Luận văn: Kỹ thuật phân cụm dữ liệu trong phát hiện xâm nhập trái phép

Nghiên cứu luận văn thạc sĩ về kỹ thuật phân cụm dữ liệu áp dụng trong phát hiện xâm nhập trái phép. Phân tích các thuật toán và phương pháp hiệu quả.

• Tác giả: Đỗ Xuân Cường
• Người hướng dẫn: TS. Lương Thế Dũng
• Trường học: Đại học Công nghệ Thông tin và Truyền thông - Đại học Thái Nguyên
• Chuyên ngành: Khoa học máy tính
• Đề tài: Kỹ thuật phân cụm dữ liệu trong phát hiện xâm nhập trái phép
• Loại tài liệu: Luận văn thạc sĩ khoa học
• Năm xuất bản: 2015
• Địa điểm: Thái Nguyên

Tóm tắt

I. Tổng quan về kỹ thuật phân cụm dữ liệu phát hiện xâm nhập

An ninh mạng là vấn đề cấp bách trong thời đại số. Số lượng tấn công mạng tăng nhanh mỗi năm. Các cuộc tấn công ngày càng tinh vi và đa dạng. Hệ thống phát hiện xâm nhập trái phép IDS đóng vai trò quan trọng trong việc bảo vệ mạng máy tính. IDS giám sát lưu lượng mạng liên tục. Hệ thống phân tích các gói tin để tìm dấu hiệu bất thường. Kỹ thuật phân cụm dữ liệu là phương pháp hiệu quả trong lĩnh vực này. Phân cụm thuộc nhóm học máy không giám sát. Thuật toán nhóm các đối tượng dữ liệu tương tự nhau vào cùng cụm. Không cần dữ liệu gán nhãn trước. Điều này rất hữu ích vì dữ liệu mạng thường không có nhãn. Kỹ thuật giúp phát hiện các cuộc tấn công mới mà chưa có chữ ký. Nhiều thuật toán phân cụm được áp dụng. K-means, DBSCAN, CURE là các phương pháp phổ biến. Mỗi thuật toán có ưu nhược điểm riêng. Việc lựa chọn thuật toán phù hợp phụ thuộc vào đặc điểm dữ liệu. Nghiên cứu về phân cụm dữ liệu phát hiện xâm nhập trái phép đang thu hút nhiều sự quan tâm. Công nghệ này giúp nâng cao hiệu quả bảo mật hệ thống thông tin.

1.1. Hệ thống phát hiện xâm nhập trái phép IDS

Hệ thống phát hiện xâm nhập trái phép IDS là công cụ giám sát an ninh mạng. IDS phân tích lưu lượng mạng để tìm hành vi đáng ngờ. Hệ thống so sánh dữ liệu mạng với các mẫu tấn công đã biết. IDS chia thành hai loại chính. Loại đầu tiên dựa trên chữ ký signature-based. Loại này so sánh lưu lượng với cơ sở dữ liệu mẫu tấn công. Loại thứ hai dựa trên bất thường anomaly-based. Loại này phát hiện hành vi lệch khỏi trạng thái bình thường. IDS dựa trên bất thường có khả năng phát hiện tấn công mới. Tuy nhiên tỷ lệ báo động giả thường cao hơn. Kỹ thuật phân cụm dữ liệu thường được sử dụng trong IDS dựa trên bất thường. Phương pháp này xây dựng mô hình hành vi bình thường từ dữ liệu mạng. Bất kỳ hoạt động nào không thuộc mô hình đều bị đánh dấu là可疑.

1.2. Vai trò của khai phá dữ liệu trong phát hiện xâm nhập

Khai phá dữ liệu Data Mining là quá trình trích xuất tri thức từ dữ liệu lớn. Kỹ thuật này có nhiều ứng dụng trong phát hiện xâm nhập trái phép. Khai phá dữ liệu giúp xử lý khối lượng dữ liệu mạng khổng lồ. Các kỹ thuật chính bao gồm phân cụm phân loại và phát hiện bất thường. Phân cụm nhóm dữ liệu thành các cụm có đặc điểm tương đồng. Phân loại gán nhãn cho dữ liệu dựa trên mẫu đã học. Phát hiện bất thường tìm kiếm điểm dữ liệu khác biệt. Trong IDS khai phá dữ liệu giúp giảm thời gian phân tích. Phương pháp này cải thiện độ chính xác khi phát hiện tấn công. Các thuật toán học máy được áp dụng rộng rãi. Random Forest SVM và mạng nơ-ron là các kỹ thuật phổ biến. Sự kết hợp giữa khai phá dữ liệu và IDS tạo ra hệ thống bảo mật mạnh mẽ.

