Luận văn Nghiên cứu giải pháp an toàn thông tin và ứng dụng tại Viện khoa học công nghệ sáng tạo Việt Nam
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
NGUYỄN CÔNG TÙNG
NGHIÊN CỨU GIẢI PHÁP AN TOÀN THÔNG TIN
VÀ ỨNG DỤNG TẠI VIỆN KHCN SÁNG TẠO VIỆT NAM
LUẬN VĂN THẠC SĨ KỸ THUẬT
(Theo định hướng ứng dụng)
HÀ NỘI – NĂM 2020
HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG
NGUYỄN CÔNG TÙNG
NGHIÊN CỨU GIẢI PHÁP AN TOÀN THÔNG TIN
VÀ ỨNG DỤNG TẠI VIỆN KHCN SÁNG TẠO VIỆT NAM
Chuyên ngành: Hệ thống thông tin
Mã số: 8.48.01.04
LUẬN VĂN THẠC SĨ KỸ THUẬT
(Theo định hướng ứng dụng)
NGƯỜI HƯỚNG DẪN KHOA HỌC: TS. NGUYỄN TẤT THẮNG
HÀ NỘI – NĂM 2020
i
LỜI CAM ĐOAN
Tôi cam đoan đề tài: “Nghiên cứu giải pháp an toàn thông tin và ứng dụng
tại Viện KHCN Sáng tạo Việt Nam” là công trình nghiên cứu của riêng tôi dưới sự
hướng dẫn của TS. Nguyễn Tất Thắng.
Những phân tích, kết luận, kết quả trong luận văn này đều là kết quả của tác
giả, số liệu nêu ra là trung thực và chưa từng được công bố trong bất kỳ công trình
nào khác.
Hà Nội, ngày 10 tháng 11 năm 2020
Tác giả
Nguyễn Công Tùng
ii
LỜI CẢM ƠN
Lời đầu tiên cho tôi xin gửi lời cảm ơn chân thành đến các thầy, cô giáo của
Học viện Công nghệ Bưu chính Viễn thông đã tận tình chỉ bảo, hướng dẫn, giúp đỡ
tôi trong suốt quá trình thực hiện luận văn này.
Tôi xin gửi lời cảm ơn chân thành đặc biệt tới thầy hướng dẫn khoa học TS.
Nguyễn Tất Thắng, tận tình chỉ bảo và hướng dẫn, đưa ra định hướng đúng đắn
giúp em hoàn thành được luận văn này.
Xin trân trọng cảm ơn các cảm ơn tập thể lớp Cao học hệ thống thông tin
khoá 2019-2021 đã đồng hành, khích lệ và chia sẻ trong suốt quá trình học tập và
làm luận văn.
Trong quá trình thực hiện luận văn, mặc dù bản thân đã cố gắng, chủ động
sưu tầm tài liệu, củng cố kiến thức… tuy nhiên khó có thể tránh khỏi những thiếu
sót, hạn chế. Rất mong nhận được sự chỉ dạy, góp ý của các thầy, cô giáo và các bạn
cùng lớp để luận văn được hoàn thiện hơn nữa và có tính ứng dụng cao hơn trong
thực tiễn.
Xin trân trọng cảm ơn!
Hà Nội, ngày 10 tháng 11 năm 2020
Học viên
Nguyễn Công Tùng
iii
MỤC LỤC
LỜI CẢM ƠN .........................................................................................................ii
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT............................................v
DANH SÁCH CÁC BẢNG....................................................................................vi
MỞ ĐẦU ................................................................................................................1
1. Lý do chọn đề tài.............................................................................................1
2. Tổng quan về đề tài nghiên cứu.......................................................................1
3. Mục tiêu nghiên cứu của đề tài........................................................................2
CHƯƠNG 1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN .....................................4
1.1 Tổng quan chung về tình hình an toàn thông tin ............................................4
1.2. Các mối đe dọa an toàn thông tin và phương thức tấn công mạng..........4
1.2.1 Các mối đe dọa an toàn thông tin............................................................4
1.2.2 Những cách thức tấn công hệ thống mạng máy tính .................................5
1.3 Giới thiệu tổng quan về hệ thống SIEM.........................................................6
1.3.1 Tổng quan về SIEM..................................................................................6
1.3.2. Chức năng chính của SIEM.....................................................................7
1.3.3. Các thành phần của hệ thống..................................................................8
1.3.4 Kiến trúc và cách thức hoạt động của hệ thống SIEM ..............................8
1.4. Kết luận chung chương một........................................................................15
CHƯƠNG 2. NGHIÊN CỨU GIẢI PHÁP AN TOÀN THÔNG TIN....................16
2.1 Các giải pháp giám sát an toàn thông tin hiện nay .......................................16
2.1.1 Giải pháp HP ArcSight ESM..................................................................16
2.1.2 Giải pháp IBM Security Qradar.............................................................17
2.1.3 Giải pháp Mcafee ESM ..........................................................................19
2.1.4 Giải pháp MARS của Cisco....................................................................19
2.1.5 Giải pháp AlienVault OSSIM .................................................................20
2.1.6 Giải pháp Splunk....................................................................................20
2.2. Lựa chọn giải pháp Splunk .........................................................................22
2.2.1. Giới thiệu tổng quan về giải pháp Splunk..............................................22
2.2.2 Tính năng của giải pháp Splunk .............................................................24
