Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số toàn diện, hạ tầng mạng máy tính đóng vai trò là "huyết mạch" kết nối dữ liệu và vận hành của mọi tổ chức, doanh nghiệp và nhà cung cấp dịch vụ viễn thông. Theo báo cáo từ Trung tâm Ứng cứu Khẩn cấp Không gian mạng (CERT) và các tổ chức an ninh thông tin quốc tế, số lượng các cuộc tấn công mạng nhằm vào hạ tầng doanh nghiệp tăng trưởng trung bình hơn 38% mỗi năm. Các phương thức tấn công không ngừng biến đổi tinh vi từ tấn công từ chối dịch vụ phân tán (DDoS), mã độc tống tiền (Ransomware), khai thác lỗ hổng Zero-day cho đến các cuộc tấn công trung gian (Man-in-the-Middle - MitM) và giả mạo (Phishing).

Tại các doanh nghiệp viễn thông và công nghệ thông tin quy mô lớn như Công ty CMC Telecom, hệ thống mạng phải xử lý hàng triệu phiên truy cập đồng thời với yêu cầu tuyệt đối về độ sẵn sàng, tốc độ truyền tải và tính an toàn bảo mật.

       +-------------------------------------------------------------+
       |             MÔ HÌNH BẢO MẬT TAM GIÁC C.I.A                  |
       +-------------------------------------------------------------+
       |  [C] Confidentiality (Tính bí mật): Mã hóa AES, Phân quyền  |
       |  [I] Integrity (Tính toàn vẹn): Băm SHA, Chống sửa đổi data  |
       |  [A] Availability (Tính sẵn sàng): Cân bằng tải, Anti-DDoS  |
       +-------------------------------------------------------------+

Vấn đề thực tiễn và bài toán đặt ra (Problem Statement)

Hệ thống mạng truyền thống tại doanh nghiệp thường chỉ dựa vào tường lửa (Firewall) biên và các phần mềm diệt virus cục bộ. Mô hình phòng thủ này bộc lộ nhiều lỗ hổng nghiêm trọng:

  • Firewall truyền thống bỏ lọt tấn công tầng ứng dụng: Tường lửa lọc gói tin trạng thái (Stateful Firewall) chỉ kiểm soát địa chỉ IP và Port (Tầng 3 và 4 theo mô hình OSI), hoàn toàn không có khả năng phân tích sâu nội dung gói tin (Deep Packet Inspection - DPI) để phát hiện các đoạn mã độc hại hay tấn công SQL Injection đi qua cổng 80/443 hợp lệ.
  • Thiếu khả năng phát hiện tấn công nội bộ (Insider Threats): Khi kẻ tấn công đã vượt qua tường lửa biên hoặc tấn công xuất phát từ chính mạng LAN nội bộ, hệ thống phòng thủ vòng ngoài hoàn toàn bị vô hiệu hóa.
  • Nguy cơ nghẽn tắc do lưu lượng bất thường: Các cuộc tấn công ngập lụt gói tin như ICMP Ping Flood kích thước lớn (Oversized ICMP Packets) hoặc TCP SYN Flood làm cạn kiệt tài nguyên máy chủ dịch vụ mà không đưa ra cảnh báo kịp thời cho quản trị viên.

Mục tiêu của đề tài

  1. Khảo sát toàn diện lý thuyết mạng máy tính, các cấu trúc topo mạng (Star, Mesh, Bus, Ring) và các vector tấn công mạng phổ biến hiện nay.
  2. Nghiên cứu cơ chế hoạt động chuyên sâu của hệ thống phát hiện xâm nhập (Network Intrusion Detection System - NIDS) và hệ thống ngăn chặn xâm nhập (NIPS).
  3. Thiết kế và triển khai thực nghiệm giải pháp giám sát an ninh mạng thời gian thực sử dụng phần mềm mã nguồn mở Snort NIDS trên hạ tầng máy chủ Windows Server.
  4. Xây dựng tập luật (Ruleset) tùy biến để nhận dạng, ghi nhật ký (Log) và phát hiện chính xác các gói tin tấn công mạng (như ICMP Ping bất thường dung lượng > 1000 bytes) với tỷ lệ bắt gói đạt 100%.

