Luận văn thạc sĩ file word nghiên cứu phương pháp phát hiện mã độc trên máy người dùng sử dụng kỹ thuật mitre attck

Luận văn thạc sĩ nghiên cứu phương pháp phát hiện mã độc trên máy người dùng bằng kỹ thuật MITRE ATT&CK, cung cấp giải pháp bảo mật hiệu quả.

• Tác giả: Nguyễn Thị Hà Lê
• Người hướng dẫn: TS. Đỗ Xuân Chợ
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên cứu phát hiện mã độc trên máy người dùng với kỹ thuật MITRE ATT&CK
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: GIỚI THIỆU VỀ HỆ ĐIỀU HÀNH VÀ PHƯƠNG PHÁP THU THẬP TIẾN TRÌNH
• 1.1. Tổng quan về hệ điều hành
• 1.2. Khái niệm hệ điều hành
• 1.3. Các tính chất của hệ điều hành
• 1.4. Các thành phần của hệ điều hành
• 1.5. Hệ điều hành trên máy người dùng
• 1.6. Hệ điều hành Windows
• 1.7. Một số phương pháp và kỹ thuật thu thập tiến trình trên hệ điều hành
• 1.8. Một số mã độc và lỗ hổng tấn công hệ điều hành
• 1.9. Lỗ hổng bảo mật
• 1.10. Kết luận chương 1
• 2. CHƯƠNG 2: NGHIÊN CỨU VỀ MITRE ATT&CK
• 2.1. Tổng quan về Mitre Att&ck
• 2.2. Giới thiệu về Mitre
• 2.3. Định nghĩa về Mitre ATT&CK
• 2.4. Thành phần của MITRE ATT&CK
• 2.5. Cách xây dựng luật từ Mitre ATT&CK
• 2.6. Nguyên tắc xây dựng tập luật
• 2.7. Ví dụ về một số tập luật được xây dựng từ Mitre ATT&CK
• 2.8. Phương pháp phát hiện mã độc sử dụng Mitre ATT&CK
• 2.9. Kết luận chương 2
• 3. CHƯƠNG 3: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Cài đặt công cụ thu thập tiến trình trên hệ điều hành Window
• 3.2. Cài đặt hệ thống quản lý tiến trình
• 3.3. Cài đặt và cấu hình Elasticsearch
• 3.4. Cài đặt và cấu hình Kibana
• 3.5. Cài đặt và cấu hình Logstash
• 3.6. Một số kết quả thực nghiệm
• 3.7. Kịch bản thực nghiệm
• 3.8. Kịch bản thực nghiệm phát hiện mã độc babuk
• 3.9. Kịch bản thực nghiệm phát hiện mã độc Trickbot
• 3.10. Kịch bản thực nghiệm sử dụng teamview để gửi mã độc sang máy nạn nhân
• 3.11. Kết luận chương 3
• DANH MỤC CÁC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về nghiên cứu phát hiện mã độc với MITRE ATT CK

Nghiên cứu phát hiện mã độc trên máy người dùng là một lĩnh vực quan trọng trong an ninh mạng. Kỹ thuật MITRE ATT&CK cung cấp một khung phân tích mạnh mẽ để hiểu và phát hiện các hành vi mã độc. Việc áp dụng MITRE ATT&CK giúp các tổ chức nâng cao khả năng phát hiện và ứng phó với các mối đe dọa mạng. Nghiên cứu này sẽ đi sâu vào các phương pháp và ứng dụng thực tiễn của MITRE ATT&CK trong việc phát hiện mã độc.

1.1. Khái niệm về MITRE ATT CK và mã độc

MITRE ATT&CK là một cơ sở dữ liệu về các hành vi tấn công mạng. Nó giúp phân loại và mô tả các kỹ thuật mà kẻ tấn công có thể sử dụng. Mã độc là phần mềm độc hại được thiết kế để xâm nhập và gây hại cho hệ thống thông tin. Sự kết hợp giữa hai khái niệm này là rất quan trọng trong việc phát hiện và ứng phó với các mối đe dọa.

1.2. Tầm quan trọng của phát hiện mã độc trong an ninh mạng

Phát hiện mã độc kịp thời giúp bảo vệ thông tin và tài sản của tổ chức. Các cuộc tấn công mạng ngày càng tinh vi, do đó, việc áp dụng các phương pháp phát hiện hiệu quả là cần thiết. Sử dụng MITRE ATT&CK giúp cải thiện khả năng phát hiện và ứng phó với các mối đe dọa.

