Hôm nay team mình đã trải nghiệm sân chơi Micro Hardening 2020, một buổi chiều với 4 tiếng hết sức hồi hợp và gây cấn về điểm số giữa các team với nhau. Kết quả may mắn là team mình đứng top bảng! Và tôi nhận ra “Đối thủ của tôi là quá khứ của tôi” Vì SECURITY của công ty nên mình không được chia sẽ các công nghệ liên quan chủ đề này nhé 😀
Vậy Micro Hardening là gì?
Micro Hardening là một tiểu dự án ra đời từ Hardening Project (Made in Japan – 2004), một dự án nhằm tối đa hóa giá trị và làm dày dặn kinh nghiệm về công nghệ “ứng phó” trước các cuộc tấn công có chủ đích vào hệ thống từ nội bộ (lợi dụng tài khoản server cài webshell, backdoor, DB,..) và bên ngoài (khai thác lỗ hổng từ source code,…).
Các khái niệm về Hardening
* Tham khảo theo Hardening Project
| Thời gian mỗi hiệp | Người tham gia | Xử lý vấn đề | Mục tiêu | |
 | Hơn 8 giờ | 6 – 10 | Sales Technical Customer … | từ 20 bộ phận (liên quan đến hệ thống) |
 | 3 giờ | 4 | Sales SLA Report | 4 bộ phận |
 | 45 phút | 1 – 4 | Sales (Technical only) | 1 bộ phận |
Và khi tôi tham gia Micro Hardening về Technical thì…
Ban tổ chức mong muốn phát triển khả năng đối phó với các cuộc tấn công mạng theo cách “giống trò chơi” hơn nhòi sọ bằng cách học tài liệu…
Với phương pháp này sẽ nâng cao nhận thức và kinh nghiệm ứng phó tấn công mạng một cách tình cờ theo một dạng “cạnh tranh” năng lực giữa các đội chơi.
Trò chơi như thế nào?
Micro Hardening yêu cầu team tham gia (Defence) ứng phó với các cuộc tấn công mạng khác nhau từ nhiều nhóm (Attack) phá hoại trang web EC (eComerce) được cung cấp trong thời gian giới hạn là 45 phút và lặp lại nhiều hiệp (ít nhất 3 lần)
Người tham gia có thể bắt đầu trò chơi bằng cách vào server EC đã chuẩn bị và thực hiện lệnh “./start.sh” đã được thiết lập trên server EC.
Sau khi lệnh “./start.sh” được thực thi, crawler sẽ thu thập thông tin mua sắm trang web EC. Số tiền mà crawler thu thập đã mua trên trang EC sẽ trở thành điểm của người tham gia và sự hoạt động ổn định của trang EC sẽ dẫn đến điểm cao.
Nghe có vẻ đơn giản là cài đặt firewall rồi ngồi rung đùi là xong, hahaha… Đời không như mơ vì xây dựng xong hệ thống chỉ là bắt đầu cho tiến trình bảo vệ để không bị phá hủy. 😛
Sau khi start game thì một số lượng lớn các cuộc tấn công mạng cũng tự động được thực hiện nhằm khai thác lỗ hổng phá hủy hệ thống trong khi crawler thu thập thông tin tính điểm, điều này gây mất ổn định của trang EC từng phút mà bạn đang bảo vệ và nó sẽ ngủm bất kỳ lúc nào.
Người tham gia có nhiệm vụ bảo vệ EC khỏi các cuộc tấn công mạng xảy ra và khôi phục trang web EC đã ngừng hoạt động nhanh nhất để duy trì doanh số và nhận điểm thưởng (thu thập thông tin bổ sung) tùy theo các cuộc tấn công được ngăn chặn. Các cuộc tấn công bằng các phương pháp bên dưới.
- Exploit DoS vulnerabilities.
- SQL Injection.
- Access to uncontrolled access to configuration files.
- Log in to a user with a weak password.
- Direct connection to the management port.
- Login to the management screen.
- Backdoor operation webshell.
- Display unnecessary information.
- Source code vulnerabilities.
- Heartbleed.
- …
Các cuộc tấn công giống nhau được thiết lập để xảy ra vào cùng một thời điểm mỗi lần. Micro Hardening nói rằng thay vì tốn thời gian viết liệu giải thích các phương pháp tấn công và phương pháp phòng thủ, thì cải thiện khả năng của một kỹ sư bằng cách tham gia quan sát tình hình và cố gắng đối phó với các cuộc tấn công từng chút một.
Lý tưởng nhất là muốn tạo ra một hệ thống cho phép bạn ghi điểm cao bằng cách ghi nhớ các kiểu tấn công của kẻ thù và phản pháo như trò chơi bắn súng.
Sau 3 hiệp ứng phó thì trò chơi kết thúc…
Xếp hạng Micro Hardening chỉ dành cho điểm kiếm được cao nhất!
Và s au khi kết thúc trò chơi ban tổ chức sẽ tổng kết điểm và giải thích các phương pháp mà họ tấn công theo từng thời điểm. Họ cũng chia sẽ kinh nghiệm về cách trace log để tìm ra lỗ hổng đang bị khai thác. Đồng thời họ cũng chia sẽ và gợi ý các giải pháp công nghệ ứng phó với từng loại tấn công này.
Điều gì khiến tôi hứng thú khi tham gia…
Tôi học hỏi kinh nghiệm trong việc ứng phó với các cuộc tấn công mạng trong khi tận hưởng cảm giác chiến thắng khó khăn và điểm số của tôi dần dần tăng lên. Đối thủ của tôi là quá khứ của tôi.
Tham khảo thêm
- https://about.yahoo.co.jp/info/blog/20161108/hardening.html
- https://www.slideshare.net/techblogyahoo/hardening-seckansai-sosaisec
- https://news.yahoo.co.jp/articles/508144c158e0ff0485282070804bf0c20015d26e
- https://microhardening.connpass.com/event/186011/
