Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của cuộc cách mạng công nghiệp lần thứ tư gắn liền với các công nghệ như điện toán đám mây, Internet kết nối vạn vật, công nghệ cảm biến và thực tế ảo đã làm thay đổi căn bản phương thức làm việc và vận hành hệ thống thông tin. Tuy nhiên, đi cùng với sự phát triển này là các nguy cơ đe dọa an toàn an ninh mạng ngày càng gia tăng, tiêu biểu như việc đánh cắp dữ liệu, truy cập trái phép vào hệ thống và các cuộc tấn công từ chối dịch vụ (DoS).

Các giải pháp an ninh mạng truyền thống như hệ thống tường lửa (Firewall), các thuật toán mã hóa dữ liệu đường truyền hay phần mềm diệt virus có cơ sở dữ liệu mẫu thường đưa các đơn vị vào thế bị động khi đối mặt với các hình thức tấn công mới, các cuộc tấn công vượt qua rào chắn tường lửa hoặc các nguy cơ xuất phát từ chính mạng nội bộ. Việc khắc phục sự cố mạng sau khi xảy ra thường tốn kém chi phí rất lớn. Do đó, việc nghiên cứu, xây dựng một hệ thống giám sát, phát hiện và cảnh báo sớm nguy cơ tấn công mạng là yêu cầu cấp thiết nhằm nâng cao hiệu quả bảo vệ hệ thống với mức chi phí hợp lý.

Đồ án tốt nghiệp xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể sau:

  1. Nghiên cứu tổng quan về giám sát an ninh mạng (GSANM), tìm hiểu mô hình quản lý thông tin và sự kiện an ninh SIEM (Security Information and Event Management) cùng các thành phần thu thập, xử lý dữ liệu.
  2. Tìm hiểu nguyên lý hoạt động, kiến trúc và phân loại hệ thống phát hiện xâm nhập (IDS) và hệ thống chống xâm nhập (IPS); phân tích, so sánh chi tiết giữa hệ thống phát hiện xâm nhập dựa trên mạng (NIDS) và dựa trên máy chủ (HIDS).
  3. Nghiên cứu công cụ phát hiện xâm nhập mạng mã nguồn mở Snort, phân tích kiến trúc năm mô-đun chức năng và cú pháp xây dựng bộ luật nhận dạng (Snort Rules).
  4. Tiến hành thực nghiệm cài đặt phần mềm Snort trên môi trường mạng và thiết lập các tập luật cơ bản để phát hiện, cảnh báo các hành vi bất thường như gửi gói tin ICMP kích thước lớn và truy cập dịch vụ Web.

Đối tượng nghiên cứu của đề tài là các hệ thống giám sát an ninh mạng, kỹ thuật phát hiện xâm nhập và phần mềm mã nguồn mở Snort. Phạm vi nghiên cứu tập trung vào không gian mạng máy tính nội bộ, phân tích các gói tin lưu thông thuộc các tầng giao thức mạng (IP, ICMP, TCP, UDP), được thực hiện trong khuôn khổ đồ án tốt nghiệp đại học ngành Công nghệ Thông tin tại Trường Đại học Dân Lập Hải Phòng năm 2019.

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng nội dung dựa trên các khung lý thuyết, mô hình và công nghệ an toàn thông tin chuẩn hóa:

  • Mô hình SIEM (Security Information and Event Management): Khung kiến trúc tổng thể cho hệ thống giám sát an ninh mạng, phân tách rõ ràng giữa các tầng thu thập dữ liệu (Collector), tầng phân tích xử lý (Processor) và tầng quản trị tập trung (Console).
  • Lý thuyết phát hiện và chống xâm nhập mạng (IDS/IPS): Cơ chế phân loại phát hiện theo phương pháp (dựa trên dấu hiệu nhận dạng - Signature-based và dựa trên hành vi bất thường - Anomaly-based); phân loại theo vị trí thu thập (NIDS và HIDS); nguyên lý 5 giai đoạn vận hành của IDS/IPS.
  • Kiến trúc phát hiện xâm nhập đa tác nhân AAFID (Autonomous Agents for Intrusion Detection): Giải pháp kiến trúc ra đời năm 1994 sử dụng các tác nhân tự trị để kiểm tra các hành vi cục bộ và báo cáo về máy chủ phân tích trung tâm.
  • Khung phân tích giao thức và tập luật Snort: Bộ phân tích lưu lượng dựa trên thư viện bắt gói tin pcap, cơ chế tiền xử lý chuẩn hóa giao thức (normalize) và cấu trúc luật logic hai phần (Header và Option).

Tác giả sử dụng kết hợp các phương pháp nghiên cứu sau:

  • Phương pháp phân tích và tổng hợp tài liệu: Thu thập, hệ thống hóa các tài liệu khoa học và lịch sử phát triển của IDS (từ bài báo khởi xướng của James Anderson, các nghiên cứu giai đoạn 1983–1988 của Không lực Hoa Kỳ đến quá trình thương mại hóa của ISS và Cisco).
  • Phương pháp so sánh - đối chiếu: Xây dựng bảng đánh giá định lượng và định tính đa tiêu chí giữa NIDS và HIDS dựa trên các khía cạnh: khả năng bảo vệ, chi phí đầu tư, băng thông mạng, tác động tài nguyên và độ nhạy trước lưu lượng mã hóa/chuyển mạch.
  • Phương pháp thực nghiệm kỹ thuật: Thiết lập hệ thống giám sát mạng với Snort, cấu hình tệp snort.conf, classification.config, viết các tập luật tùy chỉnh và kiểm tra khả năng phát hiện cảnh báo trên giao diện quản trị.

Nguồn dữ liệu của đồ án bao gồm cơ sở dữ liệu luật của Snort (hơn 2930 luật được cập nhật), dữ liệu nhật ký hệ thống (log), luồng dữ liệu mạng (flow) thu thập từ cổng Span port của thiết bị chuyển mạch Cisco, và các luồng gói tin thực nghiệm được tạo ra trong quá trình kiểm thử.

Thiết kế hệ thống và cấu trúc công nghệ

Hệ thống giám sát an ninh mạng và giải pháp thực nghiệm trong đồ án được thiết kế theo các khối kiến trúc chuẩn hóa:

1. Kiến trúc hệ thống giám sát an ninh mạng (GSANM - SIEM)

Mô hình hệ thống GSANM bao gồm năm thành phần chính kết nối với nhau qua các kênh truyền thông bảo mật:

  • Console: Trung tâm xử lý, lưu trữ sự kiện an ninh được cảnh báo từ Event Processor và Flow Processor; tích hợp tập luật xử lý dữ liệu. Console có giao diện dòng lệnh (Command Line) để cấu hình/sửa lỗi và giao diện Web (cổng 443) để hiển thị cảnh báo. Công suất hoạt động tiêu chuẩn đạt 1000 EPS (Events Per Second) và 100.000 FPM (Flows Per Minute), lưu trữ cảnh báo mặc định 1 năm. Console chủ động cấu hình các thiết bị khác qua cổng 22.
  • Event Collector (EC): Thu thập nhật ký hệ thống (log) thô từ các thiết bị và ứng dụng (ví dụ dịch vụ IIS phát sinh khoảng 20 EPS). Nhật ký được nén, mã hóa và truyền về Event Processor qua cổng 22.
  • Event Processor (EP): Tiếp nhận dữ liệu từ EC, áp dụng tập luật để xử lý. Các sự kiện vi phạm được gửi thẳng lên Console; các sự kiện bình thường được lưu trữ tại chỗ trong thời gian cấu hình (thường là 3 tháng).
  • Flow Collector (FC): Lắng nghe tại cổng Ethernet kết nối với cổng Span port của Switch Cisco để thu thập luồng dữ liệu mạng. Khả năng xử lý đạt 220.000 FPM. Dữ liệu được nén, mã hóa và chuyển về Flow Processor qua cổng 22.
  • Flow Processor (FP): Xử lý luồng dữ liệu từ FC dựa trên tập luật của FP, chuyển cảnh báo lên Console và lưu trữ các luồng thông thường trong 3 tháng.

