Ứng dụng IDS trong bảo vệ an ninh mạng máy tính

Lĩnh vực Công nghệ thông tin ứng dụng IDS trong bảo vệ an ninh mạng máy tính KS.Hồ Trọng Đạt Trung tâm Công nghệ thông tin Tóm tắt: Có thể đa ra khái niệm chung về xâm nhập và kiểm tra xâm nhập nh sau: Xâm nhập là cách dùng trái phép hoặc lạm dụng một hệ thống máy tính. Kiểm tra xâm nhập là một kỹ thuật bảo mật cố gắng xác định và cô lập những xâm nhập chống lại các hệ thống máy tính. Kỹ thuật firewall (tờng lửa) không thể bảo vệ dữ liệu riêng một cách có hiệu quả. Firewalls thực hiện một việc lớn đó là lọc hay che dấu các cổng trên một host. Tuy nhiên, hầu hết các công ty phải mở các cổng trên firewalls của họ để cung cấp web, email, FTP, dịch vụ tên miền (DNS) và các dịch vụ khác. Ngay khi một nhà quản trị mở các cổng trên firewall của họ thì các cổng đó không đợc bảo vệ nữa., kẻ tấn công sẽ có thể xâm nhập vào hệ thống của bạn. Các hệ thống kiểm tra xâm nhập (IDSs) thông minh hơn và đợc xây dựng để lấp đầy những lỗ hổng còn lại cha giải quyết đợc bởi firewalls. Một hệ thống kiểm tra xâm nhập là một thiết bị giám sát tất cả sự vận chuyển trên mạng. Hệ phân tích lu lợng trong thời gian thực để xác định nếu một ai đó đang gửi lu lợng tấn công hoặc cố tình làm hại trên mạng. Việc phân tích thờng kết hợp chặt chẽ với việc khớp các mẫu và các kỹ thuật khác mà có thể phân tích đầy đủ và nhanh mọi gói tin trên mạng . Ngày nay, hệ thống mạng máy tính đã trở nên phổ biến trong hầu hết các hoạt động của xã hội, tác động trực tiếp đến nền kỹ thuật và kinh tế của đất nớc. Cùng với sự phát triển đó, ngày càng xuất hiện nhiều hơn những cá nhân, nhóm hoặc thậm chí là cả những tổ chức hoạt động với những mục đích xấu nhằm phá hoại các hệ thống mạng máy tính, hệ thống thông tin, gây tác hại vô cùng to lớn đến tính an toàn và bảo mật thông tin trên các hệ thống này. Do tính ác liệt của những cuộc tấn công gây hại đó, có rất nhiều hệ thống bảo vệ an toàn mạng đã ra đời, với nhiều mức khác nhau: bảo vệ quyền truy nhập, bảo vệ bằng mật khẩu, bảo vệ bằng mã hóa thông tin, sử dụng proxy và firewall lọc gói tin, bảo vệ truy cập vật lý. Hệ thống kiểm tra xâm nhập (Intrusion Detection System IDS) là một hệ thống đ- ợc xây dựng cũng với mục đích bảo vệ an toàn thông tin. Hệ thống này kiểm soát tài nguyên và hoạt động của hệ thống mạng, sử dụng thông tin thu thập đợc từ những nguồn này, thông báo cho ngời có trách nhiệm khi nó xác định đợc khả năng có sự xâm nhập. Nếu firewall đóng vai trò nh nhân viên bảo vệ cơ quan, kiểm tra mọi ngời đến và đi thì hệ thống kiểm tra xâm nhập giống nh có một mạng lới cảm biến để thông báo cho bạn biết khi có ai đó xâm nhập, họ đang ở đâu và làm gì. Firewall án ngữ ở ngõ vào của mạng và chỉ làm việc với những gói tin khi chúng đi vào và đi ra khỏi mạng. Một khi kẻ xâm nhập đã vợt qua đợc firewall, ngời đó có thể tung hoành tùy ý trên mạng. Đó là lý do tại sao hệ thống kiểm tra xâm nhập có vai trò quan trọng. 1. Khái niệm về kiểm tra thâm nhập Nhận thấy, kỹ thuật firewall (tờng lửa) không thể bảo vệ dữ liệu riêng một cách có hiệu quả. Firewalls thực hiện một việc lớn đó là lọc hay che dấu các cổng trên một host. Tuy nhiên, hầu hết các công ty phải mở các cổng trên firewalls của họ để cung cấp web, email, Học viện Công nghệ BCVT Hội nghị Khoa học lần thứ 5 FTP, dịch vụ tên miền (DNS) và các dịch vụ khác. Ngay khi một nhà quản trị mở các cổng trên firewall của họ thì các cổng đó không đợc bảo vệ nữa., kẻ tấn công sẽ có thể xâm nhập vào hệ thống của bạn. Các hệ thống kiểm tra xâm nhập (IDSs) thông minh hơn và đợc xây dựng để lấp đầy những lỗ hổng còn lại cha giải quyết đợc bởi firewalls. Một hệ thống kiểm tra xâm nhập là một thiết bị giám sát tất cả sự vận chuyển trên mạng. Nó phân tích lu lợng trong thời gian thực để xác định nếu một ai đó đang gửi lu lợng tấn công hoặc cố tình làm hại trên mạng. Việc phân tích thờng kết hợp chặt chẽ với việc khớp các mẫu và các kỹ thuật khác mà có thể phân tích đầy đủ và nhanh mọi gói tin trên các mạng bận. Kiểm tra xâm