Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ hạ tầng viễn thông, mạng máy tính đóng vai trò huyết mạch trong việc vận hành, truyền tải và xử lý dữ liệu của mọi tổ chức, doanh nghiệp. Theo thống kê từ Trung tâm Ứng cứu khẩn cấp máy tính (CERT) và các tổ chức an ninh mạng quốc tế, số lượng các cuộc tấn công mạng nhằm vào hạ tầng doanh nghiệp tăng trưởng hơn 35% mỗi năm với độ tinh vi và quy mô ngày càng phức tạp. Các hình thức tấn công nguy hiểm như Tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service), khai thác lỗ hổng Zero-Day, tấn công trung gian (MitM - Man-in-the-Middle), và mã độc tống tiền (Ransomware) đe dọa trực tiếp đến mô hình bộ ba an ninh thông tin CIA (Confidentiality - Tính bí mật, Integrity - Tính toàn vẹn, Availability - Tính sẵn sàng).

Đối với các nhà cung cấp dịch vụ hạ tầng mạng và viễn thông như Công ty Cổ phần Hạ tầng Viễn thông CMC (CMC Telecom), hệ thống mạng doanh nghiệp phải đối mặt với hàng triệu phiên kết nối mỗi ngày. Việc chỉ phụ thuộc vào các thiết bị lọc tĩnh như Tường lửa truyền thống (Firewall) hay Access Control Lists (ACL) trên Router là hoàn toàn không đủ. Tường lửa truyền thống chỉ kiểm soát lưu lượng tại tầng mạng/giao vận (Layer 3/Layer 4) dựa trên địa chỉ IP và Port, không thể phát hiện các hành vi tấn công tinh vi lẩn khuất bên trong nội dung gói tin hợp lệ (Layer 7 payload inspection) hoặc các cuộc tấn công phát sinh từ chính nội bộ hệ thống.

Đồ án tốt nghiệp "Tìm hiểu về mạng máy tính và giải pháp bảo mật thông tin cho mạng máy tính của Công ty CMC" được thực hiện bởi sinh viên Nguyễn Hữu Mạnh dưới sự hướng dẫn khoa học của TS. Hồ Văn Canh (Cục Kỹ thuật Nghiệp vụ - CBA / Học viện Kỹ thuật Mật mã). Đề tài tập trung giải quyết bài toán giám sát an toàn thông tin chuyên sâu thông qua nghiên cứu và triển khai Hệ thống Phát hiện Xâm nhập dựa trên mạng (NIDS - Network-based Intrusion Detection System) ứng dụng mã nguồn mở Snort.

+-------------------------------------------------------------------------------+
|                            MỤC TIÊU VÀ PHẠM VI DỰ ÁN                          |
+-------------------------------------------------------------------------------+
| 1. Khảo sát & Đánh giá: Phân tích kiến trúc mạng và các nguy cơ mất an toàn   |
| 2. Nghiên cứu công nghệ: Đánh giá chi tiết cơ chế NIDS, HIDS, NIPS, HIPS      |
| 3. Triển khai thử nghiệm: Xây dựng hệ thống NIDS sử dụng Snort trên hạ tầng    |
| 4. Xây dựng tập luật: Thiết lập bộ luật tùy biến phát hiện Ping Flood, Scans  |
| 5. Đề xuất quy trình: Chuẩn hóa chính sách bảo mật đầu cuối cho CMC Telecom   |
+-------------------------------------------------------------------------------+

Mục tiêu cụ thể của dự án:

  1. Khảo sát toàn diện kiến trúc mạng máy tính, phân tích các vector tấn công phổ biến (Malware, Phishing, MitM, DoS/DDoS, SQL Injection, Zero-Day).
  2. Phân loại và so sánh chuyên sâu các giải pháp giám sát an ninh mạng: Hệ thống phát hiện xâm nhập (IDS) và Hệ thống ngăn chặn xâm nhập (IPS).
  3. Triển khai mô hình cảm biến NIDS Snort trên nền tảng máy chủ giám sát lưu lượng mạng doanh nghiệp CMC.
  4. Xây dựng và tối ưu hóa bộ quy tắc (rule signatures) phát hiện các hành vi quét cổng (Port Scanning) và tấn công gói tin ICMP bất thường (Large Packet Ping Flood).
  5. Đề xuất bộ chính sách an toàn thông tin đa tầng cho người dùng cuối tại CMC Telecom.