2. Kiến trúc mô-đun của phần mềm Snort

Snort hoạt động như một NIDS theo mô hình kiến trúc gồm năm mô-đun tuần tự:

  • Mô-đun giải mã gói tin (Packet Decoder): Sử dụng thư viện pcap để bắt và giải mã các gói tin lưu thông qua các giao diện mạng hỗ trợ (Ethernet, 802.11, Token Ring, FDDI, Cisco HDLC, SLIP, PPP, PF của OpenBSD).
  • Mô-đun tiền xử lý (Preprocessors): Thực hiện ba nhiệm vụ: ghép nối các gói tin bị phân mảnh; duy trì trạng thái phiên làm việc đa gói tin thông qua plugin stream; giải mã và chuẩn hóa giao thức (Telnet, HTTP, RPC, ARP) để loại bỏ các kỹ thuật lẩn tránh (như chèn chuỗi /./, ký tự \, mã hexa/Unicode); phát hiện bất thường qua các plugin như portscan (dò quét cổng) và bo (phát hiện trojan Back Orifice).
  • Mô-đun phát hiện (Detection Engine): Thành phần cốt lõi so sánh dữ liệu gói tin với các luật định sẵn trên từng vùng (IP header, TCP/UDP header, DNS/HTTP/FTP header, payload). Áp dụng thứ tự ưu tiên khi một gói tin khớp nhiều luật.
  • Mô-đun log và cảnh báo (Logging and Alerting System): Ghi nhận dữ liệu gói tin vi phạm ra các tệp văn bản hoặc định dạng tcpdump.
  • Mô-đun kết xuất thông tin (Output Module): Xuất cảnh báo và log ra nhiều định dạng: tệp văn bản, Syslog (Unix/Linux), cơ sở dữ liệu MySQL, định dạng XML, gửi thông báo qua giao thức SNMP tới SNMP Server, gửi thông điệp SMB dạng pop-up tới các máy trạm Windows, hoặc tái cấu hình Router/Firewall.

3. Cấu trúc bộ luật (Rules) của Snort

Mỗi luật của Snort được chia thành hai phần logic:

  • Rule Header: Quy định hành động (alert, log, pass, activate, dynamic), giao thức (ip, icmp, tcp, udp), địa chỉ IP nguồn/đích (hỗ trợ CIDR /24, /16, /8, /32, từ khóa any, toán tử phủ định !, danh sách []), cổng nguồn/đích (dải cổng :, toán tử phủ định !) và hướng xử lý (->, <>). Người dùng có thể tự định nghĩa loại hành động qua từ khóa ruletype.
  • Rule Option: Đặt trong dấu ngoặc đơn, chứa thông điệp cảnh báo msg và các tiêu chí đối sánh phụ liên kết logic AND: ack (kiểm tra số thứ tự ACK trong header TCP), classtype (phân loại mức ưu tiên kết hợp tệp classification.config), content (tìm chuỗi ký tự ASCII hoặc mã hexa |47 45 54|), offset (vị trí bắt đầu tìm), dept (độ sâu tìm kiếm), content-list (tìm theo danh sách trong tệp), dsize (kiểm tra kích thước payload dữ liệu), và flags (kiểm tra các cờ TCP: FIN, SYN, RST, PSH, ACK, URG, 1, 2, 0).

