Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và cuộc Cách mạng Công nghiệp lần thứ tư (Industry 4.0), sự bùng nổ của hạ tầng điện toán đám mây, Internet vạn vật (IoT) và mạng lưới dữ liệu toàn cầu mang lại hiệu suất vượt trội nhưng đồng thời tạo ra bề mặt tấn công (attack surface) vô cùng phức tạp. Theo thống kê an ninh mạng quốc tế, hơn 65% các vụ xâm nhập hệ thống thành công bắt nguồn từ các lỗ hổng khai thác tầng ứng dụng hoặc các cuộc tấn công nội bộ mà tường lửa truyền thống (Firewall) không thể kiểm soát. Tường lửa chỉ đóng vai trò chốt chặn tĩnh tại biên mạng dựa trên địa chỉ IP/Port (Lớp 3/Lớp 4), hoàn toàn thụ động trước các cuộc tấn công tinh vi mang tính phân tán như Từ chối dịch vụ (DoS/DDoS), quét cổng thăm dò (Port Scanning), chèn mã độc vào gói tin phân mảnh (Packet Fragmentation Evasion), hoặc các cuộc tấn công vượt quyền (Privilege Escalation).

Vấn đề cốt lõi (Problem Statement) đặt ra cho các doanh nghiệp và tổ chức là: Làm thế nào để xây dựng một cơ chế phòng thủ chuyên sâu có khả năng giám sát liên tục, phân tích lưu lượng thời gian thực, phát hiện dấu hiệu bất thường và tự động cảnh báo/ngăn chặn các mối nguy hại mà không làm gián đoạn hiệu năng của toàn bộ hạ tầng mạng?

Đồ án tốt nghiệp "Tìm hiểu hệ thống phát hiện cảnh báo nguy cơ tấn công mạng" do sinh viên Phạm Quang Tuyến thực hiện dưới sự hướng dẫn của TS. Ngô Trường Giang (Đại học Dân Lập Hải Phòng) giải quyết bài toán trên bằng cách xây dựng giải pháp phát hiện xâm nhập mạng toàn diện dựa trên mã nguồn mở Snort NIDS kết hợp kiến trúc giám sát an ninh mạng SIEM.

+-------------------------------------------------------------------------------+
|                             MỤC TIÊU DỰ ÁN                                    |
+-------------------------------------------------------------------------------+
| 1. Nghiên cứu toàn diện lý thuyết hệ thống IDS/IPS, NIDS, HIDS và chuẩn SIEM. |
| 2. Phân tích chi tiết kiến trúc đa tầng của Snort NIDS (Libpcap, Preprocessor,|
|    Detection Engine, Alert/Logging Output Modules).                           |
| 3. Xây dựng và chuẩn hóa tập luật (Rule-based Signatures) kiểm thử các mối đe |
|    dọa thực tế: Ping of Death (dsize), TCP Port Scan, HTTP Exploits.          |
| 4. Thiết lập mô hình thực nghiệm hoàn chỉnh, tối ưu hóa năng lực giám sát     |
|    1.000 EPS và 100.000 FPM với độ trễ xử lý < 2ms.                           |
+-------------------------------------------------------------------------------+

Giải pháp sử dụng cách tiếp cận phân tích lưu lượng thụ động qua SPAN/Mirror Port, kết hợp cơ chế đối sánh mẫu chuỗi (Multi-pattern Matching) và giải mã giao thức có trạng thái (Stateful Protocol Analysis). Giới hạn nghiên cứu tập trung vào hạ tầng mạng cục bộ (LAN), phân tích các giao thức chuẩn TCP/IP (Ethernet, IP, TCP, UDP, ICMP), và xây dựng mô hình phòng vệ NIDS trong môi trường mạng doanh nghiệp vừa và nhỏ.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi triển khai hệ thống chuyên dụng, các tổ chức thường phụ thuộc vào hệ thống tường lửa biên hoặc giải pháp diệt virus tại điểm cuối. Tuy nhiên, mỗi giải pháp đều bộc lộ những khoảng trống an ninh (security gaps) rõ rệt.

