Các kiểu phần mềm có hại khác ngoài Virus
Virus máy tính đã được công bố rất nhiều, là một trong những phần mềm có hại. Tác động của nó mọi người đều biết, đã được nêu trong các báo cáo, viễn tưởng và phim ảnh, gây nhiều chú ý hơn là tán thưởng và được quan tâm nhiều để phòng chống.
Cửa sau hoặc cửa sập
Điểm vào chương trình bí mật, cho phép những người biết truy cập mà bỏ qua các thủ tục an toàn thông thường. Kỹ thuật này có thể được sử dụng chung bởi những người phát triển và là mối đe doạ khi để trong chương trình sản phẩm cho phép khai thác bởi các kẻ tấn công. Rất khó ngăn chặn trong hệ điều hành, đòi hỏi sự phát triển và cập nhật phần mềm tốt.
Bom logic
Đây là một trong những phần mềm có hại kiểu cổ, code được nhúng trong chương trình hợp pháp. Nó được kích hoạt khi gặp điều kiện xác định
o Có mặt hoặc vắng mặt một số file
o Ngày tháng/thời gian cụ thể
o Người sử dụng nào đó
Khi được kích hoạt thông thường nó làm hỏng hệ thống
o Biến đổi/xoá file/đĩa, làm dừng máy,…
Ngựa thành Tơ roa
Chương trình với các tác động phụ được dấu kín, mà thông thường rất hấp dẫn như
trò chơi hoặc phần mềm nâng cấp. Khi chạy thực hiện những nhiệm vụ bổ sung, cho phép kẻ tấn công gián tiếp dành quyền truy cập mà họ không thể trực tiếp. Thông thường sử dụng lan truyền virrus/sâu (worm) hoặc cài đặt cửa sau hoặc đơn giản phá hoại dữ liệu.
Zombie
Đây là chương trình bí mật điều khiển máy tính của mạng khác và sử dụng nó để gián tiếp tiến hành các tấn công. Thông thường sử dụng để khởi động tấn công từ chối các dịch vụ phân tán (DdoS). Khai thác các lỗ hổng trong các hệ thống.
Virus
Virus là đoạn code tự sinh lặp đính kèm với code khác như virus sinh học. Cả hai đều lan truyền tự nó và mang đi bộ tải
o Mang theo code để tạo các bản sao của chính nó
o Và cũng như mọi code nó cũng thực hiện nhiệm vụ ngầm nào đó
Thao tác của virus
Các giai đoạn của virus
o Nằm im - chờ sự kiện kích hoạt
o Lan truyền – lặp sinh ra chương trình/đĩa
o Kích hoạt - bởi sự kiện để thực hiện bộ tải
o Thực hiện bộ tải
o Cụ thể thông thường mang tính chất chuyên biệt của các máy và hệ điều hành. Nó khai thác các tính chất và điểm yếu
Cấu trúc Virus
program V :=
{goto main;< /pre>
1234567;
subroutine infect-executable := {loop:
file := get-random-executable-file;
if (first-line-of-file = 1234567) then goto loop else prepend V to file; }
subroutine do-damage := {whatever damage is to be done}
subroutine trigger-pulled := {return true if condition holds}
main: main-program := {infect-executable;
if trigger-pulled then do-damage;
goto next;}
next:
}
Các kiểu Virus
Có thể phân loại dựa trên kiểu tấn công
o Virus ăn bám
o Virus cư trú ở bộ nhớ
o Virus ở sector khởi động
o Lén lút
o Virus nhiều hình thái
o Virus biến hoá
Marco Virus
Marco code đính kèm file dữ liệu, được dịch bởi chương trình sử dụng file
o Như marco của Word/Excel
o Sử dụng lệnh tự động và lệnh marco
Đây là đoạn code là độc lập với nền tảng, là đoạn nguồn chính của sự lan nhiễm virus. Có sự khác biệt không rõ ràng giữa dữ liệu và file chương trình, thông thường có sự thoả hiệp truyền thống: “dễ dàng sử dụng” và “an toàn”. Đã có sự cải thiện an toàn trong Word, không trội hơn sự đe doạ của virus.
Virus email
Đây là loại virus lan truyền sử dụng email được đính kèm chứa marco virus như Melissa. Thường được kích hoạt khi người sử dụng mở file đính kèm hoặc ít khi hơn khi mail được xem sử dụng một tính chất script của tác nhân mail. Do đó sẽ lan truyền rất nhanh, thông thường đích là tác nhân mail Microsoft Outlook hoặc tài liệu Word /Excel. Cần an toàn ứng dụng và hệ điều hành tốt hơn
Sâu
Đây là chương trình sinh lặp nhưng không có tác động, thường lan truyền trên mạng
o Như sâu Internet Morris 1988
o Dẫn đến việc tạo ra các đội ứng cứu khẩn cấp máy tính CERT
o Dùng đặc quyền phân tán hoặc khai thác các điểm yếu hệ thống
o Được sử dụng rộng rãi bởi Hackers để tạo zombie PC, kéo theo sử dụng các tấn công khác, đặc biệt từ chối dich vụ DoS
Vấn đề chính là mất sự an toàn của hệ thống kết nối thường xuyên như PC.
