Khóa luận Nghiên cứu triển khai hệ thống IDS/IPS
ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ
Trần Tiến Công
NGHIÊN CỨU TRIỂN KHAI HỆ THỐNG IDS/IPS
KHOÁ LUẬN TỐT NGHIỆP ĐẠI HỌC HỆ CHÍNH QUY
Ngành : Công nghệ thông tin
HÀ NỘI - 2009
ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ
Trần Tiến Công
NGHIÊN CỨU TRIỂN KHAI HỆ THỐNG IDS/IPS
KHOÁ LUẬN TỐT NGHIỆP ĐẠI HỌC HỆ CHÍNH QUY
Ngành : Công nghệ thông tin
Cán bộ hướng dẫn : Ths. Đoàn Minh Phương
Cán bộ đồng hướng dẫn : Ths. Nguyễn Nam Hải
HÀ NỘI – 2009
Lời cảm ơn
Đầu tiên, em xin gửi lời cảm ơn chân thành tới thầy Đoàn Minh Phương và đặc
biệt là thầy Nguyễn Nam Hải đã nhiệt tình giúp đỡ em trong quá trình lựa chọn cũng
như trong quá trình thực hiện khóa luận. Em cũng xin gửi lời cảm ơn thầy Đỗ Hoàng
Kiên, thầy Phùng Chí Dũng và thầy Nguyễn Việt Anh ở trung tâm máy tính, những
người đã chỉ dẫn em trong từng bước đề tài.
Để có thể thực hiện và hoàn thành khóa luận này, các kiến thức trong 4 năm
học đại học là vô cùng cần thiết, vì vậy em xin gửi lời cảm ơn tới tất cả các thầy cô
giáo đã truyền đạt cho em những bài học quý báu trong thời gian vừa qua.
Tôi xin cảm ơn bạn Vũ Hồng Phong và bạn Nguyễn Duy Tùng đã hỗ trợ tôi
thực hiện đề tài. Tôi cũng xin cảm ơn các bạn cùng lớp đã giúp đỡ tôi trong học tập.
Cuối cùng, em xin gửi lời cảm ơn tới gia đình em, nguồn động viên to lớn đã
giúp em thành công trong học tập và cuộc sống.
Tóm tắt nội dung
Nghiên cứu, triển khai các giải pháp phát hiện sớm và ngăn chặn sự thâm nhập
trái phép (tấn công) vào các hệ thống mạng ngày nay là một vấn đề có tính thời sự và
rất có ý nghĩa, vì quy mô và sự phức tạp của các cuộc tấn công ngày càng tăng.
Khóa luận này trình bày hệ thống hóa về các phương thức tấn công và các biện
pháp ngăn chặn chúng bằng cả lý thuyết và những minh họa mô phỏng thực tế; Những
tìm hiểu về giải pháp phát hiện sớm và ngăn chặn tấn công của thiết bị chuyên dụng
(IDS/IPS) của IBM: Proventia G200, việc thiết lập cấu hình và vận hành thiết bị, thử
nghiệm trong môi trường VNUnet, những đánh giá và nhận xét.
Thông qua tiến hành khảo sát hệ thống mạng VNUnet, khóa luận cũng chỉ ra
những khó khăn, vấn đề và hướng giải quyết khi triển khai IPS trên những hệ thống
mạng lớn như mạng của các trường đại học.
Do “ngăn chặn thâm nhập” là một công nghệ khá mới trên thế giới nên khóa
luận này là một trong những tài liệu tiếng việt đầu tiên đề cập chi tiết đến công
nghệ này.
Mục lục
BẢNG KÍ HIỆU VÀ CHỮ VIẾT TẮT ..............................1
DANH SÁCH BẢNG...........................................................1
DANH SÁCH HÌNH MINH HỌA......................................2
MỞ ĐẦU ..........................................................................3
CHƯƠNG 1.AN NINH MẠNG VÀ HỆ THỐNG MẠNG
VNUNET ..........................................................................4
1.1. AN NINH MẠNG.............................................................................................4
1.2. HỆ THỐNG MẠNG VNUNET........................................................................4
1.2.1. Khái quát về hiện trạng hệ thống mạng VNUNet .........................................4
1.2.2. Mục tiêu phát triển hệ thống mạng VNUnet.................................................5
CHƯƠNG 2. TẤN CÔNG VÀ THÂM NHẬP...................7
2.1. KIẾN THỨC CƠ SỞ.........................................................................................7
2.1.1. Thâm nhập.....................................................................................................7
2.1.2. Tấn công từ chối dịch vụ...............................................................................8
2.1.3. Lỗ hổng bảo mật .........................................................................................10
2.1.4. Virus, Sâu và Trojan ...................................................................................12
2.2. CÁC BƯỚC TẤN CÔNG VÀ THÂM NHẬP HỆ THỐNG...........................13
2.3. MÔ PHỎNG TẤN CÔNG VÀ THÂM NHẬP ...............................................17
2.3.1. Thu thập thông tin.......................................................................................17
2.3.2. Tấn công từ chối dịch vụ.............................................................................17
2.3.3. Thâm nhập qua Trojan................................................................................18
2.3.4. Thâm nhập qua lỗ hổng bảo mật ................................................................19
CHƯƠNG 3.THIẾT BỊ NGĂN CHẶN TẤN CÔNG VÀ
THÂM NHẬP ....................................................................22
3.1. CÁC KHÁI NIỆM CƠ BẢN...........................................................................22
3.2. THIẾT BỊ IPS PROVENTIA G200 ................................................................25
3.3. SITEPROTECTOR SYSTEM........................................................................27
3.3.1. SiteProtector System là gì?.........................................................................27
3.3.2. Quá trình thiết lập hệ thống SiteProtector .................................................29
3.4. CÀI ĐẶT VÀ CẤU HÌNH IPS .......................................................................31
3.4.1. Cài đặt.........................................................................................................31
3.4.2. Cấu hình hình thái hoạt động .....................................................................31
3.4.3. Cấu hình sự kiện an ninh ............................................................................32
3.4.4. Cấu hình phản hồi.......................................................................................35
3.4.5. Cấu hình tường lửa .....................................................................................42
3.4.6. Cấu hình protection domain .......................................................................44
3.4.7. Cấu hình cảnh báo......................................................................................46
3.5. NGĂN CHẶN TẤN CÔNG ĐÃ MÔ PHỎNG BẰNG IPS ............................48
3.5.1. Ngăn chặn các hình thức thu thập thông tin...............................................48
3.5.2. Ngăn chặn tấn công DoS ............................................................................49
3.5.3. Ngăn chặn thâm nhập qua backdoor – trojan ............................................50
3.5.4. Ngăn chặn thâm nhập qua lỗ hổng bảo mật...............................................50
3.6. TRIỂN KHAI THỰC TẾ ................................................................................51
CHƯƠNG 4. CÁC KẾT QUẢ ĐÃ ĐẠT ĐƯỢC VÀ ĐỊNH
HƯỚNG NGHIÊN CỨU TƯƠNG LAI ...........................58
4.1. KẾT QUẢ ĐẠT ĐƯỢC..................................................................................58
4.2. ĐỊNH HƯỚNG NGHIÊN CỨU TRONG TƯƠNG LAI................................58
PHỤ LỤC A.......................................................................60
PHỤ LỤC B .......................................................................63
PHỤ LỤC C.......................................................................65
PHỤ LỤC D.......................................................................68
PHỤ LỤC E .......................................................................72
BẢNG KÍ HIỆU VÀ CHỮ VIẾT TẮT
Kí hiệu và viết tắt
Giải thích
ĐHQGHN
IDS/IPS
Đại học Quốc gia Hà Nội
Hệ thống phát hiện/ngăn chặn thâm nhập
Hệ thống mạng Đại học Quốc gia Hà Nội
Tên dòng thiết bị IDS/IPS của hãng IBM
VNUnet
Proventia G 200
DANH SÁCH BẢNG
