Trên thế giới, đã có khá nhiều người kể lại, họ đã được nhìn thấy đĩa bay, đã gặp gỡ với người hành tinh khác, cũng có trường hợp một số người bị mất tích một cách bí ẩn và được gán cho là đã bị người hành tinh khác bắt cóc. Cũng không ít người cho rằng họ đã “linh cảm” một điều gì đó sẽ xẩy ra trong tương lai, và điều đó đã xẩy ra đúng như họ đã “linh cảm” trước.
Khoa học đã nhìn nhận và giải thích các vấn đề này như thế nào? Trong khuôn khổ bài báo này, chúng tôi giới thiệu các lí giải của một số nhà khoa học trên thế giới để bạn đọc tham khảo.
Không gian 4 chiều.
Như đã biết, không gian chúng ta đang sống là không gian ba chiều. Nhưng để giải thích các vấn đề trên, các nhà khoa học cho rằng không gian có thể có nhiều hơn ba chiều (bốn chiều, năm chiều…). Những người đã gặp được người hành tinh khác có liên quan đến một năng lực đặc biệt, giúp họ đi vào thế giới không gian bốn chiều bí ẩn, vì thế họ đã nhìn thấy những hình ảnh mà người khác không nhìn thấy được.
Theo các nhà khoa học, bộ não của con người bình thường không thể tưởng tượng được không gian bốn chiều. Điều này có thể được giải thích như sau: Chúng ta hãy giả thiết là có các sinh vật sống ở không gian hai chiều (sống trên một mặt phẳng). Ở trên mặt phẳng đó, chúng không hề biết gì về sự hiện hữu của không gian ba chiều. Vì vậy, mọi chuyển động của chúng sẽ bị giới hạn trên mặt phẳng ấy và không thể tiến vào chiều không gian thứ ba như chúng ta. Giả sử có một quả cầu lọt vào thế giới đó, các sinh vật ở không gian hai chiều mới đầu sẽ nhìn thấy một điểm sáng, rồi đến các hình tròn to dần lên, đến mức cực đại, rồi các hình tròn nhỏ dần, thu lại thành một điểm, rồi biến mất. Kết quả là chúng chỉ nhìn thấy những đường tròn mà không hiểu toàn bộ câu chuyện về quả cầu như thế nào cả.
Nhưng, những điều thần bí đôi khi cũng đến với các sinh vật ở không gian hai chiều. Ví dụ, thời gian cần thiết để chúng vượt qua khoảng cách từ A đến B trên mặt phẳng (không gian hai chiều) khoảng chục năm. Nhưng vì một biến cố nào đó, mặt phẳng kia bị cong lại trong không gian ba chiều, khiến điểm A và điểm B gần nhau hơn, thậm chí trùng lên nhau. Khi đó điều kì diệu đã đến với chúng: Thời gian hàng chục năm để đi từ A đến B đạt được chỉ trong giây lát.
Trở lại vấn đề trên, các nhà khoa học giải thích: Không gian ba chiều nằm trong cái nôi của không gian bốn chiều (như không gian hai chiều nằm trong không gian ba chiều). Những ai có khả năng xâm nhập vào chiều không gian thứ tư, thì đối với họ khoảng cách hàng vạn km, thậm chí hàng vạn năm ánh sáng không còn ý nghĩa gì. Họ vượt qua trong phút chốc bằng cách đi qua “ khe hở” của chiều thứ tư này. “Khe hở” đó là biên giới ngăn cách hai thế giới: Thế giới của không gian ba chiều và thế giới của không gian bốn chiều. Đó chính là cơ hội để những sinh vật cấp thấp xâm nhập vào chiều thứ tư, như những người trên trái đất đã gặp người hành tinh khác.
Để chứng minh sự tồn tại của chiều không gian thứ tư, các nhà khoa học Mỹ dự định chế tạo một máy đo siêu nhỏ, nhằm chỉ ra các hiệu ứng khác lạ, dẫn tới kết luận về sự hiện hữu của các chiều không gian khác. Nguyên lí của thí nghiệm này như sau: Theo thuyết string (Thuyết hình sợi), ở các khoảng không gian cực hẹp (cấp độ nano mét (nm); 1nm = 10-7cm), không gian sẽ bị cuộn lại trong các chiều khác (chiều thứ tư, thứ năm…). Điều này sẽ làm thay đổi lực hấp dẫn giữa các vật thể trong không gian đó. Vì thế, nếu xây dựng được một thí nghiệm để chỉ ra sự thay đổi này của lực hấp dẫn, thì người ta có thể kết luận rằng có chiều không gian thứ tư.
Các nhà khoa học dự định sẽ đo lực hấp dẫn giữa hai lá kim loại siêu mỏng, đặt cách nhau một khoảng cỡ nano mét. Để đo được chính xác lực hấp dẫn này, người ta cần loại trừ một đại lượng gọi là hiệu ứng Casimir.
Theo cơ học lượng tử, hiệu ứng này được sinh ra bởi các photon ảo, thường bất ngờ xuất hiện trong chân không rồi lại tự động biến mất. Bình thường, trong không gian tồn tại các photon với các bước sóng khác nhau và rất đa dạng. Tuy nhiên, giữa hai tấm kim loại cực hẹp thì điều đó không thể có. Ở đây chỉ có các photon có bước sóng nhỏ hơn hoặc bằng khoảng cách giữa 2 lá kim loại. Hệ quả là giữa hai tấm kim loại sẽ có ít photon hơn bên ngoài. Sự chênh lệch về số photon trong và ngoài hai lá kim loại sẽ tạo ra một áp suất nhỏ, ép chúng lại với nhau. Lực đó được gọi là hiệu ứng Casimir.
Để loại trừ hiệu ứng trên, các nhà khoa học sẽ phải làm thí nghiệm với các lá kim loại giống hệt nhau, nhưng với các đồng vị khác nhau. Ở giữa chúng hiệu ứng Casimir sẽ giống nhau, nhưng lực hấp dẫn lại khác nhau (lá kim loại có đồng vị nặng hơn sẽ tạo ra lực hấp dẫn lớn hơn). So sánh hai lực hấp dẫn này người ta loại bỏ được hiệu ứng Casimir ra khỏi phép đo.
Các nhà khoa học hi vọng trong tương lai gần, các thí nghiệm này sẽ được thực hiện. Nếu thí nghiệm thành công, thì đây là một sự kiện chấn động vì nó sẽ khẳng định sự tồn tại của chiều không gian thứ tư, điều mà theo Stephen Hawking là không thể tưởng tượng được với bộ não con người bình thường.
Vũ trụ trong hệ toạ độ 11 chiều của Stephen Hawking:
Nhà vật lí người Anh Stephen Hawking mới phát triển ra một mô hình vũ trụ từ những công thức toán học tỉ mỉ. Những phát kiến mới này của Hawking dường như làm đảo lộn quan điểm khoa học truyền thống và được trình bày bằng thuyết M – M đồng nghĩa với magical (thần diệu), mystical (thần bí), mother (mẹ, gốc) – Thuyết này được coi là tổng hợp của thuyết lượng tử và thuyết tương đối. Trong khi thuyết tương đối giải thích thế giới ở dạng vĩ mô, có liên hệ với lực hấp dẫn, thì trong mô hình của thuyết lượng tử (miêu tả thế giới vi mô), không có tương tác này. Vì thế, thuyết M của Hawking được gọi là “thuyết lượng tử hấp dẫn”. Theo Hawking thuyết này cung cấp và lí giải chính xác về bản chất của vũ trụ.
Khi phát triển thuyết M, Hawking tin rằng đã đạt được những thành tựu có tính bước ngoặt, dựa trên nền tảng của một lí thuyết rất nổi tiếng trong những năm gần đây: Thuyết String. Thuyết này cho rằng, những thành tố nhỏ nhất tạo nên vũ trụ là những dạng thức hình sợi (string), chứ không phải dạng hạt. Nhưng ở xung quanh các sợi này, theo Hawking có hiện hữu một trường hấp dẫn và người ta có thể xác định được độ lớn của trường hấp dẫn ấy (thí nghiệm mà các nhà khoa học Mỹ dự định tiến hành như đã trình bày ở trên)
Dựa trên “thuyết lượng tử hấp dẫn” của mình, Hawking đã tính ra vũ trụ của chúng ta được hình thành từ 11 chiều. Nhưng chỉ có ba chiều không gian và một chiều thời gian đã mở, còn bảy chiều kia bị cuộn lại từ sau vụ nổ lớn.
