Chương 1 - Tổng quan đề tài: Giới thiệu tổng quan về dé tài nghiên cứu, mục đích nghiên cứu, phạm vi nghiên cứu và phương pháp nghiên cứu. - _ Chương 2 - Tổng quan lý thuyết: Giới thiệu tổng quan về các kiến thức nền tảng sử dụng trong đê tài và các nghiên cứu liên quan. - _ Chương 3 - Phương pháp tiến hành: Trinh bày giải pháp đề xuất cho dé tài va căn cứ thực hiện. - Chương 4 - Thực nghiệm & kết quả: Trinh bày kịch ban đã tiến hành và các kết quả thực nghiệm.
- _ Chương 5 - Tổng kết: Kết luận và hướng phát triển. KIÊN THỨC TONG QUAN 2. Hệ thống phát hiện xâm nhập dựa trên luồng lưu lượng mạng 2. Tổng quan về IDS Hệ thống phát hiện xâm nhập (IDS) là tập hợp các thiết bị phần cứng/phần mềm có khả năng giám sát, phân tích và đưa ra các cảnh báo về bất thường trong hệ thống.
IDS có thể được phân loại thành một số loại chính như ở Hình 2.1, cụ thể: - _ Dựa trên nguồn dt liệu: o_ Hệ thống phát hiện xâm nhập trên máy đích (Host-based IDS — HIDS), được sử dụng dé giám sát hoạt động cua các may được cài lên. Khác với các hệ thống chống thất thoát dit liệu, HIDS chủ yếu tập trung giám sát vào các yếu tô an ninh của máy như tính toàn vẹn, kiểm tra rootkit, tìm kiếm các hoạt động đáng ngờ. o Hệ thống phát hiện xâm nhập trong mang (Network-based IDS — NIDS) được sử dung dé phát hiện các bất thường trong hạ tang mạng. NIDS sử dụng 2 nguồn chính đề phát hiện xâm nhập: luồng lưu lượng mạng và gói tin.
Cả 2 nguồn này đều có những ưu và nhược điểm riêng đối với quá trình phát hiện xâm nhập. Chang hạn, nếu phân tích các gói tin thì sẽ đưa ra dự báo chính xác hon, nhưng tiêu hao tài nguyên nhiều hon và dé bi qua mặt bởi các gói tin đã được mã hóa. Trong khi đó, phân tích dựa trên luồng lưu lượng mạng chỉ chiếm dụng một lượng tài nguyên rất nhỏ, nhưng do không phân tích nội dung gói tin nên phân tích lưu lượng sẽ thiếu chính xác hơn. Host-based ___4| Audit source LL | location | | | | = —-_ Network-based | [Lẻ _—____— ____l | | | | | ;——- Packet-based Intrusion Detection |_ | | | System —=—— | t——¬ Flow-based Signature-based Detection Model Anomaly-based Hinh 2.
1: Phan loai cac IDS Error! Reference source not found. Ở góc độ phương pháp phát hiện: o Dựa trên dấu hiệu (Signature-based IDS): phát hiện dựa vào các dau hiệu đã được quy định trước. IDS dang này phát hiện rất tốt với các mau tan công đã ghi nhận và không có khả năng phát hiện các loại tân công mới hoàn toản. o Dựa trên bat thường (Anomaly-based IDS): phát hiện các thay đôi dựa trên một ngưỡng được cho là bình thường.
Dựa trên các đánh giá nhất định khi so sánh với ngưỡng này, IDS sẽ kết luận rằng mẫu đầu vào là bất thường hay bình thường. IDS loại này có nhược diém là tỉ lệ báo động giả thường rat cao so với phát hiện dựa trên dấu hiệu. Tuy nhiên, các IDS này có lợi thế ở việc có thể phát hiện các loại tấn công mới và đễ dàng triển khai, do không đòi hỏi phải thu thập các mẫu nhận diện từ trước. Tổng quan về luồng lưu lượng mang (network flow) Flow-based IDS phân tích đữ liệu các luồng lưu lượng mạng (network flow) dé phat hién tan công.
