Đồ Án Tốt Nghiệp: Xây Dựng Hệ Thống Chống Xâm Nhập Dựa Vào Intrusion Prevention System - IPS

Đồ án kỹ thuật nghiên cứu tốt nghiệp xây dựng hệ thống chống xâm nhập dựa vào intrusion prevention system ips, thiết kế chi tiết, tính toán kỹ thuật theo tiêu chuẩn, đánh giá tính

• Đề tài: Xây Dựng Hệ Thống Chống Xâm Nhập Dựa Vào IPS

Mục lục chi tiết

• LỜI CÁM ƠN
• MỤC LỤC
• 1. CHƯƠNG 1: TỔNG QUAN VỀ HỆ THỐNG NGĂN CHẶN XÂM NHẬP IPS
• 1.1. Giới thiệu hệ thống ngăn chặn xâm nhập
• 1.2. Sơ lược các kiểu tấn công và cách phòng chống
• 1.3. Phương pháp tấn công - Giải pháp phòng chống
• 1.4. Kỹ thuật nhận biết và ngăn chặn xâm nhập của hệ thống IPS
• 1.4.1. Nhận biết qua dấu hiệu - Signature Based
• 1.4.2. Nhận biết qua sự bất thường - Anomaly Based
• 1.4.3. Nhận biết qua chính sách - Policy Based
• 1.4.4. Nhận biết qua sự phân tích - Protocol Analysis Based
• 1.5. Kiến trúc của hệ thống ngăn ngừa xâm nhập
• 1.5.1. Modul phân tích gói tin
• 1.5.2. Modul phát hiện tấn công
• 1.5.3. Modul phân hệ
• 1.6. Phân loại hệ thống ngăn chặn xâm nhập
• 1.6.1. Network Behavior Analysis System
• 1.6.2. Host Based
• 1.7. So sánh hệ thống phát hiện xâm nhập và ngăn chặn xâm nhập
• 1.8. Các sản phẩm trên thị trường hiện nay
• 2. CHƯƠNG 2: GIỚI THIỆU TỔNG QUAN THIẾT BỊ IOS IPS
• 2.1. Một vài định nghĩa
• 2.2. Chức năng của một hệ thống ngăn chặn xâm nhập
• 2.3. Mô hình của hệ thống ngăn chặn xâm nhập
• 2.3.1. IPS ngoài luồng - Promiscous Mode
• 2.3.2. IPS trong luồng - In-line mode
• 2.3.3. Cấu trúc của Cisco IOS IPS Sensor
• 2.4. Signature Definition File - SDF
• 2.5. Signature Micro Engine - SME
• 2.6. Các loại dấu hiệu và cảnh báo
• 2.7. Phương pháp quản lý và hạn chế của hệ thống ngăn chặn xâm nhập
• 2.8. Các lệnh trong Cisco IOS IPS
• 2.8.1. Các mode của Command Line Interface
• 2.8.2. Tìm hiểu các luật của Cisco IOS IPS
• 2.8.3. Các lỗi thường gặp khi cấu hình bằng Command Line
• 3. CHƯƠNG 3: MÔ PHỎNG VÀ THỰC NGHIỆM
• 3.1. Mô tả thực nghiệm
• 3.2. Hạ tầng mạng thực nghiệm
• 3.3. Một số phần mềm dùng để triển khai
• 3.3.1. Mô tả thiết bị
• 3.3.2. Phần mềm cho PC
• 3.3.3. Mô tả các kết nối
• 3.4. Cấu hình và kiểm thử
• 3.4.1. Cấu hình cho từng thiết bị
• 3.4.2. Kiểm tra quá trình thông mạng
• 3.5. Các cuộc tấn công và kết quả thống kê thực nghiệm
• KẾT LUẬN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan hệ thống chống xâm nhập IPS Lá chắn an ninh mạng

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc bảo mật hệ thống trở thành yếu tố sống còn đối với mọi tổ chức. Hệ thống chống xâm nhập dựa vào IPS (Intrusion Prevention System) là một giải pháp an ninh chủ động, có vai trò giám sát, phân tích và ngăn chặn các hoạt động độc hại trong thời gian thực. Khác với các công cụ bảo mật thụ động, IPS không chỉ phát hiện mà còn trực tiếp can thiệp để vô hiệu hóa các mối đe dọa trước khi chúng gây thiệt hại. Theo nghiên cứu của Tô Thanh Bình (2010), sự ra đời của IPS là một bước tiến tất yếu sau những hạn chế của hệ thống IDS (Intrusion Detection System), đặc biệt là sau các cuộc tấn công quy mô lớn như Code Red hay SQL Slammer. Nhu cầu về một cơ chế có khả năng phòng chống tấn công tự động, giảm thiểu sự phụ thuộc vào người quản trị đã thúc đẩy IPS trở thành một thành phần không thể thiếu trong kiến trúc an ninh mạng hiện đại. Hệ thống này hoạt động như một người gác cổng thông minh, liên tục kiểm tra các gói tin đi qua mạng, so sánh với các mẫu tấn công đã biết và các hành vi bất thường để đưa ra quyết định ngăn chặn kịp thời.

1.1. Giải mã IPS Vai trò cốt lõi trong chiến lược an ninh mạng

Intrusion Prevention System (IPS) là một công nghệ bảo mật hệ thống được thiết kế để thực hiện việc kiểm soát truy cập vào một mạng máy tính, nhằm bảo vệ hệ thống khỏi các hành vi lạm dụng và tấn công. Chức năng chính của IPS là phát hiện xâm nhập và tự động thực hiện các hành động ngăn chặn. Các hành động này có thể bao gồm việc hủy (drop) các gói tin độc hại, chặn lưu lượng từ địa chỉ IP nguồn, hoặc thiết lập lại kết nối. Vai trò của IPS không chỉ giới hạn ở vành đai mạng mà còn có thể triển khai ở cấp độ máy chủ (Host-based IPS) để bảo vệ các tài sản quan trọng. Bằng cách tích hợp sâu vào luồng dữ liệu mạng, IPS cung cấp một lớp phòng thủ vững chắc, bổ sung cho các giải pháp truyền thống như tường lửa (Firewall). Nó giúp tổ chức tuân thủ các chính sách bảo mật và bảo vệ dữ liệu nhạy cảm một cách hiệu quả.

1.2. So sánh IPS và IDS Từ phát hiện đến chủ động ngăn chặn

Sự khác biệt cơ bản giữa IPS và IDS nằm ở cơ chế phản ứng. Hệ thống Phát hiện Xâm nhập (IDS) hoạt động ở chế độ thụ động (promiscuous mode), sao chép và phân tích lưu lượng mạng mà không can thiệp trực tiếp. Khi phát hiện mối đe dọa, IDS chỉ tạo ra cảnh báo (alert) cho người quản trị. Ngược lại, IPS được triển khai trực tiếp trên luồng dữ liệu (in-line mode). Điều này cho phép nó không chỉ phát hiện xâm nhập mà còn có thể ngay lập tức thực hiện hành động ngăn chặn tấn công. Trong khi IDS yêu cầu sự can thiệp của con người để xử lý cảnh báo, IPS tự động hóa quá trình này, mang lại khả năng phản ứng nhanh hơn và giảm thiểu rủi ro. Tài liệu gốc nhấn mạnh, 'để ngăn chặn xâm nhập thì trước hết cần phải phát hiện nó', cho thấy IPS là sự phát triển kế thừa và nâng cao từ IDS, chuyển từ mô hình 'phát hiện và báo cáo' sang 'phát hiện và phản ứng'.

