Bài tập lớn 'An toàn bảo mật thông tin'
-
Upload
nguyen-sy-quan -
Category
Documents
-
view
299 -
download
15
description
Transcript of Bài tập lớn 'An toàn bảo mật thông tin'
BÀI TẬP LỚN MÔN AN TOÀN BẢO MẬT THÔNG TIN
Tìm hiểu về Sniffers
Giáo viên hướng dẫn: Ths Đỗ Văn Uy.
Nhóm sinh viên thực hiện:
Mai Thị Gấm 20090843
Trương Hoàng Linh 20102688
Nguyễn Sỹ Quân 20102724
Phạm Thị Sen 20102077
Nguyễn Kim Tú 20102520
MAY 20, 2014
1
Mục lục Lời mở đầu ............................................................................................................. 3
Sniffer .................................................................................................................... 4
Giới thiệu ........................................................................................................... 4
Mục đích sử dụng .............................................................................................. 4
Cách thức hoạt động .......................................................................................... 4
Phân loại ............................................................................................................ 5
Lawful Intercept ..................................................................................................... 6
Giới thiệu và cơ chế hoạt động .......................................................................... 6
Lợi ích ................................................................................................................ 6
Các thành phần mạng sử dụng cho Lawful Intercept ......................................... 7
Wiretapping (nghe lén) .......................................................................................... 7
Khái niệm và phân loại ....................................................................................... 7
Các hình thức ..................................................................................................... 7
Hardware Protocal Analyzer .................................................................................. 9
Khái niệm về Protocal Analyzer .......................................................................... 9
Thiết bị phần cứng ............................................................................................. 9
SPAN Port .............................................................................................................. 9
MAC Flooding ...................................................................................................... 10
DHCP Attacks ....................................................................................................... 10
DHCP là gì ........................................................................................................ 10
Cơ chế hoạt động ............................................................................................. 11
Tấn công DHCP ................................................................................................. 12
ARP Poisoning ...................................................................................................... 14
ARP là gì ........................................................................................................... 14
Cơ chế tấn công ARP Poisoning ........................................................................ 14
Chống lại ARP Attack ........................................................................................ 16
Spoofing Attack .................................................................................................... 17
2
Định nghĩa ........................................................................................................ 17
Các kiểu tấn công ............................................................................................. 17
Phòng chống Spoofing Attack .......................................................................... 18
DNS Poisoning ...................................................................................................... 18
DNS Server là gì ................................................................................................ 18
Hệ thống máy chủ DNS .................................................................................... 18
Các kỹ thuật tấn công ....................................................................................... 19
Cách chống lại tấn công DNS ............................................................................ 21
Sniffing Tools ....................................................................................................... 22
Wireshark ........................................................................................................ 22
Công cụ Password sniffing Tool: ACE ................................................................ 27
Capsa Network Analyzer .................................................................................. 27
Discovery Tool: NetworkView .......................................................................... 31
Tài liệu tham khảo ............................................................................................... 32
3
Lời mở đầu Theo một nghiên cứu mới nhất, hiện nay các trình duyệt đang được sử dụng rộng
rãi trên toàn thế giới với lịch sử duyệt web là không an toàn như những gì chúng ta
nghĩ. Trên thực thế, sau khi thực hiện việc kiểm tra các website phổ biến để tìm ra
những website nào sẽ thu thập thông tin của người dùng, và không ngạc nhiên khi
YouPorn là trang web hàng đầu về việc lấy thông tin người dùng. Các trang khác
như Technorati, TheSun.co.uk cũng không ngoại lệ và cũng chẳng mấy ngạc nhiên.
Các dữ liệu được thu thập thường được sử dụng để xác định mục tiêu cho chiến
dịch quảng cáo. Nhưng không đơn thuần là vậy, cùng với sự phát triển của khoa
học kỹ thuật, càng ngày càng có nhiều các ứng dụng thông minh được đưa lên
Internet để phục vụ con người, chẳng hạn như các ứng dụng liên quan đến ngân
hàng, tài chính,… Do vậy mà dữ liệu sử dụng của con người ngày càng trở nên nhạy
cảm, và bằng việc sử dụng các dịch vụ đó, chúng ta vô tình trở thành những nạn
nhân của việc lấy cắp thông tin. Việc lấy cắp các thông tin nhạy cảm càng trở nên
phổ biến và tinh vi hơn, tất nhiên mục đích của những hacker là sinh lợi từ nguồn
thông tin đó, có thể là rao bán thông tin cá nhân, hay thậm chí là ăn cắp thông tin
về tài khoản ngân hàng, hoặc tống tiền nạn nhân bằng việc thu thập những dữ liệu
nhạy cảm…
Mục đích của bài viết này nhằm đưa ra các kỹ thuật mà con người có thể sử dụng
để thu thập thông tin từ người khác thông qua máy tính và các hành động có kết
nối với Internet. Từ đó để chúng ta có thể hiểu được cơ chế hoạt động của các kỹ
thuật này nhằm chủ động thực hiện các hành động phòng tránh nhằm giảm thiểu
hậu quả.
4
Sniffer
Giới thiệu Khởi đầu sniffer là tên một sản phẩm của Network Associates có tên là Sniffer
Network Analyzer. Sniffer được hiểu đơn giản là một công cụ dùng để ‘nghe ngóng’
những thông tin được truyền tải trong hệ thống mạng máy tính. Tương tự như là
thiết bị nghe lén đường dây điện thoại, chỉ khác nhau về môi trường hoạt động.
Tuy nhiên, các giao dịch giữa các hệ thống mạng máy tính hay giữa các máy tính với
nhau trong cùng một mạng thường là những dữ liệu ở dạng nhị phân, do đó việc
nghe lén các thông tin trong mạng thì các chương trình sniffer cần được cung cấp
tính năng có thể nhận diện được các gói tin, các giao thức truyền tải và chức năng
giải mã các gói tin.
Mục đích sử dụng Sniffer thường được sử dụng vào 2 mục đích khác biệt, nó có thể là một công cụ
hữu ích để các nhà quản trị mạng theo dõi và bảo trì hệ thống. Tuy nhiên, với các
hacker thì nó sẽ là một công cụ không thể thiếu để có thể ăn cắp thông tin của
người dùng, chẳng hạn như tài khoản tín dụng,…
- Tự động bắt các gói tin có chứa thông tin về tài khoản người dùng trên các
hệ thống gồm username và passwork (dưới dạng clear text).
- Chuyển đổi dữ liệu trên đường truyền để quản trị viên có thể đọc và hiểu ý
nghĩa của những dữ liệu đó.
- Dựa vào lưu lượng của hệ thống, quản trị viên có thể phân tích những lỗi
đang mắc phải trên hệ thống mạng.
