HOD402 - Phần 4: Kỹ nghệ xã hội và an ninh vật lý

Đáp án đúng: "SMS phishing". SMS phishing, còn gọi là smishing (lừa đảo qua tin nhắn), là hình thức phishing gửi qua tin nhắn văn bản, dụ nạn nhân bấm liên kết và nhập thông tin nhạy cảm như tài khoản ngân hàng; tin báo trúng bitcoin kèm liên kết đúng là kịch bản này. "vishing" sai vì voice phishing (lừa đảo qua giọng nói) dùng cuộc gọi điện thoại, không phải tin nhắn có liên kết. "whaling" sai vì whaling nhắm vào nhân vật cấp cao như giám đốc điều hành, còn tình huống ở đây là tin nhắn đại trà gửi tới một nạn nhân bất kỳ. "watering hole" sai vì tấn công hố nước (watering hole) cài mã độc lên một trang web mà nhóm mục tiêu hay ghé rồi chờ họ tự truy cập, không gửi tin nhắn trực tiếp. Cách phòng là không bấm liên kết trong tin nhắn lạ và kiểm tra trực tiếp với ngân hàng qua kênh chính thức.

Đáp án đúng: "security guard". Piggybacking (đi nhờ, người có quyền chủ động mở cửa cho người lạ vào cùng) và tailgating (bám đuôi, lẻn theo sau người có quyền khi cửa còn mở) khai thác việc cửa chỉ kiểm tra thẻ chứ không kiểm tra số người đi qua; nhân viên bảo vệ đứng tại lối vào có thể quan sát, chặn lại và đòi từng người xuất trình quyền ra vào, nên ngăn trực tiếp hai kiểu xâm nhập này. "camera" chỉ ghi hình để phát hiện hoặc điều tra sau, không ngăn được người đã lẻn qua cửa. "“no trespassing” warnings" là biển cảnh báo mang tính răn đe, không có cơ chế cưỡng chế nào. "badge/card access" chính là cơ chế bị vượt qua: một người quẹt thẻ hợp lệ, cửa mở, và kẻ đi theo sau không cần thẻ.

Đáp án đúng: "Belief that something bad may occur". Trong social engineering (tấn công phi kỹ thuật), fear (nỗi sợ) là đòn tâm lý khiến nạn nhân tin rằng điều tồi tệ sắp xảy ra nếu không làm theo, ví dụ thông báo tài khoản sẽ bị khoá, bị phạt hay bị kiện, từ đó nạn nhân bỏ qua bước kiểm chứng. "Curiosity" là sự tò mò, một đòn khác dựa trên mong muốn biết điều bí ẩn, như chiếc USB bỏ quên có nhãn hấp dẫn, không phải nỗi sợ. "Anger" là sự tức giận, không phải cảm xúc mà phương pháp fear khai thác. "Urgency" là tính khẩn cấp, một nguyên tắc gây ảnh hưởng riêng thúc người nhận hành động ngay vì sắp hết thời gian; nó hay đi kèm nỗi sợ nhưng bản chất là áp lực thời gian chứ không phải niềm tin rằng chuyện xấu sẽ xảy ra.

Đáp án đúng: "SpoofCard". SpoofCard là ứng dụng trên iOS và Android cho phép giả mạo số gọi đến (caller ID spoofing), ghi âm cuộc gọi, đổi giọng và chèn tiếng ồn nền như tiếng văn phòng hay đường phố, nên thường được nhắc tới trong kỹ thuật xã hội qua điện thoại như vishing (lừa đảo bằng giọng nói) để màn dựng cớ thuyết phục hơn. "Nessus" sai vì Nessus là trình quét lỗ hổng cho máy chủ và thiết bị mạng, không liên quan gọi điện. "Asterisk" sai vì Asterisk là phần mềm tổng đài VoIP mã nguồn mở chạy trên máy chủ; nó có thể bị cấu hình để giả số gọi nhưng không phải ứng dụng di động có sẵn ghi âm và tạo tiếng ồn nền. "BeEF" sai vì BeEF (Browser Exploitation Framework) điều khiển trình duyệt của nạn nhân thông qua lỗ hổng XSS, không phải công cụ thoại.

