Bối cảnh và vấn đề nghiên cứu

Trong giai đoạn năm 2015 và đầu năm 2016, an ninh mạng toàn cầu và tại Việt Nam diễn biến phức tạp với hàng loạt cuộc tấn công có chủ đích nhắm vào các cơ quan chính phủ, tổ chức chính trị, hạ tầng y tế, giáo dục, tài chính và giao thông vận tải. Các sự kiện tiêu biểu bao gồm các vụ xâm nhập hệ thống thư điện tử của Bộ Ngoại giao Mỹ, hệ thống của Nhà Trắng, Cơ quan Quản lý Nhân sự Chính phủ Mỹ (OPM) và cuộc tấn công vào hệ thống thông tin phục vụ bay tại sân bay Nội Bài, Tân Sơn Nhất của Vietnam Airlines ngày 29/07/2016. Các cuộc tấn công này cho thấy tội phạm mạng sử dụng mã độc tinh vi, có khả năng vượt qua các giải pháp chống virus truyền thống, đồng thời kiểm soát sâu vào hệ thống cơ sở dữ liệu và cổng thông tin quan trọng.

Thực trạng thống kê cho thấy hơn 90% hệ thống mạng đang kết nối có sử dụng các giải pháp phát hiện và ngăn chặn xâm nhập để rà soát lỗ hổng bảo mật. Tại Việt Nam, thiệt hại do tấn công mạng và phá hoại hệ thống ước tính lên tới hàng nghìn tỷ đồng mỗi năm. Các công cụ bảo mật thụ động như tường lửa (Firewall) cấu hình cơ bản hoặc phần mềm diệt virus không còn đủ khả năng ngăn chặn các nguy cơ tấn công mới, tấn công nội bộ hoặc các hành vi lạm dụng đặc quyền. Hệ thống phát hiện xâm nhập (IDS) và ngăn chặn xâm nhập (IPS) được bổ sung nhằm khắc phục các điểm yếu của tường lửa thông qua việc kiểm tra kép lưu lượng, nhận diện nguồn gốc, phương thức và dấu hiệu của các cuộc tấn công.

Đề tài thực tập cơ sở "Tìm hiểu hệ thống phát hiện và ngăn chặn thâm nhập thử nghiệm trên Snort" do sinh viên Trịnh Văn Dũng và Đào Thu Hường (Lớp L02, Khoa Công nghệ Thông tin, Học viện Kỹ thuật Mật mã) thực hiện dưới sự hướng dẫn của cán bộ Lê Đức Thuận vào năm 2016. Mục tiêu và nhiệm vụ nghiên cứu của đề tài bao gồm 5 nội dung chính:

  1. Nghiên cứu tổng quan về bối cảnh an ninh mạng và tính cấp thiết của hệ thống phát hiện/ngăn chặn thâm nhập.
  2. Tìm hiểu cơ sở lý thuyết, phân loại và cơ chế hoạt động của các hệ thống IDS/IPS.
  3. Phân tích kiến trúc, bộ tiền xử lý, cấu trúc tập luật của Snort và cơ chế tích hợp ngăn chặn thông qua Iptables và DAQ.
  4. Triển khai mô hình thử nghiệm giả lập để kiểm thử khả năng phát hiện và ngăn chặn các cuộc tấn công rà quét cổng (Nmap) và từ chối dịch vụ (Ping of Death).
  5. Đánh giá kết quả thực nghiệm, rút ra kết luận và đề xuất hướng nghiên cứu tiếp theo.

Đối tượng nghiên cứu là hệ thống Snort IDS/IPS và tường lửa mềm Iptables trên hệ điều hành Linux. Phạm vi nghiên cứu tập trung vào việc cấu hình Snort ở chế độ Inline mode để ngăn chặn lưu lượng độc hại trong môi trường mạng giả lập ảo hóa.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đề tài dựa trên các nguyên lý an toàn thông tin mạng, cấu trúc các tầng giao thức TCP/IP, cơ chế kiểm soát gói tin của tường lửa Linux Netfilter/Iptables và kiến trúc phần mềm mã nguồn mở Snort.

