Báo cáo thực tập Ứng dụng DDOS để khai thác thông tin
TRƯỜNG CAO ĐẲNG CÔNG NGHỆ THÔNG TIN
KHOA CÔNG NGHỆ THÔNG TIN
CHUYÊN NGÀNH: CÔNG NGHỆ MẠNG VÀ TRUYỀN THÔNG
---------- ----------
ĐỀ TÀI: ỨNG DỤNG DDOS ĐỂ KHAI THÁC THÔNG TIN
GVHD
SVTH
LỚP
: PHAN THỊ QUỲNH HƯƠNG
: TRỊNH VĂN SƠN
: 14NTC
MSV
: 141C920022
Đà Nẵng, tháng 1 năm 2017
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
LỜI CẢM ƠN
Đầu tiên em xin gửi lời cảm ơn đến quý thầy cô khoa Công nghệ thông tin trường Cao
đẳng công nghệ thông tin Đà nẵng đã tạo điều kiện, cung cấp kiến thức cho em để thực hiện
đề tài của thực tập chuyên môn.
Đặc biệt em xin chân thành gửi lời cảm ơn đến giảng viên Phan Thị Quỳnh Hương
trong thời gian thực hiện thực tập đã tận tình hướng dẫn, giúp đỡ, chỉ bảo để em làm tốt đề
tài.
Ngày
tháng
năm 2017
Sinh viên thực hiện
Trịnh Văn Sơn
Trịnh Văn Sơn – 14NTC
Trang: ii
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
MỤC LỤC
MỞ ĐẦU .............................................................................................................................2
1. Lý do chọn đề tài ......................................................................................................2
2. Tìm hiểu về các kiểu tấn công mạng.......................................................................3
2.1 Tấn công kiểu thăm dò......................................................................................3
2.2 Tấn công kiểu truy cập......................................................................................3
2.3 Tấn công kiểu từ chối dịch vụ DoS ..................................................................3
2.3.1 Mục đích cả tấn công DoS .............................................................................4
2.3.2 Mục tiêu của tấn công DoS............................................................................4
2.4 Các mối đe dọa bảo mật....................................................................................4
CHƯƠNG 1. TỔNG QUAN IDS.......................................................................................6
1.1 Phát hiện xâm nhập ..............................................................................................6
1.1.1 Phát hiện dựa trên dấu hiệu (signature) .....................................................6
1.1.2 Phát hiện sự bất thường ................................................................................7
1.2 Cấu trúc hệ thống IDS..........................................................................................8
1.3 Phân loại IDS .....................................................................................................9
SNORT IDS...........................................................................................15
2.1 Khái quát.............................................................................................................15
2.2 Các thành phần của Snort..................................................................................17
2.2.1 Module giải mã.............................................................................................18
Trịnh Văn Sơn – 14NTC
Trang: iii
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
2.2.2 Module tiền xử lý..........................................................................................18
2.2.3 Module phát hiện..........................................................................................19
2.2.4 Module ghi và cảnh báo ..............................................................................20
2.2.5 Module output ..............................................................................................20
2.3 Các chế độ hoạt động của Snort ........................................................................21
2.3.2 Packet Logger Mode ....................................................................................22
2.3.3.1 NIDS Mode Output Options.........................................................................23
2.3.4 Inline Mode...................................................................................................24
1.1 Cài đặt..................................................................................................................27
3.1.1 Chuẩn bị........................................................................................................27
3.1.2 Tiến hành cài đặt.........................................................................................27
3.2 Triển khai Demo .................................................................................................33
3.2.1 Tạoluật cảnh báo Ping .................................................................................33
3.2.3 Thiết lập cảnh báo truy cập Web................................................................33
TỔNG KẾT.......................................................................................................................35
1. Những vấn đề đạt được..........................................................................................35
2. Những vấn đề chưa đạt được ................................................................................35
PHỤ LỤC ..........................................................................................................................37
Trịnh Văn Sơn – 14NTC
Trang: iv
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
CÁC THUẬT NGỮ VIẾT TẮT
IDS – Intrusion Detection System : Hệ thống phát hiện xâm nhập
NIDS: Network Intrusion Detection System.
HIDS: Host Intrusion Detection System.
DIDS: Distributed Intrusion Detection System.
ADOdb: là một thư viện ở mức trừu tượng dành cho PHP và Python dựa trên cùng khái
niệm với ActiveX Data Objects của Microsoft.
