CH NG 4: SOCIALƯƠ
ENGINEERING
Social engineering là ph ng pháp phi k thu t đ t nh p vào h th ng ho c m ngươ ỹ ậ ộ ậ ệ ố ặ ạ
công ty. Đó là quá trình đánh l a ng i dùng c a h th ng, ho c thuy t ph c hừ ườ ủ ệ ố ặ ế ụ ọ
cung c p thông tin có th giúp chúng ta đánh b i b ph n an ninh. Social engineeringấ ể ạ ộ ậ
là r t quan tr ng đ tìm hi u, b i vì hacker có th l i d ng t n công vào y u t conấ ọ ể ể ở ể ợ ụ ấ ế ố
ng i và phá v h th ng k thu t an ninh hi n t i. Ph ng pháp này có th sườ ỡ ệ ố ỹ ậ ệ ạ ươ ể ử
d ng đ thu th p thông tin tr c ho c trong cu c t n công.ụ ể ậ ướ ặ ộ ấ
1. Social engineering là gì?
Social engineering s d ng s nh h ng và s thuy t ph c đ đánh l a ng iử ụ ự ả ưở ự ế ụ ể ừ ườ
dùng nh m khai thác các thông tin có l i cho cu c t n công ho c thuy t ph c n nằ ợ ộ ấ ặ ế ụ ạ
nhân th c hi n m t hành đ ng nào đó. Social engineer (ng i th c hi n công vi cự ệ ộ ộ ườ ự ệ ệ
t n công b ng ph ng pháp social engineering) th ng s d ng đi n tho i ho cấ ằ ươ ườ ử ụ ệ ạ ặ
internet đ d d ng i dùng ti t l thông tin nh y c m ho c đ có đ c h có thể ụ ỗ ườ ế ộ ạ ả ặ ể ượ ọ ể
làm m t chuy n gì đó đ ch ng l i các chính sách an ninh c a t ch c. B ngộ ệ ể ố ạ ủ ổ ứ ằ
ph ng pháp này, Social engineer ti n hành khai thác các thói quen t nhiên c aươ ế ự ủ
ng i dùng, h n là tìm các l h ng b o m t c a h th ng. Đi u này có nghĩa làườ ơ ỗ ổ ả ậ ủ ệ ố ề
ng i dùng v i ki n th c b o m t kém cõi s là c h i cho k thu t t n công nàyườ ớ ế ứ ả ậ ẽ ơ ộ ỹ ậ ấ
hành đ ng.ộ
Sau đây là m t ví d v k thu t t n công social engineering đ c Kapil Raina kộ ụ ề ỹ ậ ấ ượ ể
l i, hi n ông này đang là m t chuyên gia an ninh t i Verisign, câu chuy n x y ra khiạ ệ ộ ạ ệ ẩ
ông đang làm vi c t i m t công ty khác tr c đó: “M t bu i sàng vài năm tr c, m tệ ạ ộ ướ ộ ổ ướ ộ
nhóm ng i l b c vào công ty v i t cách là nhân viên c a m t công ty v nườ ạ ướ ớ ư ủ ộ ậ
chuy n mà công ty này đang có h p đ ng làm vi c chung. Và h b c ra v i quy nể ợ ộ ệ ọ ướ ớ ề
truy c p vào toàn b h th ng m ng công ty. H đã làm đi u đó b ng cách nào?.ậ ộ ệ ố ạ ọ ề ằ
B ng cách l y m t l ng nh thông tin truy c p t m t s nhân viên khác nhau trongằ ấ ộ ượ ỏ ậ ừ ộ ố
công ty. Đ u tiên h đã ti n hành m t nghiên c u t ng th v công ty t hai ngàyầ ọ ế ộ ứ ổ ể ề ừ
tr c. Ti p theo h giã v làm m t chìa khóa đ vào c a tr c, và m t nhân viênướ ế ọ ờ ấ ể ử ướ ộ
công ty đã giúp h tìm l i đ c. Sau đó, h làm m t th an ninh đ vào c ng công ty,ọ ạ ượ ọ ấ ẻ ể ổ
và ch b ng m t n c i thân thi n, nhân viên b o v đã m c a cho h vào. Tr cỉ ằ ộ ụ ườ ệ ả ệ ở ử ọ ướ
