nghiên cứu và triển khai hệ thống giám sát mạng trong doanh nghiệp với phần mềm mã nguồn mở zabbix

STT Thuật ngữ Tiếng Anh Tiếng Việt 1 API Application Program Interface Giao diện lập trình ứng dụng 2 APT Advanced Persistent Threat Tấn công có chủ đích 3 C&C 6 DoS Denial of Services T

Trang 1

KHOA CÔNG NGHỆ THÔNG TIN I

Giảng viên hướng dẫn: TS ĐÀO NGỌC PHONG

uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

75Thursday, June 13, 202410:02:46 PM10:02:46 PM75Thursday, June 13, 202410:02:46 PM10:02:46 PM75Thursday, June 13, 202410:02:46 PM10:02:46 PM

uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

75uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiThursday, June 13, 2024

Trang 2

KHOA CÔNG NGHỆ THÔNG TIN I

Giảng viên hướng dẫn: TS ĐÀO NGỌC PHONG

Trang 3

Để hoàn thành quá trình nghiên cứu và hoàn thiện đề tài đồ án tốt nghiệp này, trước hết em xin cảm ơn sự chỉ bảo và giúp đỡ nhiệt tình của giảng viên hướng dẫn của em - T.S Đào Ngọc Phong

Bên cạnh đó, em cũng xin được gửi lời cảm ơn sâu sắc đến toàn thể các thầy cô trong khoa Công nghệ thông tin I của trường Học viện Công nghệ bưu chính viễn thông, đặc biệt là các thầy cô bộ môn chuyên ngành An toàn thông tin Nhờ sự dạy dỗ, chỉ bảo của các thầy cô ngay từ những ngày đầu mới vào trường mà em đã được truyền đạt, tiếp thu những kiến thức, hiểu biết về ngành An toàn thông tin và lấy đó làm cơ sở để hoàn thành đồ án của mình, để tìm kiếm công việc trong tương lai

Do vốn kiến thức và tầm hiểu biết cũng như kỹ năng, kinh nghiệm chuyên môn của em còn nhiều hạn chế nên trong quá trình thực hiện và hoàn thiện đồ án em không tránh khỏi những thiếu sót Em rất mong nhận được sự góp ý của các thầy cô để đề tài của mình được hoàn thiện hơn

Em xin chân thành cảm ơn!

Hà Nội, ngày 02 tháng 01 năm 2021

SINH VIÊN

NGUYỄN XUÂN LÂM

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 4

(Của người hướng dẫn)

GIẢNG VIÊN HƯỚNG DẪN

(Ký và ghi rõ họ tên)

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 5

(Của người phản biện)

GIẢNG VIÊN PHẢN BIỆN

(Ký và ghi rõ họ tên)

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 6

1.2 Các loại hình tấn công mạng mà doanh nghiệp thường gặp 6

1.2.1 Tấn công giả mạo (Phising) 7

1.2.2 Tấn công từ chối dịch vụ (DoS/DDoS) 8

2.2.2 Giám sát có và không dựa trên agent 18

2.3 Một số phần mềm giám sát mạng nổi tiếng 19

2.3.1 Solarwinds Network Performance Monitor 19

Trang 7

3.2.1 Kiến trúc 24

3.2.2 Hoạt động 25

3.3 Kết chương 29

CHƯƠNG 4 TRIỂN KHAI THỰC NGHIỆM 30

4.1 Mô phỏng mô hình mạng doanh nghiệp 30

4.2 Cài đặt và triển khai phần mềm Zabbix 31

4.2.1 Cài đặt Zabbix Server 31

4.2.2 Cài đặt giám sát bằng agent 33

4.4 Phân tích hiệu quả và đưa ra quy trình triển khai trong doanh nghiệp 58

4.4.1 Phân tích hiệu quả 58

4.4.2 Quy trình triển khai 59

4.5 Kết chương 60

KẾT LUẬN 61

TÀI LIỆU THAM KHẢO 62 7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 8

Hình 1-1 Mạng lưới mối quan hệ của người (trái) và của các thiết bị mạng (phải) 2

Hình 1-2 Mô hình mạng doanh nghiệp điển hình 3

Hình 1-3 Mô hình tường lửa đơn 4

Hình 1-4 Mô hình tường lửa kép 1 5

Hình 1-5 Mô hình tường lửa kép 2 5

Hình 1-6 Khảo sát về các tấn công mạng (Nguồn: Cisco Secure [6]) 6

Hình 1-7 Thống kê các loại tấn công mà các doanh nghiệp sử dụng SMB gặp [6] 7

Hình 1-8 Email giả mạo có logo của Vietnam Post 8

Hình 1-9 HTTP Flood 9

Hình 1-10 Slowloris DoS 9

Hình 1-11 Thống kê số lượng malware mới được phát hiện [10] 10

Hình 1-12 Top 10 OWASP 2021 [11] 11

Hình 1-13 Số lượng lỗ hổng zero-day các năm (nguồn Zero-day tracking [13]) 12

Hình 1-14 Quá trình khai thác lỗ hổng Zeroday 13

Hình 1-15 Quá trình vá các lỗ hổng Zeroday 13

Hình 1-16 Sơ đồ hoạt động của web API 15

Hình 2-1 Trang server-status trên máy chủ dịch vụ Apache 18

Hình 2-2 Solarwinds Network Performance Monitor 19

Hình 2-3 ManageEngine OpManager 20

Hình 2-4 Nagios 21

Hình 2-5 Zabbix 22

Hình 3-1 Danh sách các nền tảng có thể cài đặt agent 24

Hình 3-2 Danh sách các tiện ích có thể tích hợp với Zabbix 24

Hình 3-4 Các thành phần chính trong Zabbix 24

Hình 3-5 Quá trình hoạt động của Passive Check 26

Hình 3-6 Zabbix agent mặc định là Passive 27

Hình 3-7 Quá trình hoạt động của Active Check 27

Hình 4-1 Sử dụng DCHP Server trên ClearOS để cấp IP cho các vùng mạng 30

Hình 4-2 Mô hình mô phỏng mạng doanh nghiệp 31

Hình 4-3 Giao diện web xong khi cài đặt và đăng nhập thành công 33

Hình 4-4.Các nền tảng hệ điều hành được hỗ trợ 33

Hình 4-5 Cài đặt Zabbix agent trên máy tính Windows 34

Hình 4-6 Zabbix agent trên máy tính Windows 34

Hình 4-7 Zabbix agent trên máy tính Linux 35

Hình 4-8 Địa chỉ Passive Zabbix server 35

Hình 4-9 Địa chỉ Active Zabbix server 35

Hình 4-10 Thay đổi các tham số trong Host 36

Hình 4-11 Liên kết template có sẵn với host 36

Hình 4-12 Tạo host thành công 36

Hình 4-13 Kiểm tra hoạt động của dịch vụ SNMP 37 7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 9

