Hệ thống giám sát an ninh và lưu lượng mạng mã nguồn mở - ĐH SPKT TPHCM

Nghiên cứu xây dựng hệ thống giám sát mạng máy tính bằng phần mềm nguồn mở. Phân tích giải pháp theo dõi lưu lượng và cảnh báo sự cố hiệu quả.

• Tác giả: Huỳnh Nguyên Chính
• Trường học: Trường Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Xây dựng hệ thống giám sát hoạt động của mạng máy tính dựa vào phần mềm nguồn mở
• Loại tài liệu: Đề tài nghiên cứu khoa học
• Năm xuất bản: 2013
• Địa điểm: Thành phố Hồ Chí Minh

Tóm tắt

I. Tổng quan về hệ thống giám sát mạng máy tính từ phần mềm nguồn mở

Hệ thống giám sát hoạt động mạng máy tính dựa vào phần mềm nguồn mở là giải pháp hiệu quả nhằm nâng cao khả năng quan sát, phân tích và bảo vệ hạ tầng CNTT trước các mối đe dọa an ninh. Phần mềm nguồn mở cung cấp các công cụ linh hoạt, chi phí thấp và khả năng tùy chỉnh cao, phù hợp với nhu cầu giám sát mạng trong doanh nghiệp vừa và nhỏ. Hệ thống này tích hợp đa dạng chức năng như phát hiện xâm nhập, giám sát lưu lượng, theo dõi thiết bị và cảnh báo sự cố, giúp quản trị viên nắm bắt tình trạng mạng tức thời. Điểm mạnh của giải pháp là khả năng mở rộng linh hoạt, cộng đồng hỗ trợ đông đảo và tuân thủ các tiêu chuẩn bảo mật quốc tế.

1.1. Tầm quan trọng của giám sát mạng trong doanh nghiệp

Giám sát mạng là yếu tố quyết định trong việc duy trì hoạt động ổn định của hệ thống CNTT. Nó cho phép phát hiện sớm các sự cố phần cứng, phần mềm hoặc mạng, từ đó giảm thiểu thời gian ngừng hoạt động. Ngoài ra, hệ thống giám sát cung cấp dữ liệu phân tích lưu lượng, giúp tối ưu hiệu suất mạng và ngăn chặn các cuộc tấn công mạng. Đặc biệt, trong môi trường doanh nghiệp hiện đại với nhiều thiết bị kết nối, giám sát liên tục trở thành nhu cầu bắt buộc để đảm bảo an toàn thông tin và tuân thủ các quy định bảo mật.

1.2. Lợi thế của phần mềm nguồn mở trong giám sát mạng

Phần mềm nguồn mở mang lại nhiều lợi thế vượt trội so với giải pháp thương mại nhờ chi phí thấp, khả năng tùy chỉnh và cộng đồng phát triển mạnh mẽ. Người dùng có thể truy cập mã nguồn để điều chỉnh theo yêu cầu cụ thể, tránh phụ thuộc vào nhà cung cấp. Hơn nữa, các giải pháp nguồn mở thường xuyên được cập nhật bởi cộng đồng toàn cầu, đảm bảo khả năng tương thích với công nghệ mới. Nhiều công cụ nổi tiếng như Nagios, Cacti hay Snort đã được chứng minh hiệu quả trong thực tế, hỗ trợ đa dạng nền tảng và giao thức mạng.

II. Phân tích các thách thức trong giám sát mạng máy tính

Giám sát mạng máy tính đối mặt với nhiều thách thức phức tạp, bao gồm sự gia tăng của các cuộc tấn công mạng, đa dạng hóa thiết bị kết nối và nhu cầu xử lý dữ liệu lớn. Các mối đe dọa như tấn công từ chối dịch vụ (DoS/DDoS), phần mềm độc hại hay xâm nhập trái phép ngày càng tinh vi, đòi hỏi hệ thống giám sát phải liên tục cập nhật. Bên cạnh đó, sự phát triển của Internet of Things (IoT) và điện toán đám mây làm gia tăng đáng kể số lượng điểm yếu tiềm ẩn. Việc thiếu nhân lực chuyên môn và chi phí triển khai hệ thống giám sát chuyên nghiệp cũng là rào cản lớn đối với nhiều tổ chức.

