Luận văn thạc sĩ: Xây dựng hệ thống phát hiện xâm nhập mạng cho Bộ Khoa học và Công nghệ

Luận văn thạc sĩ nghiên cứu vnu uet xây dựng hệ thống phát hiện xâm nhập mạng áp dụng cho hệ thống mạng bộ khoa học và công nghệ, đánh giá hiện trạng, phân tích vấn đề, đề xuất

• Tác giả: Võ Tuấn Hải
• Người hướng dẫn: PGS.TS Đỗ Trung Tuấn
• Trường học: Trường Đại Học Công Nghệ - Đại Học Quốc Gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Xây dựng hệ thống phát hiện xâm nhập mạng áp dụng cho hệ thống mạng Bộ Khoa học và Công nghệ
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2011
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ PHÁT HIỆN XÂM NHẬP MẠNG VÀ LỪA ĐẢO TRÊN MẠNG
• 1.1. Hệ thống phát hiện xâm nhập là gì ?
• 1.2. Các kiểu của hệ thống IDS
• 1.3. Giải thích hoạt động cơ bản của hệ thống IDS
• 1.4. Chức năng của Sensor
• 1.5. Network-Based Sensors
• 1.6. Host-Based Sensors
• 1.7. Vị trí đặt Sensor
• 1.8. Các lưu thông mạng đã được mã hóa
• 1.9. Mô hình phân tích trong hệ thống IDS
• 1.9.1. Phân tích là gì ?
• 1.9.2. Các bước tiên hành phân tích
• 1.9.3. Mô hình phân tích Rule-Based Detection (Misuse Detection)
• 1.10. Ví dụ về một vài luật của IDS
• 1.11. Đánh giá ưu nhược điểm của hệ thống phát hiện xâm nhập mạng
• 1.12. Giới thiệu chung về lừa đảo trên mạng (phishing)
• 1.13. Phân tích các tấn công kiểu phishing
• 1.13.1. Ví dụ về phishing
• 1.13.2. Mục tiêu của phisher
• 1.14. Phân tích về vỏ lừa đảo
• 1.15. Các phương thức đưa thông báo tới nạn nhân
• 1.15.1. Bằng email và spam
• 1.15.2. Bằng trang Web
• 1.15.3. Bằng IRC và Instant messaging
• 1.15.4. Bằng các máy đã bị cài Trojan
• 1.15.6. Bằng spear phishing
• 1.15.8. Bằng đường bưu điện
• 1.16. Các hỗ trợ kỹ thuật cho phishing
• 1.16.1. Kỹ thuật Man-in-the-middle
• 1.16.2. Kỹ thuật URL giả
• 1.16.3. Kỹ thuật tấn công Cross-site Scripting
• 1.16.4. Kỹ thuật đặt trước Session ID
• 1.16.5. Kỹ thuật ẩn
• 1.16.6. Kỹ thuật theo dõi thông tin nạn nhân
• 1.16.7. Kỹ thuật lợi dụng điểm yếu tại máy người dùng
• 2. CHƯƠNG 2: QUY TRÌNH PHÒNG NGỪA VÀ NGĂN CHẶN XÂM NHẬP MẠNG CHO HỆ THỐNG MẠNG BỘ KHOA HỌC VÀ CÔNG NGHỆ
• 2.1. Phòng ngừa xâm nhập tường lửa
• 2.2. Kiểm tra lỗ hổng bảo mật của các Website
• 2.3. Phòng ngừa xâm nhập mạng từ trong nội bộ thông qua tài liệu chia sẻ
• 2.4. Phòng ngừa xâm nhập thông qua mạng không dây
• 2.5. Phòng ngừa xâm nhập hệ điều hành
• 2.6. Phòng ngừa xâm nhập SQL Injection
• 2.7. Phòng ngừa và ngăn chặn tấn công từ chối dịch vụ
• 2.8. Phòng ngừa và ngăn chặn phishing
• 2.9. Phòng ngừa và ngăn chặn spoofing
• 3. CHƯƠNG 3: XÂY DỰNG VÀ TRIỂN KHAI HỆ THỐNG PHÁT HIỆN XÂM NHẬP MẠNG CHO HỆ THỐNG MẠNG BỘ KHOA HỌC VÀ CÔNG NGHỆ
• 3.1. Mô hình mạng Bộ Khoa học và Công nghệ
• 3.2. Hệ thống phát hiện xâm nhập xây dựng trên nền tảng mã nguồn mở Snort
• 3.2.1. Các chức năng chính của Snort
• 3.2.2. Cấu hình cho phần mềm Snort
• 3.2.3. Quản lý và tạo luật trong phần mềm Snort
• 3.3. Thiết kế và triển khai hệ thống phát hiện xâm nhập mạng
• 3.3.1. Thiết kế hệ thống phát hiện xâm nhập mạng
• 3.3.2. Triển khai hệ thống phát hiện xâm nhập mạng
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về hệ thống phát hiện xâm nhập mạng cho Bộ Khoa học và Công nghệ

Hệ thống phát hiện xâm nhập mạng (IDS) là một phần quan trọng trong việc bảo vệ an ninh mạng cho các tổ chức, đặc biệt là Bộ Khoa học và Công nghệ. Hệ thống này giúp phát hiện và ngăn chặn các hành vi xâm nhập trái phép vào hệ thống mạng. Với sự phát triển nhanh chóng của công nghệ thông tin, việc bảo vệ thông tin nhạy cảm trở nên cấp thiết hơn bao giờ hết. Hệ thống IDS không chỉ giúp phát hiện các cuộc tấn công mà còn cung cấp thông tin cần thiết để quản lý rủi ro mạng.

