"Hé thong Phat hién Xam nhap" IDS la mét hé thong hoặc công cụ được sử 2 |IDS dụng để phát hiện và báo cáo các hoạt động xâm nhập hoặc không được ủy quyền trên mạng hoặc trong hệ thông m
Trang 1
TRƯỜNG ĐẠI HỌC ĐỎNG THÁP KHOA SU PHAM TOÁN - TIN
Trang 23.3 Hướng phát triỂn s- sc s9 1 1121112111111 1211 1 1 11212121 ren gye 20
Trang 3DANH SÁCH THÀNH VIÊN NHÓM:2
Bảng phân công nhiệm vụ thành viên nhóm
0020410055 Nguyễn Thiện Chí Thành viên Tìm hiệu về các loai Scanning
Nghiên cứu công cụ Nmap Việt bảo cáo
Trình bày báo cáo
Bang I Bang phân công thành viên
1H
Ngày 19 tháng 10 năm 2023
Trang 4DANH MUC CAC KY HIEU, TU VIET TAT
Transmission Control Protocol/Internet Protocol
"TCP" có thể được dịch là "Giao thức Điều khiển
Truyén dir liéu"."IP"” co the duoc dich la "Giao thirc Internet”
Intrusion Detection System "Hé thong Phat hién Xam
nhap" (IDS) la mét hé thong hoặc công cụ được sử
2 |IDS dụng để phát hiện và báo cáo các hoạt động xâm nhập
hoặc không được ủy quyền trên mạng hoặc trong hệ thông máy tính
Internet Control Message Protocol "Giao thức Tin
3 | ICMP nhắn Điều khiển Internet" (ICMP) là một giao thức
trong lớp giao thức mạng của mô hình OST
"Virtual Private Network” (VPN) là một kỹ thuật hoặc
mạng riêng ảo được tạo ra để kết nối các máy tính hoặc
4 | VPN mạng từ xa một cách an toản qua mạng công cộng như
Internet VPN cho phép mã hóa dữ liệu và tạo một kênh truyền an toàn giữa các thiết bị hoặc mạng
"Internet Information Services" (IIS) la mét dich vu
may chu web được phát triển bởi Microsoft IIS cho
phép máy chủ chạy trang web và ứng dụng web dựa
3 |HŠS trên các giao thức web phô biến như HTTP và HTTPS
HS được tích hợp sâu trong hệ điều hành Windows
Server và là một phân quan trọng của việc triên khai
Bảng 2 Kĩ hiệu viết tắt
Trang 5DANH MỤC HÌNH, BẢNG
Hình 2.2.4 1 Kiểm tra cài đặt Nmap - 555 c2 2211 E1 E1 TH E111 cm cn re, 13
Hình 2.2.4 2 Tìm địa chỉ IP của máy đích ác 2212211222222 211581111112 re 14
Hình 2.2.4 3 Quét toàn bộ công - - s1 E1 11111101111 1122111111 11g 14 Hình 2.2.4 4 Quét công TCP thông thường - SE E121 1111 1021 1c rryg 16
Hình 2.2.4 5 Kiểm tra hệ điều hành 2- 2-2222 ‡2212221222112221127112111211 22112211 ty l6
Hình 2.2.4 6 Kiểm tra lễ hỏng bảo mậtt s: c1 E1 1218212111171111111E 11 1.1 re 17
Bang 1 Bảng phân công thành viên - c2 1211 2125121251251251 1121221111111 111111112 1H
Bảng 2 Kí hiệu viẾt tắt 1 ST 1 11 111p nh tu n1 H1 ren iv
Bảng 3 Các lệnh cơ bản trong Nmap L0 1221121252121 11111 1112812181182 re 13
Trang 6I MỞ ĐẦU
1.1 Giới thiệu
Trong thế giới mạng ngày nay, mạng lưới máy tính là một phần không thê thiêu trong
cudc song của chúng ta Mọi hoạt động từ học tập, làm việc, giải trí đều cần đến mạng lưới
máy tính Tuy nhiên, mạng lưới máy tính cũng là một mục tiêu tiềm năng của các cuộc tấn công mạng
Theo thông kê của Công ty Công nghệ An ninh mạng Quốc gia Việt Nam NCS, 6 tháng đầu năm 2023 số lượng tấn công an ninh mạng vào các hệ thống của Việt Nam là 5.100 vụ việc.|L] Các cuộc tân công mạng này có thê gây ra thiệt hại nghiêm trọng cho các tô chức, bao gồm:
e _ Mắtmát dữ liệu
