Nghiên Cứu Và Triển Khai Phòng Chống Xâm Nhập Mạng Với Snort Và Iptables

Nghiên cứu về phòng chống xâm nhập mạng là một lĩnh vực quan trọng trong an ninh mạng. 69 trang · CĐ CNTT Hữu Nghị Việt - Hàn · 2013.

• Tác giả: Cao Đức Duy
• Người hướng dẫn: Thầy Giáo Nguyễn Vũ
• Trường học: CĐ CNTT Hữu Nghị Việt - Hàn
• Chuyên ngành: Khoa Khoa Học Máy Tính
• Đề tài: Nghiên Cứu Và Triển Khai Phòng Chống Xâm Nhập Mạng Bằng Snort Và Iptables
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2013
• Địa điểm: Đà Nẵng

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI NÓI ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT MẠNG
• 1.1. Một số mối đe dọa an ninh mạng và giải pháp phòng chống
• 1.1.1. Tấn công truy nhập mạng
• 1.1.1.1. Tấn công theo mật khẩu
• 1.1.1.2. Tấn công theo phân tích mật khẩu
• 1.1.1.3. Tạo cửa hậu, xóa nhật ký
• 1.1.2. Tấn công từ chối dịch vụ
• 1.1.2.1. Tấn công SYN flood
• 1.1.2.2. Tấn công UDP flood
• 1.1.3. Giả mạo địa chỉ IP
• 1.1.4. Đùa nghịch, quấy rối
• 1.1.5. Vô ý hay thiếu hiểu biết của người sử dụng
• 1.2. Hệ thống phát hiện và ngăn chặn xâm nhập IDS/IPS
• 1.2.1. Lịch sử ra đời
• 1.2.2. Sự cần thiết của tìm kiếm và phát hiện xâm nhập
• 1.2.3. Sự khác nhau giữa IDS và IPS
• 1.2.4. Phân loại IDS/IPS và phân tích ưu nhược điểm
• 1.2.4.1. Network based IDS – NIDS
• 1.2.4.2. Host based IDS – HIDS
• 1.2.5. Cơ chế hoạt động của hệ thống IDS/IPS
• 1.2.5.1. Mô hình phát hiện sự lạm dụng
• 1.2.5.2. Mô hình phát hiện sự bất thường
• 1.2.5.3. So sánh giữa 2 mô hình
• 1.3. Tổng quan về snort
• 1.3.1. Giới thiệu về snort
• 1.3.2. Kiến trúc của snort
• 1.3.2.1. Module giải mã gói tin
• 1.3.2.2. Module tiền xử lý
• 1.3.2.3. Module phát hiện
• 1.3.2.4. Module log và cảnh báo
• 1.3.2.5. Module kết xuất thông tin
• 1.3.3. Bộ luật của snort
• 1.3.3.1. Cấu trúc luật của snort
• 1.3.3.2. Cơ chế ngăn chặn của snort: snort – inline
• 1.3.3.2.1. Tích hợp khả năng ngăn chặn vào snort
• 1.3.3.2.2. Những bổ sung cho cấu trúc luật của snort hỗ trợ inline mode
• 1.4. Giới thiệu về Iptables
• 1.4.1. Cơ chế xử lý package trong IPtables
• 1.4.2. Một số khái niệm trong IPtables
• 1.4.3. Các kiểu chặn trong IPtables
• 1.4.3.1. Chặn theo giao thức
• 1.4.3.2. Chặn dựa trên trạng thái kết nối
• 1.4.4. Cài đặt Iptables
• 1.4.5. Các câu lệnh trợ giúp
• 1.4.6. Các câu lệnh phục hồi
• 2. CHƯƠNG 3: TRIỂN KHAI SNORT VÀ IPTABLES
• 2.1. Mô hình hệ thống
• 2.2. Triển khai mô hình hệ thống
• 2.2.1. Cài đặt và cấu hình snort
• 2.2.1.1. Cài đặt các gói phụ thuộc
• 2.2.1.2. Cài đặt snort
• 2.2.1.3. Cấu hình Snort
• 2.2.1.4. Cài đặt và cấu hình base và adodb
• 2.2.1.5. Cấu hình chế độ mod inline
• 2.2.1.6. Khởi chạy snort-inline
• 2.2.2. Tạo rule phát hiện
• 2.2.3. Tạo rule ngăn chặn
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phòng Chống Xâm Nhập Mạng

Nghiên cứu về phòng chống xâm nhập mạng là một lĩnh vực quan trọng trong an ninh mạng. Với sự gia tăng của các mối đe dọa từ tin tặc, việc phát triển các hệ thống bảo mật như Snort và Iptables trở nên cần thiết. Snort là một công cụ phát hiện xâm nhập mã nguồn mở, trong khi Iptables là một công cụ quản lý tường lửa mạnh mẽ. Sự kết hợp giữa hai công cụ này tạo ra một hệ thống bảo mật vững chắc, giúp bảo vệ thông tin và tài nguyên mạng.

1.1. Tầm Quan Trọng Của An Ninh Mạng

An ninh mạng không chỉ bảo vệ thông tin mà còn đảm bảo sự hoạt động liên tục của các dịch vụ. Các cuộc tấn công mạng có thể gây ra thiệt hại lớn cho doanh nghiệp và tổ chức. Do đó, việc nghiên cứu và triển khai các giải pháp bảo mật là rất cần thiết.

1.2. Các Mối Đe Dọa Chính Đối Với Hệ Thống Mạng

Các mối đe dọa như tấn công từ chối dịch vụ (DoS), tấn công theo mật khẩu và giả mạo địa chỉ IP đang gia tăng. Những mối đe dọa này có thể làm gián đoạn hoạt động của hệ thống và gây thiệt hại về tài chính. Việc nhận diện và phòng chống các mối đe dọa này là một thách thức lớn.

II. Thách Thức Trong Việc Phát Hiện Xâm Nhập Mạng

Việc phát hiện xâm nhập mạng gặp nhiều thách thức, bao gồm sự phức tạp của các cuộc tấn công và sự thay đổi liên tục của các phương pháp tấn công. Hệ thống phát hiện xâm nhập (IDS) cần phải được cập nhật thường xuyên để đối phó với các mối đe dọa mới. Ngoài ra, việc phân tích lưu lượng mạng cũng đòi hỏi kỹ năng và công nghệ tiên tiến.

