Luận Văn Thạc Sĩ: Triển Khai Hệ Thống Phát Hiện và Ngăn Ngừa Xâm Nhập Trái Phép IDS/IPS

Luận văn thạc sĩ phân tích viện đại học mở triển khai ứng dụng hệ thống phát hiện và ngăn ngừa xâm nhập trái phép ids ips, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp

• Tác giả: Nguyễn Song Toàn
• Người hướng dẫn: PGS.TS Vũ Chấn Hưng
• Trường học: Trường Đại Học Mở Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Triển Khai Hệ Thống IDS/IPS Ngăn Ngừa Xâm Nhập Trái Phép
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. MỞ ĐẦU: TỔNG QUAN GIỚI THIỆU VỀ IDS/IPS
• 1.1. Các hệ thống phát hiện xâm nhập và tấn công từ chối dịch vụ IDS
• 1.1.1. Giới thiệu về IDS
• 1.1.2. Phương pháp tấn công và từ chối dịch vụ
• 1.1.3. Chức Năng IDS
• 1.1.4. Kiến trúc IDS
• 1.1.5. Kỹ thuật xử lý của IDS
• 1.1.6. Phân loại các hệ thống IDS
• 1.1.6.1. Hệ hống phát hiện xâm nhập Network-Based (Network-Based IDS)
• 1.1.6.2. Hệ thống phát hiện xâm nhập Host-Based (Host-Based IDS)
• 1.1.6.3. So sánh HIDS và NIDS
• 1.2. Hệ thống ngăn ngừa xâm nhập - IPS
• 1.2.1. Khái niệm về IPS
• 1.2.2. Chức năng của IPS
• 1.2.3. Kiến trúc của IPS
• 1.2.4. Phân loại IPS
• 1.2.5. Kỹ thuật xử lý của IPS
• 1.3. So Sánh IDS/IPS
• 1.4. Tìm hiểu một số công cụ phát hiện và xâm nhập mạng
• 1.5. Kết luận chương
• 2. NGHIÊN CỨU ỨNG DỤNG IDS/IPS TRÊN SNORT
• 2.1. Giới thiệu về SNORT
• 2.2. Kiến trúc của SNORT
• 2.3. Các Rule của SNORT
• 2.4. Các chế độ ngăn chặn của SNORT
• 2.4.1. Packet logger mode
• 2.5. Kết luận chương
• 3. TRIỂN KHAI HỆ THỐNG SNORT IDS/IPS CHO CÔNG TY CỔ PHẦN iPOS
• 3.1. Ý nghĩa và lý do triển khai hệ thống
• 3.2. Cấu trúc hệ thống mạng của Công ty Cổ phần iPOS
• 3.3. Môi trường triển khai hệ thống SNORT IDS/IPS
• 3.3.1. Yêu cầu phần cứng
• 3.3.2. Hệ điều hành và các gói phần mềm khác
• 3.4. Cài đặt hệ thống
• 3.4.1. Cài đặt snort
• 3.4.2. Cấu hình Snort chạy ở chế độ NIDS
• 3.4.3. Viết và kiểm thử một luật đơn lẻ của Snort
• 3.4.4. Cài đặt Barnyard2
• 3.4.5. Cài đặt PulledPork
• 3.4.6. Tạo Script systemD cho Ubuntu 16
• 3.4.7. Cài đặt BASE
• 3.5. Kết quả thử nghiệm
• 3.5.1. Tạo một luật để phát hiện Ping (các gói tin ICMP)
• 3.5.2. Thực hiện tấn công DoS
• 3.5.3. Thực hiện ngăn chặn Ping of Death
• 3.5.4. Ngăn chặn tấn công ddos(SYN Flood)
• 3.5.5. Các luật (rule) được thêm thông tin mới
• 3.6. Kết Luận Chương
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Triển Khai Hệ Thống IDS IPS Ngăn Ngừa Xâm Nhập

Hệ thống IDS (Intrusion Detection System) và IPS (Intrusion Prevention System) đóng vai trò quan trọng trong việc bảo vệ an ninh mạng. Chúng giúp phát hiện và ngăn chặn các cuộc tấn công trái phép, bảo vệ thông tin nhạy cảm của tổ chức. Việc triển khai hệ thống này không chỉ giúp phát hiện các mối đe dọa mà còn tự động ngăn chặn các cuộc tấn công, từ đó nâng cao khả năng bảo mật cho hệ thống mạng.

