知っておくべきハッキング手法トップ 10
ハッカーの危険性を心配していますか? 主なハッキング方法とその危険性を以下に示します。
インターネット技術の発展は、多くの成長とビジネス チャンスをもたらし、それに対応する新しいハッキング手法ももたらしました。
個人のソーシャル メディア ユーザーから中小企業や大企業まで、現代のハッカーの被害者は多岐にわたります。
したがって、World Wide Web に潜む可能性のある危険を把握し、それらのセキュリティの脅威を軽減するための適切な情報を入手することは、ユーザーの最善の利益になります。 この投稿は、いくつかの光を当てます。
目次
隠す
トップハッキング方法
主なハッキング方法は次のとおりです。
ソーシャルエンジニアリングとは、潜在的な被害者を操り、重要な情報を漏らさせたり、攻撃者が必要なアクセス権を得るための特定の行動を取らせたりするプロセスです。ソーシャルエンジニアリングには様々な手法があり、例えば、被害者に電話をかけて機密情報を要求する方法などがあります。この手法はビッシングと呼ばれ、電話の相手が本物の銀行員だと信じ込んでいる無防備な被害者から銀行情報を収集するためによく用いられます。
もう一つの一般的な手口はフィッシングで、電話による手口と同様に、なりすましが含まれます。ここでは、本物の銀行のウェブサイトと100%そっくりな偽の銀行ウェブサイトが使われます。被害者は、偽サイトへのリンクが記載されたメールやテキストメッセージを受け取り、セキュリティ上の理由で個人情報を緊急に更新するよう求められます。しかし、偽サイトに入力された情報はすべて攻撃者によってコピーされ、被害者の口座から資金を抜き取るために悪用されます。
その他の方法としては、ハッカーが被害者と友達になり、必要な情報に徐々にアクセスできるようにしたり、公務員、上司、警備員などの権威者になりすまして被害者を威嚇して情報を漏らしたりする方法があります。
ソーシャルエンジニアリングの被害に遭わないための方法としては、見知らぬ人を信用しないこと、常に「 https://」で始まる正しいウェブサイトにアクセスしていることを確認すること、そしてどんなことがあってもパスワードや暗証番号を教えないことなどが挙げられます。
2.盗聴
もう XNUMX つの危険なハッキング方法は盗聴です。 ハッカーが取得できる情報量に制限がなく、方法がたくさんあるため危険です。
一例としては、 Wiresharkなどのネットワークアナライザソフトウェアを使用してネットワークのパケットを傍受し、情報を抽出する方法がある。また、被害者のコンピュータやスマートフォンに小さなアプリをインストールし、すべてのキー入力を記録したり、すべてのテキスト通信をキャプチャしたりする方法もある。
他の盗聴方法には、ハッカーが直接通信していると信じている間に、XNUMX つの当事者に情報を中継させる中間者攻撃が含まれます。 たとえば、GSM ネットワークは自動的に最強の信号にリンクするため、特定のネットワークの GSM タワーをスプーフィングすることで、そのエリア内のすべての携帯電話が自動的にハッカーにリンクし、ハッカーのシステムを介して情報を渡します。
ブラウザやアプリは、セッションを使用してサーバーと通信します。サーバーとのセッションを開始するには、ユーザーはまずログイン名とパスワードの組み合わせ、場合によっては2要素認証を使用して本人確認を行う必要があります。ユーザーの身元が確認されると、サーバーはユーザーのブラウザとのセッションを開始し、ユーザーがログオフするまで、セッション中はそれ以上の認証は必要ありません。
ここで一つ小さな問題があります。サーバーは認証されたユーザーのマシンにクッキーを保存したり、URLにセッションIDを追加したりして、 「このユーザーはログインできます」といったメッセージを表示します。しかし問題は、ハッカーがこれらのクッキーやセッションIDを盗むことができれば、被害者が認証してアクセスしたはずの制限された環境にアクセスできてしまうことです。そうなると、ハッカーは投稿をしたり、送金したり、その他好きなことを何でもできてしまいます。
現在、これを達成するには多くの方法があります。