Bảng 1 – Thuật ngữ IDS/IPS.........................................................................................22
Bảng 2 – Hình thái hoạt động........................................................................................36
Bảng 3 – Phản hồi email................................................................................................36
Bảng 4 – Phản hồi Log Evidence ..................................................................................37
Bảng 5 – Phân loại cách ly ............................................................................................37
Bảng 6 – Phản hồi cách ly .............................................................................................38
Bảng 7 – Phản hồi SNMP..............................................................................................38
Bảng 8 – Phản hồi User Specified.................................................................................39
1
DANH SÁCH HÌNH MINH HỌA
Hình 1 – Sơ đồ kết nối logic của VNUnet..................................................................................5
Hình 2 - Minh họa trình tự tấn công.........................................................................................14
Hình 3 - Giao diện DoSHTTP..................................................................................................17
Hình 4 - Giao diện smurf attack ...............................................................................................18
Hình 5 - Giao diện client trojan beast.......................................................................................18
Hình 6 - Lỗi trong dịch vụ RPC ...............................................................................................19
Hình 7 - Giao diện metasploit ..................................................................................................20
Hình 8 - Giao diện metasploit (2).............................................................................................21
Hình 9 – Security Events..........................................................................................................34
Hình 10 – Response Filters.......................................................................................................42
Hình 11 – Protection Domain...................................................................................................45
Hình 12 - Protection Domain ...................................................................................................46
Hình 13 - Mức độ nghiêm trọng của thông báo .......................................................................47
Hình 14 - Minh họa thông báo .................................................................................................47
Hình 15 - Ngăn chặn thu thập thông tin ...................................................................................48
Hình 16 – Đánh dấu cảnh báo SYNFlood................................................................................49
Hình 17 –Ngăn chặn tấn công SYNFlood và Smurf Attack (Ping sweep)...............................50
Hình 18 - Ngăn chặn thâm nhập qua trojan Beast....................................................................50
Hình 19 – Đánh dấu cảnh báo MSRPC_RemoteActive_Bo ....................................................51
Hình 20 - Ngăn chặn tấn công qua lỗ hổng MSRPC RemoteActive........................................51
Hình 21 – Mô hình mạng VNUnet...........................................................................................52
Hình 22 – Sơ đồ triển khai IPS.................................................................................................53
Hình 23 – Khi có tấn công hoặc thâm nhập thì gửi mail cho cán bộ TTMT............................54
Hình 24 - Mô hình mạng VNUnet sau khi triển khai hệ thống IDS/IPS..................................55
Hình 25 - Hệ thống IPS gửi mail cho người quản trị ...............................................................56
Hình 26 - Các dò quét và tấn công thực tế ...............................................................................57
Hình 27 – Các hành vi khai thác điểm yếu an ninh..................................................................60
Hình 28 - Xu hướng phishing sắp tới .......................................................................................61
Hình 29 - Minh họa smurf attack .............................................................................................65
Hình 30 - Minh họa tấn công SYNFlood .................................................................................66
Hình 31 - Sơ đồ kết nối logic ...................................................................................................74
Hình 32 – Mô hình tổ chức.......................................................................................................75
2
MỞ ĐẦU
Với sự phát triển nhanh chóng của công nghệ và thông tin trên Internet, việc bảo
vệ an ninh mạng ngày càng quan trọng và có tính thời sự hàng ngày. Để chống lại tin
tặc ngày càng phát triển, đã có các ứng dụng phần mềm để hỗ trợ cùng với các thiết bị
phần cứng nhằm hạn chế các tác hại của virus và các hoạt động xâm nhập trái phép.
Khoá luận đề cập đến giải pháp phát hiện sớm và ngăn chặn tấn công, có ý nghĩa
khoa học là một trong những giải pháp mới và có hiệu quả cao, với thực tiễn có triển
khai cài đặt để bảo vệ hệ thống, chống lại được các tấn công mô phỏng, có thể sử dụng
để bảo đảm an ninh mạng ở một mức khá cao.
Đối tượng nghiên cứu là các hình thức tấn công thâm nhập và thiết bị phát hiện
ngăn chặn, cụ thể là sử dụng một thiết bị chuyên dụng (IDS/IPS) của IBM: Proventia
G200 trên hệ thống mạng của Trường Đại học Quốc gia.
Phương pháp nghiên cứu là tìm hiểu tài liệu trên mạng, tham khảo ý kiến các
chuyên gia, mô phỏng hệ thống, thiết lập cấu hình và vận hành thiết bị, thử nghiệm
trong môi trường VNUnet, sau đó có đánh giá và nhận xét.
Nội dung nghiên cứu bao gồm các vấn đề an ninh mạng, khảo sát hiện trạng hệ
thống mạng của Trường Đại học Quốc gia, các hình thức tấn công thâm nhập và thiết
bị phát hiện ngăn chặn, các bước cài đặt, cầu hình và vận hành thử nghiệm. Phần kết
luận nêu các kết quả đạt được, đánh giá và định hướng nghiên cứu tương lai có thể
được phát triển từ kết quả của khoá luận.
3
CHƯƠNG 1.AN NINH MẠNG VÀ HỆ THỐNG MẠNG VNUNET
1.1. AN NINH MẠNG
Theo các báo cáo an ninh năm 2007 và 2008 – phụ lục A và B, vấn đề đe dọa an
ninh hiện nay càng ngày càng nghiêm trọng. Có thể thấy rõ mức tăng đột biến của các
nguy cơ mạng như tấn công từ xa, spam hay phising. Thêm vào đó, các lỗ hổng bảo
mật ngày càng được phát hiện nhiều hơn trong khi người dùng vẫn chưa ý thức được
việc cập nhật đầy đủ các bản vá.
Chỉ vừa trong một thời gian ngắn về trước, tường lửa có thể ngăn chặn được hầu
hết các tấn công. Tuy nhiên, với sự phát triển ngày càng mạnh của ứng dụng nền Web
và worm, hầu hết các mạng hiện nay đều không an toàn kể cả với tường lửa và phần
mềm quét virus. Tường lửa giờ đây chỉ hiệu quả đối với những tấn công DoS phổ
thông hay những lỗ hổng bình thường, nó khó có thể ngăn chặn những tấn công dựa
trên tầng ứng dụng và worm.
Không chỉ lớp mạng ngoài bị tấn công mà kể cả những tài nguyên của mạng
trong – bao gồm nhiều những vùng tài nguyên nội bộ giá trị, những vùng lộ ra trên
Internet cũng đều bị khai thác và gây cho cơ quan và công ty nhiều thiệt hại. Vì vậy,
các thiết bị phát hiện và chống thâm nhập ngày càng trở nên cần thiết trong các cơ
quan và công ty hiện nay.