1.1. Khái Niệm Về Hệ Thống IDS IPS

Hệ thống IDS/IPS là công cụ bảo mật mạng, giúp phát hiện và ngăn chặn các cuộc tấn công. IDS tập trung vào việc phát hiện xâm nhập, trong khi IPS không chỉ phát hiện mà còn ngăn chặn các cuộc tấn công ngay lập tức.

1.2. Lợi Ích Của Việc Triển Khai IDS IPS

Việc triển khai hệ thống IDS/IPS mang lại nhiều lợi ích, bao gồm bảo vệ dữ liệu nhạy cảm, giảm thiểu rủi ro an ninh và tăng cường độ tin cậy của hệ thống mạng.

II. Những Thách Thức Trong Việc Triển Khai Hệ Thống IDS IPS

Triển khai hệ thống IDS/IPS không phải là điều dễ dàng. Các tổ chức thường gặp phải nhiều thách thức như chi phí đầu tư, yêu cầu kỹ thuật cao và sự phức tạp trong việc cấu hình hệ thống. Ngoài ra, việc cập nhật thường xuyên các chữ ký tấn công cũng là một yếu tố quan trọng để đảm bảo hiệu quả của hệ thống.

2.1. Chi Phí Đầu Tư Và Bảo Trì

Chi phí triển khai hệ thống IDS/IPS có thể cao, bao gồm chi phí phần cứng, phần mềm và nhân lực. Điều này có thể là rào cản lớn đối với nhiều tổ chức, đặc biệt là các doanh nghiệp nhỏ.

2.2. Yêu Cầu Kỹ Thuật Cao

Hệ thống IDS/IPS yêu cầu kiến thức chuyên môn cao để triển khai và duy trì. Việc thiếu nhân lực có kỹ năng có thể dẫn đến việc triển khai không hiệu quả.

III. Phương Pháp Triển Khai Hệ Thống IDS IPS Hiệu Quả

Để triển khai hệ thống IDS/IPS hiệu quả, cần có một kế hoạch chi tiết và rõ ràng. Các bước bao gồm xác định yêu cầu bảo mật, lựa chọn công nghệ phù hợp và đào tạo nhân viên. Việc thực hiện các bước này sẽ giúp tối ưu hóa hiệu quả của hệ thống.

3.1. Xác Định Yêu Cầu Bảo Mật

Xác định các yêu cầu bảo mật cụ thể cho tổ chức là bước đầu tiên quan trọng. Điều này giúp định hình các giải pháp IDS/IPS phù hợp với nhu cầu thực tế.

3.2. Lựa Chọn Công Nghệ Phù Hợp

Lựa chọn công nghệ IDS/IPS phù hợp với hạ tầng mạng hiện tại là rất quan trọng. Các giải pháp cần phải tương thích và dễ dàng tích hợp vào hệ thống hiện có.

IV. Ứng Dụng Thực Tiễn Của Hệ Thống IDS IPS Trong Doanh Nghiệp

Hệ thống IDS/IPS đã được áp dụng rộng rãi trong nhiều doanh nghiệp để bảo vệ thông tin và tài sản. Các ứng dụng này không chỉ giúp phát hiện các cuộc tấn công mà còn cung cấp thông tin chi tiết về các mối đe dọa, từ đó giúp doanh nghiệp có những biện pháp phòng ngừa hiệu quả.

4.1. Cải Thiện An Ninh Thông Tin

Hệ thống IDS/IPS giúp cải thiện an ninh thông tin bằng cách phát hiện và ngăn chặn các cuộc tấn công trước khi chúng gây ra thiệt hại.

4.2. Tăng Cường Độ Tin Cậy Của Hệ Thống

Việc triển khai hệ thống IDS/IPS giúp tăng cường độ tin cậy của hệ thống mạng, từ đó nâng cao sự hài lòng của khách hàng và đối tác.

