chương I cũng dé cập đến các mối de dọa bảo mật đến điện toán đám mây và những van dé về an toàn của điện toán đám mây. Tổng quan về giám sát an toàn mạng Giám sát an toàn mang là quá trình theo dõi và kiểm soát các hoạt động và tài nguyên trong mạng dé phát hiện và ngăn chặn các môi de dọa bảo mật. Nó bao gồm việc thu thập thông tin từ các thiết bi mạng, hệ thống và ứng dụng dé phân tích và đưa ra các biện pháp bảo mật hiệu quả. Mục tiêu chính trong giám sát an toàn mạng là: - Phat hiện xâm nhập: Giám sat an toàn mạng giúp phát hiện các hoạt động không hợp lệ hoặc xâm nhập vào mạng.
Bằng cách theo dõi lưu lượng mạng, kiểm tra các sự kiện không bình thường và so sánh chúng với các mẫu đáng ngờ, hệ thống giám sát an toàn mạng có thé phát hiện các hành vi độc hại như tấn công mạng, phần mềm độc hại hoặc sử dụng trái phép tài nguyên mạng. - Phan tích và báo cáo sự cố: Giám sát an toàn mạng cung cấp kha năng phân tích dữ liệu và tạo báo cáo về các sự cố bảo mật. Nó giúp nhận biết các lỗ hồng và yếu điểm trong hệ thống mạng, từ đó đưa ra các giải pháp cải thiện và ngăn chặn các vụ vi phạm bao mật tiềm ấn. - Theo dõi va quản ly tai nguyên: Giám sat an toàn mạng giúp theo dõi và quản lý tài nguyên mạng như máy chủ, thiết bị mạng, ứng dụng và dịch vụ.
Nó cho phép phát hiện sự có về hiệu suất, sử dụng tài nguyên không hợp lý và theo dõi tuân thủ các quy định và chính sách an toàn mạng. - Phan tích hành vi và định tuyến: Giám sát an toàn mạng cung cấp cái nhìn tổng quan về hoạt động mạng và hành vi của người dùng. Nó giúp xác định các hoạt động đáng ngờ, như truy cập không hợp lệ, truy cập từ xa đáng ngờ hoặc sử dụng nguồn lực mang theo cách không đúng. - Bao vệ dữ liệu và tuân thủ quy định: Giám sát an toàn mạng giúp đảm bao bảo mật và tuân thủ các quy định về quyên riêng tư và bảo vệ dit liệu.
Nó có thể theo dõi việc truy cập dữ liệu, xác định các dạng dữ liệu nhạy cảm và áp dụng các biện pháp bảo mật phù hợp. Hoạt động giám sát an toàn mạng bao gồm [1]: DANG THE LONG — DI9CQAT01-B 2 ĐỎ ÁN TÓT NGHIỆP CHUONG | - Bao vệ: Tập trung vào việc ngăn chặn xâm nhập và tan công khai thác trai phép vào hệ thống. Các chức năng bao gồm đánh giá lỗ hồng, quản lý chống lại các phần mềm độc hai, dao tạo nâng cao nhận thức của người dùng và các nhiệm vụ đảm bảo thông tin khác. - Do tìm (phát hiện): Tập trung vào việc phát hiện và phân tích các tan công đang xảy ra theo thời gian thực hoặc đã xảy ra.
Việc phát hiện xâm nhập mạng có thé dựa vào so sánh mẫu, dựa trên dấu hiệu bat thường hoặc phân tích trạng thái bất thường của giao thức. - Phan ứng: Tập trung vào việc phan ứng lại sau khi có một tan công đã xảy ra. Chức năng bao gồm ngăn chặn sự cố, phân tích thiệt hai dựa trên máy chủ va các thành phần của hệ thống mạng, phân tích phần mềm độc hại và báo cáo sự CỐ. - Duy trì: Tập trung vào việc quản lý con người, tiễn trình và công nghệ liên quan đến việc bảo vệ mạng máy tính (Computer Network Defense — CND) để bảo vệ cho hệ thống mạng: đồng thời thường xuyên cập nhật các mẫu dữ liệu để phát hiện được các tấn công mới.
