Nghiên Cứu Giải Pháp Phát Hiện Xâm Nhập Tại Trường Cao Đẳng Sư Phạm Hà Tây

Luận văn nghiên cứu các giải pháp phát hiện xâm nhập, ứng dụng cho trường cao đẳng sư phạm Hà Tây, nâng cao an ninh mạng hiệu quả.

• Tác giả: Vương Thanh Hải
• Người hướng dẫn: PGS. Trần Quang Anh
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Giải Pháp Phát Hiện Xâm Nhập Cho Trường Cao Đẳng Sư Phạm Hà Tây
• Loại tài liệu: luận văn thạc sĩ kỹ thuật
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ XÂM NHẬP VÀ PHÁT HIỆN XÂM NHẬP
• 1.1. Tổng quan về xâm nhập
• 1.2. Khái quát về tấn công, xâm nhập
• 1.3. Giới thiệu một số dạng tấn công, xâm nhập điển hình
• 1.4. Tổng quan về phát hiện xâm nhập
• 1.5. Khái quát về phát hiện xâm nhập
• 1.6. Phát hiện xâm nhập dựa trên dấu hiệu và dựa trên bất thường
• 1.7. Kết luận chương 1
• 2. CHƯƠNG 2: CÁC HỆ THỐNG PHÁT HIỆN XÂM NHẬP
• 2.1. Các hệ thống phát hiện xâm nhập mã mở
• 2.2. Các hệ thống phát hiện xâm nhập thương mại
• 2.3. SolarWinds Security Event Manager (SSEM)
• 2.4. McAfee Network Security Platform
• 2.5. So sánh các hệ thống phát hiện xâm nhập
• 2.6. Kết luận chương 2
• 3. CHƯƠNG 3: THỬ NGHIỆM TRIỂN KHAI GIẢI PHÁP PHÁT HIỆN XÂM NHẬP SURICATA CHO HỆ THỐNG MẠNG TRƯỜNG CAO ĐẲNG SƯ PHẠM HÀ TÂY
• 3.1. Khảo sát và triển khai mô hình
• 3.2. Khảo sát hệ thống mạng Trường cao đẳng sư phạm Hà Tây
• 3.3. Mô hình triển khai
• 3.4. Cài đặt và cấu hình hệ thống phát hiện xâm nhập Suricata
• 3.5. Yêu cầu phần cứng và phần mềm
• 3.6. Thử nghiệm và đánh giá
• 3.7. Các thử nghiệm phát hiện và kết quả
• 3.8. Phát hiện các gói tin Ping
• 3.9. Phát hiện tấn công rà quét cổng dịch vụ
• 3.10. Phát hiện tấn công SSH brute force
• 3.11. Phát hiện tấn công DoS TCP SYN Flood
• 3.12. Phát hiện tấn công SQLi - OR
• 3.13. Phát hiện tấn công SQLi - UNION
• 3.14. Phát hiện tấn công duyệt đường dẫn
• 3.15. Kết luận chương 3
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Giải Pháp Phát Hiện Xâm Nhập Cho Trường Học

Trong bối cảnh an ninh mạng ngày càng phức tạp, việc bảo vệ hệ thống mạng của các trường học, đặc biệt là Trường Cao đẳng Sư phạm Hà Tây, trở nên vô cùng quan trọng. Các cuộc tấn công mạng có thể gây ra hậu quả nghiêm trọng, từ mất mát dữ liệu đến gián đoạn hoạt động. Do đó, việc triển khai một hệ thống phát hiện xâm nhập (IDS) hiệu quả là điều cần thiết. Hệ thống này giúp giám sát, phát hiện và cảnh báo về các hoạt động đáng ngờ, cho phép nhà trường phản ứng kịp thời và giảm thiểu thiệt hại. Theo tài liệu gốc, các lớp bảo vệ như tường lửa và hệ thống kiểm soát truy cập thường được xem là lớp bảo vệ đầu tiên, trong khi IDS đóng vai trò là lớp bảo vệ thứ hai, giám sát và phát hiện các cuộc tấn công đã vượt qua lớp bảo vệ đầu tiên.

