Khi nói về an ninh mạng, có những mối đe dọa nghe có vẻ như chỉ xuất hiện trong những bộ phim cũ, nhưng chúng vẫn là mối đe dọa hiện nay. Một trong số đó là tấn công vét cạn (brute-force attack), một phương pháp về cơ bản bao gồm việc thử mọi tổ hợp mật khẩu có thể cho đến khi tìm ra mật khẩu chính xác. Nó giống như một tên trộm cố gắng mở két sắt bằng cách liên tục thử từng số trên núm xoay cho đến khi nghe thấy tiếng "tách"; việc này tốn thời gian, nhưng nếu hệ thống không có biện pháp phòng thủ, sớm muộn gì chúng cũng sẽ đột nhập được.
Điều tồi tệ nhất là tội phạm không còn thực hiện việc này bằng tay nữa. Chúng hiện sở hữu sức mạnh tính toán khổng lồ và các kịch bản tự động có thể thực hiện hàng triệu cuộc tấn công chỉ trong vài giây. Cho dù bạn là cá nhân muốn bảo vệ email của mình hay một công ty quản lý dữ liệu nhạy cảm, việc hiểu cách thức hoạt động của các cuộc tấn công mạng này là bước đầu tiên để tránh bị bất ngờ và dữ liệu của bạn bị bán trên dark web.
Tấn công vét cạn (brute-force attack) bao gồm những gì?
Về cơ bản, đây là một kỹ thuật xâm nhập thử và sai. Kẻ tấn công không tìm kiếm lỗ hổng phức tạp trong mã nguồn, mà nhắm vào mắt xích yếu nhất : mật khẩu do người dùng chọn. Sử dụng phần mềm chuyên dụng, hàng loạt yêu cầu đăng nhập được gửi đến một mục tiêu cụ thể, có thể là bất cứ thứ gì từ bảng quản trị WordPress đến cổng SSH trên máy chủ Linux.
Hiệu quả của phương pháp này hoàn toàn phụ thuộc vào độ phức tạp của khóa . Nếu bạn sử dụng mật khẩu như "123456", hệ thống sẽ sụp đổ ngay lập tức. Tuy nhiên, nếu mật khẩu dài và đa dạng, thời gian cần thiết để bẻ khóa có thể dao động từ vài giây đến hàng thế kỷ, khiến cuộc tấn công trở nên bất khả thi về mặt toán học.
Các biến thể và phương pháp tấn công
Không phải tất cả các cuộc tấn công đều giống nhau; tội phạm mạng điều chỉnh chiến lược tùy thuộc vào mục tiêu. Dưới đây là những cách phổ biến nhất để thực hiện các vụ xâm nhập này:
- Tấn công đơn giản: Đây là phiên bản cơ bản nhất. Nó kiểm tra các tổ hợp ngẫu nhiên hoặc các mật khẩu rất phổ biến. Nó chậm nhưng hiệu quả đối với những người dùng có thói quen bảo mật kém.
- Tấn công từ điển: Trong trường hợp này, kẻ tấn công thông minh hơn và sử dụng các danh sách từ khóa, cụm từ phổ biến và mật khẩu đã bị rò rỉ trong các vụ vi phạm an ninh trước đó.
- Phương pháp tấn công vét cạn kết hợp: Nó là sự kết hợp của hai cái trước đó. Nó lấy các từ trong từ điển và thêm các biến thể hợp lý, chẳng hạn như thay chữ "o" thành "0" hoặc thêm năm hiện tại vào cuối từ.
- Tấn công vét cạn ngược: Thay vì tấn công người dùng có nhiều mật khẩu, kẻ tấn công chỉ chọn một mật khẩu. mật khẩu rất phổ biến và thử nghiệm trên hàng nghìn tài khoản khác nhau để xem tài khoản nào bị lỗi.
- Tấn công đánh cắp thông tin đăng nhập: Nó dựa vào thói quen xấu là sử dụng lại cùng một mật khẩu ở mọi nơi. Chúng sử dụng cơ sở dữ liệu bị đánh cắp từ một trang web và tự động thử nghiệm chúng trên các dịch vụ có giá trị cao khác, chẳng hạn như ngân hàng trực tuyến.
- Các cuộc tấn công phân tán: Để ngăn chặn việc địa chỉ IP bị chặn, chúng sử dụng mạng botnet. Chúng thực hiện các nỗ lực tấn công từ... hàng trăm thiết bị khác nhau đồng thời, che giấu cuộc tấn công.
- Thấp và chậm: Để tránh bị radar an ninh phát hiện, họ phân bổ các lần truy cập cách nhau, nhờ đó ngăn chặn việc kích hoạt cảnh báo về lưu lượng truy cập bất thường.
Tác động của sức mạnh tính toán và việc sử dụng GPU
Ngày nay, tin tặc đã ngừng sử dụng CPU cho các tác vụ này. Thay vào đó, chúng sử dụng bộ xử lý đồ họa (GPU) , cho phép xử lý hàng nghìn luồng song song. Điều này làm tăng đáng kể tốc độ băm mỗi giây (HPS), giúp việc giải mã các khóa được mã hóa nhanh hơn nhiều lần. Các công cụ như Hashcat và John the Ripper tận dụng kiến trúc này để giải mã các hàm băm trên quy mô lớn trong thời gian kỷ lục.
Dấu hiệu cảnh báo: Làm sao để biết bạn đang bị tấn công?
