Chương 1: Mớ đầu: Giới thiệu về dé tài, mục đích xây dựng đề tài, đối tượng và phạm vi nghiên cứu của đề tài, cầu trúc của khóa luận. Chương 2: Cơ sở lý thuyết và các nghiên cứu liên quan: Cơ sở lý thuyết cho phương pháp giải quyết van đề được dé xuất trong khóa luận. Chương 3: Phương pháp đề xuất: Đề xuất phương pháp giải quyết vấn dé trong khóa luận. Chương 4: Triển khai đề tài: Triển khai đề tài khóa luận dựa trên phương pháp đã đề xuất.
Chương 5: Thực nghiệm và đánh giá: Thực nghiệm triển khai đề tài khóa luận và các kịch bản thử nghiệm. Đánh giá triển khai đề tài dựa trên kết quả triển khai và kết quả các kịch bản thử nghiệm. Chương 6: Kết luận và hướng phát triển: Trình bày những điều đã làm trong khóa luận, kết quả đạt được, những đóng góp mới và những dé xuất mới cho khóa luận. Chương 7: Tài liệu tham khảo: Danh mục tài liệu tham khảo được sử dụng trong khóa luận.
CƠ SỞ LÝ THUYET VÀ CÁC NGHIÊN CỨU LIEN QUAN 2. Honeypot Thuật ngữ “honeypot” được Lance Spitzner nhắc đến lần đầu vào 04/08/1999, trong “To Buil a Honeypot” [2]. Lance Spitzner là một trong những người thành lập dự án honeynet. Dự án này nghiên cứu các hành vi, kỹ thuật tắn công của tin tặc dé có các biện pháp ngăn chặn tấn công kịp thời.
Khái niệm Honeypot (được hiéu theo nghĩa tiếng Việt là bẫy mật) là một loại cam bay, mdi nhử. Nó là một hệ thống có nhiều lỗ hỗng nhằm thu hút các cuộc tấn công mạng từ tin tặc. Nó bắt chước mục tiêu của tin tặc và sử dụng sự xâm nhập của tin tặc để thu thập thông tin về tội phạm mạng và cách chúng hoạt động hoặc đánh lạc hướng tội phạm mạng khỏi các mục tiêu khác. Vi dụ: Hệ thống honeypot chạy Microsoft Exchange Server với dữ liệu giả dé theo dõi hoạt động khai thác các lỗ hông đã được công bó, phát hiện các lỗ hồng mới.
Phan loại Phân loại honeypot theo mức độ tương tác Theo mức độ tương tác, honeypot được chia làm hai loại chính: Honeypot tương tác thấp và honeypot tương tác cao. — Honeypot tương tác cao: Đây là kiểu honeypot phức tạp. Honeypot tương tác cao là các dịch vụ, ứng dụng và hệ điều hành thực. Loại này có khả năng thu thập thông tin cao nhưng rủi ro cao, tốn chỉ phí và thời gian để vận hành và bảo đưỡng.
— Honeypot tương tác thấp: Đây là kiểu honeypot đơn giản, sử dụng ít tài nguyên. Honeypot tương tác thấp tạo bản sao giả mô phỏng theo các dịch vụ, ứng dụng và hệ điều hành. Loại này dễ triển khai và bảo trì nhưng bị giới hạn về dịch vụ. Một vài ví dụ về honeypot tương tác thấp: — Honeyd: Honeyd thuộc loại honeypot tương tác thấp có thé gia lập nhiều hệ điều hành khác nhau cùng một lúc.
Nhược điểm của Honeyd là không thé cung cấp một hệ điều hành thật và không có cơ chế cảnh báo khi phát hiện xâm nhập. — BackOfficer Friendly (gọi tắt là BOF): BackOfficer Friendly là một trong những loại honeypot dé sử dụng nhất nhưng chỉ tương tác được với một số dịch vụ đơn giản như FTP, Telnet, SMTP. — Specter: Specter thuộc loại honeypot tuong tac thap được gia lập trên 14 cổng, có thể cảnh báo và quản lý từ xa. Specter bị giới hạn số dich vụ giống với BackOfficer Friendly.
