BỘ GIÁO DỤC VÀ ĐÀO TẠO
TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI
---------------------------------------
NGUYỄN ĐỨC CƯỜNG
LUẬN VĂN THẠC SĨ KHOA HỌC
NGÀNH: XỬ LÝ THÔNG TIN VÀ TRUYỀN THÔNG
HỆ THỐNG
PHÁT HIỆN XÂM NHẬP MẠNG
XỬ LÝ THÔNG TIN VÀ
TRUYỀ THÔNG
NGUYỄN ĐỨC CƯỜNG
2006 - 2008
Hà Nội
2008 HÀ NỘI 2008
Master of Sience
Thesis title: “Warning and Protection System of Network Attacks”
Student: Nguyen Duc Cuong
Supervisor: Professor Dang Van Chuyet
Department of Information Technology
Hanoi University of Technoloogy
Email: cuongnd-linc@mail.hut.edu.vn
Year: 2008
Summary
During the last decade, the Internet has developed rapidly in terms of scale as well
as diversity. As a consequence, the network security has become more and more
urgent issues. Therefore, network administration has been incrementally
complicated and manually error handling is no longer sufficient. Due to that, the
automatic warning system of attacks is aimed to necessarily establish.
This thesis consists of the two parts as follows:
Part 1: Principle, structure of Intrusion Detection System(IDS), and the strongly
developing products in the market.
Part 2: The first step for installing IDS into the HUT Network, using SNORT
opensource, in order to improve the high perforamance of use of this network.
Xử lý Thông tin và Truyền Thông Nguyễn Đức Cường
Hệ thống phát hiện xâm nhập mạng
1
LỜI NÓI ĐẦU .................................................................................................. 3
CHƯƠNG I - TỔNG QUAN VỀ IDS .............................................................6
1.1 Khái niệm................................................................................................ 6
1.2. Chức năng .............................................................................................. 6
1.3 Cấu trúc chung ........................................................................................ 7
1.4. Phân biệt các mô hình IDS...................................................................11
NIDS........................................................................................................11
HIDS........................................................................................................12
1.5. Các phương pháp nhận biết tấn công...................................................12
1.6 Các sản phẩm IDS trên thị trường......................................................... 14
Intrust ......................................................................................................14
ELM ........................................................................................................ 15
GFI LANGUARD S.E.L.M .................................................................... 16
SNORT....................................................................................................17
Cisco IDS ................................................................................................18
Dragon.....................................................................................................19
CHƯƠNG II – KẾT NỐI MÁY PHÂN TÍCH VÀO HỆ THỐNG SWITCH
CISCO ............................................................................................................. 20
2.1 Các kiến thức cơ sở của kỹ thuật phân tích thống kê cổng - SPAN....20
2.1.1 Khái niệm SPAN............................................................................ 20
2.1.2 Các thuật ngữ.................................................................................22
2.1.3 Các đặc điểm của cổng nguồn........................................................ 24
2.1.4 Lọc VLAN ..................................................................................... 24
2.1.5 Các đặc điểm của nguồn VLAN ....................................................25
2.1.6 Các đặc điểm của cổng đích........................................................... 26
2.1.7 Các đặc điểm của cổng phản hồi.................................................... 27
2.2. SPAN trên các dòng Switch Cisco.......................................................28
2.2.1 Span trên Catalyst 2900, 4500/4000, 5500/5000, và 6500/6000
Series chạy CatOS................................................................................... 28
2.2.2 SPAN trên các dòng Catalyst 2940, 2950, 2955, 2960, 2970, 3550,
3560, 3560-E, 3750 and 3750-E Series .................................................. 52
2.2.3 SPAN trên Catalyst 4500/4000 và Catalyst 6500/6000 Series chạy
phần mềm hệ thống Cisco IOS ............................................................... 55
2.3 Hiệu năng tác động của SPAN trên các nền Switch Catalyst khác nhau
..................................................................................................................... 58
Các dòng Switch dưới Catalyst 4000 Series........................................... 58
Catalyst 4500/4000 Series....................................................................... 59