2.2.3 Thành phần của Splunk ..........................................................................29
iv
2.2.4 Cách thức hoạt động của Splunk ............................................................44
2.3 Kết luận chương 2 .......................................................................................46
CHƯƠNG 3. XÂY DỰNG HỆ THỐNG GIÁM SÁT AN TOÀN THÔNG TIN
CHO HỆ THỐNG MẠNG VIỆN KHCN SÁNG TẠI VIỆT NAM........................47
3.1 Khảo sát mạng nội bộ Viện KHCN Sáng tạo Việt Nam...............................47
3.1.1 Chức năng, trang thiết bị và mô hình hiện có của hệ thống mạng Viện
KHCN Sáng tạo Việt Nam...............................................................................47
3.1.2 Yêu cầu sử dụng.....................................................................................48
3.1.3 Hiện trạng các vấn đề liên quan trong quá trình vận hành, khai thác mạng
máy tính tại Viện KHCN Sáng tạo Việt Nam ...................................................48
3.2 Kiến nghị đề xuất giải pháp giám sát Splunk cho mạng máy tính tại Viện
KHCN Sáng tạo Việt Nam ....................................................................................49
3.3 Cài đặt và vận hành hệ thống.......................................................................48
3.4 Thử nghiệm và đánh giá ..............................................................................70
3.4.1 Nội dung thử nghiệm..............................................................................70
3.4.2 Kết quả thử nghiệm và đánh giá.............................................................71
3.5 Kết luận chương 3.....................................................................................71
KẾT LUẬN...........................................................................................................72
v
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
Từ viết tắt
Tiếng Anh
Tiếng Việt
Trí tuệ nhân tạo
AI
Artificial Intelligence
APT
Advanced Persistent Threat
Safety information
Mối đe dọa liên tục nâng cao
An toàn thông tin
ATTT
CNTT
IDS
Information Technology
Intrusion Detection System
Intrusion Prevention System
Science and technology
Local Area Network
Công nghệ thông tin
Hệ thống phát hiện xâm nhập
Hệ thống ngăn chặn xâm nhập
Khoa học công nghệ
IPS
KHCN
LAN
SIEM
Mạng lưới khu vực địa phương
Security Information and Event Thông tin bảo mật và quản lý sự
Management
kiện
VPN
Virtual Private Network
Mạng riêng ảo
vi
DANH SÁCH CÁC BẢNG
Bảng 2.1: Các trường trong Index..........................................................................34
Bảng 2.2: Vị trí lưu trữ các thư mục index.............................................................41
vii
DANH MỤC CÁC HÌNH
Hình 1.1: Bộ phận thiết bị nguồn.............................................................................8
Hình 1.2: Bộ phận thu thập log................................................................................9
Hình 1.3: Bộ phận phân tích, chuẩn hóa log ..........................................................10
Hình 1.4: Log đăng nhập trên hệ thống máy chủ windows.....................................11
Hình 1.5: Hệ thống firewall ASA hiển thị Log đăng nhập......................................11
Hình 1.6: Log được chuẩn hóa...............................................................................11
Hình 1.7: Bộ phận tương quan sự kiện...................................................................12
Hình 1.8: Kiểm soát quá trình đăng nhập tài khoản................................................12
Hình 1.9: Hệ thống SIEM hiển thị sự kiện cơ bản..................................................13
Hình 1.10: Sơ đồ minh họa về tương quan sự kiện.................................................13
Hình 1.11: Bộ phận lưu trữ log..............................................................................14
Hình 1.12: Bộ phận giám sát .................................................................................14
Hình 2.1: HP ArcSight Enterprise Security Manager.............................................16
Hình 2.4: Mô hình hoạt động của Splunk...............................................................22
Hình 2.5: Mô hình thu thập log tập trung...............................................................30
Hình 2.6: Mô hình thu thập log cân bằng tải..........................................................31
Hình 2.7: Cơ chế hoạt động của Splunk.................................................................44
Hình 2.8: Sơ đồ hoạt động của Splunk...................................................................45
Hình 3.1: Mô hình hoạt động của hệ thống mạng tại Viện KHCN Sáng tạo VN ....47
Hình 3.2: Hệ thống mạng của Viện KHCN Sáng tạo Việt Nam…………………..49
Hình 3.3 Cấu hình thông tin tài khoản ...................................................................49
Hình 3.4 Giải nén file sau khi tải về.......................................................................49
Hình 3.5 Đăng nhập vào tài khoản splunk và tiến hành cài đặt ..............................50
Hình 3.6 Bổ sung các thông tin cho tài khoản Splunk............................................51