- XSS またはクロスサイト スクリプティング – これには、犠牲者を騙して正当なサイトへのリンクをクリックさせることが含まれますが、その正当なサイトの Cookie を盗んでハッカーのサイトに送信する JavaScript コードが含まれています。
- セッションスニッフィング – ハッカーは、Wireshark などのネットワーク スニファを使用して、セッションおよび Cookie 情報を傍受できます。
- セッション固定 – 攻撃者は、セッション ID を含むリンクを被害者に送信します。 被害者がログインし、システムが新しいセッション ID の生成に失敗した場合、ハッカーは同じセッション ID を使用してログオンすることもできます。 ここでの解決策は、システムがログインのたびに常に新しいセッション ID を生成することです。
- セッション寄付 – ハッカーが正規のサイトにログインし、セッション データを含むリンクを被害者に送信して、情報を更新するように求めます。 被害者は自分がログインしていることを確認し、それが自分のアカウントではないことに気付かなかった場合、ハッカーが後で盗む可能性のある機密情報を入力できます。 XNUMX つの解決策は、完了したら常にログアウトすることです。
4.XSSとCSRF
前述のように、XSS は Cross-Site Scripting を表し、CSRF は Cross-Site Request Forgery を表します。 ここで、XSS は通常の Cookie の窃盗を超えたものであることに注意してください。これは、被害者が他の信頼性の低い Web サイトに接続しているときに信頼するページでスクリプトを実行することがすべてであるためです。
被害者は、通常は自動的に行われる XSS 攻撃に陥るために、ログインしたり、認証を受けたり、何らかのアクションを実行したりする必要はありません。 ただし、CSRF の場合、被害者は特定の Web サイトにログインし、さらにボタンをクリックするなどのアクションを実行する必要があります。
例えば、被害者ボブが銀行のウェブサイトにログインしているとします。すると、何かに気を取られ、マカオへの無料旅行を謳うウェブサイトにたどり着きます。ボタンをクリックするだけでいいと謳われています。しかし、彼がボタンをクリックすると、ウェブサイトは彼の銀行に送金リクエストを送信します。ボブは銀行とのセッションがアクティブな状態にあるため、送金が成立してしまう可能性があります。
攻撃者の Web サイトに必要なのは、次のような適切なフィールドを備えた銀行向けのフォームを作成することだけです。
5.ホットスポットハニーポット
無料の WiFi を使用して Web にアクセスしたことがありますか? VPN (仮想プライベート ネットワーク) を使用して身を守っていただければ幸いです。
スキームは次のようになります。ハッカーは、無料の Wi-Fi ホットスポットを設定し、背後でパケット スニファーを使用して、無料で Web を閲覧しているユーザーからパスワードやその他の貴重品を収集します。 コーヒー ショップ、空港、レストランなどに見られるような偽の会社のホットスポットを設定する人さえいます。
このようなハッキングを避けるには、無料のホットスポットに近づかないようにするか、公共の WiFi を使用する必要がある場合は VPN を使用してください。
6.ブルートフォース
ブルート フォース攻撃とは、考えられるすべてのユーザー名とパスワードの組み合わせを試して、被害者のアカウントにログインしようとする試みです。 また、できるだけ多くのキーを試行することによってアルゴリズムを解読することを指す場合もあります。
人気のハッカー向けオペレーティングシステムであるKali Linuxには、 John the Ripper、ncrack、 Hydraなどのブルートフォースツールが付属しています。また、辞書攻撃に役立つワードリストも用意されています。これには、 monkey、12345、mysecretpassword、00000など、辞書から最もよく使われるパスワードや単語のリストが含まれています。
ブルート フォース攻撃を回避する方法には、ログイン ページにキャプチャを追加する、ログイン試行回数を制限する、安全なパスワード (記号、数字、大文字と小文字を組み合わせた 8 文字以上) の使用を強制することが含まれます。文字。