2.1. Sự Phức Tạp Của Các Cuộc Tấn Công Mới

Các cuộc tấn công ngày càng trở nên tinh vi hơn, với nhiều kỹ thuật mới được áp dụng. Điều này khiến cho việc phát hiện và ngăn chặn trở nên khó khăn hơn. Hệ thống IDS cần phải có khả năng nhận diện các mẫu tấn công mới để bảo vệ hiệu quả.

2.2. Khó Khăn Trong Phân Tích Lưu Lượng Mạng

Phân tích lưu lượng mạng là một nhiệm vụ phức tạp, đòi hỏi sự hiểu biết sâu sắc về các giao thức mạng và hành vi của người dùng. Việc phân tích không chính xác có thể dẫn đến việc bỏ sót các cuộc tấn công hoặc đưa ra cảnh báo sai.

III. Phương Pháp Sử Dụng Snort Trong Phòng Chống Xâm Nhập

Snort là một công cụ mạnh mẽ trong việc phát hiện và ngăn chặn xâm nhập. Nó có khả năng phân tích lưu lượng mạng theo thời gian thực và phát hiện các hành vi bất thường. Snort có thể được cấu hình để hoạt động như một IDS hoặc IPS, tùy thuộc vào nhu cầu của tổ chức.

3.1. Cấu Hình Snort Để Phát Hiện Xâm Nhập

Cấu hình Snort bao gồm việc thiết lập các quy tắc phát hiện xâm nhập. Các quy tắc này giúp Snort nhận diện các mẫu tấn công cụ thể và đưa ra cảnh báo khi phát hiện hành vi đáng ngờ.

3.2. Tích Hợp Snort Với Iptables

Việc tích hợp Snort với Iptables giúp tạo ra một hệ thống bảo mật toàn diện. Iptables có thể chặn các gói tin không hợp lệ, trong khi Snort phát hiện các cuộc tấn công. Sự kết hợp này giúp tăng cường khả năng bảo vệ hệ thống mạng.

IV. Ứng Dụng Thực Tiễn Của Snort Và Iptables

Snort và Iptables đã được triển khai rộng rãi trong nhiều tổ chức để bảo vệ hệ thống mạng. Các ứng dụng thực tiễn cho thấy hiệu quả của việc sử dụng hai công cụ này trong việc phát hiện và ngăn chặn xâm nhập. Nhiều tổ chức đã ghi nhận sự giảm thiểu đáng kể các cuộc tấn công mạng sau khi triển khai hệ thống này.

4.1. Các Tổ Chức Đã Triển Khai Snort

Nhiều tổ chức lớn đã triển khai Snort như một phần của chiến lược bảo mật mạng của họ. Các tổ chức này đã ghi nhận sự cải thiện trong việc phát hiện và ngăn chặn các cuộc tấn công mạng.

4.2. Kết Quả Nghiên Cứu Về Hiệu Quả Của Snort

Nghiên cứu cho thấy Snort có khả năng phát hiện các cuộc tấn công với độ chính xác cao. Các tổ chức sử dụng Snort đã giảm thiểu được các thiệt hại do xâm nhập mạng gây ra.

V. Kết Luận Về Nghiên Cứu Phòng Chống Xâm Nhập Mạng

Nghiên cứu về phòng chống xâm nhập mạng bằng Snort và Iptables cho thấy tầm quan trọng của việc bảo vệ thông tin trong thời đại số. Sự kết hợp giữa hai công cụ này không chỉ giúp phát hiện mà còn ngăn chặn các cuộc tấn công hiệu quả. Tương lai của an ninh mạng sẽ phụ thuộc vào việc phát triển và cải tiến các công nghệ bảo mật.

5.1. Tương Lai Của An Ninh Mạng

Tương lai của an ninh mạng sẽ chứng kiến sự phát triển của các công nghệ mới nhằm đối phó với các mối đe dọa ngày càng tinh vi. Việc nghiên cứu và phát triển các giải pháp bảo mật sẽ tiếp tục là một lĩnh vực quan trọng.

5.2. Vai Trò Của Snort Và Iptables Trong Tương Lai

Snort và Iptables sẽ tiếp tục đóng vai trò quan trọng trong việc bảo vệ hệ thống mạng. Sự phát triển của các phiên bản mới và tính năng cải tiến sẽ giúp nâng cao khả năng bảo vệ trước các mối đe dọa mới.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của công nghệ thông tin đặt ra yêu cầu cấp thiết đối với các tổ chức, doanh nghiệp trong việc quản lý và bảo vệ tài nguyên dữ liệu trước các nguy cơ xâm nhập trái phép. Các giải pháp bảo mật truyền thống như tường lửa (Firewall), mã hóa dữ liệu và mạng riêng ảo (VPN) tuy cung cấp các lớp phòng thủ quan trọng nhưng vẫn bộc lộ hạn chế trước những hình thức tấn công nội bộ, các cuộc tấn công phức tạp hoặc lạm dụng đặc quyền hệ thống. Trong bối cảnh đó, hệ thống ngăn chặn xâm nhập (IPS - Intrusion Prevention System) được nghiên cứu và ứng dụng nhằm bổ sung năng lực phòng ngừa chủ động, phát hiện và ngăn chặn trực tiếp các mối đe dọa trong thời gian thực.

Đề tài "Nghiên cứu và triển khai phòng chống xâm nhập mạng với Snort và Iptables" được thực hiện bởi sinh viên Cao Đức Duy dưới sự hướng dẫn của thầy giáo Nguyễn Vũ tại Khoa Khoa học Máy tính – Trường Cao đẳng Công nghệ Thông tin Hữu nghị Việt - Hàn (tháng 06/2013). Mục tiêu nghiên cứu tổng quát là khảo sát các đặc trưng cơ bản của hệ thống phòng chống xâm nhập mạng Snort-Inline kết hợp với tường lửa Iptables trên nền tảng hệ điều hành Linux, tạo thành một giải pháp bảo mật vững chắc bổ sung cho các cơ chế an ninh hiện tại.

Nhiệm vụ nghiên cứu cụ thể được xác định gồm:

1. Nghiên cứu tổng quan về các hiểm họa an ninh mạng, lịch sử hình thành, sự cần thiết và các mô hình kiến trúc của hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS).
2. Phân tích kiến trúc bên trong, cơ chế tiền xử lý, cấu trúc luật và nguyên lý mở rộng Inline của Snort; đồng thời làm rõ cơ chế định tuyến, lọc gói dữ liệu của Linux Netfilter/Iptables.
3. Thiết kế và triển khai mô hình hệ thống thực nghiệm tích hợp Snort-Inline, Iptables, cơ sở dữ liệu MySQL và giao diện quản trị cảnh báo BASE (Basic Analysis and Security Engine).

