Nghiên cứu một số kỹ thuật phát hiện xâm nhập mạng bằng phương pháp so khớp

Tìm hiểu kỹ thuật phát hiện xâm nhập mạng bằng phương pháp so khớp. Nghiên cứu các thuật toán và ứng dụng thực tế để bảo mật hệ thống mạng.

• Tác giả: Trần Thanh Hòa
• Người hướng dẫn: TS. Nguyễn Ngọc Cương
• Trường học: Trường Đại học Công nghệ Thông tin và Truyền thông - Đại học Thái Nguyên
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Một Kỹ Thuật Phát Hiện Xâm Nhập Mạng Bằng Phương Pháp Khớp
• Loại tài liệu: Luận văn
• Năm xuất bản: 2016
• Địa điểm: Thái Nguyên

Tóm tắt

I. Tổng Quan Về Phát Hiện Xâm Nhập Mạng Bằng IDS

Mạng Internet đã tạo ra một cuộc cách mạng trong xã hội, thúc đẩy sự phát triển của các dịch vụ trực tuyến. Tuy nhiên, nó cũng mở ra không gian cho các hoạt động tấn công mạng. Phát hiện xâm nhập mạng (IDS) là một thành phần quan trọng để đảm bảo an ninh mạng. Hệ thống IDS có nhiệm vụ phát hiện và ngăn chặn các xâm nhập trái phép, bảo vệ tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống. Có nhiều phương pháp phát hiện xâm nhập, bao gồm sử dụng phương pháp Bayes, mạng nơ-ron nhân tạo và kỹ thuật so khớp mẫu. Theo tài liệu gốc, "hát hiện xâm nhập mạng một trong thành phẫn quan trọng trong hệ thống các pháp đảm bảo ninh cho các mạng hiện".

1.1. Định Nghĩa và Mục Tiêu của Hệ Thống IDS

Hệ thống phát hiện xâm nhập (IDS) là một hệ thống giám sát lưu lượng mạng để phát hiện các hiện tượng bất thường và hoạt động xâm nhập trái phép. Nó phân biệt các tấn công từ bên trong và bên ngoài. Mục tiêu chính của IDS là phát hiện và ngăn chặn sự xâm nhập, cũng như các hành vi khai thác trái phép, đảm bảo tính toàn vẹn và tính sẵn sàng của hệ thống. IDS thu thập thông tin từ nhiều nguồn và phân tích để phát hiện các xâm nhập trái phép.

1.2. Các Tính Năng Quan Trọng Của Một Hệ Thống IDS

Một hệ thống IDS hiệu quả cần đáp ứng các yêu cầu về tính chính xác, hiệu năng, tính trọn vẹn, khả năng chịu lỗi và khả năng mở rộng. Các tính năng chính bao gồm giám sát lưu lượng mạng, cảnh báo về tình trạng mạng cho quản trị viên, và kết hợp với các hệ thống giám sát tường lửa và virus để tạo thành một hệ thống bảo mật hoàn chỉnh. Tài liệu gốc nhấn mạnh: "Hệ thống IDS thu thập thông nhiều nguôn trong hệ thống được bảo vệ sau đồ hành phân những thông đồ theo các cách khác nhau đễ phát hiện những xâm nhập phép".

1.3. Các Loại IDS Phổ Biến và Đặc Điểm Riêng Biệt

Các hệ thống IDS thường được phân loại dựa trên nguồn dữ liệu thu thập. Có hai loại chính: Host-based IDS (HIDS) và Network-based IDS (NIDS). HIDS sử dụng dữ liệu kiểm soát trên một máy trạm đơn lẻ để phát hiện xâm nhập. NIDS sử dụng dữ liệu từ toàn bộ lưu lượng mạng. NIDS bao gồm bộ cảm biến để kiểm soát lưu lượng mạng và trạm quản lý để nhận tín hiệu cảnh báo từ bộ cảm biến.