II. Các mối đe dọa và phương pháp phòng chống tấn công của IPS

Môi trường mạng hiện đại phải đối mặt với vô số kiểu tấn công tinh vi, từ tấn công thụ động nhằm thu thập thông tin đến tấn công chủ động nhằm phá hoại hoặc chiếm quyền kiểm soát hệ thống. Việc hiểu rõ các điểm yếu là bước đầu tiên để xây dựng một chiến lược phòng chống tấn công hiệu quả. Các điểm yếu này có thể đến từ kỹ thuật (lỗ hổng giao thức, hệ điều hành), cấu hình (sử dụng mật khẩu mặc định, thiếu sót trong thiết lập) hoặc chính sách bảo mật lỏng lẻo. Một cuộc tấn công thường diễn ra theo các bước tuần tự: khảo sát, quét lỗ hổng, khai thác, duy trì truy cập và xóa dấu vết. Hệ thống IPS được thiết kế để nhận diện và can thiệp ngay từ những bước đầu tiên này. Bằng cách giám sát mạng và phân tích log liên tục, IPS có thể phát hiện các hành vi bất thường như quét cổng (port scanning) hay các nỗ lực khai thác đã biết. Việc triển khai một giải pháp bảo mật hệ thống toàn diện, kết hợp giữa IPS, tường lửa (Firewall), và các bản vá lỗi thường xuyên là phương pháp tối ưu nhất để bảo vệ hạ tầng mạng.

2.1. Phân tích các kiểu tấn công mạng thường gặp và nguy hiểm

Các cuộc tấn công có thể được phân loại dựa trên hành động hoặc nguồn gốc. Tấn công thụ động chỉ lắng nghe và phân tích lưu lượng, trong khi tấn công chủ động can thiệp trực tiếp vào dữ liệu hoặc hệ thống. Một số kỹ thuật phổ biến được đề cập trong tài liệu gốc bao gồm: tấn công Man-in-the-Middle (MITM) thông qua nhiễm độc ARP cache, tấn công từ chối dịch vụ (DoS/DDoS) như 'Ping of Death', và tấn công vào máy chủ DNS để chuyển hướng người dùng. Những cuộc tấn công này khai thác các điểm yếu cố hữu trong giao thức mạng và có thể gây ra thiệt hại nghiêm trọng về tính toàn vẹn, tính sẵn sàng của dữ liệu. Việc phát hiện xâm nhập sớm các hành vi này là cực kỳ quan trọng, và đó chính là nhiệm vụ cốt lõi của một hệ thống chống xâm nhập dựa vào IPS.

2.2. Giải pháp bảo mật tích hợp Vai trò của IPS trong hệ thống

Không một công nghệ đơn lẻ nào có thể bảo vệ hoàn toàn một hệ thống. Một giải pháp bảo mật hiệu quả đòi hỏi sự kết hợp của nhiều lớp phòng thủ. Trong kiến trúc này, IPS đóng vai trò là một lớp bảo vệ chuyên sâu, hoạt động song song với tường lửa (Firewall). Trong khi Firewall chủ yếu lọc lưu lượng dựa trên cổng và địa chỉ IP, IPS đi sâu hơn vào việc phân tích log và nội dung của các gói tin để phát hiện các mối đe dọa ở lớp ứng dụng. Các giải pháp bảo mật mã nguồn mở như Snort hay Suricata thường được kết hợp với tường lửa để tạo thành một hệ thống IPS hoàn chỉnh. Đối với các giải pháp thương mại, IPS thường được tích hợp vào các thiết bị Quản lý Bảo mật Hợp nhất (UTM), cung cấp một hệ thống phòng thủ toàn diện, có khả năng ngăn chặn tấn công từ nhiều vector khác nhau.

III. Top 4 phương pháp phát hiện xâm nhập hiệu quả nhất của IPS

Hiệu quả của một hệ thống chống xâm nhập dựa vào IPS phụ thuộc rất lớn vào khả năng phát hiện xâm nhập chính xác và nhanh chóng. Để đạt được điều này, các hệ thống IPS hiện đại kết hợp nhiều phương pháp phân tích khác nhau, mỗi phương pháp có ưu và nhược điểm riêng. Sự kết hợp này giúp hệ thống vừa có thể chống lại các cuộc tấn công đã biết, vừa có khả năng nhận diện các mối đe dọa mới và chưa từng có tiền lệ. Theo tài liệu nghiên cứu, việc lựa chọn và cấu hình đúng các phương pháp phát hiện là yếu tố quyết định đến tỷ lệ phát hiện chính xác và giảm thiểu cảnh báo sai (false positives). Một hệ thống được cấu hình tốt sẽ cân bằng giữa việc phát hiện dựa trên chữ ký để xử lý các mối đe dọa phổ biến và phát hiện bất thường để đối phó với các cuộc tấn công zero-day. Việc này đòi hỏi sự hiểu biết sâu sắc về đặc điểm lưu lượng mạng của tổ chức và các kỹ thuật tấn công đang phổ biến.

3.1. Kỹ thuật phát hiện dựa trên chữ ký Signature Based

Đây là phương pháp phổ biến nhất, hoạt động bằng cách so sánh lưu lượng mạng với một cơ sở dữ liệu chứa các mẫu (signatures) của các cuộc tấn công đã biết. Mỗi chữ ký là một bộ quy tắc mô tả một hành vi độc hại cụ thể. Khi một gói tin khớp với một chữ ký, hệ thống sẽ kích hoạt hành động ngăn chặn tấn công. Ưu điểm của phương pháp này là độ chính xác cao và ít cảnh báo sai đối với các tấn công đã biết. Các giải pháp như Snort hay Cisco IOS IPS đều phụ thuộc nhiều vào bộ quy tắc chữ ký. Tuy nhiên, nhược điểm lớn của nó là không thể phát hiện các cuộc tấn công mới hoặc các biến thể chưa có trong cơ sở dữ liệu. Điều này đòi hỏi người quản trị hệ thống mạng phải thường xuyên cập nhật bộ chữ ký từ nhà cung cấp.

3.2. Kỹ thuật phát hiện bất thường Anomaly Based

Phương pháp này hoạt động bằng cách xây dựng một mô hình 'bình thường' (baseline) cho hoạt động của mạng. Bất kỳ hành vi nào lệch khỏi baseline này đều được coi là bất thường và có khả năng là một cuộc tấn công. Kỹ thuật này có ưu điểm vượt trội là khả năng phát hiện các cuộc tấn công mới (zero-day) mà phương pháp dựa trên chữ ký bỏ lỡ. Tuy nhiên, việc định nghĩa một 'baseline' chính xác là rất khó khăn và có thể dẫn đến một lượng lớn cảnh báo sai (false positives), đặc biệt trong các môi trường mạng có lưu lượng biến đổi liên tục. Hệ thống cần một thời gian 'tự học' ban đầu để xây dựng hồ sơ hoạt động, và trong thời gian này, khả năng bảo vệ có thể bị hạn chế.