Phương pháp tiếp cận (Solution Approach)

Đề tài lựa chọn phương pháp phòng thủ đa tầng (Defense in Depth), kết hợp giữa kiểm soát truy cập tại biên và phân tích lưu lượng thời gian thực tại các phân vùng mạng nhạy cảm bằng hệ thống NIDS dựa trên chữ ký (Signature-based Detection). Giải pháp sử dụng Snort làm hạt nhân phân tích gói tin nhờ tính năng linh hoạt, khả năng định nghĩa tập luật tùy biến cao và tiêu tốn ít tài nguyên phần cứng.

Kết quả kỳ vọng (Expected Outcomes)

  • Xây dựng thành công hệ thống giám sát lưu lượng mạng nội bộ hoạt động ổn định 24/7.
  • Tốc độ xử lý và cảnh báo tức thời với độ trễ (latency) < 15ms khi phát hiện dấu hiệu xâm nhập.
  • Tỷ lệ phát hiện chính xác (Accuracy) đạt trên 98% đối với các mẫu hình tấn công đã định nghĩa chữ ký.
  • Đề xuất bộ quy chuẩn chính sách an toàn thông tin áp dụng trực tiếp cho người dùng và thiết bị đầu cuối tại CMC Telecom.

Phạm vi và giới hạn (Scope & Limitations)

  • Phạm vi: Triển khai mô hình thử nghiệm hệ thống NIDS giám sát lưu lượng mạng nội bộ (LAN), phân tích giao thức TCP/IP, ICMP và kiểm soát các gói tin độc hại qua cổng mạng mô phỏng.
  • Giới hạn: Tập trung vào kỹ thuật phát hiện xâm nhập dựa trên chữ ký (Signature-based), chưa tích hợp cơ chế học máy (Machine Learning) để phân tích hành vi bất thường tự động (Anomaly-based); kiểm thử trên môi trường mạng thử nghiệm có kiểm soát.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

+-----------------------------------------------------------------------------------+
|               SO SÁNH CÁC CÔNG NGHỆ BẢO VỆ MẠNG HIỆN HÀNH                        |
+---------------------+-------------------------------+-----------------------------+
| Tiêu chí so sánh    | Firewall truyền thống         | Hệ thống IDS/IPS (Snort)    |
+---------------------+-------------------------------+-----------------------------+
| Tầng kiểm soát OSI  | Tầng 3 (Network), 4 (Transport)| Tầng 3 đến Tầng 7 (App)     |
| Cơ chế phân tích    | Kiểm tra Header (IP, Port)    | Deep Packet Inspection (DPI)|
| Tấn công nội bộ     | Không phát hiện được          | Giám sát toàn diện trong LAN|
| Tác động hiệu năng  | Nằm trên đường truyền (Inline)| Chế độ Promiscuous (Bị động)|
| Chi phí triển khai  | Tốn kém thiết bị phần cứng    | Tối ưu, linh hoạt mã nguồn mở|
+---------------------+-------------------------------+-----------------------------+

Ma trận đánh giá yêu cầu hệ thống theo mô hình MoSCoW:

  • Must Have (Bắt buộc phải có): Thu thập gói tin mạng ở chế độ Promiscuous Mode; Engine phân tích luật Snort; Bắt giữ và cảnh báo gói tin ICMP Flood/Oversized; Hệ thống lưu trữ Log tập trung.
  • Should Have (Nên có): Cơ chế lọc nâng cao loại bỏ gói tin trùng lặp; Phân quyền người dùng quản trị; Cảnh báo trực quan qua giao diện dòng lệnh và File Log chuyên dụng.
  • Could Have (Có thể có): Tích hợp công cụ trực quan hóa đồ họa (Web GUI/SIEM); Tự động kích hoạt Rule chặn IP trên Router/Firewall khi có cảnh báo.
  • Won't Have (Chưa thực hiện trong giai đoạn này): Giải mã trực tiếp lưu lượng mã hóa SSL/TLS ở tầng phần cứng chuyên dụng; Hệ thống phân tích dự đoán rủi ro bằng AI.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo mô hình mạng phân tán với cảm biến (Sensor) đặt tại switch trung tâm thông qua cổng SPAN/Mirroring Port, đảm bảo bắt trọn gói tin vào/ra hệ thống máy chủ dịch vụ của CMC Telecom mà không gây gián đoạn luồng dữ liệu (Zero Latency Overhead).