- Một số chương trình có thể tự động phát hiện và cảnh báo các cuộc tấn công
đang được thực hiện vào hệ thống mạng mà nó đang hoạt động.
- Ghi lại thông tin về các gói dữ liệu, các phiên truyền tải,... giúp quản trị viên
có thể xem lại thông tin về các gói dữ liệu, các phiên truyền sau sự cố. Phục
vụ cho việc phân tích và khắc phục sự cố trong hệ thống mạng.
Cách thức hoạt động Ethernet là một công nghệ của mạng máy tính, nó được giới thiệu thương mại lần
đầu tiên vào năm 1980 và đến năm 1983 thì được chuẩn hóa. Nó phần lớn thay đổi
cộng nghệ tương tranh mạng có dây như Token ring, FDDI, và ARCNET. Ethernet
được xây dựng dựa trên ý tưởng các máy tính giao tiếp thông qua một cáp đồng
5
trục chia sẻ đóng vai trò như một phương tiện truyền dẫn phát sóng. Do vậy mà
mọi máy tính trong mạng đều có thể xem được thông tin về dữ liệu được truyền
tải trong mạng, nhưng phần cứng Ethernet được xây dựng và cấu hình để lọc và bỏ
qua các dữ liệu không thuộc đường truyền của nó dựa trên thông tin về địa chỉ
MAC. Do vậy khi những tin tặc tấn công, chúng sẽ dựa trên đặc điểm này của kết
nối Ethernet để thực hiện. Khi một hacker thực hiện tấn công sniffer, chúng sẽ
chuyển NIC của thiết bị sang trạng thái hỗn tạp, tức NIC sẽ có thể nhận được tất cả
các gói tin được truyền tải trong mạng. Từ đó chúng có thể giải mã các gói tin và
đánh cắp những thông tin quan trọng để phục vụ cho mục đích riêng.
Khi tin tặc tấn công một switch, chúng sẽ sử dụng các kỹ thuật:
- MAC Flooding.
- DNS Poisoning.
- ARP Poisoning.
- DHCP Attacks.
- Password Sniffing.
- Spoofing Attack.
Phân loại Active Snifffing
Là hoạt động sniffing được thực hiện trên thiết bị chuyển mạch (switch) trong mạng
máy tính. Nó dựa trên việc đưa các gói tin vào mạng máy tính mà có thể gây ảnh
hưởng đến lưu lượng. Active Sniffing đòi hỏi phải vượt qua các phân đoạn mà
switch cung cấp, các thiết bị chuyển mạch duy trì bộ đệm ARP với tên gọi là Content
Adressable Memory (CAM), duy trì việc theo dõi xem host nào đang được kết nối
tới cổng nào của thiết bị. Sniffer sẽ được tổ chức tại tầng liên kết dữ liệu trong mô
hình OSI, tức là nó sẽ không cần phải đóng vai trò như một ứng dụng hay dịch vụ,
nó có thể lấy bất cứ thông tin gì có thể thấy trong đường để xem lại sau này. Nó có
thể cho người dùng thấy được tất cả dữ liệu trong gói, kể cả những thông tin đang
được ẩn đi. Nhưng phương pháp này trên thực tế rất khó thực hiện và cũng dễ bị
phát hiện.
Passive Sniffing
Là hoạt động sniffing được thực hiên trên hub trong mạng máy tính, phương thức
tấn công này rất khó phát hiện và đòi hỏi người tấn công phải kết nối đến 1 hub.
6
Trong mạng, mọi thông tin dữ liệu sẽ được gửi đến tất cả các cổng của hub, tất cả
những gì còn lại cần làm là chờ đợi một người nào đó cùng ở trong “miền đụng độ”
(collison domain) gửi và nhận dữ liệu.
Các giao thức dễ bị tổn thương bởi sniffing:
- Telnet and Rlogin: tổ hợp phím chứa username và password.
- HTTP: dữ liệu được gửi đi dưới dạng văn bản thuần thúy.
- SMTP: dữ liệu và mật khẩu được gửi dưới dạng văn bản.
- NNTP: dữ liệu và mật khẩu được gửi dưới dạng văn bản.
- POP: dữ liệu và mật khẩu được gửi dưới dạng văn bản.
- FTP: dữ liệu và mật khẩu được gửi dưới dạng văn bản.
- IMAP: dữ liệu và mật khẩu được gửi dưới dạng văn bản.
Các hoạt động sniffing được tổ chức trong tầng liên kết dữ liệu của mô hinh OSI,
chúng không cần phải đóng vai trò như một ứng dụng hay dịch vụ cư trú trên các
tầng trên trong mô hình. Nếu như một lớp bị tấn công, các giao tiếp sẽ được thỏa
hiệp và các lớp khác sẽ không được biết về sự cố.
Lawful Intercept
Giới thiệu và cơ chế hoạt động Là một quá trình cho phép cơ quan thực thi pháp luật (Law Enforcement Agency)
thực hiện một cuộc giám sát một mục tiêu đã được xác minh bởi một yêu cầu tư
pháp hoặc hành chính. Việc giám sát được thực hiện thông qua việc nghe lén trên
hệ thống viễn thông truyền thống và dịch vụ Internet trên âm thanh, dữ liệu và các
mạng đa dịch vụ ( multiservice network ).
Đầu tiên LEA gửi một yêu cầu nghe lén đến nhà cung cấp dịch vụ của mục tiêu cần
tiếp cận, họ là những người có trách nhiệm ngăn chặn việc truyền tải dữ liệu đến
mục tiêu hoặc dữ liệu được gửi từ mục tiêu. Nhà cung cấp dịch vụ sẽ sử dụng địa
chỉ IP để xác định bộ định tuyến chịu trách nhiệm xử lỹ dữ liệu của mục tiêu. Sau
đó họ sẽ chặn lưu lượng truy cập của mục tiêu khi nó đi qua bộ định tuyến đồng
thời gửi một bản sao của lưu lượng bị chặn đến LEA mà mục tiêu không hề hay biết.
Lợi ích - Chấp nhận nhiều LEA cùng thực hiện Lawful Intercept (LI) mà các cơ quan
khác không biết.
7
- Hỗ trợ nghe lén kể cả đầu vào lẫn đầu ra.
- Không ảnh hưởng đến thuê bao dịch vụ.
- Cung cấp 2 giao diện an toàn: một cho việc cài đặt việc nghe lén và một cho
việc gửi thông tin đến LEA.
- Kể cả quản trị viên hay người dùng đều không nhận thức được rằng các gói
tin đang được sao chép hay cuộc gọi đang bị nghe lén.
- Hỗ trợ nghe lén thuê bao cá nhân, những người chia sẻ giao diện phần
cứng.
- Giấu thông tin LI với tất cả mọi người trừ những người đặc quyền.
Các thành phần mạng sử dụng cho Lawful Intercept - IAP ( intercept access point ) : là một thiết bị cung cấp thông tin cho LI.