II. Phân tích các thuật toán phân cụm dữ liệu phổ biến

Các thuật toán phân cụm dữ liệu được phân loại thành nhiều nhóm khác nhau. Phân cụm phân hoạch là nhóm đầu tiên. Nhóm này chia dữ liệu thành k cụm không chồng chéo. Thuật toán K-means thuộc nhóm phân hoạch. K-means tìm k tâm cụm để tối thiểu hóa tổng bình phương khoảng cách. Thuật toán đơn giản và hiệu quả với dữ liệu lớn. Tuy nhiên K-means nhạy cảm với giá trị ban đầu. CLARA và CLARANS là các cải tiến của K-means. Nhóm thứ hai là phân cụm phân cấp. CURE và CHAMELEON thuộc nhóm này. CURE sử dụng nhiều điểm đại diện cho mỗi cụm. CHAMELEON dựa trên đồ thị k láng giềng gần nhất. Nhóm thứ ba là phân cụm dựa trên mật độ. DBSCAN và OPTICS là hai thuật toán tiêu biểu. DBSCAN tìm cụm dựa trên mật độ điểm dữ liệu. Thuật toán này không cần chỉ định số cụm trước. Nhóm thứ tư là phân cụm dựa trên lưới. STING và CLIQUE thuộc nhóm này. Nhóm cuối là phân cụm dựa trên mô hình. Thuật toán EM sử dụng mô hình xác suất Gaussian. Mỗi nhóm thuật toán có đặc điểm phù hợp với từng loại dữ liệu khác nhau.

2.1. Thuật toán K means và các biến thể

K-means là thuật toán phân cụm phân hoạch phổ biến nhất. Thuật toán chia dữ liệu thành k cụm. Quá trình lặp lại cho đến khi hội tụ. Bước đầu tiên chọn ngẫu nhiên k tâm cụm. Bước thứ hai gán mỗi điểm dữ liệu vào cụm gần nhất. Bước thứ ba tính lại tâm cụm dựa trên trung bình các điểm trong cụm. Thuật toán có độ phức tạp O(nkt). Trong đó n là số điểm k là số cụm t là số lần lặp. K-means có ưu điểm đơn giản và nhanh. Nhược điểm là phải xác định trước số cụm k. Thuật toán nhạy cảm với giá trị khởi tạo. CLARA cải tiến K-means bằng cách lấy mẫu ngẫu nhiên. CLARANS kết hợp ưu điểm của CLARA và tập lân cận ngẫu nhiên. Các biến thể này giúp cải thiện hiệu suất phân cụm trên dữ liệu lớn.

2.2. Thuật toán DBSCAN và phân cụm dựa trên mật độ

DBSCAN là thuật toán phân cụm dựa trên mật độ. Thuật toán hoạt động dựa trên hai tham số chính. Tham số đầu tiên là bán kính epsilon. Tham số thứ hai là số điểm tối thiểu MinPts. Điểm nhân core point có ít nhất MinPts điểm trong bán kính epsilon. Điểm biên border point nằm trong lân cận của điểm nhân. Điểm nhiễu noise point không thuộc cụm nào. DBSCAN có nhiều ưu điểm vượt trội. Thuật toán không cần chỉ định số cụm trước. DBSCAN phát hiện được cụm có hình dạng bất kỳ. Thuật toán nhận diện điểm nhiễu hiệu quả. Độ phức tạp khi sử dụng cây R-tree là O(n log n). Tuy nhiên DBSCAN khó xử lý dữ liệu có mật độ không đồng đều. OPTICS là cải tiến của DBSCAN. OPTICS tạo ra thứ tự sắp xếp các điểm theo mật độ. Từ đó xác định cấu trúc cụm ở nhiều mức mật độ khác nhau.

