Chương 1 trình bày tổng quan về khái niệm NSM (network security monitoring), giới thiệu một chu trình NSM khép kin cũng như điểm qua những thách thức và ứng dung cua hệ thong NSM.1 Giới thiệu về giám sát an toàn mạng NSM (Network Security Monitoring) hay giám sát an toàn mạng đề cập đến việc thu thập và phân tích thông tin bảo mật của hệ thống mạng của cơ quan té chức dé phát hiện bat kỳ hành vi xâm phạm nào tim cách vượt qua các biện pháp phòng thủ và ngăn chặn chúng trước khi chúng có thê gây ra bất kỳ thiệt hại nghiêm trọng nào. Trong các hệ thống giám sát An ninh mạng hiện đại khả năng phát hiện xâm nhập chỉ là một khía cạnh ngoài ra hệ thống còn hướng tới việc: nhận thức được khả năng bảo mật của hệ thống mạng của chủ thé, xác định được chiến thuật của kẻ tấn công đã tiến hành để xâm nhập vào mạng của mình và cuối cùng là phân tích những thông tin mạng có được dé phát hiện cách những kẻ tan công này có thé đã làm dé xâm nhập vào mạng của mình. Khác với hệ thống phát hiện xâm nhập IDS (Intrusion Detection System) dựa trên mô hình bảo mật cũ hơn tập trung vào các đặc điểm sau:[10] e Phòng thủ tập trung vào lỗ hồng: IDS sử dụng phương pháp phổ biến nay để bảo mật các hệ thống mang mà có các lỗ hong được xác định là mục tiêu tiềm năng của kẻ tấn công. Những lỗ hồng này được giải quyết trước các mối đe dọa đã biết với mục tiêu ngăn chặn việc khai thác ngay từ đầu.
e Tap trung vào phát hiện: Mặc dù IDS thu thập dir liệu mang, quá trình nay thiếu sự tập trung. Các công nghệ IDS thu thập toàn bộ dữ liệu mà không kết nỗi chúng với các chiến lược phát hiện được định rõ. e Phat hiện dựa trên chữ ky: Hầu hết các công nghệ IDS sử dụng dấu hiệu của các cuộc tấn công đã biết và liên kết chúng với mẫu của dấu hiệu tấn công. Vì vậy việc phát hiện hành vi bất thường phụ thuộc vào những mẫu có sẵn này khiến cho hệ thống IDS trở nên kém linh hoạt hơn khi bị tan công 16 hỗng Zero-day.
e Tập trung vào tự động hóa: công nghệ IDS mục tiêu đơn giản hóa quá trình thu thập và sử dụng toàn bộ dữ liệu được tạo ra bởi hệ thong giam sat. Tuy nhién, thực tế cho thay hành vi của kẻ tan công không ngừng chuyền biến. Tự động hóa dựa trên các quy tắc cô định, có thé trở nên ít linh hoạt trong tương lai và không phải là một chiến lược hiệu quả đối với sự phát triển liên tục của tội phạm mạng. PHAM KHÁNH HƯNG-B19DCAT096 2 DO AN TOT NGHIỆP Quy trình NSM hiện đại thu thập dữ liệu mang, sử dung mô hình AI dé phat hién hành vi xâm nhập, sử dung kiến thức này dé cải thiện quy trình thu thập dữ liệu và tập trung vào các số liệu mạng phù hợp nhằm cải thiện khả năng phát hiện của hệ thống NSM.
Nó thu thập, phân tích và nâng cấp dữ liệu mạng dé ứng phó hiệu quả với các mối de doa bảo mật. Việc quan sat trực tiếp toàn bộ mạng giúp hiểu được bản chất của các sự kiện bảo mật khi chúng xảy ra và giảm thiểu tác động tiêu cực của chúng. Điều này mang lại cho quản trị viên mạng và chuyên gia bảo mật khả năng hiển thị hoạt động mạng hiện tại trong các ứng dụng thực tế. NSM giúp xác định các vi phạm bao mật, lưu lượng truy cập độc hại và các mối đe dọa tiềm ân khác bằng cách phân tích các mẫu lưu lượng truy cập, dữ liệu nhật ký và hành vi hệ thống.