1.1. Hệ thống phát hiện xâm nhập là gì

Hệ thống phát hiện xâm nhập (IDS) là công cụ giúp nhận diện và báo cáo các hành động trái phép trong hệ thống mạng. IDS có thể hoạt động độc lập hoặc kết hợp với các thiết bị bảo mật khác như tường lửa. Hệ thống này phân tích lưu lượng mạng để phát hiện các hành vi bất thường, từ đó đưa ra cảnh báo cho quản trị viên.

1.2. Các kiểu của hệ thống IDS

Có ba kiểu chính của hệ thống IDS: HIDS (Host-based Intrusion Detection System), NIDS (Network-based Intrusion Detection System) và Hybrid IDS. Mỗi loại có những ưu điểm và nhược điểm riêng, phù hợp với các nhu cầu bảo mật khác nhau của tổ chức.

II. Vấn đề và thách thức trong an ninh mạng hiện nay

Với sự gia tăng của các cuộc tấn công mạng, Bộ Khoa học và Công nghệ đang phải đối mặt với nhiều thách thức trong việc bảo vệ thông tin. Các phương thức tấn công ngày càng tinh vi, từ tấn công từ chối dịch vụ (DDoS) đến lừa đảo trực tuyến (phishing). Việc thiếu hụt nguồn lực và kiến thức chuyên môn trong lĩnh vực an ninh mạng cũng là một vấn đề lớn.

2.1. Các mối đe dọa từ bên ngoài

Các cuộc tấn công từ bên ngoài như tấn công DDoS và phishing đang gia tăng, đe dọa đến an ninh thông tin của Bộ Khoa học và Công nghệ. Những mối đe dọa này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của tổ chức.

2.2. Thiếu hụt nguồn lực và kiến thức

Nhiều tổ chức, bao gồm cả Bộ Khoa học và Công nghệ, đang gặp khó khăn trong việc tuyển dụng và duy trì đội ngũ chuyên gia an ninh mạng. Điều này dẫn đến việc thiếu hụt kiến thức và kỹ năng cần thiết để bảo vệ hệ thống mạng một cách hiệu quả.

III. Phương pháp xây dựng hệ thống phát hiện xâm nhập mạng hiệu quả

Để xây dựng một hệ thống phát hiện xâm nhập mạng hiệu quả, cần áp dụng các phương pháp hiện đại và công nghệ tiên tiến. Việc sử dụng phần mềm mã nguồn mở như Snort có thể giúp tiết kiệm chi phí và tăng cường khả năng phát hiện xâm nhập. Ngoài ra, việc đào tạo nhân viên và nâng cao nhận thức về an ninh mạng cũng rất quan trọng.

3.1. Sử dụng phần mềm mã nguồn mở Snort

Snort là một trong những phần mềm IDS phổ biến nhất hiện nay. Nó cho phép người dùng tùy chỉnh và mở rộng các quy tắc phát hiện xâm nhập, giúp tăng cường khả năng bảo vệ hệ thống mạng. Việc triển khai Snort có thể giúp Bộ Khoa học và Công nghệ phát hiện và ngăn chặn các cuộc tấn công hiệu quả hơn.

3.2. Đào tạo và nâng cao nhận thức

Đào tạo nhân viên về an ninh mạng là một phần quan trọng trong việc bảo vệ thông tin. Các khóa học và chương trình đào tạo có thể giúp nâng cao nhận thức và kỹ năng của nhân viên, từ đó giảm thiểu rủi ro xâm nhập mạng.

IV. Ứng dụng thực tiễn của hệ thống phát hiện xâm nhập mạng

Hệ thống phát hiện xâm nhập mạng không chỉ giúp phát hiện các cuộc tấn công mà còn cung cấp thông tin cần thiết để quản lý rủi ro. Việc áp dụng hệ thống này trong thực tiễn đã giúp nhiều tổ chức bảo vệ thông tin nhạy cảm và duy trì hoạt động ổn định.

4.1. Kết quả nghiên cứu và ứng dụng

Nghiên cứu cho thấy việc triển khai hệ thống IDS đã giúp giảm thiểu đáng kể các cuộc tấn công mạng. Các tổ chức đã áp dụng hệ thống này ghi nhận sự cải thiện trong khả năng phát hiện và phản ứng với các mối đe dọa.

4.2. Tích hợp với các giải pháp bảo mật khác

Hệ thống IDS cần được tích hợp với các giải pháp bảo mật khác như tường lửa và phần mềm diệt virus để tạo ra một hệ thống bảo mật toàn diện. Việc này giúp tăng cường khả năng bảo vệ thông tin và giảm thiểu rủi ro xâm nhập.

V. Kết luận và tương lai của hệ thống phát hiện xâm nhập mạng

Hệ thống phát hiện xâm nhập mạng đóng vai trò quan trọng trong việc bảo vệ an ninh thông tin cho Bộ Khoa học và Công nghệ. Trong tương lai, việc áp dụng công nghệ mới và cải tiến quy trình bảo mật sẽ giúp nâng cao hiệu quả của hệ thống này. Cần tiếp tục nghiên cứu và phát triển các giải pháp bảo mật để đối phó với các mối đe dọa ngày càng tinh vi.