Hiện giờ có nhiều thiết bị phát hiện thâm nhập phổ biến như Internet Security
Systems (ISS), Lancope StealthWatch, Snort, và StillSecure Border Guard. Trong số
đó, sản phẩm của ISS có tiếng vang lớn nhất. Hiện nay, ngoài tính năng phát hiện thâm
nhập, các sản phẩm của hãng này đã được thêm vào tính năng ngăn chặn thâm nhập
thậm chí còn trước cả khi chúng đến được máy mục tiêu.
Để có thể quản trị và phát triển một hệ thống mạng an ninh tốt và bảo mật cao,
một yêu cầu hiện nay đối với những người quản trị là hiểu biết các tấn công và thâm
nhập, đồng thời biết cách ngăn chặn chúng.
1.2. HỆ THỐNG MẠNG VNUNET [4]
1.2.1. Khái quát về hiện trạng hệ thống mạng VNUNet
Phần này sẽ được đề cập chi tiết trong phụ lục E – Khảo sát hiện trạng hệ thống
mạng VNUnet. Ta có thể tóm tắt một số ý chính như sau :
• Hệ thống mạng ĐHQGHN là một hệ thống mạng có quy mô trung bình.
4
• Các VNUnet đã có hệ thống đường truyền thông khá tốt
• Kiến trúc phân tầng của mạng còn đơn giản, không ổn định làm giảm hiệu suất
mạng, gây lãng phí lớn các đầu tư tài nguyên của ĐHQGHN, gây ức chế tâm lý
người dùng, làm xuất hiện tư tưởng kết nối phân tán ra bên ngoài, đặt website ra
bên ngoài.
• Sử dụng không gian địa chỉ giả lập với thiết bị Proxy. Hệ thống an ninh và an
toàn rất yếu kém.
CPNET
112
TEIN2
INTERNET
Catalyst
2950
203.113.130.192/27
Router
3600
Proxy
Mail
Web
172.16.0.0/16
Catalyst
4507
Cáp
quang
10.10.0.0/16
10.1.0.0/16
TRƯỜNG
ĐH CÔNG
NGHỆ
Với hệ
thống thiết
bị ghép nối
mạng riêng
Hình 1 – Sơ đồ kết nối logic của VNUnet
1.2.2. Mục tiêu phát triển hệ thống mạng VNUnet
Để án phát triển mạng VNUnet đã đưa ra các mục tiêu cần phát triển như sau :
• Là mạng tích hợp đa dịch vụ: data (web 2.0, wap, Mail, SMS, MMS, e-
Document, ...), voice, DVD video, ...
5
• Là mạng cung cấp các ứng dụng trực tuyến, dịch vụ chia sẻ cộng đồng trực
tuyến phục vụ trực tiếp công tác quản lý, nghiên cứu khoa học và đào tạo. Làm
giảm kinh phí đầu tư, tăng cường hiệu suất khai thác các tài nguyên chia sẻ của
cá nhân, tập thể trên toàn hệ thống.
• Cung cấp đầy đủ các tư liệu, tạp chí điện tử theo nhu cầu người dùng.
• Có trung tâm dữ liệu mạnh.
• Hệ thống xương sống cáp quang đạt băng thông 10 Gbps, băng thông đến người
dùng cuối 1Gbps.
• Hệ thống kết nối không dây phục vụ các thiết bị xử lý thông tin di động phủ
khắp môi trường làm việc, học tập của ĐHQGHN, kể cả các ký túc xá.
• Phổ cập Video Conferencing phục vụ công tác đào tạo từ xa và tiếp nhận bài
giảng từ xa.
• Kết nối với bên ngoài ổn định, tốc độ cao theo nhiều hướng Lease line, Vệ tinh,
đảm bảo truy cập các tài nguyên bên ngoài một cách nhanh chóng như trên một
desktop ảo.
• Có giải pháp backup toàn bộ hệ thống và giải pháp an toàn điện hiệu quả.
• Có giải pháp quản lý giám sát một cách chuyên nghiệp để mạng hoạt động
thông suốt, ổn định, hiệu quả.
• Có giải pháp đảm bảo an toàn, an ninh chống thâm nhập, phá hoại, chống truy
cập trái phép.
• Hỗ trợ cán bộ, giảng viên có thể truy cập vào mạng nội bộ từ xa.
Để hoàn thành những mục tiêu đã đề ra này, việc nghiên cứu triển khai các công
nghệ tiên tiến trên thế giới là một vấn đề vô cùng cần thiết. Trong đó công việc quản
trị và đảm bảo an toàn, an ninh cho hệ thống mạng VNUnet phải được đặt lên hàng
đầu. Để xây dựng hệ thống an ninh mạng VNUnet, việc triển khai thiết bị phát hiện và
ngăn chặn thâm nhập IDS/IPS là một khâu quan trọng. Do đó, khóa luận này có ý
nghĩa thực tế rất lớn trong việc phát triển mạng Đại học quốc gia Hà Nội.
6
CHƯƠNG 2. TẤN CÔNG VÀ THÂM NHẬP
2.1. KIẾN THỨC CƠ SỞ
Để đảm bảo được an ninh mạng ngày nay, cần phải hiểu biết chi tiết về các vấn
đề liên quan đến an ninh. Đặc biệt là các khái niệm như thâm nhập, tấn công. Phần này
sẽ trình bày lý thuyết nền tảng về an ninh liên quan trực tiếp tới hệ thống IDS/IPS
được nói tới trong khóa luận.
2.1.1. Thâm nhập [9]
Một thâm nhập có thể coi như là một sự chiếm giữ hệ thống từ những người quản
trị. Thâm nhập có thể được thực hiện bởi “người bên trong” (những người có tài khoản
người dùng hợp lệ trong hệ thống) và họ dùng lỗ hổng của hệ điều hành để nâng cấp
quyền của họ. Thâm nhập cũng có thể được thực hiện bởi “người bên ngoài”, họ khám
phá ra những lỗ hổng bảo mật và những chỗ bảo vệ kém trong hệ thống mạng để
chiếm quyền điều khiển hệ thống.
Một thâm nhập có thể xảy ra dưới những dạng sau :
• Một virus, sâu hay trojan được cài vào máy qua những con đường như mail,
active X hay java script …
• Một mật khẩu bị mất trộm bằng những phương pháp như nghe trộm (sniffer),
nhìn trộm (shoulder surfing), tấn công vét cạn mã hoặc các phương pháp phá
mã khác.
• Chiếm đoạt những phiên dịch vụ hay những thiết bị không hỗ trợ mã hóa (telnet
cũ, ftp, IMAP hay POP mail …)
• Một tấn công vào lỗ hổng của các dịch vụ như ftp, Apache hay iis,…
• Thâm nhập vật lý vào máy tính và cướp tài khoản quản trị hay tạo những lỗ
hổng trong hệ thống cho phiên thâm nhập sau.
Một khi kẻ thâm nhập đã có được quyền hợp lệ với một máy tính hay một hệ
thống, họ thường cài đặt những phần mềm trojan mà che dấu sự điều khiển của họ với
hệ thống. Trojan là một chương trình giống như các chương trình khác mà người dùng
có thể muốn sử dụng, tuy nhiên khi sử dụng thì nó lại thực hiện những hoạt động bất
hợp pháp.
