Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của mạng Internet và các dịch vụ trực tuyến tại Việt Nam mang lại nhiều lợi ích cho công tác quản lý dữ liệu, giao thương điện tử và cung cấp dịch vụ của các tổ chức, doanh nghiệp. Tuy nhiên, cùng với xu thế này, các hình thức tấn công và xâm nhập mạng ngày càng gia tăng về quy mô và tính chất phức tạp. Thương mại điện tử trở thành mục tiêu thu hút các đối tượng tấn công nhằm trục lợi hoặc phá hoại hệ thống.

Trong kiến trúc bảo mật truyền thống, hệ thống tường lửa (Firewall) đóng vai trò ngăn chặn truy cập trái phép dựa trên các chính sách lọc gói tin cố định. Tuy nhiên, tường lửa không thể bao quát toàn bộ các phương thức tấn công mới hoặc phát hiện các hành vi bất thường bên trong lưu lượng hợp lệ. Do đó, việc triển khai hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) là yêu cầu cần thiết nhằm bổ sung năng lực giám sát, thu thập thông tin, phát hiện dấu hiệu bất thường và hỗ trợ quản trị viên ngăn chặn kịp thời các mối đe dọa.

Đề tài tập trung giải quyết các mục tiêu và nhiệm vụ nghiên cứu sau:

  1. Nghiên cứu tổng quan về hệ thống phát hiện xâm nhập, các mô hình kiến trúc và các kỹ thuật phát hiện xâm nhập hiện hành.
  2. Tìm hiểu sâu về hệ sinh thái mã nguồn mở Snort, bao gồm kiến trúc giải mã gói tin, cơ chế tiền xử lý (preprocessors), bộ máy nhận dạng (detection engine) và thành phần cảnh báo/ghi vết (alert/logging).
  3. Nghiên cứu cú pháp, cấu trúc tập luật của Snort, từ đó xây dựng tư duy phân tích hệ thống và thiết kế các tập luật tùy biến cho các ngữ cảnh mạng cụ thể.
  4. Tìm hiểu và tích hợp mô-đun mở rộng SnortSam như một giải pháp phản ứng chủ động (Active Response), kết hợp cùng tường lửa iptables trên Linux để tự động ngăn chặn các địa chỉ IP tấn công.
  5. Triển khai mô hình thử nghiệm, tiến hành các kịch bản tấn công thực tế (quét cổng, TCP-SYN Flood, Apache Killer), phân tích nhật ký lưu lượng và kiểm chứng hiệu quả phát hiện, ngăn chặn của hệ thống.

Đối tượng nghiên cứu của khóa luận là hệ thống phát hiện xâm nhập nói chung, phần mềm Snort, mô-đun SnortSam và phương pháp xây dựng tập luật phòng thủ. Phạm vi nghiên cứu được thực hiện trong môi trường ảo hóa VirtualBox, mô phỏng đồ hình mạng doanh nghiệp có phân vùng DMZ với các dịch vụ mạng cơ bản.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và khái niệm

Tác giả sử dụng khung định nghĩa an toàn thông tin theo tài liệu chuẩn CNSSI-4009 của Ủy ban An ninh Quốc gia Hoa Kỳ (CNSS):

  • Xâm nhập (Intrusion): Hành động truy cập trái phép bằng cách vượt qua cơ chế bảo mật của hệ thống.
  • Xâm nhập máy tính (Computer Intrusion): Hành vi cố tình truy cập vào máy tính khi chưa được phép hoặc tìm cách leo thang đặc quyền nhằm khai thác tài nguyên và thu thập dữ liệu trái phép.
  • Phát hiện xâm nhập (Intrusion Detection): Quá trình theo dõi, thu thập các sự kiện diễn ra trên hệ thống máy tính hoặc hệ thống mạng, sau đó phân tích dấu hiệu sự cố để xác định các vi phạm chính sách bảo mật hoặc tiêu chuẩn an ninh.