Nhận xét về thuyết mới của Hawking, tạp chí khoa học P. M của Đức đã viết:” Khi bạn đọc những dòng này, thì cùng lúc, hàng trăm con người trong bạn đang đọc nó – những kẻ đồng hành với bạn – tất cả đều đang nhún vai như bạn, đều lắc đầu, nghi hoặc…”
Lí thuyết trên của Hawking đang gây ra nhiều tranh cãi lớn, vì nhà vật lí này cho rằng có thể giải thích được hiện tượng “linh cảm” một cách khoa học bằng thuyết M: Trong mô hình vũ trụ này, cùng lúc tồn tại vô số những con người khác nhau trong một con người. Và cùng lúc, tất cả thông tin về vũ trụ ở mọi thời đại đều hiện hữu. Vì thế, hiện tượng “linh cảm” có thể giải thích bằng việc một con người nào đó trong bạn đã trải nghiệm điều mà bạn sẽ trải qua, và mách bảo cho bạn biết trước điều đó.
Bây giờ ta hãy thử xét vấn đề theo khía cạnh khác
Thời xưa, người phương Đông cổ đại cho rằng, năng lượng phát ra từ bộ phận trung tâm của con người, vùng trung tâm đó chính là “con mắt thứ ba”. Vì vậy hình ảnh con mắt thứ ba được thể hiện trên trán của các vị thần trong các bức tượng, tác phẩm điêu khắc cổ đại ở đền chùa Phật giáo. Truyền thuyết phương Đông cho rằng, con mắt nhìn thấu mọi điều được Thượng đế ban tặng cho các vị thần để họ có những năng lực siêu phàm (khả năng ngoại cảm) nhìn thấu những không gian khác. Trong Yoga, việc luyện tập Marantha để có được một vài năng lực tâm linh thần bí như khai sáng được “con mắt thứ ba” mà người khác không có.
Người Ấn Độ thường chấm một điểm trên trán giữa hai con mắt để diễn tả con mắt thứ ba, chính là thần nhãn, để thấy được những gì mà hai con mắt trần vẫn nhìn mà không thể thấy được. Nhiều giả thuyết khác lại cho rằng, do từ thời xa xưa, Adam và Eva đã phạm luật thiên đàng nên hạch tuyến Pituitary và Pineal nằm ở khoảng giữa hai con mắt đã dần bị hạn chế khả năng nhìn nhận ánh sáng.
Tuy nhiên, theo nghiên cứu của một số nhà khoa học thì thông thường mỗi sinh vật có một con mắt thứ ba nằm ở trung tâm não có tên là tuyến tùng. Nó cảm nhận giống như một con mắt vì tuyến tùng phản ứng lại với những thay đổi của ánh sáng. Một khám phá gần đây cho thấy mắt thường cũng có thể sản xuất được chất melatonin, làm cho vai trò của tuyến tùng trong con người càng ít quan trọng hơn nữa.
Ở Việt Nam, nhiều cuộc thử nghiệm về đề tài này cũng đã được tiến hành. Nhà nghiên cứu Nguyễn Phúc Giác Hải đã từng nhắc đến cô gái Việt Nam có khả năng kỳ lạ trên và chương trình “Những chuyện lạ Việt Nam” cũng đã ghi hình và cho phát toàn bộ cuộc thử nghiệm khả năng đặc biệt của cô gái này. Mặc dù 2 mắt bị bịt kín nhưng cô vẫn đi lại, hoạt động và đọc chính xác sách báo như bình thường.
theo bocau net
Chào mừng đến với site của Bee! Chúc các bạn có những giây phút thực sự vui vẻ!!!
Thứ Năm, 20 tháng 12, 2012
Thứ Tư, 5 tháng 12, 2012
Thay đổi biểu tượng ổ đĩa trong Windows
Thủ thuật máy tính » Thay đổi biểu tượng ổ đĩa trong Windows, thay Icon ổ đĩa, thay biểu thượng các ổ
Thay đổi theo cách thủ công
Nói chung tôi tránh bằng cách sử dụng các công cụ để làm việc xung quanh những điều như vậy. Điều đó mở ra cơ hội để tìm hiểu và cũng biết những gì thực sự xảy ra. Vì vậy, một trong những điều này là thú vị. Thực hiện theo các bước sau để thay đổi bất kỳ biểu tượng ổ đĩa theo cách thủ công.
Bước 1: Hãy chọn một biểu tượng (định dạng ico) cho ổ đĩa của bạn, sau đó copy và paste vào cùng một thư mục gốc của ổ đĩa có biểu tượng mà bạn muốn thay đổi. Như trong hình dưới đây tôi đặt tên biểu tượng là TV.ico.
Bước 2: Kích hoạt Notepad lên và chèn đoạn mã dưới đây với sự khác biệt mà bạn nên thay thế mydriveiconbằng tên của tập tin biểu tượng của bạn.
[Autorun]
ICON = mydriveicon. Ico
Như trong hình dưới đây, tôi đã thay thế cụm từ mydriveicon bằng cụm từ TV.ico.
Bước 3: Sau đó truy cập vào menu File>Save để lưu tập tin này lại trong thư mục gốc tức là cùng vị trí của ổ đĩa có liên quan. Bạn nên lưu tập tin với tên là autorun.inf, khung Save as type bạn nên chọn All Files, sau đó bấm nút Save để lưu lại.
Sau khi thực hiện các bước trên xong, bạn sẽ có hai tập tin trong thư mục gốc của ổ đĩa gồm biểu tượng và tập tin autorun.
Bước 4: Khởi động lại máy tính của bạn và bạn sẽ thấy sự thay đổi được áp dụng.
Lưu ý: quá trình này sẽ không làm việc với ổ cứng gắn ngoài. Và nếu bạn muốn trả lại biểu tượng ổ đĩa như ban đầu thì chỉ cần loại bỏ hai tập tin này và khởi động lại máy tính của bạn là xong.
Sử dụng tiện ích Seven Drive Icon Changer
Nếu quá trình thao tác trên khá dài dòng và phức tạp thì bạn có thể sử dụng tiện ích miễn phí Seven Drive Icon Changer, cho phép người dùng thay đổi biểu tượng ổ đĩa chỉ với một cú nhấp chuột đơn giản.
Bước 1:Bạn tải tiện ích miễn phí Seven Drive Icon Changervề máy tính tại địa chỉ http://tinyurl.com/c5c4k8o. Sau khi tải về bạn chỉ cần giải nén và kích hoạt tiện ích lên ngay mà không cần cài đặt.
Bước 2: Từ giao diện chính của tiện ích, bạn chỉ cần bấm nút Browse để chọn tập tin biểu tượng (định dạng ico) mà bạn muốn sử dụng. Bạn có thể tìm kiếm những biểu tượng có sẵn trên máy bằng cách sử dụng công cụ tìm kiếm với từ khóa *. ico. Sau đó kích chọn biểu tượng bạn muốn sử dụng và bấm nút Open để chọn.
Bước 3: Quay trở lại giao diện chính của tiện ích, bạn bấm biểu tượng mũi tên bên trái mục Select drive để chọn ký tự của ổ đĩa trên hệ thống mà bạn muốn thay đổi biểu tượng. Sau cùng bạn bấm nút Chang icon! để áp dụng thay đổi.
Trong trường hợp bạn muốn trả lại biểu tượng ban đầu cho ổ đĩa chỉ cần kích hoạt ứng dụng lên, chọn ký tự ổ đĩa cần trả về mặc định, rồi bấm nút Reset icon! là xong.
Thay đổi theo cách thủ công
Nói chung tôi tránh bằng cách sử dụng các công cụ để làm việc xung quanh những điều như vậy. Điều đó mở ra cơ hội để tìm hiểu và cũng biết những gì thực sự xảy ra. Vì vậy, một trong những điều này là thú vị. Thực hiện theo các bước sau để thay đổi bất kỳ biểu tượng ổ đĩa theo cách thủ công.
Bước 1: Hãy chọn một biểu tượng (định dạng ico) cho ổ đĩa của bạn, sau đó copy và paste vào cùng một thư mục gốc của ổ đĩa có biểu tượng mà bạn muốn thay đổi. Như trong hình dưới đây tôi đặt tên biểu tượng là TV.ico.
