Đồ Án Tốt Nghiệp: Xây Dựng Hệ Thống Chống Xâm Nhập Dựa Vào Intrusion Prevention System - IPS

Đồ án kỹ thuật nghiên cứu tốt nghiệp xây dựng hệ thống chống xâm nhập dựa vào intrusion prevention system ips, thiết kế chi tiết, tính toán kỹ thuật theo tiêu chuẩn, đánh giá tính

• Đề tài: Xây Dựng Hệ Thống Chống Xâm Nhập Dựa Vào IPS

Mục lục chi tiết

• LỜI CÁM ƠN
• MỤC LỤC
• 1. CHƯƠNG 1: TỔNG QUAN VỀ HỆ THỐNG NGĂN CHẶN XÂM NHẬP IPS
• 1.1. Giới thiệu hệ thống ngăn chặn xâm nhập
• 1.2. Sơ lược các kiểu tấn công và cách phòng chống
• 1.3. Phương pháp tấn công - Giải pháp phòng chống
• 1.4. Kỹ thuật nhận biết và ngăn chặn xâm nhập của hệ thống IPS
• 1.4.1. Nhận biết qua dấu hiệu - Signature Based
• 1.4.2. Nhận biết qua sự bất thường - Anomaly Based
• 1.4.3. Nhận biết qua chính sách - Policy Based
• 1.4.4. Nhận biết qua sự phân tích - Protocol Analysis Based
• 1.5. Kiến trúc của hệ thống ngăn ngừa xâm nhập
• 1.5.1. Modul phân tích gói tin
• 1.5.2. Modul phát hiện tấn công
• 1.5.3. Modul phân hệ
• 1.6. Phân loại hệ thống ngăn chặn xâm nhập
• 1.6.1. Network Behavior Analysis System
• 1.6.2. Host Based
• 1.7. So sánh hệ thống phát hiện xâm nhập và ngăn chặn xâm nhập
• 1.8. Các sản phẩm trên thị trường hiện nay
• 2. CHƯƠNG 2: GIỚI THIỆU TỔNG QUAN THIẾT BỊ IOS IPS
• 2.1. Một vài định nghĩa
• 2.2. Chức năng của một hệ thống ngăn chặn xâm nhập
• 2.3. Mô hình của hệ thống ngăn chặn xâm nhập
• 2.3.1. IPS ngoài luồng - Promiscous Mode
• 2.3.2. IPS trong luồng - In-line mode
• 2.3.3. Cấu trúc của Cisco IOS IPS Sensor
• 2.4. Signature Definition File - SDF
• 2.5. Signature Micro Engine - SME
• 2.6. Các loại dấu hiệu và cảnh báo
• 2.7. Phương pháp quản lý và hạn chế của hệ thống ngăn chặn xâm nhập
• 2.8. Các lệnh trong Cisco IOS IPS
• 2.8.1. Các mode của Command Line Interface
• 2.8.2. Tìm hiểu các luật của Cisco IOS IPS
• 2.8.3. Các lỗi thường gặp khi cấu hình bằng Command Line
• 3. CHƯƠNG 3: MÔ PHỎNG VÀ THỰC NGHIỆM
• 3.1. Mô tả thực nghiệm
• 3.2. Hạ tầng mạng thực nghiệm
• 3.3. Một số phần mềm dùng để triển khai
• 3.3.1. Mô tả thiết bị
• 3.3.2. Phần mềm cho PC
• 3.3.3. Mô tả các kết nối
• 3.4. Cấu hình và kiểm thử
• 3.4.1. Cấu hình cho từng thiết bị
• 3.4.2. Kiểm tra quá trình thông mạng
• 3.5. Các cuộc tấn công và kết quả thống kê thực nghiệm
• KẾT LUẬN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan hệ thống chống xâm nhập IPS Lá chắn an ninh mạng

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc bảo mật hệ thống trở thành yếu tố sống còn đối với mọi tổ chức. Hệ thống chống xâm nhập dựa vào IPS (Intrusion Prevention System) là một giải pháp an ninh chủ động, có vai trò giám sát, phân tích và ngăn chặn các hoạt động độc hại trong thời gian thực. Khác với các công cụ bảo mật thụ động, IPS không chỉ phát hiện mà còn trực tiếp can thiệp để vô hiệu hóa các mối đe dọa trước khi chúng gây thiệt hại. Theo nghiên cứu của Tô Thanh Bình (2010), sự ra đời của IPS là một bước tiến tất yếu sau những hạn chế của hệ thống IDS (Intrusion Detection System), đặc biệt là sau các cuộc tấn công quy mô lớn như Code Red hay SQL Slammer. Nhu cầu về một cơ chế có khả năng phòng chống tấn công tự động, giảm thiểu sự phụ thuộc vào người quản trị đã thúc đẩy IPS trở thành một thành phần không thể thiếu trong kiến trúc an ninh mạng hiện đại. Hệ thống này hoạt động như một người gác cổng thông minh, liên tục kiểm tra các gói tin đi qua mạng, so sánh với các mẫu tấn công đã biết và các hành vi bất thường để đưa ra quyết định ngăn chặn kịp thời.