7. DoS & DDoS
DoSはサービス拒否攻撃、DDoSは分散型サービス拒否攻撃の略です。これらの攻撃の目的は、サーバーなどのコンピュータシステムに大量のリクエストを送りつけ、それ以上のリクエストを処理できなくさせ、システムを停止させることです。
DoS は XNUMX 台のマシンから発生し、簡単に特定してブロックできます。 一方、DDoS は複数のコンピューターから発生します。これは、マルウェアに感染したコンピューターから発生することが多く、世界中に広がるボットネットである可能性があります。
このリストにある他のほとんどの方法とは異なり、DDoS 攻撃は被害者のコンピューターで悪意のあるコードを盗んだり実行したりすることを目的としていないことに注意してください。 むしろ、これらの企業は身代金が支払われるまでサービスを継続することは不可能であるため、ビジネス サーバーを包囲するために使用されます。
DDoS 攻撃を回避する最も簡単な方法は、提供されたパッケージに DDoS 保護が含まれている Web ホストを使用することです。
8. 標的型および非標的型 Web サイト攻撃
標的型攻撃は、特に被害者の Web サイトを狙った攻撃です。一方、非標的型攻撃は、攻撃者が一般的なソフトウェアの弱点を悪用したために、Web サイトに対して発生します。
たとえば、WordPress Web サイトは、特に更新されていない古いバージョンで実行されているものなど、非標的型攻撃を受けやすい傾向があります。 攻撃者は、特定のプラットフォーム、バージョン、または開発フレームワークで機能するエクスプロイトを発見し、プラットフォームを使用する Web サイト アドレスのリストを介してエクスプロイトを実行し、どれが壊れているかを確認します。
標的型攻撃の場合、ハッカーは被害者の Web サイトを知るためにもう少し時間を費やしますが、これには数日から数か月かかる場合があります。 通常、標的型攻撃はより危険であり、特に大企業の場合は悲惨な結果になる可能性があります。
9 SQLインジェクション
LulzSecが2011年にソニーのPlayStation Networkのサーバーに侵入し、1万件のパスワードを盗み出した際、彼らはその作戦を単純なSQLインジェクション攻撃だと説明した。
SQL インジェクションは、プログラマーがそのような潜在的に有害な入力を一掃しないことを期待して、Web サイトの要求アドレスに SQL 言語ディレクティブを追加する行為です。 また、SQLi が機能している場合、ハッカーは多くの場合、Sony で起こったように、データベースへの管理者アクセスを取得します。
一般的なプラットフォームとフレームワークの最新バージョンを使用することで、SQL インジェクションを防ぐことができます。 ただし、自分で構築する場合は、適切な入力の検証、準備済みステートメントの使用、ストアド プロシージャ、および脆弱性スキャンに集中する必要があります。
10. プラグインの脆弱性
WordPress などの一般的なプラットフォームの主要なセキュリティ問題は別として、最新のソフトウェア バージョンにアップグレードすることで回避できることがよくありますが、一方で、プラグインは重大なハッキングの脅威を生み出す可能性があります。
WordPress エコシステムには 50,000 を超えるプラグインがあり、現在の WordPress ハッキングの大部分はこれらのプラグインの脆弱性に起因しているため、それぞれが潜在的なセキュリティ リスクをもたらします。
ここで 100% の安全性を確保することはできませんが、評価の高い最高品質のプラグインのみを選択することで、プラグインの脆弱性に対する Web サイトの防御を改善することができます。 次に、コア システムとプラグインの更新を定期的に行い、古いテーマや拡張機能を使用しないようにします。
結論
ハッカーの手口トップ 10 をリストアップし、その原因と考えられる防止方法を見てきました。 あなたも結論付けているように、ハッキングはコンピューターの世界の一部であるため、ハッキングの脅威は常に考慮に入れなければなりません。
ただし、これらの脅威を認識し、必要に応じて適切な保護手段を適用することで、ハッキングされるリスクを大幅に減らすことができます.
関連記事
