Chương 1 trình bày khái quát chung về hệ thống phát hiện xâm nhập IDS và công cụ để xây dựng hệ thống phát hiện xâm nhập sử dụng Wazuh tích hợp Elastic Stack và Suricata 1.1 Giới thiệu về hệ thống phát hiện xâm nhập 1.1 Khái niệm IDS Hê thống phát hiên xâm nhập IDS (Intrusion Detection Systems) là công cụ bảo mật có nhiêm vụ giám sát lưu lượng mạng và thiết bị để phát hiên các hành vi đáng ngờ, hoạt đông đôc hại đã biết hoặc vi phạm chính sách bảo mật. Hê thống phát hiên tấn công, xâm nhập IDS là môt lớp phòng vê quan trọng trong các lớp giải pháp đảm bảo an toàn cho hê thống thông tin và mạng theo mô hình phòng thủ theo chiều sâu. Nhiêm vụ chính của hê thống IDS gồm: e Giám sát lưu lượng mạng hoặc các hành vi trên một hê thống để nhận dạng các dấu hiêu của tấn công, xâm nhập. se Khi phát hiên các hành vi tấn công, xâm nhập thì ghi logs các hành vi nhằm mục đích phân tích bổ sung sau này.
Gửi thông báo cho người quản trị về các hành vi tấn công, xâm nhập đã phát hiên được. IDS có thể giúp tăng tốc và tự đông hóa viêc phát hiên mối đe dọa mạng bằng cách cảnh báo cho quản trị viên bảo mật về các mối đe dọa đã biết hoặc tiềm ẩn bằng cách gửi cảnh báo đến môt công cụ bảo mật tập trung, chẳng hạn như hê thống quản lý sự kiên và thông tin bảo mật SIEM, nơi chúng có thể được kết hợp với dữ liêu từ các nguồn khác để giúp các nhóm bảo mật xác định và ứng phó với các mối đe dọa mạng. I1] Môt hê thống IDS cần phải thỏa mãn những yêu cầu: e Tinh chinh xac (Accuracy): IDS không được coi những hành đông thông thường trong môi trường hê thống là những hành đông bất thường hay lạm dụng. Nguyễn Thị Quỳnh Mai - D19CQAT01-B 3 Đồ án tốt nghiệp đại học Chương 2 e Hiéu năng (Performance): Hiêu năng của IDS phải đủ để phát hiên xâm nhập trái phép trong thời gian thực e_ Tính trọn vẹn (Completeness): IDS không được bỏ qua môt xâm nhập trái phép nào.
Đây là môt điều kiên khó thỏa mãn được. se _ Chịu lỗi (Fault Tolerance): Bản thân IDS phải có khả năng chống lại tấn công. ¢ Kha nang mé réng (Scalability): IDS phai cé kha nang xu ly trong trạng thái xấu nhất là không bỏ sót thông tin nào. Yên cầu này liên quan tới hê thống mà các sự kiên trong tương lai đến từ nhiều nguồn tài nguyên với số lượng host nhỏ.
Với sự phát triển nhanh và mạnh của mạng máy tính, hê thống có thể bị quá tải bởi sự tăng trưởng của số lượng sự kiên.2 Phân loại IDS Có 2 loại hê thống phát hiên xâm nhập phổ biến: e Hê thống phát hiên xâm nhập mạng (NIDS - Network based IDS): NIDS phân tích lưu lượng mạng để phát hiên tấn công, xâm nhập cho cả mạng hoặc môt phần mạng. Giám sát lưu lượng truy cập vào và ra tới các thiết bị trên mạng. NIDS sẽ kiểm tra các giao tiếp trên mạng theo thời gian thực. Nó kiểm tra các giao tiếp, quét header của các gói tin và có thể kiểm tra nôi dung của các gói đó để phát hiên ra các đoạn mã nguy hiểm hay các dạng tấn công khác nhau.