III. Giải pháp áp dụng phân cụm dữ liệu trong phát hiện xâm nhập

Áp dụng phân cụm dữ liệu trong phát hiện xâm nhập đòi hỏi quy trình khoa học. Bước đầu tiên là thu thập dữ liệu mạng. Dữ liệu bao gồm thông tin gói tin và kết nối mạng. Đặc trưng được trích xuất từ dữ liệu thô. Các đặc trưng quan trọng gồm thời lượng giao thức số byte gửi nhận. Bước tiếp theo là tiền xử lý dữ liệu. Dữ liệu được chuẩn hóa về cùng phạm vi giá trị. Các giá trị缺失 được xử lý phù hợp. Sau đó áp dụng thuật toán phân cụm. K-means thường được sử dụng cho dữ liệu lớn. DBSCAN phù hợp khi không biết trước số cụm. Kết quả phân cụm giúp phân biệt lưu lượng bình thường và bất thường. Cụm có mật độ thấp hoặc đặc trưng khác biệt thường là tấn công. Phương pháp này phát hiện được nhiều loại tấn công. Tấn công từ chối dịch vụ DDoS được phát hiện qua mẫu lưu lượng异常. Tấn công thăm dò port scanning thể hiện qua số kết nối lớn. Tấn công xâm nhập brute force có đặc trưng mật khẩu sai liên tục. Hiệu quả của hệ thống phụ thuộc vào chất lượng dữ liệu và thuật toán phù hợp.

3.1. Quy trình xây dựng mô hình phân cụm phát hiện xâm nhập

Xây dựng mô hình phân cụm phát hiện xâm nhập gồm nhiều bước. Bước đầu tiên thu thập dữ liệu từ mạng thực tế. Công cụ Snort hoặc Wireshark được sử dụng để bắt gói tin. Dữ liệu được lưu trữ trong cơ sở dữ liệu để xử lý. Bước hai trích xuất đặc trưng từ dữ liệu thô. Đặc trưng liên quan đến kết nối gồm thời lượng số gói tin. Đặc trưng liên quan đến nội dung gồm số byte lỗi đăng nhập. Bước ba chuẩn hóa dữ liệu bằng phương pháp Min-Max hoặc Z-score. Bước bốn áp dụng thuật toán phân cụm phù hợp. K-means sử dụng khi biết số loại tấn công. DBSCAN áp dụng khi dữ liệu có phân bố mật độ không đều. Bước năm đánh giá kết quả bằng các chỉ số. Chỉ số Silhouette và Davies-Bouldin đánh giá chất lượng cụm. Tỷ lệ phát hiện và tỷ lệ báo động giả衡量 hiệu suất hệ thống.

3.2. Ứng dụng thực tế trong giám sát an ninh mạng

Phân cụm dữ liệu được ứng dụng rộng rãi trong giám sát an ninh mạng. Hệ thống IDS hiện đại tích hợp kỹ thuật phân cụm. Giám sát lưu lượng mạng thời gian thực là ứng dụng chính. Hệ thống phân tích từng kết nối mạng theo thời gian. Lưu lượng bất thường được cảnh báo ngay lập tức. Phát hiện tấn công DDoS là ứng dụng quan trọng. Phân cụm giúp nhận diện mẫu lưu lượng tấn công phân tán. Phát hiện botnet thông qua phân tích hành vi kết nối. Các máy bị nhiễm malware có mẫu kết nối相似. Giám sát hệ thống công nghiệp SCADA sử dụng phân cụm. Phương pháp này phát hiện tấn công vào hệ thống điều khiển. Ứng dụng trong điện toán đám mây giúp bảo vệ hạ tầng ảo. Phân cụm cũng hỗ trợ phân tích pháp y số sau sự cố. Dữ liệu lưu trữ được phân cụm để xác định timeline tấn công. Các tổ chức tài chính sử dụng để phát hiện giao dịch gian lận.

