Luận văn Thạc sĩ: Phát hiện và ngăn chặn xâm nhập trái phép - Bạch Quốc Cường

Luận văn phân tích sâu về hệ thống phát hiện và ngăn chặn xâm nhập IDS/IPS. Khám phá các phương pháp bảo mật chống tấn công mạng hiệu quả.

• Tác giả: Bạch Quốc Cường
• Người hướng dẫn: PGS. Nguyễn Linh Giang
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Phát Hiện Và Ngăn Chặn Xâm Nhập Trái Phép
• Loại tài liệu: Luận văn thạc sỹ kỹ thuật
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng Quan Về Hệ Thống IDS IPS

Hệ thống IDS/IPS (Intrusion Detection System/Intrusion Prevention System) là những giải pháp bảo mật thiết yếu trong an ninh mạng hiện đại. IDS được thiết kế để phát hiện xâm nhập trái phép vào hệ thống mạng, trong khi IPS không chỉ phát hiện mà còn có khả năng ngăn chặn các cuộc tấn công một cách chủ động. Sự ra đời của công nghệ này đánh dấu một bước tiến quan trọng trong lĩnh vực bảo vệ dữ liệu và hạ tầng thông tin. Các hệ thống IDS/IPS hoạt động bằng cách theo dõi liên tục lưu lượng mạng, phân tích các gói dữ liệu và so sánh với các mẫu tấn công đã biết. Điều này giúp các tổ chức phát hiện sớm các mối đe dọa tiềm ẩn trước khi chúng gây ra thiệt hại nghiêm trọng.

1.1. Lịch Sử Phát Triển IDS IPS

Công nghệ phát hiện xâm nhập ra đời từ những năm 1980, bắt đầu với các hệ thống đơn giản dựa trên phân tích mẫu tấn công (Signature-Based Detection). Qua thời gian, các nhà nghiên cứu đã phát triển thêm các phương pháp phát hiện xâm nhập dựa trên bất thường (Anomaly-Based Detection) để bắt các cuộc tấn công mới chưa từng xảy ra.

1.2. Vai Trò Trong An Ninh Mạng

IDS/IPS đóng vai trò như một tầng phòng thủ thứ hai sau tường lửa (Firewall). Nó cung cấp khả năng giám sát liên tục các hoạt động mạng, phát hiện những hành vi bất thường và các cuộc tấn công tinh vi. Hệ thống này giúp các quản trị viên nhanh chóng phát hiện và ngăn chặn các mối đe dọa an ninh mạng.

II. Các Thành Phần Cơ Bản Của Hệ Thống IDS IPS

Một hệ thống IDS/IPS hoàn chỉnh bao gồm nhiều thành phần quan trọng hoạt động phối hợp với nhau. Công nghệ phát hiện xâm nhập dựa trên ba phương pháp chính: phát hiện qua đặc trưng (Signature-Based), phát hiện qua bất thường (Anomaly-Based), và phân tích giao thức có trạng thái (Stateful Protocol Analysis). Các thành phần chính bao gồm module thu thập dữ liệu từ các sensor mạng, cơ sở dữ liệu chứa các mẫu tấn công, công cụ phân tích và engine phát hiện xâm nhập. Ngoài ra, còn có module báo cáo, ghi nhận sự cố và hệ thống cảnh báo thời gian thực.

2.1. Phương Pháp Phát Hiện Dựa Trên Mẫu

Signature-Based Detection so sánh lưu lượng mạng với cơ sở dữ liệu chứa các mẫu tấn công đã biết. Phương pháp này hiệu quả cao với những cuộc tấn công quen thuộc nhưng không thể phát hiện những mối đe dọa mới. Cần cập nhật thường xuyên cơ sở dữ liệu để duy trì tính hiệu quả.

2.2. Phương Pháp Phát Hiện Dựa Trên Hành Vi

Anomaly-Based Detection xây dựng một mô hình hành vi bình thường của hệ thống, sau đó phát hiện bất kỳ sự bất thường hoặc độ lệch nào từ mô hình này. Phương pháp này có thể ngăn chặn các cuộc tấn công mới nhưng có tỷ lệ báo động giả cao hơn.