Môt Network-Based IDS hoạt đông tin cậy trong viêc kiểm tra, phát hiên các dạng tấn công trên mạng, ví dụ như dựa vào băng thông (bandwidth-based) của tấn công Denied of Service (DoS). e« _ Hê thống phát hiên xâm nhập cho host (HIDS - Host based IDS): HIDS phân tích các sự kiên xảy ra trong hê thống/ dịch vụ để phát hiên tấn công, xâm nhập cho hê thống đó. HIDS được cài đặt trên môt điểm cuối cụ thể, giám sát hoạt đông trên thiết bị đó, bao gồm cả lưu lượng truy cập Nguyễn Thị Quỳnh Mai - D19CQAT01-B 4 Đồ án tốt nghiệp đại học Chương 2 đến và đi từ thiết bị đó. HIDS giám sát và phân tích tất cả những hoạt đông về cấu hình hê thống và các file log, hoạt đông ứng dụng, lưu lượng mạng thu thập, cuôc gọi hé thống, lịch sử và những thông điệp báo lỗi trên hê thống máy chủ.
Nhiêm vụ của HIDS là theo dõi các thay đổi trên hê thống bao gồm: * Cac tién trình = Cac entry cua Registry » Muc do su dung CPU * Tinh trang RAM » Kiém tra tinh toan ven va truy cap trén hé théng file Các khả năng của HIDS bao gồm kiểm tra tính toàn vẹn, tương quan sự kiên, phân tích nhật ký, thực thi chính sách, phát hiên rootkit, bô xử lý, bô nhớ, đĩa cứng và cảnh báo. HIDS có khả năng chính xác cao hơn và ít dương tính giả hơn NIDS vì nó phân tích các têp log nên có thể xác định liêu môt cuôc tấn công có xảy ra thành công hay không. HIDS yêu cầu các chương trình hoặc agent được cài đặt trên hê thống để tạo báo cáo nếu có bất kỳ hoạt đông đôc hại nào xảy ra. HIDS sẽ duy trì cơ sở dữ liêu của các đối tượng hê thống mà nó cần giám sát.
Cơ sở dữ liêu chứa thông tin quan trọng về các đối tượng hê thống này bao gồm các thuôc tính, thời gian sửa đổi, kích thước, tổng kiểm tra hoặc mã băm của các đối tượng hê thống.3 Các kỹ thuật phát hiện xâm nhập 1.1 Phát hiện xâm nhập dựa trên chữ ký Phát hiên xâm nhập dựa trên chữ ký trước hết cần xây dựng cơ sở dữ liêu các chữ ký hoặc các dấu hiêu của các loại tấn công, xâm nhập đã biết. Hầu hết các chữ ký, dấu hiêu được nhận dạng và mã hóa thủ công và dạng biểu diễn thường gặp là các luật phát hiên (detection rule). Nguyễn Thị Quỳnh Mai - D19CQAT01-B 5 Đồ án tốt nghiệp đại học Chương 2 Bước tiếp theo là sử dụng cơ sở dữ liêu các chữ ký để giám sát các hành vi của hé thống hoặc mạng và cảnh báo nếu phát hiên chữ ký của tấn công, xâm nhập. Phát hiên xâm nhập dựa trên chữ ký có khả năng phát hiên các tấn công, xâm nhập đã biết môt cách hiêu quả, tốc đô xử lý cao và yêu cầu tài nguyên tính toán tương đối thấp.
Phương pháp này không có khả năng phát hiên các tấn công, xâm nhập mới, do chữ ký của chúng chưa tồn tại trong cơ sở dữ liêu các chữ ký. Để có hiêu quả, cơ sở dữ liêu chữ ký phải được cập nhật thường xuyên với thông tin tình báo về mối đe dọa mới khi các cuôc tấn công mới xuất hiên và các cuôc tấn công hiên có phát triển.2 Phát hiện xâm nhập dựa trên bất thường Phát hiên xâm nhập dựa trên bất thường gồm 2 giai đoạn: huấn luyên và phát hiên. Trong giai đoạn huấn luyên, hồ sơ của đối tượng trong chế đô làm viêc bình thường được xây dựng. Thực hiên giám sát đối tượng trong khoảng thời gian đủ dài để thu thập được đầy đủ dữ liêu mô tả các hành vi của đối tượng trong điều kiên bình thường làm dữ liêu huấn luyên.