1.1. Giải mã IPS Vai trò cốt lõi trong chiến lược an ninh mạng

Intrusion Prevention System (IPS) là một công nghệ bảo mật hệ thống được thiết kế để thực hiện việc kiểm soát truy cập vào một mạng máy tính, nhằm bảo vệ hệ thống khỏi các hành vi lạm dụng và tấn công. Chức năng chính của IPS là phát hiện xâm nhập và tự động thực hiện các hành động ngăn chặn. Các hành động này có thể bao gồm việc hủy (drop) các gói tin độc hại, chặn lưu lượng từ địa chỉ IP nguồn, hoặc thiết lập lại kết nối. Vai trò của IPS không chỉ giới hạn ở vành đai mạng mà còn có thể triển khai ở cấp độ máy chủ (Host-based IPS) để bảo vệ các tài sản quan trọng. Bằng cách tích hợp sâu vào luồng dữ liệu mạng, IPS cung cấp một lớp phòng thủ vững chắc, bổ sung cho các giải pháp truyền thống như tường lửa (Firewall). Nó giúp tổ chức tuân thủ các chính sách bảo mật và bảo vệ dữ liệu nhạy cảm một cách hiệu quả.

1.2. So sánh IPS và IDS Từ phát hiện đến chủ động ngăn chặn

Sự khác biệt cơ bản giữa IPS và IDS nằm ở cơ chế phản ứng. Hệ thống Phát hiện Xâm nhập (IDS) hoạt động ở chế độ thụ động (promiscuous mode), sao chép và phân tích lưu lượng mạng mà không can thiệp trực tiếp. Khi phát hiện mối đe dọa, IDS chỉ tạo ra cảnh báo (alert) cho người quản trị. Ngược lại, IPS được triển khai trực tiếp trên luồng dữ liệu (in-line mode). Điều này cho phép nó không chỉ phát hiện xâm nhập mà còn có thể ngay lập tức thực hiện hành động ngăn chặn tấn công. Trong khi IDS yêu cầu sự can thiệp của con người để xử lý cảnh báo, IPS tự động hóa quá trình này, mang lại khả năng phản ứng nhanh hơn và giảm thiểu rủi ro. Tài liệu gốc nhấn mạnh, 'để ngăn chặn xâm nhập thì trước hết cần phải phát hiện nó', cho thấy IPS là sự phát triển kế thừa và nâng cao từ IDS, chuyển từ mô hình 'phát hiện và báo cáo' sang 'phát hiện và phản ứng'.

II. Các mối đe dọa và phương pháp phòng chống tấn công của IPS

Môi trường mạng hiện đại phải đối mặt với vô số kiểu tấn công tinh vi, từ tấn công thụ động nhằm thu thập thông tin đến tấn công chủ động nhằm phá hoại hoặc chiếm quyền kiểm soát hệ thống. Việc hiểu rõ các điểm yếu là bước đầu tiên để xây dựng một chiến lược phòng chống tấn công hiệu quả. Các điểm yếu này có thể đến từ kỹ thuật (lỗ hổng giao thức, hệ điều hành), cấu hình (sử dụng mật khẩu mặc định, thiếu sót trong thiết lập) hoặc chính sách bảo mật lỏng lẻo. Một cuộc tấn công thường diễn ra theo các bước tuần tự: khảo sát, quét lỗ hổng, khai thác, duy trì truy cập và xóa dấu vết. Hệ thống IPS được thiết kế để nhận diện và can thiệp ngay từ những bước đầu tiên này. Bằng cách giám sát mạng và phân tích log liên tục, IPS có thể phát hiện các hành vi bất thường như quét cổng (port scanning) hay các nỗ lực khai thác đã biết. Việc triển khai một giải pháp bảo mật hệ thống toàn diện, kết hợp giữa IPS, tường lửa (Firewall), và các bản vá lỗi thường xuyên là phương pháp tối ưu nhất để bảo vệ hạ tầng mạng.