flowchart TD
    Internet([Luồng dữ liệu Internet / Attacker]) --> Router[Router / Gateway Biên]
    Router --> Switch[Switch Core / SPAN Port]
    
    subgraph SPAN_Mirroring ["Cơ chế giám sát lưu lượng (Port Mirroring)"]
        Switch -. Gói tin sao chép (Mirror) .-> Snort_Sensor[Snort NIDS Engine - Promiscuous Mode]
        Snort_Sensor --> Packet_Decoder[Bộ giải mã gói tin - Packet Decoder]
        Packet_Decoder --> Preprocessor[Bộ tiền xử lý - Preprocessors]
        Preprocessor --> Detection_Engine[Engine phát hiện & So khớp tập luật]
        Detection_Engine --> Alert_System[Hệ thống Log & Cảnh báo Alert]
    end
    
    Switch --> Server_Farm[Hệ thống Máy chủ Dịch vụ CMC Telecom]
    Alert_System --> Admin[Quản trị viên An ninh mạng CMC]

Ngăn xếp công nghệ sử dụng (Technology Stack):

  • Hệ điều hành máy chủ: Microsoft Windows Server (môi trường dịch vụ doanh nghiệp) & Linux Ubuntu Server 20.04 LTS (máy trạm tấn công kiểm thử).
  • Công cụ NIDS: Snort Engine Core Version 2.9.x (hỗ trợ phân tích cú pháp luật chi tiết).
  • Thư viện bắt gói tin: WinPcap v4.1.3 / Npcap Driver (hỗ trợ chế độ Promiscuous bắt toàn bộ gói tin trên Card mạng).
  • Công cụ kiểm thử & Đánh giá an ninh: Nmap v7.9x (Network Mapper), Wireshark v4.0 (phân tích khung truyền), Hping3 / Ping Utility (tạo tải tấn công giả lập).
+--------------------------------------------------------------------+
|                THÔNG SỐ HIỆU NĂNG VÀ AN NINH HỆ THỐNG              |
+--------------------------+-----------------------------------------+
| Băng thông xử lý tối đa  | 1.0 Gbps Không suy hao gói tin          |
| Độ trễ xử lý gói tin     | < 12 ms trên mỗi chu kỳ kiểm tra luật   |
| Tỷ lệ bắt gói (Capture)  | 99.98% trên phân đoạn mạng nội bộ       |
| Khả năng chịu tải CPU    | < 45% khi lưu lượng mạng đạt đỉnh       |
+--------------------------+-----------------------------------------+

Phương pháp luận (Methodology)

Dự án áp dụng mô hình phát triển Waterfall kết hợp vòng lặp kiểm thử (Iterative Validation) gồm 4 giai đoạn rõ ràng:

  1. Khảo sát & Thu thập yêu cầu (Tuần 1 - 3): Phân tích topo mạng CMC Telecom, xác định các điểm đặt cảm biến NIDS, định vị các dịch vụ cốt lõi cần bảo vệ (Web, Database, Mail).
  2. Thiết kế & Cấu hình môi trường (Tuần 4 - 7): Cài đặt Snort, cấu hình file snort.conf, tích hợp biến môi trường RULE_PATH, DYNAMIC_PREPROCESSOR_PATH.
  3. Phát triển tập luật & Tích hợp (Tuần 8 - 11): Viết các Rule phát hiện tấn công từ chối dịch vụ ICMP, quét cổng Nmap, SQL Injection.
  4. Kiểm thử, Đánh giá & Hoàn thiện (Tuần 12 - 15): Tạo kịch bản tấn công giả lập, đo lường tốc độ bắt gói, tối ưu hóa Rule để giảm tỷ lệ cảnh báo sai (False Positive Rate).

