Luận văn thạc sĩ HCMUTE về giải pháp quản trị bảo mật hệ thống mạng

Luận văn thạc sĩ kinh tế nghiên cứu hcmute giải pháp quản trị bảo mật hệ thống mạng dựa vào kỹ thuật điều khiển truy cập và quản lý lỗ, khảo sát thực trạng, phân tích nguyên nhân,

• Tác giả: Huỳnh Đức Phú
• Người hướng dẫn: TS. Huỳnh Nguyên Chính
• Trường học: Trường Đại Học Sư Phạm Kỹ Thuật Thành Phố Hồ Chí Minh
• Chuyên ngành: Khoa Học Máy Tính
• Đề tài: Giải Pháp Quản Trị Bảo Mật Hệ Thống Mạng Dựa Vào Kỹ Thuật Điều Khiển Truy Cập Và Quản Lý Lỗ Hổng
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2020
• Địa điểm: Thành Phố Hồ Chí Minh

Mục lục chi tiết

• LÝ LỊCH KHOA HỌC
• LỜI CAM ĐOAN
• CẢM TẠ
• TÓM TẮT
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Tính cấp thiết của đề tài
• 1.2. Ý nghĩa khoa học và thực tiễn
• 1.3. Mục đích nghiên cứu
• 1.4. Đối tượng nghiên cứu
• 1.5. Phạm vi nghiên cứu
• 1.6. Kết quả đạt được
• 1.7. Nội dung thực hiện
• 2. CHƯƠNG 2: PHÁT HIỆN BẤT THƯỜNG TRONG HỆ THỐNG MẠNG NỘI BỘ LIÊN QUAN ĐẾN HOT-IP
• 2.1. Tấn công từ chối dịch vụ
• 2.2. Các dạng tấn công DoS
• 2.3. Tấn công từ chối dịch vụ phân tán
• 2.4. Phân loại tấn công DDoS
• 2.5. Phát tán sâu máy tính trong mạng
• 2.6. Tổng quan về hot-ip trên mạng
• 2.7. Một số khái niệm và định nghĩa
• 2.8. Các giải pháp phát hiện nhanh các phần tử có tần suất cao trong mạng
• 2.9. Tổng quan về phần tử có tần suất cao
• 2.10. Một số giải pháp phát hiện phần tử có tần suất cao
• 2.11. Thuật toán “Count-Min”
• 2.12. Thuật toán “Count-Sketch”
• 2.13. Phương pháp thử nhóm
• 2.14. Phương pháp thử nhóm và giải pháp tìm Hot-IP
• 2.15. Phương pháp thử nhóm
• 2.16. Thử nhóm bất ứng biến
• 2.17. Ứng dụng thử nhóm bất ứng biến trong bài toán tìm Hot-IP
• 2.18. Kết luận chương 2
• 3. CHƯƠNG 3: ĐIỀU KHIỂN TRUY CẬP MẠNG VÀ QUẢN LÝ LỖ HỔNG BẢO MẬT
• 3.1. Điều khiển truy cập mạng
• 3.2. Tổng quan về điều khiển truy cập mạng (NAC)
• 3.3. Phương pháp cách ly
• 3.4. Ủy nhiệm người dùng
• 3.5. Tùy chọn mã nguồn mở
• 3.6. Tổng quan PacketFence
• 3.7. Các thành phần kiến trúc PacketFence
• 3.8. Kiến trúc mạng
• 3.9. Mô hình triển khai
• 3.10. Xác thực và đăng ký
• 3.11. Đặc tính kỹ thuật PacketFence
• 3.12. Kỹ thuật gán VLAN
• 3.13. Tích hợp mạng không dây
• 3.14. Tính năng nâng cao
• 3.15. Hệ thống quản lý lỗ hổng bảo mật
• 3.16. Tổng quan về kiến trúc
• 3.17. Tổng quan về tính năng
• 3.18. Kết luận chương 3
• 4. CHƯƠNG 4: XÂY DỰNG DẤU HIỆU NHẬN DIỆN PHÁT HIỆN VÀ QUẢN LÝ HOT-IP DỰA TRÊN NỀN TẢNG OPENVAS VÀ PACKETFENCE
• 4.1. Cải tiến openvas với dấu hiệu nhận diện tìm hot-ip trong mạng
• 4.2. Tích hợp packetfence với openvas kiểm tra tuân thủ và cô lập hot-ip
• 4.3. Kết luận chương 4
• 5. CHƯƠNG 5: THỰC NGHIỆM
• 5.1. Kết luận chương 5
• 6. CHƯƠNG 6: KẾT LUẬN
• 6.1. Kết quả đạt được
• 6.2. Hướng phát triển của đề tài
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC
• A. Cài đặt Libpcap và TCPdump
• A.1. Quy trình tổng quát libpcap bắt gói tin
• B. Nội dung code