Nội dung chính theo từng chương

Chương 1: Tổng quan về giám sát an ninh mạng

Chương 1 giới thiệu khái niệm giám sát an ninh mạng là hệ thống độc lập thu thập, theo dõi và phân tích các sự kiện, luồng dữ liệu vào ra mạng nhằm phát hiện tấn công và đưa ra cảnh báo mà không tích hợp trực tiếp giải pháp ngăn chặn. Hệ thống GSANM tuân thủ theo mô hình SIEM và được phân chia thành hai mô hình triển khai:

  • Mô hình phân tán (Distributed): Đặt hệ thống xử lý tại trung tâm GSANM, thu thập sự kiện từ nhiều mạng con và quản lý qua giao diện Web; phù hợp với các đơn vị quy mô lớn có đội ngũ vận hành chuyên trách.
  • Mô hình hoạt động độc lập (All in one): Triển khai khép kín cho từng đơn vị riêng lẻ; dữ liệu được thu thập và xử lý trực tiếp tại mạng con; phù hợp cho các ngân hàng và đơn vị nhỏ với chi phí và nhân lực vừa phải.

Bốn nhóm dữ liệu chính mà hệ thống GSANM thu thập gồm: sự kiện an ninh (sinh ra từ IIS, Firewall, VPN, IDS, IPS), bối cảnh hoạt động mạng tầng 7 (lưu lượng ứng dụng), thông tin hệ điều hành (nhà sản xuất, phiên bản) và nhật ký các ứng dụng nghiệp vụ (ERP, quy trình làm việc, cơ sở dữ liệu).

Chương 1 cũng làm rõ khái niệm hệ thống chống xâm nhập (IPS) là bước mở rộng của IDS, có thêm chức năng kết hợp với Firewall để ngăn chặn kịp thời các hoạt động nguy hại. Nguyên lý hoạt động của hệ thống phát hiện và chống xâm nhập được phân thành 5 giai đoạn:

  1. Giám sát mạng (Monitoring): Thu thập thông tin lưu lượng mạng bằng các sensor theo hình thức liên tục hoặc theo chu kỳ.
  2. Phân tích lưu thông (Analyzing): Dò tìm dấu hiệu đáng ngờ bằng kỹ thuật đối sánh mẫu hoặc phân tích hành vi bất thường.
  3. Liên lạc (Communication): Truyền thông giữa Sensor và bộ xử lý trung tâm qua các giao thức an toàn (SSH, HTTPS, SNMPv3, hoặc PostOffice của Cisco).
  4. Cảnh báo (Alert): Phát cảnh báo khi phát hiện địa chỉ không hợp lệ hoặc các kết nối tới máy chủ thuộc danh sách theo dõi.
  5. Phản ứng (Response): Thực hiện hành vi phòng vệ thông qua can thiệp vào Firewall, Switch, Router (ngắt dịch vụ, gián đoạn phiên, cấm địa chỉ IP tấn công).

Chương 2: Hệ thống phát hiện xâm nhập mạng

Chương 2 trình bày lịch sử hình thành của IDS từ ý tưởng ban đầu của James Anderson, trải qua giai đoạn nghiên cứu tại Không lực Hoa Kỳ (1983–1988), phát triển thử nghiệm (1996) đến thương mại hóa rộng rãi (1997 với công ty ISS, 1998 với sự kiện Cisco mua lại Wheel). Tác giả phân loại IDS theo phương pháp phát hiện (Signature-based và Anomaly-based) và nêu rõ 6 yêu cầu bắt buộc khi xây dựng chính sách IDS: xác định người giám sát, người vận hành, quy trình xử lý sự cố, chu kỳ lập báo cáo, cơ chế cập nhật mẫu dấu hiệu tấn công và quy chuẩn lưu trữ tài liệu nhật ký.

