Xây dựng hệ thống giám sát hoạt động của mạng máy tính dựa vào phần mềm nguồn mở

Đề tài nghiên cứu xây dựng hệ thống giám sát mạng máy tính toàn diện bằng phần mềm nguồn mở. Hướng dẫn cài đặt Snort, Nagios và Cacti chi tiết.

• Người hướng dẫn: ThS. Huỳnh Nguyên Chính
• Trường học: Trường Đại Học Sư Phạm Kỹ Thuật Thành Phố Hồ Chí Minh
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Giám Sát Mạng Máy Tính Bằng Phần Mềm Nguồn Mở Hiệu Quả
• Loại tài liệu: Công Trình Nghiên Cứu Khoa Học Cấp Trường
• Năm xuất bản: 2013
• Địa điểm: Thành Phố Hồ Chí Minh

Tóm tắt

I. Tầm Quan Trọng của Giám Sát Mạng Máy Tính

Trong thời đại kỹ thuật số, giám sát mạng máy tính đã trở thành một yếu tố không thể thiếu để bảo vệ hệ thống thông tin của các tổ chức và doanh nghiệp. Việc giám sát hoạt động mạng giúp phát hiện sớm các lỗ hổng bảo mật, những cuộc tấn công tiềm ẩn và các sự cố hệ thống. Sử dụng phần mềm nguồn mở để giám sát mạng không chỉ giúp tiết kiệm chi phí mà còn mang lại tính linh hoạt cao trong triển khai và tùy chỉnh theo nhu cầu thực tế. Bảo mật hệ thống mạng đòi hỏi một cách tiếp cận toàn diện, từ phát hiện đến phòng chống xâm nhập. Các công cụ nguồn mở như Snort, Nagios và Cacti đã chứng minh hiệu quả cao trong việc xây dựng hệ thống giám sát an toàn và tin cậy.

1.1. Vai Trò của Hệ Thống Giám Sát

Hệ thống giám sát mạng cung cấp cái nhìn toàn diện về trạng thái hoạt động của các thiết bị và dịch vụ. Nó giúp phát hiện mối đe dọa bảo mật trong thời gian thực, từ đó cho phép các quản trị viên ứng phó nhanh chóng. Việc giám sát lưu lượng mạng và theo dõi hiệu suất hệ thống là chìa khóa để duy trì độ tin cậy của mạng máy tính.

1.2. Lợi Ích Sử Dụng Phần Mềm Nguồn Mở

Phần mềm giám sát nguồn mở mang đến nhiều ưu điểm như chi phí thấp, công khai mã nguồn và cộng đồng hỗ trợ lớn. Các công cụ này cho phép tùy chỉnh giám sát mạng theo đúng yêu cầu của tổ chức. Độc lập về nhà cung cấp là lợi ích quan trọng giúp tránh bị ràng buộc vào các giải pháp thương mại.

II. Các Công Cụ Nguồn Mở Chính

Thị trường hiện nay có nhiều công cụ giám sát mạng mã nguồn mở được sử dụng rộng rãi. Snort là một hệ thống phát hiện xâm nhập có khả năng phát hiện các dấu hiệu tấn công mạng thông qua phân tích gói tin. Nagios chuyên về giám sát trạng thái thiết bị và dịch vụ, cảnh báo khi có sự cố. Cacti tập trung vào giám sát lưu lượng mạng với giao diện trực quan dưới dạng đồ thị. Gnokii hỗ trợ báo động qua SMS, mở rộng khả năng thông báo. Sự kết hợp các công cụ này tạo thành một hệ thống giám sát mạng toàn diện, giúp phòng chống xâm nhập mạng hiệu quả và bảo mật thông tin của doanh nghiệp.

2.1. Snort Hệ Thống Phát Hiện Xâm Nhập

Snort hoạt động bằng cách phân tích lưu lượng mạng và so sánh với cơ sở luật được xây dựng sẵn. Nó có khả năng phát hiện các cuộc tấn công như DoS, quét cổng và các mối đe dọa bảo mật khác. Công cụ Snort có thể triển khai ở chế độ phát hiện hoặc phòng chống, giúp tăng cường bảo mật mạng máy tính.

