CHƯƠNG 1. GIỚI THIỆU ĐÈ TÀI mã nguồn mở chất lượng, có thể đủ khả năng đáp ứng. Vì vậy, nhóm tác giả đã hướng đến việc hiện thực một mô hình sử dụng các công cụ này để giải quyết câu chuyện nêu trên, và quyết định lựa chọn dé tài “Xây dựng hệ thống phát hiện và ngăn chặn mã độc tự động”. Mục tiêu nghiên cứu - _ Thiết kế một hệ thống có nhiều lớp phát hiện mã độc.
Căn cứ theo quá trình một tập tin mã độc từ Internet di vào mạng nội bộ. - - Kết hợp các lớp phòng vệ này, cho phép chúng tận dụng thông tin đầu ra của nhau. - _ Cảnh báo tự động khi xảy ra sự xâm nhập. - Quan lí log tập trung.
Người quản trị có thé truy cập khi cần thiết. Hỗ trợ quá trình điều tra, truy dấu mã độc. - __ Cung cấp tính năng giám sát lưu lượng mang trong hệ thống. Nhiệm vụ nghiên cứu Tích hợp vào hệ thống các công cụ phát hiện mã độc với những phương thức khác nhau như xác định chữ ký, phân tích động và phát hiện lưu lượng mạng của mã độc.
Tìm hiệu, khai thác các mô đun mở rộng của các công cụ đê tang khả năng phan tích, phát hiện mã độc. Phát triển một chương trình giám sát log từ các công cụ. Sử dụng các thông tin thu được để tự động cải thiện cách thức ngăn chặn mã độc va đồng thời gửi email cảnh báo đến người quản trị khi phát hiện xâm nhập. Cụ thẻ, tự động cắm truy cập các URL dé tải tệp đã được phát hiện là chứa mã độc dé tiết kiệm thời gian quét, chặn kết nối tới các public IP đã phát hiện trong lưu lượng mang độc hại bởi hệ thống ngăn ngừa xâm nhập, kết hợp cả so sánh signature và phân tích động dé kiểm tra một số định dạng tập tin khả nghi, và tự gửi Gmail đến quản tri viên để thông tin về sự việc mã độc đã xâm nhập vào hệ thống.
GIGI THIEU ĐÈ TÀI Viết một công cụ giúp giám sát lưu lượng mạng, và các chương trình giúp thu thập, tập trung và xem log. Đối tượng và phạm vi của đề tài Đề tài là nghiên cứu về một hệ thống phát hiện và ngăn chặn mã độc một cách tự động. Trọng tâm của đề tài là phát hiện và ngăn chặn mã độc trên các giao thức Web HTTP/HTTPS. Không tập trung vào phương pháp phân tích mã độc và pháp chứng số.
Một số chương trình tự phát triển trong khóa luận là ding để kết nói thông tin, chức năng của các công cụ được sử dụng trong dé tài và chỉ đảm bao hoạt động trên các công cụ này. Khóa luận không so sánh chúng với các công cụ trả phí hoặc mã nguồn mở khác. Các công cụ và chương trình được tích hợp vào hệ thống, bao gồm: SquidClamAV là một công cụ antivirus mã nguồn mở dành cho Squid Proxy dựa trên phần mềm diệt vi rút mạnh mẽ ClamAV. Cuckoo Sandbox cung cấp cơ chế phân tích động các tập tin một cách tự động, giúp phát hiện các mã độc hoặc phần mềm nguy cơ.
Snort là một hệ thống ngăn chặn xâm nhập mạng, có khả năng phát hiện và ngăn chặn các lưu lượng mạng độc hại từ mã độc. Iptables là một tường lửa trạng thái giúp kiểm soát lưu lượng mạng. Squid là một http proxy cho phép SSL bumping, caching, chặn URL độc hại. OpenLDAP là một phần mềm triển khai mã nguồn mở của giao thức LDAP, được sử dụng như một máy chủ LDAP.