Hình 3.7 Giao diện Slunk sau khi cài đăt ..............................................................51
Hình 3.8 Giao diện tùy chọn Add data của Splunk.................................................51
Hình 3.9 Giao diện tùy chọn Monitor của Splunk..................................................52
Hình 3.10 Lựa chọn File & Directories để lấy log..................................................52
Hình 3.11 Lựa chọn các file để thu thập log...........................................................53
Hình 3.12 Hiển thị thông tin trên Splunk – giao diện 1 .........................................53
Hình 3.13 Hiển thị thông tin trên Splunk – giao diện 2 ..........................................54
Hình 3.14 Thông tin hiển thị về sử dụng CPU – giao diện 1 ..................................54
Hình 3.15 Thông tin hiển thị về sử dụng CPU – giao diện 2 ..................................55
Hình 3.16 Thông tin hiển thị về sử dụng CPU – Giao diện 3 .................................55
Hình 3.17 Giao diện cấu hình của Splunk .............................................................56
viii
Hình 3.18 Lựa chọn Data inputs để lấy Log từ máy chủ Firewall Pfsense..............56
Hình 3.19 Lựa chọn Add New UDP để lấy Log từ máy chủ Firewall Pfsense........57
Hình 3.20 Giao diện hiển thị kết quả sau khi lưu port ...........................................57
Hình 3.21 Lựa chọn System Logs trên máy Pfsense ..............................................57
Hình 3.22 Lựa chọn Setting trên máy Pfsense........................................................58
Hình 3.23 Tìm kiếm thành công máy chủ Pfsense trên Splunk - giao diện 1..........58
Hình 3.24 Tìm kiếm thành công máy chủ Pfsense trên Splunk - giao diện 2..........59
Hình 3.25 Cài đặt Splunk Forwarder để lấy Log từ máy chủ Windows Server.......59
Hình 3.26 Chọn chấp nhận các điều khoản của splunk để cài đặt...........................60
Hình 3.27 Giao diện nhập địa chỉ IP và cổng kết nối .............................................60
Hình 3.28 Chọn Remote Windows Data................................................................61
Hình 3.29 Giao diện lựa chọn kiểu lấy log.............................................................61
Hình 3.30 Giao diện chọn Splunk Add-on for Windows .......................................62
Hình 3.31 Giao diện lựa chọn kết thúc quá trình cài đặt .......................................62
Hình 3.32 Giao diện lưu trữ 2 thư mục ..................................................................63
Hình 3.33 Splunk đã hoạt động trên Task Manager ...............................................63
Hình 3.34 Giao diện cấu hình của Splunk..............................................................64
Hình 3.35 Cấu hình Receive data thành công ........................................................64
Hình 3.36 Giao diện tìm kiếm của Splunk ............................................................65
Hình 3.37. Giao diện hiển thị kết quả tìm kiếm thành công máy chủ Windows .....65
Hình 3.38 Giao diện hiển thị dịch vụ DNS chạy trên máy chủ Windows ..............65
Hình 3.39 Giao diện hiển thị log của máy chủ Windows trên Splunk.....................66
Hình 3.40 Giao diện hiển thị tổng quan các thông số của máy chủ Windows ........66
Hình 3.41 Giao diện tổng quan hiển thị dịch vụ DNS trên Splunk .........................66
Hình 3.42 Giao diện lựa chọn kiểu lấy log trên Windows 10 .................................67
Hình 4.43 Giao diện nhập địa chỉ IP và cổng kết nối .............................................67
Hình 3.44 Giao diện lựa chọn kết thúc quá trình cài đặt trên Windows 10.............68
Hình 3.45 Giao diện hiển thị thông tin từ forwarding.............................................68
Hình 3.46 Giao diện hiển thị thông tin các error log ..............................................69
1
MỞ ĐẦU
1. Lý do chọn đề tài
Trong những năm gần đây, công nghệ thông tin (CNTT) là một trong những
lĩnh vực phát triển nhanh chóng, toàn diện và được ứng dụng rộng rãi trong tất cả
các lĩnh vực đời sống, xã hội. Khi các giá trị từ hệ thống CNTT mang lại ngày càng
lớn, các nguy cơ bị hacker tấn công ngày càng cao.
Hiện này đã có nhiều giải pháp bảo đảm an toàn thông tin cho hệ thống CNTT
đã được quan tâm nghiên cứu và triển khai. Tuy nhiên, thực tế, vẫn thường xuyên có
các hệ thống bị tấn công, bị đánh cắp thông tin, phá hoại gây ra những hậu quả vô
cùng nghiêm trọng đối với nhiều doanh nghiệp, cơ quan nhà nước cũng như toàn xã
hội.
Theo báo cáo thống kê của Microsoft, Việt Nam là những nước đứng đầu
trong 05 nước toàn cầu về nguy cơ nhiễm mã độc. Khu vực Đông Nam Á có 02
nước là Việt Nam và Indonesia. Cả hai nước có tỷ lệ bị nhiễm mã độc rơi vào
khoảng 46% ở quý II/2016, cao gấp đôi so với trung bình 21% toàn thế giới [4].
Tại Việt Nam, Cục An toàn thông tin – Bộ Thông tin & Truyền thông đã ghi
nhận trong năm 2018 có 10.220 cuộc tấn công mạng vào các hệ thống thông tin tại
Việt Nam. Trong 6 tháng đầu năm 2019 đã có tổng số 3.159 cuộc tấn công mạng
vào các hệ thống thông tin tại Việt Nam [26].
