Tweet
🚨 Reconnaissance Attacks – Bước Đi Đầu Tiên Của Kẻ Tấn Công
Khi nói đến an ninh mạng, rất nhiều người chỉ chú ý đến những vụ tấn công "động trời" như ransomware, phá hoại dịch vụ, hay đánh cắp dữ liệu. Nhưng sự thật là mọi cuộc tấn công lớn đều bắt đầu từ một bước đi thầm lặng: Reconnaissance (do thám, trinh sát).
🕵️ Reconnaissance là gì?
Reconnaissance là giai đoạn thu thập thông tin về hệ thống mục tiêu trước khi kẻ tấn công thực hiện bất kỳ hành vi xâm nhập hoặc khai thác nào. Mục tiêu của giai đoạn này là hiểu rõ "bức tranh" hạ tầng: những gì đang chạy, ai đang điều hành, và dịch vụ nào đang mở.
Kẻ tấn công sẽ sử dụng các công cụ hợp pháp – thứ mà quản trị viên mạng cũng dùng hàng ngày – để thu thập dữ liệu như:
C:\> whois example.com Registrant Organization: example.com Registrant Email: domainadmin@example.com Name Server: ns1.example.com Name Server: ns2.example.com
Chỉ với vài dòng này, kẻ tấn công đã có:
📡 DNS Query – Tiền Đề Cho Các Bước Tiếp Theo
DNS là "danh bạ" của Internet. Khi kẻ tấn công truy vấn DNS, họ có thể lấy được địa chỉ IP của các hệ thống đang hoạt động.
$ dig example.com example.com. IN A 93.184.216.34
$ nslookup example.com Name: example.com Address: 93.184.216.34
Địa chỉ IP được lộ ra → Tiếp theo là gì?
🌐 Ping Sweep → Port Scan
Sau khi có dải địa chỉ IP, kẻ tấn công thực hiện ping sweep để xác định host nào đang sống (up).
Tiếp đến là bước quan trọng: 🔍 Port Scanning
Dùng các công cụ như:
→ Quét toàn bộ các cổng dịch vụ trên host để xem:
Thông tin thu được sẽ giúp kẻ tấn công xác định được con đường tấn công dễ nhất: qua HTTP, SSH, SMB, hay lỗ hổng chưa vá nào đó.
✅ Công cụ hợp pháp – Sử dụng đúng cách
Các quản trị viên cũng sử dụng kỹ thuật này để phòng thủ, chứ không chỉ tấn công:
❓Câu hỏi ôn tập
✅ Đáp án: Port scan
Vì sau khi đã xác định được các host "sống", kẻ tấn công sẽ quét cổng để biết dịch vụ gì đang chạy – bước đệm để chuẩn bị tấn công khai thác tiếp theo.
💡 Gợi mở cho bạn
Nếu bạn đang học CCNA hoặc CCNP, hãy thử dựng một lab nhỏ bằng GNS3 hoặc Cisco Packet Tracer:
Học cách tấn công – để biết cách phòng thủ.
Khi nói đến an ninh mạng, rất nhiều người chỉ chú ý đến những vụ tấn công "động trời" như ransomware, phá hoại dịch vụ, hay đánh cắp dữ liệu. Nhưng sự thật là mọi cuộc tấn công lớn đều bắt đầu từ một bước đi thầm lặng: Reconnaissance (do thám, trinh sát).
🕵️ Reconnaissance là gì?
Reconnaissance là giai đoạn thu thập thông tin về hệ thống mục tiêu trước khi kẻ tấn công thực hiện bất kỳ hành vi xâm nhập hoặc khai thác nào. Mục tiêu của giai đoạn này là hiểu rõ "bức tranh" hạ tầng: những gì đang chạy, ai đang điều hành, và dịch vụ nào đang mở.
Kẻ tấn công sẽ sử dụng các công cụ hợp pháp – thứ mà quản trị viên mạng cũng dùng hàng ngày – để thu thập dữ liệu như:
- whois – Xác định ai sở hữu tên miền, thông tin tổ chức, email, số điện thoại.
- dig (Domain Information Groper) – Truy vấn DNS để xem địa chỉ IP, tên máy chủ DNS, TTL (Time To Live),…
- nslookup – Tương tự dig, dùng để tra cứu bản ghi DNS từ dòng lệnh.
C:\> whois example.com Registrant Organization: example.com Registrant Email: domainadmin@example.com Name Server: ns1.example.com Name Server: ns2.example.com
Chỉ với vài dòng này, kẻ tấn công đã có:
- Tên công ty,
- Email liên hệ quản trị,
- Danh sách máy chủ DNS – đây là "cửa ngõ" để vào hệ thống.
📡 DNS Query – Tiền Đề Cho Các Bước Tiếp Theo
DNS là "danh bạ" của Internet. Khi kẻ tấn công truy vấn DNS, họ có thể lấy được địa chỉ IP của các hệ thống đang hoạt động.
$ dig example.com example.com. IN A 93.184.216.34
$ nslookup example.com Name: example.com Address: 93.184.216.34
Địa chỉ IP được lộ ra → Tiếp theo là gì?
🌐 Ping Sweep → Port Scan
Sau khi có dải địa chỉ IP, kẻ tấn công thực hiện ping sweep để xác định host nào đang sống (up).
Tiếp đến là bước quan trọng: 🔍 Port Scanning
Dùng các công cụ như:
- Nmap
- Masscan
→ Quét toàn bộ các cổng dịch vụ trên host để xem:
- Cổng nào đang mở?
- Dịch vụ gì đang chạy?
- Hệ điều hành gì? (bằng TCP/IP stack fingerprinting)
Thông tin thu được sẽ giúp kẻ tấn công xác định được con đường tấn công dễ nhất: qua HTTP, SSH, SMB, hay lỗ hổng chưa vá nào đó.
✅ Công cụ hợp pháp – Sử dụng đúng cách
Các quản trị viên cũng sử dụng kỹ thuật này để phòng thủ, chứ không chỉ tấn công:
- Nessus – Công cụ quét lỗ hổng thương mại.
- OpenVAS – Giải pháp mã nguồn mở.
⚠️ Lưu ý: Việc sử dụng các công cụ quét lỗ hổng trên hệ thống mà bạn không được phép quản lý là vi phạm chính sách bảo mật và có thể là hành vi phạm pháp. Đừng bao giờ quét hệ thống công ty, tổ chức hay nhà mạng nếu không có giấy phép rõ ràng!
❓Câu hỏi ôn tập
Trong một cuộc tấn công reconnaissance, hoạt động nào thường được thực hiện sau bước ping sweep?
✅ Đáp án: Port scan
Vì sau khi đã xác định được các host "sống", kẻ tấn công sẽ quét cổng để biết dịch vụ gì đang chạy – bước đệm để chuẩn bị tấn công khai thác tiếp theo.
💡 Gợi mở cho bạn
Nếu bạn đang học CCNA hoặc CCNP, hãy thử dựng một lab nhỏ bằng GNS3 hoặc Cisco Packet Tracer:
- Thiết lập một DNS server đơn giản.
- Sử dụng nslookup, dig, và whois để thu thập thông tin.
- Thực hiện ping sweep với fping, sau đó dùng nmap để quét port.
Học cách tấn công – để biết cách phòng thủ.
Attached Files