Quản lý Xã hội số và Nghị định 53 hướng dẫn thi hành một số điều của Luật An ninh mạng

VSEC - BLOG Xu hướng thế giới mạng

Nghị định 53/2022/NĐ-CP hướng dẫn thi hành một số điều của Luật an ninh mạng sẽ có hiệu lực vào ngày 1/10 tới đây. Với sự phát triển của công nghệ, đặc biệt là hạ tầng công nghệ kết nối trong thế giới không biên giới đây là những quy định cần thiết mà các chuyên gia VSEC sẽ đưa ra những chia sẻ sau đây dưới góc nhìn của đơn vị cung cấp dịch vụ an ninh mạng.

Phỏng vấn Ông Trương Đức Lượng – Chairman VSEC

Câu hỏi: Gần đây chúng tôi đã nhận được liên hệ của một số tờ báo nước ngoài cũng như cộng đồng, rất quan tâm đến Điều 26 liên quan tới quy định cho các doanh nghiệp nước ngoài cung cấp dịch vụ xuyên biên giới. Ở góc nhìn chuyên gia về an ninh mạng, Ông có thể chia sẻ quan điểm của mình về nội dung này?

Ông Trương Đức Lượng: Trong khuôn khổ luật, mình cho rằng việc có những quy định như thế này là cần thiết. Với sự phát triển của công nghệ mà đặc biệt là hạ tầng công nghệ đã khiến việc kết nối trở nên dễ dàng hơn bao giờ hết. Các ứng dụng công nghệ cũng đã tạo ra một xã hội song song với xã hội thực mà trong đó chúng ta sống hàng ngày. Nôm na có thể gọi đó là xã hội số. Xã hội số mang rất nhiều đặc tính chung của xã hội thực và cũng có nhiều nét riêng. Nét riêng cơ bản nhất là tính không biên giới, tính định danh. Xã hội số bên cạnh tính tích cực thì cũng kèm theo nhiều tiêu cực như xã hội thực và việc phát triển xã hội số cũng cần đi kèm theo là các biện pháp quản lý để giúp người dân số bớt bị tác động tiêu cực như hăm dọa, lừa đảo, thông tin giả,…

VSEC – Đơn vị cung cấp dịch vụ MSSP đầu tiên tại Việt Nam đạt chứng nhận quốc tế CREST cho hai dịch vụ Pentest và SOC 

Hầu hết các ứng dụng công nghệ, từ mạng Internet đến các ứng dụng mạng xã hội,… đều là bắt nguồn từ Phương Tây mang theo những triết lý, văn hóa phương Tây. Xã hội số vì thế có thể nói được xây dựng hầu hết từ phương Tây. Và trong quá trình phát triển, sự xung đột giữa xã hội thực và xã hội số cũng là điều dễ hiểu khi mà tính chất không biên giới có sự khác biệt với tính chất biên giới của xã hội thực. Trong nhiều sự khác biệt, chúng ta có thể dễ thấy như quan điểm về tự do, quan điểm về kinh doanh, quan điểm về thuế,…

Ông Trương Đức Lượng – Chairman VSEC. 

Dẫn dắt vậy để đi đến nội dung điều 26 của Nghị định, trong đó đưa ra các điều khoản định nghĩa về loại hình doanh nghiệp/kinh doanh sẽ bị điều chỉnh bởi luật. Đó là các doanh nghiệp thuộc mảng: truyền thông (mạng xã hội), tài chính (cổng thanh toán), thương mại (chợ, sàn điện tử). Quản lý xã hội thực và xã hội số thì theo mình xã hội thực vẫn cần được ưu tiên, sự cố trên xã hội số có thể tạo ra nhiều thiệt hại trong xã hội thực. Điều này đã được chứng minh qua nhiều ví dụ qua phương tiện truyền thông. Do đặc tính không biên giới nên việc tạo ra một xã hội số có thể bắt nguồn từ bất kỳ đâu trên thế giới. Vì thế việc quản lý xã hội số sẽ khó đạt được hiệu quả nếu không có cách thức liên kết thực giữa nhà quản lý và đơn vị tạo ra xã hội số.

Hiện tại, điều 26 đang đưa ra các cách thức gồm có: Lưu trữ dữ liệu định danh tại Việt Nam và Lập văn phòng/chi nhánh tại Việt Nam. Tương lai có thể có những biện pháp khác còn hiện tại thì mình thấy hai công cụ này đủ để bắt đầu. Theo mình có các lý do sau. Thứ nhất là, các giao dịch điện tử và do đặc tính của công nghệ tính định danh thường là yếu, nên việc yêu cầu chi tiết các thông tin cần lưu trữ sẽ giúp cho tính chất khả thi trong thực thi quản lý khi xảy ra sự cố. Thứ hai là luật ra đời từ 2018 và đến này sau 4 năm thì các doanh nghiệp tại Việt nam cũng có sự trưởng thành nhất định để đáp ứng các yêu cầu kỹ thuật về lưu trữ hiện đại. Thứ 3 là trong quản lý thì tính chính danh quan trọng, và khi có những người có thẩm quyền đủ để làm việc và hiện diện tại Việt Nam thì cũng hiệu quả hơn nhiều trong công việc phối hợp, thông tin quản lý hoặc xử lý các sự cố. Vì thế nên việc có văn phòng hoặc chi nhánh của các công ty “xã hội ảo” tại Việt nam cũng có tác dụng lớn đối với các nhà quản lý.

Luật đưa ra thường sẽ mất thời gian đi vào thực tế và chỉnh sửa bổ sung cho phù hợp, mình hi vọng luật sẽ là công cụ tốt để xã hội ảo trở nên lành mạnh và tích cực hơn, đem lại giá trị tốt đẹp cho xã hội thực

Xin cảm ơn Ông Trương Đức Lượng,

 

Tìm hiểu thêm về Nghị định 53/2022/NĐ-CP tại đây

Nguồn: VSEC

Việt Nam xếp thứ 8 trong Top10 cường quốc về an ninh mạng 2022

VSEC - BLOG Xu hướng thế giới mạng

Theo báo cáo National Cyber Power Index 2022*, Việt Nam đã chính thức có mặt trong top 10 quốc gia có năng lực An toàn thông tin cao nhất thế giới, đây là một bước nhảy ngoạn mục từ vị trí thứ 20 (năm 2020) lên vị trí thứ 8 (năm 2022).

Bảng xếp hạng Top10 các quốc gia dẫn đầu về năng lực an toàn thông tin 2022

Đáng chú ý, chỉ số intent (nói về mức độ quan tâm và đầu tư cho An ninh mạng) của Việt Nam cũng thăng hạng từ vị trí 16 lên vị trí 03 thế giới. Đây là tín hiệu tích cực trong việc nâng cao ý thức và năng lực đảm bảo ATTT của nhà nước và cộng đồng ATTT trong nước.

Chia sẻ về Báo cáo này, ông Phillip Hùng Cao – Kiến trúc sư giải pháp Công nghệ, Chiến lược gia về Zero Trust đã nhận định “Việt Nam có mặt ở vị trí thứ 8 trong báo cáo NCPI 2022 cho thấy rằng chúng ta đang đi đúng hướng trong việc tích cực tạo ra các sân chơi và cộng đồng an toàn thông tin đa dạng cho các lứa tuổi và tất cả đều đang cùng nhau phát triển. Chúng ta nhất định phải duy trì và phát triển tư duy mở này cho tương lai”.

*Báo cáo National Cyber Power Index (NCPI) được thực hiện bởi trung tâm Belfer Center của trường HARVARD Kennedy School, phát hành lần đầu tiên đưa ra vào năm 2020. Chia sẻ của Ông Eric Rosenback – Co-Didector, Belfer Center về mục tiêu của dự án là trở thành một nơi nghiên cứu hàng đầu và nghiêm ngặt để trả lời cho các vấn đề mà các lãnh đạo của các quốc gia đang phải đối mặt là các cuộc tấn công/xung đột trên không gian mạng. Thông qua các nghiên cứu này, các lãnh đạo có thể đưa ra các câu trả lời làm thế nào để tổ chức có thể huấn luyện, trang bị lực lượng quân sự để giành ưu thế trong trường hợp xảy ra các xung đột trên không gian mạng, làm thế nào để kiểm soát các leo thang hay tận dụng các công cụ pháp lý và chính sách để giảm thiệt hại khi xảy ra các tấn công, …

Báo cáo hiện sử dụng 8 chỉ số đo lường là Financial, Surveillance, Intelligence, Commerce, Defense, Information Control, Destructive và Norms. Tuy nhiên, báo cáo cũng có chỉ ra một số hạn chế về việc đo lường các yếu tố nhạy cảm như số lượng quân nhân, khả năng tình báo, …. Thứ hạng của Việt Nam được thăng hạng từ 20 lên 8 được đánh giá là do có sự gia tăng về các chỉ số như khả năng phòng thủ, thương mại, khả năng phá huỷ và các định mức.

Download Báo cáo tại đây

Theo National Cyber Power Index 2022

Top 6 vụ tấn công mạng của Hacker gây chấn động thế giới

VSEC - BLOG Xu hướng thế giới mạng

Đi cùng với xu hướng chuyển đổi số trên toàn cầu, số lượng các cuộc tấn công internet cũng đang tăng dần đều theo từng năm với mức độ nghiêm trọng và tinh vi ngày càng cao.