DdoS – Distribute Denial of Service. Từ chối dịch vụ phântán.
LAN – Local Area Network: mạng máy tính cục bộ.
Sensor: Bộ phần cảm biến của IDS.
Alert: Cảnh báo trong IDS.
TCP-Transmission Control Protocol : Giao thức điều khiển truyền vận.
Slow Scan: là tiến trình “quét chậm”.
SSL – Secure Sockets Layer.
SSH- Secure Shell:giao thức mạng để thiết lập kết nối mạng một cách bảo mật.
IPSec: IP Security.
DMZ – demilitarized zone : Vùng mạng vật lý chứa các dịch vụ bên ngoài của một tổ
chức.
CPU : Central Processing Unit- Đơn vị xử lý trung tâm.
UNIX: Unix hay UNIX là một hệ điều hành máy tính.
Host: Host là không gian trên ổ cứng để lưu dữ liệu dạng web và có thể truy
cập từ xa.
Protocol: Giao thức
Trịnh Văn Sơn – 14NTC
Trang: v
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
Payload: Độ tải của một gói tin trên mạng.
Attacker: Kẻ tấn công.
ADSL: Asymmetric Digital Subscriber Line – đường dây thuê bao số bất đối
xứng.
WLAN: Wireless Local Area – mạng cục bộ không dây.
Iptables : Hệ thống tường lửa trong linux.
ACID – Analysis Console for Intrusion Databases – Bảng điều khiển phân tích
dữ liệu cho hệ thống phát hiện xâm nhập
BASE – Basic Analysis and Security Engine – Bộ phận phân tích gói tin
Software: Phần mềm
OS : Operating System : hệ điều hành
OSI : Open Systems Interconnection : mô hình 7 tầng OSI
Trịnh Văn Sơn – 14NTC
Trang: vi
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
DANH MỤC CÁC HÌNH VẼ TRONG BÁO CÁO
Hình 1.2.1 Cấu trúc hệ thống IDS
Hình 1.41. Đặt giữa Router và FIRewall.
Hình 1.41. Đặt miền DMZ
Hình 1.41. Đặt gsau Firewall
Hình 2.1.1 Cấu trúc Snort
Hình 2.2.1 Cấu trúc tập luật Snort
Hình 3.1.2.1 Cài đặt Snort
Hình 3.1.2.2 Xem card mạng của máy
Hình 3.1.2.3 Cài đặt Snort trong Service
Hình 3.1.2.1 Bật Snort trong service
Trịnh Văn Sơn – 14NTC
Trang: 1
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
MỞ ĐẦU
1. Lý do chọn đề tài
Ngày nay internet trở thành nền tảng chính cho sự trao đổi thông tin toàn cầu. Có thể
thấy rõ ràng là Internet đã và đang tác động lên nhiều mặt của đời sống chúng ta từ việc trao
đổi thông tin, tìm kiếm dữ liệu, đến các hoạt động thương mại, học tập, nghiên cứu làm việc
trực tuyến…Nhờ đó mà khoảng cách địa lý không còn là vấn đề lớn, trao đổi thông tin trở
nên nhanh chóng hơn bao giờ hết, việc tiếp cận kho tri thức của nhân trở nên dễ dàng hơn
…Có thể nói lợi ích mà nó mang lại rất lớn.
Nhưng trên môi trường thông tin này, ngoài các mặt tích cực có được, nó cũng tiềm ẩn
những tiêu cực, đặc biệt là trong vấn đề bảo vệ thông tin. Nếu thông tin bị mất mát, không còn
nguyên vẹn khi truyền đi hoặc giả sử bị kẻ xấu đánh cắp thì nó không chỉ ảnh hưởng đến cá
nhân, doanh nghiệp mà đôi khi còn ảnh hưởng đến quốc gia, khu vực thậm chí là cả thế giới
nữa .
Em thực hiện đồ án này với mong muốn không chỉ nghiên cứu những đặc trưng cơ bản
của hệ thống phát hiện xâm nhập trái phép với vai trò là phương pháp bảo mật mới bổ sung
cho những phương pháp bảo mật hiện tại, mà còn có thể xây dựng được một phần mềm IDS
phù hợp với điều kiện thực tế và có thể ứng dụng vào thực tiễn nhằm đảm bảo sự an toàn cho
các hệ thống và chất lượng dịch vụ cho người dùng.
