Bối cảnh và vấn đề nghiên cứu
Trong sự phát triển của công nghệ thông tin và mạng Internet, các hoạt động truyền tải dữ liệu, trao đổi thư điện tử và duyệt web đã trở thành nhu cầu thiết yếu trong công việc và đời sống xã hội. Tuy nhiên, đi cùng với sự mở rộng hạ tầng mạng là sự gia tăng nhanh chóng về số lượng cũng như mức độ nguy hiểm của các biến thể virus và phần mềm độc hại. Các công nghệ và phần mềm phòng chống virus truyền thống chủ yếu hoạt động dựa trên cơ chế nhận diện theo mẫu có sẵn, do đó bộc lộ hạn chế lớn khi đối mặt với những loại virus mới xuất hiện. Khi mã độc xâm nhập qua các dịch vụ công cộng như Web (HTTP) và Mail (SMTP, POP3), một hệ thống tường lửa (firewall) chưa được cập nhật kịp thời sẽ dễ dàng bị vượt qua, tạo điều kiện cho kẻ tấn công thiết lập cửa sau (backdoor) và đánh cắp dữ liệu nhạy cảm ra bên ngoài. Xuất phát từ thực tế đó, đề tài đồ án tốt nghiệp "Tìm hiểu công nghệ phòng chống Virus trên mạng HTTP – Anti Virus" được tác giả Trần Văn Duy thực hiện năm 2011 tại Khoa An toàn Thông tin – Học viện Kỹ thuật Mật mã, dưới sự hướng dẫn của Th.S Đinh Quốc Tiến.
Mục tiêu và nhiệm vụ nghiên cứu của đồ án được xác định cụ thể như sau:
- Hệ thống hóa lịch sử hình thành, quá trình biến đổi và các phương thức lây lan của các dòng virus máy tính phổ biến.
- Khảo sát và phân tích giải pháp an ninh, phòng chống mã độc cấp doanh nghiệp của hãng Trend Micro từ cổng mạng Internet đến từng máy trạm.
- Nghiên cứu tổng quan về công nghệ điện toán đám mây và cơ chế ứng dụng điện toán đám mây trong hệ thống diệt virus mã nguồn mở ClamAV.
- Tìm hiểu nguyên lý hoạt động, cấu trúc xử lý và thiết lập mô hình thử nghiệm giải pháp HTTP Anti Virus Proxy (HAVP) kết hợp máy chủ ủy quyền Squid (Squid Proxy Server) trên nền tảng tường lửa Firegate.
Đối tượng nghiên cứu của đề tài là các giải pháp, công nghệ nhận diện và ngăn chặn virus lưu chuyển trên môi trường mạng, trọng tâm là luồng dữ liệu web (HTTP) và các dịch vụ cổng (gateway). Phạm vi nghiên cứu tập trung vào các hệ thống phần mềm phòng thủ chuyên dụng (Trend Micro, ClamAV, HAVP, Squid), khảo sát các tài liệu kỹ thuật, chuẩn công nghệ và mô hình triển khai thực tế tính đến thời điểm năm 2011.
Cơ sở lý thuyết và giải pháp công nghệ
Cơ sở lý thuyết của đồ án dựa trên các khái niệm an toàn thông tin mạng, cơ chế hoạt động của mã độc và mô hình kiến trúc điện toán đám mây:
- Khái niệm mã độc và cơ chế lây nhiễm: Phân loại theo cơ chế ký sinh và phát tán gồm virus lây vào khu vực khởi động (Boot Sector), virus lây vào tệp tin (File), virus lây qua tập lệnh văn phòng (Macro), mã độc ngụy trang (Trojan Horse) và sâu Internet (Worm). Bên cạnh đó là các cơ chế biến đổi phức tạp như virus đa hình (polymorphic virus) và kỹ thuật tấn công từ chối dịch vụ phân tán (DDoS).