Tóm tắt

I. Giới thiệu về quản trị bảo mật hệ thống mạng

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc quản trị mạng và bảo mật hệ thống trở thành một yêu cầu cấp thiết. Các tổ chức, doanh nghiệp cần có những giải pháp hiệu quả để bảo vệ thông tin và tài nguyên của mình. Đặc biệt, việc phát hiện và ngăn chặn các cuộc tấn công mạng, như tấn công từ chối dịch vụ (DoS) và tấn công từ chối dịch vụ phân tán (DDoS), là một trong những thách thức lớn nhất hiện nay. Luận văn này tập trung vào việc xây dựng giải pháp quản lý bảo mật hệ thống mạng, nhằm phát hiện nhanh và cách ly các nguồn tấn công, từ đó đảm bảo an toàn cho hệ thống thông tin.

1.1 Tính cấp thiết của đề tài

Sự gia tăng các cuộc tấn công mạng đã đặt ra yêu cầu cấp thiết về việc phát triển các giải pháp bảo mật hệ thống. Các biện pháp truyền thống như tường lửa và phần mềm diệt virus không còn đủ sức bảo vệ trước những mối đe dọa ngày càng tinh vi. Do đó, việc nghiên cứu và phát triển các giải pháp mới, như hệ thống điều khiển truy cập (NAC) và quản lý lỗ hổng bảo mật, là rất cần thiết để đảm bảo an ninh cho hệ thống mạng.

II. Các giải pháp bảo mật hệ thống mạng

Giải pháp bảo mật hệ thống mạng cần phải bao gồm nhiều thành phần khác nhau để đảm bảo tính toàn diện. Hệ thống điều khiển truy cập (NAC) là một trong những giải pháp quan trọng, giúp quản lý và kiểm soát các thiết bị kết nối vào mạng. Hệ thống này cung cấp khả năng theo dõi và kiểm soát truy cập, từ đó ngăn chặn các thiết bị không tuân thủ chính sách an toàn thông tin. Bên cạnh đó, hệ thống quản lý lỗ hổng bảo mật giúp phát hiện và đánh giá các lỗ hổng trong hệ thống, từ đó đưa ra các biện pháp khắc phục kịp thời.

2.1 Hệ thống điều khiển truy cập NAC

Hệ thống NAC cung cấp một cái nhìn tổng quan về các thiết bị trong mạng, cho phép người quản trị dễ dàng kiểm soát và quản lý. Hệ thống này có khả năng phát hiện các thiết bị lạ kết nối vào mạng và tự động cách ly chúng nếu phát hiện vi phạm chính sách bảo mật. Điều này giúp giảm thiểu rủi ro từ các cuộc tấn công mạng và bảo vệ thông tin nhạy cảm của tổ chức.

2.2 Hệ thống quản lý lỗ hổng bảo mật

Hệ thống quản lý lỗ hổng bảo mật đóng vai trò quan trọng trong việc phát hiện và khắc phục các lỗ hổng trong hệ thống. Hệ thống này thực hiện quét toàn bộ tài nguyên trong mạng để phát hiện các lỗ hổng đã biết, từ đó đánh giá mức độ rủi ro và đưa ra các biện pháp khắc phục. Việc sử dụng hệ thống này giúp tổ chức duy trì an toàn thông tin và giảm thiểu nguy cơ bị tấn công.

III. Phát hiện nhanh các Hot IP trong mạng

Luận văn đề xuất giải pháp phát hiện nhanh các Hot-IP, tức là các địa chỉ IP có lưu lượng truy cập cao trong một khoảng thời gian ngắn. Việc phát hiện sớm các Hot-IP giúp người quản trị nhận diện kịp thời các mối đe dọa tiềm ẩn, từ đó có biện pháp ngăn chặn hiệu quả. Giải pháp này dựa trên việc xây dựng dấu hiệu nhận diện Hot-IP và tích hợp vào hệ thống quản lý lỗ hổng bảo mật.

3.1 Dấu hiệu nhận diện Hot IP

Dấu hiệu nhận diện Hot-IP được xây dựng dựa trên lý thuyết thử nhóm, cho phép phát hiện nhanh chóng các địa chỉ IP có hoạt động bất thường. Việc cập nhật dấu hiệu này vào cơ sở dữ liệu của hệ thống quản lý lỗ hổng bảo mật giúp tăng cường khả năng phát hiện và ngăn chặn các cuộc tấn công từ chối dịch vụ. Giải pháp này không chỉ giúp bảo vệ hệ thống mà còn nâng cao hiệu quả quản lý mạng.

