Xây dựng hệ thống phát hiện xâm nhập mạng áp dụng cho hệ thống mạng Bộ Khoa học và Công nghệ

ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ


VÕ TUẤN HẢI

XÂY DỰNG HỆ THỐNG PHÁT HIỆN
XÂM NHÂP MẠNG ÁP DỤNG CHO HỆ THỐNG MẠNG
BỘ KHOA HỌC VÀ CÔNG NGHỆ



LUẬN VĂN THẠC SĨ







Hà Nội - 2011

ĐẠI HỌC QUỐC GIA HÀ NỘI
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ


VÕ TUẤN HẢI

XÂY DỰNG HỆ THỐNG PHÁT HIỆN
XÂM NHÂP MẠNG ÁP DỤNG CHO HỆ THỐNG MẠNG

BỘ KHOA HỌC VÀ CÔNG NGHỆ

Ngành: Công nghệ thông tin
Chuyên ngành: Hệ thống thông tin
Mã số: 604805

LUẬN VĂN THẠC SĨ
NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS ĐỖ TRUNG TUẤN




Hà Nội - 2011
1

MỤC LỤC
M U 4
- Tng quan v p mng 7
1.1 - H th 7
1.2 - u ca h thng IDS 8
1.3 - Gin ca h thng IDS 11
1.4 - Cm bin (sensor) 12
1.4.1 - Cha Sensor 12
1.4.2 - Network-Based Sensors 12
1.4.3 - Host-Based Sensors 13
1.4.4 - V t Sensor 13
1.4.5 -  14
1.5 -  thng IDS 15
1.5.1 -  15
1.5.2 -  16

1.5.3 - -Based Detection (Misuse Detection) 18
1.6 -  v mt ca IDS 19
1.7 - m ca h thp mng 20
1.8 - Gii thiu chung v lng (phishing) 20
1.9 - u phishing 21
1.9.1 -  d v phishing 21
1.9.2 - Ma phisher 26
1.10 -  v lo 27
1.11 - i n 28
1.11.1 - B 28
1.11.2 - Bng trang Web 29
2

1.11.3 - B 30
1.11.4 - B ojan 30
1.11.5 - Bng VoIP 31
1.11.6 - Bng spear phishing 31
1.11.7 - Bng whaling 32
1.11.8 - Bn 32
1.12 -  tr k thut cho phishing 33
1.12.1 - K thut Man-in-the-middle 33
1.12.2 - K thut URL gi 34
1.12.3 - K thut t Cross-site Scripting 36
1.12.4 - K thuc Session ID 37
1.12.5 - K thut n 37
1.12.6 - K thu 38
1.12.7 - K thut li dm yu t 39
- p mng cho h thng mng B Khoa h
 39
2.1 - ng la 39

2.2 - Kim tra l hng bo mt c 40
2.3 - p mng t trong ni b u chia s: 41
2.4 -  42
2.5 - p h  42
2.6 - g ngp SQL Injection 43
2.7 - n t chi dch v 44
2.8 - n phishing 45
2.9 - n spoofing 47
- n khai h thp mng cho h thng mng B Khoa hc
 50
3

3.1 - ng B Khoa h 50
3.2 - H thn tn m Snort 52
3.2.1 - t 53
3.2.2 - a Snort 54
3.2.3 - Cn mm Snort 57
3.2.4 - Quo lut trong phn mm Snort 70
3.3 - Thit k n khai h thp mng 73
3.3.1 - Thit k h thp mng 73
3.3.2 - Trin khai h thp mng 74
KT LUN 92
U THAM KHO 94

4

MỞ ĐẦU
K t khi mn nay, th ging kin s 
u v nhiu mt ci si. Nn kinh t th gii
i su s bi thu
 n
mt mng c
t ch  m
m b o mi.
i d liu qua h thng m 
ng trong mi hong ci. V b
u c
t chp dch vi th thut t
 thng an ninh mng tr t hiu q
thng an ninh mng truyn thng thung la nhm ki
lu thng mng mng nhc dt bo v
c nh. Vi ki  thng an ninh s bt lc k thut tn
c bic tm yu ca h thng.
 git nhiu v c an ninh, an
  gi
nh:

  bo v 
 c v bm

 A bo v 
 ng truy      c v bo
ng truyn tin.
 bo v ng truyn tin, phi
i dung:
  liu (Data Security).
  d liu (Database Security).
5

  ystem Security).
 ng m
 t ni dung  mng
  ng mt h thp mm mc
o v mi s tt nhp ca tin ttr n
tr mng thc hic bo mt bng m b
cho h thng m
  

