Cấu hình WPAD trong TMG 2010

Trong hướng dẫn này chúng tôi sẽ giới thiệu cho các bạn cách máy khách Web Proxy cung cấp những thuận lợi khác biệt trong bảo mật và hiệu suất khi truy cập TMG web proxy server.

Trong Forefront Threat Management Gateway (TMG) 2010, có ba kiểu máy khách - SecureNAT, Web Proxy và TMG Firewall. Máy khách truy cập tài nguyên thông qua TMG firewall có thể là bất cứ máy khách nào trong số trên hoặc có thể là cả ba vì chúng không loại trừ lẫn nhau. Mặc dù vậy mỗi kiểu máy khách đều có những ưu điểm và nhược điểm riêng.

Nhiều chuyên gia mạng chọn máy khách SecureNAT khi thiết kế triển khai TMG firewall vì chúng dễ cấu hình. Tất cả những gì được yêu cầu là tạo một thay đổi đối với gateway mặc định của máy trạm và bảng định tuyến trong mạng. Mặc dù máy khách SecureNAT dễ cấu hình, nhưng chúng cũng có một số hạn chế nghiêm trọng trong bảo mật và hiệu suất. Không thể xác thực vì chúng không có cơ chế xác thực trong các gói IP. Thêm vào đó, máy khách SecureNAT cũng tiêu tốn rất nhiều tài nguyên hệ thống, làm giảm lưu lượng một TMG firewall có thể xử lý.

Từ góc nhìn bảo mật và hiệu suất, máy khách Web Proxy là một lựa chọn lý tưởng. Khi các máy khách được cấu hình để sử dụng TMG firewall như một web proxy server, chúng sẽ giúp tăng khả năng xác thực người dùng và giảm được nhu cầu tài nguyên hệ thống trên tường lửa. Tuy nhiên nhược điểm ở đây là yêu cầu thay đổi cấu hình máy khách.

Cấu mình máy khách Web Proxy

Tuy nhiên việc cấu hình một máy khách Web Proxy rất đơn giản. Có thể sử dụng Internet Explorer để thực hiện điều đó, mở trình duyệt web và từ menu, chọn Tools/Internet Options/Connections/LAN Settings. Tích tùy chọn Use a proxy server for your LAN và nhập vào hostname hay địa chỉ IP của TMG proxy, sau đó chỉ định cổng được cấu hình web proxy listener (mặc định là cổng 8080).

Hình 1

Khi hoàn toàn việc cấu hình, trình duyệt sẽ gửi một yêu cầu trực tiếp đến web proxy server được chỉ định. Với cấu hình máy khách này, chúng ta có thể xác thực người dùng và nhóm người dùng, giảm được tải trọng trên TMG firewall.

Cấu hình máy khách và Automatic Web Proxy Discovery

Việc cấu hình thủ công các thiết lập web proxy trên mỗi máy khách có thể tiêu tốn nhiều thời gian và công sức nếu tổ chức có số lượng máy khách. Trong hầu hết các trường hợp, bạn cần phải sử dụng phương pháp khác để thực hiện hiệu quả hơn cũng như khả năng cấu hình tự động. Giải pháp ở đây là sử dụng Web Proxy Auto Discovery (WPAD). WPAD là phương pháp mà ở đó máy khách Web Proxy sẽ tìm proxy server mà không yêu cầu cấu hình thủ công. Hầu hết các trình duyệt web hiện hành đều được cấu hình cho phép tự động phát hiện proxy mặc định.

Hình 2

WPAD có thể được cấu hình bằng sử dụng một trong hai cơ chế - DNS hoặc DHCP. Khi máy khách Web Proxy được cấu hình để tự động phát hiện proxy server, nó sẽ cố gắng tìm ra web proxy server trước bằng cách tìm kiếm option 252 trong thiết lập nhận được từ DHCP server, sau đó bằng cách truy vấn DNS để tìm host có tên WPAD như thể hiện trong công cụ giám sát mạng bên dưới.