Về mặt kiến trúc, chương 2 phân tích sâu cấu trúc 3 thành phần (thu thập, phân tích, phản hồi) và giải pháp kiến trúc đa tác nhân AAFID (1994). Tác giả so sánh chi tiết hai mô hình IDS chính:

  • NIDS (Network-based IDS): Giám sát lưu lượng trên các đoạn mạng bằng sensor. Ưu điểm nổi bật là chi phí thấp, phân tích được header gói tin để phát hiện tấn công DoS/TearDrop, kẻ tấn công không thể xóa dấu vết trên lưu thông mạng, khả năng gửi TCP reset để đối phó kịp thời và tính độc lập cao với máy trạm. Nhược điểm là bị giới hạn trong môi trường mạng chuyển mạch Switch, suy giảm hiệu năng khi lưu thông mạng quá lớn, gây tăng tải băng thông mạng khi truyền dữ liệu phân tích, và khó xử lý các phiên mã hóa (VPN) hoặc gói tin cố tình phân mảnh.
  • HIDS (Host-based IDS): Cài đặt trực tiếp trên các máy chủ xung yếu hoặc vùng DMZ để theo dõi tiến trình, Registry, mức sử dụng CPU, audit log và lệnh gọi hệ thống. Ưu điểm là xác định chính xác kết quả cuộc tấn công (thành công hay thất bại), giám sát hoạt động truy cập file/leo thang đặc quyền nội bộ, phát hiện hành vi xâm nhập từ bàn phím, thích nghi tốt với mạng chuyển mạch và lưu lượng mã hóa mà không cần thêm phần cứng mạng. Nhược điểm là khó quản trị trên diện rộng, phụ thuộc vào độ an toàn của log máy chủ, chi phí bản quyền cao cho toàn hệ thống, tiêu tốn CPU/RAM của máy trạm và không phát hiện được hành vi quét mạng diện rộng (Nmap, Netcat).

Bảng so sánh và đánh giá giữa NIDS và HIDS được tổng hợp trong văn bản như sau:

Chức năng / Tiêu chí HIDS NIDS Đánh giá từ tác giả
Bảo vệ trong mạng LAN **** **** Cả hai đều bảo vệ khi người dùng hoạt động trong mạng LAN
Bảo vệ ngoài mạng LAN **** - Chỉ có HIDS thực hiện được
Dễ dàng cho việc quản trị **** **** Tương đương nhau xét về bối cảnh quản trị chung
Tính linh hoạt **** ** HIDS là hệ thống linh hoạt hơn
Giá thành *** * HIDS tiết kiệm hơn nếu chọn đúng sản phẩm
Dễ dàng trong việc bổ sung **** **** Cả hai tương đương nhau
Đào tạo ngắn hạn cần thiết **** ** HIDS yêu cầu đào tạo ít hơn NIDS
Tổng giá thành *** ** HIDS tiêu tốn ít hơn
Băng tần yêu cầu trong LAN 0 2 NIDS sử dụng băng tần LAN rộng, HIDS thì không
Network overhead 1 2 NIDS cần 2 yêu cầu băng tần mạng đối với bất kỳ mạng LAN nào
Băng tần yêu cầu (Internet) ** ** Cả hai đều cần băng thông Internet để cập nhật file mẫu
Yêu cầu về cổng mở rộng - **** NIDS yêu cầu kích hoạt mở rộng cổng (Span port)
Chu kỳ nâng cấp cho client **** - HIDS nâng cấp tất cả client với một file mẫu trung tâm
Khả năng thích nghi nền ứng dụng ** **** NIDS thích nghi tốt hơn trong các nền ứng dụng
Chế độ quét thanh ghi cục bộ **** - Chỉ HIDS mới thực hiện được kiểu quét này
Bản ghi (Logging) *** *** Cả hai hệ thống đều có chức năng lưu bản ghi
Chức năng cảnh báo *** *** Cả hai đều có chức năng cảnh báo cho cá nhân và quản trị viên
Quét mạng cá nhân (PAN) **** - Chỉ có HIDS quét các vùng mạng cá nhân
Loại bỏ gói tin - **** Chỉ các tính năng NIDS mới có phương thức này
Kiến thức chuyên môn *** **** Cần nhiều kiến thức chuyên môn hơn khi cài đặt, sử dụng NIDS
Quản lý tập trung ** *** NIDS chiếm ưu thế hơn
Khả năng vô hiệu hóa hệ số rủi ro * **** NIDS có hệ số rủi ro cao hơn HIDS
Các nút phát hiện nhiều đoạn mạng **** ** HIDS phát hiện theo nhiều đoạn mạng LAN toàn diện hơn