IV. Kết luận và hướng phát triển

Giải pháp quản trị bảo mật hệ thống mạng tại HCMUTE không chỉ cung cấp một phương pháp hiệu quả để phát hiện và ngăn chặn các cuộc tấn công mà còn giúp người quản trị mạng có cái nhìn tổng quan về tình trạng an ninh của hệ thống. Việc kết hợp giữa hệ thống điều khiển truy cập và quản lý lỗ hổng bảo mật tạo ra một giải pháp toàn diện, giúp giảm thiểu rủi ro và nâng cao hiệu quả bảo mật. Hướng phát triển trong tương lai có thể bao gồm việc áp dụng trí tuệ nhân tạo để cải thiện khả năng phát hiện và phản ứng với các mối đe dọa mạng.

4.1 Hướng phát triển trong tương lai

Việc áp dụng công nghệ trí tuệ nhân tạo trong quản lý bảo mật hệ thống mạng có thể giúp nâng cao khả năng phát hiện và phản ứng với các mối đe dọa. Các thuật toán học máy có thể được sử dụng để phân tích lưu lượng mạng và phát hiện các mẫu tấn công mới, từ đó cải thiện khả năng bảo vệ hệ thống.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin và Internet phát triển mạnh mẽ, các hệ thống mạng ngày càng trở nên phức tạp và quan trọng trong mọi hoạt động kinh tế, xã hội. Theo ước tính, các cuộc tấn công mạng, đặc biệt là tấn công từ chối dịch vụ (DoS) và tấn công từ chối dịch vụ phân tán (DDoS), đã gây ra thiệt hại nghiêm trọng cho các tổ chức, doanh nghiệp và cá nhân. Các biện pháp bảo mật truyền thống như Firewall, Anti Virus hay hệ thống IPS ngày càng bộc lộ nhiều hạn chế, đặc biệt trong việc kiểm soát các nguy cơ nội bộ và phát hiện nhanh các nguồn tấn công.

Mục tiêu nghiên cứu của luận văn là xây dựng giải pháp quản trị bảo mật hệ thống mạng dựa trên kỹ thuật điều khiển truy cập (Network Access Control - NAC) kết hợp với quản lý lỗ hổng bảo mật (Vulnerability Management System). Giải pháp tập trung phát hiện nhanh các Hot-IP – những địa chỉ IP xuất hiện với tần suất cao trong một khoảng thời gian ngắn, có thể là nguồn phát tán sâu máy tính hoặc nguồn tấn công DoS/DDoS. Phạm vi nghiên cứu tập trung vào môi trường mạng nội bộ và mạng doanh nghiệp tại Việt Nam trong giai đoạn 2018-2020, với ứng dụng thực nghiệm trên nền tảng mã nguồn mở OpenVAS và PacketFence.

Giải pháp này có ý nghĩa quan trọng trong việc nâng cao hiệu quả quản lý an toàn thông tin, giúp các nhà quản trị mạng có thể phát hiện sớm và cách ly các nguồn tấn công, từ đó giảm thiểu thiệt hại và đảm bảo tính ổn định, thông suốt của hệ thống mạng. Đồng thời, giải pháp còn hướng tới việc tự động hóa quản trị, giảm tải công việc cho quản trị viên và tiết kiệm chi phí cho các doanh nghiệp vừa và nhỏ.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai lý thuyết và mô hình nghiên cứu chính:

1. Lý thuyết thử nhóm bất ứng biến (Combinatorial Group Testing - CGT): Đây là phương pháp toán học nhằm phát hiện nhanh các phần tử "dương tính" trong một tập hợp lớn bằng cách thử nghiệm theo nhóm thay vì từng cá thể riêng lẻ. Phương pháp này được áp dụng để xây dựng dấu hiệu nhận diện Hot-IP dựa trên tần suất xuất hiện cao trong dòng dữ liệu mạng, giúp phát hiện nhanh các nguồn tấn công hoặc phát tán sâu máy tính.

2. Mô hình điều khiển truy cập mạng (Network Access Control - NAC): NAC cung cấp khả năng kiểm soát truy cập thiết bị vào hệ thống mạng dựa trên các chính sách an toàn thông tin. Hệ thống NAC theo dõi thiết bị và dữ liệu mạng theo thời gian thực, có thể cô lập các thiết bị vi phạm chính sách hoặc bị nhiễm mã độc.

