Bài giảng An toàn hệ thống thông tin

ung Quốc, Án Độ, Nhật, Hà Lan.
Một số hình ảnh về Việt Nam
Conficker-VN
1 Position
ASM
Country
AS Name
4
Z612
VW
VIM4AS
24
1840?
VW
FPTA
43
7552
VM
V1ETEL-
126
4589?
VM
VNPT-4
IM
240-5$
VN
CTC-A
)ii
2622
V1<
SPT-A
Ml
45543
VW
$CTV->
1440
3824*
VW
srouc-
2VJ4
VW
ỢTSC-I
AS
Description
Routed
Sp
Unique
A*B
IPs
A*B Chart
Unique
c Chart
Unique
A fl 'jr fl1J *114’
Aggregate Chart
c IPs
1 AP	p«t«i
L	
2»ni22
|4M4>
M
J”’.
iiu
I4MH
19	I
Mil
Tháng ĩ
11/2009
Conficker-VN
Conficker-VN
Sô 1 thê giới vê tỷ lệ địa chỉ IP quốc gia bị nhiễm Conficker
(Shadowserver Foundation)
BB
Ulu
JEZZ
HITS
84174
Tháng 06/2011 t
Tháng 04/2012
botnet
estimated botnet size
Country of Infection
Rustock
540k to 810k
Brazil (21%), USA (9%), Poland (7%)
Cutwail
100k to 1600k
Vietnam (17%), RepKorea(12%), Brazil (10%)
Bagle
520k to 780k
Brazil (12%), Spain (9%), USA (9%)
Bobax
100k to 160k
Spain (12%), Italy (7%), India (7%)
Grum
580k to 860k
Vietnam (18%), Russia (17%), Ukraine (8%)
Maazben
240k to 360k
Romania (17%), Brazil (11%), Saudi Arabia (7%)
Festi
140k to 220k
Vietnam (31%), India (11%), China (5%)
Mega-D
50k to 70k
Vietnam (14%), Brazil (11%), India (6%)
Xarvester
20k to 36k
Brazil (15%), Poland (11%), USA (10%)
Gheg
50k to 70k
Brazil (15%), Poland (8%), Vietnam (8%)
Unclassified Botnets
120 k to 180k
Other, smaller botnets
130k to 190k
Table 2.1 Biggest botnets in 2009 Những botnet lớn nhất trong nàm 2009
Source MessageLabs, Message Labs Intelligence: 2009 Annual Security Report, MessageLabs, December 2009, p.8
Việt đứng thế giới ở 4/5 trong tổng số 10 botnet lớn nhất thế giới năm 2009.
Nam số 1
Figure 2.5 Screenshot of 'Zeus Crimeware Toolkit’ Bộ công cụ phần mềm tội phạm Zeus
-&UA Một số hình ảnh về Việt Nam (tiếp)
Việt Nam đã có các botnet được sinh ra từ bộ công cụ phần mềm tạo botnet số 1 thế giới - Zeus.
Source p Coogan, Zeus, King of the underground crimeware toolkits, blog post, Symantec Security Blogs, Symantec Corporation, 25 August 2009, viewed 14 January 2009 ..
Một sô hình ảnh vê Việt Nam (tiêp)
Pricelist for batches of 1,000 malware-infected PCs |>er country
Botnet:
Mua vào: 5USD/1000 ch	Bán ra: 25USD/1000 chiếc
Báo cáo của Finjan "Cybercrime Intelligence" số 2 năm 2009.
FOSSA Cuộc chiến hacker TQ-VN lần thứ nhất
X -
« w * &
South China Sea Owned by Chinese
CBM. . . BiaaaT...
■J
02-07/06/2011
Hàng trăm (ngàn) website của 2 bên bị tấn công bôi xấu mặt, trong đó có cả các site của Chính phủ.
Cuộc chiến của cộng đồng tự phát?
Chừng nào còn xung đột Biển Đòng, chừng đó còn
chiến tranh không gian mạng ở VN!
FOSSA
A Of
Lịch sử và hiện tại
r	r
Việt Nam đứng thứ 2/103 quôc gia bị tân công với 130/1295 máy
bị tân công trên toàn thê giới. Vụ GhostNet 05/2007 - 03/2009.