Các khái niệm và mô hình lý thuyết cốt lõi được sử dụng gồm:

  • Hệ thống IDS và IPS: Phân biệt ranh giới giữa giám sát/cảnh báo thụ động (IDS) và chủ động ngăn chặn lưu lượng độc hại (IPS) kết hợp cùng tường lửa.
  • Mô hình phân loại theo vị trí thu thập dữ liệu: Network-based (NIDS/NIPS) hoạt động dựa trên cảm biến phân tích gói tin toàn mạng và Host-based (HIDS/HIPS) phân tích nhật ký (log) và hành vi trên máy trạm cục bộ.
  • Mô hình phát hiện: Phân tích ba cơ chế phát hiện gồm phát hiện sự lạm dụng (Misuse Detection dựa trên mẫu chữ ký), phát hiện sự bất thường (Anomaly Detection gồm phân tích tĩnh trạng thái hệ thống và phân tích động theo hồ sơ thống kê hành vi), và phát hiện qua giao thức (Protocol Analysis phân tích sâu cấu trúc tiêu đề IP/TCP/ICMP).
Tiêu chí Phát hiện sự lạm dụng (Misuse Detection) Phát hiện sự bất thường (Anomaly Detection)
Dữ liệu cơ sở Cơ sở dữ liệu chứa các dấu hiệu (signatures) tấn công đã biết. Cơ sở dữ liệu hành vi bình thường, ngưỡng thống kê mong đợi của hệ thống.
Cơ chế xử lý So khớp mẫu chính xác (pattern matching) giữa gói tin và chữ ký. Đo lường độ lệch thống kê giữa hành vi thực tế và ngưỡng tham chiếu.
Khả năng nhận diện Hiệu quả cao với các cuộc tấn công đã biết và biến thể nhỏ; không phát hiện được dạng mới. Phát hiện được các dạng tấn công mới, các cuộc tấn công chưa có chữ ký định sẵn.
Độ phức tạp cấu hình Cấu hình đơn giản, yêu cầu cập nhật định kỳ tập luật; ít sinh cảnh báo sai. Cấu hình phức tạp, đòi hỏi thời gian thiết lập hồ sơ mẫu chính xác; tỷ lệ cảnh báo sai cao.

Phương pháp nghiên cứu được triển khai bao gồm:

  • Phương pháp phân tích - tổng hợp tài liệu: Khảo sát các tài liệu chuyên ngành về Snort (Snort Manual, NIST SP 800-94, các tài liệu kỹ thuật của Syngress và O'Reilly) cùng cấu trúc gói tin mạng.
  • Phương pháp thực nghiệm kỹ thuật: Thiết lập mô hình phòng thí nghiệm ảo trên nền tảng VMware Workstation Pro 12, cài đặt hệ điều hành CentOS 6 và Kali Linux, biên dịch module DAQ và Snort từ mã nguồn, viết tập luật tùy biến (local.rules) và thực hiện tấn công kiểm thử.

Thiết kế và triển khai hệ thống

Hệ thống được thiết kế dựa trên kiến trúc module của Snort kết hợp với tường lửa Iptables để chuyển đổi Snort từ chế độ giám sát thụ động sang chế độ ngăn chặn chủ động (Snort IPS / Inline mode).