Catalyst 5500/5000 and 6500/6000 Series.............................................. 59
2.4 Các lỗi thường gặp khi cấu hình ........................................................... 59
Xử lý Thông tin và Truyền Thông Nguyễn Đức Cường
Hệ thống phát hiện xâm nhập mạng
2
CHƯƠNG III – TRIỂN KHAI TÍCH HỢP HỆ THỐNG IDS MỀM - SNORT
VÀO HỆ THỐNG........................................................................................... 69
3.1. Các đặc điểm chính .............................................................................. 69
3.1.1 Hệ thống detection engine: ............................................................70
3.1.2 Hệ thống Logging & alerting:........................................................70
3.1.3 Tập luật(RULES) ...........................................................................71
3.2 Các bước cài đặt Snort trên hệ điều hành Debian.................................72
3.2.1 Cài hệ điều hành Debian ................................................................ 72
3.2.2 Cài các phần mềm cần thiết ........................................................... 73
3.2.3 Cài đặt và cấu hình IPTABLES-BASED FIREWALL ................. 75
3.2.4 Cài đặt Snort................................................................................... 75
3.2.5 Cấu hình MySQL Server................................................................ 77
3.2.6 Cấu hình để SNORT bắn alert vào MySQL .................................. 78
3.2.7 Cài đặt Apache-ssl Web Server ..................................................... 78
3.2.8 Cài đặt và cấu hình Basic Analysis và Sercurity Engine (Base) ... 79
3.2.9 Cập nhật Rules với Oinkmaster ..................................................... 81
3.2.10 Startup Script................................................................................82
3.2.11 Tạo Acc truy cập vào Base .......................................................... 83
3.2.12 Cấu hình SNMP Server................................................................ 83
3.2.13 Tạo file index.php để định hướng trình duyệt ............................. 84
3.2.14 Cài đặt phần mềm quản trị Webmin ............................................ 84
3.3 Giao diện hệ thồng sau cài đặt ..............................................................85
3.3.1 Các thông tin cấu hình cơ bản........................................................ 85
3.3.2 Hướng dẫn sử dụng SNORT..........................................................86
3.3.3. Hướng dẫn sử dụng công cụ phân tích (Base).............................. 89
3.3.4 Hướng dẫn sử dụng Webmin .......................................................101
KẾT LUẬN...................................................................................................108
DANH MỤC TÀI LIỆU THAM KHẢO......................................................109
Xử lý Thông tin và Truyền Thông Nguyễn Đức Cường
Hệ thống phát hiện xâm nhập mạng
3
LỜI NÓI ĐẦU
Khái niệm phát hiện xâm nhập đã xuất hiện qua một bài báo của James Anderson
cách đây khoảng 25 năm. Khi đó người ta cần hệ thống phát hiện xâm nhập - IDS
(Intrusion Detection System) với mục đích là dò tìm và nghiên cứu các hành vi bất
thường và thái độ của người sử dụng trong mạng, phát hiện ra các việc lạm dụng
đặc quyền để giám sát tài sản hệ thống mạng. Các nghiên cứu về hệ thống phát hiện
xâm nhập được nghiên cứu chính thức từ năm 1983 đến năm 1988 trước khi được
sử dụng tại mạng máy tính của không lực Hoa Kỳ. Cho đến tận năm 1996, các khái
niệm IDS vẫn chưa phổ biến, một số hệ thống IDS chỉ được xuất hiện trong các
phòng thí nghiệm và viện nghiên cứu. Tuy nhiên trong thời gian này, một số công
nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin. Đến năm
1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của
công ty ISS, một năm sau đó, Cisco nhận ra tầm quan trọng của IDS và đã mua lại
một công ty cung cấp giải pháp IDS tên là Wheel.
Hiện tại, các thống kê cho thấy IDS đang là một trong các công nghệ an ninh được
sử dụng nhiều nhất và vẫn còn phát triển.
Vào năm 2003, Gartner- một công ty hàng đầu trong lĩnh vực nghiên cứu và phân
tích thị trường công nghệ thông tin trên toàn cầu- đã đưa ra một dự đoán gây chấn
động trong lĩnh vực an toàn thông tin : “Hệ thống phát hiện xâm nhập (IDS) sẽ
không còn nữa vào năm 2005”. Phát biểu này xuất phát từ một số kết quả phân tích
và đánh giá cho thấy hệ thống IDS khi đó đang đối mặt với vấn đề là IDS thường
xuyên đưa ra rất nhiều báo động giả ( False Positives). Hệ thống IDS còn có vẻ là
gánh nặng cho quản trị an ninh hệ thống bởi nó cần được theo dõi liên tục (24 giờ
trong suốt cả 365 ngày của năm). Kèm theo các cảnh báo tấn công của IDS còn là
một quy trình xử lý an ninh rất vất vả. Các IDS lúc này không có khả năng theo dõi
các luồng dữ liệu được truyền với tốc độ lớn hơn 600 Megabit trên giây. Nhìn
chung Gartner đưa ra nhận xét này dựa trên nhiều phản ánh của những khách hàng
đang sử dụng IDS rằng quản trị và vận hành hệ thống IDS là rất khó khăn, tốn kém
và không đem lại hiệu quả tương xứng so với đầu tư.