Hình 4-16 File cấu hình cho phép truy cập server-status 38

Hình 4-18 Thêm host giám sát máy chủ Apache 39

Hình 4-19 Các tham số có sẵn trong template “Apache by HTTP” 39

Hình 4-20 Kiểm tra dữ liệu nhận được từ máy chủ Apache 40

Hình 4-21 Các kênh thông báo có thể tích hợp vào Zabbix 40

Hình 4-22 Thông báo trên giao diện web 41

Hình 4-23 Đăng ký bot mới tên là ZBX_AT02_Bot 41

Hình 4-24 Thêm bot vào group Zabbix Alerts 42

Hình 4-25 Nội dung file script “telegram_bot” 42

Hình 4-26 Tạo “Media Types” có tên là Telegram 42

Hình 4-27 Nội dung tin nhắn kiểm tra 43

Hình 4-28 Tin nhắn đã được gửi trên Telegram 43

Hình 4-29 Thêm kênh liên lạc cho tài khoản “admin” 43

Hình 4-30 Kích hoạt thông báo sự cố cho các tài khoản liên quan 44

Hình 4-31 Biểu đồ giám sát CPU, Memory và Disk Space của Zabbix server 45

Hình 4-32 File UserParameter tạo key item 45

Hình 4-33 Tạo item lấy giá trị của SELinux 46

Hình 4-34 Tạo trigger thông báo 46

Hình 4-35 Giao diện web hiển thị thông báo 46

Hình 4-36 Widget Problems hiển thị thông báo 46

Hình 4-38 Trigger được kích hoạt khi cổng 22 mở 47

Hình 4-39 Giám sát các gói tin nhận và gửi trên 4 NIC 47

Hình 4-40 Giám sát các gói tin vào ra bị lỗi 47

Hình 4-41 Tạo trigger phát hiện tấn công DoS 48

Hình 4-42 Tấn công HTTP Flood 48

Hình 4-43 Độ trễ và số lượng request thay đổi đột ngột 49

Hình 4-44 Cảnh báo về tấn công DoS 49

Hình 4-45 Event ID 4625 tương ứng với sự kiện đăng nhập thất bại 50

Hình 4-46 Tạo item với kiểu Active check 50

Hình 4-47 Tạo Macro 50

Hình 4-48 Trigger phát hiện tấn công Brute force 51

Hình 4-49 Kết quả quét nmap 51

Hình 4-50 Tấn công với Metasploit 51

Hình 4-51 Zabbix đã phát hiện được sự cố và gửi thông báo 52

Hình 4-53 Dữ liệu nhận được của Windows Defender 52

Hình 4-54 Thông báo khi Windows Defender bị vô hiệu hóa 53

Hình 4-55 Item Jigsaw-1 54

Hình 4-56 Các item Jigsaw 54

Hình 4-57 Tiền xử lý giá trị vsf.file.exists 54

Hình 4-58 Giá trị nhận được khi file không tồn tại 54

Hình 4-59 Trigger cho Jigsaw 55 7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 10

tệp đã được đổi thành fun 55

Hình 4-61 Thông báo trên giao diện web 55

Hình 4-62 SQLi xem thông tin phiên bản hệ thống 56

Hình 4-63 SQLi hiển thị toàn bộ bảng trong cơ sở dữ liệu 56

Hình 4-64 Bộ luật ngăn chặn SQLi của Snort 57

Hình 4-65 Truy vấn hợp lệ và được cho qua 58

Hình 4-66 Truy vấn độc hại bị phát hiện và từ chối 58 7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 11

STT Thuật ngữ Tiếng Anh Tiếng Việt

1 API Application Program Interface Giao diện lập trình ứng dụng

2 APT Advanced Persistent Threat Tấn công có chủ đích 3 C&C

6 DoS Denial of Services Tấn công từ chối dịch vụ 7 HTTP Hypertext Transfer Protocol Giao thức truyền tải siêu

12 NIC Network Interface Card Card mạng 13 NIDS Network Intrusion Detection

System

Hệ thống phát hiện xâm nhập mạng

14 OEM Original Equipment Manufacturing Nhà sản xuất thiết bị gốc

16 OWASP The Open Web Application Security Project

Dự án bảo mật ứng dụng web mở

17 RDP Remote Desktop Protocol 18 SELinux Security Enhanced Linux 19 SMB Server Message Block 20 SNMP Simple Network Monitoring

Protocol

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 12

23 TCP Transmission Control Protocol

24 VPN Virtual Private Network Mạng riêng ảo

25 WAF Web Application Firewall Tường lửa ứng dụng web 26 WMI Windows Management

Trang 13

LỜI MỞ ĐẦU

Nhu cầu chuyển đổi số kết hợp với việc toàn cầu hóa đòi hỏi chúng ta phải sử dụng và kết nối, làm việc cùng nhau thông qua các thiết bị điện tử kết nối đến Internet Điều này khiến việc kết nối và làm việc từ xa đã trở thành một phần quan trọng, không thể thiếu trong cuộc sống của chúng ta Một khi kết nối đến dịch vụ Internet gặp sự cố sẽ gây ảnh hưởng không nhỏ đến người sử dụng, đặc biệt với các doanh nghiệp, tổ chức còn bị thiệt hại không nhỏ Để phát hiện và xử lý khi có sự cố xảy ra trong quá trình hoạt động của kết nối mạng, giám sát mạng là một công việc thiết yếu cần phải được thực hiện trong các hệ thống mạng

Với đề tài nghiên cứu và ứng dụng phần mềm Zabbix trong môi trường doanh nghiệp, em muốn giới thiệu một trong những giải pháp giám sát hệ thống mạng có thể ứng dụng cho các doanh nghiệp đi cùng các yêu cầu về hiệu năng, hiệu quả và chi phí Em mong đồ án này sẽ giúp mọi người có cái nhìn tổng quan về giám sát mạng, hoạt động của một hệ thống giám sát mạng cũng như vai trò quan trọng của nó

Đồ án bao gồm các nội dung chính như sau:

Chương 1: Giới thiệu tổng quan về mạng doanh nghiệp và các thành phần thường

thấy cũng như các rủi ro an toàn thường gặp

Chương 2: Tổng quan về giám sát mạng và các phương thức giám sát phổ biến Chương 3: Giới thiệu về các tính năng, kiến trúc và cơ chế hoạt động của phần

mềm Zabbix

Chương 4: Triển khai và đánh giá hiệu quả của phần mềm Zabbix khi được triển

khai trong doanh nghiệp.

uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 14

CHƯƠNG 1 TỔNG QUAN MẠNG DOANH NGHIỆP

Chương này sẽ trình bày về khái niệm, các tiêu chí, thành phần cơ bản mà một hệ thống mạng trong doanh nghiệp thường có Bên cạnh đó là một số rủi ro an toàn bảo mật mà doanh nghiệp phải đối mặt khi triển khai và vận hành dịch vụ mạng

Nếu coi một thiết bị mạng tương ứng với một con người, chúng ta có thể định nghĩa rằng mạng máy tính giống như một mạng lưới quan hệ giữa người với người, người này có thể giao tiếp với những người khác thông qua một mối quan hệ chung Ta có thể hiểu rằng hệ thống mạng máy tính là một hệ thống các thiết bị có thể thao tác, giao tiếp với nhau thông qua kết nối mạng Ngoài ra, để việc giao tiếp và kết nối được ổn định và hoạt động tốt thì các thiết bị cũng cần phải cài đặt các phần mềm, dịch vụ để hỗ trợ kết nối với nhau

Hình 1-1 Mạng lưới mối quan hệ của người (trái) và của các thiết bị mạng (phải)

