Chương 1 cũng đã lựa chọn những công cụ mã nguồn mở sẽ được đưa vào sử dụng. Để có được những kiến thức đầy đủ nhất nhằm sẵn sàng tìm hiểu và nghiên cứu xây dựng mô hình đề xuất, những kiến thức được trình bày trong Chương 2 này sẽ giải đáp những câu hỏi về kiến trúc, vận hành của các thành phần trong mô hình. Để đề xuất được một mô hình lưu trữ và xử lý log phân tán, ta sẽ phải tìm hiểu về nguồn sinh logs mà cụ thể ở đây ở hệ thống phát hiện xâm nhập mạng sẽ hoạt động như thế nào, logs sinh ra sẽ mang những đặc điểm gì? Việc đề xuất mô hình lưu trữ và xử lý phân tán đòi hỏi những kiến thức về hệ thống file phân tán, cơ chế đọc ghi dữ liệu, và mô hình xử lý dữ liệu trên hệ thống phân tán đó. Sau cùng, khi đưa ra lựa chọn đề xuất một mô hình phân tán, dữ liệu sẽ phải thuộc vào dạng dữ liệu “lớn”.
Từ đó, yêu cầu đặt ra sẽ phải nắm được kiến thức về một cơ sở dữ liệu dành cho dữ liệu lớn và công cụ để truy vấn dữ liệu từ cơ sở dữ liệu lớn đó.1 Hệ thống phát hiện xâm nhập mạng Hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) là một hệ thống giám sát lưu thông mạng, các hoạt động khá nghi và cảnh báo cho hệ thống, nhà quản trị. Ngoài ra, IDS cũng đảm nhận việc phản ứng lại các lưu thông bất thưong hay có hại bằng các hành động đã được thiết lập từ trước như khóa người dùng hay hay địa chỉ IP nguồn đó truy cập hệ thống mạng. IDS cũng có thể phân biệt giữa những tấn công bên trong từ bên trong (từ những người trong công ty) hay tấn công từ bên ngoài (từ các hacker). IDS phát hiện dựa trên các dấu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phần mềm diệt virus dựa vào các dấu hiệu đặc biệt để phát hiện và diệt virus) hay dựa trên so sánh lưu thông mạng hiện tại với basclinc (thông số đo đạc chuẩn của hệ thống) để tìm ra các dấu hiệu khác thường.
18 Hệ thống phát hiện xâm nhập trái phép là những ứng dụng phần mềm chuyên dụng để phát hiện xâm nhập vào hệ thống mạng cần bảo vệ. IDS được thiết kế không phải với mục đích thay thế các phương pháp bảo mật truyền thống, mà để hoàn thiện nó. Một hệ thống phát hiện xâm nhập trái phép cần phải thỏa mãn những yêu cầu sau: • Tính chính xác (Accuracy): IDS không được coi những hành động thông thường trong môi trường hệ thống là những hành động bất thường hay lạm dụng (hành động thông thường bị coi là bất thường được gọi là false positỉve). Đây là một điều kiện khó có thể thỏa mãn được Vì gần như không thể có tất cả thông tin về các tấn công từ quá khứ, hiện tại và tương lai.
• Chịu lỗi (Fault Tolerance): bản thân IDS phải có khả năng chống tấn công. • Khả năng mở rộng (Scalability): IDS phải có khả năng xử lý trong trạng thái xấu nhất là không bỏ sót thông tin. Yêu cầu này có liên quan đến hệ thống mà các sự kiện tương quan đến từ nhiều nguồn tài nguyên với số lượng host nhỏ. Với sự phát triển nhanh và mạnh của mạng máy tính, hệ thống có thể bị quá tải bởi sự tăng trưởng của số lượng sự kiện.1 Phương thức phát hiện xâm nhập của IDS Có hai phương pháp khác nhau trong việc phân tích các sự kiện để phát hiện các vụ tấn công: phát hiện dựa trên các dấu hiệu (signature-based) và phát hiện sự bất thường (anomaly based).