Hình 3

Khi máy khách tìm ra proxy server, nó sẽ kết nối và lấy về kịch bản cấu hình tự động, một file có tên WPAD.DAT, từ TMG firewall tại địa chỉ IP mà WPAD phân giải. Kịch bản cấu hình tự động này sẽ có thông tin về các proxy server được cấu hình và cách xử lý yêu cầu. Thông tin chứa trong kịch bản này được xây dựng động từ thiết lập web proxy và cấu hình mạng thiết lập trong TMG management console. Kịch bản cấu hình không cư trú trên hệ thống file của TMG firewall. Nó chỉ được lưu trong bộ nhớ và được nâng cấp động bất cứ khi nào quản trị viên tạo thay đổi đối với cấu hình TMG firewall.

Kích hoạt Auto Discovery

Để kích hoạt chế độ tự động tìm kiếm proxy, mở TMG management console, chọn nút the Web Access Policy trong cây giao diện, sau đó kích liên kết Configure Web Proxy trong panel nhiệm vụ.

Hình 4

Chọn tab Auto Discovery và tích hộp kiểm bên cạnh Publish automatic discovery information for this network. Nếu có kế hoạch sử dụng DNS cho WPAD, bạn phải để cổng mặc định là 80. Cổng mặc định này có thể bị thay đổi nếu sử dụng DHCP cho WPAD.

Hình 5

WPAD bằng DNS

Sử dụng DNS cho WPAD là tùy chọn phát hiện tự động đơn giản nhất cho máy khách Web Proxy. Trên phía DNS server, tạo bản ghi tài nguyên A có tên WPAD trỏ đến địa chỉ IP của giao diện mạng bên trong TMG firewall của bạn. Nếu có một mảng tường lửa phục vụ như một web proxy server, bạn có thể tạo bản ghi CNAME mang tên WPAD trỏ đến các bản ghi tài nguyên A cho mỗi mảng, hoặc có thể tạo nhiều bản ghi tài nguyên A để phân giải địa chỉ IP bên trong của mỗi mảng.

Hình 6

Trong hầu hết các trường hợp, mặc định DNS server sẽ không đáp trả các truy vấn về bản ghi WPAD. Đây là tính năng bảo mật có bên trong Windows Server 2008 và 2008 R2 được thiết kế để ngăn chặn tấn công “man-in-the-middle”, kiểu tấn công mà kẻ tấn công có thể cấu hình proxy server giả mạo trên mạng và lén đăng ký tên WPAD bằng DNS động hoặc các chiêu thức khác. Tính năng này cũng được kích hoạt trong các máy chủ DNS Windows Server 2003 đã cài đặt nâng cấp MS09-008.

Để cho phép máy chủ DNS Windows Server 2008 hoặc 2008 R2 đáp trả các truy vấn WPAD, mở nhắc lệnh trên máy chủ DNS và nhập vào lệnh dưới đây:

dnscmd /config /globalqueryblocklist isatap

Lưu ý: Nếu đã cấu hình và triển khai DirectAccess, ISATAP có thể bị yêu cầu trong môi trường. Nếu vậy, hãy bỏ qua ISATAP từ lệnh trước.

Để cho phép máy chủ DNS Windows Server 2003 đã cài đặt bản nâng cấp bảo mật MS09-009 đáp trả với các truy vấn WPAD, chỉnh sửa khóa registry dưới đây và gỡ mục WPAD:

HKLM\System\CurrentControlServer\Services\DNS\Parameters\GlobalQueryBlockList

Sử dụng DNS cho WPAD làm việc tốt trên các mạng chỉ có một gateway. Nếu có nhiều gateway trên mạng, DNS có thể vẫn làm việc nhưng yêu cầu dịch vụ cân bằng tải trọng theo địa lý (ví dụ như F5 Global Traffic Manager).

WPAD bằng DHCP

Với các mạng phức tạp có nhiều gateway hoặc điểm vào ra, DHCP sẽ là lựa chọn tốt hơn so với DNS. Lúc này người dùng sẽ được cấu hình sử dụng proxy server gần nhất với vị trí địa lý của họ.

Để cấu hình WPAD bằng DHCP, mở DHCP management console, kích phải vào IPv4, sau đó chọn Set Predefined Options….

Hình 7

Chọn lớp DHCP Standard Options và chọn Add…. Nhập tên WPAD, chọn kiểu dữ liệu String, chỉ định mã 252 và nhập vào phần mổ tả Web Proxy Auto Discovery.

Hình 8

Chọn một DHCP để cấu hình WPAD, kích phải Scope Options sau đó chọn Configure Options….