V. Kết Luận Về Triển Khai Hệ Thống IDS IPS Ngăn Ngừa Xâm Nhập

Triển khai hệ thống IDS/IPS là một bước đi cần thiết để bảo vệ an ninh mạng trong bối cảnh các cuộc tấn công ngày càng tinh vi. Các tổ chức cần đầu tư vào công nghệ này để đảm bảo an toàn cho thông tin và tài sản của mình. Tương lai của hệ thống IDS/IPS hứa hẹn sẽ còn phát triển mạnh mẽ hơn nữa với sự tiến bộ của công nghệ.

5.1. Tương Lai Của Hệ Thống IDS IPS

Hệ thống IDS/IPS sẽ tiếp tục phát triển với sự cải tiến trong công nghệ và phương pháp phát hiện, giúp nâng cao khả năng bảo vệ an ninh mạng.

5.2. Đầu Tư Vào Công Nghệ Bảo Mật

Đầu tư vào công nghệ bảo mật như IDS/IPS là cần thiết để đảm bảo an toàn cho tổ chức trong bối cảnh an ninh mạng ngày càng phức tạp.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin và sự gia tăng nhanh chóng của các cuộc tấn công mạng, việc bảo đảm an ninh hệ thống mạng trở thành một yêu cầu cấp thiết đối với các tổ chức, doanh nghiệp. Theo ước tính, các cuộc tấn công từ chối dịch vụ (DoS) và xâm nhập trái phép ngày càng tinh vi, gây thiệt hại nghiêm trọng về dữ liệu và uy tín. Luận văn tập trung nghiên cứu và triển khai hệ thống phát hiện và ngăn ngừa xâm nhập trái phép (IDS/IPS) tại Công ty Cổ phần iPOS, một doanh nghiệp cung cấp giải pháp công nghệ cho ngành F&B, nhằm nâng cao tính bảo mật và toàn vẹn của hệ thống mạng.

Mục tiêu nghiên cứu là xây dựng và triển khai thành công hệ thống IDS/IPS dựa trên công cụ mã nguồn mở Snort, giúp phát hiện kịp thời các hành vi xâm nhập và tự động ngăn chặn các cuộc tấn công mạng. Phạm vi nghiên cứu tập trung vào môi trường mạng nội bộ của công ty trong giai đoạn 2017-2019, với trọng tâm là các kỹ thuật phát hiện xâm nhập, phân tích lưu lượng mạng và thiết lập các luật (rules) phù hợp để bảo vệ hệ thống.

Nghiên cứu có ý nghĩa quan trọng trong việc giảm thiểu rủi ro an ninh mạng, bảo vệ dữ liệu khách hàng và nâng cao chất lượng dịch vụ công nghệ thông tin. Việc triển khai IDS/IPS góp phần tăng cường khả năng phòng thủ chủ động, giảm thiểu sự phụ thuộc vào con người trong việc giám sát và phản ứng với các sự cố an ninh mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình chính sau:

• Hệ thống phát hiện xâm nhập (IDS): Là hệ thống giám sát lưu lượng mạng và các sự kiện hệ thống để phát hiện các hành vi bất thường hoặc trái phép. IDS hoạt động thụ động, chỉ cảnh báo khi phát hiện xâm nhập mà không ngăn chặn trực tiếp.

• Hệ thống ngăn ngừa xâm nhập (IPS): Là sự phát triển mở rộng của IDS, có khả năng tự động ngăn chặn các cuộc tấn công ngay khi phát hiện, kết hợp các kỹ thuật tường lửa và phát hiện xâm nhập.

• Phương pháp phát hiện dựa trên dấu hiệu (Signature-Based Detection): So sánh lưu lượng mạng với các mẫu tấn công đã biết để phát hiện xâm nhập. Ưu điểm là chính xác với các cuộc tấn công đã biết, nhược điểm là không phát hiện được các tấn công mới.

• Phương pháp phát hiện dựa trên bất thường (Anomaly-Based Detection): Dựa trên việc xây dựng hồ sơ hành vi bình thường và phát hiện các hành vi lệch chuẩn. Phù hợp để phát hiện các cuộc tấn công mới nhưng dễ gây cảnh báo sai.

• Mô hình kiến trúc IDS/IPS: Bao gồm các thành phần thu thập gói tin, phân tích, phát hiện và phản ứng. Snort được sử dụng làm công cụ triển khai với các mô-đun giải mã gói tin, tiền xử lý, phát hiện, ghi log và cảnh báo.

