CHƯƠNG 1 TỔNG QUAN
3.4 Các khái niệm về mơ hình mối đe dọa cơ bản
Việc phân rã ứng dụng, chủ yếu bằng cách sử dụng Sơ đồ luồng dữ liệu (DFD) hoặc Ngơn ngữ mơ hình thống nhất (UML), được coi là bước đầu quan trọng của quy trình. Việc phân loại các phần tử được sử dụng bởi DREAD bao gồm các bộ tương tác bên ngồi, các q trình đơn giản và nhiều với các quá trình con, kho dữ liệu và luồng dữ liệu, được mô tả trực quan bằng nhiều loại các ký hiệu giản đồ. Với việc biểu diễn các luồng dữ liệu di chuyển qua hệ thống, DREAD giúp hiểu được mức độ tin cậy rõ ràng trong hệ thống cũng như quan điểm của kẻ tấn công đối với hệ thống. Trong đó, một phân tích chi tiết về DREAD đã được thực hiện và các hướng phát triển tiềm năng hơn nữa đã được chỉ ra. Tiếp theo là xác định các mối đe dọa bằng cách sử dụng kỹ thuật ghi nhớ STRIDE, phân loại các mối đe dọa như sau: Giả mạo danh tính, Giả mạo dữ liệu, Từ chối, Tiết lộ thơng tin, Từ chối dịch vụ, Nâng cao đặc quyền.
Bằng cách xem xét các mối đe dọa của các danh mục khác nhau này cho từng một phần tử trong DREAD, STRIDE hỗ trợ rất nhiều cho việc xác định các mối đe dọa trong ứng dụng. Điều này cũng dựa trên nhận thức rằng chỉ một số loại mối đe dọa nói chung sẽ áp dụng cho các yếu tố nhất định, ví dụ: tất cả các mối đe dọa đằng sau các chữ cái S-T-R-I-D-E có thể ảnh hưởng đến các quy trình, nhưng chỉ áp dụng giả mạo và từ chối đối với các thực thể bên ngoài, theo biểu đồ ma trận STRIDE-mỗi phần tử đã đề cập. Các phương pháp khác để xác định mối đe dọa là đồ thị mối đe dọa hoặc danh sách có cấu trúc với các danh mục như mạng, máy chủ lưu trữ hoặc ứng dụng hoặc loại và động cơ của những kẻ tấn công. Cây tấn cơng (cịn gọi là cây mối đe dọa) sau đó thường được sử dụng để phân tích và hiểu sâu hơn về các mối đe dọa đã xác định, xác định xem các lỗ hổng của tất cả các tài sản hoặc mục tiêu mối đe dọa trong hệ thống, có khả năng dẫn đến việc thực hiện thành công một cuộc tấn cơng, đã được xem xét.
Quy trình mơ hình mối đe dọa ban đầu như được mơ tả, sau đó được theo sau bởi xếp hạng mối đe dọa, được ký hiệu bằng 5 chữ cái D-R-E-A-D cho:
❖ Damage Potential (Khả năng thiệt hại): xếp hạng mức độ thiệt hại sẽ xảy ra nếu
một lỗ hổng được khai thác.
❖ Reproducibility (Khả năng tái tạo): xếp hạng mức độ dễ dàng để tái tạo một
cuộc tấn công
❖ Exploitability (Khả năng khai thác): Chỉ định một số cho nỗ lực cần thiết để
khởi động cuộc tấn công.
❖ Affected Users (Người dùng bị ảnh hưởng): Một giá trị đặc trưng cho số lượng
người sẽ bị ảnh hưởng nếu một hoạt động khai thác được phổ biến rộng rãi.
❖ Discoverability (Khả năng phát hiện): Đo lường khả năng dễ dàng phát hiện ra
mối đe dọa.