2.2. Nagios Giám Sát Thiết Bị và Dịch Vụ

Nagios cung cấp giám sát trạng thái hoạt động các thiết bị mạng và dịch vụ hệ thống. Nó cho phép theo dõi máy chủ, router, switch và gửi cảnh báo tự động khi phát hiện sự cố. Giao diện web Nagios giúp quản lý mạng máy tính trở nên dễ dàng và hiệu quả hơn.

2.3. Cacti Giám Sát Lưu Lượng Mạng

Cacti sử dụng giao thức SNMP để thu thập dữ liệu từ thiết bị mạng và biểu diễn dưới dạng đồ thị. Nó giúp phân tích lưu lượng mạng trong thời gian thực, hỗ trợ tối ưu hóa hiệu suất mạng máy tính. Hệ thống Cacti cung cấp cái nhìn chi tiết về tình trạng hoạt động của mạng.

III. Triển Khai Hệ Thống Giám Sát Hiệu Quả

Triển khai hệ thống giám sát mạng đòi hỏi kế hoạch chi tiết và hiểu biết sâu về nhu cầu của tổ chức. Trước tiên, cần xác định các mục tiêu giám sát cụ thể như phát hiện xâm nhập, theo dõi hiệu suất hay quản lý thiết bị. Tiếp theo là lựa chọn công cụ phù hợp dựa trên độ tin cậy bảo mật và khả năng mở rộng. Cấu hình giám sát mạng phải được thực hiện một cách có hệ thống, bao gồm cài đặt agent trên các thiết bị, thiết lập luật phát hiện, và cấu hình thông báo. Kiểm thử hệ thống giám sát là bước quan trọng để đảm bảo các công cụ hoạt động chính xác. Cuối cùng, duy trì và cập nhật hệ thống giám sát là yếu tố không thể thiếu để bảo vệ mạng máy tính khỏi các mối đe dọa mới.

3.1. Lập Kế Hoạch Triển Khai

Kế hoạch giám sát mạng cần xác định rõ các thiết bị, dịch vụ cần theo dõi và quản lý. Phải đánh giá yêu cầu bảo mật hiện tại và những lỗ hổng tiềm ẩn. Lựa chọn công cụ nguồn mở phù hợp phụ thuộc vào quy mô mạng, ngân sách và kỹ năng đội ngũ IT.

3.2. Cài Đặt và Cấu Hình

Cài đặt phần mềm giám sát bao gồm thiết lập máy chủ giám sát trung tâm, cấu hình các agent trên thiết bị, và thiết lập luật phát hiện xâm nhập. Cấu hình SNMP cho các thiết bị để cho phép thu thập dữ liệu giám sát. Tích hợp các công cụ Snort, Nagios, Cacti tạo thành hệ thống giám sát toàn diện.

3.3. Kiểm Thử và Tối Ưu

Kiểm thử hệ thống giám sát bằng cách mô phỏng các cuộc tấn công để đảm bảo phát hiện đe dọa bảo mật hoạt động chính xác. Tối ưu cấu hình giám sát dựa trên kết quả kiểm thử. Cập nhật luật Snort thường xuyên để phòng chống xâm nhập mạng hiệu quả nhất.

IV. Kết Quả và Hướng Phát Triển

Việc xây dựng hệ thống giám sát mạng bằng công cụ nguồn mở đã cho thấy những kết quả đáng khích lệ trong phòng chống tấn công mạng và bảo vệ thông tin. Hệ thống giám sát mạng máy tính có khả năng phát hiện và cảnh báo các sự cố trong thời gian thực, giúp giảm thiểu thời gian ngừng hoạt động. Các công cụ như Snort đã thành công trong phát hiện các mẫu tấn công như DoS, quét cổng và các hành vi đáng ngờ khác. Nagios cung cấp giám sát toàn diện trạng thái hệ thống, Cacti hiển thị lưu lượng mạng trực quan qua đồ thị. Hướng phát triển tương lai bao gồm tích hợp AI/Machine Learning vào phát hiện mối đe dọa bảo mật để nâng cao độ chính xác, mở rộng khả năng giám sát đến các hệ thống cloud và IoT, cũng như phát triển giao diện người dùng thân thiện hơn.