Một network flow được định nghĩa là một tập hop các gói tin/frame dữ liệu được đi qua một điểm quan sát trong một khoảng thời gian nhất định giữa hai hệ thong máy tính. Mọi gói tin nằm trong một network flow sẽ có một số các thuộc tính tương tự nhau (IP nguon/dich, port nguồn/đích, giao thức,.) như được mô tả tại Hình 2. Ngoài ra, một số thuộc tính khác sẽ được tính toán dựa trên dữ liệu thống kê của flow (số lượng packet/byte của flow trong một đơn vi thời gian, khoảng thời gian trung bình giữa các gói tin,. ATTRIBUTES IN FLOW-BASED NETWORK TRAFFIC.
|HOA-DMNKSW Attribute Date first seen Duration Transport protocol Source IP address Source port Destination IP address Destination port Number of transmitted bytes Number of transmitted packets 0 TCP flags Hình 2. 2: Cac thuộc tính co ban cua network flow Error! Reference source not found. Một hệ thống giám sát luồng lưu lượng mạng thường gồm 3 thành phan: (1) các điểm quan sát (observation point); (2) một trình kết xuất (flow exporter) vả (3) một trình thu thập (flow collector). Một flow exporter sẽ trích xuất header từ các gói tin đi qua các điểm quan sát (có thể là switch, router hoặc một thiết bị thu thập đặt trên đường truyền).
Sau đó, flow exporter sé tong hop và kết xuất ra các ban ghi về luồng lưu lượng mang (flow record) từ các thông tin trên và gửi đến cho collector. Các flow record sẽ được lưu trữ và chuẩn hóa tại collector để phục vụ cho việc phân tích của IDS (Hình 2. Packet Rules for Flow Record Capturing Template, Sending and Selection Time stamping Functions for > generating IPFIX Flow export packets Database Malicious: Raise Alert Flow feature : Decision Í Pre-Processing selection Engine Normal: Drop the flow Hinh 2. 3: Mot hé thống flow-based IDS sử dụng IPFIX Error! Reference source not found.
Một flow có thé được ghi lai đưới dang don hướng (unidirectional) hoặc song hướng (bidirectional) Error! Reference source not found. Một flow record đơn hướng sẽ tổng hợp mọi gói tin giữa 2 node trong mạng theo một hướng có định (từ A sang B là một record và ngược lại), trong khi một flow record song hướng sẽ tổng hợp mọi gói tin mà không cần quan tâm đến chiều truyền của gói tin. Một số định dạng network flow phổ biến có thé ké đến gồm: IPFIX Error! Reference source not found., NetFlow Error! Reference source not found., sFlow Error! Reference source not found. va OpenFlow Error! Reference source not found.
Các kỹ thuật phát hiện tấn công trong flow-based IDS Các kỹ thuật phát hiện phát hiện tấn công hiện tại (kế cả signature-based hay anomaly-based) có thé được chia thành 2 hướng chủ yếu: phân tích stateless (theo từng packet) và stateful (theo flow). Các IDS ngày nay đa số phân tích theo hướng stateful Error! Reference source not found., do việc phân tích theo flow sẽ cho IDS cái nhìn về “ngữ cảnh” thay vì rời rac như phân tích từng packet (stateless). Ngoài ra, việc phân tích theo network flow cũng làm giảm tiêu tốn tài nguyên cũng như không gặp khó khăn khi phải phân tích các traffic đã được mã hóa. Các flow-based anomaly IDS thường được phân loại bởi một số phương pháp huấn luyện (train) bao gồm (Hình 2.
4): phương pháp thống kê, phương pháp học máy (ML-based) và cơ sở tri thức (knowledge-base). Phương pháp thống kê Bao gồm các phương pháp thống kê đơn biến (univariate), đa biến (multivariate) và chuỗi thời gian (time-series). - _ Phương pháp thống kê đơn biến sẽ phân tích thông tin thống kê của một biến duy nhất tại một thời điểm xác định (chăng hạn trung bình, phân phối chuẩn). Kỹ thuật này đòi hỏi biết trước về phân phối của dữ liệu cần phân tích.