Phạm vi và giới hạn:

  • Phạm vi: Triển khai thử nghiệm cảm biến NIDS giám sát phân đoạn mạng doanh nghiệp nội bộ và máy chủ dịch vụ; kiểm thử mô phỏng các kịch bản tấn công mạng cục bộ.
  • Giới hạn: Hệ thống tập trung vào cơ chế phát hiện và cảnh báo (IDS) theo thời gian thực dựa trên mẫu dấu hiệu (Signature-based Detection); chưa tích hợp cơ chế chủ động ngắt kết nối tự động (Inline IPS Mode) trên toàn tuyến mạng lõi để tránh rủi ro gián đoạn dịch vụ hạ tầng viễn thông.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tại các doanh nghiệp quy mô lớn như CMC Telecom, hạ tầng mạng bao gồm nhiều phân vùng: Mạng mạng diện rộng (WAN), Mạng cục bộ (LAN), Phân vùng trung lập (DMZ - Demilitarized Zone) chứa các Web/Mail Server và Mạng nội bộ cho nhân viên. Các nguy cơ an ninh hiện hữu bao gồm quét cổng thám sát (Reconnaissance Scanning bằng Nmap), làm tràn ngập băng thông bằng ICMP/SYN Flood, và tấn công nghe lén (Sniffing/ARP Spoofing).

Tiêu chí giải pháp Tường lửa truyền thống (Firewall) Phần mềm diệt virus (Endpoint Antivirus) Thiết bị UTM thương mại Hệ thống NIDS Snort (Đề xuất)
Vị trí hoạt động Cổng Gateway (Perimeter) Máy trạm / Thiết bị đầu cuối Cổng Gateway tập trung Phân đoạn mạng (Switch SPAN/Tap)
Phân tích gói tin Header L3/L4 (IP/Port) Quét file/tiến trình tĩnh L3 đến L7 đa tính năng Deep Packet Inspection (DPI) L3-L7
Tác động hiệu năng mạng Độ trễ Inline (Inline Latency) Tiêu tốn tài nguyên Endpoint Độ trễ xử lý cao, chi phí lớn 0% Inline Latency (Chế độ Passive)
Khả năng tùy biến Rule Thấp (Chỉ mở/khóa Port) Rất thấp (Phụ thuộc Vendor) Trung bình (Tùy bản quyền) Rất cao (Tự viết cú pháp Rule)
Chi phí đầu tư Trung bình Định kỳ theo Node Rất cao (Hàng trăm triệu VNĐ) Tối ưu (Mã nguồn mở + Server sẵn có)

Áp dụng phương pháp phân tích yêu cầu MoSCoW:

  • Must Have (Bắt buộc): Khả năng bắt gói tin không mất mát (Zero packet drop ở mức lưu lượng kiểm thử), phát hiện gói tin ICMP kích thước lớn bất thường (>1000 bytes), phát hiện hành vi quét cổng Nmap.
  • Should Have (Nên có): Ghi log chi tiết thông tin Header gói tin (IP nguồn, IP đích, giao thức, kích thước) và xuất cảnh báo tức thời ra console/file log.
  • Could Have (Có thể có): Giao diện đồ họa phân tích log tập trung và kết xuất biểu đồ thống kê tấn công.
  • Won't Have (Chưa thực hiện): Giải mã trực tiếp lưu lượng mã hóa SSL/TLS 1.3 theo thời gian thực mà không có chứng chỉ proxy trung gian.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo mô hình giám sát thụ động (Passive Monitoring) nhằm đảm bảo không can thiệp hay gây trễ vào luồng truyền dữ liệu thực của mạng CMC. Cảm biến IDS kết nối vào cổng Mirroring (SPAN Port) của Switch trung tâm.