2.1. Đa dạng hóa các mối đe dọa an ninh mạng

Các cuộc tấn công mạng ngày càng trở nên đa dạng và tinh vi hơn bao giờ hết. Từ tấn công đơn giản như quét cổng (port scanning) đến các cuộc tấn công có chủ đích (APT) sử dụng kỹ thuật xã hội, kẻ tấn công liên tục tìm kiếm những lỗ hổng mới. Đặc biệt, tấn công từ chối dịch vụ (DoS/DDoS) gây ra thiệt hại nặng nề về kinh tế bằng cách làm quá tải hệ thống. Các phần mềm độc hại như ransomware cũng trở thành mối nguy hiểm lớn, đe dọa đến tính toàn vẹn dữ liệu. Hệ thống giám sát cần phải nhận diện được các hình thức tấn công này thông qua phân tích hành vi bất thường.

2.2. Khó khăn trong quản lý dữ liệu và tài nguyên

Khối lượng dữ liệu mạng ngày càng lớn do sự gia tăng của lưu lượng truyền tải, thiết bị IoT và ứng dụng đám mây. Việc lưu trữ, xử lý và phân tích dữ liệu giám sát đòi hỏi tài nguyên tính toán đáng kể, gây áp lực lên hạ tầng CNTT. Ngoài ra, sự đa dạng về giao thức mạng (TCP/IP, SNMP, NetFlow) và thiết bị (router, switch, server) làm phức tạp hóa quá trình thu thập dữ liệu. Nhân lực quản trị mạng cũng phải đối mặt với thách thức trong việc đào tạo và cập nhật kiến thức liên tục để vận hành hệ thống hiệu quả.

III. Giải pháp giám sát mạng dựa trên phần mềm nguồn mở

Giải pháp giám sát mạng từ phần mềm nguồn mở cung cấp nền tảng linh hoạt để phát hiện, phân tích và ứng phó với các sự cố mạng. Hệ thống tích hợp đa dạng công cụ như IDS/IPS (Snort, Suricata), giám sát hiệu suất (Nagios, Zabbix) và phân tích lưu lượng (Cacti, Wireshark). Mô hình triển khai theo lớp cho phép phân quyền truy cập, tối ưu hiệu suất giám sát. Giải pháp này hỗ trợ đa nền tảng, tương thích với hầu hết thiết bị mạng hiện có. Điểm nổi bật là khả năng tùy chỉnh cao, phù hợp với nhu cầu đặc thù của từng tổ chức.

3.1. Kiến trúc hệ thống giám sát đa tầng

Hệ thống giám sát mạng từ phần mềm nguồn mở được xây dựng theo kiến trúc đa tầng nhằm đảm bảo hiệu suất và khả năng mở rộng. Lớp thu thập dữ liệu sử dụng giao thức SNMP, NetFlow hoặc API chuyên dụng để thu thập thông tin từ thiết bị mạng. Lớp xử lý trung tâm (IDS/IPS) phân tích dữ liệu, phát hiện các mối đe dọa thông qua tập luật tùy chỉnh. Lớp trình bày cung cấp giao diện trực quan (dashboard) hiển thị tình trạng mạng theo thời gian thực. Kiến trúc này cho phép triển khai linh hoạt từ quy mô nhỏ đến doanh nghiệp lớn.

3.2. Tích hợp công cụ giám sát chuyên dụng

Các công cụ giám sát nguồn mở như Nagios (giám sát thiết bị), Cacti (phân tích lưu lượng) và Snort (phát hiện xâm nhập) có thể tích hợp thành hệ thống thống nhất. Nagios theo dõi trạng thái hoạt động của máy chủ, dịch vụ và thiết bị mạng thông qua các plugin đa dạng. Cacti thu thập dữ liệu lưu lượng mạng, hiển thị dưới dạng biểu đồ phân tích xu hướng. Snort cung cấp khả năng phát hiện xâm nhập theo thời gian thực thông qua phân tích gói tin. Việc kết hợp các công cụ này tạo nên giải pháp giám sát toàn diện, đáp ứng đa dạng nhu cầu quản trị mạng.

IV. Kết luận và ứng dụng thực tiễn hệ thống giám sát

Hệ thống giám sát mạng dựa trên phần mềm nguồn mở là giải pháp tối ưu cho doanh nghiệp trong bối cảnh an ninh mạng ngày càng phức tạp. Nó cung cấp khả năng quan sát toàn diện, phát hiện sớm các mối đe dọa và tối ưu hiệu suất mạng với chi phí hợp lý. Các ứng dụng thực tiễn bao gồm giám sát hạ tầng CNTT doanh nghiệp, bảo vệ dữ liệu quan trọng và tuân thủ các tiêu chuẩn an toàn thông tin. Hơn nữa, giải pháp này hỗ trợ đào tạo nhân lực quản trị mạng thông qua cộng đồng nguồn mở. Với khả năng mở rộng linh hoạt, hệ thống có thể phát triển theo nhu cầu thực tế của tổ chức.