- Mô hình Điện toán đám mây (Cloud Computing): Khởi nguồn từ điện toán lưới (Grid Computing) trong thập niên 1980, điện toán theo nhu cầu (Utility Computing) và phần mềm dịch vụ (SaaS). Công nghệ này ảo hóa các tài nguyên tính toán (CPU, RAM, lưu trữ) và phân phối qua mạng theo các mô hình dịch vụ gồm: IaaS (dịch vụ hạ tầng, ví dụ Amazon EC2), PaaS (dịch vụ nền tảng, ví dụ Google App Engine hỗ trợ Java/Python), SaaS (dịch vụ phần mềm, ví dụ Salesforce CRM, Google Docs, Microsoft Office Online). Các mô hình triển khai gồm có đám mây công cộng (Public Cloud), đám mây doanh nghiệp (Private Cloud), đám mây chung (Community Cloud) và đám mây lai (Hybrid Cloud). Đồ án cũng đề cập tới các chuẩn bảo mật và tích hợp liên quan như SAML, WSTrust, ISO và kiến trúc hướng dịch vụ (SOA).
- Công nghệ phòng chống mã độc: Gồm nhận diện theo mẫu truyền thống (pattern matching), kiểm soát hành vi (behavior monitoring/heuristic), quét đa luồng (multi-threading) và tác tử nhận diện đám mây (Cloud Agent).
Phương pháp nghiên cứu được tác giả áp dụng là phương pháp phân tích - tổng hợp tài liệu chuyên ngành kết hợp nghiên cứu giải pháp kỹ thuật thực nghiệm:
- Thu thập và phân tích tài liệu kỹ thuật từ các nhà phát triển hệ thống bảo mật (Trend Micro, Sourcefire, Immunet Corp, ClamAV Project).
- Khảo sát mã nguồn, các tệp tin cấu hình, các tiến trình vận hành dạng nền (daemon) và giao diện dòng lệnh của ClamAV.
- Thực nghiệm cài đặt, thiết lập tham số dịch vụ và phân tích luồng xử lý gói tin của HAVP và Squid Proxy Server trên nền tảng thiết bị tường lửa Firegate.
Nguồn dữ liệu của đồ án gồm các tài liệu công bố chuẩn quốc tế (RFC, ISO), tài liệu hướng dẫn kỹ thuật của Trend Micro, tài liệu kiến trúc ClamAV phiên bản 0.9x/0.96 và hệ thống thông số kỹ thuật phần mềm mã nguồn mở.
Nội dung chính theo từng chương
Chương 1: Tổng Quan Về Virus
Chương này trình bày toàn diện tiến trình lịch sử phát triển của virus máy tính gắn liền với các mốc thời gian từ năm 1983 đến năm 2002, đồng thời phân tích cơ chế phá hoại của từng nhóm virus đặc trưng:
- 1983: Khái niệm virus bắt nguồn từ việc để lộ nguyên lý trò chơi "Core War" khi Ken Thompson nhận giải thưởng danh dự của Association for Computing Machinery (ACM). Cùng năm, Tiến sĩ Frederik Cohen chứng minh thực nghiệm sự tồn tại của virus máy tính.
- 1986 - 1988: Xuất hiện Brain virus (khởi phát từ Pakistan lây sang Đại học Delaware - Mỹ và Đại học Hebrew - Israel). Năm 1987, xuất hiện virus Lehigh và Jerusalem (lây lan 500.000 bản sao trong 1 giờ tại công ty IBM). Ngày 2/11/1988, Robert Morris phát tán sâu Morris gây tê liệt hệ thống mạng máy tính trọng yếu tại Mỹ.
- 1989 - 1992: Năm 1989 xuất hiện AIDS Trojan. Năm 1991, virus Tequila ra đời, đánh dấu thế hệ virus đa hình đầu tiên có khả năng tự biến đổi cấu trúc sau mỗi lần lây nhiễm. Năm 1992 ghi nhận virus Michelangelo với độ phức tạp cao hơn.
- 1995 - 1996: Virus Concept xuất hiện năm 1995 mở đầu cho dòng virus Macro tấn công hệ soạn thảo Microsoft Office (Word, Excel, PowerPoint); tại Việt Nam công cụ Bkav đã sớm đưa ra giải pháp xử lý. Năm 1996 xuất hiện virus Boza tấn công hệ điều hành Windows 95.
- 1999 - 2000: Năm 1999, sâu Melissa kết hợp mã macro lợi dụng Microsoft Outlook Express lây nhiễm 250.000 máy tính chỉ trong 4 ngày, gây thiệt hại hàng trăm triệu USD; virus Chernobyl (CIH) ngày 26/4/1999 phá hủy dữ liệu hàng triệu máy tính với thiệt hại gần 1 tỷ USD. Năm 2000 ghi nhận Love Letter phát tán từ Philippines lây qua 20 quốc gia, gây hại cho 55 triệu máy tính và tổn thất 8,7 tỷ USD; đồng thời xuất hiện phương thức phát tán virus để điều khiển tấn công từ chối dịch vụ (DDoS), điển hình là vụ việc nhắm vào hệ thống viễn thông tại Tây Ban Nha.