                    +--------------------------------+
                    |       INTERNET / WAN           |
                    +---------------+----------------+
                                    |
                            +-------v--------+
                            | Core Firewall  |
                            +-------+--------+
                                    |
                        +-----------v------------+
                        |   CMC Core Switch      |
                        | (Configured SPAN Port) |
                        +-----+------------+-----+
                              |            |
            (Production Data) |            | (Mirrored Traffic)
                              |            |
            +-----------------v--+      +--v-----------------------------+
            |  VLANs / Servers   |      |  Snort NIDS Monitoring Sensor   |
            | (Web, Mail, Users) |      | +-----------------------------+ |
            +--------------------+      | | Packet Capture (WinPcap)    | |
                                        | +--------------+--------------+ |
                                        | | Preprocessors (Frag3/Stream)| |
                                        | +--------------+--------------+ |
                                        | | Detection Engine (Rules)    | |
                                        | +--------------+--------------+ |
                                        | | Alert & Logging Subsystem   | |
                                        | +-----------------------------+ |
                                        +---------------------------------+

Technology Stack và thông số phiên bản triển khai:

  • Nền tảng cảm biến: Snort NIDS Engine v2.9.x.
  • Thư viện bắt gói tin: WinPcap v4.1.3 / Libpcap.
  • Hệ điều hành giám sát: Windows Server 2008 R2 Enterprise Edition / CentOS 7 Kernel 3.10.
  • Công cụ kiểm thử tấn công (Attacker Machine): Kali Linux v2022.x / Windows Testing Workstation tích hợp Nmap v7.9x, Hping3, Ping Utility.
  • Cơ chế phân tích gói tin: Snort Multi-Stage Processing (Bắt gói tin -> Tiền xử lý Preprocessors -> Động cơ đối sánh mẫu Detection Engine -> Mô-đun cảnh báo Output).

Methodology

Dự án áp dụng phương pháp nghiên cứu thực nghiệm có cấu trúc theo mô hình vòng đời 5 giai đoạn:

[Khảo sát hiện trạng & Lý thuyết] 
  --> [Thiết kế mô hình & Kiến trúc] 
    --> [Cài đặt & Cấu hình Snort Sensor] 
      --> [Phát triển Rule & Kiểm thử tấn công] 
        --> [Đánh giá hiệu năng & Đóng gói giải pháp]
  • Giai đoạn 1 (Tuần 1-3): Khảo sát cấu trúc mạng CMC Telecom, nghiên cứu cơ sở lý thuyết bộ ba CIA, các hình thức tấn công mạng và kiến trúc NIDS/HIDS.
  • Giai đoạn 2 (Tuần 4-6): Xây dựng sơ đồ mạng thử nghiệm, phân bổ dải địa chỉ IP nội bộ ($HOME_NET), cấu hình card mạng promiscuous mode.
  • Giai đoạn 3 (Tuần 7-10): Cài đặt Snort v2.9.x, tích hợp thư viện WinPcap, cấu hình tệp snort.conf, bật các bộ tiền xử lý phân mảnh IP (frag3) và luồng TCP (stream5).
  • Giai đoạn 4 (Tuần 11-13): Thiết lập tập luật tùy biến (Custom Rules), thực hiện kịch bản tấn công Ping kích thước lớn (>1300 bytes) và rà quét mạng.
  • Giai đoạn 5 (Tuần 14-15): Đánh giá tỷ lệ phát hiện, độ trễ hệ thống, tài liệu hóa quy trình vận hành và chính sách an toàn đầu cuối.

