HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIÊN THÔNG KHOA AN TOAN THONG TIN 1 DE TÀI: NGHIÊN CỨU VÀ TRIEN KHAI HỆ THONG GIÁM SÁT AN TOÀN MẠNG VỚI SECURITY ONION Giảng viên hướng dẫn ThS Ninh Thị Thu Trang Sinh viên thực hiện Phạm Khánh Hưng Mã sinh viên B19DCAT096 D19CQAT04-B 2019-2024 Dai hoc chinh quy Hà Nội, thang I năm 2024 ĐÔ ÁN TOT NGHIỆP LỜI CAM ĐOAN Tôi xin cam đoan rằng đồ án tốt nghiệp “Nghiên cứu và triển khai hệ thống giám sát an toàn mang với Security Onion” là công trình nghiên cứu của ban thân mình Những phần có sử dụng tài liệu tham khảo có trong đồ án đã được liệt kê và nêu rõ tại phan tài liệu tham khảo Đồng thời những số liệu hay kết quả trình bày trong đồ án đều mang tính chất trung thực, không sao chép, đạo nhái Nêu như sai, tôi xin chịu hoàn toàn trách nhiệm và chịu tat cả các ky luật của khoa cũng như nhà trường đê ra Hà Nội, tháng 1 năm 2024 Phạm Khánh Hưng PHAM KHÁNH HUNG-B19DCAT096 i ĐỎ AN TOT NGHIỆP LỜI CẢM ƠN Trên thực tế không có sự thành công nào mà không gan liền với những sự hỗ trợ và giúp đỡ dù ít hay nhiều, dù trực tiếp hay gián tiếp của người khác Trong suốt thời gian từ khi bắt đầu học tập ở giảng đường đại học đến nay, em đã nhận được rất nhiều sự quan tâm, giúp đỡ của quý thầy cô và bạn bè Với lòng biết ơn sâu sắc nhất, em xin gửi đến quý thầy cô khoa An toàn thông tin - Học Viện Công Nghệ Bưu Chính Viễn Thông đã cùng với tri thức và tâm huyết của mình dé truyền đạt vốn kiến thức quý báu cho em trong suốt thời gian học tập tại trường Đề hoàn thành đồ án này, em xin chân thành cảm ơn Cô ThS Ninh Thị Thu Trang là người đã tận tình giúp đỡ em hoàn thành đề tài đồ án này Cô là một cô giáo rất nhiệt tình và tuyệt vời Bước đầu đi vào thực tế, tìm hiểu về lĩnh vực sáng tạo trong nghiên cứu khoa học, kiến thức của em còn hạn chế và bỡ ngỡ Do vậy không tránh khỏi những thiếu sót là điều chắc chắn, em rất mong nhận được những đóng góp quý báu của thầy cô và các bạn đề kiến thức của em trong lĩnh vực này ngày càng hoàn thiện hơn Một lân nữa em xin chân thành cảm on thay cô và các bạn! Hà Nội, thang 1 năm 2024 Phạm Khánh Hưng PHAM KHÁNH HUNG-B19DCAT096 il ĐỎ AN TOT NGHIỆP MỤC LUC LOI CAM 09990.0 0 0 7 i LOI CAM 09100 1 1 7 ii MỤC LỤC - c1 01101121111 1111 1111111111111 11111110111 1 01 TH HH TH TH KH k1 kg ili DANH MỤC HÌNH VẼ 22-.222.2E+.222.212.221.122.112.2111.211.121.112.111.211-122-11.-11 -11 :e-6 V DANH MỤC BANG BIÊU -5 55225222E222112211222122211.221r 122e 112 viii DANH MỤC TU VIET TẮTT 2: 5+2.++2E.S+2 EE+2.2EE+.2EE1.222 1127.3122.212 2112.21 2.112-11 - ix 027100005 -:::1tA I CHUONG 1: NGHIEN CUU TONG QUAN VE HE THONG GIAM SAT AN TOAN MANG ca 2 1.1 Giới thiệu về giám sát an toàn mạng .- +.+.++.s+.Ex+.EE.+E2.E2.EE2.Er.Eer.ke.rre-rx-er 2 IP 900 ma 4 1.2.1 Thu thap an no 5 1.2.2 Phát hiện xâm nhập .