Bước 2: Kích hoạt Notepad lên và chèn đoạn mã dưới đây với sự khác biệt mà bạn nên thay thế mydriveiconbằng tên của tập tin biểu tượng của bạn.
[Autorun]
ICON = mydriveicon. Ico
Như trong hình dưới đây, tôi đã thay thế cụm từ mydriveicon bằng cụm từ TV.ico.
Bước 3: Sau đó truy cập vào menu File>Save để lưu tập tin này lại trong thư mục gốc tức là cùng vị trí của ổ đĩa có liên quan. Bạn nên lưu tập tin với tên là autorun.inf, khung Save as type bạn nên chọn All Files, sau đó bấm nút Save để lưu lại.
Sau khi thực hiện các bước trên xong, bạn sẽ có hai tập tin trong thư mục gốc của ổ đĩa gồm biểu tượng và tập tin autorun.
Bước 4: Khởi động lại máy tính của bạn và bạn sẽ thấy sự thay đổi được áp dụng.
Lưu ý: quá trình này sẽ không làm việc với ổ cứng gắn ngoài. Và nếu bạn muốn trả lại biểu tượng ổ đĩa như ban đầu thì chỉ cần loại bỏ hai tập tin này và khởi động lại máy tính của bạn là xong.
Sử dụng tiện ích Seven Drive Icon Changer
Nếu quá trình thao tác trên khá dài dòng và phức tạp thì bạn có thể sử dụng tiện ích miễn phí Seven Drive Icon Changer, cho phép người dùng thay đổi biểu tượng ổ đĩa chỉ với một cú nhấp chuột đơn giản.
Bước 1:Bạn tải tiện ích miễn phí Seven Drive Icon Changervề máy tính tại địa chỉ http://tinyurl.com/c5c4k8o. Sau khi tải về bạn chỉ cần giải nén và kích hoạt tiện ích lên ngay mà không cần cài đặt.
Bước 2: Từ giao diện chính của tiện ích, bạn chỉ cần bấm nút Browse để chọn tập tin biểu tượng (định dạng ico) mà bạn muốn sử dụng. Bạn có thể tìm kiếm những biểu tượng có sẵn trên máy bằng cách sử dụng công cụ tìm kiếm với từ khóa *. ico. Sau đó kích chọn biểu tượng bạn muốn sử dụng và bấm nút Open để chọn.
Bước 3: Quay trở lại giao diện chính của tiện ích, bạn bấm biểu tượng mũi tên bên trái mục Select drive để chọn ký tự của ổ đĩa trên hệ thống mà bạn muốn thay đổi biểu tượng. Sau cùng bạn bấm nút Chang icon! để áp dụng thay đổi.
Trong trường hợp bạn muốn trả lại biểu tượng ban đầu cho ổ đĩa chỉ cần kích hoạt ứng dụng lên, chọn ký tự ổ đĩa cần trả về mặc định, rồi bấm nút Reset icon! là xong.
Nguồn: Nguyễn Hải blOg
Thứ Hai, 3 tháng 12, 2012
Sniffer – Phương thức hoạt động, các kiểu tấn công và phòng chống
Định nghĩa Sniffer
1. Khái niệm Sniffer
Khởi đầu Sniffer là tên một sản phẩm của Network Associates có tên là Sniffer Network Analyzer. Đơn giản bạn chỉ cần gõ vào từ khoá Sniffer trên bất cứ công cụ tìm kiếm nào, bạn sẽ có những thông tin về các Sniffer thông dụng hiện nay.
Sniffer được hiểu đơn giản như là một chương trình cố gắng nghe ngóng các lưu lượng thông tin trên (trong một hệ thống mạng). Tương tự như là thiết bị cho phép nghe lén trên đường dây điện thoại. Chỉ khác nhau ở môi trường là các chương trình Sniffer thực hiện nghe lén trong môi trường mạng máy tính.
Tuy nhiên những giao dịch giữa các hệ thống mạng máy tính thường là những dữ liệu ở dạng nhị phân (Binary). Bởi vậy để nghe lén và hiểu được những dữ liệu ở dạng nhị phân này, các chương trình Sniffer phải có tính năng được biết như là sự phân tích các giao thức (Protocol Analysis), cũng như tính năng giải mã (Decode) các dữ liệu ở dạng nhị phân sang dạng khác để hiểu được chúng. Trong một hệ thống mạng sử dụng những giao thức kết nối chung và đồng bộ. Bạn có thể sử dụng Sniffer ở bất cứ Host nào trong hệ thống mạng của bạn. Chế độ này được gọi là chế độ hỗn tạp(promiscuous mode).
Đối tượng Sniffing là
o Password (từ Email, Web, SMB, FTP, SQL hoặc Telnet)
o Các thông tin về thẻ tín dụng
o Văn bản của Email
o Các tập tin đang di động trên mạng (tập tin Email, FTP hoặc SMB)
2. Mục đích sử dụng
Sniffer thường được sử dụng vào 2 mục đích khác biệt nhau. Nó có thể là một công cụ giúp cho các quản trị mạng theo dõi và bảo trì hệ thống mạng của mình. Cũng như theo hướng tiêu cực nó có thể là một chương trình được cài vài một hệ thống mạng máy tính với mục đích đánh hơi, nghe lén các thông tin trên đoạn mạng này…Dưới đây là một số tính năng của Sniffer được sử dụng theo cả hướng tích cực và tiêu cực :
Tự động chụp các tên người sử dụng (Username) và mật khẩu không được mã hoá (Clear Text Password). Tính năng này thường được các Hacker sử dụng để tấn công hệ thống của bạn.
Chuyển đổi dữ liệu trên đường truyền để những quản trị viên có thể đọc và hiểu được ý nghĩa của những dữ liệu đó.
Bằng cách nhìn vào lưu lượng của hệ thống cho phép các quản trị viên có thể phân tích những lỗi đang mắc phải trên hệ thống lưu lượng của mạng. Ví dụ như : Tại sao gói tin từ máy A không thể gửi được sang máy B… etc
Một số Sniffer tân tiến còn có thêm tính năng tự động phát hiện và cảnh báo các cuộc tấn công đang được thực hiện vào hệ thống mạng mà nó đang hoạt động (Intrusion Detecte Service).
Ghi lại thông tin về các gói dữ liệu, các phiên truyền…Tương tự như hộp đen của máy bay, giúp các quản trị viên có thể xem lại thông tin về các gói dữ liệu, các phiên truyền sau sự cố…Phục vụ cho công việc phân tích, khắc phục các sự cố trên hệ thống mạng.
3. Các giao thức có thể sử dụng Sniffing
− Telnet và Rlogin : ghi lại các thông tin như Password, usernames
− HTTP: Các dữ liệu gởi đi mà không mã hóa
− SMTP : Password và dữ liệu gởi đi không mã hóa
− NNTP : Password và dữ liệu gởi đi không mã hóa
− POP : Password và dữ liệu gởi đi không mã hóa
− FTP : Password và dữ liệu gởi đi không mã hóa
− IMAP : Password và dữ liệu gởi đi không mã hóa
Phương thức hoạt động Sniffer
Công nghệ Ethernet được xây dựng trên một nguyên lý chia sẻ. Theo một khái niệm này thì tất cả các máy tính trên một hệ thống mạng cục bộ đều có thể chia sẻ đường truyền của hệ thống mạng đó. Hiểu một cách khác tất cả các máy tính đó đều có khả năng nhìn thấy lưu lượng dữ liệu được truyền trên đường truyền chung đó. Như vậy phần cứng Ethernet được xây dựng với tính năng lọc và bỏ qua tất cả những dữ liệu không thuộc đường truyền chung với nó.
Nó thực hiện được điều này trên nguyên lý bỏ qua tất cả những Frame có địa chỉ MAC không hợp lệ đối với nó. Khi Sniffer được tắt tính năng lọc này và sử dụng chế độ hỗn tạp (promiscuous mode). Nó có thể nhìn thấy tất cả lưu lượng thông tin từ máy B đến máy C, hay bất cứ lưu lượng thông tin giữa bất kỳ máy nào trên hệ thống mạng. Miễn là chúng cùng nằm trên một hệ thống mạng.