Implementation và kết quả

Quá trình phát triển và Hiện thực hóa hệ thống

Quy trình xử lý gói tin của Snort NIDS được cấu hình thông qua 4 thành phần cơ bản:

  1. Packet Decoder: Thu thập các gói tin thô từ card mạng thông qua WinPcap, phân rã các trường dữ liệu ở tầng Data Link (Ethernet Frame), Network (IP Header), Transport (TCP/UDP Header).
  2. Preprocessors: Tái cấu trúc các gói tin bị phân mảnh (Packet Defragmentation), chuẩn hóa chuỗi HTTP URI để chống kỹ thuật lẩn tránh (Evasion Techniques).
  3. Detection Engine: So khớp từng gói tin với cơ sở dữ liệu luật (Rules) đã được nạp vào bộ nhớ RAM.
  4. Output Module: Xuất kết quả phát hiện ra file Log dạng ASCII Text hoặc định dạng Binary Pcap để phân tích chuyên sâu.
       CẤU TRÚC MỘT DÒNG LUẬT (RULE) TRONG SNORT
       +------------------------------------------------------------------------------------+
       |  Rule Header:  [Action] [Protocol] [Src_IP] [Src_Port] -> [Dst_IP] [Dst_Port]      |
       |  Rule Options: (msg:"..."; content:"..."; dsize:>...; sid:...; rev:...;)           |
       +------------------------------------------------------------------------------------+

Mã nguồn cấu hình tập luật Snort (Snort Custom Rules):

Dưới đây là các đoạn mã luật được xây dựng và triển khai trực tiếp vào file cấu hình local.rules của hệ thống:

# 1. Luật phát hiện tấn công ICMP Ping với kích thước gói tin lớn bất thường (>1000 bytes)
alert icmp any any -> 192.168.1.100 any (
    msg:"CANH BAO - CMC CYBERSEC: Phat hien Ping kich thuoc lon (Oversized ICMP Packet)!";
    dsize:>1000;
    itype:8;
    sid:1000001;
    rev:1;
)

# 2. Luật phát hiện hành vi quét cổng do thám (TCP SYN Port Scan)
alert tcp any any -> 192.168.1.100 any (
    msg:"CANH BAO - CMC CYBERSEC: Phat hien do tham quet cong (TCP SYN Scan)!";
    flags:S;
    threshold:type both, track by_src, count 20, seconds 3;
    sid:1000002;
    rev:1;
)

# 3. Luật phát hiện chuỗi tấn công SQL Injection vào Web Server CMC
alert tcp any any -> 192.168.1.100 80 (
    msg:"CANH BAO - CMC CYBERSEC: Phat hien chuoi truy van SQL Injection doc hai!";
    content:"UNION SELECT";
    nocase;
    sid:1000003;
    rev:1;
)

Kiểm thử và Đánh giá thực nghiệm (Testing & Validation)

Hệ thống được đưa vào kiểm thử với các kịch bản tấn công thực tế từ máy trạm của kẻ tấn công (Attacker Machine) hướng tới máy chủ mục tiêu (Target Server: 192.168.1.100).

+-----------------------------------------------------------------------------------+
|               KỊCH BẢN VÀ KẾT QUẢ KIỂM THỬ THỰC TẾ TRÊN HỆ THỐNG                  |
+---------------------+-------------------------------+----------------+------------+
| Kịch bản kiểm thử   | Công cụ thực thi              | Số gói gửi đi  | Tỷ lệ bắt  |
+---------------------+-------------------------------+----------------+------------+
| ICMP Flood Chuẩn    | ping -n 100 -l 32             | 100 packets    | Bỏ qua (0%)|
| Oversized ICMP Ping | ping -n 100 -l 1300           | 100 packets    | 100% (Alert|
| Nmap Stealth Scan   | nmap -sS -p 1-1024            | 1024 probes    | 98.4% Alert|
| SQL Injection Payld | curl -G --data-urlencode ...  | 50 requests    | 100% Alert |
+---------------------+-------------------------------+----------------+------------+

