CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT MẠNG.1 Một số mối đe dọa an ninh mạng và giải pháp phòng chống.1 Tấn công truy nhập mạng.1 Tấn công theo mật khẩu. Mật khẩu là tập hợp tất cả các chữ cái, chữ số. Có hai cách tấn công theo mật khẩu: - Tấn công thô: là dùng tất cả các tổ hợp, các kí tự để làm mật khẩu vào mạng và thử truy nhập, tấn công này thường dùng cho mạng LAN. - Tấn công dùng từ điển: dự đoán một số từ khóa thông thường người ta hay dùng làm password, tấn công này thường dùng cho từ xa truy nhập vào mạng.2 Tấn công theo phân tích mật khẩu.
Hầu hết trong các hệ điều hành đều lưu username và password. Nhưng mỗi hệ điều hành có các cách lưu khác nhau. Ví dụ, trong Window có file System_32/ config/ SAM/ Security Acount, trong Linux, Unix có 2 file etc/passwd và etc/shadow. Trong các hệ điều hành thì hầu như password đều được mã hóa theo thuật toán DES và MD5 chứ nó không lưu bản rõ.
- Đối với Win 95,98 thì dùng thuật toán DES. - Đối với Win NT và Win 2000 thì dùng thuật toán hàm băm MD4, sau đó sẽ sử dụng MD5. - Đối với Win 2000 sau này dùng Kerboros. Các thuật toán công khai như vậy thì người ta đều biết.
Thông thường biết mã và thuật toán thì người ta giải mã được nhưng có một số thuật toán mà người ta giải mã rất khó như thuật toán DES thì người ta phải phá vài chục năm mới phá được (phương pháp này giống kiểu tấn công thô). Do đó, tin tặc sử dụng các kỹ thuật sau để tấn công: - Sử dụng wordlist: SVTH: Cao Đức Duy – CCMM04C Trang 1 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables Danh sách của những từ sử dụng như danh mục địa phương, danh mục họ tên của nước nào đó. Đầu tiên dùng thuật toán mã hóa wordlist sau đó so sánh worslist đã mã hóa với mật khẩu. Có thể nói dùng phương pháp này cũng gần đi tới kết quả.
- Sử dụng chương trình giám điệp : Tin tặc dùng chương trình này để copy các tệp mật khẩu. Khi copy được các tệp mật khẩu thì nó cũng có thể thay đổi mật khẩu được. Người dùng nên dùng password phức tạp để tin tặc tấn công khó hơn.2 Tạo cửa hậu, xóa nhật ký. Để tiếp tục tấn công vào lần sau (tấn công sau khi đã vào mạng).
- Hacker xóa các cổng truyền thông tạo ra các cổng truyền thông mới (nếu cổng truyền thông server không cho phép thì tạo ra để cho phép). - Tạo ra người sử dụng mới, người sử dụng có quyền quản trị. - Cài các chương trình cho phép tin tặc từ xa có thể điều khiển được, thường điều khiển để lấy thông tin hoặc phá hoại. - Ngụy trang để xóa hết tên tệp, thay đổi tên thư mục, thay đổi những lệnh mà người quản trị sử dụng để phát hiện truy nhập.
- Xóa tệp nhật ký để cho người quản trị không thấy được dấu vết đã truy nhập hoặc có thể thay đổi tệp đăng ký, thay đổi thời gian ghi nhật ký. Ví dụ như khi truy nhập tuần này thì nó thay đổi thời gian là tuần trước (nhật ký tuần trước thì không thông báo) làm cho người quản trị không quản lí được. Giải pháp phòng chống: - Một số tệp quan trọng của hệ thống thì phải được bảo vệ tính toàn vẹn của nó thông qua việc tạo ra các tóm lược và sau một thời gian nhất định thì phải kiểm tra tệp đó có toàn vẹn không. - Đối với một số nhật ký quan trọng thì được sao chép lưu giữ, bảo vệ để tin tặc không thay đổi được.
- Luôn kiểm tra các cổng truyền thông để phát hiện tin tặc có truyền thông tin ra từ máy không. SVTH: Cao Đức Duy – CCMM04C Trang 2 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables 1.3 Tấn công từ chối dịch vụ.1 Tấn công SYN flood.1 Tấn công SYN Flood. Đầu tiên tin tặc gửi yêu cầu tới server, khi server nhận được yêu cầu của tin tặc thì server trả lời cho tin tặc nhưng tin tặc lại không xác nhận trả lời của server (ACK) làm cho server chờ trả lời. Khi server chờ hết thời gian Tout thì server buộc phải gửi yêu cầu hủy kết nối (RST/ACK).
Khi tin tặc nhận được hủy kết nối thì tin tặc tiếp tục gửi tín hiệu SYN để yêu cầu kết nối và cứ như vậy server chỉ phục vụ cho tin tặc không phục được cái khác. Giải pháp phòng chống: - Có một số firewall chặn một số cổng SYN như Checkpoint. - Làm tăng hàng đợi server có thể phục vụ. - Xác định Tout một cách mềm dẻo có thể tránh được tắc nghẽn do tin tặc gây ra.