Các chương trình hỗ trợ được phát triển trên ngôn ngữ lập trình Java (chiếm 99%) va Shell Script (chiếm 1%). TÔNG QUAN Chương 2. Nghiên cứu tương tự Internet là một hệ thống thông tin toàn cầu, môi trường kết nối và chia sẽ cho hàng tỷ thiết bị máy tính, nó mang đến vô vàng lợi ích. Tuy vậy, mạng lưới không lồ này được ví như một đại dương mênh mông, nơi có những cá thé biển hiền hòa, sặc sỡ, nhưng cũng đồng thời ấn chứa đầy ray sự nguy hiểm với nhiều sinh vật hung ton, bí ấn.
Trên không gian mạng, người dùng có thê truy cập các tài nguyên, tải về các tập tin khác nhau từ vô số các nguồn. Câu hỏi đặt ra là chúng có an toàn? Liệu bao nhiêu tệp đã được chuyên vào máy tính, bên trong chúng có chứa các chương trình độc hại, thường được biết đến như là mã độc. Vì lý do đó, việc tìm kiếm các giải pháp cho việc phát hiện, ngăn chặn mã độc là vô cùng cần thiết và quan trọng. Điều này luôn thôi thúc các nghiên cứu mới về chủ đề này.
Bai báo khoa hoc “Detection of malicious servers for preventing client-side attacks” được xuất bản vào năm 2021, của trường Đại học Kỹ thuật và Công nghệ Mehran ở Pakistan [6]. Bài báo đề cập đến việc ngày càng có nhiều sự xuất hiện của các tan công phía người dùng. Đối tượng này là mục tiêu dé dàng bị nhắm đến, vì thường ít được trang bị sự bảo vệ nên sẽ tốn ít thời gian và công sức dé khai thác. Các tấn công được thực hiện bằng những phương thức khác nhau như phishing, drive-by downloads, click-frauds, social engineering và đặc biệt là mã độc.
Nhóm tác giả của nghiên cứu liệt kê các phương pháp thường dùng dé phát hiện các phương thức tan công trên, có thé được phân thành hai loại. Thứ nhất là theo cơ chế thụ động, dựa trên so sánh signature. Thứ hai là theo cơ chế chủ động, thường sử dụng kỹ thuật phân tích động mã độc. Giải pháp được đề xuất cho việc phát hiện và ngăn chặn tấn công phía người dùng là triển khai Bro IDS, Cuckoo Sandbox và VirusTotal API 2.
TÔNG QUAN Internet Malicious Web servers LAN and Safe web servers Gateway! | ' hosted Cache Engine; Bro IDS and File Share Server generate alerts on Cuck koo sandbo b x known threats used for offline scan Sandbox Host Server , VirusTotal API and Reporting Server a The Reporting Server Kali Linux will send a URL list Isolated Malware Repository Server inside the VMware Hình 2.1: Kiến trúc hệ thống phát hiện máy chủ độc hai (Nguồn: K. Batool, and Technology, "Detection of malicious servers for preventing client-side attacks," (in English), vol. 234, 2021) Nghiên cứu tập trung vào mục tiêu là dich vu web, phát hiện các trang web có chứa các payload độc hại, sử dụng lần lượt các phương pháp theo một quy trình xử lí (hình 2. Đầu tiên, khi một người dùng trong mạng truy cập một URL bất kì tham chiếu đến payload như tập tin EXE, PDF, hoặc với bat cứ đuôi mở rộng nào khác.
Bro IDS sẽ thực hiện phân tích phản hồi từ trang web dựa trên signature đã được cau hình của nó, nếu phát hiện bất kỳ sự độc hại nào, một cảnh báo sẽ được đây lên Sguil dashboard và một email sẽ được gửi đến quản trị viên. Tiếp theo, URL này sẽ được chuyên tiếp tự động đến VirusTotal API và được thực hiện quét. Nếu kết quả nhận 7 CHƯƠNG 2. TONG QUAN dinh tim thay ma độc từ URL nay, nó sẽ được lưu vào cơ sở dữ liệu MySQL.