IDS không chỉ là công cụ phân tích các gói tin trên mạng, từ đó đưa ra cảnh báo đến nhà
quản trị mà nó còn cung cấp những thông tin sau:
•
•
•
•
Các sự kiện tấn công.
Phương pháp tấn công.
Nguồn gốc tấn công.
Dấu hiệu tấn công.
Loại thông tin này ngày càng trở nên quan trọng khi các nhà quản trị mạng muốn thiết
kế và thực hiện chương trình bảo mật thích hợp cho một cho một tổ chức riêng biệt.
Trịnh Văn Sơn – 14NTC
Trang: 2
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
2. Tìm hiểu về các kiểu tấn công mạng
2.1 Tấn công kiểu thăm dò
Thăm dò là việc thu thập dữ liệu trái phép về tài nguyên, các lổ hỗng hoặc dịch vụ
của hệ thống. Các cách tấn công truy cập hay DoS thường được tiến hành bởi kiểu tấn
công thăm dò để tìm hiểu sơ lược về những thông tin bảo mật của một tổ chức, doanh
nghiệp hay công ty nào đó. Kẻ tấn công sử dụng kỹ thuật này để khám phá hệ thống mục
tiêu đang chạy trên hệ điều hành nào, các dịch vụ và các cổng nào đang được mở, địa
chỉ IP, kiến trúc hệ thống mạng...nhằm đưa ra những hình thức thâm nhập hợp lý. Thăm
dò và thu thập thông tin còn là cách duy nhất để biết được các kiểu kết nối, như Internet,
Intranet, Wireless… và các cấu trúc hệ thống đang được mục tiêu sử dụng.
2.2 Tấn công kiểu truy cập
Tấn công truy cập là kiểu tấn công mà các hacker lợi dụng các lỗ hỗng bảo mật và
các lỗi cấu hình hệ thống để lấy quyền xâm nhập trái phép vào hệ thống và thay đổi cấu
trúc thông tin của mục tiêu.
Kẻ tấn công thường tìm kiếm quyền truy cập bằng cách chạy một đoạn mã, các công
cụ hack hay khai thác một số điểm yếu của ứng dụng hoặc một dịch vụ đang chạy trên
máy chủ. Sau khi có quyền truy cập, kẻ tấn công sẽ tìm cách nâng cao đặc quyền của
mình, cài đặt các phần mềm backdoor, trojan để chiếm quyền truy cập
ở mức độ quản
trị (superuser, admin, root). Khi đã nắm toàn quyền, kẻ tấn công có thể điều khiển hệ thống
mạng mục tiêu để thực hiện các mục đích của mình, như một bước đệm để tấn công lên
các hệ thống máy chủ mẹ, hay sử dụng hệ thống mục tiêu như một agent để tấn công DoS
vào các hệ thống khác.
2.3 Tấn công kiểu từ chối dịch vụ DoS
Tấn công từ chối dịch vụ chỉ là tên gọi chung của cách tấn công làm một hệ
thống bị quá tải không thể cung cấp dịch vụ, hoặc phải ngưng hoạt động.
Tấn công DoS nói chung không nguy hiểm như các kiểu tấn công khác ở chỗ nó
không cho phép kẻ tấn công chiếm quyền truy cập hệ thống hay có quyền thay đổi hệ thống.
Tuy nhiên, nếu một máy chủ tồn tại mà không thể cung cấp thông tin, dịch vụ cho người
Trịnh Văn Sơn – 14NTC
Trang: 3
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
sử dụng, sự tồn tại là không có ý nghĩa nên thiệt hại do các cuộc tấn công DoS do máy
chủ bị đình trệ hoạt động là vô cùng lớn, đặc biệt là các hệ thống phục vụ các giao dịch
điện tử.
2.3.1 Mục đích cả tấn công DoS
Chiếm băng thông mạng và làm hệ thống mạng bị ngập (flood), khi đó hệ thống
mạng sẽ không có khả năng đáp ứng những dịch vụ khác cho người dùng bình thường.
Làm ngắt kết nối giữa hai máy, và ngăn chặn quá trình truy cập vào dịch vụ.
2.3.2 Mục tiêu của tấn công DoS
Tạo ra sự khan hiếm, những giới hạn và không đổi mới tài nguyên
Băng thông của hệ thống mạng(Network Bandwidth), bộ nhớ, ổ đĩa, và CPU Time
hay cấu trúc dữ liệu đều là mục tiêu của tấn công DoS.