Tiêu chí so sánh Tường lửa truyền thống (Firewall) Host-based IDS (HIDS) Network-based IDS (NIDS - Snort) SIEM tập trung thương mại
Vị trí hoạt động Cổng ngõ biên mạng (Gateway) Trực tiếp trên Host/Server Phân đoạn mạng (Network Segment) Trung tâm điều hành SOC
Phạm vi giám sát Header gói tin (IP, Port, State) System Logs, Registry, File Integrity Toàn bộ Payload & Header của Packet Hợp nhất Log toàn bộ hệ sinh thái
Chi phí đầu tư Trung bình Cao (chi phí License/Agent) Thấp (Mã nguồn mở tối ưu phần cứng) Rất cao ($50.000 - $200.000+)
Ảnh hưởng tải Host Không Cao (chiếm CPU, RAM máy chủ) 0% (Hoạt động dạng Sniffer độc lập) Phụ thuộc Agent thu thập
Phát hiện quét cổng Hạn chế Không thể phát hiện Rất nhạy (Preprocessors Portscan) Cần tương quan log từ nhiều nguồn
Bảo toàn chứng cứ Dễ bị xóa nếu bị chiếm quyền Kẻ tấn công có thể xóa Audit Log Bất biến (Ghi Log độc lập từ đường truyền) Rất cao (Lưu trữ nén mã hóa)

Áp dụng phương pháp phân tích yêu cầu MoSCoW:

  • Must have (Bắt buộc): Khả năng bắt gói tin không làm rớt gói trên đường truyền; bộ giải mã gói tin Ethernet, IP, TCP, UDP, ICMP; mô-đun tiền xử lý chống phân mảnh gói (De-fragmentation); công cụ so khớp chuỗi payload; cơ chế ghi log cảnh báo ra File/Database.
  • Should have (Nên có): Giao diện Web Console quản trị tập trung (BASE/Snorby); tích hợp cảnh báo qua giao thức SMB Popup và SNMP Trap; khả năng chuẩn hóa giao thức HTTP/Telnet chống tấn công né tránh (Evasion Techniques).
  • Could have (Có thể có): Chế độ ngăn chặn chủ động (Snort-Inline/IPS) bằng cách gửi gói TCP RST hoặc liên kết cấu hình lại Tường lửa/Router.
  • Won't have (Chưa thực hiện): Giải mã lưu lượng mã hóa SSL/TLS phần cứng tốc độ cao và phân tích hành vi bất thường ứng dụng trí tuệ nhân tạo (AI/Machine Learning).

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo mô hình chuẩn hóa 5 khối chức năng của Snort NIDS, vận hành đồng bộ trên luồng dữ liệu thời gian thực:

graph TD
    A[Mạng giám sát / SPAN Port] --> B[Thư viện Libpcap / DAQ]
    B --> C[Packet Decoder - Giải mã Ethernet, IP, TCP/UDP/ICMP]
    C --> D[Preprocessors - Ghép mảnh, Chuẩn hóa HTTP, Portscan]
    D --> E[Detection Engine - Đối sánh bộ luật Signature Rules]
    E -->|Gói tin an toàn| F[Bỏ qua / Lưu thông bình thường]
    E -->|Khớp dấu hiệu tấn công| G[Logging & Alerting System]
    G --> H1[Syslog / Tcpdump Binary Log]
    G --> H2[MySQL Database]
    G --> H3[SNMP Trap / SMB Pop-up Console]

  • Technology Stack chuẩn hóa:

    • Nền tảng HĐH: Linux Kernel 4.15+ (Ubuntu 18.04 LTS 64-bit).
    • Packet Capture Engine: Libpcap v1.8.1 kết hợp DAQ (Data Acquisition) v2.0.6.
    • Core IDS: Snort Engine v2.9.15 (Tối ưu biên dịch nguồn C với đa vi xử lý).
    • Database Backend: MySQL Community Server v5.7.28.
    • Web Management Console: Apache HTTP Server v2.4.29, PHP v7.2, BASE (Basic Analysis and Security Engine) v1.4.5.
    • Giao thức liên lạc: SSH (Port 22) mã hóa nén dữ liệu Sensor-Processor; HTTPS (Port 443) cho Web Console.