Kiến trúc module của Snort

Hệ thống Snort được cấu thành từ 5 khối chức năng chính:

  1. Module giải mã gói tin (Packet Decoder): Sử dụng thư viện libpcap hoặc tầng giao tiếp DAQ để thu bắt và giải mã các gói tin qua các giao thức liên kết dữ liệu (Ethernet, 802.11, Token Ring, SLIP, PPP...).
  2. Module tiền xử lý (Preprocessors): Thực hiện kết hợp các gói tin bị phân mảnh (de-fragmentation), theo dõi phiên làm việc TCP (module Stream), giải mã và chuẩn hóa các giao thức cấp ứng dụng (HTTP, Telnet, RPC, ARP) để tránh kỹ thuật lẩn tránh kiểm tra (evasion technique), cùng các plugin phát hiện bất thường như portscan và bo (Back Orifice).
  3. Module phát hiện (Detection Engine): Thực hiện đối sánh nội dung gói tin với tập luật đã nạp. Module này áp dụng các luật lên từng trường dữ liệu cụ thể (IP Header, TCP/UDP Header, Payload) và xử lý độ ưu tiên khi một gói tin khớp nhiều luật.
  4. Module log và cảnh báo (Logging and Alerting System): Ghi nhận dữ liệu gói tin hoặc thông điệp cảnh báo ra hệ thống tập tin dưới các định dạng văn bản hoặc nhị phân (unified2, tcpdump).
  5. Module kết xuất thông tin (Output Module): Xuất dữ liệu cảnh báo tới Syslog, cơ sở dữ liệu MySQL, định dạng XML, bẫy SNMP hoặc gửi thông điệp SMB tới các máy trạm Windows.

Cơ chế tích hợp Inline mode với Iptables và DAQ

Snort Inline mode tích hợp thư viện DAQ (Data Acquisition) thay thế cơ chế gọi trực tiếp libpcap. DAQ cung cấp lớp trừu tượng hỗ trợ ba loại giao tiếp:

  • pcap: Chế độ chụp gói tin thụ động (passive).
  • afpacket: Cơ chế lọc chặn nội tuyến sử dụng bộ đệm bộ nhớ (buffer_size_mb), tải module kernel và yêu cầu tối thiểu từ 2 giao diện mạng (NIC) trở lên để định tuyến lưu lượng qua cầu nối.
  • nfq (NetFilter Queue): Sử dụng module ipqueue và thư viện libipq hoặc NFQUEUE của Iptables để chuyển hướng lưu lượng mạng từ kernel space ra user space cho Snort phân tích và trả quyết định xử lý.

Mô hình mạng thử nghiệm

Mô hình thực nghiệm được xây dựng trên môi trường ảo hóa VMware Workstation Pro 12 gồm các thành phần:

  • Trạm tấn công (Attacker): Cài đặt Kali Linux 2016.1, địa chỉ IP thuộc dải thử nghiệm.
  • Trạm bảo vệ (Snort IDS/IPS): Cài đặt CentOS 6, cấu hình 2 giao diện mạng (eth1, eth2) chạy Snort 2.9 và DAQ, kết nối trung gian giữa mạng ngoài và mạng nội bộ.
  • Máy chủ mục tiêu (Web Server): Cài đặt CentOS 6, cung cấp dịch vụ Web HTTP.
  • Máy trạm nội bộ (Client): Cài đặt Windows 10 (IP 192.168.1.12 / VMnet 11).
  • Hệ thống giám sát web: Tích hợp công cụ BASE (Basic Analysis and Security Engine) kết nối cơ sở dữ liệu MySQL để phân tích nhật ký lưu lượng Snort trực quan trên giao diện web.

Nội dung chính theo từng chương

Phần 1: Tổng quan đề tài

Phần này trình bày lý do chọn đề tài, phân tích tình hình an ninh thông tin trong nước và quốc tế giai đoạn 2015-2016, xác định các nguy cơ đe dọa hạ tầng số. Tác giả chỉ ra vai trò của IDS/IPS như một lớp phòng thủ chiều sâu, hỗ trợ kiểm tra chéo các sai sót trong cấu hình tường lửa và nhận diện tấn công từ cả bên ngoài lẫn bên trong mạng nội bộ.