Cùng VSEC điểm qua một vài cuộc tấn công mạng lớn nhất thế giới đã được ghi nhận:

 

1. Adobe – Tập đoàn phần mềm nổi tiếng nước Mỹ bị hacker đánh cắp dữ liệu (Năm 2013)

Tháng 10/2013 Adobe đã công bố về việc hãng bị thất thoát dữ liệu bởi các Hacker. Có đến 2,9 triệu thông tin cá nhân từ các tài khoản bị đánh cắp từ mạng internet (bao gồm tên đăng nhập, các mật khẩu, tên thật, số thẻ tín dụng và ngày hết hạn). Ngay sau đó, tệp dữ liệu này được các tin tặc công khai trên internet với con số khủng lên đến 150 triệu (trong đó có 38 triệu tài khoản vẫn còn đang hoạt động).

 

2. Sự trả giá đắt của Sony vì phớt lờ cảnh báo từ Hacker

– Tháng 4/2011, Sony PlayStation Network (PSN) đã bị các tin tặc tổ chức cuộc tấn công mạng rầm rộ. Dịch vụ chơi game Multiplayer, mua trò chơi trực tuyến và các nội dung khác của Sony bị rò rỉ. Trong đó, có đến thông tin cá nhân của 77 triệu người chơi toàn cầu. Thậm chí, các thông tin ngân hàng của các tài khoản này còn bị các Hacker xâm phạm.

– Để xoa dịu người dùng, Sony đã phải chi 15 triệu đô la tiền bồi thường cho những người bị ảnh hưởng. Tuy nhiên, Sony đã quá xem thường các tin tặc ở thời điểm đó. Thậm chí khi các Hacker đã công bố lỗ hổng cơ sở dữ liệu của Sony nhưng họ đã bỏ ngoài tai lời cảnh báo này. Dữ liệu hoàn toàn không được mã hóa và dễ dàng tấn công bằng SQL Injection.

Thánh 11/2014 một công ty con của Sony là Sony Pictures Entertainment tiếp tục bị tấn công bởi một Virus mang tên “Guardians of Peace” và lần này thiệt hại còn lớn hơn trước khi có đến 100 terabyte (1TB bằng khoảng 1000 GB) bao gồm các dữ liệu quan trọng bị đánh cắp. Cuộc tấn công internet bởi các tin tặc lần này đã lấy đi nhiều kịch bản phim, email và dữ liệu cá nhân của 47.000 nhân viên. Nhiều nhân viên bị buộc phải nghỉ việc vì thiệt hại lần này.

 

3. Cơn ác mộng đối với hệ thống ngân hàng của Hàn Quốc (năm 2014)

Bài học lớn của chính phủ Hàn Quốc khi họ trải qua cuộc tấn công internet vào tháng 1 năm 2014. Dữ liệu lên đến 100 triệu thẻ tín dụng đã bị các tin tặc lấy đi. Ngoài ra, còn có thêm 20 triệu tài khoản ngân hàng cũng bị hack. Thêm vào đó, các ngân hàng tại Hàn Quốc đã phải chịu thiệt hại mất thêm 2 triệu khách hàng vì lo sợ thông tin cá nhân bị lộ đã đến ngân hàng để hủy thẻ hoặc đổi sang ngân hàng khác an toàn hơn.

 

4. Equifax – Một công ty tín dụng của Mỹ suýt chút nữa phá sản (Năm 2017)

 

Equifax – Một công ty tín dụng ở Mỹ, trong một báo cáo đã tiết lộ rằng họ đã phải xử lý khủng hoảng do bị tấn công internet trong nhiều tháng liên tục. Họ phát hiện cuộc tấn công vào tháng 7 năm 2017. Thông tin bị lộ được công bố bao gồm nhiều dữ liệu cá nhân tối mật của 143 triệu khách hàng tại Mỹ, Canada anh và gần 200.000 thông tin thẻ tín dụng.

Gần như không có cách nào để công ty có thể thu hồi lại thông tin bị rò rỉ sau cuộc tấn công internet năm 2017, lỗi này được xác định do lỗ hổng của Apache Struts đã được các tin tặc khai thác triệt để. Hậu quả để lại lớn đến mức các cổ đông lớn, giám đốc điều hành của công ty này đã phải bán gấp cổ phần để thoát thân khỏi cuộc khủng hoảng này.

 

5. Trang hẹn hò trực tuyến Tinder cũng từng là nạn nhân (Năm 2015)

Năm 2015, trang web hẹn hò trực tuyến đã bị tấn công internet nhằm mục đích đánh cắp toàn bộ thông tin của người dùng tại đây. Những thông tin quan trọng như tên thật, ngày tháng năm sinh, mã bưu chính, địa chỉ IP và cả sở thích tình dục… của 4 triệu tài khoản đã bị công khai trên một diễn đàn truy cập trên trình duyệt Tor.

Nhưng Tinder đã vẫn chưa tỉnh ngộ, năm 2016 họ đã phải chịu tổn thất nặng nề hơn và lần này hậu quả để lại gấp 100 lần. 400 triệu tài khoản đã bị đánh cắp thông tin nhạy cảm, 20 năm dữ liệu của ứng dụng hẹn hò khổng lồ chính thức bị công khai trên mạng. Những Hacker đã sử dụng phương thức Local File Inclusion ( một kỹ thuật đưa một tệp cục bộ chuyển thẳng về kho tài nguyên trực tuyến của tin tặc.

6. Khách hàng của Hotel Marriott bị lộ thông tin

Cuộc tấn công internet lần này được thực hiện bởi các tin tặc đã nhắm vào kho cơ sở dữ liệu lên đến 500 triệu khách của tập đoàn khách sạn Starwood thuộc sở hữu của Marriott (bao gồm cả tài khoản ngân hàng). Lỗ hổng bảo mật đã tồn tại từ năm 2014 nhưng đến tháng 9 năm 2018 đã chính thức phát sinh vấn đề từ đây. Đó là lần duy nhất tập đoàn Marriott dính phải vụ kiện bảo mật lớn nhất chưa từng có từ trước đến giờ.

Số lượng các cuộc tấn công internet vẫn đang không ngừng gia tăng theo từng năm. Để đảm bảo ATTT, cần xây dựng hệ thống an ninh mạng toàn diện, phòng thủ chắc chắn. Công ty cổ phần An ninh mạng Việt Nam – VSEC cung cấp cho bạn những phương án an toàn với chi phí tối ưu nhất trong việc đánh giá bảo mật, thiết lập giám sát, cảnh báo, xử lý sự cố ATTT cho doanh nghiệp.

Tấn công chuỗi cung ứng – Nỗi khiếp sợ của các doanh nghiệp

VSEC - BLOG Xu hướng thế giới mạng

Tấn công chuỗi cung ứng (supply chain attack) là một cuộc tấn công mạng nhắm vào một doanh nghiệp thông qua các nhà cung cấp (provider/vendor) của doanh nghiệp đó.

Thực trạng tấn công chuỗi cung ứng hiện nay

Một nghiên cứu mới cho biết chuỗi cung ứng như là một nam châm thu hút các cuộc tấn công mạng. Một con số khổng lồ 97% các công ty đã bị ảnh hưởng bởi các cuộc tấn chuỗi cung ứng và 93% trong số đó thừa nhận rằng họ đã bị tấn công trực tiếp vì những điểm yếu trong chuỗi cung ứng. Theo phân tích của nhà cung cấp bảo mật Sonatype, các cuộc tấn công chuỗi cung ứng phần mềm này đã tăng 650% trong năm 2021, phân tích của nhà cung cấp bảo mật Sonatype đã ghi nhận 12.000 sự cố trong năm 2021

Nick Weaver, nhà nghiên cứu bảo mật tại Viện Khoa học Máy tính quốc tế của UC Berkeley cho biết: “Các cuộc tấn công vào chuỗi cung ứng rất đáng sợ bởi vì chúng thực sự khó đối phó và vì chúng cho thấy rõ rằng bạn đang tin tưởng vào toàn bộ hệ sinh thái đó”.

Với một cuộc tấn công được tổ chức tốt, chúng có thể ảnh hưởng tới mạng lưới khách hàng của nhà cung cấp, đôi khi lên tới hàng trăm hoặc thậm chí hàng nghìn nạn nhân. Và bất kỳ công ty nào sản xuất phần mềm hoặc phần cứng cho các tổ chức khác đều có thể là mục tiêu tiềm năng của những kẻ tấn công.

 

 

Các cuộc tấn công chuỗi cung ứng điển hình

  • Cửa hậu SolarWinds SUNBURST: Vào ngày 13/12/2020, cửa hậu SUNBURST lần đầu tiên được tiết lộ. Cuộc tấn công đã sử dụng bộ quản lý và giám sát công nghệ thông tin SolarWinds Orion phổ biến để phát triển một bản cập nhật trojan độc hại. Chúng nhắm mục tiêu vào các dịch vụ chạy phần mềm Orion và Bộ Tài chính Thương mại Hoa Kỳ. Fortune 500, các công ty viễn thông, cơ quan chính phủ khác và các trường đại học cũng có khả năng bị ảnh hưởng. Mối quan tâm đặc biệt trong cửa hậu SUNBURST là các máy chủ chuyên dụng bị nhắm mục tiêu. Thông thường, các loại máy chủ này ít được giám sát thường xuyên. Việc ngăn chặn các cuộc tấn công như cửa hậu SUNBURST đòi hỏi sự giám sát thường xuyên ở tất cả các cấp của mạng công ty.
  • Khai thác lỗ hổng trong Log4j: Một cách thực hiện tấn công chuỗi cung ứng khác là khai thác các lỗ hổng phần mềm mã nguồn mở. Nổi bật trong đó là cuộc tấn công của tin tặc thực hiện khai thác lỗ hổng trong Log4j. Cuộc tấn công này cho phép tin tặc thực thi mã từ xa, bao gồm khả năng chiếm toàn quyền kiểm soát máy chủ. Log4j là một lỗ hổng zero-day được tin tặc phát hiện trước khi nhà cung cấp phần mềm biết về nó. Vì lỗ hổng này gắn với một phần của thư viện mã nguồn mở cho nên bất kỳ thiết bị nào trong số 3 tỷ thiết bị đang sử dụng Java đều có thể bị ảnh hưởng.
  • Tấn công phần mềm Kaseya VSA: Mục đích chính của việc sử dụng các cuộc tấn công chuỗi cung ứng là khai thác các lỗ hổng của nhà cung cấp và tấn công các khách hàng của họ. Đó chính xác là những gì nhóm tin tặc Revil sử dụng khi thực hiện tấn công Kaseya VSA – một nền tảng dịch vụ giám sát và quản lý từ xa dành cho các hệ thống công nghệ thông tin và khách hàng của họ. Bằng cách khai thác một lỗ hổng trong Kaseya VSA, REvil đã có thể gửi mã độc tống tiền tới 1.500 công ty là khách hàng của Kaseya VSA.

