Tổng hợp các loại hình tấn công mạng và cách phòng ngừa

Trong thời đại số, các cuộc tấn công mạng ngày càng trở nên tinh vi và khó lường, đe dọa trực tiếp đến dữ liệu, hệ thống và hoạt động của doanh nghiệp. Từ phishing, ransomware, DDoS cho đến SQL Injection và malware, mỗi loại tấn công mạng đều có cách thức khai thác và mức độ nguy hiểm khác nhau.

Vậy các loại tấn công mạng phổ biến hiện nay là gì và làm thế nào để phòng tránh? Trong bài viết này, hãy cùng tìm hiểu các loại cyber attack thường gặp, cách chúng hoạt động và những chiến lược bảo mật hiệu quả giúp cá nhân, doanh nghiệp giảm thiểu nguy cơ trở thành nạn nhân của các mối đe dọa mạng.

Tấn công DoS và DDoS

Tấn công từ chối dịch vụ (DoS - Denial-of-Service) được thiết kế nhằm làm quá tải tài nguyên của một hệ thống đến mức hệ thống không thể phản hồi các yêu cầu dịch vụ hợp lệ. Tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial-of-Service) cũng nhằm mục đích làm cạn kiệt tài nguyên hệ thống.

Tuy nhiên, DDoS được thực hiện từ một số lượng lớn máy chủ đã bị nhiễm mã độc và nằm dưới sự kiểm soát của kẻ tấn công. Các cuộc tấn công này được gọi là “từ chối dịch vụ” vì website của nạn nhân không thể cung cấp dịch vụ cho những người muốn truy cập.

Trong một cuộc tấn công DoS, website mục tiêu bị ngập trong các yêu cầu không hợp lệ. Vì website phải phản hồi từng yêu cầu, tài nguyên hệ thống nhanh chóng bị tiêu hao bởi các phản hồi này. Điều đó khiến website không thể phục vụ người dùng như bình thường và thường dẫn đến việc website ngừng hoạt động hoàn toàn.

DoS và DDoS khác với các loại tấn công mạng khác, vốn cho phép hacker xâm nhập vào hệ thống hoặc gia tăng quyền truy cập mà chúng đang có. Với những kiểu tấn công đó, kẻ tấn công trực tiếp hưởng lợi từ hành động của mình.

Ngược lại, mục tiêu của các cuộc tấn công mạng DoS và DDoS đơn giản là làm gián đoạn khả năng cung cấp dịch vụ của hệ thống mục tiêu. Nếu kẻ tấn công được đối thủ cạnh tranh của doanh nghiệp thuê, chúng có thể thu được lợi ích tài chính từ hành động này.

DoS cũng có thể được sử dụng để tạo ra lỗ hổng cho một loại tấn công khác. Sau một cuộc tấn công DoS hoặc DDoS thành công, hệ thống thường phải ngừng hoạt động, khiến nó dễ bị tổn thương trước các cuộc tấn công khác.

Một cách phổ biến để ngăn chặn DoS là sử dụng tường lửa có khả năng phát hiện xem các yêu cầu gửi đến website có hợp lệ hay không. Những yêu cầu giả mạo sau đó có thể bị loại bỏ, cho phép lưu lượng truy cập bình thường hoạt động mà không bị gián đoạn.

Ngoài ra, việc hiểu cách các kiến trúc mạng khác nhau xử lý khả năng chống chịu lưu lượng, chẳng hạn như SD-WAN và MPLS, có thể giúp thiết kế các cơ chế bảo vệ mạnh mẽ hơn trước các cuộc tấn công lưu lượng lớn. Một ví dụ về cuộc tấn công Internet quy mô lớn kiểu này xảy ra vào tháng 2/2020 nhằm vào Amazon Web Services (AWS).

Tấn công MITM

Tấn công Man-in-the-Middle (MITM) là một dạng xâm phạm an ninh mạng cho phép kẻ tấn công nghe lén dữ liệu được trao đổi giữa hai người, hai mạng hoặc hai máy tính. Nó được gọi là “Man-in-the-Middle” vì kẻ tấn công đứng ở “giữa”, hoặc chen vào giữa hai bên đang cố gắng liên lạc với nhau. Về bản chất, kẻ tấn công đang theo dõi quá trình tương tác giữa hai bên.

Trong một cuộc tấn công MITM, hai bên vẫn nghĩ rằng họ đang giao tiếp với nhau như bình thường. Điều họ không biết là kẻ tấn công có thể bí mật sửa đổi hoặc truy cập thông điệp trước khi nó đến đích. Một số cách bảo vệ cá nhân và tổ chức khỏi MITM là sử dụng mã hóa mạnh trên các điểm truy cập hoặc sử dụng mạng riêng ảo (VPN).