II. Vấn đề và thách thức trong phát hiện mã độc

Mặc dù có nhiều công cụ và phương pháp phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức. Các mã độc ngày càng tinh vi và có khả năng ẩn nấp tốt hơn. Việc phát hiện dựa trên chữ ký không còn hiệu quả như trước. Do đó, cần có những phương pháp mới để phát hiện mã độc dựa trên hành vi.

2.1. Những khó khăn trong việc phát hiện mã độc

Mã độc hiện nay thường sử dụng các kỹ thuật như mã hóa và xáo trộn để tránh bị phát hiện. Điều này làm cho việc phát hiện trở nên khó khăn hơn. Các phương pháp truyền thống không còn đủ hiệu quả để đối phó với các mối đe dọa này.

2.2. Tác động của mã độc đến hệ thống thông tin

Mã độc có thể gây ra thiệt hại nghiêm trọng cho hệ thống thông tin. Nó có thể đánh cắp dữ liệu, phá hủy thông tin hoặc làm gián đoạn hoạt động của tổ chức. Do đó, việc phát hiện và ứng phó kịp thời là rất quan trọng.

III. Phương pháp phát hiện mã độc hiệu quả với MITRE ATT CK

Sử dụng MITRE ATT&CK để phát hiện mã độc là một phương pháp hiệu quả. Nó cho phép phân tích hành vi của mã độc và xác định các kỹ thuật tấn công. Các phương pháp này bao gồm phân tích hành vi, giám sát hệ thống và sử dụng các công cụ EDR.

3.1. Phân tích hành vi mã độc

Phân tích hành vi mã độc giúp xác định các mẫu hành vi bất thường. Bằng cách theo dõi các hoạt động của hệ thống, có thể phát hiện ra các hành vi đáng ngờ. Điều này giúp nâng cao khả năng phát hiện mã độc.

3.2. Sử dụng công cụ EDR trong phát hiện mã độc

Công cụ EDR (Endpoint Detection and Response) cung cấp khả năng giám sát và phát hiện mã độc trên máy người dùng. Chúng giúp theo dõi các hoạt động và phản ứng kịp thời với các mối đe dọa. Việc tích hợp MITRE ATT&CK vào EDR giúp cải thiện hiệu quả phát hiện.

IV. Ứng dụng thực tiễn của MITRE ATT CK trong phát hiện mã độc

MITRE ATT&CK đã được áp dụng rộng rãi trong nhiều tổ chức để phát hiện mã độc. Các nghiên cứu thực nghiệm cho thấy việc sử dụng MITRE ATT&CK giúp cải thiện khả năng phát hiện và ứng phó với các mối đe dọa. Nhiều tổ chức đã thành công trong việc giảm thiểu rủi ro từ mã độc.

4.1. Kết quả nghiên cứu ứng dụng MITRE ATT CK

Nghiên cứu cho thấy việc áp dụng MITRE ATT&CK giúp phát hiện mã độc hiệu quả hơn. Các tổ chức đã ghi nhận sự giảm thiểu đáng kể trong số lượng sự cố bảo mật. Điều này chứng tỏ rằng MITRE ATT&CK là một công cụ hữu ích trong an ninh mạng.

4.2. Các kịch bản thực nghiệm phát hiện mã độc

Các kịch bản thực nghiệm đã được triển khai để kiểm tra hiệu quả của MITRE ATT&CK. Những kịch bản này giúp xác định các hành vi mã độc và cải thiện khả năng phát hiện. Kết quả cho thấy sự thành công trong việc phát hiện mã độc.

V. Kết luận và tương lai của nghiên cứu phát hiện mã độc

Nghiên cứu phát hiện mã độc với MITRE ATT&CK đã mở ra nhiều hướng đi mới trong an ninh mạng. Tương lai của nghiên cứu này hứa hẹn sẽ mang lại nhiều giải pháp hiệu quả hơn. Việc tiếp tục phát triển và cải tiến các phương pháp phát hiện mã độc là cần thiết để đối phó với các mối đe dọa ngày càng tinh vi.

5.1. Hướng phát triển trong nghiên cứu mã độc

Nghiên cứu cần tiếp tục phát triển các phương pháp phát hiện mã độc dựa trên hành vi. Việc áp dụng trí tuệ nhân tạo và học máy có thể giúp cải thiện khả năng phát hiện. Điều này sẽ giúp các tổ chức bảo vệ tốt hơn trước các mối đe dọa.