- 2001 - 2002: Năm 2001 xuất hiện Winux lây lan trên cả Windows và Linux dưới dạng tệp MP3 giả mạo; các dòng Nimda và Code Red tấn công diện rộng. Năm 2002 ghi nhận các virus lây qua tệp Macromedia Shockwave Flash (.SWF), virus SharpA viết bằng ngôn ngữ C#, SQLSpider tấn công cơ sở dữ liệu SQL, Perrun lây qua tệp ảnh JPEG và Scalper tấn công máy chủ FreeBSD/Apache.
| Năm xuất hiện |
Tên Virus / Sự kiện |
Đặc điểm kỹ thuật và thiệt hại ghi nhận |
| 1983 |
Core War / Frederik Cohen |
Công bố nguyên lý virus máy tính; chứng minh sự tồn tại của virus. |
| 1986 |
Brain |
Virus đầu tiên trên thế giới, lây lan từ Pakistan sang Mỹ và Israel. |
| 1987 |
Jerusalem |
Sâu virus lây lan trên hệ thống IBM với tốc độ 500.000 bản sao/giờ. |
| 1988 |
Morris Worm |
Xâm nhập mạng máy tính quan trọng của Mỹ vào ngày 2/11/1988. |
| 1991 |
Tequila |
Virus đa hình đầu tiên, tự động thay đổi dạng thức sau mỗi lần lây nhiễm. |
| 1995 |
Concept |
Virus Macro đầu tiên tấn công tệp tài liệu văn phòng Microsoft Office. |
| 1999 |
Melissa & CIH (Chernobyl) |
Melissa lây qua Outlook (250.000 máy); CIH gây thiệt hại gần 1 tỷ USD. |
| 2000 |
Love Letter |
Lây lan qua 20 nước trong 6 giờ, nhiễm 55 triệu máy tính, thiệt hại 8,7 tỷ USD. |
| 2001 |
Winux, Nimda, Code Red |
Winux ngụy trang file MP3 lây trên Linux/Windows; Nimda tấn công đa hướng. |
| 2002 |
SharpA, SQLSpider, Perrun |
SharpA viết bằng C#; SQLSpider tấn công SQL; Perrun lây qua định dạng JPEG. |
Phần phân loại tập trung làm rõ 5 nhóm mã độc: Virus Boot (lây vào Boot sector qua ổ đĩa khởi động, đĩa mềm); Virus File (lây vào tệp chương trình); Virus Macro (ký sinh trong macro văn bản Word, bảng tính Excel); Trojan Horse (mã độc ẩn mình, không tự lây nhiễm mà lừa người dùng cài đặt để lấy cắp mật khẩu, kiểm soát hệ thống); và Worm (sâu Internet tự nhân bản cấp số nhân qua danh bạ thư điện tử, gây ách tắc đường truyền mạng và tạo mạng botnet tấn công từ xa).
Chương 2: Nghiên Cứu Tìm Hiểu Một Số Giải Pháp Phòng Chống Virus Tiên Tiến
Chương này đi sâu vào hai giải pháp kỹ thuật lớn: mô hình phòng chống virus doanh nghiệp của Trend Micro và hệ thống phòng chống virus nguồn mở ClamAV ứng dụng điện toán đám mây.
1. Giải pháp của Trend Micro:
Hệ thống được thiết kế đồng bộ theo mô hình bảo vệ đa lớp từ cổng Internet, máy chủ đến máy trạm và quản trị tập trung:
- Bảo vệ Internet Gateway: Triển khai InterScan Messaging Security Suite (IMSS) quét luồng thư điện tử SMTP và POP3, sử dụng engine quét 32-bit, cơ chế so khớp mẫu (pattern matching), tính năng Active Action tự động xóa virus, bộ lọc nội dung eManager và lọc thư rác heuristic. Để bảo vệ web, InterScan Web Security Suite (IWSS) kiểm soát lưu lượng HTTP và FTP, tích hợp module anti-phishing chặn truy cập trang web lừa đảo, module anti-spyware, hỗ trợ tích hợp máy chủ ủy quyền và máy chủ thư mục LDAP/Active Directory.