2.1. Phân tích các kiểu tấn công mạng thường gặp và nguy hiểm

Các cuộc tấn công có thể được phân loại dựa trên hành động hoặc nguồn gốc. Tấn công thụ động chỉ lắng nghe và phân tích lưu lượng, trong khi tấn công chủ động can thiệp trực tiếp vào dữ liệu hoặc hệ thống. Một số kỹ thuật phổ biến được đề cập trong tài liệu gốc bao gồm: tấn công Man-in-the-Middle (MITM) thông qua nhiễm độc ARP cache, tấn công từ chối dịch vụ (DoS/DDoS) như 'Ping of Death', và tấn công vào máy chủ DNS để chuyển hướng người dùng. Những cuộc tấn công này khai thác các điểm yếu cố hữu trong giao thức mạng và có thể gây ra thiệt hại nghiêm trọng về tính toàn vẹn, tính sẵn sàng của dữ liệu. Việc phát hiện xâm nhập sớm các hành vi này là cực kỳ quan trọng, và đó chính là nhiệm vụ cốt lõi của một hệ thống chống xâm nhập dựa vào IPS.

2.2. Giải pháp bảo mật tích hợp Vai trò của IPS trong hệ thống

Không một công nghệ đơn lẻ nào có thể bảo vệ hoàn toàn một hệ thống. Một giải pháp bảo mật hiệu quả đòi hỏi sự kết hợp của nhiều lớp phòng thủ. Trong kiến trúc này, IPS đóng vai trò là một lớp bảo vệ chuyên sâu, hoạt động song song với tường lửa (Firewall). Trong khi Firewall chủ yếu lọc lưu lượng dựa trên cổng và địa chỉ IP, IPS đi sâu hơn vào việc phân tích log và nội dung của các gói tin để phát hiện các mối đe dọa ở lớp ứng dụng. Các giải pháp bảo mật mã nguồn mở như Snort hay Suricata thường được kết hợp với tường lửa để tạo thành một hệ thống IPS hoàn chỉnh. Đối với các giải pháp thương mại, IPS thường được tích hợp vào các thiết bị Quản lý Bảo mật Hợp nhất (UTM), cung cấp một hệ thống phòng thủ toàn diện, có khả năng ngăn chặn tấn công từ nhiều vector khác nhau.

III. Top 4 phương pháp phát hiện xâm nhập hiệu quả nhất của IPS

Hiệu quả của một hệ thống chống xâm nhập dựa vào IPS phụ thuộc rất lớn vào khả năng phát hiện xâm nhập chính xác và nhanh chóng. Để đạt được điều này, các hệ thống IPS hiện đại kết hợp nhiều phương pháp phân tích khác nhau, mỗi phương pháp có ưu và nhược điểm riêng. Sự kết hợp này giúp hệ thống vừa có thể chống lại các cuộc tấn công đã biết, vừa có khả năng nhận diện các mối đe dọa mới và chưa từng có tiền lệ. Theo tài liệu nghiên cứu, việc lựa chọn và cấu hình đúng các phương pháp phát hiện là yếu tố quyết định đến tỷ lệ phát hiện chính xác và giảm thiểu cảnh báo sai (false positives). Một hệ thống được cấu hình tốt sẽ cân bằng giữa việc phát hiện dựa trên chữ ký để xử lý các mối đe dọa phổ biến và phát hiện bất thường để đối phó với các cuộc tấn công zero-day. Việc này đòi hỏi sự hiểu biết sâu sắc về đặc điểm lưu lượng mạng của tổ chức và các kỹ thuật tấn công đang phổ biến.

3.1. Kỹ thuật phát hiện dựa trên chữ ký Signature Based

Đây là phương pháp phổ biến nhất, hoạt động bằng cách so sánh lưu lượng mạng với một cơ sở dữ liệu chứa các mẫu (signatures) của các cuộc tấn công đã biết. Mỗi chữ ký là một bộ quy tắc mô tả một hành vi độc hại cụ thể. Khi một gói tin khớp với một chữ ký, hệ thống sẽ kích hoạt hành động ngăn chặn tấn công. Ưu điểm của phương pháp này là độ chính xác cao và ít cảnh báo sai đối với các tấn công đã biết. Các giải pháp như Snort hay Cisco IOS IPS đều phụ thuộc nhiều vào bộ quy tắc chữ ký. Tuy nhiên, nhược điểm lớn của nó là không thể phát hiện các cuộc tấn công mới hoặc các biến thể chưa có trong cơ sở dữ liệu. Điều này đòi hỏi người quản trị hệ thống mạng phải thường xuyên cập nhật bộ chữ ký từ nhà cung cấp.

3.2. Kỹ thuật phát hiện bất thường Anomaly Based

Phương pháp này hoạt động bằng cách xây dựng một mô hình 'bình thường' (baseline) cho hoạt động của mạng. Bất kỳ hành vi nào lệch khỏi baseline này đều được coi là bất thường và có khả năng là một cuộc tấn công. Kỹ thuật này có ưu điểm vượt trội là khả năng phát hiện các cuộc tấn công mới (zero-day) mà phương pháp dựa trên chữ ký bỏ lỡ. Tuy nhiên, việc định nghĩa một 'baseline' chính xác là rất khó khăn và có thể dẫn đến một lượng lớn cảnh báo sai (false positives), đặc biệt trong các môi trường mạng có lưu lượng biến đổi liên tục. Hệ thống cần một thời gian 'tự học' ban đầu để xây dựng hồ sơ hoạt động, và trong thời gian này, khả năng bảo vệ có thể bị hạn chế.