5.1. Xu hướng phát triển công nghệ bảo mật

Công nghệ bảo mật đang phát triển nhanh chóng với sự xuất hiện của trí tuệ nhân tạo và học máy. Những công nghệ này có thể giúp cải thiện khả năng phát hiện và phản ứng với các cuộc tấn công mạng.

5.2. Tầm quan trọng của việc nâng cao nhận thức

Nâng cao nhận thức về an ninh mạng trong tổ chức là rất quan trọng. Các chương trình đào tạo và chiến dịch truyền thông có thể giúp nhân viên hiểu rõ hơn về các mối đe dọa và cách phòng ngừa hiệu quả.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, các hệ thống mạng máy tính của cơ quan nhà nước trở thành mục tiêu hàng đầu của các cuộc tấn công có chủ đích, với hơn 80% sự cố an toàn thông tin bắt nguồn từ các lỗ hổng chưa được kiểm soát toàn diện. Hệ thống mạng của Bộ Khoa học và Công nghệ được xây dựng từ giai đoạn năm 1997-1998, quản trị hơn 20 máy chủ đa nền tảng cùng hàng loạt thiết bị định tuyến, chuyển mạch và điểm truy cập không dây phục vụ các hoạt động quản trị nhà nước. Dù đã trang bị tường lửa Checkpoint và thiết bị phần cứng Cisco IDS 4215, hệ thống an ninh vẫn đối mặt với nguy cơ tê liệt trước các kỹ thuật tấn công tinh vi do chỉ phụ thuộc vào một thiết bị riêng lẻ với tập luật nhận diện cũ kỹ, chưa được cập nhật kịp thời và thiếu quy trình chuẩn hóa đồng bộ.

Mục tiêu cụ thể của nghiên cứu là khảo sát thực trạng an ninh hạ tầng, xây dựng quy trình phòng ngừa xâm nhập mạng toàn diện gồm 9 nhóm giải pháp, đồng thời thiết kế và triển khai hệ thống phát hiện xâm nhập mạng (NIDS) dựa trên nền tảng mã nguồn mở Snort tối ưu hóa cho hệ thống mạng Bộ Khoa học và Công nghệ. Phạm vi nghiên cứu được thực hiện trực tiếp trên toàn bộ hạ tầng công nghệ thông tin của Bộ tại Hà Nội trong giai đoạn năm 2010-2011. Kết quả nghiên cứu mang lại ý nghĩa thực tiễn to lớn khi giúp nâng cao hơn 95% khả năng phát hiện sớm các hành vi thâm nhập trái phép, giảm thiểu 85% tỷ lệ cảnh báo sai và tối ưu hóa 100% chi phí đầu tư bản quyền phần mềm so với các giải pháp thương mại đóng kín.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng lý thuyết an ninh mạng hiện đại với mô hình phòng thủ theo chiều sâu (Defense-in-Depth Model), tích hợp chặt chẽ giữa ba trụ cột: Công nghệ (Technology), Vận hành (Operations) và Con người (People). Khung lý thuyết này khẳng định rằng không một công cụ đơn lẻ nào có thể đảm bảo an toàn tuyệt đối, mà phải kết hợp nhiều lớp bảo vệ từ tường lửa, hệ thống phát hiện xâm nhập (IDS), hệ thống phòng chống xâm nhập (IPS) đến bảo mật ứng dụng và điểm cuối.

Bên cạnh đó, tác giả áp dụng lý thuyết phát hiện xâm nhập mạng thông qua hai mô hình phân tích chủ đạo: Phát hiện dựa trên luật/dấu hiệu (Rule-Based / Misuse Detection) và Phát hiện dị thường (Anomaly Detection). Nghiên cứu làm rõ 5 khái niệm chuyên ngành cốt lõi bao gồm:

1. Hệ thống phát hiện xâm nhập dựa trên mạng (NIDS) và máy trạm (HIDS).
2. Cảm biến mạng (Network Sensor) và bộ thu thập gói tin (Network Sniffer).
3. Bộ tiền xử lý và giải mã gói tin (Preprocessor Engine).
4. Cơ sở tri thức lưu trữ mẫu tấn công (Knowledge Base / Signature Matching).
5. Kỹ thuật tấn công lừa đảo qua mạng (Social Engineering / Phishing) kết hợp tấn công xen giữa (Man-in-the-middle).

Phương pháp nghiên cứu

Nghiên cứu kết hợp phương pháp nghiên cứu lý thuyết và thực nghiệm hệ thống. Nguồn dữ liệu sơ cấp được thu thập trực tiếp từ việc bắt và phân tích toàn bộ luồng gói tin TCP/IP lưu thông qua các giao tiếp mạng (network traffic dump), kết hợp nguồn dữ liệu thứ cấp từ cơ sở dữ liệu mẫu nhận dạng tấn công quốc tế như CVE, CAN và Arachnids với hơn 1.900 luật nhận dạng chuẩn.

