Luận văn phân tích và đánh giá hệ thống phát hiện xâm nhập ids

Luận văn phân tích, đánh giá hệ thống phát hiện xâm nhập IDS. Tìm hiểu sâu về IDS, ưu nhược điểm, và ứng dụng thực tế trong bảo mật mạng.

• Tác giả: Triệu Xuân Nghiêm
• Người hướng dẫn: TS. Trần Quang Đức
• Trường học: Trường Đại học Bách Khoa Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phân tích và đánh giá hệ thống phát hiện xâm nhập IDS
• Loại tài liệu: Luận văn thạc sỹ kỹ thuật
• Năm xuất bản: 2018
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. TỔNG QUAN VỀ TẤN CÔNG VÀ MỘT SỐ KỸ THUẬT TẤN CÔNG MẠNG
• 1.1. Tổng quan về tấn công mạng
• 1.2. Một số kỹ thuật tấn công hệ thống mạng máy tính
• 1.2.1. Tấn công bị động (Passive attack)
• 1.2.2. Tấn công rải rác (Distributed attack)
• 1.2.3. Tấn công nội bộ (Insider attack)
• 1.2.4. Tấn công bằng phần mềm độc hại
• 1.3. Tấn công từ chối dịch vụ (Denial of service attack)
• 1.3.1. Phân loại các dạng tấn công DoS/DDoS
• 1.4. Một số kiểu tấn công và cáo công cụ tấn công DoS/DDoS
• 2. CHƯƠNG 2: GIẢI PHÁP PHÁT HIỆN VÀ PHÒNG CHỐNG TẤN CÔNG DOS/DDOS
• 2.1. Giải pháp dành cho doanh nghiệp cung cấp ITosting
• 2.2. Giải pháp sử dụng IPS để lọc gói tin
• 2.3. Giải pháp sử dụng GeoIP DNS
• 2.4. Giải pháp sử dụng HAProxy
• 2.5. Phần mềm phát hiện và ngăn chặn xâm nhập Snort-Inline
• 2.6. Các cơ chế hoại động của Snent -Tuline
• 2.7. Kiến trúc của Snort
• 2.8. Cú pháp Indl, (Rule) của Snorl
• 3. CHƯƠNG 3: TRIỂN KHAI THỬ NGHIỆM HỆ THỐNG PHÁT HIỆN XÂM NHẬP DỰA TRÊN SNORT
• 3.1. Mô phỏng, thử nghiệm hệ thống phát hiện xâm nhập dựa trên Snort
• 3.2. Kịch bản và sơ đồ mô phỏng thứ nghiêm
• 3.3. Thử nghiệm hệ thông phải hiện xâm nhận
• 3.4. Nhận xét, dành giá vẻ hệ thông phát hiện xâm nhập, sử dụng Snort IDS
• KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO
• DANH MỤC CÁC HÌNH
• DANH MỤC CÁC BẰNG
• DANH MỤC CÁC CHỮ VIẾT TẮT VÀ KÝ HIỆU

Tóm tắt

I. Tổng Quan Vai Trò Hệ Thống Phát Hiện Xâm Nhập IDS

Ngày nay, với sự phát triển của khoa học kỹ thuật và tốc độ phát triển nhanh chóng của Công Nghệ Thông Tin (CNTT), Internet đã trở thành một không gian mạng xã hội mới. Mọi người có thể thực hiện các hoạt động xã hội như giao tiếp, lao động, học tập, sản xuất, kinh doanh, và giải trí thông qua các hệ thống máy tính. Hệ thống thông tin ngày càng phổ biến trong hầu hết các hoạt động kinh tế - xã hội. Cùng với sự phát triển đó, ngày càng xuất hiện nhiều cá nhân, nhóm, thậm chí cả tổ chức hoạt động với mục đích xấu, phá hoại các hệ thống mạng máy tính và hệ thống thông tin. Điều này gây ra những tác hại vô cùng to lớn đến tính an toàn và bảo mật thông tin. An toàn và bảo mật thông tin là một trong những vấn đề quan trọng hàng đầu khi thực hiện kết nối Internet. Tuy nhiên, vẫn thường xuyên có các mạng bị tấn công, một số tổ chức bị đánh cắp thông tin, gián đoạn hoạt động của tổ chức, doanh nghiệp ngày càng tăng. Đặc biệt trong những năm gần đây, có rất nhiều vụ tấn công DoS/DDoS lớn, nhằm vào các hệ thống tổ chức chính phủ, sân bay, các tòa soạn báo online, quân đội, các công ty thương mại điện tử trên toàn thế giới, gây nên những hậu quả vô cùng nghiêm trọng. Các cuộc tấn công này nhằm vào tất cả các máy tính có mặt trên mạng Internet, đa phần vì mục đích xấu và các cuộc tấn công không được báo trước, số lượng các vụ tấn công tăng lên nhanh chóng và các phương pháp tấn công cũng liên tục được hoàn thiện.

