Chương 1 TONG QUAN DE TÀI Trinh bày ly do chọn đề tài, mục tiêu, đối tượng, phạm vi và các phương pháp nghiên cứu dé tài Chương 2 KIÊN THỨC NEN TANG VÀ NGHIÊN CỨU LIÊN QUAN Trình bày các định nghĩa, khái niệm cũng như những kiến thức nền tảng để có thể thực hiện được nghiên cứu. Ngoài ra, cũng phân tích tình hình nghiên cứu đã có trong và ngoải nước Chương 3 PHƯƠNG PHÁP ĐÈ XUẤT Là phần trọng tâm của khoá luận, trình bày những nội dung chính về phương pháp thực hiện và mô hình được sử dụng. Chương 4 HiỆn thực — thực nghiệm và đánh giá Đề cập đến quá trình thực nghiệm cùng với kết quả thu được Chương 5 KET LUẬN VA HƯỚNG PHÁT TRIEN Đưa ra kết luận về đề tài, thuận lợi và khó khăn khi thực hiện đề tài đề xuất một số hướng phát triển mở rộng cho các nghiên cứu trong tương lai. KIÊN THỨC NEN TANG VÀ NGHIÊN CỨU LIÊN QUAN 2.
Hệ thống phát hiện xâm nhập IDS 2. Tổng quan Mục đích của quá trình phát hiện xâm nhập là kiểm toán và phân tích các sự kiện bảo mật đề có thé xác định kịp thời các hoạt động độc hại. Thuật ngữ “IDS” được lần đầu giới thiệu năm 1980, có thể được coi là phần cứng và/hoặc phần mềm tự động hóa các quy trình theo dõi, kiểm tra, phân tích và xác định các mối đe dọa tiềm an. Nói chung, một IDS sẽ tập trung vào các công việc chính như sau: 1) Theo dõi cả người dùng và hệ thống dé xác định các sự cố 2) Ghi lại tat cả thông tin nhật ký về chúng 3) Phan tích, rà soát cầu hình hệ thống và các lỗ hông 4) Đánh giá tính toàn vẹn của hệ thống cũng như các tập tin 5) Nhận biết được các hoạt động bat thường va các dấu hiệu điển hình của các cuộc tan công 6) Gửi báo cáo đến quản trị viên hệ thông Ngoài ra, IDS còn có một số chức năng khác tùy thuộc vào mục đích của người sử dụng.
Ví dụ như các doanh nghiệp có thé dùng IDS dé phát hiện các van dé trong chính sách bao mật, b6 sung cập nhật các mối nguy hại hay xác định cá nhân vi phạm chính sách Hình 2-1 dưới đây minh họa kiến trúc cơ bản của một IDS, trong đó có 3 mô-đun chính a) một hoặc nhiều agent/sensor b) bộ phận phân tích c) bộ phận phản hồi. Các agent/sensor sẽ chịu trách nhiệm thu thập thông tin, thường là ghi lại nhật ký các sự kiện, lưu lượng mạng có ích cho việc phân tích. Sau đó các thông tin này sẽ được chuyền đến bộ phận phân tích. Đặc biệt, dựa vào vi trí đặt các agent/sensor (hay còn gọi tùy theo nguồn đữ liệu) mà ta có thé chia IDS thành 2 loại cơ bản như sau: Intrusion Detection Techniques Signatures Anomalies Specifications Response LÌ l8 Computer Tablet Smartphone Hình 2-1: Kiến trúc cơ bản của IDS a) Hệ thống phát hiện xâm nhập dựa trên mạng (Network-based IDS) Là một thiết bị phần cứng độc lập có đầy đủ khả năng phát hiện xâm nhập.