Các khái niệm chuyên ngành như DoS, DDoS, TCP/IP, ICMP, NIDS, HIDS, và các kỹ thuật xử lý gói tin được áp dụng xuyên suốt nghiên cứu.

Phương pháp nghiên cứu

Nguồn dữ liệu chính được thu thập từ môi trường mạng thực tế của Công ty Cổ phần iPOS, bao gồm lưu lượng mạng, nhật ký hệ thống và các sự kiện an ninh trong giai đoạn triển khai từ năm 2017 đến 2019. Cỡ mẫu nghiên cứu bao gồm toàn bộ các thiết bị mạng và máy chủ quan trọng trong hệ thống công ty.

Phương pháp phân tích sử dụng kết hợp:

• Phân tích định tính các kỹ thuật tấn công và phương pháp phòng thủ.

• Phân tích định lượng lưu lượng mạng và hiệu quả phát hiện xâm nhập qua các luật Snort.

• Thử nghiệm thực tế các kịch bản tấn công DoS, Ping of Death, DDoS (SYN Flood) và đánh giá khả năng phát hiện, ngăn chặn của hệ thống.

Timeline nghiên cứu gồm các giai đoạn: khảo sát hiện trạng, thiết kế hệ thống, triển khai cấu hình Snort, thử nghiệm và đánh giá kết quả trong vòng 12 tháng.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phát hiện tấn công DoS và DDoS: Hệ thống Snort IDS/IPS đã phát hiện thành công các cuộc tấn công DoS và DDoS với tỷ lệ phát hiện trên 95%, trong đó tấn công SYN Flood được ngăn chặn hiệu quả nhờ các luật được cấu hình chính xác.

2. Khả năng ngăn chặn xâm nhập trái phép: Snort IPS đã tự động chặn các gói tin ICMP bất thường như Ping of Death, giảm thiểu 90% các cuộc tấn công dựa trên ICMP trong môi trường thử nghiệm.

3. Tỷ lệ cảnh báo giả thấp: Qua quá trình thử nghiệm, tỷ lệ cảnh báo sai (false positive) được kiểm soát dưới 5%, nhờ việc tối ưu hóa các luật và sử dụng kết hợp phương pháp phát hiện dựa trên dấu hiệu và bất thường.

4. Tăng cường bảo mật hệ thống mạng công ty: Sau khi triển khai, hệ thống mạng của iPOS giảm thiểu các sự cố an ninh mạng, nâng cao tính toàn vẹn và bảo mật dữ liệu, góp phần cải thiện chất lượng dịch vụ công nghệ thông tin.

Thảo luận kết quả

Kết quả nghiên cứu cho thấy việc ứng dụng Snort IDS/IPS trong môi trường doanh nghiệp là khả thi và hiệu quả. Việc kết hợp các kỹ thuật phát hiện dựa trên dấu hiệu và bất thường giúp hệ thống vừa phát hiện chính xác các cuộc tấn công đã biết, vừa có khả năng nhận diện các hành vi xâm nhập mới. So sánh với các nghiên cứu trong ngành, tỷ lệ phát hiện và ngăn chặn của hệ thống tương đương hoặc vượt trội hơn nhờ vào việc tùy chỉnh luật phù hợp với đặc thù mạng của công ty.

Biểu đồ phân tích tỷ lệ phát hiện tấn công theo từng loại (DoS, DDoS, ICMP) và biểu đồ so sánh tỷ lệ cảnh báo giả trước và sau tối ưu hóa luật có thể minh họa rõ nét hiệu quả của hệ thống. Bảng tổng hợp các luật Snort được áp dụng và kết quả thử nghiệm cũng hỗ trợ đánh giá chi tiết.

Việc triển khai hệ thống IDS/IPS không chỉ giúp phát hiện và ngăn chặn kịp thời các cuộc tấn công mà còn giảm tải công việc giám sát thủ công cho quản trị viên, nâng cao khả năng phản ứng nhanh với các sự cố an ninh mạng.

Đề xuất và khuyến nghị

1. Cập nhật và tối ưu hóa luật Snort định kỳ: Động từ hành động là "cập nhật", mục tiêu giảm tỷ lệ cảnh báo giả xuống dưới 3%, thực hiện hàng quý bởi đội ngũ an ninh mạng công ty.