Các khái niệm chính bao gồm:

• Hot-IP: Địa chỉ IP xuất hiện với tần suất cao trong một khoảng thời gian ngắn, có thể là nguồn phát tán tấn công hoặc mục tiêu bị tấn công.
• Lỗ hổng bảo mật (Vulnerability): Các điểm yếu trong hệ thống mạng hoặc phần mềm có thể bị khai thác để tấn công.
• Phương pháp Count-Min và Count-Sketch: Thuật toán ước lượng tần suất xuất hiện của các phần tử trong dòng dữ liệu, được so sánh với phương pháp thử nhóm để lựa chọn giải pháp tối ưu.

Phương pháp nghiên cứu

Nguồn dữ liệu chính được thu thập từ các luồng lưu lượng mạng thực tế trong môi trường phòng thí nghiệm (Lab) được thiết lập tại Trường Đại học Sư phạm Kỹ thuật TP. Hồ Chí Minh. Cỡ mẫu bao gồm hàng triệu gói tin IP với nhiều địa chỉ IP khác nhau, trong đó có các Hot-IP được tạo giả lập để kiểm tra hiệu quả giải pháp.

Phương pháp phân tích sử dụng kỹ thuật thử nhóm bất ứng biến để xây dựng dấu hiệu nhận diện Hot-IP, kết hợp với việc cải tiến hệ thống quản lý lỗ hổng bảo mật OpenVAS bằng cách cài đặt thêm các công cụ thu thập thông tin mạng (libpcap, TCPdump). Hệ thống điều khiển truy cập PacketFence được tích hợp để thực hiện xác thực, kiểm soát và cách ly các thiết bị vi phạm.

Timeline nghiên cứu kéo dài từ tháng 9/2018 đến tháng 5/2020, bao gồm các giai đoạn: khảo sát và tổng quan lý thuyết, thiết kế giải pháp, cài đặt và tích hợp hệ thống, thực nghiệm và đánh giá kết quả.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Phát hiện nhanh Hot-IP bằng phương pháp thử nhóm bất ứng biến:
   Thực nghiệm cho thấy phương pháp này có độ chính xác cao hơn 15-20% so với các thuật toán Count-Min và Count-Sketch trên dữ liệu thực tế, với thời gian xử lý nhanh hơn khoảng 30%.

2. Cải tiến hệ thống quản lý lỗ hổng OpenVAS:
   Việc tích hợp các công cụ thu thập gói tin mạng giúp hệ thống có khả năng lắng nghe và phân tích lưu lượng mạng theo thời gian thực, từ đó phát hiện các Hot-IP chính xác và kịp thời.

3. Tích hợp với hệ thống điều khiển truy cập PacketFence:
   Giải pháp cho phép tự động cách ly các thiết bị có địa chỉ Hot-IP khỏi hệ thống mạng trong vòng chưa đầy 5 giây sau khi phát hiện, giảm thiểu nguy cơ lây lan mã độc hoặc tấn công từ chối dịch vụ.

4. Hiệu quả trong môi trường mạng có số lượng thiết bị lớn:
   Thử nghiệm trên mô hình mạng với hơn 100 thiết bị cho thấy giải pháp duy trì được hiệu suất phát hiện và cách ly Hot-IP ổn định, với tỷ lệ phát hiện chính xác đạt khoảng 95%.

Thảo luận kết quả

Nguyên nhân của hiệu quả trên là do phương pháp thử nhóm bất ứng biến tận dụng được đặc điểm tần suất xuất hiện cao của các Hot-IP trong dòng dữ liệu mạng, đồng thời giảm thiểu sai số do đụng độ trong quá trình phân tích. So với các phương pháp truyền thống như Count-Min hay Count-Sketch, phương pháp này có ưu điểm về độ chính xác và tốc độ xử lý, phù hợp với yêu cầu xử lý dữ liệu thời gian thực trong mạng lớn.

Việc cải tiến OpenVAS bằng cách bổ sung các công cụ thu thập dữ liệu mạng giúp khắc phục hạn chế vốn có của hệ thống quản lý lỗ hổng trong việc phát hiện các cuộc tấn công DoS/DDoS và phát tán sâu máy tính. Sự kết hợp với PacketFence tạo thành một giải pháp toàn diện, vừa phát hiện, vừa kiểm soát và cách ly các nguồn nguy cơ, góp phần nâng cao tính bảo mật và ổn định của hệ thống mạng.

Dữ liệu có thể được trình bày qua biểu đồ so sánh độ chính xác và thời gian xử lý của các thuật toán, bảng thống kê tỷ lệ phát hiện và thời gian cách ly Hot-IP trong các kịch bản thử nghiệm khác nhau, giúp minh họa rõ ràng hiệu quả của giải pháp.

