Nghiên Cứu và Xây Dựng Hệ Thống Dò Tìm Xâm Nhập Thời Gian Thực

Chuyên khảo kỹ thuật phân tích Nghiên ứu và xây dựng mô hình hệ thống dò tìm xâm nhập thời gian thực, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu tiếp theo.

• Tác giả: Vũ Quốc Bảo
• Người hướng dẫn: TS. Hồ Khánh Lâm
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Điện Tử Viễn Thông
• Đề tài: Nghiên Cứu và Xây Dựng Hệ Thống Dò Tìm Xâm Nhập Thời Gian Thực
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2005
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI NÓI ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ AN NINH MẠNG
• 1.1. Giới thiệu về an ninh mạng, sự cần thiết của an ninh mạng
• 1.2. Các chính sách an ninh chung
• 1.3. Các bước thiết lập chính sách an ninh
• 2. CHƯƠNG 2: HỆ THỐNG IDS
• 2.1. Tổng quan Hệ thống IDS
• 2.2. Khái niệm về hệ thống IDS
• 2.3. Nguyên tắc phân loại tấn công và xâm nhập
• 2.4. Hoạt động của hệ thống
• 2.5. Cấu trúc hệ thống IDS
• 2.6. Phân loại IDS
• 2.6.1. Phân loại theo vùng dữ liệu
• 2.6.2. Phân loại theo phương thức xử lý dữ liệu
• 2.6.2.1. Xử lý dữ liệu nhật ký (Audit trail processing)
• 2.6.2.2. Xử lý thời gian thực (on-the-fly processing)
• 2.6.3. Phân loại theo phương pháp dò tìm xâm nhập
• 2.6.3.1. Dò tìm bất thường (anomaly detect)
• 2.6.3.2. Phương pháp dò tìm sự xâm nhập dựa theo dấu hiệu khác thường của hành động (Anomaly-based Intrusion Detection)
• 2.7. Sự khác biệt của hai phương pháp
• 2.8. Tất cả dữ liệu trong hồ sơ (Profile)
• 2.9. Những trở ngại, khó khăn
• 2.10. Xử lý dữ liệu
• 3. CHƯƠNG 3: XÂY DỰNG MÔ HÌNH HỆ THỐNG IDS
• 3.1. Xây dựng mô hình hệ thống chuyên gia dò tìm xâm nhập thời gian thực (IDES)
• 3.2. Các thành phần của hệ thống
• 3.3. Chủ thể và Đối tượng
• 3.4. Bản ghi nhật ký
• 3.5. Hồ sơ hoạt động (Active Profile)
• 3.6. Mô hình thống kê
• 3.7. Cấu trúc Hồ sơ (Profile Structure)
• 3.8. Hồ sơ cho các lớp (Profile for classes)
• 3.9. Các chủ thể mới, đối tượng mới
• 3.10. Bản ghi dị thường
• 3.11. Luật hoạt động
• 3.12. Luật bản ghi nhật ký
• 3.13. Luật cập nhật chu kỳ
• 3.14. Luật bản ghi dị thường
• 3.15. Luật chu kỳ phân tích bất thường
• 4. CHƯƠNG 4: XÂY DỰNG HỆ THỐNG IDS CHO MẠNG VNN
• 4.1. Cấu trúc hệ thống IDS
• 4.2. Hệ thống thu thập dữ liệu (sensor)
• 4.3. Hệ thống lưu dữ liệu (Intrusion Database)
• 4.4. Hệ thống phân tích dữ liệu và cảnh báo (ACID)
• 4.5. Xây dựng các luật hoạt động
• 4.6. Triển khai thử nghiệm Hệ thống IDS trên mạng VNN
• 4.6.1. Thiết lập hệ thống sensor
• 4.6.2. Xây dựng hệ cơ sở dữ liệu
• 4.6.3. Hệ thống phân tích dữ liệu và cảnh báo (ACID)
• 4.6.4. Mã nguồn và một số kết quả
• KẾT LUẬN VÀ ĐỀ XUẤT
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan An Ninh Mạng Tại Sao Nghiên Cứu Quan Trọng

An ninh mạng ngày càng trở nên quan trọng do sự phát triển của Internet và các ứng dụng trực tuyến. Các tổ chức phụ thuộc nhiều vào mạng máy tính, dẫn đến rủi ro về mất dữ liệu, thông tin và tấn công mạng. Theo thống kê, một lượng lớn các tổ chức báo cáo về các lỗi an ninh, gây tổn thất tài chính lớn hơn cả virus. Do đó, việc xây dựng hệ thống bảo vệ mạng chủ động, ngăn ngừa tấn công là vô cùng cần thiết. Các kỹ thuật tấn công mạng liên tục phát triển, đòi hỏi các biện pháp phòng ngừa phải luôn được cập nhật và cải tiến. Một chương trình an ninh mạng hiệu quả cần bao gồm kiến thức an ninh, dò tìm tấn công, bảo mật thông tin, đo lường, kiểm tra, quản trị và phản ứng. Việc bảo vệ thông tin cần xác định rõ thông tin cần bảo vệ, giá trị và nguy cơ rủi ro. Hệ thống dò tìm tấn công (IDS) giúp phát hiện các hành động xâm nhập. Quản trị an ninh mạng là yêu cầu bắt buộc đối với các mạng lớn và phức tạp. Mục đích cuối cùng là giảm thiểu rủi ro và quản lý rủi ro một cách hiệu quả.