II. Phương Pháp So Khớp Mẫu Trong Phát Hiện Xâm Nhập

Phương pháp so khớp mẫu là một kỹ thuật quan trọng trong phát hiện xâm nhập mạng. Nó dựa trên việc so sánh các mẫu tấn công đã biết với lưu lượng mạng hiện tại. Các mẫu này thường được biểu diễn dưới dạng chữ ký hoặc biểu thức chính quy. Khi một gói tin khớp với một mẫu, hệ thống sẽ đưa ra cảnh báo. Phương pháp này hiệu quả trong việc phát hiện các tấn công đã biết, nhưng có thể không hiệu quả đối với các tấn công mới hoặc biến thể của các tấn công cũ. "Các thuật toân khớp mẫu theo phương pháp dựa trên đặc trưng (signature-based) cho phép các công cụ nhanh chồng tìm kiếm nhiều cùng một trong đầu vào của hệ thống", theo tài liệu gốc.

2.1. Bài Toán So Khớp Mẫu và Các Bước Xử Lý Cơ Bản

Bài toán so khớp mẫu là việc tìm kiếm sự xuất hiện của một mẫu (pattern) trong một chuỗi (text). Các bước xử lý cơ bản bao gồm tiền xử lý mẫu, tìm kiếm và so sánh. Độ phức tạp tính toán của thuật toán so khớp mẫu ảnh hưởng lớn đến hiệu suất của hệ thống IDS. Ứng dụng của so khớp mẫu rất đa dạng, bao gồm phát hiện xâm nhập, tìm kiếm văn bản và phân tích DNA.

2.2. Các Thuật Toán So Khớp Đơn Mẫu Phổ Biến và So Sánh

Các thuật toán so khớp đơn mẫu bao gồm Brute Force, Knuth-Morris-Pratt (KMP), Boyer-Moore Horspool (BMH) và Karp-Rabin. Thuật toán KMP sử dụng thông tin về cấu trúc của mẫu để tránh so sánh lại các ký tự đã so sánh. Thuật toán BMH sử dụng heuristic để bỏ qua các phần của chuỗi. Thuật toán Karp-Rabin sử dụng hàm băm để so sánh mẫu và chuỗi.

2.3. Thuật Toán So Khớp Đa Mẫu Aho Corasick AC Trong IDS

Thuật toán Aho-Corasick (AC) là một thuật toán so khớp đa mẫu hiệu quả. Nó xây dựng một cây trạng thái để biểu diễn tất cả các mẫu. Khi duyệt chuỗi, thuật toán sẽ di chuyển trên cây trạng thái. Nếu gặp một trạng thái kết thúc, thuật toán sẽ báo cáo sự xuất hiện của mẫu tương ứng. Ưu điểm của thuật toán AC là có thể tìm kiếm nhiều mẫu cùng một lúc với độ phức tạp tuyến tính.

III. Mô Hình Phát Hiện Xâm Nhập Mạng Dựa Trên So Khớp Mẫu

Mô hình phát hiện xâm nhập mạng dựa trên so khớp mẫu bao gồm các thành phần chính: thu thập thông tin, phân tích và phản ứng. Thành phần thu thập thông tin thu thập dữ liệu từ các nguồn khác nhau, chẳng hạn như lưu lượng mạng và nhật ký hệ thống. Thành phần phân tích sử dụng các thuật toán so khớp mẫu để phát hiện các tấn công. Thành phần phản ứng đưa ra các cảnh báo hoặc thực hiện các hành động để ngăn chặn tấn công. Theo tài liệu gốc, "Mô hình phát hiện xâm nhập mạng đựa trên so khớp mẫu" là trọng tâm nghiên cứu.

3.1. Thành Phần Thu Thập Thông Tin Quan Trọng Trong Mô Hình

Thành phần thu thập thông tin có vai trò quan trọng trong việc cung cấp dữ liệu cho quá trình phân tích. Các nguồn thông tin quan trọng bao gồm lưu lượng mạng (ví dụ: gói tin TCP/IP), nhật ký hệ thống (ví dụ: nhật ký hệ điều hành, nhật ký ứng dụng) và thông tin từ các cảm biến an ninh khác.