Một hành vi thâm nhập phổ thống khác là cài phần mềm nghe trộm hoặc
keylogger. Thông qua những máy bị chiếm quyền, kẻ thâm nhập có thể vươn ra cả
mạng bằng những mối quan hệ tin tưởng trên mạng.
7
Việc xác định được có thâm nhập trong mạng hay không là một việc khá khó
khăn vì những phần mềm gián điệp thường có cách để che giấu hoạt động đối với
người quản trị và người dùng. Chỉ có một cách để biết chắc chắn rằng có thâm nhập là
kiểm tra lưu lượng mạng tới các máy nghi ngờ ở bên ngoài, hoặc kiểm tra máy tính với
những công cụ an toàn.
2.1.2. Tấn công từ chối dịch vụ [11]
Tấn công từ chối dịch vụ DoS (Denial of Service) là kiểu tấn công với mục đích
làm cho máy bị tấn công không thể hoạt động một cách bình thường trong một khoảng
thời gian tạm thời hoặc không xác định. Đối tượng của DoS thường là các router, web
server, DNS server... Cách thức tấn công thông dụng là gửi tràn ngập các yêu cầu kết
nối đến máy đối tượng làm cho nó không thể phản hồi lại các kết nối hợp lệ hoặc phản
hồi một cách chậm chạp. DoS có thể khiến cho máy đối tượng bị khởi động lại hoặc
tiêu thụ một lượng lớn tài nguyên khiến cho nó không thể chạy các dịch vụ khác cũng
như gây tắc nghẽn đường truyền tới người dùng.
Có 5 loại tấn công DoS cơ bản:
• Tiêu thụ nguồn tài nguyên của máy như băng thông, bộ nhớ hoặc thời gian
xử lý.
• Phá hủy các thông tin cấu hình, như thông tin về định tuyến.
• Phá hủy các thông tin trạng thái, như tự khởi động lại phiên TCP.
• Phá hủy các thành phần vật lý.
• Gây tắc nghẽn đường truyền giữa người dùng với máy bị tấn công.
DoS có thể sử dụng các mã độc hại với mục đích:
• Sử dụng tối đa năng lực của bộ vi xử lý, làm cho nó không thực hiện được các
công việc khác.
• Gây ra các lỗi trong vi mã của máy.
• Gây ra các lỗi tuần tự trong các chỉ thị, khiến cho máy rơi vào trạng thái bất ổn
hoặc treo đơ.
• Khai thác các lỗi trong hệ điều hành gây nên việc thiếu tài nguyên và lỗi
thrashing.
• Làm treo hệ điều hành.
• Tấn công iFrame DoS, một văn bản HTML được tạo ra để gọi đến một trang
web chứa nhiều thông tin nhiều lần, cho đến khi chúng lưu trữ một lần gọi vượt
quá băng thông giới hạn.
8
Có rất nhiều cách thức cũng như loại tấn công từ chối dịch vụ. Dưới đây là một
số loại tấn công tiêu biểu :
• Smurf Attack
• SYNFlood
• Land Attack
• UDP Flood
• Tear Drop
Chi tiết về các cách tấn công này xem trong phụ lục C.
Tấn công từ chối dịch vụ phân tán (Distributed DoS)
Tấn công từ chối dịch vụ phân tán xảy ra khi có nhiều máy trạm cùng tham gia vào
quá trình làm ngập lụt băng thông hoặc tài nguyên của máy bị tấn công. Để thực hiện
được tấn công DDoS, kẻ tấn công xâm nhập vào các hệ thống máy tính, cài đặt các
chương trình điều kiển từ xa và sẽ kích hoạt đồng thời các chương trình này vào cùng
một thời điểm để đồng loạt tấn công vào một mục tiêu. Cách thức này có thể huy động
tới hàng trăm thậm chí hàng ngàn máy tính cùng tham gia tấn công một lúc (tùy vào sự
chuẩn bị trước đó) và có thể ngốn hết băng thông của mục tiêu trong nháy mắt.
Các cách phòng chống
Hậu quả mà DoS gây ra không chỉ tiêu tốn nhiều tiền bạc, và công sức mà còn mất rất
nhiều thời gian để khắc phục. Để phòng chống DoS có thể sử dụng một số biện pháp sau:
• Mô hình hệ thống cần phải được xây dựng hợp lý, tránh phụ thuộc lẫn nhau quá
mức. Bởi khi một bộ phận gặp sự cố sẽ làm ảnh hưởng tới toàn bộ hệ thống.
• Thiết lập mật khẩu mạnh (strong password) để bảo vệ các thiết bị mạng và các
nguồn tài nguyên quan trọng khác.
• Thiết lập các mức xác thực đối với người sử dụng cũng như các nguồn tin trên
mạng. Đặc biệt, nên thiết lập chế độ xác thực khi cập nhật các thông tin định
tuyến giữa các router.
• Xây dựng hệ thống lọc thông tin trên router, firewall… và hệ thống bảo vệ
chống lại SYN flood.
• Chỉ kích hoạt các dịch vụ cần thiết, tạm thời vô hiệu hoá và dừng các dịch vụ
chưa có yêu cầu hoặc không sử dụng.
• Xây dựng hệ thống định mức, giới hạn cho người sử dụng, nhằm mục đích ngăn
ngừa trường hợp người sử dụng ác ý muốn lợi dụng các tài nguyên trên server
để tấn công chính server hoặc mạng và server khác.
• Liên tục cập nhật, nghiên cứu, kiểm tra để phát hiện các lỗ hổng bảo mật và có
biện pháp khắc phục kịp thời.
• Sử dụng các biện pháp kiểm tra hoạt động của hệ thống một cách liên tục để
phát hiện ngay những hành động bất bình thường.
• Xây dựng và triển khai hệ thống dự phòng.
9
2.1.3. Lỗ hổng bảo mật [10]
Trong bảo mật máy tính, thuật ngữ lỗ hổng được dùng cho một hệ thống yếu mà
cho phép một kẻ tấn công xâm phạm vào sự toàn vẹn của hệ thống. Lỗ hổng có thể là
kết quả của mật khẩu yếu, các lỗi phần mềm, một virus máy tính hoặc phần mềm độc
hại khác, một đoạn mã lỗi, một lệnh SQL lỗi hoặc cấu hình sai.
Một nguy cơ bảo mật được phân loại là một lỗ hổng nếu nó được công nhận như
là một phương pháp được sử dụng để tấn công. Một cửa sổ của lỗ hổng là thời gian từ
khi lỗ hổng bảo mật được giới thiệu hoặc chứng tỏ trong các phần mềm được triển
khai tới khi một bản vá bảo mật có sẵn hoặc được triển khai .
Các lỗ hổng bảo mật trên một hệ thống là các điểm yếu có thể tạo ra sự ngưng trệ
của dịch vụ, thêm quyền đối với người sử dụng hoặc cho phép các truy nhập không
hợp pháp vào hệ thống. Các lỗ hổng cũng có thể nằm ngay các dịch vụ cung cấp như
sendmail, web, ftp ... Ngoài ra các lỗ hổng còn tồn tại ngay chính tại hệ điều hành như
trong Windows NT, Windows XP, UNIX; hoặc trong các ứng dụng mà người sử dụng
thường xuyên sử dụng như Word processing, Các hệ databases...