đó h đã bi t tr ng phòng tài chính v a có cu c công ta xa, và nh ng thông tin c aọ ế ườ ừ ộ ữ ủ
ông này có th giúp h t n công h th ng. Do đó h đã đ t nh p văn phòng c a giámể ọ ấ ệ ố ọ ộ ậ ủ
đ c tài chính này. H l c tung các thùng rác c a công ty đ tìm ki m các tài li u h uố ọ ụ ủ ể ế ệ ữ
ích. Thông qua lao công c a công ty, h có thêm m t s đi m ch a tài li u quanủ ọ ộ ố ể ứ ệ
tr ng cho h mà là rác c a ng i khác. Đi m quan tr ng cu i cùng mà h đã sọ ọ ủ ườ ể ọ ố ọ ử
d ng là gi gi ng nói c a v giám đ c v n m t này. Có thành qu đó là do h đã ti nụ ả ọ ủ ị ố ắ ặ ả ọ ế
hành nghiên c u gi ng nói c a v giám đ c. Và nh ng thông tin c a ông giám đ c màứ ọ ủ ị ố ữ ủ ố
h thu th p đ c t thùng rác đã giúp cho h t o s tin t ng tuy t đ i v i nhânọ ậ ượ ừ ọ ạ ự ưở ệ ố ớ
viên. M t cu c t n công đã di n ra, khi h đã g i đi n cho phòng IT v i vai trò giámộ ộ ấ ễ ọ ọ ệ ớ
đ c phòng tài chính, làm ra v mình b m t pasword, và r t c n password m i. Hố ẽ ị ấ ấ ầ ớ ọ
ti p t c s d ng các thông tin khác và nhi u k thu t t n công đã giúp h chi m lĩnhế ụ ử ụ ề ỹ ậ ấ ọ ế
toàn b h th ng m ng”. Nguy hi m nh t c a k thu t t n công này là quy trìnhộ ệ ố ạ ể ấ ủ ỹ ậ ấ
th m đ nh thông tin cá nhân. Thông qua t ng l a, m ng riêng o, ph n m m giámẩ ị ườ ử ạ ả ầ ề
sát m ng...s giúp r ng cu c t n công, b i vì k thu t t n công này không s d ngạ ẽ ộ ộ ấ ở ỹ ậ ấ ử ụ
các bi n pháp tr c ti p. Thay vào đó y u t con ng i r t quan tr ng. Chính s l làệ ự ế ế ố ườ ấ ọ ự ơ
c a nhân viên trong công ty trên đã đ cho k t n công thu th p đ c thông tin quanủ ể ẽ ấ ậ ượ
tr ng.ọ
2. Ngh thu t c a s thao túng ệ ậ ủ ự
Social Engineering bao g m vi c đ t đ c nh ng thông tin m t hay truy c p tráiồ ệ ạ ượ ữ ậ ậ
phép, b ng cách xây d ng m i quan h v i m t s ng i. K t qu c a socialằ ự ố ệ ớ ộ ố ườ ế ả ủ
engineer là l a m t ng i nào đó cung c p thông tin có giá tr . Nó tác đ ng lên ph mừ ộ ườ ấ ị ộ ẩ
ch t v n có c a con ng i, ch ng h n nh mong mu n tr thành ng i có ích, tinấ ố ủ ườ ẳ ạ ư ố ở ườ
t ng m i ng i và s nh ng r c r i.ưở ọ ườ ợ ữ ắ ố
Social engineering v n d ng nh ng th thu t và k thu t làm cho m t ng i nào đóậ ụ ữ ủ ậ ỹ ậ ộ ườ
đ ng ý làm theo nh ng gì mà Social engineer mu n. Nó không ph i là cách đi uồ ữ ố ả ề
khi n suy nghĩ ng i khác, và nó không cho phép Social engineer làm cho ng i nàoể ườ ườ
đó làm nh ng vi c v t quá t cách đ o đ c thông th ng. Và trên h t, nó không dữ ệ ượ ư ạ ứ ườ ế ễ
th c hi n chút nào. Tuy nhiên, đó là m t ph ng pháp mà h u h t Attackers dùng đự ệ ộ ươ ầ ế ể
t n công vào công ty. Có 2 lo i r t thông d ng :ấ ạ ấ ụ
•Social engineering là vi c l y đ c thông tin c n thi t t m t ng i nào đóệ ấ ượ ầ ể ừ ộ ườ
