Tìm hiểu về hệ thống phát hiện cảnh báo nguy cơ tấn công mạng

Luận văn hpu khám phá hệ thống phát hiện và cảnh báo nguy cơ tấn công mạng, nâng cao an ninh thông tin và bảo vệ dữ liệu hiệu quả.

• Tác giả: Phạm Quang Tuyến
• Người hướng dẫn: TS. Ngô Trường Giang
• Trường học: Trường Đại Học Dân Lập Hải Phòng
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Hệ Thống Phát Hiện Cảnh Báo Nguy Cơ Tấn Công Mạng
• Loại tài liệu: Đồ Án Tốt Nghiệp
• Năm xuất bản: 2019
• Địa điểm: Hải Phòng

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ GIÁM SÁT AN NINH MẠNG
• 1.1. Giám sát An ninh mạng
• 1.2. Mô hình hệ thống và chức năng chính
• 1.2.1. Các thành phần chính
• 1.2.2. Phân loại Mô hình GSNAM
• 1.2.3. Chức năng
• 1.3. Phát hiện và chống xâm nhập mạng
• 1.3.1. Hệ thống phát hiện xâm nhập (IDS)
• 1.3.2. Hệ thống chống xâm nhập (IPS)
• 1.3.3. Nguyên lý hoạt động hệ thống
• 1.3.3.1. Giám sát mạng (monotoring)
• 1.3.3.2. Phân tích lưu thông (Analyzing)
• 1.3.3.3. Liên lạc
• 1.3.3.4. Cảnh báo (Alert)
• 1.3.3.5. Phản ứng (Response)
• 2. CHƯƠNG 2: HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG
• 2.1. Phát hiện xâm nhập
• 2.1.1. Chính sách của IDS
• 2.1.2. Kiến trúc hệ thống phát hiện xâm nhập
• 2.1.3. Phân loại hệ thống phát hiện xâm nhập
• 2.2. Tổng quan về snort
• 2.2.1. Kiến trúc của snort
• 2.2.2. Bộ luật của snort
• 2.2.3. Chế độ ngăn chặn của Snort: Snort – Inline
• 3. CHƯƠNG 3: THỰC NGHIỆM PHÁP HIỆN XÂM NHẬP MẠNG VỚI SNORT
• 3.1. Mô hình thử nghiệm
• 3.2. Thiết lập cấu hình, chuẩn bị môi trường cài đặt
• 3.3. Cài đặt SNORT
• 3.4. Thiết lập một số luật cơ bản
• 3.4.1. Tạo luật cảnh báo PING với kích thước lớn
• 3.4.2. Tạo luật cảnh báo truy cập Web
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về hệ thống phát hiện cảnh báo nguy cơ tấn công mạng

Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng là một phần quan trọng trong chiến lược an ninh mạng hiện đại. Nó giúp tổ chức phát hiện và phản ứng kịp thời trước các mối đe dọa tiềm ẩn. Hệ thống này không chỉ đơn thuần là một công cụ, mà còn là một giải pháp toàn diện nhằm bảo vệ thông tin và tài sản của tổ chức. Việc triển khai hệ thống này giúp giảm thiểu rủi ro và tăng cường khả năng phòng thủ trước các cuộc tấn công mạng.

1.1. Định nghĩa và vai trò của hệ thống phát hiện

Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng (IDS) có vai trò quan trọng trong việc giám sát và phân tích lưu lượng mạng. Nó giúp phát hiện các hành vi bất thường và cảnh báo cho quản trị viên về các mối đe dọa tiềm ẩn. Hệ thống này hoạt động như một lớp bảo vệ bổ sung cho các giải pháp bảo mật khác.

1.2. Lịch sử phát triển của hệ thống phát hiện

Khái niệm về hệ thống phát hiện xâm nhập đã xuất hiện từ những năm 1980. Ban đầu, nó được phát triển để giám sát các hành vi bất thường trong mạng. Qua thời gian, công nghệ này đã phát triển mạnh mẽ và trở thành một phần không thể thiếu trong an ninh mạng hiện đại.