1.1. Tầm Quan Trọng của IDS cho Trường Cao Đẳng Sư Phạm

Việc triển khai IDS cho trường học giúp bảo vệ dữ liệu sinh viên, thông tin nhạy cảm và tài sản trí tuệ. Một hệ thống IDS hiệu quả có thể phát hiện các tấn công DDoS, tấn công SQL Injection và các loại mã độc khác. Điều này đặc biệt quan trọng trong môi trường giáo dục, nơi mà sự tin cậy và bảo mật là yếu tố then chốt. Việc bảo vệ hệ thống wifi trường học cũng là một phần quan trọng của an ninh mạng tổng thể.

1.2. Các Thành Phần Chính của Hệ Thống Phát Hiện Xâm Nhập

Một hệ thống IDS thường bao gồm các thành phần như cảm biến (sensors), công cụ phân tích (analysis engine) và hệ thống quản lý (management console). Cảm biến thu thập dữ liệu từ mạng, công cụ phân tích xử lý dữ liệu và xác định các hoạt động đáng ngờ, và hệ thống quản lý cung cấp giao diện để quản lý và giám sát hệ thống. Việc lựa chọn các thành phần phù hợp là rất quan trọng để đảm bảo hiệu quả của hệ thống IDS.

1.3. Phân Loại Hệ Thống Phát Hiện Xâm Nhập IDS IPS

Có hai loại chính của hệ thống phát hiện xâm nhập: IDS (Intrusion Detection System) và IPS (Intrusion Prevention System). IDS chỉ phát hiện các hoạt động đáng ngờ và cảnh báo cho người quản trị, trong khi IPS có khả năng ngăn chặn các cuộc tấn công một cách tự động. Việc lựa chọn giữa IDS và IPS phụ thuộc vào nhu cầu và nguồn lực của Trường Cao đẳng Sư phạm Hà Tây.

II. Thách Thức An Ninh Mạng Tại Trường Cao Đẳng Sư Phạm Hà Tây

Trường Cao đẳng Sư phạm Hà Tây, giống như nhiều tổ chức giáo dục khác, đối mặt với nhiều thách thức an ninh mạng. Các lỗ hổng bảo mật trong hệ thống mạng, sự thiếu nhận thức về an ninh mạng của người dùng và sự gia tăng của các cuộc tấn công mạng tinh vi là những vấn đề đáng lo ngại. Việc đánh giá lỗ hổng bảo mật và thực hiện kiểm tra xâm nhập (penetration testing) là cần thiết để xác định và khắc phục các điểm yếu trong hệ thống. Theo tài liệu, các mối đe dọa hay gặp bao gồm phần mềm độc hại, lỗi phần mềm hoặc phần cứng, kẻ tấn công ở bên trong và bên ngoài, mất trộm các thiết bị, tai họa thiên nhiên, gián điệp công nghiệp và tấn công phá hoại.

2.1. Các Loại Tấn Công Mạng Phổ Biến Nhắm Vào Trường Học

Các trường học thường là mục tiêu của các cuộc tấn công mạng như tấn công DDoS, tấn công SQL Injection, tấn công XSS và tấn công lừa đảo (phishing). Các cuộc tấn công này có thể gây ra mất mát dữ liệu, gián đoạn dịch vụ và ảnh hưởng đến uy tín của nhà trường. Việc triển khai các biện pháp phòng chống tấn công mạng là rất quan trọng.

2.2. Đánh Giá Rủi Ro và Lỗ Hổng Bảo Mật Mạng Trường Học

Việc đánh giá rủi ro và lỗ hổng bảo mật là bước quan trọng để xác định các điểm yếu trong hệ thống mạng của Trường Cao đẳng Sư phạm Hà Tây. Quá trình này bao gồm việc xác định các tài sản quan trọng, đánh giá các mối đe dọa và lỗ hổng bảo mật, và xác định các biện pháp bảo vệ phù hợp. Kiểm tra xâm nhập (penetration testing) có thể giúp xác định các lỗ hổng bảo mật một cách thực tế.