Thống kê đơn biến có thể là thống kê mô tả (các hệ số mô tả ngắn gọn hay tóm tắt về dữ liệu, đại điện cho toàn bộ hoặc một mẫu của một tổng thể) hoặc là thống kê suy diễn (suy ra tính chất của tổng thê từ mẫu). IDS sẽ dựa trên đó làm ngưỡng để nhận diện các hành vi bất thường. 10 - _ Phương pháp thống kê đa biến phân tích các mối quan hệ giữa hai hay nhiều biến. Do đó, khai thác được tổng hợp mỗi tương quan giữa các biến và phản ánh toàn điện, khách quan hơn so với thống kê đơn biến.
Một số dạng thống kê đa biến thường dùng gồm phân tích thành phần chính (Principal component analysis - PCA), phân tích biệt thức tuyến tính (linear discriminant analysis -LDA) va phân tích biệt số (discriminant analysis - DA). - Phuong pháp phân tích time-series sử dung các giá tri được quan sat trước một thời điểm nhất định dé dự đoán các giá trị mới. Chuỗi thời gian (time-series) có thê được định nghĩa là chuỗi các giá trị của một biến theo các khoảng thời gian cách đều nhau. Các phương pháp này phụ thuộc vào dữ liệu trong quá khứ, do đó yêu cầu các đữ liệu này có chất lượng cao, có tính đại diện cho tổng thé và ít biến động.
Các IDS sử dụng phân tích thống kê nhìn chung không yêu cầu các hiểu biết về các cuộc tan công. Nguyên nhân là do cơ chế phát hiện tan công của các IDS này chỉ dựa trên sự thay đôi về các phân phối dữ liệu trong mạng khi có một cuộc tấn công xảy ra, đặc biệt là các cuộc tấn công có lưu lượng lớn như DoS. Tuy nhiên, các cuộc tan công với vector đầu vào nhiều chiều/nhiều biến số ảnh hưởng rất lớn đến hiệu suất của các IDS này. Các cuộc tân công ít làm thay đồi dir liệu thống kê trong mạng cũng rất khó bị phát hiện bởi các IDS này.
Phương pháp học máy Bao gồm các phương pháp clustering, giải thuật di truyền (genetic algorithm), học sâu (Deep Learning - DL), mạng thần kinh nhân tạo (Artificial neural network - ANN), máy vector hỗ trợ (support vector machine - SVM). Hién tai, cac IDS hoc may dang chiém wu thé trong cac hé thong anomaly-based IDS [17]. Thống kê về các thuật toán sử dụng trong anomaly-based IDS được trình bày như trong Hình 2. 11 Các thuật toán học máy có điểm tương đồng với các phương pháp dựa trên cơ sở tri thức.
Tuy nhiên, các phương pháp dựa trên cơ sở tri thức cần phụ thuộc vào yêu tố con người và đòi hỏi kiến thức chuyên môn để xây dựng nên các profile. Tuy nhiên điều này được diễn ra hoàn toàn tự động với các phương pháp học máy. Các “profile” sẽ được tạo ra dưới dạng các mô hình học máy sau khi đã huấn luyện. Đôi lại, các mô hình học máy thường không có sự nhất quán như các profile từ cơ sở tri thức và thường rất khó dé thông dich (interpret) các mô hình này sang ngôn ngữ ma con người có thé dễ hiểu được.
12 Trong đó, các kỹ thuật sử dụng mạng thần kinh nhân tạo (ANN) hiện đang có một tiềm năng lớn nhờ sự phát triển về phần cứng và chất lượng các tập dữ liệu trong thời gian gần đây. ANN mô phỏng hoạt động não bộ của con người thông qua một mạng liên kết các đơn vị tính toán gọi là neuron. Mọi neuron trong ANN có bản chất là các hàm tính toán, nhận kết quả đầu vào và trả về kết quả đầu ra cho các layer tiếp theo (nếu có). Kết quả từ các neuron của layer cuối cùng sẽ được tổng hợp và đưa ra kết quả dự đoán tương ứng với đữ liệu đầu vào.