1
BÀI 4.
H THNG PHÁT HIN VÀ NGĂN
CHN TN NG
Bùi Trọng Tùng,
Viện Công nghệ thông tin và Truyền thông,
Đại học Bách khoa Hà Nội
1
Ni dung
Khái niệm cơ bản về IDPS
Các kiến trúc IDPS
Cơ sở lý thuyết về phát hiện tấn công
Các phương pháp phát hiện tấn công
2
1
2
2
1. KHÁI NIM CƠ BN
Bùi Trọng Tùng,
Viện Công nghệ thông tin và Truyền thông,
Đại học Bách khoa Hà Nội
3
Tấn công an toàn bo mt(nhc li)
Tấn công: các hành vi cố ý gây tổn hại tới hệ thống
Kịch bản tấn công:
Thăm dò, thu thập thông tin
Quét, rà soát mục tiêu
Giành quyền truy cập
Duy trì truy cập và khai thác, tấn công
Xóa dấu vết
4
3
4
3
H thống IDPS
Intrusion Detection and Preventation System: hệ thống có
khả năng theo dõi, giám sát, phát hiện và ngăn chặn các
hành vi tấn công, khai thác trái phép tài nguyên được bảo
vệ
Yêu cầu:
Tính chính xác
Tính kịp thời
Khả năng tự bảo vệ
IDPS vs tường lửa:
Tường lửa: xử từng gói tin trên lưu lượng mạng
IDPS: có khả năng theo dõi, giám sát chuỗi các gói tin, hành vi để
xác định có phải là hành vi tấn công hay xâm nhập hay không
Các thiết bị tường lửa thế hệ mới thường trang bị tính năng IDPS
5
Các chức năng ca IDPS
Ngăn chặn (Intrusion Preventation): ngăn cản hoặc giảm
xác suất thành công của các hành vi tấn công
Tường lửa có thể được coi là một dạng IPS
Phát hiện (Intrusion Detection): phán đoán một hành vi có
phải là tấn công hay không
Phản ứng(Intrusion Response):
Ghi nhận và phát cảnh báo
Cản trở tấn công tiếp diễn
Điều chuyển tấn công sang môi trường cách ly và được giám sát
chủ động để thu thập thông tin, đặc điểm của cuộc tấn công
Điều chuyển tấn công sang môi trường có khả năng chống chịu tốt
hơn
6
5
6
4
Một ví d
Giả sử website của công ty FooCorp cung cấp một dịch
vụ thông qua URL:
http://foocorp.com/amazeme.exe?profile=info/luser.txt
Dịch vụ cho phép hiển thị hồ sơ cá nhân của một nhân
viên nào đó trong công ty
7
Kch bn truy cp
8
Internet
Remote client
FooCorp’s
border router
FooCorp
Servers
Front-end web server
4. amazeme.exe?
profile=
xxx
5. bin/amazeme -p
xxx
1. http://foocorp/amazeme.exe?profile=xxx
2. GET /amazeme.exe?profile=xxx
3. GET /amazeme.exe?profile=xxx
2. GET /amazeme.exe?profile=xxx
7
8
5
Kch bn truy cp
9
Internet
Remote client
FooCorp’s
border router
FooCorp
Servers
Front-end web server
5. bin/amazeme -p
xxx
7. 200 OK
Output of bin/amazeme
6. Output of bin/amazeme sent back
8. 200 OK
Output of bin/amazeme
9. 200 OK
Output of bin/amazeme
10. Trình duyệt hiển thị
Thực thi mt hành vi tấn công
http://foocorp.com/amazeme.exe?profile=../../../../../etc/passwd
10
Kết quả trả v
chứa các thông tin
nhạy cảm
9
10