Nghiên cứu xây dựng mô hình phát hiện tấn công, đột nhập mạng dựa trên đối sánh chuỗi Người hướng dẫn: Tiến sĩ Hoàng Xuân Dậu Sinh viên thực hiện: Vũ Duy Khánh Lớp: D09CNTT1 HTTT3 Tổng quan về phát hiện đột nhập mạng Các giải thuật đối sánh chuỗi và ứng dụng trong phát hiện đột nhập mạng Xây dựng mô hình phát hiện đột nhập mạng dựa trên đối sánh chuỗi Kết luận
LOGO Nghiên cứu xây dựng mơ hình phát công, đột nhập mạng dựa đối sánh chuỗi Người hướng dẫn: Tiến sĩ Hoàng Xuân Dậu Sinh viên thực hiện: Vũ Duy Khánh Lớp: D09CNTT1 - HTTT3 Nội dung Tổng quan phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Nội dung Tổng quan phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Kiểm soá t truy cập Các yêu cầu đảm bảo an tồn cho hệ thống mạng h Tín ật ím b h Tín An tồn n t li vẹn ệu ng chối Tính chố Tính sẵn sàng bỏ Các dạng công đột nhập mạng thường gặp Tấn công, đột nhập mạng Tấn công Tấn công vào phần mềm phá hoại tài nguyên mạng Phần mềm phá hoại phụ thuộc vào chương trình chủ Phần mềm phá hoại Tấn Tấn Tấn Tấn độc lập công công công công với chương gián nghe thay giả trình chủ đoạn trộm đổi mạo Các giải pháp bảo vệ, phịng chống cơng, đột nhập Bảo vệ vật lý Ngăn chặn truy cập vật lý trái phép vào Điều khiển truy cập hệ thống - Tường lửa - Xác thực - Cấp quyền Mã hóa liệu Biến thơng tin từ dạng bình thường sang Phát công, đột dạng hiểu nhập - Click to add Text - Click to add Text phương tiện giải mã - Click to add Text Content Phát công, đột nhập mạng Phân loại biện pháp phát đột nhập Phân loại dựa nguồn liệu Host Based IDS - HIDS Network Based IDS - NIDS Phân loại biện pháp phát đột nhập Phân loại dựa kỹ thuật phát Audit Data Audit Data Audit Data Audit Data No No Attack Knowledge Attack Knowledge Match? Match? Not Attack Not Attack Base Base System Profile System Profile Match? Match? Yes Not Attack Not Attack Yes Attack Attack Attack Attack Dựa dấu hiệu Dựa bất thường (Signature-Based) (Anomaly-Based) Nội dung Tổng quan phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Lựa chọn thuật toán đối sánh chuỗi hiệu cao Trong phát đột nhập mạng, thuật tốn Boyer-Moore-Horspool có nhiều ưu thuật toán Boyer-Moore! Sử dụng luật dịch chuyển Khoảng dịch chuyển lớn Sử dụng hai luật dịch chuyển Boyer-Moore Boyer-MooreHorspool Tiết kiệm tài nguyên hệ thống Cho phép chọn mức dịch chuyển dài Có hiệu cao đa số Tốn thời gian không gian trường hợp lưu trữ cho giai đoạn tiền xử lý Phát huy hiệu số trường hợp đặc biệt Tổng quan phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Kiến trúc chung hệ thống phát đột nhập Protected System Event Generator Event Generator Analyzer (Sensor) Analyzer (Sensor) Response Module Response Module Set of Event (Syslogs, System Status, Network Packets) Information Collection Policy Information Collection Policy Information Collection System Information System Information Detection Detection Policy Detection Policy Response Policy Response Policy Response Mơ hình phát đột nhập mạng dựa đối sánh chuỗi Cấu trúc hệ NIDS dựa đối sánh chuỗi Các giải pháp triển khai NIDS thực tế Inline Mode Passive Mode Tổng quan Snort Các thành phần Snort Tích hợp giải thuật đối sánh chuỗi tiên tiến vào Snort Boyer-Moore-Horspool BMH BM int mSearch int mhSearch (const char *, int, const char *, int, int *, int *); (const char *, int, Snort 2.9.4.6 const char *, int, int *); mstring.c int mSearchCI (const char *, int, const char *, int, int *, int *); int mhSearchCI sp_pattern_ match.c Boyer-Moore (const char *, int, const char *, int, int *); Cài đặt thử nghiệm Thử nghiệm Ngôn ngữ lập trình C++ Hệ điều hành Ubuntu Server 12.04.3 LTS 32-bit Tập liệu thử nghiệm DEFCON 10 Thử nghiệm hiệu thuật toán đối sánh chuỗi TCP Lọc gói tin TCP Payload Buffer Trích phần Payload Ghi nối tiếp phần gói tin TCP payload vào đệm Thử nghiệm hiệu thuật toán đối sánh chuỗi TH1: Xét tập liệu orange2.4.cap (5866 gói tin TCP) TH2: Xét tập liệu orange2.8.cap (11214 gói tin TCP) BMH Kích thước chuỗi mẫu TH3: Xét tập liệu orange3.1.cap (20981 gói tin TCP) Thử nghiệm phát công, đột nhập với Snort alert udp any any -> any any (msg:"UDP FLOOD ATTACK"; flow:stateless; threshold: type threshold, track by_src, count 50, seconds 1; priority:3; sid:1000006; rev:1;) Udp Flood alert icmp any any -> any any (msg:"PING FLOOD ATTACK"; threshold: Ping Flood SNORT type threshold, track by_src, count 50, seconds 1; priority:3; sid:1000007; rev:1;) Port Scan alert tcp any any -> any any (msg:"PORT SCAN ATTACK"; flow:stateless; ack:0; flags:S; classtype:attempted-recon; sid:1000000; rev:1;) /etc/snort/rules/local.rules Nội dung Tổng quan phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Kết đạt Nghiên cứu tổng quan phát đột nhập mạng, hình thức công biện pháp phát xâm nhập Nghiên cứu giải thuật đối sánh chuỗi đơn mẫu thơng dụng ứng dụng thuật tốn đối sánh chuỗi phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Cài đặt thử nghiệm mơ hình sử dụng giải thuật đối sánh chuỗi tiên tiến, thử nghiệm hiệu giải thuật đối sánh chuỗi thử nghiệm khả phát xâm nhập Snort Hướng phát triển tương lai Tìm hiểu sâu thuật tốn đối Tìm hiểu sâu thuật tốn đối sánh chuỗi đa mẫu hiệu cao, sánh chuỗi đa mẫu hiệu cao, cho phép so sánh nhiều mẫu lúc cho phép so sánh nhiều mẫu lúc Tối ưu hóa mã nguồn để cài đặt hệ Tối ưu hóa mã nguồn để cài đặt hệ thống phát đột nhập trực tiếp thống phát đột nhập trực tiếp thiết bị mạng router, switch thiết bị mạng router, switch LOGO Xin chân thành cảm ơn thầy cô bạn lắng nghe! ... phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Kết đạt Nghiên cứu tổng quan phát đột nhập mạng, hình. .. Tổng quan phát đột nhập mạng Các giải thuật đối sánh chuỗi ứng dụng phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Kết luận Nội dung Tổng quan phát đột nhập mạng Các... biện pháp phát xâm nhập Nghiên cứu giải thuật đối sánh chuỗi đơn mẫu thơng dụng ứng dụng thuật tốn đối sánh chuỗi phát đột nhập mạng Xây dựng mơ hình phát đột nhập mạng dựa đối sánh chuỗi Cài