Như vậy, từ khái niệm về mạng máy tính ta có thể hiểu rằng một hệ thống mạng doanh nghiệp là một hệ thống các thiết bị mạng được kết nối với nhau để cung cấp các kết nối, dịch vụ phục vụ mục đích của doanh nghiệp Các doanh nghiệp ở đây không chỉ là các công ty, mà còn là các cơ quan tổ chức, các trường học có số lượng lớn những thiết bị cần được kết nối với nhau [1]

1.1.2 Các tiêu chí cơ bản

Hệ thống mạng doanh nghiệp cơ bản cần đáp ứng 4 yếu tố chính, bao gồm: khả năng chịu lỗi, khả năng mở rộng, chất lượng dịch vụ và bảo mật [2] Dưới đây là một số mô tả chi tiết hơn cho 4 yếu tố này [3]

Trang 15

• Hệ thống có thể hoạt động ổn định, kể cả trong trường hợp thiết bị hỏng, dịch vụ dừng hoạt động

• Các thiết bị sử dụng cho doanh nghiệp đều là các thiết bị chuyên dụng, được thiết kế đặc biệt để phục vụ cho mục đích hoạt động của doanh nghiệp Do đó hệ thống mạng phải tối ưu về chi phí phải trả cho việc mua, bảo trì một số lượng lớn các thiết bị mạng

• Có khả năng mở rộng, phân chia vùng mạng linh hoạt do doanh nghiệp có nhiều phòng ban, và luôn có tương lai sẽ mở rộng

• Các dịch vụ cung cấp ở các phòng ban khác nhau có thể kết nối được nhau mà vẫn đảm bảo chất lượng, không ảnh hưởng đến các dịch vụ khác

• Phân quyền truy cập cho từng đối tượng cụ thể, từng phòng ban với các tài nguyên của doanh nghiệp, đặc biệt là với những dữ liệu nhạy cảm, dữ liệu nội bộ không được phép lộ lọt ra bên ngoài

• Cho phép truy cập, quản lý và điều hành công việc từ xa mà vẫn đảm bảo an toàn, bảo mật cho tài nguyên doanh nghiệp

• Có đội ngũ nhân viên, chuyên gia để thiết kế, lắp đặt, vận hành và bảo mật hệ thống

1.1.3 Các thành phần thường có

Hình 1-2 Mô hình mạng doanh nghiệp điển hình

Thông thường, hệ thống mạng doanh nghiệp được chia thành 2 thành phần chính: vùng mạng ngoài (External Network) và vùng mạng trong (Internal Network) External là vùng mạng kết nối ra ngoài Internet, còn được gọi là vùng mạng Internet Internal được chia thành các vùng nhỏ hơn, bao gồm vùng mạng nội bộ (LAN), vùng mạng máy uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 16

chủ (Server Farm) và vùng mạng phi quân sự (DMZ) [4] Dưới đây là thông tin chi tiết về các vùng nằm trong vùng mạng trong

1.1.3.1 Vùng mạng nội bộ

Vùng mạng này là vùng mạng kết nối nhiều thiết bị có phạm vi nhỏ hẹp, thông thường là một phòng ban hay một tòa nhà Các thiết bị đặt trong vùng mạng này là các thiết bị thuộc về mạng nội bộ của công ty [4, 5] Các thiết bị nội bộ này có thể truy cập ra Internet như người dùng thông thường nhưng người dùng từ Internet không thể truy cập vào các thiết bị này nếu không được phép

1.1.3.2 Vùng mạng máy chủ

Vùng mạng này là nơi đặt các máy chủ không trực tiếp cung cấp các dịch vụ có thể truy cập từ bên ngoài mạng Internet, chẳng hạn như các máy chủ cơ sở dữ liệu, các máy chủ LDA,… [4, 5]

1.1.3.3 Vùng mạng DMZ

Là vùng mạng nằm trung lập giữa vùng mạng nội bộ và vùng mạng Internet, cho phép người dùng Internet có thể truy cập và chấp nhận các rủi ro bị tấn công Thông thường các máy chủ dịch vụ được triển khai ở vùng mạng này là các máy chủ mail, máy chủ web, máy chủ DNS, máy chủ FTP, [4, 5]

1.1.4 Một số mô hình mạng phổ biến

Việc tổ chức mô hình mạng bảo mật đảm bảo bảo mật có ảnh hưởng lớn đến sự an toàn cho các hệ thống mạng và các cổng thông tin điện tử Đây là cơ sở đầu tiên cho việc xây dựng các hệ thống phòng thủ và bảo vệ Ngoài ra, việc tổ chức mô hình mạng bảo mật có thể hạn chế được các tấn công từ bên trong và bên ngoài một cách hiệu quả

1.1.4.1 Mô hình tường lửa đơn

Hình 1-3 Mô hình tường lửa đơn

Trong mô hình này, vùng mạng Internet, vùng mạng DMZ (bao gồm cả Server Farm) và vùng mạng nội bộ được thiết kế tách biệt nhau Ngoài ra, ta đặt một thiết bị tường lửa giữa các vùng mạng nhằm kiểm soát luồng thông tin giữa các vùng mạng với nhau và bảo vệ các vùng mạng khỏi các tấn công trái phép Mô hình này được gọi là mô uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 17

vùng mạng với nhau Có thể thấy ưu điểm của mô hình mạng này nằm ở cách thiết kế đơn giản, chỉ cần 1 thiết bị tường lửa ở giữa Tuy nhiên, thiết bị tường lửa này phải có thiết kế chuyên dụng, phải có ít nhất 3 giao diện kết nối mạng (NIC), ngoài ra còn phải có khả năng xử lý tốt, hiệu suất cao

1.1.4.2 Mô hình nhiều tường lửa

Hình 1-4 Mô hình tường lửa kép 1

Hình 1-5 Mô hình tường lửa kép 2

Trong mô hình này có nhiều tường lửa được sử dụng đồng thời, mỗi tường lửa sẽ kiểm soát truy cập đến một vùng mạng khác nhau Với việc chỉ quản lý truy cập cho một vùng mạng, các thiết bị tường lửa này sẽ không phải xử lý một số lượng rất lớn lưu lượng mạng như trong mô hình tường lửa đơn, ngoài ra việc cấu hình các bộ luật kiểm soát cho các tường lửa này cũng dễ dàng hơn Nhược điểm của mô hình này đó là phải đầu tư nhiều thiết bị, trong khi giá cả của các thiết bị này trên thị trường là không hề rẻ uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 18

Điểm chung của 2 mô hình trên đó là đều sử dụng 1 bộ định tuyến trước khi kết nối ra ngoài Internet, tường lửa được đặt phía sau thiết bị này và ở giữa các vùng mạng Lý do cho việc này là bởi trước khi các kết nối được gửi ra ngoài Internet sẽ phải đi qua bộ lọc của bộ định tuyến để xác định và chặn những gói tin không hợp lệ Đặt tường lửa phía sau sẽ giúp kiểm soát các tấn công từ mạng bên ngoài vào, đặt giữa các vùng mạng sẽ hạn chế tác động giữa các vùng mạng nếu chẳng may có một vùng mạng nào đó bị tấn công