Đối tượng nghiên cứu của đồ án là các mối đe dọa an ninh mạng phổ biến, phần mềm phát hiện xâm nhập mã nguồn mở Snort, cơ chế mở rộng Snort-Inline và tường lửa Netfilter/Iptables. Phạm vi nghiên cứu giới hạn trong môi trường mạng máy tính cục bộ và các dịch vụ mạng chạy trên nền tảng hệ điều hành Linux.

---

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng nền tảng lý luận dựa trên các khái niệm, mô hình phân loại và cơ chế kỹ thuật an toàn thông tin mạng chuẩn hóa:

• Khái niệm và phân loại IDS/IPS: Hệ thống phát hiện xâm nhập (IDS) có chức năng thu thập thông tin từ nhiều nguồn để phân tích, theo dõi và phát hiện các hành vi khai thác trái phép; khi được trang bị thêm khả năng chủ động ngăn chặn các nguy cơ phát hiện được thì trở thành hệ thống ngăn chặn xâm nhập (IPS). Phân loại kiến trúc gồm có hệ thống phát hiện xâm nhập trên máy chủ (Host-based IDS - HIDS) và hệ thống phát hiện xâm nhập trên mạng (Network-based IDS - NIDS).
• Mô hình phát hiện xâm nhập: Phân tách thành hai phương pháp tiếp cận chính gồm Mô hình phát hiện sự lạm dụng (Misuse Detection Model - dựa trên các mẫu dấu hiệu tấn công đã biết) và Mô hình phát hiện sự bất thường (Anomaly Detection Model - bao gồm phương pháp phát hiện tĩnh dựa trên tính toàn vẹn dữ liệu/hàm băm và phát hiện động dựa trên hồ sơ hành vi người dùng/ngưỡng thống kê).
• Cơ chế lọc gói dữ liệu Netfilter/Iptables: Kiến trúc tách rời gồm Netfilter hoạt động trực tiếp trong nhân Linux (kernel-space) và giao diện Iptables hoạt động ở không gian người dùng (user-space) để thao tác trên các bảng NAT, Filter và Mangle.
• Cơ chế can thiệp gói tin Snort-Inline: Giải pháp tích hợp chuyển đổi Snort từ NIDS thụ động thành IPS chủ động thông qua việc sử dụng module ipqueue và thư viện libipq của Netfilter nhằm tiếp nhận và đưa ra quyết định xử lý gói tin (DROP, SDROP, REJECT) trước khi gói tin được chuyển tiếp.

Phương pháp nghiên cứu được áp dụng gồm:

• Phương pháp phân tích - tổng hợp tài liệu: Thu thập, hệ thống hóa các cơ sở lý thuyết về an toàn mạng, các kỹ thuật tấn công (tấn công mật khẩu, SYN flood, UDP flood, IP spoofing, cửa hậu) và kiến trúc hệ thống IDS/IPS.
• Phương pháp thiết kế và triển khai kỹ thuật: Xây dựng mô hình hệ thống thực nghiệm, cài đặt các gói phụ thuộc, biên dịch Snort hỗ trợ chế độ inline, liên kết Iptables với Snort-Inline qua libipq, thiết lập cơ sở dữ liệu MySQL và tích hợp công cụ phân tích cảnh báo giao diện web BASE kết hợp thư viện ADOdb.

Nguồn dữ liệu sử dụng trong nghiên cứu bao gồm: dữ liệu luồng gói tin mạng được bắt giữ thời gian thực qua giao diện mạng; cơ sở dữ liệu mẫu luật của Snort (với 2.930 luật chuẩn); và các bản ghi kiểm tra (audit log), nhật ký cảnh báo lưu trữ có cấu trúc trong cơ sở dữ liệu.

---

Thiết kế và triển khai

Đồ án là công trình kỹ thuật chuyên sâu về an ninh mạng, tập trung vào việc thiết kế cấu trúc kết nối và triển khai tích hợp giữa bộ lọc nhân Linux và hệ thống phòng chống xâm nhập Snort-Inline.

Kiến trúc module của Snort

Hệ thống Snort được tổ chức thành 5 module xử lý tuần tự:

1. Module giải mã gói tin (Packet Decoder): Sử dụng thư viện pcap (hoặc libipq trong chế độ inline) để thu bắt gói tin trên đường truyền, phân tích cấu trúc header, phát hiện các định dạng gói tin sai lệch hoặc chiều dài TCP bất thường. Snort hỗ trợ nhiều giao thức tầng liên kết như Ethernet, 802.11, Token Ring, FDDI, Cisco HDLC, SLIP, PPP và OpenBSD PF.
2. Module tiền xử lý (Preprocessors): Thực hiện 3 nhiệm vụ quan trọng trước khi đưa dữ liệu vào module phát hiện:
   • Tái hợp gói tin (Defragmentation/Stream): Ghép nối các mảnh gói tin bị phân mảnh và theo dõi trạng thái các phiên truyền thông TCP để chống lại kỹ thuật né tránh IDS.
   • Giải mã và chuẩn hóa giao thức (Decode/Normalize): Chuẩn hóa dữ liệu đầu vào của các giao thức Telnet, HTTP, RPC, ARP nhằm tránh các thủ thuật mã hóa URL (như biến đổi đường dẫn scripts/./iisadmin, mã hóa Hex/Unicode).
   • Phát hiện bất thường phi quy tắc (Non-rule/Anomaly): Tích hợp các plugin phát hiện chuyên biệt như portscan (cảnh báo quét cổng) và bo (Back Orifice - phát hiện mã độc điều khiển từ xa).
3. Module phát hiện (Detection Engine): Thành phần cốt lõi thực hiện so sánh dữ liệu gói tin với tập luật được định nghĩa trước. Module có khả năng áp dụng luật độc lập trên từng thành phần: IP Header, Transport Header (TCP, UDP), Application Header (DNS, HTTP, FTP...) và phần tải dữ liệu (Payload).
4. Module log và cảnh báo (Logging and Alerting System): Tiếp nhận các gói tin có dấu hiệu xâm nhập để tạo cảnh báo hoặc ghi lưu trữ dưới định dạng tệp văn bản/tcpdump.
5. Module kết xuất thông tin (Output Module): Hỗ trợ định dạng và chuyển tiếp cảnh báo tới nhiều đích khác nhau: ghi tệp log, hệ thống Syslog của Unix/Linux, lưu vào cơ sở dữ liệu, tệp XML, gửi bẫy cảnh báo qua giao thức SNMP, hoặc gửi thông điệp SMB đến hệ điều hành Windows.