Thường được đặt tại các điểm chiến lược trên cơ sở hạ tầng mạng như biên giữa các mạng, máy chủ mạng riêng ảo (VPN), máy chủ truy cập từ xa và trên mạng không dây. NIDS sẽ tập trung giám sát toàn bộ lưu lượng mạng di qua các mang con, sau đó phân tích dit liệu thu thập được dé phát hiện các cuộc tan công đã biết hoặc các hoạt động độc hại, hoặc phân tích các hoạt động của giao thức mạng và ứng dụng dé xác định hoạt động bat thường và đáng ngờ, từ đó cảnh báo sẽ được gửi đến người quản trị b) Hệ thống phát hiện xâm nhập dựa trên máy chủ (Host-based IDS) Thường được đặt trên các thiết bị hoặc máy chủ đơn lẻ quan trọng có trên mạng. Các thông tin được ghi lại là các dữ liệu liên quan đến hệ thống của riêng máy chủ đó, ví dụ như tiến trình hệ điều hành, lời gọi hệ thống. HIDS sẽ được giám sát các lưu lượng đến, đi từ máy chủ đó và sẽ cảnh báo nếu có bất kỳ sự kiện nào được ghi lại được cho là bất thường hoặc độc hại.
Tiếp theo, bộ phận phân tích có chức năng phân tích dữ liệu thu thập được từ các agent/sensor và dựa vào các kỹ thuật phát hiện xâm nhập dé xác định cuộc tấn công. Cuối cùng, bộ phận phản hồi sẽ báo cho người quản trị hệ thống thông qua các cảnh báo và cung cấp thêm thông tin từ kết quả thu được bởi bộ phận phân tích. Ngoài ra, bộ phân phản hồi còn có thê thực hiện một số hành động nhất định đề tự động giảm thiểu sự xâm nhập, trong trường hợp này gọi là hệ thống ngăn ngừa xâm nhập IPS Cần nói thêm liên quan các phương pháp của bộ phận phân tích dé phát hiện các mối nguy hại hay bat thường. Ta cũng có thé chia IDS thành 3 loại chính dựa trên kỹ thuật phát hiện xâm nhập như sau: a) Hệ thống phát hiện xâm nhập dựa trên chữ ký (Signature-based IDS) Với phương pháp tiếp cận này, các hoạt động trong hệ thống hay người dùng sẽ được so khớp với tập hợp các mẫu tân công đã được xác định từ trước, hay còn gọi là chữ ký.
Ưu điểm của cách tiếp cận này là thời gian phát hiện nhanh, tỷ lệ phát hiện cao cũng như tỷ lệ cảnh báo sai (FAR) thấp với các cuộc tấn công đã biết. Vì vậy, điểm yếu của nó là đối mặt với các cuộc tấn công mới hay biến thể ngày càng nhiều và phức tạp như hiện nay. Ngoài ra, chi phí dé duy trì một cơ sở dữ liệu chữ ký không lồ cùng với khả năng đồng bộ trong hệ thống khiến cách tiếp cận này khó trở thành giải pháp lâu dài b) Hệ thống phát hiện xâm nhập dựa trên bat thường (Anomaly-based IDS) Với cách tiếp cận này, dữ liệu được cho là từ các hành vi bình thường của người dùng sẽ được thiết lập. Khi tiến hành kiểm tra xâm nhập, tập dữ liệu này sẽ được so sánh với dit liệu thực tế của người dùng.
Ở đây, giá trị ngưỡng sẽ quyết định hành vi của người dùng có phải là bất thường hay không. Hiện nay, học máy được sử dụng để tạo ra một mô hình đáng tin cậy, theo đó bất kỳ hoạt động nào không nằm trong mô hình sẽ được coi là đáng ngờ. Vì mô hình được huấn luyện phù hợp với yêu cầu ứng dụng và cau hình phan cứng nên mang tinh chat tong quát hóa tốt hơn so với IDS dựa trên chữ ký. Tuy tỷ lệ phát hiện xâm nhập kém chính xác hơn so với cách tiếp cận theo chữ ký nhưng có khả năng phát hiện được các cuộc tan công mới, chưa xác định từ trước, c) Hệ thống phát hiện xâm nhập dựa trên thông số kỹ thuật (Specification-based IDS) Theo kỹ thuật phát hiện xâm nhập này, một tập hợp các quy tắc theo sự rang buộc sẽ định nghĩa các hành vi bình thường của hệ thống.