Đáp án đúng: "Social engineering testing". Kiểm thử social engineering (kỹ nghệ xã hội) đánh giá yếu tố con người: người kiểm thử gửi email phishing (lừa đảo giả mạo) mô phỏng tới nhân viên để đo xem bao nhiêu người bấm liên kết, mở tệp đính kèm hay nhập thông tin đăng nhập, từ đó đề xuất đào tạo nhận thức. "Physical penetration testing" kiểm tra an ninh vật lý như cửa ra vào, thẻ từ, camera, bảo vệ, tức là thử xâm nhập trực tiếp vào tòa nhà. "Wireless network testing" đánh giá mạng không dây, chẳng hạn mã hóa Wi-Fi yếu, điểm truy cập giả hay cấu hình xác thực sai. "Application-based testing" tập trung vào lỗ hổng của phần mềm và ứng dụng web như lỗi tiêm mã hay xác thực kém, không nhắm vào hành vi của nhân viên trước email lừa đảo.

Đáp án đúng: "Whaling". Whaling (săn cá voi) là biến thể của spear phishing nhắm riêng vào nhân vật cấp cao như giám đốc điều hành, giám đốc tài chính, vì họ có quyền phê duyệt chuyển tiền và truy cập dữ liệu nhạy cảm; thư thường được soạn rất kỹ, giả dạng việc pháp lý hay đối tác quan trọng. "Phishing" sai vì đó là thuật ngữ chung chỉ lừa đảo gửi đại trà tới nhiều người, không chỉ định đối tượng cấp cao. "Spear phishing" sai vì spear phishing (lừa đảo nhắm mục tiêu) nhắm vào một cá nhân hay nhóm cụ thể bất kỳ; whaling là trường hợp riêng khi mục tiêu là lãnh đạo, nên đây là câu trả lời chính xác hơn. "Vishing" sai vì vishing là lừa đảo qua cuộc gọi thoại, phân loại theo kênh liên lạc chứ không theo đối tượng bị nhắm tới.

Đáp án đúng: "badge cloning". Badge cloning (sao chép thẻ ra vào) là việc tạo bản sao thẻ nhận dạng hoặc thẻ RFID của nhân viên; một bức ảnh rõ nét đăng trên mạng xã hội cho kẻ xấu thấy bố cục, logo, ảnh, mã vạch hay số thẻ để làm thẻ giả trông như thật, nên nhân viên cần tránh công khai thẻ của mình. "watering hole" là tấn công qua mạng: cài mã độc vào một trang web mà nhóm nạn nhân hay truy cập, không phải tấn công vật lý. "pivot" (xoay trục) là kỹ thuật hậu khai thác, dùng máy đã chiếm được làm bàn đạp sang mạng khác. "shoulder surfing" (nhìn trộm qua vai) là đứng gần để quan sát mật khẩu, mã PIN khi nạn nhân nhập, cần có mặt tại chỗ chứ không bắt nguồn từ ảnh đăng lên mạng.

Đáp án đúng: "BeEF". BeEF (Browser Exploitation Framework, khung khai thác trình duyệt) cung cấp một bảng điều khiển web; khi trình duyệt của nạn nhân chạy đoạn script hook được chèn qua lỗi XSS (cross-site scripting), trình duyệt đó kết nối về bảng điều khiển và người điều khiển có thể gửi lệnh tới nó. Hiểu cơ chế này giúp nhận ra vì sao phải mã hóa đầu ra và dùng Content Security Policy. "Asterisk" là phần mềm tổng đài điện thoại VoIP mã nguồn mở, không liên quan điều khiển nạn nhân XSS. "SET" (Social-Engineer Toolkit) dùng để dựng chiến dịch kỹ nghệ xã hội như email lừa đảo hay trang thu thông tin đăng nhập giả mạo, có thể kết hợp với các công cụ khác nhưng không phải bảng điều khiển trình duyệt bị hook. "Nikto" là máy quét lỗ hổng máy chủ web, tìm tệp nguy hiểm, cấu hình sai và phiên bản lỗi thời, không điều khiển trình duyệt của ai.

Đáp án đúng: "Vishing". Vishing là ghép của voice và phishing, tức lừa đảo qua cuộc gọi thoại: kẻ tấn công gọi điện, thường giả số hiển thị, mạo danh ngân hàng, bộ phận IT hay cơ quan chức năng để dụ nạn nhân tiết lộ mật khẩu, mã OTP hoặc làm theo chỉ dẫn. Phòng thủ là đào tạo nhận thức và quy trình gọi lại qua số đã biết. "Pharming" sai vì pharming chuyển hướng người dùng từ tên miền thật tới trang giả bằng cách đầu độc DNS hoặc sửa tệp hosts, không dùng cuộc gọi. "Whaling" sai vì whaling là phishing nhắm vào lãnh đạo cấp cao, phân loại theo đối tượng chứ không theo kênh thoại. "Tailgating" sai vì tailgating (bám đuôi) là kỹ thuật xã hội vật lý, đi theo người có thẻ để lọt qua cửa kiểm soát.