1. Active
Là Sniffing qua Switch, nó rất khó thực hiện và dễ bị phát hiện. Attacker thực hiện loại tấn công này như sau:
o Attacker kết nối đến Switch bằng cách gởi địa chỉ MAC nặc danh
o Switch xem địa chỉ kết hợp với mỗi khung (frame)
o Máy tính trong LAN gởi dữ liệu đến cổng kết nối
2. Passive
Đây là loại Sniffing lấy dữ liệu chủ yếu qua Hub. Nó được gọi là Sniffing thụ động vì rất khó có thể phát hiện ra loại Sniffing này. Attacker sử dụng máy tính của mình kết nối đến Hub và bắt đầu Sniffing
Các kiểu tấn công
1. ARP Poisoning
a. Man in the middle
Một trong những tấn công mạng thường thấy nhất được sử dụng để chống lại những cá nhân và các tổ chức lớn chính là các tấn công MITM (Man in the Middle). Có thể hiểu nôm na về kiểu tấn công này thì nó như một kẻ nghe trộm. MITM hoạt động bằng cách thiết lập các kết nối đến máy tính nạn nhân và relay các message giữa chúng. Trong trường hợp bị tấn công, nạn nhân cứ tin tưởng là họ đang truyền thông một cách trực tiếp với nạn nhân kia, trong khi đó sự thực thì các luồng truyền thông lại bị thông qua host của kẻ tấn công. Và kết quả là các host này không chỉ có thể thông dịch dữ liệu nhạy cảm mà nó còn có thể gửi xen vào cũng như thay đổi luồng dữ liệu để kiểm soát sâu hơn những nạn nhân của nó.
Giả sử hacker muốn theo dõi hostA gởi thông tin gì cho hostB. Đầu tiên hacker sẽ gởi gói Arp reply đến hostA với nội dung là địa chỉ MAC của hacker và địa chỉ IP của hostB. Tiếp theo hacker sẽ gởi gói Arp reply tới hostB với nội dung là MAC của máy hacker và IP của hostA. Như vậy cả hai hostA và hostB đều tiếp nhận gói Arp reply đó và lưu vào trong Arp table của mình. Đến lúc này khi hostA muốn gởi thông tin cho hostB nó liền tra vào Arp table thấy đã có sẵn thông tin về địa chỉ MAC của hostB nên hostA sẽ lấy thông tin đó ra sử dụng, nhưng thực chất địa chỉ MAC đó là của hacker. Đồng thời máy tính của hacker sẽ mở chức năng gọi là IP Forwarding giúp chuyển tải nội dung mà hostA gởi qua hostB. HostA và hostB giao tiếp bình thường và không có cảm giác bị qua máy trung gian là máy của hacker.
Trong trường hợp khác, hacker sẽ nghe lén thông tin từ máy bạn đến Gateway. Như vậy mọi hàng động ra internet của bạn đều bị hacker ghi lại hết, dẫn đến việc mất mát các thông tin nhạy cảm.
b. Denial of Service
Cũng vận dụng kỹ thuật trên, hacker tiến hành tấn công bằng cách gởi gói Arp reply đến toàn bộ các host trong mạng với nội dung mang theo là địa chỉ IP của Gateway và địa chỉ MAC không hề tồn tại. Như vậy các host trong mạng tin tưởng rằng mình đã biết được MAC của Gateway và khi gởi thông tin đến Gateway, kết quả là gởi đến một nơi hoàn toàn không tồn tại. Đó là điều hacker mong muốn, toàn bộ các host trong mạng của chúng ta đều không thể đi ra internet được.
DoS (Denial of Service) có thể mô tả như hành động ngăn cản những người dùng hợp pháp của một dịch vụ nào đó truy cập và sử dụng dịch vụ đó. Nó bao gồm cả việc làm tràn ngập mạng, làm mất kết nối với dịch vụ… mà mục đích cuối cùng là làm cho server không thể đáp ứng được các yêu cầu sử dụng dịch vụ từ các client. DoS có thể làm ngưng hoạt động của một máy tính, một mạng nội bộ, thậm chí cả một hệ thống mạng rất lớn. Thực chất của DoS là kẻ tấn công sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ… và làm mất khả năng xử lý các yêu cầu dịch vụ đến từ các client khác.
c. MAC Flooding
Kiểu tấn công làm tràn bảng CAM dựa vào điểm yếu của thiết bị chuyển mạch: bảng CAM chỉ chứa được một số hữu hạn các ánh xạ
(ví dụ như switch Catalysh 6000 có thể chứa được tối đa 128000 ánh xạ) và các ánh xạ này không phải tồn tại mãi mãi trong bảng CAM . Sau một khoảng thời gian nào đó, thường là 300 s,nếu địa chỉ này không được dùng trong việc trao đổi thông tin thì nó sẽ bị gỡ bỏ khỏi bảng.
Khi bảng CAM được điền đầy, tất cả thông tin đến sẽ được gửi đến tất cả các cổng của nó trừ cổng nó nhận được. Lúc này chức năng của switch không khác gì chức năng của một hub.
Cách tấn công này cũng dùng kỹ thuật Arp poisoning mà đối tượng nhắm đến là Switch. Hacker sẽ gởi những gói Arp reply giả tạo với số lượng khổng lồ nhằm làm Switch xử lý không kịp và trở nên quá tải. Khi đó Switch sẽ không đủ sức thể hiện bản chất Layer2 của mình nữa mà broadcast gói tin ra toàn bộ các port của mình. Hacker dễ dàng bắt được toàn bộ thông tin trong mạng của bạn.
2. DNS Poisoning
“Đầu độc” DNS (tạm dịch từ DNS poisoning, hay DNS cache poisoning) là tác vụ lừa một (số) DNS server nào đó rằng một địa chỉ IP-giả là IP của một tên miền nào đó. Ví dụ, IP của website ngân hàng vietcombank.com là 216.104.161.209 và 216.104.161.109; nếu ISP của ta có DNS bị “thuốc”, tưởng rằng IP của vietcombank.com là x.y.z.w thì truy cập vào vietcombank.com sẽ bị “chuyển hướng” (redirected) đến x.y.z.w; Ở địa chỉ x.y.z.w này, có thể có sẵn một webserver với interface giống hệt vietcombank.com – người dùng không để ý (rất kỹ mới biết) sẽ có thể giao trứng cho ác. (x.y.z.w chơi trò “man-in-the-middle attack“, và đó không phải là trò duy nhất chơi được sau khi “thuốc” DNS.)
DNS bị nhiễm độc có thể ảnh hưởng mọi trình duyệt và phiên bản trình duyệt, cả trên máy Mac và PC. Nó sẽ giải thích tại sao máy quét không bao giờ có thể phát hiện bất kỳ phần mềm độc hại trên máy tính mà ta lại vào không đúng trang web mình muốn vào trong 1 vài trường hợp
3. SSL Session Hijacking
Khi mà client telnet tới Server thì bị Attacker scan phát hiện và dùng tool để đánh bật client ra khỏi session đó và chiếm quyền đều khiển trên session đó ( client thì cứ tưởng do mạng chập chờn hay …. và re-login trở lại) Còn attacker thì kiểm soát được server do có session của client mà vừa cướp được.
Phòng chống
Để ngăn chăn những kẻ tấn công muốn Sniffer Password. Bạn đồng thời sử dụng các giao thức, phương pháp để mã hoá password cũng như sử dụng một giải pháp chứng thực an toàn (Authentication):
- SMB/CIFS: Trong môi trường Windows/SAMBA bạn cần kích hoạt tính năng LANmanager Authencation.
- Keberos: Một giải pháp chứng thực dữ liệu an toàn được sử dụng trên Unix cũng như Windows: Kerberos Users’ Frequently Asked Questions 1.14
- Stanford SRP (Secure Remote Password): Khắc phục được nhược điểm không mã hoá Password khi truyền thong của 2 giao thức FTP và Telnet trên Unix: The SRP Project
1. Mã hóa đường truyền
a. SSL (Secure Socket Layer)
Một giao thức mã hoá được phát triển cho hầu hết các Webserver, cũng như các Web Browser thông dụng. SSL được sử dụng để mã hoá những thông tin nhạy cảm để gửi qua đường truyền như : Số thẻ tin dụng của khách hàng, các password và thông tin quan trọng.