Việc triển khai Hệ thống phát hiện xâm nhập (IDS) trở nên cực kỳ quan trọng. IDS đóng vai trò như một lớp phòng thủ chủ động, giúp phát hiện và cảnh báo các hoạt động đáng ngờ trước khi chúng gây ra thiệt hại nghiêm trọng. IDS hoạt động bằng cách giám sát lưu lượng mạng, nhật ký hệ thống, và các hoạt động khác để tìm kiếm các dấu hiệu của các cuộc tấn công. Khi phát hiện một hoạt động đáng ngờ, IDS sẽ đưa ra cảnh báo cho quản trị viên hoặc thực hiện các hành động tự động để ngăn chặn cuộc tấn công. Theo nghiên cứu của Nghiêm (2018), IDS giúp giảm thiểu tác hại do các cuộc tấn công mạng gây ra đối với các hệ thống thông tin. Sự hiệu quả của IDS phụ thuộc vào khả năng phân tích chính xác và nhanh chóng lưu lượng mạng, nhật ký hệ thống, và các hoạt động khác, cũng như khả năng cấu hình phù hợp với môi trường mạng cụ thể.

1.1. Các Loại Hệ Thống Phát Hiện Xâm Nhập IDS Phổ Biến

Có nhiều loại hệ thống phát hiện xâm nhập (IDS) khác nhau, mỗi loại có ưu và nhược điểm riêng. Các loại IDS phổ biến bao gồm IDS dựa trên chữ ký, IDS dựa trên bất thường, và IDS dựa trên đặc tả. IDS dựa trên chữ ký hoạt động bằng cách so sánh lưu lượng mạng với một cơ sở dữ liệu các chữ ký đã biết của các cuộc tấn công. IDS dựa trên bất thường hoạt động bằng cách xây dựng một mô hình về hành vi bình thường của mạng và sau đó phát hiện các hoạt động khác biệt so với mô hình đó. IDS dựa trên đặc tả hoạt động bằng cách định nghĩa các quy tắc về hành vi được phép của mạng và sau đó phát hiện các hoạt động vi phạm các quy tắc đó. Mỗi loại IDS có độ chính xác và khả năng phát hiện các loại tấn công khác nhau. Việc lựa chọn loại IDS phù hợp phụ thuộc vào yêu cầu bảo mật cụ thể của tổ chức.

1.2. Kiến Trúc và Triển Khai IDS Hướng Dẫn Chi Tiết

Kiến trúc của một hệ thống phát hiện xâm nhập (IDS) thường bao gồm các thành phần chính như cảm biến, bộ phân tích và giao diện quản lý. Cảm biến thu thập dữ liệu từ mạng, bộ phân tích xử lý dữ liệu và phát hiện các hoạt động đáng ngờ, và giao diện quản lý cho phép người dùng cấu hình, quản lý và xem báo cáo của IDS. Triển khai IDS đòi hỏi việc xác định vị trí đặt cảm biến phù hợp trong mạng để thu thập đầy đủ lưu lượng mạng cần thiết. Cấu hình IDS cần được điều chỉnh để phù hợp với môi trường mạng cụ thể và giảm thiểu tỷ lệ báo động sai (False Positive Rate). Quản lý và bảo trì IDS bao gồm việc cập nhật quy tắc phát hiện, theo dõi hiệu suất và xử lý các báo động được tạo ra.

II. Phân Tích Chi Tiết Các Phương Pháp Phát Hiện Xâm Nhập

Các phương pháp phát hiện xâm nhập rất đa dạng, từ các phương pháp dựa trên chữ ký đơn giản đến các phương pháp dựa trên học máy phức tạp. Phương pháp dựa trên chữ ký là một trong những phương pháp lâu đời nhất và phổ biến nhất. Nó hoạt động bằng cách so sánh lưu lượng mạng với một cơ sở dữ liệu các chữ ký đã biết của các cuộc tấn công. Phương pháp này hiệu quả trong việc phát hiện các cuộc tấn công đã biết, nhưng nó không thể phát hiện các cuộc tấn công mới hoặc biến thể của các cuộc tấn công đã biết. Phương pháp dựa trên bất thường xây dựng một mô hình về hành vi bình thường của mạng và sau đó phát hiện các hoạt động khác biệt so với mô hình đó. Phương pháp này có thể phát hiện các cuộc tấn công mới và biến thể của các cuộc tấn công đã biết, nhưng nó có thể tạo ra nhiều báo động sai. Phương pháp dựa trên đặc tả định nghĩa các quy tắc về hành vi được phép của mạng và sau đó phát hiện các hoạt động vi phạm các quy tắc đó. Phương pháp này có thể cung cấp độ chính xác cao, nhưng nó đòi hỏi nhiều công sức để xây dựng và duy trì các quy tắc. Các phương pháp hiện đại hơn sử dụng kỹ thuật học máy để tự động học các mẫu tấn công từ dữ liệu. Các phương pháp này có thể cải thiện độ chính xác và khả năng phát hiện các cuộc tấn công mới, nhưng chúng đòi hỏi nhiều tài nguyên tính toán.