-

 
 



Trong nhi, H thng mng B Khoa h s 
nhiu s n v ng d ng

ca B ch th  Khoa h
 t nhin v  thng
mc trang b mt s thit b  m b
Firewall Checkpoint, Cisco IDS 4215, phn mm di 
n t TrendMicro, h thc hi d liu UltraBac, h th
tr SAN.
Tuy vy, ving cng nhc nhng sn ph thng mng
 m bo vii yu t i m
 nh quan trng nh   c bo mt. Hin nay, v   t
 cung cn tr mng B Khoa h
nhng hiu bit cn thi thit lm bo an ninh trong h thng.
Vin phm v an ninh 
an ninh mt nhu cu bc thii vi h thng mng B Khoa
6

hng dng chn v c
 ng, tng l hng v bo mt n ch th
 cc trong thi
c tic tc
vn du b n dng linh ho thm
b thng m Khoa h thc
cht ch bao gm mt thit b Cisco IDS 4215 vi s ng mu t
t hn ch.
Nhng hn ch v an ninh, aa h thng mng B Khoa h
ngh  hin  nhng mt sau:
  th 
c, hay ging dm b
bo mt cho h thng mng. Do vy vim b thng
mc thc hin ch yu dm cn tr
mng. Dn s thiu hiu qu n tr mng.

 H th p ca H thng mng B Khoa h 
 ch t thit b t  
t h thng
hiu qu. Thit b p dng du
hin trong thit b
nhp hiu qu. Bng du hin trong thit
b c cp nh
y, nhng nt ra    n gii
quyt nhng mt hn ch tn ti v  thng mng B Khoa
h
 m b thng mng
 Khoa h.
  ng, trin khai mt h thng phn m    p
mng dn tng phn mn m.

7

Chương 1 - Tổng quan về phát hiện xâm nhập mạng và lừa đảo trên
mạng
1.1 - Hệ thống phát hiện xâm nhập là gì ?
H thp (IDS)  c,
 c nhn dng, quy ng
di thng mt ng p
(intrusion detection)     th
nhp,  ng qua giao
 t cu
H tht phn ca h thng bo mt
 tht bng m thng
bo mt (t kt hp vi FireWall).
 kt hp s dn a sau, h th

nh thng chng tng ng. Gi s b
mt kho chn mun bo v o v
gm h thng c ct ca
c ng bt hp a bn, tuy
 c mt cun
c cu thng ci ci bn trng
h gng l 
chng, trong mng h
kh p bt h
 ca, h thng, and 
cng m v trong mt h thng bo mt. ng la,
c kt hn, cng t 
c mnh an ninh cho h thng mng.
Mt v quan trng  
c s dng trong h thng bo mt. Vic tip c theo chiu
 n th s quynh vic bo v 
 thng mng cn thit phc bo mt theo nhiu
lp, mi lp s ng ch m bo s n trong bo mt
8

mt h thng mng trong t chc ca b
theo chia h thng mng.


Hình 1: Sơ đồ phòng thủ mạng
- Your enterprise: tổ chức của bạn - Technology: Công nghệ
- Operations: Các hoạt động - People: Con người
- Outside threats: các mối hiểm họa từ bên ngoài

i tn tng ng d

mng TCP/IP, vcm bin t tt chn ca h thng m bt
n rc ghi li lung
d liu qua h thng mng. Hong cn ging vi mt phn mm dit
virus vu hiu t d liu c
1.2 - Các kiểu của hệ thống IDS
 p ti mp
 thng mng kt hp ca c hai ki
    p t  m: Host-based intrusion-detection
system (HIDS).
9

        thng mng: Network-based
intrusion-detection system (NIDS).
 Kt hp c hai ki (Hybrid IDS).
HIDS thc cht ng dng ch
 h thng cm vit  h thng nht  s
ki kim tra bt k mnht   p vi
 kin bc ghi trong c s d li
Mt h thng NIDS nm trc tip  thng m
 m nhng cuc tn n tt c
n mc ch nh (thm c nh
n chuyn mch ca mngn thn trong vic c
 tin cho vin 
d liu. Hu hc cung cp kh ng din
    i nhng c    n tr vi nh  ng bt
ng.
Hi kt hp c u
ng 

Hệ thống phát hiện xâm nhập NIDS và HIDS

NIDS
HIDS
Phm vi r thng mng)
Phm vi hp (Ch    
nh)
t phc tp
D t
Tt cho vip t bn
ng
Tt cho vic php t 
trong
T