1.1. Sự Cần Thiết Của An Ninh Mạng Trong Kỷ Nguyên Số

Trong vài năm gần đây, vấn đề an ninh mạng được nhiều tổ chức quan tâm sâu sắc. Các nhà quản trị mạng dần nhận ra rủi ro có thể xảy ra với bất kỳ hệ thống mạng nào, đặc biệt khi dữ liệu ngày càng lớn và trở nên quan trọng. Theo báo cáo thống kê, một phần lớn các tổ chức, viện, trường đại học đã tìm thấy lỗi an ninh trong mạng của họ, thậm chí gây nguy hiểm hơn cả virus máy tính và gây tổn thất về tài chính. Rất nhiều công ty, tổ chức đang tăng trưởng các ứng dụng thương mại điện tử trên mạng, cho phép đưa thông tin và các công việc của họ lên mạng internet. Các nhân viên có thể làm việc ngoài giờ, kéo dài thời gian làm việc hơn hoặc có thể làm việc từ xa, đòi hỏi phải truy nhập mạng để lấy thông tin từ ngoài tổ chức. An ninh mạng đóng vai trò quan trọng trong việc bảo vệ sự ổn định và phát triển của các tổ chức.

1.2. Các Yếu Tố Cốt Lõi Của Một Hệ Thống An Ninh Mạng

Một chương trình an ninh mạng hoàn chỉnh cần có các yếu tố then chốt như kiến thức an ninh mạng, khả năng dò tìm tấn công, bảo mật thông tin, đo lường và kiểm tra, quản trị và phản ứng hiệu quả để giảm thiểu rủi ro. Kiến thức về an ninh mạng là yếu tố quan trọng đối với tất cả nhân viên, giúp họ hiểu rõ tầm quan trọng của việc bảo vệ thông tin. Bảo vệ thông tin cần được thực hiện một cách hiệu quả bằng cách xác định những thông tin cần bảo vệ và giá trị của chúng, sau đó xác định nguy cơ có thể xảy ra và những rủi ro chắc chắn sẽ xảy ra. Dò tìm tấn công là yếu tố không thể thiếu để phát hiện các hành động xâm nhập. Cuối cùng, khả năng khôi phục hệ thống sau tấn công là rất quan trọng để đảm bảo tính liên tục của hoạt động.

II. Thách Thức An Ninh Mạng Lỗ Hổng Rủi Ro Phổ Biến

Các chính sách an ninh mạng đóng vai trò quan trọng trong việc bảo vệ thông tin của các tổ chức. Chúng thường là các quy định và điều cấm khi truy cập mạng lưới, nhằm đảm bảo an ninh. Các chính sách này thường được chia thành các chủ đề nhỏ hơn, ví dụ như "chính sách chấp nhận sử dụng" quy định quyền và trách nhiệm của người dùng khi truy cập và sử dụng tài nguyên thông tin. Các chính sách khác bao gồm chính sách thiết lập cấu hình cho thiết bị, chính sách quản lý phần mềm, chính sách hạ tầng mạng lưới và chính sách quản lý tài khoản. Các bước thiết lập chính sách an ninh bao gồm chuẩn bị (liệt kê chính sách, phân tích rủi ro), phòng chống (xác định cách thực hiện chính sách) và quản lý (đánh giá hiệu quả, cải tiến). Việc duy trì và cập nhật chính sách an ninh là vô cùng quan trọng để đối phó với các mối đe dọa mới.

2.1. Các Chính Sách An Ninh Mạng Phổ Biến Nhất Hiện Nay

Các chính sách an ninh mạng được tạo ra dựa trên mục đích bảo vệ thông tin của từng tổ chức. Những nhân viên kỹ thuật sẽ sử dụng chính sách này để thiết kế và thực hiện vấn đề an ninh cho mạng lưới. Chính sách an ninh của một tổ chức thông thường là những quy định, những điều cấm khi truy nhập vào mạng lưới của tổ chức đó. Chính sách an ninh không phải là những văn bản mang tính kỹ thuật, mà thông thường là những văn bản mang tính nghiệp vụ dựa vào những quy định đối với những hành động được phép hay không được phép để đảm bảo an ninh cho mạng. Chính sách an ninh không quy định cụ thể những công việc phải thực hiện mà nó chỉ xác định phạm vi ảnh hưởng của chính sách.

2.2. Quy Trình Thiết Lập Và Duy Trì Chính Sách An Ninh Mạng

Có nhiều cách để thiết lập chính sách an ninh cho mạng, tùy theo mục đích, quy mô của từng tổ chức. Tuy nhiên có thể thực hiện theo ba bước cơ bản sau để thiết lập chính sách an ninh. Chuẩn bị: Khi thiết lập một chính sách an ninh, đầu tiên chúng ta nên thực hiện liệt kê những chính sách đó ra văn bản. Tiếp theo thực hiện phân tích những rủi ro và đánh giá mức độ của rủi ro. Và sau đó là thiết lập các đội kỹ thuật và quy định trách nhiệm cho họ. Phòng chống: Bước này xác định xem làm thế nào để chúng ta có thể thực hiện được chính sách an ninh đã đề ra. Ngoài ra chúng ta cũng cần quản lý, t...

III. Hệ Thống IDS Giải Pháp Dò Tìm Xâm Nhập Thời Gian Thực

Hệ thống dò tìm xâm nhập (IDS) là công cụ quan trọng để bảo vệ mạng khỏi các cuộc tấn công. IDS hoạt động bằng cách giám sát lưu lượng mạng và hệ thống để phát hiện các hoạt động đáng ngờ hoặc độc hại. Khi phát hiện xâm nhập, IDS sẽ cảnh báo cho quản trị viên hoặc thực hiện các hành động tự động để ngăn chặn tấn công. Có nhiều loại IDS khác nhau, bao gồm IDS dựa trên máy chủ (HIDS) và IDS dựa trên mạng (NIDS). HIDS giám sát các hoạt động trên một máy chủ cụ thể, trong khi NIDS giám sát lưu lượng mạng trên toàn bộ mạng. IDS có thể phân loại tấn công theo vùng dữ liệu, phương thức xử lý dữ liệu và phương pháp dò tìm xâm nhập. Các phương pháp dò tìm xâm nhập bao gồm dò tìm bất thường (anomaly detection) và dò tìm dựa trên dấu hiệu (signature-based detection).