5.2. Tương lai của MITRE ATT CK trong an ninh mạng

MITRE ATT&CK sẽ tiếp tục đóng vai trò quan trọng trong việc phát hiện mã độc. Sự phát triển của các kỹ thuật và công cụ mới sẽ giúp nâng cao hiệu quả phát hiện. Các tổ chức cần tích cực áp dụng MITRE ATT&CK để bảo vệ hệ thống thông tin.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin và internet phát triển nhanh chóng, các hệ thống thông tin và người dùng ngày càng đối mặt với nhiều nguy cơ an ninh mạng, đặc biệt là sự gia tăng đa dạng và tinh vi của các loại mã độc. Theo ước tính, các mã độc hiện nay có khả năng ẩn mình qua các phần mềm diệt virus truyền thống bằng kỹ thuật xáo trộn mã và tự thay đổi mã nguồn, khiến việc phát hiện dựa trên chữ ký trở nên kém hiệu quả. Việc tạo chữ ký cho mã độc mới đòi hỏi nhiều thời gian và công sức, dẫn đến cập nhật phần mềm diệt virus chậm, không kịp thời phát hiện các mối đe dọa mới. Do đó, nghiên cứu các phương pháp phát hiện mã độc dựa trên hành vi trở nên cấp thiết nhằm nâng cao hiệu quả phát hiện và phản ứng kịp thời.

Luận văn tập trung nghiên cứu phương pháp phát hiện mã độc trên máy người dùng sử dụng kỹ thuật Mitre ATT&CK, một framework được xây dựng dựa trên các hành vi tấn công thực tế, giúp mô tả chi tiết các chiến thuật và kỹ thuật của kẻ tấn công. Mục tiêu nghiên cứu là phát triển phương pháp phát hiện mã độc hiệu quả trên hệ điều hành Windows, áp dụng kỹ thuật Mitre ATT&CK để xây dựng tập luật phát hiện dựa trên hành vi tiến trình và sự kiện hệ thống.

Phạm vi nghiên cứu tập trung vào các máy người dùng trong môi trường doanh nghiệp, với dữ liệu thu thập từ hệ thống Windows trong giai đoạn 2020-2022. Ý nghĩa nghiên cứu thể hiện qua việc cải thiện khả năng phát hiện mã độc mới, giảm thiểu thiệt hại do mã độc gây ra, đồng thời hỗ trợ các tổ chức nâng cao năng lực phòng thủ mạng thông qua việc ứng dụng framework Mitre ATT&CK và các công cụ giám sát tiến trình hiện đại.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai khung lý thuyết chính:

1. Hệ điều hành và quản lý tiến trình: Nghiên cứu các đặc điểm, cấu trúc và quản lý tiến trình trên hệ điều hành Windows, bao gồm các trạng thái tiến trình (Start, Ready, Running, Wait, Terminated), cấu trúc tập tin thực thi PE, và các công cụ thu thập tiến trình như Process Monitor, Sysmon. Các khái niệm chính gồm: tiến trình (process), PID (Process ID), Parent PID, sự kiện hệ thống (Event ID), và nhật ký sự kiện Windows.

2. Framework Mitre ATT&CK: Đây là một hệ thống tiêu chuẩn bảo mật mô tả các chiến thuật (Tactics) và kỹ thuật (Techniques) mà kẻ tấn công sử dụng trong các cuộc tấn công mạng. Các chiến thuật chính gồm: Truy cập ban đầu, Thực thi, Duy trì truy cập, Nâng cao đặc quyền, Né tránh hệ thống bảo vệ, Truy cập thông tin xác thực, Phát hiện, Mở rộng khai thác, Thu thập thông tin, Điều khiển và kiểm soát, Trích xuất dữ liệu, và Ảnh hưởng. Framework cung cấp thông tin chi tiết về thủ tục, nền tảng áp dụng, quyền điều kiện và nguồn dữ liệu phục vụ phát hiện.

Các khái niệm chuyên ngành quan trọng bao gồm: Endpoint Detection & Response (EDR), Event ID, Process GUID, CommandLine, LogonID, và các loại sự kiện Sysmon (ví dụ: Process creation, Network connection, FileCreate).

Phương pháp nghiên cứu

Luận văn sử dụng phương pháp nghiên cứu định tính kết hợp thực nghiệm:

• Nguồn dữ liệu: Dữ liệu thu thập từ các máy người dùng chạy hệ điều hành Windows, sử dụng công cụ Elastic Endpoint Security để thu thập các log tiến trình và sự kiện hệ thống. Các sự kiện được phân loại theo Event ID và mapped với các kỹ thuật trong Mitre ATT&CK.

• Phương pháp phân tích: Áp dụng kỹ thuật phân tích hành vi dựa trên framework Mitre ATT&CK để xây dựng tập luật phát hiện mã độc. Các sự kiện thu thập được phân tích, lọc và đối chiếu với các kỹ thuật tấn công đã biết để phát hiện hành vi bất thường.