2.1. Ưu Nhược Điểm của IDS Dựa Trên Chữ Ký Đánh Giá

IDS dựa trên chữ ký có ưu điểm là đơn giản, dễ triển khai và hiệu quả trong việc phát hiện các cuộc tấn công đã biết. Tuy nhiên, nó có nhược điểm là không thể phát hiện các cuộc tấn công mới hoặc biến thể của các cuộc tấn công đã biết. Cơ sở dữ liệu chữ ký cần được cập nhật thường xuyên để đảm bảo khả năng phát hiện các cuộc tấn công mới nhất. Việc tạo và duy trì cơ sở dữ liệu chữ ký đòi hỏi nhiều công sức và kiến thức chuyên môn. IDS dựa trên chữ ký thường có tỷ lệ bỏ sót (False Negative Rate) cao đối với các cuộc tấn công mới.

2.2. IDS Dựa Trên Bất Thường Phân Tích Độ Chính Xác và Hiệu Quả

IDS dựa trên bất thường có ưu điểm là có thể phát hiện các cuộc tấn công mới và biến thể của các cuộc tấn công đã biết. Tuy nhiên, nó có nhược điểm là có thể tạo ra nhiều báo động sai. Độ chính xác của IDS dựa trên bất thường phụ thuộc vào chất lượng của mô hình hành vi bình thường của mạng. Mô hình này cần được xây dựng dựa trên một lượng lớn dữ liệu và cần được cập nhật thường xuyên để phản ánh những thay đổi trong mạng. IDS dựa trên bất thường cần được điều chỉnh cẩn thận để giảm thiểu tỷ lệ báo động sai trong khi vẫn duy trì khả năng phát hiện các cuộc tấn công thực tế.

III. Đánh Giá Hiệu Năng Hệ Thống Phát Hiện Xâm Nhập IDS

Đánh giá hiệu năng của IDS là rất quan trọng để đảm bảo rằng nó hoạt động hiệu quả và đáp ứng được yêu cầu bảo mật của tổ chức. Các chỉ số hiệu năng quan trọng bao gồm độ chính xác, tỷ lệ báo động sai, tỷ lệ bỏ sót, và thời gian phát hiện. Độ chính xác đo lường khả năng của IDS trong việc phân loại chính xác các hoạt động là tấn công hay không tấn công. Tỷ lệ báo động sai đo lường số lượng các hoạt động không tấn công bị IDS phân loại nhầm là tấn công. Tỷ lệ bỏ sót đo lường số lượng các cuộc tấn công thực tế không bị IDS phát hiện. Thời gian phát hiện đo lường thời gian cần thiết để IDS phát hiện một cuộc tấn công. Các công cụ đánh giá IDS có thể được sử dụng để mô phỏng các cuộc tấn công và đo lường hiệu năng của IDS trong các tình huống khác nhau. Kết quả đánh giá có thể được sử dụng để tinh chỉnh cấu hình IDS và cải thiện hiệu năng tổng thể.

3.1. Cách Đo Lường Độ Chính Xác của Hệ Thống IDS Phương Pháp

Đo lường độ chính xác của IDS là một quá trình quan trọng để đánh giá khả năng phân loại chính xác các hoạt động mạng. Các phương pháp đo lường độ chính xác phổ biến bao gồm sử dụng ma trận nhầm lẫn (confusion matrix) để tính toán các chỉ số như độ chính xác (accuracy), độ thu hồi (recall), độ chính xác (precision) và điểm F1 (F1-score). Độ chính xác là tỷ lệ các trường hợp được phân loại đúng trên tổng số các trường hợp. Độ thu hồi là tỷ lệ các cuộc tấn công thực tế được IDS phát hiện. Độ chính xác là tỷ lệ các cảnh báo được đưa ra bởi IDS là các cuộc tấn công thực tế. Điểm F1 là trung bình điều hòa của độ thu hồi và độ chính xác. Các phương pháp này cho phép đánh giá toàn diện khả năng của IDS trong việc phát hiện tấn công và giảm thiểu các báo động sai.