- c 2 3 221 132 1113.91.131 1 11.11.118.51.111.1 1 1.11.11-xrE 9 1.2.3 Phan tích dữ liệu - 6.2.c S2.11.1.11.1.18.1.11.18.11.81.1.81.1 x-e, 15 1.3 Thách thức đối với hệ thống giám sát an toàn mạng 2-5-+- 19 1.4 Ứng dụng của giám sát an toàn mạng +.s.+s.+c.++.E++.E+.+E.zE.er.xrx.er.er-sr-ed 20 KẾT chương - 5c ST 1EE121111111112111111151101111111110111111011a1t12a1 21 CHUONG 2: KHAO SAT CAC HE THONG GIAM SAT AN TOÀN MANG 22 Pin 0i 7n e- 5 22 2.1.1 Tổng quan về Snort và SuriCafa 2 52.Se.SE+.ES2.E£E.E2.E£E.EEE.EEE.EE.EEe-rrr¿kre-es 22 2.1.2 So sánh Snort và SUTIC8fA . c3 112311 11111111 11111111111 11 1g kg kết 23 °ˆÄÄ\\vÀìi 00777878 25 2.2.1 Tổng quan về Wazuh +.Ss.+S< E2.E12.E12.E12.11.211.171.111.111.11-1.1-111-1¿x -cxe.25 2.2.2 Kiến trúc của Wazuh :- 2+222+22112221122112211211211211211211211 1c 26 2.2.3 Ưu điểm và nhược điểm của Wazuh 5-5.: St.St.SE.2E+.E+E.EEE.EEE.EEE.EeE.srs-ese-ree 27 2.3 Security ONION 0777 a A 28 2.3.1 Tổng quan về Security Onion ¿.2-.5 +s+.2E+.EE£.EE£.EE£.EEE.EE2.EE2.EE2.E22.2xz-Ecr-ee 28 2.3.2 Kiến trúc của Security Onion -.+: St.E.2 2.12.E12.111.11E.111.121.111.1 1.xx cxeE 34 2.3.3 Ưu điểm và nhược điểm của Security Onion 2.5.-5 s+.cx.+z.x+.xe.cx-zz 38 Kết chương, ¿5c s St SE E21 E12111211211111111111 1111111111111 0121111 1g 39 CHUON3G: CAI ĐẶT VÀ THU NGHIỆM HE THONG GIAM SÁT AN TOÀN MẠNG VOI SECURITY ONION S.2 21.21.121.12.118.11.151.1 1.81.118.11.18.11.1 1.x -k.g 40 PHAM KHÁNH HUNG-B19DCAT096 11 ĐỎ AN TOT NGHIỆP 3.1 Kịch ban thử nghiệm và hiện cảnh bảo -.- 5 c2 33.32.5.1.£+.*E.xe.ss.ee.er-ee-s 40 3.1.1 Kịch bản thử nghiệm Ì - c2 3322132112351 351 15 1119111119111 key 41 3.1.2 Kịch ban thử nghiệm 2 - 2 ¿Sẻ.St ÉEE EEEE EEE XE 1 811.11 111 111 1 111 11 42 3.1.3 Kịch bản thử nghiệm 3 - c2 3220122113321 35111 5 1119111111811 1 118111 42 3.2 Kịch bản phân tÍch - c1 ng ng TH HH nàn 42 3.2.1 Đề xuất quy trình phân tích áp dụng với các nhà phân tích dùng Security 9,15 Sa 42 3.2.2 Tiến hành phân tích với kịch bản $6 l 2.: ¿.2 +.+.£z.££+.x+.E+.Ez.£z.£z-cs-z2 42 3.2.3 Tiến hành phân tích với kịch bản số 2 2.2.25.22.x+.E+.£E.+E.e£.sz.Ez-ze-rx2zx-ee 63 3.2.4 Tiến hành phân tích với kịch bản $6 3 .2- ¿2 +E.E£.E+E.+E.£E.eEz.£z.cx.e2 74 Kết chương .-¿- + + S2SE2E12E 2E E21E211111112111121121111211.11211111rr1e 81 KET LUAN ioe eececceccsscssessessessessesscsscsessecsessessssessssissussissussusssssessesiessessesiesisssessasaneaeeess 82 TÀI LIEU THAM KHẢO 5 5c Ss SE ề EEEE EEEE.EE2E.1211.211 1111 1111 1111 1 11.111.1 c 1y 6 83 PHU LUC 1: CÀI ĐẶT HỆ THNG 2-.2 2+S.22E.£+E.E2E.2EE.EE.EEE.EEE.EEE.EEE.EEk.rrr-rrr-rs 85 PHAM KHANH HUNG-B19DCAT096 iv ĐỎ AN TOT NGHIỆP DANH MỤC HÌNH VE Hình 1 1 So sánh mục tiêu của NSÌM .2-.Q.02.2.011.11.122.23.11.111.11.xx.x v e n 2 Hinh 1 2 Chu trinh NSM ccc adaA:::- Ồ Ỏ 4 Hình 1 3 Phương pháp thu thập ACE .-.