Các mối đe dọa từ điện toán đám mây
Vì điện toán đám mây cung cấp nhiều dịch vụ với hiệu quả và linh hoạt, nên cũng có một số mối đe dọa khiến nó dễ bị tấn công. Những mối đe dọa bao gồm mất/vi phạm dữ liệu, giao diện và API không an toàn, nội gián độc hại, leo thang đặc quyền, thiên tai, lỗi phần cứng, xác thực, tấn công cấp máy ảo và hơn thế nữa.
Data Loss/Breach
Mất dữ liệu và Vi phạm dữ liệu là mối đe dọa phổ biến nhất đối với mọi nền tảng. Mã hóa không đúng cách hoặc làm mất khóa mã hóa có thể dẫn đến việc sửa đổi, xóa, đánh cắp dữ liệu và sử dụng sai dữ liệu.
Abusing Cloud Services
Lạm dụng Dịch vụ Đám mây bao gồm việc sử dụng dịch vụ cho mục đích xấu cũng như lạm dụng các dịch vụ này. Ví dụ, dịch vụ đám mây Dropbox đã bị kẻ tấn công lợi dụng để phát tán chiến dịch lừa đảo lớn. Tương tự, nó có thể được sử dụng để lưu trữ, dữ liệu độc hại, lệnh và kiểm soát Botnet, v.v.
Insecure Interface and APIs
Giao diện Người dùng Phần mềm (UI) và Giao diện Lập trình Ứng dụng (API) là những giao diện được khách hàng sử dụng để tương tác với dịch vụ. Các giao diện này có thể được bảo mật bằng cách thực hiện Giám sát, Điều phối, Quản lý và cung cấp. Các giao diện này phải an toàn trước các nỗ lực độc hại.
Mind Map
Các cuộc tấn công điện toán đám mây
Sau đây là các cuộc tấn công phổ biến nhất được kẻ tấn công sử dụng để trích xuất thông tin nhạy cảm như thông tin xác thực hoặc truy cập trái phép.
- Đánh cắp dịch vụ bằng cách sử dụng các kỹ thuật xã hội
- Đánh cắp phiên sử dụng XSS Attack
- Tấn công hệ thống tên miền (DNS)
- Tấn công SQL Injection
- Wrapping Attack
- Đánh cắp dịch vụ bằng cách sử dụng Network Sniffing
- Đánh cắp phiên bằng cách sử dụng Session Riding
- Tấn công kênh bên hoặc vi phạm máy ảo khách chéo
- Phân tích mật mã
- Tấn công Dos/DDoS
Service Hijacking using Social Engineering Attacks
Chúng tôi đã thảo luận về các cuộc tấn công xã hội. Sử dụng các kỹ thuật Social Engineering, cuộc tấn công có thể cố gắng đoán mật khẩu. Các cuộc tấn công Social Engineering dẫn đến việc làm lộ thông tin nhạy cảm theo cấp đặc quyền của người dùng bị xâm phạm.
Service Hijacking using Network Sniffing
Sử dụng các công cụ Packet Sniffing bằng cách tự đặt mình vào mạng, kẻ tấn công có thể nắm bắt thông tin nhạy cảm như mật khẩu, ID phiên, cookie và thông tin khác liên quan đến dịch vụ web như UDDI, SOAP và WSDL.
Session Hijacking using XSS Attack
Bằng cách khởi chạy Cross-Site Scripting (XSS), kẻ tấn công có thể đánh cắp cookie bằng cách đưa mã độc vào trang web.
Session Hijacking using Session Riding
Session Riding nhằm mục đích chiếm quyền điều khiển phiên. Kẻ tấn công có thể khai thác nó bằng cách cố gắng giả mạo yêu cầu cross-site. Kẻ tấn công sử dụng phiên hiện đang hoạt động và lái trên đó bằng cách thực hiện các yêu cầu như sửa đổi dữ liệu, xóa dữ liệu, giao dịch trực tuyến và thay đổi mật khẩu bằng cách theo dõi người dùng nhấp vào một liên kết độc hại.
Domain Name System (DNS) Attacks
Các cuộc tấn công Hệ thống tên miền (DNS) bao gồm DNS Poisoning, Cybersquatting, Domain hijacking và Domain Snipping. Kẻ tấn công có thể cố gắng giả mạo bằng cách đầu độc máy chủ DNS hoặc bộ nhớ cache để lấy thông tin đăng nhập của người dùng nội bộ.
Domain Hijacking liên quan đến việc đánh cắp tên miền dịch vụ đám mây. Tương tự, thông qua các trò lừa đảo Phishing, người dùng có thể được chuyển hướng đến một trang web giả mạo.
Side Channel Attacks or Cross-guest VM Breaches
Side Channel Attacks hoặc Cross-Guest VM Breach là một cuộc tấn công yêu cầu triển khai một máy ảo độc hại trên cùng máy chủ. Ví dụ một máy chủ vật lý đang lưu trữ một máy ảo cung cấp các dịch vụ đám mây do đó trở thành mục tiêu của kẻ tấn công.
Kẻ tấn công sẽ cài đặt một máy ảo độc hại trên cùng máy chủ để lợi dụng việc chia sẻ tài nguyên của máy chủ như bộ nhớ đệm của bộ xử lý, khóa mật mã, v.v. Việc cài đặt có thể được thực hiện bởi kẻ nội gián độc hại hoặc tấn công bằng cách mạo danh người dùng hợp pháp
Tương tự, có những tấn công khác cũng dễ bị đe doạ như SQL Injection (tiêm các câu lệnh SQL độc hại để trích xuất thông tin), Cryptanalysis Attack (mã hóa yếu hoặc lỗi thời), Wrapping Attack (sao chép nội dung thư), các cuộc tấn công từ chối dịch vụ (DoS) và từ chối dịch vụ phân tán (DDoS).