Cơ chế hoạt động của Iptables/Netfilter

Iptables điều khiển luồng dữ liệu thông qua hệ thống các bảng (Tables), chuỗi (Chains) và mục tiêu xử lý (Targets):

• Bảng NAT: Thực thi chức năng chuyển đổi địa chỉ mạng, bao gồm 3 chuỗi mặc định: PREROUTING (thực hiện Destination NAT - DNAT trước khi định tuyến), POSTROUTING (thực hiện Source NAT - SNAT hoặc MASQUERADING sau khi định tuyến) và OUTPUT (NAT cho gói tin do máy cục bộ sinh ra).
• Bảng Filter: Chịu trách nhiệm lọc gói tin với 3 chuỗi tích hợp: FORWARD (xử lý gói tin đi qua firewall), INPUT (xử lý gói tin gửi đến firewall) và OUTPUT (xử lý gói tin gửi đi từ firewall).
• Bảng Mangle: Đảm nhận nhiệm vụ thay đổi các bit chất lượng dịch vụ (Quality of Service - QoS) trong TCP Header.
• Targets định tuyến và lọc: Các hành động xử lý gói gồm ACCEPT, DROP, REJECT, DNAT, SNAT, MASQUERADING. Iptables cung cấp các tùy chọn lọc theo giao thức (-p tcp, -p udp, -p icmp), lọc theo cổng/dải cổng (--sport, --dport), kiểm tra nhiều cổng (-m multiport), và kiểm tra trạng thái kết nối (-m state --state với các giá trị NEW, ESTABLISHED, RELATED).

Cơ chế tích hợp Snort-Inline

Snort-Inline (khởi xướng bởi William Metcalf và được đưa vào bản chính thức từ Snort 2.0 RC1) thay đổi cách thu bắt gói tin từ chế độ lắng nghe thụ động (libpcap) sang cơ chế can thiệp trực tiếp vào luồng chuyển tiếp của Iptables thông qua hàng đợi ipqueue và thư viện libipq. Khi có gói tin đi qua chuỗi FORWARD của Iptables, gói tin được đẩy vào hàng đợi của Snort để kiểm tra.

Nhằm hỗ trợ chế độ inline, Snort bổ sung 3 hành động vào tập luật:

• DROP: Yêu cầu Iptables loại bỏ gói tin và ghi nhật ký thông tin tương tự hành động LOG.
• SDROP (Silent Drop): Yêu cầu Iptables loại bỏ gói tin nhưng không ghi nhật ký cảnh báo.
• REJECT: Yêu cầu Iptables hủy gói tin và gửi phản hồi thông báo lỗi (như TCP RST hoặc ICMP Port Unreachable) về máy nguồn; không lưu log.

Thứ tự ưu tiên đánh giá luật trong Snort được điều chỉnh tương ứng:

• Thứ tự ưu tiên Snort truyền thống: activation -> dynamic -> alert -> pass -> log.
• Thứ tự ưu tiên Snort-Inline: activation -> dynamic -> pass -> drop -> sdrop -> reject -> alert -> log.

Xây dựng cú pháp và cấu hình tập luật (Rules)

Một luật của Snort gồm hai phần: Rule Header (xác định hành động, giao thức, địa chỉ IP nguồn/đích, cổng nguồn/đích và chiều truyền dữ liệu ->) và Rule Options (đặt trong dấu ngoặc đơn, chứa các tiêu chí đối sánh logic AND):

• msg: Thiết lập thông điệp cảnh báo hiển thị.
• content: Tìm kiếm chuỗi ký tự ASCII hoặc chuỗi nhị phân hệ thập lục phân (Hexadecimal, đặt giữa cặp ký tự | |) trong payload gói tin.
• offset và depth: Giới hạn phạm vi tìm kiếm của content (tính từ vị trí byte bắt đầu offset và độ sâu byte cần quét depth).
• content-list: Đối sánh nội dung gói tin với một danh sách các từ khóa lưu trong tệp văn bản.
• dsize: Kiểm tra chiều dài phần dữ liệu của gói tin nhằm phát hiện tấn công tràn bộ đệm.
• flags: Kiểm tra trạng thái các bit cờ trong TCP Header (F - FIN, S - SYN, R - RST, P - PSH, A - ACK, U - URG, 1 - Reserved 1, 2 - Reserved 2, 0 - No flag).
• fragbits: Kiểm tra các bit cờ chống phân mảnh trong IP Header (D - Don't Fragment, M - More Fragments, R - Reserved Bit).
• classtype: Gán loại tấn công và độ ưu tiên cảnh báo dựa trên tệp cấu hình classification.config.
• ack: Kiểm tra giá trị trường Acknowledgement Number trong TCP Header để phát hiện kỹ thuật quét mạng TCP ping (như công cụ Nmap).

---

Nội dung chính theo từng chương

Chương 1: Tổng quan về bảo mật mạng

Chương 1 hệ thống hóa các hiểm họa an ninh mạng phổ biến và tổng quan kiến trúc các hệ thống bảo mật:

• Các hình thức tấn công mạng:
  • Tấn công mật khẩu: Bao gồm tấn công thô (brute-force dùng cho mạng LAN) và tấn công từ điển (dùng cho truy nhập từ xa); phân tích cơ chế lưu trữ mật khẩu mã hóa trên hệ điều hành Windows (System_32/config/SAM/Security Account dùng DES, MD4, MD5, Kerberos) và Linux/Unix (/etc/passwd, /etc/shadow); các kỹ thuật sử dụng wordlist và chương trình gián điệp.
  • Tạo cửa hậu và xóa nhật ký: Kỹ thuật hacker mở cổng truyền thông mới, tạo tài khoản quản trị, ngụy trang đổi tên lệnh/tệp, và thay đổi mốc thời gian trong tệp nhật ký để xóa dấu vết.
  • Tấn công từ chối dịch vụ (DoS): Phân tích cơ chế tấn công SYN flood (khai thác chu trình bắt tay ba bước TCP làm cạn kiệt hàng đợi server khi không gửi gói ACK phản hồi) và tấn công UDP flood (gửi lượng lớn gói tin UDP gây quá tải xử lý).
  • Giả mạo địa chỉ IP (IP Spoofing) và các nguy cơ xuất phát từ yếu tố con người (người dùng tò mò, bất bình nội bộ, kẻ trộm dữ liệu ngân hàng, hoặc sự bất cẩn do thiếu kiến thức quản trị).
• Lịch sử và vai trò của IDS/IPS: Khái niệm phát hiện xâm nhập bắt đầu từ bài báo của James Anderson (~25 năm trước thời điểm nghiên cứu), được nghiên cứu chính thức giai đoạn 1983–1988 tại Không lực Hoa Kỳ; thương mại hóa rộng rãi từ năm 1997 bởi công ty ISS và việc Cisco mua lại hãng Wheel vào năm 1998. Vị trí triển khai IPS được xác định tại 5 phân đoạn mạng chính: phân đoạn Internet, Extranet, Intranet, truy cập từ xa và trên từng máy chủ/máy trạm.
• So sánh kiến trúc NIDS và HIDS:

Tiêu chí so sánh	Network-based IDS (NIDS)	Host-based IDS (HIDS)
Nguồn dữ liệu thu thập	Toàn bộ lưu lượng gói tin lưu thông trên đoạn mạng.	Nhật ký hệ thống (log), sự kiện kiểm toán trên một máy chủ đơn lẻ.
Chi phí và triển khai	Chi phí thấp; chỉ cần đặt tại các vị trí mạng trọng yếu.	Đắt đỏ; phải cài đặt và duy trì trên từng máy cần bảo vệ.
Khả năng phát hiện	Đọc Header toàn bộ gói tin; phát hiện tấn công DoS, TearDrop, TCP SYN flood.	Giám sát chi tiết thay đổi file, leo thang quyền hạn, thao tác bàn phím trực tiếp.
Độ tin cậy dấu vết	Dữ liệu bắt trực tiếp trên đường truyền, hacker không thể xóa dấu vết.	Log file trên host có thể bị hacker xâm nhập chỉnh sửa hoặc xóa bỏ.
Độ trễ đối phó	Phát hiện và ngăn chặn tức thời (ví dụ gửi gói TCP Reset).	Có độ trễ nhất định do phụ thuộc vào tiến trình ghi log của hệ điều hành.
Hạn chế chính	Bị hạn chế trong mạng chuyển mạch (Switch), khó xử lý lưu lượng mã hóa/VPN.	Chiếm dụng tài nguyên phần cứng (CPU, RAM, ổ đĩa) của máy chủ được bảo vệ.

• So sánh mô hình phát hiện sự lạm dụng và phát hiện sự bất thường:

Tiêu chí	Phát hiện sự lạm dụng (Misuse Detection)	Phát hiện sự bất thường (Anomaly Detection)
Cơ sở đối sánh	Cơ sở dữ liệu chứa các dấu hiệu tấn công đã biết (Signatures).	Hồ sơ (Profile) các hành vi thông thường được chấp nhận của hệ thống.
Thuật toán xử lý	Tìm kiếm phép đối sánh mẫu chính xác (Pattern matching).	Tính toán độ lệch thống kê giữa hành động thực tế và ngưỡng cho phép.
Khả năng nhận diện	Hiệu quả cao với tấn công cũ; không phát hiện được kiểu tấn công mới.	Có khả năng phát hiện các dạng tấn công mới và hành vi bất thường chưa biết.
Độ phức tạp cấu hình	Dễ cấu hình; đòi hỏi ít tài nguyên phân tích ban đầu.	Khó cấu hình; đòi hỏi thời gian xây dựng dữ liệu cơ sở toàn diện.
Độ chính xác cảnh báo	Tỷ lệ cảnh báo sai thấp khi dấu hiệu rõ ràng.	Dễ phát sinh cảnh báo sai do ranh giới hành vi không hoàn toàn rõ ràng.

Chương 2: Giới thiệu về Snort-Inline

Chương 2 trình bày chi tiết về công cụ Snort, cơ chế Snort-Inline và tường lửa Iptables:

• Đặc tính kỹ thuật của Snort: Phần mềm mã nguồn mở do Martin Roesch phát triển; sở hữu cơ sở dữ liệu với hơn 2.930 luật; hoạt động trên đa nền tảng hệ điều hành (Windows, Linux, OpenBSD, FreeBSD, NetBSD, Solaris, HP-UX, AIX, IRIX, MacOS). Phân tích chi tiết 5 module cấu thành: Giải mã gói tin, Tiền xử lý, Phát hiện, Log/Cảnh báo, Kết xuất thông tin.
• Bộ luật và cú pháp Rule Snort: Phân tích chi tiết các thành phần trong Header (Action, Protocol, Address, Port, Direction) và các từ khóa thông dụng trong Options (ack, classtype, content, offset, depth, content-list, dsize, flags, fragbits).
• Cơ chế Snort-Inline: Phân tích giải pháp kết hợp của William Metcalf từ phiên bản Snort 2.0 RC1; sử dụng cơ chế ipqueue/libipq thay cho libpcap; bổ sung các hành động DROP, SDROP, REJECT và thay đổi trình tự ưu tiên luật trong inline mode.
• Nguyên lý Iptables/Netfilter: Phân tích cơ chế xử lý gói tin qua 3 bảng NAT, Filter, Mangle; các khái niệm Chain, Rule, Jump, Target; các cú pháp lệnh lọc theo giao thức TCP/UDP/ICMP, đa cổng, trạng thái kết nối; các lệnh dòng lệnh trợ giúp và hai công cụ quản trị sao lưu/phục hồi:
  • iptables-save: Sao lưu tập luật với tùy chọn -c (hiển thị bộ đếm gói/byte) và -t (chỉ định bảng).
  • iptables-restore: Phục hồi tập luật với tùy chọn -c (phục hồi bộ đếm) và -n (không xóa cấu hình bảng trước khi phục hồi).

Chương 3: Triển khai Snort và Iptables

Chương 3 mô tả quy trình thiết kế và thực thi hệ thống kỹ thuật:

• Thiết kế mô hình hệ thống: Xây dựng mô hình thử nghiệm với cổng mạng bảo vệ đặt giữa vùng lưu thông mạng bên ngoài và mạng nội bộ.
• Cài đặt và cấu hình phần mềm: Cài đặt các gói thư viện phụ thuộc; biên dịch mã nguồn Snort kích hoạt chế độ inline; cấu hình tệp snort.conf; cài đặt hệ quản trị cơ sở dữ liệu MySQL, thư viện kết nối ADOdb và phần mềm giao diện web BASE để trực quan hóa cảnh báo.
• Vận hành và xây dựng tập luật thực nghiệm: Khởi chạy Snort-Inline liên kết với hàng đợi Iptables; thiết lập các quy tắc phát hiện xâm nhập và các quy tắc ngăn chặn trực tiếp (sử dụng hành động drop/reject) đối với các hành vi quét cổng mạng, tấn công từ chối dịch vụ và các truy vấn giao thức bất thường.