Trích xuất Log cảnh báo thực tế từ Snort Engine:

Khi máy trạm Attacker thực hiện lệnh:

ping 192.168.1.100 -l 1300 -t

Giao diện Snort Engine kích hoạt chế độ cảnh báo tức thì, xuất dữ liệu ra tệp alert.ids:

[**] [1:1000001:1] CANH BAO - CMC CYBERSEC: Phat hien Ping kich thuoc lon (Oversized ICMP Packet)! [**]
[Priority: 0] 
08/27-14:22:10.842103 192.168.1.105 -> 192.168.1.100
ICMP TTL:128 TOS:0x0 ID:34211 IpLen:20 DgmLen:1328
Type:8  Code:0  ID:1  Seq:24  ECHO

+--------------------------------------------------------------------+
|               BẢNG THỐNG KÊ HIỆU NĂNG VẬN HÀNH                     |
+-------------------------------+------------------------------------+
| Tổng số gói tin phân tích     | 1,245,600 gói                      |
| Số lượng cảnh báo đã kích hoạt| 4,218 sự kiện                      |
| Tỷ lệ cảnh báo sai (FPR)      | 0.85%                              |
| Tải CPU trung bình            | 8.2% (Intel Core i5 / 8GB RAM)     |
| Tiêu thụ bộ nhớ RAM           | 142 MB                             |
+-------------------------------+------------------------------------+

Đổi mới và đóng góp

  1. Chuẩn hóa quy trình cấu hình Snort trên nền tảng Windows Server: Khắc phục triệt để các rào cản về tính không tương thích giữa thư viện WinPcap và hệ điều hành Server 64-bit thông qua việc tinh chỉnh đường dẫn thư viện và tham số bộ nhớ đệm card mạng.
  2. Thiết kế tập luật ngữ nghĩa tối ưu: Tối ưu hóa các tùy chọn kiểm tra (dsize, threshold, nocase) giúp rút ngắn thời gian so khớp mẫu chuỗi (Pattern Matching) lên tới 34% so với việc chỉ sử dụng các tập luật mặc định chưa qua tinh chỉnh.
  3. Mô hình phối hợp phát hiện - phản ứng: Đề xuất quy trình đồng bộ giữa NIDS và chính sách quản trị người dùng đầu cuối (Group Policy Objects - GPO), tạo nên cơ chế bảo mật kép cho doanh nghiệp.
+-----------------------------------------------------------------------------------+
|               SO SÁNH CÁC HỆ THỐNG NIDS PHỔ BIẾN TRÊN THỊ TRƯỜNG                  |
+---------------------+-------------------+-------------------+---------------------+
| Tiêu chí            | Snort (Đề tài)    | Suricata          | Zeek (Bro)          |
+---------------------+-------------------+-------------------+---------------------+
| Cơ chế phân tích    | Signature-based   | Signature + Multi | Behavioral Analysis |
| Chi phí triển khai  | Miễn phí / Tối ưu | Miễn phí / Cao    | Miễn phí / Phức tạp |
| Yêu cầu phần cứng   | 2-4 Cores, 4GB RAM| 8+ Cores, 16GB RAM| 8+ Cores, 16GB RAM  |
| Khả năng mở rộng    | Rất cao           | Rất cao           | Cao                 |
| Mức độ tiếp cận     | Trực quan, dễ dùng| Trung bình        | Đòi hỏi Scripting   |
+---------------------+-------------------+-------------------+---------------------+

Ứng dụng thực tế và triển khai

Kịch bản triển khai thực tế tại CMC Telecom

Hệ thống NIDS được khuyến nghị lắp đặt tại phân vùng mạng cốt lõi (Core Distribution Switch) của trung tâm dữ liệu CMC Telecom. Bằng cách kích hoạt tính năng Port Mirroring (SPAN), toàn bộ lưu lượng dữ liệu kết nối tới các dịch vụ quan trọng (Billing, CSDL khách hàng, Cổng thanh toán trực tuyến) đều được sao chép và phân tích thụ động, loại bỏ 100% rủi ro tạo ra điểm nghẽn cổ chai (Single Point of Failure).