Quản trị viên mạng nhận được thông báo tức thì thông qua cảnh báo bảo mật tự động. Tuy nhiên, công cụ giám sát mạng vẫn bất lực trước những hành vi khai thác zero-day không thể ngăn chặn được. Network security monitoring F Network VÀ Security ‘ t ! \ \ i monitoring ;/¿; monitoring \ Goal: prevent \ ! ! \ % ! Goal: respond to h ` downtime vy security threats Increase visibility into current network activity Hinh 1. 1 So sanh muc tiéu cua NSM NSM áp dụng những nguyên tắc dưới đây: [5] e Phong thủ theo mối đe dọa: Thay vì đặt tất cả nỗ lực vào việc ngăn chặn cuộc tấn công mạng hoặc xâm nhập mạng, NSM hướng tới việc xác định ai là người muốn tan công vào hệ thống mang của tổ chức và hiểu rõ lý do tại sao họ thực hiện cuộc tan công mạng.
Tuy nhiên điều này không phải là một việc dé dàng và nó đòi hỏi khả năng hién thị chỉ tiết về hành vi lưu lượng truy cập mạng, kha năng nắm bat thông tin và phân tích mọi thông tin tình báo liên quan đến lưu lượng truy cập bất thường cũng như hiểu rõ động cơ của kẻ tan công thông qua thông tin tình báo. PHAM KHÁNH HƯNG-B19DCAT096 3 DO AN TOT NGHIỆP e = Thu thập dữ liệu chiến lược: Dữ liệu khi bị thu thập một cách tràn lan và không có sự sắp xếp và lưu trữ một cách phù hợp sẽ dẫn đến việc tốn kém tài nguyên lưu trữ cũng như làm cho việc phân tích của các chuyên gia trở lên kém hiệu qua hon đo có quá nhiều di liệu dư thừa và gây nhiễu. Do vậy việc thu thập và xử lý đữ liệu hiệu quả là việc vô cùng quan trọng. Một trong những chiến lược được các công cụ NSM hiện đại sử dụng là mô hình hóa hành vi của hệ thong và đánh giá độ lệch của lưu lượng mang so với hành vi dự kiến của mô hình trong thời gian thực.
Điều này đòi hỏi các công nghệ dựa trên mô hình học máy tiên tiến. © Phan hồi theo chu trình: mô hình phát hiện xâm nhập cũ là một quy trình phan hồi tuyến tính. Ví dụ khi hệ thống cũ đánh giá mọi sự cố bảo mật một cách riêng lẻ, mỗi lần phát hiện sự cố sẽ tạo ra cảnh báo dựa trên các quy tắc được xác định trước và hành động ứng phó thích hợp sẽ được thực hiện ngay sau đó. Khác với quy trình tuyến tính thì trên NSM phản hồi có tính chu trình.
Cụ thể là tập dữ liệu thu thập được cung cấp cho việc phát hiện xâm nhập, việc phát hiện xâm nhập được cung cấp cho việc phân tích dữ liệu và kết quả phân tích lại được cung cấp quay trở lại cho tập dữ liệu. Điều này cho phép hệ thống bảo vệ tri thức mạng xây dựng được qua thời gian, và do đó phục vụ tốt hơn trong việc bảo vệ mạng. © Phong chống đến cùng cho dù thất bại: Một thách thức phải đối mặt là việc chấp nhận thực tế rằng tài sản có thé bị mat. Dù mọi biện pháp phòng thủ được áp dùng và mọi phản ứng chủ động đã được triển khai, kẻ tắn công vẫn có khả năng tìm thấy cách để xâm nhập vào hệ thống.
