Hệ thống phát hiện xâm nhập mạng (NIDS): Định nghĩa, nguyên lý và cách thức hoạt động

Định nghĩa, chức năng, nguyên lý làm việc

Định nghĩa: Hệ thống phỏt hiện xõm nhập là hệ thống cú nhiệm vụ theo dừi, ghi lại, và (có thể) ngăn cản sự xâm nhập cũng như các hành vi khai thác trái phép tài nguyên của hệ thống được bảo vệ. Hai cách thức phát hiện này cũng chính là những nguyên lý làm việc của các hệ thống IDS từ trước đến nay, do đó đi sâu tìm hiểu hai cách thức đó đồng nghĩa với việc tìm hiểu về cơ chế hoạt động của các hệ thống IDS. Ranh giới giữa dạng thức chấp nhận được và dạng thức bất thường của đoạn mã và dữ liệu lưu trữ được định nghĩa rừ ràng (chỉ cần một bit khỏc nhau), cũn ranh giới giữa hành vi hợp lệ và hành vi bất thường thì khó xác định hơn.

Do vấn đề cần quan tâm là việc tìm ra được sự sai khác để cảnh báo xâm nhập chứ không phải là chỉ ra sai khác ở đâu nên chúng ta có thể sử dụng dạng biểu diễn được nén để giảm chi phí, gọi là dấu hiệu (signature). Hành vi của hệ thống được định nghĩa là một chuỗi các sự kiện phân biệt, ví dụ như rất nhiều hệ thống phát hiện xâm nhập sử dụng các bản ghi kiểm tra (audit record), sinh ra bởi hệ điều hành để định nghĩa các sự kiện liên quan, trong trường hợp này chỉ những hành vi mà kết quả của nó là việc tạo ra các bản ghi kiểm tra của hệ điều hành mới được xem xét. Phát hiện động lúc này cũng giống như phát hiện tĩnh ở đó chúng kiểm soát hành vi bằng cách so sánh mô tả đặc điểm hiện tại về hành vi với mô tả ban đầu của hành vi được mong đợi (chính là profile cơ sở), để tìm ra sự khác nhau.

Trong các hệ thống, những người dùng dần dần thay đổi hành động của họ vì vậy các profile chứa hành vi lạm dụng gần như không thể phát hiện đối với những bộ phát hiện sự không bình thường ở trên do đó kỹ thuật phát hiện sự lạm dụng ra đời.

Vị trí

Do các kịch bản xâm nhập có thể được đặc tả một cách chính xác, các hệ thống phát hiện sự lạm dụng có thể dựa theo đó để theo vết hành động xâm nhập. Trong một chuỗi hành động, hệ thống phát hiện có thể đoán trước được bước tiếp theo của hành động xâm nhập. Bộ dò tìm phân tích thông tin hệ thống để kiểm tra bước tiếp theo, có thể can thiệp để làm giảm bởi tác hại có thể.

Phân loại

Không phải tất cả các loại này đều đại diện cho dò tìm kinh điển nhưng chúng đóng một vai trò quan trọng trong mục đích tổng thể là dò tìm và ngăn chặn sự xâm nhập trên một mạng toàn thể:• Hệ thống phát hiện xâm nhập dựa trên mạng (Network Based Intrusion. Detection System-NIDS). Chúng chạy trên một hê thống chuyên dụng dễ dàng cài đặt; đơn thuần chỉ mở thiết bị ra, thực hiện một vài sự thay đổi cấu hình và cắm chúng vào trong mạng của bạn tại một vị trí cho phép nó kiểm soát các cuộc giao vận nhạy cảm. Như vậy đòi hỏi thời gian phân tích để ước lượng thiệt hại từ một sự xâm phạm tiêm tàng tăng tuyến tính với so lượng các host cần bảo vệ..Ví dụ ta cần một thời gian t để nghiên cứu về tai nạn trên một hệ thống, sẽ mất thời gian 2t để nghiên cứu trên 2 hệ thống,.

Giả sử kẻ tấn công đạt đựơc đặc quyền user cấp cao trong hệ thống của bạn, kẻ tấn công có thể tìm ra thiết bị kiẻm tra tính toàn vẹn, thực hiện một số thay đổi và cho thiết bị chạy lại để tạo lại cơ sở dữ liệu giá trị băm. Rất nhiều quản trị không muốn chạy các thiết bị kiểm tra thường xuyên, điều đó sẽ hạn chế các tính năng của nó, bởi vì nếu một thiết bị được chạy một lần mỗi tháng nó sẽ báo rất nhiều sự thay đổi mà một cuộc tấn công thực sự đã có một cơ hội tốt để tiến hành mà không có một sự chú ý nào cả. Một vulnerability scanner khác với một hệ thống phát hiện sự xâm nhập, như đã đề cập ở trên, một vulnerability scanner tìm kiếm các cấu hình trạng thái còn IDS tìm kiếm sự lạm dụng nhất thời hay các hoạt động không bình thường.

Network vulnerability scanner gần như dành riêng cho các hệ thống dựa trên dấu hiệu.Giống như một IDS dựa trên dấu hiệumột vulnerability scanner dựa trên dấu hiệu chỉ có thể phát hiện các điểm dễ bị xâm phạm được lập trình để nhận diện. Một host vulnerability scanner khác một network vulnerability ở chỗ nso bị hạn chế hoàn toàn trong một hệ điều hành cục bộ.Một network vulnerability scanner yêu cầu máy đích có thể truy cập được từ trên mạng hợp lệ cho hoạt động của nó, một host vulnerability scanner không như vậy. Nó có thể thường xuyên nói cho người sử dụng biết miếng vá nào cần được sử dụng để sửa chữa những điểm dễ bị xâm phạm được nhận dạng trong khi một hệ thống network vulnerability scanner đôi khi chỉ đưa ra một hướng dẫn chung.