  • Cuộc tấn công Capital One và lỗi bảo mật cơ sở hạ tầng đám mây: Không phải tất cả các cuộc tấn công đều được các nhóm tin tặc tinh nhuệ thực hiện, Capital One (Mỹ) đã trải qua một vụ vi phạm dữ liệu lớn khi một nhân viên của Amazon tận dụng kiến ​​thức nội bộ về Dịch vụ Web Amazon (AWS) để đánh cắp 100 triệu USD từ ứng dụng thông qua thẻ tín dụng. Cuộc tấn công đã công khai những nguy cơ về việc sử dụng cơ sở hạ tầng đám mây.
  • Lỗ hổng trên thiết bị di động cá nhân và thiết bị của nhà cung cấp: Vào tháng 3/2022, công ty an ninh mạng Okta (Mỹ) tiết lộ rằng một trong những nhà cung cấp của họ (Sitel) đã gặp phải vi phạm thông qua một nhân viên cung cấp các chức năng dịch vụ khách hàng trên máy tính xách tay. Mặc dù mức độ vi phạm bị hạn chế, chỉ có hai hệ thống xác thực Okta bị truy cập trái phép và không có tài khoản khách hàng hoặc thay đổi cấu hình nào được thực hiện. Tuy nhiên, các thiết bị của nhà thầu phụ và mang các thiết bị cá nhân sẽ giống như mối nguy hiểm tiềm ẩn mà tin tặc sẽ nhắm đến để thông qua chúng thực hiện các cuộc tấn công lớn hơn.

 

Làm thế nào để hạn chế tối đa việc tấn công chuỗi cung ứng

Mọi doanh nghiệp, tổ chức trong chuỗi cung ứng phải hiểu rằng các cuộc tấn công mạng luôn luôn tiềm ẩn và có thể bị tấn công bất cứ lúc nào. Do đó, các DN cần phải nâng cao sức đề kháng cho hệ thống phòng thủ an ninh mạng của mình. Dưới đây là một giải pháp các DN, tổ chức có thể áp dụng nhằm bảo vệ và hạn chế tối đa những rủi ro an ninh mạng có thể xảy ra.

Chọn nhà cung cấp cẩn thận: Doanh nghiệp cần đảm bảo rằng các nhà cung cấp có các chính sách và hệ thống bảo mật được chứng nhận. Điều này nên được ghi rõ trong hợp đồng hợp tác giữa 2 bên.

Giám sát chặt chẽ các nhà cung cấp phần mềm: Bạn phải kiểm soát các nhà cung cấp phần mềm, đặc biệt là đối với phần mềm có quyền truy cập đặc quyền vào tài sản của công ty.

Giới hạn quyền truy cập dữ liệu với đối tác, nhà cung cấp: Số lượng người có quyền truy cập vào dữ liệu càng ít thì việc kiểm soát và giảm thiểu các mối đe dọa càng dễ dàng nên hãy giới hạn quyền truy cập với đối tác của bạn.

Bảo vệ điểm cuối của nhà phát triển: Triển khai nền tảng bảo vệ điểm cuối, công nghệ phát hiện và phản hồi điểm cuối nhằm phát hiện những hành vi bất thường để dễ dàng xử lý sự cố khi cần thiết.

Đào tạo nhân viên, nhà cung cấp và đối tác: Tiến hành các buổi đào tạo để giáo dục nhân viên về tất cả các khía cạnh bảo mật như chính sách công ty, bảo mật mật khẩu và các phương pháp tấn công kỹ thuật là điều quan trọng không nên bỏ qua.

Chuẩn bị sẵn sàng một kế hoạch dự phòng: Không có phương pháp nào chắc chắn 100% nên hãy đảm bảo rằng doanh nghiệp có một kế hoạch ứng phó sự cố để đối phó hiệu quả với một cuộc khủng hoảng tiềm ẩn.

Và Vsec luôn ở đây, để giúp cho môi trường công nghệ thông tin trở nên an toàn hơn, giữ cho niềm tin và sự trung thành của khách hàng vào dịch vụ của các bạn!

Theo: ictvietnam, computerweekly, helpnetsecurity, gep.com

Những thất bại lớn nhất của giới công nghệ trong năm 2021

VSEC - BLOG Xu hướng thế giới mạng

Bên cạnh các thành phần đáng chú ý, giới hạn nghệ thuật cũng đối mặt với nhiều lỗi và sự cố nghiêm trọng. Năm 2021 với sự đan xen giữa các công thức và hi vọng, trong hoàn cảnh dịch bệnh Covid-19 lan rộng trên toàn cầu, giới công nghệ cũng được thúc đẩy và đạt được một số thành tựu quan trọng. Tuy nhiên, hiện không sản phẩm lỗi hoặc sự cố nghiêm trọng. 

Ảnh: Getty Images.

Rò nổ dữ liệu tại Facebook và LinkedIn.

Vào tháng 4, các chuyên gia an ninh mạng cho biết thông tin cá nhân của 530 triệu người dùng Facebook. Trong đó bao gồm số điện thoại, ngày sinh và địa chỉ email bị đăng tải công khai. Cũng trong tháng 4, LinkedIn xác nhận thông tin công khai của khoảng 500 triệu hồ sơ người dùng đang bị hacker rao bán. Theo mạng xã hội này, dữ liệu được tổng hợp từ nhiều nguồn khác nhau, không phải là vụ tấn công nhằm vào Linkedln. Các vụ việc kể trên một lần nữa cho thấy khả năng dữ liệu người dùng tại những tập đoàn lớn dễ bị tổn thương như thế nào trước sự xâm nhập của tội phạm mạng.

Ảnh: Trend Micro

Mất hơn 4 triệu USD bởi ransomware.

Năm nay, số lượng các cuộc tấn công ransomware (đánh cắp dữ liệu đòi tiền chuộc) tăng mạnh, đặc biệt là những cuộc tấn công nhắm vào những doanh nghiệp và cơ sở hạ tầng quan trọng như ngành Năng lượng, Tài chính – Ngân hàng, Cơ quan nhà nước,… Vào tháng 5, tin tặc đã xâm nhập vào đơn vị vận hành đường ống dẫn nhiên liệu lớn nhất nước Mỹ, Colonial Pipeline, buộc công ty này phải tạm dừng hoạt động. CEO Pipeline thừa nhận phải trả cho những kẻ tấn công 4,4 triệu USD. Sang tháng 6, cơ quan điều tra của Mỹ tuyên bố thu hồi được số tiền mã hóa trị giá 2,3 triệu USD, một phần trong số tiền chuộc mà Colonial Pipeline đã trả cho tin tặc trong vụ tấn công chấn động này.

Ảnh: Shutterstock.

Internet toàn cầu ngừng hoạt động 2 lần.

Trong vòng chưa đầy 2 tuần, Internet toàn cầu đã xảy ra sự cố liên tiếp, khiến cho một phần lớn mạng lưới ngừng kết nối, ảnh hưởng nghiêm trọng đến các dịch vụ. Sự cố này cũng cho thấy mức độ phụ thuộc lớn của đời sống con người vào Internet. Đầu tiên, vào ngày 8/6, hàng loạt trang web bao gồm Reddit, CNN, Amazon… đã ngừng hoạt động do mạng phân phối nội dung Fastly gặp sự cố. Đến 17/6, vấn đề lặp lại với, Akamai Technologies – một công ty có chức năng tương tự – khiến nhiều website mất truy cập, gồm các trang web của Southwest Airlines, United Airlines, Commonwealth Bank of Australia và Hong Kong Stock Exchange. Sự việc được phát hiện trong vòng một phút và kéo dài chưa đến một giờ đối với hầu hết trang web bị ảnh hưởng. Tuy nhiên, đây không phải là sự cố Internet lớn duy nhất trong năm. Vào tháng 12, dịch vụ điện toán đám mây của Amazon đã bị 3 lần ngừng hoạt động dẫn đến sự cố cho Disney+, Slack, Netflix, Hulu và nhiều nền tảng khác.

Ảnh: Reuters.

Khủng hoảng Facebook.

Ngày 4/10 là thời điểm tồi tệ trên nhiều khía cạnh đối với công ty hiện đã đổi tên thành Meta. Đêm trước đó, người tố giác Frances Haugen tiết lộ danh tính trên chương trình “60 Minutes” và tuyên bố rằng Facebook biết rõ việc nền tảng bị dùng để lan truyền thông tin sai lệch, ngôn từ kích động thù địch và bạo lực. Sáng 4/10, sự việc nghiêm trọng đến mức khiến Facebook, WhatApp và Instagram ngừng hoạt động trong nhiều giờ. Hãng tuyên bố nguyên nhân là vấn đề khi “thay đổi cấu hình”. Cổ phiếu Facebook lao dốc khi hãng đối mặt với hàng loạt khó khăn, gồm việc sập mạng, sự xuất hiện của Frances Haugen, nguy cơ bị quốc hội Mỹ giám sát chặt chẽ hơn.