2.3. Nâng Cao Nhận Thức An Ninh Mạng Cho Sinh Viên và Giảng Viên

Nâng cao nhận thức về an ninh mạng cho sinh viên và giảng viên là một phần quan trọng của chiến lược bảo vệ an ninh mạng tổng thể. Các chương trình đào tạo an ninh mạng cho sinh viên và giảng viên có thể giúp họ nhận biết các mối đe dọa và thực hiện các biện pháp phòng ngừa. Điều này bao gồm việc tạo mật khẩu mạnh, nhận biết các email lừa đảo và bảo vệ thông tin cá nhân.

III. Phương Pháp Triển Khai IDS Suricata Cho Trường Sư Phạm Hà Tây

Suricata là một hệ thống phát hiện xâm nhập mã nguồn mở mạnh mẽ và linh hoạt, phù hợp với nhu cầu của Trường Cao đẳng Sư phạm Hà Tây. Việc triển khai Suricata đòi hỏi sự hiểu biết về cấu trúc mạng, các giao thức mạng và các loại tấn công mạng phổ biến. Việc cấu hình Suricata đúng cách là rất quan trọng để đảm bảo hiệu quả của hệ thống. Theo tài liệu, Suricata có thể phát hiện các gói tin Ping, tấn công rà quét cổng dịch vụ, tấn công SSH brute force, tấn công DoS TCP SYN Flood, tấn công SQLi và tấn công duyệt đường dẫn.

3.1. Cài Đặt và Cấu Hình Hệ Thống IDS Suricata Chi Tiết

Việc cài đặt và cấu hình Suricata bao gồm việc tải xuống và cài đặt phần mềm, cấu hình các quy tắc (rules) và cấu hình các tùy chọn khác. Các quy tắc xác định các loại tấn công mạng mà Suricata sẽ phát hiện. Việc cập nhật các quy tắc thường xuyên là rất quan trọng để đảm bảo rằng Suricata có thể phát hiện các tấn công mạng mới nhất.

3.2. Tối Ưu Hóa Quy Tắc Phát Hiện Xâm Nhập Suricata Cho Mạng Trường

Việc tối ưu hóa các quy tắc Suricata là rất quan trọng để giảm thiểu số lượng cảnh báo sai (false positives) và đảm bảo rằng Suricata chỉ cảnh báo về các hoạt động đáng ngờ thực sự. Điều này đòi hỏi sự hiểu biết về lưu lượng mạng của Trường Cao đẳng Sư phạm Hà Tây và các loại tấn công mạng có khả năng xảy ra.

3.3. Tích Hợp Suricata Với Các Công Cụ An Ninh Mạng Khác

Suricata có thể được tích hợp với các công cụ an ninh mạng khác như SIEM (Security Information and Event Management) để cung cấp một cái nhìn toàn diện về an ninh mạng của Trường Cao đẳng Sư phạm Hà Tây. Việc tích hợp này cho phép nhà trường thu thập, phân tích và phản ứng với các sự kiện an ninh mạng một cách hiệu quả hơn.

IV. Ứng Dụng Thực Tế và Đánh Giá Hiệu Quả Giải Pháp IDS

Sau khi triển khai Suricata, việc đánh giá hiệu quả của hệ thống là rất quan trọng. Điều này bao gồm việc kiểm tra khả năng của Suricata trong việc phát hiện các loại tấn công mạng khác nhau và đánh giá số lượng cảnh báo sai. Việc điều chỉnh cấu hình Suricata có thể cần thiết để cải thiện hiệu quả của hệ thống. Theo tài liệu, các thử nghiệm phát hiện và kết quả bao gồm phát hiện các gói tin Ping, tấn công rà quét cổng dịch vụ, tấn công SSH brute force, tấn công DoS TCP SYN Flood, tấn công SQLi - OR, tấn công SQLi - UNION và tấn công duyệt đường dẫn.

4.1. Thử Nghiệm Phát Hiện Xâm Nhập Với Các Tình Huống Tấn Công Giả Lập

Việc thử nghiệm Suricata với các tình huống tấn công mạng giả lập có thể giúp đánh giá khả năng của hệ thống trong việc phát hiện các loại tấn công mạng khác nhau. Các tình huống tấn công mạng giả lập nên bao gồm các loại tấn công mạng phổ biến và các loại tấn công mạng mới nổi.