Implementation và kết quả

Development process

Quá trình triển khai tập trung vào việc cấu hình tệp tin lõi snort.conf và xây dựng tập luật phát hiện bất thường cho mạng nội bộ CMC Telecom.

1. Cấu hình biến môi trường mạng trong snort.conf:

# Định nghĩa không gian mạng bảo vệ nội bộ và mạng bên ngoài
ipvar HOME_NET [192.168.1.0/24,10.0.0.0/8]
ipvar EXTERNAL_NET !$HOME_NET

# Cấu hình đường dẫn chứa tập luật
var RULE_PATH c:\snort\rules
var PREPROC_RULE_PATH c:\snort\preproc_rules

# Bật bộ tiền xử lý giải mã phân mảnh gói tin và luồng TCP
preprocessor frag3_global: max_frags 65536
preprocessor frag3_engine: policy windows detect_anomalies
preprocessor stream5_global: max_tcp 262144, track_tcp yes
preprocessor stream5_tcp: policy windows, ports client 21 22 23 80 443

2. Xây dựng cấu trúc luật tùy biến trong local.rules:

Cấu trúc một luật Snort bao gồm hai phần chính: Rule Header (Action, Protocol, Source IP/Port, Direction, Dest IP/Port) và Rule Options (Metadata, Payload match, Size match, SID, Revision).

# Luật 1: Phát hiện gói tin ICMP Ping có kích thước payload lớn bất thường (>1000 bytes)
alert icmp $EXTERNAL_NET any -> $HOME_NET any (msg:"CMC-NIDS: Phat hien goi ICMP Ping kich thuoc lon bat thuong"; dsize:>1000; itype:8; icode:0; classtype:bad-unknown; sid:1000001; rev:1;)

# Luật 2: Phát hiện hành vi quét cổng bằng kỹ thuật TCP SYN Stealth Scan
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"CMC-NIDS: Canh bao quet cong TCP SYN Scan"; flags:S; threshold:type both, track by_src, count 20, seconds 5; classtype:attempted-recon; sid:1000002; rev:1;)

# Luật 3: Phát hiện nỗ lực gửi thông điệp ICMP Echo Request cơ bản
alert icmp $EXTERNAL_NET any -> $HOME_NET any (msg:"CMC-NIDS: ICMP Echo Request Detected"; itype:8; icode:0; sid:1000003; rev:1;)

Khởi chạy động cơ Snort ở chế độ NIDS hiển thị cảnh báo console:

snort -dev -l c:\snort\log -c c:\snort\etc\snort.conf -i 1 -A console

Testing và validation

Kịch bản kiểm thử được thiết lập giữa máy tính tấn công (Attacker IP: 192.168.1.105) và máy chủ giám sát mục tiêu (Target Server IP: 192.168.1.100).

+---------------------------------------------------------------------------------------+
|                                KỊCH BẢN KIỂM THỬ THỰC TẾ                              |
+---------------------------------------------------------------------------------------+
| Kịch bản 1: Attacker gửi gói tin ICMP chuẩn (32 bytes):                               |
|   Command: ping 192.168.1.100 -n 4                                                    |
|   Kết quả: Kích hoạt SID:1000003, ghi nhận 4 gói ICMP hợp lệ.                         |
|                                                                                       |
| Kịch bản 2: Attacker thực hiện tấn công Buffer/Ping Flood với payload 1300 bytes:     |
|   Command: ping 192.168.1.100 -l 1300 -t                                              |
|   Kết quả: Khớp luật SID:1000001 (dsize: > 1000). Snort xuất cảnh báo tức thời.       |
|                                                                                       |
| Kịch bản 3: Attacker rà quét cổng toàn bộ máy chủ Web CMC:                            |
|   Command: nmap -sS -p 1-1024 192.168.1.100                                           |
|   Kết quả: Khớp luật SID:1000002. Hệ thống định danh chính xác IP quét và ngưỡng quét.|
+---------------------------------------------------------------------------------------+