3.3. Các phương pháp nhận biết qua chính sách và phân tích giao thức

Phát hiện dựa trên chính sách (Policy-Based) yêu cầu người quản trị phải định nghĩa rõ ràng các hành vi được phép và không được phép trong mạng theo chính sách bảo mật. Hệ thống sẽ cảnh báo khi có bất kỳ hoạt động nào vi phạm các chính sách này. Phương pháp này rất hiệu quả trong việc thực thi các quy định an ninh cụ thể của tổ chức. Trong khi đó, phân tích giao thức (Protocol Analysis-Based) tập trung vào việc xác minh tính hợp lệ của các giao thức mạng. Nó sẽ phát hiện các gói tin không tuân thủ các tiêu chuẩn RFC hoặc có cấu trúc bất thường, vốn là dấu hiệu của nhiều kỹ thuật tấn công và quét mạng. Cả hai phương pháp này khi kết hợp với Signature-based và Anomaly-based sẽ tạo nên một cơ chế phát hiện xâm nhập đa tầng và toàn diện.

IV. Hướng dẫn triển khai IPS Kiến trúc và mô hình hoạt động

Việc triển khai IPS đòi hỏi một kế hoạch chi tiết, từ việc lựa chọn giải pháp phù hợp đến xác định vị trí lắp đặt trong hạ tầng mạng. Một hệ thống IPS hoàn chỉnh thường bao gồm ba module chính hoạt động tuần tự: Module phân tích gói tin, Module phát hiện tấn công và Module phản ứng. Module phân tích có nhiệm vụ thu thập và giải mã các gói tin. Module phát hiện là trái tim của hệ thống, sử dụng các phương pháp đã nêu để xác định các mối đe dọa. Cuối cùng, Module phản ứng sẽ thực hiện các hành động ngăn chặn tấn công như hủy gói tin, reset kết nối hoặc cấu hình lại Firewall. Sự phối hợp nhịp nhàng giữa ba module này đảm bảo hệ thống có thể phản ứng nhanh chóng và chính xác. Quá trình cấu hình IPS ban đầu là rất quan trọng để tối ưu hóa hiệu suất và giảm thiểu cảnh báo sai, đảm bảo hệ thống hoạt động hiệu quả trong môi trường thực tế.

4.1. So sánh mô hình triển khai In line Mode và Promiscuous Mode

Có hai mô hình chính để triển khai IPS. Mô hình trong luồng (In-line Mode) đặt thiết bị IPS trực tiếp trên đường đi của lưu lượng mạng, thường là giữa tường lửa (Firewall) và mạng nội bộ. Ở vị trí này, IPS có thể chủ động hủy các gói tin độc hại trước khi chúng đến được đích. Đây là mô hình triển khai thực sự của một hệ thống ngăn chặn xâm nhập. Ngược lại, mô hình ngoài luồng (Promiscuous Mode) đặt IPS ở một vị trí mà nó chỉ nhận được một bản sao của lưu lượng mạng (tương tự như IDS). Trong mô hình này, IPS chỉ có thể đưa ra cảnh báo hoặc gửi yêu cầu reset kết nối, chứ không thể trực tiếp hủy gói tin. Mặc dù In-line Mode mang lại khả năng bảo vệ mạnh mẽ hơn, nó cũng có thể trở thành một điểm nghẽn cổ chai (bottleneck) nếu thiết bị không đủ hiệu năng.

4.2. Lựa chọn giải pháp Mã nguồn mở Snort Suricata và thương mại

Việc lựa chọn giữa giải pháp mã nguồn mở và thương mại phụ thuộc vào ngân sách, quy mô và trình độ kỹ thuật của tổ chức. Các giải pháp mã nguồn mở như Snort và Suricata có chi phí thấp, cộng đồng hỗ trợ lớn và tính tùy biến cao. Chúng cho phép các chuyên gia an ninh mạng tự xây dựng và tinh chỉnh hệ thống theo nhu cầu cụ thể. Tuy nhiên, chúng đòi hỏi kiến thức chuyên sâu để cài đặt, cấu hình và bảo trì. Ngược lại, các sản phẩm thương mại từ Cisco, Fortinet hay Palo Alto cung cấp một giải pháp trọn gói, dễ triển khai với giao diện quản lý thân thiện và hỗ trợ kỹ thuật chuyên nghiệp. Các sản phẩm này thường tích hợp sẵn các tính năng cao cấp và bộ quy tắc được cập nhật liên tục, nhưng đi kèm với chi phí bản quyền và phần cứng đáng kể.

V. Case Study Xây dựng hệ thống chống xâm nhập với Cisco IOS

Tài liệu nghiên cứu của Tô Thanh Bình (2010) cung cấp một mô hình thực nghiệm chi tiết về việc xây dựng hệ thống chống xâm nhập dựa vào IPS sử dụng các tính năng tích hợp sẵn trong hệ điều hành Cisco IOS. Mô hình này cho thấy việc tận dụng các thiết bị mạng hiện có như router Cisco để triển khai một lớp bảo mật mạnh mẽ mà không cần đầu tư thêm phần cứng chuyên dụng. Quá trình thực nghiệm bao gồm việc thiết lập một môi trường giả lập với GNS3 và VMware, cấu hình các quy tắc IPS trên router, và sau đó tiến hành các cuộc tấn công giả lập để kiểm tra hiệu quả. Kết quả thực nghiệm cho thấy hệ thống Cisco IOS IPS có khả năng phát hiện và ngăn chặn tấn công hiệu quả, từ các hành vi quét cổng bằng Nmap đến các cuộc tấn công từ chối dịch vụ. Đây là một minh chứng thực tế về khả năng ứng dụng của IPS trong việc bảo vệ hạ tầng mạng doanh nghiệp.

5.1. Quy trình cấu hình IPS trên Router Cisco sử dụng SDM

Quá trình cấu hình IPS trên router Cisco có thể được thực hiện thông qua giao diện dòng lệnh (CLI) hoặc công cụ quản lý đồ họa Cisco Security Device Manager (SDM). Tài liệu tập trung vào việc sử dụng SDM vì tính trực quan và dễ sử dụng. Các bước chính bao gồm: kích hoạt tính năng IPS, chọn các giao diện mạng cần giám sát (cả chiều vào và chiều ra), và nạp tệp định nghĩa chữ ký (Signature Definition File - SDF). Tệp SDF chứa toàn bộ cơ sở dữ liệu về các dấu hiệu tấn công. Quản trị viên có thể tùy chỉnh hành động cho từng chữ ký cụ thể, ví dụ như 'produce-alert' (tạo cảnh báo), 'deny-packet-inline' (hủy gói tin), hoặc 'reset-tcp-connection' (reset kết nối). Việc cấu hình đúng các hành động này là chìa khóa để hệ thống phản ứng phù hợp với từng loại mối đe dọa.