- Meditation Device: là thiết bị được cung cấp bởi bên thứ 3 xử lý gần như
toàn bộ tiến trình của LI.
- Collection Function: là một chương trình lưu trữ và thực thi lưu lượng bị
chặn bởi nhà cung cấp dịch vụ.
Wiretapping (nghe lén)
Khái niệm và phân loại Wiretapping là hành động nghe lén của bên thứ 3 thông qua đường dây điện thoại
hoặc qua mạng Internet một cuộc hội thoại. Wiretapping được xem là một hành
động Lawful Interception nếu như người thực hiện là cơ quan hành pháp, chính
phủ. Có 2 loại wiretapping là active wiretapping và passive wiretapping:
- Active wiretapping: là hoạt động nghe lén không chỉ giám sát lưu lượng
truyền tải mà còn làm thay đổi hoặc gây ảnh hưởng đến nội dung được
truyền tải của cuộc hội thoại.
- Passive wiretapping: không như Active Wiretapping, kiểu nghe lén thứ 2 chỉ
thực hiện việc giám sát lưu lượng và sao chép lại nội dung truyền tải trong
quá trình thực hiện.
Các hình thức - Thực hiện công khai (Official Use)
Trong thỏa thuận của các nhà mạng với chính phủ, các nhà mạng được đặt
ra yêu cầu phải cung cấp quyền truy cập cho việc nghe lén nhằm hỗ trợ các
cơ quan hành pháp thực thi pháp luật. Trong những năm trước, việc nghe
8
lén được thực hiện thông qua lắp đặt các thiết bị phần cứng để điều hướng
các tín hiệu âm thanh của cuộc gọi, nhưng cùng với sự phát triển của khoa
học, hiện tại các nhà mạng sử dụng công nghệ kỹ thuật số với ưu điểm là đơn
giản hơn và có khả năng điều khiển từ xa bằng máy tính. Nếu việc nghe lén
được thực hiện trên một máy chuyển mạch số thì nó đơn giản chỉ làm sao
chép dữ liệu của các cuộc hội thoại dưới dạng các chuỗi bit đến một đường
dây thứ 2 và tất nhiên không thể phát hiện được rằng cuộc hội thoại đang bị
nghe lén.
- Thực hiện không công khai (Non-offcial use)
Các cuộc hội thoại có thể bị ghi âm hoặc giám sát một cách lén lút, thông qua
việc nghe lén của bên thứ ba hoặc chính là một trong số những bên tham gia
cuộc hội thoại, nó có thể bị xem là phi pháp hoặc hợp pháp tùy theo hoàn
cảnh và quyền hạn. Có rất nhiều cách để theo dõi nội dung các cuộc gọi,
thông qua các thiết bị nghe lén, hoặc một thiết bị ghi âm có khi là một máy
tính chạy phần mềm ghi âm cuộc gọi.
- Dữ liệu về vị trí
Đối với di động, các mối đe dọa là tập các dữ liệu thông tin liên lạc, nó không
chỉ dừng lại ở các thông tin về thời gian gọi đi, thời lượng cuộc gọi, người gọi,
người nhân mà nó còn bao gồm thông tin xác nhận về trạm phát sóng, nơi
mà cuộc gọi được khởi tạo, có vị trí gần đúng với vị trí của điện thoại. Việc
lấy chính xác vị trí của điện thoại là hoàn toàn có thể dựa trên các thiết bị
khác xung quanh.
- Internet
Hiện tại, việc thực hiện các cuộc gọi không chỉ dựa trên sóng vô tuyến thông
thường mà còn có thể được thực hiện thông qua mạng Internet. Thông
thường kiểu tấn công này sẽ được thực hiện qua kết nối Wifi đến kết nối
Internet của một ai đó thông qua việc bẻ khóa WEP hay WPA.
- Điện thoại di động
Điện thoại di động có rất nhiều vấn đề riêng tư, chính phủ, các cơ quan hành
pháp cũng như các dịch vụ thông minh thường sử dụng để xác nhận việc giám
sát ở một số quốc gia. Và nó cũng thường được sử dụng để thu thập dữ liệu
về vị trí kể cả khi tính năng định vị của điện thoại không được khởi động,
thông qua việc tính thời gian khi tín hiệu được truyền từ điện thoại đến
những trạm phát sóng. Ở thế hệ mạng điện thoại 2G, việc theo dõi điện thoại
di động là khá dễ dàng do sử dụng kết nối analog, nhưng đến thế hệ thứ 3,
9
mọi thứ trở nên khó khăn hơn do các nhà mạng sử dụng kết nối kỹ thuật số
được mã hóa. Nhưng chính phủ vẫn có thể khai thác thông tin truyền tải trên
điện thoại di động cũng như giải mã tín hiệu âm thanh nhờ sự hợp tác của
các công ty sản xuất điện thoại.
- Webtapping
Là hành động đăng nhập vào địa chỉ IP của một người truy cập trang web.
Thường được sử dụng để theo dõi các trang web chứa các thông tin nguy
hiểm hoặc nhạy cảm, và những người truy cập chúng.
Hardware Protocal Analyzer
Khái niệm về Protocal Analyzer Protocal Analyzer có thể là một thiết bị phần cứng hay phần mềm được tạo ra nhằm
mục đích bắt và phân tích các tín hiệu hay dữ liệu được truyền tải thông qua các
kênh giao tiếp.
Thiết bị phần cứng Một phần cứng phân tích giao thức là một phần của thiết bị có thể bắt các tín hiệu
nhưng không làm thay đổi lưu lượng trong một đoạn cáp. Nó có thể được sử dụng
để theo dõi lưu lượng sử dụng mạng và xác định các lưu lượng độc hại được tạo ra
từ các phần mềm độc hại được cài đặt trong hệ thống mạng. Sau khi lấy được các
gói tin, nó sẽ tiến hành giải mã và phân tích nội dung của các gói tin đó dựa trên
các giao thức đã được định sẵn.
SPAN Port Port minorring thường được sử dụng trên một switch để gửi bản sao chép của các
gói tin truyền trong một cổng hoặc toàn bộ mạng máy tính đến một kết nối giám
sát mạng trên một cổng khác của switch. Nó thường được dùng cho các thiết bị
mạng có yêu cầu giám sát lưu lượng mạng, chẳng hạn như một hệ thống phát hiện
xâm nhập, hoặc kỹ thuật giám sát người dùng thực tế để hỗ trợ hiệu suất quản lý.
Port minorring được biết đến trong hệ thống của Cisco với tên gọi là SPAN Port.