1.2 Các loại hình tấn công mạng mà doanh nghiệp thường gặp

Tấn công mạng là sự xâm nhập trái phép vào một hệ thống mạng máy tính, cơ sở dữ liệu, website nhằm mục đích bất hợp pháp mà chủ yếu là để phá hoại hoặc trục lợi Đối tượng của các cuộc tấn công mạng rất đa dạng, nhưng phổ biến nhất là các doanh nghiệp bởi đây là đối tượng có nhiều tài sản, thông tin quan trọng và đắt giá nhất Trong một số trường hợp, các doanh nghiệp cạnh tranh không lành mạnh cũng tấn công mạng đối thủ bằng cách đánh sập website gây ảnh hưởng đến hình ảnh và uy tín của doanh nghiệp đối thủ Hình 1-6 và 1-7 là thống kê khảo sát của CISCO về hiện trạng tấn công mạng trong doanh nghiệp năm 2021

Hình 1-6 Khảo sát về các tấn công mạng (Nguồn: Cisco Secure [6])

Trang 19

Hình 1-7 Thống kê các loại tấn công mà các doanh nghiệp sử dụng SMB gặp [6]

1.2.1 Tấn công giả mạo (Phising)

Trước khi tìm hiểu về tấn công giả mạo, chúng ta cần hiểu về tấn công bằng kỹ năng xã hội (Social Engineering) Như đã trình bày ở phần mở đầu, Internet và các thiết bị thông tin liên lạc đem lại lợi ích lớn cho con người, đặc biệt là về khía cạnh kết nối và giao tiếp từ xa với nhau Tuy nhiên, lúc này thông tin cá nhân c ủa chúng ta, dù có nhạy cảm hay không, cũng sẽ có khả năng xuất hiện ở trên mạng và đều được công khai Như vậy, bất kỳ ai cũng có thể thấy được những thông tin này của chúng ta và lợi dụng chúng Tấn công bằng kỹ năng xã hội sử dụng những thông tin này để khai thác các kẽ hở trong quy trình nghiệp vụ, bảo mật và đánh vào điểm yếu nhất trong các lớp an toàn là con người để vượt qua những biện pháp bảo mật an ninh mạnh hơn như tường lửa, mã hóa, hệ thống phát hiện xâm nhập… [7]

Tấn công giả mạo là một trong những kiểu tấn công xã hội, được định nghĩa là kiểu tấn công mà trong đó kẻ tấn công sẽ tìm cách lấy các thông tin bí mật, nhạy cảm của nạn nhân, thường là những người nhẹ dạ cả tin và không có hiểu biết Ở Việt Nam hình thức phổ biến của kiểu tấn công này là kẻ tấn công giả làm một đơn vị uy tín (công an, nhà mạng, ngân hàng) để lừa đảo người dùng cung cấp thông tin cá nhân cho chúng Thông thường, tin tặc sẽ giả mạo thành ngân hàng, trang web giao dịch trực tuyến, lừa người dùng nhập các thông tin nhạy cảm như: tài khoản, mật khẩu đăng nhập, mật khẩu giao dịch, thẻ tín dụng, OTP thanh toán và các thông tin khác Đôi khi, tấn công giả mạo là bước đầu của các cuộc tấn công khác như tấn công APT, tấn công mã độc [8]

Phương thức tấn công này thường được tin tặc thực hiện thông qua email và tin nhắn Người dùng khi mở email và nhấn vào đường link giả mạo sẽ được chuyển hướng đến một trang web giả mạo được thiết kế giống trang web thật và được yêu cầu nhập thông tin đăng nhập, thanh toán Nếu nạn nhân đăng nhập hoặc cung cấp thông tin trên trang web giả mạo đó, tin tặc sẽ có được thông tin hoặc mã độc sẽ được thực thi ngay tức khắc Dưới đây là hình ảnh một email giả mạo Vietnam Post được gửi đến khách uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 20

hàng yêu cầu truy cập đường link, nếu khách hàng ấn vào sẽ được chuyển hướng đến trang web giả mạo

Hình 1-8 Email giả mạo có logo của Vietnam Post

1.2.2 Tấn công từ chối dịch vụ (DoS/DDoS)

Tấn công từ chối dịch vụ (DoS) là kiểu tấn công nhắm vào tính sẵn sàng của dịch vụ Kiểu tấn công này sẽ đánh sập tạm thời hệ thống, máy chủ hoặc website Để thực hiện được điều này, kẻ tấn công thường tạo ra một lượng yêu cầu truy cập khổng lồ gửi đến cho máy chủ trong thời gian ngắn, khiến cho hệ thống bị quá tải, mất khả năng phản hồi các yêu cầu mời Khi đó, người dùng sẽ không thể sử dụng dịch vụ trong khoảng thời gian mà cuộc tấn công diễn ra

Với tấn công từ chối dịch vụ phân tán (DDoS), kẻ tấn công sử dụng một mạng lưới các máy tính gọi là Botnet để tấn công người dùng Vấn đề ở đây là chính các máy tính thuộc mạng lưới này sẽ không biết bản thân đang bị lợi dụng trở thành công cụ tấn công Các máy tính này vẫn có thể sử dụng như bình thường, nhưng chúng được kết nối đến C&C Server của kẻ tấn công để chờ lệnh Khi kẻ tấn công ra lệnh, các máy tính này sẽ bị lợi dụng để làm theo yêu cầu của kẻ tấn công

Một số hình thức tấn công từ chối dịch vụ phổ biến là TCP SYN Flood, HTTP Flood, Slowloris… Các cuộc tấn công từ chối dịch vụ trước đây dựa trên kỹ thuật tạo và gửi những gói tin từ một địa chỉ IP nguồn đến một địa chỉ IP đích Tuy nhiên, hiện nay các công cụ đã có thể gửi nhiều gói tin đến nhiều địa chỉ IP đích từ một địa chỉ IP nguồn, hoặc giả mạo thông tin về địa chỉ IP nguồn gửi trong các gói tin gửi đến địa chỉ uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 21

IP đích gây khó khăn trong việc ngăn chặn qua các phương pháp như chặn IP, lọc gói tin… [9] Dưới đây là hình ảnh mô tả một số kiểu tấn công từ chối dịch vụ

Trang 22

Hình 1-11 Thống kê số lượng malware mới được phát hiện [10]

1.2.4 Các lỗ hổng ứng dụng web

Bất kỳ doanh nghiệp nào hoạt động trong thời đại Internet đều cần có các trang web để có thể quảng bá, kinh doanh các sản phẩm của mình Các doanh nghiệp thường thuê các máy chủ bên ngoài để chạy các trang web, có thể là trên các nền tảng đám mây như Google Cloud, Microsoft Azure, Amazon AWS,… Tuy nhiên vẫn có một số lượng lớn các doanh nghiệp tự tạo và duy trì máy chủ web của riêng mình, và các máy chủ này được nối vào chung hệ thống mạng của doanh nghiệp (thường ở vùng DMZ) Do đó, nếu các máy chủ này bị tấn công chúng sẽ đi kèm với những rủi ro an toàn thông tin có thể gây ảnh hưởng lớn đến doanh nghiệp về uy tín, về danh tiếng, về tiền bạc…