Phần 2: Tìm hiểu tổng quan về IDS/IPS

Chương 2 hệ thống hóa lý thuyết về IDS và IPS, so sánh các vị trí triển khai thiết bị trong sơ đồ mạng (đặt trước Firewall, đặt giữa Firewall và vùng DMZ, hoặc tích hợp trong giải pháp quản lý mối đe dọa thống nhất UTM). Nội dung làm rõ ưu và nhược điểm của NIDS/NIPS (chi phí triển khai tối ưu, độc lập với máy chủ nhưng bị giới hạn bởi thiết bị chuyển mạch Switch và lưu lượng mã hóa VPN) so với HIDS/HIPS (kiểm soát chi tiết truy cập tệp và đặc quyền hệ thống nhưng tiêu tốn tài nguyên máy chủ). Chương này cũng phân tích cấu trúc tiêu đề IP Header, TCP Header và giới thiệu các sản phẩm điển hình trên thị trường: Cisco IDS-4235 (NetRanger), ISS Proventia A201, NFR NID-310 và Snort.

Phần 3: Tổng quan về Snort - IDS/IPS

Chương 3 đi sâu vào kiến trúc kỹ thuật của Snort, nguyên lý hoạt động của từng module và cú pháp xây dựng tập luật. Cấu trúc một luật Snort gồm hai thành phần:

  • Rule Header: Quy định hành động (alert, log, pass, activate, dynamic và các hành động bổ sung trong Inline mode gồm drop, sdrop, reject), giao thức mạng (ip, icmp, tcp, udp), dải địa chỉ nguồn/đích, toán tử định hướng (->, <>) và số hiệu cổng hoặc dải cổng.
  • Rule Options: Chứa các từ khóa điều kiện logic (kết hợp bằng phép AND) gồm: msg (nội dung cảnh báo), reference (tham chiếu hệ thống lỗ hổng), gid / sid / rev (định danh và phiên bản luật), ack (số thứ tự TCP ACK), classtype (phân loại mức độ ưu tiên), content (so khớp chuỗi ASCII hoặc Hex kèm offset, depth), dsize (kiểm tra kích thước payload), flags (kiểm tra các cờ TCP: SYN, FIN, RST, PSH, ACK, URG) và fragbits (kiểm tra bit phân mảnh IP: DF, MF, RB).

Nội dung chương cũng trình bày tổng quan về Iptables trên hệ điều hành Linux:

Bảng (Table) Chuỗi xử lý (Chains) Chức năng chính
Filter INPUT, OUTPUT, FORWARD Chịu trách nhiệm lọc và quyết định số phận gói tin đi vào, đi ra hoặc chuyển tiếp qua máy chủ.
NAT PREROUTING, POSTROUTING, OUTPUT Thực hiện biên dịch địa chỉ mạng; chuyển đổi địa chỉ đích (DNAT) trước định tuyến hoặc địa chỉ nguồn (SNAT/MASQUERADE) sau định tuyến.
Mangle PREROUTING, POSTROUTING, INPUT, OUTPUT, FORWARD Chỉnh sửa các trường đặc biệt trong tiêu đề gói tin TCP/IP như TOS (Type of Service), TTL (Time to Live) hoặc đánh dấu gói tin (MARK).

Các đích xử lý (Targets) thông dụng của Iptables gồm:

  • ACCEPT: Chấp nhận cho gói tin tiếp tục lưu thông.
  • DROP: Loại bỏ gói tin hoàn toàn mà không gửi lại thông báo lỗi cho bên gửi.
  • REJECT: Loại bỏ gói tin và gửi trả thông báo lỗi (như ICMP Port Unreachable hoặc TCP RST).
  • LOG: Ghi thông tin gói tin vào nhật ký hệ thống (Syslog).
  • DNAT / SNAT / MASQUERADE: Thực hiện thay đổi địa chỉ IP và cổng mạng nguồn hoặc đích.

