụng nhiều tài khoản mật • Hạn chế đăng thông tin/ đặc điểm nhận dạng/ lịch trình/ sinh hoạt cá nhân lên mạng xã hội 20 • Nên sử dụng tách biệt tài khoản cá nhân cơng việc riêng biệt • Giữ bình tĩnh kéo dài thời gian đề phòng kẻ xấu đánh vào tâm lý làm trước nghĩ để lừa đảo • Khơng sử dụng ứng dụng địi quyền truy cập cá nhân khơng rõ nguồn gốc • Tránh sử dụng mật cho nhiều tài khoản • Nói khơng với email u cầu xác minh tài chính, mật khẩu, … 4.3.2 Cách biện pháp kĩ thuật • Cập nhập hệ thống quản lý nghiêm ngặt • Phân chia tài khoản, quyền hạn trách nhiệm rõ ràng tài khoản mạng xã hội, website, hệ thống • Hệ thống đăng nhập nhiều lớp • Cập nhật trình duyệt web nhất, tránh sử dụng plug-in add-on khơng cần thiết • Sử dụng phần mềm chặn pop-up (quảng cáo tự động) • Phần mềm diệt virus uy tín, doanh nghiệp tổ chức có thơng tin bảo mật nên dùng phần mềm trả phí • Cảnh báo trang web nguy hiểm • Cập nhập tự động để vá lỗ hổng an ninh • Duyệt web chế độ ẩn danh • Thường xuyên cập nhập tin tức công nghệ, bảo mật, … • Đặt lọc Spam mức cao (đối với email) • Trang bị camera an ninh 21 IV PHƯƠNG ÁN TRIỂN KHAI Phương pháp triển khai 1.1 White Box (Hộp Trắng) Đây thử nghiệm tồn diện, người kiểm tra cung cấp tồn thơng tin hệ thống và/hoặc mạng Schema, Mã nguồn, chi tiết hệ điều hành, địa IP, v.v Nó thường coi mô công nguồn nội Ưu điểm: Nó đảm bảo tất đường dẫn độc lập môđun thực Nó đảm bảo tất định hợp lý xác minh với giá trị sai chúng Nó phát lỗi đánh máy kiểm tra cú pháp Nó tìm thấy lỗi thiết kế xảy khác biệt luồng logic chương trình thực thi thực tế 1.2 Gray Box (Hộp Xám) Trong loại thử nghiệm này, người thử nghiệm thường cung cấp thông tin phần giới hạn chi tiết bên chương trình hệ thống Nó coi cơng tin tặc bên ngồi giành quyền truy cập bất hợp pháp vào tài liệu sở hạ tầng mạng tổ chức Ưu điểm: Vì người kiểm tra khơng u cầu quyền truy cập mã nguồn, khơng xâm phạm khơng thiên vị Vì có khác biệt rõ ràng nhà phát triển người thử nghiệm, nên có nguy xảy xung đột cá nhân Bạn không cần cung cấp thông tin nội chức chương trình hoạt động khác 22 Công cụ Công cụ Yersinia Kh Mô tả Qu Nmap hiệ hà Nm kh thá Mô tả các sử Metasploit Qu Me gia nỗ Mô tả Quét điểm yếu Burp Suite WEB https://www.kali org/tools/burpsuit e/ ✓ ✓ Miễn phí Mơ Tả Setoolkit Burp Suite: ứng dụ bảo mật ứng dụng web mật web như: Tiến hành kiể người dùng hay liệt kê web 23 Tài liệu tham khảo https://www.vietnamplus.vn/an-ninh-mang-viet-nam-trong-nam-2021-tan-cong-ngay-cang-tinhvi/749427.vnp#&gid=1&pid=3 https://whitehat.vn/threads/pentest-chuan-pentest-website-theo-owasp.6989/ https://www.sonarqube.org/features/security/owasp/?gads_campaign=AsiaGeneric&gads_ad_group=OWASP&gads_keyword=owasp%20tool&gclid=EAIaIQobChMIjePX9Jr D9AIVBrqWCh0_JwZuEAAYASAAEgIZBfD_BwE https://owasp.org/images/5/52/OWASP_Testing_Guide_v4.pdf https://owasp.org/www-project-web-security-testing-guide/stable/4Web_Application_Security_Testing/01-Information_Gathering/README https://quantrimang.com/tim-hieu-ve-penetration-testing-162644 https://www.thekalitools.com/2017/10/quy-trinh-tien-hanh-kiem-thu-bao-mat.html https://kirkpatrickprice.com/blog/what-you-need-to-know-about-osstmm/ https://cystack.net/vi/blog/social-engineering https://www.sachcongnghe.com/2019/07/3-hinh-thuc-pentest-kiem-thu-xam-nhap-pho-bien.html ... cố mạng tác động tiêu cực đến danh tiếng họ Hiện trạng thực tế công ty Công ty vừa xây dựng hệ thống mạng cho khoảng 100 User Công ty muốn kiểm thử hệ thống mạng trước đưa vào hoạt động Hệ thống. .. Website công ty 8 2.2 Mơ hình chi tiết Tầng Tầng Nhu cầu công ty Xác định mức độ an ninh hệ thống mạng Hệ thống hoạt động ổn định, giảm thiểu khả bị công gây gián đoạn hoạt động công ty Bảo mật... Chữ Ký Của Giáo Viên Mục Lục I Giới Thiệu Đề Tài II Hiện Trạng Thực Tế Bối cảnh Hiện trạng thực tế công ty WSm 2.1 M 2.2 M Nhu cầu công ty WSmart III Phương Pháp Tiếp Cận Quy trình kiểm thử bảo