3.3. Các phương pháp nhận biết qua chính sách và phân tích giao thức

Phát hiện dựa trên chính sách (Policy-Based) yêu cầu người quản trị phải định nghĩa rõ ràng các hành vi được phép và không được phép trong mạng theo chính sách bảo mật. Hệ thống sẽ cảnh báo khi có bất kỳ hoạt động nào vi phạm các chính sách này. Phương pháp này rất hiệu quả trong việc thực thi các quy định an ninh cụ thể của tổ chức. Trong khi đó, phân tích giao thức (Protocol Analysis-Based) tập trung vào việc xác minh tính hợp lệ của các giao thức mạng. Nó sẽ phát hiện các gói tin không tuân thủ các tiêu chuẩn RFC hoặc có cấu trúc bất thường, vốn là dấu hiệu của nhiều kỹ thuật tấn công và quét mạng. Cả hai phương pháp này khi kết hợp với Signature-based và Anomaly-based sẽ tạo nên một cơ chế phát hiện xâm nhập đa tầng và toàn diện.

IV. Hướng dẫn triển khai IPS Kiến trúc và mô hình hoạt động

Việc triển khai IPS đòi hỏi một kế hoạch chi tiết, từ việc lựa chọn giải pháp phù hợp đến xác định vị trí lắp đặt trong hạ tầng mạng. Một hệ thống IPS hoàn chỉnh thường bao gồm ba module chính hoạt động tuần tự: Module phân tích gói tin, Module phát hiện tấn công và Module phản ứng. Module phân tích có nhiệm vụ thu thập và giải mã các gói tin. Module phát hiện là trái tim của hệ thống, sử dụng các phương pháp đã nêu để xác định các mối đe dọa. Cuối cùng, Module phản ứng sẽ thực hiện các hành động ngăn chặn tấn công như hủy gói tin, reset kết nối hoặc cấu hình lại Firewall. Sự phối hợp nhịp nhàng giữa ba module này đảm bảo hệ thống có thể phản ứng nhanh chóng và chính xác. Quá trình cấu hình IPS ban đầu là rất quan trọng để tối ưu hóa hiệu suất và giảm thiểu cảnh báo sai, đảm bảo hệ thống hoạt động hiệu quả trong môi trường thực tế.

4.1. So sánh mô hình triển khai In line Mode và Promiscuous Mode

Có hai mô hình chính để triển khai IPS. Mô hình trong luồng (In-line Mode) đặt thiết bị IPS trực tiếp trên đường đi của lưu lượng mạng, thường là giữa tường lửa (Firewall) và mạng nội bộ. Ở vị trí này, IPS có thể chủ động hủy các gói tin độc hại trước khi chúng đến được đích. Đây là mô hình triển khai thực sự của một hệ thống ngăn chặn xâm nhập. Ngược lại, mô hình ngoài luồng (Promiscuous Mode) đặt IPS ở một vị trí mà nó chỉ nhận được một bản sao của lưu lượng mạng (tương tự như IDS). Trong mô hình này, IPS chỉ có thể đưa ra cảnh báo hoặc gửi yêu cầu reset kết nối, chứ không thể trực tiếp hủy gói tin. Mặc dù In-line Mode mang lại khả năng bảo vệ mạnh mẽ hơn, nó cũng có thể trở thành một điểm nghẽn cổ chai (bottleneck) nếu thiết bị không đủ hiệu năng.

4.2. Lựa chọn giải pháp Mã nguồn mở Snort Suricata và thương mại

Việc lựa chọn giữa giải pháp mã nguồn mở và thương mại phụ thuộc vào ngân sách, quy mô và trình độ kỹ thuật của tổ chức. Các giải pháp mã nguồn mở như Snort và Suricata có chi phí thấp, cộng đồng hỗ trợ lớn và tính tùy biến cao. Chúng cho phép các chuyên gia an ninh mạng tự xây dựng và tinh chỉnh hệ thống theo nhu cầu cụ thể. Tuy nhiên, chúng đòi hỏi kiến thức chuyên sâu để cài đặt, cấu hình và bảo trì. Ngược lại, các sản phẩm thương mại từ Cisco, Fortinet hay Palo Alto cung cấp một giải pháp trọn gói, dễ triển khai với giao diện quản lý thân thiện và hỗ trợ kỹ thuật chuyên nghiệp. Các sản phẩm này thường tích hợp sẵn các tính năng cao cấp và bộ quy tắc được cập nhật liên tục, nhưng đi kèm với chi phí bản quyền và phần cứng đáng kể.