Organization
Confidence
Location
Infections Ị
r ...	„0. u	 	‘ha. u	"	'
Table 2: Selected infections (conVd)
n>« geographic location of Infected hosts.
Eatassyof lontania. MIC Er tasty of Thailand. Ml tw tots Entiasyof die Republic ofKorea. Chha Gcvtmrrort Inteựatdd Stteconmnicat HyjS (onnmioc erf India, tanis Hự Conntsun CM Ind a. Unttd I rọo Irrakta brlrtomanr Ink ary. iawa Ir.tarnadcnal Campaign for Ttet International Chanter 0* 9t<C(rtng. Unit) Lanka Ettiatcn and research Netwcri. Malta External Trade Ccrporaticn He. Kjrwir rate, Solomon J dores MMkOyot Conn (carter 1. Brunei M<nh»y of Edao rtan. Sdorw! Kianei Minify of foreign Attars. Bargueeih Mimayof foreijn Attars. Baibiớoi Mlntwy of foreign Attars. Bluun MlnhSyof foreign Attals Brunel Mfnhey Of Foreign Attain. Iran
TOTAL IPs: 986
Total number of countries: 93
CHfie mnst— irriirZ
(Ti«*x*w«225r
■gem
•T|
*(05)
SOlJOI
US in J)
O|13)
COUNTRY KEY
Petrotimes.vn bi hacker tấn công xóa dữ liệu
Côp nhà! luc 10/06/2011 12 36 48 PM (GMT.7)
. Tô bao điện từ đưa tin đáu nguón vé câc vụ ttu Trung Ọuôc xâm phạm lành hãi, cát cáp thâm đó địa chân cũa các tàu Petrovtetnam vừa bị lân công làm te liệt tói qua, 9/6.
>Hơn 1.500 trang web VKt bi tân công
>Nguy cơ chiên tranh mang đang tảng >Hang loạt website việt Nam bị tan cõng
Dừ liêu website Peaoũmes vn củng bl hacker xỡa sach nhưng rảt may đâ được sao lưu dây đũ nén không gây thiổt hai nào dàng ké.
»*XJ bn Màro Uonq HO <Mn tử I »anq «1
PetroTimes
m rựuw.h MSng iuw*o M*
Miníssy of Fordijn Attirs U?/H
H
IV
2
Minssycf kdussy trứ Trjdd, VWT4IT
L
w
-‘C
Minssyof iKteuf AMHumuiRdttưcdt Bhutan
H
BT
NrtfonM	CdrOd. IndU
I
M
12
NATO. (SHAPE HO)
H
Hl
1
Ntt Tuot. Utean
H
tw
I
N Tuif D/Ỉ«ỵ TrU-.-iicc. Ucittd Suvs
L
US
1
Ollfot erf «d DaUi I MTU. Indra
H
w
2
Falcon Ritsw » Did Un T5td Nations
L
USJF
4
PrmKdr.t [Mdprtan erf CjpaH »th* Eucpaan Unw
L
BE
1
Ftmandot m««on of Cuba 10 »N Un Odd Nations
L
US
Fm« MimsaoTs Office Laos
H
LA
5
Fibre Sdnrftd DVKton. Scfo«on manes
H
SB
I
Rbsaar. FdderM UniivnityNerMid. Bsissta'. Federation
H
RII
1
Thế Q»Ot pdrímg XOhột ihutrngtruOno oiu IkAnOuyànluc txktrxxai Phóng «V-Điểu tra
fonas] Cto f*4» nợ*. toowot t • 0» 5«
VIDEO tảu Trung Quóc phá hoại càp của tẩu Viking II
(Perroomes^ Mhứng thươc pnim 00 èàc tnủy thu trên Uu v+.ing I grv tai va gủi Cho Petrobrnes
Trà lòi phóng viên VietNamNet. ổng Nguyẻn Như Phong. Tỗng biên tâp Báo đlẠn từ Tin nhanh Nàng Lưong MỚI - PetroTimes vn. cho biết: vaó luc hơn 20h iói qua (9/6). một lưong Duy cập khoang Ưên 600 ngân két nỗi đóng thơi đả dỏn vâo websie peDotimes.vn khiến website bi ngừng hoat động VI gua ÚI
Tuyên bố của Bộ TTTT: vẫn chưa tìm ra thủ phạm tấn công Vietnamnet!