Hình 9

Tìm phía bên dưới danh sách và chọn Option 252 WPAD. Với String value: nhập vào tên của web proxy server thích hợp hoặc mảng các mạng con theo định dạng sau:

http://<tmg_hostname:port>/wpad.dat

Lặp lại các bước này cho mỗi DHCP trong mạng.

Hình 10

Cấu hình tự động máy khách TMG Firewall

Ngoài những vấn đề được nêu trên, các máy khách TMG Firewall cũng có thể sử dụng Active Directory (AD) marker. Tùy chọn cấu hình tự động AD marker tỏ ra an toàn hơn việc sử dụng DNS hoặc DHCP, nhưng nó có nhiều hạn chế đối với máy khách TMG Firewall. Bạn có thể tham khảo tại đây để có thêm thông tin cấu hình Active Directory marker.

Kết luận

Máy khách Web Proxy cung cấp nhiều ưu điểm khác biệt về mặt bảo mật cũng như hiệu suất khi truy cập TMG web proxy server. Mặc dù vậy, với những thay đổi đối với thiết lập trình duyệt trên mỗi desktop cần truy cập Internet thì việc cấu hình tự động sử dụng DNS hoặc DHCP có thể đơn giản hóa triển khai cũng như loại trừ nhu cầu can thiệp thủ công. Với các mạng chỉ có một điểm truy cập, kích hoạt WPAD bằng DNS là một cách làm hiệu quả trong việc cấu hình máy khách Web Proxy. Với các mạng phức tạp có nhiều điểm truy cập, kích hoạt WPAD bằng cách sử dụng DHCP sẽ cho phép quản trị viên định nghĩa nhiều gateway cho các mạng con khác nhau, bảo đảm các máy khách sử dụng web proxy server gần nhất mà không cần quan tâm đến vị trí của chúng. (Theo QTM)

Bài Tập Thực Hành 14/12 - Ghost USB Honeypot – Installing and Running the Honeypot

Installing Ghost Honeypot
Ghost USB honeypot currently runs only over Windows XP and Windows 7. A quick install guide for it could be found here. We will however be discussing it in this article too. The first step in this process is to install the ghost honeypot from its official webpage. A link to the binary package can be found here. The next step is to install the 2 required dependencies.
These are
a) Windows Driver Framework (WDF)- More information about it and download links can be found here.  Once you have downloaded and installed it, there are two files which you will need to copy to the folder where you downloaded Ghost. The default location for these files are “C:\Program files\Windows Kits\8.0\redist\wdf\x86\WdfCoInstaller01009.dll” and “C:\Program files\Windows Kits\8.0\redist\wdf\x86\WUDFUpdate_01009.dll” as shown in the figure below. These 2 files should be copied inside the folder where you have downloaded Ghost.

Want to learn more?? 

• Timeline Analysis & Windows Application Analysis
• iPhone Forensics

VIEW ADV FORENSICS

b).NET Framework version 4 or higher- Ghost also has a GUI version. If you want to install and run it on your system, then you need to have .NET framework version 4 or more installed on your system. You can download it from here.
Now go to the folder where you downloaded Ghost and run Setup.exe. You may get warnings from the OS about installing these new drivers as shown in the image below. Ignore them and proceed with the installation.

As discussed previously, what Ghost does is emulate a USB flash drive. Some of the key points while emulating a USB flash drive is to make sure that it is recognized as “removable” by the Windows OS. This is because a lot of malwares will write data only to removable devices. The Ghost tool does this very accurately by installing some specific drivers to do the task. What the Ghost tool also does pretty well is write all the data that was supposed to be written to the USB device onto a image file. This way, that image file can then be copied onto another system and used for analyzing the changes that were made to that image, like copied binaries or some other malicious code.

Running the Honeypot
Once you have installed the Ghost tool onto your system, you can either use it in the command line mode or the GUI mode.Note that the emulated USB flash drives will require image files. These image files have a predefined location, i.e C:\gd[0-8] when using the command line tool or C:\gdgui when using the GUI tool. Ghost will automatically create empty image files if they are not present. But these empty image files require formatting before they could be used. And hence a more better solution is to download preformatted image files from the project’s website. The links could be found here.Once you have downloaded these preformatted image files, you should rename them properly and place it at the appropriate location. For example, an example location for one of the image files could be C:\gd0.img for the command line tool and C:\gdgui.img for the GUI version.
We will start by using the command line version of Ghost first. To use it just go the directory where it is installed and type “ghosttool”. One of the most important things to remember while doing this is to make sure that you are running command prompt as the system administrator, otherwise you will get an error.