Và các giá trị số được chỉ định đại diện cho tác động của chúng đối với rủi ro bảo mật tổng thể. Tuy nhiên, phương pháp mới nhất được Microsoft sử dụng cho đến nay được xây dựng dựa trên STRIDE và kết hợp bốn bước chính, được mơ tả là lập
sơ đồ, liệt kê mối đe dọa, giảm thiểu và xác minh. Mơ hình hóa mối đe dọa được coi là "nền tảng" của Vòng đời phát triển phần mềm.
Để trình bày mơ hình hóa mối đe dọa tại bài báo cáo mơn học An tồn thơng tin này em sẽ thực hiện mơ hình hóa mối đe dọa với cơng cụ Microsoft Threat Model Tool với ví dụ với hệ thống ngân hàng trực tuyến thiết kế với dạng DFD. Vấn đề bảo mật thông tin giao dịch ở các ngân hàng rất quan trọng và thực thế vì ngân hàng là đối tượng bị nhắm tới nhiều nhất bởi các hacker. Cơng cụ mơ hình hóa các mối đe dọa chỉ ra chi tiết các mối đe dọa theo mơ hình để từ đó có những cải thiện về hệ thống của mình trước khi được tiến hành đưa vào sử dụng thực tế. Nó có ý nghĩa quan trọng đối với phân tích bảo mật và đánh giá rủi ro của hệ thống ngân hàng trực tuyến và khai thác sâu lỗ hổng và rủi ro của hệ thống.
CHƯƠNG 4 ỨNG DỤNG VỚI HỆ THỐNG NGÂN HÀNG TRỰC TUYẾN (E-BANKING SYSTEM)
Phần mềm là tuyến phòng thủ quan trọng nhất đối với bảo vệ các tài sản thông
tin quan trọng như trong ngân hàng điện tử. Các sự gia tăng liên tục về độ tinh vi và số lượng của không gian mạng các cuộc tấn công bảo mật cung cấp những lý do thuyết phục để tăng cường bảo mật của các ứng dụng phần mềm kiểm soát các tài sản quan trọng. Mơ hình hóa mối đe dọa là điều cần thiết để xây dựng bảo mật trong tất cả các giai đoạn SDL và cụ thể là ở giai đoạn thiết kế. Trong vài năm gần đây, một số các phương pháp tiếp cận sáng tạo để lập mơ hình mối đe dọa đã xuất hiện và gần đây một số công cụ hỗ trợ đã trở nên khả dụng và công cụ Microsoft Threat Model
Tool là một ví dụ
4.1 Phân tích hệ thống ngân hàng trực tuyến hiện nay
E-Banking là viết tắt của Electronic- Banking là tên viết tắt của dịch vụ ngân
hàng điện tử nói cung là dịch vụ ngân hàng trực tuyến hỗ trợ trên nền tảng điện thoại, máy tính có kết nối Internet hoặc mạng viễn thông giúp người sử dụng thực hiện các giao dịch tài chính online, quản lý tài khoản hằng ngày.
Đây là chức năng ngân hàng cho ngân hàng trực tuyến các ứng dụng đã được bắt nguồn từ các đối tác trong thế giới thực của nó, việc thiết kế hệ thống này và hơn nữa là bảo mật chúng đã đặt ra một thách thức hoàn toàn mới đối với các ngân hàng, nhà cung cấp dịch vụ, cơ quan quản lý, nhà phát triển phần mềm và chuyên gia bảo mật thông tin cũng như khách hàng để tuân theo sự thay đổi này. Số liệu gian lận đối với ngân hàng trực tuyến vẫn đáng báo động, khiến các ngân hàng phải liên tục tìm kiếm giải pháp bảo mật tốt nhất có thể cho các ứng dụng và hệ thống ngân hàng trực tuyến. Và đây là báo cáo mới nhất của UK Finance về E Banking năm 2021:
“Gian lận- báo cáo Sự kiện năm 2021, được tài trợ bởi LexisNexis Risk Solutions, nhấn mạnh rằng năm ngoái ngành ngân hàng đã làm việc chăm chỉ trong suốt đại dịch để bảo vệ khách hàng khỏi gian lận và truy đuổi bọn tội phạm đứng sau
nó, với hơn 1,6 tỷ bảng Anh gian lận đã dừng lại vào năm 2020 . Tuy nhiên, bọn tội phạm đã chuyển sang lừa đảo trực tuyến và sử dụng công nghệ để khai thác nỗi sợ hãi của mọi người về đại dịch Covid-19, trốn tránh hệ thống bảo mật tiên tiến của các ngân hàng và sử dụng các nền tảng kỹ thuật số để nhắm mục tiêu trực tiếp nạn nhân và lừa họ đưa tiền hoặc thông tin của họ, tránh ngân hàng. 'các biện pháp an ninh.
