Quá trình kiểm thử bằng cách sử dụng điện thoại
Bước 18: Gọi một đối tượng và đóng giả làm một đồng nghiệp và yêu cầu thông tin nhạy cảm.
Người kiểm thử sẽ gọi tới một đối tượng trong danh sách lựa chọn và giả mạo làm một đồng nghiệp của họ, yêu cầu họ cung cấp các thông tin nhạy cảm như mật khẩu, lịch làm việc của các người quản lý cấp cao, bản kế hoạch của các dự án đang hoặc là chuẩn bị thực hiện…
Bước 19: Gọi một mục tiêu người dùng và đóng giả làm một người dùng quan trọng.
Người kiểm thử sẽ gọi tới một đối tượng trong danh sách lựa chọn và giả mạo làm một người dùng quan trọng, yêu cầu họ cung cấp các thông tin nhạy cảm, bỏ qua các chính sách, thủ tục an toàn của tổ chức…
Bước 20: Gọi tới một mục tiêu và đóng giả làm hỗ trợ kỹ thuật và yêu cầu thông tin nhạy cảm.
Người kiểm thử gọi tới một đối tượng trong danh sách lựa chọn và giả mạo làm một người hỗ trợ kỹ thuật, yêu cầu họ cung cấp các thông tin nhạy cảm, thực hiện các hành động giúp xâm nhập vào hệ thống và truy cập tài nguyên của tổ chức…
Bước 21: Nhắc đến một người quan trọng trong tổ chức và thử thu thập dữ liệu.
Người kiểm thử gọi tới một đối tượng trong danh sách lựa chọn và nhắc tới một người quan trọng trong tổ chức như các quản lý cấp cao, yêu cầu họ cung cấp thông tin nhạy cảm, bỏ qua các chính sách, thủ tục an toàn trong tổ chức…
Bước 22: Gọi tới một mục tiêu và hối lộ họ để đổi lấy thông tin cá nhân.
Người kiểm thử gọi tới một mục tiêu và sử dụng tiền, các vật phẩm có giá trị, hứa hẹn các cơ hội đem đến lợi ích cho họ để đổi lấy các thông tin nhạy cảm hoặc yêu cầu họ giúp chúng ta thông qua được các chính sách, thủ tục kiểm soát an toàn trong tổ chức.
Bước 23: Đe dọa mục tiêu với một hậu quả khủng khiếp.
Người kiểm thử gọi tới một mục tiêu và sử dụng các lời lẽ đe dọa họ, ép họ phải gửi các thông tin cá nhân hoặc làm các việc trái với chính sách, thủ tục của tổ chức.
Bước 24: Sử dụng kỹ thuật tấn công lừa đảo ngược để moi móc thông tin của người dùng.
Sử dụng các kỹ thuật tấn công lừa đảo ngược để có thể đi vào trong hệ thống và thu thập các thông tin nhạy cảm hoặc hủy bỏ khả năng an ninh của các thiết bị an toàn.
Quá trình kiểm thử bằng cách gặp trực tiếp nạn nhân
Bước 25: Kết bạn với các nhân viên trong tổ chức và cố gắng trích xuất thông tin.
Trực tiếp gặp gỡ, làm thân và kết bạn với các nhân viên trong tổ chức, tiếp tục nói chuyện phiếm, tâm sự để trích xuất các thông tin nhạy cảm.
Bước 26: Cố gắng mạo danh trong một vai trò thuận lợi như là một kiểm toán viên ngoài của tổ chức.
Người kiểm thử mạo danh là một người đóng vai trò quan trọng đối với tổ chức như là kiểm toán viên, các nhân viên giám sát, nhân viên bán hàng đến ký hợp đồng mới, các đối tác làm ăn với các thương vụ quan trọng của tổ chức…
Bước 27: Cố gắng mạo danh trong một vai trò thuận lợi như là một chuyên gia kỹ thuật.
Việc mạo danh một người trong vai trò là chuyên gia kỹ thuật của tổ chức có thể giúp người kiểm thử xâm nhập vào hệ thống, lấy thông tin nhật ký của hệ thống...
Bước 28: Thử mặc đồng phục và đeo thẻ định danh giả hoặc sử dụng kỹ thuật PiggyBacking để đi vào trong.
Ở bước này, người kiểm thử mặc đồng phục và đeo thẻ định danh giả, hoặc sử dụng kỹ thuật PiggyBacking và yêu cầu giúp đỡ để được đi vào bên trong tổ chức.
Bước 29: Thử sử dụng các kỹ thuật nghe trộm và nhìn trộm.