4.2. Phân Tích Nhật Ký Bảo Mật và Đánh Giá Cảnh Báo Từ IDS

Việc phân tích nhật ký bảo mật và đánh giá các cảnh báo từ Suricata có thể giúp xác định các xu hướng an ninh mạng và các vấn đề tiềm ẩn. Việc này đòi hỏi sự hiểu biết về các loại tấn công mạng và các dấu hiệu của các cuộc tấn công mạng.

4.3. Đề Xuất Cải Tiến và Nâng Cấp Hệ Thống IDS Dựa Trên Kết Quả

Dựa trên kết quả đánh giá, các đề xuất cải tiến và nâng cấp hệ thống Suricata có thể được đưa ra. Các đề xuất này có thể bao gồm việc điều chỉnh cấu hình, cập nhật các quy tắc và tích hợp với các công cụ an ninh mạng khác.

V. Kết Luận và Hướng Phát Triển Giải Pháp An Ninh Mạng

Việc triển khai một hệ thống phát hiện xâm nhập hiệu quả là rất quan trọng để bảo vệ an ninh mạng của Trường Cao đẳng Sư phạm Hà Tây. Suricata là một lựa chọn tốt cho nhà trường, nhưng việc triển khai và quản lý hệ thống đòi hỏi sự hiểu biết về an ninh mạng và các kỹ năng kỹ thuật. Trong tương lai, việc tích hợp học máy (machine learning) và trí tuệ nhân tạo (AI) vào hệ thống IDS có thể giúp cải thiện khả năng phát hiện các tấn công mạng tinh vi.

5.1. Tổng Kết Các Giải Pháp Phát Hiện Xâm Nhập Hiệu Quả

Các giải pháp phát hiện xâm nhập hiệu quả bao gồm việc triển khai một hệ thống IDS mạnh mẽ, nâng cao nhận thức về an ninh mạng cho người dùng và thực hiện các biện pháp phòng chống tấn công mạng.

5.2. Hướng Nghiên Cứu và Phát Triển An Ninh Mạng Cho Giáo Dục

Hướng nghiên cứu và phát triển an ninh mạng cho giáo dục bao gồm việc phát triển các công cụ và kỹ thuật mới để phát hiện và ngăn chặn các tấn công mạng, nâng cao nhận thức về an ninh mạng cho người dùng và xây dựng các chính sách và quy trình an ninh mạng hiệu quả.

5.3. Tầm Quan Trọng của Tuân Thủ Quy Định Bảo Mật Giáo Dục

Việc tuân thủ các quy định bảo mật giáo dục là rất quan trọng để bảo vệ dữ liệu sinh viên và đảm bảo sự tin cậy của nhà trường. Các quy định này bao gồm các yêu cầu về bảo vệ thông tin cá nhân, bảo mật dữ liệu và báo cáo các sự cố an ninh mạng.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên chuyển đổi số giáo dục, các cuộc tấn công mạng nhằm vào hệ thống máy chủ, cổng đào tạo và cơ sở dữ liệu học thuật đang gia tăng ở mức báo động. Theo báo cáo an ninh mạng của hãng F-Secure, số lượng các cuộc tấn công vào thiết bị IoT đã tăng gấp 3 lần (khoảng 300%), trong khi các cuộc tấn công không sử dụng tập tin (fileless attacks) tăng vọt tới 256%. Tại Việt Nam, các thống kê quốc tế ghi nhận nước ta luôn nằm trong top 10 quốc gia chịu nhiều cuộc tấn công mạng nhất thế giới. Trước bối cảnh đó, các cơ sở giáo dục đại học và cao đẳng, điển hình là Trường Cao đẳng Sư phạm Hà Tây, đang phải đối mặt với nhiều nguy cơ rò rỉ dữ liệu, gián đoạn dịch vụ và xâm nhập trái phép do các giải pháp bảo mật truyền thống như tường lửa không còn đủ khả năng ngăn chặn các thủ đoạn tinh vi.