  • Thiết kế Cơ sở dữ liệu (Database Schema): Dữ liệu cảnh báo được chuẩn hóa thành cấu trúc bảng quan hệ tối ưu hóa tốc độ ghi:

    • sensor (sid, hostname, interface, filter, detail, encoding)
    • event (sid, cid, signature, timestamp)
    • signature (sig_id, sig_name, sig_class_id, sig_priority, sig_rev, sig_sid)
    • iphdr (sid, cid, ip_src, ip_dst, ip_ver, ip_hlen, ip_tos, ip_len, ip_id, ip_flags, ip_ttl, ip_proto, ip_csum)
    • tcphdr / udphdr / icmphdr (Lưu chi tiết các trường Port, Sequence, Ack, Flags, Type, Code).
    • data (sid, cid, data_payload) dạng Text/Blob chứa toàn bộ payload hex để trích xuất chứng cứ vi phạm.

Methodology

Dự án áp dụng phương pháp luận phát triển kết hợp V-Model & Iterative Agile:

+------------------------------------------------------------------------------------+
|                         TIẾN ĐỘ THỰC HIỆN DỰ ÁN (16 TUẦN)                          |
+------------------------------------------------------------------------------------+
| Tuần 01 - 04: Nghiên cứu lý thuyết IDS/IPS, chuẩn SIEM, khảo sát giải pháp.         |
| Tuần 05 - 08: Thiết kế kiến trúc, cài đặt môi trường Linux, Libpcap, Snort Engine. |
| Tuần 09 - 12: Xây dựng tập luật tùy chỉnh, cấu hình Preprocessor và Output Plugin.|
| Tuần 13 - 15: Tiến hành kiểm thử xâm nhập thực nghiệm, đo kiểm Benchmark hiệu năng.|
| Tuần 16     : Đánh giá kết quả, tổng hợp số liệu và nghiệm thu đồ án.              |
+------------------------------------------------------------------------------------+
  • Đánh giá rủi ro (Risk Assessment):
    • Rủi ro nghẽn cổ chai lưu lượng: Khi mạng đạt đỉnh, NIDS có thể rớt gói (packet drop). Giải pháp: Cấu hình tiền xử lý Stream5 tối ưu bộ nhớ đệm và sử dụng luật pass loại bỏ lưu lượng tin cậy.
    • Rủi ro cảnh báo giả (False Positives): Luật cấu hình quá lỏng gây ngập lụt cảnh báo. Giải pháp: Sử dụng bộ phân loại classtype với độ ưu tiên (priority) rõ ràng và tinh chỉnh tham số depth, offset.

Implementation và kết quả

Development Process & Key Configurations

Quá trình hiện thực hóa giải pháp bao gồm việc cấu hình lõi hệ thống và định nghĩa các luật nhận dạng dấu hiệu tấn công đặc trưng.

1. Cấu hình phân loại cảnh báo (classification.config)

Định nghĩa danh mục tấn công và mức độ ưu tiên mặc định (Priority 1: High, Priority 2: Medium, Priority 3: Low):

# Syntax: config classification: name, description, priority
config classification: not-suspicious,Not Suspicious Traffic,3
config classification: bad-unknown,Potentially Bad Traffic, 2
config classification: attempted-admin,Attempted Administrator Privilege Gain,1
config classification: DoS,Denial of Service Attack,2
config classification: web-application-attack,Web Application Attack,1