OWASP là một trong những dự án dành cho cộng đồng những nhà phát triển, những nhà nghiên cứu nhằm mục đích cải tiến bảo mật, an toàn của phần mềm ứng dụng, bao gồm cả phần mềm ứng dụng web và phần mềm di động Dự án này đánh giá, khảo sát và đưa ra kết quả thống kê các lỗ hổng bảo mật phổ biến của các ứng dụng web uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 23

• Cryptographic Failures, là các lỗi lộ lọt thông tin như mật khẩu, số thẻ tín dụng, thông tin cá nhân,… thông thường xảy ra trong quá trình truyền dữ liệu và các khâu xử lý dữ liệu ở bên phía người dùng có thể gây ra việc lộ lọt thông tin như:

o Không mã hóa và truyền dữ liệu ở dạng plaintext o Sử dụng thuật toán mã hóa yếu, lỗi thời

o Quản lý khóa không phù hợp…

• Injection: Trong bảng xếp hạng năm 2017, các lỗi liên quan đến Code Injection là phổ biến nhất và gây hậu quả nặng nề, tiêu biểu là các lỗi SQLi, XSS… Các lỗi này xảy ra do ứng dụng web không lọc các dữ liệu đầu vào được người dùng gửi lên máy chủ

• Security Misconfiguration, là các lỗi xảy ra do các máy chủ vẫn giữ nguyên các cài đặt mặc định, các trang web có các lỗ hổng bảo mật không sử dụng nhưng vẫn hoạt động… Kẻ tấn công khai thác các lỗi này sẽ hướng tới mục tiêu là truy cập trái phép không qua xác thực hoặc đôi khi là có toàn quyền quản trị ứng dụng web Các lỗi này có thể được phát hiện thông qua các công cụ rà quét lỗ hổng, như nmap, Burp Suite, Acunetix…

• Vulnerable and Outdated Components, là các lỗi không cập nhật, quản lý các rủi ro xảy ra với các thiết bị mạng được sử dụng Đôi khi, doanh nghiệp chấp nhận phải sử dụng các thiết bị, dịch vụ với các nguy cơ an toàn (thông thường các lỗ hổng này chỉ có ảnh hưởng nhỏ) để có được sự ổn định và hiệu năng tốt nhất uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 24

Tương tự các lỗi Security Misconfiguration, lỗi này cũng dễ dàng được phát hiện bởi các công cụ rà quét lỗ hổng

• Identification and Authentication Failures, là loại lỗ hổng cho phép kẻ tấn công vượt qua các bước xác thực bằng các cách thức như tấn công vét cạn, đặt lại mật khẩu, sử dụng cookie, SessionID…

• Security Logging and Monitoring Failures là các lỗi trong quá trình giám sát và ghi lại log Nếu xảy ra lỗi trong quá trình này (thiếu log, hệ thống giám sát không hoạt động…) thì sẽ khó có thể phát hiện và ngăn chặn kịp thời các cuộc tấn công đang diễn ra

1.2.5 Các lỗ hổng Zero-day

Lỗ hổng zero-day là những lỗ hổng bảo mật chưa được công bố hoặc chưa được khắc phục [12] Tương tự các lỗ hổng thông thường, lỗ hổng zero-day tồn tại trong nhiều môi trường khác nhau như: phần mềm, phần cứng, website, ứng dụng… Lỗ hổng zero-day được đánh giá là đặc biệt nguy hiểm, có thể gây ra những hậu quả vô cùng nghiêm trọng cho bất cứ hệ thống mạng nào bị tấn công qua đó Lý do là vì lỗ hổng zero-day chưa được các nhà phát triển tìm ra nên chưa có bản vá nào ngăn chặn được chúng Điều này cũng khiến tỷ lệ khai thác thành công các lỗ hổng zero-day cao hơn các lỗ hổng khác Dưới đây là thống kê các lỗ hổng zero-day qua các năm và vòng đời của nó

Hình 1-13 Số lượng lỗ hổng zero-day các năm (nguồn Zero-day tracking [13])

Trang 25

Hình 1-14 Quá trình khai thác lỗ hổng Zeroday

• Bước 1: Lỗ hổng bảo mật xuất hiện, làm cho ứng dụng phần mềm có khả năng bị tấn công nhưng không bị các nhà sản xuất, nhà phát triển phát hiện • Bước 2: Kẻ tấn công phát hiện ra lỗ hổng đó, khai thác thành công

• Bước 3: Kẻ tấn công tiến hành tấn công các hệ thống

• Bước 4: Những nhà phát triển phát hiện tấn công và cố gắng tìm ra lỗ hổng

Hình 1-15 Quá trình vá các lỗ hổng Zeroday

• Bước 1: Các nhà nghiên cứu, nhà phát triển tìm ra lỗ hổng

• Bước 2: Thông tin chi tiết về lỗ hổng được thông báo đến các nhà cung cấp • Bước 3: Các nhà cung cấp dựa trên những thông tin có được nghiên cứu

cách vá lỗi

• Bước 4: Các nhà cung cấp phát hành bản vá bảo mật

Mức độ nghiêm trọng của cuộc tấn công zero-day không chỉ phụ thuộc vào độ rộng và độ sâu lỗ hổng cho phép khai thác mà còn phụ thuộc vào các yếu tố sau:

• Sự chủ động về bảo mật của nhà cung cấp dịch vụ • Phản ứng của nhà cung cấp khi sự cố xảy ra • Sự chủ động về bảo mật của người dùng

Trang 26

• Phản ứng của người dùng khi sự cố xảy ra

1.2.6 Tấn công có chủ đích (APT)

Tấn công có chủ đích, là kiểu tấn công nhắm vào một tổ chức, công ty nhất định Tấn công chủ đích có thể do một nhóm tội phạm máy tính hành động theo yêu cầu, các tổ chức khủng bố và các cơ quan đặc vụ quốc gia thực hiện APT thường được thực hiện trên các đối tượng được bảo vệ tốt, khi những phương pháp đơn giản không có hiệu quả hoặc dễ làm lộ kẻ tấn công

Tấn công có chủ đích vào doanh nghiệp hầu hết thường được thực hiện theo yêu cầu của đối thủ cạnh tranh thông qua những kẻ tấn công có kinh nghiệm, được hỗ trợ với nguồn tài chính lớn Khi thực hiện tấn công chủ đích, những kẻ tấn công sử dụng mọi phương tiện để tấn công vào các máy chủ web và cơ sở hạ tầng mạng APT là loại tấn công phức tạp, trình độ cao và dai dẳng với mục đích chiếm quyền kiểm soát hệ thống trong thời gian lâu nhất có thể

3 giai đoạn của tấn công APT: • Giai đoạn 1 – Xâm nhập

o Kẻ tấn công xâm nhập hệ thống mạng của các doanh nghiệp, thường qua các con đường như ứng dụng web, tài nguyên mạng và sự bất cẩn của nhân viên o Kẻ tấn công thường cố gắng tải lên các tệp tin độc hại thông qua các lỗ hổng web, ứng dụng mạng hoặc qua kỹ thuật tấn công lừa đảo Ngoài ra, kẻ tấn công có thể dồng thời thực hiện một cuộc tấn công DDoS khiến mục tiêu bị vô hiệu hóa nhằm đánh lạc hướng nhân viên quản trị, làm cho họ mất tập trung và cảnh giác

o Khi đã thâm nhập được vào mạng của mục tiêu, kẻ tấn công nhanh chóng cài đặt một cửa hậu để có thể truy cập dễ dàng hơn, cũng có thể là một mã độc hoạt động ẩn cho phép truy cập từ xa

o Tùy thuộc vào mục tiêu tấn công cuối cùng, dữ liệu tích lũy có thể được bán cho một công ty cạnh tranh, sửa đổi và phá hủy các sản phẩm của công ty hoặc được sử dụng để chiếm toàn bộ tài nguyên tổ chức Nếu động lực là phá hoại, giai đoạn này được sử dụng để kiểm soát các chức năng quan trọng và gây ra thiệt hại tối đa