Phá hoại hoặc thay đổi các thông tin cấu hình.
2.4
Các mối đe dọa bảo mật
Chính vì một hệ thống thông tin luôn bị đe doạ tấn công bởi các hacker nên việc
xây dựng một hệ thống bảo vệ xâm nhập là rất cần thiết đối với mỗi một tổ chức. Các hình
thức tấn công của hacker ngày càng tinh vi, chau chuốt hơn, cũng như mức độ tấn công
ngày càng khủng khiếp hơn, nên không một hệ thống nào có thể đảm bảo hoàn toàn không
bị xâm nhập. Nếu các tổ chức antivirut đang cố gắng cập nhập, sửa đổi để cung cấp cho
người dùng những phương pháp phòng chống hiệu quả thì bên cạnh đó, những kẻ tấn
công cũng ngày đêm nghiên cứu tung ra các hình thức xâm nhập, phá hoại khác.
Để bảo vệ tốt được một hệ thống, đầu tiên bạn phải có cái nhìn tổng quát về các nguy
cơ tấn công, nghĩa là đầu tiên bạn phải nhận định được bạn cần bảo vệ cái gì, và bảo vệ
khỏi ai, cũng như phải hiểu các kiểu đe dọa đến sự bảo mật mạng của bạn.
Thông thường sẽ có 4 mối đe dọa bảo mật sau:
•
•
•
Mối đe dọa ở bên trong
Mối đe dọa ở bên ngoài
Mối đe dọa không có cấu trúc và có cấu trúc
Trịnh Văn Sơn – 14NTC
Trang: 4
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
2.4.1 Mối đe dọa bên trong
Mối đe doạ bên trong là kiểu tấn công được thực hiện từ một cá nhân hoặc một tổ
chức được tin cậy trong mạng và có một vài quyền hạn để truy cập vào hệ thống. Hầu
hết chúng ta chỉ quan tâm xây dựng một thống firewall và giám sát dữ liệu truy cập ở các
đường biên mạng mà ít để ý đến các truy cập trong mạng nội bộ do sự tin tưởng vào các
chính sách và ACL được người quan trị quy định trong hệ thống. Do sự bảo mật trong một
mạng local thường rất lỏng lẻo nên đây là môi trường thường được các hacker sử dụng để
tấn công hệ thống.
Mối đe doạ bên trong thường được thực hiện bởi các nhân viên do có bất đồng với
công ty, các gián điệp kinh tế hay do một vào máy client đã bị hacker chiếm quyền truy cập.
Mối đe doạ này thường ít được để ý và phòng chống vì các nhân viên có thể truy cập vào
mạng và dữ liệu quan trọng của server.
2.4.2 Mối đe dọa từ bên ngoài
Mối đe doạ bên ngoài là việc các hacker cố gắng xâm nhập vào một hệ thống mạng
nào đó bằng một vài kỹ thuật (thăm dò, truy cập…) hay việc phá hoại truy cập hệ thống
(DoS, DDoS…). Xây dựng hệ thống firewall và cảnh báo để ngăn ngừa các mối đe doạ từ
bên ngoài là việc mà các công ty và tổ chức thường phải bỏ nhiều thời gian và tiền bạc để
đầu tư phát triển.
2.4.3 Mối đe dọa có cấu trúc và không cấu trúc
Mối đe doạ tấn công vào một hệ thống có thể đến từ rất nhiều loại. Phỗ biến nhất
là các hacker mới vào nghề, còn ít kiến thức và không có kinh nghiệm, thực hiện việc tấn
công bằng cách sử dụng các công cụ hoặc thực hiện tấn công DoS (mối đe doạ không
có cấu trúc).
Hoặc việc tấn công được thực hiện bởi các hacker thực thụ hoặc cả một tổ chức
(mối đe doạ có cấu trúc), họ là những người có kiến thức và kinh nghiệm cao, nắm rõ việc
hoạt động của các hệ thống, giao thức mạng cũng như các phương pháp thường được sử
dụng để ngăn chặn trong các firewall. Đây là mối đe doạ khó ngăn ngừa và phòng chống
nhất đối với các hệ thống mạng.