---

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

1. Hệ thống hóa cơ sở lý thuyết an toàn mạng: Làm rõ bản chất của các phương thức tấn công phổ biến (SYN flood, UDP flood, password brute-force, backdoor) và cung cấp bảng so sánh chi tiết giữa NIDS - HIDS, cũng như giữa mô hình phát hiện sự lạm dụng - mô hình phát hiện sự bất thường.
2. Làm rõ cấu trúc và cơ chế vận hành của Snort và Iptables: Phân tích chi tiết kiến trúc 5 module của Snort, hệ thống 2.930 luật chuẩn, các từ khóa cấu hình rule options và cơ chế lọc gói dữ liệu đa bảng (NAT, Filter, Mangle) của Linux Netfilter.
3. Triển khai thành công giải pháp IPS Snort-Inline: Tích hợp Snort với Iptables thông qua hàng đợi libipq/ipqueue, cho phép hệ thống can thiệp và ngăn chặn luồng gói tin độc hại với các hành động DROP, SDROP, REJECT theo đúng trình tự ưu tiên luật được tối ưu.
4. Xây dựng hệ thống quản trị cảnh báo tập trung: Kết nối thành công Snort-Inline với cơ sở dữ liệu MySQL, thư viện ADOdb và giao diện web BASE, tạo môi trường giám sát sự kiện bảo mật trực quan cho người quản trị.

Giải pháp và kiến nghị đề xuất từ tác giả

• Kết hợp đa mô hình phát hiện: Để tối ưu hóa hiệu quả bảo mật, hệ thống cần kết hợp song song cả phương pháp phát hiện sự lạm dụng (xử lý nhanh các mẫu tấn công đã biết) và phát hiện sự bất thường (nhận diện các biến thể tấn công mới).
• Phòng chống tấn công DoS và bảo vệ dữ liệu: Khuyến nghị cấu hình tường lửa giới hạn cổng SYN, tăng kích thước hàng đợi phục vụ, xác định linh hoạt thời gian timeout, thiết lập bộ đệm quản lý chu trình liên kết nửa mở (half-open connection), và định kỳ kiểm tra tính toàn vẹn của tệp hệ thống/tệp nhật ký bằng các thuật toán tóm lược thông điệp (checksums, message-digest, hàm băm).

Đóng góp của đề tài

Đồ án đã cung cấp một tài liệu kỹ thuật hoàn chỉnh và thực tế về việc chuyển đổi công cụ IDS mã nguồn mở Snort thành một hệ thống ngăn chặn xâm nhập IPS hoạt động đồng bộ với tường lửa nhân Linux Iptables, đóng góp một phương án bảo mật chi phí thấp nhưng có hiệu năng cao cho hệ thống mạng máy tính.

---

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế:
  • Mô hình nghiên cứu của Snort-Inline gắn liền với hệ thống lọc gói Netfilter của Linux thông qua module ipqueue/libipq, chưa mở rộng thử nghiệm trên các nền tảng hệ điều hành Unix thương mại khác.
  • Phân tích của NIDS còn chịu ảnh hưởng và gặp khó khăn khi xử lý các gói tin trong các phiên truyền thông được mã hóa (như VPN) hoặc trên các hạ tầng mạng chuyển mạch phức tạp chia nhiều đoạn độc lập.
  • Việc sử dụng nhiều luật đối sánh nội dung sâu (content) đòi hỏi năng lực tính toán lớn từ CPU, có thể gây suy giảm thông lượng mạng khi lưu lượng truyền tải ở mức rất cao.
• Hướng nghiên cứu tiếp: Tiếp tục tối ưu hóa hiệu năng xử lý của module phát hiện trên các môi trường mạng tốc độ cao (Gigabit), nghiên cứu phát triển thêm các plugin tiền xử lý bất thường chuyên sâu, và xây dựng các kịch bản kiểm thử tự động với đa dạng công cụ tấn công hiện đại.

---

Giá trị tham khảo

Đồ án là tài liệu tham khảo có giá trị chuyên môn cao đối với sinh viên, học viên ngành Công nghệ thông tin, Khoa học máy tính, Mạng máy tính và An toàn thông tin; cũng như các kỹ sư mạng, quản trị viên hệ thống Linux.

Các nội dung nổi bật đáng tham khảo bao gồm:

• Toàn bộ bảng tra cứu chi tiết về cú pháp luật của Snort (các tùy chọn ack, classtype, content, offset, depth, flags, fragbits, dsize).
• Bảng tổng hợp các tùy chọn lệnh, bảng lọc và các cờ trạng thái kết nối của tường lửa Linux Iptables.
• Quy trình kỹ thuật từng bước tích hợp Snort-Inline với libipq, thiết lập cơ sở dữ liệu MySQL và cấu hình công cụ hiển thị giao diện web BASE/ADOdb.

---

Câu hỏi thường gặp

1. Snort-Inline khác biệt như thế nào so với Snort thông thường ở cấp độ xử lý gói tin?
Snort thông thường hoạt động như một NIDS thụ động, sử dụng thư viện libpcap để bắt và sao chép gói tin trên đường truyền mạng nhằm đưa ra cảnh báo. Ngược lại, Snort-Inline sử dụng module ipqueue và thư viện libipq của Netfilter để nhận trực tiếp gói tin từ hàng đợi Iptables ở chế độ devel-mode, cho phép Snort can thiệp xử lý và ra lệnh cho Iptables loại bỏ gói tin trước khi được định tuyến tiếp.

2. Trình tự ưu tiên thực thi các hành động trong luật của Snort-Inline được thay đổi ra sao so với bản Snort gốc?
Trong bản Snort truyền thống, thứ tự ưu tiên của các hành động là: activation -> dynamic -> alert -> pass -> log. Khi hoạt động ở chế độ Snort-Inline, thứ tự này được cấu hình lại thành: activation -> dynamic -> pass -> drop -> sdrop -> reject -> alert -> log.

3. Ba hành động mới được bổ sung vào bộ luật của Snort nhằm hỗ trợ chế độ inline là gì và ý nghĩa của chúng?
Ba hành động bao gồm: DROP (yêu cầu Iptables loại bỏ gói tin và ghi nhật ký thông tin), SDROP (loại bỏ gói tin trong im lặng, không ghi nhật ký), và REJECT (hủy bỏ gói tin đồng thời gửi thông báo lỗi ngược lại cho nguồn gửi, không ghi nhật ký).