Đáp án đúng: "Shoulder surfing can be prevented by using special screen filters for computer displays.". Shoulder surfing (nhìn trộm qua vai) là quan sát màn hình hoặc bàn phím của người khác để đọc mật khẩu, mã PIN hay dữ liệu nhạy cảm; tấm lọc riêng tư cho màn hình thu hẹp góc nhìn nên người đứng bên cạnh không đọc được, đây là biện pháp phòng ngừa đúng. "In the tailgating attack, an unauthorized person tags along with an authorized person to gain entry to a restricted area with the person’s consent." sai vì tailgating (bám đuôi) xảy ra khi người được phép không hay biết, tức là không có sự đồng ý. "In the piggybacking attack, an unauthorized person tags along with an authorized person to gain entry to a restricted area without the person’s consent." sai vì piggybacking (cõng theo) là khi người được phép biết và đồng ý cho người kia đi cùng, ví dụ giữ cửa giúp. "Badge cloning attacks cannot be performed by software." sai vì sao chép thẻ RFID có thể thực hiện bằng đầu đọc kết hợp phần mềm đọc và ghi lại dữ liệu thẻ, không chỉ bằng thiết bị phần cứng chuyên dụng.

Đáp án đúng: "BeEF". BeEF (Browser Exploitation Framework) là khung kiểm thử tập trung vào trình duyệt: khi trang có lỗ hổng XSS (cross-site scripting) nạp script hook của BeEF, trình duyệt nạn nhân bị móc (hooked) vào máy chủ điều khiển và người kiểm thử có thể chạy module để thu thập thông tin trình duyệt, hiện hộp thoại giả hay dò mạng nội bộ phía sau nó. Phòng thủ là mã hoá đầu ra và Content Security Policy. "SET" sai vì Social-Engineer Toolkit dựng chiến dịch phishing, nhân bản trang đăng nhập hay payload qua USB, trọng tâm là kỹ thuật xã hội chứ không điều khiển trình duyệt đã dính XSS. "Metasploit" sai vì Metasploit là khung khai thác đa năng cho hệ điều hành và dịch vụ mạng; nó có thể phối hợp với BeEF nhưng không chuyên cho XSS. "Asterisk" sai vì Asterisk là tổng đài VoIP mã nguồn mở, không liên quan web.

Đáp án đúng: "SET". SET (Social-Engineer Toolkit) là bộ công cụ kiểm thử phi kỹ thuật mã nguồn mở; ngoài việc dựng trang lừa hay thư giả, nó có sẵn các payload tạo kết nối sau khi nạn nhân mở tệp hay liên kết, trong đó có Windows reverse VNC DLL (mở phiên điều khiển màn hình ngược về máy người kiểm thử) và reverse TCP shell, nên hỗ trợ hoạt động hậu khai thác. "Nikto" là trình quét máy chủ web tìm tệp nguy hiểm, cấu hình sai và phiên bản lỗi thời, không tạo shell. "Nessus" là trình quét lỗ hổng dùng để phát hiện và báo cáo lỗ hổng chứ không phải công cụ khai thác. "BeEF" (Browser Exploitation Framework) cũng dùng sau khai thác nhưng điều khiển trình duyệt bị móc qua JavaScript, không phải các payload VNC DLL hay reverse TCP shell của Windows như câu hỏi nêu.

Đáp án đúng: "USB Drop Key". USB drop (thả khóa USB) là kỹ thuật kỹ nghệ xã hội: kẻ tấn công cố ý để lại các ổ USB chứa mã độc ở bãi đỗ xe, sảnh, phòng họp, đánh vào sự tò mò để nạn nhân tự cắm vào máy công ty. Biện pháp phòng thủ gồm đào tạo nhận thức, tắt tự chạy và chặn thiết bị lưu trữ rời bằng chính sách. "Watering Hole" (tấn công hố nước) là cài mã độc vào trang web mà nhóm nạn nhân hay truy cập rồi chờ họ ghé vào, không dùng thiết bị vật lý. "Badge Cloning" là sao chép thẻ ra vào RFID hoặc NFC để giả danh nhân viên đi qua cửa kiểm soát. "Dumpster Diving" là lục thùng rác của tổ chức để tìm tài liệu, giấy ghi mật khẩu hay thiết bị bị vứt bỏ còn chứa dữ liệu, ngược chiều với việc để lại thiết bị cho nạn nhân nhặt.