5.2. Phân tích kết quả thực nghiệm Phát hiện và ngăn chặn tấn công

Trong phần thực nghiệm, các cuộc tấn công như quét cổng (Nmap), quét lỗ hổng và ping flood đã được thực hiện từ một máy 'Attacker' đến máy chủ trong vùng được bảo vệ. Kết quả cho thấy, ngay khi các gói tin độc hại đi qua router đã được cấu hình IPS, hệ thống lập tức phát hiện và ghi lại các cảnh báo trong log. Ví dụ, một gói tin ICMP Echo Request (ping) vi phạm chữ ký 2004, và một nỗ lực quét TCP SYN/FIN vi phạm chữ ký 3151. Sau khi cấu hình hành động ngăn chặn (drop packet) cho các chữ ký này, các cuộc tấn công tương tự sau đó đều bị chặn hoàn toàn, máy Attacker không thể nhận được phản hồi từ máy chủ. Kết quả này chứng minh rằng một hệ thống chống xâm nhập dựa vào IPS được cấu hình đúng cách có thể bảo vệ hiệu quả tài nguyên mạng trước các hành vi truy cập và tấn công trái phép.

VI. Tối ưu hóa bảo mật hệ thống Tương lai của giải pháp IPS

Việc xây dựng hệ thống chống xâm nhập dựa vào IPS không phải là một công việc làm một lần mà là một quá trình liên tục. Để duy trì hiệu quả, hệ thống cần được giám sát, tinh chỉnh và cập nhật thường xuyên. Thách thức lớn nhất trong việc vận hành một hệ thống IPS là xử lý các cảnh báo sai (false positives), vốn có thể gây gián đoạn các hoạt động hợp pháp. Tương lai của IPS nằm ở việc tích hợp sâu hơn với các công nghệ an ninh mạng khác. Sự kết hợp giữa IPS với hệ thống quản lý thông tin và sự kiện bảo mật (SIEM) và các trung tâm điều hành an ninh (SOC) cho phép các tổ chức có một cái nhìn toàn cảnh về tình hình an ninh, tương quan hóa các sự kiện từ nhiều nguồn khác nhau và tự động hóa các quy trình phản ứng. Các công nghệ học máy (Machine Learning) và trí tuệ nhân tạo (AI) cũng đang được áp dụng để nâng cao khả năng phát hiện bất thường, giúp IPS trở nên thông minh hơn và chủ động hơn trong việc đối phó với các mối đe dọa ngày càng tinh vi.

6.1. Quản lý và giảm thiểu cảnh báo sai False Positives

Cảnh báo sai xảy ra khi hệ thống nhận diện nhầm một hoạt động hợp pháp là tấn công. Điều này không chỉ gây phiền toái cho đội ngũ quản trị hệ thống mạng mà còn có thể làm gián đoạn hoạt động kinh doanh nếu hệ thống tự động chặn các kết nối hợp lệ. Để giảm thiểu tình trạng này, quản trị viên cần thực hiện tinh chỉnh (tuning) hệ thống. Quá trình này bao gồm việc điều chỉnh độ nhạy của các chữ ký, loại bỏ các chữ ký không liên quan đến môi trường mạng của tổ chức, và tạo ra các ngoại lệ (exceptions) cho các ứng dụng hoặc lưu lượng đặc thù. Việc phân tích log thường xuyên để xác định nguồn gốc của các cảnh báo sai cũng là một phần quan trọng của công việc vận hành, giúp hệ thống ngày càng trở nên chính xác hơn.

6.2. Xu hướng tích hợp IPS với SIEM và Trung tâm SOC

Trong một môi trường bảo mật hiện đại, IPS không hoạt động độc lập. Dữ liệu và cảnh báo từ IPS là một nguồn thông tin vô giá cho các hệ thống SIEM. SIEM có nhiệm vụ tổng hợp log từ nhiều nguồn khác nhau (IPS, Firewall, máy chủ, ứng dụng) để phát hiện các chuỗi tấn công phức tạp mà từng thiết bị riêng lẻ không thể nhìn thấy. Tại các trung tâm điều hành an ninh (SOC), các nhà phân tích sử dụng thông tin này để điều tra và ứng phó với các sự cố. Sự tích hợp này tạo ra một vòng lặp phản hồi, nơi các phát hiện từ SOC có thể được sử dụng để cập nhật và tinh chỉnh lại các quy tắc trên hệ thống IPS, từ đó nâng cao khả năng phòng chống tấn công của toàn bộ tổ chức.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của công nghệ thông tin và mạng Internet đã biến hạ tầng mạng thành thành phần thiết yếu trong hoạt động của các tổ chức, doanh nghiệp. Tuy nhiên, đi cùng với sự mở rộng này là các nguy cơ an ninh mạng ngày càng gia tăng, đặc biệt là sự xuất hiện của các cuộc tấn công diện rộng có tính chất phá hoại nghiêm trọng như sâu mạng Code Red, NIMDA, hay SQL Slammer.

Trong giai đoạn đầu, các hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS), dựa trên các nghiên cứu khởi xướng từ bài báo của James Anderson, đã được triển khai nhằm giám sát, ghi nhận hành vi bất thường và cảnh báo việc lạm dụng đặc quyền trên hệ thống mạng. Mặc dù vậy, hệ thống IDS bộc lộ những hạn chế lớn mang tính cấu trúc:

1. Bản chất giám sát thụ động: IDS chỉ đưa ra cảnh báo mà không trực tiếp can thiệp vào luồng dữ liệu theo thời gian thực, khiến việc ngăn chặn phụ thuộc hoàn toàn vào phản ứng thủ công của người quản trị mạng.
2. Tác dụng phụ ngoài ý muốn: Khi tích hợp với Firewall để phản ứng sau sự cố, nếu kẻ tấn công giả mạo địa chỉ IP (IP spoofing) của khách hàng hay đối tác, Firewall có thể khóa nhầm các IP hợp lệ, dẫn đến hiện tượng từ chối dịch vụ diện rộng ngoài ý muốn.
3. Tỷ lệ cảnh báo sai (false alarms): Các cơ chế dò tìm tổng quát của IDS dễ phát sinh nhiều cảnh báo giả, gây quá tải cho bộ phận quản trị.

Trước những thách thức trên, giải pháp hệ thống ngăn chặn xâm nhập (Intrusion Prevention System - IPS) ra đời từ năm 2003 nhằm thay thế dần IDS thông qua khả năng tự động phân tích và trực tiếp ngăn chặn các gói tin độc hại ngay trên đường truyền. Đề tài tập trung giải quyết các mục tiêu và nhiệm vụ cụ thể:

1. Nghiên cứu tổng quan về công nghệ IPS, phân loại, cơ chế nhận biết và kiến trúc hoạt động của hệ thống ngăn chặn xâm nhập.
2. Đi sâu tìm hiểu cấu trúc và kỹ thuật triển khai thiết bị Cisco IOS IPS, bao gồm cơ chế quản lý chữ ký (Signature), các bộ vi xử lý chữ ký (Signature Micro Engine) và giao thức trao đổi sự kiện an ninh (SDEE).
3. Thiết kế, mô phỏng và thực nghiệm hệ thống bảo mật tích hợp Cisco IOS IPS trên môi trường ảo hóa nhằm kiểm chứng khả năng phát hiện và tự động ngăn chặn các dạng tấn công phổ biến.