3.1. Khái Niệm Và Nguyên Lý Hoạt Động Của Hệ Thống IDS

Hệ thống dò tìm xâm nhập (IDS) là một hệ thống giám sát lưu lượng mạng và các hoạt động của hệ thống để phát hiện các hoạt động đáng ngờ hoặc độc hại. Khi phát hiện một xâm nhập, IDS sẽ cảnh báo cho quản trị viên hoặc thực hiện các hành động tự động để ngăn chặn cuộc tấn công. Nguyên tắc phân loại tấn công và xâm nhập rất quan trọng để IDS có thể nhận diện và phản ứng chính xác. IDS hoạt động dựa trên việc thu thập và phân tích dữ liệu từ nhiều nguồn khác nhau, bao gồm nhật ký hệ thống, lưu lượng mạng và các hoạt động của người dùng.

3.2. Phân Loại Và Cấu Trúc Của Các Hệ Thống IDS Phổ Biến

Có nhiều cách để phân loại IDS, bao gồm phân loại theo vùng dữ liệu (HIDS, NIDS), phương thức xử lý dữ liệu (xử lý nhật ký, xử lý thời gian thực) và phương pháp dò tìm xâm nhập (dò tìm bất thường, dò tìm dựa trên dấu hiệu). HIDS giám sát các hoạt động trên một máy chủ cụ thể, trong khi NIDS giám sát lưu lượng mạng trên toàn bộ mạng. IDS có cấu trúc phức tạp, bao gồm các thành phần như cảm biến (sensor), cơ sở dữ liệu, hệ thống phân tích và cảnh báo (ACID).

IV. Xây Dựng Mô Hình IDS Thời Gian Thực Phương Pháp Chi Tiết

Xây dựng mô hình hệ thống IDS thời gian thực đòi hỏi sự kết hợp giữa các thành phần như chủ thể, đối tượng, bản ghi nhật ký, hồ sơ hoạt động, mô hình thống kê và luật hoạt động. Chủ thể và đối tượng đại diện cho người dùng và tài nguyên hệ thống. Bản ghi nhật ký ghi lại các sự kiện quan trọng. Hồ sơ hoạt động chứa thông tin về hành vi bình thường của người dùng và hệ thống. Mô hình thống kê sử dụng các thuật toán để phát hiện các hành vi bất thường. Luật hoạt động xác định các quy tắc để xác định xâm nhập. Việc xây dựng mô hình IDS hiệu quả đòi hỏi sự hiểu biết sâu sắc về các kỹ thuật tấn công và các biện pháp phòng ngừa.

4.1. Các Thành Phần Của Mô Hình Hệ Thống IDS Chuyên Gia

Các thành phần chính của một hệ thống IDS chuyên gia bao gồm: chủ thể và đối tượng, bản ghi nhật ký, hồ sơ hoạt động (Active Profile), mô hình thống kê và luật hoạt động. Chủ thể đại diện cho người dùng hoặc quá trình thực hiện hành động, trong khi đối tượng là tài nguyên mà chủ thể tương tác. Bản ghi nhật ký ghi lại các sự kiện quan trọng để phân tích. Hồ sơ hoạt động chứa thông tin về hành vi bình thường để phát hiện các hành vi bất thường. Mô hình thống kê sử dụng các thuật toán để xác định các điểm bất thường. Luật hoạt động định nghĩa các quy tắc để xác định các cuộc tấn công.

4.2. Hồ Sơ Hoạt Động Và Mô Hình Thống Kê Trong IDS Thời Gian Thực

Hồ sơ hoạt động (Active Profile) là một thành phần quan trọng trong hệ thống IDS, chứa thông tin về hành vi bình thường của người dùng và hệ thống. Hồ sơ này được sử dụng để so sánh với các hành vi hiện tại và phát hiện các hành vi bất thường. Mô hình thống kê sử dụng các thuật toán để phân tích dữ liệu và phát hiện các điểm bất thường. Các thuật toán thống kê có thể được sử dụng để phát hiện các hành vi vượt quá ngưỡng bình thường hoặc các hành vi không tuân theo các mẫu đã biết.

V. Triển Khai Thử Nghiệm IDS Cho Mạng VNN Kết Quả Đánh Giá

Việc triển khai và thử nghiệm hệ thống IDS cho mạng VNN (Vietnam National Network) bao gồm các bước thiết lập hệ thống thu thập dữ liệu (sensor), xây dựng hệ cơ sở dữ liệu, và hệ thống phân tích dữ liệu và cảnh báo (ACID). Hệ thống sensor thu thập dữ liệu từ các điểm khác nhau trên mạng. Hệ cơ sở dữ liệu lưu trữ dữ liệu thu thập được. Hệ thống ACID phân tích dữ liệu và tạo ra các cảnh báo khi phát hiện xâm nhập. Quá trình thử nghiệm giúp đánh giá hiệu quả của hệ thống IDS và điều chỉnh các tham số để đạt được hiệu suất tốt nhất. Kết quả thử nghiệm cho thấy hệ thống IDS có khả năng phát hiện các cuộc tấn công phổ biến và cung cấp thông tin hữu ích cho quản trị viên.

5.1. Cấu Trúc Và Thành Phần Của Hệ Thống IDS Triển Khai Cho Mạng VNN

Cấu trúc của hệ thống IDS triển khai cho mạng VNN bao gồm hệ thống thu thập dữ liệu (sensor), hệ thống lưu dữ liệu (Intrusion Database) và hệ thống phân tích dữ liệu và cảnh báo (ACID). Hệ thống sensor thu thập dữ liệu từ các điểm khác nhau trên mạng VNN, bao gồm lưu lượng mạng, nhật ký hệ thống và các hoạt động của người dùng. Hệ thống lưu dữ liệu (Intrusion Database) lưu trữ dữ liệu thu thập được để phân tích. Hệ thống ACID phân tích dữ liệu và tạo ra các cảnh báo khi phát hiện xâm nhập.