• Timeline nghiên cứu: Quá trình nghiên cứu diễn ra trong giai đoạn 2020-2022, bao gồm giai đoạn thu thập dữ liệu, xây dựng tập luật, triển khai thử nghiệm trên các mẫu mã độc phổ biến như Babuk, Trickbot, Agent Tesla, và đánh giá hiệu quả phát hiện.

• Cỡ mẫu và chọn mẫu: Dữ liệu thu thập từ một số máy người dùng trong môi trường doanh nghiệp, lựa chọn các tiến trình và sự kiện có liên quan đến hành vi mã độc để phân tích. Phương pháp chọn mẫu dựa trên các sự kiện có khả năng phản ánh hành vi tấn công theo kỹ thuật Mitre ATT&CK.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phát hiện mã độc dựa trên hành vi: Phương pháp sử dụng tập luật xây dựng từ Mitre ATT&CK cho phép phát hiện các hành vi bất thường của mã độc với tỷ lệ phát hiện trên 85% trong các kịch bản thử nghiệm với mã độc Babuk và Trickbot. So sánh với phương pháp dựa trên chữ ký truyền thống, tỷ lệ phát hiện tăng khoảng 30%.

2. Khả năng phát hiện đa dạng kỹ thuật tấn công: Các sự kiện thu thập được từ Sysmon và Elastic Endpoint Security cho phép phát hiện nhiều kỹ thuật tấn công như Service Execution (T1569), Windows Command Shell (T1059), CreateRemoteThread (Event ID 8), và Process Access (Event ID 10). Tỷ lệ phát hiện các kỹ thuật này đạt khoảng 80-90% trong môi trường thử nghiệm.

3. Tính khả thi của việc xây dựng tập luật phát hiện: Việc lựa chọn và xây dựng tập luật dựa trên các kỹ thuật phổ biến và có thể thu thập dữ liệu được từ hệ thống giúp giảm thiểu độ phức tạp và tăng tính khả thi trong triển khai thực tế. Khoảng 60% kỹ thuật trong Mitre ATT&CK được đánh giá có thể áp dụng hiệu quả trong môi trường Windows.

4. Tác động của việc sử dụng công cụ giám sát tiến trình: Công cụ Sysmon phiên bản 11 và Process Monitor cung cấp dữ liệu chi tiết về tiến trình, giúp phát hiện các hành vi mã độc như tạo tiến trình mới, thay đổi thời gian tạo tập tin, kết nối mạng bất thường. Việc sử dụng các công cụ này giúp giảm thời gian phát hiện và tăng độ chính xác cảnh báo.

Thảo luận kết quả

Nguyên nhân của hiệu quả phát hiện cao là do phương pháp dựa trên hành vi không phụ thuộc vào chữ ký mã độc cụ thể mà tập trung vào các hành vi bất thường và kỹ thuật tấn công đã được chuẩn hóa trong Mitre ATT&CK. So với các nghiên cứu trước đây chỉ tập trung vào phát hiện dựa trên chữ ký hoặc phân tích tĩnh, phương pháp này có ưu điểm vượt trội trong việc phát hiện mã độc mới và biến thể.

Kết quả cũng cho thấy việc thu thập và phân tích các sự kiện hệ thống như Process creation, Network connection, và RegistryEvent là rất quan trọng để phát hiện các kỹ thuật tấn công tinh vi. Việc sử dụng các công cụ như Sysmon giúp thu thập dữ liệu chi tiết và liên tục từ khi hệ thống khởi động, tạo điều kiện thuận lợi cho việc phát hiện sớm các hành vi độc hại.

Các biểu đồ và bảng dữ liệu có thể minh họa tỷ lệ phát hiện mã độc theo từng kỹ thuật, so sánh hiệu quả giữa phương pháp dựa trên hành vi và chữ ký, cũng như phân tích các sự kiện thu thập được từ công cụ giám sát tiến trình.

Tuy nhiên, việc triển khai tập luật phát hiện cũng gặp một số hạn chế như độ phức tạp trong việc xử lý lượng lớn dữ liệu log, yêu cầu tài nguyên tính toán cao và cần có đội ngũ chuyên gia an ninh mạng để phân tích và phản ứng kịp thời. So với các nghiên cứu khác, luận văn đã đề xuất cách tiếp cận thực nghiệm và đánh giá cụ thể trên môi trường Windows, góp phần làm rõ tính ứng dụng thực tế của framework Mitre ATT&CK.

Đề xuất và khuyến nghị

1. Triển khai hệ thống giám sát tiến trình liên tục: Đề nghị các tổ chức doanh nghiệp cài đặt và cấu hình công cụ Sysmon phiên bản mới nhất để thu thập dữ liệu tiến trình và sự kiện hệ thống theo thời gian thực, nhằm nâng cao khả năng phát hiện sớm các hành vi mã độc. Thời gian thực hiện trong vòng 3 tháng, do bộ phận an ninh mạng chịu trách nhiệm.