- Bảo vệ Mail Server: ScanMail for Exchange quét thời gian thực các luồng giao thông SMTP, MAPI, HTTP, POP3, IMAP4, IFS và NNTP thông qua các giao diện lập trình Microsoft MAPI, VS API và ESE API; tích hợp công nghệ IntelliScan, cơ chế quét đa luồng và Quarantine Manager quản lý tệp tin cách ly.
- Bảo vệ File Server: ServerProtect kiểm soát an toàn hệ thống tệp trên máy chủ thông qua cấu trúc 3 phần tử gồm Information Server (kết nối máy chủ Windows NT qua giao thức Remote Procedure Call - RPC và máy chủ Novell NetWare qua Sequenced Packet Exchange - SPX), Normal Server (cài trực tiếp trên máy chủ tệp) và Management Console (quản trị tập trung qua TCP/IP).
- Bảo vệ Client và Quản trị tập trung: OfficeScan bảo vệ máy trạm, vận hành trong suốt và cấm người dùng tự ý gỡ bỏ chính sách an ninh. Toàn bộ hệ thống được điều khiển bởi Trend Micro Control Manager (TMCM), hỗ trợ chính sách ngăn chặn bùng nổ dịch Outbreak Prevention Policy (OPP).
2. Phòng chống virus bằng ClamAV sử dụng công nghệ điện toán đám mây:
- Cơ sở điện toán đám mây: Phân tích cơ chế cung cấp tài nguyên động, tiết kiệm chi phí phần cứng và các mô hình dịch vụ (IaaS, PaaS, SaaS) cùng 4 mô hình triển khai (Public, Private, Community, Hybrid Cloud). Tác giả nêu bật 6 bài toán an ninh khi vận hành đám mây gồm: đánh giá rủi ro triển khai, sự tương thích của chính sách bảo mật nội bộ, khả năng đáp ứng yêu cầu ủy thác, việc tuân thủ các chuẩn công nghệ (SAML, WSTrust, ISO), kế hoạch ứng cứu sự cố rò rỉ dữ liệu và trách nhiệm pháp lý giữa nhà cung cấp với người dùng.
- Cấu trúc bộ công cụ ClamAV: Là phần mềm mã nguồn mở chuẩn GPL dành cho hệ điều hành Unix và hỗ trợ đa nền tảng (GNU/Linux, Solaris, FreeBSD, OpenBSD, Mac OS X và Windows). Hệ thống hỗ trợ xử lý nhiều định dạng nén và lưu trữ (Zip, RAR, Tar, Gzip, Bzip2, OLE2, Cabinet, CHM, BinHex, SIS), tệp thực thi ELF, tệp nén Portable Executable (PE), tài liệu văn phòng và mã HTML. Phiên bản ClamAV 0.96 bổ sung khả năng phát hiện mã độc giả mạo tiêu đề PE, kiểm tra tệp 7zip, InstallShield, CPIO và tệp 64-bit ELF, Mach-O.
| Thành phần ClamAV |
Dạng thức hoạt động |
Chức năng kỹ thuật chi tiết |
| libclamav |
Thư viện chia sẻ |
Thư viện liên kết chứa cơ sở dữ liệu mẫu virus và engine quét lõi. |
| clamd |
Tiến trình nền (Daemon) |
Quét đa luồng, lắng nghe qua Unix socket hoặc TCP socket; nhận các lệnh: PING, VERSION, RELOAD, SCAN, RAWSCAN, CONTSCAN, MULTISCAN, INSTREAM, FILDES, STATS. |
| clamdscan |
Giao diện dòng lệnh (Client) |
Gửi yêu cầu quét tới clamd, tái sử dụng dữ liệu nạp sẵn để tăng tốc độ. |
| clamscan |
Giao diện dòng lệnh (Độc lập) |
Nạp lại cơ sở dữ liệu mẫu virus mỗi lần khởi chạy; dùng khi clamd dừng. |
| freshclam |
Daemon / Dòng lệnh tương tác |
Tự động cập nhật cơ sở dữ liệu mẫu nhận diện thông qua truy vấn DNS và chỉ thị Datamirrors (database.<mã-quốc-gia>.net). |
| sigtool |
Giao diện dòng lệnh |
Công cụ hỗ trợ tạo lập, trích xuất và chỉnh sửa mẫu nhận diện virus. |
| clamav-milter |
Trình cắm (Plugin) |
Tích hợp vào hệ thống máy chủ thư điện tử Sendmail và Postfix để lọc mail. |
| clamuko |
Module trong clamd |
Hỗ trợ quét virus thời gian thực tại thời điểm truy cập (on-access scanning) trên Linux và FreeBSD. |
| clamconf |
Giao diện dòng lệnh |
Hiển thị và kiểm tra tệp cấu hình phục vụ việc dò lỗi hệ thống. |
- Ứng dụng công nghệ đám mây trong ClamAV: Được phát triển bởi Immunet Corp và Sourcefire Inc. Giao diện chương trình phân chia thành ba nhóm chức năng: Community (thông tin mạng lưới người dùng), Computer (hoạt động quét và nhật ký) và Product (tùy chọn hệ thống). Hệ thống tích hợp song song máy quét ClamAV nội bộ cùng 3 engine đám mây: ETHOS, SPERO và TETRA (trong đó TETRA tích hợp trong phiên bản PLUS hỗ trợ quét ngoại tuyến, quét sâu Deep scan và quét email). Dữ liệu mẫu nhận diện trên đám mây quản lý trên 19 triệu mẫu virus và phần mềm độc hại.