h n là phá h y h th ng.ơ ủ ệ ố
•Psychological subversion: m c đích c a hacker hay attacker khi s d ngụ ủ ử ụ
PsychSub (m t k thu t thiên v tâm lý) thì ph c t p h n và bao g m sộ ỹ ậ ề ứ ạ ơ ồ ự
chu n b , phân tích tình hu ng, và suy nghĩ c n th n, chính xác nh ng t sẩ ị ố ẩ ậ ữ ừ ử
d ng và gi ng đi u khi nói, và nó th ng s d ng trong quân đ i.ụ ọ ệ ườ ử ụ ộ
Sau đây là m t tình hu ng mà m t Attacker đã đánh c p password c a m t kháchộ ố ộ ấ ủ ộ
hàng. N u b n có ý đ làm hacker thì có th h c h i, còn n u b n là ng i dùng thìế ạ ồ ể ọ ỏ ế ạ ườ
hãy c n th n khi g p tình hu ng t ng t .ẩ ậ ặ ố ươ ự
Vào m t bu i sáng, cô Alice đang ăn sáng thì nh n đ c cu c g i.ộ ổ ậ ượ ộ ọ
Attacker : “ Chào bà, tôi là Bob, tôi mu n nói chuy n v iố ệ ớ
cô Alice”
Alice: “ Xin chào, tôi là Alice”.
Attacker: ” Chào cô Alice, tôi g i t trung tâm d li u,ọ ừ ữ ệ
xin l i vì tôi g i đi n cho cô s m Th này…”ỗ ọ ệ ớ ế
Alice: ” Trung tâm d li u à, tôi đang ăn sáng, nh ngữ ệ ư
không sao đâu.”
Attacker: ” Tôi g i đi n cho cô vì nh ng thông tin cá nhânọ ệ ữ
c a cô trong phi u thông tin t o account có v n đ .”ủ ế ạ ấ ề
Alice: ” C a tôi à..à vâng.”ủ
Attacker: ” Tôi thông báo v i cô v vi c server mail v a bớ ề ệ ừ ị
s p t i qua, và chúng tôi đang c g ng ph c h i l i hậ ố ố ắ ụ ồ ạ ệ
th ng mail. ốVì cô là ng i s d ng xa nên chúng tôi xườ ử ụ ở ử
lý tr ng h p c a cô tr c tiên.”ườ ợ ủ ướ
Alice: ”V y mail c a tôi có b m t không?”ậ ủ ị ấ
Attacker: “Không đâu, chúng tôi có th ph c h i l i đ cể ụ ồ ạ ượ
mà. Nh ng vì chúng tôi là nhân viên phòng d li u, vàư ữ ệ
chúng tôi không đ c phép can thi p vào h th ng mail c aượ ệ ệ ố ủ
văn phòng, nên chúng tôi c n có password c a cô, n u khôngầ ủ ế
chúng tôi không th làm gì đ c.”ể ượ
Alice: ”Password c a tôi à?uhm..”ủ
Attacker: ”Vâng, chúng tôi hi u, trong b n đăng kí ghi rõể ả
chúng tôi không đ c h i v v n đ này, nh ng nó đ c vi tượ ỏ ề ấ ề ư ượ ế
b i văn phòng lu t, nên t t c ph i làm đúng theo lu t.” (ở ậ ấ ả ả ậ
n l c làm tăng s tin t ng t n n nhân)ỗ ự ự ưở ừ ạ
Attacker: ” Username c a cô là AliceDxb ph i không? Phòngủ ả
h th ng đ a cho chúng tôi username và s đi n tho i c aệ ố ư ố ệ ạ ủ
cô, nh ng h không đ a password cho chúng tôi. Không cóư ọ ư
password thì không ai có th truy c p vào mail c a côể ậ ủ
đ c, cho dù chúng tôi phòng d li u. Nh ng chúng tôiượ ở ữ ệ ư
ph i ph c h i l i mail c a cô, và chúng tôi c n ph i truyả ụ ồ ạ ủ ầ ả
c p vào mail c a cô. Chúng tôi đ m b o v i cô chúng tôi sậ ủ ả ả ớ ẽ
không s d ng password c a cô vào b t c m c đích nàoử ụ ủ ấ ứ ụ
khác.”