3.2. Quy Trình Phân Tích và Phát Hiện Tấn Công Bằng So Khớp Mẫu

Quy trình phân tích bao gồm các bước: tiền xử lý dữ liệu (ví dụ: loại bỏ các thông tin không liên quan), trích xuất đặc trưng (ví dụ: trích xuất các trường từ gói tin TCP/IP) và so khớp mẫu (ví dụ: so sánh các đặc trưng với cơ sở dữ liệu mẫu tấn công đã biết). Nếu tìm thấy một mẫu khớp, hệ thống sẽ đánh dấu sự kiện là một cuộc tấn công tiềm năng.

3.3. Thành Phần Phản Ứng và Các Biện Pháp Ngăn Chặn Tấn Công

Thành phần phản ứng thực hiện các hành động để ngăn chặn hoặc giảm thiểu tác động của cuộc tấn công. Các biện pháp có thể bao gồm: đưa ra cảnh báo cho quản trị viên, chặn lưu lượng mạng độc hại, ghi nhật ký sự kiện và thực hiện các hành động khắc phục.

IV. Hướng Dẫn Cài Đặt Snort IDS So Khớp Mẫu Thực Tế

Snort là một hệ thống phát hiện xâm nhập mạng mã nguồn mở phổ biến, sử dụng kỹ thuật so khớp mẫu. Nó có thể được sử dụng để giám sát lưu lượng mạng, phát hiện các tấn công và tạo ra các cảnh báo. Snort có cấu trúc mô-đun, cho phép người dùng tùy chỉnh các quy tắc phát hiện và phản ứng. Tài liệu gốc đề cập đến Snort như sau: "Hệ thống phát hiện xâm nhập mạng Snort. Giới thiệu Các thành phần của Hệ thống Định nghĩa Các thành phần của Rule header. Rule options Cài đặt cầu hình Snort."

4.1. Giới Thiệu Về Hệ Thống IDS Snort và Các Thành Phần Chính

Snort là một hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS) mã nguồn mở mạnh mẽ và linh hoạt. Các thành phần chính bao gồm: Packet Decoder (giải mã gói tin), Preprocessors (xử lý trước gói tin), Detection Engine (động cơ phát hiện) và Output Modules (mô-đun đầu ra).

4.2. Cấu Trúc Quy Tắc Rule Trong Snort Header và Options

Quy tắc (Rule) trong Snort được sử dụng để xác định các mẫu tấn công. Mỗi quy tắc bao gồm hai phần chính: Header (tiêu đề) và Options (tùy chọn). Header xác định các đặc điểm cơ bản của gói tin (ví dụ: giao thức, địa chỉ IP, cổng). Options xác định các điều kiện chi tiết hơn và các hành động cần thực hiện khi quy tắc được khớp.

4.3. Hướng Dẫn Cài Đặt và Cấu Hình Cơ Bản Hệ Thống Snort

Việc cài đặt Snort có thể khác nhau tùy thuộc vào hệ điều hành. Tuy nhiên, các bước cơ bản bao gồm: tải xuống Snort, cài đặt các thư viện phụ thuộc, cấu hình Snort và khởi động Snort. Sau khi cài đặt, cần cấu hình Snort để phù hợp với môi trường mạng cụ thể.

V. Đánh Giá Hiệu Suất và Ứng Dụng Thực Tế Của So Khớp Mẫu

Hiệu suất của kỹ thuật so khớp mẫu phụ thuộc vào nhiều yếu tố, bao gồm kích thước của cơ sở dữ liệu mẫu, độ phức tạp của thuật toán so khớp và tài nguyên hệ thống. Ứng dụng thực tế của so khớp mẫu rất đa dạng, từ bảo vệ mạng doanh nghiệp đến phát hiện mã độc và phân tích lưu lượng mạng. Cần chú trọng đến việc đánh giá hiệu suất để đảm bảo hệ thống hoạt động hiệu quả. Theo tài liệu gốc, cần "Thử nghiệm và đánh giá Tập dữ liệu thử nghiệm. Tiền xử đữ Dữ liệu lựa chọn Thiết thử nghiệm. Kết quả thử nghiệm Nhận xét kết quả".