Dữ liệu Benchmark và kiểm định hiệu năng:

Tham số kiểm thử Mức tải thấp (100 pkts/s) Mức tải trung bình (1,000 pkts/s) Mức tải cao (5,000 pkts/s)
Tỷ lệ bắt gói (Capture Rate) 100% 100% 99.82%
Độ chính xác phát hiện (Accuracy) 100% 99.9% 99.4%
Tỷ lệ dương tính giả (False Positive) 0.0% 0.2% 0.6%
Độ trễ phát hiện trung bình 0.42 ms 1.15 ms 2.80 ms
Tài nguyên CPU tiêu thụ (Sensor) 3.5% 12.8% 38.4%
Tài nguyên RAM sử dụng 185 MB 240 MB 390 MB

Kết quả đạt được

Hệ thống ghi nhận và kết xuất log chính xác khi xảy ra tấn công gói tin kích thước lớn:

[**] [1:1000001:1] CMC-NIDS: Phat hien goi ICMP Ping kich thuoc lon bat thuong [**]
[Classification: Potentially Bad Traffic] [Priority: 2]
08/27-23:15:42.102384 192.168.1.105 -> 192.168.1.100
ICMP TTL:128 TOS:0x0 ID:14258 IpLen:20 DgmLen:1328
Type:8  Code:0  ID:1   Seq:42  ECHO

So sánh với mục tiêu ban đầu đề ra, đồ án đã hoàn thành vượt mức các yêu cầu kỹ thuật:

  • Tính sẵn sàng: 100% các cuộc tấn công ICMP kích thước lớn (1300 bytes) được định danh và xuất log chi tiết trong thời gian dưới 2ms.
  • Tính khả thi: Cảm biến NIDS chạy ổn định trên hạ tầng thử nghiệm mà không gây suy giảm băng thông đường truyền chính.
  • Tính mở rộng: Bộ luật Snort được mô-đun hóa, dễ dàng nạp thêm các bộ ruleset cộng đồng (Snort Community Rules, Emerging Threats).

Đổi mới và đóng góp

  1. Ứng dụng mô hình giám sát an ninh chiều sâu (Defense-in-Depth): Thay vì chỉ áp dụng các cơ chế bảo mật biên tĩnh, đề tài xây dựng lớp phòng thủ thứ hai bên trong nội mạng CMC Telecom, giúp phát hiện sớm các giai đoạn thám sát và quét lỗ hổng mạng của kẻ tấn công.
  2. Bộ quy tắc tùy biến tối ưu cho hạ tầng viễn thông: Thiết lập thành công các bộ luật phát hiện DoS tầng mạng (ICMP payload analysis) với tham số ngưỡng phân tích kích thước dsize chuẩn xác, loại bỏ nguy cơ nghẽn hàng đợi cảnh báo.
  3. Mô hình triển khai chi phí thấp nhưng hiệu năng cao: Tận dụng công nghệ phần mềm tự do nguồn mở Snort để tạo nên giải pháp giám sát có khả năng đối sánh ngang hàng với các thiết bị phần cứng đắt đỏ.
Tính năng kỹ thuật Snort NIDS v2.9 Suricata Engine v6.x Thiết bị Tường lửa tiêu chuẩn (Stateful FW)
Kiến trúc luồng xử lý Đơn luồng (Single-thread per sensor) Đa luồng (Multi-threaded natively) Phần cứng chuyên dụng (ASIC/NP)
Độ phức tạp cấu hình Thấp - Trung bình (Rõ ràng, dễ tùy biến) Phức tạp hơn Đơn giản (Giao diện Web/CLI)
Phân tích giao thức sâu Hỗ trợ mạnh mẽ qua bộ Preprocessors Hỗ trợ L7 mạnh mẽ Giới hạn ở L4 (TCP/UDP Ports)
Tối ưu chi phí phần cứng Rất cao (Chạy được trên phần cứng tối thiểu) Yêu cầu CPU đa nhân Chi phí mua sắm & duy trì cao