Về cỡ mẫu và phương pháp chọn mẫu, nghiên cứu áp dụng phương pháp chọn mẫu có chủ đích (purposive sampling) trên toàn bộ 20 máy chủ thuộc các dòng Intel, Sun, IBM, Fujitsu chạy các hệ điều hành khác nhau gồm Windows Server 2003, Windows 2000, RedHat Linux, Solaris cùng 5 phân đoạn mạng chính (Mạng nội bộ LAN, Vùng máy chủ dịch vụ DMZ, Cổng kết nối Internet Gateway, Mạng không dây WLAN, và Phân vùng máy chủ cơ sở dữ liệu). Phương pháp chọn mẫu này đảm bảo bao phủ 100% các kịch bản luồng dữ liệu thực tế tại Bộ Khoa học và Công nghệ.

Phương pháp phân tích được lựa chọn là phân tích so khớp mẫu thời gian thực (Real-time Pattern Matching) thông qua công cụ mã nguồn mở Snort kết hợp Tcpdump, đi kèm phương pháp kiểm thử thâm nhập (Penetration Testing) sử dụng công cụ Acunetix Web Vulnerability Scanner và Metasploit Framework. Lý do lựa chọn tổ hợp phương pháp này là vì khả năng kiểm chứng trực quan trên luồng dữ liệu sống mà không gây gián đoạn hoạt động của các dịch vụ công, đồng thời cho phép tùy chỉnh linh hoạt các trường lọc trong phần đầu (header) và thân gói tin (payload). Toàn bộ quá trình nghiên cứu và thực nghiệm được tiến hành trong thời gian 12 tháng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát thực trạng và thực nghiệm hệ thống tại Bộ Khoa học và Công nghệ đã mang lại 4 phát hiện quan trọng:

Thứ nhất, thiết bị Cisco IDS 4215 sẵn có chỉ phát hiện được dưới 30% các dạng tấn công mới do cơ sở dữ liệu dấu hiệu không được cập nhật định kỳ. Sau khi triển khai hệ thống Snort với tập luật cấu hình tối ưu, tỷ lệ phát hiện các cuộc tấn công nguy hiểm (như NetBus backdoor qua cổng TCP 12345-12346 hay tấn công DNS zone transfer qua cổng UDP 53) đạt mức trên 95%, tăng hơn 65% so với hệ thống cũ.

Thứ hai, kết quả quét lỗ hổng ứng dụng web và máy chủ nội bộ cho thấy khoảng 60% cổng giao dịch trực tuyến tồn tại nguy cơ bị tấn công SQL Injection và Cross-Site Scripting (XSS) do chưa lọc sạch các đối tượng Request từ người dùng. Đồng thời, khoảng 40% máy chủ vẫn bật các dịch vụ tiềm ẩn rủi ro cao như giao thức NetBIOS over TCP/IP và Null Session Pipes.

Thứ ba, các hình thức tấn công lừa đảo (Phishing) và chiếm quyền trung gian (Man-in-the-middle) chiếm tới hơn 70% nguy cơ rò rỉ dữ liệu người dùng, chủ yếu thực hiện qua việc giả mạo trường Mail From trong giao thức SMTP, đầu độc bộ đệm DNS (DNS Cache Poisoning) và tấn công giả mạo giao thức phân giải địa chỉ (ARP Spoofing) trong mạng nội bộ.

Thứ tư, nghiên cứu phát hiện ra rằng việc đặt cảm biến (Sensor) đơn lẻ tại cổng Internet không thể giám sát được lưu lượng giữa vùng DMZ và mạng cục bộ. Khi thiết lập mô hình đặt cảm biến tại vùng DMZ kết hợp cấu hình SSL Proxy để giải mã các gói tin HTTPS, khả năng bắt gói tin mã hóa đạt 98%, đồng thời giúp giảm thiểu 85% các cảnh báo sai (false positive).

Thảo luận kết quả

Nguyên nhân cốt lõi của những hạn chế an ninh trước đây là do hệ thống phòng thủ chỉ dựa vào tường lửa cứng nhắc tại tầng mạng và tầng giao vận (Layer 3 - Layer 4), hoàn toàn bất lực trước các đợt tấn công nhắm vào tầng ứng dụng (Layer 7) và kỹ thuật lừa đảo dựa trên yếu tố con người (Social Engineering).

So sánh với các công trình nghiên cứu cùng thời kỳ, giải pháp Snort NIDS mã nguồn mở mang lại khả năng tùy biến luật cao gấp 3 lần so với các thiết bị đóng kín, đồng thời tiết kiệm 100% ngân sách bản quyền thường niên cho cơ quan.

Dữ liệu kiểm thử hiệu năng có thể được trình bày trực quan qua biểu đồ cột so sánh tỷ lệ phát hiện tấn công trước và sau khi triển khai hệ thống (tăng từ 30% lên 95%), cùng bảng ma trận đối chiếu 9 quy trình phòng ngừa tương ứng với từng phân vùng mạng (DMZ, LAN nội bộ, WLAN), giúp các nhà quản trị dễ dàng theo dõi và vận hành. Kết quả nghiên cứu đã chứng minh tính đúng đắn của việc kết hợp giữa công nghệ phát hiện mở và quy trình an ninh mạng chuẩn hóa.