V. Case Study Xây dựng hệ thống chống xâm nhập với Cisco IOS

Tài liệu nghiên cứu của Tô Thanh Bình (2010) cung cấp một mô hình thực nghiệm chi tiết về việc xây dựng hệ thống chống xâm nhập dựa vào IPS sử dụng các tính năng tích hợp sẵn trong hệ điều hành Cisco IOS. Mô hình này cho thấy việc tận dụng các thiết bị mạng hiện có như router Cisco để triển khai một lớp bảo mật mạnh mẽ mà không cần đầu tư thêm phần cứng chuyên dụng. Quá trình thực nghiệm bao gồm việc thiết lập một môi trường giả lập với GNS3 và VMware, cấu hình các quy tắc IPS trên router, và sau đó tiến hành các cuộc tấn công giả lập để kiểm tra hiệu quả. Kết quả thực nghiệm cho thấy hệ thống Cisco IOS IPS có khả năng phát hiện và ngăn chặn tấn công hiệu quả, từ các hành vi quét cổng bằng Nmap đến các cuộc tấn công từ chối dịch vụ. Đây là một minh chứng thực tế về khả năng ứng dụng của IPS trong việc bảo vệ hạ tầng mạng doanh nghiệp.

5.1. Quy trình cấu hình IPS trên Router Cisco sử dụng SDM

Quá trình cấu hình IPS trên router Cisco có thể được thực hiện thông qua giao diện dòng lệnh (CLI) hoặc công cụ quản lý đồ họa Cisco Security Device Manager (SDM). Tài liệu tập trung vào việc sử dụng SDM vì tính trực quan và dễ sử dụng. Các bước chính bao gồm: kích hoạt tính năng IPS, chọn các giao diện mạng cần giám sát (cả chiều vào và chiều ra), và nạp tệp định nghĩa chữ ký (Signature Definition File - SDF). Tệp SDF chứa toàn bộ cơ sở dữ liệu về các dấu hiệu tấn công. Quản trị viên có thể tùy chỉnh hành động cho từng chữ ký cụ thể, ví dụ như 'produce-alert' (tạo cảnh báo), 'deny-packet-inline' (hủy gói tin), hoặc 'reset-tcp-connection' (reset kết nối). Việc cấu hình đúng các hành động này là chìa khóa để hệ thống phản ứng phù hợp với từng loại mối đe dọa.

5.2. Phân tích kết quả thực nghiệm Phát hiện và ngăn chặn tấn công

Trong phần thực nghiệm, các cuộc tấn công như quét cổng (Nmap), quét lỗ hổng và ping flood đã được thực hiện từ một máy 'Attacker' đến máy chủ trong vùng được bảo vệ. Kết quả cho thấy, ngay khi các gói tin độc hại đi qua router đã được cấu hình IPS, hệ thống lập tức phát hiện và ghi lại các cảnh báo trong log. Ví dụ, một gói tin ICMP Echo Request (ping) vi phạm chữ ký 2004, và một nỗ lực quét TCP SYN/FIN vi phạm chữ ký 3151. Sau khi cấu hình hành động ngăn chặn (drop packet) cho các chữ ký này, các cuộc tấn công tương tự sau đó đều bị chặn hoàn toàn, máy Attacker không thể nhận được phản hồi từ máy chủ. Kết quả này chứng minh rằng một hệ thống chống xâm nhập dựa vào IPS được cấu hình đúng cách có thể bảo vệ hiệu quả tài nguyên mạng trước các hành vi truy cập và tấn công trái phép.

VI. Tối ưu hóa bảo mật hệ thống Tương lai của giải pháp IPS

Việc xây dựng hệ thống chống xâm nhập dựa vào IPS không phải là một công việc làm một lần mà là một quá trình liên tục. Để duy trì hiệu quả, hệ thống cần được giám sát, tinh chỉnh và cập nhật thường xuyên. Thách thức lớn nhất trong việc vận hành một hệ thống IPS là xử lý các cảnh báo sai (false positives), vốn có thể gây gián đoạn các hoạt động hợp pháp. Tương lai của IPS nằm ở việc tích hợp sâu hơn với các công nghệ an ninh mạng khác. Sự kết hợp giữa IPS với hệ thống quản lý thông tin và sự kiện bảo mật (SIEM) và các trung tâm điều hành an ninh (SOC) cho phép các tổ chức có một cái nhìn toàn cảnh về tình hình an ninh, tương quan hóa các sự kiện từ nhiều nguồn khác nhau và tự động hóa các quy trình phản ứng. Các công nghệ học máy (Machine Learning) và trí tuệ nhân tạo (AI) cũng đang được áp dụng để nâng cao khả năng phát hiện bất thường, giúp IPS trở nên thông minh hơn và chủ động hơn trong việc đối phó với các mối đe dọa ngày càng tinh vi.