Khóa luận phân loại hệ thống IDS theo hai tiêu chí cốt lõi:

Tiêu chí phân loại Phân loại cụ thể Đặc điểm và cơ chế chính
Theo phạm vi thu thập Network-based IDS (NIDS) Hoạt động độc lập trên phân đoạn mạng; sử dụng các cảm biến (sensors) bắt gói tin trên đường truyền (qua Span Port/Hub) để giám sát toàn bộ phân đoạn; không gây ảnh hưởng đến hiệu năng máy trạm.
Host-based IDS (HIDS) Cài đặt trực tiếp trên từng máy chủ (đặc biệt là máy chủ DMZ); theo dõi tập tin nhật ký, tiến trình hệ điều hành, tính toàn vẹn tập tin và lưu lượng mạng cục bộ; có khả năng giám sát dữ liệu mã hóa (SSL/SSH).
Theo kỹ thuật nhận dạng Phát hiện bất thường (Anomaly-based) Nhận dạng các mẫu hành vi sai lệch so với hồ sơ hoạt động bình thường (baseline); gồm các kỹ thuật: kiểm tra giao thức bất thường (Protocol Anomaly), phân tích thống kê (Statistical Anomaly) và cơ chế tự học (Self-learning).
Phát hiện theo dấu hiệu (Misuse/Signature-based) So sánh mẫu lưu lượng với cơ sở dữ liệu mẫu tấn công đã biết; sử dụng kỹ thuật khớp biểu thức (Expression matching) và phân tích chuyển trạng thái (State transition analysis); tỷ lệ cảnh báo sai thấp.

Phương pháp nghiên cứu

  • Phương pháp nghiên cứu tài liệu lý thuyết: Tổng hợp tài liệu chuẩn từ Sourcefire, tài liệu hướng dẫn cấu hình Snort, tài liệu kỹ thuật của SnortSam và các công bố an toàn thông tin liên quan.
  • Phương pháp mô phỏng và thực nghiệm kỹ thuật: Thiết lập hệ thống mạng thử nghiệm trên môi trường máy ảo VirtualBox; cài đặt hệ điều hành Linux, phân vùng mạng nội bộ và vùng DMZ; triển khai các dịch vụ Web, cơ sở dữ liệu MySQL và giao diện quản lý BASE (Basic Analysis and Security Engine).
  • Phương pháp phân tích gói tin: Thực thi các công cụ tấn công và khai thác lỗ hổng; trích xuất gói tin bằng cơ chế sniffer; phân tích cấu trúc tiêu đề (header) và vùng dữ liệu (payload); chuyển hóa các đặc trưng tấn công thành các quy tắc (rules) phát hiện tương ứng.

Thiết kế và triển khai hệ thống

Kiến trúc bốn thành phần của Snort

Snort được xây dựng theo mô hình xử lý đường ống (pipeline) gồm bốn khối chức năng chính:

  1. Bộ thu thập và giải mã gói tin (Packet Sniffer/Decoder): Thu nhận lưu lượng mạng thô từ card mạng thông qua thư viện libpcap. Tùy thuộc vào lớp liên kết dữ liệu (Ethernet, 802.11, Token Ring, FDDI, SLIP, PPP...), bộ giải mã DecodeEthPkt phân tích tiêu đề lớp 2 và tuần tự gọi các bộ giải mã tầng cao hơn như DecodeIP, DecodeIPv6, DecodeARP, DecodeTCP, DecodeUDP, DecodeICMP.
  2. Bộ tiền xử lý (Preprocessors): Phân tích cú pháp, chuẩn hóa dữ liệu và phát hiện các hành vi bất thường trước khi đưa vào bộ máy nhận dạng. Preprocessors đóng vai trò cốt lõi trong việc tái hợp luồng và chống lại các kỹ thuật lẩn trốn (evasion techniques) như phân mảnh gói tin (Fragmentation Attacks: Tiny Fragment, Overlapping Fragment, Teardrop).
  3. Bộ máy phát hiện (Detection Engine): Thực hiện so khớp dữ liệu gói tin với tập luật đã nạp từ tệp tin snort.conf. Nếu thông tin gói tin trùng khớp hoàn toàn với phần Header và phần Options của luật, gói tin sẽ được chuyển sang khối cảnh báo.
  4. Thành phần cảnh báo và ghi nhật ký (Alerting/Logging Component): Ghi nhận các sự kiện kích hoạt luật dưới dạng tệp tin văn bản ASCII, định dạng nhị phân tcpdump, cơ sở dữ liệu quan hệ (MySQL, PostgreSQL), bản tin SNMP trap hoặc truyền qua UNIX socket đến các hệ thống phân tích trực quan như ACID hoặc BASE.