4.1. Kết Quả Đạt Được

Hệ thống giám sát mạng đã thành công trong phát hiện các cuộc tấn công mạng trong môi trường thực tế. Khả năng báo động từ Snort, Nagios, Cacti và Gnokii cho phép quản trị viên ứng phó nhanh chóng với các sự cố. Bảo mật thông tin được nâng cao đáng kể nhờ giám sát liên tục hoạt động mạng.

4.2. Hướng Phát Triển Tương Lai

Phát triển hệ thống giám sát sẽ tập trung vào tích hợp công nghệ AI để phát hiện mối đe dọa bảo mật tinh vi hơn. Mở rộng giám sát mạng sang các nền tảng cloud, container và thiết bị IoT là xu hướng quan trọng. Cải thiện giao diện người dùng và tự động hóa phòng chống xâm nhập sẽ là những bước tiến tiếp theo.

Trích đoạn nội dung tài liệu

Chương 1. Tổng Quan -8-  Bước 4: Duy trì xâm nhập: một khi kẻ tấn công đã xâm nhập được vào hệ thống, bước tiếp theo là làm sao để duy trì các xâm nhập này nhằm khai thác và xâm nhập tiếp trong tương lai. Một vài kỹ thuật như backboors, trojans… được sử dụng. Một khi kẻ tấn công đã làm chủ hệ thống, chúng có thể gây ra những nguy hại cho hệ thống như đánh cắp dữ liệu hoặc phá hoại hệ thống.

Ngoài ra, họ có thể sử dụng hệ thống để tấn công vào các hệ thống khác như loại tấn công DDoS.  Bước 5: Che đậy, xóa dấu vết. Một khi kẻ tấn công đã xâm nhập và cố gắng duy trì xâm nhập. Bước tiếp theo là làm sao để xóa hết dấu vết để không còn chứng cứ pháp lí xâm nhập.

Kẻ tấn công phải xóa các tập tin log, xóa các cảnh báo từ hệ thống phát hiện xâm nhập. Ở bước “Dò tìm” và “Xâm nhập” kẻ tấn công thường làm lưu lượng kết nối mạng thay đổi khác bình thường rất nhiều. Đồng thời tài nguyên của hệ thống máy chủ bị ảnh hưởng đáng kể. Những dấu dấu hiệu này rất có ích cho người quản trị mạng có thể phân tích và đánh giá tình hình hoạt động của hệ thống mạng.

Hầu hết các cuộc tấn công đều tiến hành tuần tự 5 bước trên. Làm sao để nhận biết hệ thống mạng đang bị tấn công, xâm nhập ngay từ hai bước đầu tiên là hết sức quan trọng. Ở tại bước thứ 3 là “Xâm nhập”, bước này không dễ dàng đối với kẻ tấn công. Do vậy, khi không thể xâm nhập được vào hệ thống, để phá hoại có nhiều khả năng kẻ tấn công sẽ sử dụng tấn công từ chối dịch vụ để ngăn cản không cho người dùng hợp lệ truy xuất tài nguyên hệ thống.5 Các giải pháp phát hiện và phòng chống tấn công mạng Phát hiện xâm nhập là một tập hợp các kỹ thuật và phương pháp dùng để dò tìm những hoạt động đáng nghi ngờ trên mạng.

Một hệ thống phát hiện xâm nhập được định nghĩa là một tập hợp các công cụ, phương thức, và tài nguyên giúp người quản trị xác định, đánh giá, và báo cáo hoạt động không được phép trên mạng. Tổng Quan -9- Phát hiện xâm nhập được xem là một tiến trình được quyết định khi một người không có quyền đang cố gắng để xâm nhập hệ thống mạng trái phép. Hệ thống phát hiện xâm nhập sẽ kiểm tra tất cả các gói tin đi qua hệ thống và quyết định gói tin đó có vấn đề khả nghi hay không. Hệ thống phát hiện xâm nhập đuợc trang bị hàng triệu tình huống để nhận dạng tấn công và đuợc cập nhật thường xuyên.