Các kỹ sư mạng máy tính hoặc quản trị viên thường sử dụng port minorring để phân
tích, gỡ rối hay chuẩn đoán các lỗi xảy ra trong một mạng máy tính. Nó giúp các
quản trị viên có thể giám sát mạng và khi có vấn đề xảy ra, ngay lập tức nó sẽ thông
báo đến quản trị. Ngoài ra port minorring còn có thể được sử dụng để sao lưu lưu
lượng sử dụng đến hoặc đi ( hoặc cả hai ) trong một giao diện hoặc nhiều giao diện.
10
MAC Flooding Switch thì có bộ nhớ giới hạn cho việc ánh xạ địa chỉ MAC và port vật lý trên switch.
Tấn công MAC là tấn công làm ngập lụt switch với một số lượng lớn yêu cầu, lúc
này switch hoạt động như hub và lúc này các gói tin sẽ được gửi ra tất cả các máy
trên cùng miền mạng và kẻ tấn công có thể dễ dàng nghe lén. Ngập lụt MAC làm
cho bộ nhớ giới hạn của switch đầy lên bằng cách giả mạo nhiều địa chỉ MAC khác
nhau và gửi đến switch.
Bảng CAM của switch thì có kích thước giới hạn. Nó chỉ lưu trữ thông tin như địa
chỉ MAC gắn với công tương ứng trên switch cùng với các tham sô miền mạng vlan.
Khi máy A gửi gói tin đến máy B, nó sẽ tìm trong bảng địa chỉ MAC của nó, coi thử
có địa chỉ MAC của máy B hay không, nếu không có máy A sẽ gửi gói tin ARP đến
switch để hỏi địa chỉ MAC của máy B. Máy B lúc này nhận được gói tin phản hồi lại
cho máy A sau đó các gói tin được lưu chuyển từ A đến B mà không chuyển sang
các máy khác.
DHCP Attacks
DHCP là gì DHCP(dynamic host configuration protocol): là giao thức cấu hình Host hoạt động,
được thiết kế nhằm làm giảm thời gian chỉnh cấu hình cho mạng TCP/IP bằng cách
tự động gán địa chỉ IP cho các máy khách(client) khi tham gia vào mạng.
11
Ý nghĩa của việc sử dụng DHCP
- Tự động cấp phát địa chỉ IP phù hợp cho máy trạm khi vào mạng, tự động
quản lý các địa chỉ IP và loại bỏ được các lỗi làm mất liên lạc như tình trạng
nhầm lẫn hay trùng lặp địa chỉ IP, đồng thời giảm thiểu chi phí quản trị cho
hệ thống mạng.
- Phù hợp cho các máy tính thường xuyên di chuyển qua lại giữa các mạng.
- Kết hợp với hệ thống mạng không dây(Wireless) cung cấp các điểm Host như:
nhà ga, sân bay,…
Cơ chế hoạt động DHCP là một giao thức có nguồn gốc từ BOOTP( Boostrap Protocal), được dùng để
cấu hình cho các máy trạm khởi động mà không cần đĩa cứng. BOOTP thi hành các
công việc sau:
- Tìm kiếm địa chỉ IP cho chính nó.
- Tìm IP của BOOTP Server.
- Nạp một file khởi động từ server vào bộ nhớ.
- Bắt đầu khởi động.
DHCP khai thác ưu điểm của giao thức truyền tin và các kỹ thuật khai báo cấu hình
được định nghĩa trong BOOTP, trong đó có khả năng tìm kiếm và gán địa chỉ IP cho
nhiều mạng con, nhưng BOOTP không hỗ trợ việc cấu hình tự động khi từng client
kết nối vào mạng cũng như không thể tái sử dụng các địa chỉ IP.
Quá trình lấy địa chỉ IP được mô tả như sau:
- Máy trạm khởi động với địa chỉ IP rỗng, cho pháp liên lạc mới máy chủ DHCP
bằng giao thức TCP/IP. Nó chuẩn bị một thông điệp quảng bá là DHCP
discover chứa địa chỉ MAC và tên máy tính. Thông điệp này có thể chứa địa
chỉ IP trước đó đã thuê, và máy client phát thông điệp này liên tục đến server
cho đến khi nhận được phản hồi từ server.
- Mọi DHCP server có thể nhận thông điệp và chuẩn bị thông điệp DHCP offer
chứa địa chỉ IP cho máy trạm. Nếu server có cấu hình hợp lệ cho client, nó sẽ
chuẩn bị thông điệp chứa địa chỉ MAC của client, địa chỉ IP, subnet mask và
12
địa chỉ IP của máy chủ cùng với thời gian thuê. Và sau đó phát tán thông điệp
này lên mạng.
- Khi client nhận được thông điệp và chấp nhận một trong các địa chỉ IP, client
phát tán thông điệp DHCP request để khẳng định nó đã nhận địa chỉ IP từ
DHCP server nào. Điều này giúp cho việc các gói tin còn lại không được chấp
nhận sẽ được các DHCP server rút lại và dùng để cấp phát cho các client khác.
- Khi DHCP server nhận được gói tin DHCP request từ client, nó sẽ trả lời bằng
một gói tin DHCP ack nhằm mục đích thông báo là chấp nhận cho client đó
thuê địa chỉ IP. Nó sẽ chứa thông tin về địa chỉ IP, và các thông tin cấu hình
khác. Cuối cùng, khi client nhận được gói tin DHCP ack thì cũng là lúc quá
trình thuê và cấp phát địa chỉ IP kết thúc.
Tấn công DHCP Hầu hết dịch vụ DHCP mặc định không được bảo mật, lợi dụng điều này, những kẻ
tấn công có thể tiến hành tấn công các máy chủ DHCP. Sau đây là một số kiểu tấn
công DHCP:
Tấn công từ chối dịch vụ bằng cách ‘vét cạn’ tất cả các giá trị mà DHCP có thể
cấp cho client.
- Cách thức tấn công: Attacker thực hiện bằng cách gửi một lượng lớn DHCP
request với các giá trị MAC address thay đổi liên tục đến DHCP server. Khi
DHCP server nhận được các request với các MAC address khác nhau, DHCP
sẽ cấp một giá trị IP tương ứng với mỗi request đó. Vì số lượng địa chỉ IP có
giới hạn nên chỉ cần một lượng request tương đối là attacker có thể đăng ký
hết số lượng IP này trên DHCP. Kết quả là các request hợp lệ của client sẽ
13
không còn phục vụ cho người đến sau. Đây là kiểu tấn công từ chối dịch vụ
DHCP dễ dàng nhất mà attacker có thể thực hiện.
- Cách khắc phục: sử dụng các switch có tính năng bảo mật của Cisco. Các
switch này sẽ giới hạn số lượng MAC address có thể sử dụng trên một port.
Mục đích là để ngăn chặn việc trong một khoảng thời gian giới hạn, một port
của nó có quá nhiều MAC address được phép sử dụng. Nếu vượt qua quy
định này, port của nó có sẽ shutdown.