Nếu bạn có quyền truy cập vào nhật ký hệ thống, sẽ có những dấu hiệu đáng ngờ mà bạn không thể bỏ qua. Dấu hiệu rõ ràng nhất là số lượng lớn lỗi 401 (Không được phép truy cập) trong một khoảng thời gian rất ngắn. Ngoài ra, việc thấy các lần đăng nhập bằng tên người dùng thậm chí không tồn tại trong cơ sở dữ liệu của bạn cũng rất đáng nghi ngờ.
Một dấu hiệu rõ ràng khác là việc quan sát thấy truy cập từ các vị trí địa lý không ngờ tới hoặc vào những thời điểm không trùng với giờ làm việc bình thường. Nếu bạn nhận thấy mức sử dụng CPU và băng thông của máy chủ tăng đột biến mà không có lý do rõ ràng, bạn có thể đang là mục tiêu của một cuộc tấn công vét cạn mật khẩu.
Nắm vững các chiến lược để bảo vệ hệ thống của bạn.
Để ngăn chặn những kẻ tấn công này, một biện pháp đơn lẻ là không đủ; bạn cần một hệ thống phòng thủ nhiều lớp . Dưới đây là những biện pháp tốt nhất để biến hệ thống của bạn thành một pháo đài:
1. Quản lý mật khẩu và lưu trữ an toàn
Hãy quên những mật khẩu ngắn đi. Mật khẩu dài, kết hợp chữ cái, số và ký hiệu, hiện đang là tiêu chuẩn . Điều quan trọng là phải cấm sử dụng thông tin cá nhân như ngày sinh. Hơn nữa, các công ty nên yêu cầu nhân viên sử dụng phần mềm quản lý mật khẩu để ngăn chặn việc sử dụng lại mật khẩu.
Về mặt kỹ thuật, tuyệt đối không lưu trữ mật khẩu dưới dạng văn bản thuần. Hãy sử dụng các thuật toán băm chậm và mạnh mẽ như Argon2 hoặc bcrypt , và đừng bao giờ quên thêm một "muối" duy nhất vào mỗi mã băm để vô hiệu hóa việc sử dụng bảng cầu vồng, luôn tích hợp an ninh mạng vào mã nguồn.
2. Xác thực đa yếu tố (MFA): Bức tường bất khả xâm phạm
Việc triển khai xác thực đa yếu tố (MFA) có lẽ là biện pháp hiệu quả nhất. Bằng cách yêu cầu yếu tố thứ hai (như mã TOTP, sinh trắc học hoặc khóa vật lý FIDO2), bạn khiến mật khẩu không còn đủ an toàn. Ngay cả khi kẻ tấn công đoán được mật khẩu, chúng cũng sẽ bị ngăn chặn vì không có quyền truy cập vật lý vào thiết bị của người dùng.
3. Kiểm soát truy cập và giới hạn tốc độ
Đừng cho phép bot thử vô số lần nhập mã. Hãy triển khai tính năng khóa tài khoản tạm thời sau một số lần thử không thành công nhất định (ví dụ: 5 lần). Một kỹ thuật tinh tế hơn nữa là điều tiết : mỗi lần thử không thành công sẽ làm tăng thời gian chờ trước lần thử tiếp theo, khiến cuộc tấn công diễn ra chậm một cách đáng kể.
4. Rào cản công nghệ và quá trình lọc thông tin
CAPTCHA rất cần thiết để phân biệt người dùng thật với chương trình tự động. Mặt khác, tường lửa ứng dụng web (WAF) có thể lọc lưu lượng truy cập độc hại và chặn các địa chỉ IP đáng ngờ trước khi chúng tiếp cận được biểu mẫu đăng nhập. Nếu dịch vụ của bạn chỉ khả dụng ở một quốc gia, chặn theo địa lý là một công cụ rất đơn giản nhưng mạnh mẽ.
5. Tăng cường các giao thức truy cập từ xa (SSH và RDP)
Các cổng mặc định là thiên đường của bot. Hãy thay đổi cổng SSH 22 thành một cổng ngẫu nhiên và vô hiệu hóa quyền truy cập root . Tốt nhất là thay thế mật khẩu bằng khóa SSH và đặt mọi truy cập RDP phía sau VPN, ngăn không cho nó bị phơi bày trực tiếp ra internet.
Bảo trì và kiểm toán chủ động
Bảo mật không phải là một trạng thái, mà là một quá trình. Việc quét lỗ hổng bảo mật thường xuyên bằng các công cụ như Nessus hoặc OpenVAS rất quan trọng để tìm ra các cổng mở không cần thiết. Cập nhật phần mềm và các plugin thường xuyên là điều cần thiết để khắc phục các lỗ hổng mà kẻ tấn công có thể khai thác để vượt qua quá trình xác thực.
Ngoài ra, nên triển khai hệ thống SIEM hoặc UEBA . Các công cụ này phân tích hành vi người dùng và tự động đưa ra cảnh báo khi phát hiện các hành vi bất thường, cho phép đội ngũ bảo mật hành động trước khi kẻ tấn công tìm ra chìa khóa chính.
Để duy trì một cơ sở hạ tầng an toàn, cần phải kết hợp kỷ luật trong việc tạo khóa, triển khai các công nghệ như xác thực đa yếu tố (MFA) và giám sát liên tục nhật ký truy cập để vô hiệu hóa mọi nỗ lực xâm nhập tự động trước khi chúng dẫn đến vi phạm dữ liệu nghiêm trọng.