Trước những thực trạng cấp thiết đó, học viên xin chọn đề tài “Nghiên cứu
giải pháp an toàn thông tin và ứng dụng tại Viện KHCN Sáng tạo Việt Nam” làm
đề tài luận văn nhằm nghiên cứu, đưa ra các giải pháp giám sát an toàn thông tin
trong giai đoạn hiện nay.
2. Tổng quan về đề tài nghiên cứu
Luận văn nghiên cứu giải pháp giám sát an toàn thông tin dựa trên SIEM
(Security Information and Event Management) là hệ thống được thiết kế nhằm thu
thập và phân tích nhật ký, các sự kiện an toàn thông tin từ các thiết bị đầu cuối và
được lưu trữ tập trung. Hệ thống SIEM cho phép phân tích tập trung và báo cáo về
các sự kiện an toàn thông tin của tổ chức, phát hiện thông qua các bộ luật tương
quan (correlation rule).
Hệ thống SIEM có thể phục vụ rất nhiều công việc như: Quản lý tập trung,
giám sát an thông tin mạng, cải thiện hiệu quả trong phục sự cố. Trong Luận văn sẽ
tập trung tìm hiểu, phân tích, nghiên cứu chủ đề chính là giám sát an toàn thông tin.
2
Giám sát an toàn thông tin là việc sử dụng một hệ thống để liên tục theo dõi
một số thông tin, xem xét tình trạng hoạt động của các thiết bị, dịch vụ hệ thống đó,
cảnh báo cho quản trị viên trường hợp mạng không hoạt động hoặc có các sự cố
khác (tắc nghẽn, sập,...), hành vi tấn công (dựa trên tập luật đã được cấu hình), hành
vi bất thường ....
Thông thường một hệ thống CNTT tối thiểu cần có máy chủ (server), đường
truyền, các thiết bị kết nối (Repeater, Hub, Switch, Bridge,...), máy tính người dùng
(client), card mạng (Network Interface Card – NIC) để kết nối các máy tính lại với
nhau.
Một hệ thống giám sát gồm có nhiều thành phần:
- Log Source (Nguồn nhật ký/sự kiện)
- Event Collector: Thành phần thu thập nhật ký/sự kiện.
- Event Processor (Xử lý nhật ký/sự kiện)
- Magistrate (Thành phần lõi xuất ra các báo cáo, cảnh báo ATTT).
Các sự kiện diễn ra trong các thiết bị đều được ghi lại trong “log”. Nhiệm vụ
của hệ thống giám sát ATTT là sử dụng Event Collector thu thập log từ Log Source
(thành phần có log) và gửi về cơ sở dữ liệu trung tâm. Event Processor phân tích các
sự kiện được gửi về và báo cho quản trị viên để có các hành động ứng phó thích
hợp.
Giải pháp giám sát an toàn thông tin có khả năng phân tích, cảnh báo thời
gian thực các sự cố, nguy cơ mất ATTT đối với hệ thống. Với giải pháp này, hệ
thống quản lý sẽ được bảo đảm ATTT ở mức cao hơn. Và để hiểu rõ giải pháp giám
sát an toàn thông tin SIEM, cần phải nghiên cứu cả về mặt lý thuyết lẫn triển khai
ứng dụng.
3. Mục tiêu nghiên cứu của đề tài
Mục tiêu nghiên cứu của luận văn là khảo sát các yêu cầu và giải pháp an
toàn thông tin. Để đưa ra giải pháp an toàn thông tin cho Viện KHCN Sáng tạo Việt
Nam có khả năng triển khai áp dụng trong thực tế.
4. Đối tượng và phạm vi nghiên cứu
- Đối tượng nghiên cứu: Luận văn nghiên cứu về giải pháp an toàn thông
tin và các vấn đề liên quan tới giải pháp an toàn thông tin. Trong đó, Luận văn tập
trung vào nghiên cứu giải pháp Splunk trong việc xây dựng hệ thống giám sát, đảm
bảo an toàn thông tin. Cách thức chuẩn hóa sự kiện an toàn thông tin và đưa ra cảnh
báo
3
- Phạm vi nghiên cứu: Luận văn nghiên cứu một cách tổng quan về giải pháp
an toàn thông tin; đặc điểm, ưu điểm và nhược điểm của hệ thống. Nghiên cứu các
giải pháp xây dựng hệ thống; các vấn đề an toàn thông tin tại Viện KHCN Sáng tạo
Việt Nam và các giải pháp đảm bảo an toàn thông tin hiện nay.
5. Phương pháp nghiên cứu của đề tài
- Về mặt lý thuyết: Thu thập, khảo sát, phân tích các tài liệu liên quan đến
giải pháp toàn thông tin.
- Về mặt thực nghiệm: Khảo sát hệ thống CNTT của Viện KHCN Sáng tạo
Việt Nam và ứng dụng giải pháp an toàn thông tin tại Viện.
6. Bố cục luận văn
Luận văn được trình bày trong 3 chương:
Chương 1 của luận văn sẽ khảo sát tổng quan về tình hình an toàn thông tin
và các mối đe dọa an toàn thông tin.