Các sản phẩm IDS có thế sử dụng một trong hai cách hoặc sử dụng kết hợp cả hai. • Phát hiện dựa trên dấu hiệu: Phương pháp này sẽ thu bắt các gói tin tại Tầng 7 trong mô hình OSI và tiến hành nhận dạng các thông tin hoặc tập hợp các thông tin phù hợp với một mẫu các dấu hiệu đã được định nghĩa là tấn công. 19 • Phát hiện sự bất thường: công cụ này thiết lập một hiện trạng các hoạt động bình thường và sau đó duy trì một hiện trạng hiện hành cho một hệ thống. Khi hai yếu tố này xuất hiện sự khác biệt, nghĩa là đã có sự xâm nhập.
Từ đó, hệ thống có thể có hoặc không những công cụ để tạo ra những dấu hiệu mới cho các trường hợp đặc biệt này. Các hệ thống IDS khác nhau đều dựa vào phát hiện các xâm nhập trái phép và những hành động dị thường. Quá trình phát hiện có thế được mô tả bởi 3 yếu tố cơ bản nền tảng sau: • Thu thập thông tin (Information source): Kiểm tra tất cả các gói tin trên mạng. • Sự phân tích (Analysis): Phân tích tất cả các gói tin đã thu thập để cho biết hành động nào là tấn công.
• Cảnh báo (Response): hành động cảnh báo có tấn công được phân tích ở trên. Hình 2-1: Mô tả hoạt động của IDS nhận dạng theo dấu hiệu. Hình 2-2:Mô tả hoạt động của IDS nhận dạng theo bất thường 20 2.2 Phân loại IDS Hệ thống phát hiện xâm nhập mạng IDS phân loại chủ yếu thành 2 loại là Network Base IDS – NIDS và Host Base IDS – HIDS, cụ thể về 2 loại này sẽ được trình bày như sau: a) Network Base IDS – NIDS NIDS thường bao gồm có hai thành phần logic: • Bộ cảm biến – Sensor: đặt tại một đoạn mạng, kiểm soát các cuộc lưu thông nghi ngờ trên đoạn mạng đó. • Trạm quản lý: nhận các tín hiệu cảnh báo từ bộ cảm biến và gửi cảnh báo tới cho người quản trị hệ thống.
Các ưu điểm và nhược điểm của NIDS: Ưu điểm: Chi phí thấp: Do chỉ cần cài đặt NIDS ở những vị trí trọng yếu là có thể giám sát lưu lượng toàn mạng nên hệ thống không cần phải nạp các phần mềm và quản lý trên các máy toàn mạng. Phát hiện được các cuộc tấn công mà HIDS bỏ qua: Khác với HIDS, NIDS kiểm tra header của tất cả các gói tin vì thế nó không bỏ sót các dấu hiệu xuất phát từ đây. Ví dụ: nhiều cuộc tấn công DoS, TearDrop (phân nhỏ) chỉ bị phát hiện khi xem header của các gói tin lưu chuyển trên mạng. Khó xoá bỏ dấu vết (evidence): Các thông tin lưu trong log file có thể bị kẻ đột nhập sửa đổi để che dấu các hoạt động xâm nhập, trong tình huống này HIDS khó có đủ thông tin để hoạt động.
NIDS sử dụng lưu thông hiện hành trên mạng để phát hiện xâm nhập. Vì thế, kẻ đột nhập không thể xoá bỏ được các dấu vết tấn công. Các thông tin bắt được không chỉ chứa cách thức tấn công mà cả thông tin hỗ trợ cho việc xác minh và buộc tội kẻ đột nhập. Phát hiện và đối phó kịp thời: NIDS phát hiện các cuộc tấn công ngay khi xảy ra, vì thế việc cảnh báo và đối phó có thể thực hiện được nhanh hơn.