Tấn công theo kiểu Man-in-the-middle bằng việc sử dụng DHCP server giả mạo
- Cách thức tấn công:
o Attacker xây dựng DHCP giả mạo với đầy đủ các thông số để cấp cho
client.
o Khi 1 DHCP client broadcast một gói tin DHCP discovery, cả 2 DHCP
hợp lệ và DHCP giả mạo cùng gửi gói tin DHCP offer đến client.
o Client sẽ tiếp nhận gói tin nào đến trước, nếu gói tin của DHCP server
hợp lệ đến trước thì quá trình tấn công theo dạng này sẽ thất bại. Do
đó để chắc chắn rằng client sẽ nhận được gói tin do DHCP server giả
14
mạo cấp, attacker thường tiến hành tấn công từ chối dịch vụ theo kiểu
“vét cạn” đối với DHCP server thật.
o Trong gói tin response đến client, địa chỉ Default Gateway lại chỉ về
máy tính cho attacker kiểm soát.
o khi client gửi gói tin cho mạng bên ngoài(thường là internet). Gói tin
này sẽ được chuyển tiếp đến cho máy tính có địa chỉ Default Gateway
giả mạo và nội dung bên trong bị xem trộm.
- Cách khắc phục: Các thiết bị switch của Ciso cung cấp tính năng bảo mật dành
cho DHCP. Tính năng DHCP snooping, bẳng cách chỉ cho kết nối đến DHCP
trên một hoặc một số port nhất định mà thôi
ARP Poisoning
ARP là gì ARP là một trong những giao thức của IP, chức năng của nó dùng để định vị một
host trong một segment mạng bằng cách phân giải địa chỉ IP ra địa chỉ MAC. Khi
một thiết bị muốn kết nối đến một thiết bị khác, nó sẽ tìm kiếm trong bảng ARP địa
chỉ MAC tương ứng với địa chỉ IP của thiết bị cần kết nối. Nếu như trong bảng ARP
không có thông tin về địa chỉ MAC tương ứng, nó ARP thực hiện một tiến trình
broadcast gửi gói tin chứa địa chỉ IP cần kết nối và địa chỉ MAC của chính nó trên
toàn bộ hệ thống mạng. Các thiết bị khác khi nhận được gói tin sẽ tiến hành so sánh
địa chỉ IP trong gói tin với địa chỉ IP của mình, nếu như 2 địa chỉ trùng nhau thì nó
sẽ gửi lại địa chỉ MAC của nó cho thiết bị đang yêu cầu.
ARP có 4 loại message cơ bản sau:
- ARP request: máy tính A sẽ hỏi toàn mạng: “ai có địa chỉ IP này?”
- ARP reply: máy tính B trả lời máy tính A: “tôi có IP đó, địa chỉ MAC của tôi
là….”
- Reverse ARP request: máy tính A sẽ hỏi toàn mạng: “ai có địa chỉ MAC này?”
- Reverse ARP reply: máy tính B trả lời máy tính A: “tôi có MAC đó,địa chỉ IP
của tôi là…”
Cơ chế tấn công ARP Poisoning Khi một gói tin ARP reply, nó hoàn toàn tin tưởng và mặc nhiên sử dụng thông tin
đó để sử dụng sau này mà không cần biết thông tin đó có phải trả lời từ một host
mà mình mong muốn hay không.ARP không có cơ chế nào để kiểm tra việc dó và
15
trên thực tế một host có thể chấp nhận gói ARP reply mà trước đó không cần phải
gửi gói tin ARP request. Lợi dụng điều này, attacker có thể triển khai các phương
thức tấn công như: Man in the middle, Mac flooding,..
Tấn công theo kiểu Man in the middle:
Giả sử attacker muốn theo dõi Host A gửi thông tin gì cho host B. Đầu tiên, attacker
sẽ gửi gói ARP reply đến host A với nội dung là địa chỉ MAC của attacker và địa chỉ
của host B.
Sau đó, attacker sẽ gửi gói tin ARP reply tới host B với nội dung là MAC của máy
attacker và IP của host A. Vậy cả 2 host A và host B đều tiếp nhận gói ARP reply đó
và lưu vào trong ARP table của mình. Đến lúc này, khi host A muốn gửi thông tin
đến host B, nó liền tra vào ARP table thấy đã có sẵn thông tin về địa chỉ MAC của
host B nên sẽ lấy thông tin đó ra sử dụng, nhưng thực chất địa chỉ MAC đó là hacker.
Đồng thời máy tính của hacker sẽ mở chức năng gọi là IP Forwading giúp chuyển
tải nội dung mà host A gửi qua host B.Host A và host B giao tiếp bình thường và
không có cảm giác bị qua máy trung gian là máy của hacker.
Ví dụ: Giả sử ta có mạng LAN như mô hình trên gồm các host A, B và máy tính của
Attacker.
Attacker
- IP: 10.0.0.11
- Mac: 0000:0000:0111
HostA
- IP: 10.0.0.09
- MAC: 0000:0000:0109
HostB
- IP: 10.0.0.08
- MAC: 0000:0000:0108
Victim
- IP: 10.0.0.10
- MAC: 0000:0000:0110
Attacker muốn thực hiện ARP Attack đối với Victim nhằm bắt mọi gói tin từ Host
A truyền đến Victim.
16
Đầu tiên, nếu như Host A muốn gửi gói tin đến Victim thì nó cần biết địa chỉ MAC
của Victim, do vậy nó sẽ gửi quảng bá gói tin ARP Request đến tất cả các thiết bị
trong mạng để hỏi xem địa chỉ MAC tương ứng với địa chỉ IP 10.0.0.10. Tất cả các
thiết bị Host B, Attacker và Victim đều nhận được gói tin này và Victim sẽ gửi lại gói
tin trả lời. Để có thể thỏa mãn mục đích tấn công, Attacker sẽ gửi hàng loạt các gói
tin ARP Reply ( kỹ thuật ARP spoofing ) chứa thông tin về địa chỉ IP của Victim, địa
chỉ MAC của Attacker và địa chỉ MAC của Host A. Host A khi nhận được reply từ
Attacker sẽ tin tưởng địa chỉ MAC của Attacker chính là địa chỉ MAC của Victim. Từ
đó các gói tin được truyền từ Host A đến Victim sẽ bị chuyển hướng đến Attacker.
Tấn công theo kiểu Mac flooding:
Cách tấn công này dùng kỹ thuật ARP Poisoning mà đối tượng nhắm đến là switch.
Attacker sẽ gửi những gói ARP reply giả tạo với số lượng khổng lồ nhằm làm Switch
xử lý không kịp và trở nên quá tải. Khi đó, Switch sẽ không đủ sứ thể hiện bản chất
Layer2 của mình làm nữa mà broadcast gói tin ra toàn bộ các port của mình.