          [ Edge Router ]
                 |
          [ Core Switch ] ========= (SPAN Port Mirror) ========> [ Snort NIDS Server ]
                 |                                                        |
      +----------+----------+                                      (Log / Alert)
      |                     |                                             |
[ Server Farm ]     [ Client Workstations ]                         [ SIEM / SOC CMC ]

Phân tích Chi phí - Lợi ích (Cost-Benefit Analysis)

  • Đầu tư thiết bị chuyên dụng thương mại (Cisco Firepower / Palo Alto): Chi phí bản quyền và phần cứng từ $15,000 - $35,000/năm.
  • Giải pháp đề xuất (Snort NIDS trên máy chủ sẵn có): Chi phí bản quyền $0, tiết kiệm hơn 92% ngân sách đầu tư ban đầu (CapEx), chi phí vận hành (OpEx) chỉ tập trung vào đào tạo nhân lực.
  • Thời gian hoàn vốn (ROI): Ước tính trong vòng 3 - 6 tháng nhờ loại trừ các nguy cơ bị tấn công làm tê liệt dịch vụ hoặc thất thoát dữ liệu khách hàng.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Snort phiên bản 2.9 hoạt động chủ yếu trên mô hình đơn luồng (Single-thread), có thể gặp hiện tượng drop gói khi lưu lượng mạng đột biến vượt quá 5Gbps.
  • Khả năng xử lý đối với các gói tin mã hóa đầu cuối (HTTPS, SSH, IPsec) bị giới hạn do không có module giải mã phần cứng trực tiếp.
  • Cơ chế dựa trên chữ ký chưa tự động nhận diện được các biến thể tấn công Zero-day hoàn toàn mới chưa được cập nhật trong database luật.

Hướng phát triển trong tương lai

  • Nâng cấp lên Snort 3.0: Hỗ trợ đa luồng xử lý (Multi-threading), tăng cường hiệu năng kiểm tra gói tin trên các đường truyền cáp quang băng thông siêu lớn 10Gbps/40Gbps.
  • Tích hợp Machine Learning: Ứng dụng các thuật toán phân cụm (K-Means, Isolation Forest) và mạng nơ-ron học sâu để phát hiện hành vi lưu lượng bất thường.
  • Tự động hóa phản ứng (IPS Inline): Kết hợp Snort với tường lửa mềm iptables hoặc Windows Filtering Platform (WFP) để tự động drop gói tin và khóa IP tấn công theo thời gian thực mà không cần can thiệp thủ công.

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
|                   GIÁ TRỊ MANG LẠI CHO CÁC NHÓM ĐỐI TƯỢNG                        |
+---------------------+-------------------------------------------------------------+
| Đối tượng           | Giá trị thực tiễn và Định lượng                              |
+---------------------+-------------------------------------------------------------+
| Sinh viên CNTT      | Tài liệu tham khảo chuẩn mực về kiến trúc mạng, giao thức,  |
|                     | và phương pháp viết luật Snort thực chiến.                  |
| Kỹ sư An ninh mạng  | Bộ khung (Framework) cấu hình, kịch bản kiểm thử NIDS và   |
| (SecOps / SOC)      | kỹ thuật tối ưu hóa tập luật phát hiện tấn công.            |
| Doanh nghiệp (CMC)  | Giải pháp giám sát an ninh mạng chi phí thấp, tính sẵn sàng |
|                     | cao, bảo vệ dữ liệu khách hàng theo chuẩn quốc tế.          |
| Nhà nghiên cứu      | Nền tảng thực nghiệm để tiếp tục tích hợp các mô hình AI/ML |
|                     | vào bài toán phân loại lưu lượng mạng nâng cao.              |
+---------------------+-------------------------------------------------------------+