Tấn công Phishing

Tấn công phishing xảy ra khi kẻ xấu gửi email có vẻ như đến từ các nguồn đáng tin cậy và hợp pháp nhằm thu thập thông tin nhạy cảm của mục tiêu. Phishing kết hợp giữa kỹ thuật xã hội (social engineering) và công nghệ. Tên gọi này xuất phát từ việc kẻ tấn công giống như đang “câu cá” để tìm cách tiếp cận một khu vực bị hạn chế bằng “mồi câu” là một người gửi có vẻ đáng tin cậy.

Để thực hiện cuộc tấn công, kẻ xấu có thể gửi một liên kết dẫn người dùng đến website giả mạo, sau đó lừa họ tải xuống mã độc như virus hoặc cung cấp thông tin cá nhân. Trong nhiều trường hợp, nạn nhân có thể không nhận ra mình đã bị xâm phạm, cho phép kẻ tấn công tiếp tục nhắm đến những người khác trong cùng tổ chức mà không bị nghi ngờ.

Bạn có thể ngăn chặn phishing bằng cách cẩn trọng với những email mình mở và các liên kết mình nhấp vào. Hãy chú ý kỹ đến phần header của email và không nhấp vào bất kỳ nội dung nào có vẻ đáng ngờ. Kiểm tra các thông số “Reply-to” và “Return-path”. Chúng cần liên kết đến cùng một tên miền được hiển thị trong email.

Tấn công Whale Phishing

Whale phishing được đặt tên như vậy vì nhắm đến những “con cá lớn” hay “cá voi” trong một tổ chức, thường là các lãnh đạo cấp cao thuộc C-suite hoặc những người chịu trách nhiệm điều hành tổ chức. Những cá nhân này thường sở hữu các thông tin có giá trị đối với kẻ tấn công, chẳng hạn như thông tin độc quyền về doanh nghiệp hoặc hoạt động kinh doanh.

Nếu một “con cá voi” bị nhắm mục tiêu tải xuống ransomware, họ có nhiều khả năng trả tiền chuộc để ngăn thông tin về cuộc tấn công thành công bị phát tán, gây ảnh hưởng đến danh tiếng cá nhân hoặc tổ chức. Có thể phòng tránh whale phishing bằng những biện pháp tương tự phishing thông thường, chẳng hạn như kiểm tra cẩn thận email, tệp đính kèm và liên kết, đồng thời chú ý đến các địa chỉ hoặc thông số đáng ngờ.

Tấn công Spear Phishing

Spear phishing là một dạng tấn công phishing có mục tiêu cụ thể. Kẻ tấn công dành thời gian nghiên cứu đối tượng rồi soạn những thông điệp có khả năng liên quan trực tiếp đến người nhận. Kiểu tấn công này được gọi là “spear” phishing vì kẻ tấn công tập trung chính xác vào một mục tiêu cụ thể. Thông điệp thường trông rất hợp pháp, khiến spear phishing khó bị phát hiện.

Spear phishing thường sử dụng kỹ thuật giả mạo email, trong đó thông tin ở trường “From” bị làm giả để khiến email có vẻ đến từ một người gửi khác. Đó có thể là người mà nạn nhân tin tưởng, chẳng hạn một người trong mạng lưới quan hệ, bạn thân hoặc đối tác kinh doanh.

Kẻ tấn công cũng có thể sử dụng kỹ thuật sao chép website (website cloning) để khiến thông tin liên lạc có vẻ hợp pháp. Với website cloning, kẻ tấn công sao chép một website hợp pháp nhằm tạo cảm giác an toàn cho nạn nhân. Khi nghĩ rằng website là thật, mục tiêu sẽ thoải mái nhập thông tin cá nhân.

Tương tự phishing thông thường, có thể ngăn chặn spear phishing bằng cách kiểm tra cẩn thận thông tin trong tất cả các trường của email và đảm bảo người dùng không nhấp vào bất kỳ liên kết nào nếu chưa xác minh được đích đến là hợp pháp.

Ransomware

Với ransomware, hệ thống của nạn nhân bị giữ làm “con tin” cho đến khi họ đồng ý trả tiền chuộc cho kẻ tấn công. Sau khi nhận được tiền, kẻ tấn công cung cấp hướng dẫn để nạn nhân lấy lại quyền kiểm soát máy tính. Tên gọi “ransomware” xuất phát từ việc loại mã độc này yêu cầu nạn nhân trả tiền chuộc.

Trong một cuộc tấn công ransomware, mục tiêu có thể tải mã độc từ website hoặc thông qua tệp đính kèm email. Mã độc được thiết kế để khai thác những lỗ hổng chưa được nhà sản xuất hệ thống hoặc đội ngũ CNTT xử lý. Sau đó, ransomware mã hóa máy trạm của nạn nhân.