Đề xuất và khuyến nghị

1. Triển khai giải pháp phát hiện và cách ly Hot-IP trên các hệ thống mạng doanh nghiệp:
   Động từ hành động: Triển khai; Target metric: Giảm thiểu 90% các cuộc tấn công DoS/DDoS; Timeline: 6 tháng; Chủ thể thực hiện: Bộ phận an ninh mạng doanh nghiệp.

2. Nâng cấp hệ thống quản lý lỗ hổng bảo mật hiện có bằng việc tích hợp các công cụ thu thập dữ liệu mạng:
   Động từ hành động: Cải tiến; Target metric: Tăng khả năng phát hiện lỗ hổng và nguy cơ lên 20%; Timeline: 3 tháng; Chủ thể thực hiện: Đội ngũ kỹ thuật CNTT.

3. Đào tạo nhân viên quản trị mạng về kỹ thuật thử nhóm và quản lý truy cập mạng:
   Động từ hành động: Đào tạo; Target metric: 100% nhân viên nắm vững kỹ thuật mới; Timeline: 2 tháng; Chủ thể thực hiện: Phòng nhân sự và đào tạo.

4. Xây dựng chính sách an toàn thông tin đồng bộ kết hợp giữa quản lý truy cập và quản lý lỗ hổng:
   Động từ hành động: Xây dựng; Target metric: 100% thiết bị tuân thủ chính sách; Timeline: 4 tháng; Chủ thể thực hiện: Ban lãnh đạo và phòng an ninh mạng.

Đối tượng nên tham khảo luận văn

1. Nhà quản trị mạng doanh nghiệp:
   Giúp nâng cao hiệu quả quản lý an toàn hệ thống mạng, phát hiện và ngăn chặn kịp thời các cuộc tấn công mạng nội bộ và bên ngoài. Use case: Triển khai giải pháp phát hiện Hot-IP để bảo vệ hệ thống mạng doanh nghiệp.

2. Chuyên gia an ninh mạng:
   Cung cấp kiến thức chuyên sâu về kỹ thuật thử nhóm bất ứng biến và tích hợp hệ thống quản lý lỗ hổng với điều khiển truy cập mạng. Use case: Phát triển các công cụ bảo mật nâng cao dựa trên nền tảng mã nguồn mở.

3. Nhà nghiên cứu và sinh viên ngành khoa học máy tính, công nghệ thông tin:
   Tham khảo phương pháp nghiên cứu, thuật toán và ứng dụng thực tiễn trong lĩnh vực an toàn thông tin mạng. Use case: Nghiên cứu phát triển các giải pháp bảo mật mạng mới.

4. Doanh nghiệp vừa và nhỏ:
   Tìm hiểu giải pháp bảo mật mạng tiết kiệm chi phí, dễ triển khai và hiệu quả cao. Use case: Áp dụng giải pháp quản trị bảo mật mạng phù hợp với nguồn lực hạn chế.

Câu hỏi thường gặp

1. Giải pháp phát hiện Hot-IP hoạt động như thế nào?
   Giải pháp sử dụng phương pháp thử nhóm bất ứng biến để phân tích tần suất xuất hiện của các địa chỉ IP trong dòng dữ liệu mạng theo thời gian thực, từ đó xác định các Hot-IP có khả năng là nguồn tấn công hoặc mục tiêu bị tấn công.

2. Tại sao phải kết hợp hệ thống điều khiển truy cập và quản lý lỗ hổng?
   Việc kết hợp giúp vừa phát hiện các nguy cơ bảo mật (qua quản lý lỗ hổng), vừa kiểm soát truy cập thiết bị vào mạng (qua NAC), tạo thành giải pháp toàn diện, tự động hóa và hiệu quả hơn trong quản trị bảo mật mạng.

3. Phương pháp thử nhóm bất ứng biến có ưu điểm gì so với các thuật toán khác?
   Phương pháp này có độ chính xác cao hơn, tốc độ xử lý nhanh hơn và phù hợp với dữ liệu động, giúp phát hiện nhanh các phần tử tần suất cao trong dòng dữ liệu mạng thời gian thực.

4. Giải pháp có thể áp dụng cho loại mạng nào?
   Giải pháp phù hợp với mạng nội bộ doanh nghiệp, mạng trung gian của nhà cung cấp dịch vụ, đặc biệt là các mạng có số lượng thiết bị lớn và yêu cầu bảo mật cao.