• Giai đoạn 3 – Khai thác

Trang 27

o Trong khi tấn công APT được tiến hành, thông tin bị đánh cắp thường được lưu trữ ở một vị trí an toàn trong mạng đang bị tấn công Khi dữ liệu đã được thu thập đủ, kẻ tấn công sẽ xuất dữ liệu mà không bị phát hiện

o Kẻ tấn công thường đến từ bên ngoài, điều này làm cho việc truy vết, tìm ra thủ phạm để ngăn chặn và truy cứu trách nhiệm là hết sức khó khăn

Các biện pháp an ninh có thể giúp phát hiện tấn công APT:

• Giám sát đường truyền: theo dõi lưu lượng truy cập, triển khai WAF, giám sát hoạt động mạng tương tác giữa các người dùng để phát hiện điểm bất thường • Ghi lại log hoạt động của hệ thống

• Sử dụng các công cụ lọc thư rác và quét virus cho hệ thống mail • Mã hóa dữ liệu trên đường truyền để tránh bị nghe lén

• Cập nhật, vá lỗi những phần mềm đang sử dụng

1.2.7 Các vấn đề với API

API là giao thức kết nối cung cấp khả năng truy cập và trao đổi dữ liệu với ứng dụng Các API được ứng dụng trên các trang web, ứng dụng di động đều cung cấp các API cho phép chúng ta kết nối, lấy hoặc cập nhật cơ sở dữ liệu và gọi đến các API của các bên khác, chẳng hạn để đăng nhập thông qua Facebook thì ứng dụng phải gọi đến API đăng nhập của Facebook

Hình 1-16 Sơ đồ hoạt động của web API

Một API an toàn sẽ cho phép chúng ta sử dụng những thiết bị, ứng dụng không an toàn để tiếp cận với dữ liệu một cách an toàn [14] Hiện nay, các doanh nghiệp đều sử dụng nền tảng đám mây để lưu trữ tài nguyên và cung cấp các dịch vụ, dữ liệu cho ứng dụng của mình thông qua các API Rò rỉ thông tin xác thực API hoặc API bị định cấu hình sai là một trong những lỗ hổng phổ biến mở đường cho kẻ tấn công xâm nhập vào các nền tảng đám mây Khi kẻ tấn công có được một trong các khóa truy cập, chúng uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 28

sẽ sử dụng nó chiếm truy cập và kiểm soát một phần máy chủ, sau đó thực hiện lệnh gọi API đối với các hoạt động độc hại hoặc leo thang đặc quyền hệ thống

1.2.8 Xâm nhập vật lý

An toàn vật lý (Physical Security) là việc bảo vệ phần cứng, hệ thống mạng, chương trình và dữ liệu khỏi các mối nguy hiểm vật lý có thể gây ảnh hưởng đến hoạt động của hệ thống Các mối nguy hiểm vật lý có thể kể đến bao gồm: hỏa hoạn, thiên tai, mất điện, mất tín hiệu, hư hỏng thiết bị, nhân viên phá hoại,…

Thông thường các cuộc xâm nhập vật lý có thể ngăn chặn nhờ vào việc sử dụng các biện pháp bảo mật vật lý như nhân viên bảo vệ kiểm tra danh tính trước khi cho người lạ vào tòa nhà, các chính sách yêu cầu phòng chống cháy nổ, hư hỏng thiết bị được đưa ra, các máy chủ, tài liệu quan trọng được lưu trữ riêng biệt, không kết nối với bên ngoài…

1.3 Kết chương

Như vậy, chương 1 đã đưa ra khái niệm thế nào là mạng doanh nghiệp, 4 yêu cầu mà một hệ thống mạng doanh nghiệp cần đáp ứng và các vùng mạng chính thường thấy của nó Thêm vào đó, chương này cũng giới thiệu các hình thức tấn công mạng mà doanh nghiệp thường phải đối mặt cũng như đặc điểm của các tấn công đó.

Trang 29

CHƯƠNG 2 TỔNG QUAN VỀ GIÁM SÁT MẠNG

Chương này sẽ giới thiệu tổng quan khái niệm, lợi ích cũng như vai trò của việc giám sát hoạt động của hệ thống mạng và các phương thức giám sát mạng thường được sử dụng Ngoài ra, chương này cũng sẽ đưa ra giới thiệu về một vài phần mềm giám sát mạng nổi tiếng thường được sử dụng

2.1 Giới thiệu

Như đã trình bày ở mục 1.1.2, mạng doanh nghiệp cần đáp ứng 4 yếu tố cơ bản là khả năng chịu lỗi, khả năng mở rộng, chất lượng dịch vụ và bảo mật Tuy nhiên dù hệ thống mạng được thiết kế và triển khai theo quy chuẩn vẫn sẽ không thể tránh khỏi khả năng bị gián đoạn hoạt động, nói cách khác thì hệ thống mạng không thể đảm bảo 100% tính sẵn sàng (1 trong 3 yếu tố quan trọng của bảo mật) [15] bởi lẽ các vấn đề luôn xuất hiện khi hoạt động Để có thể phản ứng nhanh chóng trước những vấn đề này, giám sát mạng được áp dụng rộng rãi trong các hệ thống mạng

Mục đích chính của việc giám sát mạng là để nhận biết thông tin về những vấn đề xảy ra nhanh nhất có thể, lý tưởng nhất là trước khi người dùng nhận ra rằng hệ thống có vấn đề, thường là hiệu suất mạng chậm hoặc các thiết bị mạng không hoạt động Giám sát mạng sẽ cung cấp một chẩn đoán nhanh chóng cho tình hình hiện tại của hệ thống, nếu phát hiện có bất thường thì sẽ gửi thông báo để người quản trị biết rằng có vấn đề đang xảy ra

Thông thường hệ thống giám sát mạng được dựa trên thông lượng, tỷ lệ lỗi, mất mát gói tin và độ trễ, độ phản hồi của thiết bị Ngoài ra, một số thiết bị hiện đại còn cho phép giám sát cả những thông tin vật lý như nhiệt độ và trạng thái sử dụng Nhờ đó, người giám sát không chỉ dễ dàng theo dõi sự hoạt động, luồng dữ liệu của thiết bị mà còn có thể đánh giá, xác định thiết bị nào là tốt, có thể tin cậy, từ đó tối ưu hiệu suất hệ thống và giảm giá thành khi triển khai, nâng cấp cơ sở hạ tầng mạng