Đôi khi ransomware có thể được sử dụng để tấn công nhiều đối tượng bằng cách ngăn quyền truy cập vào nhiều máy tính hoặc một máy chủ trung tâm quan trọng đối với hoạt động kinh doanh.

Việc ảnh hưởng đến nhiều máy tính thường được thực hiện bằng cách trì hoãn quá trình mã hóa trong nhiều ngày hoặc thậm chí nhiều tuần sau khi mã độc xâm nhập ban đầu. Mã độc có thể gửi các tệp AUTORUN từ hệ thống này sang hệ thống khác thông qua mạng nội bộ hoặc ổ USB được kết nối với nhiều máy tính. Sau đó, khi kẻ tấn công kích hoạt quá trình mã hóa, tất cả hệ thống bị nhiễm có thể bị mã hóa đồng thời.

Trong một số trường hợp, tác giả ransomware thiết kế mã độc để né tránh phần mềm diệt virus truyền thống. Vì vậy, người dùng cần cảnh giác với những website truy cập và các liên kết mình nhấp vào. Bạn cũng có thể ngăn chặn nhiều cuộc tấn công ransomware bằng cách sử dụng tường lửa thế hệ mới (NGFW) có khả năng kiểm tra sâu các gói dữ liệu bằng trí tuệ nhân tạo (AI) để tìm kiếm những đặc điểm đặc trưng của ransomware.

Tấn công mật khẩu

Mật khẩu là phương thức xác thực quyền truy cập phổ biến nhất đối với hầu hết mọi người. Vì vậy, tìm ra mật khẩu của mục tiêu luôn là một lựa chọn hấp dẫn đối với hacker. Có nhiều cách khác nhau để thực hiện việc này.

Thông thường, mọi người lưu bản sao mật khẩu trên giấy hoặc giấy ghi chú đặt quanh bàn làm việc. Kẻ tấn công có thể tự tìm thấy mật khẩu hoặc trả tiền cho người bên trong tổ chức để lấy thông tin này.

Kẻ tấn công cũng có thể cố gắng chặn dữ liệu truyền qua mạng để lấy những mật khẩu không được mã hóa. Chúng cũng có thể sử dụng kỹ thuật xã hội, thuyết phục nạn nhân nhập mật khẩu để giải quyết một vấn đề có vẻ “quan trọng”. Trong những trường hợp khác, kẻ tấn công có thể đơn giản đoán mật khẩu của người dùng, đặc biệt nếu đó là mật khẩu mặc định hoặc dễ nhớ như “1234567”.

Hacker cũng thường sử dụng phương pháp brute-force để đoán mật khẩu. Kiểu tấn công này sử dụng những thông tin cơ bản về cá nhân hoặc chức vụ của họ để thử đoán mật khẩu. Ví dụ, tên, ngày sinh, ngày kỷ niệm hoặc các thông tin cá nhân dễ tìm khác có thể được kết hợp theo nhiều cách để giải mã mật khẩu.

Thông tin người dùng đăng tải trên mạng xã hội cũng có thể bị tận dụng. Sở thích, thú vui, tên thú cưng hoặc tên con đôi khi được sử dụng để tạo mật khẩu, khiến chúng tương đối dễ đoán đối với kẻ tấn công brute-force.

Hacker cũng có thể sử dụng tấn công từ điển để tìm mật khẩu. Đây là kỹ thuật sử dụng những từ và cụm từ phổ biến, chẳng hạn các từ có trong từ điển, để thử đoán mật khẩu của mục tiêu.

Một cách hiệu quả để ngăn chặn brute-force và dictionary attack là thiết lập chính sách khóa tài khoản. Chính sách này sẽ tự động khóa quyền truy cập vào thiết bị, website hoặc ứng dụng sau một số lần đăng nhập thất bại nhất định. Khi đó, kẻ tấn công chỉ có một số lần thử giới hạn trước khi bị chặn.

Nếu tài khoản của bạn bị khóa do có quá nhiều lần đăng nhập thất bại, bạn nên thay đổi mật khẩu.

Nếu kẻ tấn công liên tục sử dụng brute-force hoặc dictionary attack để đoán mật khẩu, chúng có thể ghi nhớ những mật khẩu đã thử nhưng không thành công. Ví dụ, nếu mật khẩu của bạn là họ + năm sinh và hacker thử năm sinh + họ ở lần cuối, chúng có thể thử lại biến thể đó trong lần tiếp theo và đoán đúng.