Luận văn thạc sĩ kỹ thuật chuyên ngành Khoa học máy tính với đề tài "Nghiên cứu các giải pháp phát hiện xâm nhập và ứng dụng cho Trường Cao đẳng Sư phạm Hà Tây" do học viên Vương Thanh Hải thực hiện, dưới sự hướng dẫn khoa học của PGS.TS Trần Quang Anh tại Học viện Công nghệ Bưu chính Viễn thông vào năm 2022, đã tập trung giải quyết triệt để bài toán này. Mục tiêu cụ thể của nghiên cứu là khảo sát toàn diện các hệ thống phát hiện xâm nhập (IDS) mã nguồn mở và thương mại, từ đó lựa chọn, thiết kế và triển khai thử nghiệm hệ thống NIDS Suricata tối ưu cho hạ tầng mạng của nhà trường. Phạm vi nghiên cứu được thực hiện trên hệ thống mạng máy tính nội bộ của Trường Cao đẳng Sư phạm Hà Tây trong năm 2022. Công trình mang ý nghĩa thực tiễn to lớn khi thiết lập một lá chắn an ninh mạng vững chắc, giúp rút ngắn thời gian phát hiện mối đe dọa xuống dưới 5 phút và nâng cao mức độ an toàn cho hơn 20 máy chủ dịch vụ cùng toàn bộ hệ thống máy trạm của cán bộ, giảng viên và sinh viên.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên nền tảng lý thuyết an ninh mạng hiện đại và mô hình phòng vệ theo chiều sâu (Defense-in-Depth). Mô hình này chia hệ thống bảo mật thành nhiều lớp phòng thủ nối tiếp: lớp thứ nhất là tường lửa và kiểm soát truy cập biên; lớp thứ hai là hệ thống giám sát, phát hiện và ngăn chặn xâm nhập (IDS/IPS); lớp thứ ba là bảo vệ dữ liệu và máy chủ đầu cuối.

Hệ thống lý thuyết phân loại phát hiện xâm nhập trong luận văn tập trung vào 2 phương pháp cốt lõi:

1. Phát hiện dựa trên chữ ký (Signature-based Detection): So sánh trực tiếp các mẫu lưu lượng với cơ sở dữ liệu mẫu độc hại đã biết. Phương pháp này có độ chính xác cao đối với các cuộc tấn công truyền thống nhờ tập luật chuẩn hóa với hơn 2.930 quy tắc định nghĩa sẵn.
2. Phát hiện dựa trên sự bất thường (Anomaly-based Detection): Thiết lập ngưỡng hoạt động tiêu chuẩn (baseline) của mạng (ví dụ mức chiếm dụng băng thông trung bình khoảng 25%) để nhận diện các độ lệch đột biến (vượt quá 50%) biểu thị hành vi tấn công từ chối dịch vụ.

Luận văn làm rõ 4 khái niệm chuyên ngành nền tảng gồm: Hệ thống phát hiện xâm nhập mạng (NIDS), Hệ thống phát hiện xâm nhập máy chủ (HIDS), cơ chế xử lý gói tin đa luồng (Multi-threading Packet Processing) và kiến trúc tương quan sự kiện an ninh (Security Event Correlation). Hệ thống IDS chuẩn bao gồm 3 thành phần chính: thành phần thu thập thông tin gói tin, thành phần phân tích dữ liệu qua bộ cảm biến (sensor), và thành phần cảnh báo – ghi nhật ký (logging/alerting).

Phương pháp nghiên cứu

Nghiên cứu áp dụng phương pháp thực nghiệm giả lập tấn công (Simulated Attack Testing) kết hợp với phân tích so sánh định tính và định lượng giữa các giải pháp mã nguồn mở (Snort, Suricata, OSSEC) và các giải pháp thương mại (IBM QRadar SIEM, SolarWinds Security Event Manager, McAfee Network Security Platform).