Lets mount a virtual USB flash drive.

Once this is done, you will notice that you get a notification from windows that it has identified a usb device with removable storage. This makes sure that the device was emulated properly. Also, you can see that a removable device with capacity of about 100 mb is now being shown by Windows.

Now, if there is a malware installed on this system, it will detect this removable device and write data to this emulated USB device automatically. The binaries or data written to this USB will be captured in the image file, which could be then taken to a separate OS and used for analysis. In this case i will just copy some file to the usb device and when we unmount it, we will notice that Ghost has detected those write requests.

Now, we will have a quick look at the GUI version. Remember to run it as administrator. For the GUI version, the image file name will be gdgui.img. To mount an image, just click on Mount and it will emulate the USB device.

Once you unmount the device and if there was ever a write request to the drive, it will be shown to you as shown in the figure below.

You can now copy the image file to a different isolated environment and use the captured data for analysis.
Conclusion
USB malwares are becoming more and more common these days. The ghost USB honeypot project aims at emulating a USB device to capture any data that a malware may write to your USB device. This captured data can then be transferred over to another system for analysis.
References:

• Ghost USB Honeypot project: http://code.google.com/p/ghost-usb-honeypot/

EMET 4.0 Security Strategy and Installation Step-By-Step

(Source TrustSec) - TrustedSec is a big fan of The Enhance Mitigation Experience Toolkit (EMET).
A quick summary of EMET, it’s a free tool provided by Microsoft which allows you to add additional checks and memory analysis of running processes in order to protect against things like zero days, exploits, certificate pinning (trusts), and more. Traditional exploit methods rely on several predefined behaviors (not always but mostly), EMET puts in a lot of checks and preventative measures in stopping these types of attacks in memory and remove the ability for remote code execution (RCE) to occur.

An example on how EMET can work and wouldn’t work would be the following:
       A working example of EMET can be found in the latest Internet Explorer exploit (MS13-009). An integer overflow exists inside vgx.dll and due to the handling of dashstyle.array lengths for vml which causes the bug. The exploit itself uses a common technique for bypassing Address Space Layout Randomization (ASLR), Data Execution Prevention (DEP), and more. The technique used in this attack uses a combination of a technique called a heap spray and return oriented programming (ROP) gadgets built on Java Runtime Environments (JRE6). The way EMET protects against this is through several techniques, the first is ROP mitigation attacks. In a ROP exploit, an attacker will use a series of returns already pieced together in memory (and not affected by ASLR) to put together a “gadget” which allows the ability to execute remote code (Overview NX). EMET works on a process by process basis and can monitor these type of techniques and stop the execution from occurring (if configured properly, more on that later).
The second method of prevention is the heap protection aspects which pre-allocate popular portions of memory that are commonly used by attackers. When jumping to your NOP slide and shellcode it isn’t there and the exploit isn’t successful. These two examples alone have the ability to prevent the exploit from functioning properly and eliminating the threat.

An example where EMET would not work would be a sandbox escape attack in something like Java. Most recently, the Java Applet ProviderSkeleton Insecure Invoke Method exploit was released within Metasploit. In this example, this is a flaw within how Java is designed and not using traditional in memory attacks. Instead this attack exploits an insecure invoke method inside the ProviderSkeleton class in Java update 21 and earlier. Since this isn’t a traditional exploit method, something like EMET wouldn’t save you from this type of attack. Something to be aware of, and something you should definitely be analyzing from what’s in the public.

One word of caution, EMET isn’t a 100 percent method for preventative measures. Older versions had known bypass techniques, however the capabilities you get with EMET drastically increase the ability to withstand traditional exploits and relatively easily to deploy. On that note, let’s get into the installation of EMET 4.0.