Nguyên nhân
Quản lý mật khẩu sai sót: Người dùng máy tính sử dụng các mật khẩu yếu mà có
thể tìm được bởi vét cạn. Người dùng máy tính lưu trữ các mật khẩu trên máy tính ở
chỗ mà một chương trình có thể truy cập được nó. Nhiều người dùng sử dụng lại các
mật khẩu giữa nhiều chương trình và website.
Thiết kế hệ điều hành cơ bản sai sót: Các nhà thiết kế hệ điều hành chọn thực thi
các chính sách tối ưu cho người dùng/chương trình quản lý. Ví dụ hệ điều hành với các
chính sách như là cho phép mặc định các chương trình và người dùng đầy đủ quyền
truy cập tới máy tính. Hệ điều hành sai lầm khi cho phép các virus và phần mềm độc
hại thực thi các lệnh ở chế độ administrator.
Các lỗi phần mềm: Các lập trình viên thường bỏ qua một lỗi có thể khai thác
trong một chương trình phần mềm. Lỗi phần mềm này có thể cho phép một kẻ tấn
công lạm dụng một phần mềm.
Không kiểm tra nhập vào của người dùng. Một chương trình giả định rằng tất cả
các nhập vào của người dùng là an toàn. Các chương trình sẽ không thực hiện việc
kiểm tra nhập vào của người dùng có thể cho phép sự thực thi trực tiếp mà không được
định trước của các câu lệnh hoặc các câu lệnh SQL (vd như tràn bộ đệm , SQL
injection hoặc các đầu vào không có giá trị khác).
Phân loại lỗ hổng có thể xem thêm trong phụ lục D.
10
Công bố lỗ hổng
Các phương pháp làm giảm các lỗ hổng là một đề tài của cuộc tranh luận trong
giao tiếp an toàn máy tính. Một số người bảo nên lập tức đưa đầy đủ các thông tin về
lỗ hổng ngay khi chúng được phát hiện. Một số khác chứng minh rằng việc giới hạn
khi đưa ra các thông tin về lỗ hổng sẽ đặt người dùng vào những rủi ro lớn, và chỉ nên
đưa ra các thông tin chi tiết sau một thời gian, thậm chí có thể không đưa ra. Việc đưa
ra thông tin về các lỗ hổng sau một thời gian có thể cho phép thông báo để khắc phục
các vấn đề bởi nhà phát triển bằng các bản vá, nhưng có thể làm tăng rủi ro với người
dùng. Gần đây, hình thức thương mại hóa với việc đưa ra lỗ hổng bảo mật, như một
vài công ty bảo mật thương mại đã bỏ tiền cho việc độc quyền đưa ra lỗ hổng zero day.
Những người này sẽ cung cấp một thị trường hợp pháp để mua và bán các thông tin lỗ
hổng từ các trung tâm bảo mật.
Từ người bảo mật, việc tiết lộ các lỗ hổng miễn phí và công cộng chỉ thành công
nếu bên nhận bị ảnh hưởng lấy được thông tin thích đáng trước khi bị tin tặc, nếu
không các tin tặc sẽ có ngay lập tức có lợi thế trong việc lợi dụng khai thác. Việc bảo
mật thông qua việc che dấu thông tin các lỗ hổng cũng phải tương tự như trên .
Việc cho phép một cách công bằng việc phổ biến các thông tin bảo mật tích cực
là rất quan trọng. Thường sẽ có một kênh tin tưởng là nguồn của các thông tin bảo mật
(vd .g CERT, SecurityFocus, Secunia and VUPEN). Các nguồn này phân tích và đánh
giá rủi ro đảm bảo chất lượng của các thông tin này. Việc phân tích phải bao gồm đầy
đủ các chi tiết để cho phép một người dùng có liên quan với phần mềm có thể đánh giá
được rủi ro cá nhận của họ hoặc ngay lập tức có các hành động để bảo vệ tài sản của
họ.
Ngày công bố lỗ hổng
Thời gian của việc đưa ra một lỗ hổng được định nghĩa khác nhau trong tập đoàn
bảo mật và lĩnh vực. Nó thường được coi như là một loại công bố công cộng của các
thông tin bảo mật bởi một bên. Thông thường , thông tin lỗ hổng được đưa ra trên một
danh sách thư tín hoặc được xuất bản trên một website bảo mật và trong một tư vấn an
ninh sau đó.
Thời gian của công bố là ngày đầu tiên lỗ hổng bảo mật được miêu tả trên một
kênh ,nơi được công bố thông tin về lỗ hổng và có đầy đủ các yêu cầu sau :
Thông tin miễn phí và công cộng .
Thông tin lỗ hổng được đưa ra bởi một nguồn hoặc một kênh độc lập được tin cậy
Lỗ hổng chịu phân tích bởi các chuyên gia như thông tin đánh giá mức độ rủi ro
được bao gồm trên công bố.
Nhận ra và gỡ bỏ các lỗ hổng
Nhiều các công cụ phần mềm tồn tại để giúp đỡ trong việc khám phá (và thỉnh
thoảng là gỡ bỏ) của các lỗ hổng trong hệ thống hệ điều hành. Mặc dù các công cụ này
11
có thể cung cấp một cái nhìn khái quát tốt về các lỗ hổng, chúng không thể thay thế
những đánh giá của con người .
Các lỗ hổng được tìm thấy chủ yếu trong các hệ điều hành bao gồm windows,
mac os, linux, các dạng Uni, OpenVMS và các loại khác. Chi có một cách để giảm bớt
cơ hội của các lỗ hổng được sử dụng với một hệ thống là sự thận trọng cao độ, bao
gồm việc duy trì hệ thống cẩn thận (cập nhật các bản vá ), triển khai tốt nhât (sử dụng
tường lửa và điều khiển truy cập) và kiểm tra (trong suốt quá trình phát triển và vòng
đời triển khai)
2.1.4. Virus, Sâu và Trojan [8]
Vi rút
Virus là những phần mềm máy tính có khả năng lây nhiễm và phá hủy các phần
mềm thậm chí phần cứng máy tính. Các virus không thể lây lan nếu không thông qua
phương tiện chia sẻ như trao đổi tệp hoặc thư điện tử.
Sâu
Sâu có khả năng lây lan từ máy này sang máy khác giống như virus, nhưng
chúng khác virus ở chỗ chúng có thể tự lây lan mà không cần có
sự điều khiển của người phát tán. Chúng có thể nắm quyền điều
khiển máy tính, tự động trao đổi file. Bởi vì nó có khả năng sao
chép với số lượng rất lớn, sâu có thể làm cho những gói tin lưu
thông trong mạng tắc nghẽn, làm chậm tất cả các hoạt động liên
quan tới internet. Chúng còn làm cho ta trở thành những kẻ tấn
công bằng cách gửi đính kèm chính chúng trong những tệp tin
gửi cho danh sách bạn bè hay đồng nghiệp. Sâu cũng có thể là
một công cụ được sử dụng bởi những kẻ thâm nhập bằng cách
chiếm quyền hệ thống và tạo cổng sau cho kẻ thâm nhập truy cập vào.