10

Hệ thống phát hiện xâm nhập NIDS và HIDS
NIDS
HIDS
 s  c ghi
l thng mng
 n d  n ghi nht  h
thng  
Kim tra phu (header) c
 m tra ph u (header) ca

Tr li gp tc
Ch tr li sau khi m   
 gng thc hin
 thuc h 

Ph thuc h 

li
c ti ch c
i h thng mng
 gng t
Kim tra s t bi ca
mt cuc t
Bảng 1: Phân biệt NIDS và HIDS
   n ca m     chn la d liu, tin x 
  p h         (statistical
analysis) k quyt ho
Hoc d liu s   d liu (knowledge base), nu
kh .
11


Hình 2: Một IDS chuẩn
- GUI: giao diện đồ họa - Response Manager: Bộ phản hồi
- Host system or network sniffrer: bộ cảm biến mạng và máy tính
- Pre-processing: bộ tiền xử lý -Alert manager: bộ báo động
- Statistical analysis: phân tích tĩnh -Signature matching:so sánh mẫu
- Knowledge base: cơ sở dữ liệu lưu trữ dấu hiệu tấn công
- Long-term storage: nơi phát hiện dị thường

1.3 - Giải thích hoạt động cơ bản của IDS
 bt t cm bisensor - host system) hoc cm bin
mng (network sniffer) s c chuyn qua b sp xp.
B tin x: gm b phn gi  b phn tin x:
 B phn gi: gin bi

 B phn sp xp: sp xp hoc chnh sa lb
n.
12

Mt s -  n  ng trong phu
(header.  nh d
sp xp li chui.
B n (Detection engine): xu
(signature matching) ho  (statictical analysis)
 u ra (alert manager) quynh.
 d li mu du hiu t (knowledgebase).
:Nn d ng ca packet, c (Long-
term storage).
B phn hi (Response manager): th   ng ca b  ng (alert
manager) n th giao din
GUI: giao di h
1.4 - Cảm biến (sensor)
  
ph
 
1.4.1 - Chức năng của cảm biến
    
p, c
 network-based
 (host-based).
1.4.2 - Cảm biến dựa trên mạng
 
n
 
  

 
 
13


 
Tcpdu           

 
TCP
1.4.3 - Cảm biến dựa trên máy tính
, 
i  
  
.
1.4.4 - Vị trí đặt cảm biến
 
 
 
 
qua nh 

14


Hình 3: Tầm quan trọng của vị trí đặt cảm biến
 

  



                

h
Gi 


 


1.4.5 - Các lưu thông mạng đã được mã hóa
15


Web               



Hình 4: IDS không thể theo dõi các lưu thông được mã hóa

  


Hình 5: IDS có khả năng theo dõi giao dịch Web
1.5 - Mô hình phân tích trong hệ thống IDS
IDS pht quan tr hiu tin
m ca
c nhau.
1.5.1 - Phân tích là gì ?
 chc, cu tn d li gi

nhn dng bt c mng bt h i gian thc (Real-time
analysis) t c thc hin vi d li thng ho
16

trong thi gian th hip tc khi nhn
c d liu.
Ma vio mt ca h thng bo mt
 m :
 Tn ghi v ng ti
 nh ch sai trong mng bng vi 
 Ghi li nhng bt h.
 Ho cn tr nhu.
 ng kh t nhng hot
ng vi nh thng.
 via IDS. Mt h th
vic nhn d   ng nguy him (anomalous activities) n 
ng hon
  ch   c gia nhng bt hi
nhn cho rng rt ranh
gii gi  nhn cho rng s t d 
  thng IDS phm bo s t gia hai
 nht.


Hình 6: Mối quan hệ giữa những hành động mạng bất thường và bình thường
- Baseline activity: hành động bình thường
- Anomalous activity: hành động bất thường

1.5.2 - Các bước tiên hành phân tích
17

a vi 
 Preprocessing: Tin x 
 Analysis: 
 Response: Tr li
 Refinement
Tin x  p hp d lin t cm bin ca IDS. Trong
 lic t ch tp hp d liu. B tin x  quynh
dng ca d liu. Mt khi d linh d i vic
i.
Vii (classifications) ph thurule-
based detection hoc anomaly detection). V
loi s d m d t. 
  t s
thu
i d liu. D liu s c kt n
u ca mng bng
 n. Nhm trong u d
liu tknowledge base) a k thu
 n s i ca h thng file nht k.
 n s c quy.
 n vic m a sau.
 Nhng c gng cp quyn c d liu.
 