Attacker dễ dàng bắt được toàn bộ thông tin trong mạng của bạn.
Chống lại ARP Attack ARP Poisoning là một kiểu tấn công dạng local, nghĩa là attacker thực hiện tấn công
từ bên trong mạng của bạn. Hậu quả của cách tấn công này là rất lớn, những người
quản trị mạng cần nắm bắt rõ về kỹ thuật tấn công này. Sau đây là một số kỹ thuật
giúp phòng chống tấn công kiểu ARP Poisoning:
Đối với một mạng nhỏ:
Ta có thể sử dụng địa chỉ IP tĩnh và ARP table tĩnh, khi đó, bạn sẽ liệt kê bằng tay IP
nào đi với MAC nào. Khi mà ép tĩnh như vậy sẽ ngăn chặn attacker gửi các gói tin
ARP reply giả tạo đến máy của mình vì khi sử dụng ARP table tĩnh thì nó luôn luôn
thay đổi.
Đối với một mạng lớn:
Khi quản trị một mạng quy mô lớn, ta có thể sử dụng chức năng Port security. Khi
mở chức năng Port security lên các port của Switch, ta có thể quy định port đó chỉ
chấp nhận một địa chỉ MAC. Như vậy sẽ ngăn chặn việc thay đổi địa chỉ MAC trên
máy attacker.
17
Spoofing Attack
Định nghĩa Spoofing Attack (tấn công giả mạo) là một kiểu tấn công mà kẻ tấn công có thể giả
mạo một người hoặc một thiết bị nhằm khởi động các cuộc tấn công chống lại các
máy chủ, ăn cắp dữ liệu, lây lan phần mềm độc hại hoặc vượt qua điều khiển truy
nhập (access control).
Các kiểu tấn công MAC Spoofing là một kỹ thuật giả mạo để thay đổi địa chỉ MAC đã được nhà sản
xuất đặt sẵn. Địa chỉ MAC được mã hóa cứng trên thiết bị và không thể thay đổi,
tuy nhiên có nhiều cách để có thể làm cho một hệ điều hành tin rằng địa chỉ MAC
có giá trị là một địa chỉ được người dùng lựa chọn. Những kẻ tấn công thường nghe
ngóng các thông điệp được truyền trong mạng để lấy địa chỉ MAC của người dùng.
Sau đó sử dụng chúng với mục đích lấy tất cả những gói tin được truyền tới người
sử dụng hợp pháp.
IP Spoofing là kỹ thuật tấn công giả mạo phổ biến được sử dụng. Trong kỹ thuật
này, kẻ tấn công sẽ gửi những gói tin IP với địa chỉ nguồn giả nhằm che giấu bản
thân hoặc mạo danh những hệ thống hay máy tính khác. Trong các cuộc tấn công
từ chối dịch vụ, kỹ thuật này thường được sử dụng để làm quá tải các hệ thống.
Có 2 cách thực hiện kỹ thuật này, cách thứ nhất chỉ đơn giản là gửi các gói tin IP
đến một mục tiêu với số lượng nằm ngoài khả năng xử lý của mục tiêu đó. Một cách
khác là kẻ tấn công sẽ giả mạo nạn nhân và gửi các gói tin đến nhiều máy tính khác
với địa chỉ nguồn là địa chỉ của nạn nhân. Khi các gói tin được gửi đến đích, những
máy tính kia sẽ gửi phản hồi lại cho mục tiêu cần tấn công. Mặt khác kỹ thuật này
còn có thể được sử dụng với mục đích vượt qua hệ thống xác nhận dựa trên địa chỉ
IP nhằm lấy quyền truy cập.
ARP Spoofing là kỹ thuật thường được sử dụng trong mạng nội bộ thông qua việc
gửi các gói tin ARP với địa chỉ IP là một địa chỉ IP của một máy tính trong mạng, và
tất nhiên địa chỉ MAC sẽ là địa chỉ MAC của kẻ tấn công. Việc này sẽ thiết lập một
liên kết giữa địa chỉ IP của thành viên hợp pháp trong mạng với máy tính của kẻ tấn
công. Kỹ thuật này thường được dùng để ăn cắp dữ liệu, thay đổi dữ liệu hoặc chặn
lưu lượng trong mạng.
Các mối đe dọa
18
- Nếu như địa chỉ MAC được sử dụng để cấp quyền truy cập vào mạng máy
tính thì một kẻ tấn công có thể sử dụng kỹ thuật này để thâm nhập vào hệ
thống mạng.
- Một kẻ tấn công có thể lấy đi danh tính của ai đó đã được có sẵn trong mạng.
Phòng chống Spoofing Attack - Sử dụng bộ lọc gói (Packet Filtering): bộ lọc sẽ kiểm tra các gói tin trước khi
chúng được truyền qua mạng. Bộ lọc này rất hữu ích trong việc phòng chống
IP Spoofing bởi nó có thể lọc ra và ngăn chặn những gói tin có địa chỉ nguồn
không hợp lý (gói tin gửi từ bên ngoài với địa chỉ nguồn ở trong mạng).
- Tránh sử dụng các quan hệ tin tưởng: việc sử dụng nhiều các quan hệ được
tin tưởng sẽ tạo ra nhiều cơ hôi cho những kẻ tấn công hơn. Và vì chúng
thường được xác nhận bằng địa chỉ IP, do đó hệ thống tốt nhất nên sử dụng
càng ít quan hệ này càng tốt.
- Sử dụng các phần mềm phát hiệ giả mạo.
- Sử dụng các giao thức mạng mật mã như TLS, SSH, HTTPS và các giao thức
truyền thông an toàn khác bằng việc mã hóa tin trước khi gửi cũng như chứng
thực dữ liệu trước khi nhận.
DNS Poisoning
DNS Server là gì DNS Server là hệ thống phân giải tên miền, chức năng của hệ thống này là trả về
địa chỉ IP của các tên miền cho những yêu cầu từ phía client. Hỗ trợ cho người dùng
trong việc truy cập các máy chủ bởi tên miền rất dễ nhớ còn địa chỉ IP thì không.
Các máy chủ DNS có thể hỗ trợ lẫn nhau để có thể phân giải tên miền mà người
dùng yêu cầu.
Hệ thống máy chủ DNS
- Primary Server: máy chủ sơ cấp, là nguồn xác thực thông tin chính thức, các
tên miền cho Primary Server quản lý sẽ được khởi tạo, sửa đổi và sau đó gửi
thông tin cập nhật đến secondary server.
- Secondary Server: được sử dụng nhằm chia tải cho Primary Server, giúp làm
tăng sự hiệu quả cũng như độ ổn định của hệ thống. Nó có thể quản lý tên
miền nhưng tên miền không được khởi tạo ở đây mà nó phải lấy thông tin từ
Primary Server.