Phân loại honeypot theo mục đích sử dụng Theo mục đích sử dụng, honeypot đượcchia làm nhiều loại tùy thuộc vào mục đích sử dụng như honeypot thư rác, honeypot cơ sở dữ liệu, honeypot phần mềm độc hại và nhiều honeypot khác. — Honeypot thư rác: Honeypot thu rác chèn một địa chỉ thư điện tử giả vào một trường ân mà người dùng thông thường không tìm thấy nhưng các công cụ thu thập dữ liệu có thé tìm ra. Địa chi thư điện tử này là một cái bay chi để nhận thư điện tử rác. Khi những thư điện tử rác được gửi vào địa chỉ này dữ liệu sẽ được phân tích và thu thập đề đưa vào bộ lọc nhằm ngăn chặn người dùng nhận được những thư điện tử tương tự.
— Honeypot cơ sở dữ liệu: Honeypot cơ sở dữ liệu là một bộ dữ liệu giả, có lỗ hong. Nó được tạo ra dé dẫn dụ và theo dõi những cuộc tấn công liên quan đến việc khai thác cơ sở dữ liệu. — Honeypot phần mềm độc hai: Honeypot phần mềm độc hại thường được sử dụng bởi các công ty chuyên về bảo mật, các chuyên gia nghiên cứu mã độc với mục đích phát hiện mã độc. — Honeypot nhện: Honeypot nhện tạo những trang web, liên kết mà chi các trình thu thập dữ liệu web (trình thu thập thông tin) có thể truy cập.
Sau đó, honeypot nhện dùng thông tin thu thập được để chặn các trình thu thập dtr liệu web (trình thu thập thông tin) độc hại. Loi ích và rủi ro khi sử dung honeypot Những lợi ích khi sử dụng honeypot — Phân tích dé dàng: Kẻ tn công bị giới hạn lưu lượng truy cập trong honeypot nên nhóm an ninh mạng không phải tách các tác nhân độc hại khỏi lưu lượng truy cập hợp pháp. Lưu lượng truy cập trong honeypot đều là độc hại. Do đó, nhóm an ninh mạng có thé tập trung phân tích hành vi của tội phạm mạng.
Từ đó: o Theo dõi được quá trình và kỹ thuật mà những kẻ tan công sử dụng. o Thu thập thông tin về những kẻ tấn công. n o Đưa ra biện pháp phòng thủ dựa trên thông tin thu được. o_ Đánh lạc hướng, làm mat thời gian những kẻ tấn công.
o Giúp phát hiện sớm những nguy cơ tiềm an. — Tiến hóa liên tục: Honeypot thuthập thông tin một cách liên tục, ghi lại các cuộc tan công và cách chúng phát triển theo thời gian. đến cơ hội thay đi, cải tiến các biện pháp an ninh dé phù hợp với nhu cầu của bối cảnh. — Nhận dạng mối đe dọa nội bộ: Honeypot có thé xác định cả các mối de doa bảo mật bên trong và bên ngoài.
Tuy nhiều honeypot tập trung vào những rủi ro đến từ bên ngoài của tổ chức nhưng một số honeypot có thê thu hút các tác nhần bên trong đang có truy cập vào dit liệu, thông tin nhạy cảm của tô chức. Những rủi ro khi sử dung honeypot — Cấu hình sai: Honeypot không được bảo mật tốt có thé bị lợi dung dé tan công vào hệ thống thật của tổ chức. — Triển khai cô lập: Honeypot được triển khai một cách cô lập nên sẽ không đảm bảo hiệu quả trước một số méi de doa và rủi ro. — Bị phát hiện: Tội phạm mạng cũng có thé sử dụng honeypot giống như các tô chức.