Chương 3: Tìm hiểu về HTTP Anti Virus Proxy và Squid Proxy Server
Nội dung chương này nghiên cứu việc phối hợp hai phần mềm nguồn mở để xây dựng cổng bảo mật mạng HTTP:
- HTTP Anti Virus Proxy (HAVP): Là máy chủ proxy chuyên dụng có khả năng quét virus luồng dữ liệu HTTP theo thời gian thực. HAVP chặn các tệp tải về từ Internet, phân tích dữ liệu tạm và chuyển qua engine diệt virus (như ClamAV) trước khi chuyển tiếp dữ liệu an toàn về trình duyệt của người dùng.
- Mô hình phối hợp với Squid Proxy Server: Squid đóng vai trò làm máy chủ đệm dữ liệu (caching proxy) và kiểm soát truy cập thông qua danh sách điều khiển truy cập (ACL) và xác thực người dùng. HAVP có thể thiết lập ở chế độ chuẩn (Standard Mode) hoặc chạy độc lập kết hợp xác thực của Squid (Authentication Mode).
- Cấu hình trên thiết bị tường lửa Firegate: Hệ thống quản lý thông qua giao diện Web của Firegate, bao gồm các bảng điều khiển: tab HTTP Proxy (thiết lập cổng dịch vụ và thông số chuyển tiếp), tab Files Scanner (lựa chọn engine quét mã độc tích hợp như ClamAV) và tab Settings (giới hạn dung lượng tệp quét, xử lý tệp tạm).
Thiết kế và triển khai giải pháp kỹ thuật
Dựa trên nguyên lý kỹ thuật được trình bày trong tài liệu, giải pháp ngăn chặn virus trên luồng mạng HTTP được triển khai theo kiến trúc tích hợp nhiều thành phần trên tường lửa Firegate:
- Kiến trúc luồng xử lý dữ liệu: Trạm làm việc của người dùng gửi yêu cầu truy cập web qua giao thức HTTP. Yêu cầu được định tuyến qua cổng dịch vụ của HAVP. HAVP đóng vai trò là trạm kiểm soát trung gian, nhận luồng dữ liệu phản hồi từ máy chủ web Internet. Trong quá trình truyền nhận, HAVP gọi tiến trình quét mã độc của ClamAV thông qua lệnh
INSTREAM hoặc qua socket chia sẻ với clamd nhằm tránh tiêu hao tài nguyên thiết lập kết nối TCP mới.
- Tích hợp bộ nhớ đệm và xác thực người dùng: Để tối ưu tốc độ đường truyền và quản lý định danh người truy cập, hệ thống kết hợp HAVP với máy chủ Squid Proxy. Luồng dữ liệu sau khi được HAVP xác nhận an toàn sẽ đi qua Squid để lưu đệm (cache) vào hệ thống tệp lưu trữ của Unix. Khi người dùng thiết lập truy cập, Squid kiểm tra dải mạng cấp phép và phương thức xác thực người dùng (Squid Authentication) trước khi cấp quyền tải nội dung.
- Thiết lập tham số trên giao diện Firegate:
- Giao diện quản lý gói (Package Management): Thực hiện cài đặt các module phần mềm HAVP và Squid trực tiếp lên nhân hệ thống của Firegate.