Tham khảo tại: OpenSSL Project và ModSSL Project.
b. PGP và S/MIME
E-mail cũng có khả năng bị những kẻ tấn công ác ý Sniffer. Khi Sniffer một E-mail không được mã hoá, chúng không chỉ biết được nội dung của mail, mà chúng còn có thể biết được các thông tin như địa chỉ của người gửi, địa chỉ của người nhận…Chính vì vậy để đảm bảo an toàn và tính riêng tư cho E-mail bạn cũng cần phải mã hoá chúng…S/MIME được tích hợp trong hầu hết các chương trình gửi nhận Mail hiện nay như Netscape Messenger, Outlock Express…PGP cũng là một giao thức được sủ dụng để mã hoá E- mail. Nó có khả năng hỗ trợ mã hoá bằng DSA, RSA lên đến 2048 bit dữ liệu.
Tham khảo tại: GnuPG.
c. OpenSSH
Khi bạn sử dụng Telnet, FTP…2 giao thức chuẩn này không cung cấp khả năng mã hoá dữ liệu trên đường truyền. Đặc biệt nguy hiểm là không mã hoá Password, chúng chỉ gửi Password qua đường truyền dưới dạng Clear Text. Điều gì sẽ xảy ra nếu những dữ liệu nhạy cảm này bị Sniffer. OpenSSH là một bộ giao thức được ra đời để khắc phục nhược điểm này: ssh (sử dụng thay thế Telnet), sftp (sử dụng thay thế FTP)…
Tham khảo tại: OpenSSH.
d. VPNs (Virtual Private Network)
Được sử dụng để mã hoá dữ liệu khi truyền thong trên Internet. Tuy nhiên nếu một Hacker có thể tấn công và thoả hiệp được những Node của của kết nối VPN đó, thì chúng vẫn có thể tiến hành Sniffer được.
Một ví dụ đơn giản,là một người dung Internet khi lướt Web đã sơ ý để nhiễm RAT (Remoto Access Trojan), thường thì trong loại Trojan này thường có chứa sẵn Plugin Sniffer. Cho đến khi người dùng bất cẩn này thiết lập một kết nối VPN. Lúc này Plugin Sniffer trong Trojan sẽ hoạt động và nó có khả năng đọc được những dữ liệu chưa được mã hoá trước khi đưa vào VPN. Để phòng chống các cuộc tấn công kiểu này: bạn cần nâng cao ý thức cảnh giác cho những người sử dụng trong hệ thống mạng VPN của bạn, đồng thời sử dụng các chương trình quét Virus để phát hiện và ngăn chặn không để hệ thống bị nhiễm Trojan.
Static ARP Table
Rất nhiều những điều xấu có thể xảy ra nếu có ai đó thành công thuốc độc bảng ARP của một máy tính trên mạng của bạn. nhưng làm thế nào để chúng ta ngăn chặn một ai đó cố gắng để đầu độc bảng ARP. Một cách để ngăn chặn những tác động xấu của hành vi này là để tạo mục bảng ARP tĩnh cho tất cả các thiết bị trên đoạn mạng địa phương của bạn. Khi điều này được thực hiện, hạt nhân sẽ bỏ qua tất cả các câu trả lời ARP cho địa chỉ IP cụ thể được sử dụng trong các mục nhập và sử dụng địa chỉ MAC chỉ định thay thế.
3. Quản lý port console trên Switch
a. Tính dễ bị tổn thương
Một hệ điều hành của Switch Cisco có quản lý port, dây Console(line con 0) mà nó cung cấp sự truy xuất trực tiếp đến Switch cho sự quản trị. Nếu sự quản lý port được cài đặt quá lỏng lẻo thì Switch có thể bị ảnh hưởng bởi các cuộc tấn công.Và chi tiết về tính dễ bị tổn thương của việc quản lý Port bao gồm những phần sau đây:
− Một Switch với 1 management port sử dụng tài khoản user mặc định cho phép kẻ tấn công cố găng tạo kết nối sử dụng 1 hoặc nhiều tài khoản mặc định được biết đến(administrator, root, security)
− Nếu 1 Switch có 1 management port mà không cài password, password mặc định hay password yếu, khi đó 1 kẻ tấn công có thể đoán được pass hay crack chúng và lấy hoặc thay đổi thông tin trên Switch. Cũng vậy việc cài cùng password trên nhiều Switch cung cấp 1 điểm đơn của sự hỏng hóc. Kẻ tấn công, người mà thỏa hiệp được 1 Switch sẽ thỏa hiệp được với các Switch còn lại. Cuối cùng việc cài đặt cùng 1 password cho cả management port và những cài đặt khác trên Switch cho phép sự thỏa hiệp tiềm tàng bởi vì password được cài đặt ở dạng Plaintext có thể bị thu thập trong 1 mạng mà có người phân tích mạng. Kẻ tấn công người mà thu thập được password telnet từ traffic mạng có thể truy cập vào management port của Switch lúc khác.
− Nếu một kết nối đến Switch sử dụng management port mà không cài đặt thời gian Timeout hoặc cài đặt khoảng thời gian Timeout lớn (lớn hơn 9 phút), khi đó kết nối sẽ sẵn sang cho 1 kẻ tấn công hack chúng.Một Banner đưa ra ghi chú cho bất kỳ người nào kết nối đến Switch mà nó thì được chứng thực và sẽ bị theo dõi cho bất kỳ hành động nào.Toà án sẽ bỏ qua trường hợp chống lại người mà tấn công vào một hệ thống không có Banner cảnh báo.
b. Giải pháp
Hầu hết phương pháp bảo đảm cho việc quản trị Switch thì nằm ngoài việc quản lý nhóm.Phương pháp này không trộn lẫn việc quản lý traffic với việc thao tác traffic.Việc quản lý ngoài nhóm sủ dụng dành cho những hệ thống và truyền thông. Sơ đồ 1 chỉ ra 1 dây Serial kết nối đến Server và chia việc quản lý các máy tính ngoài cổng Console kết nối đến các port của Switch.. Giải pháp này thỉ đủ cho nhiều chức năng quản lý. Tuy nhiên Network-based, ngoài việc truy xuẫt thích hợp cho những chức năng chính xác(cập nhật IOS), nó còn bao gồm việc sử dụng Virtual Local Area Network (VLAN) và được miêu tả trong giải pháp cho VLAN 1 trong phần Virtual Local Area Networks Giải pháp sau đây sẽ làm giảm tính dễ bi tổn thương khi sử dụng đây Console trên mỗi Switch:
Cài đặt một tài khoản duy nhất cho mỗi nhà quản trị khi truy xuất bằng dây Console. Lệnh sau chỉ ra 1 ví dụ về việc tạo 1 tài khoản ở cấp privilged và cài đặt cấp privilege thành mặc định(0) cho dây Console . Ỏ câp privileged 0 là cấp thấp nhấtt của Switch Cisco và cho phép cài đặt rất ít lệnh. Người quản trị có thể làm tăng cấp privileged lên 15 bằng câu lệnh enable. Cũng vậy, tài khoản này cũng có thể được truy xuất từ dây virtual terminal.
Switch(config)# username ljones privilege 0
Switch(config)# line con 0
Switch(config-line)# privilege level 0
Sử dụng những dòng hướng dẫn sau để tạo password an toàn: password ít nhất là 8 ký tự; không là những từ cơ bản; và thêm vào ít nhẩt 1 ký tự đặc biệt hay số như:!@#$%^&*()|+_…; thay đổi password ít nhất là 3 tháng 1 lần. Sử dụng
Switch(config)# username ljones secret g00d-P5WD Switch(config)# line con 0
Switch(config-line)# login local
4. Port Security
a. Tính dễ bị tổn thương
Những interface lớp 2 của Cisco được hiểu như là các Port. Một Switch mà không cung cấp khả năng bảo vệ Port, thì cho phép kẻ tấn công tấn công vào hệ thống không dùng đến, enable Port, thu thập thông tin hoặc tấn công. Một Switch có thể cấu hình để hoạt động giống như Hub. Điều đó có nghĩa là mỗi hệ thống kết nối đến Switch mộ cách tiềm tàng có thể thấy tất cả các traffic di chuyển qua Switch để tới các hệ thống kết nối đến Switch. Như vậy 1 kẻ tấn công có thể thu thập traffic chứa đựng các thông tin như: Username, Passord, những thông tin cấu hình và hệ thống trên mạng…
b. Giải Pháp
Port Security giới hạn số lượng của dịa chỉ MAC hợp lệ được cho phép trên Port. Tất cả những port trên Switch hoặc những interface nên được đảm bảo trước khi triển khai.Theo cách này, những đặt tính được cài đặt hoặc gỡ bỏ như là những yêu cầu để thêm vào hoặc làm dài thêm những đặt tính 1 cách ngẫu nhiên hoặc là những kết quả bảo mật vốn dã có sẵn.