2. Triển khai hệ thống giám sát tập trung: Thiết lập hệ thống quản lý tập trung để theo dõi và phân tích cảnh báo từ Snort, giúp nâng cao hiệu quả phản ứng sự cố trong vòng 6 tháng tới, do phòng CNTT chủ trì.

3. Đào tạo nâng cao kỹ năng cho nhân viên an ninh mạng: Tổ chức các khóa đào tạo chuyên sâu về IDS/IPS và phân tích lưu lượng mạng, nhằm nâng cao năng lực vận hành và xử lý sự cố, thực hiện hàng năm.

4. Mở rộng triển khai IPS cho các hệ thống mạng khác: Đề xuất áp dụng hệ thống IPS cho các chi nhánh và hệ thống mạng liên kết, nhằm bảo vệ toàn diện hơn, kế hoạch thực hiện trong 12 tháng tiếp theo.

5. Phối hợp với các giải pháp bảo mật khác: Kết hợp IPS với tường lửa, hệ thống quản lý sự kiện bảo mật (SIEM) để tạo thành hệ sinh thái bảo mật đa lớp, nâng cao khả năng phòng thủ chủ động.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và quản trị hệ thống: Nghiên cứu giúp hiểu rõ về kiến trúc, kỹ thuật và cách triển khai IDS/IPS thực tế, áp dụng trong quản lý an ninh mạng doanh nghiệp.

2. Sinh viên và nghiên cứu sinh ngành Công nghệ Thông tin: Tài liệu tham khảo quý giá cho các đề tài về bảo mật mạng, phát hiện và ngăn chặn xâm nhập, cũng như thực hành cấu hình Snort.

3. Doanh nghiệp và tổ chức có nhu cầu bảo vệ hệ thống mạng: Hướng dẫn triển khai hệ thống IDS/IPS phù hợp với môi trường doanh nghiệp vừa và nhỏ, đặc biệt trong lĩnh vực dịch vụ và công nghệ.

4. Nhà phát triển phần mềm bảo mật và công cụ IDS/IPS: Cung cấp góc nhìn thực tiễn về các kỹ thuật phát hiện, xử lý và phản ứng với các cuộc tấn công mạng, hỗ trợ phát triển sản phẩm mới.

Câu hỏi thường gặp

1. IDS và IPS khác nhau như thế nào?
   IDS chỉ phát hiện và cảnh báo các hành vi xâm nhập, còn IPS có khả năng tự động ngăn chặn các cuộc tấn công ngay khi phát hiện, giúp giảm thiểu rủi ro và tải công việc cho quản trị viên.

2. Tại sao cần cập nhật luật Snort thường xuyên?
   Các cuộc tấn công mạng liên tục biến đổi, cập nhật luật giúp hệ thống phát hiện các mẫu tấn công mới, giảm thiểu cảnh báo sai và nâng cao hiệu quả bảo vệ.

3. Snort có thể phát hiện được những loại tấn công nào?
   Snort phát hiện đa dạng các tấn công như DoS, DDoS, quét cổng, tấn công dựa trên giao thức TCP/IP, ICMP, và các hành vi bất thường khác trong lưu lượng mạng.

4. Làm thế nào để giảm thiểu cảnh báo giả trong hệ thống IDS/IPS?
   Bằng cách tối ưu hóa luật, kết hợp phương pháp phát hiện dựa trên dấu hiệu và bất thường, cũng như điều chỉnh ngưỡng cảnh báo phù hợp với môi trường mạng thực tế.

5. Có thể triển khai IDS/IPS trên hệ thống mạng quy mô lớn không?
   Có thể, tuy nhiên cần đảm bảo phần cứng đủ mạnh, cấu hình phân tán và quản lý tập trung để xử lý lưu lượng lớn và duy trì hiệu suất phát hiện chính xác.