Trojan
Trojan là các chương trình máy tính trông có vẻ như là
một phần mềm hữu ích, nhưng thực ra chúng làm tổn thương
bảo mật và gây ra rất nhiều phá hủy. Chúng chiếm quyền điều
khiển máy bị nhiễm và cho phép người ngoài truy cập trái
pháp tới, hoặc chúng có thể tự động download các lệnh thực
thi từ một địa chỉ ngoài. Trojan thường đi kèm với keylogger,
một phần mềm lưu lại các thao tác bàn phím của người dùng
và gửi cho kẻ điều khiển hoặc phần mềm theo dõi màn hình
12
máy tính. Việc có được những mật khẩu hợp lệ làm cho kẻ tấn công chiếm được toàn
quyền với tài khoản của người dùng.
Cũng có những thuật ngữ khác về những mối đe dọa an ninh mạng, tuy nhiên
chúng chỉ là phương tiện dẫn đường cho những hoạt động kể trên.
2.2. CÁC BƯỚC TẤN CÔNG VÀ THÂM NHẬP HỆ THỐNG [1]
Thâm nhập vào một hệ thống không phải là một công việc đơn giản nhưng cũng
không quá khó khăn cho những người có kiến thức về công nghệ thông tin nói chung.
Để đạt được mục đích, các hacker thường thực hiện một tấn công thâm nhập theo
những bước sau :
• FootPrinting – In dấu
• Scanning – Dò quét
• Enumeration – Điểm danh
• Gaining Access – Có quyền truy cập
• Escalating Privileges – nâng cấp quyền
• Pilfering – Khai thác hệ thống
• Covering Tracks – Xóa dấu vết
• Creating "Back Doors" – Tạo cổng hậu
• DoS – Tấn công từ chối dịch vụ
Chú ý rằng những bước trên hoàn toàn linh động khi áp dụng vào thực tế. Các
hành động khi tấn công thâm nhập có thể là đan xen nhau thậm chí một hành động
được thực hiện lặp lại nhiều lần hay bỏ qua không cần thực hiện. Tuy nhiên cũng có
thể sắp xếp thứ tự các hành động đó theo trình tự như hình dưới đây :
13
Hình 2 - Minh họa trình tự tấn công [12]
Bây giờ ta sẽ đề cập chi tiết đến từng hành động trong một tấn công thâm nhập
của hacker. Như đã nói ở trên, trước khi một tấn công thực sự được thực hiện, hacker
cần phải chuẩn bị đầy đủ các thông tin về đối tượng qua 3 bước : footprinting (in dấu),
scanning (dò quét), enumaration (điểm danh). Cũng như khi một nhóm cướp muốn
cướp một nhà băng, chúng không chỉ cứ đến nhà băng và yêu cầu tiền mà chúng cần
tìm hiểu rất nhiều thông tin về nhà băng đó như tuyến đường xe chở tiền đi, thời gian
giao tiền, các camera giám sát, lộ trình tẩu thoát và nhiều thứ khác cần thiết. Bước đầu
tiên trong 3 bước thu thập thông tin là in dấu.
In dấu
In dấu là chỉ việc sử dụng công cụ và kĩ thuật để thu thập các thông tin cơ bản
của đối tượng cần tấn công. Các thông tin có thể lấy được qua nhiều đường như
Internet, Intranet, Remote access, extranet. Ví dụ như từ google, chúng ta có thể lấy ra
thông tin về tên miền của đối tượng, số địa chỉ IP đã cấp phát hay cả những thông tin
cá nhân của nhân viên trong một công ty đối tượng. Những thông tin tưởng chừng đơn
giản này lại là những thông tin không thể thiếu được khi bắt đầu một tấn công thâm
nhập vào hệ thống của đối tượng. Các thông tin cá nhân về nguồn tài nguyên con
người như Số điện thoại, quê, nhà, chức vụ, ngày sinh…, đôi khi chỉ với những thông
tin này hacker đã có thể làm chủ hệ thống.
Chỉ có một cách để ngăn ngừa việc in dấu là bảo vệ những thông tin nhạy cảm
khỏi những nơi có thể dễ dàng truy cập đến.
Bước tiếp theo trong quá trình này là dò quét (Scanning)
Nếu như in dấu chỉ tìm hiểu các thông tin bên ngoài của một nhà băng thì dò quét
là kiểm tra tất cả các cửa sổ hay cửa ra vào của nhà băng đó. Việc đầu tiên trong đó là
xác định xem hệ thống có “sống” hay không. Việc này có thể được thực hiện bằng các
14
công cụ như ping (hay fping hoặc nmap). Tiếp đó là xác định xem có những dịch vụ
tcp hay udp nào đang hoạt động trên các máy đối tượng. Có rất nhiều cách thức cũng
như công cụ để thực hiện việc này ngày nay. Bước cuối cùng là xác định hệ điều hành
trên các máy đó, việc này rất quan trọng trong việc tấn công thâm nhập qua các lỗ
hổng bảo mật.
Bước cuối cùng trong các bước tìm kiếm thông tin là enumeration (điểm danh).
Hành động này yêu cầu phải kết nối và truy vấn trực tiếp tới máy đối tượng nên nó khá
dễ bị lưu vết và cảnh báo. Cách thức cơ bản nhất của của điểm danh là lấy banner
(banner grabbing). Thông tin này sẽ cho biết các dịch vụ đang sử dụng và phiên bản
của các dịch vụ đó. Ví dụ :
HTTP/1.0 400 Bad Request
Server: Netscape-Commerce/1.12
Your browser sent a non-HTTP compliant message.
Có nhiều cổng có thể sử dụng cho việc lấy thông tin này như cổng 80 HTTP,
cổng 25 SMTP, cổng 21 FTP.
Một trong những dịch vụ bị khai thác nhiều nhất từ xưa đến nay là dịch vụ DNS
với DNS Zone Transfers. Nếu máy chủ của đối tượng đang chạy dịch vụ DNS của
Microsoft thì kẻ tấn công có thể thu thập được một lượng thông tin lớn, thậm chí cả
các thông tin ẩn về hệ thống mạng của đối tượng, ta có thể thấy trong ví dụ sau :
C:\>nslookup
Default Server: dns01.wayne.net
Address: 10.10.10.1
>
> set type=any
> ls -d wayne.net > dns.wayne.net
> exit
> server 10.10.10.2
Default Server: dns02.wayne.net
Address: 10.10.10.2 >
ls -d wayne.net
15
[dns1.wayne.net]
wayne.net. SOA dns04.wayne.net wayne.dns04.wayne.net. (3301 10800 3600
604800 86400)
wayne.net. NS dns04.wayne.net
wayne.net. NS dns02.wayne.net
wayne.net. NS dns01.wayne.net
wayne.net. NS dns05.wayne.net
wayne.net. MX 10 email.wayne.net
rsmithpc TXT "smith, robert payments 214-389-xxxx"
rsmithpc A 10.10.10.21
wmaplespc TXT "Waynes PC"
wmaplespc A 10.10.10.10
wayne CNAME wmaplespc.wayne.net
Ngoài ra, còn một số các dịch vụ khác có thể được khai thác để biết thêm thông
tin như MSRPC, NetBIOS, SNMP, …. Có thể xem thêm chi tiết về cách khai thác các
dịch vụ này trong cuốn Hacking Exposed ở phần tài liệu tham khảo bên dưới.