Do đó, honeypot vẫn có thê bị những kẻ tan công có kinh nghiệm phát hiện. Nếu honeypot bị phát hiện, kẻ tấn công có thể cung cấp thông tin sai lệch cho honeypot gây nhằm lẫn cho quá trình phân tích nhằm đánh lạc hướng. Honeynet Honeynet là một mạng các honeypot được thiết kế giống như một mạng thực, hoàn chỉnh với nhiều hệ thống, cơ sở dữ liệu, máy chủ, bộ định tuyến và các tài sản khác. Docker Swarm Việc thiết lập và triển khai ứng dụng lên một hoặc nhiều máy chủ rất vất vả từ việc phải cài đặt các công cụ, môi trường cần thiết cho ứng dụng đến việc khởi chạy ứng dụng chưa kể việc không đồng nhất giữa các môi trường trên nhiều máy chủ khác nhau.
Docker được ra đời dé giải quyết van dé này. Khai niệm Docker Docker là một nền tang cho nhà phát triển và quản trị viên hệ thong dé phát triển, triển khai và khởi chạy ứng dụng với container. Container là môi trường độc lập và tách biệt dé khởi chạy và phát triển ứng dụng. Khi cần triển khai lên bat kì máy chủ nào chỉ cần khởi chạy Docker container thì ứng dụng sẽ được khởi chạy ngay lập tức.
Khai niệm Docker Swarm Trong quá trình phát triển, quan lí, thay đổi quy mô, triển khai dự án, một dự án nhỏ chỉ cần chạy một máy chủ nên không có vấn đề gì cả. Tuy nhiên, khi dự án đó cần thêm nhiều máy chủ hoặc rất nhiều máy chủ, chúng ta khó có thể quản lí, thay đổi quy mô và cũng không thể nào dùng lệnh để triển khai lên từng máy chủ vì điều đó rất vất vả và vì mỗi máy chủ không hoàn toàn giống nhau về môi trường nên có thê gặp lỗi trong quá trình triển khai. Do đó, Docker đã phát triển Docker Swarm đề hỗ trợ việc phát triển, quản li, thay đổi quy mô, triển khai dự án bang công nghệ container hóa. Docker Swarm là một công cụ được sử dụng dé thiết lập và triển khai một cụm gồm một hoặc nhiều nút được chạy trên các ứng dụng Docker.
Docker Swarm có những tính năng dé hỗ trợ điều phối và quản lí cum khi các container trong cụm chạy trên môi trường phân tán và đảm bảo các container trong một cụm hoạt động ồn định. Tính năng nỗi bật của Docker Swarm Quản lý cụm tích hợp với Docker Engine: Quan lí cụm với Docker Engine bằng việc sử dụng Docker Engine CLI đề tạo Swarm. Khám pha dịch vu: Swarm manager gán mỗi dịch vụ một hệ thống phân giải tên miễn duy nhất và có thé truy van được thông qua hệ thong phân giải tên miền này. Bảo mật theo mặc định: Các dịch vụ giao tiếp với nhau thông qua giao thức bảo mật tầng vận chuyền.
Cập nhật liên tục: Swarm cập nhật image của dịch vụ một cách hoàn toàn tự động và có thé quay trở lại phiên bản trước đó bat cứ lúc nào. Cân bằng tải: Có thể công khai các cổng cho các dịch vụ tới cân bằng tải để giao tiếp với bên ngoài. Hòa giải trạng thái mong muốn: Khắc phục sự cố khi các bản sao của dịch vụ ở tính trạng không mong muốn. Ví dụ: Một vài bản sao của một dịch vụ bị sập, Swarm manager sẽ tạo một sô lượng bản sao mới băng với sô lượng bản sao bị sập và phân phôi các bản sao này đên cho nút worker.
Mạng đa máy chủ: Chỉ định mạng phủ cho các dịch vụ của mình. Nút manager sẽ tự động gán địa chỉ IP cho các container trong mạng phủ khi nó khởi tạo và cập nhật ứng dụng. Thiết kế phi tập trung: Docker Swarm được thiết kế dạng phân cấp. Thay vì xử lí sự khác biệt giữa các vai trò của nút tại thời điểm triển khai, Docker Engine xử lí bất kì chuyên môn hoá nào khi thực hiện.
Hai loại nút có thé triển khai: Manager và worker. Thay đổi quy mô: Mỗi dich vụ có thé khai báo số lượng ban sao mong muốn.