3.2. Ảnh Hưởng của Tỷ Lệ Báo Động Sai False Positive Lên IDS

Tỷ lệ báo động sai (False Positive Rate) cao có thể gây ra nhiều vấn đề cho tổ chức. Nó có thể làm quá tải các nhân viên an ninh mạng với một lượng lớn các cảnh báo không chính xác, khiến họ bỏ lỡ các cuộc tấn công thực tế. Nó có thể làm giảm niềm tin vào IDS và dẫn đến việc bỏ qua các cảnh báo quan trọng. Nó có thể làm tốn kém chi phí cho việc điều tra và xử lý các cảnh báo không chính xác. Để giảm thiểu ảnh hưởng của tỷ lệ báo động sai, cần phải tinh chỉnh cấu hình IDS, cập nhật quy tắc phát hiện và sử dụng các kỹ thuật lọc báo động. Nghiên cứu của Nghiêm (2018) cho thấy rằng việc giảm tỷ lệ báo động sai có thể cải thiện đáng kể hiệu quả của IDS.

IV. Ứng Dụng Snort IDS Thử Nghiệm Đánh Giá Thực Tế

Snort là một hệ thống phát hiện xâm nhập (IDS) nguồn mở phổ biến, được sử dụng rộng rãi trong các tổ chức và cá nhân để bảo vệ mạng của họ. Nó có khả năng phân tích lưu lượng mạng theo thời gian thực, phát hiện nhiều loại tấn công khác nhau, và tạo ra các cảnh báo chi tiết. Snort có thể được cấu hình để hoạt động ở nhiều chế độ khác nhau, bao gồm chế độ phát hiện, chế độ ghi nhật ký và chế độ ngăn chặn. Nó sử dụng một ngôn ngữ quy tắc mạnh mẽ để định nghĩa các mẫu tấn công cần phát hiện. Cộng đồng Snort cung cấp một lượng lớn các quy tắc được tạo sẵn, có thể được sử dụng để bảo vệ mạng khỏi các cuộc tấn công phổ biến. Người dùng cũng có thể tạo các quy tắc tùy chỉnh để phát hiện các cuộc tấn công cụ thể phù hợp với môi trường mạng của họ. Việc thử nghiệm và đánh giá Snort IDS trong môi trường thực tế là rất quan trọng để đảm bảo rằng nó hoạt động hiệu quả và đáp ứng được yêu cầu bảo mật.

4.1. Cấu Hình và Quản Lý Quy Tắc Trong Hệ Thống Snort IDS

Cấu hình và quản lý quy tắc trong Snort IDS là một phần quan trọng của việc bảo trì hệ thống. Quy tắc xác định các mẫu lưu lượng mạng mà Snort sẽ tìm kiếm và cảnh báo. Cấu trúc của một quy tắc Snort bao gồm một tiêu đề quy tắc và các tùy chọn quy tắc. Tiêu đề quy tắc xác định các thông tin cơ bản về quy tắc, chẳng hạn như hành động cần thực hiện, giao thức, địa chỉ IP nguồn và đích, và cổng. Tùy chọn quy tắc xác định các điều kiện bổ sung mà quy tắc sẽ được kích hoạt. Quản lý quy tắc bao gồm việc cập nhật quy tắc thường xuyên để bảo vệ chống lại các cuộc tấn công mới nhất, vô hiệu hóa các quy tắc không cần thiết để giảm tỷ lệ báo động sai, và tạo các quy tắc tùy chỉnh để phát hiện các cuộc tấn công cụ thể phù hợp với môi trường mạng.

4.2. Phân Tích Báo Cáo và Nhật Ký từ Snort IDS Hướng Dẫn

Phân tích báo cáo và nhật ký từ Snort IDS là một bước quan trọng để hiểu rõ các hoạt động trên mạng và xác định các cuộc tấn công tiềm ẩn. Snort tạo ra các báo cáo và nhật ký chi tiết về các sự kiện mà nó phát hiện. Báo cáo có thể được sử dụng để tổng quan về các hoạt động trên mạng, chẳng hạn như số lượng các cuộc tấn công đã được phát hiện, các loại tấn công phổ biến nhất, và các địa chỉ IP nguồn và đích liên quan đến các cuộc tấn công. Nhật ký cung cấp thông tin chi tiết hơn về từng sự kiện, chẳng hạn như thời gian xảy ra, địa chỉ IP nguồn và đích, cổng, giao thức và dữ liệu gói tin. Phân tích báo cáo và nhật ký có thể giúp xác định các xu hướng tấn công, đánh giá hiệu quả của các biện pháp bảo mật và điều tra các sự cố bảo mật.