Thực tế là khi tổ chức xây dựng một hệ thống phòng thủ mạnh mẽ, kẻ tấn công cũng sẽ phát triển các chiến lược tấn công mạnh mẽ hơn. Ví dụ, ngay cả khi doanh nghiệp đã triển khai tường lửa và đảm bảo răng các máy chủ đã được vá lỗi đầy đủ thì kẻ tắn công vẫn có thé sử dụng các kỹ thuật lừa đảo dé xâm nhập vào mạng hoặc sử dụng khai thác lỗ hồng zero-day dé truy cập thư mục gốc trong máy chủ đã được vá lỗi. Ngoài ra việc kẻ tan công sử dụng kỹ thuật xã hội (Social engineering) hoặc những mỗi de dọa từ nội bộ cũng rất khó phòng chống và chúng gây ra những hậu quả vô cùng nghiêm trọng. Vì vậy, khi đã chấp nhận khả năng tài san bị tốn thất, tổ chức cần điều chỉnh chiến lược bảo vệ của minh.
Thay vì chỉ tập trung vào phòng thủ, các tổ chức cần đặc biệt chú trọng vào khả năng phát hiện và phản ứng.2 Chu trình NSM Chu trình NSM bao gồm 3 giai đoạn tạo thành vòng tròn khép kín như Hình 1.2 bao gồm: thu thập dữ liệu, phát hiện xâm nhập và phân tích dữ liệu. Các giai đoạn hỗ trợ lẫn nhau bé sung cho nhau dé tạo nên quy trình hoàn chỉnh. Vòng lặp trong chu trình NSM được khép lại bằng cách rút ra bài học từ giai đoạn phát hiện và phân tích. PHAM KHÁNH HƯNG-B19DCAT096 4 DO AN TOT NGHIỆP Phat hién xam nhap Hình 1.
2 Chu trình NSM 1.1 Thu thập dữ liệu 1.1 Phương pháp thu thập Chu trình NSM bắt đầu với bước quan trọng nhất là thu thập dit liệu vì nó sẽ định hình khả năng của một tô chức trong việc phát hiện xâm nhập và phân tích dữ liệu hiệu quả. Việc tạo, sắp xếp và lưu trữ dữ liệu cho việc phát hiện xâm nhập và phân tích đữ liệu trong hệ thống NSM được thực hiện với sự kết hợp của cả phần cứng và phần mềm. Mặc dù quan trọng nhưng nhiều t6 chức không hiểu day đủ về dữ liệu của họ và không có cách tiếp cận có cấu trúc để xác định các mối de doa có thé đến với tổ chức, mà chi đơn giản là nắm bắt lấy bat kỳ dir liệu có sẵn dé xây dựng chương trình và với lượng đữ liệu lớn có thé dẫn đến tình trạng không đủ tài nguyên dé lưu trữ dữ liệu. Dé tránh tình trạng trên tác giả sẽ trình bày một khung làm việc ACF (Khung thu thập ứng dụng - Applied Collection Framework) là khung làm việc được xây dựng dé làm giảm sự phức tạp của việc thu thập dữ liệu.
Bao gồm 4 giai đoạn: Xác định mối đe dọa, định lượng rủi ro, xác định nguồn dữ liệu phù hợp và chọn lọc dữ liệu. PHAM KHÁNH HƯNG-B19DCAT096 5 DO AN TOT NGHIỆP Assess & Define Threats Potential Qualify Risk Data Sources Giai đoạn 1: Define Threat (Xác định mối đe dọa) Môi de dọa là bat kỳ yêu tô nào có thé gây tôn hại cho tai sản của tô chức. Trong trường hợp giám sát an ninh mạng, môi đe dọa có thê bao gôm các cuộc tân công mang, chăng hạn như xâm nhập, mã độc, hoặc các sự cô bảo mật khác. Đề xác định mối de dọa, cần phải hiểu sứ mệnh, mục tiêu và mục đích của tổ chức.
Từ đó, xác định các tài sản quan trọng trong việc đạt được sứ mệnh kinh doanh. Khi đã xác định được sứ mệnh và các tài sản liên quan, việc cần thiết là phải xác định và định nghĩa các mối đe dọa đối với những tài sản đó. Việc xác định mối đe doa nên được thực hiện phối hợp chặt chẽ với ban lãnh đạo an ninh.