Khi chuyển sang Snort Inline mode, thứ tự ưu tiên xử lý của các luật được thay đổi nhằm đảm bảo tính an toàn cho hệ thống: activation $\rightarrow$ dynamic $\rightarrow$ pass $\rightarrow$ drop $\rightarrow$ sdrop $\rightarrow$ reject $\rightarrow$ alert $\rightarrow$ log.

Phần 4: Triển khai hệ thống phát hiện và ngăn chặn thâm nhập thử nghiệm trên Snort

Chương 4 mô tả chi tiết quá trình thiết lập môi trường thử nghiệm và tiến hành kiểm thử hai kịch bản tấn công:

  1. Thử nghiệm phòng chống tấn công Ping of Death:

    • Cấu hình luật phát hiện trong tệp /etc/snort/rules/local.rules: alert icmp any any -> $HOME_NET any (msg:"-->Phat hien Ping Of Dead !"; dsize:>20000; gid:1000001; sid:1000001; rev:1;)
    • Máy tấn công (Kali Linux) gửi gói tin ICMP có kích thước payload 50.000 bytes bằng lệnh ping -s 50000.
    • Kết quả: Snort IDS hiển thị cảnh báo trên màn hình console.
    • Bổ sung luật ngăn chặn: drop icmp any any -> $HOME_NET any (msg:"-->Da chan Ping Of Dead !"; dsize:>20000; gid:1000002; sid:1000002; rev:1;)
    • Kết quả: Snort IPS ở chế độ Inline (-Q) loại bỏ hoàn toàn các gói tin ICMP kích thước lớn, máy tấn công không nhận được phản hồi và hệ thống bảo vệ an toàn.

  2. Thử nghiệm phát hiện rà quét cổng bằng Nmap:

    • Xây dựng 10 luật Snort để nhận diện các kiểu quét cờ TCP và quét ICMP ping từ công cụ Nmap:
      • SYN FIN Scan (flags: SF)
      • FIN Scan (flags: F)
      • NULL Scan (flags: 0)
      • XMAS Scan (flags: FPU)
      • Full XMAS Scan (flags: SRAFPU)
      • URG Scan (flags: U), URG FIN Scan, PUSH FIN Scan, URG PUSH Scan
      • NMAP TCP ping (flags: A; ack: 0)
    • Máy tấn công thực thi lệnh nmap -v -sS nhắm vào địa chỉ máy chủ.
    • Kết quả: Hệ thống Snort IDS nhận diện chính xác từng gói tin quét cổng bất thường và in cảnh báo chi tiết ra màn hình quản trị.

Phần 5: Kết luận và hướng phát triển

Đánh giá tổng kết về khả năng ứng dụng của Snort trong việc bảo vệ hệ thống mạng doanh nghiệp và tổ chức. Tác giả khẳng định Snort là công cụ phát hiện và ngăn chặn xâm nhập mã nguồn mở có khả năng tùy biến cao, tập luật phong phú và dễ tích hợp.

Phần 6: Phụ lục

Phần phụ lục cung cấp danh mục tài liệu tham khảo chuyên ngành; quy trình từng bước tải gói, biên dịch mã nguồn, cài đặt DAQ, Snort 2.9, cấu hình biến môi trường trong snort.conf, thiết lập dịch vụ hệ thống snortd, cấu hình giao diện web BASE; đồng thời phân tích lý thuyết một số phương thức tấn công phổ biến gồm ARP Spoofing, SYN Flood, Zero Day và Ping of Death.