Chúng bao gồm các trị lừa đảo mạo danh, trong đó bọn tội phạm đóng giả là một tổ chức đáng tin cậy để lấy tiền hoặc chi tiết tài chính - ví dụ bao gồm các email lừa đảo tuyên bố đề nghị hỗ trợ của chính phủ cho những người bị ảnh hưởng bởi đại dịch và tin nhắn văn bản lừa đảo yêu cầu thanh toán để đặt vắc xin Covid-19.
Chúng tôi cũng đã thấy sự xuất hiện của tội phạm công khai quảng cáo các dịch vụ lừa đảo và lừa đảo để bán trực tuyến, bao gồm các trang web lừa đảo theo mẫu và các ứng dụng lừa đảo được xây dựng tùy chỉnh sao chép các ứng dụng ngân hàng thực. Tài chính Vương quốc Anh đang kêu gọi luật mới để làm cho các nền tảng trực tuyến chịu trách nhiệm gỡ bỏ nội dung gian lận và bảo vệ người tiêu dùng tốt hơn khỏi những trò gian lận này. Ngành ngân hàng tiếp tục phối hợp chặt chẽ với cơ quan công an để ngăn chặn hành vi lừa đảo, truy bắt các băng nhóm tội phạm gây án.”
Theo ukfinance.org.uk
Một số lượng lớn các kỹ thuật xác thực và công nghệ đã phát triển trong những năm qua, nhưng sự khác biệt các phương pháp được sử dụng bởi các ngân hàng cụ thể khác nhau rất nhiều so với kết hợp tên người dùng và mật khẩu đơn giản cho phần cứng mã thông báo bằng thẻ thông minh. Hầu hết các kỹ thuật này đã được được giới thiệu như một phản ứng để sửa chữa các lỗ hổng được phát hiện thay vì hơn là chủ động. Các kỹ thuật xác thực cơ bản bảo vệ người dùng chống lại các âm mưu gian lận đơn giản như kỹ thuật xã hội hoặc phần mềm độc hại cơ bản như lừa đảo hoặc keylogger đã bị lực lượng tội phạm khắc phục trong vài năm gần đây. Nâng cao tấn công thông qua phần mềm độc hại phức tạp như giả mạo hoặc phát lại các cuộc tấn
công là sự lựa chọn của những kẻ gian lận để đánh bại bảo mật các giải pháp vẫn được các ngân hàng sử dụng.
Điều này bao gồm mật khẩu một lần, ví dụ: giải pháp Mật khẩu dùng một lần (OTP) là mật khẩu để xác thực người dùng trong một giao dịch an toàn. Hầu hết, khái niệm này được sử dụng trong hệ thống ngân hàng và các trang web an toàn khác. Mã xác thực OTP là một chuỗi số hoặc một chuỗi kết hợp cả số với ký tự, nhưng khác mật khẩu thông thường, mã xác thực OTP được tạo ra ngẫu nhiên không phải từ người dùng, chỉ sử dụng được một lần và sau đó khơng cịn tác dụng.
Thậm chí, thời hạn của mật khẩu OTP thường rất ngắn, có thể chỉ sau 30 giây, 60 giây hay một vài phút, nó sẽ vơ tác dụng và lại được thay thế bằng mã mới.