4. Ba bảng (Tables) xử lý gói tin chính trong kiến trúc Iptables đảm nhận chức năng gì?
Ba bảng chính gồm: NAT table (chuyên thực thi chuyển đổi địa chỉ mạng với các chuỗi Pre-routing, Post-routing, Output); Filter table (chịu trách nhiệm lọc gói tin với các chuỗi Forward, Input, Output); và Mangle table (chịu trách nhiệm điều chỉnh các bit chất lượng dịch vụ QoS trong TCP Header).

5. Từ khóa flags và fragbits trong luật Snort dùng để kiểm tra những thông tin nào của gói tin?
Từ khóa flags dùng để đối sánh các bit cờ trong TCP Header (gồm FIN, SYN, RST, PSH, ACK, URG, Reserved 1, Reserved 2 hoặc 0). Từ khóa fragbits dùng để kiểm tra các bit quản lý phân mảnh trong IP Header, bao gồm bit Don't Fragment (DF - kiểm tra gói không bị phân mảnh), More Fragments (MF - kiểm tra các phần tiếp theo của gói phân mảnh) và Reserved Bit (RB).

---

Kết luận

Đồ án tốt nghiệp "Nghiên cứu và triển khai phòng chống xâm nhập mạng với Snort và Iptables" của tác giả Cao Đức Duy đã cung cấp một nghiên cứu toàn diện từ lý thuyết an ninh mạng đến giải pháp triển khai thực tế một hệ thống ngăn chặn xâm nhập mã nguồn mở. Công trình đã làm rõ kiến trúc module nội tại của Snort, cơ chế lọc gói dữ liệu của Linux Iptables và kỹ thuật ghép nối Snort-Inline thông qua thư viện libipq. Với việc tích hợp thành công giao diện phân tích BASE trên nền cơ sở dữ liệu MySQL, đồ án đã chứng minh tính khả thi và hiệu quả của mô hình bảo vệ mạng chủ động, mang lại giá trị tham khảo kỹ thuật cao cho công tác quản trị và bảo mật hệ thống thông tin.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT MẠNG.1 Một số mối đe dọa an ninh mạng và giải pháp phòng chống.1 Tấn công truy nhập mạng.1 Tấn công theo mật khẩu. Mật khẩu là tập hợp tất cả các chữ cái, chữ số. Có hai cách tấn công theo mật khẩu: - Tấn công thô: là dùng tất cả các tổ hợp, các kí tự để làm mật khẩu vào mạng và thử truy nhập, tấn công này thường dùng cho mạng LAN. - Tấn công dùng từ điển: dự đoán một số từ khóa thông thường người ta hay dùng làm password, tấn công này thường dùng cho từ xa truy nhập vào mạng.2 Tấn công theo phân tích mật khẩu.

Hầu hết trong các hệ điều hành đều lưu username và password. Nhưng mỗi hệ điều hành có các cách lưu khác nhau. Ví dụ, trong Window có file System_32/ config/ SAM/ Security Acount, trong Linux, Unix có 2 file etc/passwd và etc/shadow. Trong các hệ điều hành thì hầu như password đều được mã hóa theo thuật toán DES và MD5 chứ nó không lưu bản rõ.

- Đối với Win 95,98 thì dùng thuật toán DES. - Đối với Win NT và Win 2000 thì dùng thuật toán hàm băm MD4, sau đó sẽ sử dụng MD5. - Đối với Win 2000 sau này dùng Kerboros. Các thuật toán công khai như vậy thì người ta đều biết.

Thông thường biết mã và thuật toán thì người ta giải mã được nhưng có một số thuật toán mà người ta giải mã rất khó như thuật toán DES thì người ta phải phá vài chục năm mới phá được (phương pháp này giống kiểu tấn công thô). Do đó, tin tặc sử dụng các kỹ thuật sau để tấn công: - Sử dụng wordlist: SVTH: Cao Đức Duy – CCMM04C Trang 1 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables Danh sách của những từ sử dụng như danh mục địa phương, danh mục họ tên của nước nào đó. Đầu tiên dùng thuật toán mã hóa wordlist sau đó so sánh worslist đã mã hóa với mật khẩu. Có thể nói dùng phương pháp này cũng gần đi tới kết quả.

- Sử dụng chương trình giám điệp : Tin tặc dùng chương trình này để copy các tệp mật khẩu. Khi copy được các tệp mật khẩu thì nó cũng có thể thay đổi mật khẩu được. Người dùng nên dùng password phức tạp để tin tặc tấn công khó hơn.2 Tạo cửa hậu, xóa nhật ký. Để tiếp tục tấn công vào lần sau (tấn công sau khi đã vào mạng).

- Hacker xóa các cổng truyền thông tạo ra các cổng truyền thông mới (nếu cổng truyền thông server không cho phép thì tạo ra để cho phép). - Tạo ra người sử dụng mới, người sử dụng có quyền quản trị. - Cài các chương trình cho phép tin tặc từ xa có thể điều khiển được, thường điều khiển để lấy thông tin hoặc phá hoại. - Ngụy trang để xóa hết tên tệp, thay đổi tên thư mục, thay đổi những lệnh mà người quản trị sử dụng để phát hiện truy nhập.

- Xóa tệp nhật ký để cho người quản trị không thấy được dấu vết đã truy nhập hoặc có thể thay đổi tệp đăng ký, thay đổi thời gian ghi nhật ký. Ví dụ như khi truy nhập tuần này thì nó thay đổi thời gian là tuần trước (nhật ký tuần trước thì không thông báo) làm cho người quản trị không quản lí được. Giải pháp phòng chống: - Một số tệp quan trọng của hệ thống thì phải được bảo vệ tính toàn vẹn của nó thông qua việc tạo ra các tóm lược và sau một thời gian nhất định thì phải kiểm tra tệp đó có toàn vẹn không. - Đối với một số nhật ký quan trọng thì được sao chép lưu giữ, bảo vệ để tin tặc không thay đổi được.