22/11/2010-22/11/2011
•^fossA Một số hình ảnh về Việt Nam (tiếp)
BKAV BỊ TẤN CÔNG, THÁNG 02/2012
We arc Anonymous
Wc are Lcfnon
BKAV Op
Hình ảnh được ha
Mon quà sò 2 - Môn táu Mi vê báo mít của BKAV
th cfe b w ■■ Um	Aa BKAV db adk 
<4 €M ta kW4a chtctoM t*
BKAV rl r Mg Mafeg HM0B 4wr M* wUi <*■	»• in r* h| UhMg WMB Ểwv ỀỀt 4ể w
đry laM. «1 ing im to Ùb tag WI< KỈ tag w u a lai b tế w ’ • w» 4* €M to tag <4HlìBt*»*XMW»toŨB »ag In 4ft Wu I Um to ttot to u vĩrwM ’*» ■ wit fWM *»	VMg Ua to U«M at tot M to ỂMM OM toa* CKÈ nại hi
«c N*m«ai4BKAV 4>«t4bto«PM toi%iMM«tag«fhntolaBtMc4to8KAVtodl
«AWM0mKN1
ANONYMOUS
Bãi viết của nhóm hacker đang gây xôn xao trên mạng.
Kaspersky Lab
Germany gets the most malicious spam
Back to Germany gets the most malicious spam
Share of malicious email by country
Back to Germany gets the most malicious spam
14%
I 13.82%
Việt Nam đứng số 5 thế giới về thư rác độc hại vào tháng 09/2012 với tỷ lệ là 5.95%.
só liệu tháng 09/2012 từ Kaspersky Lab
Copyright ©2012 Heise Media UK Ltd.
r°UA Một số hình ảnh về Việt Nam (tiếp)
ti 1 I : trendmicro.com
•secunty-tntelligencc/modificd ■crtfal-vanantwompromised fl Z4*y*(em*/
□<e
TrendJibs
SECURITY INTELLIGENCE BLOG
Ibvaet M«w« end Inlerraebon Chrvct from the t (part*
- Việt Nam đứng số 1 thế giới về lây nhiễm virus Enfal, với 394/874 (45%) hệ thống bị lây nhiễm tại 33 nứớc.
Bed Sites Bonen DM* Exploits Heated Sites Mae Mtewere Morale Oymptcs Sooei Medu spam Targeted Aaacas VuinevatMlises
Trendiab* Security Intetepenee > Modited Ends! 'Wrienis Compromised 674 Systems
Modified Eníal Variants Compromised 874 Systems
13 2 I c>r Mat Vtames aww Tteew taawtaw)
® Aecommend 0 Tweet <4 n -1	1
Ental cộ thể kiểm soát hoàn toàn hệ thống bị lây nhiễm.
Một hệ thống bị tổn thương có thẻ kết nối tới hơn 1 máy chủ?
Modified vemons c* the Cnfat mate ore. wtuch tgured prommentfy in the LURID attacaa. were teen to hare infected more «*an 800 systems woddvrMte Ertei vanante ar* known to communicate to speoftc servers that gives Pdtental anacaers access and even tun corwot o’ infected systems
We rec*n»y uncovered several atecks that used a modifted v*rwon o’ Enter wTuch have comprtxneed 874 systems tn 33 oountnes ErAM was toe malware used m toe LUR o targeted alack* wnch we documented lam Septefftoer 2011 The malware was also anked to attack# going back to 200« and possibly even 2002
Targeted Attacks ■©•
- Ttend Macro, tháng 09/2012.
We mvestgated frve oommand-and-conkol |C4C) tervert relate a to thwwr attack* and found M them were vsefcm
concecitraOons r> Vietnam Russia and Mongok
These tdenefted targeted detent can be categorised as
I'lr V ■ ,< ■
Matary and Detente contractor#
Nuclear and Energy sector*
Space and Anrtaton
■ Tibetan community
Here are tte top 3 counties thac had compromised computet# connectng to the ftte etc server# Note teat a tingle compromsed System may connect to more man one server
Các biên the Enfal được biet sè giao tlép VỚI các máy chủ đạc thù mà trao cho những kẻ tấn cóng tlẽm nang truy cập vã thậm chí kiểm soát hoàn toàn các hệ thóng bị lây nhiễm.