Kết quả và đóng góp

Văn bản ghi nhận các kết quả thực nghiệm và đóng góp kỹ thuật cụ thể:

  • Kết quả thực nghiệm phát hiện và ngăn chặn:
    • Phát hiện và kích hoạt cảnh báo thành công đối với lưu lượng gói tin ICMP có kích thước vượt ngưỡng (dsize: >20000), đồng thời ngăn chặn hoàn toàn gói tin tấn công DoS Ping of Death kích thước 50.000 byte từ Kali Linux khi kích hoạt hành động drop trong chế độ Inline mode.
    • Nhận diện chính xác 10 kỹ thuật quét cổng nâng cao của Nmap (gồm SYN-FIN, NULL Scan, XMAS Scan, ACK Ping) thông qua kiểm tra tổ hợp các cờ trong TCP Header và giá trị Acknowledgement Number.
  • Đóng góp kỹ thuật của đề tài:
    • Tổng hợp hệ thống lý thuyết toàn diện về các mô hình IDS/IPS, phân tích cấu trúc gói tin mạng phục vụ cho việc đối sánh dấu hiệu tấn công.
    • Xây dựng quy trình tích hợp giữa Snort và tường lửa Netfilter/Iptables thông qua module DAQ (afpacket và nfq), biến Snort từ một công cụ giám sát thụ động thành hệ thống ngăn ngừa thâm nhập chủ động.
    • Thiết lập thành công hệ thống thu thập, phân tích và trực quan hóa nhật ký cảnh báo bảo mật trên nền tảng web thông qua giao diện BASE kết nối cơ sở dữ liệu MySQL.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung trình bày trong tài liệu, đề tài có các hạn chế và hướng mở rộng:

  • Hạn chế:
    • Mô hình thử nghiệm được triển khai hoàn toàn trên môi trường ảo hóa VMware Workstation quy mô nhỏ, chưa đo lường hiệu năng xử lý thực tế trên các hạ tầng mạng vật lý có lưu lượng băng thông lớn (Gigabit Ethernet).
    • Chế độ Inline sử dụng cơ chế afpacket đòi hỏi cấu hình phần cứng cao, dung lượng bộ đệm lớn và yêu cầu nhiều giao diện mạng; trong khi cơ chế nfq có hiệu suất xử lý gói tin chưa tối ưu khi chịu tải cao.
    • Chưa mở rộng kiểm thử ngăn chặn tự động cho toàn bộ 10 kịch bản rà quét cổng Nmap trong chế độ Inline mode (văn bản mới thực hiện cấu hình phát hiện và đề xuất quy tắc chặn tương tự Ping of Death).
  • Hướng nghiên cứu tiếp theo:
    • Nghiên cứu tối ưu hóa hiệu năng của bộ tiền xử lý và module phát hiện để giảm thiểu độ trễ xử lý gói tin trên môi trường mạng tốc độ cao.
    • Tiếp tục hoàn thiện kiến thức chuyên môn nhằm nghiên cứu, phát triển và tùy biến các module phần mềm IDS/IPS mã nguồn mở mới có hiệu năng cao hơn.

Giá trị tham khảo

Báo cáo thực tập cơ sở là tài liệu tham khảo hữu ích cho sinh viên các ngành Công nghệ Thông tin, An toàn Thông tin, Kỹ thuật Mật mã, Mạng máy tính và các kỹ sư quản trị hệ thống:

  • Cấu trúc luật và cú pháp Snort: Phần phân tích chi tiết các từ khóa cấu hình luật (content, flags, dsize, fragbits, gid, sid) là tài liệu hướng dẫn trực tiếp cho việc xây dựng các chữ ký phát hiện mã độc và tấn công mạng.
  • Tích hợp tường lửa Linux: Bảng tổng hợp các chuỗi, bảng và tham số chuyển mạch của Iptables cung cấp kiến thức nền tảng về cơ chế lọc gói tin trong nhân Linux.
  • Tài liệu triển khai thực hành: Phần phụ lục hướng dẫn chi tiết quy trình biên dịch, cài đặt Snort, DAQ và công cụ BASE là tài liệu tham khảo có thể tái lập từng bước trong các bài thực hành an ninh mạng.

