MỞ ĐẦU 1.1 Tên đề tài e Tiếng Việt: Xây dựng hệ thống Honeypot có khả năng thích ứng. e Tiếng Anh: Building an adaptive Honeypot system.2 Dat van dé Xã hội ngày càng phat triển khiến cho nhu cầu sử dung Internet ngày càng tăng cao. Điều này đồng nghĩa với việc các cuộc tấn công mạng cũng sẽ gia tăng theo từng ngày. Hiện nay, đã có nhiều giải pháp được cung cấp dé ngăn chặn các cuộc tấn công này như sử dụng hệ thống tường lửa, hệ thống phát hiện và ngăn ngừa xâm nhập (IDPS), switch, router,.
băng cách đưa ra các cảnh báo và tiến hành ngăn chặn các cuộc tấn công. Tuy nhiên các giải pháp trên xử lý một lượng dữ liệu rất lớn nên khả năng phân tích dữ liệu gặp nhiều khó khăn và việc phát hiện có thê không chính xác. Vì thế việc triển khai một hệ thống Honeypot đóng vai trò mồi nhử nhằm hướng kẻ tấn công nhắm vào chính Honeypot dé có thê ghi nhận được các hành vi mà kẻ tan công thực hiện. Từ đó, quản trị viên có thé đưa ra các giải pháp phòng chống các cuộc tấn công mạng hiệu quả hơn.
Một hệ thống Honeypot bao gồm nhiều bay được triển khai với các mục đích khác nhau. Tuy nhiên, hiện nay, các bẫy được triển khai một cách riêng lẻ và khá ít hệ thống Honeypot được xây dựng dé quan lý tập trung các bay cũng như khả năng tùy biến cho người quản lý chưa thực sự cao. Điều này khiến cho việc xây dựng một hệ thống Honeypot có thể tích hợp nhiều bẫy và giúp quản trị viên dễ dàng hơn trong việc quản lý là một nhu cầu can thiết. Ngoài ra van đề kẻ tan công phát hiện ra hệ thống Honeypot cũng là một van đề cần được quan tâm, đa số các cuộc tan công dé phát hiện hệ thống Honeypot là tan công 2 kiểu Fingerprinting.
Kẻ tan công thường sử dụng các kĩ thuật quét dé thăm dò hệ thống mạng. Đã có nhiều kĩ thuật phòng chống tan công kiêu Fingerprinting nhắm tới hệ thống được đề ra, tuy nhiên điều này trái với mục đích của Honeypot là thu thập các hành vi của kẻ tan công. Thay vì ngăn chặn việc tan công thì việc cho phép kẻ tan công quét vào hệ thống nhưng không phát hiện ra chính xác và từ đó thu thập được các hành vi mà kẻ tấn công đã thực hiện. Thêm vào đó, hiện nay các giải pháp xử lý triệt dé việc bị quét vào hệ thống trong thời gian thực vẫn còn hạn chế do khó khăn trong việc cô lập các cuộc tan công Fingerprinting với các cuộc tan công khác.
Vì thế, ngoài việc xây dựng một hệ thông Honeypot dé thu thập hành vi thì việc triển khai một giải pháp dé phát hiện các cuộc tấn công Fingerprinting vào hệ thông trong thời gian thực là hoàn toàn cần thiết. Nhìn thấy được những ưu điểm cũng như các van đề của một hệ thống Honeypot, nhóm em (gọi tắt là nhóm) hướng tới việc xây dựng một hệ thống Honeypot đem lại được một khả năng thích ứng và mở rộng tốt dé có thé phục vụ công việc phòng thủ, cũng như mục đích nghiên cứu, thu thập các dữ liệu mạng cho việc tạo ra các bộ dữ liệu, từ đó có thé nâng cao năng suất của các mô hình học máy cũng như mô hình học sâu cho hệ thong AI-IDS.3 Mục tiêu của đề tài Như vậy, mục tiêu của đề tài này là tìm hiểu tổng quan về các công nghệ bao gồm: Honeypot, hệ thống ElasticSearch —Logstash — Kibana, máy học cũng như các công cụ hỗ trợ triển khai, ứng dụng vảo thực tiễn. Từ đó, nhóm sẽ thực hiện xây dựng, phát triển kiến trúc hệ thống kết hợp hệ thống Honeypot với bộ công cụ ELK stack để có thể hiển thị các bản ghi nhật ký cho quản trị viên. Thêm vào đó, nhóm thực hiện xây dựng, phát triển hệ thống phát hiện xâm nhập dé đưa ra cảnh báo về các điểm bat thường trong lưu lượng mạng giúp phát hiện các cuộc tấn công Fingerprinting vào hệ thống Honeypot.4 Đối tượng và phạm vi nghiên cứu 1.1 Đối tượng — Hệ thống Honeypot.