19
- Caching-DNS Server: là server chỉ dùng cho việc truy vấn, lưu giữ câu trả lời
dựa trên thông tin trên cache của máy và cho kết quả truy vấn. Chúng không
quản lý tên miền và thông tin nó chỉ giới hạn những gì được lưu trên cache
của Server.
Hình ảnh minh họa hoạt động của DNS Server: Máy tính bên trái là client, một yêu
cầu về địa chỉ IP của tên miền “centr.org” được gửi đến DNS Server. Sau khi nhận
được request từ client, DNS trả về địa chỉ IP tương ứng của tên miền “192.0.2.0”.
Tấn công đầu độc DSN ( DNS Poisoning attacking ): là kỹ thuật đánh lừa máy chủ
DNS nghĩ răng nó đã nhận được thông tin xác thực trong khi trên thực tế thì điều
đó không xảy ra. Nó dẫn đến việc thay đổi địa chỉ của nhà cung cấp Internet của
dịch vụ tên miền, tức thay đổi địa chỉ máy chủ DNS.
Các kỹ thuật tấn công - Intranet DNS Spoofing: Kỹ thuật này đòi hỏi người tấn công phải kết nối đến
một mạng cục bộ và có thể kiểm soát các gói tin được truyền đi trong mạng.
Đầu tiên kẻ tấn công sẽ kết nối và đầu độc bộ định tuyến trong mạng cục bộ,
mọi yêu cầu được gửi đến bộ định tuyến này sẽ bị chuyển hướng đến địa chỉ
mà kẻ tấn công mong muốn. Khi người sử dụng yêu cầu dịch vụ phân giải cho
một tên miền nào đó, chẳng hạn ‘www.hust.edu.vn’ thì yêu cầu sẽ được gửi
đển router, và sau đó nó được chuyển tiếp đến máy địa chỉ của máy tính mà
20
kẻ tấn công kiểm soát. Khi đó một địa chỉ IP sẽ được gửi trả về cho người sử
dụng và tất nhiên nó sẽ trỏ đến máy chủ của kẻ tấn công đã thiết lập sẵn.
Máy chủ của kẻ tấn công sẽ lấy thông tin ủy quyền và gửi request đến máy
chủ thật mà người sử dụng mong muốn. Ngoài ra kẻ tấn công có thể đầu độc
người sử dụng thông qua việc thay đổi địa chỉ IP của DNS Server trên máy
tính của người dùng bằng DNS server được quản lý bởi chúng. Do đó mọi yêu
cầu về dịch vụ DNS của người dùng sẽ được chuyển đến máy chủ DNS này và
tất nhiên những yêu cầu này sẽ được trả về với địa chỉ IP của máy chủ giả
nhằm mục đích ăn cắp thông tin.
- Proxy Server DNS Poisoning ( đầu độc máy chủ Proxy DNS ): kẻ tấn công gửi
mã độc đến người sử dụng và làm thay đổi địa chỉ IP của máy chủ Proxy DNS
trên máy tính người dùng bằng địa chỉ của máy chủ khác của kẻ tấn công. Các
yêu cầu của người dùng bây giờ sẽ đi qua máy chủ proxy của kẻ tấn công,
21
máy chủ proxy sẽ gửi yêu cầu của người dùng đến website giả mạo của mình
nhằm ăn cắp thông tin rồi sau đó mới chuyển tiếp yêu cầu đến máy chủ thực.
- DNS Cache Poisoning ( đầu độc bộ nhớ đệm DNS ): kỹ thuật này bao gồm
hành vi thay đổi hoặc thêm các bản ghi trong bộ nhớ đệm của máy chủ DNS.
Vì vậy mà các yêu cầu cho một tên miền sẽ được trả về địa chỉ IP của một
website giả mạo được thiết lập bởi kẻ tấn công. Nếu như máy chủ không thể
xác minh phản hồi của DNS đến từ một nguồn đáng tin cậy, nó sẽ lưu vào bộ
đệm những thực thể sai thông tin và sử dụng chúng để phục vụ cho những
người dùng có cùng yêu cầu.
Cách chống lại tấn công DNS - Giải quyết những truy vấn DNS trên DNS cục bộ.
- Chặn các yêu cầu DNS từ việc tìm kiếm các máy chủ bên ngoài.
- Sử dụng DNSSEC ( công nghệ xác thực DNS, có khả năng tự chứng thực và
đảm bảo toàn vẹn cho DNS ).
22
- Cấu hình các máy trạm DNS để sử dụng một nguồn ngẫu nhiên từ phạm vi
của chúng cho mỗi truy vấn.
- Cấu hình tường lửa để hạn chế việc tìm kiếm DNS từ bên ngoài.
- Hạn chế dịch vụ DNS đệ quy, 1 phần lẫn toàn phân để xác thực người dùng.
- Sử dụng DNS Non-Existent Domain (NXDOMAIN) Rate Limiting.
( NXDOMAIN: là một tiên miền không tồn tại, là một thuật ngữ được sử dụng
cho những tên miền không thể phân giải bằng máy chủ DNS hoặc những tên
miền chưa được đăng ký. Hoặc nó có thể xảy ra khi máy chủ DNS hay mạng
máy tính gặp trục trặc. )
Sniffing Tools
Wireshark Wireshark là một công cụ bắt gói tin miễn phí, sau đó phân tích để hiển thị khuôn
dạng dữ liệu của từng gói tin dưới dạng tường minh nhất có thể
Wireshark sử dụng Winpcap để chụp các gói tin, vì vậy nó chỉ hoạt động trên
mạng được hỗ trợ bởi Winpcap (Khi cài đặt Wireshark sẽ yêu cầu cài đặt phần
mềm Winpcap – là phần mềm dùng để thu thập tức thì các luồng dữ liệu trong
mạng)
Nó có thể ghi lại các gói tin trên đường truyền mạng qua Ethernet, IEEE 802.11,
ATM, Bluetooth, USB…
Hỗ trợ giải mã trên nhiều giao thức phổ biến như: SSL/TSL, WEP, WPA,…
Cửa sổ chính:
Dưới đây là giao diện mà người dùng thường gặp sau khi các gói tin được bắt và
hiển thị:
23
Tại đây, chúng ta sẽ thấy có nhiều màu sắc khác nhau, bao gồm: xanh lá cây, xanh
da trời và đen. Wireshark dựa vào cơ chế này để giúp người dùng phân biệt được
các loại traffic khác nhau. Ở chế độ mặc định, màu xanh lá cây là traffic TCP, xanh
da trời đậm là traffic DNS, xanh da trời nhạt là traffic UDP và màu đen là
góiTCP đang có vấn đề.