Ảnh: CNN

Xe “tự lái hoàn toàn” của Tesla trễ hẹn.

Elon Musk nhiều lần nói về phần mềm “tự lái hoàn toàn” của công ty xe điện Tesla. Tuy nhiên, đến cuối năm 2021, nó vẫn chưa trở thành hiện thực. Autopilot cung cấp các tính năng hỗ trợ người lái nhưng yêu cầu tài xế phải luôn tỉnh táo, sẵn sàng điều khiển. Ngoài ra, những người đã mua gói dịch vụ thử nghiệm với giá 10.000 USD cho biết tính năng tự lái không tốt như kỳ vọng. Đã có vài sự cố khi xử lý tình huống giao thông xuất hiện trên đường. Chẳng hạn một chiếc Tesla Model 3 đâm vào xe tải giao hàng khi tránh người đi xe đạp, thậm chí đi vào làn đường trái chiều hay sắp đâm vào hàng rào.

Các xu hướng công nghệ sẽ lên ngôi trong năm 2022

VSEC - BLOG Xu hướng thế giới mạng

Khi quá trình số hóa trong kinh doanh và xã hội tiếp tục tăng tốc, hãy cùng xem xét một số xu hướng công nghệ được dự đoán là triển vọng trong năm 2022.

Việc tăng tốc áp dụng các công nghệ kỹ thuật số giúp ích trong tốc độ truyền đạt thông tin, tránh lãng phí, cải thiện cuộc sống của người tiêu dùng.

Những dự đoán về xu hướng công nghệ phổ biến trong năm 2022 dưới đây được chia sẻ bởi ông Madhav Sheth – Giám đốc điều hành kiêm Chủ tịch Tập đoàn Realme tại Ấn Độ.

 

Thiết bị công nghệ được thiết kế để phục vụ làm việc từ xa

Để ứng phó với đại dịch Covid 19, các công ty hay tổ chức đều triển khai hình thức làm việc online, đây chính là tiền đề để các thiết bị công nghệ phát triển.

Ví dụ tăng cường, đổi mới hiệu suất pin là chìa khóa khi làm việc online. Nó cho phép các thiết bị sử dụng lâu hơn và sạc nhanh hơn, giúp quá trình làm việc không bị gián đoạn.

Thêm vào đó, năm 2022 có thể chứng kiến công nghệ được thúc đẩy theo hướng AI, điều này giúp những người trong môi trường làm việc từ xa có trải nghiệm điện “rảnh tay” điều khiển thiết bị theo ý muốn mà “không cần chạm”. AI còn có thể sẽ được sử dụng để loại bỏ các tiếng ồn xung quanh khi thực hiện cuộc gọi video.

VR, trình xử lý ngôn ngữ, âm thanh không gian, cảm biến và camera cũng sẽ hướng thay đổi theo cách nhân viên tương tác với công nghệ.

Nhu cầu về 5G

Việc áp dụng 5G được kỳ vọng vượt qua 4G vào năm tới. 5G được kỳ vọng không chỉ do lợi thế về tốc độ vượt trội mà còn là nhờ độ tin cậy cũng như mang lại những trải nghiệm mới cho người dùng.

Trong khi nhiều công ty giới thiệu điện thoại thông minh và thiết bị hỗ trợ 5G, ngành công nghiệp bán dẫn được hưởng lợi nhiều nhất. Tuy nhiên, việc khai thác tiềm năng đó đòi hỏi một cách marketing thu hút và sáng tạo hơn.

Trong vòng một thập kỷ tới đây, 5G được dự đoán sẽ định hình lại bức tranh công nghệ vì thế đây là thời điểm thích hợp để phát triển các sản phẩm hỗ trợ 5G.

Tai nghe Bluetooth sẽ dần chiếm lĩnh thị trường

Bất chấp đại dịch COVID-19, thị trường tai nghe Bluetooth toàn cầu tăng trưởng 78% so với cùng kỳ năm ngoái và dự kiến tăng 33% so với cùng kỳ năm 2021 tương đương khoảng 310 triệu chiếc được bán ra.

Sự gia tăng hình thức làm việc tại nhà, công với nhu cầu sử dụng smartphone để giải trí hàng ngày làm tăng lượng mua tai nghe không dây. Hơn nữa, với sự phát triển ngày càng cao của công nghệ AI và Machine Learning (ML), người dùng sẽ có trải nghiệm âm thanh dễ nghe và phong phú hơn

Với việc ứng dụng rộng rãi ML giúp cải tiến phân tích và phát hiện tiếng ồn môi trường chính xác, tai nghe Bluetooth có thể hỗ trợ các chức năng như tập thể dục, hội họp và đánh giá sức khỏe thể chất.

Tăng cường thực hành bảo mật

Tội phạm mạng giờ đây không chỉ còn là mối đe dọa đối với các doanh nghiệp mà còn với các chính cá nhân làm việc tại nhà vì họ là những mắt xích yếu trong hệ thống bảo mật công nghệ thông tin của các công ty.

Ngày càng có nhiều sự tập trung vào các luật quyền sở hữu trí tuệ, hệ thống mạng vật lý, hay các cuộc tấn công mã độc.

Công nghệ an ninh mạng sẽ kết hợp với các công cụ AI và ML sẽ giải quyết các vấn đề như xác minh danh tính từ xa thông qua điện thoại thông minh, hộ chiếu kỹ thuật số hay xác thực du lịch điện tử.

Một xu hướng khác là Zero-Trust, đây là mô hình bảo mật yêu cầu toàn bộ người dùng mạng phải được xác thực, ủy quyền; đồng thời phải liên tục xác nhận cấu hình và trạng thái bảo mật trước khi được cấp hoặc giữ quyền truy cập vào các ứng dụng và dữ liệu của tổ chức.

Nguồn: ictnews.vietnamnet.vn

Top 10 cuộc tấn công Ransomware 2017

VSEC - BLOG Nổi bật Xu hướng thế giới mạng

Năm 2017 là năm mà ransomware và sự ảnh hưởng trực tiếp của nó khiến mọi người ai ai cũng biết tới. Với hàng loạt các cuộc tấn công lan rộng như WannaCry và NotPetya, chúng đã thu hút mọi sự chú ý mặc những lý do trái chiều và trở thành một mối đe dọa nghiêm trọng cho các tổ chức, doanh nghiệp. Hãy cùng nhìn lại những cuộc tấn công nguy hiểm nhất trong năm nay!

 

https://vsec.com.vn/blog/9/top-10-cuoc-tan-cong-ransomware-2017%5C

Lương 4000$ đô không khó nếu bạn có 5 chứng chỉ này

VSEC - BLOG Bảo mật cho người mới Nổi bật

Vài năm trở lại đây, an ninh mạng là một ngành rất “hot” trong thế giới rộng lớn của lĩnh vực CNTT, được cả những người trẻ cũng như các tập đoàn trong và ngoài nước quan tâm. Mức thu nhập của một nhân sự an ninh mạng có thể lên tới hàng chục ngàn đô la. Việc sở hữu trong tay những tấm chứng chỉ quan trọng cũng sẽ góp phần nâng cao trình độ cũng như mức thu nhập của bạn trong tương lai.

Tại hội thảo và triển lãm quốc tế về an toàn không gian mạng (Vietnam Security Summit 2021), các chuyên gia an ninh mạng nhận định Việt Nam vẫn là nước có tỷ lệ nhiễm mã độc và hứng chịu những cuộc tấn công mạng thuộc nhóm cao trên thế giới, các hoạt động vi phạm trên không gian mạng cũng có chiều hướng gia tăng.

Tuy nhiên, nguồn nhân lực phục vụ cho công tác đảm bảo an toàn, an ninh mạng hiện nay lại tỉ lệ nghịch với những nguy cơ an ninh, an toàn thông tin. Sự thiếu hụt về nguồn nhân lực chủ yếu nằm ở nhóm các chuyên gia về bảo mật an toàn thông tin có chất lượng cao. Vậy hành trình nào để trở thành những kỹ sư, chuyên gia an ninh mạng tại Việt Nam? Hay cần chuẩn bị những kiến thức, dắt mình những chứng chỉ quốc tế nào để nằm trong tầm ngắm của các doanh nghiệp tuyển dụng?

Để giúp các bạn có cái nhìn rõ ràng hơn và có mục tiêu trong tương lai, chuyên gia VSEC đã chỉ ra 5 chứng chỉ quan trọng mà một chuyên gia an ninh mạng cần phải có sau:

 

1. Offensive Security Certified Professional (OSCP)

Chứng chỉ OSCP

Các hacker mũ trắng đều đánh giá OSCP là kỳ thi cấp chứng chỉ an ninh mạng khó nhất. OSCP là một bài kiểm tra nghiêm ngặt, trong thế giới thực dành cho những người kiểm tra thâm nhập, những người muốn thăng tiến sự nghiệp của họ. Để tham gia OSCP, bạn phải có nhiều kinh nghiệm về an ninh mạng. Chắc chắn, bạn cần có kiến ​​thức về ngôn ngữ lập trình như Python cũng như các kỹ năng cơ bản về Linux. Bạn cũng cần biết về mạng TCP / IP.

 Chuyên gia VSEC chia sẻ về chứng chỉ OSCP

2. Certified Information Systems Security Professional (CISSP)

Mặc dù kỳ thi OCSP là khó nhất do khung thời gian ngắn và cách tiếp cận thực hành, nhưng CISSP được coi là đỉnh cao của chứng chỉ an ninh mạng. CISSP dành cho những người kiểm tra khả năng thâm nhập và các chuyên gia an ninh mạng muốn giữ tiêu chuẩn vàng về sự xuất sắc cho chứng nhận an ninh mạng.