V. So Sánh IDS Nguồn Mở và Thương Mại Nên Chọn Giải Pháp Nào

Việc lựa chọn giữa IDS nguồn mở và IDS thương mại là một quyết định quan trọng, phụ thuộc vào yêu cầu và ngân sách của tổ chức. IDS nguồn mở có ưu điểm là miễn phí, linh hoạt và có thể tùy chỉnh. Nó cho phép người dùng kiểm soát hoàn toàn mã nguồn và điều chỉnh IDS để phù hợp với môi trường mạng cụ thể của họ. Tuy nhiên, IDS nguồn mở đòi hỏi người dùng có kiến thức kỹ thuật để triển khai, cấu hình và bảo trì. IDS thương mại có ưu điểm là dễ sử dụng, được hỗ trợ bởi nhà cung cấp và thường đi kèm với các tính năng nâng cao. Tuy nhiên, IDS thương mại có thể tốn kém chi phí và có thể không linh hoạt bằng IDS nguồn mở. Việc so sánh các tính năng, hiệu năng, chi phí và hỗ trợ của cả hai loại IDS là rất quan trọng để đưa ra quyết định phù hợp.

5.1. Lợi Ích Hạn Chế của Giải Pháp IDS Nguồn Mở

Các giải pháp IDS nguồn mở mang lại nhiều lợi ích, đặc biệt là tính linh hoạt và khả năng tùy chỉnh cao. Do mã nguồn mở, người dùng có thể điều chỉnh IDS để phù hợp với các nhu cầu cụ thể của mạng lưới của họ. Điều này đặc biệt hữu ích trong các môi trường phức tạp hoặc khi cần tích hợp với các hệ thống khác. Thêm vào đó, các giải pháp này thường không tốn chi phí bản quyền, giúp giảm chi phí đáng kể. Tuy nhiên, các giải pháp nguồn mở cũng đi kèm với những hạn chế. Để triển khai, cấu hình và bảo trì hiệu quả, đòi hỏi người dùng có kiến thức kỹ thuật sâu rộng. Bên cạnh đó, việc thiếu hỗ trợ chính thức từ nhà cung cấp có thể gây khó khăn trong việc giải quyết các vấn đề kỹ thuật.

5.2. Ưu Điểm Nhược Điểm của IDS Thương Mại Phân Tích

IDS thương mại mang lại nhiều ưu điểm, bao gồm sự dễ sử dụng và hỗ trợ kỹ thuật chuyên nghiệp từ nhà cung cấp. Điều này giúp giảm gánh nặng cho đội ngũ IT của tổ chức và đảm bảo rằng các vấn đề kỹ thuật sẽ được giải quyết nhanh chóng. Các sản phẩm thương mại thường được tích hợp sẵn các tính năng nâng cao như threat intelligence, giúp tăng cường khả năng phát hiện và phản ứng với các mối đe dọa mới nhất. Tuy nhiên, các giải pháp thương mại có thể tốn kém hơn so với các giải pháp nguồn mở, đặc biệt là khi cần mở rộng quy mô hoặc thêm các tính năng bổ sung. Thêm vào đó, việc phụ thuộc vào nhà cung cấp có thể hạn chế khả năng tùy chỉnh và tích hợp với các hệ thống khác.

VI. Kết Luận và Hướng Phát Triển Nghiên Cứu IDS Trong Tương Lai

Việc phân tích và đánh giá hệ thống phát hiện xâm nhập (IDS) là một quá trình liên tục và quan trọng để đảm bảo an ninh mạng. IDS đóng vai trò quan trọng trong việc phát hiện và ngăn chặn các cuộc tấn công, nhưng nó không phải là một giải pháp hoàn hảo. Cần phải liên tục theo dõi hiệu năng của IDS, cập nhật quy tắc phát hiện, và tinh chỉnh cấu hình để đáp ứng với những thay đổi trong môi trường mạng và các mối đe dọa mới. Các hướng phát triển IDS trong tương lai bao gồm sử dụng học máy để cải thiện độ chính xác và khả năng phát hiện các cuộc tấn công mới, tích hợp IDS với các hệ thống bảo mật khác để tạo ra một hệ thống phòng thủ toàn diện hơn, và phát triển IDS cho các môi trường mới như điện toán đám mây và Internet of Things (IoT). Nghiên cứu sâu hơn về các kỹ thuật IDS evasion cũng rất quan trọng để cải thiện khả năng của IDS trong việc phát hiện các cuộc tấn công tinh vi.

6.1. Tối Ưu Hóa và Tinh Chỉnh IDS Bí Quyết Để Tăng Hiệu Suất

Tối ưu hóa và tinh chỉnh IDS là một quá trình liên tục để đảm bảo rằng nó hoạt động hiệu quả và đáp ứng được yêu cầu bảo mật của tổ chức. Các bí quyết để tăng hiệu suất IDS bao gồm: Cập nhật quy tắc phát hiện thường xuyên để bảo vệ chống lại các cuộc tấn công mới nhất. Vô hiệu hóa các quy tắc không cần thiết để giảm tỷ lệ báo động sai. Tạo các quy tắc tùy chỉnh để phát hiện các cuộc tấn công cụ thể phù hợp với môi trường mạng. Sử dụng các kỹ thuật lọc báo động để giảm số lượng các cảnh báo cần điều tra. Theo dõi hiệu suất IDS thường xuyên và thực hiện các điều chỉnh khi cần thiết.