Khi tin x c, vi bu. D lic so
i kho d liu tknowledge base), t k t
cp hoc b qua nng.
c ti l  
18

n cu    nh (refinement)     
 lng kh o m l v
m m bo mt cnh
m tra xut x ca mng tn

1.5.3 - Mô hình phân tích dựa trên luật (Rule-Based Detection)
 thua h thng 
mu hiu tn.
c ca ti
dt:
 Tin x (Preprocessing): B tin x  tp hp d liu v p,
li, t   i ho   mu.
Ving theo mnh dng chung.
o Signature Name: a du hiu.
o Signature ID: ID duy nht cho du hiu.
o Signature Description:  du hiu.
o Possible False Positive Description:  nh c
 xy ra.
o Related Vulnerability Information:  li xy ra.
o User Notes: y tng t chc.
 m da tphu (header)
hay d liu cc d c c
ch kim tra ph u (header)  u s ch gm ph u
(header) mu s  hoc  
ho kt hp. Miu t  s c
tng  kt h m
nhi ng th
19

 Analysis): D linh di kho d li

mu t  (knowledge base) b   dng k thu   so
khp mu (pattern-matching).
 Phn hi (Response): Nu mt d liu khp vi du hiu t
thng s i IDS.
 nh (Refinement): c chc cp
nht mi v c kiu ti.
ng k thu c nhng
ng bt ht k nh
 thu
1.6 - Ví dụ về một vài luật của IDS
 s  v mt ma mt s
kiu tnh d n m .
 t ca mt cuc tn c NetBus back door
alert tcp $HOME_NET 12345:12346 -> $EXTERNAL_NET any
(msg:"BACKDOOR netbus active"; flow:from_server,established;
content:"NetBus";
reference:arachnids,401; classtype:misc-activity; sid:109; rev:4;)
Lu ki  mng cc b (HOME_NET) qua
cng 1234512346. Nu hi cng m
t long minh v mt cuc
t.
 n t
alert udp $EXTERNAL_NET any -> $HOME_NET 53 (msg:"DNS zone transfer
UDP"; content: "|00 00 FC|"; offset:14; reference:cve,CAN-1999-0532;
reference:arachnids,212; classtype:attempted-recon; sid:1948; rev:1;)
20

t cuc t o bng 53.
Nu khp vi du hiu, snort s c  ng th    


1.7 - Đánh giá ưu nhược điểm của hệ thống phát hiện xâm nhập mạng
Ưu điểm:
 c t  thng mng.
 D nh m bo v  thng mng.
 Kiu khic m cc t
  theo chi
 n tr kh  ng cc t
 nh bo v ng ng dng.
Hạn chế:
  to ra nhng cm.
 Phn ng vc t
 u khi thi gian.
 Ph thu v ht sc phc tp.
  u khic vng t cao.
 To ra s ng khng l  liu c
 
 D b mc by vc tm hoc rt chm.
 ng th c vi  
 t tin.

1.8 - Giới thiệu chung về lừa đảo trên mạng (phishing)
t thut ng  c tng,
g qua gi mt email hay m   o  d ng vic
21

i dung l thc hin phishing) s 
 mt khu, s th 
V phishing   cc k ng ca th gii. Mt
khi phisher li dc mt l h b 
u qu ng. Lch s ca phishing ch khu bng vic l

nhon AOL, vi mc t i nhng phn mp. Th
 th gii mt vi vic tion  bin
m ng sai lm khi ba ch 
 h
C  qua nhi phisher hin t
Tin,  xem nhng la phisher.
Nhng kin thc   m mng dn thc hin phishing
 c tr  h 
phisher bit ph y 
t m cn thi
ng.
1.9 - Phân tích các tấn công kiểu phishing
Nhng bi thut ch gc che du vt, quan trng
i thuyt phc n.
 hi c hng c th 
c t.
1.9.1 - Ví dụ về phishing
Mn nhn t t mt
i bi cho th chp l 
qu t email cha thin tn thin t ca
n v nghi ng  
a, vin thin t 
git, ni thin t ng li.
  email (thhi
 n vi  n nh  ng d n thi n t   t
22

chuyn xn t t
 i
c hin ti vi yahoo ca b d

hiy ra. Th t 
c cn thc b ht hn
i  ln, bn th  p li.
ng chuyy ra nhiu ln, bn nhn
Relogin to Yahoo Maili khi, bp. Vi
n thn, bt qua mthy v 
t khu. Kt qu n l.



23


Hình 7: Email thông báo có ecard

T ma ch 
a mi bn
Ni dung email

vi email tht t
Hallmark
Link hi
i link
ca Hallmark