e That thu tai chinh
e = Danh mat uy tin
Đề bảo vệ mạng lưới máy tính khỏi các cuộc tấn công mạng, việc hiểu rõ về network scanning la rat quan trong Network scanning là một quá trình thu thập thông tin về một mạng máy tính Thông tin này có thê bao gồm địa chỉ IP, tên máy chủ, các dịch vụ đang chạy, các lỗ hông bảo mật, v.v Việc hiệu rõ về network scanning sẽ giúp bạn:
e _ Phát hiện các lỗ hông bảo mật trong mạng lưới máy tính của bạn
e _ Ngăn chặn các cuộc tân công mạng trước khi chúng xảy ra
e Cải thiện khả năng bao mat của mạng lưới máy tính của bạn
Đó là lý do nhóm em chọn dé tai network scanning cho bai tiêu luận của mình Nhóm
em tin rằng đây là một đề tài quan trọng và có ý nghĩa đối với các tô chức và cá nhân sử dụng mạng lưới máy tính
1.2 Mục tiêu của bài tiêu luận
% Mục tiêu ngắn hạn:
+ Nắm vững kiến thức cơ bản: Hiểu rõ về khái niệm Scanning trong An ninh mạng và
cac loai Scanning co ban
+ $ứ dụng công cụ quét mạng: Biết cách sử dụng ít nhất một công cụ quét mạng phố
Trang 7+ Nhận diện lỗ hỗng bảo mật Có khả năng phát hiện các lỗ hỗng bảo mật thông qua
Scanning va hiéu cach chúng có thê được tận dụng
Nó giúp người quan trị mạng và chuyên gia bảo mật có cái nhìn tông quan về cầu trac mang,
lỗ hông bảo mật có thể tôn tại, và dich vụ nào đang hoạt động
Network scanning có thể được sử dụng cho cả mục đích tốt và mục đích xấu Mục tiêu
cua network scanning 1a:
e_ Xác định các thiết bị trong mạng: Network scanning giúp xác định các máy tính, may chủ, router, và các thiết bị khác đang hoạt động trong mạng
Trang 8e Phân tích các công kết noi (ports): Network scanning cho phép xác định các công kết nối mà các máy tính và thiết bị mạng đang mở, đóng hoặc lắng nghe
để cung cấp dịch vụ Điều này có thê giúp người quản trị mạng kiểm tra và quản lý cấu hình bảo mật của mạng
e Xác định các dịch vụ và ứng dụng: Network scanning có thê xác định các dịch
vụ và ứng dụng đang chạy trên các may tinh trong mang, giup người quản trị hiểu rõ về cách mạng của họ hoạt động
e Phát hiện lỗ hỗng bảo mật Bằng cách quét mạng, người sử dụng có thê phát
hiện các lỗ hong bao mat, vi du nhu công kết nối không được bảo mật hoặc các
dịch vụ chưa được cập nhật, mà có thé lam cho mang muc tiéu tro nén dé bi tan
cong
2.1.2 Cac loai scanning
“+ Port Scanning
Port scanning là quá trình xác định công TCP/IP mở và có sẵn trên một hệ thông Công
cu Port scanning cho phép một hacker tìm hiểu về các dịch vụ có săn trên một hệ thong nhat
định Mỗi dịch vụ hay ứng dụng máy tính được kết hợp với một số công thông dụng Ví dụ, một công cụ quét đó là xác định công 80 mở cho một web sever đang chạy trên đó Hacker cần phải biết rõ với số công thông dụng
“+ Network Scanning
Network scanning 1a m6t quy trinh để xác định máy chủ đang hoạt động trên mạng, hoặc
đề tấn công chúng hoặc là đánh giá an ninh mạng Máy chủ được xác định bởi IP cá nhân của chúng Các công cụ network-scanning cô gắng xác định tất cả các máy chủ trực tiếp hoặc trả lời trên mạng và dia chi IP trong ung của chúng
“+ Vulnerability scanning