Nếu có hành vi khác với các thông số kỹ thuật được xác định trước sẽ được coi là bat thường và sinh ra cảnh báo. Tuy có thé phát hiện các cuộc tấn công mới với tỷ lệ đương tinh giả thấp nhưng khó có thể triển khai thành một mô hình chính xác hoàn toàn do sự phức tạp cũng như tài nguyên tiêu tốn khá lớn 2. Hệ thống phát hiện xâm nhập dựa trên hoc máy (AI-based IDS) Các hệ thống an ninh mạng hỗ trợ ngăn chặn tấn công theo thời gian thực chủ yếu sử dụng các phương pháp dựa trên chữ ký để phát hiện các mẫu nhất định trong lưu lượng mạng. Phát hiện theo thời gian thực yêu cầu các thuật toán xử lý nằm trong nội tuyến dé phát hiện các cuộc tan công ở tốc độ đường truyền.
Mặc dù tốc độ phát hiện có thé cải thiện khi sử dụng các hệ thông phân tán, nhưng cũng phải chịu chi phí đồng bộ tốn kém. Vì vậy, cần phải có phương pháp phát hiện nhanh chóng là điều tất yếu dé triển khai các hệ thống phát hiện theo thời gian thực. Điểm mạnh của cách tiếp cận phát hiện dựa trên chữ ký là độ chính xác và tốc độ cao với các cuộc tân công đã biết. Tuy nhiên, hầu như phương pháp này không thé xác định được các cuộc tan công chưa rõ như tan công Zero-day và các biến thé có thé bỏ qua cách phát hiện này thông qua việc làm rỗi mã hay mã hóa.
Ngoài ra, việc tạo cơ sở dir liệu dé lưu các chữ ký với cách tiếp cận này cũng là vấn đề mang tính gánh nặng cao. Trái ngược với phát hiện dựa trên chữ ký, các tiếp cận phát hiện dựa trên sự bất thường sẽ quan sát các đặc điểm thống kê theo từng luồng dữ liệu trong mạng và tiến hành chân đoán phát hiện nếu có sự bất thường vượt quá phạm vi thống kê thông thường. Phương pháp này sẽ không dem lại gánh nặng về chi phí để duy trì cơ sở dữ liệu giống như phát hiện dựa trên chữ ký, ngoài ra còn hoạt động mạnh mẽ dé phát hiện các cuộc tân công Zero-day hay các tân công biên thê. Trong các giải pháp phòng thủ mạng, hệ thống phát hiện xâm nhập IDS đã trở thành một lớp phòng thủ quan trọng và ngày càng được nâng tầm quan trọng trong cơ sở hạ tầng bảo mật.
Cốt lõi của hệ thống phát hiện xâm nhập đó là phát hiện các hành vi xâm nhập và phân loại tấn công dựa trên nhiều ngữ cảnh khác nhau. Đặc biệt, với sự giúp sức của công nghệ trí tuệ nhân tạo(A]), bao gồm học máy (ML) và học sâu (DL), hệ thống phát hiện xâm nhập dựa trên AI (AI-based IDSs) đã và dang dem lại sự nhanh chóng, chính xác cũng như khả năng mở rộng khi phân tích tấn công so với các kỹ thuật bảo mật thông thường khác. Ưu điểm của AI-based IDS so với các loại hình IDS truyền thống Một trong những ưu điểm nồi bật của AI-based IDS là khả năng thích ứng. Trong khi các IDS truyền thống dựa vào tập hợp các chữ ký hay quy tắc cố định dé phát hiện được các mối de dọa đã biết thì AI-based IDS có thé liên tục học hỏi, điều chỉnh ban thân.
Theo thời gian, AI-based có thé thích nghỉ với các bất thường, các biến thé tan công, xâm nhập mới, tạo cho chúng một sức mạnh phòng thủ mạnh mẽ và chủ động hơn Một ưu điểm khác của AI-based IDS đó là kha năng nhận biết các mẫu tan công hay hành vi bất thường trong một lượng lớn dữ liệu mạng.