Kỳ thi CISSP có 100-150 câu hỏi trắc nghiệm và “cải tiến nâng cao ”, kéo dài trong 3 giờ. Điểm đậu là 700 trên 1000 điểm.

 Chứng chỉ CISSP

3. Offensive Security Web Expert (OSWE)

Chứng chỉ OSWE là một trong những chứng chỉ về bảo mật thuộc Offensive Security – một công ty quốc tế của Mỹ hoạt động trong lĩnh vực bảo mật thông tin, kiểm tra thâm nhập và pháp y kỹ thuật số. Chứng chỉ OSWE là vô giá đối với bất kỳ cá nhân nào đang theo đuổi sự nghiệp bảo mật ứng dụng web.

 Chứng chỉ OSWE

4. Certified Ethical Hacker (CEH)

CEH là một chứng chỉ trình độ trung cấp được cấp bởi Hội đồng Quốc tế về tư vấn Thương mại điện tử (International Council of Electronic Commerce Consultants/ EC-Council) là chứng chỉ mà bất cứ chuyên gia công nghệ thông tin nào muốn theo đuổi sự nghiệp bảo mật cần phải trang bị cho mình. Những chuyên gia sở hữu chứng chỉ CEH có kiến thức và kỹ năng trong các lĩnh vực như kiểm tra thăm dò mạng lưới, điều tra, Trojans, virus, ngăn chặn tấn công hệ thống, tấn công trang chủ, mạng không dây và các ứng dụng web, thâm nhập SQL, mật mã, thâm nhập thử nghiệm, lẩn tránh IDS, tường lửa….

Để tham gia kỳ thi này, bạn cần phải hoàn thành chương trình đào tạo CEH trước. Kỳ thi bao gồm 125 câu hỏi, kéo dài trong 4 giờ.

Chứng chỉ CEH

5. Computer Hacking Forensics Investigator (CHFI)

CHFI là chứng chỉ chuyên gia bảo mật có những kỹ năng và kiến thức để phát hiện, phân tích các bằng chứng kỹ thuật số phức tạp. Đây là một kỳ thi khó, nhưng thời gian ngắn và ít khốc liệt hơn các cuộc thi trên.

     Chứng chỉ CHFI

“Công ty Cổ phần An ninh mạng Việt Nam (VSEC) với 20 năm kinh nghiệm là thành viên của tập đoàn công nghệ G-Group (được tạp chí nhân sự hàng đầu châu lục HR Asia bình chọn là nơi làm việc tốt nhất châu Á 2 năm liên tiếp). VSEC sở hữu đội ngũ các chuyên gia hàng đầu và đạt được nhiều thành tựu trên thị trường quốc tế – dẫn đầu đổi mới trong lĩnh vực điều tra và phân tích các mối đe dọa ATTT. VSEC cũng là đơn vị đầu tiên hoạt động đánh giá An toàn thông tin tại Việt Nam, đồng thời cũng là nhà cung cấp dịch vụ bảo mật đầu tiên tại Việt Nam đạt chứng nhận CREST cho dịch vụ đánh giá bảo mật – Pentest và Giám sát an toàn thông tin – SOC. VSEC đã hợp tác tổ chức Đào tạo – Diễn tập cho nhiều đơn vị lớn trong nước như: Tập đoàn Điện lực Việt Nam và các đơn vị thành viên, Bộ y tế, Ngân hàng nhà nước, Bộ ban ngành các tỉnh, thành phố,…”

 

Loại hình trung tâm vận hành và giám sát an ninh mạng nào phù hợp với doanh nghiệp tài chính ngân hàng

VSEC - BLOG Bảo mật cho người mới

Trung tâm Vận hành và Giám sát An ninh mạng – SOC – đảm nhiệm vai trò phát hiện và xử lý tấn công một cách nhanh nhất nhằm giảm thiểu rủi ro cho hệ thống công nghệ thông tin của doanh nghiệp. Đặc biệt đối với các đơn vị Tài chính Ngân hàng vốn là mục tiêu hàng đầu của tin tặc. Tuỳ thuộc vào quy mô hệ thống IT, nguồn lực nhân sự, các mô hình trung tâm SOC nào sẽ được các đơn vị này cân nhắc sử dụng?

Tại các quốc gia phát triển, trung tâm SOC (Security Operations Center) đã không còn xa lạ với các cơ quan chính phủ, doanh nghiệp lớn, các ngân hàng và tổ chức tài chính. Từ những năm đầu của thế kỷ 21, doanh nghiệp trong khu vực châu á đã có xu hướng sử dụng SOC như một phần tất yếu của hệ thống công nghệ thông tin. Song tại Việt Nam, mô hình này lại chưa được vận dụng nhiều do chi phí và thiếu nhân sự chuyên môn.

Mỗi đơn vị có thể xây dựng mô hình SOC khác nhau nhưng tựu chung đều nhằm mục đích đáp ứng nhu cầu bảo mật của doanh nghiệp. Với đặc điểm có lượng giao dịch lớn, kết nối đa điểm và phát triển nhanh chóng các loại hình digital banking, mobile banking, thanh toán ảo, … nên mô hình SOC cho ngành tài chính ngân hàng lại càng phải thiết kế sao cho phù hợp với quy mô của hệ thống.

5 cấp độ trung tâm SOC

Có 5 cấp độ của SOC được biết bao gồm: Level 1: Basic detection & Prevention (Phát hiện & Ngăn chặn), Level 2: Context, Control & Coverage (Bối cảnh, Kiểm soát và Phạm vi), Level 3: Basic Hunting & APT (Săn tìm tấn công chủ đích APT), Level 4: Remediation (Khắc phục) và Level 5: Deep Hunting (Săn tìm mối đe dọa sâu hơn). Với mỗi cấp độ này, nhà điều hành doanh nghiệp sẽ cần một đội ngũ nhân sự ở các cấp độ chuyên môn tương đương. Từ những nhân sự thực hiện nhiệm vụ giám sát, ngăn chặn, cảnh báo cho đến mức độ phức tạp hơn là các nhà phân tích, nhà nghiên cứu các mối đe doạ và các thành viên săn tìm mối đe doạ, …

Trung bình, một trung tâm SOC sẽ cần tối thiểu từ 10 đến 20 nhân sự đảm nhận công việc chuyên biệt. Mô hình SOC càng phức tạp, số lượng nhân sự càng lớn thì càng đặt ra thách thức về chi phí cho nhà quản lý. Bởi chi phí chi trả không chỉ dừng ở mức lương cho chuyên gia mà còn là chi phí để tuyển dụng, thuê người ngay từ giai đoạn xây dựng SOC ban đầu. Chính vì điều này mà trên thế giới đã bắt đầu phân chia ra 3 mô hình SOC mà theo Gartner các doanh nghiệp có thể lựa chọn là: SOC nội bộ (fully insourced), Thuê ngoài (fully outsourced) và Kết hợp (hybrid/co-managed SOC)

Dù là mô hình SOC nội bộ hay kết hợp, nhà quản trị doanh nghiệp cũng đều phải tính toán đến chi phí duy trì nhân sự, đầu tư trang thiết bị và công nghệ. Cho dù hệ thống SOC mới đang được lên kế hoạch, doanh nghiệp cũng đã phải chi trả chi phí để thuê nhân sự để thiết kế và xây dựng mô hình vận hành trước khi thu được hiệu quả có thể đo đếm được. Chính vì vậy, cho dù có nguồn vốn lớn các Ngân hàng và tổ chức tài chính không phải lúc nào cũng chọn lựa việc xây dựng một trung tâm SOC nội bộ hay kết hợp.

Mô hình trung tâm SOC Thuê ngoài – VSEC

“Trong 20 năm cung cấp dịch vụ bảo mật tại Việt Nam, phục vụ hơn 50% khách hàng Ngân hàng, tổ chức tài chính, chúng tôi tin rằng mô hình SOC thuê ngoài có thể đáp ứng được câu chuyện tối ưu nguồn lực tài chính và đầu tư cho doanh nghiệp. Chúng ta có thể tốn hàng nghìn giờ để nỗ lực cứu vãn hệ thống công nghệ sau tấn công nhưng chỉ cần chưa quá 4 giờ đồng hồ để tìm ra và ngăn chặn hiểm hoạ thông qua trung tâm SOC” – Ông Vũ Thế Hải, SOC Manager VSEC chia sẻ.

Với Trung tâm SOC, VSEC – Công ty cổ phần An ninh mạng Việt Nam mở rộng phạm vi cung cấp dịch vụ đúng với tiêu chí là MSSP – Managed Security Service Provider – Nhà cung cấp dịch vụ bảo mật toàn diện tại Việt Nam. Trung tâm SOC của VSEC cũng là trung tâm SOC đầu tiên tại Việt Nam được nhận chứng chỉ CREST- chứng nhận đạt các tiêu chuẩn quốc tế về năng lực chuyên gia, kinh nghiệm chuyên môn, khả năng công nghệ, các chính sách, quy trình, thủ tục và đạo đức nghề nghiệp liên quan đến việc cung cấp dịch vụ trung tâm SOC. Không chỉ cung cấp một giải pháp hoàn chỉnh của SOC mà VSEC cũng có thể tư vấn, đào tạo và triển khai thử nghiệm mô hình SOC tiêu chuẩn quốc tế phù hợp theo nhu cầu của từng doanh nghiệp.

Trung tâm Vận hành và Giám sát An ninh mạng – SOC -VSEC

Các nguyên nhân chính gây ra rủi ro bảo mật

VSEC - BLOG Bảo mật cho người mới

Vào một ngày hè cuối tháng 4/2017, ông Trương Đức Lượng, Giám đốc Công ty VSEC, đã có một bài chia sẻ về đề tài rất nóng hiện nay là rủi ro bảo mật thông tin tại một cuộc hội thảo nhỏ do VSEC tổ chức tại Hà Nội, Việt Nam. Hội thảo đề cập khá nhiều phương diện mà rủi ro bảo mật thông tin có thể được gây ra ở phía máy chủ cũng như máy trạm.