- c 1 2.1 112 111 211 1151.11.81 1.11 181.111.18.11 11 81.x£, 5 Hình 1 4 So sánh kích thước dữ liệu NSM 2-.5.5 2.22.11.11.32.22.21.11.1.2.x sv.ee7 Hình 1 5 Phân loại các kỹ thuật phát hiện xâm nhập dựa trên sự bất thường 10 Hình 2 1 Chức năng của Wazuh 24 Hình 2 2 VỊ trí của Security Onion trong mạng . -.s-.c + s.+ s.se.ers.ee.rr.eee.rr-es 28 Hình 2 3 Giao diện AÏ€f - - - - 2211111223311 1 1953111111153 11111903 11 ket 29 Hình 2 4 Giao diện Dashboard + - 2 5323221113322 1 111125111 119811111 1x sa 30 Hình 2 5 Giao diện Hun[ - 22 E3 E22221111E 122531181 122531 111 19531111111 ke rrr 30 I0) 2 6 Giao di€n Case an 31 Hinh 2 7 Giao dign PCAP in 31 Hình 2 8 Giao diện CyberCheF . c1 22 1221132311311 1111 1112111111181 8811101118 11 kg 32 Hình 2 9 Kiến trúc ÏmpO .2: ©.5¿+.22+.2x92.E22.E12.EEE.212.5122.122.121.121.122-121-211-2122.2- 34 Hình 2 10 Kiến trúc Evaluation . .2.Sc.+ E2.E.EE1.E1.121.121.12.112.112.11.11 1-11-ct-y 35 Hình 2 11 Kiến trúc Standalone -::-::+22++t2£xtt2ExxttEEvttrrtrrrtrrrrrrrrrrrrree 36 Hình 2 12 Kiến trúc Distributed .-:-cccc22ttttttrtrrtttrrrrrrrrrrrrtrirrrerrierie 37 Hình 3 1 Sơ đồ mạng triển khai hệ théng40 Hình 3 2 So đồ mạng kịch bản 1io cc.cceccccscsssssessessssssessesssessesseesesssessessessessestseesesseesess 41 Hình 3 3 Cảnh báo khi quét nmap .c2 322.3.221.113.311.35.1 11.5.1.21.1.1.1.11.1.1-1-1 42 Hình 3 4 Cảnh báo khi máy chủ bị tan công bruteforce ffp .- -+-cc-s-+s-+-s+-2 42 Hình 3 5 Cảnh báo khi phản hồi của máy chủ đến máy tan công có ky tự id và liên quan đến quyén TOOI 2c s + k£S‡EE£EE£EE2EE2E121121121111111111111121111111111x161 43 Hình 3 6 Sơ đồ mang s05 43 Hình 3 7 Cảnh báo quét công bằng nmap mặc định 2.-.2 2.s.+.s.+S.z£.+x.z£-ez-x2 44 Hình 3 8 Cảnh báo khi bị tan công sqÏÌi .5.-2.-5.SS.2S.E2E.eE.E‡E.EEE.E2.EEE.EE.EEE-EE-EEr-Er-rrr-ee 44 Hình 3 9 Cảnh báo khi upload file định dang php nguy hiểm - 2.-.5.2 46 Hình 3 10 Cảnh báo khi phát hiện lệnh whoami được thực hiện 46 Hình 3 11 Sơ đồ mạng kịch bản 3 .c.ccscscssesssssesssssessessssssessessecssesessssscseseesseseeseeees 47 Hình 3 12 Cảnh báo bị tan công sqli bang sqÌmap 5.-2.-5 22.s2.E£.z+.Ez.£z.xz-Ee-rx-2 48 Hình 3 13 Cảnh báo khi bị tan công LFI dé xem file passwd -.2 25. 5-: 48 Hình 3 14 Cảnh báo khi bị tấn công LFI dé xem file knockd.conf . 48 Hình 3 15 Cảnh báo khi bi tan công brute force S$hi c.ceeecescsseseseesesseseesesseseeeeeseees 49 Hình 3 16 Lọc log cảnh báo trong 24 210 QUa .-. c.1 v .n - 51 Hình 3 17 Log sau khi [ỌC - - c1 21 3211112111331 1151119111115 111 11811118111 18g11 ru 51 Hình 3 18 Thống kê các số lượng log ứng với destination IP cu thể - 52 Hình 3 19 Loc những log chỉ liên quan đến địa chi IP 192.168.248.128 52 PHAM KHANH HUNG-B19DCAT096 Vv ĐỎ AN TOT NGHIỆP Hình 3 20 Sắp xếp log theo trình tự thời gian .2 St S.EE.2E.EE.EE.EEE.Er.ke-rr-ke-ex 52 Hình 3 21 GPL ATTACK RESPONSE id check returned root .«.+