6.2. Xu Hướng Mới trong Phát Triển Hệ Thống Phát Hiện Xâm Nhập

Các xu hướng mới trong phát triển hệ thống phát hiện xâm nhập bao gồm sử dụng học máy để cải thiện độ chính xác và khả năng phát hiện các cuộc tấn công mới, tích hợp IDS với các hệ thống bảo mật khác để tạo ra một hệ thống phòng thủ toàn diện hơn, và phát triển IDS cho các môi trường mới như điện toán đám mây và Internet of Things (IoT). Các kỹ thuật như phân tích hành vi và threat intelligence cũng đang được sử dụng để cải thiện khả năng của IDS trong việc phát hiện các cuộc tấn công tinh vi. Nghiên cứu sâu hơn về các kỹ thuật IDS evasion cũng rất quan trọng để cải thiện khả năng của IDS trong việc phát hiện các cuộc tấn công tinh vi.

Trích đoạn nội dung tài liệu

BO GIAO DUC VA DAO TAO TRUONG DAI HOC BACH KHOA HA NOI TRIEU XUAN NGHIEM PHAN TiCH VA DANH GIA HE THONG PHAT HIEN XAM NHAP IDS LUAN VAN THAC SY KY THUAT CHUYEN NGANH: CONG NGHE THONG TIN Ha N6i—2018 BO GIAO DUC VA DAO TAO TRUONG DAI HOC BACH KHOA HA NOI TRIEU XUAN NGHIEM PHAN TIiCH VA DANH GIA HE THONG PHAT HIEN XAM NHAP IDS LUAN VAN THAC SY KY THUAT CHUYEN NGANH: CONG NGHE THONG TIN NGƯỜI HƯỚNG DẪN KHOA HOC: TS. TRAN QUANG DUC Ha N6i—2018 MỤC LỤC MO PAU. Lý do chọn đẻ tải. Mục đích, phương pháp, đối tượng, dự kiên kết quả nghiên cứu luận văn.

TONG QUAN VE TAN CONG VA MOT S80 K¥ THUAT TAN CÔNG MẠNG. Tổng quan về tần công mmạng. Một số kỹ thuật tân công hệ thống mạng máy tỉnh 1. Tân công bị dộng (Passive attack}.2, Tan công rãi rac (Distributed attack), 1.3, Tấn công nội bộ (Insider attack} 1.8, Tân công bằng phần mềm độc hại.

Tân công từ chối dich vu (Denial of service attack).1, Phan foai cac dang tan céng Do8/DDoS. Một số kiểu tấn công và cáo công cụ tắn céng DoS/DDoS Chương 2. GIẢI PHÁP PHÁT HIỆN VÀ PHONG CHONG TAN CONG Dö8/D0S.1, Giải pháp dành cho doanh nghiệp cưng cấp ITosting 3. 2, Giải pháp sử dụng IPS để lọc gói tin.

Giải pháp sử dụng GeoIP DNS. 2 4 Giải pháp sử đụng HATroxy „ 2 3. Phan mém phát hiện và ngăn chăn xâm nhap Snort-Inline. Cac cơ chế hoại động của Snent -Tuline.

Kidn ire cin Snort. Chu brie Indl, (Rule) của Snorl Chuong 3. [RIEN KHAL THU NGHIBM HE THONG PHAYT HIEN XAM NHAP DUA TREN SNORT 3. Mô phông, thử nghiệm hệ thông phát hiện xâm nhập dựa trên Snort.

Kịch bản và sơ đô mô phỏng thứ nghiêm 3. Thứ nghiệm hệ thông phải hiện xâm nhận. Nhận xét, dành giá vẻ hệ thông phát hiện xâm nhập, sử dụng Snort IDS.60 KRT LUAN VA HUONG PHAT TRIỄN TÀI LIEU THAM KHÁO. Lý do chọn đề tài - - Ngày nay, với sự phát triển của khoa học kỹ thuật nói chung và tắc độ phát triển nhanh của CMTT, Internet trở thành hệ thống không gian mạng xã hội mới, nơi mã tất cả mợi người có thể thực hiện các hoạt động ý thức xã hội của mình như: giao tiếp, lao động, sảng tạo, học tập, sản xuất, kinh doanh, vui chơi giải trí.