5.1. Các Yếu Tố Ảnh Hưởng Đến Hiệu Suất Của Kỹ Thuật So Khớp Mẫu

Hiệu suất của kỹ thuật so khớp mẫu bị ảnh hưởng bởi kích thước cơ sở dữ liệu mẫu, độ phức tạp thuật toán, tài nguyên hệ thống, và chất lượng của dữ liệu đầu vào. Kích thước cơ sở dữ liệu mẫu càng lớn, thời gian tìm kiếm càng lâu. Thuật toán phức tạp có thể tốn nhiều tài nguyên hơn.

5.2. Ứng Dụng So Khớp Mẫu Trong Bảo Vệ Mạng Doanh Nghiệp

Trong bảo vệ mạng doanh nghiệp, so khớp mẫu được dùng để phát hiện tấn công từ chối dịch vụ (DoS), tấn công SQL injection, và các loại tấn công khác. Hệ thống IDS sử dụng so khớp mẫu để so sánh lưu lượng mạng với các mẫu tấn công đã biết.

5.3. Phân Tích Lưu Lượng Mạng và Phát Hiện Mã Độc Bằng So Khớp Mẫu

So khớp mẫu được sử dụng để phân tích lưu lượng mạng, giúp xác định các hoạt động bất thường và các mối đe dọa tiềm ẩn. Nó cũng được sử dụng để phát hiện mã độc, bằng cách so sánh các tệp tin và đoạn mã với cơ sở dữ liệu mẫu mã độc đã biết.

VI. Kết Luận Triển Vọng Phát Triển Của So Khớp Mẫu IDS

Kỹ thuật so khớp mẫu đóng vai trò quan trọng trong phát hiện xâm nhập mạng. Mặc dù có những hạn chế, nó vẫn là một phương pháp hiệu quả để phát hiện các tấn công đã biết. Các nghiên cứu trong tương lai có thể tập trung vào việc cải thiện hiệu suất và độ chính xác của thuật toán so khớp mẫu, cũng như tích hợp nó với các kỹ thuật phát hiện xâm nhập khác. Theo tài liệu gốc, "Luận văn nghiên cứu việc sử đụng thuật khớp mẫu trong việc phát hiện xâm nhập mạng. So khớp mẫu thuật được ứng dụng nhiều trong vấn đề an ninh mạng".

6.1. Tổng Kết Ưu Điểm và Nhược Điểm Của Kỹ Thuật So Khớp Mẫu

Ưu điểm của so khớp mẫu là đơn giản, hiệu quả trong việc phát hiện các tấn công đã biết, và dễ triển khai. Nhược điểm là không hiệu quả đối với các tấn công mới hoặc biến thể, và đòi hỏi cơ sở dữ liệu mẫu lớn và được cập nhật thường xuyên.

6.2. Hướng Nghiên Cứu và Phát Triển Kỹ Thuật So Khớp Mẫu Trong Tương Lai

Các hướng nghiên cứu có thể tập trung vào việc phát triển các thuật toán so khớp mẫu nhanh hơn và hiệu quả hơn, tích hợp so khớp mẫu với học máy để phát hiện các tấn công mới, và tự động hóa quá trình tạo và cập nhật cơ sở dữ liệu mẫu.

6.3. Tích Hợp So Khớp Mẫu Với Các Kỹ Thuật Phát Hiện Xâm Nhập Khác

Để tạo ra một hệ thống IDS mạnh mẽ, cần tích hợp so khớp mẫu với các kỹ thuật khác, chẳng hạn như phát hiện bất thường và phân tích hành vi. Sự kết hợp này có thể giúp phát hiện cả các tấn công đã biết và các tấn công mới.

