Bài giảng Thiết kế hệ thống mạng LAN - Chương 3: Hệ thống phát hiện xâm nhập IDS

Chia sẻ: AndromedaShun _AndromedaShun | Ngày: | Loại File: PPTX | Số trang:33

Thêm vào BST

Báo xấu

28
lượt xem 7
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Bài giảng Thiết kế hệ thống mạng LAN - Chương 3: Hệ thống phát hiện xâm nhập IDS có nội dung trình bày về khái niệm IDS (Intrusion Detection System); kiến trúc của IDS; vị trí đặt IDS; quy trình hoạt động của IDS; các kiểu tấn công thường gặp;... Mời các bạn cùng tham khảo chi tiết nội dung bài giảng!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Bài giảng Thiết kế hệ thống mạng LAN - Chương 3: Hệ thống phát hiện xâm nhập IDS

Trường Cao Đẳng Kỹ Thuật Cao Thắng CHƯƠNG 3: HỆ THỐNG PHÁT HIỆN XÂM NHẬP IDS GV: LƯƠNG MINH HUẤN
NỘI DUNG I. Khái niệm IDS II. Kiến trúc của IDS III. Quy trình hoạt động của IDS
I.1 KHÁI NIỆM IDS Ø IDS (Intrusion Detection System Hệ thống phát hiện xâm phạm) là một hệ thống phòng chống, nhằm phát hiện các hành động tấn công vào một mạng. Ø Mục đích là phát hiện và ngăn ngừa các hành động phá hoại đối với vấn đề bảo mật hệ thống, hoặc những hành động trong tiến trình tấn công như quét các cổng.
I.1 KHÁI NIỆM IDS Ø Một tính năng chính của hệ thống này là cung cấp thông tin nhận biết về những hành động không bình thường và đưa ra các thông báo cho quản trị viên mạng để khóa các kết nối đang tấn công. Ø Thêm vào đó công cụ IDS cũng có thể phân biệt giữa những tấn công từ bên trong tổ chức (từ chính nhân viên hoặc khách hàng) và tấn công bên ngoài (tấn công từ hacker).
I.1 KHÁI NIỆM IDS Ø Nhiệm vụ chính của các hệ thống phát hiện xâm phạm là phòng chống cho một hệ thống máy tính bằng cách phát hiện các dấu hiệu tấn công và có thể đẩy lùi nó. Ø Việc phát hiện các tấn công phụ thuộc vào số lượng và kiểu hành động thích hợp
I.1 KHÁI NIỆM IDS Ø Khi một sự xâm nhập được phát hiện, IDS đưa ra các cảnh báo đến các quản trị viên hệ thống về sự việc này. Ø Bước tiếp theo được thực hiện bởi các quản trị viên hoặc có thể là bản thân IDS
I.1 KHÁI NIỆM IDS Ø Khác với firewall, IDS không thực hiện các thao tác ngăn chặn truy xuất mà chỉ theo dõi các hoạt động trên mạng để tìm ra các dấu hiệu của tấn công và cảnh báo cho người quản trị mạng. Ø Một điểm khác biệt khác đó là mặc dù cả hai đều liên quan đến bảo mật mạng, nhưng firewall theo dõi sự xâm nhập từ bên ngoài và ngăn chặn chúng xảy ra, firewall không phát hiện được cuộc tấn công từ bên trong mạng. Ø IDS đánh giá sự xâm nhập đáng ngờ khi nó đã diễn ra đồng thời phát ra cảnh báo, nó theo dõi được các cuộc tấn công có nguồn gốc từ bên trong một hệ thống.
I.1 KHÁI NIỆM IDS Ø Chức năng ban đầu của IDS chỉ là phát hiện các dấu hiện xâm nhập, do đó IDS chỉ có thể tạo ra các cảnh báo tấn công khi tấn công đang diễn ra hoặc thậm chí sau khi tấn công đã hoàn tất. Ø Càng về sau, nhiều kỹ thuật mới được tích hợp vào IDS, giúp nó có khả năng dự đoán được tấn công (prediction) và thậm chí phản ứng lại các tấn công đang diễn ra (Active response).
