CHƯƠNG I- TONG QUAN VE IDS 1.1 Khai niém Hệ théng phải hiện xâm nhập (Intrusion Detcetion System - TDS) 1a mot. hé thang giám sát lưu thông mạng, các hoạt động khả nghỉ và cảnh báo cho hệ thống, nhà quản trị. Ngoài ra IDS cũng đảm nhận việc phản trng lại với các lưu thông bắt thường hay có hại bằng cách thực hiện các hành động đã được thiết lập trước như khỏa nguai ding hay địa chỉ ïP nguẫn đó không cho truy cập hệ thống mang, TDS cũng cỏ thể phân biệt gia nhing lắn công từ bên trong hay tân công từ bên ngoài. D8 phảt hiện tân công dựa lrên các dâu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phẩn mềm điệt virus đựa vào các dân hiệu đặc biệt để phát hiện và diệt virus) hay dựa trên so sảnh lưu thỏng mạng hiệu tại với baseline (thông số đo đạc chuẩn của hệ thống) để tìm ra các dẫu hiệu khác thường.
Chức năng Ta có thể hiểu Lóm tắt về hệ (hếng phải hiện xâm nhập mạng— ID8 như sau Chức nẵng quan trọng nhất : giảm sát - cảnh bảo - báo vệ Giám sát. lưu lượng mạng vả các hoạt động khả nghủ. Cảnh báo: báo cáo về tính trạng mạng cho nha quản trị. Bao vé: Ding những thiết lập mặc định và sự cấu hình tử nhà quản trị mà có những, hảnh động thiết thục chồng lại kẻ xâm nhập vả phả hoại.
+ Chức năng mở rộng Phân biệt. các tẫn cũng trong và ngoài mang Phát hiện: những dâu hiệu bất thưởng đa trên những gì đã biết hoặc nhờ vào sự so sảnh thông lượng mạng hiện lại với bassline Hệ thông phát hiện xâm nhập mạng Xử lý Thông tin và Truyền Thông — 8 Nguyễn Đức Cường. có thể là bản thân IDS bằng cách lợi dụng các tham số đo bê sung (các chức năng khóa để giới hạn các session, backup hệ thông, định tuyển các kết nổi đến bẫy hệ thống, cơ sở hạ tầng hợp lệ.) - theo các chỉnh sách bảo mật của các tổ chức. Một 1D§ là một thánh phân nằm trong chính sách bảo mật.
Giữa các nhiêm vụ IDS khác nhau, việc nhận ra kẻ xâm nhập lả một trong những. nhiệm vụ cơ bản. Nó cũng hữu dụng trong việc nghiên cứu mang tính pháp ly các tỉnh tiết vả việc cải đặt các bản vá thích hợp để cho phép phát hiện các tân công. trong tương lai nhằm vảo các cả nhân cụ thẻ hoặc tải nguyên hệ thông.
Phát hiện xâm nhập đôi khi cỏ thể đưa ra các bảo cảnh sai, ví dụ những vẫn đẻ xảy ra do trục trặc vẻ giao điện mạng hoặc việc gửi phân mô tả các tan công hoặc các chit ky thông qua email. Câu trúc của một hệ thông phát hiện xâm phạm đạng tập trung : Hệ thông phát hiện xâm nhập. Cơ sử dữ liệ nhận đạng xâm. Cơ sử dữ liệu cần hình hệ thống Kiểm tra các dấu hiệ và giám u sát mang Hãnh động M.2 : Cầu trúc tập trung.
'Hệ thống phát hiện xâm nhập mạng Xử lý Thông tin và Truyền Thông — 8 Nguyễn Đức Cường. có thể là bản thân IDS bằng cách lợi dụng các tham số đo bê sung (các chức năng khóa để giới hạn các session, backup hệ thông, định tuyển các kết nổi đến bẫy hệ thống, cơ sở hạ tầng hợp lệ.) - theo các chỉnh sách bảo mật của các tổ chức. Một 1D§ là một thánh phân nằm trong chính sách bảo mật. Giữa các nhiêm vụ IDS khác nhau, việc nhận ra kẻ xâm nhập lả một trong những.
nhiệm vụ cơ bản. Nó cũng hữu dụng trong việc nghiên cứu mang tính pháp ly các tỉnh tiết vả việc cải đặt các bản vá thích hợp để cho phép phát hiện các tân công. trong tương lai nhằm vảo các cả nhân cụ thẻ hoặc tải nguyên hệ thông. Phát hiện xâm nhập đôi khi cỏ thể đưa ra các bảo cảnh sai, ví dụ những vẫn đẻ xảy ra do trục trặc vẻ giao điện mạng hoặc việc gửi phân mô tả các tan công hoặc các chit ky thông qua email.
Câu trúc của một hệ thông phát hiện xâm phạm đạng tập trung : Hệ thông phát hiện xâm nhập. Cơ sử dữ liệ nhận đạng xâm. Cơ sử dữ liệu cần hình hệ thống Kiểm tra các dấu hiệ và giám u sát mang Hãnh động M.2 : Cầu trúc tập trung. 'Hệ thống phát hiện xâm nhập mạng Xirly Thong tin va Truydu Thong 3 Nguyễn Đức Cường LỜI NỞI ĐẦU Khải niệm phát hiện xâm nhập đã xuất hiện qua một bải bảo của James Anderson cách đây khoảng 25 năm.
Khi đó người ta cần hệ thông phát hiện xâm nhập - IDS (Intrusion Detection System) véi muc dich 1a dé tim và nghiên cứu các hành vỉ bắt thường và thái độ của người sử đụng trong mạng, phát hiện ra các việc lạm đụng. đặc quyền để gidm sal tai sân hệ thống mạng. Các nghiên cứu về hệ thắng phải hiện xâm nhập được nghiên cửu chỉnh thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỷ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa phổ biển, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu.