Sau khi đã lấy được đầy đủ thông tin về đối tượng, các hacker có thể chọn lựa
các phương thức tấn công, thâm nhập khác nhau. Đầu tiên, hacker có thể chọn DoS
hoặc DDoS đối tượng. Các cách thức tấn công từ chối dịch vụ này không làm hacker
chiếm được quyền điều khiển hệ thống tuy nhiên nó có thể làm ngưng hệ thống tường
lửa và các dịch vụ an ninh hay làm phân tán sự chú ý của người quản trị hệ thống
mạng qua đó tạo điều kiện cho việc thâm nhập dễ dàng hơn.
Nếu lượng thông tin thu được trong các bước trên đủ để thực hiện một tấn công
nhằm vào hệ thống thì hacker không cần phải tấn công từ chối dịch vụ mà sẽ khai thác
các lỗ hổng bảo mật hoặc phã mã để có một số tài khoản quản trị thông qua nghe trộm,
phishing sử dụng keylogger, worm và trojan. Cũng có một số trường hợp, khi hacker
không tìm ra được các điểm yếu của hệ thống, họ tấn công vào điểm yếu con người. Ví
dụ như họ giả mạo đối tác kinh doanh để yêu cầu tài khoản hợp lệ, hoặc họ cũng có thể
gọi điện cho nhân viên quản lý và giả vờ bị mất tài khoản. Tất nhiên việc có được đầy
đủ các thông tin về con người là rất cần thiết.
Nếu hacker chỉ có được những tài khoản quản trị ở mức thấp thì họ sẽ tìm cách
nâng cấp quyền quản trị của tài khoản đó bằng cách lợi dụng sự tín nhiệm của tài
khoản đó.
Nếu sau bước này, hacker có được toàn quyền hệ thống thì việc cuối cùng mà họ
làm là xóa dấu vết và đặt backdoor để thâm nhập lần sau dễ dàng hơn. Công việc xóa
16
dấu vết chỉ đơn giản là xóa các log của hệ thống giám sát hay của hệ điều hành máy
thâm nhập, mức độ xóa dấu vết tùy thuộc vào mục đích tấn công của hacker. Một số
hacker muốn nổi danh thậm chí còn cố ý để lại dấu vết, ngoài ra có những hacker ăn
cắp các tư liệu mật, họ cũng muốn để lại thông điệp tống tiền hay tương tự để người
quản trị biết, tuy nhiên hầu như tất cả đều phải xóa những thông tin lộ ra họ là ai. Còn
backdoor được sử dụng cũng có nhiều mức độ khác nhau, các hacker có thể tạo một
worm hay trojan trong hệ thống, có thể cài đặt một phần mềm keylogger hay đơn giản
chỉ tạo một tài khoản ẩn.
2.3. MÔ PHỎNG TẤN CÔNG VÀ THÂM NHẬP
2.3.1. Thu thập thông tin
Sau khi thu thập đầy đủ thông tin về hệ thống đối tượng, có nhiều phương pháp có
thể sử dụng trong thâm nhập, trong khóa luận sẽ trình bày 3 mô phỏng tấn công và thâm
nhập. Những phương pháp thâm nhập và tấn công khác hoặc không thể mô phỏng (nhìn
trộm, nghe trộm hay phá mã tài khoản người dùng) hoặc không còn có nguy cơ xảy ra
(chiếm đoạt những phiên dịch vụ không mã hóa). Ngoài ra do không có đủ lượng máy
để mô phỏng tấn công DDoS nên trong khóa luận sẽ chỉ nêu phương thức tấn công trên
lý thuyết và mô phỏng kiểu tấn công DoS chứ không mô phỏng tấn công DDoS.
2.3.2. Tấn công từ chối dịch vụ
Một trong số những tấn công phổ biến nhất của DoS là SYN Flood. Mô phỏng sử
dụng công cụ DoSHTTP của socketsoft.com.
Hình 3 - Giao diện DoSHTTP
17
Công cụ có giao diện sử dụng rất đơn giản, chỉ cần thiết lập số kết nối đồng thời,
xác định mục tiêu và tấn công. Chỉ cần vài máy cùng tiến hành tấn công đồng thời là
có thể đánh sập một web server cỡ nhỏ.
Một tấn công nữa được mô phỏng là smurf attack. Công cụ sử dụng là smurf2k.
Tương tự như trên, giao diện chương trình cũng rất đơn giản, chỉ việc xác định mục
tiêu, kích cỡ gói tin và tiến hành tấn công.
Hình 4 - Giao diện smurf attack
2.3.3. Thâm nhập qua Trojan
Mô phỏng sử dụng Trojan Beast. Trojan này lây nhiễm trên hệ điều hành
windows và sử dụng cơ chế client server. Phần server được nhúng vào những phần
mềm vô hại và được cài đặt trên máy nạn nhân qua sai sót của người dùng. Phần này
sẽ mở một cổng 6666 cho máy client kết nối tới. Trojan này còn có tác dụng vô hiệu
hóa phần mềm tường lửa và chống virus đồng thời cài đặt một keylogger để lấy thông
tin về mật khẩu của người dùng qua đó hacker có thể truy cập trực tiếp đến máy nạn
nhân.
Hình 5 - Giao diện client trojan beast
18
Đây là màn hình xây dựng trojan (nhúng vào các file chạy, đưa trojan lên
webserver).
Sau khi xây dựng trojan và xác định có máy bị nhiễm (có mail gửi về nếu máy đó
đã bị nhiễm), ta sử dụng chương trình client này để kết nối tới máy đó qua cổng 6666.
Nếu tài khoản bị nhiễm là tài khoản admin thì ta đã có toàn quyền sử dụng với máy đó.
2.3.4. Thâm nhập qua lỗ hổng bảo mật [5]
Đầu tiên, mô phỏng sử dụng công cụ retina network scanner để dò lỗ hổng bảo
mật một trên một máy Windows server 2003 sp2. Kết quả cho thấy máy này có một lỗ
hổng nghiêm trọng chưa được vá là lỗi RPC DCOM.
Hình 6 - Lỗi trong dịch vụ RPC
Chi tiết về lỗi này như sau [7]:
19
Windows cung cấp khả năng sử dụng RPC để thực thi các ứng dụng phân tán.
Microsoft RPC bao gồm các thư viện và các dịch vụ cho phép các ứng dụng phân tán
hoạt động được trong môi trường Windows. Các ứng dụng phân tán chính bao gồm
nhiều tiến trình thực thi với nhiệm vụ xác định nào đó. Các tiến trình này có thể chạy
trên một hay nhiều máy tính.
Microsoft RPC sử dụng name service provider để định vị Servers trên mạng.
Microsoft RPC name service provider phải đi liền với Microsoft RPC name service
interface (NIS). NIS bao bao gồm các hàm API cho phép truy cập nhiều thực thể trong
cùng một name service database (name service database chứa các thực thể, nhóm các
thực thể, lịch sử các thực thể trên Server). Khi cài đặt Windows, Microsoft Locator tự
động được chọn như là name service provider. Nó là name service provider tối ưu nhất
trên môi trường mạng Windows.
Microsoft dễ bị tràn bộ đệm trong giao diện Distributed Component Object
Model (DCOM) của dịch vụ RPC (Remote Procedure Call). Bằng cách gửi một thông
điệp xấu tới dịch vụ RPC, một kẻ tấn công từ xa có thể làm tràn một bộ đệm và thực
thi một đoạn mã tùy ý trên hệ thống bới đặc quyền Local System. Với đoạn mã này, kẻ
tấn công có thể toàn quyền xử lý với máy mục tiêu.