IV. Kết luận và triển vọng ứng dụng phân cụm phát hiện xâm nhập

Kỹ thuật phân cụm dữ liệu có vai trò quan trọng trong phát hiện xâm nhập trái phép. Phương pháp này khắc phục hạn chế của IDS dựa trên chữ ký. Phân cụm phát hiện được tấn công mới chưa có mẫu. Các thuật toán K-means DBSCAN CURE đều có ứng dụng riêng. K-means phù hợp với dữ liệu lớn và số cụm已知. DBSCAN phát hiện cụm hình dạng bất kỳ và nhận diện nhiễu tốt. CURE xử lý hiệu quả cụm có kích thước khác nhau. Thực tế cho thấy phân cụm cải thiện đáng kể hiệu suất IDS. Tỷ lệ phát hiện tấn công tăng lên rõ rệt. Số lượng báo động giả giảm so với phương pháp truyền thống. Tuy nhiên vẫn còn nhiều thách thức cần giải quyết. Dữ liệu mạng có số chiều cao gây khó khăn cho phân cụm. Tốc độ xử lý cần đáp ứng yêu cầu thời gian thực. Cân bằng giữa tỷ lệ phát hiện và báo động giả là bài toán khó. Tương lai kỹ thuật phân cụm sẽ kết hợp với học sâu. Xử lý dữ liệu_stream và học tăng cường là hướng nghiên cứu tiềm năng. Công nghệ này tiếp tục phát triển mạnh mẽ trong thời gian tới.

4.1. Ưu điểm và hạn chế của phương pháp phân cụm

Phương pháp phân cụm trong phát hiện xâm nhập có nhiều ưu điểm. Ưu điểm đầu tiên là không cần dữ liệu gán nhãn. Điều này rất quan trọng vì dữ liệu mạng thường không có nhãn. Ưu điểm thứ hai là phát hiện được tấn công mới. Phương pháp không依赖 mẫu tấn công已知. Ưu điểm thứ ba là khả năng xử lý dữ liệu lớn. Các thuật toán phân cụm có thể mở rộng tốt. Tuy nhiên phương pháp cũng có hạn chế. Hạn chế đầu tiên là khó xác định tham số tối ưu. Giá trị k trong K-means hoặc epsilon trong DBSCAN ảnh hưởng lớn kết quả. Hạn chế thứ hai là độ phức tạp tính toán cao. Dữ liệu mạng có số chiều lớn làm tăng thời gian xử lý. Hạn chế thứ ba là khó đánh giá kết quả phân cụm. Không có ground truth để so sánh chính xác.

4.2. Hướng phát triển tương lai của công nghệ phân cụm IDS

Công nghệ phân cụm IDS đang phát triển theo nhiều hướng mới. Hướng thứ nhất là kết hợp với học sâu Deep Learning. Mạng nơ-ron tự trích xuất đặc trưng từ dữ liệu thô. Autoencoder giúp giảm chiều dữ liệu trước khi phân cụm. Hướng thứ hai là phân cụm trên dữ liệu_stream thời gian thực. Thuật toán cần xử lý dữ liệu liên tục không lưu trữ. Hệ thống cảnh báo theo thời gian thực đáp ứng yêu cầu sản xuất. Hướng thứ ba là áp dụng trên mạng IoT và thiết bị边缘. Dữ liệu từ cảm biến và thiết bị thông minh rất đa dạng. Hướng thứ tư là học tăng cường Reinforcement Learning. Hệ thống tự động điều chỉnh tham số phân cụm. Hướng thứ năm là联邦 học Federated Learning. Nhiều tổ chức cùng训练模型 mà không chia sẻ dữ liệu. Các hướng nghiên cứu này hứa hẹn cải thiện hiệu suất phát hiện xâm nhập.

Trích đoạn nội dung tài liệu

CHƯƠNG I: TỔNG QUAN VỀ TẤN CÔNG MẠNG MÁ Y TÍ NH VÀ CÁC PHƯƠNG PHÁP PHÁT HIỆN 1.Các kỹ thuật tấn công mạng máy tính Hiện nay vẫn chƣa có định nghĩa chính xác về thuật ngữ "tấn công" (xâm nhập, công kích). Mỗi chuyên gia trong lĩnh vực ATTT luận giải thuật ngữ này theo ý hiểu của mình. Ví dụ, "xâm nhập - là tác động bất kỳ đƣa hệ thống từ trạng thái an toàn vào tình trạng nguy hiểm". Thuật ngữ này có thể giải thích nhƣ sau: "xâm nhập - đó là sự phá huỷ chính sách ATTT" hoặc "là tác động bất kỳ dẫn đến việc phá huỷ tính toàn vẹn, tính bí mật, tính sẵn sàng của hệ thống và thông tin xử lý trong hệ thống".