Cơ chế hoạt động của mô-đun phản ứng chủ động SnortSam

SnortSam hoạt động như một hệ thống phản ứng chủ động (Active Response System) gồm hai thành phần tách biệt:

  • Mô-đun ngõ ra alert_fwsam: Tích hợp trực tiếp vào mã nguồn Snort dưới dạng một output plug-in. Khi Detection Engine phát hiện tấn công khớp với luật có cấu hình tùy chọn fwsam, mô-đun này sẽ tạo bản tin chứa địa chỉ IP nguồn vi phạm và thời gian cần chặn.
  • Tác nhân điều khiển tường lửa (Blocking Agent): Một tiến trình chạy nền (daemon) độc lập trên máy chủ tường lửa, lắng nghe kết nối từ alert_fwsam qua cổng TCP 898. Phiên truyền thông được mã hóa bằng thuật toán đối xứng Twofish với khóa chia sẻ trước (preshared key). Tác nhân nhận thông điệp, giải mã, kiểm tra danh sách trắng (white-list / dontblock) và trực tiếp thêm các quy tắc chặn vào bảng iptables trong khoảng thời gian xác định (mặc định hoặc tùy biến theo luật).

Nội dung chính theo từng chương

Phần I: Đặt vấn đề

Trình bày tính cấp thiết của đề tài trong bối cảnh thương mại điện tử và các mối đe dọa an toàn thông tin gia tăng tại Việt Nam; xác định mục tiêu trang bị kiến thức phân tích hệ thống và kỹ thuật viết luật bảo mật thay vì chỉ dừng lại ở thao tác cài đặt công cụ; giới thiệu đối tượng, phạm vi và phương pháp nghiên cứu.

Chương 1: Hệ thống phát hiện xâm nhập (IDS)

Hệ thống hóa toàn bộ lý thuyết về IDS: định nghĩa thuật ngữ theo chuẩn CNSSI-4009; so sánh chi tiết giữa NIDS và HIDS; phân tích hai trường phái nhận dạng bất thường (Anomaly-based) và nhận dạng lạm dụng/dấu hiệu (Misuse/Signature-based). Chương này cũng thảo luận vị trí tối ưu để đặt các cảm biến IDS trong hệ thống mạng (trước/sau tường lửa, trên cổng SPAN của Switch hoặc trên Hub kết nối các phân đoạn mạng).

Chương 2: Giới thiệu về Snort/SnortSam

Trình bày lịch sử phát triển của Snort do Sourcefire phát triển dưới giấy phép GNU/GPL; phân tích yêu cầu phần cứng (dung lượng đĩa cứng phân vùng /var, bộ nhớ RAM, cấu hình hai card mạng riêng biệt cho giám sát và quản trị); giới thiệu các công cụ phụ trợ (ACID, BASE, SGUIL, Oinkmaster, Swatch, SnortSnarf); hướng dẫn ba chế độ vận hành chính của Snort:

  • Chế độ Sniffer: $ snort -v (chỉ hiển thị IP/TCP/UDP/ICMP header), $ snort -vd (thêm dữ liệu payload), $ snort -vde (thêm tiêu đề tầng liên kết dữ liệu).
  • Chế độ Packet Logger: $ snort -dev -l /path/to/log (ghi nhật ký dạng ASCII theo cây thư mục IP), $ snort -l /log -b (ghi nhật ký dạng nhị phân tcpdump), $ snort -dv -r packet.log (đọc lại tệp nhật ký nhị phân).
  • Chế độ NIDS: $ snort -c /etc/snort/snort.conf (thực thi kiểm tra tập luật và ghi vết tập trung).

Chương 2 cũng trình bày chi tiết kiến trúc SnortSam, cấu hình snortsam.conf với các tham số: accept, defaultkey, port, dontblock, logfile, daemon, bindip, keyinterval (mặc định cập nhật khóa sau 4 giờ) và tùy chọn gửi email cảnh báo tự động.