Giám sát mạng được thực hiện ở 2 phương diện, là giám sát vận hành và giám sát an toàn Giám sát vận hành là theo dõi các trạng thái hoạt động của các thiết bị, giám sát an toàn thì theo dõi các hành vi hay thay đổi bất thường của thiết bị Mục đích của giám sát vận hành là việc theo dõi các thiết bị để kiểm tra độ ổn định của hệ thống trong điều kiện bình thường, còn giám sát an toàn là để phát hiện các mối đe dọa đến an ninh an toàn của hệ thống như rò rỉ, đánh cắp dữ liệu hay chiếm quyền điều khiển hệ thống

2.2 Các phương thức giám sát mạng

2.2.1 Các kiểu giám sát

2.2.1.1 Giám sát đường truyền

Giám sát đường truyền cung cấp đánh giá tổng quan về hiệu suất hệ thống Hiệu suất được đánh giá bằng cách so sánh giữa số lượng gói tin gửi đi và gói tin nhận được kết hợp với việc đếm các hop (các thiết bị mà gói tin phải đi qua để đến được địa chỉ đích) Bên cạnh đó hệ thống cũng sẽ tính toán độ trễ của thiết bị, nhờ đó có được đánh uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 30

giá tổng quan bao gồm số lượng gói tin bị mất, đường truyền mạng, băng thông và độ trễ Các yếu tố này có thể được sử dụng để tăng chất lượng dịch vụ có trong hệ thống đó

2.2.1.2 Phân tích định tuyến

Một kiểu khác của việc giám sát là phân tích định tuyến Nó là tập hợp bởi nhiều công cụ, kỹ thuật và thuật toán hoạt động ở lớp mạng trong mô hình OSI Các dữ liệu được truyền về máy chủ giám sát thông thường sẽ được phân tích để xây dựng sơ đồ mạng, với toàn bộ các đường kết nối có thể sử dụng Việc này sẽ giúp cho quá trình sửa lỗi, giảm thiểu thiệt hại dễ dàng hơn

2.2.1.3 Giám sát dịch vụ

Các dịch vụ hầu hết đều có chức năng cung cấp trạng thái hoạt động của máy chủ bao gồm các thông tin như khả năng xử lý, hiệu suất hoạt động, các kết nối, thời gian hoạt động… Điển hình là dịch vụ mạng Apache, nó cung cấp trang web server-status cung cấp tổng quan hầu hết các thông tin cần thiết cho việc giám sát dịch vụ

Hình 2-1 Trang server-status trên máy chủ dịch vụ Apache

2.2.2 Giám sát có và không dựa trên agent 2.2.2.1 Giám sát dựa trên agent (agent-based)

Agent là một phần mềm nhẹ, được cài đặt lên các thiết bị cần được giám sát với mục đích là theo dõi hiệu suất hoạt động của thiết bị Nếu có lỗi, nó sẽ gửi một gói tin đến máy chủ giám sát để thông báo Trong một vài trường hợp, nó còn có thể được sử dụng để sửa lỗi và cập nhật các bản vá bảo mật

Các phần mềm agent có ưu điểm là chúng có thể cung cấp các phân tích hiệu uhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoiuhah tieh hieu pua xu duhg voh euc eohg ty eo uhah xay duhg tu vah moi truohg do thi thahg lohg ha hoi

7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM7524130610:02:46 PM10:02:46 PM

Trang 31

điểm của nó là nó chiếm nhiều tài nguyên mạng và để lại các dấu vết trên đường truyền Vì vậy, gần đây có thêm các phần mềm agent “tàng hình”, không để lại dấu vết trên đường truyền mà không làm mất đi khả năng giám sát

2.2.2.2 Giám sát không dựa trên agent (agentless)

Kiểu giám sát này không yêu cầu phải cài đặt agent lên các máy giám sát mà sẽ giám sát trực tiếp các gói tin chứa dữ liệu về hiệu suất và trạng thái hoạt động, nhưng không cung cấp thông tin chi tiết về các lỗi

Thông thường giám sát không dựa trên agent sẽ dựa vào các giao thức mạng, chằng hạn như SNMP và WMI Ưu điểm của kiểu giám sát này là không cần phải cài đặt agent, dễ dàng hơn trong việc triển khai và không cần phải cập nhật agent thường xuyên Nhược điểm của nó là không thể theo dõi và đánh giá sâu dữ liệu hoạt động, cũng như không có các tính năng báo cáo và phân tích, cập nhật bản vá cho thiết bị

2.3 Một số phần mềm giám sát mạng nổi tiếng

2.3.1 Solarwinds Network Performance Monitor

Hình 2-2 Solarwinds Network Performance Monitor

Phần mềm này rất dễ dàng để cài đặt và có thể sử dụng nhanh chóng Phần mềm sẽ tự động phát hiện các thiết bị mạng trong thời gian ngắn và cung cấp một giao diện người dùng sáng tạo và dễ dàng nhất để giám sát toàn bộ hệ thống mạng

Ngoài ra, người sử dụng có thể tùy biến nhanh chóng hoặc thay đổi giao diện người dùng trên web sao cho trực quan nhất thông qua các biểu đồ, các thông tin hoạt động và báo cáo Tuy nhiên phần mềm này là phần mềm trả phí, do đó một số doanh nghiệp sẽ không sẵn sàng bỏ tiền ra để sử dụng

Trang 32

• Hỗ trợ rộng rãi các nhà cung cấp OEM

• Dễ dàng sử dụng giao diện web và phân tích dữ liệu

• Giám sát nhiều thiết bị, dịch vụ như tường lửa Cisco ASA, danh sách quản lý truy cập, VPN,…

2.3.2 ManageEngine OpManager

Hình 2-3 ManageEngine OpManager

Phần mềm này là một phần mềm giúp quản lý cơ sở hạ tầng, giám sát và quản lý hệ thống mạng cùng các ứng dụng, dịch vụ Ở khía cạnh giám sát mạng, phần mềm này được người sử dụng đánh giá cao ở tính năng giám sát và phân tích Dựa trên những thông tin về cấu hình mạng, máy chủ, hiệu suất và các lỗi được phát hiện, nó có thể phân tích lưu lượng mạng của hệ thống

Một số tính năng của phần mềm:

• Tự động phát hiện và lập sơ đồ thiết bị mạng • Liên tục kiểm tra hoạt động, trạng thái của thiết bị

• Giám sát các thiết bị dựa trên giao thức SNMP và hỗ trợ SNMP Traps

• Tăng cường hiệu suất giám sát với khả năng tùy biến và hệ thống giám sát full stack

Trang 33

2.3.3 Nagios

Hình 2-4 Nagios

Nagios nhắm đến nhiều loại đối tượng với nhiều mục đích sử dụng và khả năng chi trả khác nhau Nó được cung cấp ở dạng miễn phí, mã nguồn mở, thanh toán một lần và đăng ký Đây là một trong số ít những phần mềm có hiệu quả tốt mà cho phép sử dụng dưới nhiều hình thức

• Tự động sửa lỗi khi phát hiện lỗi

• Dễ dàng phát triển các plug-in riêng Cho phép người sử dụng dễ dàng phát triển các dịch vụ giám sát nhu cầu sử dụng bằng việc sử dụng các ngôn ngữ shell script, C ++, Perl, Ruby, Python, PHP, C# ….)