Trích đoạn nội dung tài liệu

Chương 1 - Tông quan về xâm nhập mạng Chương 2~ Rỹ thuật so khóp trong phát hiện xâm nhập mạng Chương 3 - Xây dựng mô hình phát hiện xâm nhập mạng bằng phương pháp so khép 5. Phương pháp nghiên cứu - Nghiên cứu các tổng hợp các kết quả nghiên cứu có liên quan đến đề tài, giải quyết, lập trình, thử nghiệm. - Hiểu bài toán so khớp mẫu và ứng đụng trong phát hiện xâm nhập ‘mang, các thuật toán và công cụ lập trình hệ thống. - Sữ dụng phương pháp nghiên cứu thực nghiệm trên mô hình mạng máy tính đễ đánh giá hiệu quả của thuật toán sử đụng.

CHUONG 1 TONG QUAN VẺ XÂM NHẬP MẠNG Nội dung chương trình bày các kỹ thuật xâm nhập trái phép và một số kỹ thuật ngăn chăn xâm nhập, đi sâu vào hệ thống phát hiện xâm nhập IDS (Intrusion Detetion System) và các hướng nghiên cứu trong và ngoài nước về thuật phát hiện: tiếp cận dựa trên trí tuệ nhân tạo (Artificial Intelligence), tiếp cận dựa trên so khớp mẫu. Giới thiệu về hệ thống phát hiện xâm nhập mạng 111 jnh nghĩa “Khi một máy tính hay một hệ thống hoạt động trên môi trường mạng, sẽ có rất nhiều kết nối giữa nó và các máy tính, các thiết bị khác. kết nói đô có những kết nói đang tìm cách tấn công hệ thống đề đạt được mục đích nào đó. Bản thân mỗi máy tính đều có những cơ chế để tự bảo vệ nhưng.

nó có những điểm yêu và thực sự không đủ sức chống lại các cuộc tấn công mới với mức độ nguy hiểm ngày cảng lớn hơn. Bên cạnh đó các máy tính hay hệ thống cũng phải chịu các nguy cơ đến từ các hành vĩ vi phạm chính sách an toàn và bão mật công nghệ thông tin một cách vô tình hay hữu ý. Bài toán được đặt ra là cần có cơ chế để phát hiện sớm các cuộc tấn công để tử đó có. những biện pháp ngăn chặn hoặc giém thiêu tối đa những thiệt hại, tác động do các cuộc công gây ra.

LLL Phát hiện xâm nhập Phát hiện xâm nhập là tập hợp các kỹ thuật và phương pháp được sử dung để phát hiện các hành vi đáng ngờ cả ở cắp độ mạng và máy chủ. Phit hiện xâm nhập có thể đựa trên đầu hiệu xâm nhập hoặc đựa vào đầu hiệu bất thường. Ké tấn công có những dấu hiệu tìm ra dữ liệu của gồi tin mà có chứa tbất kỳ đấu hiệuxâm nhập hoặc dị thường được biết đến. Dựa trên một tập hop các iu higu nay hệ thống phát hiện xâm nhập cô thể đò tìm, ghỉ lại những hoạt động đáng ngờ này và đưa ra các cảnh báo.

Hệ lg phát hiện dựa vào 'bắt thường đựa vào phản tiêu đề giao thức của gói tin được cho là bắt thường. Thông thường hệ thống dựa trên bất thường sẽ bắt lấy các gói tin trên mạng. vàđối chiều với các quy tắc để tìm ra các đấu hiệu bắt thường của gói tin. Hệ thẳng phát hiện xâm nhập ‘He thống phát hiện xâm nhập (Intrusion Detetion System - IDS) là một hệ thống giám sát lưu lượng mạng nhằm phát hiện hiện tượng bất thường, các hoạt động trấi phép xâm nhập vào hệ thống.

IDS cé thé phân biệt được những tấn công từ bên trong (nội bộ) hay tấn công từ bên ngoài (từ các tin tặc). IDS phát hiện đựa trên các dấu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phần mềm diệt virus đựa vào các đấu hiệu đặc biệt để phát hiện và diét virus) hay đựa trên so sánh lưu thông mạng hiện tại với 'baseline (thông số đo đạt chuẩn của hệ thống có thê chấp nhận được ngay tại ‘thoi điểm hiện tại) để tìm ra các đấu hiệu khác thường. "Nồi một cách khác, IDS là hệ thống có nhiệm vụ theo dõi, phát hiện và (cô thể) ngăn cân sự xâm nhập, cũng như các hành vi khai thác trái phép tài nguyên của hệ thống được bão vệ mà có thê dẫn đền việc làm tôn hại đền tính. 'bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống.