Tấn công SQL Injection

SQL Injection (Structured Query Language Injection) là một phương pháp phổ biến nhằm khai thác các website phụ thuộc vào cơ sở dữ liệu để cung cấp dịch vụ cho người dùng. Client là máy tính nhận thông tin từ server, còn cuộc tấn công SQL sử dụng một truy vấn SQL được gửi từ client đến cơ sở dữ liệu trên server.

Lệnh độc hại được chèn hoặc “inject” vào một vùng dữ liệu thay cho nội dung vốn thường xuất hiện ở đó, chẳng hạn mật khẩu hoặc thông tin đăng nhập. Máy chủ chứa cơ sở dữ liệu sau đó thực thi lệnh và hệ thống bị xâm nhập.

Nếu SQL Injection thành công, nhiều hậu quả có thể xảy ra, bao gồm làm lộ dữ liệu nhạy cảm hoặc sửa đổi, xóa dữ liệu quan trọng. Kẻ tấn công cũng có thể thực hiện các thao tác quản trị như lệnh tắt máy chủ, làm gián đoạn hoạt động của cơ sở dữ liệu.

Để bảo vệ khỏi SQL Injection, hãy áp dụng mô hình đặc quyền tối thiểu (least privilege). Với kiến trúc này, chỉ những người thực sự cần truy cập cơ sở dữ liệu quan trọng mới được cấp quyền.

Ngay cả khi một người dùng có quyền lực hoặc vị trí cao trong tổ chức, họ vẫn có thể không được phép truy cập một số khu vực cụ thể của mạng nếu công việc không yêu cầu.

Ví dụ, CEO có thể bị hạn chế quyền truy cập vào một số khu vực mạng dù họ có quyền biết thông tin bên trong. Chính sách đặc quyền tối thiểu không chỉ ngăn chặn kẻ xấu truy cập các khu vực nhạy cảm mà còn hạn chế rủi ro do người dùng hợp pháp vô tình làm lộ thông tin đăng nhập hoặc để máy trạm hoạt động khi rời khỏi máy tính.

Tấn công URL Interpretation

Với URL Interpretation, kẻ tấn công thay đổi hoặc tạo ra các địa chỉ URL nhất định để giành quyền truy cập vào dữ liệu cá nhân và dữ liệu công việc của mục tiêu. Kiểu tấn công này còn được gọi là URL Poisoning.

Tên gọi “URL Interpretation” xuất phát từ việc kẻ tấn công biết thứ tự mà thông tin URL của một trang web cần được nhập. Sau đó, chúng “diễn giải” cú pháp này để tìm cách truy cập vào những khu vực vốn không được cấp quyền.

Để thực hiện tấn công URL Interpretation, hacker có thể đoán các URL giúp chúng có được quyền quản trị website hoặc truy cập phần backend để xâm nhập tài khoản người dùng. Khi truy cập được trang mong muốn, chúng có thể thao túng website hoặc lấy thông tin nhạy cảm của người sử dụng.

Ví dụ, nếu hacker muốn truy cập khu vực quản trị của một website, chúng có thể thử thêm “/admin” vào cuối URL để tìm trang đăng nhập quản trị. Trong một số trường hợp, tên người dùng và mật khẩu quản trị mặc định có thể rất dễ đoán. Kẻ tấn công cũng có thể đã biết hoặc thu hẹp được mật khẩu quản trị xuống một vài khả năng, sau đó thử từng mật khẩu cho đến khi thành công.

Để ngăn chặn URL Interpretation, hãy sử dụng phương thức xác thực an toàn cho mọi khu vực nhạy cảm của website. Điều này có thể bao gồm xác thực đa yếu tố (MFA) hoặc sử dụng mật khẩu mạnh gồm các ký tự có vẻ ngẫu nhiên.

DNS Spoofing

Với DNS Spoofing, hacker thay đổi bản ghi DNS để chuyển hướng lưu lượng truy cập đến một website giả mạo. Khi truy cập website gian lận, nạn nhân có thể nhập thông tin nhạy cảm để hacker sử dụng hoặc bán.

Hacker cũng có thể tạo một website chất lượng kém chứa nội dung xúc phạm hoặc gây tranh cãi nhằm làm xấu hình ảnh của một công ty đối thủ.

Trong một cuộc tấn công DNS Spoofing, kẻ tấn công lợi dụng việc người dùng tin rằng website họ đang truy cập là hợp pháp. Điều này cho phép kẻ tấn công thực hiện hành vi phạm pháp dưới danh nghĩa một công ty vô tội, ít nhất là từ góc nhìn của người truy cập.

Để ngăn chặn DNS Spoofing, hãy đảm bảo máy chủ DNS luôn được cập nhật. Kẻ tấn công thường tìm cách khai thác các lỗ hổng trong máy chủ DNS, trong khi những phiên bản phần mềm mới nhất thường chứa các bản vá giúp khắc phục những lỗ hổng đã biết.