Quy Trình Tấn Công Thử Nghiệm
Khác với hacker thông thường những ethical hacker tấn công hệ thống để đánh giá tính bảo mật thông tin. Vì vậy khi thực hiện công việc penetration test hay security audit phải tuân theo quy trình chặt chẽ, cần chú ý điến tác động mà việc thử nghiệm tấn công. Khi thực hiện công việc các ethical cần đặc biệt chú ý nhu cầu và ý kiến của người sử dụng.
Sau đây là các bước hướng dẫn trong quá trình kiểm định bảo mật hệ thống :
- Trao đổi với client (người sử dụng cuối) để thảo luận về tính cần thiết của việc thử nghiệm và biện pháp xử lý sự cố có thể gặp trong quá trình thực hiện.
- Chuẩn bị văn bản lấy chữ kí xác nhận của người dùng gọi là nondisclosure agreement
(NDA) trước khi thực hiện công việc nhằm bảo đảm tính hợp lệ của việc tấn. - Thành lập nhóm làm việc gồm các ethical hacker và lên kế hoạch thực hiện với thời gian cụ thể.
- Thực hiện kiểm định theo quy trình đề ra.
- Phân tích kết quả của quá trình kiểm tra và chuẩn bị báo cáo.
- Trình bày báo cáo với khách hàng
Tạo Bản Kế Hoạch Đánh Giá Bảo Mật
- Preparation – Đây là giai đọan chuẩn bị, trong bước này các bản hợp đồng sẽ
được kí kết nhằm bảo vệ chính bản thân các Ethical Hacker khi có những rắc rối xảy ra ví dụ như vi phạm vào các điều luật an tòan thông tin, ngòai ra bản hợp
đồng còn quy định những phạm vi hay tài nguyên mà Ethical hacker được quyền khảo sát và tấn công thử nghiệm. - Conduct – Trong giai đọan này các bản kế họach về quá trình khảo sát, báo cáo mang tính chất kỹ thuật sẽ được trình bày và tiến hành quá trình ethical hacking.
- Conclusion – Cuối cùng là những kết luận về tình trạng an toàn của hệ thống, các lỗi bảo mật nào có thể bị khai thác và giải pháp khắc phục như thế nào….
Các Kiểu Tấn Công Của Ethical Hacker
Ethical hacker có thể sử dụng nhiều phương pháp khác nhau để đánh giá tính an toàn của hệ thống thông qua việc tấn công thử nghiệm, những phương pháp này bao gồm :
- Remote network – Giả lập các cuộc tấn công từ xa hay từ hệ thống internet.
- Remote dial-up network – Tiến hành các cuộc tấn công vào hệ thống modem hay các kết nối dial-up của hệ thống như máy chủ VPN
- Local network – Giả làm nhân viên của tổ chức và thực hiện các cuộc tấn công
lên các tài nguyên để tìm ra các điểm sơ hở trong chính sách bảo mật hay điểm nhạy cảm của hệ thống. - Stolen equipment – Giả lập mộttình huống đánh cắp tài nguyên để dự đóan các thiệt hại và tác động của nó lên quá trình kinh doanh. Đã có tình huống một sân bay của Úc bị hacker giả làm nhân viên bảo trì đánh cắp ổ cứng làm hệ thống điều khiển và vận hành bị tâ liệt trong vòng 2 giờ.
- Social engineering – Quá trình này dùng để kiểm tra sự hiểu biết của người dùng và các kiến thức về an tòan thông tin, phòng chống bị các đối tượng xấu giả mạo,
đánh lừa nhằm lất cắp thông tin quan trọng. - Physical entry – Trong mô hình này các ethical hacker sẽ tiến hành tấnc ông trực tiếp và cáo thành phần vật lý của hệ thống như các máy chủ, hệ thống lưu điện v.v nhằm kiểm tra xem các tài nguyênnày có được đặt dưới sự bảo vệ tốt hay không.
Các Mô Hình Thử Nghiệm
Tấn Công Có hai mô hình thử nghiệm tấn công hay penetratiom test (gọi tắt là pentest) là black box
tương ứng với tình huống tấn công hay pentest từ bên ngoài hệ thống. Ngược lại khi ethical hacker tiến hành tấn công mạng máy tính từ vị trí bên trong của tổ chức sẽ được gọi là white box.
Ethical Hacking Report
Kết quả của tiến trình penetration test hay kiểm điểm anh toàn thông tin được gọi là ethical hacking report, bản báo cáo này bao gồm thông tin chi tiết các hoạt động tấn công thử nghiệm, mô hình tấn công và các phương pháp đã sử dụng, nội dung được so sánh tương ứng với từng giai đoạn trong Conduct Security Evaluation. Trong bản báo cáo này các lổ hỗng cần được mô tả chi tiết kèm theo những hướng dẫn hay khuyến nghị về
phương pháp phòng chống. Do tính chất quan trọng nên những bản báo cáo quá trình tấn công thử nghiệm cần được gởi bằng định dạng hard-copy nhằm bảo đảm an toàn.
Thông tin lỗi kèm theo phải được giữ bí mật nhằm tránh bị kẻ xấu lợi dụng tấn công, khai thác nếu không những tài liệu này sẽ trở nên phản tác dụng