2. Cấu hình kiểu hành động tùy biến (ruletype)

Hệ thống hỗ trợ tạo hành động xuất đa luồng vừa gửi pop-up qua mạng Windows (SMB) vừa ghi trực tiếp vào MySQL database:

ruletype smb_db_alert {
    type alert
    output alert_smb: /etc/snort/workstation.list
    output database: log, mysql, user=snort_user password=SecretPassword dbname=snort host=localhost
}

3. Xây dựng tập luật phát hiện xâm nhập (Signature Rule Engineering)

  • Kịch bản 1: Phát hiện tấn công Ping of Death / ICMP Payload lớn (Tràn bộ đệm) Sử dụng từ khóa dsize để kiểm tra độ lớn phần dữ liệu của gói tin IP/ICMP vượt ngưỡng quy chuẩn:
alert icmp any any -> 192.168.1.0/24 any (dsize: > 6000; msg: "Canh bao: Goi tin ICMP PING co kich thuoc lon bat thuong"; classtype: DoS; priority: 1; sid: 1000001; rev: 1;)

Giải thích chi tiết: Khi máy quét ngoài mạng gửi gói ICMP Echo Request có dung lượng payload lớn hơn 6000 bytes vào dải mạng 192.168.1.0/24, Snort kích hoạt cảnh báo mức ưu tiên 1 (DoS) và ghi log toàn bộ header.

  • Kịch bản 2: Phát hiện quét cổng ngầm TCP Ping bằng cờ ACK (TCP Scanning Evasion) Kẻ tấn công sử dụng công cụ như Nmap gửi gói TCP flag ACK với Sequence number = 0 đến cổng 80 để thăm dò máy chủ còn sống (nếu máy phản hồi RST):
alert tcp any any -> 192.168.1.0/24 any (flags: A; ack: 0; msg: "Phat hien ky thuat TCP Ping Scan bang co ACK"; sid: 1000002; rev: 1;)
  • Kịch bản 3: Giám sát truy cập nội dung nhạy cảm tầng ứng dụng (Web/Telnet) Sử dụng từ khóa content kết hợp mã Hex nhị phân và giới hạn vị trí tìm kiếm qua offset và depth:
alert tcp 192.168.1.0/24 any -> any 80 (content: "GET"; offset: 0; depth: 4; content: "confidential"; nocase; msg: "Truy cap tai lieu mat qua Web HTTP"; sid: 1000003; rev: 1;)

# Đối sánh chuỗi Hex tương đương |47 45 54| (GET)
alert tcp 192.168.1.0/24 23 -> any any (content: "|47 45 54|"; msg: "Phat hien ma lenh GET tren Telnet"; sid: 1000004; rev: 1;)

Testing và validation

Hệ thống được đưa vào kiểm thử thực nghiệm trên mô hình mạng Lab cô lập sử dụng Kali Linux 2019 làm máy tấn công (Attacker), Ubuntu Server 18.04 làm NIDS Sensor/Console và Windows Server 2016 làm máy chủ mục tiêu (Target).

+-----------------------------------------------------------------------------------------+
|                              KỊCH BẢN KIỂM THỬ THỰC NGHIỆM                              |
+-----------------------------------------------------------------------------------------+
| Kịch bản 1: ping -s 6500 192.168.1.100 (ICMP Oversized Fragmentation).                  |
| => Kết quả: Snort kích hoạt Rule SID:1000001 trong 1.2ms; BASE hiển thị Priority 1 DoS. |
|                                                                                         |
| Kịch bản 2: nmap -sA -p 80,443,21,22 192.168.1.100 (TCP ACK Probe).                    |
| => Kết quả: Snort bắt chính xác 4/4 gói tin ACK sequence=0; ghi nhận SID:1000002.       |
|                                                                                         |
| Kịch bản 3: Tấn công khai thác Web URL: GET /scripts/..%5c../winnt/system32/cmd.exe     |
| => Kết quả: Preprocessor http_inspect tự động giải mã URL Unicode, Detection Engine     |
|    đối sánh thành công mẫu khai thác.                                                   |
+-----------------------------------------------------------------------------------------+
  • Hiệu năng đo kiểm (Benchmark Metrics):
    • Năng lực xử lý sự kiện trung tâm (Console Capacity): Đạt chuẩn 1.000 EPS (Events Per Second).
    • Năng lực xử lý luồng dữ liệu (Flow Processor Capacity): Đạt mức 100.000 FPM (Flows Per Minute) và đạt cực đại 220.000 FPM trên thiết bị Flow Collector chuyên dụng.
    • Tỷ lệ rớt gói (Packet Loss Rate): 0.00% ở băng thông mạng 100 Mbps; < 0.08% khi đẩy tải stress test 1 Gbps.
    • Tốc độ đối sánh luật: Thời gian phân tích trung bình 0.45 ms/packet đối với cơ sở dữ liệu hơn 2.930 luật chuẩn.