Hệ thống IDS sẽ thu thập thông tin từ rất nhiều nguôn trong hệ thống được bảo vệ sau đồ tiền hành phân tích những thông tin đồ theo các cách khác nhau đễ phát hiện những xâm nhập trái phép "Một hệ thống phát hiện xâm nhập trái phép cần thỏa mãn những yêu cầu sau: - Tính chính xác - Hiệu năng. - Tính trọn vẹn. - Khả năng mỡ rộng "Hình 1. Hệ thống chống xâm nhập IDS 1.

Tink nang cia IDS - Giám sắt lưu lượng mang và các hoạt động khả nghỉ. - Cảnh báo về tình trạng mạng cho hệ thống và nhà quản trị. - Kết hợp với các hệ thống giám sát, tường lửa, điệt virus tạo thành một hệ thống bảo mật hoàn chính. Phân loại IDS Cách thông thường nhất để phân loại các hệ thống IDS là đựa vào đặc điểm của nguồn đữ liệu thu thập được.

Trong trường hợp này, các hệ thống. IDS duge chia thành các loại sau: - Host-based IDS (HIDS): Sử dụng dữ liệu kiểm tra từ một máy tram đơn đề phát hiện xâm nhập. - Nevork-based IDS (NIDS): Sử đụng dữ liệu trên toàn bộ lưu thông mạng, cùng với đữ liệu kiểm tra từ một hoặc một vài máy trạm để phát hiện. Network based IDS ~ NIDS 'NIDS thường bao gồm có hai thành phân logic: Hinh 1.

Mé hin Network based IDS - NIDS - Bộ cảm biến — Sensor: đặt tại một đoạn mạng, kiểm soát các cuộc lưu. thông nghỉ ngờ trên đoạn mạng đó. - Trạm quản lý: nhận các tín hiệu cảnh báo từ bộ căm biến và thô 1g bao cho một điều hành viên. Một NIDS truyền thống với hai bộ cảm biến trên các đoạn mạng khác nhau cùng giao tiếp với một trạm kiểm soát.

Thiêm, + Chiphi thép + Phát hiện được các cuộc tấn công mà HIDS bô qua: Khác với HIDS, 'NIDS kiểm tra header ca tit ca các gói tin vì thế nô không bỏ sốt các đấu hiệu xuất phát từ + _ Khô xoá bỏ đầu vết (evidence) + Phát hiện và đối phô kịp thời + _ Có tính độc lập cao Nhược điểm + Bihan ché véi Switch + Han chế về hiệu năng 10 ~ _ Tăng thông lượng mạng + _ Một hệ thống NIDS thường gặp khó khăn trong việc xử lý các cuộc tấn công trong một phiên được mã hoá. Lỗi này càng trỡ nên trầm trọng khi nhiều công ty và tổ chức đang áp đụng mạng riêng ảo VPN. + Một số hệ thống NIDS cũng gặp khó khăn khi phát hiện các cuộc tấn công mạng từ các gõi tin phân mãnh. Các gối tin định đạng sai này có thể làm cho NIDS hoạt động sai và đô vỡ.

Host based IDS~ HIDS Host-based IDS tim kiếm dấu hiệu của xâm nhập vào một host cục bộ; thường sử đụng các cơ chế kiểm tra và phân tích các thông tin được logging. ‘No tìm kiếm các hoạt động bất thường như login, truy nhập file không thích hợp, bước leo thang các đặc quyền không được chấp nhận. Kiến trúc IDS này thường dựa trên các luật (rule-baseđ) đề phân tích. Ví dụ: đặc quyền của người sử dụng cấp cao chỉ có thể đạt được thông qua lệnh su-select user, như vậy những cố gắng liên tục dé login vào account root có thê được coi là một cuộc tấn công.