• Cỡ mẫu và dữ liệu thực nghiệm: Cỡ mẫu nghiên cứu bao gồm 7 kịch bản tấn công thực tế đại diện cho các phương thức xâm nhập nguy hiểm nhất, được kiểm thử với hơn 5.000 gói tin lưu lượng mạng mô phỏng.
• Phương pháp chọn mẫu: Tác giả sử dụng phương pháp chọn mẫu có chủ đích (Purposive Sampling). Các kịch bản được chọn lọc dựa trên danh mục lỗ hổng bảo mật phổ biến của OWASP và thực trạng an ninh thông tin tại các trường cao đẳng, bao gồm: kiểm tra quét cổng, vét cạn mật khẩu SSH, tấn công từ chối dịch vụ DoS SYN Flood, tấn công web SQL Injection (dạng mệnh đề OR và toán tử UNION), và tấn công duyệt đường dẫn (Path Traversal).
• Lý do lựa chọn phương pháp phân tích: Phương pháp thực nghiệm trên môi trường mạng nội bộ kết hợp ứng dụng web DVWA (Damn Vulnerable Web Application) cho phép đo lường chính xác khả năng bắt gói tin, thời gian phản hồi cảnh báo và mức độ tiêu hao tài nguyên phần cứng của hệ thống Suricata trong điều kiện thực tế.
• Timeline nghiên cứu: Toàn bộ quá trình khảo sát hiện trạng mạng, thiết kế mô hình, cài đặt cấu hình và kiểm thử thực nghiệm được tiến hành liên tục trong 6 tháng, từ tháng 1 đến tháng 6 năm 2022.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình triển khai thử nghiệm giải pháp NIDS Suricata trên hệ thống mạng Trường Cao đẳng Sư phạm Hà Tây đã mang lại những kết quả đo lường cụ thể và thuyết phục qua 7 kịch bản kiểm thử:

1. Phát hiện chính xác 100% các hành vi thám sát mạng: Khi máy tấn công thực hiện gửi các gói tin ICMP Ping hoặc sử dụng công cụ Nmap để quét rà soát các cổng dịch vụ (Port Scanning), hệ thống Suricata đã bắt trọn các gói tin bất thường và kích hoạt cảnh báo tức thời với độ trễ dưới 0.5 giây.
2. Ngăn chặn hiệu quả tấn công xác thực và phá hoại dịch vụ: Trong thử nghiệm tấn công vét cạn mật khẩu SSH Brute Force bằng công cụ Hydra và tấn công từ chối dịch vụ DoS TCP SYN Flood bằng công cụ hping3, Suricata đã ghi nhận chính xác 100% số luồng tấn công, nhận diện đúng địa chỉ IP nguồn và đích, đạt tỷ lệ phát hiện trên 98.5% ngay cả khi lưu lượng mạng tăng đột biến.
3. Bảo vệ vững chắc ứng dụng web: Đối với các cuộc tấn công khai thác lỗ hổng web nghiêm trọng trên máy chủ DVWA gồm SQL Injection (dạng OR và dạng UNION) và tấn công duyệt thư mục (Path Traversal), hệ thống đã phát hiện thành công với tỷ lệ bao phủ quy tắc đạt trên 99%, trong khi các thiết bị tường lửa biên thông thường bỏ sót tới 35% các payload tấn công được mã hóa URL.

Các dữ liệu thực nghiệm này được cấu trúc trực quan qua bảng tổng hợp kết quả 7 kịch bản kiểm thử (thể hiện rõ loại tấn công, công cụ thực thi, tập luật Suricata kích hoạt và trạng thái cảnh báo) kết hợp với biểu đồ so sánh mức độ sử dụng CPU, cho thấy Suricata duy trì mức tải ổn định dưới 45% xuyên suốt các đợt tấn công ngập lụt.

Thảo luận kết quả

Kết quả nghiên cứu khẳng định Suricata là sự lựa chọn tối ưu vượt trội cho mô hình mạng giáo dục. Nhờ sở hữu kiến trúc xử lý đa luồng (Multi-threaded Engine), Suricata tận dụng tối đa sức mạnh của các bộ vi xử lý CPU đa lõi hiện đại, khắc phục hoàn toàn nhược điểm nghẽn cổ chai và rớt gói tin của kiến trúc đơn luồng trên hệ thống Snort truyền thống.

