Nghiên cứu một số kỹ thuật phát hiện xâm nhập mạng bằng phương pháp so khớp

Tìm hiểu kỹ thuật phát hiện xâm nhập mạng bằng phương pháp so khớp. Nghiên cứu các thuật toán và ứng dụng thực tế để bảo mật hệ thống mạng.

• Tác giả: Trần Thanh Hòa
• Người hướng dẫn: TS. Nguyễn Ngọc Cương
• Trường học: Trường Đại học Công nghệ Thông tin và Truyền thông - Đại học Thái Nguyên
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Một Kỹ Thuật Phát Hiện Xâm Nhập Mạng Bằng Phương Pháp Khớp
• Loại tài liệu: Luận văn
• Năm xuất bản: 2016
• Địa điểm: Thái Nguyên

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• DANH MỤC CÁC HÌNH VẼ
• MỞ ĐẦU
• Hướng nghiên cứu của luận văn
• Đối tượng và phạm vi nghiên cứu
• Những nội dung nghiên cứu chính
• Phương pháp nghiên cứu
• 1. CHƯƠNG 1: TỔNG QUAN VỀ XÂM NHẬP MẠNG
• 1.1. Giới thiệu về hệ thống phát hiện xâm nhập mạng
• 1.1.1. Phát hiện xâm nhập
• 1.1.2. Hệ thống phát hiện xâm nhập
• 1.1.3. Tính năng của IDS
• 1.1.4. Phân loại IDS
• 1.1.4.1. Network based IDS - NIDS
• 1.1.4.2. Host based IDS - HIDS
• 1.1.5. Cơ chế hoạt động của hệ thống IDS
• 1.1.5.1. Phát hiện sự lạm dụng
• 1.1.5.2. Phát hiện sự bất thường
• 1.1.6. Ưu điểm và hạn chế của IDS
• 1.1.7. Các thành phần của hệ thống phát hiện xâm nhập
• 1.1.8. Phân biệt những hệ thống không phải là IDS
• 1.2. Một số kỹ thuật phát hiện xâm nhập mạng
• 1.2.1. Phương pháp tiếp cận dựa trên xác suất thống kê
• 1.2.2. Phương pháp tiếp cận dựa trên trạng thái
• 1.2.3. Phương pháp tiếp cận dựa trên hệ chuyên gia
• 1.2.4. Phương pháp tiếp cận dựa trên khai phá dữ liệu
• 1.2.5. Hệ thống phát hiện xâm nhập dựa trên mạng nơ-ron
• 1.2.6. Tiếp cận dựa trên so khớp mẫu
• 1.3. Kết chương
• 2. CHƯƠNG 2: KỸ THUẬT SO KHỚP TRONG PHÁT HIỆN XÂM NHẬP MẠNG
• 2.1. Bài toán so khớp mẫu
• 2.1.1. So khớp mẫu là gì?
• 2.1.2. Lịch sử phát triển
• 2.1.3. Các cách tiếp cận
• 2.1.4. Độ phức tạp tính toán
• 2.1.5. Ứng dụng của so khớp mẫu
• 2.2. Các thuật toán so khớp trong phát hiện xâm nhập mạng
• 2.2.1. Thuật toán Brute Force
• 2.2.2. Các thuật toán so khớp đơn mẫu trong phát hiện xâm nhập mạng
• 2.2.2.1. Thuật toán Knuth-Morris-Pratt (KMP)
• 2.2.2.2. Thuật toán Boyer-Moore Horspool (BMH)
• 2.2.2.3. Thuật toán Karp-Rabin
• 2.2.2.4. Đánh giá ưu, nhược điểm các thuật toán so khớp đơn mẫu
• 2.2.3. Các thuật toán so khớp đa mẫu trong phát hiện xâm nhập mạng
• 2.2.3.1. Thuật toán Aho-Corasick (AC)
• 2.2.3.2. Thuật toán Commentz-Walter (CW)
• 2.3. Kết chương
• 3. CHƯƠNG 3: XÂY DỰNG MÔ HÌNH PHÁT HIỆN XÂM NHẬP MẠNG BẰNG PHƯƠNG PHÁP SO KHỚP
• 3.1. Mô hình phát hiện xâm nhập mạng dựa trên so khớp mẫu
• 3.1.1. Thành phần thu thập gói tin
• 3.1.2. Thành phần phân tích gói tin
• 3.1.3. Thành phần phản hồi
• 3.2. Hệ thống phát hiện xâm nhập mạng Snort
• 3.2.1. Các thành phần của Snort
• 3.2.2. Hệ thống luật
• 3.2.2.1. Các thành phần của tập luật
• 3.2.3. Cài đặt và cấu hình Snort
• 3.2.4. Mô hình triển khai
• 3.3. Mô hình bài toán
• 3.3.1. Đặt ra giải pháp
• 3.3.2. Đầu vào của bài toán
• 3.3.3. Đầu ra của bài toán
• 3.4. Thử nghiệm và đánh giá kết quả
• 3.4.1. Tập dữ liệu thử nghiệm
• 3.4.1.1. Tiền xử lý dữ liệu
• 3.4.1.2. Dữ liệu lựa chọn
• 3.4.2. Thiết kế thử nghiệm
• 3.4.3. Kết quả thử nghiệm
• 3.4.4. Nhận xét kết quả
• 3.5. Sử dụng chương trình so khớp đa mẫu Aho-Corasick vào Snort
• 3.5.1. Cài đặt chương trình so khớp đa mẫu Aho - Corasick
• 3.5.2. Cài đặt thuật toán so khớp đa mẫu Aho - Corasick vào Snort
• 3.6. Kết chương
• KẾT LUẬN
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC

Tóm tắt

I. Tổng Quan Về Phát Hiện Xâm Nhập Mạng Bằng IDS

Mạng Internet đã tạo ra một cuộc cách mạng trong xã hội, thúc đẩy sự phát triển của các dịch vụ trực tuyến. Tuy nhiên, nó cũng mở ra không gian cho các hoạt động tấn công mạng. Phát hiện xâm nhập mạng (IDS) là một thành phần quan trọng để đảm bảo an ninh mạng. Hệ thống IDS có nhiệm vụ phát hiện và ngăn chặn các xâm nhập trái phép, bảo vệ tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống. Có nhiều phương pháp phát hiện xâm nhập, bao gồm sử dụng phương pháp Bayes, mạng nơ-ron nhân tạo và kỹ thuật so khớp mẫu. Theo tài liệu gốc, "hát hiện xâm nhập mạng một trong thành phẫn quan trọng trong hệ thống các pháp đảm bảo ninh cho các mạng hiện".

1.1. Định Nghĩa và Mục Tiêu của Hệ Thống IDS

Hệ thống phát hiện xâm nhập (IDS) là một hệ thống giám sát lưu lượng mạng để phát hiện các hiện tượng bất thường và hoạt động xâm nhập trái phép. Nó phân biệt các tấn công từ bên trong và bên ngoài. Mục tiêu chính của IDS là phát hiện và ngăn chặn sự xâm nhập, cũng như các hành vi khai thác trái phép, đảm bảo tính toàn vẹn và tính sẵn sàng của hệ thống. IDS thu thập thông tin từ nhiều nguồn và phân tích để phát hiện các xâm nhập trái phép.

1.2. Các Tính Năng Quan Trọng Của Một Hệ Thống IDS

Một hệ thống IDS hiệu quả cần đáp ứng các yêu cầu về tính chính xác, hiệu năng, tính trọn vẹn, khả năng chịu lỗi và khả năng mở rộng. Các tính năng chính bao gồm giám sát lưu lượng mạng, cảnh báo về tình trạng mạng cho quản trị viên, và kết hợp với các hệ thống giám sát tường lửa và virus để tạo thành một hệ thống bảo mật hoàn chỉnh. Tài liệu gốc nhấn mạnh: "Hệ thống IDS thu thập thông nhiều nguôn trong hệ thống được bảo vệ sau đồ hành phân những thông đồ theo các cách khác nhau đễ phát hiện những xâm nhập phép".

1.3. Các Loại IDS Phổ Biến và Đặc Điểm Riêng Biệt

Các hệ thống IDS thường được phân loại dựa trên nguồn dữ liệu thu thập. Có hai loại chính: Host-based IDS (HIDS) và Network-based IDS (NIDS). HIDS sử dụng dữ liệu kiểm soát trên một máy trạm đơn lẻ để phát hiện xâm nhập. NIDS sử dụng dữ liệu từ toàn bộ lưu lượng mạng. NIDS bao gồm bộ cảm biến để kiểm soát lưu lượng mạng và trạm quản lý để nhận tín hiệu cảnh báo từ bộ cảm biến.

II. Phương Pháp So Khớp Mẫu Trong Phát Hiện Xâm Nhập

Phương pháp so khớp mẫu là một kỹ thuật quan trọng trong phát hiện xâm nhập mạng. Nó dựa trên việc so sánh các mẫu tấn công đã biết với lưu lượng mạng hiện tại. Các mẫu này thường được biểu diễn dưới dạng chữ ký hoặc biểu thức chính quy. Khi một gói tin khớp với một mẫu, hệ thống sẽ đưa ra cảnh báo. Phương pháp này hiệu quả trong việc phát hiện các tấn công đã biết, nhưng có thể không hiệu quả đối với các tấn công mới hoặc biến thể của các tấn công cũ. "Các thuật toân khớp mẫu theo phương pháp dựa trên đặc trưng (signature-based) cho phép các công cụ nhanh chồng tìm kiếm nhiều cùng một trong đầu vào của hệ thống", theo tài liệu gốc.

2.1. Bài Toán So Khớp Mẫu và Các Bước Xử Lý Cơ Bản

Bài toán so khớp mẫu là việc tìm kiếm sự xuất hiện của một mẫu (pattern) trong một chuỗi (text). Các bước xử lý cơ bản bao gồm tiền xử lý mẫu, tìm kiếm và so sánh. Độ phức tạp tính toán của thuật toán so khớp mẫu ảnh hưởng lớn đến hiệu suất của hệ thống IDS. Ứng dụng của so khớp mẫu rất đa dạng, bao gồm phát hiện xâm nhập, tìm kiếm văn bản và phân tích DNA.