Mô bình Hest based IDS ~ HIDS Vu diém + _ Xác định được kết quả của cuộc tấn công 1 + _ Giám sát được các hoạt động cụ thể của hệ thống. + Phát hiện các xâm nhập mã NIDS bỏ qua. * _ Thích nghỉ tốt với môi trường chuyên mạch, mã hoá. ~ _ Không yêu cầu thêm phin cing Nhược điểm.

+ Khô quân trị * _ Thông tin nguồn không an toàn. ~ _ Hệ thống host-baseđ tương đối đắt ~_ Chiểm tài nguyên hệ thống. "Mỗi thành phần tham gia trong kiến trúc mạng đều có chức năng, điểm mạnh, điểm yếu khác nhau. Sử đụng, khai thác đúng mục đích sẽ đem lại hiệu.

IDS là một trong những thành phần quan trọng trong các giải pháp 'bảo vệ hệ thống. Khi triển khai có thê giúp hệ thống: ~ Theo đối các hoạt động bắt thường đối với hệ thống. ~ Xác định ai đang tác động đến hệ thống và cách thức nhưu thế nào. - Các hoạt động xâm nhập xây ra tai vi trí nào trong cầu tric mang.

Cơ chế hoạt động của hệ thống IDS Có hai cách p cin cơ bản với việc phát hiện và phòng chống xâm nhập là: - Phát hiện sự lạm đụng (Misuse Detection Model): Hệ thống sẽ phát hiện các xâm nhập bằng cách tìm kiếm các hành động tương ứng với các kĩ 'thuật xâm nhập đã được biết đến (đựa trên các đấu hiệu - signatures) hoặc các điểm dễ bị tấn công của hệ thống. - Phát hiện sự bất thường (Anomaly Detection Model): Hệ thống sẽ phát hiện các xâm nhập bằng cách tìm kiếm các hành động khác với hành vỉ 'thông thường của người đùng hay hệ thống. Phát hiện sự lạm dung [1] Phát hiện sự lam dung 1a phat hiện những kẻ xâm nhập đang có ging đột nhập vào hệ thống mà sử dụng một số kỹ thuật đã b 'Nö liên quan đến việc mô tả đặc điểm các cách thức xâm nhập vào hệ thống đã được biết đến, mỗi cách thức này được mô tâ như một mẫu. Ở đây, ta sử dụng thuật ngữ kjch bẩn xâm nhập (intrusion scenario).

Một hệ thống phát hiện sự lạm đụng điễn hình sẽ liên tục so sánh hành động. của hệ thống hiện tại với một tập các kịch bản sâm nhập dé c găng đò ra. kịch bản đang được tiền hành. Hệ thống này có thể xem xét hành động hiện.

tại của hệ thống được bảo vệ trong thời gian thực hoặc có thể là các bản ghỉ kiểm tra được ghi lại bởi hệ điều hành. Các kỹ thuật để phát hiện sự lạm dụng khác nhau ở cách thức mà chúng mô hình hoá các hành vĩ chỉ định một sự xâm nhập. Các hệ thống phát hiện sự lạm dụng thế hệ đầu tiên sử đụng các luật (rules) đẻ mô tả những gì mà các nhà quản trị an ninh tìm kiếm trong hệ thống. Một lượng lớn tập luật được tích luỹ dẫn đến khó có thê hiểu và sửa đổi bởi vì chúng không được tạo thành.

từng nhóm một cách hợp lý trong một kịch bản xâm nhập. Để giải quyết khó khăn này, các hệ thống thể hệ thứ hai đưa ra các biểu. diễn kịch bản xen kẽ, bao gồm các tổ chức luật đựa trên mô hình và các biểu. diễn về phép biển đổi trạng thái.

Điều này sẽ mang tính hiệu quả hơn đối với người đùng hệ thống cần đến sự biểu diễn và hiểu rõ ràng về các kịch bản.