Phần cuối của chương 2 giới thiệu chi tiết về phần mềm mã nguồn mở Snort do Martin Roesch phát triển, phân tích 5 mô-đun chức năng, cơ chế xử lý tệp cấu hình và cú pháp xây dựng bộ luật chi tiết với các từ khóa chuyên sâu (ack, classtype, content, offset, dept, content-list, dsize, flags).

Chương 3: Thực nghiệm phát hiện xâm nhập mạng với Snort

Chương 3 trình bày việc triển khai thực tế công cụ Snort trong việc phát hiện và cảnh báo nguy cơ tấn công mạng. Nội dung gồm:

  • Thiết lập mô hình thử nghiệm: Xây dựng mô hình mạng thử nghiệm để Snort lắng nghe và phân tích lưu lượng truyền dẫn.
  • Quy trình cài đặt: Thiết lập môi trường hệ thống, thực hiện các bước cấu hình thông số và thiết lập trang quản trị Snort trên giao diện Web.
  • Xây dựng và thử nghiệm các tập luật cơ bản:
    1. Tạo luật cảnh báo PING với kích thước lớn: Sử dụng luật kiểm tra lưu lượng ICMP kết hợp với điều kiện kiểm tra độ dài dữ liệu dsize (nhằm phát hiện các hành vi gửi gói tin Ping có tải trọng lớn bất thường gây nguy cơ tràn bộ đệm hoặc DoS).
    2. Tạo luật cảnh báo truy cập Web: Thiết lập luật giám sát lưu lượng TCP trên cổng 80/443, áp dụng từ khóa content để phát hiện các chuỗi dữ liệu truy vấn đặc biệt gửi tới máy chủ Web.

Kết quả và đóng góp

Đồ án đạt được các kết quả kỹ thuật và đóng góp chuyên môn cụ thể sau:

  • Hệ thống hóa toàn diện cơ sở lý thuyết về giám sát an ninh mạng: Phân tích chi tiết mô hình SIEM với các thông số định lượng kỹ thuật cụ thể (Console công suất 1000 EPS / 100.000 FPM, lưu trữ cảnh báo 1 năm; Event/Flow Processor lưu trữ dữ liệu thông thường 3 tháng; Flow Collector xử lý 220.000 FPM; cơ chế mã hóa truyền thông qua cổng SSH 22 và quản trị Web cổng HTTPS 443).
  • Xây dựng khung đánh giá so sánh chuyên sâu NIDS và HIDS: Đưa ra bảng phân tích chi tiết gồm 21 tiêu chí đánh giá mức độ đáp ứng, yêu cầu tài nguyên và chi phí, giúp định hình giải pháp giám sát phù hợp cho từng quy mô hạ tầng mạng.
  • Phân tích chi tiết kiến trúc và cơ chế hoạt động của Snort: Làm rõ nguyên lý vận hành của 5 mô-đun trong Snort (Packet Decoder, Preprocessors, Detection Engine, Logging/Alerting, Output Module) và phân tích cấu trúc cú pháp của hơn 2930 luật nhận dạng.
  • Thực nghiệm cài đặt và xây dựng luật thành công: Triển khai thành công công cụ Snort và trang quản trị Web; xây dựng và kiểm thử hoàn chỉnh các tập luật phát hiện gói tin ICMP kích thước lớn và giám sát truy cập dịch vụ Web.