Tấn công (attack) là hoạt động có chủ ý của kẻ phạm tội lợi dụng các thƣơng tổn của hệ thố ng thông tin và tiến hành phá vỡ tính sẵn sàng, tính toàn vẹn và tính bí mật của hê ̣ thố ng thông tin. Tấncông(attack,intrustion)mạnglàcáctácđộnghoặclàtrìnhtựliênkếtgiữacáctácđộ ngvớinhauđểpháhuỷ,dẫnđếnviệchiệnthựchoácácnguycơbằngcáchlợi dụngđặctínhdễbịtổnthƣơngcủacáchệthốngthôngtinnày.Cónghĩalà,nếucóthểbàitr ừnguycơthƣơngtổncủacáchệthôngtinchínhlàtrừbỏkhảnăngcóthểthựchiệntấncôn g. Để thực hiện đƣợc tấn công mạng, thì ngƣời thực hiện tấn công phải có sự hiểu biết về giao thức TCP/IP, có hiểu biêt vể hệ điều hành và sử dụng thành thạo một số ngôn ngữ lập trình. Khi đó kẻ tấn công sẽ xác định phƣơng hƣớng tấn công vào hệ thống.

Một số kiểu tấn công mạng Có rất nhiều dạng tấn công mạng đang đƣợc biết đến hiện nay, dựa vào hành động tấn công đƣợc phân thành các loại là tấn công thăm dò, tấn công sử dụng mã độc, tấn công xâm nhập mạng và tấn công từ chối dịch vụ. 4 Hoặc chúng ta có thể chia thành 2 loại tấn công chung nhất là tấn công chủ động và tấn công thụ động. - Tấn công chủ động (active attack): Kẻ tấn công thay đổi hoạt động của hệ thống và hoạt động của mạng khi tấn công và làm ảnh hƣởng đến tính toàn vẹn, sẵn sàng và xác thực của dữ liệu. - Tấn công bị động (passive attack): Kẻ tấn công cố gắng thu thập thông tin từ hoạt động của hệ thống và hoạt động của mạng làm phá vỡ tính bí mật của dữ liệu.

Dựa vào nguồn gốc của cuộc tấn công thì có thể phân loại tấn công thành 2 loại hình tấn công bao gồm: tấn công từ bên trong và tấn công từ bên ngoài, tấn công trực tiếp. - Tấn công bên trong bao gồm những hành vi mang tính chất xâm nhập hệ thống nhằm mục đích phá hoại. Kẻ tấn công bên trong thƣờng là những ngƣời nằm trong một hệ thống mạng nội bộ, lấy thông tin nhiều hơn quyền cho phép. Tấncôngkhôngchủý:Nhiềuhƣhạicủamạngdongƣời dùngtrongmạngvôýgâynên.Nhữngngƣờinàycóthểvôýđểhackerbênngoàihệthống lấyđƣợcpasswordhoặclàmhỏngcáctàinguyêncủamạngdothiếuhiểubiết.

Tấncôngcóchủý:Kẻtấncóchủýchốnglạicácquitắc,cácquiđịnhdocácchínhsá channinhmạngđƣara. - Tấn công bên ngoài là những tấn công xuất phát từ bên ngoài hệ thống nhƣ Internet hay các kết nối truy cập từ xa; gồm có: + Kẻ tấn công nghiệp dƣ (“script-kiddy”): Dùng các script đã tạo sẵn và có thể tạo nên các các thiệt hại đối với mạng. 5 + Kẻ tấn công đích thực (“true- hacker”): Mục đích chính của nhóm ngƣời này khi thực hiện các tấn công mạng là để mọi ngƣời thừa nhận khả năng của họ và để đƣợc nổi tiếng. + Kẻ tấn công chuyên nghiệp (“the elite”): Thực hiện các tấn công mạng là để thu lợi bất chính.