Thao tác của sâu
Các giai đoạn của sâu giống như virus:
o Nằm im
o Lan truyền
- Tìm hệ thống khác để tác động
- Thiết lập kết nội với hệ thống đích từ xa
- Tự sinh lặp mình cho hệ thống từ xa
o Kích hoạt
o Thực hiện
Sâu Morrris
Sâu Morris là loại sâu cổ điển, được tạo bởi Robert Morris vào 1988, nhằm tới các hệ thống Unix. Ở đây sử dụng một số kỹ thuật lan truyền, như
o Phá mật khẩu đơn giản trong file mật khẩu cục bộ
o Khai thác lỗ hổng
o Tìm lỗi cửa sập trong hệ thống mail
Mọi tấn công thành công sẽ sinh lặp nó.
Tấn công của sâu đương thời
Làn sóng tấn công của sâu đương thời mới từ giữa 2001 như:
- Code Red - sử dụng lỗ hổng MS IIS:
o Thử IP ngẫu nhiên cho hệ thống chạy IIS
o Có kích hoạt thời gian cho tấn công từ chối dịch vụ
o Làn sóng thứ hai tác động đến 360000 máy chủ trong vòng 14 giờ
- Code Red 2 – cài đặt cửa sập
- Nimda – cơ chế tác động lặp
- SQL Slammer – đã tấn công máy chủ MS SQL
- Sobig – đã tấn công máy chủ proxy mở
- Mydoom – sâu email có số lượng lớn và có cửa sau
Công nghệ sâu
Các đặc tính của công nghệ sâu là tấn công đa nền tảng, khai thác nhiều chiều, lan truyền cực nhanh, có nhiều kiểu tác động, biến hoá, cơ động và khai thác zero day.
Các biện pháp chống Virus
Biện pháp tốt nhất là ngăn ngừa, nhưng nói chung là không thể. Do đó cần phải có một trong nhiều biện pháp sau:
o Phát hiện virus nhiễm trong hệ thống
o Định danh loại virus nhiễm
o Loại bỏ khôi phục hệ thống về trạng thái sạch
Phần mềm chống Virus
Phần mềm thuộc thế hệ đầu tiên
o Quét sử dụng chữ ký của virus để định danh
o Hoặc phát hiện sự thay đổi độ dài của chương trình
Phần mềm thuộc thế hệ thứ hai
o Sử dụng các qui tắc trực quan để phát hiện nhiễm virus
o Sử dụng mã hash của chương trình để phát hiện sự thay đổi
Phần mềm thuộc thế hệ thứ ba
o Chương trình thường trú trong bộ nhớ định danh virus theo hành động
Phần mềm thuộc thế hệ thứ tư
- Đóng gói với rất nhiều kiểu kỹ thuật chống virus
- Quét và lần vết tích cực, kiểm soát truy cập
Phương pháp diệt bằng tay vẫn được dùng.
Kỹ thuật chống Virus nâng cao
Giải mã mẫu
o Sử dụng mô phỏng CPU kiểm tra chương trình, chữ ký và hành vi trước khi chạy chúng
Dùng Hệ thống miễn dịch số (IBM)
o Hành động đa muc tiêu và chống Virus
o Mọi virus nhập vào tổ chức được nắm bắt, phân tích, phát hiện/tấm chắn tạo ra chống nó và loại bỏ
Sau đây là sơ đồ Hệ miễn dịch số (Digital Immune System)
Phần mềm ngăn chặn hành vi
Các phần mềm này được tích hợp với hệ điều hành của máy chủ. Chương trình theo dõi các hành vi trong thời gian thực
o Chẳng hạn truy cập file, định dạng đĩa, các chế độ thực hiện, thay đổi tham số hệ thống, truy cập mạng
Đối với các hành động có khả năng có hại
o Nếu phát hiện thì ngăn chặn, chấm dứt hoặc tìm kiếm
Có ưu điểm so với quét, nhưng code có hại chạy trước khi phát hiện.
Tấn công từ chối dịch vụ từ xa
Tấn công từ chối dịch vụ từ xa (DDoS) tạo thành đe dọa đáng kể, làm cho hệ thống trở nên không sẵn sàng, làm tràn bởi sự vận chuyển vô ích.
Kẻ tấn công thường sử dụng một số lớn các “zombies”, tăng độ khó của các tấn công. Công nghệ bảo vệ tìm các biện pháp đương đầu chống lại
Tìm hiểu cách kẻ thù xây dựng mạng lưới tấn công từ chối dịch vụ từ xa
Từ chối dịch vụ có hiệu lực khi bị nhiễm rất nhiều “zombies”. Để thực hiện được điều
đó cần có:
- Phần mềm cài đặt tấn công từ chối dịch vụ từ xa
- Các lỗ hổng không vá được trong nhiều hệ thống
- Chiến lược quét để tìm lỗ hổng hệ thống: sử dụng các yếu tố ngẫu nhiên, lập danh sách va chạm, tìm hiểu cấu trúc topo, mạng con cục bộ.
Chống tấn công từ chối dịch vụ từ xa (DDoS)
Có ba cách bảo vệ sau đây được dùng rộng rãi
- Ngăn ngừa tấn công và chiếm lĩnh trước.
- Phát hiện tấn công và lọc trong quá trình sử dụng dịch vụ
- Lần vết nguồn tấn công và xác định sự tấn công sau khi sử dụng xong dịch vụ.
Nói chung có phạm vi rộng các khả năng tấn công, vì vậy phải có nhiều biện pháp chống và sử dụng kết hợp chúng.