Khung trên hiển thị chi tiết về các gói tin bắt được gồm có:
+ Frame: gồm có thời gian bắt được gói tin, thời gian chụp và hiển thị gói tin so với
gói tin phía trước nó, thời gian bắt gói tin kể từ lúc bắt đầu khởi động việc bắt các
gói tin, thứ tự frame, độ dài frame và giao thức của frame (lưu ý mỗi gói tin tương
ứng với một frame trong trong bảng).
+ Ethernet: Cho biết địa chỉ MAC nguồn và địa chỉ MAC đích của gói tin
+ IP: Cho biết thông tin về địa chỉ IP của gói tin.
24
Cài đặt ban đầu
Đầu tiên ta vào capture Options, thấy thông tin các giao diện mạng, chọn một giao
diện mạng trong danh sách để bắt và phân tích các gói tin đi qua giao diện này.
Theo dấu gói tin
Ví dụ nhấn chuột phải vào từng package và chọn Follow TCP Stream:
25
Chúng ta sẽ thấy toàn bộ quãng thời gian giao tiếp giữa server và client:
Sử dụng bộ lọc trong wireshark
26
Trong wireshark hỗ trợ các bộ lọc để người sử dụng có thể lọc gói tin
Ví dụ: - ip.addr == “192.168.1.1” lọc các gói tin có địa chỉ nguồn hoặc đích có ip
là 192.168.1.1
- ip.dst == … lọc các gói tin có địa chỉ đích là…
- ip.src == .. lọc các gói tin có địa chỉ nguồn
- frame.number > < == (lọc các gói tin có định danh lớn hơn, nhỏ hơn
hoặc bằng …)
- tcp : lọc theo giao thức tcp
- udp: lọc theo giao thức udp
Ví dụ về sử dụng wireshark để lấy mật khẩu
Bằng việc sử dụng wireshark ta có thể bắt gói tin có chứa dữ liệu về tên đăng
nhập và mật khẩu
Ví dụ như khi login vào trang tinhte.vn , ta lọc gói tin có giao thức http và có phương
thức request là POST (http.request.method == “POST”) ta bắt được gói tin và phân
tích thấy được trường dữ liệu về username, password như sau
Như vậy từ đó tốt nhất với các trang web không hỗ trợ mã hóa thì ta không nên
đăng nhập các tài khoản quan trọng khi ở mạng công cộng
27
Công cụ Password sniffing Tool: ACE Ace Password Sniffer có thể theo dõi trên mạng LAN cho phép nhà quản trị mạng
lấy password của bất cứ người dùng nào trong mạng . Ace Password Sniffer có thể
theo dõi và lấy password thông qua FTP, POP3, HTTP, SMTP, Telnet, vv...
Ví dụ : (lưu ý phần mềm ace password sniffer là phần mềm có phí, nếu dùng bản
trial thì mật khẩu sẽ không được hiển thị đầy đủ)
Capsa Network Analyzer Capsa được thiết kế cho việc giải mã gói tin và chuẩn đoán hệ thống mạng, giám
sát lưu lượng mạng truyền qua một hệ thống mạng nội bộ. capsa giúp người quản
trị nhanh chóng xác định vị trí những vấn đề trong hệ thống mạng và phát hiện
được các mối nguy tiềm ẩn.
Capsa có giao diện thân thiện, hiển thị các số liệu thống kê phân tích đơn giản.
Các số liệu thống kê có tổ chức, cùng các biểu đồ giúp quản trị viên rút ngắn thời
gian trong việc tìm kiếm các thông tin và chuẩn đoán các vấn đề trong hệ thống
mạng.
Capsa có các chức năng chính sau:
- Phân tích lưu lượng mạng
- Giám sát mạng truyền thông
- Chuẩn đoán các vấn đề liên quan đến hệ thống mạng
- Phân tích các vấn đề về bảo mật mạng
- Phân tích hiệu suất hoạt động của hệ thống mạng
- Phân tích các giao thức mạng
Capsa có thể phân tích hệ thống mạng của lớp thấp nhất đến lớp ứng dụng.
Giao diện chọn mạng quản lý
28
Giao diện quản lý chính
29
Capsa có hỗ trợ sử dụng bộ lọc
Nếu không kích hoạt bộ lọc thì capsa sẽ bắt và phân tích tất cả các gói tin truyền
qua card mạng , vậy bộ lọc cần thiết để loại bỏ các gói tin không quan trọng.
Một bộ lọc là điều kiện đánh giá mà chương trình sử dụng để kiểm tra một gói tin
bắt được có phù hợp hay không. Nếu phù hợp gói được chấp nhận và phân tích còn
nếu ngược lại thì chương trình sẽ bỏ qua nó.
Trong capsa có thể kích hoạt bộ lọc như sau:
Sử dụng công cụ filter
Sau khi nhập vào biểu tượng filter sẽ hiện như sau
Một bảng mới sẽ hiện thị các bộ lọc, accept để chấp nhận hoặc reject để bỏ qua, ta
có thể nhấn đúp vào để tùy chỉnh các bộ lọc riêng.
30
Một số tính năng khác của capsa
- Tab summary: tab này cung cấp các thông tin rút gọn, các số liệu thống kê
về hệ thống mạng
- Phân tích các thông tin trong hệ thống mạng: điều này giúp nâng cao hiệu
quả sử dụng các thông tin đã được thống kế một cách hiệu quả (chỉ sử
dụng được trên bản capsa có phí dành cho doanh nghiệp)
- Tab matrix: hiển thị số liệu thống kê lưu lượng truy cập trên hệ thống với
biểu đồ eclip.
Khi di chuyển chuột lên một node mạng, các đường kết nối giữa các node sẽ được
đánh dấu và in đậm.
Matrix giúp chúng ta có được các thông tin sau:
- Tất cả các node trong mạng
- Các giao tiếp trong hệ thống được hiển thị với địa chỉ MAC
- Các giao tiếp trong hệ thống được hiển thị với địa chỉ IP
- Các thông tin về các gói tin được gởi và nhận tại nút đó
- …
Ví dụ:
31
Lưu ý: với bản dành cho doanh nghiệp có phí Capsa giúp phát hiện các cuộc tấn
công ARP (tab Diagnosis) , Phát hiện Trojan và Worm (tab Worm)
Discovery Tool: NetworkView NetworkView là công cụ quản lý và khám phá các thiết bị trong cùng mạng
Ví dụ khi chạy công cụ trên mạng của người viết sẽ thấy các thiết bị kết nối trong
cùng một mạng LAN
32
Tài liệu tham khảo Wikipedia - https://en.wikipedia.org
HAVonline - http://www.hvaonline.net
Quản trị mạng – http://www.quantrimang.com.vn
Nhất nghệ - http://www.nhatnghe.com
Telelink - http://itsecurity.telelink.com/mac-address-spoofing/
Veracode - http://www.veracode.com/security/spoofing-attack