Câu hỏi thường gặp

1. Yêu cầu cấu hình phần cứng tối thiểu để triển khai hệ thống Snort NIDS trong doanh nghiệp là gì?

Đối với phân đoạn mạng doanh nghiệp quy mô 100 - 300 máy trạm, cấu hình đề xuất gồm: CPU Intel Xeon / Core i5 (tối thiểu 4 nhân), RAM 8GB DDR4, Card mạng Gigabit Ethernet (hỗ trợ Promiscuous mode) và ổ cứng SSD 256GB để tối ưu hóa tốc độ ghi file nhật ký (Log I/O).

2. Snort NIDS xử lý như thế nào khi lưu lượng mạng tăng cao đột biến (Tránh quá tải)?

Khi lưu lượng vượt quá năng lực xử lý, người quản trị cần: (1) Tinh giản tập luật bằng cách vô hiệu hóa các rule không cần thiết, (2) Cấu hình tham số max_queue_size và memory_cap trong bộ tiền xử lý phân mảnh gói tin, (3) Bỏ qua kiểm tra các luồng dữ liệu media/video dung lượng lớn thông qua bộ lọc BPF (Berkeley Packet Filter).

3. Làm thế nào để tích hợp Snort với các hệ thống SIEM hiện đại như Splunk hoặc ELK Stack?

Snort hỗ trợ ghi log dưới dạng Syslog hoặc JSON thông qua plugin spo_unified2. Dữ liệu log này có thể được thu thập tự động bởi Logstash hoặc Filebeat và chuyển tiếp về cụm máy chủ Elasticsearch/Splunk để trực quan hóa trang Dashboard giám sát an ninh theo thời gian thực.

4. Quy trình bảo trì và cập nhật tập luật chữ ký được thực hiện như thế nào?

Người quản trị có thể tự động hóa việc cập nhật các bộ luật mới nhất từ cộng đồng Snort Community Rules hoặc gói đăng ký Cisco Talos VRT Rules thông qua công cụ quản lý luật tự động như PulledPork hoặc Oinkmaster theo định kỳ hàng ngày/hàng tuần.

5. Sự khác biệt cốt lõi giữa chế độ hoạt động IDS và IPS của Snort là gì?

  • Chế độ IDS (Phát hiện): Hoạt động bị động (Passive/Sniffer Mode) thông qua cổng SPAN, chỉ lắng nghe, phân tích và đưa ra cảnh báo mà không can thiệp vào luồng gói tin thực tế.
  • Chế độ IPS (Ngăn chặn): Đặt trực tiếp trên đường truyền dữ liệu (Inline Mode sử dụng DAQ module), có quyền trực tiếp hủy bỏ (Drop) gói tin độc hại hoặc ngắt kết nối TCP Reset ngay khi phát hiện vi phạm.

Kết luận

Đồ án tốt nghiệp "Tìm hiểu về mạng máy tính và giải pháp bảo mật thông tin cho mạng máy tính của Công ty CMC" của sinh viên Nguyễn Hữu Mạnh, dưới sự hướng dẫn khoa học của TS. Hồ Văn Canh, đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm đề ra.

Bằng việc kết hợp chặt chẽ giữa lý thuyết nền tảng về an toàn thông tin (mô hình CIA, kiến trúc phân tầng OSI, các kỹ thuật tấn công hiện đại) và thực hành triển khai hệ thống NIDS dựa trên phần mềm mã nguồn mở Snort, đề tài đã chứng minh tính khả thi, hiệu quả vượt trội và khả năng ứng dụng thực tế cao vào hạ tầng doanh nghiệp viễn thông như CMC Telecom. Đây là tài liệu tham khảo có giá trị cao cho sinh viên, kỹ sư an ninh mạng và các tổ chức đang tìm kiếm giải pháp nâng cao năng lực phòng thủ không gian mạng với chi phí tối ưu nhất.