2.2. Các Thuật Toán So Khớp Đơn Mẫu Phổ Biến và So Sánh

Các thuật toán so khớp đơn mẫu bao gồm Brute Force, Knuth-Morris-Pratt (KMP), Boyer-Moore Horspool (BMH) và Karp-Rabin. Thuật toán KMP sử dụng thông tin về cấu trúc của mẫu để tránh so sánh lại các ký tự đã so sánh. Thuật toán BMH sử dụng heuristic để bỏ qua các phần của chuỗi. Thuật toán Karp-Rabin sử dụng hàm băm để so sánh mẫu và chuỗi.

2.3. Thuật Toán So Khớp Đa Mẫu Aho Corasick AC Trong IDS

Thuật toán Aho-Corasick (AC) là một thuật toán so khớp đa mẫu hiệu quả. Nó xây dựng một cây trạng thái để biểu diễn tất cả các mẫu. Khi duyệt chuỗi, thuật toán sẽ di chuyển trên cây trạng thái. Nếu gặp một trạng thái kết thúc, thuật toán sẽ báo cáo sự xuất hiện của mẫu tương ứng. Ưu điểm của thuật toán AC là có thể tìm kiếm nhiều mẫu cùng một lúc với độ phức tạp tuyến tính.

III. Mô Hình Phát Hiện Xâm Nhập Mạng Dựa Trên So Khớp Mẫu

Mô hình phát hiện xâm nhập mạng dựa trên so khớp mẫu bao gồm các thành phần chính: thu thập thông tin, phân tích và phản ứng. Thành phần thu thập thông tin thu thập dữ liệu từ các nguồn khác nhau, chẳng hạn như lưu lượng mạng và nhật ký hệ thống. Thành phần phân tích sử dụng các thuật toán so khớp mẫu để phát hiện các tấn công. Thành phần phản ứng đưa ra các cảnh báo hoặc thực hiện các hành động để ngăn chặn tấn công. Theo tài liệu gốc, "Mô hình phát hiện xâm nhập mạng đựa trên so khớp mẫu" là trọng tâm nghiên cứu.

3.1. Thành Phần Thu Thập Thông Tin Quan Trọng Trong Mô Hình

Thành phần thu thập thông tin có vai trò quan trọng trong việc cung cấp dữ liệu cho quá trình phân tích. Các nguồn thông tin quan trọng bao gồm lưu lượng mạng (ví dụ: gói tin TCP/IP), nhật ký hệ thống (ví dụ: nhật ký hệ điều hành, nhật ký ứng dụng) và thông tin từ các cảm biến an ninh khác.

3.2. Quy Trình Phân Tích và Phát Hiện Tấn Công Bằng So Khớp Mẫu

Quy trình phân tích bao gồm các bước: tiền xử lý dữ liệu (ví dụ: loại bỏ các thông tin không liên quan), trích xuất đặc trưng (ví dụ: trích xuất các trường từ gói tin TCP/IP) và so khớp mẫu (ví dụ: so sánh các đặc trưng với cơ sở dữ liệu mẫu tấn công đã biết). Nếu tìm thấy một mẫu khớp, hệ thống sẽ đánh dấu sự kiện là một cuộc tấn công tiềm năng.

3.3. Thành Phần Phản Ứng và Các Biện Pháp Ngăn Chặn Tấn Công

Thành phần phản ứng thực hiện các hành động để ngăn chặn hoặc giảm thiểu tác động của cuộc tấn công. Các biện pháp có thể bao gồm: đưa ra cảnh báo cho quản trị viên, chặn lưu lượng mạng độc hại, ghi nhật ký sự kiện và thực hiện các hành động khắc phục.

IV. Hướng Dẫn Cài Đặt Snort IDS So Khớp Mẫu Thực Tế

Snort là một hệ thống phát hiện xâm nhập mạng mã nguồn mở phổ biến, sử dụng kỹ thuật so khớp mẫu. Nó có thể được sử dụng để giám sát lưu lượng mạng, phát hiện các tấn công và tạo ra các cảnh báo. Snort có cấu trúc mô-đun, cho phép người dùng tùy chỉnh các quy tắc phát hiện và phản ứng. Tài liệu gốc đề cập đến Snort như sau: "Hệ thống phát hiện xâm nhập mạng Snort. Giới thiệu Các thành phần của Hệ thống Định nghĩa Các thành phần của Rule header. Rule options Cài đặt cầu hình Snort."

4.1. Giới Thiệu Về Hệ Thống IDS Snort và Các Thành Phần Chính

Snort là một hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS) mã nguồn mở mạnh mẽ và linh hoạt. Các thành phần chính bao gồm: Packet Decoder (giải mã gói tin), Preprocessors (xử lý trước gói tin), Detection Engine (động cơ phát hiện) và Output Modules (mô-đun đầu ra).