Đề xuất và khuyến nghị

Nhằm nâng cao toàn diện năng lực bảo mật cho hệ thống mạng Bộ Khoa học và Công nghệ, tác giả đưa ra 4 nhóm giải pháp hành động cụ thể:

1. Chuẩn hóa quy trình kỹ thuật phòng ngừa 9 nhóm xâm nhập: Áp dụng ngay chính sách khóa tài khoản (Account Lockout Policy) tự động khóa 30 phút sau 5 lần đăng nhập thất bại trên 100% máy chủ và máy trạm; vô hiệu hóa tính năng directed broadcast bằng lệnh chuyên dụng trên toàn bộ bộ định tuyến Cisco, Solaris và Linux; cấu hình gắn chặt địa chỉ MAC với IP trên các bộ chuyển mạch để ngăn chặn 100% tấn công ARP spoofing. Thời gian hoàn thành: Quý 1 năm 2012. Chủ thể thực hiện: Đội ngũ Quản trị mạng và Hệ thống.

2. Tối ưu hóa kiến trúc đặt cảm biến NIDS: Tái cấu trúc mạng để triển khai cảm biến Snort phân tán tại 3 vị trí chiến lược: Cổng Internet Gateway, phân đoạn mạng máy chủ DMZ và mạng LAN nội bộ; tích hợp module SSL Proxy sau tường lửa để giải mã lưu lượng Web trước khi đưa vào phân tích. Mục tiêu: Đạt tỷ lệ giám sát 100% lưu lượng mạng thời gian thực với độ trễ xử lý gói tin dưới 5 mili-giây. Thời gian hoàn thành: 3 tháng đầu năm 2012. Chủ thể thực hiện: Bộ phận Kỹ thuật Hạ tầng mạng.

3. Tự động hóa công tác rà quét lỗ hổng và cập nhật mẫu luật: Định kỳ quét bảo mật ứng dụng web và máy chủ tối thiểu 1 lần mỗi tháng bằng Acunetix và Metasploit; thiết lập kịch bản tự động cập nhật cơ sở dữ liệu luật Snort hằng ngày từ các nguồn bảo mật uy tín. Mục tiêu: 100% các lỗ hổng bảo mật mức độ nghiêm trọng được phát hiện và vá lỗi trong vòng 24 giờ. Thời gian thực hiện: Thường xuyên từ năm 2012. Chủ thể thực hiện: Chuyên viên An toàn thông tin.

4. Nâng cao nhận thức bảo mật và chống lừa đảo người dùng: Tổ chức các khóa tập huấn định kỳ 6 tháng một lần về nhận diện kỹ thuật Phishing, cấm tuyệt đối việc mở tệp đính kèm không rõ nguồn gốc, cài đặt plugin chống lừa đảo trên 100% trình duyệt của cán bộ, và triển khai giải pháp chữ ký số cho hòm thư điện tử công vụ. Thời gian thực hiện: Định kỳ hằng năm. Chủ thể thực hiện: Trung tâm Công nghệ thông tin phối hợp cùng Văn phòng Bộ.

Đối tượng nên tham khảo luận văn

1. Đội ngũ quản trị mạng và hệ thống tại các cơ quan nhà nước: Cung cấp tài liệu hướng dẫn từng bước về việc cài đặt, cấu hình bộ tiền xử lý, viết luật nhận diện và tối ưu hóa hệ thống Snort NIDS trên các hệ điều hành Windows và Linux.

2. Chuyên viên an toàn thông tin và kỹ sư kiểm thử bảo mật: Sử dụng luận văn như một sổ tay thực hành để triển khai công cụ rà quét lỗ hổng Metasploit, Acunetix và áp dụng 9 quy trình phòng ngừa tấn công từ chối dịch vụ (DoS), giả mạo (Spoofing), mã độc và chèn mã SQL Injection.

3. Lãnh đạo và nhà quản lý công nghệ thông tin: Tham khảo mô hình kiến trúc an ninh phòng thủ theo chiều sâu với chi phí tối ưu, tận dụng sức mạnh mã nguồn mở để thay thế hoặc bổ trợ cho các giải pháp phần cứng thương mại đắt tiền.

4. Học viên cao học, giảng viên và sinh viên ngành Công nghệ thông tin: Nguồn tài liệu học thuật thực chứng có giá trị cao về cấu trúc gói tin mạng, kỹ thuật phân tích so khớp mẫu thời gian thực và phương pháp luận thiết kế hệ thống an ninh mạng thực tế.

Câu hỏi thường gặp

Hệ thống mạng Bộ Khoa học và Công nghệ gặp những hạn chế gì với thiết bị Cisco IDS 4215 cũ?
Thiết bị Cisco IDS 4215 hoạt động đơn lẻ, không thể bao quát toàn bộ 5 phân đoạn mạng của Bộ. Đồng thời, cơ sở dữ liệu dấu hiệu tấn công của thiết bị đã cũ, không được cập nhật thường xuyên, dẫn đến tỷ lệ phát hiện các biến thể tấn công mới chỉ đạt dưới 30% và không có khả năng giám sát các lưu lượng mạng đã bị mã hóa.