2. Xây dựng và cập nhật tập luật phát hiện dựa trên Mitre ATT&CK: Khuyến nghị phát triển tập luật phát hiện mã độc dựa trên các kỹ thuật phổ biến trong Mitre ATT&CK, ưu tiên các kỹ thuật có thể thu thập dữ liệu hiệu quả từ hệ thống. Cập nhật tập luật định kỳ 6 tháng/lần để bắt kịp các kỹ thuật tấn công mới. Bộ phận nghiên cứu và phát triển an ninh chịu trách nhiệm.

3. Đào tạo nhân sự an ninh mạng về framework Mitre ATT&CK: Tổ chức các khóa đào tạo chuyên sâu về Mitre ATT&CK và kỹ thuật phân tích hành vi mã độc cho đội ngũ an ninh mạng nhằm nâng cao năng lực phát hiện và phản ứng. Thời gian đào tạo trong 6 tháng, phối hợp với các chuyên gia trong và ngoài nước.

4. Tích hợp hệ thống phát hiện với công cụ phản ứng tự động: Đề xuất tích hợp hệ thống phát hiện mã độc với các công cụ phản ứng tự động (EDR) để giảm thiểu thời gian xử lý sự cố và ngăn chặn kịp thời các mối đe dọa. Thời gian triển khai dự kiến 9 tháng, phối hợp giữa bộ phận an ninh và phát triển hệ thống.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và quản trị hệ thống: Luận văn cung cấp kiến thức chuyên sâu về phương pháp phát hiện mã độc dựa trên hành vi và framework Mitre ATT&CK, giúp họ nâng cao hiệu quả giám sát và phản ứng sự cố.

2. Nhà nghiên cứu và sinh viên ngành công nghệ thông tin: Tài liệu là nguồn tham khảo quý giá về lý thuyết hệ điều hành, kỹ thuật thu thập tiến trình và ứng dụng Mitre ATT&CK trong phát hiện mã độc, hỗ trợ nghiên cứu và học tập chuyên sâu.

3. Doanh nghiệp và tổ chức triển khai hệ thống bảo mật: Các giải pháp và đề xuất trong luận văn giúp doanh nghiệp xây dựng hệ thống phát hiện mã độc hiệu quả, giảm thiểu rủi ro an ninh mạng và bảo vệ tài sản số.

4. Nhà phát triển phần mềm bảo mật và EDR: Luận văn cung cấp cơ sở để phát triển các sản phẩm bảo mật tích hợp framework Mitre ATT&CK, nâng cao khả năng phát hiện và phản ứng với các mối đe dọa mới.

Câu hỏi thường gặp

1. Mitre ATT&CK là gì và tại sao nó quan trọng trong phát hiện mã độc?
   Mitre ATT&CK là một framework mô tả các chiến thuật và kỹ thuật tấn công mạng dựa trên các cuộc tấn công thực tế. Nó giúp các tổ chức hiểu rõ cách kẻ tấn công hoạt động, từ đó xây dựng các biện pháp phát hiện và phòng thủ hiệu quả hơn. Ví dụ, ATT&CK giúp phát hiện các hành vi như tạo tiến trình bất thường hoặc kết nối mạng lạ.

2. Phương pháp phát hiện mã độc dựa trên hành vi khác gì so với dựa trên chữ ký?
   Phát hiện dựa trên hành vi tập trung vào các hành động và kỹ thuật mà mã độc thực hiện, không phụ thuộc vào mẫu mã cụ thể. Trong khi đó, phát hiện dựa trên chữ ký dựa vào mẫu mã độc đã biết. Phương pháp hành vi giúp phát hiện mã độc mới hoặc biến thể mà chữ ký chưa cập nhật kịp.

3. Các công cụ nào được sử dụng để thu thập dữ liệu tiến trình trên Windows?
   Các công cụ chính gồm Sysmon, Process Monitor và Elastic Endpoint Security. Sysmon thu thập chi tiết các sự kiện tiến trình, Process Monitor giám sát hoạt động file, registry và mạng, còn Elastic Endpoint Security hỗ trợ thu thập và phân tích log tập trung.

4. Làm thế nào để xây dựng tập luật phát hiện mã độc từ Mitre ATT&CK?
   Quá trình bắt đầu bằng việc đánh giá kỹ thuật trong ATT&CK, lựa chọn các kỹ thuật phổ biến và có thể thu thập dữ liệu, sau đó map các sự kiện hệ thống tương ứng với kỹ thuật đó để xây dựng tập luật phát hiện. Tập luật cần được kiểm thử và cập nhật thường xuyên.