— Hệ thống quản lý log. — Môi trường mang SDN. — Mô hình phat hiện xâm nhập cho hệ thống mạng.2 Phạm vi — Hệ thống Honeypot: Sử dung Docker Container dé triển khai hệ thong một cách ảo hóa. — Hệ thống quản lý Log: Bộ công cụ ElasticSearch -Logstash — Kibana (ELK Stack).
— Môi trường mang SDN: Sử dung Floodlight Controller va Containernet. — Mô hình phat hiện xâm nhập cho hệ thống mạng sử dụng mô hình DNN. CHUONG 2 CƠ SỞ LÝ THUYET 2.1 Tổng quan Hệ thống được triển khai trong bài nghiên cứu này bao gồm bồn thành phan chính: hệ thống Honeypot, ELK Stack, môi trường mang SDN, mô hình phát hiện tan công Fingerprinting và mô hình phát hiện xâm nhập. Hệ thống Honeypot sẽ bao gồm các Honeytrap.
Cac Honeytrap có thé là các dịch vụ giả được mô phỏng sao cho giống các dịch vụ thật dé thu hút sự chú ý của kẻ tan công và ghi nhận lại các hành vi của kẻ tan công đó. Các bản ghi nhật ký các hành vi sẽ được tong hợp và gửi về tập trung về một noi để quản trị viên có thé theo ddi một cách dé dàng. Almohannadi [1] sử dụng bộ công cu ELK Stack dé hỗ trợ trong quá trình quan lý và phân tích các bản ghi nhật ký từ Honeypot. Trong phạm vi thực hiện khóa luận nay, nhóm sẽ sử dụng bộ công cụ ELK Stack dé thu thập các bản ghi và hiển thi cho quan tri viên dé dàng theo dõi.
Đồng thời hệ thống sẽ thu thập các lưu lượng mang tấn công dé phục vụ cho mô hình phát hiện xâm nhập và mô hình phát hiện xâm nhập. Môi trường mạng SDN sẽ được triển khai ảo hóa nhằm mục đích nghiên cứu. Nhóm sử dụng Containernet để có thể triển khai các Host và Switch có trong mạng. Controller được sử dụng trong phạm vi khóa luận tốt nghiệp này là Floodlight, cung cấp một giao diện người dùng đơn giản, dễ dàng sử dụng.
Sajaan Ravji [2] thực hiện triển khai một hệ thống Honeypot cùng với hệ thống phát hiện và ngăn chặn xâm nhập giúp cải thiện hiệu suất và tính bảo mật cho hệ thống mạng. Nhóm sẽ thực hiện triển khai một hệ thống phát hiện xâm nhập giúp đưa ra các cảnh báo tới quản trị viên. Mô hình phát hiện xâm nhập sẽ sử dụng mô hình học sâu dé có thé phát hiện các cuộc tan công. Chúng em sử dụng tap đữ liệu CSE-CIC-IDS2018 cho mục đích phân loại.
Trong phạm vi khóa luận, nhóm sé tập trung vào việc xác định 5 cuộc tấn công Fingerprinting. Vì vậy, chúng em sẽ quan tâm đến hai nhãn chính là Benign va Infilteration của tập dữ liệu CSE-CIC-IDS2018. Các nhãn nay được phân loại dựa vào các dấu hiệu có trong các gói tin thu thập được.2 Kiến trúc mạng khả lập trình SDN Trong những năm gần đây, cách mạng công nghiệp lần thứ 4 đang diễn ra nhanh chóng, số lượng các hoạt động chuyên dịch lên hạ tầng công nghệ thông tin ngày càng lớn. Cùng với đó, sự phát triển bùng nổ của mạng Internet đã làm cho hệ thống mang không ngừng trở nên đồ sộ về cả số lượng lẫn quy mô, kiến trúc, cơ sở hạ tầng.