Về mặt giải pháp và kiến nghị, tác giả đề xuất các tổ chức cần chủ động chuyển dịch từ thế phòng thủ bị động (chỉ dựa vào Firewall/Antivirus) sang mô hình giám sát an ninh chủ động. Tùy theo điều kiện kinh phí và nhân sự, các đơn vị nhỏ hoặc ngân hàng có thể áp dụng mô hình All-in-one để tối ưu chi phí, trong khi các tổ chức lớn cần triển khai mô hình phân tán (Distributed) kết hợp đầy đủ các thành phần SIEM. Đồng thời, việc vận hành IDS bắt buộc phải gắn liền với việc xây dựng chính sách an ninh mạng hoàn chỉnh gồm đầy đủ 6 yếu tố quản trị.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung được trình bày trong đồ án, một số hạn chế và hướng mở phát triển được ghi nhận như sau:

  • Hạn chế:
    • Phần thực nghiệm của đồ án mới dừng lại ở việc thiết lập một số luật cơ bản (phát hiện Ping kích thước lớn và kiểm tra truy cập Web), chưa đi sâu kiểm thử các kịch bản tấn công phức tạp hoặc tấn công phân tán quy mô lớn.
    • Hệ thống NIDS được triển khai vẫn chịu các hạn chế cố hữu của việc phân tích lưu lượng mạng như: khó khăn trong việc bóc tách, phân tích các gói tin thuộc phiên làm việc được mã hóa (VPN/HTTPS) và khả năng suy giảm hiệu năng khi đối mặt với lưu lượng mạng có mật độ quá cao.
    • Chưa triển khai tích hợp trực tiếp cơ chế tự động ngăn chặn (Snort-Inline/IPS) với thiết bị tường lửa để tự động ngắt kết nối khi có vi phạm trong môi trường thực tế.
  • Hướng nghiên cứu tiếp:
    • Nghiên cứu và triển khai mở rộng chế độ ngăn chặn Snort-Inline để chuyển đổi hệ thống từ trạng thái phát hiện/cảnh báo (IDS) sang trạng thái ngăn ngừa xâm nhập chủ động (IPS).
    • Nghiên cứu cơ chế phát hiện bất thường dựa trên hành vi (Anomaly-based) kết hợp các mô hình phân tích thống kê để nâng cao khả năng nhận diện các cuộc tấn công mới chưa có trong tập luật mẫu.
    • Xây dựng mô hình kết hợp lai giữa NIDS và HIDS nhằm nâng cao độ phủ giám sát toàn diện từ mức mạng đến mức hệ điều hành của từng máy chủ.

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho sinh viên chuyên ngành Công nghệ Thông tin, An toàn thông tin, Kỹ thuật mạng máy tính cũng như các kỹ sư quản trị hệ thống đang tìm hiểu về kiến trúc giám sát an toàn mạng.

Các phần nội dung có giá trị tham khảo nổi bật bao gồm:

  • Bảng đối chiếu 21 tiêu chí giữa NIDS và HIDS (Chương 2): Cung cấp cơ sở lý thuyết tổng hợp để người làm đồ án, chuyên viên bảo mật lựa chọn và hoạch định kiến trúc IDS phù hợp với hạ tầng công nghệ của tổ chức.
  • Hướng dẫn cú pháp và cấu trúc luật Snort (Chương 2): Cung cấp tài liệu tra cứu cụ thể về ý nghĩa của các từ khóa tùy chọn (ack, classtype, content, offset, dept, dsize, flags) và cú pháp khai báo hành động tùy biến ruletype.
  • Mô hình kiến trúc SIEM chuẩn hóa (Chương 1): Cung cấp sơ đồ phân luồng chức năng giữa các khối Console, Event/Flow Collector và Event/Flow Processor cùng các thông số kỹ thuật (EPS, FPM, cổng kết nối).