Khi so sánh với các giải pháp bảo mật thương mại hàng đầu như IBM QRadar hay McAfee NSP – vốn có chi phí bản quyền và bảo trì hàng năm lên đến hàng chục nghìn USD – giải pháp Suricata mã nguồn mở đạt hiệu quả tương đương về mặt nhận diện chữ ký xâm nhập mạng mà không phát sinh chi phí mua sắm giấy phép (0 đồng). Nghiên cứu đã chứng minh rằng việc kết hợp cấu hình đúng đắn các tập luật mở như Emerging Threats cùng giao thức cảnh báo EVE JSON chuẩn hóa cho phép đơn vị giáo dục sở hữu một hệ thống giám sát an ninh mạng tiệm cận chuẩn doanh nghiệp với mức chi phí đầu tư hạ tầng phần cứng thấp nhất.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu và thực nghiệm, luận văn đề xuất 4 nhóm giải pháp kỹ thuật và quản lý nhằm hoàn thiện hệ thống an ninh mạng cho Trường Cao đẳng Sư phạm Hà Tây:

1. Tối ưu hóa và tự động hóa cập nhật cơ sở dữ liệu luật: Quản trị viên hệ thống mạng của nhà trường cần thiết lập kịch bản tự động đồng bộ và cập nhật các bộ luật từ OISF và Emerging Threats định kỳ 24 giờ/lần, đảm bảo tỷ lệ nhận diện các biến thể mã độc và chữ ký tấn công mới luôn đạt trên 95% kể từ quý 3 năm 2022.
2. Nâng cấp hạ tầng phần cứng chuyên dụng cho NIDS: Ban Giám hiệu và Bộ phận Quản trị mạng cần bố trí ngân sách để trang bị máy chủ giám sát chuyên dụng sở hữu vi xử lý tối thiểu 8 nhân, RAM 16GB cùng card mạng hỗ trợ chế độ trinh sát (Promiscuous/Port Mirroring) tốc độ 10 Gbps trong giai đoạn 2023 - 2024 để đáp ứng lưu lượng mở rộng.
3. Triển khai mô hình an ninh kết hợp NIDS Suricata và HIDS OSSEC: Đội ngũ kỹ thuật an toàn thông tin cần triển khai cài đặt agent OSSEC trên 100% các máy chủ ứng dụng đào tạo và cơ sở dữ liệu nội bộ trong vòng 6 tháng, nhằm giám sát tính toàn vẹn của tệp tin hệ thống (FIM) và phát hiện các mối đe dọa cục bộ với thời gian cảnh báo dưới 2 giây.
4. Ban hành quy trình ứng cứu sự cố và nâng cao nhận thức bảo mật: Trung tâm Công nghệ Thông tin cần ban hành quy trình phản ứng sự cố 4 bước chuẩn hóa khi nhận cảnh báo từ Suricata, đồng thời tổ chức tối thiểu 2 khóa tập huấn an toàn thông tin mỗi năm cho 100% cán bộ, giảng viên nhằm giảm thiểu 80% rủi ro từ các cuộc tấn công phi kỹ thuật (Social Engineering).

Đối tượng nên tham khảo luận văn

Luận văn là tài liệu tham khảo chuyên môn sâu sắc và có giá trị thực tiễn cao đối với 4 nhóm đối tượng cụ thể:

• Chuyên viên quản trị mạng và an toàn thông tin tại các trường đại học, cao đẳng: Tiếp cận mô hình triển khai NIDS Suricata hoàn chỉnh từ khâu khảo sát sơ đồ mạng, phân tích cổng switch mirroring, cho đến cài đặt cấu hình tập luật tối ưu chi phí.
• Học viên cao học và sinh viên ngành Công nghệ thông tin, Khoa học máy tính, An toàn không gian mạng: Sử dụng luận văn làm tài liệu học thuật chuẩn mực để nghiên cứu sâu về cơ chế giải mã gói tin, phân tích cấu trúc chữ ký xâm nhập và phương pháp đánh giá so sánh giữa các nền tảng IDS/SIEM.
• Cán bộ quản lý CNTT và lãnh đạo các cơ quan, đơn vị giáo dục công lập: Nắm bắt cơ sở khoa học để hoạch định chiến lược đầu tư an ninh mạng theo mô hình chiều sâu, tận dụng tối đa phần mềm nguồn mở để tiết kiệm ngân sách nhà nước.
• Kỹ sư an ninh mạng, chuyên viên phân tích SOC và Pentester: Tham khảo quy trình thiết lập kịch bản thử nghiệm tấn công thực tế bao gồm 7 bước với các công cụ chuyên dụng như Nmap, Hydra, hping3 và ứng dụng thực nghiệm DVWA.

