Social Engineering 1
HỌ C VIỆ N CÔNG NGHỆ BƯ U CHÍNH VIỄ N THÔNG
CƠ SỞ TPHCM

ĐỒ ÁN MÔN HỌ C:
SOCIAL ENGINEERING
GVHD: Ths. Lê Phúc
SVTH: Hồ Ngọ c Thiệ n
Trầ n Thị Thùy Mai
TP.Hồ Chí Minh, 4/ 2009
Social Engineering 2
MỤ C LỤ C
Chư ơ ng 1: GIỚ I THIỆ U TỔ NG QUAN VỀ SOCIAL ENGINEERIN G
1.1 Khái niệ m về Social Engineering
1.2 Thủ thuậ t
1.3 Điể m yế u củ a con ngư ờ i
Chư ơ ng 2: PHÂN LOẠ I
2.1 Human – based
2.1.1 Impersonation
2.1.2 Important User
2.1.3 Third-party Authorization
2.1.4 Technical Support
2.1.5 In Person
2.2 Computer – based
2.2.1 Phising
2.2.2 Vishing
2.2.3 Pop-up Windows
2.2.4 Mail attachments
2.2.5 Websites
2.2.6 Interesting Software
Chư ơ ng 3: CÁC BƯ Ớ C TẤ N CÔNG TRONG SOCIAL ENGINEERING
3.1 Thu thậ p thông tin
3.2 Chọ n mụ c tiêu
3.3 Tấ n công
Chư ơ ng 4: CÁC MỐ I ĐE DỌ A TỪ SOCIAL ENGINEERING
4.1 Các mố i đe dọ a trự c tuyế n (Online Threats)
4.1.1 Các mố i đe dọ a từ E-mail (E-mail Threats)
4.1.2 Các ứ ng dụ ng pop-up và hộ p hộ i thoạ i( Pop-Up Applications and Dialog
Boxes)
4.1.3 Instant Mesaging
4.2 Telephone-Based Threats
4.2.1 Private Branch Exchange
4.2.2 Service Desk
4.3 Waste Management Threats
4.4 Personal Approaches
4.4.1 Virtual Approaches
4.4.2 Physical Approaches
4.5 Reverse Social Engineering
Chư ơ ng 5: THIẾ T KẾ SỰ PHÒNG VỆ CHỐ NG LẠ I CÁC MỐ I ĐE DỌ A TỪ SOCIAL
ENGINEERING
5.1 Xây dự ng mộ t framework quả n lý an ninh
5.2 Đánh giá rủ i ro
5.3 Social engineering trong chính sách an ninh
Social Engineering 3
Chư ơ ng 6: THỰ C THI SỰ PHÒNG VỆ CHỐ NG LẠ I CÁC MỐ I ĐE DỌ A TỪ SOCI AL
ENGINEERING
6.1 Sự nhậ n thứ c
6.2 Quả n lý sự cố
6.3 Xem xét sự thự c thi
6.4 Social Engineering và mô hình phân l ớ p phòng thủ chiề u sâu
Social Engineering 4
Social Engineering 5
1.1 Khái niệ m về Social Engineering:
Social engineering là lợ i dụ ng sự ả nh hư ở ng và niề m tin để lừ a mộ t ngư ờ i nào đó nhằ m mụ c
đích lấ y cắ p thông tin hoặ c thuyế t phụ c nạ n nhân để thự c hiệ n việc gì.
Các công ty mặ c dù áp dụ ng các phư ơ ng pháp xác thự c, các firewalls, các mạ ng riêng ả o
VPN, các phầ n mề m giám sát mạ ng vẫ n có rất nhiề u khả năng bị tấ n công.
Mộ t nhân viên có thể vô tình để lộ thông tin key trong email hoặ c trả lờ i điệ n thoạ i củ a mộ t
ngư ờ i mà họ không quen biế t hoặ c thậ m chí nói về đề án củ a họ vớiđồ ng nghiệ p hàng giờ
liề n ở quán rư ợ u.