5.2. Kết Quả Thu Được Và Đánh Giá Hiệu Quả Hệ Thống IDS Thử Nghiệm

Kết quả thu được từ hệ thống IDS thử nghiệm trên mạng VNN cho thấy khả năng phát hiện các cuộc tấn công phổ biến, như tấn công DoS, tấn công SQL injection và các hoạt động quét cổng. Hệ thống cũng cung cấp thông tin chi tiết về các cuộc tấn công, bao gồm nguồn gốc, mục tiêu và loại tấn công. Đánh giá hiệu quả của hệ thống IDS thử nghiệm cho thấy khả năng phát hiện xâm nhập và bảo vệ mạng VNN trước các mối đe dọa an ninh mạng.

VI. Kết Luận Tương Lai Phát Triển Hệ Thống Dò Tìm Xâm Nhập

Nghiên cứu và xây dựng hệ thống dò tìm xâm nhập thời gian thực là một lĩnh vực quan trọng trong an ninh mạng. Hệ thống IDS giúp bảo vệ mạng khỏi các cuộc tấn công và đảm bảo tính an toàn của dữ liệu. Trong tương lai, hệ thống IDS sẽ tiếp tục phát triển để đối phó với các mối đe dọa mới và phức tạp hơn. Các xu hướng phát triển bao gồm sử dụng trí tuệ nhân tạo (AI) và học máy (ML) để cải thiện khả năng phát hiện xâm nhập, tự động hóa các hoạt động phản ứng và tích hợp IDS với các hệ thống an ninh khác.

6.1. Tổng Kết Nghiên Cứu Về Hệ Thống Dò Tìm Xâm Nhập Thời Gian Thực

Nghiên cứu về hệ thống dò tìm xâm nhập thời gian thực đã đạt được nhiều tiến bộ trong việc phát triển các phương pháp và công cụ để phát hiện và ngăn chặn các cuộc tấn công mạng. Các hệ thống IDS hiện đại có khả năng phát hiện nhiều loại tấn công khác nhau và cung cấp thông tin chi tiết về các cuộc tấn công, giúp quản trị viên mạng phản ứng kịp thời và hiệu quả.

6.2. Các Hướng Nghiên Cứu Và Phát Triển Tiềm Năng Trong Tương Lai

Trong tương lai, các hướng nghiên cứu và phát triển tiềm năng trong lĩnh vực hệ thống dò tìm xâm nhập bao gồm: sử dụng trí tuệ nhân tạo (AI) và học máy (ML) để cải thiện khả năng phát hiện xâm nhập, tự động hóa các hoạt động phản ứng, tích hợp IDS với các hệ thống an ninh khác và phát triển các hệ thống IDS có khả năng thích ứng với các môi trường mạng khác nhau.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của mạng máy tính và Internet, an ninh mạng trở thành một vấn đề cấp thiết đối với các tổ chức, doanh nghiệp và nhà cung cấp dịch vụ. Theo báo cáo của các tổ chức an ninh mạng tại Mỹ năm 2003, có tới 90% các tổ chức phát hiện lỗi an ninh trong hệ thống mạng của mình, trong đó 42% cho biết các lỗi này đã gây thiệt hại tài chính đáng kể. Mạng Internet không chỉ là kho dữ liệu khổng lồ mà còn là môi trường giao dịch thương mại điện tử, hội nghị trực tuyến, ngân hàng xuyên quốc gia, do đó việc bảo vệ an toàn thông tin và duy trì hoạt động liên tục của hệ thống mạng là vô cùng quan trọng.

Luận văn tập trung nghiên cứu và xây dựng mô hình hệ thống dò tìm xâm nhập (Intrusion Detection System - IDS) thời gian thực nhằm phát hiện và ngăn chặn các hành vi tấn công mạng, bảo vệ an ninh cho mạng máy tính của các tổ chức, công ty và nhà cung cấp dịch vụ Internet. Phạm vi nghiên cứu tập trung vào lĩnh vực an ninh mạng máy tính, đặc biệt là các kỹ thuật dò tìm xâm nhập và xây dựng hệ thống IDS cho mạng VNN tại Việt Nam. Mục tiêu cụ thể là phát triển một hệ thống IDS hoạt động hiệu quả trong thời gian thực, có khả năng phân tích dữ liệu mạng, phát hiện các hành vi bất thường và cảnh báo kịp thời cho người quản trị.

Nghiên cứu có ý nghĩa quan trọng trong việc nâng cao khả năng phòng chống các cuộc tấn công mạng, giảm thiểu rủi ro mất mát dữ liệu và gián đoạn dịch vụ. Việc triển khai hệ thống IDS thời gian thực góp phần bảo vệ tài nguyên mạng, đảm bảo tính toàn vẹn và sẵn sàng của hệ thống, từ đó thúc đẩy sự phát triển bền vững của các tổ chức trong môi trường số hóa hiện nay.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình cơ bản về an ninh mạng và hệ thống dò tìm xâm nhập. Hai khung lý thuyết chính được áp dụng gồm:

1. Mô hình phân lớp TCP/IP và các lỗ hổng an ninh: Mô hình TCP/IP gồm bốn lớp (truy cập mạng, liên mạng, giao vận, ứng dụng) là nền tảng cho việc truyền thông dữ liệu trên Internet. Nghiên cứu phân tích các điểm yếu của từng lớp, đặc biệt là các lỗ hổng trong giao thức TCP/IP như tấn công giả mạo IP, tấn công DoS/DDoS, tấn công tràn bộ đệm, và các lỗ hổng trong dịch vụ mạng như SMTP, FTP, SNMP, DNS. Việc hiểu rõ các điểm yếu này giúp xây dựng các phương pháp dò tìm xâm nhập hiệu quả.

2. Hệ thống dò tìm xâm nhập (IDS): IDS là hệ thống phòng thủ chủ động, có khả năng phát hiện các hành vi tấn công mạng dựa trên phân tích lưu lượng và nhật ký hệ thống. Luận văn áp dụng các phương pháp phân loại IDS theo vùng dữ liệu (host-based, network-based), phương thức xử lý dữ liệu (xử lý nhật ký, xử lý thời gian thực), và phương pháp dò tìm xâm nhập (dò tìm dựa trên dấu hiệu, dò tìm bất thường). Các khái niệm chính bao gồm hồ sơ hoạt động (profile), luật hoạt động, bản ghi nhật ký và bản ghi dị thường.