Trịnh Văn Sơn – 14NTC
Trang: 5
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
CHƯƠNG 1. TỔNG QUAN IDS
Hệ thống phát hiện xâm nhập – IDS(Intrusion Detection System) là một hệ thống
có nhiệm vụ giám sát các luồng dữ liệu traffic đang lưu thông trên mạng, có khả năng phát
hiện những hành động khả nghi, những xâm nhập trái phép cũng như khai thác bất hợp
pháp nguồn tài nguyên của hệ thống mà từ đó có thể dẫn đến xâm hại tính toàn ổn
định,tòan vẹn và sẵn sàng của hệ thống.
IDS có thể phân biệt được những cuộc tấn công xuất phát từ bên ngoài hay từ chính
bên trong hệ thống bằng cách dựa vào một database dấu hiệu đặc biệt về những cuộc tấn
công (smurf attack, buffer overflow, packet sniffers….). Khi một hệ thống IDS có khả
năng ngăn chặn các cuộc tấn thì nó được gọi là hệ thống ngăn chặn xâm nhập – IPS
(Intrusion Prevention System).
Có rất nhiều công cụ IDS, trong đó Snort được sử dụng rất nhiều vì khả năng tương
thích có thể hỗ trợ cài đặt trên cả hai môi trường Window và Linux. Khi Snort phát hiện
những dấu hiệu của một cuộc tấn công, tùy thuộc vào cấu hình và những qui tắc do người
quản trị qui định (Snort Rule) mà Snort có thể đưa ra những hành động khác nhau, như gửi
cảnh báo đến người quản trị hay ghi log file,loại bỏ các gói tin xâm nhập hệ thống….
1.1 Phát hiện xâm nhập
Phát hiện xâm nhập là một tập hợp các kỹ thuật và phương pháp được sử dụng để
phát hiện những hành vi đáng ngờ ở cấp độ mạng và máy chủ. Hệ thống phát hiện xâm
nhập có hai loại cơ bản: phát hiện xâm nhập dựa trên dấu hiệu signature và phát hiện sự bất
thường.
1.1.1 Phát hiện dựa trên dấu hiệu (signature)
Phương pháp này nhận dạng cuộc tấn công bằng cách cách so sánh dấu hiệu nhận
được với một tập hợp các dấu hiệu đã biết trước được xác định là sự tấn công. Phương pháp
này có hiệu quả với những dấu hiệu đã biết trước, như virus máy tính, có thể được phát hiện
bằng `cách sử dụng phần mềm để tìm các gói dữ liệu có liên quan đến sự xâm nhập trong
các giao thức Internet. Dựa trên một tập hợp các dấu hiệu và các quy tắc, hệ thống phát
hiện xâm nhập có thể tìm thấy và ghi log lại các hoạt động đáng ngờ và tạo ra các cảnh
Trịnh Văn Sơn – 14NTC
Trang: 6
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
báo. Tuy nhiên phương pháp này hầu như không có tác dụng với những cuộc tấn công
mới, quy mô phức tạp, sử dụng các kỹ thuật lẩn tránh (evation technique)… do chưa có
được thông tin về cuộc tấn công.
1.1.2 Phát hiện sự bất thường
Phương pháp này thiết lập và ghi nhận trạng thái hoạt động ổn định của hệ thống,
sau đó so sánh với trạng thái đang hoạt động hiện hành để kiểm tra sự chênh lệch. Khi
nhận ra sự khác biệt lớn trong hệ thống thì có khả năng đã xảy ra một cuộc tấn công, Ví
dụ như sự tăng đột biến các traffic truy cập vào một website…. Phát hiện xâm nhập dựa
trên sự bất thường thường phụ thuộc vào các gói tin hiện diện trong phần tiêu đề giao
thức. Trong một số trường hợp các phương pháp này cho kết quả tốt hơn so với IDS dựa
trên signature. Thông thường một hệ thống phát hiện xâm nhập thu thập dữ liệu từ mạng
và áp dụng luật của nó với dữ liệu để phát hiện bất thường trong đó. Snort là một IDS chủ
yếu dựa trên các luật lệ, và những plug-in hiện nay để phát hiện bất thường trong tiêu đề
giao thức.
Quá trình phát hiện có thể được mô tả bởi 3 yếu tố cơ bản nền tảng sau:
•
Thu thập thông tin (information source): Kiểm tra các gói tin trên mạng.