Alice: ” uhm, pass này cũng không riêng t l m đâu, passư ắ
c a tôi là 123456”ủ
Attacker: ” Cám n s h p tác c a cô. Chúng tôi s ph cơ ự ợ ủ ẽ ụ
h i l i mail c a cô trong vài phút n a.”ồ ạ ủ ữ
Alice: ” Có ch c là mail không b m t không?”ắ ị ấ
Attacker: ” T t nhiên là không r i. Ch c cô ch a g pấ ồ ắ ư ặ
tr ng h p này bao gi , n u có th c m c gì thì hãy liên hườ ợ ờ ế ắ ắ ệ
v i chúng tôi. Cô có th tìm s liên l c trên Internet.”ớ ể ố ạ ở
Alice: ” C m n.”ả ơ
Attacker: ” Chào cô.”
3. Đi m y u c a m i ng iể ế ủ ọ ườ
M i ng i th ng m c ph i nhi u đi m y u trong các v n đ b o m t. Đ đọ ườ ườ ắ ả ề ể ế ấ ề ả ậ ể ề
phòng thành công thì chúng ta ph i d a vào các chính sách t t và hu n luy n nhânả ự ố ấ ệ
viên th c hi n t t các chính sách đó. Social engineering là ph ng pháp khó phòngự ệ ố ươ
ch ng nh t vì nó không th dùng ph n c ng hay ph n m m đ ch ng l i. ố ấ ể ầ ứ ầ ề ể ố ạ
M t ng i nào đó khi truy c p vào b t c ph n nào c a h th ng thì các thi t b v tộ ườ ậ ấ ứ ầ ủ ệ ố ế ị ậ
lý và v n đ c p đi n có th là m t tr ng i l n. B t c thông tin nào thu th p đ cấ ề ấ ệ ể ộ ở ạ ớ ấ ứ ậ ượ
đ u có th dùng ph ng pháp Social engineering đ thu th p thêm thông tin. Cóề ể ươ ể ậ
nghĩa là m t ng i không n m trong chính sách b o m t cũng có th phá h y hộ ườ ằ ả ậ ể ủ ệ
th ng b o m t. Các chuyên gia b o m t cho r ng cách b o m t gi u đi thông tin làố ả ậ ả ậ ằ ả ậ ấ
r t y u. Trong tr ng h p c a Social engineering, hoàn toàn không có s b o m tẩ ế ườ ợ ủ ự ả ậ
nào vì không th che gi u vi c ai đang s d ng h th ng và kh năng nh h ngể ấ ệ ử ụ ệ ố ả ả ưở
c a h t i h th ng. ủ ọ ớ ệ ố
Có nhi u cách đ hoàn thành m c tiêu đ ra. Cách đ n gi n nh t là yêu c u tr cề ể ụ ề ơ ả ấ ầ ự
ti p, đó là đ t câu h i tr c ti p. M c dù cách này r t khó thành công, nh ng đây làế ặ ỏ ự ế ặ ấ ư
ph ng pháp d nh t, đ n gi n nh t. Ng i đó bi t chính xác h c n gì. ươ ễ ấ ơ ả ấ ườ ế ọ ầ
Cách th hai, t o ra m t tình hu ng mà n n nhân có liên quan đ n. V i các nhân tứ ạ ộ ố ạ ế ớ ố
khác nhau c n đ c yêu c u xem xét, làm th nào đ n n nhân d dàng dính b yầ ượ ầ ế ể ạ ễ ẩ
nh t, b i vì attacker có th t o ra nh ng lý do thuy t ph c h n nh ng ng i bìnhấ ở ể ạ ữ ế ụ ơ ữ ườ
th ng. Attacker càng n l c thì kh năng thành công càng cao, thông tin thu đ cườ ỗ ự ả ượ
càng nhi u. Không có nghĩa là các tình hu ng này không d a trên th c t . Càng gi ngề ố ự ự ế ố
s th t thì kh năng thành công càng cao. ự ậ ả
M t trong nh ng công c quan tr ng đ c s d ng trong Social engineering là m tộ ữ ụ ọ ượ ử ụ ộ
trí nh t t đ thu th p các s ki n. Đó là đi u mà các hacker và sysadmin n i tr iớ ố ể ậ ự ệ ề ổ ộ
h n, đ c bi t khi nói đ n nh ng v n đ liên quan đ n lĩnh v c c a h .ơ ặ ệ ế ữ ấ ề ế ự ủ ọ