Chúng thực sự quan trọng và là lựa chọn hàng đầu để phòng thủ trong việc phát hiện và phòng chống xâm nhập mạng. Việc nghiên cứu xây dựng hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) đang được phát triển mạnh và còn phát triển mạnh mẽ trong thời gian tới. Các sản phẩm thương mại trên thị trường có chi phí rất lớn, vượt quá khả năng đầu tư của nhiều doanh nghiệp. Bên cạnh đó, các nghiên cứu về mã nguồn mở cũng đã được đầu tư nghiên cứu và triển khai.

Có nhiều đề tài trong nước nghiên cứu liên quan đến IDS/IPS bằng mã nguồn mở chủ yếu tập trung vào Snort. Nhưng nhìn chung chưa được áp dụng rộng rãi, còn tồn tại nhiều hạn chế như: do chương trình mã nguồn mở nên hầu hết không có giao diện thân thiện; thành phần báo động không được tích hợp sẵn, hoặc nếu có cũng chỉ qua giao diện console, hoặc qua giao diện Web chưa tạo được sự linh động và tiện dụng cho người quản trị mạng; phần mềm mang tính đơn lẻ (chỉ tập trung nghiên cứu về Snort) trong khi nhu cầu tích hợp nhiều tính năng giám sát khác để nâng cao hiệu quả sử dụng chưa được chú trọng và phát triển. Hơn nữa, các dấu hiệu của các kiểu tấn công ngày một tinh vi phức tạp đòi hỏi hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) phải được thường xuyên cập nhật những dấu hiệu mới. Người quản trị mạng còn có thể dựa vào những phân tích khác như những dấu hiệu bất thường về lưu lượng ra vào hệ thống, hoạt động của CPU, RAM.

để có những phản ứng kịp thời. Bên cạnh đó, hệ thống báo động cũng cần triển khai mang tính chất đa dạng nhiều hình thức, linh động, tiện dụng thực sự hỗ trợ thiết thực cho người quản trị mạng. Tổng Quan -10-  Xây dựng hệ thống phát hiện và phòng chống xâm nhập Phát triển hệ thống giám sát trực quan theo dõi các diễn biến trên mạng như lưu lượng ra/vào một Server, Switch, … hay hoạt động của CPU, bộ nhớ, … giúp người quản trị mạng có những phân tích để đưa ra ứng phó kịp thời. Hệ thống phát hiện xâm nhập dựa vào những mẫu dấu hiệu tấn công triển khai để giúp phát hiện nhanh các cuộc tấn công mạng.

Hệ thống phát hiện này kết hợp với tường lửa sẽ chống lại các cuộc tấn công xâm nhập. Tuy nhiên, các dấu hiệu của các kiểu tấn công ngày một tinh vi phức tạp thì hệ thống phát hiện phải được thường xuyên cập nhật những dấu hiệu mới. Để có thể phát hiện nhanh chóng các bất thường trên mạng, người quản trị mạng còn có thể dựa vào những đồ thị trực quan về lưu lượng ra vào hệ thống để có những phản ứng kịp thời. Hệ thống báo động cũng cần triển khai để thông báo cho người quản trị trong một số trường hợp: Server ngưng hoạt động, một dịch vụ mạng ngưng hoạt động hay có tấn công mạng.

Hệ thống báo động có thể được triển khai qua nhiều hình thức để phát báo động như: bằng âm thanh (audio), qua E-mail hay qua tin nhắn SMS đến người quản trị mạng. Tổng Quan -11- Chương 2. HỆ THỐNG PHÁT HIỆN & PHÒNG CHỐNG XÂM NHẬP MẠNG 2.1 Vai trò của hệ thống phát hiện và phòng chống xâm nhập mạng 2.1 Lịch sử phát triển Các nghiên cứu về hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) được nghiên cứu chính thức từ năm 1983. Đến năm 1996 một số hệ thống IDS mới chỉ xuất hiện trong các phòng thí nghiệm và viện nghiên cứu.

Tuy nhiên trong thời gian này, một số công nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin. Năm 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của công ty ISS. Hiện tại, các thống kê cho thấy IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển mạnh.2 Vai trò của hệ thống phát hiện và phòng chống xâm nhập mạng Hệ thống phát hiện xâm nhập dùng để lắng nghe, dò tìm các gói tin qua hệ thống mạng để phát hiện những dấu hiệu bất thường trong mạng. Thông thường những dấu hiệu bất thường là những dấu hiệu của những cuộc tấn công xâm nhập mạng.