Trang 34

2.3.4 Zabbix

Hình 2-5 Zabbix

Zabbix là một phần mềm được sử dụng để giám sát các máy chủ và phần cứng mạng Phần mềm này có nhiều tính năng độc đáo với khả năng tùy biến cao, đồng thời có thể phục vụ cho các hệ thống mạng tầm trung và lớn của các doanh nghiệp với mức đầu tư vừa phải

Một số tính năng của phần mềm:

• Tự động tìm phát hiện server và hệ thống mạng • Hỗ trợ máy trạm client nhiều hệ điều hành • Linh động trong việc phân quyền người sử dụng • Đưa ra dự báo sử dụng trong hệ thống mạng

2.4 Kết chương

Chương 2 đã về việc giám sát hoạt động của hệ thống mạng ở các phương diện bao gồm khái niệm, vai trò, mục đích Bên cạnh đó là nêu ra các hình thức giám sát mạng thường được sử dụng và giới thiệu qua tính năng của một vài phần mềm giám sát mạng phổ biến.

Trang 35

CHƯƠNG 3 GIỚI THIỆU VỀ PHẦN MỀM GIÁM SÁT MẠNG ZABBIX

Chương này sẽ giới thiệu tổng quan về phần mềm Zabbix và các tính năng, ưu điểm của nó trong việc giám sát hệ thống mạng Thêm vào đó là kiến trúc và cơ chế hoạt động của phần mềm này

3.1 Giới thiệu

Zabbix là một giải pháp giám sát mạng ở cấp độ doanh nghiệp, hỗ trợ người dùng thu thập, lưu trữ, quản lý và phân tích những thông tin nhận được từ cơ sở hạ tầng hệ thống mạng Nó đã có lịch sử hơn 20 năm, được tạo ra bởi Alexei Vladishev vào năm 1998 và vẫn được phát triển và hỗ trợ bởi Zabbix SIA, một công ty phần mềm cung cấp đa dạng các dịch vụ doanh nghiệp liên quan đến kỹ thuật và hỗ trợ tư vấn Đến nay, công ty đã có hơn 50 đối tác trên toàn thế giới, ở nhiều lĩnh vực như viễn thông, tài chính, giáo dục, bán hàng, chăm sóc sức khỏe thậm chí cả các công ty chính phủ

Về tính năng, Zabbix cung cấp rất nhiều tính năng giúp hỗ trợ cho việc giám sát mạng, tiêu biểu có thể kể đến như:

• Hỗ trợ giám sát lên tới hơn 1000 thiết bị và có khả năng mở rộng mô hình dễ dàng

• Hỗ trợ 2 kiểu giám sát là agent-based và agentless và không yêu cầu quyền hệ thống để chạy, do đó không làm ảnh hưởng đến hệ thống

• Có thể cài đặt agent lên nhiều nền tảng, đồng thời có khả năng tích hợp nhiều tính năng hỗ trợ cho việc giám sát các dịch vụ như cơ sở dữ liệu, dịch vụ web, máy chủ ảo hóa,…

• Mã hóa dữ liệu đường truyền

• Tự động phát hiện các máy kết nối trong mạng với tính năng Low Level Discovery, tuy nhiên nhược điểm của tính năng này là cách viết luật để thực thi khá phức tạp

• Phân tích và dự đoán xu hướng hoạt động, lưu lượng mạng dựa trên dữ liệu lưu trữ

• Thông báo giám sát qua nhiều cách thức như Email, SMS, Telegram, MS Teams, Slack, Jira…

• Hỗ trợ giao diện web với nhiều khả năng tùy biến kết hợp cùng các biểu đồ trực quan

• Linh hoạt trong phân quyền người dùng khi sử dụng

• Hoàn toàn miễn phí và được hỗ trợ lâu dài bởi công ty và cộng đồng đông đảo Như đã nói ở trên, Zabbix hỗ trợ cài đặt trên rất nhiều nền tảng và tích hợp rất nhiều các tính năng của bên thứ ba

Trang 36

Hình 3-1 Danh sách các nền tảng có thể cài đặt agent

Hình 3-2 Danh sách các tiện ích có thể tích hợp với Zabbix

3.2 Kiến trúc và cơ chế hoạt động

Trang 37

Zabbix có 4 thành phần kiến trúc chính, bao gồm: Zabbix server, Zabbix proxy, Zabbix agent và Web interface

• Zabbix server: Đây là thành phần trung tâm trong kiến trúc hoạt động của phần mềm, nơi lưu trữ và xử lý những báo cáo tình trạng của các agent đồng thời kiểm chứng tính toàn vẹn dữ liệu cũng như tính toán các thống kê Các dữ liệu, cấu hình cũng như thống kê hoạt động đều được lưu vào cơ sở dữ liệu, có thể cài chung trên một máy chủ với Zabbix server hoặc không

• Zabbix proxy: Thành phần này có công dụng giúp thu thập dữ liệu về hiệu suất và trạng thái tương tự như Zabbix server và giúp chia tải cho Zabbix server nếu có nhiều thiết bị được giám sát Proxy nên được cài đặt trong trường hợp với các doanh nghiệp lớn và có các thiết bị phân tán

• Zabbix agent: Tương tự như agent của các ứng dụng giám sát mạng khác, Zabbix agent được cài đặt trực tiếp lên máy được giám sát Nó sẽ theo dõi và gửi báo cáo về các dữ liệu thu thập được cho Zabbix server Ngoài ra, sử dụng Zabbix agent đem lại hiệu quả cao vì chúng có thể thực hiện các lời gọi hệ thống từ xa Hiện nay có 2 loại Zabbix agent:

o Zabbix agent được viết bằng ngôn ngữ C hỗ trợ nhiều nền tảng, hoạt động nhẹ nhàng

o Zabbix agent 2 được viết bằng ngôn ngữ Go, với khả năng tùy biến và mở rộng cao

• Web interface: Giao diện web giúp người dùng dễ dàng truy cập từ bất cứ đâu và từ bất cứ nền tảng nào Web interface thường được cài đặt và chạy trên cùng một máy chủ với Zabbix server Tất cả những dữ liệu được đọc và thay đổi trên web sẽ được thay đổi trực tiếp đến cơ sở dữ liệu mà không thông qua Zabbix server Đây là một thành phần quan trọng, Zabbix server sẽ không thể hoạt động với đầy đủ chức năng nếu thiếu nó

• Ngoài 4 thành phần chính ra, Zabbix còn có một số thành phần khác, chẳng hạn như các API được tích hợp để truy xuất dữ liệu và thay đổi cấu hình của Zabbix Hầu hết các trường hợp sử dụng API là để tích hợp Zabbix vào các phần mềm khác, chẳng hạn như phần mềm quản lý log Grafana

3.2.2 Hoạt động

3.2.2.1 Các thuật ngữ cần biết khi sử dụng trong Zabbix

• Host: Thiết bị mạng cần được giám sát, kết nối thông qua IP hoặc DNS

• Host group: Tập hợp các host, giúp dễ dàng quản lý và phân quyền truy cập cho các nhóm người dùng khác nhau

• Item: Một phần dữ liệu được trích xuất từ dữ liệu nhận được từ host • Value Preprocessing: Xử lý dữ liệu trước khi lưu vào cơ sở dữ liệu

• Trigger: Là một biểu thức logic định nghĩa các ngưỡng của một vấn đề và được xác định dựa trên đánh giá dữ liệu nhận được từ item