Tấn công bên ngoài có thể là những dạng tất công trực tiếp, các dạng tấn công này thông thƣờng là sử dụng trong giai đoạn đầu để chiếm quyền truy cập. Phổ biến nhất vẫn là cách dò tìm tên ngƣời sử dụng và mật khẩu. Tội phạm mạng có thể sử dụng những thông tin liên quan đến chủ tài khoản nhƣ ngày tháng năm sinh, tên vợ (chồng) hoặc con cái hoặc số điện thoại để dò tìm thông tin tài khoản và mật khẩu với mục đích chiếm quyền điều khiển của một tài khoản, thông thƣờng đối với những tài khoản có mật khẩu đơn giản thì tội phạm mạng chỉ dò tìm mật khẩu qua thông tin chủ tài khoản, một cách tiếp cận việc chiếm quyền truy nhập bằng cách tìm tài khoản và mật khẩu tài khoảng khác là dùng chƣơng trình để dò tìm mật khẩu. Phƣơng pháp này trong một số khả năng hữu dụng thì có thể thành công đến 30%.

Một kiểu tấn công bên ngoài khác đƣợc đề cập đến nữa chính là hình thức nghe trộm, việc nghe trộm thông tin trên mạng có thể đƣa lại những thông tin có ích nhƣ tên, mật khẩu của ngƣời sử dụng, các thông tin mật chuyển qua mạng. Việc nghe trộm thƣờng đƣợc tiến hành ngay sau khi kẻ tấn công đã chiếm đƣợc quyền truy nhập hệ thống, thông qua các chƣơng trình cho phép đƣa card giao tiếp mạng (Network Interface Card-NIC) vào chế độ nhận toàn bộ các thông tin lƣu truyền trên mạng. Những thông tin này cũng có thể dễ dàng lấy đƣợc trên Internet. - Một số các lỗi khác liên quan đến con ngƣời, hệ thống cũng là những kiểu tấn công trực tiếp từ bên ngoài nhƣng có mức độ phức tạp và khó khăn 6 hơn, nguy hiểm nhất là yếu tố con ngƣời bởi nó là một trong nhiều điểm yếu nhất trong bất kỳ hệ thống bảo mật nào.

- Khi một mạng máy tính bị tấn công, nó sẽ bị chiếm một lƣợng lớn tài nguyên trên máy chủ, mức độ chiếm lƣợng tài nguyên này tùy thuộc vào khả năng huy động tấn công của tội phạm mạng, đến một giới hạn nhất định khả năng cung cấp tài nguyên của máy chủ sẽ hết và nhƣ vậy việc từ chối các yêu cầu sử dụng dịch vụ của ngƣời dùng hợp pháp bị từ chối. Việc phát động tấn công của tội phạm mạng còn tùy thuộc vào số lƣợng các máy tính ma mà tội phạm mạng đó đang kiểm soát, nếu khả năng kiểm soát lớn thì thời gian để tấn công và làm sập hoàn toàn một hệ thống mạng sẽ nhanh và cấp độ tấn công sẽ tăng nhanh hơn, tội phạm mạng có thể một lúc tấn công nhiều hệ thống mạng khác nhau tùy vào mức độ kiểm soát chi phối các máy tính ma nhƣ thế nào. Phân loại các mối đe dọa trong bảo mật hệ thống a) Mối đe dọa bên trong Thuật ngữ mối đe dọa bên trong đƣợc sử dụng để mô ta một kiểu tấn công đƣợc thực hiện từ một ngƣời hoặc một tổ chức có quyền truy cập vào hệ thống mạng. Các cách tấn công từ bên trong đƣợc thực hiện từ một khu vực đƣợc coi là vùng tin cậy trong hệ thống mạng.

Mối đe dọa này có thể khó phòng chống hơn vì các nhân viên hoặc những tổ chức có quyền hạn trong hệ thống mạng sẽ truy cập vào mạng và dữ liệu bí mật của doanh nghiệp. Phần lớn các doanh nghiệp hiện nay đều có tƣờng lửa ở các đƣờng biên mạng và họ tin tƣởng hoàn toàn vào các ACL (Access Control List) và quyền truy cập vào server để qui định cho sự bảo mật bên trong. Quyền truy cập server thƣờng bảo vệ tài nguyên trên server nhƣng không cung cấp bất kì sự bảo vệ nào cho 7 mạng. Mối đe dọa ở bên trong thƣờng đƣợc thực hiện bởi các nhân viên, tổ chức bất bình, muốn “quay mặt” lại với doanh nghiệp.