Điều này bao gồm hợp đồng, biên chế, đào tạo, phát triển và triển khai công nghệ, quản lý các hệ thống hỗ trợ. Hoạt động giám sát an toàn mạng nhằm mục đích thu thập, phân tích tình hình để xác định nguy cơ đe dọa an ninh mạng, sự cố an ninh mạng, điểm yếu, lỗ hồng bảo mật, mã độc tồn tại trong hệ thong mạng, giúp cảnh bao, khắc phục, xử lý kịp thời. Hoạt động giám sat an toàn mạng cần được thực hiện thường xuyên, liên tục. Chủ quản hệ thống thông tin cần xây dựng cơ chế tự cảnh báo và tiếp nhận cảnh báo từ hệ thong giám sát dé đề ra phương án ứng phó, khắc phục khan cấp.
Chu trình giám sát an toàn mạng bao gồm ba giai đoạn: thu thập dtr liệu, phát hiện xâm nhập và phân tích dtr liệu [1]. - Thu thập dtr liệu: La quá trình được thực hiện với sự kết hợp của cả phần cứng và phần mềm trong việc tạo, sắp xếp, lưu trữ dữ liệu cho việc phát hiện xâm nhập và phân tích dữ liệu trong hệ thống giám sát an toàn mạng. Thu thập dir liệu bao gồm các nhiệm vụ chính: Xác định các vị trí có nhiều điểm yếu tồn tại trong tô chức; Xác định các nguy cơ ảnh hưởng đến mục tiêu tổ chức; Xác định nguồn dit liệu có liên quan; Tiền xử lý, chuẩn hoá nguồn dữ liệu thu thập được; Cấu hình công SPAN hoặc sử dụng Test Access Point (TAP) dé thu thập dữ liệu gói tin; Xây dựng hệ thống lưu trữ SAN phục vu lưu giữ nhật ký (log) và Cấu hình phần cứng và phần mềm thu thập đữ liệu. - Phat hiện xâm nhập: Là quá trình theo đõi và phân tích các van đề xảy ra trong hệ thông dé tìm kiếm dấu hiệu xâm nhập.
Quá trình phát hiện xâm nhập thường được tự động hóa trở thành một sản phẩm phần mềm hoặc phần cứng, với một số gói phần mềm phổ biến như: Snort IDS và Bro IDS của hệ thống phát hiện xâm nhập mạng (NIDS); OSSEC, AIDE hoặc McAfee HIPS LÔ QC DANG THE LONG — D19CQAT01-B 3 ĐỎ ÁN TÓT NGHIỆP CHUONG | của hệ thống phát hiện xâm nhập máy chủ (HIDS). Một số ứng dụng như Quản ly sự kiện va thông tin bao mật (Security Information and Event Management — SIEM) sẽ sử dụng ca dữ liệu dựa trên mang va dữ liệu dựa trên máy chủ dé phát hiện xâm nhập dựa trên các sự kiện liên quan. Phân tích dữ liệu: Là giai đoạn được thực hiện khi một người diễn giải và xem xét đữ liệu cảnh báo. Điều này thường sẽ liên quan đến việc xem xét thu thập dữ liệu bồ sung từ các nguồn dữ liệu khác.
Phân tích đữ liệu có thê được thực hiện với các nhiệm vụ sau: Phân tích gói tin; Phân tích mạng; Phân tích máy chủ và Phân tích phần mềm độc hại. Những lợi ích và khó khăn thách thức khi triển khai hệ thống giám sát an toàn mạng. Những lợi ích của hệ thong giám sát an toàn mang Những tổ chức khác nhau sẽ sử dụng những hệ thống giám sát an toàn mạng với mục đích khác nhau, do đó lợi ích thu được cũng khác nhau. Có ba lợi ích lớn nhất của hệ thống giám sát an toàn mạng đó là: quản lý tập trung, giám sát an toàn mạng và cải thiện hiệu quả trong hoạt động xử lý sự cố.