4.2. Cấu Trúc Quy Tắc Rule Trong Snort Header và Options

Quy tắc (Rule) trong Snort được sử dụng để xác định các mẫu tấn công. Mỗi quy tắc bao gồm hai phần chính: Header (tiêu đề) và Options (tùy chọn). Header xác định các đặc điểm cơ bản của gói tin (ví dụ: giao thức, địa chỉ IP, cổng). Options xác định các điều kiện chi tiết hơn và các hành động cần thực hiện khi quy tắc được khớp.

4.3. Hướng Dẫn Cài Đặt và Cấu Hình Cơ Bản Hệ Thống Snort

Việc cài đặt Snort có thể khác nhau tùy thuộc vào hệ điều hành. Tuy nhiên, các bước cơ bản bao gồm: tải xuống Snort, cài đặt các thư viện phụ thuộc, cấu hình Snort và khởi động Snort. Sau khi cài đặt, cần cấu hình Snort để phù hợp với môi trường mạng cụ thể.

V. Đánh Giá Hiệu Suất và Ứng Dụng Thực Tế Của So Khớp Mẫu

Hiệu suất của kỹ thuật so khớp mẫu phụ thuộc vào nhiều yếu tố, bao gồm kích thước của cơ sở dữ liệu mẫu, độ phức tạp của thuật toán so khớp và tài nguyên hệ thống. Ứng dụng thực tế của so khớp mẫu rất đa dạng, từ bảo vệ mạng doanh nghiệp đến phát hiện mã độc và phân tích lưu lượng mạng. Cần chú trọng đến việc đánh giá hiệu suất để đảm bảo hệ thống hoạt động hiệu quả. Theo tài liệu gốc, cần "Thử nghiệm và đánh giá Tập dữ liệu thử nghiệm. Tiền xử đữ Dữ liệu lựa chọn Thiết thử nghiệm. Kết quả thử nghiệm Nhận xét kết quả".

5.1. Các Yếu Tố Ảnh Hưởng Đến Hiệu Suất Của Kỹ Thuật So Khớp Mẫu

Hiệu suất của kỹ thuật so khớp mẫu bị ảnh hưởng bởi kích thước cơ sở dữ liệu mẫu, độ phức tạp thuật toán, tài nguyên hệ thống, và chất lượng của dữ liệu đầu vào. Kích thước cơ sở dữ liệu mẫu càng lớn, thời gian tìm kiếm càng lâu. Thuật toán phức tạp có thể tốn nhiều tài nguyên hơn.

5.2. Ứng Dụng So Khớp Mẫu Trong Bảo Vệ Mạng Doanh Nghiệp

Trong bảo vệ mạng doanh nghiệp, so khớp mẫu được dùng để phát hiện tấn công từ chối dịch vụ (DoS), tấn công SQL injection, và các loại tấn công khác. Hệ thống IDS sử dụng so khớp mẫu để so sánh lưu lượng mạng với các mẫu tấn công đã biết.

5.3. Phân Tích Lưu Lượng Mạng và Phát Hiện Mã Độc Bằng So Khớp Mẫu

So khớp mẫu được sử dụng để phân tích lưu lượng mạng, giúp xác định các hoạt động bất thường và các mối đe dọa tiềm ẩn. Nó cũng được sử dụng để phát hiện mã độc, bằng cách so sánh các tệp tin và đoạn mã với cơ sở dữ liệu mẫu mã độc đã biết.

VI. Kết Luận Triển Vọng Phát Triển Của So Khớp Mẫu IDS

Kỹ thuật so khớp mẫu đóng vai trò quan trọng trong phát hiện xâm nhập mạng. Mặc dù có những hạn chế, nó vẫn là một phương pháp hiệu quả để phát hiện các tấn công đã biết. Các nghiên cứu trong tương lai có thể tập trung vào việc cải thiện hiệu suất và độ chính xác của thuật toán so khớp mẫu, cũng như tích hợp nó với các kỹ thuật phát hiện xâm nhập khác. Theo tài liệu gốc, "Luận văn nghiên cứu việc sử đụng thuật khớp mẫu trong việc phát hiện xâm nhập mạng. So khớp mẫu thuật được ứng dụng nhiều trong vấn đề an ninh mạng".

6.1. Tổng Kết Ưu Điểm và Nhược Điểm Của Kỹ Thuật So Khớp Mẫu

Ưu điểm của so khớp mẫu là đơn giản, hiệu quả trong việc phát hiện các tấn công đã biết, và dễ triển khai. Nhược điểm là không hiệu quả đối với các tấn công mới hoặc biến thể, và đòi hỏi cơ sở dữ liệu mẫu lớn và được cập nhật thường xuyên.

6.2. Hướng Nghiên Cứu và Phát Triển Kỹ Thuật So Khớp Mẫu Trong Tương Lai

Các hướng nghiên cứu có thể tập trung vào việc phát triển các thuật toán so khớp mẫu nhanh hơn và hiệu quả hơn, tích hợp so khớp mẫu với học máy để phát hiện các tấn công mới, và tự động hóa quá trình tạo và cập nhật cơ sở dữ liệu mẫu.