Đáp án đúng: "social proof". Social proof (bằng chứng xã hội) là nguyên tắc ảnh hưởng khiến con người làm theo điều mà nhiều người khác, hoặc người họ ngưỡng mộ, đang làm; khi người nổi tiếng giới thiệu sản phẩm trên mạng xã hội, người theo dõi tin rằng sản phẩm đáng dùng vì có người được công nhận ủng hộ. Kẻ lừa đảo lợi dụng điều này bằng đánh giá giả hay tài khoản người nổi tiếng giả mạo. "fear" sai vì đe doạ tạo cảm giác sợ hãi, chẳng hạn báo tài khoản sắp bị khoá, để ép hành động gấp. "authority" sai vì quyền uy dựa vào việc giả danh người có quyền ra lệnh như sếp, cảnh sát hay bộ phận IT, còn người nổi tiếng không có quyền yêu cầu gì người theo dõi. "scarcity" sai vì khan hiếm dựa trên thông điệp số lượng có hạn hay sắp hết thời gian để thúc mua, không phải sự ủng hộ của người nổi tiếng.

Đáp án đúng: "Vishing". Vishing (voice phishing, lừa đảo qua giọng nói) là kiểu social engineering dùng cuộc gọi điện thoại, thường giả danh bộ phận IT, ngân hàng hay cấp trên, để dụ nạn nhân tiết lộ mật khẩu, mã OTP hay thông tin nhạy cảm; phòng thủ là xác minh lại qua một kênh độc lập và đào tạo nhận thức cho nhân viên. "Pharming" là chuyển hướng người dùng tới trang web giả bằng cách đầu độc DNS hoặc sửa tệp hosts, không cần cuộc gọi nào. "Shoulder surfing" là nhìn trộm qua vai để thấy mật khẩu, mã PIN khi nạn nhân nhập. "Dumpster diving" là lục thùng rác tìm tài liệu, giấy tờ, thiết bị bị vứt bỏ còn chứa thông tin.

Đáp án đúng: "To launch social engineering attacks". Social-Engineer Toolkit (SET) là khung mã nguồn mở viết bằng Python, dùng để mô phỏng các tấn công kỹ nghệ xã hội trong kiểm thử được cấp phép: email lừa đảo nhắm mục tiêu (spear phishing), trang web giả mạo thu thông tin đăng nhập, thiết bị lưu trữ lây nhiễm; kết quả giúp tổ chức đo mức nhận thức của nhân viên. "To simulate network firewalls" sai vì SET không mô phỏng hay cấu hình tường lửa; việc kiểm tra luật tường lửa thuộc về công cụ quét mạng. "To perform XSS vulnerability scans" là việc của máy quét ứng dụng web như OWASP ZAP hay Burp Suite, không phải mục đích của SET. "To detect viruses in USB drives" là chức năng của phần mềm chống mã độc; SET thậm chí còn có tính năng tạo thiết bị lưu trữ mang payload để thử phản ứng của nhân viên, ngược với việc phát hiện virus.

Đáp án đúng: "Asterisk". Asterisk là phần mềm tổng đài IP (IP PBX) mã nguồn mở dùng để quản lý hệ thống thoại VoIP; vì người quản trị tự cấu hình được thông tin số gọi đi, nó có thể bị lợi dụng để đặt caller ID (số hiển thị người gọi) giả, thường gặp trong vishing. "SpoofCard" sai vì đây là một dịch vụ thương mại chuyên đổi số hiển thị khi gọi, không phải công cụ quản lý hệ thống VoIP. "SpoofApp" sai vì đó là ứng dụng di động giả số người gọi, cũng chỉ là ứng dụng dịch vụ chứ không quản lý hệ thống VoIP. "Nikto" sai vì Nikto là công cụ quét lỗ hổng máy chủ web, không liên quan tới thoại. Phòng thủ là áp dụng chuẩn xác thực cuộc gọi như STIR/SHAKEN và không tin vào số hiển thị khi được yêu cầu cung cấp thông tin nhạy cảm.

Đáp án đúng: "Human element". Social engineering (kỹ nghệ xã hội) nhắm vào con người thay vì công nghệ: khai thác lòng tin, sự cả nể, nỗi sợ, tính tò mò hay áp lực thời gian để nạn nhân tự tiết lộ thông tin hoặc làm theo yêu cầu; vì vậy đào tạo nhận thức là lớp phòng thủ chính. "Firewalls" là thiết bị kiểm soát lưu lượng mạng; social engineering thường vượt qua chúng bằng cách lừa người bên trong chứ không tấn công bản thân tường lửa. "Encryption protocols" là giao thức mã hoá; điểm yếu của chúng bị khai thác bằng tấn công mật mã học chứ không phải bằng lừa người. "Server vulnerabilities" là lỗi phần mềm trên máy chủ, mục tiêu của khai thác kỹ thuật.