Đổi mới và đóng góp

  1. Cơ chế tiền xử lý đa tầng chống né tránh (Evasion-Proof Preprocessing): Khắc phục triệt để nhược điểm của các hệ thống IDS đối sánh chuỗi đơn giản nhờ tích hợp mô-đun chuẩn hóa giao thức http_decode, rpc_decode và ghép mảnh luồng TCP Stream5, vô hiệu hóa các kỹ thuật làm mờ chuỗi mã độc (Obfuscation) của tin tặc.
  2. Mô hình cảnh báo phân tán chi phí thấp: Tối ưu hóa việc ghi log qua Database đa luồng kết hợp thông báo thời gian thực qua giao thức SMB và SNMP, giúp quản trị viên nhận diện nguy cơ chỉ sau vài mili-giây mà không cần chi trả hàng chục nghìn USD cho các hệ sinh thái SIEM độc quyền.
  3. Hệ thống hóa bộ quy tắc luật ngữ cảnh: Đồ án đóng góp tập quy tắc 15 nhóm luật thực nghiệm được chuẩn hóa mã nguồn, hỗ trợ nhận dạng từ các cuộc tấn công ICMP, TCP Port Scan đến các truy cập dữ liệu bảo mật ở tầng ứng dụng.
Giải pháp so sánh Snort NIDS (Nghiên cứu của đề tài) Suricata NIDS Cisco IDS / ISS RealSecure
Bản quyền & Chi phí Mã nguồn mở (GPLv2) - Miễn phí Mã nguồn mở (GPLv2) - Miễn phí Thương mại độc quyền - Rất đắt
Cấu trúc bộ luật Dễ viết, cú pháp trực quan, linh hoạt Tương thích cú pháp Snort Khép kín, khó tùy biến
Tài nguyên phần cứng Rất nhẹ, tối ưu tốt trên máy cấu hình thấp Yêu cầu RAM/CPU cao hơn (Đa luồng) Cần phần cứng Appliance chuyên biệt
Cộng đồng hỗ trợ Rất lớn (>2.930 rules cập nhật liên tục) Đang phát triển mạnh Hãng hỗ trợ (Tính phí thường niên)

Ứng dụng thực tế và triển khai

Kịch bản triển khai doanh nghiệp (Enterprise Deployment)

                            [ Internet Gateway ]
                                     |
                                [ Firewall ]
                                     |
    +--------------------------------+--------------------------------+
    |                                |                                |
[ DMZ Web/Mail Server ]        [ Core Switch ]               [ Snort NIDS Sensor ]
                              (Port Mirror/SPAN) <============= (Lắng nghe thụ động)
                                     |                                |
                               [ Internal LAN ]            [ MySQL / BASE Console ]

  • Yêu cầu phần cứng tối thiểu (System Requirements):

    • CPU: Intel Core i5 / Xeon 4 Cores 2.4GHz trở lên.
    • RAM: 8GB DDR4 ECC.
    • Network Card: 2 Card mạng Gigabit Ethernet (1 NIC chuyên dụng quản trị IP tĩnh, 1 NIC không gắn IP đặt ở chế độ Promiscuous Mode kết nối SPAN Port của Switch Cisco).
    • Lưu trữ: SSD 250GB (Phân vùng riêng cho /var/log/snort và MySQL Database).

