Phát hiện xâm nhập mức máy

Các bộ phát hiện xâm nhập mức máy đợc cài đặt chạy trên chính trạm chủ cần đợc giám sát. Chúng kiểm tra để xác định xem các hoạt động trên trạm chủ này có đợc chấp thuận hay không. Các bộ thu tin phát hiện xâm nhập mức máy sẽ thu thập thông tin phản ánh các hoạt động xuất hiện trên một trạm chủ cụ thể. Những thông tin này nhiều khi ở dạng các vết kiểm toán của hệ điều hành. Nó cũng có thể bao gồm các nhật ký hệ thống và cả những nhật ký do các tiến trình của hệ

điều hành sinh ra và nội dung của các đối tợng hệ thống không đợc phản ánh trong các cơ chế nhật ký và kiểm toán chuẩn của hệ điều hành. Bộ phát hiện âm x nhập mức máy tạo nên một vành đai bảo vệ thứ ba cho trạm chủ, đằng sau tờng lửa và bộ giám sát mức mạng. Có hai kiểu phát hiện xâm nhập mức máy chủ yếu [8]:

• Bộ giám sát mạng ở mức máy: Những bộ giám sát này giám sát các kết nối mạng đi tới trạm chủ mà nó đợc cài đặt trên đó và cố gắng xác định xem có kết nối nào có biểu hiện đe doạ hay không. Nếu một kết nối mạng biểu hiện nh một cuộc thử xâm nhập thì bị theo dõi xử lý. Đây là điểm khác biệt với

phát hiện xâm nhập mức mạng, vì bộ giám sát mạng ở mức máy chỉ tìm kiếm lu thông mạng đi tới trạm chủ mà nó đang chạy trên đó, chứ không đi tìm tất cả các lu thông đi qua mạng. Vì lý do này, nó không đòi hỏi phơng thức chung trên cạc giao diện mạng.

• Bộ giám sát máy: Các bộ giám sát này giám sát các tệp, các hệ thống tệp, các nhật ký hoặc các phần dữ liệu khác của chính trạm chủ mà nó đợc cài đặt trên đó để tìm kiếm các dạng hoạt động mang biểu hiện một sự thử xâm nhập hoặc có thể là một sự xâm nhập thành công. Nó sẽ thông báo cho ngời quản trị hệ thống biết các vấn đề mà nó phát hiện đợc trên trạm chủ này.

♦ Giám sát các kết nối đến

Có thể cài đặt các bộ giám sát trên nhiều máy để giám sát các gói tin cố tình truy nhập trái phép vào một trạm chủ trớc khi những gói tin này đợc cho đi qua vào tầng mạng của bản thân trạm chủ cần bảo vệ. Cơ chế này cố gắng bảo vệ trạm chủ bằng cách chặn các gói tin đến đó trớc khi chúng có thể gây ra thiệt hại. Bộ giám sát mạng có thể thực hiện đợc một số hành động sau:

– Phát hiện những cuộc thử kết nối đến các cổng TCP (Transmission Control Protocol) hoặc UDP User Datagram Protocol ( ) mà không đợc cấp

quyền, nh là thử kết nối tới các cổng mà ở đó không có dịch vụ. Thông thờng biểu hiện này chỉ báo việc kẻ bẻ khoá đang thăm dò để tìm điểm xung yếu của hệ thống.

– Phát hiện các quét cổng từ ngoài vào. Đây là một lỗ hổng an toàn, cần phải đợc quan tâm và cần phải báo động tờng lửa hoặc biến đổi cấu hình IP cục bộ để từ chối sự truy nhập từ máy của kẻ xâm nhập.

♦ Giám sát hoạt động đăng nhập

Mặc dù nhiều phần mềm phát hiện xâm nhập đã đợc đa vào sử dụng và khai thác, nhng có thể các tin tặc vẫn xâm nhập vào đợc hệ thống và quản lý đăng nhập hệ thống bằng cách sử dụng một kiểu tấn công nào đó mà cho tới nay cha từng biết đến. Có thể kẻ tấn công thu đợc mật khẩu trên mạng bằng cách rà gói tin hoặc các cách khác và khi đó nó có khả năng đăng nhập hệ thống từ xa.

♦ Giám sát hoạt động của ng ời dùng quyền hạn cao nhất

Mục tiêu của tất cả những kẻ xâm nhập là giành đợc quyền của ngời dùng quyền hạn cao nhất (super-user) hoặc có đợc quyền truy nhập của ngời quản trị hệ thống trên hệ thống mà chúng đã làm tổn hại. Thông thờng trên các hệ thống đáng tin cậy và đợc bảo vệ tốt đang đợc sử dụng nh các máy chủ eb hoặc các W cơ sở dữ liệu sẽ có rất ít hoặc không có hoạt động của ngời dùng quyền hạn cao nhất, ngoại trừ tại các thời điểm nhất định để bảo trì hệ thống theo định kỳ. Nhng trong thực tế, những kẻ bẻ khoá ít khi xâm nhập vào khoảng thời gian chết của lịch làm việc và thờng hoạt độngvào thời gian mà họ rảnh rỗi.

Có nhiều tuyến bảo vệ để giám sát bất kỳ hành động nào mà ngời dùng quyền hạn cao nhất hoặc ngời quản trị hệ thống thực hiện. Nhiều hệ thống Unix cho phép ghi nhật ký, hay nói khác đi là giám sát tất cả các hoạt động do ngời dùng có quyền hạn cao nhất thực hiện. Trong các hệ điều hành mã nguồn mở, ngời quản trị hệ thống còn có một lựa chọn nữa là sửa đổi nhân để ghi nhật ký các kiểu hoạt động đặc thù.

♦ Giám sát hệ thống tệp

Một khi kẻ xâm nhập đã làm tổn hại một trạm chủ thì bớc tiếp theo là chúng thay đổi các tệp trên trạm chủ này. Khimột kẻ xâm nhập thành công vào một trạm chủ, chúng có thể cài đặt bộ rà gói tin bộ phát hiện quét cổng hoặc thay đổi , một số tệp hệ thống, chơng trình để vô hiệu hoá một số phơng pháp phát hiện xâm nhập mà chúng đã thăm dò đợc. Việc cài đặt phần mềm trên một hệ thống thờng dẫn tới việc làm biến đổi một vài phần của hệ thống này, chẳng hạn làm thay đổi tệp hoặc các th viện trên hệ thống đó. Một số phần mềm (Tripwire, Fcheck, AIDE) đợc thiết kế để phát hiện khi nào các tệp trên hệ thống bị thay đổi và báo động cho ngời quản trị hệ thống về bất kỳ sự thay đổi nào.