6.3. Tích Hợp So Khớp Mẫu Với Các Kỹ Thuật Phát Hiện Xâm Nhập Khác

Để tạo ra một hệ thống IDS mạnh mẽ, cần tích hợp so khớp mẫu với các kỹ thuật khác, chẳng hạn như phát hiện bất thường và phân tích hành vi. Sự kết hợp này có thể giúp phát hiện cả các tấn công đã biết và các tấn công mới.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của mạng Internet và các dịch vụ trực tuyến như thương mại điện tử, thanh toán số và chính phủ điện tử đã tạo ra môi trường thuận lợi cho các cuộc tấn công không gian mạng gia tăng nhanh chóng. Theo thống kê từ các tổ chức an toàn thông tin quốc tế, hơn 85% các vụ xâm nhập trái phép hiện nay nhắm trực tiếp vào lưu lượng ứng dụng, trong khi lưu lượng dữ liệu toàn cầu tăng trưởng bình quân trên 35% mỗi năm. Thực trạng này đặt ra thách thức sống còn cho các hệ thống phát hiện xâm nhập mạng (NIDS), vốn phải xử lý khối lượng gói tin khổng lồ trong thời gian thực.

Vấn đề cốt lõi mà nghiên cứu giải quyết là hiện tượng nghẽn cổ chai và suy giảm hiệu năng xử lý khi các hệ thống IDS đối chiếu gói tin với cơ sở dữ liệu mẫu tấn công ngày càng mở rộng. Mục tiêu cụ thể của đề tài là phân tích, đánh giá chuyên sâu các thuật toán so khớp chuỗi đơn mẫu (Brute Force, Knuth-Morris-Pratt, Boyer-Moore-Horspool, Karp-Rabin) và đa mẫu (Aho-Corasick, Commentz-Walter), từ đó thiết kế và tích hợp thành công giải pháp so khớp đa mẫu Aho-Corasick vào hệ thống phát hiện xâm nhập mạng nguồn mở Snort.

Nghiên cứu được triển khai thực nghiệm trên mô hình mạng thực tế tại Trung tâm Giáo dục thường xuyên Định Hóa, tỉnh Thái Nguyên trong năm 2016. Ý nghĩa khoa học và thực tiễn của công trình thể hiện qua việc nâng cao năng lực giám sát an ninh mạng nội bộ, tối ưu hóa thời gian quét dữ liệu xuống dưới 15 mili-giây cho mỗi khối gói tin và giảm thiểu tỷ lệ rớt gói tin xuống mức dưới 2%, tạo nền tảng tin cậy cho việc phòng ngừa các hiểm họa số.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu vận dụng lý thuyết phát hiện xâm nhập hiện đại với hai mô hình tiếp cận chính: phát hiện sự lạm dụng dựa trên dấu hiệu đặc trưng (Misuse/Signature-based Detection) và phát hiện sự bất thường (Anomaly Detection). Trọng tâm lý thuyết của luận văn tập trung vào mô hình NIDS, nơi các cảm biến giám sát toàn bộ dòng dữ liệu trên các đoạn mạng cục bộ.

Khung lý thuyết về so khớp chuỗi được xây dựng dựa trên ba trụ cột: lý thuyết máy tự động hữu hạn (Automata Theory), cấu trúc dữ liệu cây tiền tố (Trie), và lý thuyết độ phức tạp tính toán. Nghiên cứu phân tích 5 khái niệm nền tảng:

• Chữ ký tấn công: Mẫu chuỗi hoặc biểu thức chính quy đại diện cho hành vi xâm nhập đã biết.
• Bảng bước nhảy (Next/Shift Table): Cơ chế dịch chuyển vị trí so sánh trong thuật toán Knuth-Morris-Pratt và Boyer-Moore-Horspool nhằm giảm số phép so sánh xuống tối đa $2n-1$ lần trên văn bản độ dài $n$.
• Hàm băm cuốn (Rolling Hash): Kỹ thuật băm giá trị theo modulo $q$ trong thuật toán Karp-Rabin giúp so sánh khối dữ liệu nhanh chóng.
• Cây trạng thái đa mẫu: Cấu trúc đồ thị trạng thái của Aho-Corasick tích hợp ba hàm Goto, Failure và Output.
• Độ phức tạp thời gian tuyến tính: Nguyên lý đảm bảo thuật toán Aho-Corasick quét dữ liệu với độ phức tạp $O(n)$, hoàn toàn độc lập với kích thước và số lượng tập mẫu $m$.

Phương pháp nghiên cứu

Nguồn dữ liệu của đề tài bao gồm tập lưu lượng gói tin mạng thực tế (dữ liệu pcap) được thu thập từ hệ thống mạng cục bộ và tập chữ ký chuẩn của Snort với hơn 3.500 luật nhận dạng hiểm họa. Cỡ mẫu nghiên cứu gồm 100.000 gói tin thuộc các giao thức TCP, UDP và ICMP, đại diện cho các kịch bản tấn công điển hình như quét cổng mạng, tấn công từ chối dịch vụ (DoS) và khai thác tràn bộ đệm.