Chương 2 của luận văn tập trung nghiên cứu các giải pháp an toàn thông
tin, từ đó sẽ đưa ra giải pháp an toàn thông tin
Chương 3 của luận văn tập trung nghiên cứu về hệ thống mạng Viện KHCN
Sáng tạo và đề xuất ứng dụng giải pháp an toàn thông tin thông qua nghiên cứu từ
chương 2 cho hệ thống CNTT của Viện KHCN Sáng tạo Việt Nam.
4
CHƯƠNG 1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN
Chương 1 của luận văn sẽ khảo sát tổng quan về tình hình an toàn thông tin
và các mối đe dọa an toàn thông tin, những yêu cầu, khái niệm cơ bản về giám sát
hệ thống mạng, cách ứng dụng cũng như các yêu cầu chung khi triển khai một hệ
thống giám sát an toàn thông tin. Nội dung chính của chương 1 bao gồm:
1.1 Tổng quan chung về tình hình an toàn thông tin
Ngày nay ở Việt Nam, các tổ chức, doanh nghiệp đều xây dựng, vận hành
một hệ thống mạng của riêng mình. Hệ thống mạng giúp gia tăng khả năng làm việc
giữa các nhân viên, các đơn vị với nhau, gia tăng hiệu suất và giúp cơ quan, tổ chức
hoạt động một cách hiệu quả. Tuy nhiên, khi vận hành hệ thống mạng, có rất nhiều
vấn đề có thể phát sinh làm ảnh hưởng đến khả năng hoạt động của hệ thống.
Những vấn đề đó đến từ nhiều nguyên nhân khác nhau, có thể là hỏng hóc máy móc
thiết bị hay lỗi do người dùng tạo ra. Hệ thống càng lớn, các hoạt động diễn ra bên
trong hệ thống phức tạp, các vấn đề nảy sinh cũng càng tăng theo. Do đó, hệ thống
mạng luôn cần có một hệ thống giám sát an toàn thông tin bao quát toàn bộ các hoạt
động, các vấn đề, có thể túc trực, quản lý, dễ dàng phát hiện các sự cố xảy ra bên
trong hệ thống, thông qua đó quản trị viên sẽ đưa ra các biện pháp ứng phó.
Từ tình hình trên, việc xây dựng hệ thống giám sát an toàn thông tin để quản
lý hệ thống mạng đang ngày cảng trở nên cấp thiết hơn bao giờ hết.
1.2. Các mối đe dọa an toàn thông tin và phương thức tấn công mạng
1.2.1 Các mối đe dọa an toàn thông tin
- Mối đe dọa không có cấu trúc:
Là những hành vi xâm nhập mạng trái phép một cách đơn lẻ, không có tổ
chức. Kiểu tấn công này có rất nhiều công cụ trên internet có thể hack và rất nhiều
script có sẵn. Chỉ cần ai muốn tìm hiểu có thể tải chúng về và sử dụng thử để nghiên
cứu trên mạng nội bộ của công ty. Rất nhiều người lại thích với việc tấn công và
xâm nhập vào máy tính và thử thách các hành động vượt tường lửa đi ra khỏi tầm
bảo vệ. Đa phần tấn công không có cấu trúc đều được gây ra bởi Script Kiddies hay
những người có trình độ thấp hoặc vừa phải vừa phải. Những cuộc tấn công đó có
thể do sở thích cá nhân, nhưng đôi khi có nhiều cuộc tấn công có ý đồ xấu để lấy
cắp thông tin. Các trường hợp đó sẽ có ảnh hưởng nghiêm trọng đến hệ thống và
các chủ thể sở hữu mạng. Thậm chí, có một đoạn mã độc là có thể phá hủy chức
năng của mạng nội bộ.
5
- Mối đe dọa có cấu trúc:
Là những cách thức tấn công hoặc xâm nhập hệ thống mạng trái phép, có
động cơ và kỹ thuật cao. Kiểu này hoạt động độc lập hoặc theo từng nhóm, chúng
thường có kỹ năng phát triển ứng dụng và sử dụng các kỹ thuật phức tạp nhằm xâm
nhập vào mục tiêu có chủ đích. Mục đích của các hình thức tấn công này có thể vì
tiền hoặc hoạt động chính trị, đôi khi là tức giận hay báo thù. Các nhóm tội phạm,
các đối tác, đối thủ cạnh tranh hay các tổ chức sắc tộc thuê các hacker để thực hiện
các cuộc tấn công, kiểm soát dạng structured threat. Những cuộc tấn công vào hệ
thống thường có nhiều mục đích từ trước, qua đó có thể lấy được mã nguồn của
những đối thủ cạnh tranh với nhau.
Các cuộc tấn công như vậy rất có thể gây hậu quả nghiêm trọng, có thể gây
nên sự phá hủy cho toàn hệ thống mạng của doanh nghiệp hoặc các tổ chức.
- Mối đe dọa từ bên ngoài:
Là những cuộc tấn công được tạo ra khi Hacker không có một quyền nào
kiểm soát trong hệ thống. Người dùng có thể bị tấn công trên toàn thế giới thông
qua mạng Internet. Những mối đe dọa từ bên ngoài này thường là mối đe dọa nguy
hiểm, các chủ doanh nghiệp sở hữu mạng LAN thường phải bỏ rất nhiều tiền và
thời gian để bảo vệ hệ thống.
