Social engineering
là phương pháp phi kỹ thuật đột nhập vào hệ thống hoặc mạng công ty. Đó
là quá trình đánh lừa người dùng của hệ thống, hoặc thuyết phục họ cung
cấp thông tin có thể giúp chúng ta đánh bại bộ phận an ninh. Social
engineering là rất quan trọng để tìm hiểu, bởi vì hacker có thể lợi dụng
tấn công vào yếu tố con người và phá vỡ hệ thống kỹ thuật an ninh hiện
tại. Phương pháp này có thể sử dụng để thu thập thông tin trước hoặc
trong cuộc tấn công.
Social engineering sử dụng
sự ảnh hưởng và sự thuyết phục
để đánh lừa người dùng nhằm khai thác các thông tin có lợi cho cuộc tấn
công hoặc thuyết phục nạn nhân thực hiện một hành động nào đó.
Social engineer (người thực hiện công việc tấn công bằng phương pháp social engineering) thường sử dụng
điện thoại hoặc internet
để dụ dỗ người dùng tiết lộ thông tin nhạy cảm hoặc để có được họ có
thể làm một chuyện gì đó để chống lại các chính sách an ninh của tổ
chức. Bằng phương pháp này, Social engineer tiến hành khai thác các thói
quen tự nhiên của người dùng, hơn là tìm các lỗ hổng bảo mật của hệ
thống. Điều này có nghĩa là người dùng với kiến thức bảo mật kém cõi sẽ
là cơ hội cho kỹ thuật tấn công này hành động.
Thông thường, mọi người không nhận thấy sai sót của họ trong việc bảo
mật, mặc dù họ không cố ý. Những kẻ tấn công đặc biệt rất thích phát
triển kĩ năng về
Social Engineering và có thể thành
thạo đến mức những nạn nhân của không hề biết rằng họ đang bị lừa. Mặc
dù có nhiều chính sách bảo mật trong công ty, nhưng họ vẫn có thể bị hại
do tin tặc lợi dụng lòng tốt và sự giúp đỡ của mọi người.
Những kẻ tấn công luôn tìm những cách mới để lấy được thông tin. Họ
chắc chắn là họ nắm rõ vành đai bảo vệ và những người trực thuộc – nhân
viên bảo vệ, nhân viên tiếp tân và những nhân viên ở bộ phận hỗ trợ – để
lợi dụng sơ hở của họ. Thường thì mọi người dựa vào vẻ bề ngoài để phán
đoán. Ví dụ, khi nhìn thấy một người mặc đồng phục màu nâu và mang theo
nhiều hộp cơm, mọi người sẽ mở cửa vì họ nghĩ đây là người giao hàng.
Hay khi bạn nhặt được một chiếc USB bạn có thể rất vô tư cắm nó ngay vào
máy tính để xem nó là của ai và chứa thông tin gì. Nhưng đó có thể
chính là nguồn phát tán virus và mã độc đến bạn, tổ chức và người thân
của bạn.
Nguồn bài viết từ trang: http://securitydaily.net/social-engineering-va-cac-thu-thuat-tap-1/
Tôi đã dùng phương pháp này ra sao?
Một người anh rất thân của tôi cũng là dân IT và có niềm đam mê vào những thông tin, mánh khóe của giới bảo mật nhưng vì công việc và cuộc sống có quá nhiều bộn bề nên anh không có cơ hội để tìm hiểu sâu về nó, sau vài lần report bug của website mà anh ấy đang quản lý thì những thắc mắc ấy lại trỗi dậy, nên tôi quyết định áp dụng phương pháp Social engineering và thành công ngoài sự mong đợi, có lẽ sau khi viết bài này thì anh ấy sẽ nhận ra rằng anh ấy cũng đã mắc một sai lầm trong khâu bảo mật của mình và chắc chắn là chuyện này sẽ không còn xảy ra trong tương lai vì những nguy hiểm tiềm ẩn mà tôi trình bày bên dưới:
Tôi và anh trao đổi, nói chuyện và anh cũng mở lòng chia sẻ là anh đang trong quá trình chuyển đổi mã nguồn website từ nguồn đóng sang nguồn mở, như mọi lần thì tôi cũng đều giúp anh pentest và chỉ ra những điểm yếu mà anh ấy đang mắc phải để khắc phục cho hệ thống an toàn thêm, lần này cũng không ngoại lệ, sau khi kết thúc thì hôm sau tôi chủ động hẹn anh ấy và anh em có một buổi ăn trưa tuyệt vời.