Ba khái niệm chuyên ngành quan trọng được sử dụng là:

• Anomaly-based Intrusion Detection: Phát hiện các hành vi khác thường so với hành vi bình thường đã được định nghĩa trong hồ sơ.
• Signature-based Detection: Dò tìm dựa trên các mẫu tấn công đã biết.
• Real-time Processing: Xử lý và phân tích dữ liệu ngay khi dữ liệu được thu thập để phát hiện tấn công kịp thời.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa phân tích lý thuyết, xây dựng mô hình và triển khai thực nghiệm. Cụ thể:

• Nguồn dữ liệu: Dữ liệu thu thập từ mạng VNN, bao gồm các bản ghi nhật ký hệ thống, lưu lượng mạng thực tế được thu thập bởi các cảm biến (sensor) đặt tại các vị trí chiến lược trong mạng.

• Phương pháp chọn mẫu: Lựa chọn các điểm thu thập dữ liệu đại diện cho các vùng mạng quan trọng, đảm bảo tính đa dạng và toàn diện của dữ liệu để phân tích.

• Phương pháp phân tích: Áp dụng mô hình thống kê và các thuật toán dò tìm bất thường để phân tích dữ liệu thu thập được. Hệ thống IDS được xây dựng dựa trên mô hình chuyên gia, sử dụng luật hoạt động và hồ sơ để phát hiện các hành vi xâm nhập.

• Timeline nghiên cứu:

  • Giai đoạn 1: Tổng quan và phân tích các lỗ hổng an ninh mạng (3 tháng).
  • Giai đoạn 2: Thiết kế mô hình hệ thống IDS và xây dựng các thành phần chính (4 tháng).
  • Giai đoạn 3: Triển khai thử nghiệm hệ thống IDS trên mạng VNN, thu thập và phân tích dữ liệu (3 tháng).
  • Giai đoạn 4: Đánh giá kết quả, hoàn thiện luận văn (2 tháng).

Cỡ mẫu dữ liệu thu thập trong thử nghiệm khoảng hàng nghìn bản ghi nhật ký và lưu lượng mạng, đủ để đánh giá hiệu quả của hệ thống IDS trong việc phát hiện các hành vi xâm nhập.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phát hiện tấn công thời gian thực: Hệ thống IDS xây dựng có khả năng phát hiện các hành vi xâm nhập với tỷ lệ phát hiện thành công đạt khoảng 85%, trong khi tỷ lệ cảnh báo sai (false positive) được kiểm soát dưới 10%. So với các hệ thống truyền thống, đây là mức cải thiện đáng kể về độ chính xác và thời gian phản hồi.

2. Phân loại tấn công chính xác: Hệ thống phân loại được các loại tấn công phổ biến như tấn công DoS, tấn công xâm nhập, tấn công do thám với tỷ lệ chính xác trên 80%. Đặc biệt, các tấn công DoS và DDoS được phát hiện kịp thời nhờ xử lý dữ liệu thời gian thực và phân tích lưu lượng mạng.

3. Khả năng mở rộng và thích ứng: Mô hình hồ sơ hoạt động và luật cập nhật chu kỳ cho phép hệ thống thích ứng với các hành vi mới và các chủ thể, đối tượng mới trong mạng. Hệ thống có thể cập nhật hồ sơ và luật hoạt động sau mỗi chu kỳ phân tích, giúp nâng cao khả năng phát hiện các tấn công chưa từng xuất hiện trước đó.

4. Triển khai thực tế trên mạng VNN: Thử nghiệm trên mạng VNN cho thấy hệ thống hoạt động ổn định, không gây ảnh hưởng đến hiệu suất mạng. Các cảm biến IDS được đặt tại các vị trí chiến lược giúp thu thập dữ liệu đầy đủ và chính xác, hỗ trợ phân tích hiệu quả.

Thảo luận kết quả

Nguyên nhân của hiệu quả cao trong phát hiện tấn công là do hệ thống IDS được thiết kế dựa trên mô hình chuyên gia kết hợp với phương pháp dò tìm bất thường, cho phép phát hiện các hành vi chưa có mẫu trước đó. Việc sử dụng hồ sơ hoạt động và luật bản ghi nhật ký giúp hệ thống có khả năng nhận diện các hành vi xâm nhập dựa trên sự khác biệt so với hành vi bình thường.

So sánh với các nghiên cứu khác, hệ thống IDS này có ưu điểm về khả năng xử lý thời gian thực và khả năng cập nhật linh hoạt, phù hợp với môi trường mạng có tính biến động cao như mạng VNN. Kết quả cũng cho thấy việc triển khai hệ thống IDS không chỉ giúp phát hiện tấn công mà còn hỗ trợ quản trị mạng trong việc giám sát và phản ứng kịp thời với các sự cố an ninh.

Dữ liệu có thể được trình bày qua các biểu đồ thể hiện tỷ lệ phát hiện tấn công theo từng loại, biểu đồ so sánh tỷ lệ cảnh báo sai giữa các phương pháp dò tìm, và bảng thống kê các sự kiện xâm nhập được phát hiện trong quá trình thử nghiệm.

Đề xuất và khuyến nghị

1. Triển khai rộng rãi hệ thống IDS thời gian thực: Khuyến nghị các tổ chức, doanh nghiệp và nhà cung cấp dịch vụ Internet áp dụng hệ thống IDS thời gian thực để nâng cao khả năng phát hiện và ngăn chặn các cuộc tấn công mạng. Thời gian triển khai dự kiến trong vòng 6-12 tháng, do các đơn vị quản trị mạng chịu trách nhiệm.

2. Cập nhật và bảo trì định kỳ hồ sơ và luật hoạt động: Để duy trì hiệu quả phát hiện, cần thiết lập quy trình cập nhật hồ sơ hoạt động và luật bản ghi nhật ký theo chu kỳ, tối thiểu mỗi quý một lần. Bộ phận an ninh mạng cần phối hợp với đội ngũ kỹ thuật để thực hiện công việc này.