Kết luận

• Hệ thống IDS/IPS dựa trên Snort đã được triển khai thành công tại Công ty Cổ phần iPOS, nâng cao khả năng phát hiện và ngăn chặn các cuộc tấn công mạng.
• Kết quả thử nghiệm cho thấy tỷ lệ phát hiện tấn công trên 95% và tỷ lệ cảnh báo giả dưới 5%, đáp ứng yêu cầu bảo mật thực tế.
• Việc kết hợp các kỹ thuật phát hiện dựa trên dấu hiệu và bất thường giúp hệ thống linh hoạt và hiệu quả hơn trong môi trường mạng đa dạng.
• Đề xuất cập nhật luật thường xuyên, đào tạo nhân sự và mở rộng triển khai nhằm duy trì và nâng cao hiệu quả bảo vệ hệ thống.
• Luận văn cung cấp cơ sở khoa học và thực tiễn cho việc ứng dụng IDS/IPS trong doanh nghiệp, góp phần bảo vệ an ninh mạng trong bối cảnh ngày càng nhiều nguy cơ tấn công.

Để tiếp tục nâng cao bảo mật, các tổ chức nên chủ động áp dụng các giải pháp IDS/IPS hiện đại, đồng thời đầu tư vào đào tạo và quản lý an ninh mạng. Hành động ngay hôm nay để bảo vệ hệ thống và dữ liệu quý giá của bạn!

Trích đoạn nội dung tài liệu

MỞ ĐẦU Ngày nay, nhu cầu trao đổi dữ liệu qua hệ thống mạng máy tính trở thành vô cùng quan trọng trong mọi hoạt động của xã hội. Vấn đề bảo đảm an ninh, an toàn cho thông tin trên mạng ngày càng là mối quan tâm hàng đầu của các công ty, các tổ chức, các nhà cung cấp dịch vụ. Cùng với thời gian, các kỹ thuật tấn công ngày càng tinh vi hơn khiến các hệ thống an ninh mạng trở nên mất hiệu quả. Các hệ thống an ninh mạng truyền thống thuần túy dựa trên các tường lửa nhằm kiểm soát luồng thông tin ra vào hệ thống mạng một cách cứng nhắc dựa trên các luật bảo vệ cố định.

Với kiểu phòng thủ này, các hệ thống an ninh sẽ bất lực trước kỹ thuật tấn công mới, đặc biệt là các cuộc tấn công nhằm vào điểm yếu của hệ thống. Trước các nguy cơ xâm nhập của những kẻ tấn công nhằm tìm kiếm dữ liệu mật của công ty, doanh nghiệp, tổ chức, hay một quốc gia nào đó thì hệ thống IDS (IntrusionDetection System) ra đời để phát hiện sự xâm nhập trái phép của kẻ tấn công thông qua việc kiểm soát lưu lượng giao thông của hệ thống mạng. IDS chỉ kiểm tra và thông báo khi hệ thống có sự bất thường hoặc trái với một định nghĩa mà người dùng đặt ra cho hệ thống , IDS không thể thực hiện việc ngăn chặn ngay khi phát hiện xâm nhập xảy ra. Để thực hiện đảm bảo an ninh cho hệ thống mạng thì IPS(Intrusion Prevention Systems) ra đời.

Hệ thống phòng chống xâm nhập IPS là một kỹ thuật an ninh được kết hợp các ưu điểm của kỹ thuật tường lửa với hệ thống phát hiện xâm nhập IDS, có khả nǎng phát hiện các cuộc tấn công và tự động ngǎn chặn các cuộc tấn công đó. Trước sự phát triển của internet và sự hiểu biết ngày càng sâu của con người thì việc truy cập và phá hoại hệ thống mạng của một doanh nghiệp, công ty nào đó cũng theo đà phát triển của internet mà tăng lên rất nhiều. Triển khai hệ thống phát hiện, ngăn chặn các lưu lượng ra vào của hệ thống là việc cần thiết cho các doanh nghiệp có nhu cầu về sự an toàn của hệ thống trước những hành vi xâm nhập trái phép. Trong luận văn tác giả sẽ nghiên cứu và triển khai IDS/IPS tại Công ty cổ phần iPOS.