First, you will need to download EMET 4.0 which can be downloaded from here: http://www.microsoft.com/en-us/download/details.aspx?id=39273. Select the MSI file below:
This will download an MSI file which you can deploy systems. Conversely you could also deploy the MSI files through group policy on a much larger deployment. EMET does support group policy add-ons and can be centrally management through Active Directory. Note there is also a larger PDF that contains more information about EMET 4.0.
Double click on the MSI file and follow the steps to install.
Next, select the “use recommended settings” and finish the installation.
Installation should finish below:

Go to your start menu and locate the newly installed “EMET GUI”. Open up the EMET GUI and get into the main console. The way EMET works is by running processes and protecting those processes.
First, once inside the GUI, in the middle there’s a Quick Profile Name, select the drop down and select “Maximum security settings”. Then in the same GUI menu on the left hand side, select “Import”:


Then select “Popular Software”: 


The popular software xml contains a few applications like 7-Zip, mIRC, Realplayer, VLC, WinZip, Chrome, Google Talk, Office, Live Essentials 2012, Lync Communicator, Skype, Windows Media Player, Wordpad, Adobe, Java, and Internet Explorer. Note that this is just a standard best practices for software that has been previously configured. When deploying this to a large scale enterprise, you will want to modify this XML file and add appropriate executables to protect in your environment. EMET will NOT protect against things that are not already defined in the XML. Note that all applications on the operating system will have default mitigation scenarios placed on them if they are in %APPDATA%, %ProgramFiles(x86)%, %ProframFiles%, %Windir%, and %LOCALAPPDATA%.

Next once that is configured, go to the main GUI menu and check to ensure that all of the protection mechanisms are set to “Always On”.
If not, then select the drop down menu and select “Always On”, and select the always on feature.
Lastly, from the main menu, select the “Apps” button on the top middle of the GUI and once in the main screen, ensure “deep hooks” is specified to on. Also, take a look at the application list and start to build your XML list with things that aren’t already included in the protection list.


Next, if we want to integrate this within group policy, there are admx files that are included under your program files\EMET\Deployment\Group Policy folder. You need to copy the .admx files to your SYSTEMDRIVE\Windows\PolicyDefinitions folder and the .adml files to SYSTEMDRIVE\Windows\PolicyDefinitions\en-US. When you move them there you can get to the policies through Computer Configuration -> Administrative Templates -> Windows -> Components -> EMET GPO. Below is a screenshot of what options you have available:

Once you’ve configured everything, there’s one last step you want to do, in the main menu area shown in the first image on the very top of this post, you will notice on the right hand side “Running EMET” in the Running Processes tab. Scroll through the applications that are listed there and ensure you have the major ones covered. For example, Excel, Adobe, etc. If there isn’t a green “Running EMET”, right click on it, and select “configure”. Once there, you can go back to that menu and it should now be green and protected by EMET.

That is it! You should have EMET configured and ready to go.

Installing and Removing Software in Backtrack5 R3 ?

Backtrack is based on the Ubuntu distribution. But backtrack is not Pre-installed with Ubuntu Software Center. It,s very easy to install and remove software through software center.
Ubuntu Software Center :- 
Ubuntu Software Centere gives you instant access to thousands of great games and applications — some free and some available commercially. You can also search for apps directly from the Dash. If you see something you like, you can see more information and then install it in just a couple of clicks.

Steam on Ubuntu :-

You can now access thousands of games on Steam with Ubuntu Software Centre. Canonical and Valve have worked closely together to make Ubuntu the best performing open platform for gaming and now the ultimate entertainment platform is fully supported.
You need to install the Software center first.
Open the Terminal and type the apt-get install software-center
root@bt:- # apt-get install software-center

Now open your Software-center

and choose your software to remove

root@bt:- # sudo apt-get autoremove
To remove the remaining parts of the software.
Hope you like my post Installing and Removing Software in Backtrack5 R3. Please Share with others.

[1 phút] là thời gian để giả mạo các trang đăng nhập eBanking

Hay chính xác hơn là giả mạo bất kỳ mọi trang. Đối với Hacker, nếu như họ không thể đột nhập được vào hệ thống của tổ chức, bước cuối cùng họ sẽ chuyển sang nhắm thẳng vào người dùng đầu cuối, các nhân viên với nhận thức bảo mật kém. Còn đối với một chuyên gia đánh giá bảo mật, sẽ có lúc bạn cần thực hiện các cuộc "tấn công Social Engineering" để đánh giá nhận thức của người dùng, kiểm tra xem họ có tuân thủ theo chính sách bảo mật của tổ chức hay không ?