Tuy nhiên trong thời gian này, một số công, nghệ IDS bất đầu phát triển đựa trên sự bùng nễ của công nghệ thông tin. 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đâu của công iy IS8, một năm sau đỏ, Cisco nhận ra tam quan trong cia IDS va da mua lai một công ty cung cấp giải pháp II3S tên là Whecl Hiện tại, các thông kê chơ thấy IDS đang lá một trong các công nghệ an ninh được sử đụng nhiêu nhát vã vẫn còn phát triển. Vào năm 2003, Gartner- một công ty hàng đầu trong lĩnh vực nghiên cứu và phân tích thị trường công nghệ thông tin trên toàn cầu- đã đưa ra một dự đoán gay chấn động trong lĩnh vực an toán thông tin : "Hệ thẳng phát hiện xâm nhap (IDS) sé không còn nữa vào năm 2005”. Phát biển này xuất phát từ một số kết quả phân tich và đánh giá cho thấy hệ thống IDS khi 46 dang 461 mat voi van 48 14 IDS thường xuyên đưa ra rải nhiêu bảo động giả ( False Positives).
Kẻm theo các cảnh bảo lẫn công của ID còn là một quy trình xử lý an ninh rất vất vã. Các IDS lúc nảy không có khả năng theo dõi các luỗng đữ liệu được truyền với tốc độ lớn hơn 600 Megabit trén giây. Nhin chung Gartner đưa ra nhận xét này dựa trên nhiễu phản ảnh của những khách hàng, đang sử đụng IDS rằng quản trị và vận hành hệ thông IDS 14 rat khé khan, tan kém. và không đem lại hiệu quả lương xứng so với đầu hư.
Hệ thông phát hiện xâm nhập mạng Xirly Thong tin va Truydu Thong 3 Nguyễn Đức Cường LỜI NỞI ĐẦU Khải niệm phát hiện xâm nhập đã xuất hiện qua một bải bảo của James Anderson cách đây khoảng 25 năm. Khi đó người ta cần hệ thông phát hiện xâm nhập - IDS (Intrusion Detection System) véi muc dich 1a dé tim và nghiên cứu các hành vỉ bắt thường và thái độ của người sử đụng trong mạng, phát hiện ra các việc lạm đụng. đặc quyền để gidm sal tai sân hệ thống mạng. Các nghiên cứu về hệ thắng phải hiện xâm nhập được nghiên cửu chỉnh thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỷ.
Cho đến tận năm 1996, các khái niệm IDS vẫn chưa phổ biển, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu. Tuy nhiên trong thời gian này, một số công, nghệ IDS bất đầu phát triển đựa trên sự bùng nễ của công nghệ thông tin. 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đâu của công iy IS8, một năm sau đỏ, Cisco nhận ra tam quan trong cia IDS va da mua lai một công ty cung cấp giải pháp II3S tên là Whecl Hiện tại, các thông kê chơ thấy IDS đang lá một trong các công nghệ an ninh được sử đụng nhiêu nhát vã vẫn còn phát triển. Vào năm 2003, Gartner- một công ty hàng đầu trong lĩnh vực nghiên cứu và phân tích thị trường công nghệ thông tin trên toàn cầu- đã đưa ra một dự đoán gay chấn động trong lĩnh vực an toán thông tin : "Hệ thẳng phát hiện xâm nhap (IDS) sé không còn nữa vào năm 2005”.
Phát biển này xuất phát từ một số kết quả phân tich và đánh giá cho thấy hệ thống IDS khi 46 dang 461 mat voi van 48 14 IDS thường xuyên đưa ra rải nhiêu bảo động giả ( False Positives). Kẻm theo các cảnh bảo lẫn công của ID còn là một quy trình xử lý an ninh rất vất vã. Các IDS lúc nảy không có khả năng theo dõi các luỗng đữ liệu được truyền với tốc độ lớn hơn 600 Megabit trén giây. Nhin chung Gartner đưa ra nhận xét này dựa trên nhiễu phản ảnh của những khách hàng, đang sử đụng IDS rằng quản trị và vận hành hệ thông IDS 14 rat khé khan, tan kém.
và không đem lại hiệu quả lương xứng so với đầu hư. Hệ thông phát hiện xâm nhập mạng Xirly Thong tin va Truydu Thong 3 Nguyễn Đức Cường LỜI NỞI ĐẦU Khải niệm phát hiện xâm nhập đã xuất hiện qua một bải bảo của James Anderson cách đây khoảng 25 năm. Khi đó người ta cần hệ thông phát hiện xâm nhập - IDS (Intrusion Detection System) véi muc dich 1a dé tim và nghiên cứu các hành vỉ bắt thường và thái độ của người sử đụng trong mạng, phát hiện ra các việc lạm đụng. đặc quyền để gidm sal tai sân hệ thống mạng.
Các nghiên cứu về hệ thắng phải hiện xâm nhập được nghiên cửu chỉnh thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỷ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa phổ biển, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu. Tuy nhiên trong thời gian này, một số công, nghệ IDS bất đầu phát triển đựa trên sự bùng nễ của công nghệ thông tin. 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đâu của công iy IS8, một năm sau đỏ, Cisco nhận ra tam quan trong cia IDS va da mua lai một công ty cung cấp giải pháp II3S tên là Whecl Hiện tại, các thông kê chơ thấy IDS đang lá một trong các công nghệ an ninh được sử đụng nhiêu nhát vã vẫn còn phát triển.