được xây dung thông qua các hệ thống máy tỉnh, hệ thống thông Gin đã trở niên rất phố biển trong hầu hết các hoạt động kinh tế - xã hội. Củng với sự phát triển đó, ngày cảng xuất hiện nhiều hơn rững cá nhân, nhóm hoặc thậm chí là cả nhũng tổ chức hoạt động với mục dích xấu nhằm phá hơại các hệ thông mạng máy tỉnh cũng như hệ thông thông tín, gây tác hại vô củng to lớn đến tính an toàn và bảo mật thông tin. trên các hệ thông này. An loàn và bão mại thông lim là một trong những vận để quan trọng hàng đâu.

khi thục hiện kết nổi Internet. Tuy nhiên, vẫn thường xuyên có các mạng bị tân công, một số tố chức bị đánh cắp thông tin, gián đoạn hoạt động của tố chức, doanh Trghiệp ngày càng tăng. Đặc biệt trong những năm gắn dây có rất nhiều vụ tắn công, Do3/DDo8 lớn, nhằm vào các hệ thông tổ chức chính phú, sân bay, các tòa soạn. báo online, quân đội, các công ty thương mại điện tử trên toàn thế giới.

gây rên những hậu quả về cùng nghiềm trọng. Những vụ tấn công nay nhằm vảo tất cả các aay tinh có mit trén mang Internet, đa phẩn vỉ mục đích xấu và các cuộc tấn công, không được báo Irước, số lượng các vụ lấn công lăng lên nhanh chống và các phương pháp tân công cũng liên tục dược hoàn thiện. Từ những vấn đề nều trên, với mong muốn tìm hiểu, phân tích, nghiên cứu, thử nghiệm, so sảnh về các cuộc tấn công, xâm nhập mạng cững như dưa ra phương, an phỏng chống, phát hiện xâm nhập nhằm giắm tác hại gây ra đối với các hệ thông, aang là hoàn toàn cấp thiết vi vậy tôi chọn đề tài luận văn “Phân tích và đánh giá hệ thẳng phát hiện xâm nhận TS”. LOT CAM DOAN 'Tôi xin cam đoan: Luận văn thạc sĩ Công nghệ thông tin với dé tai “Phân tích và đánh giả hệ thống phái hiện xâm nba TDS” là công trình nghiên cứu thal sur của cá nhân tỏi dưới sự hướng dẫn của 75.Trần Quang Đức.

Các kết quả nêu trong, luận văn lä ưng thục và chưa từng được công bé trong bat ky công trình nao khảo. Tôi xin clúu trách nhiệm về lời cam doan này / Hà Nội ngày tháng —— năm 2018 ‘Tac gia Triệu Xuân Nghiêm. Lý do chọn đề tài - - Ngày nay, với sự phát triển của khoa học kỹ thuật nói chung và tắc độ phát triển nhanh của CMTT, Internet trở thành hệ thống không gian mạng xã hội mới, nơi mã tất cả mợi người có thể thực hiện các hoạt động ý thức xã hội của mình như: giao tiếp, lao động, sảng tạo, học tập, sản xuất, kinh doanh, vui chơi giải trí. được xây dung thông qua các hệ thống máy tỉnh, hệ thống thông Gin đã trở niên rất phố biển trong hầu hết các hoạt động kinh tế - xã hội.

Củng với sự phát triển đó, ngày cảng xuất hiện nhiều hơn rững cá nhân, nhóm hoặc thậm chí là cả nhũng tổ chức hoạt động với mục dích xấu nhằm phá hơại các hệ thông mạng máy tỉnh cũng như hệ thông thông tín, gây tác hại vô củng to lớn đến tính an toàn và bảo mật thông tin. trên các hệ thông này. An loàn và bão mại thông lim là một trong những vận để quan trọng hàng đâu. khi thục hiện kết nổi Internet.

Tuy nhiên, vẫn thường xuyên có các mạng bị tân công, một số tố chức bị đánh cắp thông tin, gián đoạn hoạt động của tố chức, doanh Trghiệp ngày càng tăng. Đặc biệt trong những năm gắn dây có rất nhiều vụ tắn công, Do3/DDo8 lớn, nhằm vào các hệ thông tổ chức chính phú, sân bay, các tòa soạn. báo online, quân đội, các công ty thương mại điện tử trên toàn thế giới. gây rên những hậu quả về cùng nghiềm trọng.