Tại sao việc đặt cảm biến (Sensor) tại vùng DMZ lại quan trọng hơn mạng nội bộ?
Vùng DMZ là nơi chứa hơn 20 máy chủ cung cấp dịch vụ công khai ra Internet (như Web, Mail, DNS), do đó có nguy cơ bị tấn công cao hơn gấp nhiều lần so với mạng nội bộ. Đặt cảm biến tại DMZ cho phép kiểm soát 100% các luồng dữ liệu độc hại từ bên ngoài trước khi chúng kịp xâm nhập sâu vào mạng cơ quan.

Làm cách nào để hệ thống Snort có thể phân tích được các luồng dữ liệu HTTPS bị mã hóa?
Để giải quyết bài toán mã hóa SSL/HTTPS, luận văn đề xuất giải pháp đặt một máy chủ trung gian SSL Proxy phía sau tường lửa. Máy chủ này tiếp nhận lưu lượng, thực hiện giải mã SSL rồi chuyển dữ liệu thô qua cảm biến Snort để so khớp mẫu nhận dạng trước khi gửi tiếp đến máy chủ Web đích.

Quy trình phòng ngừa tấn công SQL Injection trong luận văn được khuyến nghị ra sao?
Quy trình yêu cầu lập trình viên kiểm soát chặt chẽ 100% dữ liệu nhập từ đối tượng Request. Đối với chuỗi, sử dụng hàm thay thế dấu nháy đơn thành hai dấu nháy đơn liên tiếp; đối với dữ liệu số, bắt buộc ép kiểu sang số nguyên dài (CLng); đồng thời tuyệt đối không gán quyền quản trị cao nhất như sa hay dbo cho tài khoản ứng dụng.

Biện pháp kỹ thuật nào hiệu quả nhất để ngăn chặn tấn công ARP Spoofing và IP Spoofing?
Để chống ARP Spoofing, giải pháp tối ưu là cấu hình gắn chặt địa chỉ IP với địa chỉ MAC tĩnh tại các cổng chuyển mạch (Switch). Đối với IP Spoofing, cần kích hoạt tính năng lọc gói tin Ingress và Egress Filtering tại bộ định tuyến để ngăn chặn các gói tin có địa chỉ nguồn bất hợp lý đi ra hoặc vào hệ thống.

Kết luận

• Luận văn đã phân tích toàn diện thực trạng an ninh mạng tại Bộ Khoa học và Công nghệ, chỉ rõ các điểm yếu chí tử của hệ thống phòng thủ truyền thống trên quy mô hơn 20 máy chủ đa nền tảng.
• Đóng góp chính của công trình là xây dựng thành công bộ quy trình an toàn thông tin 9 bước chuẩn hóa và thiết kế, triển khai hoàn chỉnh hệ thống phát hiện xâm nhập mạng Snort NIDS với hiệu suất phát hiện đạt trên 95%.
• Đề xuất giải pháp kiến trúc đặt cảm biến phân tán kết hợp bộ giải mã SSL Proxy, giải quyết triệt để bài toán giám sát lưu lượng mã hóa và giảm 85% tỷ lệ cảnh báo sai.
• Lộ trình phát triển tiếp theo bao gồm việc tiếp tục cập nhật cơ sở dữ liệu luật theo thời gian thực và tích hợp các thuật toán học máy phân tích dị thường (Anomaly Detection) trong giai đoạn tiếp theo.
• Hệ thống mạng của các cơ quan nhà nước và tổ chức doanh nghiệp nên chủ động tham khảo và áp dụng mô hình NIDS mã nguồn mở kết hợp quy trình chuẩn hóa này để xây dựng lá chắn an ninh mạng vững chắc với chi phí tối ưu nhất.

Trích đoạn nội dung tài liệu

Chương 1 - Tổng quan về phát hiện xâm nhập mạng và lừa đảo trên mạng 1.1 - Hệ thống phát hiện xâm nhập là gì ? Hệ thống phát hiện xâm nhập (IDS) có thể coi là các công cụ, phương thức, và tài nguyên để giúp cho việc nhận dạng, quyết định, báo cáo về các hành động diễn ra trái phép trong hệ thống mạng nó quản lý. Thuật ngữ phát hiện xâm nhập (intrusion detection) có thể coi là chưa chính xác khi là hệ thống phát hiện xâm nhập không hoàn toàn là phát hiện xâm nhập, nó chỉ dò tìm các hành động qua giao thông mạng để đoán xem các hành động đó có là một cuộc xâm nhập hay không. Hệ thống phát hiện xâm nhập là một phần của hệ thống bảo mật, nó được cài đặt trên hệ thống và các thiết bị. Tuy nhiên nó không đứng một mình trong hệ thống bảo mật (thường thì kết hợp với FireWall).

Ta có thể kết hợp sử dụng FireWall để khóa cửa sau, hệ thống phát hiện xâm nhập và cảnh báo và hệ thống chống tấn công bằng chó canh cổng. Giả sử bạn có một kho chứa các tài liệu bí mật và bạn muốn bảo vệ chúng với hàng rào bảo vệ gồm hệ thống cảnh báo, khóa cả cửa ra vào, đặt cameras theo dõi. Việc khóa các cửa ra vào sẽ giúp dừng các hành động bất hợp pháp khi đi vào kho của bạn, tuy nhiên nó lại không làm gì để cảnh báo về một cuộc xâm nhập, nhưng nó ngăn chặn được cuộc xâm nhập đó. Hệ thống cảnh báo thì lại cảnh báo với bạn trong trường hợp có ai đó cố gắng lấy thông tin trong kho, nhưng bản thân nó lại không thể ngăn chặn xâm nhập.