Trong bài hướng dẫn này, tôi mặc định các bạn đã hiểu cơ bản về BackTrack và những khái niệm như Social Engineering, Phishing … Cùng các kiến thức căn bản về mạng và hệ thống như IP, NAT, Dynamic DNS.
Lần này tôi sẽ hướng dẫn cách thức mà kẻ tấn công có thể giả mạo trang đăng nhập của bất kỳ mọi Website để đánh cắp tài khoản người dùng, từ những tài khoản của các ngân hàng điện tử Việt Nam cho đến các tài khoản thư điện tử Gmail, Outlook, Facebook …

 *Chú ý : Đây là lỗ hổng xuất phát từ việc thiếu nhận thức về an toàn thông tin của người dùng, dẫn đến việc bị lừa đăng nhập vào Website giả mạo và bị mất dữ liệu thông tin, không phải lỗ hổng ứng dụng Web !
Social Engineering Toolkit (SET) & Credential Harvester Attack
SET là bộ công cụ rất mạnh để thực hiện các cuộc tấn công Social Engineering. Có thể ngầm hiểu nó là "Metasploit" của giới chuyên đi lừa đảo đánh cắp dữ liệu. Nó cung cấp cho kẻ tấn công một giao diện rất dễ sử dụng để thực hiện những kỹ thuật như Phishing, Browser Exploitation …
Credential Harvester Attack là một trong số những kỹ thuật đó, một tùy chọn sẵn có trong bộ công cụ SET, nó có thể "sao y bản chính" bất kỳ mọi trang Web và chuyên dùng để tạo ra các trang Phishing nhằm đánh cắp dữ liệu của người dùng đầu cuối. "Sao y bản chính" không quá 1 phút, không đòi hỏi kẻ tấn công phải tốn nhiều thời gian cho việc lập trình lại trang giả mạo như phương pháp truyền thống.
Chúng ta bắt tay vào thực hiện ngay thôi, xem nó hoạt động như thế nào nhé. Khởi động hệ điều hành BackTrack và di chuyển đến thư mục của công cụ SET trong Terminal :


Màn hình chào mừng của công cụ SET sẽ xuất hiện, tôi chọn option số 1 "Social-Engineering Attack" :


Tiếp theo tôi sẽ chọn tùy chọn số 2 "Website Attack Vectors", vì tôi đang cần kiểm tra nhận thức bảo mật của người dùng đối với các cuộc tấn công Phishing :


Đến phần này tôi sẽ sử dụng kịch bản tấn công Credential Harvester Attack bởi vì tôi muốn có được thông tin về tài khoản đăng nhập của nạn nhân.


Tôi chọn tiếp tùy chọn Site Cloner để "sao y bản chính" trang đăng nhập của những trang Web có tài khoản của nạn nhân mà tôi muốn đánh cắp.
Ở đây tôi sẽ chọn giả mạo trang đăng nhập của ngân hàng Vietinbank, xin nhắc lại đây không phải là lỗ hổng ứng dụng của trang này mà là do sự thiếu nhận thức về bảo mật của người dùng đầu cuối. Tôi chỉ chọn ngẫu nhiên trong các ngân hàng điện tử Việt Nam mà thôi) :


Tiếp theo tôi cần gõ địa chỉ IP máy tính của kẻ tấn công, nơi sẽ nhận lại dữ liệu mà nạn nhân gửi đi. Trong bài hướng dẫn này tôi chỉ sử dụng địa chỉ IP nội bộ (192.168.5.147), trên thực tế kẻ tấn công sẽ sử dụng Domain gần giống với trang Web mà chúng muốn giả mạo để làm tăng thêm sự "tin cậy" của nạn nhân :




Quá trình sao chép trang đăng nhập của ngân hàng điện tử Vietinbank đã bắt đầu và máy tính của tôi đang "chờ đợi" để đánh cắp thông tin của người dùng :


Giờ là lúc tôi sẽ gửi địa chỉ IP hoặc Domain (đã trỏ đến máy của tôi) của mình đến cho nạn nhân, theo kịch bản tôi sẽ giả mạo cả địa chỉ email của ngân hàng để dụ người dùng truy cập vào địa chỉ giả mạo mà tôi gửi.
Nếu người dùng đọc Email và truy cập vào liên kết giả mạo mà tôi gửi, anh ta sẽ thấy trang đăng nhập ngân hàng điện tử của ngân hàng Vietinbank :


Chờ xem chuyện gì sẽ xảy ra khi nạn nhân nhập thông tin của mình ….