Link sự kiện Workshop “Rủi ro bảo mật & An toàn thông tin” của VSEC:

https://www.youtube.com/watch?v=yuekJt9C1fU

Rủi ro phía máy chủ

Các rủi ro bảo mật liên quan đến máy chủ có thể do nhiều nguyên nhân, chẳng hạn như cơ chế xác thực yếu, tham chiếu các đối tượng không an toàn, thiếu chức năng kiểm soát truy cập, và sử dụng các thành phần có lỗi bảo mật.

Cơ chế xác thực yếu (Poor Authorization and Authentication) xảy ra chủ yếu do thiếu hoặc không kiểm soát xác thực. Một số ứng dụng tại Việt Nam thường sử dụng các giá trị không đổi như IMEI, UUID làm phương thức xác thực duy nhất. Tại hội thảo, diễn giả đưa ra một số ví dụ về việc một ứng dụng sử dụng UUID để làm phương thức xác thực, và một vài ví dụ về việc ứng dụng phân các API ra thành các lớp theo mức độ bảo mật khác nhau (Low Security, Medium Security, High Security).

Tham chiếu các đối tượng không an toàn (Insecure Direct Object Reference) xảy ra khi lập trình viên để lộ tham chiếu tới các đối tượng trong hệ thống (file, thư mục, các khóa trong cơ sở dữ liệu) mà không kiểm soát sự truy cập. Kẻ tấn công có thể truy cập tới các dữ liệu trái phép. Đây là một trong những chủ đề nhiều khách mời chú ý đến nhất bởi mức độ nguy hiểm của nó. Diễn giả cung cấp hình ảnh một số app mobile banking của ngân hàng gặp phải lỗi này. Cách phòng chống được đưa ra là sử dụng Access Reference Map và Access Modal Diagram. Một khách mời chia sẻ đã từng sử dụng Access Reference Map nhưng lại làm rối các ID ở phía client, vì vậy không an toàn. Một khách mời khác chia sẻ không sử dụng Access Reference Map nhưng để trường ID rất phức tạp, kẻ tấn công khó có thể đoán ra được.
Thiếu chức năng kiểm soát truy cập (Missing Function Level Access Control) xảy ra khi server không kiểm soát user khi sử dụng hàm này có quyền thực thi hay không. Điều này dẫn đến kẻ tấn công có thể sử dụng các quyền không được phép. Diễn giả đưa ra một số hình ảnh về trường hợp bất kì người nào cũng có thể sử dụng hàm của người quản trị, lấy thông tin từ hệ thống Mail server.

Sử dụng các thành phần có lỗi bảo mật (Using Components with Known Vulnerabilities) xảy ra khi server sử dụng các thành phần (hệ điều hành, framework, thư viện, v.v…) đã có các lỗ hổng được công bố. Một số lỗi đã được tìm ra và khai thác tự động bởi các vài công cụ, tuy nhiên chính điều này làm tăng nguy cơ hệ thống bị tấn công. Biện pháp tốt nhất để phòng chống rủi ro này là thường xuyên cập nhật hệ thống lên các phiên bản mới nhất, cắt giảm các chức năng không cần thiết. VSEC cũng chia sẻ với mọi người một tình huống khi triển khai dịch vụ cho đối tác, bên đối tác biết rằng framework đó cũ, có nhiều lỗ hổng nhưng không thể cập nhật lên phiên bản mới được vì điều này làm ảnh hưởng đến toàn bộ hệ thống bên họ.

WannaCry, virut ransomware đang làm mưa làm gió tại 150 nước hiện nay

(Nguồn: theverge.com)

Rủi ro phía máy trạm

Một số nguyên nhân gây ra rủi ro bảo mật thông tin từ phía máy trạm bao gồm: Lưu trữ các thông tin không an toàn, Lỗi rò rỉ dữ liệu không mong muốn, Sử dụng đường truyền không an toàn, Sử dụng thuật toán mã hóa yếu, và Thiếu các phương thức bảo vệ tệp tin thực thi.

Lưu trữ các thông tin không an toàn (Insecure Data Storage): Xảy ra khi người lập trình lưu các thông tin quan trọng vào trong thiết bị nhưng không mã hóa hay có biện pháp bảo vệ. Khi diễn ra đưa ra một số trường hợp lưu Token trong máy dưới dạng cleartext, các khách mời cũng chia sẻ về một số phương án, cách phòng chống khi gặp những trường hợp như vậy.

Lỗi rò rỉ dữ liệu không mong muốn (Unintended Data Leakage): Lỗi này thuộc về hệ điều hành và framework, lỗi này nằm ngoài mong muốn của lập trình viên. Một số điểm dễ bị lộ thông tin như bộ đệm copy/paste, log hệ thống, các dữ liệu phân tích gửi cho bên thứ ba. Các khách mời cũng chia sẻ về cách cài ứng dụng nào để phòng chống việc bị hiện ảnh chụp màn hình trên Recent App, chống copy những gì, v.v…

Sử dụng đường truyền không an toàn (Insufficient Transport Layer Protection): Lỗi này xảy ra khi các ứng dụng không sử dụng các giao thức mã hóa, hoặc có sử dụng thì sử dụng các phiên bản cũ, hoặc chỉ mã hóa một phần của đường truyền. Diễn giả có đưa ra một số thông số thống kê về số lượng app không kiểm tra certificate của server, bỏ qua các lỗi về certificate. Diễn giả có đưa thêm cách phòng chống mà một số ứng dụng của Việt Nam thường dùng như mã hóa gói tin gửi lên, tạo signature cho gói tin. Nhưng diễn giả cũng gợi ý thêm rằng nên mã hóa cả gói tin nhận về, và đưa ra một ví dụ về việc khai thác bằng cách thay đổi các thông tin trả về từ phía server.

Sử dụng thuật toán mã hóa yếu (Broken Cryptography): Lỗi này ảnh hưởng đến tính bí mật của dữ liệu cần mã hóa. Diễn giả đưa ra hình ảnh một số ứng dụng hardcode mật khẩu mã hóa trong tệp tin, sử dụng mã hóa base64 không an toàn, v.v…

Thiếu các phương thức bảo vệ tệp tin thực thi (Lack of Binary Protections): Diễn giả trình bày về quá trình biên dịch từ mã java sang tệp tin apk, và giải thích tại sao tệp tin apk lại dễ dàng bị dịch ngược. Khi bị dịch ngược, các thông tin nhạy cảm bị lộ như: API, các phương thức mã hóa, giải mã, cấu trúc hoạt động của chương trình. Diễn giả cũng đưa ra một số công cụ làm rối như DexGuard, ProGuard cho Android và một số kĩ thuật làm rối.

Kết luận

Đề cập trong cuộc hội thảo của ông Lượng, Giám đốc Công ty VSEC, chỉ là các nguyên nhân chủ yếu của rủi ro bảo mật thông tin. Ngoài ra còn nhiều rủi ro khác nữa. Tuy nhiên, nếu khắc phục tốt các rủi ro này thì hệ thống CNTT của doanh nghiệp đã tránh được 91% nguy cơ. Ngày nay, thế giới càng ngày càng kết nối, tại điều kiện thuận lợi cho công việc của chúng ta nhưng cũng hỗ trợ bọn tin tặc tốt hơn. Đã đến lúc thực sự nghiêm túc nhìn nhận vấn đề bảo mật thông tin!

Hợp ngữ MIPS (P1)

VSEC - BLOG Bảo mật cho người mới

Các bạn sẽ tự hỏi là tại sao mà mình viết bài về hợp ngữ MIPS này , vì kiến thức cũng không có gì mới mà lại viết. Lý do ở đây là hiện tại mình đang muốn nghiên cứu , tìm hiểu khai thác về các thiết bị IoT ( đặc biệt là các thiết bị Router wifi ). Vậy nên các bạn biết rồi đó các thiết bị IoT thì thường sử dụng MIPS là kiến trúc bộ tập lệnh RISC.

Nói đến bộ tập lệnh thì có 2 loại là CISC và RISC.

– CISC được sử dụng chủ yếu trên các máy tính cá nhân và server lý do đơn giản là bộ tập lệnh này nhiều và rất phức tạp dẫn đến tiêu tốn tài nguyên và điện năng. Chính vì vậy các thiết bị IoT thì không thích thú lắm ?).

– Ngược lại RISC thì lại ít và đơn giản hơn gây tiêu tốn ít tài nguyên và điện năng hơn nên nó hợp cho những thiết bị IoT hoặc thiết bị di động.

Xàm xí vậy thôi vào chủ đề chính của ngày hôm nay thôi.

Hợp ngữ MIPS.

MIPS sau nhiều lần nâng cấp thì hiện tại có 2 phiên bản 32 bit và 64 bit nhưng bài viết này và về sau mình chỉ tập chung vào 32 bit cho nó thân thiện, với mình cũng đang tìm hiểu nên các bạn thông cảm nhé ^^.

MIPS có tổng cộng 32 thanh ghi để lưu giá trị được đánh số từ 0 – 31 cùng với quy ước chung khi sử dụng. Trong đó thì thanh ghi 0 thì luôn được gán cứng với giá trị 0.