- Luôn kiểm tra các cổng truyền thông để phát hiện tin tặc có truyền thông tin ra từ máy không. SVTH: Cao Đức Duy – CCMM04C Trang 2 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables 1.3 Tấn công từ chối dịch vụ.1 Tấn công SYN flood.1 Tấn công SYN Flood. Đầu tiên tin tặc gửi yêu cầu tới server, khi server nhận được yêu cầu của tin tặc thì server trả lời cho tin tặc nhưng tin tặc lại không xác nhận trả lời của server (ACK) làm cho server chờ trả lời. Khi server chờ hết thời gian Tout thì server buộc phải gửi yêu cầu hủy kết nối (RST/ACK).

Khi tin tặc nhận được hủy kết nối thì tin tặc tiếp tục gửi tín hiệu SYN để yêu cầu kết nối và cứ như vậy server chỉ phục vụ cho tin tặc không phục được cái khác. Giải pháp phòng chống: - Có một số firewall chặn một số cổng SYN như Checkpoint. - Làm tăng hàng đợi server có thể phục vụ. - Xác định Tout một cách mềm dẻo có thể tránh được tắc nghẽn do tin tặc gây ra.

- Xác định thêm một bộ đệm để biết được chu trình thiết lập liên kết một nửa và từ đó có quy trình để đối phó. - Kết hợp các công cụ của hệ điều hành.2 Tấn công UDP flood SVTH: Cao Đức Duy – CCMM04C Trang 3 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables Hình 1.2 Tấn công UDP flood. Tấn công UDP flood là tin tặc gửi rất nhiều UDP làm cho server không kịp xử lý. Giải pháp phòng chống: Sử dụng firewall, chỉ cho phép các dịch vụ UDP cần thiết buộc phải có như DNS, DHCP, SNMP.

Những gói UDP của các dịch vụ này thì bắt buộc phải cho vào mạng còn các gói UDP của các dịch vụ khác thì không cần thiết.4 Giả mạo địa chỉ IP. Việc giả mạo địa chỉ IP có thể được thực hiện thông qua việc sử dụng khả năng dẫn đường trực tiếp. Với cách tấn công này, tin tặc gửi các gói IP tới mạng bên trong với địa chỉ IP giả mạo (thông thường là địa chỉ của một mạng hoặc một máy được coi là an toàn đối với mạng bên trong), đồng thời phải chỉ rõ đường dẫn mà các gói tin IP phải gửi đi.5 Đùa nghịch, quấy rối. Là do con người có tính tò mò, xâm nhập vào hệ thống tìm những thông tin mà họ thích thú.

Họ thường làm hỏng hệ thống do thiếu kiến thức hoặc cố gắng che dấu vết của họ. SVTH: Cao Đức Duy – CCMM04C Trang 4 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables 1. Là những người cố ý phá hoại hệ thống thông tin mà họ muốn. Những người này thường là họ bất bình trong môi trường làm việc của họ, hoặc do tính chất cạnh tranh nào đó.

Chúng có thể xóa dữ liệu hoặc làm hỏng thiết bị hệ thống mà chúng xâm nhập. Là những người xâm nhập vào hệ thống và chỉ lấy những thông tin nào có giá trị lớn như các hệ thống tín dụng, ngân hàng… Khó phát hiện tức thời được, thường chúng lấy thông tin mà không để lại dấu vết.8 Vô ý hay thiếu hiểu biết của người sử dụng. Các tai họa hoàn toàn không phải do kẻ xấu làm nên, mà đa số là do những người chưa được đào tạo tốt về kiến thức máy tính nên không nhận thức được các mối nguy hiểm cho hệ thống và do những người quản trị hệ thống thiếu kinh nghiệm, hoặc lỗi của một chương trình ứng dụng. Hệ thống phát hiện và ngăn chặn xâm nhập IDS/IPS.1 Lịch sử ra đời.

Cách đây khoảng 25 năm, khái niệm phát hiện xâm nhập xuất hiện qua một bài báo của James Anderson. Khi đó người ta cần IDS với mục đích là dò tìm và nghiên cứu các hành vi bất thường và thái độ của người sử dụng trong mạng, phát hiện ra các việc làm dụng đặc quyền để giám sát tài sản hệ thống mạng. Các nghiên cứu về hệ thống phát hiện xâm nhập được nghiên cứu chính thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỳ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa được phổ biến, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu.

Tuy nhiên trong thời gian này, một số công nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin. Đến năm 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của công ty ISS, một năm sau đó, Cisco nhận ra tầm quan trọng của IDS và đã mua lại một công ty cung cấp giải pháp IDS tên là Wheel. SVTH: Cao Đức Duy – CCMM04C Trang 5 Nghiên cứu và triển khai phòng chống xâm nhập mạng với snort và iptables Hiện tại, các thống kê cho thấy IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển.2 Sự cần thiết của tìm kiếm và phát hiện xâm nhập. Ngày nay, an toàn mạng đã trở thành một vấn đề hết sức quan trọng.

Những kẻ phá hoại và xâm nhập mạng đã đạt được nhiều thành công trong việc tấn công vào các thành phần và các dịch vụ mạng. Nhiều phương pháp đã được phát triển để đảm bảo an toàn cho hạ tầng và cho truyền thông trên mạng Internet, ta có thể kể tới một số phương pháp điển hình như: sử dụng bức tường lửa, mã hoá dữ liệu và các mạng riêng ảo. Phát hiện xâm nhập mạng là một kỹ thuật mới, được xuất hiện cách đây vài năm. Sử dụng phương pháp phát hiện xâm nhập, ta có thể thu thập và sử dụng các dấu vết từ những kiểu tấn công đã được biết trước, từ đó tìm ra xem liệu có kẻ nào đó đang cố gắng tấn công vào mạng hay máy của bạn.

Những thông tin được thu thập theo cách này sẽ được sử dụng để làm tăng khả năng an toàn cho mạng cũng như cho các mục đích khác. Kỹ thuật phát hiện xâm nhập mạng hiện đã được cài đặt trong các sản phẩm thương mại cũng như trong sản phẩm có mã nguồn mở. Ngoài ra, còn phải kể tới nhiều công cụ phát hiện các lỗ hổng giúp phát hiện các lỗ hổng an toàn trong mạng. Hệ thống phát hiện xâm nhập (IDS) là hệ thống có nhiệm vụ theo dõi, phát hiện và (có thể) ngăn cản sự xâm nhập, cũng như các hành vi khai thác trái phép tài nguyên của hệ thống được bảo vệ mà có thể dẫn đến việc làm tổn hại đến tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống.

Hệ thống IDS sẽ thu thập thông tin từ rất nhiều nguồn trong hệ thống được bảo vệ sau đó tiến hành phân tích những thông tin đó theo các cách khác nhau để phát hiện những xâm nhập trái phép.