- Xác định thêm một bộ đệm để biết được chu trình thiết lập liên kết một nửa và từ đó có quy trình để đối phó. - Kết hợp các công cụ của hệ điều hành.2 Tấn công UDP flood SVTH: Cao Đức Duy – CCMM04C Trang 3 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables Hình 1.2 Tấn công UDP flood. Tấn công UDP flood là tin tặc gửi rất nhiều UDP làm cho server không kịp xử lý. Giải pháp phòng chống: Sử dụng firewall, chỉ cho phép các dịch vụ UDP cần thiết buộc phải có như DNS, DHCP, SNMP.
Những gói UDP của các dịch vụ này thì bắt buộc phải cho vào mạng còn các gói UDP của các dịch vụ khác thì không cần thiết.4 Giả mạo địa chỉ IP. Việc giả mạo địa chỉ IP có thể được thực hiện thông qua việc sử dụng khả năng dẫn đường trực tiếp. Với cách tấn công này, tin tặc gửi các gói IP tới mạng bên trong với địa chỉ IP giả mạo (thông thường là địa chỉ của một mạng hoặc một máy được coi là an toàn đối với mạng bên trong), đồng thời phải chỉ rõ đường dẫn mà các gói tin IP phải gửi đi.5 Đùa nghịch, quấy rối. Là do con người có tính tò mò, xâm nhập vào hệ thống tìm những thông tin mà họ thích thú.
Họ thường làm hỏng hệ thống do thiếu kiến thức hoặc cố gắng che dấu vết của họ. SVTH: Cao Đức Duy – CCMM04C Trang 4 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables 1. Là những người cố ý phá hoại hệ thống thông tin mà họ muốn. Những người này thường là họ bất bình trong môi trường làm việc của họ, hoặc do tính chất cạnh tranh nào đó.
Chúng có thể xóa dữ liệu hoặc làm hỏng thiết bị hệ thống mà chúng xâm nhập. Là những người xâm nhập vào hệ thống và chỉ lấy những thông tin nào có giá trị lớn như các hệ thống tín dụng, ngân hàng… Khó phát hiện tức thời được, thường chúng lấy thông tin mà không để lại dấu vết.8 Vô ý hay thiếu hiểu biết của người sử dụng. Các tai họa hoàn toàn không phải do kẻ xấu làm nên, mà đa số là do những người chưa được đào tạo tốt về kiến thức máy tính nên không nhận thức được các mối nguy hiểm cho hệ thống và do những người quản trị hệ thống thiếu kinh nghiệm, hoặc lỗi của một chương trình ứng dụng. Hệ thống phát hiện và ngăn chặn xâm nhập IDS/IPS.1 Lịch sử ra đời.
Cách đây khoảng 25 năm, khái niệm phát hiện xâm nhập xuất hiện qua một bài báo của James Anderson. Khi đó người ta cần IDS với mục đích là dò tìm và nghiên cứu các hành vi bất thường và thái độ của người sử dụng trong mạng, phát hiện ra các việc làm dụng đặc quyền để giám sát tài sản hệ thống mạng. Các nghiên cứu về hệ thống phát hiện xâm nhập được nghiên cứu chính thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỳ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa được phổ biến, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu.
Tuy nhiên trong thời gian này, một số công nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin. Đến năm 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của công ty ISS, một năm sau đó, Cisco nhận ra tầm quan trọng của IDS và đã mua lại một công ty cung cấp giải pháp IDS tên là Wheel. SVTH: Cao Đức Duy – CCMM04C Trang 5 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables Hiện tại, các thống kê cho thấy IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển.2 Sự cần thiết của tìm kiếm và phát hiện xâm nhập. Ngày nay, an toàn mạng đã trở thành một vấn đề hết sức quan trọng.
Những kẻ phá hoại và xâm nhập mạng đã đạt được nhiều thành công trong việc tấn công vào các thành phần và các dịch vụ mạng. Nhiều phương pháp đã được phát triển để đảm bảo an toàn cho hạ tầng và cho truyền thông trên mạng Internet, ta có thể kể tới một số phương pháp điển hình như: sử dụng bức tường lửa, mã hoá dữ liệu và các mạng riêng ảo. Phát hiện xâm nhập mạng là một kỹ thuật mới, được xuất hiện cách đây vài năm. Sử dụng phương pháp phát hiện xâm nhập, ta có thể thu thập và sử dụng các dấu vết từ những kiểu tấn công đã được biết trước, từ đó tìm ra xem liệu có kẻ nào đó đang cố gắng tấn công vào mạng hay máy của bạn.
Những thông tin được thu thập theo cách này sẽ được sử dụng để làm tăng khả năng an toàn cho mạng cũng như cho các mục đích khác. Kỹ thuật phát hiện xâm nhập mạng hiện đã được cài đặt trong các sản phẩm thương mại cũng như trong sản phẩm có mã nguồn mở. Ngoài ra, còn phải kể tới nhiều công cụ phát hiện các lỗ hổng giúp phát hiện các lỗ hổng an toàn trong mạng. Hệ thống phát hiện xâm nhập (IDS) là hệ thống có nhiệm vụ theo dõi, phát hiện và (có thể) ngăn cản sự xâm nhập, cũng như các hành vi khai thác trái phép tài nguyên của hệ thống được bảo vệ mà có thể dẫn đến việc làm tổn hại đến tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống.
Hệ thống IDS sẽ thu thập thông tin từ rất nhiều nguồn trong hệ thống được bảo vệ sau đó tiến hành phân tích những thông tin đó theo các cách khác nhau để phát hiện những xâm nhập trái phép.