Thanh ghi Tên thông thường Ý nghĩa
$0 $zero Thanh ghi luôn chứa giá trị 0
$1 $at Được dành riêng bởi assembler.
$2 – $3 $v0,$v1 Lưu giá trị trả về hàm
$4 – $7 $a0-$a3 Lưu tham số truyền vào hàm
$8 – $15 $t0 – $t7 Lưu biến tạm
$16 – $23 $s0 – $s7 Lưu giá trị thanh ghi
$24 – $25 $t8 – $t9 Tương tự như các thanh ghi $8 – $15
$$26 -$27 $k0 – $k1 Dành riêng cho vùng kernel. Không được dùng.
$28 $gp Con trỏ tới vùng global ( Global Area Pointer)
$29 $sp Stack Pointer
$30 $fp Frame Poniter
$31 $rp Return Address

Định dạng mã lệnh MIPS

Trên một số bộ xử lý, đặc biệt là bộ xử lý CISC, kích thước của mã lệnh thay đổi theo lệnh và toán hạng của nó.

Do MIPS giống với hầu hết các bộ xử lý RISC, sử dụng mã lệnh có độ dài cố định. Tất cả mã lệnh MIPS chính xác với 32 bit. Mã lệnh có độ dài cố định mang lại lợi thế là tìm nạp lệnh đơn giản hơn, đồng nghĩa là bộ xử lý nhỏ hơn, rẻ hơn. Đơn giản và nhỏ hơn sẽ nhanh hơn, tiêu thụ điện năng và chi phí sản xuất thấp hơn.

Register Instructions

Các lệnh thanh ghi có hai thanh ghi nguồn và một thanh ghi đích.

Định dạng lệnh Register.

Opcode Source 1 Source 2 Destination Shift Amount Function
000000 5 bits 5 bits 5 bits 5 bits 6 bits

 

Giải thích:

Opcode( 6 bits): Thanh ghi này chứa 6 bits 0 chỉ ra rằng đây là lệnh thanh ghi (RI)

Function( 6 bits): Thanh ghi này sử dụng 6 bit để phân biệt các mã lệnh với nhau

Source 1, Source 2( 10 bits): 2 Thanh ghi này để thực hiện tính toán.

Destination (5 bits): Thanh ghi này lưu trữ kết quả tính toán được.

Shifft Amount ( 5 bits): Số bit cần dịch trái, dịch phải khi có lệnh dịch bit.

Ví dụ: add $t3, $t4, $t1

Trong đó: $t3 = 11, $t4 = 12, $t1= 9

000000 01100 01001 01011 00000 10000
RI $t4 $t1 $t3 unused add

 

Jump Instructions

Định dạng lệnh Jump

Opcode Target Offset
0001xx 26 bits

 

Trường hợp nếu 6 bits ngoài cùng bên trái là 00001x thì đây là lệnh nhảy không điều kiện.

Ví dụ:

000010 xxxxxxxxxxxxxxxxxxxxxxxxxx ~ j label

000011 xxxxxxxxxxxxxxxxxxxxxxxxxx ~ jal label

 

Nhìn vào đây các bạn sẽ tự hỏi có 26 bit thì làm thế nào mà nó nhảy được đến địa chỉ đích 32 bit. Trường địa chỉ đích chuyển thành địa chỉ 32 bit, được thực hiện tại thời điểm chạy, khi lệnh nhảy được thực thi.

Cách thực hiện:

– Dịch 26 bit sang trái hai vị trí 2 bit bậc thấp trở thành “00”.

– Sau khi thay đổi ta cần điền bốn bit bậc cao của địa chỉ. Bốn bit này đến từ bậc cao trong PC ( Program Counter).

Coprocessor Instructions

Nếu 6 bits ngoài cùng là 0100xx, thì lệnh được xử lý bởi bộ đồng xử lý / coprocessor ( Một phần mở rộng cho MIPS CPU cở bản ). Hai bits cuối cùng đại diện cho bộ đồng xử lý (coprocessor).

Opcode Source 1 Source 2 Destination Shift Amount Function
0100xx 5 bits 5 bits 5 bits 5 bits 6 bits

 

 

Immediate Instructions

Nếu 6 bit ngoài cùng bên trái khác với tất cả các mẫu ở trên , thì lệnh được sử dụng cho định dạng tức thời.

Các lệnh tức thời sử dụng một thanh ghi nguồn , môt thanh ghi đích và 16 bit toán hạng nguồn tức thời.

Toán hạng tức thời giới hạn 16 bit vì vậy số có không dấu từ 0 – 65535 hoặc có dấu -32768 – 32767 ( bộ xử lý MIPS sử dụng bù 2 cho toán hạng có dấu )

Opcode Source Destination Immediate Operand
0100xx 5 bits 5 bits 16 bits

 

Ví dụ: addi $t1, $t5, 7

Opcode Source Destination Immediate Operand
001000 sssss ttttt 0000000000000111
addi $t1 $t5 7

 

 

Bài viết đến đây là hết rồi, mình viết bài này chủ yếu là giới thiệu sơ qua cái chung và tổng quát nhất của hợp ngữ MIPS thôi. Bài sau mình sẽ nói chi tiết về các lệnh mình coi là quan trong trong MIPS :D. Đây sẽ là một seri dài hạn ai đọc được thì cho mình xin một like và subscribe nhé ^^.

Link tham khảo:

https://chortle.ccsu.edu/AssemblyTutorial/index.html

https://en.wikipedia.org/wiki/MIPS_architecture

Mình đã pass chứng chỉ OSCP như thế nào?

VSEC - BLOG Bảo mật cho người mới

Hi, đển hẹn lại lên, cứ cuối tháng là mình lại làm một cái blog mới. Lần này chủ đề sẽ khác khác một xíu. Về cơ bản là đầu tháng 6 này, sau 1 năm cứ gọi là tạm ra trường, mình đi thi chứng chỉ đầu tiên về bảo mật trong đời mình, đó là OSCP, và may mắn không làm nhục mệnh, mình đã pass :’>. Nên là bài này sẽ viết về trải nghiệm thi OSCP vừa rồi của mình, và những điều rút ra từ đó. Mong những thông tin này có ích

 

OSCP Examination

Đầu tiên vầy OSCP nó là cái gì? Offensive Security Certified Professional (OSCP) là một chương trình chứng chỉ mà tập trung vào những kỹ năng tấn công và kiểm thử bảo mật. Nó bao gồm 2 phần: một bài thi pentest trong vòng 23h45p và một report nộp trong vòng 24h ngay sau đó. OSCP là một bài thi rất là thực tiễn.

Vầy tại sao lại nên thi OSCP? Mình có 2 lý do chính:

– Để học hỏi và nâng cao kiến thức lẫn kỹ năng về kiểm thử bảo mật. Như đề cập ở bài trước, mình mới chuyển qua pentest gần đây thôi, nên cần một cái gì đó định hướng rõ ràng hơn về mảng này. Và khi đăng ký thi thì sẽ được trải nghiệm thực hành hơn 54 bài labs rất thực tế và có bộ tài liệu hướng dẫn rất rõ ràng và cụ thể.

– Để tăng lương (đương nhiên rồi). Đợt trước có bài nào đó của bên Cyradar bảo rằng chứng chỉ OSCP giúp tăng 200% lương ?? OSCP hiện nay là một chứng chỉ đang lên, vì lý tính thực tiễn lẫn độ khó của nó. Nó được xếp trong TOP 5 chứng chỉ pentest đáng mơ ước và cần có cho pentester. Nó sẽ giúp tăng cao giá trị của bản thân lên rất nhiều, vì bên cạnh CEH, đây là một chứng chỉ yêu cầu cho nhiều bên thầu.

Kỹ năng bạn sẽ có được qua course của OSCP:

– Passive Information Gathering

– Active Information Gathering

– Vulnerability Scanning

– Buffer Overflows

– Working with Exploits

– File Transfers

– Privilege Escalation

– Client-Side Attack

– Web Application Attacks

– Password Attacks

– Port Redirection and Tunneling

– The Metasploit Framework

– Bypassing Antivirus

Hành trình OSCP của mình

Bắt đầu vào phần chính của bài này nào. Mình sẽ đi qua những gì mình đã trải qua trong course của OSCP và những gì mình rút ra được (kinh nghiệm lẫn lời khuyên).

Bởi vì công ty yêu cầu một nhân viên nào đó có chứng chỉ OSCP, và nếu có thì sẽ được tăng lương =))) và mình cảm thấy mình khá có duyên với các thể loại thi cử nên mình nhận thôi :v

Và hành trình sẽ được chia là 3 giai đoạn chính:

 

Giai đoạn chuẩn bị:

Có một số thứ bạn cần chuẩn bị trước khi đăng ký thi.

Đầu tiên thông tin về chứng chỉ, bạn phải biết mình đang thi cái gì và thể thức thi như thế nào đúng không? Nó sẽ nằm tại đây https://support.offensive-security.com/oscp-exam-guide/.

Thứ hai là những kiến thức và kỹ năng cần thiết. Bởi vì khi bạn đăng ký thi, bạn sẽ phải mua một gói bao gồm lệ phí thi, Penetration Pentesting with Kali Course bao gồm một quyển PDF hơn 800 trang và hơn 8 tiếng videos hướng dẫn, và VPN để bạn kết nối tới môi trường lab (cái giá trị nhất trong toàn gói). Lab bạn có thể mua theo các mức 30 ngày, 60 ngày hoặc 90 ngày tùy dự định của bạn. Mình thì chọn 60 ngày. Bởi vì thời gian là tiền bạc, trước khi bạn mua gói này, bạn cần phải cuẩn bị những kiến thức lẫn tinh thần phù hợp, nếu không thì bạn sẽ bị ngợp (giống mình) về kiến thức lẫn kỹ năng, và trong 60 ngày đấy đảm bảo bạn sẽ không đủ thời gian để thực hành đủ để thi. Bởi vì trên trường mình cũng có được dạy và thực hành những cái này rồi, nên là mình cũng khá là quen nên mình không bỡ ngỡ lắm.