Người kiểm thử sử dụng các kỹ thuật nghe trộm, nhìn trộm ở các cự ly xa, gần, đi ngang qua vị trí người đang làm việc để thu thập thông tin nhạy cảm…
Bước 30: Ghi lại tất cả những thứ được tìm ra vào trong một bản báo cáo chuyên môn.
Cuối cùng, người kiểm thử ghi lại tất cả những thông tin kiểm thử vào trong một bản báo cáo chuyên môn về kiểm thử tấn công lừa đảo để phân tích và đánh giá.
Đến đây kết thúc quá trình kiểm thử tấn công lừa đảo. Các tổ chức cần lưu lại tất cả các bản báo cáo chuyên môn này để sử dụng trong việc đưa giải pháp an toàn và phục vụ trong các lần kiểm thử sau này. Các tài liệu này phải được giữ bí mật, không được công bố ra ngoài phạm vi được cho phép.
Nguyễn Hà
11:00 | 12/07/2022
09:00 | 25/11/2022
15:00 | 14/12/2022
07:00 | 30/05/2022
14:00 | 24/02/2022
14:00 | 08/08/2022
09:00 | 24/11/2023
Bằng chứng không tiết lộ tri thức (Zero-Knowledge Proofs - ZKP) là một dạng kỹ thuật mật mã được công bố từ thập niên 90 của thế kỷ trước, công nghệ mật mã này cho phép xác minh tính xác thực của một phần thông tin mà không tiết lộ chính thông tin đó. Tuy nhiên, trong những năm gần đây ZKP mới được đưa vào ứng dụng nhiều trong hệ thống công nghệ thông tin. Bài viết này sẽ trình bày chi tiết về khái niệm, tính chất, cách thức phân loại và một số ứng dụng phổ biến của ZKP trong an toàn thông tin.
10:00 | 20/09/2023
ChatGPT và các mô hình ngôn ngữ lớn (LLM) tương tự đã làm tăng thêm độ phức tạp trong bối cảnh mối đe dọa trực tuyến ngày càng gia tăng. Tội phạm mạng không còn cần các kỹ năng mã hóa nâng cao để thực hiện gian lận và các cuộc tấn công gây thiệt hại khác chống lại các doanh nghiệp và khách hàng trực tuyến nhờ vào bot dưới dạng dịch vụ, residential proxy, CAPTCHA và các công cụ dễ tiếp cận khác. Giờ đây, ChatGPT, OpenAI và các LLM khác không chỉ đặt ra các vấn đề đạo đức bằng cách đào tạo các mô hình của họ về dữ liệu thu thập trên Internet mà LLM còn đang tác động tiêu cực đến lưu lượng truy cập web của doanh nghiệp, điều này có thể gây tổn hại lớn đến doanh nghiệp đó.
10:00 | 15/09/2023
Thư rác hay email spam là một vấn nạn lớn hiện nay, chúng đã xuất hiện từ rất lâu cùng với sự phát triển của Internet và không chỉ gây phiền nhiễu, tốn thời gian mà còn có thể chứa một số nội dung nguy hiểm. Ước tính có tới 94% phần mềm độc hại được phân phối dưới dạng email spam, một số nguy cơ tiềm ẩn khác bao gồm phần mềm gián điệp, lừa đảo và mã độc tống tiền. Trong bài viết này sẽ thông tin đến bạn đọc cách nhận biết thư rác và ngăn chặn thư rác không mong muốn.
09:00 | 07/06/2023
Công ty an ninh mạng Kaspersky đã phát hành một công cụ rà quét mã độc mới để phát hiện IPhone cũng như các thiết bị iOS khác có bị nhiễm phần mềm độc hại “Triangulation” trong chiến dịch tấn công APT (Advanced Persistent Threat) gần đây hay không.
Lược đồ chữ ký số dựa trên hàm băm là một trong những lược đồ chữ ký số kháng lượng tử đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) chuẩn hóa trong tiêu chuẩn đề cử FIPS 205 (Stateless Hash Based Digital Signature Standard) vào tháng 8/2023. Bài báo này sẽ trình bày tổng quan về sự phát triển của của lược đồ chữ ký số dựa trên hàm băm thông qua việc phân tích đặc trưng của các phiên bản điển hình của dòng lược đồ chữ ký số này.
09:00 | 01/04/2024
Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành phiên bản mới của hệ thống Malware Next-Gen có khả năng tự động phân tích các tệp độc hại tiềm ẩn, địa chỉ URL đáng ngờ và truy tìm mối đe dọa an ninh mạng. Phiên bản mới này cho phép người dùng gửi các mẫu phần mềm độc hại để CISA phân tích.
13:00 | 17/04/2024