6.1. Quản lý và giảm thiểu cảnh báo sai False Positives

Cảnh báo sai xảy ra khi hệ thống nhận diện nhầm một hoạt động hợp pháp là tấn công. Điều này không chỉ gây phiền toái cho đội ngũ quản trị hệ thống mạng mà còn có thể làm gián đoạn hoạt động kinh doanh nếu hệ thống tự động chặn các kết nối hợp lệ. Để giảm thiểu tình trạng này, quản trị viên cần thực hiện tinh chỉnh (tuning) hệ thống. Quá trình này bao gồm việc điều chỉnh độ nhạy của các chữ ký, loại bỏ các chữ ký không liên quan đến môi trường mạng của tổ chức, và tạo ra các ngoại lệ (exceptions) cho các ứng dụng hoặc lưu lượng đặc thù. Việc phân tích log thường xuyên để xác định nguồn gốc của các cảnh báo sai cũng là một phần quan trọng của công việc vận hành, giúp hệ thống ngày càng trở nên chính xác hơn.

6.2. Xu hướng tích hợp IPS với SIEM và Trung tâm SOC

Trong một môi trường bảo mật hiện đại, IPS không hoạt động độc lập. Dữ liệu và cảnh báo từ IPS là một nguồn thông tin vô giá cho các hệ thống SIEM. SIEM có nhiệm vụ tổng hợp log từ nhiều nguồn khác nhau (IPS, Firewall, máy chủ, ứng dụng) để phát hiện các chuỗi tấn công phức tạp mà từng thiết bị riêng lẻ không thể nhìn thấy. Tại các trung tâm điều hành an ninh (SOC), các nhà phân tích sử dụng thông tin này để điều tra và ứng phó với các sự cố. Sự tích hợp này tạo ra một vòng lặp phản hồi, nơi các phát hiện từ SOC có thể được sử dụng để cập nhật và tinh chỉnh lại các quy tắc trên hệ thống IPS, từ đó nâng cao khả năng phòng chống tấn công của toàn bộ tổ chức.

Trích đoạn nội dung tài liệu

Chương 1. Tổng quan về hệ thông ngăn chặn xâm nhập Giới thiệu công nghệ IPS, các phương pháp và phòng chống tân công, phân tích sự khác biệt cơ bản giữa IPS và IDS, các mô hình của hệ thống IPS, cách hoạt động của IPS và phân loại IPS để đưa ra những ứng dụng mà công nghệ IPS mang lai. Giới thiệu chung về thiết bị IOS IPS Trình bày các khái niệm của Cisco IPS, kha nang ứng dụng IPS, tìm hiểu các câu lệnh và cách tạo luật trong |OS IPS và những khó khăn mắc phải khi triển khai IPS. Mô phỏng và thực nghiệm Chương này trình bày cách cấu hình trên một hệ thống mạng và được mô phỏng trén GNS3 va VMWare.

Tổng quan về hệ thống ngăn chặn xâm nhập IPS 1.1 Giới thiệu hệ thống ngăn chặn xâm nhập Intrusion Prention System viết tắt là IPS là hệ thống ngăn chặn xâm nhập có chức năng tự động theo dõi và ngăn chặn các sự kiện xảy ra trong và ngoài hệ thống mạng, phân tích và ngăn ngừa các vẫn đề liên quan tới bảo mật và an ninh. Hệ thống ngăn chặn xâm nhập giám sát bat ctr lưu lượng nảo của gói tin đi qua và đưa ra quyết định liệu đây có phải là một cuộc tấn công hay một sự truy cập hợp pháp — sau đó thực hiện hành động thích hợp để bảo vệ hệ thông mạng. Trước các hạn chế của hệ thông phát hiện xâm nhập — Intrusion Detection System (IDS), một vấn đề được đặt ra là làm sao hệ thông có thể tự động ngăn chặn được các cuộc tấn công chứ không chỉ đưa ra cảnh báo nhằm giảm thiểu công việc của người quản trị. Hệ thống ngăn ngừa xâm nhập được ra đời vào năm 2003, được phô biến rộng rải cho đến ngày nay và đã dần dần thay thế cho hệ thống phát hiện xâm nhập - IDS, bởi nó có thể giảm bớt các yêu cầu tác động của con người trong việc ngăn ngừa xâm nhập, có khả năng phát hiện các cuộc tấn công và tự động ngăn chặn các cuộc tấn công nhằm vào điểm yếu của hệ thống, tuy nhiên một hệ thống ngăn chặn xâm nhập có thể hoạt động như một hệ thống IDS bằng việc ngắt bỏ tính năng ngăn chăn xâm nhập.