VD: Một hacker thực hiện tấn công DoS dựa trên TCP có thể bị NIDS phát hiện và ngăn chặn ngay bằng việc gửi yêu cầu TCP reset nhằm chấm dứt cuộc tấn công trước khi nó xâm nhập và phá vỡ máy bị hại. 21 Có tính độc lập cao: Lỗi hệ thống không có ảnh hưởng đáng kể nào đối với công việc của các máy trên mạng. Chúng chạy trên một hệ thống chuyên dụng dễ dàng cài đặt; đơn thuần chỉ mở thiết bị ra, thực hiện một vài sự thay đổi cấu hình và cắm chúng vào trong mạng tại một vị trí cho phép nó kiểm soát các cuộc lưu thông nhạy cảm. Nhược điểm: Bị hạn chế với Switch: Nhiều lợi điểm của NIDS không phát huy được trong các mạng chuyển mạch hiện đại.
Thiết bị switch chia mạng thành nhiều phần độc lập vì thế NIDS khó thu thập được thông tin trong toàn mạng. Do chỉ kiểm tra mạng trên đoạn mà nó trực tiếp kết nối tới, nó không thể phát hiện một cuộc tấn công xảy ra trên các đoạn mạng khác. Vấn đề này dẫn tới yêu cầu tổ chức cần phải mua một lượng lớn các bộ cảm biến để có thể bao phủ hết toàn mạng gây tốn kém về chi phí cài đặt. Hạn chế về hiệu năng: NIDS sẽ gặp khó khăn khi phải xử lý tất cả các gói tin trên mạng rộng hoặc có mật độ lưu thông cao, dẫn đến không thể phát hiện các cuộc tấn công thực hiện vào lúc "cao điểm".
Một số nhà sản xuất đã khắc phục bằng cách cứng hoá hoàn toàn IDS nhằm tăng cường tốc độ cho nó. Tuy nhiên, do phải đảm bảo về mặt tốc độ nên một số gói tin được bỏ qua có thể gây lỗ hổng cho tấn công xâm nhập. Tăng thông lượng mạng: Một hệ thống phát hiện xâm nhập có thể cần truyền một dung lượng dữ liệu lớn trở về hệ thống phân tích trung tâm, có nghĩa là một gói tin được kiểm soát sẽ sinh ra một lượng lớn tải phân tích. Để khắc phục người ta thường sử dụng các tiến trình giảm dữ liệu linh hoạt để giảm bớt số lượng các lưu thông được truyền tải.
Họ cũng thường thêm các chu trình tự ra các quyết định vào các bộ cảm biến và sử dụng các trạm trung tâm như một thiết bị hiển thị trạng thái hoặc trung tâm truyền thông hơn là thực hiện các phân tích thực tế. Điểm bất lợi là nó sẽ cung cấp rất ít thông tin liên quan cho các bộ cảm biến; bất kỳ bộ cảm biến nào sẽ không biết được việc một bộ cảm biến khác dò được một cuộc tấn công. Một hệ thống như vậy sẽ không thể dò được các cuộc tấn công hiệp đồng hoặc phức tạp. Một hệ thống NIDS thường gặp khó khăn trong việc xử lý các cuộc tấn công trong một phiên được mã hoá.
Lỗi này càng trở nên trầm trọng khi nhiều công ty và tổ chức đang áp dụng mạng riêng ảo VPN. 22 Một số hệ thống NIDS cũng gặp khó khăn khi phát hiện các cuộc tấn công mạng từ các gói tin phân mảnh. Các gói tin định dạng sai này có thể làm cho NIDS hoạt động sai và đổ vỡ. b) Host Base IDS – HIDS HIDS tìm kiếm dấu hiệu của xâm nhập vào một host cục bộ; thường sử dụng các cơ chế kiểm tra và phân tích các thông tin được logging.
Nó tìm kiếm các hoạt động bất thường như login, truy nhập file không thích hợp, bước leo thang các đặc quyền không được chấp nhận. Kiến trúc IDS này thường dựa trên các luật (signature-based) để phân tích các hoạt động.