4. Phân lo i k thu t t n công Social engineering ạ ỹ ậ ấ
Social engineering có th đ c chia thành hai lo i ph bi n:ể ượ ạ ổ ế
Human-based: K thu t Social engineering liên quan đ n s t ng tác gi a conỹ ậ ế ự ươ ữ
ng i v i con ng i đ thu đ c thông tin mong mu n. Ví d nh chúng ta ph i g iườ ớ ườ ể ượ ố ụ ư ả ọ
đi n tho i đ n phòng Help Desk đ truy tìm m t kh u.ệ ạ ế ể ậ ẩ
Computer-based: K thu t này liên quan đ n vi c s d ng các ph n m m đ cỹ ậ ế ệ ử ụ ầ ề ể ố
g ng thu th p thông tin c n thi t. Ví d b n g i email và yêu c u ng i dùng nh pắ ậ ầ ế ụ ạ ử ầ ườ ậ
l i m t kh u đăng nh p vào website. K thu t này còn đ c g i là Phishing (l aạ ậ ẩ ậ ỹ ậ ượ ọ ừ
đ o).ả
4.1. Human-Based Social Engineering
K thu t Human Based có th chia thành các lo i nh sau:ỹ ậ ể ạ ư
Impersonation: M o danh là nhân viên ho c ng i dùng h p l . Trong k thu t này,ạ ặ ườ ợ ệ ỹ ậ
k t n công s gi d ng thành nhân viên công ty ho c ng i dùng h p l c a hẽ ấ ẽ ả ạ ặ ườ ợ ệ ủ ệ
th ng. Hacker m o danh mình là ng i gác công, nhân viên, đ i tác, đ đ p nh pố ạ ườ ố ể ộ ậ
công ty. M t khi đã vào đ c bên trong, chúng ti n hành thu th p các thông tin tộ ượ ế ậ ừ
thùng rác, máy tính đ bàn, ho c các h th ng máy tính, ho c là h i thăm nh ngể ặ ệ ố ặ ỏ ữ
ng i đ ng nghi p.ườ ồ ệ
Posing as Important User: Trong vai trò c a m t ng i s d ng quan tr ng nhủ ộ ườ ử ụ ọ ư
ng i quan lý c p cao, tr ng phòng, ho c nh ng ng i c n tr giúp ngay l p t c,ườ ấ ưở ặ ữ ườ ầ ợ ậ ứ
hacker có th d d ng i dùng cung c p cho chúng m t kh u truy c p vào hể ụ ỗ ườ ấ ậ ẩ ậ ệ
th ng.ố
Third-person Authorization: L y danh nghĩa đ c s cho phép c a m t ng i nàoấ ượ ự ủ ộ ườ
đó đ truy c p vào h th ng. Ví d m t tên hacker nói anh đ c s y quy n c aể ậ ệ ố ụ ộ ượ ự ủ ề ủ
giám đ c dùng tài kho n c a giám đ c đ truy c p vào h th ng.ố ả ủ ố ể ậ ệ ố
Calling Technical Support: G i đi n tho i đ n phòng t v n k thu t là m tọ ệ ạ ế ư ấ ỹ ậ ộ
ph ng pháp c đi n c a k thu t t n công Social engineering. Help-desk và phòngươ ổ ể ủ ỹ ậ ấ
h tr k thu t đ c l p ra đ giúp cho ng i dùng, đó cũng là con m i ngon choổ ợ ỹ ậ ượ ậ ể ườ ồ
hacker.
Shoulder Surfing là k thu t thu th p thông tin b ng cách xem file ghi nh t ký hỹ ậ ậ ằ ậ ệ
th ng. Thông th ng khi đăng nh p vào h th ng, quá trình đăng nh p đ c ghiố ườ ậ ệ ố ậ ượ
nh n l i, thông tin ghi l i có th giúp ích nhi u cho hacker.ậ ạ ạ ể ề
Dumpster Diving là k thu t thu th p thông tin trong thùng rác. Nghe có v “đê ti n”ỹ ậ ậ ẽ ệ
vì ph i lôi thùng rác c a ng i ta ra đ tìm ki m thông tin, nh ng vì đ i cu c ph iả ủ ườ ể ế ư ạ ộ ả
ch p nh n hi sinh. Nói vui v y, thu th p thông tin trong thùng rác c a các công ty l n,ấ ậ ậ ậ ủ ớ