- Cấu hình HAVP Standard Mode: Khai báo địa chỉ lắng nghe, cổng dịch vụ HTTP Proxy, cấu hình tham số Files Scanner kết nối tới thư viện
libclamav hoặc daemon clamd.
- Cấu hình cơ chế xác thực: Xác định dải mạng nội bộ (LAN subnet) được phép chuyển tiếp dữ liệu qua proxy và kích hoạt cơ chế yêu cầu tài khoản/mật khẩu tại giao diện quản trị xác thực của Squid.
Kết quả và đóng góp
Đồ án ghi nhận các kết quả cụ thể dựa trên nội dung báo cáo:
- Hệ thống hóa dữ liệu lịch sử và kỹ thuật mã độc: Phân loại chi tiết các biến thể mã độc từ sơ khai đến hiện đại, ghi nhận số liệu về các vụ lây nhiễm lớn (như Jerusalem với tốc độ 500.000 bản sao/giờ, Melissa lây qua 250.000 máy tính, Love Letter gây hại cho 55 triệu máy tính và thiệt hại 8,7 tỷ USD).
- Phân tích toàn diện mô hình an ninh đa tầng Trend Micro: Đánh giá chi tiết phương thức quét 32-bit, quy trình so khớp mẫu virus kết hợp giám sát hành vi trên các dòng sản phẩm IMSS, IWSS, ScanMail for Exchange, ServerProtect, OfficeScan và hệ thống chỉ đạo tập trung TMCM với chính sách OPP.
- Làm rõ cơ chế diệt virus trên nền tảng điện toán đám mây: Phân tích quy trình lấy mẫu tự động từ cộng đồng của ClamAV Cloud Agent chuyển về máy chủ phân tích của Sourcefire/Immunet, giải thích chức năng của các engine chuyên biệt (ETHOS, SPERO, TETRA) với khả năng nhận diện trên 19 triệu mẫu độc hại.
- Xây dựng phương án kết hợp HAVP - Squid trên Firegate: Đưa ra cấu hình cụ thể cho việc kết hợp proxy quét virus thời gian thực HAVP với proxy đệm dữ liệu Squid, đáp ứng đồng thời yêu cầu lọc mã độc trên luồng HTTP và quản lý xác thực người dùng trong mạng nội bộ.
Hạn chế và hướng nghiên cứu tiếp
Theo nội dung khảo sát trong văn bản, đề tài còn tồn tại một số điểm giới hạn:
- Hạn chế: Đồ án tập trung phần lớn vào công tác nghiên cứu tài liệu kỹ thuật, kiến trúc mô hình và các bước thiết lập cấu hình. Các chỉ số thực nghiệm đo lường độ trễ mạng phát sinh khi quét tệp tin dung lượng lớn qua HAVP chưa được đo đạc định lượng thành bảng biểu chi tiết. Bên cạnh đó, phiên bản ClamAV for Windows và ClamAV Cloud tại thời điểm đồ án thực hiện (2011) vẫn đang trong giai đoạn thử nghiệm (beta).
- Hướng mở rộng: Tiếp tục tiến hành thử nghiệm đo lường hiệu năng của cụm giải pháp HAVP - Squid - ClamAV dưới áp lực tải cao trong môi trường mạng doanh nghiệp thực tế; kiểm tra khả năng tương thích của các engine quét ngoại tuyến TETRA và đánh giá độ chính xác khi phân tích các biến thể mã độc giả mạo tiêu đề PE trên hệ điều hành Windows thế hệ mới.
Giá trị tham khảo
Nội dung đồ án mang lại giá trị tham khảo hữu ích cho các đối tượng cụ thể:
- Đối tượng sử dụng: Sinh viên các chuyên ngành Tin học, An toàn thông tin, Kỹ thuật mạng máy tính; các quản trị viên hệ thống mạng tại các cơ quan, doanh nghiệp đang tìm kiếm giải pháp cổng bảo mật nguồn mở chi phí thấp.
- Hạng mục giá trị:
- Chương 2 cung cấp tài liệu chi tiết về tập lệnh điều khiển nội bộ của tiến trình
clamd (như PING, RELOAD, SCAN, INSTREAM, FILDES) và cấu trúc phân tầng dịch vụ điện toán đám mây theo các tiêu chuẩn kỹ thuật (SAML, WSTrust, ISO).