Như một hệ quả, việc quản trị và vận hành hệ thống trở nên khó khăn hơn trên kiến trúc mạng có quy mô lớn, đòi hỏi sự thay đồi liên tục dé tương thích với mục đích sử dụng ngày càng linh hoạt. Một trong những nguyên nhân cơ bản gây nên sự khó khan này là do các thiết bị của hạ tầng mạng hay các dịch vụ hạ tầng được xây dựng riêng biệt và độc quyền, với nhiều cơ chế khác nhau, bởi các nhà sản xuất khác nhau. Việc phân mảnh, thiếu đồng bộ trong cơ chế quản lý, cấu hình gây khó khăn trong việc vận hành toàn bộ hệ thống. Với sự phát triển của các công nghệ ảo hóa, ảo hóa mạng dang là xu hướng được quan tâm và đang ngày càng được triên khai rộng rãi với sự ra đời của kiến trúc mạng điều khiển băng phần mềm.
Mang SDN được phát triển nhằm mục dich làm cho các mạng trở nên linh hoạt hơn, phân tách các quá trình điều khiển lưu lượng mạng ra khỏi hạ tang phần cứng là các thiết bị vật lý, nhằm đảm bảo việc quản lý và kiêm soát thông qua các API trở nên hoàn chỉnh và thống nhất hơn, cho phép các kỹ sư và người quản trị nhanh chóng tạo ra các yêu cầu hoạt động thông qua một bộ điều khiến tập trung.1 Tong quan về mang khả lập trình SDN Software Define Network (SDN) là một kiến trúc mạng cho phép kỹ sư hoặc quản 6 trị viên có thé quản ly mạng và cau hình toàn bộ hệ thống hiệu quả theo một chương trình giúp giảm chi phí vận hành và tăng hiệu suất làm việc, đồng thời tăng tốc thời gian đáp ứng khi có yêu cầu thay đổi hoặc cung cấp thêm dịch vụ. SDN phân tách hạ tầng mạng thành ba thành phần chính được biểu diễn ở Hình 2.1, bao gồm: — Lớp ứng dụng (Application Layer): Là những ứng dụng hoặc chức nang mà hệ thống mạng cần sử dụng như các hệ thống phát hiện xâm nhập, cân băng tải, tường lửa. Đề thực hiện các chức năng này trong kiến trúc mạng truyền thống, cần phải sử dụng một thiết bị chuyên dụng riêng biệt. Trong khi với SDN, các ứng dụng phần mềm với các chúc năng tương đương được triển khai kết hợp với các API do bộ điều khiển cung cấp dé quản lý việc điều khiến lưu lượng mạng, thay thé cho các thiết bi phần cứng tuyén thống.
— Lớp điều khiến (Control Layer/Control Plane): Đại diện cho phan mềm điều khiển SDN tập trung, hoạt động như não bộ của mạng. Bộ điều khiến này nằm trên một máy chủ, quản lý các chính sách và luồng lưu lượng trên toàn mạng, cũng như cung cấp các API dé có thé xây dựng cho hệ thống mạng. — Lớp hạ tầng (Infrastructure Layer/Data Plane): Bao gồm các thiết bị vật lý trong mạng, thực hiện việc chuyên các gói tin trong hệ thống theo sự điều khiển thông qua các giao thức như OpenFlow. Các bộ chuyền mạch trong lớp hạ tầng giao tiếp với lớp điều khiển thông qua các Southbound API.
Bộ điều khiển SDN quản lý tập trung các thiết bị vật lý cũng như các dịch vụ mạng, bat ké loại thiết bị hay dịch vụ. Dựa vào bộ điều khiển SDN, các nhà khai thác và 7 quản trị mạng có thê lập trình đề cấu hình tự động thay vì phải thực hiện thủ công từng câu lệnh cấu hình trên từng thiết bị riêng lẻ vốn có thé bị phân bồ ở nhiều vị trí địa lý.