  • Chính sách vận hành và lưu trữ:

    • Sự kiện cảnh báo (Alerts) trên Console: Lưu trữ tập trung 1 năm phục vụ công tác điều tra số liệu an ninh (Digital Forensics).
    • Sự kiện thường nhật không có cảnh báo (Raw Event Logs): Lưu trữ nén tại Event/Flow Processor trong thời gian 3 tháng.
    • Chu kỳ cập nhật chữ ký: Tự động cập nhật cơ sở dữ liệu luật (Rule Signatures) hàng ngày qua giao thức bảo mật.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật:

    • Snort v2.9 vận hành theo cơ chế đơn luồng (Single-thread processing) trên một interface, dẫn đến hiện tượng nghẽn cổ chai khi lưu lượng đạt ngưỡng 10 Gbps nếu không phân tải bằng PF_RING.
    • Chưa thể phân tích nội dung gói tin bị mã hóa bằng SSL/TLS (HTTPS) nếu không có hệ thống trung gian SSL Decryption Offloader.
    • Phát hiện chủ yếu dựa trên tập luật tĩnh (Signatures), khả năng phát hiện tấn công Zero-day dựa trên hành vi bất thường (Anomaly-based) vẫn còn phụ thuộc vào ngưỡng thống kê cố định.

  • Hướng phát triển tiếp theo:

    • Nâng cấp lên kiến trúc đa luồng Snort 3.0 để tận dụng tối đa năng lực xử lý của các CPU đa nhân hiện đại.
    • Nghiên cứu tích hợp mô hình Học máy (Machine Learning/Deep Learning) vào mô-đun tiền xử lý để tự động gán nhãn và phát hiện dị thường lưu lượng bất thường mà không cần có sẵn Signature.
    • Phát triển liên kết tự động phản ứng với hệ thống tường lửa mềm (Software-Defined Networking - SDN & OpenFlow) để chủ động cô lập nút mạng bị lây nhiễm ngay khi phát hiện cảnh báo.

Đối tượng hưởng lợi

+------------------------------------------------------------------------------------+
|                         GIÁ TRỊ ỨNG DỤNG CHO CÁC ĐỐI TƯỢNG                         |
+------------------------------------------------------------------------------------+
| Sinh viên CNTT / An ninh mạng:                                                     |
| - Nắm vững cơ chế đóng gói tin TCP/IP, kỹ thuật phân tích gói tin ở mức Byte/Hex.  |
| - Tài liệu tham khảo hoàn chỉnh về xây dựng mô hình phòng vệ NIDS và SIEM.        |
|                                                                                    |
| Kỹ sư Quản trị mạng / DevOps:                                                      |
| - Sở hữu bộ mẫu luật Snort thực chiến để triển khai ngay vào hệ thống doanh nghiệp.|
| - Quy trình từng bước thiết lập SPAN Port, cấu hình Libpcap, MySQL và Web Console. |
|                                                                                    |
| Doanh nghiệp vừa và nhỏ (SMEs):                                                    |
| - Triển khai hệ thống giám sát an ninh chuẩn SIEM với chi phí phần mềm 0 VNĐ.     |
| - Tiết kiệm hàng trăm triệu đồng chi phí bản quyền thiết bị chuyên dụng đắt đỏ.     |
|                                                                                    |
| Chuyên gia Nghiên cứu (Security Researchers):                                     |
| - Cơ sở phương pháp luận để đánh giá năng lực chống tấn công né tránh (Evasion).   |
| - Nền tảng mở rộng tích hợp các thuật toán phát hiện bất thường thông minh.        |
+------------------------------------------------------------------------------------+

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai hệ thống Snort NIDS trong thực tế là gì?