II. Vấn đề và thách thức trong an ninh mạng hiện nay

Mặc dù có nhiều giải pháp bảo mật hiện đại, nhưng các tổ chức vẫn phải đối mặt với nhiều thách thức trong việc bảo vệ hệ thống của mình. Các cuộc tấn công ngày càng tinh vi và khó phát hiện hơn, đòi hỏi các hệ thống phát hiện phải liên tục được cập nhật và cải tiến. Việc thiếu hụt nhân lực có chuyên môn cũng là một vấn đề lớn trong việc triển khai và duy trì các hệ thống này.

2.1. Các loại tấn công mạng phổ biến

Các loại tấn công mạng như tấn công từ chối dịch vụ (DDoS), tấn công xâm nhập và mã độc đang gia tăng. Những tấn công này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của tổ chức. Việc phát hiện sớm các tấn công này là rất quan trọng.

2.2. Thiếu hụt nhân lực trong lĩnh vực an ninh mạng

Nhu cầu về chuyên gia an ninh mạng đang tăng cao, nhưng nguồn nhân lực có kỹ năng vẫn còn hạn chế. Điều này gây khó khăn cho các tổ chức trong việc triển khai và duy trì các hệ thống phát hiện hiệu quả.

III. Phương pháp phát hiện tấn công mạng hiệu quả

Để phát hiện và ngăn chặn các cuộc tấn công mạng, các tổ chức cần áp dụng nhiều phương pháp khác nhau. Các hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS) là hai trong số những giải pháp phổ biến nhất. Việc kết hợp các phương pháp này sẽ giúp tăng cường khả năng phát hiện và phản ứng trước các mối đe dọa.

3.1. Hệ thống phát hiện xâm nhập IDS

Hệ thống IDS giúp phát hiện các hành vi đáng ngờ trong mạng bằng cách phân tích lưu lượng và so sánh với các mẫu đã biết. Nó có thể cảnh báo cho quản trị viên khi phát hiện ra các dấu hiệu tấn công.

3.2. Hệ thống ngăn chặn xâm nhập IPS

IPS không chỉ phát hiện mà còn có khả năng ngăn chặn các cuộc tấn công ngay lập tức. Hệ thống này hoạt động song song với IDS để đảm bảo an toàn cho hệ thống mạng.

IV. Ứng dụng thực tiễn của hệ thống phát hiện tấn công mạng

Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng đã được áp dụng rộng rãi trong nhiều lĩnh vực khác nhau, từ ngân hàng đến y tế. Việc triển khai hệ thống này giúp các tổ chức bảo vệ thông tin nhạy cảm và duy trì hoạt động liên tục. Các nghiên cứu cho thấy rằng việc sử dụng hệ thống phát hiện có thể giảm thiểu thiệt hại do tấn công mạng.

4.1. Ứng dụng trong lĩnh vực ngân hàng

Ngành ngân hàng là một trong những lĩnh vực nhạy cảm nhất đối với các cuộc tấn công mạng. Hệ thống phát hiện giúp bảo vệ thông tin tài khoản và giao dịch của khách hàng, đảm bảo an toàn cho các giao dịch tài chính.

4.2. Ứng dụng trong lĩnh vực y tế

Trong lĩnh vực y tế, việc bảo vệ thông tin bệnh nhân là rất quan trọng. Hệ thống phát hiện giúp ngăn chặn các cuộc tấn công nhằm vào dữ liệu y tế, đảm bảo quyền riêng tư và bảo mật thông tin.

V. Kết luận và tương lai của hệ thống phát hiện tấn công mạng

Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng sẽ tiếp tục đóng vai trò quan trọng trong việc bảo vệ an ninh thông tin. Với sự phát triển của công nghệ, các hệ thống này sẽ ngày càng trở nên thông minh hơn và hiệu quả hơn trong việc phát hiện và ngăn chặn các cuộc tấn công. Tương lai của an ninh mạng sẽ phụ thuộc vào khả năng cải tiến và phát triển các giải pháp phát hiện tấn công.

5.1. Xu hướng phát triển công nghệ phát hiện

Công nghệ phát hiện sẽ tiếp tục phát triển với sự hỗ trợ của trí tuệ nhân tạo và học máy. Những công nghệ này sẽ giúp cải thiện khả năng phát hiện và giảm thiểu số lượng cảnh báo giả.