Với đặc thù là công ty cung cấp các giải pháp công nghệ cho ngành F&B (Food and Beverage Service), nên việc đảm bảo an toàn thông tin và bảo mật luôn được đặt lên hàng đầu. Triển khai IDS/IPS sẽ phần nào nâng cao bảo mật cũng như tính toàn vẹn của hệ thống giúp Công ty có được chất lượng dịch vụ cung cấp tốt hơn. TỔNG QUAN GIỚI THIỆU VỀ IDS/IPS 1.1 Các hệ thống phát hiện xâm nhập và tấn công từ chối dịch vụ IDS 1.1 Giới thiệu về IDS IDS (Intrucsion Detection System) được hiểu đơn giản là hệ thống phát hiện xâm phạm thông qua việc phát hiện những bất thường trong lưu thông mạng cũng như các sự kiện xảy ra trên hệ thống máy tính, từ đó phân tích và phát hiện các vấn đề về an ninh hệ thống để đám bảo việc phòng thủ trước những đợt tấn công mạng đang ngày một gia tăng. Hệ thống IDS khi phát hiện bất thường sẽ đưa ra các cảnh báo đối với quản trị viên hệ thống để tiến hành quét các cổng, đồng thời khóa các kết nối đang bị ảnh hưởng.

Ngoài ra, IDS còn có cả khả năng phân biệt giữa tấn công bên trong và tấn công bên ngoài dựa trên dấu hiệu của tấn công, điều này tương tự như cơ chế của các phần mềm diệt virus. Hệ thống IDS sẽ thu thập thông tin từ rất nhiều nguồn trong hệ thống được bảo vệ sau đó tiến hành phân tích những thông tin đó theo các cách khác nhau để phát hiện những xâm nhập trái phép. Khi một hệ thống IDS có khả năng ngăn chặn các nguy cơ xâm nhập mà nó phát hiện được thì nó được gọi là một hệ thống phòng chống xâm nhập hay IPS. Mô hình IDS/IPS 1.2 Phương pháp tấn công và từ chối dịch vụ Tấn công từ chối dịch vụ là một loại hình tấn công nhằm ngăn chặn những người dùng hợp lệ được sử dụng một dịch vụ nào đó.

Các cuộc tấn công có thể 2 được thực hiện nhằm vào bất kì một thiết bị mạng nào bao gồm là tấn công vào các thiết bị định tuyến, web, thư điện tử và hệ thống DNS,. - Tấn công từ chối dịch vụ có thể được thực hiện theo một số cách nhất định. Có năm kiểu tấn công cơ bản sau đây:  Nhằm tiêu tốn tài nguyên tính toán như băng thông, dung lượng đĩa cứng hoặc thời gian xử lý  Phá vỡ các thông tin cấu hình như thông tin định tuyến  Phá vỡ các trạng thái thông tin như việc tự động reset lại các phiên TCP.  Phá vỡ các thành phần vật lý của mạng máy tính  Làm tắc nghẽn thông tin liên lạc có chủ đích giữa các người dùng và nạn nhân dẫn đến việc liên lạc giữa hai bên không được thông suốt.

Một cuộc tấn công từ chối dịch vụ có thể bao gồm cả việc thực thi malware nhằm: Làm quá tải năng lực xử lý, dẫn đến hệ thống không thể thực thi bất kì một công việc nào khác. - Những lỗi gọi tức thì trong microcode của máy tính.  Những lỗi gọi tức thì trong chuỗi chỉ thị, dẫn đến máy tính rơi vào trạng thái hoạt động không ổn định hoặc bị đơ.  Những lỗi có thể khai thác được ở hệ điều hành dẫn đến việc thiếu thốn tài nguyên hoặc bị thrashing.

VD: như sử dụng tất cả các năng lực có sẵn dẫn đến không một công việc thực tế nào có thể hoàn thành được.  Gây crash hệ thống.  Tấn công từ chối dịch vụ iFrame: trong một trang HTML có thể gọi đến một trang web nào đó với rất nhiều yêu cầu và trong rất nhiều lần cho đến khi băng thông của trang web đó bị quá hạn.3 Chức Năng IDS - Chức năng quan trọng nhất của IDS là:  Giám sát: giám sát lưu lượng mạng các hoạt động bất thường và các hoạt động khả nghi  Cảnh báo: Khi đã biết được các hoạt động bất thường của một truy cập nào 3 đó, IDS sẽ đưa ra cảnh báo về hệ thống cho người quản trị  Bảo vệ: Dùng những thiết lập mặc định và những cấu hình từ nhà quản trị mà có những hành động chống lại kẻ xâm nhập. - Chức năng mở rộng của IDS:  Phân biệt các cuộc tấn công từ trong hoặc từ bên ngoài: nó có thể phân biệt được đâu là những truy cập hợp lệ (hoặc không hợp lệ) từ bên trong và đâu là cuộc tấn công từ bên ngoài.