Chương 3: Preprocessors và Output Plug-ins

Đi sâu vào các mô-đun tiền xử lý tiên tiến theo định hướng mốc mục tiêu (Target-based) nhằm vô hiệu hóa kỹ thuật vượt mặt IDS:

  • Frag3: Bộ tiền xử lý chống phân mảnh IP dựa trên hệ điều hành mục tiêu. Bao gồm cấu hình toàn cục frag3_global (quản lý max_frags, memcap mặc định 4MB, prealloc_nodes) và cấu hình động cơ frag3_engine (hỗ trợ các chính sách phân mảnh: first, last, bsd, bsd-right, linux, windows, solaris; giám sát timeout, min_ttl từ 1-255, overlap_limit, min_fragment_length).
  • Stream5: Bộ tiền xử lý tái hợp luồng TCP, UDP, ICMP theo mục tiêu. Cung cấp cấu hình toàn cục stream5_global (track_tcp, max_tcp mặc định 262.144 phiên, memcap mặc định 8MB, track_udp, max_udp mặc định 131.072 phiên, track_icmp, max_icmp mặc định 65.536 phiên, track_ip, max_ip mặc định 16.384 phiên, prune_log_max mặc định 1MB) và cấu hình chi tiết stream5_tcp (theo dõi cờ require_3whs, phát hiện bất thường detect_anomalies, kiểm tra chiếm quyền điều khiển phiên check_session_hijacking, giới hạn max_window, max_queued_bytes, max_queued_segs và lọc cổng dịch vụ mặc định: 21, 23, 25, 53, 80, 110, 143, 445, 1433, 3306...).

Chương 4: Luật trong Snort

Phân tích chi tiết cú pháp của một luật Snort chuẩn gồm hai phần chính:

  • Rule Header: Xác định hành động kích hoạt (alert, log, pass, activate, dynamic), loại giao thức (tcp, udp, icmp, ip), địa chỉ IP/dải mạng nguồn, cổng nguồn, hướng truyền (->, <>), địa chỉ IP/dải mạng đích và cổng đích.
  • Rule Options: Tập hợp các từ khóa thiết lập điều kiện phát hiện: nội dung văn bản (content, uricontent), phân biệt chữ hoa/thường (nocase), vị trí tìm kiếm (offset, depth, distance, within), trạng thái phiên kết nối (flow:to_server,established), kiểm soát tần suất kích hoạt (detection_filter, threshold), thông tin định danh (sid, rev, classtype, msg, reference) và cú pháp chèn tùy chọn chặn động SnortSam (fwsam: src, 1 hour;).

Chương 5: Phân tích một số luật trong Snort

Trình bày cơ chế phát hiện và phân tích tập luật mẫu ứng phó với các hình thức tấn công điển hình:

  • Tấn công dò quét mạng (Network Scanning / Port Scan): Phân tích các dấu hiệu quét cổng bằng nmap, cấu hình phát hiện qua bộ tiền xử lý sfPortscan.
  • Tấn công từ chối dịch vụ TCP-SYN Flood: Phân tích nguyên lý phá vỡ quá trình bắt tay ba bước (3-way handshake); xây dựng luật giám sát lưu lượng gói tin có bật cờ SYN bất thường mà không hoàn tất phiên bắt tay.
  • Tấn công máy chủ web Apache Killer: Phân tích cấu trúc tiêu đề HTTP Request bất thường khai thác lỗ hổng Range Header để làm cạn kiệt tài nguyên bộ nhớ máy chủ Web Apache; thiết lập các tham số so khớp nội dung và độ dài chuỗi trong vùng tùy chọn của luật.

Chương 6: Cài đặt và cấu hình Snort

Hướng dẫn chi tiết quy trình triển khai thực tế trên mô hình mạng ảo hóa: cài đặt Snort từ mã nguồn, biên dịch cùng các thư viện bổ trợ; cài đặt và cấu hình Blocking Agent của SnortSam trên máy chủ tường lửa Linux iptables; cấu hình kết nối cơ sở dữ liệu MySQL và thiết lập giao diện đồ họa BASE; tiến hành các kịch bản kiểm thử tấn công thực tế và đánh giá cơ chế tự động chặn địa chỉ IP trên iptables.