5.2. Tầm quan trọng của việc đào tạo nhân lực

Đào tạo nhân lực có kỹ năng trong lĩnh vực an ninh mạng là rất cần thiết. Các tổ chức cần đầu tư vào việc đào tạo và phát triển nguồn nhân lực để đảm bảo khả năng ứng phó với các mối đe dọa ngày càng tinh vi.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ GIÁM SÁT AN NINH MẠNG.1 Giám sát An ninh mạng. Giám sát An ninh mạng là hệ thống được xây dựng nhằm mục đích thu thập, theo dõi, phân tích các sự kiện, dữ liệu ra vào mạng từ đó phát hiện các tấn công mạng và đưa ra cảnh báo cho hệ thống mạng được giám sát. Về bản chất đây là hệ thống phân tích sự kiện, luồng dữ liệu mà không tích hợp các giải pháp ngăn chặn vào trong đó. Hệ thống này hoạt động độc lập và chỉ thu thập nhật ký hệ thống của các thiết bị, ứng dụng hay các luồng dữ liệu chứ không ảnh hưởng đến chúng.

Trong các hệ thống thông tin, việc khắc phục các sự cố thường tốn một chi phí rất lớn. vì vậy, giải pháp giám sát mạng để phát hiện sớm các sự cố là một sự lựa chọn được nhiều người ưa thích nhằm mang lại hiệu quả cao với chi phí vừa phải.2 Mô hình hệ thống và chức năng chính. Về cơ bản hệ thống Giám sát an ninh mạng (GSANM) tuân thủ theo mô hình SIEM (Security Information and Event Management). Đây là mô hình chung cho hệ thống GSANM được sử dụng rất nhiều trên thế giới và các nhà sản xuất các thiết bị GSANM cũng dựa trên mô hình chuẩn này.1 Các thành phần chính.

Hệ thống Giám sát an ninh mạng bao gồm các thành phần chính sau: Hình 1-1: Thành phần của GSANM Phạm Quang Tuyến _ CT1802 8 Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng CONSOLE: Là nơi xử lý, lưu trữ các sự kiện an ninh được cảnh báo, các sự kiện này được gửi lên từ Event Processor và Flow Processor. Ngoài ra tại đây còn chứa các tập luật xử lý các dữ liệu, CONSOLE có khả năng hoạt động độc lập. CONSOLE có hai giao diện, giao diện command line giúp người quản trị cấu hình, xử lý các lỗi hệ thống,. và giao diện web là nơi hiển thị các cảnh báo cũng như các sự kiện thu thập được.

Các cảnh báo sẽ được lưu trữ tùy vào cấu hình quản trị trong bao lâu, thường là một năm cho mỗi hệ thống. Năng lực hoạt động của CONSOLE tùy thuộc vào nhiều yếu tố như: Đường truyền mạng, cấu hình phần cứng, … thông thường hệ thống hoạt động với công suất 1000EPS và 100000FPM. Khi hệ thống GSANM được thiết lập và cấu hình thì CONSOLE sẽ tự động cấu hình tương ứng cho các thiết bị khác một cách chủ động sau khi kết nối vào các thiết bị thông qua cổng 22. Từ đó các việc cấu hình các thiết bị trong hệ thống GSANM có thể được thực hiện thông qua CONSOLE bằng hai cách đó là qua giao diện Web với cổng 443 hoặc qua giao diện command line.

EVENT PROCESSOR (EP): Đây là nơi xử lý các sự kiện được gửi về từ Event Collector. Các sự kiện này sẽ được xử lý thông qua các tập luật tại đây. Nếu là cảnh báo hoặc các sự kiện từ các thiết bị an ninh đưa ra cảnh báo thì nó sẽ được gửi thẳng trực tiếp lên CONSOLE để xử lý. Nếu là các sự kiện không đưa ra cảnh báo sẽ được lưu trữ tại đây mà không chuyển lên CONSOLE.