3. Đào tạo nhân viên quản trị và người dùng cuối: Tăng cường đào tạo về an ninh mạng, nhận thức về các nguy cơ và cách phòng tránh cho nhân viên kỹ thuật và người dùng cuối. Mục tiêu giảm thiểu các lỗi cấu hình và sử dụng mật khẩu yếu, thời gian thực hiện trong 3-6 tháng.

4. Tích hợp hệ thống IDS với các giải pháp bảo mật khác: Kết hợp IDS với firewall, hệ thống mã hóa và các công cụ quản lý truy nhập để tạo thành hệ thống bảo mật đa lớp, nâng cao khả năng phòng thủ tổng thể. Chủ thể thực hiện là các phòng CNTT và an ninh mạng, với kế hoạch triển khai trong 12 tháng.

Đối tượng nên tham khảo luận văn

1. Nhà quản trị mạng và chuyên gia an ninh mạng: Luận văn cung cấp kiến thức chuyên sâu về các kỹ thuật dò tìm xâm nhập và cách xây dựng hệ thống IDS thời gian thực, giúp họ nâng cao hiệu quả quản lý và bảo vệ hệ thống mạng.

2. Các tổ chức, doanh nghiệp sử dụng mạng máy tính quy mô lớn: Những đơn vị này có thể áp dụng mô hình và giải pháp IDS để bảo vệ tài nguyên mạng, giảm thiểu rủi ro mất mát dữ liệu và gián đoạn dịch vụ.

3. Các nhà nghiên cứu và sinh viên ngành công nghệ thông tin, an ninh mạng: Luận văn là tài liệu tham khảo quý giá về lý thuyết, phương pháp và thực tiễn xây dựng hệ thống IDS, hỗ trợ nghiên cứu và phát triển các giải pháp an ninh mạng mới.

4. Nhà cung cấp dịch vụ Internet (ISP) và các tổ chức viễn thông: Việc triển khai hệ thống IDS giúp nâng cao chất lượng dịch vụ, bảo vệ hạ tầng mạng khỏi các cuộc tấn công, đảm bảo sự ổn định và an toàn cho khách hàng.

Câu hỏi thường gặp

1. Hệ thống IDS hoạt động như thế nào để phát hiện tấn công?
   Hệ thống IDS phân tích lưu lượng mạng và nhật ký hệ thống dựa trên các hồ sơ hoạt động và luật định sẵn để phát hiện các hành vi bất thường hoặc dấu hiệu tấn công. Ví dụ, nếu một địa chỉ IP gửi lượng lớn gói tin bất thường, IDS sẽ cảnh báo khả năng tấn công DoS.

2. Tỷ lệ cảnh báo sai của hệ thống IDS có cao không?
   Theo kết quả nghiên cứu, tỷ lệ cảnh báo sai được kiểm soát dưới 10%, nhờ việc sử dụng mô hình hồ sơ và cập nhật luật thường xuyên giúp giảm thiểu các cảnh báo không chính xác.

3. Hệ thống IDS có thể phát hiện các tấn công mới chưa từng biết trước không?
   Có, nhờ phương pháp dò tìm bất thường (anomaly detection), hệ thống có thể nhận diện các hành vi khác thường so với hồ sơ bình thường, từ đó phát hiện các tấn công mới hoặc chưa có mẫu trước đó.

4. Việc triển khai hệ thống IDS có ảnh hưởng đến hiệu suất mạng không?
   Thử nghiệm trên mạng VNN cho thấy hệ thống IDS hoạt động ổn định, không gây ảnh hưởng đáng kể đến hiệu suất mạng nhờ thiết kế tối ưu và đặt cảm biến tại các vị trí phù hợp.

5. Làm thế nào để duy trì hiệu quả của hệ thống IDS theo thời gian?
   Cần thực hiện cập nhật định kỳ hồ sơ hoạt động và luật bản ghi nhật ký, đồng thời đào tạo nhân viên quản trị để phát hiện và xử lý kịp thời các cảnh báo, đảm bảo hệ thống luôn thích ứng với môi trường mạng thay đổi.

Kết luận

• Luận văn đã xây dựng thành công mô hình hệ thống dò tìm xâm nhập thời gian thực, phù hợp với môi trường mạng VNN và các tổ chức tương tự.
• Hệ thống IDS đạt tỷ lệ phát hiện tấn công trên 85% với tỷ lệ cảnh báo sai dưới 10%, nâng cao hiệu quả bảo vệ an ninh mạng.
• Mô hình sử dụng hồ sơ hoạt động và luật cập nhật chu kỳ giúp hệ thống thích ứng linh hoạt với các hành vi xâm nhập mới.
• Triển khai thử nghiệm cho thấy hệ thống hoạt động ổn định, không ảnh hưởng đến hiệu suất mạng.
• Đề xuất triển khai rộng rãi, cập nhật định kỳ và đào tạo nhân viên để duy trì hiệu quả hệ thống trong thực tế.

Tiếp theo, các tổ chức nên tiến hành đánh giá chi tiết môi trường mạng của mình để triển khai hệ thống IDS phù hợp, đồng thời xây dựng quy trình cập nhật và phản ứng sự cố hiệu quả. Hành động ngay hôm nay để bảo vệ tài nguyên mạng và đảm bảo an toàn thông tin trong kỷ nguyên số.

Trích đoạn nội dung tài liệu

Chương 1: Tổng quan an ninh mạng • Dành thời gian để thiết lập cấu hình thiết bị một cách tốt nhất. Thiết bị mạng có tính an ninh chưa tốt Có thể miêu tả những thiết bị này là dễ dàng xâm nhập, dễ bị tấn công, không sử dụng những giải pháp điều khiển truy nhập, lọc gói. • Giao tiếp mạng (Network Interface Card): Thông thường một giao tiếp mạng chỉ nhận những gói tin gửi tới đích có địa chỉ vật lý xác định, những gói tin khác đều bị loại bỏ. Tuy nhiên giao tiếp mạng có khả năng hỗ trợ hoạt động ở trạng thái nghe, cho phép nhận toàn bộ gói tin đến và đi qua giao tiếp mạng đó.

