CHƯƠNG 3
PHÁT HIỆN XÂM NHẬP
NỘI DUNG
1. Các kỹ thuật phát hiện xâm nhập, dấu hiệu tấn công và chữ ký
2. Phát hiện xâm nhập dựa trên danh tiếng
3. Phát hiện xâm nhập dựa trên chữ ký với Snort và Suricata
4. Phát hiện xâm nhập dựa trên bất thường với dữ liệu thống kê
1. CÁC KỸTHUẬT PHÁT HIỆN
XÂM NHẬP, DẤU HIỆU TẤN
CÔNG VÀ CHỮKÝ
Kỹthuật phát hiện xâm nhập
Dấu hiệu xâm nhập và chữký
Quản lý dấu hiệu tấn công và chữký
Các khung làm việc cho dấu hiệu tấn công và chữký
KỸTHUẬT PHÁT HIỆN XÂM
NHẬP
Phát hiện xâm nhập: là một chức năng của phần mềm
thực hiện phân tích các dữliệu thu thậpđượcđể tạo ra dữ
liệu cảnh báo
Cơchếphát hiện xâm nhập gồm hai loại chính là:
Dựa trên chữký
Dựa trên bất thường
KỸTHUẬT PHÁT HIỆN XÂM
NHẬP
Cơchếphát hiện dựa trên chữký
Là hình thức lâu đời nhất của phát hiện xâm nhập
Bằng cách duyệt qua dữliệuđể tìm các ra các kết quảkhớp với
các mẫuđã biết
Ví dụ: mộtđịa chỉIP hoặc một chuỗi văn bản, hoặc sốlượng byte null (byte
rỗng) xuất hiện sau một chuỗi xác định khi sửdụng một giao thức nào đó
Các mẫuđược chia thành các mẩu nhỏ độc lập với nền tảng hoạt
động là dấu hiệu của tấn công
Mẫuđược mô tảbằng ngôn ngữcụthểtrong nền tảng của một cơ
chếphát hiện xâm nhập, chúng trởthành chữký
Có hai cơchếphát hiện dựa trên chữký phổbiến là Snort và
Suricata