4.1. Hiệu quả triển khai trong doanh nghiệp

Triển khai hệ thống giám sát mạng từ phần mềm nguồn mở mang lại hiệu quả rõ rệt trong việc nâng cao an ninh mạng. Doanh nghiệp có thể giảm thiểu rủi ro tấn công, giảm thời gian ngừng hoạt động do sự cố kỹ thuật và tối ưu chi phí vận hành. Hệ thống cung cấp báo cáo chi tiết về tình trạng mạng, hỗ trợ quá trình ra quyết định nhanh chóng. Đặc biệt, khả năng tùy chỉnh cao cho phép điều chỉnh theo quy trình quản trị riêng của từng tổ chức. Nhiều doanh nghiệp vừa và nhỏ đã chứng minh tính khả thi khi triển khai giải pháp này.

4.2. Hướng phát triển tương lai của hệ thống

Hướng phát triển tương lai tập trung vào tích hợp trí tuệ nhân tạo (AI) và học máy (ML) nhằm nâng cao khả năng phát hiện mối đe dọa. Hệ thống có thể sử dụng thuật toán phân tích hành vi bất thường (anomaly detection) để phát hiện các cuộc tấn công mới. Ngoài ra, việc triển khai giám sát trên nền tảng điện toán biên (edge computing) sẽ cải thiện hiệu suất xử lý dữ liệu mạng. Cộng đồng nguồn mở cũng đang nghiên cứu tích hợp blockchain để tăng cường tính minh bạch trong quản lý sự kiện an ninh. Những tiến bộ này hứa hẹn sẽ mang lại giải pháp giám sát mạng thế hệ mới.

Trích đoạn nội dung tài liệu

Chương 1. Tổng Quan -8-  Bước 4: Duy trì xâm nhập: một khi kẻ tấn công đã xâm nhập được vào hệ thống, bước tiếp theo là làm sao để duy trì các xâm nhập này nhằm khai thác và xâm nhập tiếp trong tương lai. Một vài kỹ thuật như backboors, trojans… được sử dụng. Một khi kẻ tấn công đã làm chủ hệ thống, chúng có thể gây ra những nguy hại cho hệ thống như đánh cắp dữ liệu hoặc phá hoại hệ thống.

Ngoài ra, họ có thể sử dụng hệ thống để tấn công vào các hệ thống khác như loại tấn công DDoS.  Bước 5: Che đậy, xóa dấu vết. Một khi kẻ tấn công đã xâm nhập và cố gắng duy trì xâm nhập. Bước tiếp theo là làm sao để xóa hết dấu vết để không còn chứng cứ pháp lí xâm nhập.

Kẻ tấn công phải xóa các tập tin log, xóa các cảnh báo từ hệ thống phát hiện xâm nhập. Ở bước “Dò tìm” và “Xâm nhập” kẻ tấn công thường làm lưu lượng kết nối mạng thay đổi khác bình thường rất nhiều. Đồng thời tài nguyên của hệ thống máy chủ bị ảnh hưởng đáng kể. Những dấu dấu hiệu này rất có ích cho người quản trị mạng có thể phân tích và đánh giá tình hình hoạt động của hệ thống mạng.

Hầu hết các cuộc tấn công đều tiến hành tuần tự 5 bước trên. Làm sao để nhận biết hệ thống mạng đang bị tấn công, xâm nhập ngay từ hai bước đầu tiên là hết sức quan trọng. Ở tại bước thứ 3 là “Xâm nhập”, bước này không dễ dàng đối với kẻ tấn công. Do vậy, khi không thể xâm nhập được vào hệ thống, để phá hoại có nhiều khả năng kẻ tấn công sẽ sử dụng tấn công từ chối dịch vụ để ngăn cản không cho người dùng hợp lệ truy xuất tài nguyên hệ thống.5 Các giải pháp phát hiện và phòng chống tấn công mạng Phát hiện xâm nhập là một tập hợp các kỹ thuật và phương pháp dùng để dò tìm những hoạt động đáng nghi ngờ trên mạng.