5. Phương pháp này có thể áp dụng cho hệ điều hành khác ngoài Windows không?
   Mặc dù Mitre ATT&CK hỗ trợ nhiều nền tảng, nghiên cứu này tập trung vào Windows do tính phổ biến và dữ liệu thu thập được. Tuy nhiên, nguyên lý phát hiện dựa trên hành vi có thể được điều chỉnh để áp dụng cho Linux, MacOS với các công cụ thu thập tiến trình tương ứng.

Kết luận

• Luận văn đã nghiên cứu và phát triển phương pháp phát hiện mã độc trên máy người dùng dựa trên kỹ thuật Mitre ATT&CK, tập trung vào hệ điều hành Windows.
• Phương pháp dựa trên hành vi giúp phát hiện hiệu quả các mã độc mới và biến thể, vượt trội so với phương pháp dựa trên chữ ký truyền thống.
• Việc sử dụng công cụ giám sát tiến trình như Sysmon và Elastic Endpoint Security cung cấp dữ liệu chi tiết, hỗ trợ xây dựng tập luật phát hiện chính xác.
• Đề xuất triển khai hệ thống giám sát liên tục, xây dựng tập luật cập nhật và đào tạo nhân sự để nâng cao năng lực phòng thủ mạng.
• Các bước tiếp theo bao gồm mở rộng thử nghiệm trên môi trường thực tế, tích hợp hệ thống phát hiện với công cụ phản ứng tự động và nghiên cứu áp dụng cho các nền tảng khác.

Hành động ngay hôm nay để nâng cao khả năng phát hiện và phòng chống mã độc trong tổ chức của bạn!

Trích đoạn nội dung tài liệu

CHƯƠNG 1: GIỚI THIỆU VỀ HỆ ĐIỀU HÀNH VÀ PHƯƠNG PHÁP THU THẬP TIẾN TRÌNH 1. Tổng quan về hệ điều hành 1. Khái niệm hệ điều hành Hệ điều hành là một chương trình quản lý tài nguyên của máy tính, đóng vai trò như một lớp trung gian giữa người sử dụng máy tính và phần cứng của máy tính. Mục tiêu là cung cấp phương tiện giữa người dùng và máy tính, nhận và thực thi yêu cầu của người dùng một cách hiệu quả, dễ dàng và nhanh chóng thông qua các chương trình ứng dụng.

Người dùng muốn giao tiếp với hệ điều hành cần phải có ngôn ngữ chung: 1. Các tính chất của hệ điều hành • Tin cậy: Mọi hoạt động, mọi thông báo của hệ điều hành đều phải chuẩn xác, tuyệt đối, chỉ khi nào biết chắc chắn là đúng thì hệ điều hành mới cung cấp thông tin cho người sử dụng. • An toàn: Hệ thống phải tổ chức sao cho chương trình và dữ liệu không bị xoá hoặc bị thay đổi ngoài ý muốn trong mọi trường hợp và mọi chế độ hoạt động. • Hiệu quả: Các tài nguyên của hệ thống phải được khai thác triệt để.

• Kế thừa: Hệ điều hành phải có tính kế thừa, đồng thời có khả năng thích nghi với những thay đổi có thể có trong tương lai. • Thuận tiện: Hệ thống phải dễ dàng sử dụng, có nhiều mức hiệu quả khác nhau tuỳ theo kiến thức và kinh nghiệm người dùng. Các thành phần của hệ điều hành Quản lý tiến trình Một tiến trình là một chương trình đang được thi hành. Một tiến trình phải sử dụng tài nguyên như thời gian sử dụng CPU, bộ nhớ, tập tin, các thiết bị nhập xuất để hoàn tất công việc của nó.

Vai trò của hệ điều hành trong việc quản lý tiến trình là : • Tạo và hủy các tiến trình của người sử dụng và của hệ thống. • Tạm dừng và thực hiện tiếp một tiến trình. • Cung cấp các cơ chế đồng bộ tiến trình. • Cung cấp các cơ chế giao tiếp giữa các tiến trình.

• Cung cấp cơ chế kiểm soát deadlock Quản lý bộ nhớ chính Trong hệ thống máy tính hiện đại, bộ nhớ chính là trung tâm của các thao tác, xử lý. Bộ nhớ chính có thể xem như một mảng kiểu byte hay kiểu word. Mỗi phần tử đều có địa chỉ. Đó là nơi lưu dữ liệu được CPU truy xuất một cách nhanh chóng so với các thiết bị nhập/xuất.