 

Vầy những gì bạn cần chuẩn bị về mặt kiến thức là gì:

– Môi trường Linux và Windows. Đây là cái mình coi là quan trọng nhất. Bạn cần phải có kiến thức lẫn quen thuộc khi làm việc với cả hai môi trường Windows và Linux, đặc biệt là Command Line Interface trên Linux bởi vì đó là nơi bạn làm việc nhiều nhất, đặc biệt là Kali. Nếu bạn còn mới lạ, quyển sách này có thể có ích Kali Linux Revealed.

– Kỹ năng lập trình cơ bản. Cái này bao gồm việc đọc, hiểu và có thể modify code Python, Bash, Perl,… Bạn sẽ không cần phải viết một exploit hoàn chỉnh, những bạn cần ít nhất hiểu được cách thức hoạt động của nó. Có hàng triệu website ngoài kia có thể giúp bạn làm quen với Python. Mình trước đây là nhảy bụp vào luôn nên cũng không có một phương thức nào đó có ích cho lắm :v

– Web Application Attacks (SQLi, Local File Inclusion, Remote File Inclusion, Command Injection,…) trong labs bạn sẽ phải khai thác chủ yếu của Web Applications, nên bạn cần có những hiểu biết nhất định về các thể loại tấn công này. Web Application Hackers Handbook quyển này rất có ích đối với bạn nào mới chập chững làm quen với vấn đề này.

– Những Tools chạy trên Kali/Linux: Cái cuối cùng là bạn cần phải làm quen hoặc ít nhất là biết cách hoạt động của những tools – thứ mà bạn cần phải dựa vào nó để có thể hoàn thành bài thi. Một số tools bạn cần phải biết như là: Metasploit, Nmap, Netcat.

– Làm quen với môi trường Labs: Để đỡ bỡ ngỡ khi tần công một máy tính. Bạn có thể làm quen với những dạng lab tương tự như OSCP ở trên Hack The Box, hoặc tham khảo tại link đây OSCP Like vulnerable machines list by abatchy.

 

Giai đoạn trước khi lên thớt:

Khi bạn đủ tự tin và chuẩn bị đủ tinh thần, bạn có thể đăng ký bắt đầu trên trang chủ của Offensive Security. Sau khi bạn đăng ký thời hạn lab, đến ngày bạn đăng ký, bạn sẽ nhận được email bao gồm tài liệu về khóa học lẫn hướng dẫn kết nối tới môi trường labs thực hành.

Không biết các bạn như thế nào, nhưng mình luôn luôn có thói quen là có những kiến thức căn bản trước, biết mình phải làm gì mới bắt tay vào làm. Nên là mình chia giai đoạn này làm 2 phần, lý thuyết và thực hành.

 

Lý thuyết:

Mình dành ra gần 1 tháng đầu tiên chỉ để đọc và nghiên cứu tài liệu được cung cấp. Nó bao gồm một cuốn sách PDF hơn 800 trang và một bộ videos trực quan đi kèm. Trong cuốn sách cũng có những Exercise ở cuối mỗi mục, nếu bạn làm hết và nộp lại reports thì bạn sẽ được thêm 5 điểm chuyên cần vào kết quả của bài thi cuối cùng. Cảm nhận của mình về tài liệu thì nó rất là đầy đủ, nó thiết kế để cho một người mới hoàn toàn có thể có được những kiến thức căn bản nhất, và nó cũng rất rộng và toàn diện về tất cả các mảng. Nếu mà không có giai đoạn chuẩn bị trước đấy, thì thật sự bạn sẽ bị ngợp bởi lượng thông tin mà nó mang lại.

Lời khuyên và kinh nghiệm rút ra của mình là bạn có thể không cần phải xem và biết toàn bộ, nhưng bạn nên đọc qua một lần. Bạn có thể skip những phần mà bạn cho là bạn biết rồi, và đọc những phần mà bạn cảm thấy mới mẻ. Bởi vì rằng, có những thông tin và công cụ mà trong tài liệu nó rất hay và hữu ích, nó sẽ trực tiếp giúp bạn làm dễ hơn các bài labs cũng như bài thi.

 

Thực hành:

Đây là phần giá trị nhất của toàn bộ gói, theo như phần lớn mọi người nhận xét. Bởi vì đây là thứ giúp bạn chuẩn bị cho bài thi của mình, cũng có thể coi như là đề mẫu đi.

Có tổng cộng 57 public servers để bạn tấn công, và thêm vào đó có 3 internals server mà bạn có thể pivot tới khi bạn có được keys từ một máy nào đó ở public. Trong vòng thời gian labs, mình dã root được đâu đó khoảng 52/57 máy.

 

Kinh nghiệm mình rút ra được đó là:

– Bạn nên bắt đầu với máy Alpha và Beta trước, với IP là .71 và .72. Bởi vì đó là những bài mẫu, trên students forum có mẫu reports sẫn rất rất là chi tiết về cách tiếp cận lẫn phương pháp luận để có thể tấn công và lên quyền vào một servers.

– Có 2 keywords bạn luôn luôn cần nhớ đó là “Enumerate more” và “Try Harder”. Thực sự sau khi bạn hoàn thành cái này, bạn sẽ khắc cốt ghi tâm 2 cụm từ này, vì nó chính là từ khóa mỗi khi bạn stuck ở đâu đó. Đôi khi bạn chỉ cách đáp án 1 cái port bị ẩn hoặc là cái sub directories mà bạn chưa enum ra thôi. Về enumerations, mình có tìm được một tools khá hay và chi tiết, giúp mình trong một máy của bài thi cuối cùng: https://github.com/Tib3rius/AutoRecon.

– Luôn luôn note lại những gì bạn tìm thấy được và đạt được. Mình có một file excel để ghi lại những gì mình đã enum ra, cũng như exploit code mình dùng để khai thác và lên quyền. Bởi vì có một số máy nó yêu cầu việc bạn phải xâm nhập vào một máy khác để bạn có thể truy cập được vào nó. Việc này sẽ giúp bạn dễ dàng quay trở lại máy đấy hơn và biết được mối liên kết giữa từng máy để quay lại.

– Bạn có thể tham khảo students forum để có được những hướng dẫn nếu bạn stuck ở đâu đó quá lâu. Ở đấy có những post để trao đổi về từng máy, hoặc bạn cũng có thể inbox cho những người cùng thi với bạn để có thêm nhiều hướng tiếp cận hơn. Tuy nhiên bạn không nên lạm dụng nó, vì bạn sẽ không có nó khi thi.

– Luôn luôn revert lại một máy trước khi làm nó. Bởi vì không phải một mình bạn truy cập tới môi trường labs đấy. Bạn nên revert lại thứ người khác đã làm trên đấy trước đấy để đảm bảo môi trường clean nhất có thể.

 

Ngày lên thớt:

Trước ngày thi, bạn nên chuẩn bị rất kỹ càng, về cả thể chất lẫn tinh thần. Bởi vì đó là bài thi kéo dài 24 tiếng. Không giúp đỡ, không gợi ý, chỉ có mình bạn và người giám sát.

Chuẩn bị sức khỏe, kế hoạch đồ ăn và thức uống bạn cần để hoàn thành bài thi. Ngủ đủ giấc. Và trong suốt khoảng thời gian thi bạn được phép ra khỏi chỗ, đi lại, và nghỉ ngơi. Không nên quá stress khi bạn bị kẹt ở đâu đó, hãy dừng lại, tạm nghỉ, hoặc chuyển hướng sang máy khác. Tuyệt đối không nên để stress, hoảng loạn và lo lắng chiếm cứ tâm trí của bạn. Trong ngày thi, trong suốt 12 tiếng đầu tiên mình chưa hề có shell trên một con máy nào cả, tất cả đều thiếu một xíu xíu gì đó, và thề là bạn không biết mình chửi thề đề bài này nhiều thế nào đâu. Và sau 3/4 thời gian, sự việc nó tiến triển hơn một xíu khi mình làm xong được mỗi bài Buffer Overflow (bài tương tự như vẽ đồ thi hàm số trong thi đại học ý). Nhưng sau khi mình đi ra ngoài hít thở khoảng 20p như này, mình quay lại tự dưng mình thấy cái mà mình trước đấy chưa thấy, và mình tìm lại được cái guồng của mình. Kết quả là mình kết thúc bài thi với chỉ thiếu 1 máy chưa lên được root. Một kết quả mình biết là thừa sức đỗ rồi. Từ đó mới hiểu rõ được 2 câu thần chứ “Enumerate more” và “Try Harder”.

Trong vòng 24h tiếp theo thì bạn phải hoàn thành và submit report, về quá trình enumeration cũng như cách thức bạn khai thác và lên quyền. Report yêu cầu phải có những screenshots và hướng dẫn cụ thể để reproduce, nên là bạn phải đảm bảo rằng chụp ảnh các bước trong quá trình làm bài, bởi vì khi bạn kết thúc bài thi, kết nối VPN sẽ ngắt, và không còn cơ hội để bạn kết nối với server để thực hiện lại đâu.

Và cuối cùng thì, sau khi nộp reports, kết quả sẽ có trong vòng 10 ngày làm việc. Và khi kết quả tới, yayyy, cuối cùng mình cũng có cơ hội được tăng lương =))))

 

Kết

Và trong cả quá trình học lẫn thi, luôn tìm sự thích thú. Luôn có một cái niềm vui gì đó không nhỏ thì cũng lớn khi mà bạn học được cái mới, những cái mà bài phải ồ lên, hoặc là khi bạn thành công root được một con máy khoai vchhh mà bạn tốn mấy ngày để làm nó :’> So have fun.

Be Duy ( aka chalizard )

Contact