Câu hỏi thường gặp

1. Hệ thống Giám sát an ninh mạng (GSANM) trong đồ án tuân theo mô hình chuẩn nào và các thông số hoạt động của thành phần Console là gì? Hệ thống GSANM tuân thủ theo mô hình SIEM (Security Information and Event Management). Thành phần CONSOLE hoạt động với công suất tiêu chuẩn là 1000 EPS (Events Per Second) và 100.000 FPM (Flows Per Minute). CONSOLE giao tiếp cấu hình thiết bị khác qua cổng 22, cung cấp giao diện quản trị Web qua cổng 443 và thời gian lưu trữ cảnh báo thường là 1 năm.

2. Điểm khác biệt cốt lõi giữa hệ thống IDS và IPS theo trình bày trong đồ án là gì? Hệ thống IPS được xem là trường hợp mở rộng của IDS. Hai hệ thống có cách thức hoạt động và tập luật tương tự nhau; tuy nhiên điểm khác nhau duy nhất là IPS ngoài khả năng theo dõi và giám sát thì còn có thêm chức năng ngăn chặn kịp thời các hoạt động nguy hại bằng cách kết hợp với tường lửa (Firewall) để dừng ngay các kết nối độc hại.

3. Tại sao hệ thống NIDS lại gặp khó khăn khi triển khai trong mạng sử dụng thiết bị chuyển mạch (Switch)? Thiết bị Switch chia mạng thành nhiều đoạn độc lập, khiến NIDS khó thu thập được lưu lượng toàn mạng nếu chỉ kết nối vào một đoạn mạng đơn lẻ. Để khắc phục, hệ thống phải sử dụng các cổng mở rộng (Span port của Cisco) để lắng nghe luồng dữ liệu hoặc bắt buộc phải lắp đặt thêm nhiều bộ cảm biến (Sensor) tại các phân đoạn trọng yếu, dẫn đến gia tăng chi phí phần cứng.

4. Mô-đun tiền xử lý (Preprocessors) của Snort thực hiện những nhiệm vụ chính nào? Mô-đun tiền xử lý thực hiện ba nhiệm vụ: (1) Kết hợp lại các gói tin bị phân mảnh và duy trì trạng thái phiên làm việc đa gói tin qua plugin stream; (2) Giải mã và chuẩn hóa giao thức (Telnet, HTTP, RPC, ARP) để tránh việc kẻ tấn công qua mặt hệ thống bằng mã hóa ký tự hay thay đổi định dạng URL; (3) Phát hiện các xâm nhập bất thường không dùng luật thông thường như quét cổng (plugin portscan) hoặc phát hiện trojan Back Orifice (plugin bo).

5. Từ khóa ack và dsize trong phần Rule Option của Snort có chức năng gì? Từ khóa ack dùng để kiểm tra trường Acknowledgement Number trong header TCP (ví dụ kiểm tra ack: 0 khi cờ ACK được bật nhằm phát hiện kỹ thuật TCP ping dò tìm máy sống của công cụ Nmap). Từ khóa dsize dùng để đối sánh chiều dài phần dữ liệu (payload) của gói tin với một giá trị số nhất định (ví dụ dsize: > 6000 để phát hiện các cuộc tấn công khai thác lỗi tràn bộ đệm).

Kết luận

Đồ án tốt nghiệp "Tìm hiểu hệ thống phát hiện cảnh báo nguy cơ tấn công mạng" của sinh viên Phạm Quang Tuyến đã nghiên cứu toàn diện lý thuyết về giám sát an ninh mạng theo mô hình SIEM và cơ chế vận hành của hệ thống IDS/IPS. Công trình đã phân tích sâu kiến trúc năm mô-đun cùng cú pháp xây dựng bộ luật của công cụ mã nguồn mở Snort, đồng thời đối chiếu chi tiết ưu nhược điểm kỹ thuật giữa NIDS và HIDS. Kết quả thực nghiệm cài đặt Snort và xây dựng thành công các tập luật cảnh báo Ping kích thước lớn và truy cập Web đã chứng minh tính khả thi của giải pháp trong việc phát hiện và cảnh báo sớm các nguy cơ mất an toàn thông tin mạng.