IDS sẽ phát những tín hiệu cảnh báo tới người quản trị mạng. Hệ thống phòng chống xâm nhập (Intrusion Prevention System – IPS) là một phần mềm hoặc một thiết bị chuyên dụng có khả năng phát hiện xâm nhập và có thể ngăn chặn các nguy cơ mạng bị tấn công. IDS và IPS có rất nhiều điểm chung, do đó hệ thống IDS và IPS có thể được gọi chung là hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS). Hệ thống phát hiện & phòng chống xâm nhập -12- Hệ thống IPS là một kỹ thuật an ninh mạng, kết hợp các ưu điểm của kỹ thuật tường lửa (firewall) với hệ thống phát hiện xâm nhập, có khả năng phát hiện sự xâm nhập, các cuộc tấn công và tự động ngăn chặn các cuộc tấn công đó.

Hệ thống IDS/IPS thường được đặt ở phần biên mạng để bảo vệ tất cả các thiết bị trong mạng 2.2 Đặc điểm của hệ thống IDS/IPS 2.1 Kiến trúc của hệ thống phát hiện xâm nhập Hình 2.1 Hệ thống phát hiện xâm nhập [3] Kiến trúc của hệ thống IDS bao gồm các thành phần chính:  Thành phần thu thập thông tin (information collection)  Thành phần phân tích gói tin (Dectection)  Thành phần phản hồi (response) Trong ba thành phần này thì thành phần phân tích gói tin là quan trọng nhất và trở thành bộ cảm biến đóng vai trò ra quyết định. Bộ cảm biến được tích hợp với thành phần thu thập dữ liệu. Cách thu thập này được xác định bởi chính sách tạo sự kiện để định nghĩa chế độ lọc thông tin sự kiện. Bộ tạo sự kiện cung cấp một số chính sách thích hợp cho các sự kiện, có thể là một bản ghi các sự kiện của hệ thống.

Số chính Chương 2. Hệ thống phát hiện & phòng chống xâm nhập -13- sách này cùng với thông tin chính sách có thể được lưu trong hệ thống được bảo vệ hoặc bên ngoài.2 Kiến trúc của hệ thống IDS [3] Vai trò của bộ cảm biến là dùng để lọc thông tin và loại bỏ dữ liệu không tương thích thu được từ các sự kiện liên quan với hệ thống bảo vệ, vì vậy có thể phát hiện được các hành động nghi ngờ. Bộ phân tích sử dụng cơ sở dữ liệu chính sách phát hiện cho mục này. Ngoài ra còn có các thành phần: dấu hiệu tấn công, profile hành vi thông thường, các tham số cần thiết như các ngưỡng (threshold),.

Thêm vào đó, cơ sở dữ liệu giữ các tham số cấu hình gồm có các chế độ truyền thông với module đáp trả. Bộ cảm biến cũng có cơ sở dữ liệu của riêng nó gồm dữ liệu lưu về các dấu hiệu xâm nhập phức tạp tiềm ẩn được tạo ra từ nhiều hành động khác nhau. IDS có thể được lắp đặt tập trung (như được tích hợp vào trong tường lửa) hoặc phân tán. Một IDS phân tán gồm nhiều IDS khác nhau trên một mạng lớn, tất cả chúng có thể truyền thông với nhau, gọi là hệ thống IDS đa tác nhân.

Giải pháp kiến trúc đa tác nhân được đưa ra năm 1994. Giải pháp này sử dụng các tác nhân để kiểm tra một khía cạnh nào đó về các hành vi hệ thống ở một thời điểm nào Chương 2. Hệ thống phát hiện & phòng chống xâm nhập -14- đó. Ví dụ như một tác nhân có thể cho biết một số thông tin không bình thường của các phiên Telnet bên trong hệ thống nó kiểm tra – giám sát.

Tác nhân có khả năng đưa ra một cảnh báo khi phát hiện một sự kiện khả nghi. Các tác nhân có thể được thay đổi bên trong các hệ thống khác nhau.