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

  1. Bảng tổng hợp cấu hình tham số tiền xử lý Stream5:
Tham số cấu hình Giá trị mặc định Giá trị giới hạn (Min / Max) Chức năng kỹ thuật
max_tcp 262.144 phiên 1 / 1.048.576 phiên Số phiên TCP tối đa được theo dõi đồng thời
memcap (Stream5) 8.388.608 bytes (8 MB) 32.768 bytes (32 KB) / 1.073.741.824 bytes (1 GB) Dung lượng bộ nhớ tối đa dành cho tái hợp TCP
max_udp 131.072 phiên 1 / 1.048.576 phiên Số phiên UDP tối đa được theo dõi đồng thời
max_icmp 65.536 phiên 1 / 1.048.576 phiên Số phiên ICMP tối đa được theo dõi đồng thời
max_ip 16.384 phiên 1 / 1.048.576 phiên Số phiên IP tối đa được theo dõi đồng thời
prune_log_max 1.048.576 bytes (1 MB) 1.024 bytes / 1.073.741.824 bytes (1 GB) Ngưỡng ghi thông báo khi phiên vượt dung lượng
  1. Xây dựng hệ thống phòng thủ đa tầng: Thiết lập thành công chu trình khép kín: Cảm biến Snort thu nhận gói tin $\rightarrow$ Tiền xử lý Frag3/Stream5 chuẩn hóa và giải mã $\rightarrow$ Detection Engine khớp tập luật tùy biến $\rightarrow$ Ghi log vào MySQL/BASE $\rightarrow$ Kích hoạt alert_fwsam truyền lệnh mã hóa Twofish qua cổng TCP 898 đến Blocking Agent $\rightarrow$ Agent tự động cập nhật bảng luật iptables để chặn nguồn tấn công trong thời gian định trước.
  2. Thực nghiệm nhận dạng tấn công: Kiểm chứng thành công khả năng phát hiện các hành vi dò quét mạng, chặn đứng tấn công tràn ngập TCP-SYN Flood và ngăn chặn khai thác lỗi Apache Killer thông qua tập luật tối ưu.

Giải pháp và đóng góp của đề tài

  • Giải pháp kỹ thuật: Đề xuất áp dụng triệt để cơ chế Target-based trên các preprocessors (Frag3, Stream5) giúp hệ thống tái hợp các phân mảnh chính xác theo cơ chế của từng hệ điều hành đích (Linux, BSD, Windows, Solaris), loại bỏ nguy cơ bị qua mặt bởi các cuộc tấn công phân mảnh gói tin phức tạp.
  • Đóng góp học thuật/thực tiễn: Chuyển dịch trọng tâm từ việc triển khai công cụ đơn thuần sang việc phân tích bản chất giao thức mạng và cấu trúc gói tin; cung cấp tài liệu chi tiết về cú pháp luật và phương pháp tích hợp phản ứng chủ động SnortSam với tường lửa mã nguồn mở.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế

  • Mô hình thực nghiệm mới được triển khai trong môi trường ảo hóa máy trạm (VirtualBox), chưa đánh giá toàn diện năng lực chịu tải trong các mạng doanh nghiệp quy mô lớn có mật độ giao thông dữ liệu cao.
  • SnortSam hoạt động theo cơ chế phản ứng chủ động (Active Response) dựa trên địa chỉ IP nguồn, chưa phải là một hệ thống ngăn chặn xâm nhập dạng trực tiếp (IPS Inline can thiệp sửa đổi trực tiếp luồng gói tin tại tầng ứng dụng như snort_inline hay Fwsnort).
  • NIDS chưa có khả năng giải mã và phân tích sâu các luồng lưu lượng mạng bị mã hóa đầu cuối (như SSL/TLS, SSH) nếu không có cơ chế trung gian giải mã.

Hướng nghiên cứu tiếp

  • Triển khai và tối ưu hóa hệ thống trên môi trường phần cứng mạng thực tế với các thiết bị định tuyến và chuyển mạch chuyên dụng.
  • Nghiên cứu mở rộng các giải pháp IPS chuyên sâu như snort_inline để xử lý và can thiệp gói tin trực tiếp theo thời gian thực.
  • Xây dựng cơ chế cân bằng tải cảm biến (load balancing sensor) và quản lý tập trung nhật ký cảnh báo cho các mạng phân tán quy mô lớn.

Giá trị tham khảo

  • Đối tượng tham khảo: Sinh viên, học viên chuyên ngành Công nghệ thông tin, An toàn thông tin, Mạng máy tính và Truyền thông; các quản trị viên hệ thống mạng tại các doanh nghiệp vừa và nhỏ.
  • Nội dung giá trị nhất: Tài liệu cung cấp bản tra cứu tham số chi tiết cho các bộ tiền xử lý Frag3 và Stream5 (Chương 3); hướng dẫn bài bản về cú pháp viết luật tùy biến (Chương 4, 5); và quy trình cấu hình giao tiếp bảo mật giữa Snort và tác nhân chặn tự động SnortSam trên nền tảng iptables (Chương 2, 6).