Nhiều phƣơng pháp bảo mật liên quan đến vành đai của hệ thống mạng, bảo vệ mạng bên trong khỏi các kết nối bên ngoài, nhƣ là truy cập Internet. Khi vành đai của hệ thống mạng đƣợc bảo mật, các phần tin cậy bên trong có khuynh hƣớng bị bớt nghiêm ngặt hơn. Khi một kẻ xâm nhập vƣợt qua vỏ bọc bảo mật cứng cáp đó của hệ thống mạng, mọi chuyện còn lại thƣờng là rất đơn giản. Các mạng không dây giới thiệu một lĩnh vực mới về quản trị bảo mật.

Không giống nhƣ mạng có dây, các mạng không dây tạo ra một khu vực bao phủ có thể bị can thiệp và sử dụng bởi bất kì ai có phần mềm đúng và một adapter của mạng không dây. Không chỉ tất cả các dữ liệu mạng có thể bị xem và ghi lại mà các sự tấn công vào mạng có thể đƣợc thực hiện từ bên trong, nơi mà cơ sở hạ tầng dễ bị nguy hiểm hơn nhiều. Vì vậy, các phƣơng pháp mã hóa mạnh luôn đƣợc sử dụng trong mạng không dây. b) Mối đe dọa từ bên ngoài Mối đe dọa ở bên ngoài là từ các tổ chức, chính phủ, hoặc cá nhân cố gắng truy cập từ bên ngoài mạng của doanh nghiệp và bao gồm tất cả những ngƣời không có quyền truy cập vào mạng bên trong.

Thông thƣờng, các kẻ tấn công từ bên ngoài cố gắng từ các server quay số hoặc các kết nối Internet. Mối đe dọa ở bên ngoài là những gì mà các doanh nghiệp thƣờng phải bỏ nhiều hầu hết thời gian và tiền bạc để ngăn ngừa. c) Mối đe dọa không có cấu trúc Mối đe dọa không có cấu trúc là mối đe dọa phổ biến nhất đối với hệ thống của một doanh nghiệp. Các hacker mới vào nghề, thƣờng đƣợc gọi là script kiddies, sử dụng các phần mềm để thu thập thông tin, truy cập hoặc thực hiện một kiểu tấn công DoS vào một hệ thống của một doanh nghiệp.

8 Script kiddies tin tƣởng vào các phần mềm và kinh nghiệm của các hacker đi trƣớc. Khi script kiddies không có nhiều kiến thức và kinh nghiệm, họ có thể tiến hành phá hoại lên các doanh nghiệp không đƣợc chuẩn bị. Trong khi đây chỉ là trò chơi đối với các kiddie, các doanh nghiệp thƣờng mất hàng triệu đô la cũng nhƣ là sự tin tƣởng của cộng đồng. Nếu một web server của một doanh nghiệp bị tấn công, cộng đồng cho rằng hacker đã phá vỡ đƣợc sự bảo mật của doanh nghiệp đó, trong khi thật ra các hacker chỉ tấn công đƣợc một chỗ yếu của server.

Các server Web, FTP, SMTP và một vài server khác chứa các dịch vụ có rất nhiều lổ hổng để có thể bị tấn công, trong khi các server quan trọng đƣợc đặt sau rất nhiều lớp bảo mật. Cộng đồng thƣờng không hiểu rằng phá vỡ một trang web của một doanh nghiệp thì dễ hơn rất nhiều so với việc phá vỡ cơ sở dữ liệu thẻ tín dụng của doanh nghiệp đó. Cộng đồng phải tin tƣởng rằng một doanh nghiệp rất giỏi trong việc bảo mật các thông tin riêng tƣ của nó. d) Mối đe dọa có cấu trúc Mối đe dọa có cấu trúc là khó ngăn ngừa và phòng chống nhất vì nó xuất phát từ các tổ chức hoặc cá nhân sử dụng một vài loại phƣơng pháp luận thực hiện tấn công.

Các hacker với kiến thức, kinh nghiệm cao và thiết bị sẽ tạo ra mối đe dọa này. Các hacker này biết các gói tin đƣợc tạo thành nhƣ thế nào và có thể phát triển mã để khai thác các lỗ hổng trong cấu trúc của giao thức.