Một hệ thống ngăn chặn xâm nhập phát triển đa dạng trong cả phần mềm và phần cứng, mục đích chung là quan sát các sự kiện trên hệ thống mạng và thông báo cho nhà quản trị biết về an ninh của hệ thống. Một số IPS so sánh các gói tin nghe được trên mạng với danh sách tấn công đã biết trước thông qua các dấu hiệu, khi lưu lượng mạng được xem là phù hợp với một dấu hiệu thì chúng sẽ ngăn chặn, hệ thông này gọi là Signature-Based IPS. Đối với việc quan sát lưu lương của hệ thống theo thời gian và xem xét các tình huỗng không phù hợp với bình thường thì sẽ ngăn lại, hệ thống này gọi là anomaly-Based IPS. Sau day ta tìm hiểu từng loại hệ thống: Hệ thống phát hiện xâm nhập mềm (Snort): Snort là một phần mềm phát hiện xâm nhập mã nguồn mở kết hợp với tường lửa (Hình 1-1) để tạo thành một hệ thống ngăn -13- chặn xâm nhập - PS, nó hoạt động dựa trên các dấu hiệu cho phép giám sát, phát hiện những cuộc tấn công.

Snort được nhiều tô chức, doanh nghiệp phát triển và biến thành sản phẩm thương mại như Sourcefire, Astaro, .Dé cai dugc snort thi dau tién xem xét quy mô của hệ thống mạng, các yêu cầu để có thể cài đặt snort như là: cần không gian dĩa cứng để lưu trữ các file log ghi lại cảnh báo của snort, phải có một máy chủ khá mạnh và việc chọn lựa một hệ điều hành không kém phần quan trọng thường thi người quản trị sẽ chọn cho mình một hệ điều hành mà họ sử dụng một cách thành thạo nhất. Snort có thể chạy trên các hê điều hành như Window, Linux. Snort chủ yếu là một hệ thông phát hiện xâm nhập - IDS dựa trên luật được lưu trữ trong các file text có thể được chỉnh sửa bởi người quản trị, Các luật được nhóm thành các kiểu và mỗi loại được lưu trong các file khác nhau. Firewall Internet Hình 1-1 M6 hinh Snort két hop Firewall Hệ thống phát hiện xâm nhập cứng (Cisco): Cisco cung cấp nhiều loại thiết bị phát hiện và ngăn chặn xâm nhập, có nhiều loại cảm biến cho phép quyết định vị trí tốt nhất để giám sát hoạt động xâm nhập cho hệ thống (Hình 1-2), Cisco cung cấp các loại cảm biến sau đây: Cisco ASA AIP SSM sử dụng công nghệ tiên tiến phòng chống xâm nhập, sản phẩm bao gồm Cisco ASA AIP SSM-10 với I-GB bộ nhớ, mét Cisco ASA AIP SSM- 20 với 2-GB bộ nhớ, và một Cisco ASA AIP SSM-40 - 14- NIPS ==rJ = = đ a | S | Web ĐNS E-Mail HIPS HIPS HIPS Hình 1-2 Mô hình ngăn chặn xâm nhâp cứng Cisco IP§ 4.200 loạt các cảm biến đáng kể để bảo vệ mạng bằng cách phát hiện, phân loại, và ngăn chặn các mối đe dọa, bao gồm cả sâu, phần mềm gián điệp và phần mềm quảng cáo virus mạng, và lạm dụng ứng dụng.

Sử dụng Cisco IPS Sensor Software Version 5.1, Cisco IPS giải pháp kết hợp các dịch vụ phòng chống xâm nhập nội tuyến với các công nghệ tiên tiễn dé cải thiện tính chính xác.500 Series Intrusion Detection System Services Module (IDSM-2): là một phần của giải pháp của Cisco IPS, nó hoạt động kết hợp với các thành phần khác để bảo vệ dữ liệu.2 Sơ lược các kiểu tấn công và cách phòng chống 1.1 Các loại tín công Hiểu được những điểm yếu trong bảo mật là một vẫn đề hết sức quan trọng đề tiến hành những chính sách bảo mật có hiệu quả. Những điểm yếu trong bảo mật mạng gồm có những điểm yếu: Về mặt kỹ thuật, về mặt cầu hình và các chính sách bảo mật. Điểm yếu về mặt kỹ thuật: Điểm yếu trong kỹ thuật gồm có điểm yếu trong các giao thức, trong Hệ điều hành và các thiết bị phần cứng như Server, ŠSwitch, Router,. - 15- Điểm yếu trong cấu hình hệ thống: Đây là lỗi do nhà quản tri tạo ra.