III. Phân Loại Hệ Thống IDS IPS

Hệ thống IDS/IPS được phân loại thành ba loại chính dựa trên vị trí triển khai và phạm vi giám sát mạng. Network-based IDS (NIDS) giám sát lưu lượng mạng trên toàn bộ hệ thống mạng, có khả năng phát hiện các cuộc tấn công dựa trên giao thức mạng. Host-based IDS (HIDS) giám sát các hoạt động trên từng máy chủ hoặc máy tính cá nhân, có khả năng giám sát sâu hơn vào hệ điều hành và các ứng dụng. Hybrid IDS kết hợp cả hai phương pháp, cung cấp phòng thủ toàn diện cho toàn bộ hạ tầng.

3.1. Hệ Thống IDS Dựa Trên Mạng

Network-based IDS (NIDS) được triển khai trên các vị trí chiến lược trong mạng để giám sát lưu lượng mạng. Nó có thể phát hiện xâm nhập đối với nhiều máy chủ cùng một lúc nhưng tiêu tốn nhiều tài nguyên tính toán. Đây là giải pháp lý tưởng cho các tổ chức có mạng lớn.

3.2. Hệ Thống IDS Dựa Trên Máy Chủ

Host-based IDS (HIDS) được cài đặt trên từng máy tính để giám sát các hoạt động cấp hệ điều hành. Nó có thể phát hiện các mối đe dọa nội bộ và các cuộc tấn công nhắm vào ứng dụng cụ thể. Tuy nhiên, việc triển khai trên nhiều máy chủ yêu cầu nhiều công sức quản lý.

IV. Các Cuộc Tấn Công Được Phát Hiện Và Ngăn Chặn

Hệ thống IDS/IPS có khả năng phát hiện và ngăn chặn một loạt các cuộc tấn công mạng nguy hiểm. Các tấn công như zero-day exploits, buffer overflow attacks, worm, spyware, và các tấn công từ chối dịch vụ (DoS) đều nằm trong phạm vi giám sát của hệ thống. Ngoài ra, nó còn có khả năng bảo vệ các ứng dụng như Skype, giải mã các kết nối HTTPS để phát hiện các mối đe dọa ẩn dưới lớp mã hóa. Hệ thống cũng có thể kiểm soát truy cập vào các website, ngăn chặn các tấn công vào Web Server, phát hiện các hành vi chia sẻ P2P bất hợp pháp và theo dõi trao đổi thông tin cá nhân qua mạng.

4.1. Ngăn Chặn Tấn Công Zero Day Và Virtual Patching

Công nghệ Virtual Patching cho phép hệ thống ngăn chặn các lỗ hổng mới (zero-day vulnerabilities) mà không cần chờ bản vá chính thức từ nhà cung cấp. IPS có thể phát hiện và chặn các nỗ lực khai thác các lỗ hổng này bằng cách sử dụng các quy tắc phát hiện tấn công dự phòng.

4.2. Phòng Chống Tấn Công Mạng Nâng Cao

Hệ thống IDS/IPS có thể phát hiện các tấn công phức tạp như Worm, các chương trình gián điệp (Spyware), tấn công DoS/DDoS và các hành vi bất thường của ứng dụng. Nó cung cấp bảo vệ toàn diện chống lại các mối đe dọa an ninh mạng hiện đại.

Trích đoạn nội dung tài liệu

BO GIAO DUC VÀ ĐÀO TẠO 'TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI BACH QUÓC CƯỜNG PHÁT HIỆN VÀ NGĂN CHẶN XÂM NHẬP TRÁI PHÉP LUẬN VĂN THẠC SỸ KỸ THUẬT CONG NGHE THONG TIN HA NOI - 2019 BO GIAO DUC VÀ ĐÀO TẠO 'TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI BACH QUOC CUONG PHAT HIEN VA NGAN CHAN XAM NHAP TRAI PHEP Chuyén nganh: Céng nghé théng tin Mã số: CB160534 LUẬN VĂN THẠC SỸ KỸ THUẬT CHUYEN NGANH: CONG NGHE THONG TIN NGUOI HUONG DAN KHOA HOC PGS. NGUYEN LINH GIANG HA NOI - 2019 LỎI CAM KẾT Họ và tên học viên: Bạch Quốc Cường, Điện thoại liên lạc: 0903488841 Email: [e-mail] Lop: 16BCNTT Fé dao tao: Chính quy Tôi xin cam đoan luận văn thạc sỹ kỹ thuật này là đo tôi nghiên cứu và được thục hiện dưới sự hướng dẫn khoa học của PGS.TS Nguyễn Linh Giang, Các kết quả riêu trong LVTN lá trung thực, là thành quá của riêng tôi, không sao chép theo bắt kỳ công trinh nào khác. Tắt cã những tham khảo trong 1,VTN — bao gêm hinh ảnh, bảng biểu, số liệu, và các câu từ trích dẫn — đều được phi rõ ràng và đây đủ nguồn gốc trong danh mục tải liệu tham khảo. Nếu có vẫn đẻ về sai phạm bản quyền, tôi xin hoản toàn chịu trách nhiệm trước nha trường Hà Nội, ngày.