Vulnerability scanning là quá trình chủ động xác định các lỗ hồng của hệ thông máy tinh trên mạng Thông thường, một máy quét lỗ hồng đầu tiên xác định các hệ điều hành và số phiên bản, bao gồm các gói dịch vụ có thê được cài đặt Sau đó, máy quét lỗ hông xác định
Trang 9các điểm yếu, lỗ hong trong hệ điều hành Trong giai đoạn tấn công sau đó, một hacker có thé khai thác những điểm yếu đề đạt được quyền truy cập vào hệ thông
Một hệ thống phát hiện xâm nhập (IDS) hay một mạng an ninh tinh vi chuyên nghiệp với các công cụ thích hợp có thé phát hiện các hoạt động port-scanning Các công cụ dò quét công TCP/IP tìm kiếm các công mở và địa chỉ IP, và lỗ hồng thường có thê bị phát hiện, vi các máy quét phải tương tác với hệ thống đích trên mạng [2]
2.1.3 Các phương pháp Scanning
+ Kiếm tra hệ thống
"_ Ping Scanning: Sử dụng giao thức ICMP (Intemet Control Message Protocol) đề gửi gói tin ping đến các máy tính trong mạng Nếu máy tính trả lời, nó được coi là hoạt động Bản chất của quá trình này là gửi một gói ICMP Echo Request đến máy chủ đang muốn tấn công Việc quét nay rất hữu ích đề định vị các thiết bị hoạt động hoặc xác định hệ thống có tường lửa hay không
= Ping Sweep: Ping Sweep duoc str dung dé xác định các máy chủ còn “sống” từ một loạt các địa chi IP bằng cách gửi các gói ICMP Echo Request dén tất cả các IP đó Nếu một máy chủ còn “sống” nó sẽ trá lại một gói tin ICMP Reply Ping Sweep là một phương pháp scanning đơn giản và hiệu quả Nó có thể được sử dụng để xác định các máy tính đang hoạt động trên một mạng lớn trong thời gian ngắn
* Kiếm tra các công mở
Kiểm tra các công đang mở là bước thứ hai trong tiến trình quét Port scanning là phương pháp được sử dụng đề kiểm tra các công đang mở Quá trình quét bao gồm việc thăm dò mỗi cổng trên máy chủ để xác định các công đang mở Thông thường Ports scanning có giá trị hơn một quá trình quét ping về máy chủ và các lỗ hồng trên hệ thống
Đề thực hiện quét port máy khách phải thực hiện thiết lập kết nổi với máy bị tấn công qua giao thức TCP sử dụng cơ chế bắt tay 3 bước
1 Máy tính A khởi tạo một kết nỗi đến máy bị tấn công bằng một gói tin với cờ SYN
2 May bi tan công sẽ trả lời bằng một gói tin với cờ SYN và ACK
3 Cuối cùng, máy khách sẽ gởi lại cho máy chủ một gói tin ACK
4
Trang 10Nếu 3 bước trên được hoàn thành mà không có biến chứng thì sau đó một kết nỗi TCP
SYN (Synchronize): Khởi tạo kết nỗi giữa các máy
ACK (acknowledge): Thiét lap kết nỗi giữa các máy
PSH (Push): Hé thong chuyén tiếp dữ liệu đệm
URG (Urgent): Do liéu trong cac g61 phai duoc surly nhanh chóng
FIN(Finish): Hoan tat giao tiép, khong truyén thém
ST (Rese0: Thiết lập lại kết nối
> Cúc kĩ thuật quét:
e XMAS: XMAS scans gtri mét goi voi co FIN, URG, va PSH duoc thiét lip Néu
cong mở, không đáp lại; nếu đóng mục tiêu gửi lại gói RSI/ACK XMAS scan
chỉ làm việc trên hệ thông may dich theo RFC 793 cua TCP/IP và không chong
lai bất cứ version nào của Windows
FIN: FIN scan tương tự XMAS scan nhưng gửi gói dữ liệu chỉ với cờ FIN được thiết lập FIN scan nhận trả lời và có giới hạn giống như XMAS scan