Các sự kiện được lưu trữ tùy theo cấu hình của quản trị, thường là ba tháng cho các sự kiện không đưa ra cảnh báo. Các nhật ký hệ thống không đưa ra cảnh báo nó sẽ được quản lý qua giao diện web của CONSOLE. FLOW PROCESSOR (FP): Phạm Quang Tuyến _ CT1802 9 Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng Đây là nơi xử lý luồng dữ liệu, FP nhận dữ liệu từ Flow Collector và xử lý dựa trên các tập luật của FP. Sau đó, các cảnh báo sẽ được nó gửi lên CONSOLE còn các sự kiện không đưa ra cảnh báo sẽ được lưu trữ tại FP và được quản lý dựa trên giao diện web của CONSOLE.

Thời gian lưu trữ các sự kiện này tùy thuộc vào cấu hình thường là ba tháng. EVENT COLLECTOR (EC): Là nơi thu thập nhật ký hệ thống, tiếp nhận các nhật ký hệ thống từ các thiết bị, hoặc các ứng dụng gửi về. Tại đây nhật ký hệ thống sẽ được mã hóa, nén và gửi về EP qua cổng 22. Sau đó nó sẽ được EP phân tích và xử lý.

Đối với EC có rất nhiều phương pháp lấy nhật ký hệ thống khác nhau VD: Cài đặt agent lên các máy tính cần thu thập và gửi nhật ký hệ thống đã được chỉ định về cho EC. Tại CONSOLE người quản trị sẽ cấu hình cho EC thu nhận các nhật ký hệ thống từ các agent này. Sau đó các nhật ký hệ thống này sẽ được quản lý dựa trên giao diện web của CONSOLE. EC chỉ có khả năng thu thập các sự kiện mà không có khả năng thu thập các luồng dữ liệu.

Với một thiết bị, dịch vụ như IIS, thường có khoảng 20 sự kiện trên giây (20 EPS). FLOW COLLECTOR (FC): Đây là nơi thu thập các luồng dữ liệu từ mạng được giám sát. FC thường thu nhận luồng dữ liệu từ các switch có chức năng span port của Cisco. Sau đó dữ liệu cũng được nén, mã hóa và chuyển về FP xử lý thông qua cổng 22.

CONSOLE sẽ cấu hình cho FC lắng nghe ở cổng Ethernet được kết nối với span port để thu thập dữ liệu. Khả năng xử lý hiện tại trên hệ thống GSANM đối với FC là 220000FPM. Các thiết bị phần cứng EC và FC của hệ thống GSANM có chức năng thu thập nhật ký hệ thống ở dạng “thô” là dạng chưa được phân tích. Đối với mỗi thiết bị này người quản trị hệ thống cần cung cấp địa chỉ IP tĩnh public, Phạm Quang Tuyến _ CT1802 10 Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng sau đó việc trao đổi dữ liệu qua hệ thống sẽ được mã hóa, nén lại và gửi tới EP, FP để phân tích và xử lý thông qua cổng 22.

CONSOLE sẽ hiển thị dữ liệu lên giao diện web để người quản trị có thể sẽ xem các cảnh báo này thông qua cổng 443.2 Phân loại Mô hình GSNAM được triển khai có hai dạng chính sau:  Dạng phân tán (Distributed): Hình 1-2: Mô hình GSANM phân tán Là mô hình mà trong đó có hệ thống xử lý được đặt ở trung tâm GSANM và mọi hoạt động của hệ thống như: Các sự kiện, luồng dữ liệu, …sẽ được xử lý tại trung tâm sau đó được hiển thị lên giao diện Web site. Đối với mô hình này thường đòi hỏi một sự đầu tư quy mô và lực lượng con người phải nhiều mới đủ khả năng để vận hành hệ thống này.  Dạng hoạt động độc lập (All in one): Phạm Quang Tuyến _ CT1802 11 Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng Hình 1-3: Mô hình GSANM tập trung. Đây là mô hình mà hệ thống được xây dựng riêng lẻ cho các đơn vị, và không liên quan tới nhau, có nghĩa là hệ thống hoạt động độc lập.