nằm 2019 Học viên Bạch Quốc Cường LỜI CAM KẾT LOICAM CN - - - - ii MỤC LỤC. DANH SÁCH HÌNH VẼ. ve vị DANH MUC CITT VIRT TAT. - - - - viii PHAN MG DAU.

- Ly do chon dé lai. Mục đích nghiên cứu. Dai hrong va pham vi nghiên cứu. Phương pháp nghiên cứa.

iy 5 Kết quả, đóng góp của lận văn - - - ad 6. Kết câu của luận văn. NGUY CO MAT AN TOAM AN NINH MANG. Tổng quan chưng về tình hình an ninh mmạng.

Các mỗi đe đọa an ninh mạng, .3 Tổng quan các phương phép bảo mật trơng an mind mang 1.1 Tường lửa — Firewall.2 Công nghệ mạng riêng ảo - VPN.3 Hệ thông phát hiện và ngăn chặn xâm nhập IDS/IPS. TÔNG QUAN BE THONG PHAT HIEN VA NGAN CHAN XAM NHAP 12 2. Lịch sử ra đời. Hé thing IDS.1 Các thành phân của hệ thông I28 - 14 2.2 Các phương phap phát hiện xâm nhập nhỏ biến 1S 2221 Nhan biét qua dau higu - Signature Based IDetection 15 2.22 Nhên biết qua sự bát thường - Anomaly Based Detection 16 2.5 Nhận biết qna phân tích giaa thite — Statefitl Protacal Analysis - 18 3.3 Phân loại hệ thông ID.1 Network-based IDS (NID8).2 Host-based IDS (HDS) - - - - a 2.3 Hybrid Intrusion Detection System.1 Kết quả đạt được - - - - 4 3.2 Các chức năng, của hệ thống,.3 Một sô các bài test thử nghiệm hệ thống.1 Kiểm tra khả năng bảo vệ đổi với các timg dung Instant Messeging (Sieype).2 Kiểm soát khả năng truy nhập các website H'TTPS (giải mã S8L).3 Phát hiện và ngăn chặn tần cdng vao may chit Windows Server/ Windows 7 (Virtual Patching va #⁄ero-day).4 Phát hiện và ngăn chặn tân công vào máy chủ Web Server - 3 3.5 Phat hién va.

ngan chan tin cong Buffer Qverflaw Attacks .6 Phat biện và ngăn chặn tân công P2P, ActiveX.7 Phát hiện và ngăn chặn sảu mạng worm.8 Phát hiện và ngăn chặn Spywarc.9 Phát hiện và ngăn chặn lấn công Do8.10 Kiém tra va gidm sét thông tin cả nhân được trao đổi qua mạng. - 60 Kh ẬN VÀ HƯỚNG PHIẤT TRIÊN„ - 62 TAILIBU THAM KHẢO. 63 LOT CAM ON Để hoàn thành tốt luận vẫn tốt nghiệp, cm đã nhận được sự giúp đỡ của nhiều đơn vị, tổ chức, cả nhân. Em xia dược bảy tỏ lòng biết ơn sâu sắc đến tất cá các cá nhân vả đem vị đã tạo điều kiện giúp đỡ trong quá trình học tập và nghiên cứu đê tài.

Trước hết em xin gửi lời cảm ơn tới quý thầy cô trong khoa Công nghệ thông tin trường Đại học Bách Khoa Hà Nội, với sự quan lâm chỉ bảo của các thẫy cô đến nay em đã hoàn thành luận văn, dễ tải: “Phát hiện và ngăn chặn xâm nhập trái phép” Đặc biệt em xim gửi lời cảm ơn chân thành nhất tới PGS. Nguyễn Linh Giang dã quan tâm giúp đố, hướng dẫn em hoàn thành tốt luận văn trong thời gian qua. Với điều kiện thời gian cũng như kinh nghiệm cỏn hạn chế, luận văn này không thể tránh được những thiểu sót. Em rất mong nhận được sự chỉ bão, đóng gớp ý kiến của các thay cô dễ có điều kiện bổ sung.