NULL: NULL scan cting tuong ty nhu XMAS va FIN trong gidi han va tra lời, nhưng nó chỉ gửi một packet mà không có flag set
IDLE: DLE scan str dung dia chi IP gia mạo đề gửi một gói SYN đến mục tiêu
Phụ thuộc vào trả lời, công có thể được xác định là mở hoặc đóng IDLE scans
xác định phán ứng quét công bang cach theo dõi 6 thir tu IP header
«* Ky thuat War DiaLing
War-Dialing là qua trinh quay s6 modem dé tim mét két néi modem đang mở, kết nối này cung cấp truy cập từ xa vào mạng, đề tấn công vào hệ thống đích Thuật ngữ War dialing bắt nguồn từ những ngày đầu của Internet khi hầu hết các công ty đã được kết nối
5
Trang 11với Internet thông qua kết nối dial-up modem War dialing được xem như là một phương pháp quét bởi vì nó tìm thấy một kết nỗi mạng mà có thê có bảo mật yếu hơn so với các kết nối Intemet chính Nhiều tô chức thiết lập truy cập từ xa qua modem, mà bây giờ đã cô nhưng đã không thể loại bỏ các máy chủ truy cập từ xa này Điều này cho phép tin tặc dễ dàng xâm nhập vào mạng với cơ chế bảo mật yếu hơn nhiều Ví dụ, nhiều hệ thống truy cập
từ xa sử dụng phương thức xác nhận PAP (Password Authentication Protocol), gửi mật khâu
ở dạng clear text, hay hơn nữa là dùng công nghệ VPN mới hơn với mật khâu được.[4] War-dialing là công cụ làm việc trên tiền đề rằng: các công ty không kiêm soát quay
số tại công chặt chẽ như tường lửa, và máy tính với modem gắn liền có mặt ở khắp mọi nơi, ngay cả khi những modem không còn sử dụng Nhiều máy chủ vẫn còn có modem với đường dây điện thoại được kết nối như là một sao lưu dự phòng trong trường hợp kết nối
Internet chính gặp xự cô Những kết nối modem có thê được sử dụng bởi một chương war-
dialing dé truy cập từ xa vào hệ thong và mạng nội bộ
+* Công nghệ Banner Grabing và Operating System Fingerprint
Banner Grabbing và đồng nhất hệ điều hành — cũng có thé định nghĩa là Fingerprinting TCP/IP stack — là bước thứ 4 trong phương pháp quét cha CEH Qua trinh fingerprinting
cho phép hacker xác địh vùng đặc biệt dễ bị tốn thương của mục tiêu trên mạng Banner
grabbing là quá trình tạo kết nối và đọc biểu ngữ được gửi trả lời bởi ứng dụng Nhiều server
(mail, web, fp ) sé tra loi đến một kết nối telnet vi tén va version cla software Hacker có
thé tìm thấy nhiều mối liên hệ giữa hệ điều hành và phần mềm ứng dụng Ví dụ, Microsoft
Exchange e-mail server chỉ cài được trên HĐH Windows
OS Fingerprint là kỹ thuật xác định thông tin hệ điều hành chạy trên host đích Có hai
phương thức đề thực hiện OS Emgerprmt như sau:
¢ Active stack fingerprinting la hinh thic pho bién nhat cha fingerprinting No bao
gom việc gửi dữ liệu đến hệ thông để xem cách hệ thong trả lời Nó dựa trên thực tế
là các nhà cung cấp hệ điều hành thực hiện các TCP stack khác nhau, và khác nhau
dựa trên hệ điều hành Các phản ứng này sau đó được so sánh với cơ sở dữ liệu dé
xác định hệ điều hành Active stack ñngerprinting bị phát hiện bởi vì nó cố gắng
nhiều lần đề kết nổi với hệ thống mục tiêu
6
Trang 12e Passive síack fingerprimting thì “tàng hình” hơn và bao gồm sự kiểm tra lưu lượng
trên mạng đề xác định hệ điều hành Nó sử dụng kỹ thuật Snifũng thay vì kỹ thuật