I.2 PHÂN LOẠI IDS Phân loại IDS: Ø Phân loại theo phạm vi giám sát: § Networkbased IDS (NIDS): là những IDS giám sát trên toàn bộ mạng. § Hostbased IDS (HIDS): là những IDS giám sát hoạt động của từng máy tính riêng biệt
I.2 PHÂN LOẠI IDS Ø Phân loại theo kỹ thuật: § Signaturebased IDS: phát hiện xâm nhập dựa trên dấu hiệu của hành vi xâm nhập, căn cứ trên nhật ký hoạt động của hệ thống. § Anomalybased IDS: phát hiện xâm nhập bằng cách so sánh (mang tính thống kê) các hành vi hiện tại với hoạt động bình thường của hệ thống để phát hiện các bất thường.
I.3 IPS Ø IDS là một hệ thống thuần túy phát hiện xâm nhập, nó không thực hiện ngăn chặn xâm nhập mà chỉ cảnh báo cho người quản trị. Ø IPS là một hệ thống giúp phát hiện xâm nhập và ngăn chặn xâm nhập. Ø Chức năng chính của IPS là xác định các hoạt động nguy hại, lưu giữ các thông tin này. Sau đó kết hợp với firewall để dừng ngay các hoạt động này, và cuối cùng đưa ra các báo cáo chi tiết về các hoạt động xâm nhập trái phép trên. Ø Hệ thống IPS được xem là trường hợp mở rộng của hệ thống IDS
I.4 ƯU VÀ NHƯỢC ĐIỂM Ø Ưu điểm: § Cung cấp giải pháp bảo vệ toàn diện hơn đối với tài nguyên hệ thống. § Ngăn chặn kịp thời các tấn công đã biết hoặc chưa được biết. Ø Nhược điểm: § Có thể gây ra tình trạng phát hiện nhầm (faulse positives), có thể không cho phép các truy cập hợp lệ tới hệ thống
II. KIẾN TRÚC CỦA IDS Ø Gồm các thành phần chính: § Trung tâm điều khiển (The Command Console) § Bộ cảm biến (Network Sensor) § Bộ phân tích gói tin(Network Tap) § Thành phần cảnh báo (Alert Notification) § Vị trí đặt IDS
II.1 COMAND CONSOLE Ø Trung tâm điều khiển là nơi mà IDS được giám sát và quản lí. Ø Nó duy trì kiểm soát thông qua các thành phần của IDS, và trung tâm điều khiển có thể được truy cập từ bất cứ nơi nào. Ø Tóm lại Trung tâm điều khiển duy trì một số kênh mở giữa Bộ cảm biến (Network Sensor) qua một đường mã hóa, và nó là một máy chuyên dụng.
II.2 NETWORK SENSOR Ø Bộ cảm biến là chương trình chạy trên các thiết bị mạng hoặc máy chuyên dụng trên các đường mạng thiết yếu. Ø Bộ cảm biến có một vai trò quan trọng vì có hàng nghìn mục tiêu cần được giám sát trên mạng.
II.3 NETWORK TAP Ø Bộ phân tích gói tin là một thiết bị phần cứng được kết nối trên mạng, không có địa chỉ IP, kiểm soát các luồng dữ liệu trên mạng và gửi cảnh báo khi phát hiện ra hành động xâm nhập. Ø TAP (Test Access Point): là thiết bị dùng để sao chép dữ liệu giữa 2 điểm trên mạng. Dữ liệu được sao chép sẽ chuyển đến bộ phân tích và giám sát của hệ thống mạng.
II.4 ALERT NOTIFICATION Ø Thành phần cảnh báo có chức năng gửi những cảnh báo tới người quản trị. Ø Trong các hệ thống IDS hiện đại, lời cảnh báo có thể ở dưới nhiều dạng như: cửa sổ popup, tiếng chuông, email, SNMP.