Một hệ thống phát hiện xâm nhập được định nghĩa là một tập hợp các công cụ, phương thức, và tài nguyên giúp người quản trị xác định, đánh giá, và báo cáo hoạt động không được phép trên mạng. Tổng Quan -9- Phát hiện xâm nhập được xem là một tiến trình được quyết định khi một người không có quyền đang cố gắng để xâm nhập hệ thống mạng trái phép. Hệ thống phát hiện xâm nhập sẽ kiểm tra tất cả các gói tin đi qua hệ thống và quyết định gói tin đó có vấn đề khả nghi hay không. Hệ thống phát hiện xâm nhập đuợc trang bị hàng triệu tình huống để nhận dạng tấn công và đuợc cập nhật thường xuyên.

Chúng thực sự quan trọng và là lựa chọn hàng đầu để phòng thủ trong việc phát hiện và phòng chống xâm nhập mạng. Việc nghiên cứu xây dựng hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) đang được phát triển mạnh và còn phát triển mạnh mẽ trong thời gian tới. Các sản phẩm thương mại trên thị trường có chi phí rất lớn, vượt quá khả năng đầu tư của nhiều doanh nghiệp. Bên cạnh đó, các nghiên cứu về mã nguồn mở cũng đã được đầu tư nghiên cứu và triển khai.

Có nhiều đề tài trong nước nghiên cứu liên quan đến IDS/IPS bằng mã nguồn mở chủ yếu tập trung vào Snort. Nhưng nhìn chung chưa được áp dụng rộng rãi, còn tồn tại nhiều hạn chế như: do chương trình mã nguồn mở nên hầu hết không có giao diện thân thiện; thành phần báo động không được tích hợp sẵn, hoặc nếu có cũng chỉ qua giao diện console, hoặc qua giao diện Web chưa tạo được sự linh động và tiện dụng cho người quản trị mạng; phần mềm mang tính đơn lẻ (chỉ tập trung nghiên cứu về Snort) trong khi nhu cầu tích hợp nhiều tính năng giám sát khác để nâng cao hiệu quả sử dụng chưa được chú trọng và phát triển. Hơn nữa, các dấu hiệu của các kiểu tấn công ngày một tinh vi phức tạp đòi hỏi hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) phải được thường xuyên cập nhật những dấu hiệu mới. Người quản trị mạng còn có thể dựa vào những phân tích khác như những dấu hiệu bất thường về lưu lượng ra vào hệ thống, hoạt động của CPU, RAM.

để có những phản ứng kịp thời. Bên cạnh đó, hệ thống báo động cũng cần triển khai mang tính chất đa dạng nhiều hình thức, linh động, tiện dụng thực sự hỗ trợ thiết thực cho người quản trị mạng. Tổng Quan -10-  Xây dựng hệ thống phát hiện và phòng chống xâm nhập Phát triển hệ thống giám sát trực quan theo dõi các diễn biến trên mạng như lưu lượng ra/vào một Server, Switch, … hay hoạt động của CPU, bộ nhớ, … giúp người quản trị mạng có những phân tích để đưa ra ứng phó kịp thời. Hệ thống phát hiện xâm nhập dựa vào những mẫu dấu hiệu tấn công triển khai để giúp phát hiện nhanh các cuộc tấn công mạng.

Hệ thống phát hiện này kết hợp với tường lửa sẽ chống lại các cuộc tấn công xâm nhập. Tuy nhiên, các dấu hiệu của các kiểu tấn công ngày một tinh vi phức tạp thì hệ thống phát hiện phải được thường xuyên cập nhật những dấu hiệu mới. Để có thể phát hiện nhanh chóng các bất thường trên mạng, người quản trị mạng còn có thể dựa vào những đồ thị trực quan về lưu lượng ra vào hệ thống để có những phản ứng kịp thời. Hệ thống báo động cũng cần triển khai để thông báo cho người quản trị trong một số trường hợp: Server ngưng hoạt động, một dịch vụ mạng ngưng hoạt động hay có tấn công mạng.

Hệ thống báo động có thể được triển khai qua nhiều hình thức để phát báo động như: bằng âm thanh (audio), qua E-mail hay qua tin nhắn SMS đến người quản trị mạng. Tổng Quan -11- Chương 2. HỆ THỐNG PHÁT HIỆN & PHÒNG CHỐNG XÂM NHẬP MẠNG 2.1 Vai trò của hệ thống phát hiện và phòng chống xâm nhập mạng 2.1 Lịch sử phát triển Các nghiên cứu về hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) được nghiên cứu chính thức từ năm 1983. Đến năm 1996 một số hệ thống IDS mới chỉ xuất hiện trong các phòng thí nghiệm và viện nghiên cứu.