Đối tượng nghiên cứu của đồ án là công nghệ ngăn chặn xâm nhập mạng trên nền tảng Cisco IOS IPS. Phạm vi nghiên cứu được thực hiện trên mô hình mạng thực nghiệm mô phỏng ba vùng mạng (Inside, Outside, DMZ) thông qua các phần mềm GNS3 và VMware vào năm 2010.

Cơ sở lý thuyết và phương pháp

Đề tài xây dựng trên nền tảng lý thuyết an ninh mạng và kiến trúc phòng thủ theo chiều sâu, sử dụng các khái niệm và mô hình kỹ thuật sau:

• Khung lý thuyết phát hiện và ngăn chặn xâm nhập: Tiếp cận theo bốn phương pháp nhận diện chính:
  • Nhận biết qua dấu hiệu (Signature-Based): So sánh luồng dữ liệu với cơ sở dữ liệu các mẫu tấn công đã biết nhằm phát hiện chính xác với độ trễ thấp.
  • Nhận biết qua sự bất thường (Anomaly-Based): Xây dựng hồ sơ (profile) hành vi mạng thông thường và kích hoạt cảnh báo khi lưu lượng có độ lệch vượt ngưỡng chuẩn.
  • Nhận biết qua chính sách (Policy-Based): Kiểm soát truy cập dựa trên các tập luật bảo mật định sẵn cho từng thiết bị và người dùng.
  • Nhận biết qua phân tích giao thức (Protocol Analysis-Based): Kiểm tra tính hợp thức của cấu trúc gói tin và trường dữ liệu tải (Payload) theo các tiêu chuẩn RFC.
• Kiến trúc ba thành phần của IPS: Gồm Module phân tích gói tin (Packet Decode), Module phát hiện tấn công (Detection Engine) và Module phản ứng (Response Engine) với các hành động như Reset phiên TCP (Terminate Session), Hủy gói tin (Drop Attack), Tạm thời điều chỉnh chính sách tường lửa (Modify Firewall Policies), Cảnh báo thời gian thực (Real-time Alerting) và Ghi nhật ký (Log Packet).
• Phân loại triển khai IPS: Đồ án khảo sát bốn mô hình IPS chính gồm NIPS (Network-Based IPS), NBAS (Network Behavior Analysis System), HIPS (Host-Based IPS) và WIPS (Wireless IPS).

Phương pháp nghiên cứu được tác giả áp dụng là phương pháp phân tích - tổng hợp tài liệu kỹ thuật chuyên ngành từ Cisco Systems, kết hợp với phương pháp thực nghiệm mô phỏng hệ thống mạng trên máy tính. Dữ liệu nghiên cứu bao gồm các gói tin mạng, tập tin định nghĩa chữ ký (Signature Definition File - SDF), các bản ghi nhật ký (Syslog, SDEE) và dữ liệu quét lưu lượng từ các công cụ kiểm thử bảo mật.

Thiết kế và triển khai

Hệ thống thực nghiệm được thiết kế nhằm mô phỏng một hạ tầng mạng doanh nghiệp hoàn chỉnh có tích hợp giải pháp ngăn chặn xâm nhập Cisco IOS IPS hoạt động ở chế độ Trong luồng (In-line Mode).

Kiến trúc phân vùng mạng

Mô hình thực nghiệm được phân chia thành ba phân vùng chức năng rõ rệt:

• Vùng Inside (Mạng nội bộ - Trusted Side): Kết nối các máy trạm làm việc nội bộ thông qua Router Inside (Interface FastEthernet 1/0 gán IP 192.168.1.0/24).
• Vùng DMZ (Khu vực máy chủ công cộng): Chứa máy chủ dịch vụ CentOS (IP 192.168.4.0/24) cung cấp các dịch vụ HTTP (Apache httpd 2.2), FTP, SSH (OpenSSH 4.3), DNS (BIND 9.4-P1) và Database.
• Vùng Outside (Mạng Internet không tin cậy - Untrusted Side): Chứa máy tính Attacker kết nối qua Router Outside (Interface FastEthernet 2/0 gán IP 192.168.3.0/24).
• Thành phần trung tâm (Cisco IPS Router): Đóng vai trò thiết bị kiểm soát lưu lượng In-line, kết nối với Router Inside qua FastEthernet 1/1 (192.168.1.2/24) và kết nối với Router Outside qua giao tiếp Serial S2/0 (192.168.2.2/24).

Nền tảng công nghệ và thông số cấu hình

Hệ thống được vận hành trên hạ tầng phần mềm và phần cứng mô phỏng gồm:

• Phần mềm giả lập mạng: GNS3 phiên bản 0.7 kết hợp trình điều khiển WinPcap 4.1 và phần mềm máy ảo VMware.
• Thiết bị định tuyến & IPS: Router Cisco 7200 (hoặc 3640), RAM 256MB, sử dụng hệ điều hành Cisco IOS phiên bản c7200-jk903s-mz.BIN.
• Máy trạm quản trị (PC Client): Chạy hệ điều hành Windows XP, cài đặt Java Plug-in và công cụ Cisco Security Device Manager (Cisco SDM phiên bản 2.4.1 / 5.1).
• Máy tấn công (PC Attacker): Chạy Windows XP, tích hợp các công cụ kiểm thử và thu thập thông tin gồm Nmap, SuperScan, ScanPort và tiện ích Ping hệ thống.
• Máy chủ dịch vụ (PC Server): Cài đặt hệ điều hành CentOS Server chạy các dịch vụ mạng thực tế.

Quy trình cấu hình và nạp luật

1. Khởi tạo dịch vụ quản trị trên Cisco Router: Cấu hình HTTP/HTTPS server (ip http secure-server), thiết lập tài khoản quản trị đặc quyền level 15 và kích hoạt giao thức thông báo sự kiện an ninh SDEE (Security Device Event Exchange).
2. Nạp tập tin định nghĩa chữ ký (SDF): Thông qua giao diện Cisco SDM, thiết lập nạp file 256MB.sdf từ máy chủ TFTP nội bộ (tftp://192.168.1.3) và kích hoạt bộ chữ ký mặc định (Built-in Signatures) với 132 chữ ký hoạt động (Total Active Signatures).
3. Áp dụng luật IPS lên giao diện: Tạo luật sdm_ips rule và kích hoạt kiểm tra hai chiều (Inbound và Outbound) trên cả hai giao diện FastEthernet 1/1 và Serial 2/0.
4. Tùy biến hành động cho chữ ký (Signature Actions): Tác giả tiến hành gán hành động chủ động (Drop packet, Reset connection, Deny Attacker Inline) cho các nhóm Sig ID cụ thể:
   • Nhóm dấu hiệu ICMP: Sig ID 2000 (ICMP Echo Reply), Sig ID 2004 (ICMP Echo Request).
   • Nhóm dấu hiệu quét cổng TCP: Sig ID 3040, 3041 (TCP SYN/FIN Packet), Sig ID 3042 (TCP FIN Packet), Sig ID 3150, 3151 (TCP NULL Packet).