CPU đọc những chỉ thị từ bộ nhớ chính. Các thiết bị nhập/xuất cài đặt cơ chế DMA cũng đọc và ghi dữ liệu trong bộ nhớ chính. Thông thường bộ nhớ chính chứa các thiết bị mà CPU có thể định vị trực tiếp. Một chương trình muốn thi hành trước hết phải được ánh xạ thành địa chỉ tuyệt đối và nạp vào bộ nhớ chính.

Quản lý bộ nhớ phụ Bộ nhớ chính quá nhỏ để có thể lưu giữ mọi dữ liệu và chương trình, ngoài ra dữ liệu sẽ mất khi không còn được cung cấp năng lượng. Hệ thống máy tính ngày nay cung cấp hệ thống lưu trữ phụ. Đa số các máy tính đều dùng đĩa để lưu trữ cả chương trình và dữ liệu. Hầu như tất cả chương trình: chương trình dịch, hợp ngữ, thủ tục, trình soạn thảo, định dạng.

đều được lưu trữ trên đĩa cho tới khi nó được thực hiện, nạp vào trong bộ nhớ chính và cũng sử dụng đĩa để chứa dữ liệu và kết quả xử lý. Vai trò của hệ điều hành trong việc quản lý đĩa: • Quản lý vùng trống trên đĩa 6 • Định vị lưu trữ • Lập lịch cho đĩa Quản lý hệ thống vào/ra Một trong những mục tiêu của hệ điều hành là che dấu những đặc thù của các thiết bị phần cứng đối với người sử dụng thay vào đó là một lớp thân thiện hơn, người sử dụng dể thao tác hơn. Quản lý hệ thống tập tin Máy tính có thể lưu trữ thông tin trong nhiều dạng thiết bị vật lý khác nhau: băng từ, đĩa từ, đĩa quang,. Mỗi dạng có những đặc thù riêng về mặt tổ chức vật lý.

Mỗi thiết bị có một bộ kiểm soát như bộ điều khiển đĩa (disk driver) và có những tính chất riêng. Những tính chất này là tốc độ, khả năng lưu trữ, tốc độ truyền dữ liệu và cách truy xuất. Hệ thống bảo vệ Hệ thống bảo vệ là một cơ chế kiểm soát quá trình truy xuất của chương trình, tiến trình, hoặc người sử dụng với tài nguyên của hệ thống. Cơ chế này cũng cung cấp cách thức để mô tả lại mức độ kiểm soát.

Hệ thống bảo vệ cũng làm tăng độ an toàn khi kiểm tra lỗi trong giao tiếp giữa những hệ thống nhỏ bên trong. Hệ thống thông dịch lệnh : Một trong những phần quan trọng của chương trình hệ thống trong một hệ điều hành là hệ thống thông dịch lệnh, đó là giao tiếp giữa người sử dụng và hệ điều hành. Một số hệ điều hành đặt cơ chế dòng lệnh bên trong hạt nhân, số khác như MS-DOS và UNIX thì xem hệ điều hành như là một chương trình đặt biệt, được thi hành khi các công việc bắt đầu hoặc khi người sử dụng login lần đầu tiên. Hệ điều hành trên máy người dùng 1.

Hệ điều hành Windows Giới thiệu chung Microsoft Windows là tên của một hệ điều hành dựa trên giao diện người dùng đồ hoạ được phát triển và được phân phối bởi Microsoft. Nó bao gồm một vài 7 các dòng hệ điều hành, mỗi trong số đó phục vụ một phần nhất định của ngành công nghiệp máy tính. Các phiên bản hệ điều hành Window Trải qua nhiều năm phát triển, hệ điều hành Window đã cho ra mắt nhiều phiên bản khác nhau. Cụ thể các phiên bản như sau: • Hệ điều hành DOS • Hệ điều hành Windows 1.0 • Hệ điều hành Windows 2.0 • Hệ điều hành Windows 3.0 • Hệ điều hành Windows 3.1 • Hệ điều hành Windows for workgroup • Hệ điều hành Windows NT • Hệ điều hành Windows 95 • Hệ điều hành Windows 98 • Hệ điều hành Windows 2000 • Hệ điều hành Windows XP • Hệ điều hành Windows Vista • Hệ điều hành Windows 7 • Hệ điều hành Windows 8 • Hệ điều hành Windows 10 Quản lý tiến trình trong Windows • User mode: Khi một chương trình khởi tạo trên User Mode, Windows sẽ tạo một tiến trình (process) cho chương trình đó.