Tam xin chân thành cầm ơnl 1ià Mội, ngày.năm 2019 Tác giả LVTN ấc Cường 3.1 Kết quả đạt được - - - - 4 3.2 Các chức năng, của hệ thống,.3 Một sô các bài test thử nghiệm hệ thống.1 Kiểm tra khả năng bảo vệ đổi với các timg dung Instant Messeging (Sieype).2 Kiểm soát khả năng truy nhập các website H'TTPS (giải mã S8L).3 Phát hiện và ngăn chặn tần cdng vao may chit Windows Server/ Windows 7 (Virtual Patching va #⁄ero-day).4 Phát hiện và ngăn chặn tân công vào máy chủ Web Server - 3 3.5 Phat hién va. ngan chan tin cong Buffer Qverflaw Attacks .6 Phat biện và ngăn chặn tân công P2P, ActiveX.7 Phát hiện và ngăn chặn sảu mạng worm.8 Phát hiện và ngăn chặn Spywarc.9 Phát hiện và ngăn chặn lấn công Do8.10 Kiém tra va gidm sét thông tin cả nhân được trao đổi qua mạng. - 60 Kh ẬN VÀ HƯỚNG PHIẤT TRIÊN„ - 62 TAILIBU THAM KHẢO. 63 DANH SÁCH HÌNH VỆ Hình 1 8ơ đồ hối cảnh và sự phát triển các nguy cơ an toàn thing tin - a5 trình 2 Mô hình Eirewall đơn giản.

- - _ Hình 3 Mô lảnh mạng VPN. em ~Ö10 Hình4 Nhận biết qua đầu hiện - Signature Based Detectơn. - - AS THình 5 Nhân biết qua cự bắt tieimg - Anomaly Rased Detection -416 tình 6 Mô Linh MIDS 19 Tình 7 Mô hình HIDS. 22 Hinh 8 Mé hinh Wireless IDS.

- - - -33 1tình 9 Mô hình NHA. = = = -4 Hinh 10 Cac Tier chudn cia NIST. 34 Hinh 11 Hign trạng mạng MobiFone. - -36 1ữình 12 Các địch vụ xây dựng trong giai đoạn 2.

Hình 13 Các địch vụxây dựng lrong giải đoạn 3. Hình 14 Các lơại Lân công G7100 hỗ trợ bão về Tình 15 Sơ đồ kết nổi hệ thông. 41 Hình 16 Các nolicy tận rại đang áp đựng trên hệ thống P1 4 Hình 17 Các policy đang ap đụng trên hệ thông P2. AB Hình 18 Hệ thống IPS piám sát ưu lượng theo các protocol.

- - AS tiình 19 ¡lệ thống IPS giám sát các event (rong, mạng. 46 Hình 20 Hệ (hông IP$ giám sát các cvcnl hệ thông,. " weed Hinh 21 Cac policy man cé thé ap dung trén hé thing. - - -47 Hình 22 Các mẫn tắn công đang có trong hệ thông.

-47 Hình 23 Chuẩn bị môi trường thử nghiệm. AS Hinh 24 So dé két néi thử nghiệm.nủng hm lượng bài test Ì - - - „49 1tình 26 Thiết lập môi trường bài test 1. - - 49 Hình 2? Kết quả bài test] Log trén IPS. 50 Hinh 28 Ludng hie luong bai test 2 - - _.50 Hình 29 Kết quả bài test 2 — truy cập người dùng.

Hình 30 Kết quả bai test 2 - Log trên IPS. Hình 31 Luông lưu lượng bài test 3 SL Hinh 32 Chun bi mai trường bài test 3 52 1tỉnh 33 KẾT qnả bài test 3 - Khi không eóIPS hao vé 52 Hinh 34 Két qua bai test 3 - Thực hiện tân công. 5 Hinh 35 Két qua bai test 3 - Log trên IP§.5 Network Behavior Analysis (NBA). TIệ thống IPS - 2.1 Các thành phần của hệ thống IPS.2 Phân loại hệ thông TPS.2 Mô hinh hệthống IPS.4 Các phương pháp tốn công phổ biển và cách phòng chống.1 Denial of Service altack (Tân công tử chỗi dich wu).2 Scanning và Probe (Quét và thăm đỏ) 2.5 Hostile code insertion (Cài đặt mã nguy hiếm).6 Advanced Persistent Threat (Tấn công có chủ dich).