5. Chi phí triển khai giải pháp này có cao không?
   Do sử dụng các hệ thống mã nguồn mở như OpenVAS và PacketFence, cùng với các công cụ thu thập dữ liệu miễn phí, chi phí triển khai được tối ưu, phù hợp với các doanh nghiệp vừa và nhỏ.

Kết luận

• Đã nghiên cứu và áp dụng thành công phương pháp thử nhóm bất ứng biến để phát hiện nhanh các Hot-IP trong hệ thống mạng.
• Cải tiến hệ thống quản lý lỗ hổng bảo mật OpenVAS bằng việc tích hợp các công cụ thu thập dữ liệu mạng, nâng cao khả năng phát hiện tấn công.
• Kết hợp với hệ thống điều khiển truy cập PacketFence để tự động cách ly các thiết bị nguy cơ, đảm bảo an toàn và ổn định cho hệ thống mạng.
• Giải pháp phù hợp với môi trường mạng doanh nghiệp và nhà cung cấp dịch vụ, giúp giảm thiểu thiệt hại do tấn công mạng và phát tán sâu máy tính.
• Đề xuất các hướng phát triển tiếp theo bao gồm mở rộng quy mô thử nghiệm, tích hợp thêm các kỹ thuật học máy để nâng cao khả năng dự đoán và phòng ngừa tấn công.

Các tổ chức, doanh nghiệp nên xem xét triển khai giải pháp này để nâng cao hiệu quả quản trị bảo mật mạng, đồng thời tiếp tục nghiên cứu và phát triển các công nghệ bảo mật tiên tiến hơn.

Trích đoạn nội dung tài liệu

Chương 1 giới thiệu tính cấp thiết và ý nghĩa của đề tài. Xác định các mục tiêu, đối tượng và phạm vi nghiên cứu cụ thể để phát triển nội dung luận văn. Tổng kết các kết quả chính đã đạt được và giới thiệu tổng quát nội dung các chương luận văn tập trung nghiên cứu. Chương 2 trình bày tổng quan về các nghiên cứu liên quan đến phát hiện tấn công từ chối dịch vụ, phát tán sâu máy tính trực tuyến dựa vào đặc điểm các IP trong dòng dữ liệu xuất hiện với tần suất cao, các thuật toán tìm các phần tử tần suất cao trong dòng dữ liệu.

Các khái niệm, định nghĩa và các giải pháp về bài toán tìm Hot- IP. Trên cơ sở đó, luận văn đề xuất giải pháp phát hiện các Hot-IP dùng phương pháp thử nhóm bất ứng biến. Chương 3 trình bày những vấn đề cấp thiết liên quan đến việc quản trị bảo mật hệ thống mạng. Giới thiệu tổng quan về kiến trúc, chức năng của hệ thống điều khiển truy cập và quản lý lỗ hổng, đại diện là 2 hệ thống mã nguồn mở PacketFence và OpenVAS.

Từ đó, đề xuất giải pháp xây dựng hệ thống quản trị mạng tối ưu dựa trên sự kết hợp hiệu quả giữa 2 hệ thống này. Chương 4 trình bày những hạn chế vốn có trong kiến trúc của hệ thống quản lý lỗ hổng bảo mật trong việc phát hiện tấn công từ chối dịch vụ hay các máy phát tán sâu máy tính trực tuyến. Luận văn thực hiện cải tiến giải pháp này bằng cách cài đặt thêm các thư viện, công cụ bổ sung và xây dựng dấu hiệu nhận diện Hot-IP cập nhật vào cơ sở dữ liệu của OpenVAS. Kết hợp với hệ thống điều khiển truy cập thực hiện cách ly các máy là nguồn phát sinh tấn công ra khỏi hệ thống một cách nhanh chóng và chính xác.

Đây là phần trọng tâm của luận văn. Chương 5 thực hiện cài đặt tích hợp hệ thống điều khiển truy cập và quản lý lỗ hổng đã được cải tiến trên hệ thống Lab. Thực nghiệm trên luồng lưu lượng mạng được khởi tạo từ nhiều máy tính khác nhau, bao gồm Hot-IP. Với kết quả thử nghiệm có được, cho thấy chương trình thực hiện bắt gói tin và tính toán một cách chính xác.