Nội dung chính theo từng chương

Chương 1. Tổng quan về hệ thống ngăn chặn xâm nhập IPS

Chương này trình bày toàn diện bức tranh tổng quan về an toàn thông tin mạng và sự tiến hóa của công nghệ ngăn ngừa xâm nhập. Tác giả phân tích chi tiết các điểm yếu bảo mật phổ biến (kỹ thuật, cấu hình, chính sách) và phân loại các hình thức tấn công:

• Phân loại tấn công: Chia thành tấn công thụ động (nghe lén, phân tích luồng gói tin) và tấn công chủ động (giả mạo xác thực, chỉnh sửa thông điệp, tấn công trung gian Man-In-The-Middle thông qua lây nhiễm ARP cache, Ping of Death, tấn công từ chối dịch vụ DNS).
• Quy trình 5 bước tấn công của tin tặc: (1) Khảo sát thu thập thông tin -> (2) Dò tìm lỗ hổng và quét cổng (Scan port) -> (3) Khai thác xâm nhập -> (4) Duy trì xâm nhập (Backdoor, Trojan, DDoS) -> (5) Xóa dấu vết trên log.
• Bốn kỹ thuật nhận diện của IPS: Phân tích ưu nhược điểm của Signature-Based, Anomaly-Based, Policy-Based và Protocol Analysis-Based.
• Kiến trúc hệ thống và phân loại: Phân tích cơ chế hoạt động của ba module (phân tích gói tin, phát hiện tấn công, phản ứng) cùng các kỹ thuật ngăn chặn như Terminate Session, Drop Attack, Modify Firewall Policies. Chương này cũng phân loại các dạng IPS (NIPS, NBAS, HIPS, WIPS), so sánh đối chiếu giữa IPS và IDS, đồng thời khảo sát các giải pháp phần cứng/phần mềm thương mại trên thị trường như Snort, Cisco ASA AIP SSM (SSM-10, SSM-20, SSM-40), Cisco IPS 4200 Series, IDSM-2, TippingPoint IPS, Proventia (G400, G2000), Cyberoam và CheckPoint IPS-1.

Tiêu chí so sánh	Hệ thống phát hiện xâm nhập (IDS)	Hệ thống ngăn chặn xâm nhập (IPS)
Vị trí hoạt động	Thường đặt ngoài luồng (Promiscuous mode), nhận bản sao lưu lượng.	Thường đặt trong luồng (In-line mode), luồng dữ liệu bắt buộc đi qua.
Cơ chế phản ứng	Thụ động: Ghi log, gửi cảnh báo cho quản trị viên, gửi yêu cầu tới Firewall.	Chủ động: Tự động hủy gói tin (Drop), reset kết nối (TCP Reset) ngay lập tức.
Độ trễ xử lý	Không ảnh hưởng trực tiếp đến tốc độ lưu thông của luồng mạng.	Có thể tạo độ trễ nhỏ do phải kiểm tra gói tin trước khi cho phép đi qua.
Tác động phụ DoS	Dễ gây nghẽn hoặc khóa nhầm IP hợp lệ nếu kẻ tấn công giả mạo IP nguồn.	Ngăn chặn chính xác các gói tin độc hại mà không khóa toàn bộ IP nguồn hợp lệ.
Cơ chế phát hiện	Thường giới hạn ở 1-2 cơ chế tổng quát, tỷ lệ cảnh báo giả cao hơn.	Kết hợp đa cơ chế (chữ ký, bất thường, giao thức), cập nhật linh hoạt.

Chương 2. Giới thiệu tổng quan thiết bị IOS IPS

Chương 2 đi sâu vào cấu trúc bên trong và cơ chế hoạt động của giải pháp Cisco IOS IPS. Tác giả định nghĩa các thuật ngữ cốt lõi bao gồm Signature, Alert, Sensor và Virtual Sensor.

• Cấu trúc Virtual Sensor: Phân tích năm thành phần xử lý gói tin nội bộ gồm Capture Producer (thu nhận gói tin), Fragment Reassembly Unit - FRU (tái hợp các phân mảnh IP), Database Handler (lưu trữ theo dõi luồng dữ liệu), Stream Reassembly Unit - SRU (tái hợp luồng dữ liệu) và Signature Handler (chuyển tiếp gói tin đến các công cụ vi xử lý chữ ký).
• Mô hình triển khai: So sánh mô hình ngoài luồng (Promiscuous Mode - kết hợp gửi chỉ dẫn cho Firewall) và mô hình trong luồng (In-line Mode - kiểm tra và can thiệp trực tiếp).
• Cấu trúc quản lý chữ ký: Trình bày vai trò của tập tin Signature Definition File (SDF), Signature Micro Engine (SME) và phân loại dấu hiệu tấn công thành 4 nhóm (Khai thác, Từ chối dịch vụ DoS, Dò thám, Sử dụng không đúng) với hai hình thức kích hoạt là Đơn lẻ (Atomic) hoặc Kết hợp (Composite).
• Quản trị và xử lý lỗi CLI: Giới thiệu các chế độ dòng lệnh trong Cisco IOS IPS, cấu trúc câu lệnh kiểm tra trạng thái (show running-config, show ip ips all, show statistics) và tổng hợp các lỗi thường gặp trong quá trình cấu hình bằng giao diện dòng lệnh (CLI) như sai tên kênh cảnh báo rules0, sai cấu hình sig0, lỗi xung đột tiến trình capture gói tin hoặc lỗi phiên đăng nhập.

Chương 3. Mô hình và thực nghiệm

Chương 3 là phần thực nghiệm kỹ thuật trọng tâm của đồ án. Tác giả tiến hành dựng sơ đồ mạng hoàn chỉnh trên GNS3 và máy ảo VMware, kết nối ba vùng mạng Inside, DMZ và Outside thông qua Router Cisco 7200 tích hợp tính năng IPS.

• Triển khai công cụ quản trị Cisco SDM: Hướng dẫn chi tiết từng bước cài đặt Cisco SDM trên Windows XP, kích hoạt tính năng IPS thông qua IPS Rule Wizard, cấu hình cảnh báo qua giao thức SDEE, nạp tập tin SDF từ TFTP server và chỉnh sửa các tham số chữ ký trực tiếp trên giao diện đồ họa.
• Kiểm tra thông mạng ban đầu: Xác nhận khả năng kết nối bình thường giữa các phân vùng mạng (Ping thành công 5/5 gói tin với thời gian phản hồi trung bình 143ms từ Inside ra Outside và ngược lại; truy cập thành công dịch vụ Web HTTP Apache và FTP trên CentOS từ mạng ngoài).
• Thực hiện các kịch bản tấn công: Giả lập các cuộc tấn công từ máy Attacker vùng Outside nhắm vào máy chủ CentOS trong vùng DMZ:
  1. Tấn công Ping kích thước lớn: Gửi gói tin ICMP kích thước 65.506 bytes nhằm gây tràn ngập mạng.
  2. Quét cổng dịch vụ bằng Nmap và SuperScan: Sử dụng câu lệnh nmap -PE -PA21,23,80,3389 -A -v -T4 192.168.4.0 để dò tìm toàn bộ các cổng dịch vụ đang mở (HTTP 80, FTP 21, SSH 22, DNS 53, RPC 111, Webmin 10000).
  3. Gửi các gói tin TCP bất thường: Phát tán các gói tin TCP NULL, TCP SYN/FIN, TCP FIN.
• Cấu hình ngăn chặn và ghi nhận kết quả: Chuyển trạng thái hành động của các Signature tương ứng sang drop và reset, sau đó phân tích bản ghi nhật ký cảnh báo và kiểm tra kết quả thống kê ngăn chặn trên hệ thống.