Lỗi này do các thiếu sót trong việc cấu hình hệ thống như: Không bảo mật tài khoản khách hàng, sử dụng các câu hình mặc định trên thiết bị như switch, router, modem. Nếu dựa vào hành động của cuộc tấn công có thể chia tắn công ra làm hai loại là: Tấn công thụ động: Là phương pháp tân công không tác động đến nội dung thông điệp được truyền trên mạng mà chỉ lắng nghe và phân tích nội dung của thông điệp, từ đó hacker có những thông tin cần thiết chuẩn bị cho các phương pháp tân công tiếp theo. Đối với thông điệp không được mã hoá thì hacker có thê bắt và hiểu được đầy đủ nội dung thông tin gửi đi giống như người gửi đã gửi cho chính hacker, còn với những thông điệp đã được mã hóa trước khi gửi thì hacker vẫn nhận được những thông điệp trên đường truyền nhưng việc hiểu đúng nội dung packet không phải là đễ dàng, vì nội dung thông điệp mà hacker nhận được chỉ ở dạng mã hóa, việc phân tích để hiểu nội dung thông điệp tùy thuộc vào các điểm yếu của thuật toán mã hóa. Kết quả nhận được từ hình thức tấn công này có thể là thông tin về các giao thức truyền thông trên mạng TCP, UDP, các thông tin về mạng network, subnet, gateway, router, nội dung thông điệp, khoá dùng để mã hóa cho thông điệp.

Tấn công chủ động: Là phương pháp tấn công can thiệp vào nội dung của thông điệp được truyền trên mạng hoặc tác động trực tiếp đến các thực thê như các thiết bị, máy tính,. làm ảnh hưởng đến tính toàn vẹn, sẵn sàng và xác thực của dữ liệu. Có một số cách thức tắn công chủ động như sau: e - Giả mạo xác nhận quyền truy cập - Authentication Spoofing e - Thay đối nội dung thông điệp - Message Modification e _ Phương pháp tấn công qua người trung gian - Man-In-Middle Attack Nếu dựa vào nguồn gốc của cuộc tấn công thì có thê phân loại tắn công làm hai loại. Tấn công từ bên trong va tấn công từ bên ngoài: Tấn công từ bên trong: Là những tân công xuất phát từ bên trong hệ thống mạng.

Kẻ tấn công là những người trong hệ thông mạng nội bộ muốn truy cập, lẫy thông tin nhiều hơn quyền cho phép. - 16- Tấn công từ bên ngoài: Là những tấn công xuất phát từ bên ngoài Internet hay các kết nối truy cập từ xa.2 Các bước tấn công thường gặp Bước L: Kẻ tấn công khảo sát, thu thập thông tin về nơi tấn công đề phát hiện các máy chủ, địa chỉ IP, các dịch vụ mạng,. Bước 2: Kẻ tấn công sử dụng các thông tin thu thập được từ buớc I để tìm kiếm thêm thông tin vẻ lỗ hồng và điểm yếu của hệ thống mạng, các công cụ thường được sử dụng cho quá trình này là các công cụ quét công Scan port, quét IP, dò tìm lỗ hồng. Bước 3: Các lỗ hỗng được tìm thấy trong bước 2, kẻ tấn công sử dụng nó đề khai thác xâm nhập vào hệ thông, chúng có thể dùng các kỹ thuật như tràn bộ đệm, từ chối dich vu DoS.

Bước 4: Một khi kẻ tấn công đã xâm nhập được vào hệ thông bước tiếp theo là làm sao đề duy trì các xâm nhập này nhằm khai thác và xâm nhập tiếp trong tương lai như Backboors, Trojans. và khi đã làm chủ chúng có thể gây ra những nguy hại cho hệ thống hoặc đánh cắp thông tin. Ngoài ra, chúng có thể sử dụng hệ thống này dé tan công vào các hệ thống khác như tấn công DDoS. Bước 5: Khi kẻ tắn công đã xâm nhập và cỗ gắng duy trì xâm nhập bước tiếp theo là chúng phải làm sao xóa hết dấu vết để không còn chứng cứ xâm nhập như xóa các tập tin loøg, xóa các cảnh báo từ hệ thống phát hiện xâm nhập.

Hau hết các cuộc tấn công đều tiễn hành tuần tự 5 bước trên, làm sao đề nhận biết hệ thống mạng đang bị tân công ngay từ hai bước đầu tiên là hết sức quan trọng, ở bước 2 và bước 3 kẻ tấn công thường làm lưu lượng kết nối thay đôi khác với lúc mạng bình thường, đồng thời tài nguyên của hệ thống máy chủ sẽ bị ảnh hưởng, ở bước 3 là xâm nhập thì không dễ dàng đối với kẻ tấn công. Do vậy, khi không thể xâm nhập được vào hệ thống để phá hoại có nhiều khả năng kẻ tấn công sẽ sử dụng tấn công từ chối dịch vụ DoS hay DDoS để ngăn không cho người dùng hợp lệ truy xuất tài nguyên hệ thống.