Bả o mậ t đư ợ c xem là tố t nhấ t nế u nó có thể phát huy trên cả nhữ ng liên kế t yế u nhấ t. Social
Engineering là lợ i dụ ng sự ả nh hư ở ng và niề m tin để lừ a mộ t ngư ờ i nào đó nhằ m mụ c đích
lấ y cắ p thông tin hoặ c thuyế t phụ c nạ n nhân để thự c hiệ n việc gì. Và không có vấ n đề gì khi
các công ty đầ u tư cho các hệ thố ng chấ t lư ợ ng cao và các giả i pháp bả o mậ t chẳ ng hạ n như
các phư ơ ng pháp xác thự c đơ n giả n, các firewalls, mạ ng riêng ả o VPN và các phầ n mề m
giám sát mạ ng. Không có thiế t bị hay giớ i hạ n bả o mậ t nào hiệu quả khi mộ t nhân viên vô
tình để lộ thông tin key trong email, hay trả lờ i điệ n thoạ i củ a ngư ờ i lạ hoặ c mộ t ngư ờ i mớ i
quen thậ m chí khoe khoang về dựán củ a họ vớ i đồ ng nghiệ p hàng giờ liề n ở quán rư ợ u.
Thông thư ờ ng, mọ i ngư ờ i không nhậ n thấ y sai sót củ a họ trong việc bả o mậ t, mặ c dù họ
không cốý. Nhữ ng ngư ờ i tấ n công đặ c biệ t rấ t thích phát triể n kĩ năng về Social
Engineering và có thể thành thạ o đế n mứ c nhữ ng nạn nhân củ a không hề biế t rằ ng họ đang
bị lừ a. Mặ c dù có nhiề u chính sách bả o mậ t trong công ty, nhưng họ vẫ n có thể bị hạ i do
hacker lợ i dụ ng lòng tố t và sự giúp đỡ củ a mọ i ngư ờ i.
Nhữ ng kẻ tấ n công luôn tìm những cách mớ i để lấ y đư ợ c thông tin. Họ chắ c chắ n là họ nắ m
rõ vành đai bả o vệ và những ngư ờ i trự c thuộ c – nhân viên bả o vệ, nhân viên tiếp tân và
nhữ ng nhân viên ở bộ phận hỗ trợ-để lợ i dụ ng sơ hở của họ . Thư ờ ng thì mọ i ngư ờ i dự a
vào vẻ bề ngoài để phán đoán. Ví dụ , khi nhìn thấ y mộ t ngư ờ i mặ c đồ ng phụ c màu nâu và
mang theo nhiề u hộ p cơ m, mọ i ngư ờ i sẽ mở cử a vì họ nghĩ đây là ngư ờ i giao hàng.
Mộ t số công ty liệ t kê danh sách nhân viên trong công ty kèm theo s ố điệ n thọ ai, email trên
Website củ a công ty. Ngoài ra, các công ty còn thêm danh sách các nhân viên chuyên
nghiệ p đãđư ợ c đào tạ o trong cơ sở dữ liệ u Oracle hay UNIX servers. Đây l à mộ t số ít thông
tin giúp cho attacker biế t đư ợ c loạ i hệ thố ng mà họ đang đị nh xâm nhậ p.
1.2 Thủ thuậ t:
Social Engineering bao gồ m việ c đạ t đư ợ c nhữ ng thông tin mậ t hay truy cậ p trái phép, bằ ng
cách xây dự ng mố i quan hệ vớ i mộ t số ngư ờ i.
Kế t quả củ a social engineer là lừ a mộ t ngư ờ i nào đó cung cấ p thông tin có giá trị hay sử
dụ ng thông tin đó.
Nó tác độ ng lên phẩ m chấ t vố n có củ a con ngư ờ i, chẳ ng hạ n như mong muố n trở thành
ngư ờ i có ích, tin tư ở ng mọ i ngư ờ i và sợ nhữ ng rắ c rố i.
Social engineering là thủ thuậ t và kỹ thuậ t làm cho mộ t ngư ờ i nào đó đồ ng ý làm theo
nhữ ng gì mà attacker muố n. Nó không phả i là cách điề u khiể n suy nghĩ ngư ờ i khác, và nó