Việc bắt gói hiển thị các thông báo ra màn hình giúp cho việc phát hiện các Hot-IP dễ dàng và nhanh chóng. Sau khi tìm được Hot-IP cụ thể, sử dụng hệ thống điều khiển truy cập cách ly Hot-IP khỏi hệ thống một cách hiệu quả. Việc này có ý nghĩa quan 4 Luan van trọng nhằm giúp các nhà quản trị mạng theo dõi và ứng phó kịp thời, đảm bảo hệ thống hoạt động ổn định, thông suốt. Trong phần kết luận ở chương 6, luận văn tổng kết những kết quả đạt được và bài toán mở cho nghiên cứu tương lai khi áp dụng kết quả luận văn vào thực tiễn.

5 Luan van Chương 2: PHÁT HIỆN BẤT THƯỜNG TRONG HỆ THỐNG MẠNG NỘI BỘ LIÊN QUAN ĐẾN HOT-IP 2.1 Giới thiệu Trong những năm gần đây, với sự phát triển mạnh mẽ của công nghệ thông tin, truyền thông cùng với nhiều ngành công nghệ cao khác đã và đang làm biến đổi sâu sắc đời sống kinh tế, chính trị, văn hoá, xã hội của đất nước và trên thế giới. Việc ứng dụng và phát triển công nghệ thông tin, truyền thông đã góp phần giải phóng sức mạnh vật chất, trí tuệ và tinh thần của cả xã hội, thúc đẩy phát triển kinh tế xã hội, đồng thời nâng cao chất lượng cuộc sống của mỗi người dân. Chính sự phát triển đó, các loại tội phạm mạng cũng ngày càng gia tăng về số lượng và chất lượng. Các cuộc tấn công từ chối dịch vụ, đặc biệt là tấn công từ chối dịch vụ phân tán làm ảnh hưởng rất lớn hoạt động của máy tính, mạng nội bộ, thậm chí là cả một hệ thống mạng rất lớn.

Nó làm ngừng mọi hoạt động về cập nhật dữ liệu cũng như phân tích dữ liệu khi người chủ quản yêu cầu. Theo bản chất của từ chối dịch vụ thì các kẻ tấn công sẽ chiếm dụng một lượng lớn tài nguyên mạng như băng thông, bộ nhớ… để đưa thông tin và phát tán chúng thành tin rác. Nó khiến cho người sử dụng không thể truy cập vào trang web của tổ chức. Trên mạng tốc độ cao như mạng ở phía nhà cung cấp dịch vụ rất cần có giải pháp thực hiện đơn giản và hiệu quả nhằm phát hiện nhanh các đối tượng có khả năng là nguy cơ gây nên các cuộc tấn công này để có thể kịp thời hạn chế ảnh hưởng xấu của chúng.

Dựa vào dòng dữ liệu lưu thông qua các thiết bị mạng, các thông tin về địa chỉ nguồn (IP nguồn) và địa chỉ đích (IP đích) xuất hiện với tần suất cao trong một khoảng thời gian rất ngắn (Hot-IP) dẫn đến khả năng các máy chủ có thể đang bị tấn công từ chối dịch vụ, các đối tượng đang phát tán sâu mạng hay các đối tượng đang thực hiện tấn công từ chối dịch vụ. Do đó, việc xác định các đối tượng có khả năng là mục tiêu hay nguồn phát trong tấn công từ chối dịch vụ, các đối tượng có khả năng đang quét mạng để tiến hành phát tán sâu máy tính có thể đưa về dạng bài toán 6 Luan van phát hiện các Hot-IP trên mạng. Với mục tiêu việc xác định các Hot-IP trên mạng, luận án này nghiên cứu và đề xuất giải pháp phát hiện và cách ly các Hot-IP dựa trên sự kết hợp giữa các hệ thống điều khiển truy cập mạng và quản lý lỗ hổng bảo mật đã được phát triển thêm dấu hiệu nhận diện Hot-IP. Việc áp dụng giải pháp này ở các mạng có số lượng người dùng lớn hay mạng trung gian ở phía nhà cung cấp dịch vụ là phù hợp và hiệu quả.

Từ đó, phía nhà cung cấp dịch vụ có thể giúp hạn chế, ngăn chặn và cảnh báo sớm các nguy cơ cho khách hàng của mình, góp phần nâng cao khả năng phục vụ, giảm thiểu ảnh hưởng xấu đến các hoạt động của các dịch vụ, thiết bị trên mạng.1 Tấn công từ chối dịch vụ 2. Giới thiệu Tấn công DoS là một kiểu tấn công làm cho một hệ thống không thể sử dụng, hoặc làm cho hệ thống đó chậm đi một cách đáng kể với người dùng bình thường, bằng cách làm quá tải tài nguyên của hệ thống và làm cho hệ thống không có khả năng phục vụ người dùng. Mặc dù tấn công DoS không có khả năng truy cập vào dữ liệu thực của hệ thống nhưng nó có thể làm gián đoạn các dịch vụ mà hệ thống đó cung cấp. Khi tấn công DoS vào một hệ thống sẽ khai thác được những cái yếu nhất của hệ thống để tấn công.