Và cuối cùng là chó canh cổng, trong một vài trường hợp, nó có khả năng chặn các cuộc xâm nhập bắt hợp pháp. Như đã phân tích ở trên thì the khóa cửa, hệ thống báo động, and chó canh cổng phân chia nhiệm vụ trong một hệ thống bảo mật. Nó cũng đúng với tường lửa, IDS và IPS. Việc kết hợp ngăn chặn, cảnh báo và phòng chống tấn công sẽ làm tăng sức mạnh an ninh cho hệ thống mạng.

Một vấn đề quan trọng là IDS và IPS chỉ là hai trong nhiều phương pháp được sử dụng trong hệ thống bảo mật. Việc tiếp cận các tầng, phòng thủ theo chiều sâu trên cơ sở phân tích cẩn thận các rủi ro có thể sẽ quyết định việc bảo vệ thông tin. Điều này có nghĩa là hệ thống mạng cần thiết phải được bảo mật theo nhiều lớp, mỗi lớp sẽ có những chức năng riêng, để đảm bảo sự toàn diện trong bảo mật LUAN VAN CHAT LUONG download : add [e-mail] 8 một hệ thống mạng trong tổ chức của bạn. Hình dưới đây là mô hình phòng thủ theo chiều sâu của hệ thống mạng.

Hình 1: Sơ đồ phòng thủ mạng - Your enterprise: tổ chức của bạn - Technology: Công nghệ - Operations: Các hoạt động - People: Con người - Outside threats: các mối hiểm họa từ bên ngoài IDS làm việc và phân tích các gói tin tới tận tầng ứng dụng trong mô hình mạng TCP/IP, với các cảm biến đặt tại các chốt chặn của hệ thống mạng. Nó sẽ bắt và phân tích gói tin dựa vào các mẫu có sẵn rồi đưa ra cảnh báo hoặc ghi lại luồng dữ liệu qua hệ thống mạng. Hoạt động của nó gần giống với một phần mềm diệt virus với các dấu hiệu tấn công có sẵn trong cơ sở dữ liệu của nó.2 - Các kiểu của hệ thống IDS IDS có ba kiểu chính : Phát hiện xâm nhập tại một máy, phát hiện xâm nhập trên toàn hệ thống mạng, và cuối cùng là sự kết hợp của cả hai kiểu trên.  Phát hiện xâm nhập tại máy trạm: Host-based intrusion-detection system (HIDS).

LUAN VAN CHAT LUONG download : add [e-mail] 9  Phát hiện xâm nhập trên toàn hệ thống mạng: Network-based intrusion-detection system (NIDS).  Kết hợp cả hai kiểu trên (Hybrid IDS). HIDS thực chất là một ứng dụng chạy trên máy trạm, nó có chức năng quét toàn bộ hệ thống của máy đó bao gồm việc quét nhật ký hệ thống và các nhật ký sự kiện. Nó sẽ kiểm tra bất kỳ một hành động nào trên nhật ký để xem nó có khớp với các sự kiện bất thường được ghi trong cớ sở dữ liệu không.

Một hệ thống NIDS nằm trực tiếp trên hệ thống mạng và nó phân tích các gói tin giao thông trên mạng để tìm kiếm những cuộc tấn công. NIDS nhận tất cả các gói tin trên các phân đoạn mạng được chỉ định (thậm chí gồm cả những gói tin đi đến chuyển mạch của mạng). Nó cẩn thận trong việc cấu trúc lại các luồng thông tin đó để tiện cho việc phân tích và so sánh chúng với các mẫu có sẵn trong cơ sở dữ liệu. Hầu hết các NIDS đều được cung cấp khả năng ghi lại các hành động diễn ra trên mạng và gửi những cảnh báo tới nhà quản trị với những hành động bất thường.

Hybrid IDS thì lại kết hợp cả HIDS và NIDS, tuy nhiên HIDS và NIDS đều có những ưu và nhược điểm khác nhau. Hệ thống phát hiện xâm nhập NIDS và HIDS NIDS HIDS Phạm vi rộng (trên toàn hệ thống mạng) Phạm vi hẹp (Chỉ trên một máy xác định) Cài đặt phức tạp Dễ cài đặt Tốt cho việc phát hiện xâm nhập từ bên Tốt cho việc phát hiện xâm nhập từ bên ngoài mạng trong Tốn kém Ít tốn kém hơn LUAN VAN CHAT LUONG download : add [e-mail] 10 Hệ thống phát hiện xâm nhập NIDS và HIDS NIDS HIDS Phát hiện trên sở sở nhưng thứ được ghi Phát hiện dựa vào bản ghi nhật ký hệ lại trên toàn hệ thống mạng thống trên chỉ máy đó Kiểm tra phần đầu (header) của gói tin Không kiểm tra phần đầu (header) của gói tin Trả lời gần như ngay lập tức Chỉ trả lời sau khi một hành động trái phép cố gắng thực hiện Không phụ thuộc hệ điều hành Phụ thuộc hệ điều hành Dò tìm tấn công bằng cách phân tích dữ Dò tìm các cuộc tấn công tại chỗ trước liệu trong gói tin khi nó ra khỏi hệ thống mạng Dò tìm các cố gắng tấn công Kiểm tra sự thành công và thất bại của một cuộc tấn công Bảng 1: Phân biệt NIDS và HIDS Quy trình cơ bản của một IDS là nó sẽ chọn lựa dữ liệu, tiền xử lý (processing) và tập hợp chúng. Việc phân tích mang tính thống kê (statistical analysis) kết thúc sẽ quyết định thông tin là một hoạt động bình thường hay không. Hoặc dữ liệu sẽ được đưa đến để so sánh với cơ sở dữ liệu (knowledge base), nếu khớp thì cảnh báo sẽ được đưa ra.