Trên console của kẻ tấn công ngay lập tức sẽ nhận được thông tin ...

Như chúng ta đã thấy, khi nạn nhân nhập thông tin tài khoản ngân hàng của anh ta vào trong trang Web giả mạo, thông tin danh tính đó sẽ được gửi ngay lập tức đến kẻ tấn công và nạn nhân sẽ được chuyển hướng đến trang Web thật của ngân hàng, điều này nhằm làm giảm đi sự nghi ngờ của nạn nhân (giống như khi chúng ta đọc thư trong Yahoo, đôi khi Yahoo hay bắt ta phải gõ lại mật khẩu để xác nhận).
Nhận thức bảo mật của nhân viên thực tế là một việc vô cùng quan trọng, chỉ vì nhận thức kém đã có thể "hạ gục" biết bao nhiêu cơ chế bảo mật mà tổ chức đã xây dựng nên.
Là một lãnh đạo an toàn thông tin, bạn phải luôn luôn nhớ thật kỹ rằng : Chúng ta có thể vá lỗ hổng của một máy tính, một ứng dụng, một hệ thống … Nhưng không có bất kỳ bản vá nào cho sự "khờ dại" của con người !
... nguồn antoanthongtin.com.vn 

P/S : Các bạn sẽ thực hành bài lab này trong ngày 3 của chương trình đào tạo. Yêu cầu cài đặt sẳn BackTrack (Lesson 1 và 2 của ngày 2)

Bảo vệ dữ liệu ổ Flash theo cách toàn diện với ứng dụng TrueCrypt

Ngày nay, những yêu cầu và đòi hỏi về lĩnh vực bảo mật, đặc biệt là đối với dữ liệu cá nhân ngày càng trở nên nghiêm ngặt và khắt khe. Các bạn thường dùng phương pháp gì để bảo vệ lượng thông tin, dữ liệu an toàn khỏi các mối hiểm họa ngày nay? Trong bài viết hướng dẫn dưới đây, chúng tôi sẽ trình bày những bước cơ bản để đảm bảo dữ liệu cá nhân trong ổ Flash với công cụ bảo mật nổi tiếng – TrueCrypt.

Tạo phân vùng TrueCrypt Volume:

Trước tiên, các bạn hãy copy toàn bộ dữ liệu cần bảo vệ vào 1 thư mục bất kỳ nào đó trên ổ cứng. Sau khi kết thúc quá trình thiết lập dưới đây thì sẽ copy ngược trở lại vào ổ USB. Về mặt kỹ thuật, quá trình này sẽ tạo ra 1 file được mã hóa trên ổ Flash, và không có gì khác so với quá trình tạo TrueCrypt thông thường. Từ menu Tools, các bạn chọn Volume Creation Wizard:

Tại đây, chúng ta không cần phải mã hóa phân vùng non – system vì quá trình này sẽ ngăn chặn hệ thống tải các file yêu cầu cần thiết để kết hợp volume TrueCrypt trên ổ Flash. Điều này cũng có nghĩa rằng máy tính sử dụng để truy cập dữ liệu sau này bắt buộc phải được cài đặt sẵn TrueCrypt:

Chọn tiếp mục Standard TrueCrypt volume tại cửa sổ tiếp theo:

Thiết lập file cố định cần tạo (*.tc) trên ổ Flash:

Các tùy chọn mã hóa khác (các bạn có thể giữ nguyên mức mặc định):

Tiếp theo là dung lượng cần thiết dành cho phân vùng mã hóa, tối thiểu là 10 MB trống để TrueCrypt có thể “nhận dạng” ổ Flash sau này:

Thiết lập mật khẩu bảo vệ:

Và kiên nhẫn chờ đợi quá trình này kết thúc:

Tải file binary của TrueCrypt vào ổ Flash:
Bên cạnh đó, nếu chúng ta muốn truy cập và sử dụng những phân vùng đã được mã hóa trên các máy tính bình thường (không có TrueCrypt cài đặt) thì bắt buộc phải tải những file cần thiết vào hệ thống đó trước tiên. Tại menu Tools, các bạn chọn Traveler Disk Setup:

Chương trình sẽ hiển thị thông báo như hình dưới:

Chúng ta sẽ quay trở lại với thông báo này ở phần tiếp theo của bài viết

Trong mục File Settings, chọn đúng ổ Flash trên máy tính. Còn tại phần AutoRun Configuration, các bạn chọn Auto-mount the TrueCrypt volume và tiếp tục thiết lập theo như dưới đây:
 - Điền tên file thiết lập của TrueCrypt tại bước trên
 - Chọn First available của phần Mount volume as driver letter
 - Đánh dấu check vào ô Open Explorer window for mounted volume

Sau đó nhấn Create để bắt đầu quá trình này:

Trước khi tiếp tục, các bạn cần chú ý đến yêu cầu sau nếu TrueCrypt kết hợp thành công 1 phân vùng mã hóa trên bất kỳ máy tính nào:
 - Yêu cầu phải có TrueCrypt trên máy tính
 - Người sử dụng phải có quyền Administrator

Sau khi mọi việc cần thực hiện trên ổ Flash đã hoàn tất, chúng ta sẽ nhìn thấy biểu tượng của TrueCrypt trong cửa sổ Windows Explorer:

Khi chế độ TrueCrypt Traveler Disk đã được thiết lập thành công, quá trình truy cập và sử dụng dữ liệu trong ổ USB chỉ đơn giản như sau:

Tại đây, chúng ta sẽ quay trở lại bảng thông báo pop – up ở trên. Đó là để ổ USB tự hoạt động khi chúng ta cắm vào máy tính, nhưng trên thực tế hiện nay thì hầu hết các máy tính Windows đều đã tắt bỏ chức năng Autorun. Và vì vậy, người sử dụng sẽ phải tiến hành quá trình “nhận dạng” phân vùng TrueCrypt theo cách thủ công, nhưng nếu suy luậ logic thì sẽ không hợp lý. Đơn giản bởi vì mọi người không thể kết hợp và sử dụng những dữ liệu đã hóa chỉ với vài thao tác nhấn chuột. Do vậy, hãy tập trung và thực hiện theo các bước tiếp theo.
Mở file autorun.inf, sau đó copy toàn bộ text của dòng bắt đầu bằng open=

Sau đó, tạo mới 1 file text, đặt tên là MountTC.bat và paste đoạn mã vừa copy. Khi hoạt động, file batch này sẽ tự động kết hợp phân vùng TrueCrypt trên ổ Flash vào máy tính:

Sau đó, quay trở lại với file autorun.inf và copy đoạn mã sau dòng shell\dismount\command=

Tiếp tục tạo mới file text và đặt tên là DismountTC.bat, paste đoạn mã trên. Khi chạy, file batch này có nhiệm vụ gỡ bỏ những phân vùng TrueCrypt trên hệ thống:

2 file batch vừa tạo, nằm cùng thư mục với các file khác trên ổ USB:

Truy cập phân vùng TrueCrypt:
Quay trở lại vấn đề chính của chúng ta, sau khi kết nối ổ Flash vào máy tính, nếu phân vùng TrueCrypt không tự động kích hoạt, hãy chạy file MountTC.bat. Và các bạn đừng quên rằng trên máy tính đó phải có TrueCrypt đã cài đặt sẵn hoặc người dùng có quyền Administrator. Bảng thông báo UAC sẽ hiển thị trong trường hợp chưa có TrueCrypt cài đặt, nhấn Continue để tiếp tục. Sau đó, điền mật khẩu truy cập của phân vùng này:

Ngay lập tức, phân vùng chính được kết hợp vào hệ thống, và dữ liệu mã hóa sẽ hiển thị. Việc còn lại là copy những file cần bảo vệ vào bên trong thư mục này, và tất nhiên, không ai có thể truy cập vào đây nếu không có mật khẩu:

Khi kết thúc, các bạn hãy chạy file DismountTC.bat để gỡ phân vùng TrueCrypt ra khỏi máy tính. Các quá trình thực hiện trên tuy hơi phức tạp, tuy nhiên hiệu quả bảo mật lại vô cùng đảm bảo.
Bên cạnh đó, các bạn có thể tham khảo thêm tại video hướng dẫn co tại website antoanthongtin.edu.vn
Theo HowToGeek/QTM