Tuy nhiên trong thời gian này, một số công nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin. Năm 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của công ty ISS. Hiện tại, các thống kê cho thấy IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển mạnh.2 Vai trò của hệ thống phát hiện và phòng chống xâm nhập mạng Hệ thống phát hiện xâm nhập dùng để lắng nghe, dò tìm các gói tin qua hệ thống mạng để phát hiện những dấu hiệu bất thường trong mạng. Thông thường những dấu hiệu bất thường là những dấu hiệu của những cuộc tấn công xâm nhập mạng.

IDS sẽ phát những tín hiệu cảnh báo tới người quản trị mạng. Hệ thống phòng chống xâm nhập (Intrusion Prevention System – IPS) là một phần mềm hoặc một thiết bị chuyên dụng có khả năng phát hiện xâm nhập và có thể ngăn chặn các nguy cơ mạng bị tấn công. IDS và IPS có rất nhiều điểm chung, do đó hệ thống IDS và IPS có thể được gọi chung là hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS). Hệ thống phát hiện & phòng chống xâm nhập -12- Hệ thống IPS là một kỹ thuật an ninh mạng, kết hợp các ưu điểm của kỹ thuật tường lửa (firewall) với hệ thống phát hiện xâm nhập, có khả năng phát hiện sự xâm nhập, các cuộc tấn công và tự động ngăn chặn các cuộc tấn công đó.

Hệ thống IDS/IPS thường được đặt ở phần biên mạng để bảo vệ tất cả các thiết bị trong mạng 2.2 Đặc điểm của hệ thống IDS/IPS 2.1 Kiến trúc của hệ thống phát hiện xâm nhập Hình 2.1 Hệ thống phát hiện xâm nhập [3] Kiến trúc của hệ thống IDS bao gồm các thành phần chính:  Thành phần thu thập thông tin (information collection)  Thành phần phân tích gói tin (Dectection)  Thành phần phản hồi (response) Trong ba thành phần này thì thành phần phân tích gói tin là quan trọng nhất và trở thành bộ cảm biến đóng vai trò ra quyết định. Bộ cảm biến được tích hợp với thành phần thu thập dữ liệu. Cách thu thập này được xác định bởi chính sách tạo sự kiện để định nghĩa chế độ lọc thông tin sự kiện. Bộ tạo sự kiện cung cấp một số chính sách thích hợp cho các sự kiện, có thể là một bản ghi các sự kiện của hệ thống.

Số chính Chương 2. Hệ thống phát hiện & phòng chống xâm nhập -13- sách này cùng với thông tin chính sách có thể được lưu trong hệ thống được bảo vệ hoặc bên ngoài.2 Kiến trúc của hệ thống IDS [3] Vai trò của bộ cảm biến là dùng để lọc thông tin và loại bỏ dữ liệu không tương thích thu được từ các sự kiện liên quan với hệ thống bảo vệ, vì vậy có thể phát hiện được các hành động nghi ngờ. Bộ phân tích sử dụng cơ sở dữ liệu chính sách phát hiện cho mục này. Ngoài ra còn có các thành phần: dấu hiệu tấn công, profile hành vi thông thường, các tham số cần thiết như các ngưỡng (threshold),.

Thêm vào đó, cơ sở dữ liệu giữ các tham số cấu hình gồm có các chế độ truyền thông với module đáp trả. Bộ cảm biến cũng có cơ sở dữ liệu của riêng nó gồm dữ liệu lưu về các dấu hiệu xâm nhập phức tạp tiềm ẩn được tạo ra từ nhiều hành động khác nhau. IDS có thể được lắp đặt tập trung (như được tích hợp vào trong tường lửa) hoặc phân tán. Một IDS phân tán gồm nhiều IDS khác nhau trên một mạng lớn, tất cả chúng có thể truyền thông với nhau, gọi là hệ thống IDS đa tác nhân.

Giải pháp kiến trúc đa tác nhân được đưa ra năm 1994. Giải pháp này sử dụng các tác nhân để kiểm tra một khía cạnh nào đó về các hành vi hệ thống ở một thời điểm nào Chương 2. Hệ thống phát hiện & phòng chống xâm nhập -14- đó. Ví dụ như một tác nhân có thể cho biết một số thông tin không bình thường của các phiên Telnet bên trong hệ thống nó kiểm tra – giám sát.

Tác nhân có khả năng đưa ra một cảnh báo khi phát hiện một sự kiện khả nghi. Các tác nhân có thể được thay đổi bên trong các hệ thống khác nhau.