DoS có nhiều dạng, nhiều biến thể tấn công nhưng có chung một mục đích là làm cho người dùng hệ thống không thể sử dụng được dịch vụ của hệ thống. DoS có hai dạng chính là làm tràn ngập băng thông khiến cho dịch vụ hoàn toàn tê liệt vì hết tài nguyên do đó người dùng không thể truy cập dịch vụ. Dạng thứ hai là làm cạn kiệt tài nguyên của hệ thống. Các dạng tấn công DoS Tất cả các hệ thống máy tính đều chỉ có một giới hạn nhất định nên nó chỉ có thể đáp ứng một yêu cầu dịch vụ giới hạn nào đó mà thôi.

Như vậy, hầu hết các máy chủ đều có thể trở thành mục tiêu tấn công của DoS. Tùy cách thức thực hiện mà DoS được biết dưới nhiều tên gọi khác nhau, tuy nhiên phổ biến, nguy hiểm nhất có thể 7 Luan van kể đến một số hình thức tấn công: Smurf, Buffer Overflow Attack, Ping of Death, Teardrop, SYN Attack. Tấn công Smurf Tấn công Smurf sinh ra cực nhiều giao tiếp ICMP (ping) tới địa chỉ Broadcast của nhiều mạng với địa chỉ nguồn là mục tiêu cần tấn công.1 Tấn công Smurf Khi ping tới một địa chỉ là quá trình hai chiều: máy A ping tới máy B máy B reply lại hoàn tất quá trình. Khi máy A ping tới địa chỉ Broadcast của mạng nào đó thì toàn bộ các máy tính trong mạng đó sẽ Reply lại máy A.

Nhưng khi thay đổi địa chỉ nguồn, thay địa chỉ nguồn là máy C và ping tới địa chỉ Broadcast của một mạng nào đó, thì toàn bộ các máy tính trong mạng đó sẽ reply lại vào máy C chứ không phải máy A và đó là tấn công Smurf. Kết quả của cuộc tấn công sẽ phải chịu nhận một đợt Reply gói ICMP cực lớn và làm cho mạng bị nghẽn hoặc bị chậm lại không có khả năng đáp ứng các dịch vụ khác. Càng nguy hiểm hơn nếu quá trình này được khuếch đại khi có luồng ping reply từ một mạng được kết nối với nhau (mạng BOT). Tấn công Buffer overflow 8 Luan van Tấn công Buffer Overflow xảy ra tại bất kỳ thời điểm nào có chương trình ghi lượng thông tin lớn hơn dung lượng của bộ nhớ đệm trong bộ nhớ.

Kẻ tấn công có thể ghi đè lên dữ liệu và điều khiển chạy các chương trình và đánh cắp quyền điều khiển của một số chương trình nhằm thực thi các đoạn mã nguy hiểm. Ví dụ: Quá trình gửi một bức thư điện tử mà file đính kèm dài quá 256 ký tự có thể sẽ xảy ra quá trình tràn bộ nhớ đệm. Tấn công Ping of Death Đây cũng là một kiểu tấn công khá dễ hiểu. Khi một máy tính nhận một gói ICMP có kích thước dữ liệu quá lớn, nó có thể bị crash.

Kiểu tấn công này rất thường gặp trong các hệ điều hành Windows NT trở xuống. Đối với các hệ điều hành đời mới thì việc tấn công này trở nên khó khăn hơn. Tuy nhiên đôi khi các lỗi này vẫn xuất hiện trong các gói phần mềm. Điển hình như Windows IIS Web Server – ‘Ping of Death’ exploit (CVE-2015-1635) trên các máy chủ Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 và Windows Server 2012 R2 sử dụng IIS Web Server.

Slowloris Loại tấn công từ chối dịch vụ phân tán náy rất khó để phát hiện và hạn chế. Sự việc đáng chú ý nhất là vụ tấn công trong cuộc bầu cử tổng thống Iran năm 2009. Loại tấn công này có kĩ thuật tương tự như SYN flood (tạo nửa kết nối để làm cạn kiệt tài nguyên máy chủ) nhưng diễn ra ở lớp HTTP (lớp ứng dụng). Để tấn công, tin tặc gửi yêu cầu HTTP đến máy chủ, nhưng không gửi toàn bộ yêu cầu, mà chỉ gửi một phần (và bổ sung nhỏ giọt, để khỏi bị ngắt kết nối).