- Mối đe dọa từ bên trong hệ thống:
Là kiểu tấn công được thực hiện từ một cá nhân hoặc một tổ chức có một số
quyền truy cập vào hệ thống mạng nội bộ của công ty. Những cách tấn công này
thường từ bên trong, được thực hiện từ một vị trí tin cậy trong mạng nội bộ, rất khó
phòng chống bởi đôi khi chính là các nhân viên truy cập mạng rồi tấn công. Nhưng
nếu có hệ thống giám sát và phân tích sẽ rất dễ bắt được các đối tượng này.
1.2.2 Những cách thức tấn công hệ thống mạng máy tính
- Cách thức lấy cắp thông tin bằng kiểu tấn công Packet Sniffers:
Chương trình ứng dụng này tạo ra dùng để bắt giữ các các gói tin lưu chuyển
trên hệ thống mạng hoặc trên một miền mạng riêng. Kiểu Sniffer thường được dùng
phân tích lưu lượng (traffic). Nếu một số ứng dụng không mã hóa mà gửi dữ liệu
dưới dạng clear text (telnet, POP3, FTP, SMTP,...) thì phần mềm sniffer cũng là
một công cụ giúp cho hacker bắt được các thông tin nhạy cảm như là username,
password, từ đó có thể đăng nhập vào các hệ thống máy chủ.
- Cách thức lấy cắp mật khẩu bằng Password attack:
6
Hacker thường tấn công lấy cắp mật khẩu bằng các phương pháp như: kiểu
brute-force attack, chương trình Trojan Horse, hoặc IP spoofing và packet sniffer.
Đối với kiểu dùng packet sniffer hoặc IP spoofing có thể lấy được tài khoản và mật
khẩu (user account và password), tuy nhiên các Hacker lại thường sử dụng kiểu
brute-force để lấy tài khoản và mật khẩu. Cách thức tấn công brute-force được thực
hiện bằng phương pháp dùng một chương trình chạy trên hệ thống mạng, sau đó cố
gắng login vào các phần chia sẻ tài nguyên trên máy chủ.
- Cách thức tấn công bằng Mail Relay:
Phương pháp này rất phổ biến hiện nay. Nếu máy chủ chạy dịch vụ Email
không cấu hình theo chuẩn hoặc tài khoản và mật khẩu của người dùng sử dụng
mail bị lộ. Các Hacker thường lợi dụng máy chủ Email để gửi rất nhiều mail cùng
lúc gây ngập băng thông mạng và phá hoại các hệ thống email khác. Đặc biệt kiểu
gắn thêm những đoạn script trong mail, các hacker có thể gây ra các cuộc tấn công
Spam đồng thời với khả năng tấn công gián tiếp đến các máy chủ chứa Database nội
bộ của công ty hoặc các cuộc tấn công DoS vào một mục tiêu nào đó có chủ đích.
- Cách thức tấn công tầng ứng dụng:
Hacker tấn công vào tầng ứng dụng được thực hiện bằng rất nhiều cách khác
nhau. Những cách thông dụng nhất thường là tấn công vào các điểm yếu của các
phần mềm như HTTP hoặc FTP. Các nguyên nhân chủ yếu của các cuộc tấn công
tầng ứng dụng là chúng sử dụng các cổng được mở bởi tưởng lửa của hệ thống. Ví
dụ Hacker thường tấn công dịch vụ Web server bằng cách sử dụng một số phần
mềm quét port 80 sau đó tấn công hoặc dịch vụ mail server qua port 25.
- Cách thức tấn công bằng Virus và phần mềm Trojan Horse:
Những nguy hiểm của các máy workstation và người dùng đầu cuối là những
tấn công virus và Trojan (thường gọi là Trojan horse). Phần mềm Virus thường là
có hại, chúng được đính kèm vào các chương trình thực thi để thực hiện một cách
thức phá hại nào đó. Còn phần mềm Trojan horse thì hoạt động theo kiểu gián điệp,
nghe lén và lấy cắp thông tin.
1.3 Giới thiệu tổng quan về hệ thống SIEM
1.3.1 Tổng quan về SIEM
SIEM là viết tắt của cụm từ Securit Information and Event Management
được hiểu đơn giản là giải pháp quản lý và phân tích sự kiện an toàn thông tin. Là
một hệ thống giám sát an ninh mạng tân tiến nhất hiện nay. Nó tiến hành một loạt
7
hoạt động như thu thập, phân tích, đánh giá nhật ký từ mọi thiết bị trong hệ
thống… Từ đó cho phép cho chúng ta phân tích một lượng lớn dữ liệu để phát hiện
các cuộc tấn công ẩn dấu đằng sau để các đơn vị, cơ quan có được cái nhìn toàn
cảnh về các sự kiện an ninh mạng.
Hệ thống SIEM là giải pháp kết nối giữa hai giải pháp SIM và SEM. Trong
đó SIM thực hiện việc thu thập nhật ký và phân tích đồng thời đưa ra cảnh báo.
Nhật ký này được lấy từ máy chủ, ứng dụng, thiết bị mạng, thiết bị chuyên về bảo
mật. Nó hỗ trợ việc theo dõi, giám sát hành động người dùng
SIEM thực hiện việc xử lý nhật ký và các sự kiện an ninh được gửi về từ các
thiết bị các thiết bị mạng, các máy chủ (Server), các ứng dụng. SIEM giúp theo dõi
sự kiện anh ninh của hệ thống và thực hiện các hành động bảo vệ an toàn hệ thống.