Báo cáo quá trình quét này sẽ được gửi đến quản trị viên thông qua một email. Sau đó, một chương trình tự động trích xuất từ Bro IDS log các tập tin có trong URL độc hại. Thông qua network file share, chuyền các tệp nay đến Cuckoo sandbox dé kiểm tra lại, phòng trường hợp âm tính giả trên VirusTotal. Nếu VirusTotal API hoặc Cuckoo sandbox cho kết quả phân tích là đương tính, lúc này, một yêu cầu sẽ được gửi đến gateway dé thực hiện chặn URL này.
Client request a URL URL response will be monitored by Bro/SNORT IDS URL is not `» Malicious a _Ne If user access that URL the A message will bel Malicious Malicious URL No Send a URL for Miss ——— dynamic URL scan Firewall/Cache IF Yes Engine will block that URL Hinh 2.2: Luỗng hoạt động phát hiện máy chủ độc hại (Nguồn: K. Batool, and Technology, "Detection of malicious servers for preventing client-side attacks," (in English), vol. Những vấn đề tồn tại Bài báo đã mang đến nhiều nội dung, kiến thức bồ ích và dé cập các van đề rất đáng quan tâm. Tuy nhiên theo quan điểm của nhóm tác giả, hệ thống triển khai trên tồn tại ba vấn đề chính như sau: 1.
Quyền quyết định là của Bro IDS. Nếu Bro IDS đánh giá URL là không độc hai, phân tích trên VirusTotal và Cuckoo sandbox sẽ không diễn ra. Bro IDS (tên gọi mới là Zeek IDS) là một công cụ phân tích lưu lượng mang thụ động, thường được dùng để giám sát an ninh mạng, đo lường hiệu suất và hỗ trợ khác phục sự cố trong hệ thống mạng. Bro không thật sự là một hệ thống phát hiện xâm nhập mạng, việc kiểm tra sâu các gói tin dé so sánh với signature không phải thế mạnh của Bro.
Chính vì vậy, sử dụng Bro trong trường hợp này là rất thiếu hiệu quả. Hệ thống không có khả năng ngăn chặn bước đầu ở gateway. Các công cụ đều chạy ở chế độ bị động. Khi người dùng thực hiện tải tập tin từ một URL, việc tải về này vẫn được diễn ra bình thường.
Trong lúc đó, quá trình phân tích trên Bro IDS, Cuckoo sandbox hay VirusTotal API mới bat đầu thực hiện lần lượt. Hướng giải quyết Với các vấn đề nêu trên, trong hệ thống triển khai của nghiên cứu. Nhóm tác giả đề xuất lần lượt các phương án giải quyết tương ứng như sau: 1. Xây dựng và thiết kế hệ thống dựa trên các tình huống phát hiện mã độc thực tế, cơ sở là bao gồm ba kịch bản, sẽ được dé cập ở phan tiếp theo.
Thay Bro bằng Snort, một hệ thống phát hiện xâm nhập mạng mã nguồn mở hàng đầu trên thế giới. Đồng thời, triển khai Snort ở chế độ IPS thay vì IDS. Ở chế độ này, Snort không chỉ có dừng lại ở việc phát hiện các lưu lượng mạng độc hại, nó còn có thé tiền hành chặn chúng. Ở gateway, tích hợp thêm SquidClamAV, một công cụ antivirus mã nguồn mở dành cho Squid Proxy dựa trên phần mềm diệt vi rút mạnh mẽ ClamAV.
Nó giúp CHƯƠNG 2. TÔNG QUAN quét và chặn ngay các tập tin trước khi người dùng tải về máy nếu phát hiện chúng chứa mã độc. Đồng thời, nhóm tác giả sẽ bổ sung thêm ba tính năng. Thứ nhất là quản lí việc sử dụng dịch vụ web bằng hệ thống tài khoản sứ dụng Squid proxy, khi đó quá trình truy vết mã độc có thê căn cứ trên cả tài khoản người dùng và địa chỉ IP.
Thứ hai là tích hợp thêm công cụ tường lửa Iptables vào gateway, dùng nó dé chặn các địa chỉ IP từ lưu lượng mạng độc hại được phát hiện bởi IPS.