• Sự phân tích (Analysis): Phân tích các gói tin đã thu thập để nhận biết hành động
nào là tấn công.
• Cảnh báo (response): hành động cảnh báo cho sự tấn công được phân tích ở trên.
Snort sử dụng các quy tắc được lưu trữ trong các tập tin văn bản có thể sửa đổi. Nội
quy được nhóm lại trong các chuyên mục và được lưu trữ trong các tập tin riêng biệt.
Những tập tin này sau đó được tập hợp trong một tập tin cấu hình chính gọi là snort.conf.
Snort đọc những quy định này trong thời gian khởi động và xây dựng cấu trúc dữ liệu nội
bộ hoặc dây chuyền để áp dụng những quy tắc này capture dữ liệu. Tìm và sử lý dấu hiệu
theo các luật là một việc khó khăn vì việc xử lý yêu cầu phải capture và phân tích dữ liệu
trong một thời gian. Snort đi kèm với một tập hợp phong phú của các tiền quy tắc xác định
để phát hiện hoạt động xâm nhập, bạn cũng có thể tự thêm hoặc loại bỏ các quy tắc tùy
thuộc vào mục đích cảnh báo của hệ thống.
Trịnh Văn Sơn – 14NTC
Trang: 7
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
1.2 Cấu trúc hệ thống IDS
Hình 1.2.1 Cấu trúc hệ thống IDS
Các thành phần cơ bản
Sensor/Agent: Giám sát và phân tích các hoạt động. “Sensor” thường được dùng cho
dạng Network-base IDS/IPS trong khi “Agent” thường được dùng cho dạng Host-base
IDS/IPS. Sensor/Agent là các bộ cảm biến được đặt trong hệ thống nhằm phát hiện
những xâm nhập hoặc các dấu hiệu bất thường trên toàn mạng.
Management Server: Là thiết bị trung tâm dùng thu nhận các thông tin từ
Sensor/Agent và quản lý chúng, management server thường là các máy trạm trọng một hệ
thông. Một số Management Server có thể thực hiện việc phân tích các thông tin sự và nhận
dạng được các sự kiện này trong khi các Sensor/Agent đơn lẻ không thể nhận diện.
Database server: Dùng lưu trữ các thông tin từ Sensor/Agent hay Management
Server
Console: Là chương trình cung cấp giao diện có thể cài đăt trên một máy tính bình
thường dùng để phục vụ cho tác vụ quản trị, hoặc để giám sát, phân tích.
Trịnh Văn Sơn – 14NTC
Trang: 8
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
1.3 Phân loại IDS
Các hệ thống IDS được chia thành 2 loại sau:
Host-based IDS (HIDS): Sử dụng dữ liệu kiểm tra trên một hoặc vài máy
đơn để phát hiện xâm nhập.
Network-based IDS (NIDS): Sử dụng dữ liệu trên toàn bộ lưu thông mạng, cùng với
dữ liệu kiểm tra từ cá bộ cảm biến và một vài máy trạm để phát hiện xâm nhập.
1.3.1 Hệ thống phát hiện xâm nhập Host-Based (HIDS)
Host-base IDS (HIDS) kiểm tra sự xâm nhập bằng cách quan sát và phân tích các
thông tin ở mức độ host hay hệ điều hành trên những giao diện của hệ thống, như những
cuộc gọi (system call), bản ghi (audit log), hay những thông điệp lỗi (error message)…Một
hệ thống phát hiện xâm nhập host-base có thể kiểm tra các file hệ thống và những file
log ứng dụng để phát hiện dấu hiệu hoạt động của kẻ xâm nhập nhằm bảo vệ những tài
nguyên đặc biệt của hệ thống bao gồm những tập tin mà chỉ có thể tồn tại trên mỗi host.
Nhiệm vụ của HIDS là đưa ra phản ứng, nghĩa là nó sẽ gửi các thông báo đến người
quản trị khi phát hiện những sự kiện xảy ra trong thời gian thực. Khác với NIDS hoạt
động cùng với các bộ cảm biến sensor có nhiệm vụ giám sát và ngăn chặn các cuộc tấn
công trên một network segment hay trên toàn hệ thống mạng, HIDS thường được cài
đặt và giám sát các hoạt động trên mỗi máy tính độc lập nên nó có thể xác định xem
một cuộc tấn công có thành công hay không dựa vào những ảnh hưởng trên hệ thống.