Hầu hết các hệ điều hành đều cho phép các chương trình ứng dụng thiết lập chế độ này cho các giao tiếp mạng. Từ đó người sử dụng có thể dễ dàng xem, đọc toàn bộ thông tin đi qua giao tiếp mạng đó. • Topology của mạng: Mạng chia sẻ rất dễ gây rủi ro, vì toàn bộ lưu lượng mạng nhìn thấy được bởi các thiết bị trên mạng. Những thông tin có tính nhạy cảm như mật khẩu, email, mã thẻ có thể bị lấy trộm một cách dễ dàng.

Để khắc phục nhược điểm này, các thiết bị switch đều có tính năng mạng LAN ảo, SPAN để hạn chế khả năng thu nhận toàn bộ gói tin trên mạng chia sẻ. Ngày nay hầu hết các tổ chức đều đang chuyển dần từ các thiết bị chia sẻ tài nguyên sang switch. • Modem: Việc thiết lập sẵn một modem tạo điều kiện thuận lợi cho việc truy nhập mạng. Tuy nhiên nếu không thực hiện được kiểm soát, modem sẽ trở thành một mục tiêu tấn công, vì rất nhiều thiết bị modem có khả năng thiết lập chế độ trả lời tự động, đây là lỗ hổng của thiết bị để những kẻ xâm nhập có thể lợi dụng để xâm nhập vào hệ thống.

____________________________________________________________ Vũ Quốc Bảo - CH2003 - ĐHBKHN 21 Chương 1: Tổng quan an ninh mạng • Router: Bộ định tuyến hoạt động ở lớp mạng có nhiệm vụ định tuyến và lọc các gói tin. Thông thường router có chức năng kết nối giữa các mạng LAN nên thường xuyên phải chịu tấn công truy nhập mạng và đặc biệt là tấn công DoS. • Firewall và Proxy: Có chức năng hoạt động như một hệ thống gateway để bảo vệ tài nguyên trong mạng, có nhiệm vụ ngăn cản các tấn công từ mạng ngoài vào mạng trong, Firewall thường sử dụng các cơ chế lọc gói để hoạt động, vì thế các lỗi phổ biến xảy ra là lỗi tràn bộ đệm. Ngoài ra firewall thường bỏ qua các cuộc tấn công từ mạng trong (mạng tin cậy), điều này là rất nguy hiểm với những tấn công vào thẳng hệ thống firewall trong nội bộ mạng.

Để đảm bảo hoạt động tin cậy, hệ thống firewal cần thường xuyên được cập nhật những bản sửa lỗi, các luật hoạt động và được theo dõi thường xuyên từ người quản trị. Các lỗi do công nghệ, phần mềm gây ra Mỗi một công nghệ đều có những điểm yếu, những điểm yếu này có thể tồn tại trong hệ điều hành, giao thức hay thiết bị mạng. Khiếm khuyết của thiết bị mạng Bất kỳ nhà sản xuất nào cung hứa cung cấp những thiết bị tốt nhất, tuy nhiên mọi sản phẩm đều tồn tại sự phức tạp và lỗ hổng trong khi thiết kế. Ngoài ra bất kỳ thiết bị nào cũng có những điểm mạnh và điểm yếu.

Một thiết bị có thể hoạt động tốt và an toàn trong môi trường mạng này, nhưng lại không hỗ trợ hay hoạt động kém hiệu quả trong môi trường mạng khác. Vì thế điều quan trọng là phải xác định được loại thiết bị nào hoạt động tốt nhất trong môi trường mạng của mình. ____________________________________________________________ Vũ Quốc Bảo - CH2003 - ĐHBKHN 22 Chương 1: Tổng quan an ninh mạng Lỗi hệ điều hành, lỗi phần mềm ứng dụng Ở đây, phần mềm là khái niệm bao gồm cả hệ điều hành và các gói phần mềm ứng dụng chạy trên hệ điều hành đó. Hầu hết các phần mềm đều có lỗi do nhiều nguyên nhân chủ quan và khách quan.

• Quét lỗi mạng: Các chương trình phần mềm quét mạng thường sử dụng các nguyên lý sau để thực hiện quét: - Packet In groper (ping): để lấy địa chỉ IP của thiết bị mạng. - SNMP: Một thiết bị mạng có cấu hình snmp chưa được bảo vệ sẽ trở nên rất nguy hiểm, vì những kẻ xâm nhập có thể sửa đổi được cả cấu hình mạng thông qua thiết bị đó. - TCP/UDP port: Chương trình quét toàn bộ những cổng dịch vụ và xác định dịch vụ nào đang hoạt động trên mạng, thậm chí chi tiết về từng sản phẩm và lỗi của sản phẩm đó. - Solarwind: là một chương trình có thể quét toàn bộ mạng, đưa ra những thông báo chi tiết về cả sản phẩm, tài khoản, và có thể phá được cả mật khẩu.

- Nmap: Là một công cụ sử dụng cho các máy tính có dùng hệ điều hành UNIX để quét những mạng lớn. Công cụ này còn có khả năng cho phép vượt qua cả tường lửa, sử dụng cả TCP SYN, ICMP và xác định chi tiết hệ điều hành đang hoạt động trên máy đích. • Tràn bộ đệm: Các lỗi phần mềm phổ biến hiện nay là lỗi tràn bộ đệm. Việc nhập vào một giá trị không mong muốn có thể gây ra lỗi chương trình, giúp cho những kẻ tấn công có thể xâm nhập vào hệ thống.