Các giai phap IDS, IPS trên thị trường, - - 30 CHUONG 3: TRIEN KHAIHE THONG PHAT HiEN VA NGAN CHAN XÂM NHAP CHOHE THONG.1 Khảo sát và phân tích yên cân.1 Các chuẩn an toàn thông tỉ.2 Nội đụng khảo sát.3 Mô hình hệ thông rạng.4 Mô hình thiết bị ruạng.1 Hệ thống máy chũ địch vụ.2 Thiết bị mạng, 3.3 Thiết bị bảo mắt.5 Phân tích, đánh giá nguy cơ. rũi ro hệ thông mạng, 3.1 Ngny cơ mắt an ninh, an toàn với hệ thắng, mạng, nội bộ.2 Ngny cơ tắn công mạng, với các hệ thống, cng cắp dịch vụ 3.3 Neny co bao mật trong môi trường ảo hóa.3 Yêu cân đối với hệ thắng, 3B 3: ‘Téng, quan cau Wie cia hé thong 1P3 triển khai.1 Thiét bj IBM Seciuity Network IPS XGS 7100.3 Sơ đỗ kết nối hệ thẳng,.4 Đính gi Tượng hệ thống, Al 3.3 Đánh giá kết quả. aw iv DANH MỤC CHỮ VIỆT TAT srr 'Tên viết tắt 'Tên đây đẻ 1 AT Arlifictal Tniclligenee 2 ANIT An nành thông tin 3 API Application Programming Interface 4 APT Advanced Persistent Ihreat 5 CNTT Công nghệ thông tin 6 DDoS Distributed Demal of Service 7 DMZ Demilitarized Zone 8 DNS Domain name server 9 Dos Denial of Service 10 TIDS Ilost-based IDS 11 IDP Intrusion Deteetion and Prevention 12 IDs Intrusion detection system. 13 ToT Thlernel of thing 14 1P8 Intrusion Prevention Systems 15 LAN Local Area Network 16 NAP Network Access Policy 17 NBA Network Behavior Analysis 18 NIC Network Interface Card 19 NIDS Network-based IDS 20 Pop Deer to Peer 21 SIEM Security information and event management 22 SOC Security Operations Center 23 TOP Transmission Control Protocot 24 Upp User Datagram Protocol 25 XSS Cross — site scripting vi LỜI CAM KẾT LOICAM CN - - - - ii MỤC LỤC.

DANH SÁCH HÌNH VẼ. ve vị DANH MUC CITT VIRT TAT. - - - - viii PHAN MG DAU. - Ly do chon dé lai.

Mục đích nghiên cứu. Dai hrong va pham vi nghiên cứu. Phương pháp nghiên cứa. iy 5 Kết quả, đóng góp của lận văn - - - ad 6.

Kết câu của luận văn. NGUY CO MAT AN TOAM AN NINH MANG. Tổng quan chưng về tình hình an ninh mmạng. Các mỗi đe đọa an ninh mạng, .3 Tổng quan các phương phép bảo mật trơng an mind mang 1.1 Tường lửa — Firewall.2 Công nghệ mạng riêng ảo - VPN.3 Hệ thông phát hiện và ngăn chặn xâm nhập IDS/IPS.

TÔNG QUAN BE THONG PHAT HIEN VA NGAN CHAN XAM NHAP 12 2. Lịch sử ra đời. Hé thing IDS.1 Các thành phân của hệ thông I28 - 14 2.2 Các phương phap phát hiện xâm nhập nhỏ biến 1S 2221 Nhan biét qua dau higu - Signature Based IDetection 15 2.22 Nhên biết qua sự bát thường - Anomaly Based Detection 16 2.5 Nhận biết qna phân tích giaa thite — Statefitl Protacal Analysis - 18 3.3 Phân loại hệ thông ID.1 Network-based IDS (NID8).2 Host-based IDS (HDS) - - - - a 2.3 Hybrid Intrusion Detection System.