Vào tháng 11/2011, phan
mém độc hại Enfal đà làm tốn thưong 874 hệ thóng tại 33 quõc gia, trong đó táp trung nhát là vào Việt Nam, Nga và Mông cổ.
Chúng đưọc xác định đã nham vào các nạn nhãn cõ thè được phãn loại nhu: (1) Các bộ và cơ quan chính phù; (2) Các nhà thầu quân sụ và quổc phòng; (3) Các lĩnh vục hạt nhân và nang lượng; (4) Vũ trụ vầ hàng không; (5) Cộng đòng Tây Tạng.
5 quóc gia hàng đâu cỏ các máy tính bị tổn thương có két nối tớl các máy chú Chỉ huy và Kiểm soát. Lưu ỷ rang một hệ thóng bị tòn thương cố thể két nôi tói hơn 1 máy chủ.
Ental
57344 byte*
543<17d4da5d23527c8a854953d953fa
6a7274ce4Idd 3fcfff77f327đ 17981657e3960d5
Detection Name*
Trojan-Spy. win 32. Agent. M!IK Win32: Malware-gen
Win32/DH.FF820380<40008000-10000000-00000000) (su* TR/Hljacker.Gen
Gen:Trojan.Heur.JP.đmWCaa9LcRi
Trojan .Spy-87634
BackDoor.Tiblue.37
W32/HeuriM»c-431 lEldorado
W32/Pmcav.GRW'tr trojan: Win32/malagc nt Wtn32/Spy.Agent.M trojan (vanant) W32/Su*pkious_Gen2.TMONT Tro J/Mk moo-Gen
Vba32 V-Buster
TROJ_GEN R01C7KT
Trojan-Spy.Agent.8 TrojanSpyJkgent'xbCinKBTtA (trojan)
Other brandi and name* may be ơatmeđ at tne property of otrren.
OVERVIEW
ỂẩKỒ ICS-CERT
s 7 industrial CONTROL SYSTEMS CYBER EMERGENCY RESPONSE TEAM
products are also deployed in Europe, the Americas, Asia, and Africa. Sunway products are deployed ^BI across a wide variety of industries including petroleum, petrochemical, defense, railways, coal, energy, pharmaceutical, telecommunications, water, manufacturing, and others.
ICS-CERT has received J report from Security researcher Dillon Beresford of NSS tabs*concerning vulncrabililtties affecting Sunway ForceControl and pNet Power SCADA/HMI applications. The reported vulnerabilities are heap-based buffer overflows'* that could result in a denial of service or the execution of arbitrary code.
ICS-CERT has coordinated with the researcher. China National Vulnerability Database (CNVD). and Sunway to ensure full remediation of the reported vulnerabilities. Sunway has issued two patches that address both vulnerabilities. CNVD has confirmed the effectiveness of the patches issued by Sunway. Neither ICS-CERT nor the researcher has validated these patches. Sunway has Issued a security bulletin describing their response.'
AFFECTED PRODUCTS
According to the researcher, these vulnerabilities affect Sunway ForceControl 6.1 (SP1, SP2, and SP3) and pNct Power Version 6
IMPACT
Successful exploitation of these vulnerabilities could allow an attacker to perform a remote demal of service or to remotely execute arbitrary code against the ForceControl and pNet Power server applications. This action can result In adverse application conditions and ultimately impact the production environment on which the sc ADA system is used.
VULNERABILITY CHARACTERIZATION
VULNERABILITY OVERVIEW
The following two vulnerabilities have been identified:
The heap-based buff er overflow affecting ForceControl 6.1 Webserver can be exploited if an attacker makes a request to the httpsvr.exe process with a specially crafted HTTP URL. Successful exploitation results in a denial of service and the possible execution of arbitrary code.
The heap-based buff er overflow affecting pNetPower AngelServcr can be exploited if an attacker sends specially crafted UDP packets to the AngelServer.exe process. Successful exploitation results in a denial of service and the possible execution of arbitrary' code.
VULNERABILITY DETAILS
EXPLOITABILITY
Remote exploitability of this vulnerability could be possible.