Quản lý tập trung: Rất nhiều tổ chức triển khai hệ thống giám sát an toàn mạng với một mục đích duy nhất: tập hợp các dữ liệu thông qua một giải pháp nhật ký tập trung. Mỗi thiết bị đầu cuối cần có hệ thống ghi lại sự kiện an ninh và thường xuyên truyền dir liệu nhật ký (log) này về máy chủ hệ thống giám sát an toàn mạng. Một máy chủ hệ thống giám sát an toàn mạng nhận dit liệu nhật ký từ rất nhiều thiết bị khác nhau và sau đó sẽ thực hiện thống kê, phân tích, báo cáo để tạo ra một báo cáo duy nhất cho thấy su tương quan giữa các sự kiện an ninh của các thiết bị. Một tổ chức không có các hệ thống tập trung dữ liệu nhật ký sẽ cần rất nhiều công sức trong việc tập hợp báo cáo.
Trong môi trường như vậy, cần phải tạo ra báo cáo riêng về tình trạng hoạt động cho mỗi thiết bị đầu cuối, hoặc lay dữ liệu định kì bằng cách thủ công từ mỗi thiết bị rồi tập hợp chúng lại và phân tích để thành một báo cáo. Khó khăn xảy ra là không nhỏ do sự khác biệt hệ điều hành, ứng dụng và các phần mềm khác nhau dẫn đến các nhật ký sự kiện an ninh được ghi lại khác nhau. Chuyên đổi tat cả thông tin đó thành một định dang chung đòi hỏi việc phát triển hoặc tùy biến mã nguồn rất lớn. Một lí do khác cho thấy tại sao hệ thống giám sát an toàn mạng rất hữu ích trong việc quản lý và báo cáo tập trung là việc hỗ trợ sẵn các mẫu báo cáo phù hợp với các chuẩn quốc tế như Health Insurance Portability and Accountability Act (HIPAA), Payment Card Industry Data Security Standard (PCI DSS) và Sarbanes- Oxley Act (SOX).
Nhờ hệ thống giám sát an toàn mạng, một tổ chức có thé LÔ QC DANG THE LONG - D19CQATO1-B 4 ĐỎ ÁN TÓT NGHIỆP CHUONG | tiết kiệm đáng ké thời gian, nguồn lực đề đạt được đủ các yêu cầu về báo cáo an ninh định kỳ [2]. - _ Giám sát an toàn mạng: Lí do chính cho việc triển khai hệ thống giám sát an toàn mang là hệ thống này có thé phát hiện ra các sự cố mà các thiết bi thông thường không phát hiện được. Thứ nhất, rất nhiều thiết bị đầu cuối có phần mềm ghi lại sự kiện an ninh nhưng không tích hợp khả năng phát hiện sự có. Dù có thể quan sát các sự kiện và tạo ra các nhật ký, chúng luôn thiếu khả năng phân tích dé xác định các dấu hiệu của hành vi độc hai.
Ly do thứ hai nâng cao khả năng phát hiện của hệ thống giám sát an toàn mạng là chúng có thể cho thấy sự tương quan sự kiện giữa các thiết bị. Băng cách thu thập sự kiện của toàn tô chức, hệ thống giám sát an toàn mạng có thể thấy được nhiều phần khác nhau của các cuộc tan công thông qua nhiều thiết bị và sau đó tái cau trúc lại chuỗi sự kiện và xác định cuộc tan công ban đầu là gì và nó đã thành công hay chưa. Nói theo cách khác, trong khi một giải pháp ngăn chặn xâm nhập IPS có thể thấy được một phần của một cuộc tấn công và hệ điều hành của máy chủ mục tiêu cũng cho thấy được một phần khác của cuộc tấn công đó, một hệ thống giảm sát an toàn mạng có thể kiểm tra dé liệu nhật ký của tất cả sự kiện này và xác định máy chủ mục tiêu đó đã bị nhiễm mã độc, hay tan công thành công hay chưa, từ đó có thể thực hiện cách li chúng ra một mạng riêng và xử lí cuộc tan công.