Trong giai đoạn phát hiên, thực hiên giám sát hành vi hiên tại của hê thống và cảnh báo nếu có khác biêt rõ nét giữa hành vi hiên tại và các hành vi lưu trong hồ sơ của đối tượng. Phát hiên xâm nhập dựa trên bất thường có tiềm năng phát hiên các loại tấn công, xâm nhập mới mà không yêu cầu biết trước thông tin về chúng. Tuy nhiên, phương pháp này có tỷ lê cảnh báo sai tương đối cao so với phương pháp phát hiên dựa trên chữ ký.2 Hệ thống phát hiện xâm nhập sử dụng Wazuh tích hợp Elastic Stack và Suricata 1.1 Giới thiệu về Wazuh Wazuh là môt nền tảng bảo mật mã nguồn mở và miễn phí hợp nhất các khả năng của XDR và SIEM. Wazuh dugc sinh ra nhu Nguyễn Thị Quỳnh Mai - D19CQAT01-B 6 Đồ án tốt nghiệp đại học Chương 2 môt nhánh của OSSEC HIDS và sau đó được tích hợp với Elastic Stack.
Wazuh được sử dụng trong nhiều trường hợp: se _ Phân tích bảo mật: Wazuh được sử dụng để thu thập, tổng hợp, lập chỉ mục và phân tích dữ liêu bảo mật, giúp các tổ chức phát hiên các hành vi xâm nhập, mối đe dọa và hành vi bất thường. se _ Phát hiên xâm nhập: Wazuh agent quét các hê thống được giám sát để tìm phần mém doc hai, rootkit va cac điểm bất thường đáng ngờ. Phát hiên các têp ẩn, tiến trình được che giấu hoặc trình nghe mạng chưa đăng ký cũng như sự không nhất quán trong phản hồi cuôc gọi hê thống. Phát hiên xâm nhập dựa trên chữ ký, sử dụng biểu thức chính quy để phân tích dữ liêu nhật ký được thu thập và tìm kiếm các dấu hiêu xâm phạm.
se Phân tích dữ liêu nhật ký: Wazuh agent đọc nhật ký ứng dụng và hệ điều hành, đồng thời chuyển tiếp chúng môt cách an toàn đến trung tâm quản lý để phân tích và lưu trữ dựa trên quy tắc. Giám sát tính toàn vẹn của têp: Wazuh giám sát hê thống têp, xác định các thay đổi về nôi dung, quyền, quyền sở hữu và thuôc tính của têp cần theo dõi e Phát hiên lỗ hổng: Wazuh agent lấy dữ liêu kiểm kê phần mềm và gửi thông tin đến máy chủ, tương quan với cơ sở dữ liêu CVE (Common Vulnerabilities and Exposure) được cập nhật liên tục để xác định phần mềm dễ bị tấn công phổ biến. se Đánh giá cấu hình: Wazuh giám sát các cài đặt cấu hình ứng dụng và hê thống để đảm bảo tuân thủ các chính sách, tiêu chuẩn bảo mật và hướng dẫn nâng cao. Agent thực hiên quét định kỳ để phát hiên các ứng dụng được xác định là dễ bị tấn công, chưa được vá lỗi hoặc được cấu hình không an toàn.
Nguyễn Thị Quỳnh Mai - D19CQAT01-B 7 Đồ án tốt nghiệp đại học Chương 2 »«Ứng phó sự cố: Wazuh cung cấp các phản hồi tích cực ngay lập tức để thực hiên nhiều biên pháp đối phó khác nhau nhằm giải quyết các mối đe dọa không hoạt đông. e Tuan thu quy định, chính sách: Wazuh cung cấp môt số biên pháp kiểm soát bảo mật cần thiết để tuân thủ các tiêu chuẩn và quy định. e Bảo mật đám mây: Wazuh giúp giám sát cơ sở hạ tầng đám mây sử dụng API, sử dụng các module tích hợp có khả năng lấy dữ liêu bảo mật từ các nhà cung cấp đám mây. se Bảo mật container: cung cấp khả năng hiển thị bảo mật cho các máy chủ và Docker container, giám sát hành vi và phát hiên các mối đe dọa, lỗ hổng và sự bất thường.2 Thành phần của Wazuh 1.