Trong buổi ăn trưa tôi cũng có trình bày những hướng tấn công phổ biến mà các hacker hay sử dụng từ webapp, đến hệ thống, những lỗ hổng nào ở tầng webapp phổ biến và mức độ nguy hiểm của nó,...và đi sâu xuống tầng hệ thống, kernel,...toàn những thông tin thực tế mà tôi đúc kết từ quá trình pentest của chính bản thân tôi khi gặp phải và cách xử lý ra sao?, khắc phục như thế nào?...Thú thật là đến thời điểm hiện tại trong bữa ăn trưa thì tôi vẫn chưa hề đụng được vào hệ thống mới mà anh ấy vừa xây dựng.
Trong bữa trưa, ngoài trình bày và chia sẻ thì tôi cũng có "hỏi thăm" thêm những thông tin quản trị của hệ thống đó gồm những ai, họ làm gì và thông tin ra sao, để tôi có thêm chút cơ hội trong quá trình tấn công sau này tuy nhiên những thông tin này vẫn chỉ dừng lại ở mức để tham khảo và vẫn chưa có thêm bất kỳ info nào giúp tôi có thể leo cao hơn vào hệ thống của anh ấy cả, tôi vẫn chưa từ bỏ, sau khi kết thúc bữa trưa, tôi và anh chia tay nhau, trên đoạn đường ngắn ngủi thì tôi cũng có gợi thêm vài điều để củng cố niềm tin và đẩy anh ấy tới suy nghĩ quyết định sẽ mở một tài khoản cho tôi truy cập vào hệ thống của anh ấy, thật tuyệt vời phải không các bạn?
Tuy nhiên với quyền của tài khoản tôi đang nắm giữ thì chỉ đủ để nắm rõ hơn thông tin về các thành viên admin đang quản trị hệ thống đó và tài khoản của tôi vẫn không làm gì được hơn, và
lúc này tôi quyết định chơi bài ngửa.Tôi nêu hẳn ra những điểm nguy hiểm của một tài khoản full quyền sẽ làm được những gì, đi xa đến đâu, ảnh hưởng như thế nào và thuyết phục anh ấy gán full quyền cho tài khoản mà tôi đang giữ để giúp anh kiểm tra ở tầng cao hơn vì có khi có người quản trị mắc sai lầm ở tầng này, vì tin tưởng tôi nên anh đã thực hiện việc này và hoàn toàn không nghi ngờ gì về tôi cả, vốn dĩ trước giờ tôi cũng toàn giúp anh và chưa hề phá phách gì nên niềm tin của anh đối với tôi là rất lớn, điều này đã quyết định sự thành công của toàn bộ quá trình tấn công của tôi với phương pháp Social engineering này.
Tôi dừng quá trình tấn công ngay sau khi tài khoản của tôi có đủ quyền vì tôi đã thành công trong phương pháp Social engineering, bởi vì với tài khoản full quyền này thì tôi hoàn toàn có thể tải lên mã độc và chiếm toàn quyền server nhưng đây chỉ là minh họa cho một hình thức tấn công phi kỹ thuật và tôi muốn trình bày ra để anh ấy nhận ra được điểm yếu và sai lầm của anh ấy trong quá trình bảo vệ thành quả của mình đã tạo ra.
Và tôi tin chắc rằng sau bài này, thì anh ấy sẽ không còn share cho tôi tài khoản nào nữa :D, tức là trong tương lai có thể tôi sẽ gặp phải nhiều khó khăn hơn trong quá trình pentest hệ thống khác của anh ấy, nhưng nếu điều ấy xảy ra thì tôi hoàn toàn vui vẻ và mừng rỡ vì anh ấy đã nhận ra được lỗ hổng của hệ thống anh ấy đang quản lý chính là vấn đền về niềm tin về con người và bị tôi khai thác.
Kết bài: Cho dù bạn tin tưởng ai đó thật nhiều thì cũng luôn tỉnh táo, đừng giao thông tin nhạy cảm cho người đó, nhất là ... mấy tên IT có máu hắc hiếc thì càng phải giữ thật kỹ kẻo,... lên báo đấy :D.
Concobe