 Phát hiện: dựa vào so sánh lưu lượng mạng hiện tại với baseline, IDS có thể phát hiện ra những dấu hiệu bất thường và đưa ra các cảnh báo và bảo vệ ban đầu cho hệ thống.4 Kiến trúc IDS Hình 1. Kiến trúc IDS - IDS bao gồm các thành phần chính:  Thành phần thu thập gói tin (information collection).  Thành phần phân tích gói tin (Detection).  Thành phần phản hồi (response) nếu gói tin đó được phát hiện là một cuộc tấn công.

Thành phần phân tích gói tin là quan trọng nhất và ở thành phần này bộ cảm 4 biến đóng vai trò quyết định. Bộ cảm biến tích hợp với thành phần là sưu tập dữ liệu và một bộ tạo sự kiến. Cách sưu tập này được xác định bởi chính sách tạo sự kiện để định nghĩa chế độ lọc thông tin sự kiện. Vai trò của bộ cảm biến là dùng để lọc thông tin và loại bỏ dữ liệu không tương thích đạt được từ các sự kiện liên quan với hệ thống bảo vệ, vì vậy có thể phát hiện được các hành động nghi ngờ.

Bộ phân tích sử dụng cơ sở dữ liệu chính sách phát hiện cho mục này. Ngoài ra còn có các thành phần: dấu hiệu tấn công, sơ lược về các hành vi, các tham số cần thiết. Thêm vào đó, cơ sở dữ liệu giữa các tham số cấu hình, gồm các chế độ truyền thông với mô- đun đáp trả. Bộ cảm biến cũng có sơ sở dữ liệu của riêng nó.5 Kỹ thuật xử lý của IDS  Một máy chủ tạo ra một gói tin mạng  Các cảm biến trong mạng đọc các gói tin trong khoảng thời gian trước khi nó được gửi ra khỏi mạng cục bộ (cảm biến này cần phải được đặt sao cho nó có thể đọc tất cả các gói tin).

 Chương trình phát hiện nằm trong bộ cảm biến kiểm tra xem có gói tin nào có dấu hiệu vi phạm hay không. Khi có dấu hiệu vi phạm thì một cảnh báo sẽ được tạo ra và gửi đến giao diện điều khiển.  Khi giao diện điều khiển lệnh nhận được cảnh báo nó sẽ gửi thông báo cho một người hoặc một nhóm đã được chỉ định từ trước (thông qua email, cửa sổ popup, trang web v.  Phản hồi được khởi tạo theo quy định ứng với dấu hiệu xâm nhập này.

 Các cảnh báo được lưu lại để tham khảo trong tương lai (trên địa chỉ cục bộ hoặc trên cơ sở dữ liệu).  Một báo cáo tóm tắt về chi tiết của sự cố được tạo ra.  Cảnh báo được so sánh với các dữ liệu khác để xác định xem đây có phải là cuộc tấn công hay không.6 Phân loại các hệ thống IDS - Có hai loại phát hiện xâm nhập chính:  Phát hiện sử dụng sai (dựa trên chữ ký). Loại IDS này cố gắng mô hình hóa 5 các mối đe dọa với các mẫu được xác định rõ và sau đó quét các tần suất xuất hiện của các mối đe dọa này.

Các loại phát hiện lạm dụng điển hình bao là truyền sâu máy tính. Vấn đề chính của nó là nó phải tìm kiếm để phát hiện các cuộc tấn công mới, vì chúng có thể có chữ ký không khớp với các cuộc tấn công hiện tại. Phương pháp này cũng rất tốt trong việc phát hiện các cuộc tấn công dựa trên tập lệnh, chẳng hạn như sử dụng NMAP để quét các máy chủ trên mạng, vì các tập lệnh có xu hướng có một hoạt động được xác định khá rõ.  Phát hiện bất thường.

Loại IDS này giả định rằng hành vi bất thường của người dùng thiết bị có thể tương quan với sự xâm nhập. Ưu điểm của nó là nó thường có thể phản ứng với các cuộc tấn công mới, nhưng thường có thể đấu tranh để phát hiện các biến thể của các mối đe dọa đã biết, đặc biệt nếu chúng phù hợp với mô hình sử dụng thông thường của người dùng.