Network Security

20130227-Kbank-Phishing

by

มีจดหมายหลอกลวง หน้าตาประมาณนี้ เมื่อคลิก Link เข้าไป โดยผ่าน Google Chrome จะได้หน้าจอเตือนอย่างนี้ แต่ถ้าเป็น IE, Firefox จะไม่ได้รับการเตือน !!!! ซึ่งจะได้หน้าจอประมาณนี้ ซึ่งหน้าตา ช่างเหมือนกับของจริงมากๆ แต่นี่คือ Website หลอกลวง เพื่อเอาข้อมูลทางการเงินของท่าน  โปรดระวัง !!! เปรียบเทียบ ของปลอม (ซ้าย) และ ของจริง (ขวา)   วิธีสังเกต เวปไซต์ของจริง จะต้องมี รูปกุญแจ และเป็นสีเขียว (เข้ารหัสในการส่งข้อมูลด้วย HTTPS และ ใช้ SSL Certificate ที่ได้รับการยอมรับ) ด้านซ้ายคือ ของหลอกลวง ด้านขวาคือ ของจริง โปรดใช้ความระมัดระวัง

Warning :: spam-20130109

by

พบจดหมายหลอกลวง มีเนื้อความประมาณนี้ (แค่นี้จริงๆ — ไม่จำเป็น อย่าได้ตาม link ไปนะครับ) http://www.hfh-schule.de/images/perfsedit.php เมื่อคลิกแล้ว (ไม่แนะนำให้ทุกท่านทำเช่นนี้ แต่ผมขอทดลองให้ดูเป็นตัวอย่าง) มันจะ detect ว่าเราอยู่ที่ใดในโลก ในตัวอย่างนี้ มันพบว่า IP Address ของผมอยู่ที่ Songkhla ก็จะไปยัง website ชื่อ http://workfromyourhome5.com/ ซึ่งมันจะทำเป็น Phishing Site หน้าตาเหมือนของ CNBC เป๊ะ ดังนี้ แต่ถ้าสังเกตดีๆ จะเห็นวันที่ update ข่าวนี้เป็น Published: Monday, 30 April 2012 | 7:48 AM ET แล้วทุก link ในหน้านี้ จะชี้ไปที่ http://workfromyourhome5.com/go.php ซึ่งจะส่งไปยังหน้า page ที่จะหลอกเอาข้อมูลส่วนตัวเราไปครับ ดังนี้ จึงเรียนมาเพื่อให้ระมัดระวังกันมากๆครับ

การใช้ fail2ban สำหรับการตั้งรับ DNS Brute Force Query Attack

by

ต่อเนื่องจาก บทความนี้ หลังจากวิธีการใช้งาน blackhole เพื่อให้ bind9 ไม่ตอบกลับ query ที่ client ส่งมา แล้วพบว่าวิธีการนี้ จะมีปัญหากับการโจมตีแบบ DDoS ดังนั้น เราก็ต้องรับมือกับการโจมตีแบบนี้ด้วยเครื่องมืออื่นๆแทน เครื่องมืที่ผมใช้งานแล้วพบว่ามีประโยชน์มากตัวนึง สำหรับการป้องกันการโจมตีแบบอัตโนมัติก็คือ fail2ban ซึ่งบน Debian/Ubuntu สามารถติดตั้งได้ด้วยคำสั่ง $ sudo apt-get install fail2ban ซึ่งจะสร้าง configuration file ของ fail2ban ขึ้นมาอยู่ใน directory /etc/fail2ban configuration ของ fail2ban จะแบ่งเป็นส่วนของการตรวจจับ (โดยการใช้ regular expression) จาก log file ที่กำหนดไว้ (ซึ่งจะอยู่ใน directory /etc/fail2ban/filter.d)  และสามารถ กำหนด action (ซึ่งจะอยู่ใน directory /etc/fail2ban/action.d) … Read more

ตั้งรับและตอบโต้การโจมตี DNS Brute Force Query Attack

by

ต่อเนื่องจาก บทความนี้ หลังจากรู้แล้วว่า DNS Server ของเราถูกโจมตีล่ะนะ ทีนี้จะตอบโต้อย่างไรดี? ถ้าหากการโจมตีมันไม่ได้เป็น distribution คือตรวจสอบแล้วมาจาก host เพียงตัวเดียวหรือไม่กี่ตัว ก็สามารถตอบโต้แบบง่ายๆได้ โดยใช้ความสามารถของ bind9 เอง bind9 จะมี option ที่จะสามารถ block การ query จาก client ได้ โดยสามารถระบุเป็น ip เดี่ยวๆ หรือเป็น block ของ ip network โดยการเพิ่มเป็น blackhole ใน named.conf.options แบบนี้ครับ สมมติ options config เดิมของ bind9 คือ options {     directory “/var/cache/bind”;     forward only;     forwarders { … Read more