Kết quả và đóng góp

Kết quả thực nghiệm chính

Hệ thống Cisco IOS IPS triển khai trên môi trường mô phỏng đã hoàn thành toàn bộ các bài kiểm thử an ninh theo thiết kế. Các kết quả cụ thể được ghi nhận trong văn bản gồm:

Kịch bản kiểm thử	Trạng thái trước khi bật/chặn IPS	Kết quả sau khi kích hoạt Cisco IOS IPS	Chữ ký IPS kích hoạt (Sig ID)
Ping kiểm tra từ Outside vào DMZ	Thành công 100% (Success rate 5/5, avg = 143ms).	Bị chặn hoàn toàn, thông báo Request timed out.	Sig ID: 2004 (Subsig: 0, Sev: 2, ICMP Echo Req).
Tấn công Ping dữ liệu lớn (65.506 bytes)	Gói tin truyền liên tục tới máy chủ với TTL=128.	IPS bắt và hủy toàn bộ các gói tin vượt ngưỡng; gửi cảnh báo SDEE/Syslog.	Sig ID: 2004.
Dò quét cổng bằng Nmap (-A -T4)	Hiển thị chi tiết các port mở: 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 111 (RPC), 10000 (Webmin).	Quá trình quét bị làm nhiễu và ngắt kết nối; Nmap không xác định được trạng thái các cổng mở.	Sig ID: 3040, 3041 (TCP SYN/FIN), Sig ID 3042 (TCP FIN), Sig ID 3150, 3151 (TCP NULL).
Dò quét mạng bằng SuperScan / ScanPort	Phát hiện đầy đủ địa chỉ IP sống và danh sách Open TCP/UDP Ports.	Kết quả trả về: 0 live hosts, 0 open TCP ports, 0 open UDP ports.	Sig ID: 2000, 2004, 3040, 3150.
Truy cập FTP từ bên ngoài Internet	Đăng nhập và duyệt cây thư mục dữ liệu bình thường.	Kết nối bị ngắt ngay lập tức với lỗi: The connection with the server was reset.	Sig ID liên quan đến FTP Service & TCP Reset.
Lưu thông mạng nội bộ (Inside -> DMZ/Internet)	Hoạt động bình thường.	Vẫn duy trì truyền thông ổn định, không bị ảnh hưởng bởi chính sách chặn mạng ngoài.	Lưu lượng hợp lệ được thông qua.

Đóng góp của đề tài

1. Tổng hợp và hệ thống hóa khung lý thuyết toàn diện về công nghệ ngăn chặn xâm nhập IPS, phân tích rõ ràng cơ chế vận hành của thiết bị Cisco IOS IPS và giao thức SDEE.
2. Xây dựng thành công quy trình thiết lập phòng lab an ninh mạng hoàn chỉnh sử dụng phần mềm GNS3 kết hợp VMware, giúp mô phỏng chính xác hệ thống bảo vệ mạng In-line trên nền tảng Router Cisco 7200 thực tế mà không đòi hỏi chi phí thiết bị phần cứng chuyên dụng đắt tiền.
3. Thực hiện kiểm chứng thực nghiệm các kịch bản tấn công và ngăn chặn cụ thể, cung cấp quy trình cấu hình mẫu từ giao diện đồ họa Cisco SDM đến việc tinh chỉnh các tham số chữ ký và xử lý lỗi dòng lệnh.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế:
  • Mô hình mạng thực nghiệm còn ở quy mô nhỏ và đơn giản, số lượng máy chủ và máy trạm tham gia kiểm thử còn giới hạn.
  • Quá trình nạp tập tin chữ ký (SDF) vào Router ảo trên GNS3 chiếm dụng tài nguyên CPU rất cao, đòi hỏi cấu hình máy tính thực nghiệm lớn để tránh hiện tượng nghẽn xử lý.
  • Đề tài tập trung chủ yếu vào cơ chế nhận diện theo chữ ký (Signature-Based) trên một thiết bị định tuyến đơn lẻ, chưa kiểm thử sâu cơ chế Anomaly-Based phức tạp trong môi trường mạng có lưu lượng lớn.
• Hướng nghiên cứu tiếp:
  • Nghiên cứu mở rộng mô hình IPS phân tán (Distributed IPS) kết hợp nhiều cảm biến bảo vệ trên các phân đoạn mạng mở rộng.
  • Tích hợp các hệ thống quản trị và giám sát an ninh mạng chuyên nghiệp quy mô lớn của Cisco như Cisco Security Manager (CSM) và Cisco Security Monitoring, Analysis, and Response System (MARS).
  • Triển khai thử nghiệm trên các module phần cứng chuyên dụng thực tế như Cisco ASA AIP SSM hoặc các dòng thiết bị phần cứng Cisco IPS 4200 Series.

Giá trị tham khảo

Đồ án là tài liệu tham khảo giá trị cho sinh viên các ngành Công nghệ thông tin, Kỹ thuật mạng máy tính, An toàn thông tin, cũng như các kỹ sư mạng đang chuẩn bị cho các kỳ thi chứng chỉ bảo mật quốc tế (như CCNA Security, CCSP IPS).

Những nội dung có giá trị ứng dụng cao nhất bao gồm:

• Hướng dẫn chi tiết quy trình dựng lab mạng giả lập Cisco IOS với GNS3 và máy ảo VMware/CentOS.
• Các bước thực hành cấu hình tính năng Cisco IOS IPS thông qua phần mềm Cisco SDM và kỹ thuật nạp file chữ ký qua giao thức TFTP.
• Danh mục tra cứu các lỗi cú pháp CLI thường gặp khi thao tác với hệ thống chữ ký và tập luật sự kiện trên Router Cisco.

Câu hỏi thường gặp

1. Trong kiến trúc Cisco IOS IPS, tập tin SDF và SME có vai trò gì? Tập tin SDF (Signature Definition File) là tập tin cơ sở dữ liệu chứa định nghĩa các mẫu chữ ký tấn công dùng để nạp vào bộ nhớ của Router (qua Flash hoặc TFTP). SME (Signature Micro Engine) là các thành phần thuật toán vi xử lý chuyên biệt bên trong Cisco IPS, chịu trách nhiệm phân tích các dạng lưu lượng cụ thể (như gói tin đơn lẻ ATOMIC, dịch vụ mạng, giao thức L2/L3/L4) để đối soát với các chữ ký trong file SDF.