Nó gồm 2 thành phần chính thu thập nhật ký, thành phần phân tích nhật ký.
Giải pháp SIEM được xem là cách toàn diện, hoàn chỉnh và hiệu quả giúp
các cơ quan tổ chức thực hiện việc giám sát an toàn thông tin cho hệ thống. Đây là
giải pháp được ngày càng nhiều doanh nghiệp tổ chức áp dụng nhằm đảm bảo an
toàn tuyệt đối và nhất quán, linh hoạt trong việc lắp đặt và sử dụng thiết bị cho hệ
thống an ninh mạng công nghệ thông tin.
1.3.2. Chức năng chính của SIEM
- Quản lý tập trung: SIEM giúp tập hợp các dữ liệu thông qua giải pháp nhật
ký tập trung. Thiết bị đầu cuối của hệ thống thường ghi lại và truyền dữ liệu nhật ký
về máy chủ SIEM. Máy chủ SIEM nhận nhật ký từ nhiều máy và tiến hành thống
kê, phân tích và tạo ra một báo cáo duy nhất. Nhờ có hệ thống này mà giúp tiết
kiệm công sức trong việc tập trung dữ liệu và báo cáo an ninh định kỳ.
- Giám sát an toàn mạng: Đây chính là chức năng chính của SIEM, hệ thống
sẽ phát hiện được các sự cố mà các thiết bị thông thường không phát hiện được.
Cùng với đó nó có thể cho thấy sự tương quan giữa các thiết bị với nhau. Hệ thống
SIEM sẽ thấy được những phần khác nhau của các cuộc tấn công bởi Hacker thông
qua các thiết bị khác nhau. SIEM sẽ tiến hành kiểm tra và cách ly máy chủ mục tiêu
của cuộc tấn công.
- Giúp ích cho việc xử lý sự cố: SIEM có giao diện đơn giản để có thể xem
tất cả nhật ký từ nhiều thiết bị một cách thuận tiện để khắc phục sự cố một cách dễ
dàng và hiệu quả.
8
1.3.3. Các thành phần của hệ thống
Việc xây dựng hệ thống SIEM có thể tiến hành theo nhiều cách, thường gồm
3 thành phần chính như sau.
- Thu thập nhật ký ATTT: Phần thu thập ATTT gồm các giao diện có chức
năng thu thập nhật ký từ mọi thiết bị. Sau khi tập hợp nó sẽ gửi toàn bộ nhật ký về
thành phần phân tích.
- Phân tích và lưu trữ Log: các Log được tập trung về và tiến hành phân tích
so sánh. Sau khi thực hiện thuật toán phân tích hệ thống sẽ đưa ra các cảnh báo cần
thiết. Thậm chí còn có thể phân tích dữ liệu trong quá khứ.
- Quản trị tập trung: cung cấp giao diện quản lý tập trung cho toàn bộ hệ
thống giám sát an ninh. Hệ thống có sẵn hàng ngàn mẫu báo cáo để có thể sử dụng
ngay.
1.3.4 Kiến trúc và cách thức hoạt động của hệ thống SIEM
Kiến trúc của hệ thống SIEM bao gồm: Thiết bị nguồn; Thu thập log; Phân
tích và chuẩn hóa log; Kỹ thuật tương quan sự kiện; Lưu trữ log (nhật ký); Giám
sát. Cụ thể như sau:
1.3.4.1 Thiết bị nguồn trong kiến trúc SIEM
Thiết bị nguồn: là các thiết bị đầu vào cung cấp các dữ liệu thu thập cho hệ
thống SIEM, nó nằm ở vị trí đầu tiên trong kiến trúc của hệ thống SIEM được biểu
thị trên Hình 1-1.
Thiết bị
nguồn
Thu thập
nhật ký
Phân tích,
Chuẩn hóa
Lưu trữ
nhật ký
Kỹ thuật tương
quan sự kiện
Giám Sát
Hình 1.1: Bộ phận thiết bị nguồn
Các thiết bị nguồn có thể là Firewall, Router, Switch hoặc có thể là những bản
ghi nhật ký từ một dịch vụ đang hoạt động. Đặc biệt người quản trị cần phải hiểu rõ
những nguồn log mà mình muốn lấy sẽ tiết kiệm được rất nhiều công sức, thời gian
và giảm sự phức tạp trong triển khai.
9
1.3.4.2 Bộ phận thu thập log
Thành phần thu thập log nằm ở bước 2 trong cấu trúc của SIEM (Hình 1-2).
Cơ chế thu thập các bản ghi log sẽ phụ thuộc vào từng thiết bị, dịch vụ dữ liệu đầu
vào nhưng cơ bản sẽ có hai phương thức: Phương thức đẩy nhật ký (Pull log) và
phương thức tự lấy nhật ký (Push log), ngoài ra còn có tính năng xây dựng nhật ký
để thu thập (Prebuilt Log collection) và tự tạo nhật ký thu thập log (Custom Log
Collection), đồng thời còn kết hợp nhiều cách thu thập log khác (Mixed
Environments).