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

Giải pháp được ứng dụng trực tiếp tại các Trung tâm dữ liệu (Data Center) và Trạm quản trị mạng nội bộ của CMC Telecom để:

  • Giám sát toàn bộ lưu lượng ra vào hệ thống máy chủ dịch vụ (Web, Mail, DNS Server).
  • Định danh và cách ly các thiết bị người dùng nội bộ bị nhiễm phần mềm gián điệp, botnet hoặc phát sinh lưu lượng quét mạng bất thường.
  • Cung cấp nguồn dữ liệu log kiểm toán an ninh mạng phục vụ điều tra sự cố (Digital Forensics).
+-------------------------------------------------------------------------------+
|                      LỘ TRÌNH TRIỂN KHAI 4 BƯỚC CHO DOANH NGHIỆP              |
+-------------------------------------------------------------------------------+
| Bước 1: Cấu hình Port Mirroring / SPAN trên Switch quản lý (Cisco/Juniper).   |
| Bước 2: Chuẩn bị máy chủ giám sát (Cài đặt OS, card mạng Promiscuous Mode).   |
| Bước 3: Cài đặt Snort Engine, cấu hình snort.conf và nạp bộ Ruleset chuẩn.   |
| Bước 4: Kiểm thử thông tuyến, tối ưu Rule threshold và tích hợp quản lý Log.  |
+-------------------------------------------------------------------------------+

Đánh giá hiệu quả kinh tế (ROI)

  • Tiết kiệm chi phí đầu tư ban đầu (CapEx): Giảm hơn 70% chi phí so với việc trang bị thiết bị giám sát NIDS phần cứng chuyên dụng độc quyền.
  • Chi phí vận hành (OpEx): Linh hoạt mở rộng không gian giám sát bằng cách bổ sung thêm sensor mềm mà không tốn phí bản quyền license trên từng thiết bị.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phiên bản Snort 2.9 xử lý theo kiến trúc đơn luồng trên mỗi tiến trình bắt gói, có thể gặp hiện tượng nghẽn hàng đợi (packet drop) khi lưu lượng mạng tăng đột biến vượt quá 10 Gbps mà không có card mạng tăng tốc chuyên dụng (như Napatech hoặc công nghệ DPDK/PF_RING).
  • Việc phân tích nội dung gói tin bị hạn chế đối với các luồng dữ liệu đã được mã hóa hoàn toàn (HTTPS/SSL/SSH) nếu không kết hợp với giải pháp SSL Decryption Offloader.
  • Cơ chế dựa trên dấu hiệu (Signature-based) không thể phát hiện các biến thể tấn công hoàn toàn mới nếu chưa có bản cập nhật Rule tương ứng.

Hướng phát triển trong tương lai

  • Nâng cấp hệ thống lên phiên bản Snort 3.0 với kiến trúc đa luồng (Multi-threading), hỗ trợ quản lý cấu hình linh hoạt qua LuaJIT.
  • Tích hợp hệ thống cảnh báo với ngăn xếp ELK Stack (Elasticsearch - Logstash - Kibana) hoặc Grafana để hiển thị Dashboard thời gian thực cho Trung tâm điều hành an ninh mạng (SOC).
  • Nghiên cứu ứng dụng các thuật toán Học máy (Machine Learning / Deep Learning) vào mô-đun tiền xử lý để phát hiện các bất thường lưu lượng mạng (Anomaly-based IDS).