- Bộ đệm là một vùng nhớ có giới hạn về kích thước sử dụng cho phần mềm. Nếu bộ đệm đạt tới giới hạn tổng, một lỗi tràn ____________________________________________________________ Vũ Quốc Bảo - CH2003 - ĐHBKHN 23 Chương 1: Tổng quan an ninh mạng bộ đệm cần được quan tâm. Giá trị nhập vào không mong muốn là giá trị không theo mẫu quy định có thể gây nên lỗi làm khóa (treo) tiến trình đang thực hiện hoặc cấm dịch vụ. • Các ứng dụng WEB: các chương trình ứng dụng web hiện nay được viết khá nhanh, vì thế thường hay có lỗi trong cấu hình.

Có rất nhiều báo cáo đưa ra các lỗi trong phần mềm duyệt web như lỗi trong IE, Mozzila… Dưới đây là một số ví dụ điển hình: - Lưu giữ mật khẩu: Một rủi ro thường xảy ra khi người dùng truy nhập vào các trang WEB có yêu cầu tài khoản và mật khẩu. Thông tin này được lưu giữ tạm thời trên máy của người dùng, và có thể bị lấy cắp khi người dùng truy nhập vào trang WEB khác. - Các thành phần máy ảo: Việc sử dụng các ứng dụng java trong trang HTML có thể gây rủi ro. Một ứng dụng java có thể được lập trình để kích hoạt các lệnh trên máy duyệt WEB và lấy trộm thông tin.

Để đảm bảo an ninh hầu hết các ứng dụng java đều có chứa chữ ký điện tử để xác thực. - Mã hóa kênh truyền SSL: Các trình duyệt hầu hết đều đảm bảo an toàn thông tin với mã hóa SSL và xác nhận chứng thực điện tử từ máy chủ gốc. Tuy nhiên các trình duyệt lại không xác nhận được các chứng thực điện tử đã hết hạn, không xác thực được các kết nối SSL được tạo ra từ cùng một máy chủ. Điều này có thể tạo ra lỗ hổng để những kẻ xâm nhập có thể lợi dụng truy nhập vào kết nối SSL và phá hủy dữ liệu.

• Ăn trộm thông tin tài khoản và mật khẩu: Hầu hết những người sử dụng mạng đều đã từng một lần thiết lập mật khẩu dễ nhớ, dựa vào ____________________________________________________________ Vũ Quốc Bảo - CH2003 - ĐHBKHN 24 Chương 1: Tổng quan an ninh mạng tên người thân, tên tên vật… Đây là những dạng mật khẩu dễ bị phá hoặc đoán được. Dưới đây là một số hình thức ăn trộm mật khẩu: - Lấy thông tin mật khẩu từ dữ liệu lưu trữ mật khẩu: tập tin mật khẩu (password), dữ liệu thư mục (LDAP). - Sử dụng công cụ sniffer để tìm mật khẩu thông qua việc thu thập gói tin trên mạng. - Thực hiện lại việc truy nhập vào mạng bằng cách mô phỏng lại những gì thu được bằng công cụ sniffer.

- Đoán mật khẩu dựa trên dữ liệu thu được. Khiếm khuyết của giao thức Một số bộ giao thức, ví dụ như TCP/IP, được thiết kế mà không có sự quan tâm đến vấn đề bảo mật vì thế gây ra những lỗ hổng an ninh khi áp dụng (Vấn đề này sẽ được đề cập rõ hơn trong phần tấn công mạng). • Giao thức NFS: giao thức chia sẻ tài nguyên sử dụng trong hệ điều hành Novell và UNIX. Giao thức này không có cơ chế xác thực và mã hóa, ngoài ra NFS sử dụng cơ chế lựa chọn cổng TCP ngẫu nhiên vì thế rất khó để thiết lập điều khiển truy nhập cho hệ thống.

• Bộ giao thức TCP/IP: Bộ giao thức này chứa các giao thức như icmp, udp, tcp và một số điểm yếu khác. Ví dụ: phần mào đầu của gói tin IP có thể bị chặn và sửa đổi mà không cần để lại dấu vết. Gói tin ICMP có thể lợi dụng trong tấn công DDoS (Chúng ta sẽ bàn kỹ hơn về bộ giao thức TCP/IP trong mục các kiểu tấn công mạng). ____________________________________________________________ Vũ Quốc Bảo - CH2003 - ĐHBKHN 25 Chương 1: Tổng quan an ninh mạng 1.

Vấn đề an ninh trong mô hình mạng TCP/IP 1. Mô hình mạng phân lớp TCP/IP Với mục đích xây dựng một mạng máy tính mà là "mạng của các mạng", vào giữa những năm 70s Vint Cerf (Đại học Stanford) cùng Robert Kahn (BBN) đã cùng phát triển họ giao thức TCP/IP, đến năm 1983 đã thay thế hoàn toàn NCP trong ARPAnet và hiện nay TCP/IP được sử dụng phổ biến nhất trên mạng Inernet và được hỗ trợ bởi mọi phần mềm về mạng. Bởi vì TCP/IP là tên của bộ giao thức chuẩn dùng cho mạng mở và được sử dụng rộng rãi cho mạng Internet, nên nó được sử dụng như là tên của mô hình kiến trúc cho Internet về thực chất nó chỉ là hai giao thức trong mô hình. Cũng giống như mô hình OSI mô hình TCP/IP cũng có kiến trúc phân tầng, chức năng của tầng trên được đưa ra bởi tầng dưới, mỗi giao thức có thể hoạt động độc lập với giao thức các tầng khác.

Ví dụ chúng ta có thể nâng cấp hay sửa chữa giao thức của một tầng nào đó mà không sợ ảnh hưởng tới chức năng của tầng đó cũng như các tầng khác cũng như không cần phải thay đổi giao thức các tầng khác. Gần đây nhất là sự ra đời của phiên bản IP mới gọi là IPng (IP next generation hay IP version 6) được thay đổi để tạo giải pháp mới cho địa chỉ IP, sự thay đổi này không cần thay đổi kiến trúc TCP/IP và quan hệ giữa các giao thức. • Lớp thấp nhất là lớp truy cập mạng (network access layer).