Nên nhớ rằng Port Security không sử dụng cho những Port access động hoặc port đích cho người phân tích Switch Port. Và cho đến khi đó Port security để bật tính năng Port trên Switch nhiều nhất có thể.Ví dụ sau cho thấy dòng lệnh shutdonw một interface hoặc một mảng các interface:
Single interface:
Switch(config)# interface fastethernet 0/1
Switch(config-if)# shutdown
Range of interfaces:
Switch(config)# interface range fastethernet 0/2 – 8
Switch(config-if-range)# shutdown
Port Security có khả năng làm thay đổi sự phụ thuộc trên chế độ Switch và phiên bản IOS. Mỗi Port hoạt động có thể bị hạn chế bởi số lượng tối đa địa chỉ MAC với hành dộng lựa chọn cho bất kì sự vi phạm nào. Những vi phạm này có thể làm drop gói tin ( violation protect ) hoặc drop và gửi thông điệp (restrict or action trap) hoặc shutdown port hoàn toàn( violation shutdown or action shutdown). Shutdown là trạng thái mặc định , đảm bảo hầu hết protect và restrict cả hai đều yêu cầu theo dõi địa chỉ MAC mà nó đã được quan sát và phá huỷ tài nguyên xử lí hơn là shutdown. Địa chỉ MAC được thu thập một cách tự động với vài Switch hỗ trợ Entry tĩnh và Sticky Entry.
Entry tĩnh thì được cấu hình bằng tay để thêm vào trên mỗi port (e.g., switchport port-security mac- address mac- address) và được luư lại trong file cấu hình.. Sticky Entry được xem như là Entry tĩnh, ngoại nó được học một cách tự động . Những Entry động tồn tại được chuyển sang Sticky Entry sau khi sử dụng câu lệnh (switchport port-security mac- address Stickey). Những Entry động cũ được lưu lại trong file cấu hình (switchport port-security mac- address Stickey mac- address) nếu file cấu hình được lưu và chạy thì địa chỉ MAC không cần học lại lần nữa cho việc restart lần sau. Và cũng vậy một số lượng tối đa địa chỉ MAC có thể được cài đặt bằng câu lệnh sau(e.g.,switchport port-security maximun value) .
Người quản trị có thể bật tính năng cấu hình địa chỉ MAC tĩnh trên các port bằng cách sử dụng câu lệnh switchport port-security aging static. Lệnh aging time (e.g., switchport port-security aging time time) có thể đặt dưới dạng phút. Đồng thời dòng lệnh aging có thể đặt cho sự không hoạt động (e.g., switchport port-security aging type inactivity), điều này có nghĩa là độ tuổi các địa chỉ đó được cấu hình trên port ở ngoài nếu không có dữ liệu lưu thông từ những địa chỉ này cho khai báo từng phần bằng dòng lệnh aging time. Đặt tính này cho phép tiếp tục truy cập đến sô lượng những dịa chỉ giới hạn đó.
Ví dụ:
+ Những dòng lệnh sau dùng để giới hạn tĩnh một cổng trên Catalyst
Switch 3550.
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security mac-address
0000.0200.0088
Switch(config-if)# switchport port-security aging time 10
Switch(config-if)# switchport port-security aging type inactivity
+ Những dòng lệnh sau để giới hạn động một cổng trên Catalyst Switch 3550. Chú ý những dòng lệnh aging không được sử dụng với những địa chỉ sticky MAC.
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security violation shutdown
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security mac-address sticky
Chú ý khi có sự vi phạm port security xảy ra thì ngay lập tức nó sẽ trở thành trạng thái error-disable và đèn LED sẽ tắt. Switch cũng sẽ gửi một thông điệp SNMP trap, logs (syslog) và làm tăng lên sự phản đối của xâm nhập. Khi một port o trạng thái error-disable, người quản trị có thể đưa nó ra khỏi trạng thái này bằng cách sử dụng dòng lệnh ở chế độ toàn cục errdisable recovery cause psecure-violation hoặc dòng lệnh shutdown và no shutdown trên cổng được cấu hình.
Có một số vấn đề quan trọng phát sinh khi cấu hình port security trên port kết nối đến một IP phone. Mặt dù port security không được sử dụng trên Trunk port, địa chỉ MAC phản đối việc xem xét viec gán VLAN của gói tin đến. Cùng IP phone gửi gói tin ra 2 Vlan sẽ có 2 bảng entries được chia ra trong bảng MAC vì thế nó sẽ đếm 2 lần lên đến maximum MAC.
Khi IP Phone có thể sử dụng 2 gói tin không được gán vào (untagged, e.g., Layer 2 CDP protocol ) và gói tin Voice Vlan có gắn(tagged); địa chỉ MAC của IP Phone sẽ được thấy trên cả 2 native VLAN và Voice VLAN. Vì vậy nó sẽ được đếm 2 lần. Việc đặt tối đa địa chỉ MAC cho 1 port kết nối đến 1 IP Phone cho trường hợp nhiều máy tính tấn công vào IP Phone. Nhửng máy tình truyền hợp lệ sử dụng nhiều địa chỉ MAC phải đựơc cấu hình để tính toán.
Một khả năng mới để bảo đảm cho những port của Switch nhanh hơn và thích hộp hơn đó là macros. Macros cho phép nhóm những port sẵn sàng để mà những lệnh đó được chấp nhận bằng cấu hình tay. Bất kì dòng lệnh nào được thêm vào bẳng việc sử dụng kí tự “#” tại đấu mỗi dòng lệnh và kết thúc bởi kí tự”@”.
Ví dụ sau đây tạo ra sự ngăn cản security macro gọi là unused để bảo đảm trên những port hoặc trên những interface trên Switch 3550.
Switch(config)# macro name unused
macro description unused shutdown
description *** UNUSED Port ***
no ip address switchport
# Set secure defaults for access mode switchport mode access switchport access vlan 999
switchport nonegotiate
# Set secure defaults for trunking mode switchport trunk encapsulation dot1q switchport
trunk native vlan 999 switchport trunk allowed vlan none
# Only learn source MAC addresses switchport block multicast switchport block unicast
# Enable MAC control and set secure options switchport port-security
switchport port-security maximum 1
switchport port-security aging time 10
switchport port-security aging type inactivity
# Apply any switch-wide access-lists ip access-group ip-device-list in
mac access-group mac-device-list in
# Set secure defaults for misc. flags and protocols mls qos cos override
dot1x port-control force-unauthenticated
storm-control broadcast level 0.00 storm-control multicast level 0.00
storm
control unicast level 0.00
no cdp enable
# Default Spanning-tree to secure host settings spanning-tree portfast spanning-tree
bpdufilter enable spanning-tree bpduguard enable spanning
tree guard root
@
Sau khi tạo sự găn cấm security macro, unused, áp đặt macro trên tất cả các port của Switch như sự bảo đảm ranh giới với các dòng lệnh sau.
Switch(config)# interface range fasteth0/1 – 24 , giga0/1 – 2
Switch(config-if-range)# macro apply unused
Sau khi macros được xây dựng tính bảo đảm dựa trên unused macro được thiết lập để bật tính năng bảo mật đủ dể hỗ trợ tất cả các hệ thống theo mong đợi..
Switch(config)# macro name host
# Apply macro ‘unused’ first!
macro description host
# Set the port for a PC host dot1x port-control auto
no storm-control broadcast level no storm-control multicast level no storm
control unicast level no shutdown
# The following are recommended port specific commands
#description Host <10.1.10.3>
#switchport access vlan <10>
#switchport trunk native vlan <10>
@
Switch(config)# macro name ipphone
# Apply macro ‘unused’ first!
macro description ipphone
#
# Set the port for an ipphone without attached PC host switchport port-security maximum 2
no mls qos cos override
mls qos trust device cisco-phone mls qos trust dscp
no storm-control broadcast level no storm-control multicast level no storm
control unicast level cdp enable no shutdown
#
# The following are recommended port specific commands
#description IP PHONE <x1013>
#switchport voice vlan <101>
@
Switch(config)# macro name ipphone-host
# Apply macro ‘unused’ first!
macro description ipphone & host
#
# Set the port for an ipphone with attached PC host switchport port- security maximum 3
no mls qos cos override
mls qos trust device cisco-phone mls qos trust dscp
dot1x port-control auto
no storm-control broadcast level no storm-control multicast level no storm
control unicast level cdp enable no shutdown
#
# The following are recommended port specific commands
#description IP PHONE <x1014> & HOST <10.1.20.5>
#switchport access vlan <20>
#switchport trunk native vlan <20>
#switchport voice vlan <101>
@
Việc chấp nhận những macros sẽ chỉ làm thay đổi đến tính bảo đảm ở những biên được yêu cấu cho những port hỗ trợ hoàn toàn những hệ thống thích hợp.