Bước tiếp theo ta sử dụng phần mềm nguồn mở metasploit để khai thác lỗ hổng
này. Vào giao diện chương trình, chọn lỗ hổng cần khai thác.
Hình 7 - Giao diện metasploit
20
Tiếp đó chọn hành động cần thực hiện khi khai thác, chọn đối tượng và tấn công.
Hình 8 - Giao diện metasploit (2)
Các hành động thực hiện được khi khai thác lỗ hổng này là tạo một giao diện
dòng lệnh với quyền quản trị administrator trên máy nạn nhân, tạo một tài khoản với
quyền quản trị, … Khi lỗ hổng được khai thác, phía bên máy nạn nhân sẽ xuất hiện
một thông báo khởi động lại dịch vụ RPC.
21
CHƯƠNG 3. THIẾT BỊ NGĂN CHẶN TẤN CÔNG VÀ THÂM
NHẬP
3.1. CÁC KHÁI NIỆM CƠ BẢN [2]
Để hiểu và nắm vững phương pháp phát hiện và ngăn chặn tấn công, thâm nhập,
một hệ thống kiến thức cơ sở về hệ thống IDS/IPS là cần thiết. Dưới đây là các thuật
ngữ sử dụng trong công nghệ ngăn chặn thâm nhập
Bảng 1 – Thuật ngữ IDS/IPS
Terminology
Description
Inline mode
Kiểm tra lưu thông mạng, có khả năng ngăn chặn thâm nhập
trước khi nó đến được mục tiêu.
Promiscuous mode Thụ động kiểm tra lưu thông mạng.
(passive mode)
Signature engine
Một engine hỗ trợ tín hiệu chia sẻ những thuộc tính chung (tương
tự như giao thức)
Meta-Event
Generator
Khả năng định nghĩa tín hiệu biến đổi dựa trên nhiều tín hiệu
khác.
Atomic signature Một tín hiệu phát ra theo nội dung của từng gói tin.
Flow-based
signature
Một tín hiệu phát ra dựa trên thông tin chứa trong trình tự gói tin
giữa 2 hệ thống (ví dụ như gói tin trong kết nối TCP)
Behavior-based
signature
Một tín hiệu phát ra khi có lưu thông bất thường từ những người
dùng thông thường.
Anomaly-based
signature
Một tín hiệu phát ra khi lưu thông vượt quá cấu hình bình
thường.
22
Bảng 1 – Thuật ngữ IDS/IPS
Terminology
Description
False negative
Tình huống mà hệ thống phát hiện không nhận biết được thông
nhập mặc dù có một tín hiệu nhận biết được hoạt động đó.
False positive
True negative
True positive
Tình huống người dùng bình thường gây ra báo động (không có
hành vi đột nhập).
Tình huống mà không phát sinh tín hiệu khi có lưu thông bình
thường trên mạng.
Tình huống báo động đúng khi có đột nhập, tấn công trên mạng.
Deep-packet
inspection
Giải mã các giao thức và kiểm tra toàn bộ gói tin để cho những
luật dựa trên gói tin hoạt động đúng.
Event correlation Kết hợp với đa thông báo hay đa sự kiện với một tấn công đơn lẻ.
Risk rating (RR)
Một đánh giá đe dọa dựa trên nhiều nhà sản xuất mà không dựa
trên tính nghiêm trọng của tấn công.
IPS/IDS Triggers
Mục đích của thiết bị IDS/IPS là nhận diện tấn công và ngăn chặn nó. Tuy nhiên
không phải loại thiết bị nào cũng dùng chung một phương thức giống nhau. Có ba
phương thức chính được sử dụng trong hệ thống IDS/IPS hiện tại.
Anomaly detection
Misuse detection
Protocol analysis
Chú ý :
Phương thức nhận biết dựa trên hành động gây ra các báo động của hệ thống
IDS/IPS. Ví dụ phương thức với một hệ thống chống trộm phổ thông chính là sự kiện
cửa sổ vỡ. Một IDS có thể gây ra một báo động khi có một gói tin tới một cổng xác
định với một dữ liệu xác định.
23
Anomaly Detection (Nhận biết bất thường)
Nhận biết bất thường còn có thể gọi là nhận biết dựa trên hồ sơ. Trong nhận biết
bất thường, ta xây dựng những hồ sơ xác định xem những hành vi nào là bình thường.
Những hồ sơ này có khả năng tự học qua những cư xử trong quá khứ. Sau khi định
nghĩa những hồ sơ bình thường này, những gì còn lại là bất thường và sẽ tạo ra báo
động.
Lợi ích chính của nhận biết bất thường là những báo động tạo ra không dựa trên
những tín hiệu của những dạng tấn công cụ thể mà dựa trên những hành động bất
thường của nó. Bởi vậy mà hệ thống có thể phát hiện được tấn công ngay cả trước khi
tấn công đó được công bố.
Misuse Detection (Nhận biết lạm dụng)
Nhận biết lạm dụng là nhận biết dựa trên những dấu hiệu, nó tạo ra thông báo khi
có hoạt động với những dấu hiệu trùng khớp với những dấu hiệu đã xác định trước.
Những dấu hiệu này là một tập hợp các luật bịt những lỗ hổng mà kẻ tấn công có thể
lợi dụng để thâm nhập vào mạng. Những kĩ sư có kinh nghiệm có thể biết những tấn
công và lỗ hổng để phát triển những luật cho mỗi tín hiệu riêng.
Một số lợi ích chính là :
Tín hiệu dựa trên những tấn công đã biết.
Dễ thiết lập những nhận biết tấn công
Hệ thống dễ hiểu
Nhận biết tấn công ngay sau khi cài đặt
Protocol Analysis (Phân tích giao thức)
Phương thức cuối cùng là phân tích giao thức. Phương thức này sẽ phân tích các
hoạt động dựa trên các giao thức xác định. Nó sẽ phân tích gói tin dựa trên định nghĩa
của giao thức trong RFC và các payload hay tiêu đề gói tin.
Sử dụng phân tích giao thức, những tấn công phải có được các gói tin hợp lệ và
cũng phải không chứa các tấn công trong payload hoặc tiêu đề gói tin.
IPS/IDS Monitoring Locations (Địa điểm giám sát IPS/IDS)
Có hai loại địa điểm giám sát sau :
Host-Based
Network-Based
Host-Based
Hệ thống phát hiện thâm nhập dựa trên máy trạm kiểm tra những hoạt động trái
phép bằng cách kiểm tra thông tin ở mức máy hoặc mức hệ điều hành. Những hệ thống
này thường kiểm tra những cuộc gọi hệ thống, hay những dấu vết chỉnh sửa, thông báo
lỗi hệ thống …
24
Tải về để xem bản đầy đủ
84 trang
19/04/2025
50
Bạn đang xem 30 trang mẫu của tài liệu "Khóa luận Nghiên cứu triển khai hệ thống IDS/IPS", để tải tài liệu gốc về máy hãy click vào nút Download ở trên.
File đính kèm:
- khoa_luan_nghien_cuu_trien_khai_he_thong_idsips.pdf