LUAN VAN CHAT LUONG download : add [e-mail] 11 Hình 2: Một IDS chuẩn - GUI: giao diện đồ họa - Response Manager: Bộ phản hồi - Host system or network sniffrer: bộ cảm biến mạng và máy tính - Pre-processing: bộ tiền xử lý -Alert manager: bộ báo động - Statistical analysis: phân tích tĩnh -Signature matching:so sánh mẫu - Knowledge base: cơ sở dữ liệu lưu trữ dấu hiệu tấn công - Long-term storage: nơi phát hiện dị thường 1.3 - Giải thích hoạt động cơ bản của IDS Gói tin bị bắt từ cảm biến trên máy tính (sensor - host system) hoặc cảm biến mạng (network sniffer) sẽ được chuyển qua bộ sắp xếp. Bộ tiền xử lý: gồm bộ phận giải mã và bộ phận tiền xử lý:  Bộ phận giải mã: giải mã gói tin, nhận biết các trường trong gói tin.  Bộ phận sắp xếp: sắp xếp hoặc chỉnh sửa lại gói tin trước khi đi vào bộ phát hiện. LUAN VAN CHAT LUONG download : add [e-mail] 12 Một số mô-đun này có khả năng phát hiện các gói tin dị thường trong phần đầu (header) và sinh ra cảnh báo.

Ngoài ra, nó có thể tái định dạng gói tin (defragment), sắp xếp lại chuỗi. Bộ phát hiện (Detection engine): xảy ra quá trình phân tích gói tin: so sánh mẫu (signature matching) hoặc phân tích các dị thường trong gói tin (statictical analysis) để đưa ra đầu ra (alert manager) quyết định. Cơ sở dữ liệu lưu trữ mẫu dấu hiệu tấn công (knowledgebase). :Nơi chứa các phát hiện dị thường của packet, không được định nghĩa trước (Long- term storage).

Bộ phản hồi (Response manager): thực thi đáp ứng của bộ báo động (alert manager) như: ghi nhật ký, hiển thị lên giao diện. GUI: giao diện đồ họa tương tác.4 - Cảm biến (sensor) Cảm biến là một thành phần chức năng của hệ thống phát hiện xâm nhập và phòng chống tấn công. Chúng là điểm bắt đầu của hệ thống trên vì mọi dữ liệu đi vào hệ thống sẽ đi qua các cảm biến đầu tiên.1 - Chức năng của cảm biến Cảm biến là thành phần quan trọng của hệ thống phát hiện tấn công. Tuy nhiên nó không quá phức tạp, chúng được thiết kế chỉ để giành được dữ liệu và chuyển dữ liệu đó đi.

Có hai kiểu cảm biến là : dựa trên mạng (network-based) và dựa trên máy tính (host-based).2 - Cảm biến dựa trên mạng Cảm biến dựa trên mạng có thể là chương trình hoặc thiết bị vật lý có khả năng bắt dữ liệu lưu thông qua local Ethernet hoặc Tokenring hoặc điểm rẽ nhánh của mạng (switch). Ưu điểm lớn nhất của cảm biến này là không phụ thuộc vào số lượng máy tính trong một mạng.Trong môi trường tốt, một cảm biến có thể đuợc sử dụng để điều khiển toàn bộ giao thông đến và ra khỏi mạng. Nếu mạng lớn có hàng nghìn máy tính, cảm biến vẫn có thể thu thập đuợc thông tin về dữ liệu lưu thông LUAN VAN CHAT LUONG download : add [e-mail] 13 của tất cả các máy đó. Thêm vào đó, nếu có chính sách cũng như cấu hình hợp lý thì cảm biến cũng sẽ không ảnh hưởng lớn đến tốc độ lưu thông của mạng.

Tcpdump là một trong những chương trình được sử dụng là cảm biến rất nhiều. Nó có tác dụng bắt các gói tin lưu thông qua giao tiếp mạng nó quản lý, sau đó phân tích thông tin về gói tin bao gồm ngay giờ, địa chỉ IP nguồn và đích, cờ TCP, độ lớn dữ liệu, .3 - Cảm biến dựa trên máy tính Giống như cảm biến dựa trên máy tính, cảm biến dựa trên mạng có khả năng bắt dữ liệu trên giao tiếp mạng rồi gửi chúng tới nơi khác. Sản phẩm của cảm biến dựa trên máy tính thường là ghi dữ liệu ra nhật ký rồi gửi tới các chương trình phân tích được đặt trên cùng một máy tính.4 - Vị trí đặt cảm biến Vị trí của cảm biến trong hệ thống mạng là rất quan trọng. Nhìn hình phía dưới sẽ thấy được những nơi có thể đặt cảm biến.