- Đẩy nhật ký (Pull log)
Những bản ghi log sẽ được đẩy về từ các thiết bị nguồn. Phương pháp này rất
dễ dàng cấu hình và cài đặt, người quản trị sẽ thiết lập một bộ tiếp nhận log, sau đó
kết nối log từ thiết bị nguồn đến bộ phận tiếp nhận log.
Hình 1.2: Bộ phận thu thập log
Phương án này đôi khi bị thất lạc gói tin hoặc gửi tin không tới đích, dẫn tới
có thể hệ thống không đủ gói tin để phân tích và đưa ra thông tin sai lệch.
Nếu Hacker sử dụng một cuộc tấn công vào hệ thống có chủ ý nhằm chống lại
SIEM thì hacker có thể làm sai lệch các thông tin và thêm các dữ liệu rác vào
SIEM. Qua đó người quản trị phải rất hiểu biết về các thiết bị gửi các bản ghi log
cho SIEM là điều rất quan trọng, quyết định tới thành công của hệ thống.
- Lấy nhật ký (Push log)
Những bản ghi log sẽ được hệ thống SIEM gửi bản tin yêu cầu tới thiết bị
nguồn và lấy bản ghi log về. Phương pháp Pull log đòi hỏi SIEM tạo nối tới các
thiết bị nguồn đồng thời chủ động lấy những bản ghi từ những thiết bị nguồn đó.
Việc kết nối để lấy những bản ghi log của Pull Log có thể là nhiều giờ hoặc
một số phút, đôi khi vài giây, nó phụ thuộc vào lượng log của thiết bị nguồn ít hoặc
nhiều. Lúc này người quản trị phải hiểu rõ khối lượng log ở thiết bị nguồn để cấu
hình thời gian để gửi log về hoặc để mặc định cho SIEM.
10
- Xây dựng hệ thống để thu thập nguồn log
Với phương pháp này sẽ xây dựng sẵn hệ thống, tạo ra phương pháp xác thực
và các quy tắc, giao thức để tập hợp log. Với phương pháp này thì việc lấy các bản
ghi log sẽ rất đơn giản. Nhưng điểm khó của nó là những ứng dụng có những bản
ghi không tuân theo quy tắc hoặc giao thức sẽ gặp khó khăn trong việc thu thập log.
- Xây dựng theo phương pháp tự thu thập log
Trong hệ thống mạng sẽ có rất nhiều trang thiết bị và các dòng khác nhau, lúc
này nguồn log cũng khác nhau. Người quản trị sẽ xây dựng một phương pháp riêng
để lấy bản ghi log cung cấp cho SIEM. Qua đó sẽ kiểm soát được tất cả các nguồn
log và cả quá trình phân tích, tìm kiếm log.
- Phối hợp nhiều phương pháp để thu thập log
Khi hệ thống mạng có nhiều thiết bị, nhiều nguồn log đổ về, người quản trị sẽ
cần nhiều phương pháp thu thập log. Quản trị viên có thể lấy log qua Syslog, hoặc
cơ sở dữ liệu MySQL sẽ lưu các bản ghi log trong một tệp tin trên máy chủ, còn
Windows Server sẽ lưu các log trên ổ C của hệ điều hành. Qua các phương pháp đó
sẽ cần các giao thức khác nhau để lấy log về.
1.3.4.3 Bộ phận phân tích và chuẩn hóa log
Thông qua bộ phận thu thập log, rất nhiều kiểu bản ghi khác nhau với định
dạng nguồn khác nhau sẽ được chuyển về SIEM, để các bản ghi này hoạt động hiệu
quả thì hệ thống cần phải đưa về một định dạng chuẩn duy nhất. Việc chuyển đổi
các bản ghi này về dạng chuẩn được thực hiện bởi bộ phận chuẩn hóa log (Hình 1-
3). Khi chuẩn hóa các bản ghi, hệ thống sẽ tổng hợp và phân tích nhanh hơn.
Thiết bị
nguồn
Thu thập
nhật ký
Phân tích,
Chuẩn hóa
Lưu trữ
nhật ký
Kỹ thuật tương
quan sự kiện
Giám Sát
Hình 1.3: Bộ phận phân tích, chuẩn hóa log
Mỗi một hệ thống khác nhau thì nguồn vào các bản ghi cũng khác nhau, như
Windows Server Event Log ở (Hình 1-4) và log đăng nhập trên Firewall ASA ở (Hình
1-5), cả hai nguồn cho thấy đều là log người dùng đăng nhập vào thiết bị. Các cách
đăng nhập vào hệ thống là khác nhau nhưng những hành động đó là tương tự nhau.
Tải về để xem bản đầy đủ
85 trang
19540
Free
Bạn đang xem 20 trang mẫu của tài liệu "Luận văn Nghiên cứu giải pháp an toàn thông tin và ứng dụng tại Viện khoa học công nghệ sáng tạo Việt Nam", để tải tài liệu gốc về máy hãy click vào nút Download ở trên
File đính kèm:
- luan_van_nghien_cuu_giai_phap_an_toan_thong_tin_va_ung_dung.pdf