EXISTENCE OF EXPLOIT
No known exploits specifically target this vulnerability.
Cảnh giác với tấn công dạng stuxnet ở Việt Nam!
(1) Windows + (2) SCADA+'(3) stuxnet = THẢiyi HỌA!
Phát hiện 2 dạng SCADAcua TQ có lỗi - có thể bị tấn
công DDoS hoặc chạy chương trình tùy ý.
ICS-CERT	* SCADA: Supervisory Control And Data Acquisition
INDUSTRIAL CONTROL SYSTEMS CYBER EMERGENCY RESPONSE TEAM
ICS-CERT ADVISORY
ICSA 11-167 01—HEAP OVERFLOW VULNERABILITIES IN SUNWAY FORCECONTROL AND PNETPOWER
June 16. 2011
\F?SS* Công cụ được sử dụng để tấn công
Phần cứng và thiết bị
Chip, BIOS, RAM, USB & bàn phím: cấy mã độc và BIOS - stoned Bootkit,
vào USB, nạo vét RAM - Cold Boot, nghe bàn phím (KeyLogger).	
Thiết bị viễn thông: Lo ngai của Mỹ, Anh, Ấn ve Hoa Ví (Huwei) và ZTE.
Hệ thống nhúng: máy in, photocopy đa năng của Canon, Ricoh, Xerox, HP...
Các thiết bị di động: phân mềm đôc hai gia tăng nhanh.
Thẻ và đầu đọc thẻ thông minh: Bô Quốc phòng & Bô An ninh nối đìa Mỹ.
Phần mềm
ỨNG DUNG
HOÀC CẨU HÌNH
OÀC BIÊT
GIÃI PHÁP
NGU Ôn MỞ
PHÀN MỂM TRUNG GIAN
LAMB J2EE
HỆ ĐIỂU HÀNH
GNU/LINUX
Lóp úng dụng
Luong người sứ dụng và Xác suất lỗi
độ trường thành
Lỗi CÓ tính sống còn trong RHEL 4.0 và RHEL 5.0 bằng 0.
X™"4 Công cụ được sử dụng để tấn công
Phần mềm (tiếp)
Cửa hậu gai trong Windows, các OS thương mại khác; và cả Lotus Notes.
Sử dụng các lỗi của phần mềm đê tấn công: Windows, Exchange Server, MS SQL Server, MS Office, IE, Wordpad, Windows Update... Adobe Reader - Flash, QuickTime, Firefox, AutoCAD... FaceBook, Twitter... SCADA- ICS...
Tạo ra các botnet từ vài trăm tới hàng chục triệu máy bị lây nhiễm
Mua bán các máy tính bị lây nhiễm theo vùng địa lý
Sử dụng không đúng dẫn tơi mất an ninh: Sidekick.
Liên quan
Pháp nhân đứng ra tấn công là đủ loại, cao nhất là các quốc gia như Mỹ, Israel, Trung Quốc, Nga, Anh.. —> chay đua vũ trang KGM vùng chiến sư.
Tân suât cực lớn, phạm vi rộng khăp, mọi lĩnh vực, mọi tô chức
Virus ngày càng tinh vi phức tạp hơn: stuxnet - Duqu - Flame - Gauss...
Thiệt hại lớn: stuxnet đẩy lùi chương trình hạt nhân của Iran 2 năm; Mỹ mất hàng Terabyte dữ liêu; chỉ trong 6 tháng Conficker gây hai tời 9.1 tỷ USD, Barack Obama: 2008-2009 riêng Mỹ thỉêt hai do tội pham KGM là 8 tỷ USD...
Tóm lươc
Thực hiện vá (patch) kịp thời và đây đủ (tự động ???)
Cân nhắc kỹ trước khi click vào link hoặc cài đặt phần mềm mới. Dùng PMMNM để thay thế.
Mã hoá thông tin mỗi khi có thể: mã hóa tập tin, mẵ hoá thiết bị lưu trữ, xác thực khi sử dụng thiết bị, mã hoá đường truyền, sử dụng 2 phương thức kết hợp để xác thực (token+mật khẩu)
Triển khai xóa dữ liệu từ xa dề phòng mất thiết bị.