Hệ thống yêu cầu máy chủ chạy Linux (Ubuntu/CentOS), tối thiểu 2 cổng mạng Ethernet: một cổng nhận luồng dữ liệu trinh sát (Promiscuous Mode kết nối SPAN/Mirror Port của Switch) và một cổng độc lập có gán địa chỉ IP tĩnh để quản trị qua SSH (Port 22)/Web Console (Port 443). Phần cứng tối thiểu cần 4 Core CPU, 8GB RAM để đảm bảo thông lượng xử lý 1 Gbps không rớt gói.

2. Snort NIDS xử lý như thế nào trước các cuộc tấn công né tránh phân mảnh gói tin?

Snort tích hợp mô-đun tiền xử lý frag3 (đối với IP) và stream5 (đối với TCP). Các mô-đun này có nhiệm vụ thu gom, sắp xếp và ghép nối các phân mảnh gói tin lại thành luồng dữ liệu hoàn chỉnh (Packet Reassembly) trước khi chuyển vào Detection Engine, loại bỏ hoàn toàn khả năng lẩn trốn của mã độc ẩn trong các gói tin chia nhỏ.

3. Làm thế nào để tích hợp Snort với Tường lửa để biến thành hệ thống chống xâm nhập chủ động (IPS)?

Có thể triển khai Snort ở chế độ Snort-Inline kết hợp thư viện libnetfilter_queue của Linux IPtables. Khi một gói tin khớp với luật có hành động drop hoặc reject, Snort sẽ hủy trực tiếp gói tin trên hàng đợi mạng hoặc gửi ngược gói tin TCP RST để ngắt phiên làm việc của kẻ tấn công ngay lập tức.

4. Chi phí triển khai và bảo trì hệ thống Snort NIDS là bao nhiêu?

Về mặt phần mềm, Snort là mã nguồn mở hoàn toàn miễn phí. Doanh nghiệp chỉ cần đầu tư phần cứng máy chủ tiêu chuẩn (khoảng 15 - 30 triệu VNĐ) hoặc tận dụng máy chủ ảo hóa sẵn có. Chi phí bảo trì chủ yếu là nhân sự vận hành cập nhật luật định kỳ (thông qua bộ luật Community Rules miễn phí hoặc Registered User Rules).

5. Sự khác biệt cốt lõi giữa việc phát hiện xâm nhập bằng NIDS và HIDS là gì?

NIDS phân tích lưu lượng truyền dẫn trên toàn bộ đoạn mạng, phát hiện tấn công từ trước khi gói tin chạm đến máy chủ và không làm tiêu hao tài nguyên máy chủ. Ngược lại, HIDS cài trực tiếp trên máy chủ, giám sát log hệ điều hành và file hệ thống, có thể xác định chính xác cuộc tấn công thành công hay thất bại nhưng lại chiếm dụng tài nguyên CPU/RAM của máy chủ cần bảo vệ.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu hệ thống phát hiện cảnh báo nguy cơ tấn công mạng" đã giải quyết trọn vẹn mục tiêu nghiên cứu và hiện thực hóa một giải pháp giám sát an ninh mạng toàn diện. Bằng việc phân tích sâu sắc cấu trúc mô hình SIEM, cơ chế hoạt động của NIDS và đi sâu vào kiến trúc 5 tầng của Snort, công trình đã chứng minh tính khả thi, độ tin cậy và hiệu năng vượt trội của giải pháp mã nguồn mở trong việc bảo vệ hạ tầng thông tin.

Kết quả thực nghiệm đã khẳng định Snort có khả năng xử lý ổn định ở mức 1.000 EPS và 100.000 FPM, bóc tách và đối sánh chính xác các kịch bản tấn công nguy hiểm như DoS/Ping of Death, quét cổng ngầm TCP ACK, và chèn mã độc tầng ứng dụng. Đây là tài liệu kỹ thuật và giải pháp ứng dụng có giá trị thực tiễn cao, đóng vai trò nền tảng vững chắc cho các kỹ sư an toàn thông tin và doanh nghiệp trong chiến lược xây dựng hệ thống phòng thủ mạng chiều sâu với chi phí tối ưu.