nhập là một thành phần quan trọng của hệ thống bảo mật, và nó bổ xung các kỹ thuật bảo mật khác. Bằng việc cung cấp thông tin tới quản trị site, IDS cho phép không những kiểm tra tấn công có địa chỉ rõ ràng bởi các thành phần bảo mật khác (nh firewall và các trình bao bọc dịch vụ), mà còn cố gắng cung cấp thông báo về tấn công mới bất ngờ. Các hệ thống kiểm tra xâm nhập cũng cung cấp thông tin pháp lý cho phép các tổ chức có khả năng phát hiện ra nguồn gốc của tấn công. Theo cách này, IDS cố gắng làm cho những kẻ tấn công có trách nhiệm hơn về những hành động của chúng, và đa ra một số đánh giá, hành động để ngăn cản những tấn công trong tơng lai. 2. Mô hình khái niệm của các hệ thống IDS Có nhiều IDS khác nhau đợc phát triển trên toàn thế giới, và hầu hết là do có nhiều thiết kế khác nhau. Khung kiểm tra xâm nhập chung (Common Intrusion Detection Framework) (CIDF) xác định tập các thành phần cùng nhau xác định một hệ thống kiểm tra xâm nhập. Các thành phần này gồm các bộ tạo sự kiện (event generator) ("E-boxes"), dụng cụ phân tích (analysic engine) ("A-boxes"), cơ cấu lu trữ (storage mechanism) ("D-boxes"), và countermeasure ("C-boxes"). Một thành phần CIDF có thể là một gói phần mềm bên trong của chính nó, hoặc một phần của hệ thống lớn. Hình 7 biểu diễn quan hệ giữa các thành phần. Mục đích của E-box là cung cấp thông tin về những sự kiện cho các phần còn lại của hệ thống. Một "sự kiện" có thể phức tạp, hoặc nó có thể là một sự cố giao thức mạng mức thấp. Sự kiện không đòi hỏi phải là dấu hiệu của sự xâm nhập bên trong nó. E-box là bộ giác quan của toàn bộ IDS --- không có đầu vào E-box, hệ thống kiểm tra xâm nhập sẽ không có thông tin để tạo ra kết luận về các sự kiện bảo mật. A-box phân tích đầu vào từ bộ tạo sự kiện. Phần lớn trong việc nghiên cứu kiểm tra xâm nhập là xem xét việc tạo ra những phơng pháp mới để phân tích luồng sự kiện nhằm tách thông tin thích hợp, và đã nghiên cứu đợc một số cách tiếp cận khác nhau. Các kỹ thuật phân tích sự kiện dựa trên việc kiểm tra dị thờng thống kê, phân tích biểu đồ, . E-box và A-box có thể đa ra lợng lớn dữ liệu. Những thông tin này phải đợc tạo ra sẵn sàng cho hệ điều hành của hệ thống khi nó cần sử dụng. Thành phần D-box của IDS xác định các phơng tiện đợc dùng để lu trữ thông tin bảo mật và tạo thông tin sẵn sàng tại thời điểm sau. Học viện Công nghệ BCVT Lĩnh vực Công nghệ thông tin Hình 1: Quan hệ giữa các thành phần CIDF Nhiều hệ thống ID đợc thiết kế chỉ nh là chuông báo động. Tuy nhiên, hầu hết các hệ thống ID có giá trị thơng mại đều đợc trang bị với một vài dạng coutermeasure (C-box), đi suốt từ việc đóng các kết nối TCP đến việc sửa đổi các danh sách bộ lọc định tuyến. Điều này cho phép IDS cố gắng ngăn cản các cuộc tấn công khác từ sau khi dò thấy sự xuất hiện của các cuộc tấn công đầu tiên.Thậm chí các hệ thống không cung cấp khả năng C-box có thể bị móc nối vào trong những chơng trình thực hiện tác dụng tơng tự. 3.Khả năng áp dụng thực tế Cùng với sự phát triển của ADSL, số lợng tổ chức, doanh nghiệp kết nối với Internet tại Việt Nam đợc dự báo sẽ bùng nổ rất mạnh. Lợi ích thu đợc từ Internet là điều không cần phải bàn cãi. Nhng những thiệt hại khi bị xâm phạm dữ liệu thì cha có ai đánh giá cụ thể và dự báo chính xác là bao nhiêu. Trong hoàn cảnh hiện nay, với tần xuất tấn công và xâm nhập mạng ngày càng phổ biến thì khi một tổ chức kết nối với Internet không thể không áp dụng các phơng pháp phòng chống tấn công, xâm nhập. Sử dụng Firewall chỉ là một trong những biện pháp căn bản, sơ khai trong công tác phòng chống xâm phạm thông tin. Sử dụng IDS sẽ góp phần tăng cờng sức mạng cho nhà quản trị và cảnh báo kịp thời mọi diễn biến bất thờng qua mạng. Học viện Công nghệ BCVT . Lĩnh vực Công nghệ thông tin ứng dụng IDS trong bảo vệ an ninh mạng máy tính KS.Hồ Trọng Đạt Trung tâm Công nghệ thông tin Tóm. hệ thống bảo vệ an toàn mạng đã ra đời, với nhiều mức khác nhau: bảo vệ quyền truy nhập, bảo vệ bằng mật khẩu, bảo vệ bằng mã hóa thông tin, sử dụng proxy