- Chương 3 cung cấp quy trình từng bước về cách thiết lập mô hình tích hợp giữa proxy lọc virus HTTP (HAVP) và proxy kiểm soát xác thực (Squid) trên thiết bị tường lửa Firegate, áp dụng trực tiếp cho các bài thực hành thiết kế cổng an ninh mạng nội bộ.
Câu hỏi thường gặp
1. Sâu Internet (Worm) lây lan diện rộng qua môi trường mạng bằng cách thức kỹ thuật nào?
Theo Chương 1 của đồ án, sâu Internet phát tán tự động bằng cách tìm kiếm toàn bộ danh chỉ mục trong sổ địa chỉ (Address book) của máy tính bị nhiễm (bao gồm địa chỉ của bạn bè, người thân, đối tác). Sau đó, sâu tự động gửi thư điện tử chứa bản thân nó tới toàn bộ các địa chỉ thu thập được với địa chỉ người gửi chính là chủ sở hữu máy tính, khiến việc lây nhiễm tăng theo cấp số nhân mà người dùng không hề hay biết.
2. Thành phần ServerProtect của Trend Micro quản lý máy chủ tệp tin thông qua những giao thức nào?
Trong cơ chế quản trị 3 thành phần của ServerProtect, máy chủ quản lý trung tâm Information Server sử dụng giao thức gọi thủ tục từ xa (Remote Procedure Call - RPC) để kết nối tới các máy chủ chạy hệ điều hành Windows NT, và sử dụng giao thức Sequenced Packet Exchange (SPX) để kết nối tới các máy chủ Novell NetWare. Công cụ quản trị Management Console kết nối tới Information Server qua giao thức TCP/IP.
3. Tiến trình nền clamd trong ClamAV xử lý việc quét dữ liệu luồng mà không cần mở kết nối TCP mới bằng lệnh nào?
Tiến trình clamd cung cấp lệnh INSTREAM để quét một luồng dữ liệu truyền vào cổng dịch vụ. Dữ liệu luồng được đóng gói sau lệnh theo cấu trúc khối <length><data>, giúp hệ thống kiểm tra trực tiếp luồng gói tin mà không phải tạo thêm các kết nối TCP mới và tránh được các xung đột liên quan đến cơ chế biên dịch địa chỉ mạng (NAT).
4. Kiến trúc ClamAV trên nền tảng đám mây của Sourcefire và Immunet tích hợp những bộ máy quét (scan engine) nào?
Hệ thống tích hợp máy quét truyền thống của ClamAV kết hợp với 3 bộ máy quét trên nền tảng đám mây gồm ETHOS, SPERO và TETRA. Trong đó, TETRA là engine xuất hiện trong phiên bản PLUS cho phép người dùng duy trì khả năng nhận diện, quét virus, phần mềm độc hại và rootkit ngoại tuyến ngay cả khi máy trạm không có kết nối Internet.
5. Lợi ích kỹ thuật của việc kết hợp HAVP với Squid Proxy Server trên Firegate là gì?
Sự kết hợp này cho phép phân tách nhiệm vụ chuyên biệt: HAVP đóng vai trò máy chủ ủy quyền quét mã độc luồng HTTP theo thời gian thực trước khi dữ liệu đến máy trạm, trong khi Squid đảm nhiệm chức năng lưu đệm dữ liệu (web caching) để tối ưu băng thông đường truyền và thiết lập chính sách kiểm soát, xác thực người dùng truy cập mạng nội bộ.
Kết luận
Đồ án tốt nghiệp "Tìm hiểu công nghệ phòng chống Virus trên mạng HTTP – Anti Virus" của sinh viên Trần Văn Duy đã khái quát hệ thống lịch sử và các hình thức phát tán của virus máy tính qua các giai đoạn phát triển của ngành công nghệ thông tin. Nghiên cứu đã phân tích sâu kiến trúc an ninh đa tầng của Trend Micro cùng giải pháp diệt virus mã nguồn mở ClamAV ứng dụng công nghệ điện toán đám mây. Đồng thời, đề tài đã làm rõ mô hình kỹ thuật kết hợp giữa HTTP Anti Virus Proxy (HAVP) và Squid Proxy Server trên nền tảng tường lửa Firegate, cung cấp cơ sở lý thuyết và phương án cấu hình thiết thực cho công tác bảo vệ cổng mạng trước các nguy cơ mã độc.