Ví dụ sau chỉ ra làm thế nào để dùng các macro lần trước để cấu hình cho những port access của những Switch từ những mô hình ví dụ cho mỗi hệ thống như: Host, Ip Phone và IP Phone với một cuộc tấn công host.
Host:
Switch(config)# interface fa0/1
Switch(config-if)# macro apply host
Switch(config-if)# description Host 10.1.10.3
Switch(config-if)# switchport access vlan 10
Switch(config-if)# switchport trunk native vlan 10
Switch(config-if)# exit
IP phone:
Switch(config)# interface range fa0/2 – 4
Switch(config-if-range)# macro apply ipphone
Switch(config-if-range)# switchport voice vlan 101
Switch(config-if-range)# exit
Switch(config)# interface fa0/2
Switch(config-if)# description IP PHONE x1011
Switch(config)# interface fa0/3
Switch(config)# description IP PHONE x1012
Switch(config)# interface fa0/4
Switch(config-if)# description IP PHONE x1013
Switch(config-if)# exit
IP phone with an attached host: Switch(config)# interface fa0/5
Switch(config-if)# macro apply ipphone-host
Switch(config-if)# description IP PHONE x1014 & Host 10.1.20.5
Switch(config-if)# switchport access vlan 20
Switch(config-if)# switchport trunk native vlan 20
Switch(config-if)# switchport voice vlan 101
Switch(config-if)# exit
Người quản trị có thể sử dụng câu lệnh macro trace để thay thế cho câu lệnh macro apply bởi vì câu lệnh macro trace có thể xác định debugging cùa macros. Thường xuyên sử dụng show parser macro description để biết macro cuối cùng được áp lên mỗi port. Cuối cùng địa chỉ MAC tĩnh và port security áp trên mỗi port của Switch có thể trở thành gánh nặng cho người quản trị. Port Access Control List (PACLs) có thể cung cấp khả năng bảo mật tương tự như địa chỉ MAC tĩnh và port security và PACLs cũng cung cấp nhiều tính năng linh động và điều khiển.việc cho phép địa chỉ MAC và địa chỉ IP có thể được chia và dược xem xét từ phía của một Switch mở rộng. Tham chiếu đến phần ALCs đễ biết thêm chi tiết.
5. IDS, IPS
− IDS: phát hiện xâm nhập
− IPS: phát hiện và ngăn chặn xâm nhập
Được chia làm 2 loại chính:
− HIDS (và cả IPS): triển khai trên máy trạm hoặc server quan trọng, chỉ để bảo vệ riêng từng máy
− NIDS: đặt tại những điểm quan trọng của hệ thống mạng, để
phát hiện xâm nhập cho khu vực đó. Công việc chính của IDS/IPS:
Nếu hoạt động theo kiểu nhận dạng mẫu packet thì nó sẽ so trùng từng packet với những mẫu tấn công mà nó có, nếu trùng ==> là loại packet tấn công ==> cảnh báo hoặc ngăn cản luôn. Hiện nay đa số IDS/IPS hoạt động theo kiểu này. Tuy nhiên nếu kiểu tấn công mới thì IDS không nhận biết được, nên phải cập nhật lỗi thường xuyên giống như cập nhật virus.
Nếu hoạt động theo kiểu heuristic thông minh (không biết dịch thế nào cho phải) thì IDS theo dõi mạng xem có hiện tượng bất thường hay không, và phản ứng lại. Lợi điểm là có thể nhận biết các kiểu tấn công mới, nhưng nhiều trường hợp bị báo động nhầm (không phải trường hợp tấn công mà vẫn gây báo động).
So sánh IDS và IPS
Hiện nay, Công nghệ của IDS đã được thay thế bằng các giải pháp IPS. Nếu như hiểu đơn giản, ta có thể xem như IDS chỉ là một cái chuông để cảnh báo cho người quản trị biết những nguy cơ có thể xảy ra tấn công. Dĩ nhiên ta có thể thấy rằng, nó chỉ là một giải pháp giám sát thụ động, tức là chỉ có thể cảnh báo mà thôi, việc thực hiện ngăn chặn các cuộc tấn công vào hệ thống lại hoàn toàn phụ thuộc vào người quản trị. Vì vậy yêu cầu rất cao đối với nhà quản trị trong việc xác định các lưu lượng cần và các lưu lượng có nghi vấn là dấu hiệu của một cuộc tấn công. Và dĩ nhiên công việc này thì lại hết sức khó khăn. Với IPS, người quản trị không nhũng có thể xác định được các lưu lượng khả nghi khi có dấu hiệu tấn công mà còn giảm thiểu được khả năng xác định sai các lưu lượng. Với IPS, các cuộc tấn công sẽ bị loại bỏ ngay khi mới có dấu hiệu và nó hoạt động tuân theo một quy luật do nhà Quản trị định sẵn. IDS hiện nay chỉ sử dụng từ một đến 2 cơ chế để phát hiện tấn công (như Cosultant đã nói).
Vì mỗi cuộc tấn công lại có các cơ chế khác nhau của nó (Có thể tham khảo thêm các bài viết về DoS của tui ), vì vậy cần có các cơ chế khác nhau để phân biệt. Với IDS, do số lượng cơ chế là ít nên có thể dẫn đến tình trạng không phát hiện ra được các cuộc tấn công với cơ chế không định sẵn, dẫn đến khả năng các cuộc tấn công sẽ thành công, gây ảnh hưởng đến hệ thống. Thêm vào đó, do các cơ chế của IDS là tổng quát, dẫn đến tình trạng báo cáo nhầm, cảnh báo nhầm, làm tốn thời gian và công sức của nhà quản trị. Với IPS thì được xây dựng trên rất nhiều cơ chế tấn công và hoàn toàn có thể tạo mới các cơ chế phù hợp với các dạng thức tấn công mới nên sẽ giảm thiểu được khả năng tấn công của mạng, thêm đó, độ chính xác của IPS là cao hơn so với IDS.
Nên biết rằng với IDS, việc đáp ứng lại các cuộc tấn công chỉ có thể xuất hiện sau khi gói tin của cuộc tấn công đã đi tới đích, lúc đó việc chống lại tấn công là việc nó gửi các yêu cầu đến các máy của hệ thống để xoá các kết nối đến máy tấn công và máy chủ, hoặc là gửi thông tin thông báo đên tường lửa ( Firewall) để tường lửa thực hiện chức năng của nó, tuy nhiên, việc làm này đôi khi lại gây tác động phụ đến hệ thống. Ví dụ như nếu Attacker giả mạo (sniffer) của một đối tác, ISP, hay là khách hàng, để tạo một cuộc tấn công từ chối dịch vụ thì có thể thấy rằng, mặc dù IDS có thể chặn được cuộc tấn công từ chối dịch vụ nhưng nó cũng sẽ Block luôn cả IP của khách hàng, của ISP, của đối tác, như vậy thiệt hại vẫn tồn tại và coi như hiệu ứng phụ của DoS thành công mặc dù cuộc tấn công từ chối dịch vụ thất bại. Nhưng với IPS thì khác nó sẽ phát hiện ngay từ đầu dấu hiệu của cuộc tấn công và sau đó là khoá ngay các lưu lượng mạng này thì mới có khả năng giảm thiểu được các cuộc tấn công.
6. Phương pháp Ping
Hầu hết các chương trình Sniffer được cài đặt trên các máy tính trong mạng sử dụng TCP/IP Stack. Bởi vậy khi bạn gửi yêu cầu đến những máy tính này, chúng sẽ phản hồi lại cho bạn kết quả. Bạn hãy gửi một yêu cầu phản hồi tới địa chỉ IP của máy tính nào đó trong mạng (máy mà bạn cần kiểm tra xem có bị cài đặt Sniffer hay không), nhưng không thông qua Adapter Ethernet của nó.