Câu hỏi thường gặp

1. Khái niệm "Target-based" trong các bộ tiền xử lý Frag3 và Stream5 của Snort có ý nghĩa kỹ thuật gì? Cơ chế Target-based cho phép Snort cấu hình các chính sách tái hợp phân mảnh IP và luồng TCP mô phỏng chính xác cách thức xử lý của hệ điều hành đích (Windows, Linux, BSD, Solaris). Điều này ngăn chặn kỹ thuật kẻ tấn công cố tình phân mảnh gói tin để đánh lừa IDS trong khi hệ điều hành máy nạn nhân vẫn ghép lại và thực thi mã độc.

2. Sự khác biệt căn bản giữa SnortSam và các hệ thống ngăn chặn như snort_inline hay Fwsnort là gì? SnortSam là hệ thống phản ứng chủ động (Active Response System) thực hiện chặn kết nối sau khi nhận cảnh báo từ Snort bằng cách thêm địa chỉ IP vào danh sách cấm của tường lửa. Ngược lại, snort_inline và Fwsnort thuộc nhóm IPS trực tiếp (Inline IPS), nằm trực tiếp trên luồng truyền dữ liệu và có khả năng can thiệp, sửa đổi hoặc loại bỏ trực tiếp từng gói tin ở tầng Giao vận hoặc tầng Ứng dụng theo thời gian thực.

3. Ba chế độ vận hành chính của Snort được khởi chạy bằng các tham số dòng lệnh nào? Snort có thể chạy ở ba chế độ:

  • Chế độ Sniffer: sử dụng tùy chọn -v, -vd, hoặc -vde để hiển thị tiêu đề và nội dung gói tin.
  • Chế độ Packet Logger: sử dụng tùy chọn -dev -l <thư_mục> (ghi dạng ASCII) hoặc -l <thư_mục> -b (ghi dạng nhị phân).
  • Chế độ NIDS: sử dụng tùy chọn -c <tệp_tin_cấu_hình> (ví dụ: snort -c /etc/snort/snort.conf).

4. Cơ chế truyền thông và xác thực giữa Snort và Blocking Agent của SnortSam diễn ra như thế nào? Khi phát hiện tấn công, mô-đun ngõ ra alert_fwsam thiết lập phiên kết nối TCP tới Blocking Agent trên máy chủ tường lửa qua cổng TCP 898. Dữ liệu truyền đi gồm địa chỉ IP nguồn và thời gian chặn, được mã hóa đối xứng bằng thuật toán Twofish với khóa chia sẻ cấu hình trước (preshared key). Tác nhân giải mã thông điệp, kiểm tra danh sách trắng và ra lệnh cho iptables thực thi quy tắc chặn.

5. Hạn chế chính của NIDS khi triển khai trên hạ tầng mạng sử dụng thiết bị chuyển mạch (Switch) là gì? Do Switch phân chia mạng thành các phân đoạn riêng biệt và chuyển gói tin trực tiếp giữa các cổng theo bảng địa chỉ MAC, cảm biến NIDS kết nối thông thường sẽ không thể thu nhận lưu lượng qua lại giữa các máy trạm khác. Để khắc phục, hệ thống bắt buộc phải sử dụng cổng giám sát chuyên dụng (SPAN port / Port Monitoring) trên Switch hoặc sử dụng thiết bị Hub/TAP chuyên dụng.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Văn Quang tại Trường Đại học Sư phạm Kỹ thuật TP.HCM đã nghiên cứu toàn diện cơ sở lý luận và kỹ thuật triển khai hệ thống phát hiện xâm nhập mạng Snort kết hợp mô-đun phản ứng chủ động SnortSam. Công trình làm rõ kiến trúc xử lý bốn tầng của Snort, phân tích sâu các cơ chế tiền xử lý tiên tiến như Frag3 và Stream5 theo định hướng hệ điều hành đích, đồng thời cung cấp phương pháp xây dựng luật nhận dạng các dạng tấn công phổ biến. Kết quả thử nghiệm trên nền tảng ảo hóa chứng minh tính khả thi của giải pháp kết hợp giữa Snort, SnortSam và tường lửa iptables trong việc tự động hóa quá trình giám sát, phát hiện và ngăn chặn xâm nhập mạng.