Các nhật ký hệ thống và luồng dữ liệu được trực tiếp thu thập tại mạng con, sau đó đẩy về thiết bị GSANM và tại đây luồng dữ liệu sẽ được xử lý. Tuy nhiên, mô hình này phù hợp cho các ngân hàng và đơn vị nhỏ và yêu cầu về đầu tư và lực lượng con người không cao.3 Chức năng Đối với hệ thống GSANM chức năng chính của nó là sẽ thu thập các thành phần sau:  Các sự kiện an ninh (Securtity Event): Được sinh ra từ các ứng dụng hoặc thiết bị như: Nhật ký hệ thống IIS, Firewall, VPN (Virtual Private Network), IDS (Intrusion Detection System), IPS (Intrusion Prevention System), …  Bối cảnh hoạt động mạng (Network activity context): Tầng 7 bối cảnh ứng dụng từ lưu lượng mạng và lưu lượng các ứng dụng.  Thông tin hệ điều hành: Tên nhà sản xuất và chi tiết về số phiên bản. Phạm Quang Tuyến _ CT1802 12 Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng  Các nhật ký hệ thống ứng dụng: Kế hoạch nguồn lực doanh nghiệp (Enterprise Resource Planning – ERP), quy trình làm việc, cơ sở dữ liệu ứng dụng, nền tảng quản lý,.

Với mỗi dòng nhật ký hệ thống sinh được tính là một sự kiện, các sự kiên được tính trên giây (EPS), và xử lý các luồng dữ liệu này được tính trên phút (FPM) sau đó hệ thống sẽ tiến hành phân tích bằng các bộ luật và đưa ra các cảnh báo cần thiết tới nhà quản trị hệ thống.3 Phát hiện và chống xâm nhập mạng 1.1 Hệ thống phát hiện xâm nhập (IDS).2 Hệ thống chống xâm nhập (IPS). IPS (Intrusion Prevention Systems) là hệ thống theo dõi, ngăn ngừa kịp thời các hoạt động xâm nhập không mong muốn. Chức năng chính của IPS là xác định các hoạt động nguy hại, lưu giữ các thông tin này. Sau đó kết hợp với firewall để dừng ngay các hoạt động này, và cuối cùng đưa ra các báo cáo chi tiết về các hoạt động xâm nhập trái phép trên.

Hệ thống IPS được xem là trường hợp mở rộng của hệ thống IDS, cách thức hoạt động cũng như đặc điểm của 2 hệ thống này tương tự nhau. Điểm khác nhau duy nhất là hệ thống IPS ngoài khả năng theo dõi, giám sát thì còn Phạm Quang Tuyến _ CT1802 13 Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng có chức năng ngăn chặn kịp thời các hoạt động nguy hại đối với hệ thống. Hệ thống IPS sử dụng tập luật tương tự như hệ thống IDS.3 Nguyên lý hoạt động hệ thống Nguyên lý hoạt động của một hệ thống phát hiện và chống xâm nhập được chia làm 5 giai đoạn chính: Giám sát mạng, phân tích lưu thông, Liên lạc giữa các thành phần, Cảnh báo về các hành vi xâm nhập và cuối cùng có thể tiến hành phản ứng lại tùy theo chức năng của từng IDS.1 Giám sát mạng (monotoring) Giám sát mạng là quá trình thu thập thông tin về lưu thông trên mạng. Việc này thông thường được thực hiện bằng các Sensor.

Yêu cầu đòi hỏi đối với giai đoạn này là có được thông tin đầy đủ và toàn vẹn về tình hình mạng. Đây cũng là một vấn đề khó khăn, bởi vì nếu theo dõi toàn bộ thông tin thì sẽ tốn khá nhiều tài nguyên, đồng thời gây ra nguy cơ tắc nghẽn mạng. Nên cần thiết phải cân nhắc để không làm ảnh hưởng đến toàn bộ hệ thống. Có thể sử dụng phương án là thu thập liên tục trong khoảng thời gian dài hoặc thu thập theo từng chu kì.

Tuy nhiên khi đó những hành vi bắt được chỉ là những hành vi trong khoảng thời gian giám sát. Hoặc có thể theo vết những lưu thông TCP theo gói hoặc theo liên kết. Bằng cách này sẽ thấy được những dòng dữ liệu vào ra được phép.