Scanning Passive stack fingerprmting thường không phát hiện ra bởi [DS hoặc hệ thông bảo mật khác nhưng ít chính xác hơn Active ñngerprinting
%% Quét lỗ hỗng
Quét lỗ hồng là đề xác định lỗ hồng và điểm yêu của một hệ thống mạng và mạng lưới
để xác định xem hệ thong đó có thê khai thác được như thế nao
Thực hiện quét lỗ hồng sẽ được các kết quả:
e©_ Cấu trúc liên kết mạng và các 16 hồng hệ điều hành
e Cac công mở và các dịch vụ đang chạy
° Ứng dụng và các lỗi câu hình các dịch vụ
° Ứng dụng và các lỗ hồng dịch vụ
2.1.4 Mục tiêu Scanning và các biện pháp phòng chống
+* Mục tiêu Scanning
=_ Mục tiêu của Scanning là xác định các công mạng mà các dịch vụ mạng (services)
đang hoạt động và xác định lỗ hồng bao mật có thê tồn tại trên hệ thống Ví dụ, nếu một công mạng được sử dụng bởi một dịch vụ có lỗ hong bao mat, thi ké tan công có
thé khai thác lỗ hông này để xâm nhập vào hệ thông
= Ngoai ra, scanning cũng có thể được sử dụng đề xác định các lỗ hỗng bảo mật khác trên hệ thống, chẳng hạn như lỗ hồng hệ điều hành hoặc lỗ hông phần mềm s* Các biện pháp phòng chống
> Cúc biện pháp phòng chống por-scanning: Biện pháp phòng chông là quá trình
hoặc bộ công cụ được sử dụng bởi các quản frị viên an ninh mạng dé phát hiện và có
thể ngăn chặn port-scanning các máy chủ trên mạng của họ Danh sách các biện pháp
đối phó cần được thực hiện để ngăn chặn một hacker thu thập thông tm từ quá trình
quét công:[ 5]
e Kiến trúc anninh thích hợp, chăng hạn như thực hiện các IDS và tường lửa nên
Trang 13thực hiện các biện pháp đổi phó Khi tường lửa được đặt ra, công cụ port- scanning nên được chạy cho các máy chủ trên mạng đề cho phép tường lửa phát hiện chính xác và dừng các hoạt động cua port-scanning
Tường lửa có thê phát hiện các hoạt động thăm dò được gửi bởi các công cụ port-scanning Các tường lửa nên tiễn hành lấy trạng thái kiểm tra (stateful inspections) Có nghĩa là nó sẽ kiêm tra không chỉ các tiêu đề TCP mà cá dữ liệu của gói tin để xác định liệu được phép đi qua tường lửa
Network IDS nên được sử dụng đề phát hiện các phương pháp dò tìm hệ điều
hành được sử dụng bởi một 36 công cụ hacker phô biến như Nmap
Chỉ có các công can thiết nên được giữ ở trạng thái mở Phần còn lai sé được lọc
hoặc bị chặn
Các nhân viên của tổ chức sử dụng các hệ thong cần được đào tạo thích hợp
nhận thức về an ninh mạng Cũng nên biết chính sách bảo mật khác nhau mà họ đang cần làm theo
> Cac bién phap phong ching War DiaLing:
Phát triển và thực hiện các chính sách an ninh
Sử dụng điện thoại trong một vùng khác từ hệ thong PBX nội bộ của bạ
Kiểm tra các cấu hình trả lời tự động trên modem của bạn
Tiên hành trinh sát thủ công mạng của bạn
Ghi lại tất cả các lần đăng nhập thành công và that bai
> Các biện pháp phòng chóng Banner Grabing va Operating System Fingerprint: Với Apache bạn có thể load module có tên làmod_ headers lên, và chỉnh sửa cầu hình trong file httpd.conf
Với IIS bạn có thế sử dung cac tool nhu ITS lockdown Tool, ServerMask Ca hai
công cụ này đều có chức năng thay đối banner header của server hoặc khóa hăn luôn, không hiền thị cho người dùng