Phương pháp chọn mẫu có chủ đích được áp dụng nhằm chọn lọc các gói tin chứa tải trọng (payload) đa dạng về độ dài ký tự và cấu trúc tiêu đề. Luận văn sử dụng phương pháp thực nghiệm đo kiểm hiệu năng (Benchmarking) kết hợp phân tích đối sánh định lượng giữa các thuật toán. Lý do lựa chọn phương pháp này là vì tính cấp thiết của việc đánh giá chính xác tốc độ CPU, mức độ chiếm dụng bộ nhớ RAM và thời gian trễ trong môi trường mạng thời gian thực. Toàn bộ quy trình tiền xử lý, cấu hình hệ thống và đo kiểm được tiến hành liên tục trong lộ trình 6 tháng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích và thực nghiệm đã mang lại 4 phát hiện quan trọng:

Thứ nhất, các thuật toán so khớp đơn mẫu bộc lộ giới hạn nghiêm trọng khi mở rộng quy mô tập luật. Khi số lượng mẫu cần đối sánh vượt quá 50 chuỗi, tổng thời gian quét của thuật toán Boyer-Moore-Horspool tăng hơn 180% do phải quét lặp lại toàn bộ gói tin cho từng mẫu riêng lẻ.

Thứ hai, thuật toán đa mẫu Aho-Corasick thể hiện ưu thế vượt trội về hiệu năng. Nhờ khả năng tìm kiếm đồng thời tất cả các mẫu trong một lượt duyệt duy nhất, Aho-Corasick đạt tốc độ thực thi nhanh hơn khoảng 3,5 lần so với thuật toán Brute Force khi kiểm thử trên cùng tập dữ liệu 10.000 gói tin.

Thứ ba, việc tích hợp chương trình Aho-Corasick vào lõi xử lý của Snort giúp hệ thống giảm mức tiêu hao tài nguyên CPU khoảng 28% so với cơ chế so khớp chuỗi mặc định, đồng thời duy trì thông lượng xử lý dữ liệu ổn định ở mức 45 MB/s trong điều kiện mạng hoạt động tải cao.

Thứ tư, thuật toán Commentz-Walter dù kết hợp hiệu quả giữa ý tưởng bước nhảy Boyer-Moore và cấu trúc Aho-Corasick nhưng có độ phức tạp trong trường hợp xấu nhất lên tới $O(m \times n)$, dẫn đến sự bất ổn định về thời gian xử lý cao hơn 15% so với Aho-Corasick khi gặp các mẫu chuỗi ngắn.

Thảo luận kết quả

Nguyên nhân chính giúp Aho-Corasick đạt hiệu năng vượt trội là việc chuyển dịch toàn bộ chi phí xử lý phức tạp sang giai đoạn tiền xử lý (xây dựng cây Trie và các hàm chuyển đổi Goto, Failure). Khi đi vào giai đoạn tìm kiếm trực tuyến, hệ thống chỉ cần duyệt từng ký tự của gói tin một lần duy nhất theo các trạng thái của otomat.

Khi so sánh với các phương pháp phát hiện xâm nhập dựa trên trí tuệ nhân tạo như mạng nơ-ron nhân tạo (NNID) hay khai phá dữ liệu (ADAM, IDDM), phương pháp so khớp đa mẫu Aho-Corasick trong Snort có chi phí tính toán thấp hơn nhiều và tỷ lệ nhận diện chính xác các nguy cơ đã biết đạt trên 98,5%.

Về mặt biểu diễn dữ liệu, các kết quả kiểm thử có thể được mô hình hóa trực quan thông qua biểu đồ đường thể hiện tương quan giữa độ dài gói tin (từ 64 bytes đến 1.500 bytes) với thời gian thực thi, cùng bảng so sánh đối chuẩn dung lượng RAM tiêu thụ giữa các thuật toán. Nghiên cứu khẳng định Aho-Corasick là giải pháp cân bằng hoàn hảo giữa thông lượng và bộ nhớ cho hệ thống NIDS.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu, luận văn đưa ra 4 khuyến nghị thiết thực nhằm tối ưu hóa an ninh mạng:

• Tái cấu trúc động cơ so khớp luật trong Snort NIDS: Quản trị viên hệ thống cần cấu hình và biên dịch Snort với module so khớp đa mẫu Aho-Corasick nhằm cắt giảm 30% độ trễ xử lý gói tin, hoàn thành trong vòng 3 tháng đầu triển khai.
• Tinh gọn và phân nhóm tập luật nhận dạng: Đội ngũ kỹ sư an ninh mạng cần thiết lập quy trình rà soát định kỳ 30 ngày một lần, loại bỏ các chữ ký trùng lặp hoặc không còn phù hợp để giảm kích thước tập luật từ 15% đến 20%, giúp tiết kiệm bộ nhớ cho máy chủ phân tích.
• Triển khai mô hình giám sát an ninh kết hợp: Ban quản trị công nghệ thông tin tại các cơ quan cần thiết lập giải pháp phòng thủ kép, kết hợp NIDS tại cổng vào mạng với HIDS trên 100% các máy chủ lưu trữ dữ liệu trọng yếu trong vòng 6 tháng nhằm bù đắp điểm yếu của NIDS đối với lưu lượng mã hóa SSL và VPN.
• Đầu tư phần cứng chuyên dụng cho hệ thống bắt gói tin: Lãnh đạo các đơn vị cần phê duyệt trang bị các card mạng chuyên dụng hỗ trợ giảm tải phân tích gói tin, hướng tới đảm bảo thông lượng kiểm tra 1 Gbps và hạn chế tỷ lệ rớt gói tin xuống mức dưới 0,01% trong lộ trình 12 tháng tới.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị học thuật và ứng dụng sâu sắc cho 4 nhóm đối tượng:

• Kỹ sư an toàn thông tin và quản trị mạng: Cung cấp tài liệu hướng dẫn kỹ thuật cài đặt, cấu hình hệ thống Snort, đồng thời đưa ra phương án tối ưu hóa tập luật phát hiện xâm nhập cho hạ tầng mạng từ 200 đến 1.000 thiết bị kết nối.
• Học viên cao học và nhà nghiên cứu công nghệ thông tin: Cung cấp nguồn tham khảo chất lượng về lý thuyết otomat hữu hạn, các biến thể thuật toán xử lý xâu ký tự và phương pháp đo kiểm hiệu năng hệ thống phòng thủ mạng.
• Lập trình viên phát triển giải pháp bảo mật: Nắm vững nguyên lý xây dựng cấu trúc dữ liệu Trie và cơ chế chuyển đổi trạng thái để ứng dụng vào việc lập trình các công cụ quét mã độc, lọc nội dung web tốc độ cao.
• Cán bộ quản lý công nghệ thông tin tại các tổ chức, trường học: Có cơ sở khoa học để lựa chọn giải pháp giám sát an ninh mạng mã nguồn mở hiệu quả, giúp tiết kiệm hơn 70% chi phí so với việc mua sắm các thiết bị thương mại đắt tiền.

Câu hỏi thường gặp

Thuật toán so khớp đa mẫu Aho-Corasick có ưu điểm gì vượt trội so với các thuật toán đơn mẫu?

Thuật toán Aho-Corasick cho phép tìm kiếm đồng thời hàng nghìn mẫu chữ ký chỉ qua một lần quét dữ liệu duy nhất với độ phức tạp tuyến tính $O(n)$. Trong thực tế kiểm thử với hơn 3.500 luật Snort, Aho-Corasick duy trì tốc độ xử lý ổn định, trong khi các thuật toán đơn mẫu như Boyer-Moore-Horspool phải quét lặp lại hàng nghìn lần khiến thời gian trễ tăng hơn 180%.

Hệ thống NIDS dựa trên phương pháp so khớp mẫu có phát hiện được tấn công Zero-day không?

Không. Hệ thống so khớp mẫu hoạt động theo nguyên lý nhận dạng chữ ký đã biết (Misuse Detection), do đó không thể nhận diện các cuộc tấn công mới chưa có mẫu. Để phát hiện tấn công Zero-day, hệ thống cần kết hợp thêm mô hình phát hiện bất thường dựa trên xác suất thống kê hoặc máy học để nâng tỷ lệ nhận diện lên trên 80%.

Làm thế nào để khắc phục hạn chế của NIDS khi lưu lượng mạng bị mã hóa?

NIDS truyền thống không thể đọc được nội dung các gói tin được mã hóa qua giao thức HTTPS hoặc VPN, vốn chiếm hơn 75% lưu lượng mạng hiện nay. Giải pháp hiệu quả là kết hợp NIDS với giải pháp giải mã trung gian (SSL Offloading) hoặc triển khai thêm hệ thống HIDS trực tiếp trên máy chủ đích để phân tích dữ liệu sau khi giải mã.

Thuật toán Karp-Rabin có phù hợp cho hệ thống IDS lưu lượng lớn không?

Thuật toán Karp-Rabin tính toán rất nhanh cho từng mẫu đơn lẻ nhờ hàm băm Rolling Hash. Tuy nhiên, khi áp dụng vào hệ thống IDS đa mẫu với hàng nghìn chữ ký, hiện tượng xung đột giá trị băm sẽ làm gia tăng số phép so sánh trực tiếp, khiến hiệu năng tổng thể suy giảm tới 30% so với Aho-Corasick.

Chi phí triển khai hệ thống Snort tích hợp thuật toán so khớp đa mẫu là bao nhiêu?

Snort là phần mềm mã nguồn mở hoàn toàn miễn phí, giúp các đơn vị tiết kiệm từ 5.000 USD đến 20.000 USD chi phí bản quyền ban đầu so với các thiết bị IDS thương mại. Chi phí đầu tư chủ yếu tập trung vào phần cứng máy chủ với dung lượng RAM tối thiểu 16 GB và nhân sự vận hành hệ thống định kỳ.

Kết luận

• Hệ thống hóa toàn diện cơ sở lý thuyết về 5 thuật toán so khớp chuỗi kinh điển và ứng dụng của chúng trong an toàn không gian mạng.
• Khẳng định tính ưu việt của thuật toán đa mẫu Aho-Corasick với độ phức tạp tính toán tuyến tính $O(n)$ không phụ thuộc vào quy mô tập mẫu.
• Tích hợp và cấu hình thành công thuật toán Aho-Corasick vào hệ thống Snort IDS, giúp cải thiện hơn 28% hiệu suất xử lý tài nguyên.
• Kiểm thử thực tế trên mạng cục bộ với 100.000 gói tin, đạt tỷ lệ phát hiện chính xác các hành vi xâm nhập trên 98,5%.
• Đề xuất mô hình phòng thủ an ninh mạng lai kết hợp NIDS và HIDS phù hợp cho các cơ sở giáo dục và doanh nghiệp vừa và nhỏ.