2. Giao thức SDEE trên thiết bị Cisco IPS dùng để làm gì và tại sao cần kích hoạt? SDEE (Security Device Event Exchange) là giao thức chuẩn được Cisco sử dụng để truyền tải và báo cáo các thông điệp sự kiện bảo mật theo định dạng XML từ thiết bị IPS đến các ứng dụng quản trị. Khi cấu hình Cisco IOS IPS thông qua công cụ Cisco SDM, việc bật thông báo SDEE là bắt buộc để giao diện SDM có thể nhận diện và hiển thị các cảnh báo thời gian thực về các mối đe dọa.

3. Tại sao khi kẻ tấn công quét cổng bằng Nmap hoặc SuperScan, hệ thống IPS lại kích hoạt các chữ ký TCP NULL hoặc TCP SYN/FIN? Các công cụ dò quét bảo mật như Nmap thường sử dụng kỹ thuật quét ngầm (Stealth Scan) bằng cách gửi các gói tin TCP có cờ bất thường (bật đồng thời cờ SYN và FIN, hoặc tắt toàn bộ các cờ như NULL packet) để vượt qua các bộ lọc thông thường. Cisco IOS IPS đã định nghĩa sẵn các chữ ký như Sig ID 3040, 3041 (TCP SYN/FIN) và Sig ID 3150, 3151 (TCP NULL) thuộc loại bất thường giao thức để nhận diện hành vi quét cổng này và tự động ngắt kết nối.

4. Sự khác biệt cơ bản về mặt vận hành giữa mô hình Promiscuous Mode và In-line Mode của IPS là gì? Trong mô hình Promiscuous Mode (ngoài luồng), IPS nhận bản sao của gói tin song song với đường truyền chính; thiết bị chỉ đóng vai trò cảnh báo hoặc gửi tín hiệu yêu cầu Firewall can thiệp nên không làm giảm tốc độ mạng nhưng có độ trễ ngăn chặn. Trong mô hình In-line Mode (trong luồng), IPS nằm trực tiếp trên đường truyền dữ liệu; mọi gói tin buộc phải đi qua IPS để kiểm tra trước khi được chuyển tiếp tới đích, cho phép thiết bị chủ động hủy gói tin độc hại ngay lập tức.

Kết luận

Đồ án tốt nghiệp "Xây dựng hệ thống chống xâm nhập dựa vào Intrusion Prevention System - IPS" của tác giả Tô Thanh Bình đã làm rõ cơ sở lý luận và sự cần thiết của việc chuyển dịch từ cơ chế phát hiện thụ động (IDS) sang ngăn chặn chủ động (IPS) trong bảo mật mạng doanh nghiệp. Thông qua việc nghiên cứu sâu cấu trúc Cisco IOS IPS và thiết lập thành công mô hình thực nghiệm mô phỏng trên GNS3 kết hợp VMware, tác giả đã chứng minh tính hiệu quả của hệ thống trong việc tự động phát hiện, cảnh báo SDEE/Syslog và ngăn chặn triệt để các cuộc tấn công DoS, Ping of Death, quét cổng Nmap và kết nối trái phép. Công trình cung cấp một tài liệu kỹ thuật có tính ứng dụng thực tiễn cao cho công tác học tập, nghiên cứu và triển khai an ninh mạng trên nền tảng thiết bị định tuyến Cisco.

Trích đoạn nội dung tài liệu

Chương 1. Tổng quan về hệ thông ngăn chặn xâm nhập Giới thiệu công nghệ IPS, các phương pháp và phòng chống tân công, phân tích sự khác biệt cơ bản giữa IPS và IDS, các mô hình của hệ thống IPS, cách hoạt động của IPS và phân loại IPS để đưa ra những ứng dụng mà công nghệ IPS mang lai. Giới thiệu chung về thiết bị IOS IPS Trình bày các khái niệm của Cisco IPS, kha nang ứng dụng IPS, tìm hiểu các câu lệnh và cách tạo luật trong |OS IPS và những khó khăn mắc phải khi triển khai IPS. Mô phỏng và thực nghiệm Chương này trình bày cách cấu hình trên một hệ thống mạng và được mô phỏng trén GNS3 va VMWare.

Tổng quan về hệ thống ngăn chặn xâm nhập IPS 1.1 Giới thiệu hệ thống ngăn chặn xâm nhập Intrusion Prention System viết tắt là IPS là hệ thống ngăn chặn xâm nhập có chức năng tự động theo dõi và ngăn chặn các sự kiện xảy ra trong và ngoài hệ thống mạng, phân tích và ngăn ngừa các vẫn đề liên quan tới bảo mật và an ninh. Hệ thống ngăn chặn xâm nhập giám sát bat ctr lưu lượng nảo của gói tin đi qua và đưa ra quyết định liệu đây có phải là một cuộc tấn công hay một sự truy cập hợp pháp — sau đó thực hiện hành động thích hợp để bảo vệ hệ thông mạng. Trước các hạn chế của hệ thông phát hiện xâm nhập — Intrusion Detection System (IDS), một vấn đề được đặt ra là làm sao hệ thông có thể tự động ngăn chặn được các cuộc tấn công chứ không chỉ đưa ra cảnh báo nhằm giảm thiểu công việc của người quản trị. Hệ thống ngăn ngừa xâm nhập được ra đời vào năm 2003, được phô biến rộng rải cho đến ngày nay và đã dần dần thay thế cho hệ thống phát hiện xâm nhập - IDS, bởi nó có thể giảm bớt các yêu cầu tác động của con người trong việc ngăn ngừa xâm nhập, có khả năng phát hiện các cuộc tấn công và tự động ngăn chặn các cuộc tấn công nhằm vào điểm yếu của hệ thống, tuy nhiên một hệ thống ngăn chặn xâm nhập có thể hoạt động như một hệ thống IDS bằng việc ngắt bỏ tính năng ngăn chăn xâm nhập.

Một hệ thống ngăn chặn xâm nhập phát triển đa dạng trong cả phần mềm và phần cứng, mục đích chung là quan sát các sự kiện trên hệ thống mạng và thông báo cho nhà quản trị biết về an ninh của hệ thống. Một số IPS so sánh các gói tin nghe được trên mạng với danh sách tấn công đã biết trước thông qua các dấu hiệu, khi lưu lượng mạng được xem là phù hợp với một dấu hiệu thì chúng sẽ ngăn chặn, hệ thông này gọi là Signature-Based IPS. Đối với việc quan sát lưu lương của hệ thống theo thời gian và xem xét các tình huỗng không phù hợp với bình thường thì sẽ ngăn lại, hệ thống này gọi là anomaly-Based IPS. Sau day ta tìm hiểu từng loại hệ thống: Hệ thống phát hiện xâm nhập mềm (Snort): Snort là một phần mềm phát hiện xâm nhập mã nguồn mở kết hợp với tường lửa (Hình 1-1) để tạo thành một hệ thống ngăn -13- chặn xâm nhập - PS, nó hoạt động dựa trên các dấu hiệu cho phép giám sát, phát hiện những cuộc tấn công.

Snort được nhiều tô chức, doanh nghiệp phát triển và biến thành sản phẩm thương mại như Sourcefire, Astaro, .