VIỆN ĐẠi học mở HÀ NỘi khoa công nghệ thông tin đỒ Án tốt nghiệP ĐẠi họC

1.7.4.Phân loại IDS

Phát hiện sự bất thường: công cụ này thiết lập một hiện trạng các hoạt động bình thường và sau đó duy trì mọt hiện trạng hiện hành cho một hệ thống. Khi hai yếu tổ này xuất hiện sự khác biệt, nghĩa là đã có sự xâm nhập.

Các hệ thống IDS khác nhau đến dựa vào phát hiện các xâm nhập trái phép và những hành động dị thường. Quá trình phát hiện có thể được mô tả bởi ba yếu tổ cơ bản nền tảng sau:

• 
  Thu nhập thông tin (information source): Kiểm tra tất cả các gói tin trên mạng,
  
• 
  Sự phân tích (Analysis): Phân tích tất cả các gói tin đã thu thập để cho biết hành động nào là tấn công.
  
• 
  Cảnh báo (Response): hành động cảnh báo cho sư tấn công được phân tích ở trên.
  

10. 
    Network Base IDS (NIDS)
    

Hinh 3.20. Hệ thống Network Base IDS

Được đặt giữa kết nối hệ thống mang bên trong và mạng bên ngoài để giảm sát toàn bộ lưu lượng vào ra. Có thể là một thiết bị phần cứng riêng biệt được thiết lập sẵn hay phần mềm cài đặt trên máy tính. Chủ yếu dùng để đo lưu lượng mạng được sử dụng. Tuy nhiên có thể xảy ra hiện tượng nghẽn cố chai khi lưu lượng mạng hoạt động ở mức cao.

Lợi thế của Network-Based IDSs:

• 
  Quản lý được cả một network segment (gồm nhiều host)
  
• 
  “Trong suốt” với người sử dụng lẫn kẻ tấn công.
  
• 
  Cài đặt và bảo trì đơn giản, không ảnh hưởng tới mạng.
  
• 
  Tránh DOS ảnh hưởng tới một host nào đó.
  
• 
  Có khả năng xác định lỗi ở tầng Network (trong mô hình OSI).
  
• 
  Đối lập với OS.
  

• 
  Có thể xảy ra trường hợp báo động giả (false positive), tức không có intrusion mà NIDS báo là có intrusion.
  
• 
  Không thể phần tích các traffic đã được encrypt (vd: SSL, SSH, IPSec…)
  
• 
  NIDS đòi hỏi phải được cập nhật các signature mới nhất để thực sự an toàn.
  
• 
  Có độ trễ giữa thời điểm bị attack với thời điểm phát báo động. Khi báo động được phát ra, hệ thống có thể đã bị tổn hại
  
• 
  Không cho biết việc attack có thành công hay không.
  

Một cách mà các hacker cố gắng che đậy cho hoạt động của họ khi gặp hệ thống IDS dựa trên mạng là phân mảnh những gói thông tin của họ. Một giao thức có một kích cỡ gói dữ liệu giới hạn, nếu dữ liệu truyền qua mạng lớn hơn kích cỡ này thì gói dữ liệu đó sẽ được phân mảnh. Phân mảnh đơn giản chỉ là quá trình chia nhỏ dứ liệu ra những mẫu nhỏ. Thứ tự của việc sắp xếp lại có thể tùy ý miễn là không xuất hiện hiện tượng chồng chéo. Nếu có hiện tượng phân mảnh chồng chéo, bộ cảm biến phải biết quá trình tái hợp lại cho đúng. Nhiều hacker cố gắng ngăn chặn phát hiện bằng cahcs gọi nhieuf gói dữ liệu phân mảnh chồng chéo. Một bộ cảm biến sẽ không phát hiện các hoạt động xâm nhập nếu bộ cảm biến không thể sắp xếp lại những gói thông tin một cách chính xác.

11. 
    Host Based IDS (HIDS)
    

Hình 3.21.Hệ thống HIDS

Một ưu điểm khác của IDS dựa trên máy chủ là nó có thể ngăn chặn các kiểu tấn công dùng sự phân mảnh hoặc TTL. Vì một host phải nhận và tái hợp các phân mảnh khi xử lý lưu lượng nên IDS dựa trên host có thể giám sát chuyện này. HIDS thường được cài đặt trên một máy tính nhất định. Thay vì giám sát hoạt động của một network segment, HIDS chỉ giảm sát các hoạt động trên một máy tính. HIDS thường được đặt trên các host xung yếu của tổ chức và các server trong vùng DMZ – thường là mục tiêu bị tấn công đầu tiên. Nhiệm vụ chính của HIDS là giám sát các thay đổi trên hệ thống, bao gồm (not all).

• 
  Các tiến trình
  
• 
  Các entry của Registry.
  
• 
  Mức độ sử dụng CPU.
  
• 
  Kiểm tra tính toàn vẹn và truy cập trên hệ thống file.
  
• 
  Một vài thông số khác.
  

• 
  Có khả năng xác định user liên quan tới một event.
  
• 
  HIDS có khả năng phát hiện các cuộc tấn công diễn ra trên máy NIDS không có khả năng này.
  
• 
  Có thể phân tích các dữ liệu mã hóa.
  
• 
  Cung cấp các thông tin về host trong lúc cuộc tấn công diễ ra trên host này.
  

Thông tin từ HIDS là không đáng tin cậy ngay khi host này bị tấn công.

Khi OS bị “hạ” do tấn công công, đồng thời HIDS cũng bị “hạ”.

HIDS phải được thiết lập trên từng host cần giám sát.

HIDS không có khả năng phát hiện các cuộc dò quét mạng (Nmap, Netcat…)

HIDS cần tài nguyên trên host để hoạt động.

HIDS có thể không hiệu quả khi bị DOS.

Đa số chạy trên hệ điều hành Window. Tuy nhiên cũng đã có một số chạy trên UNIX và những hệ điều hành khác.

Vì hệ thống IDS dựa trên máy chủ đòi hỏi phần mềm IDS phải được cài đặt trên tất cả các máy chủ nên đây có thể là cơn ác mộng của những nhà quản trị khi nâng cấp phiên bản, bảo trì phần mềm, và cấu hình phần mềm trở thành công việc tốn nhiều thời gian và là những việc làm phức tạp. Bởi vì hệ thống dựa trên máy chủ chỉ phân tích những lưu lượng được máy chủ nhận được, chúng không thể phát hiện những tấn công thăm dò thông thường được thực hiện nhằm chống lại một máy chủ hay là một nhóm máy chủ. Hệ thống IDS dựa trên máy chủ sẽ hông phát hiện được những chức năng quét ping hay dò cổng (ping sweep and port scans) trên nhiều máy chủ. Nếu máy chủ bị điều khiển thì kẻ xâm nhập hoàn toàn có thể tắt phần mềm IDS hay tắt kết nối của máy chủ đó. Một khi điều này xảy ra thì các máy chủ sẽ không tạo ra được cảnh báo nào. Phần mềm IDS phải được cài đặt trên mỗi hệ thọng mạng nhằm cung cấp đầy đủ khả năng cảnh báo của mạng. Đây là một vấn để rất khó khăn khi mà phần mềm IDS phải tương ứng nhiều hệ điều hành khác nhau. Do đó trước khi chọn một hệ thống IDS, chúng ta phải chắc chắn là phù hợp và chạy được trên tát cả các hệ điều hành.