Lấy ví dụ cụ thể :
a. Bạn nghi ngờ máy tính có địa chỉ IP là 10.0.0.1, có địa chỉ MAC là
00-40-05-A4-79-32. Đã bị cài đặt Sniffer.
b. Bạn đang ở trong cùng một hệ thống mạng Ethernet mà bạn nghi ngờ có kẻ đã tiến hành Sniffer.
c. Bạn thay đổi địa chỉ MAC của bạn thành là 00-40-05-A4-79-33. d. Bạn Ping đến địa chỉ IP và địa chỉ MAC mới.
e. Trên nguyên tắc không một máy tính nào có thể nhìn thấy có thể nhìn thấy được Packet này. Bởi Adapter Ethernet chỉ chấp nhận những địa chỉ MAC hợp lệ của chính nó.
f. Nếu bạn thấy sự trả lời từ địa chỉ mà bạn nghi ngờ không phải trên địa chỉ lọc của MAC (MAC Address Filter) trên Ethernet Card…Máy tính có địa chỉ IP 10.0.0.1 đã bị cài đặt Sniffer Bằng các kỹ thuật của mình các Hacker vẫn có thể né tránh được phương pháp nêu trên. Các Hacker sẽ sử dụng những MAC Address ảo. Rất nhiều hệ thống máy tính trong đó có Windows có tích hợp khả năng MAC Filtering. Windows chỉ kiểm tra những byte đầu tiên. Nếu một địa chỉ MAC có dạng FF-00-00-00-00-00, thì đơn giản Windows sẽ coi nó là FF-FF- FF-FF-FF-FF. Đây là sơ hở cho phép các Hacker có thể khai thác đánh lừa hệ thống máy tính của bạn.
Kỹ thuật phát hiện Sniffer đơn giản này thường được sử dụng trên các hệ thống Ethernet dựa trên Switch và Bridge.
7. Phương pháp ARP
Phương pháp phát hiện Sniffer này tương tự như phương pháp dùng Ping. Khác biệt chỗ chúng ta sẽ sử dụng những Packet ARP. Đơn giản bạn chỉ cần gửi một Packet ARP đến một địa chỉ nào đó trong mạng (không phải Broadcast). Nếu máy tính đó trả lời lại Packet ARP bằng địa chỉ của chính nó. Thì máy tính đó đang cài đặt Sniffer ở chế độ hỗn tạp(Promiscuous Mode).
Mỗi Packet ARP đều chứa đầy đủ thông tin về người gửi và người nhận. Khi Hacker gửi một Packet ARP đến địa chỉ loan truyền tin (Broadcast Address), nó bao gồm thông tin về địa chỉ IP của bạn và địa chỉ MAC được phân giải bởi Ethernet. Ít phút sau mọi máy tính trong hệ thống mạng Ethernet đều nhớ thông tin này. Bởi vậy khi Hacker gửi các Packet ARP không đi qua Broadcast Address. Tiếp đó anh ta sẽ ping đến Broadcast Address. Lúc này bất cứ máy tính nào trả lời lại anh ta mà không bằng ARPing, anh ta có thể chụp được các thông tin về địa chỉ MAC của máy tính này bằng cách sử dụng Sniffer để chụp các khung ARP (ARP Frame).
8. Phương pháp sử dụng DNS
Rất nhiều chương trình Sniffer có tính năng phân giải ngược các địa IP thành DNS mà chúng nhìn thấy (như dsniff). Bởi vậy khi quan sát lưu lượng truyền thông của DNS bạn có thể phát hiện được Sniffer ở chế độ hỗn tạp(Promiscuous Mode).
Để thực hiện phương pháp này, bạn cần theo dõi quá trình phân giải ngược trên DNS Server của bạn. Khi bạn phát hiện được những hành động Ping liên tục với mục đích thăm dò đến những địa chỉ IP không tồn tại trên hệ thống mạng của bạn. Tiếp đó là những hành động cố gắng phân giải ngược những địa chỉ IP được biết từ những Packet ARP. Không gì khác đây là những hành động của một chương trình Sniffer.
9. Phương pháp Source Route
Phương pháp này sử dụng những thông tin như địa chỉ nguồn và địa chỉ đích trong mỗi Header của IP để phát hiện hành động Sniff trên từng đoạn mạng.
Tiến hành ping từ một máy tính này đến một máy tính khác. Nhưng tính năng Routing trên máy tính nguồn phải được vô hiệu hoá. Hiểu đơn giản là làm thế nào để gói tin này không thể đi đến đích. Nếu như bạn thấy sự trả lời, thì đơn giản hệ thống mạng của bạn đã bị cài đặt Sniffer.
Để sử dụng phương pháp này bạn cần sử dụng vào một vài tuỳ chọn trong Header IP. Để Router sẽ bỏ qua những địa chỉ IP đến và tiếp tục chuyển tiếp đến những địa chỉ IP trong tuỳ chọn Source- Route của Router.
Lấy một ví dụ cụ thể : Bob và Anna cùng nằm trên một đoạn mạng. Khi có một người khác trên cùng đoạn mạng gửi cho cô ta vài Packet IP và nói chuyển chúng đến cho Bob. Anna không phải là một Router, cho lên cô ta sẽ Drop tất cả Packet IP mà người kia muốn chuyển tới Bob (bởi cô ta không thể làm việc này). Một Packet IP không được gửi đến Bob, mà anh ta vẫn có thể trả lời lại được. Điều này vô lý, anh ta đã sử dụng các chương trình Sniffer.
10. Phương pháp giăng bẫy (Decoy)
Tương tự như phương pháp sử dụng ARP nhưng nó được sử dụng trong những phạm vi mạng rộng lớn hơn (gần như là khắp nơi). Rất nhiều giao thức sử dụng các Password không được mã hoá trên đường truyền, các Hacker rất coi trọng những Password này, phương pháp giăng bẫy này sẽ thoả mãn điều đó. Đơn giản bạn chỉ cần giả lập những Client sử dụng Service mà Password không được mã hoá như : POP, FTP, Telnet, IMAP…Bạn có thể cấu hình những User không có quyền hạn, hay thậm chí những User không tồn tại.Khi Sniff được những thông tin được coi là quý giá này các Hacker sẽ tìm cách kiểm tra, sử dụng và khai thác chúng…Bạn sẽ làm gì kế tiếp ???
11. Phương pháp kiểm tra sự châm trễ của gói tin (Latency)
Phương pháp này sẽ làm giảm thiểu sự lưu thông trên hệ thống mạng của bạn. Bằng cách gửi một lượng thông tin lớn đến máy tính mà bạn nghi là đã bị cài đặt Sniffer. Sẽ không có hiệu ứng gí đáng kể nếu máy tính đó hoàn toàn không có gì. Bạn ping đến máy tính mà bạn nghi ngờ đã bị cài đặt Sniffer trước thời gian chịu tải và trong thời gian chị tải. Để quan sát sự khác nhau của 2 thời điểm này.
Tuy nhiên phương pháp này tỏ ra không mấy hiệu quả. Bản thân những Packet IP được gửi đi trên đường truyền cũng gây ra sự trậm trễ và thất lạc. Cũng như những Sniffer chạy ở chế độ “User Mode” được xử lý độc lập bởi CPU cũng cho ra những kết quả không chính xác.
Do đây chỉ mà một tài liệu có tính chất căn bản giới thiệu về Sniffer, nên tôi sẽ không đề cập đến cách thức để sử dụng Sniffer trên các hệ thống mạng. Tuy nhiên tôi vẫn nêu qua những hệ thống mạng có thể bị Sniffer:
- Cable Modem
- DSL
- ADSL
- Switched Network
- WLAN IEEE 802.11(a/b/g/n)
Những giao thức mà thông tin Password không được mã hoá, khá nguy hiểm khi bị Sniffer:
- Telnet, Rlogin
- SNMP
- NNTP
- POP, IMAP, SMTP
- FTP
Bonus một số công cụ giúp phát hiện các gói Sniffer
AntiSniff: công cụ phát hiện các gói Sniffer toàn diện hiệu quả..
CPM (Check Promiscuous Mode): Công cụ được phát triển bởi Carnegie-Mellon nhằm giúp kiểm tra Sniffer trên các hệ thống UNIX.
Một số nguồn khác tham khảo tại đây.
Nguồn: Argon Nguyen's blog
Đăng ký:
Bài đăng (Atom)