Câu hỏi thường gặp

1. Sự khác biệt về thứ tự ưu tiên xử lý luật giữa Snort IDS truyền thống và Snort Inline (IPS) là gì?
Trong Snort IDS truyền thống, trình tự ưu tiên xử lý của các hành động là: activation $\rightarrow$ dynamic $\rightarrow$ alert $\rightarrow$ pass $\rightarrow$ log. Khi chạy ở chế độ Snort Inline (IPS), trình tự ưu tiên được thay đổi để ưu tiên việc loại bỏ lưu lượng nguy hại: activation $\rightarrow$ dynamic $\rightarrow$ pass $\rightarrow$ drop $\rightarrow$ sdrop $\rightarrow$ reject $\rightarrow$ alert $\rightarrow$ log.

2. Thư viện DAQ (Data Acquisition) hỗ trợ những chế độ nào để tích hợp Snort với tường lửa?
DAQ cung cấp 3 loại mô-đun chính:

  • pcap: Thu bắt gói tin thụ động ở chế độ passive.
  • afpacket: Hoạt động chặn lọc ở chế độ inline, sử dụng bộ đệm bộ nhớ và module kernel để lọc gói tin qua Iptables với tốc độ nhanh.
  • nfq (NetFilter Queue): Hoạt động chặn lọc ở chế độ inline bằng cách sử dụng module ipqueue và thư viện libipq để tải các hàng đợi lưu lượng từ Iptables về Snort xử lý.

3. Cơ chế bảng và chuỗi trong Iptables xử lý gói tin như thế nào?
Iptables kiểm tra gói tin tuần tự qua 3 bảng chính: bảng Mangle (chỉnh sửa tiêu đề và chất lượng dịch vụ TOS, TTL), bảng Filter (gồm chuỗi INPUT lọc gói vào máy chủ, OUTPUT lọc gói ra khỏi máy chủ, FORWARD lọc gói chuyển tiếp), và bảng NAT (gồm PREROUTING để đổi địa chỉ đích DNAT và POSTROUTING để đổi địa chỉ nguồn SNAT).

4. Cú pháp luật nào được nhóm tác giả sử dụng để phát hiện và ngăn chặn tấn công Ping of Death?

  • Luật phát hiện: alert icmp any any -> $HOME_NET any (msg:"-->Phat hien Ping Of Dead !"; dsize:>20000; gid:1000001; sid:1000001;rev:1;)
  • Luật ngăn chặn: drop icmp any any -> $HOME_NET any (msg:"-->Da chan Ping Of Dead !"; dsize:>20000; gid:1000002; sid:1000002;rev:1;)

5. Vì sao hệ thống NIDS/NIPS gặp khó khăn trong môi trường mạng chuyển mạch (Switch) và môi trường mã hóa?
Thiết bị Switch phân chia mạng thành các đoạn độc lập nên cảm biến NIDS/NIPS chỉ kiểm soát được lưu lượng trên nhánh mạng mà nó kết nối trực tiếp, dẫn đến nguy cơ bỏ sót các cuộc tấn công trên nhánh khác nếu không lắp đặt nhiều cảm biến tốn kém. Đồng thời, khi lưu lượng mạng được mã hóa (như qua mạng riêng ảo VPN), NIDS/NIPS không thể giải mã nội dung tiêu đề và dữ liệu gói tin để thực hiện đối sánh chữ ký.

Kết luận

Báo cáo thực tập cơ sở của nhóm sinh viên Học viện Kỹ thuật Mật mã đã hệ thống hóa toàn diện cơ sở lý thuyết về hệ thống phát hiện và phòng chống xâm nhập IDS/IPS, phân tích chi tiết cấu trúc gói tin và kiến trúc module của Snort. Đề tài đã triển khai thành công mô hình tích hợp Snort Inline mode với tường lửa Iptables thông qua bộ giao tiếp DAQ trên hệ điều hành Linux. Kết quả thực nghiệm chứng minh hệ thống có khả năng nhận diện chính xác các kiểu quét cổng bất thường bằng Nmap và ngăn chặn hiệu quả các cuộc tấn công từ chối dịch vụ Ping of Death trong môi trường mạng giả lập.