Những vụ tấn công nay nhằm vảo tất cả các aay tinh có mit trén mang Internet, đa phẩn vỉ mục đích xấu và các cuộc tấn công, không được báo Irước, số lượng các vụ lấn công lăng lên nhanh chống và các phương pháp tân công cũng liên tục dược hoàn thiện. Từ những vấn đề nều trên, với mong muốn tìm hiểu, phân tích, nghiên cứu, thử nghiệm, so sảnh về các cuộc tấn công, xâm nhập mạng cững như dưa ra phương, an phỏng chống, phát hiện xâm nhập nhằm giắm tác hại gây ra đối với các hệ thông, aang là hoàn toàn cấp thiết vi vậy tôi chọn đề tài luận văn “Phân tích và đánh giá hệ thẳng phát hiện xâm nhận TS”. TỜI CẮM ƠN Sau nhiều tháng tìm hiểu, nghiên cứu, với sự chỉ dạy nhiệt tỉnh của thấy giáo thưởng dẫn tôi đã hoàn thành luận văn tốt nghiệp, Trước hết em xin chân thánh cam on thay giáo 7S. Trần Quang Đức - Viện Công nghệ thông tin và Truyền thông — Dại học Bách khoa Tà Nội, người đã trục tiếp hướng dẫn, nhận xét, nhắc nhở, giúp đỡ em trong suốt quả trình thực hiện luận van.

Km xin chan thành cảm ơn các thấy, cô trong Viện Công nghệ thông tín vả Truyền thông, Viện đảo tạo sau đại học và oác thây cô trong trường Dại học Bách khoa Hà Nội, nhímg người dạy dỗ, chỉ bảo em trong những năm học lập và nghiên cứu tại trường. Cuồi củng tôi xin bảy tổ lòng biết ơn đến gia đình và những người bạn thân, đồng nghiệp đã giúp đố, động viên lôi rất nhiều rong quá trình học tập và lâm huận văn. Do năng lực kiến thức chuyên mén côn có phân hạn chế nên luận văn em thực tiện chắc chấn không tránh khối những thiểu sót nhất định, rất mơng nhận dược sự thông cảm và ý kiến đóng góp của thây, cô giáo Ein xin chân thành cam on! Hình 26: Snort phát hiện tấn công TCP SYN Flood Linh 27: Tan céng DoS LDP Iflood 37 Hình 38: Wireshark bắt gói lin tấn công DoS UDP Flood 57 Hinh 29: Snort phat hign tn céng DoS LDP Flood 58 Tlinh 30: Tan cng DoS ICMP Flood s8 Hình 31: Wireshark bal. goi tin tân công Do§ ICMP Flood 59 Linh 32: Snort phat hign tin céng DoS ICMP Flood 59 DANH MỤC CÁC BẰNG Bảng! [ Cấu núc Rul cũa Snort 40 láng 2 | Cấu trúc Rule Lieader.

Lý do chọn đề tài - - Ngày nay, với sự phát triển của khoa học kỹ thuật nói chung và tắc độ phát triển nhanh của CMTT, Internet trở thành hệ thống không gian mạng xã hội mới, nơi mã tất cả mợi người có thể thực hiện các hoạt động ý thức xã hội của mình như: giao tiếp, lao động, sảng tạo, học tập, sản xuất, kinh doanh, vui chơi giải trí. được xây dung thông qua các hệ thống máy tỉnh, hệ thống thông Gin đã trở niên rất phố biển trong hầu hết các hoạt động kinh tế - xã hội. Củng với sự phát triển đó, ngày cảng xuất hiện nhiều hơn rững cá nhân, nhóm hoặc thậm chí là cả nhũng tổ chức hoạt động với mục dích xấu nhằm phá hơại các hệ thông mạng máy tỉnh cũng như hệ thông thông tín, gây tác hại vô củng to lớn đến tính an toàn và bảo mật thông tin. trên các hệ thông này.

An loàn và bão mại thông lim là một trong những vận để quan trọng hàng đâu. khi thục hiện kết nổi Internet. Tuy nhiên, vẫn thường xuyên có các mạng bị tân công, một số tố chức bị đánh cắp thông tin, gián đoạn hoạt động của tố chức, doanh Trghiệp ngày càng tăng. Đặc biệt trong những năm gắn dây có rất nhiều vụ tắn công, Do3/DDo8 lớn, nhằm vào các hệ thông tổ chức chính phú, sân bay, các tòa soạn.

báo online, quân đội, các công ty thương mại điện tử trên toàn thế giới. gây rên những hậu quả về cùng nghiềm trọng. Những vụ tấn công nay nhằm vảo tất cả các aay tinh có mit trén mang Internet, đa phẩn vỉ mục đích xấu và các cuộc tấn công, không được báo Irước, số lượng các vụ lấn công lăng lên nhanh chống và các phương pháp tân công cũng liên tục dược hoàn thiện. Từ những vấn đề nều trên, với mong muốn tìm hiểu, phân tích, nghiên cứu, thử nghiệm, so sảnh về các cuộc tấn công, xâm nhập mạng cững như dưa ra phương, an phỏng chống, phát hiện xâm nhập nhằm giắm tác hại gây ra đối với các hệ thông, aang là hoàn toàn cấp thiết vi vậy tôi chọn đề tài luận văn “Phân tích và đánh giá hệ thẳng phát hiện xâm nhận TS”.