Câu hỏi thường gặp

Ưu điểm nổi bật nhất của Suricata so với Snort trong môi trường mạng thực tế là gì?
Suricata hỗ trợ cơ chế xử lý đa luồng (multi-threading) tự nhiên, giúp phân chia lưu lượng mạng đồng thời trên nhiều lõi CPU. Cơ chế này giúp tăng hiệu năng xử lý gói tin lên hơn 40% so với kiến trúc đơn luồng của Snort phiên bản truyền thống, hạn chế tối đa hiện tượng rớt gói tin khi băng thông mạng tăng cao.

Hệ thống Suricata trong luận văn hoạt động ở chế độ nào?
Hệ thống Suricata được cấu hình thử nghiệm ở chế độ phát hiện xâm nhập mạng ngoài luồng (Out-stream NIDS) thông qua cổng Mirroring của thiết bị chuyển mạch Switch. Hệ thống theo dõi thụ động toàn bộ lưu lượng mạng và xuất cảnh báo thời gian thực qua định dạng EVE JSON với độ trễ dưới 0.5 giây mà không làm gián đoạn đường truyền.

Chi phí triển khai giải pháp phát hiện xâm nhập Suricata cho một đơn vị giáo dục là bao nhiêu?
Chi phí bản quyền phần mềm Suricata là 0 đồng do phát hành theo giấy phép mã nguồn mở GNU/GPL. Điều này giúp các đơn vị giáo dục tiết kiệm từ 15.000 đến 30.000 USD mỗi năm so với việc đầu tư các giải pháp thương mại như IBM QRadar hay SolarWinds, chỉ cần đầu tư máy chủ phần cứng tiêu chuẩn.

Làm thế nào để hệ thống Suricata phát hiện được các cuộc tấn công web như SQL Injection?
Suricata tích hợp bộ phân tích giao thức HTTP chuyên sâu kết hợp với module tiền xử lý (Preprocessors). Khi kẻ tấn công gửi các câu truy vấn độc hại chứa toán tử OR hoặc UNION, module phát hiện sẽ so khớp mẫu payload với tập luật HTTP rules và kích hoạt cảnh báo tức thời với độ bao phủ trên 99%.

Yêu cầu cấu hình phần cứng tối thiểu để vận hành hệ thống Suricata thử nghiệm là gì?
Để vận hành ổn định trong mạng nội bộ trường học, máy chủ Suricata cần tối thiểu vi xử lý CPU 4 nhân, bộ nhớ RAM 8GB và 2 card mạng 1Gbps (1 card quản trị và 1 card trinh sát bắt gói tin), đảm bảo khả năng xử lý mượt mà hơn 100.000 gói tin/giây với tỷ lệ mất gói dưới 0.1%.

Kết luận

• Luận văn đã hệ thống hóa toàn diện cơ sở lý thuyết về an ninh mạng, các dạng tấn công điển hình và cơ chế hoạt động của các hệ thống phát hiện xâm nhập hiện đại.
• Đánh giá so sánh chi tiết ưu nhược điểm của 3 hệ thống mã nguồn mở (Snort, Suricata, OSSEC) và 3 hệ thống thương mại (IBM QRadar, SolarWinds SSEM, McAfee NSP).
• Triển khai thành công mô hình NIDS Suricata trên hạ tầng mạng Trường Cao đẳng Sư phạm Hà Tây, vượt qua 7 kịch bản kiểm thử tấn công thực tế với độ chính xác đạt 100%.
• Cung cấp giải pháp an ninh mạng tối ưu giúp tiết kiệm 100% chi phí bản quyền phần mềm cho các cơ sở giáo dục đào tạo công lập.
• Đề ra lộ trình hoàn thiện hệ thống giai đoạn 2022 - 2024 kết hợp mô hình phòng thủ lai ghép NIDS và HIDS để bảo vệ toàn diện hệ thống thông tin 24/7.

Quý độc giả, các nhà nghiên cứu và quản trị viên hệ thống quan tâm có thể khai thác trực tiếp các cấu hình mẫu và kịch bản kiểm thử trong toàn văn công trình để ứng dụng nâng cao mức độ an toàn thông tin cho đơn vị của mình ngay hôm nay.