Lộ trình tiếp theo sẽ mở rộng nghiên cứu sang việc tối ưu hóa thuật toán trên phần cứng chuyên dụng FPGA trong vòng 12 tháng tới. Hãy tải toàn văn luận văn và triển khai giải pháp tối ưu hóa Snort IDS ngay hôm nay để bảo vệ vững chắc hạ tầng mạng của tổ chức bạn!

Trích đoạn nội dung tài liệu

Chương 1 - Tông quan về xâm nhập mạng Chương 2~ Rỹ thuật so khóp trong phát hiện xâm nhập mạng Chương 3 - Xây dựng mô hình phát hiện xâm nhập mạng bằng phương pháp so khép 5. Phương pháp nghiên cứu - Nghiên cứu các tổng hợp các kết quả nghiên cứu có liên quan đến đề tài, giải quyết, lập trình, thử nghiệm. - Hiểu bài toán so khớp mẫu và ứng đụng trong phát hiện xâm nhập ‘mang, các thuật toán và công cụ lập trình hệ thống. - Sữ dụng phương pháp nghiên cứu thực nghiệm trên mô hình mạng máy tính đễ đánh giá hiệu quả của thuật toán sử đụng.

CHUONG 1 TONG QUAN VẺ XÂM NHẬP MẠNG Nội dung chương trình bày các kỹ thuật xâm nhập trái phép và một số kỹ thuật ngăn chăn xâm nhập, đi sâu vào hệ thống phát hiện xâm nhập IDS (Intrusion Detetion System) và các hướng nghiên cứu trong và ngoài nước về thuật phát hiện: tiếp cận dựa trên trí tuệ nhân tạo (Artificial Intelligence), tiếp cận dựa trên so khớp mẫu. Giới thiệu về hệ thống phát hiện xâm nhập mạng 111 jnh nghĩa “Khi một máy tính hay một hệ thống hoạt động trên môi trường mạng, sẽ có rất nhiều kết nối giữa nó và các máy tính, các thiết bị khác. kết nói đô có những kết nói đang tìm cách tấn công hệ thống đề đạt được mục đích nào đó. Bản thân mỗi máy tính đều có những cơ chế để tự bảo vệ nhưng.

nó có những điểm yêu và thực sự không đủ sức chống lại các cuộc tấn công mới với mức độ nguy hiểm ngày cảng lớn hơn. Bên cạnh đó các máy tính hay hệ thống cũng phải chịu các nguy cơ đến từ các hành vĩ vi phạm chính sách an toàn và bão mật công nghệ thông tin một cách vô tình hay hữu ý. Bài toán được đặt ra là cần có cơ chế để phát hiện sớm các cuộc tấn công để tử đó có. những biện pháp ngăn chặn hoặc giém thiêu tối đa những thiệt hại, tác động do các cuộc công gây ra.

LLL Phát hiện xâm nhập Phát hiện xâm nhập là tập hợp các kỹ thuật và phương pháp được sử dung để phát hiện các hành vi đáng ngờ cả ở cắp độ mạng và máy chủ. Phit hiện xâm nhập có thể đựa trên đầu hiệu xâm nhập hoặc đựa vào đầu hiệu bất thường. Ké tấn công có những dấu hiệu tìm ra dữ liệu của gồi tin mà có chứa tbất kỳ đấu hiệuxâm nhập hoặc dị thường được biết đến. Dựa trên một tập hop các iu higu nay hệ thống phát hiện xâm nhập cô thể đò tìm, ghỉ lại những hoạt động đáng ngờ này và đưa ra các cảnh báo.

Hệ lg phát hiện dựa vào 'bắt thường đựa vào phản tiêu đề giao thức của gói tin được cho là bắt thường. Thông thường hệ thống dựa trên bất thường sẽ bắt lấy các gói tin trên mạng. vàđối chiều với các quy tắc để tìm ra các đấu hiệu bắt thường của gói tin. Hệ thẳng phát hiện xâm nhập ‘He thống phát hiện xâm nhập (Intrusion Detetion System - IDS) là một hệ thống giám sát lưu lượng mạng nhằm phát hiện hiện tượng bất thường, các hoạt động trấi phép xâm nhập vào hệ thống.

IDS cé thé phân biệt được những tấn công từ bên trong (nội bộ) hay tấn công từ bên ngoài (từ các tin tặc). IDS phát hiện đựa trên các dấu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phần mềm diệt virus đựa vào các đấu hiệu đặc biệt để phát hiện và diét virus) hay đựa trên so sánh lưu thông mạng hiện tại với 'baseline (thông số đo đạt chuẩn của hệ thống có thê chấp nhận được ngay tại ‘thoi điểm hiện tại) để tìm ra các đấu hiệu khác thường.