HIDS thường được đặt trên các host xung yếu của hệ thống, và các server trong vùng
DMZ – thường là mục tiêu bị các hacker tấn công đầu tiên. Nhiêm vụ chính của HIDS
là giám sát các thay đổi trên hệ thống, bao gồm (không phải tất cả):
• Các tiến trình.
• Các entry của Registry.
• Mức độ sử dụng CPU.
• Kiểm tra tính toàn vẹn và truy cập trên hệ thống file.
• Một vài thông số khác. Các thông số này khi vượt qua một ngưỡng định
trước hoặc những thay đổi khả nghi trên hệ thống file sẽ gây ra báo động.
Trịnh Văn Sơn – 14NTC
Trang: 9
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
HIDS có một vai trò quan trọng trong hệ thống bởi vì không phải tất cả các cuộc
tấn công đều được thực hiện qua mạng. Ví dụ như bằng cách giành quyền truy cập ở
mức vật lý (physical access) vào một hệ thống máy tính, kẻ xâm nhập có thể tấn công một
hệ thống hay dữ liệu mà không cần phải tạo ra bất cứ lưu lượng mạng (network traffic)
nào cả, do đó đối với các hệ thống sử dụng NIDS sẽ không thể phát hiện ra các tấn công
này. Một ưu điểm khác của HIDS là nó có thể ngăn chặn các kiểu tấn công dùng sự phân
mảnh hoặc TTL, vì một host phải nhận và tái hợp các phân mảnh khi xử lí lưu lượng nên
IDS dựa trên host có thể giám sát chuyện này.
Lợi thế của H-IDS:
• Có khả năng xác định người dùng liên quan tới một sự kiện.
• HIDS có khả năng phát hiện các cuộc tấn công diễn ra trên một máy.
• Có thể phân tích các dữ liệu mã hoá.
•
Cung cấp các thông tin về host trong lúc cuộc tấn công diễn ra
Hạn chế của H-IDS:
•
Thông tin từ HIDS là không đáng tin cậy ngay khi sự tấn công vào host này
thành công.
•
•
•
Khi hệ điều hành bị "hạ" do tấn công, đồng thời HIDS cũng bị "hạ".
HIDS phải được thiết lập trên từng host cần giám sát .
HIDS không có khả năng phát hiện các cuộc dò quét mạng (Nmap,
Netcat…)
•
•
•
HIDS cần tài nguyên trên host để hoạt động.
HIDS có thể không hiệu quả khi bị DOS.
Đa số chạy trên hệ điều hành Window. Tuy nhiên cũng đã có 1 số chạy được
trên UNIX và những hệ điều hành khác.
Trịnh Văn Sơn – 14NTC
Trang: 10
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
1.3.2Hệ thống phát hiện xâm nhập Network-Based ( NIDS)
Network-based IDS (NIDS) kiểm tra sự xâm nhập bằng cách sử dụng các bộ dò tìm và
các bộ cảm biến (sensor) cài đặt trên toàn mạng để giám sát hoạt động của hệ thống. Những
bộ cảm biến thu nhận và phân tích lưu lượng cũng như kiểm tra các header của tất cả các
gói tin trong thời gian thực, sau đó so sánh các kết quả nhận được với một database các
mô tả sơ lược được định nghĩa hay là những dấu hiệu để nhận định có xảy ra một cuộc tấn
công hay không. Khi ghi nhận được một sự kiện bất thường, bộ cảm biến sẽ gửi tín hiệu
cảnh báo đến trạm quản trị và thực hiện vài hành động dựa vào các rule đã được cấu hình
trước.