Đối tượng hưởng lợi

  • Sinh viên & Nghiên cứu sinh ngành CNTT / ATTT: Tiếp cận tài liệu thực hành chi tiết về cơ chế hoạt động của mạng máy tính, giao thức TCP/IP, cấu trúc gói tin và phương pháp viết luật Snort chuẩn hóa.
  • Kỹ sư quản trị hệ thống & An ninh mạng: Có tài liệu tham khảo thực tế để triển khai ngay hệ thống NIDS nội bộ với chi phí tối ưu, nắm vững kỹ thuật bắt và phân tích gói tin.
  • Doanh nghiệp vừa và nhỏ (SMEs): Mô hình hóa giải pháp phòng thủ an ninh mạng nhiều lớp mà không cần đầu tư ngân sách bản quyền phần mềm khổng lồ.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai Snort NIDS trong doanh nghiệp là gì?

Đối với phân đoạn mạng lưu lượng dưới 1 Gbps, cấu hình khuyến nghị gồm: CPU 4 Cores (Intel Xeon hoặc Core i5 trở lên), RAM 8 GB, 2 Card mạng (NIC 1Gbps - 1 card chuyên dụng cho chế độ Promiscuous bắt gói tin và 1 card riêng cho Quản trị/Xuất log).

2. Sự khác biệt cốt lõi giữa IDS (Phát hiện) và IPS (Ngăn chặn) là gì?

IDS hoạt động ở chế độ thụ động (Passive/Out-of-band thông qua SPAN port), chỉ phân tích bản sao của gói tin và đưa ra cảnh báo mà không can thiệp vào đường truyền. Ngược lại, IPS hoạt động ở chế độ Inline (nằm trực tiếp trên luồng truyền dữ liệu), có khả năng chặn (Drop) gói tin độc hại theo thời gian thực nhưng nếu gặp sự cố có thể làm gián đoạn toàn bộ kết nối mạng.

3. Làm thế nào để giải quyết vấn đề cảnh báo giả (False Positives) trong Snort?

Cần thực hiện tinh chỉnh (Rule Tuning) thông qua việc sử dụng cú pháp threshold (giới hạn số lượng cảnh báo trong một khoảng thời gian), thu hẹp phạm vi biến $HOME_NET, loại bỏ các rule không áp dụng cho các dịch vụ không tồn tại trong hệ thống, và cập nhật thường xuyên tập luật.

4. Snort có phát hiện được các cuộc tấn công mã hóa qua HTTPS không?

Snort chỉ có thể kiểm tra Header L3/L4 (IP nguồn/đích, Port 443) và thông tin giai đoạn bắt tay TLS (như Server Name Indication - SNI). Để phân tích sâu Payload bên trong luồng HTTPS, cần triển khai thiết bị giải mã SSL Proxy (SSL Offloading) phía trước cảm biến Snort.

5. Chi phí bảo trì và vận hành hệ thống Snort NIDS như thế nào?

Vì là phần mềm mã nguồn mở, chi phí bản quyền bằng 0. Doanh nghiệp chỉ chi trả chi phí hạ tầng máy chủ ban đầu và công tác đào tạo đội ngũ quản trị định kỳ cập nhật tập luật từ cộng đồng (Snort Community) hoặc đăng ký gói luật thương mại (Talos Subscribed Rules) với chi phí rất thấp.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu về mạng máy tính và giải pháp bảo mật thông tin cho mạng máy tính của Công ty CMC" của sinh viên Nguyễn Hữu Mạnh đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm:

  • Hệ thống hóa toàn diện kiến trúc mạng, các giao thức và nguyên lý an toàn thông tin theo mô hình chuẩn CIA.
  • Phân tích chi tiết các nguy cơ an ninh mạng hiện đại và làm rõ cơ chế hoạt động của các hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS).
  • Thiết kế, triển khai thành công hệ thống NIDS dựa trên công nghệ Snort và xây dựng các bộ quy tắc phát hiện tấn công mạng thực nghiệm đạt độ chính xác cao trên 99%.
  • Đóng góp giải pháp công nghệ an ninh thông tin thực tiễn, có tính khả thi cao và khả năng áp dụng linh hoạt cho hạ tầng mạng viễn thông của CMC Telecom cũng như các tổ chức doanh nghiệp.