Một tiến trình cung cấp cho chương trình đó một không gian địa chỉ ảo (Virtual address space). • Kernel mode: Tất cả các mã chạy trong chế độ kernel chia sẻ một không gian địa chỉ ảo. Điều này có nghĩa là trình điều khiển chế độ kernel không bị cô lập với các trình điều khiển khác và chính hệ điều hành. • Các thành phần trong quản lý tiến trình 8 Khi một chương trình được nạp vào bộ nhớ và trở thành một tiến trình, nó có thể được chia thành bốn phần: - Stack: chứa dữ liệu tạm thời, thường chỉ chứa dữ liệu dùng trong thời gian rất ngắn hoặc dùng một lần.

- Heap: đây là vùng bộ nhớ được cấp phát động cho một tiến trình trong thời gian thực thi. - Data: chứa các biến global (biến dùng chung ở cấp toàn bộ chương trình) và static (loại biến dùng chung ở cấp struct). - Text: bao gồm hoạt động hiện tại được biểu thị bằng giá trị của Program Counter và nội dung của các thanh ghi trên vi xử lý. Khi một tiến trình thực thi, nó có thể đi qua các trạng thái khác nhau.

Các giai đoạn này có thể khác nhau đối với các hệ điều hành khác nhau và tên của các trạng thái này cũng không được chuẩn hóa cụ thể. Nhưng nhìn chung, một tiến trình có thể có một trong năm trạng thái sau đây tại một thời điểm: Hình 1. Các trạng thái của tiến trình 9 • Start: trạng thái khi một tiến trình được tạo hoặc được khởi động lần đầu. • Ready: tiến trình đang chờ để được chuyển cho vi xử lý.

• Running: trạng thái thực thi của tiến trình, khi bộ lập lịch Scheduler đã chuyển nó cho vi xử lý, vi xử lý sẽ tiến hành thực hiện các tính toán hoặc chỉ dẫn trên nó. • Wait: trạng thái này xảy ra nếu tiến trình cần chờ một tài nguyên để có thể sử dụng. • Terminated: xảy ra khi một tiến trình đã xử lý xong hoặc bị ngắt bởi yêu cầu từ hệ thống hoặc người dùng, trạng thái này có thể được gọi là Exit. Cấu trúc tập tin thực thi trong Windows Định dạng của tập tin PE chứa một Header và một chuỗi các Sections.

Header chứa các siêu dữ liệu (Metadata) về bản thân của tập tin này. Những phần bên dưới Header là các phần thực tế (actual sections) của tập tin, mỗi section như thế chứa các thông tin hữu dụng.1 Giới thiệu chung Linux là tên gọi của một hệ điều hành máy tính và cũng là tên hạt nhân của hệ điều hành. Đây là một phần mềm tự do và của việc phát triển mã nguồn mở. Linux được sử dụng rộng rãi để miêu tả tổng thể một hệ điều hành tương tự Unix được tạo ra bởi việc đóng gói nhân Linux cùng với các công cụ GNU, cũng như các bản phân phối Linux.2 Các phiên bản của hệ điều hành Linux Tương tự như hệ điều hành Window, hệ điều hành Linux cũng được phát triển thành nhiều phiên bản khác nhau như sau: • Ubuntu.

• Debian GNU/Linux. • Red Hat Enterprise Linux. • OpenSolaris Quản lý tiến trình trong Linux Mỗi tiến trình trong Linux được biểu diễn bằng một cấu trúc dữ liệu task_struct. Linux sử dụng task_vector để quản lý các con trỏ đến các task_struct, mặc định là có 512 phần tử.

Khi một tiến trình được tạo ra, một task_struct mới được cấp phát trong bộ nhớ và được thêm vào vector_task. Linux hỗ trợ hai loại tiến trình là loại bình thường và loại thời gian thực. Cấu trúc task_struct gồm những trường như sau: Trạng thái (thi hành, chờ, ngưng, lưng chừng), thông tin lập lịch, định danh, thông tin liên lạc giữa các tiến trình, liên kết, định thời gian, hệ thống tập tin, bộ nhớ ảo, ngữ cảnh. Cấu trúc tiến trình trong Linux Trong Linux cũng như Unix, chương trình và lệnh được thực thi theo cơ chế thông dịch.

Bộ thông dịch được gọi là shell. Linux hỗ trợ nhiều loại shell như sh, bash, tcsh. Tập tin thi hành có nhiều dạng, dạng được sử dụng thông dụng nhất trong linux là ELF, ngoài ra linux cũng có thể sử dụng nhiều dạng tập tin khác. 11 Cấu trúc tập tin thực thi trên Linux Cấu trúc tập tin thực thi trên linux có tên gọi là Executable and Linkable Format (ELF format) là định dạng tập tin tiêu chuẩn phổ biến cho các tập tin thực thi, mã đối tượng, thư viện dùng chung và kết xuất lõi.