NIDS thường được đặt ở những vị trí trọng yếu như những network interface kết
nối hệ thống giữa mạng bên trong và mạng bên ngoài để giám sát toàn bộ lưu lượng
vào ra, do đó nó có thể giám sát toàn bộ các traffic lưu thông trên mạng. Việc giám sát dựa
vào các bộ cảm biến sensor và các trạm nên hệ thống không cần phải nạp các phần mềm
và quản lý trên mỗi máy trong mạng. NIDS phát hiện các tấn công ngay khi xảy ra, vì
thế việc cảnh báo và đối phó có thể được thực hiện một cách nhanh chóng. Tuy nhiên NIDS
sẽ gặp khó khăn trong việc xử lý toàn bộ các gói tin trên một mạng có mật độ traffic cao,
dẫn đến việc bỏ sót một số gói tin có thể là nguyên nhân gây nên các lỗ hỗng cho các cuộc
tấn công vào hệ thống. HIDS và NIDS có những ưu và khuyết điểm riêng trong việc giám
sát và đưa ra các cảnh báo, tùy vào từng mô hình mà mỗi người quản trị sẽ lựa chọn
cho mình những chính sách xây dựng các IDS phù hợp cho từng hệ thống mạng. Trong
thực tế, NIDS thường được sử dụng tại biên mạng nhằm phát hiện các dấu hiệu tấn công
và hạn chế các tấn công này ở mức network. Đối với những máy chủ hoặc máy client
quan trọng, việc bổ sung HIDS cho các máy này là cần thiết để tăng cường khả năng bảo
mật khi kết hợp với các hệ NIDS trong cùng hệ thống.
Lợi thế của N-IDS
•
•
•
Quản lý được cả một network segment (gồm nhiều host).
Cài đặt và bảo trì đơn giản, không ảnh hưởng tới mạng.
Tránh DOS ảnh hưởng tới một host nào đó.
Trịnh Văn Sơn – 14NTC
Trang: 11
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
•
•
Có khả năng xác định lỗi ở tầng Network (trong mô hình OSI).
Độc lập với OS.
Hạn chế của N-IDS
•
•
•
•
Có thể xảy ra trường hợp báo động giả.
Không thể phân tích các gói tin đã được mã hóa (vd: SSL, SSH, IPSec…)
NIDS đòi hỏi phải được cập nhật các signature mới nhất để thực sự an toàn.
Có độ trễ giữa thời điểm bị tấn công với thời điểm phát báo động. Khi báo
động được phát ra, hệ thống có thể đã bị tổn hại.
•
Không cho biết việc tấn công có thành công hay không.
1.4 Những vị trí IDS nên được đặt trong Network Topology
Tùy thuộc vào cấu trúc liên kết mạng của bạn, bạn có thể muốn đặt hệ thống phát
hiện xâm nhập tại một hoặc nhiều địa điểm. Nó cũng phụ thuộc vào loại hoạt động xâm
nhập bạn muốn phát hiện: bên trong, bên ngoài hoặc cả hai. Ví dụ, nếu bạn chỉ muốn phát
hiện hoạt động xâm nhập bên ngoài, và bạn chỉ có một router kết nối với Internet, nơi
tốt nhất cho một hệ thống phát hiện xâm nhập có thể được là bên trong các bộ định
tuyến hay tường lửa. Nếu bạn có nhiều đường vào Internet, bạn có thể muốn đặt IDS ở
mỗi điểm ra vào. Tuy nhiên nếu bạn muốn phát hiện một cách tốt nhất các mối đe dọa trong
một mạng nội bộ, bạn có thể muốn đặt một IDS trong mỗi phân đoạn mạng.
Trong nhiều trường hợp bạn không cần phải có các hoạt động phát hiện xâm nhập
trong tất cả các phân đoạn mạng và bạn có thể muốn hạn chế nó chỉ đến các khu vực mạng
nhạy cảm. Lưu ý rằng việc triển khai hệ thống phát hiện xâm nhập nhiều hơn có nghĩa
là làm việc nhiều hơn và chi phí bảo trì hơn. Quyết định của bạn thực sự phụ thuộc vào
chính sách bảo mật của bạn, trong đó xác định những gì bạn thực sự muốn bảo vệ từ tin
tặc.
Trịnh Văn Sơn – 14NTC
Trang: 12
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
Hình 1.41. Đặt giữa Router và FIRewall.
Hình 1.4.2 Đặt trong miền DMZ
Trịnh Văn Sơn – 14NTC
Trang: 13
Triển khai DEMO hệ thống phát hiện xâm nhập IDS với Snort
Hình 1.4.3 Đặt sau Firewall
Trịnh Văn Sơn – 14NTC
Trang: 14
Tải về để xem bản đầy đủ
48 trang
24340
Free
Bạn đang xem 20 trang mẫu của tài liệu "Báo cáo thực tập Ứng dụng DDOS để khai thác thông tin", để tải tài liệu gốc về máy hãy click vào nút Download ở trên
File đính kèm:
- bao_cao_thuc_tap_ung_dung_ddos_de_khai_thac_thong_tin.docx
