Nghiên cứu giải pháp bảo mật và xác thực cho các giao dịch hành chính công điện tử – sở thông tin và truyền thông bắc ninh

ĐẠI HỌC THÁI NGUYÊN
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN & TRUYỀN THÔNG

NGÔ THỊ THANH HẢI

NGHIÊN CỨU GIẢI PHÁP BẢO MẬT VÀ XÁC THỰC CHO CÁC GIAO
DỊCH HÀNH CHÍNH CÔNG ĐIỆN TỬ
– SỞ THÔNG TIN VÀ TRUYỀN THÔNG BẮC NINH

LUẬN VĂN THẠC SĨ KHOA HỌC MÁY TÍNH

Th¸i Nguyªn 2017


ĐẠI HỌC THÁI NGUYÊN
TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN & TRUYỀN THÔNG

NGÔ THỊ THANH HẢI

NGHIÊN CỨU GIẢI PHÁP BẢO MẬT VÀ XÁC THỰC CHO CÁC GIAO
DỊCH HÀNH CHÍNH CÔNG ĐIỆN TỬ
– SỞ THÔNG TIN VÀ TRUYỀN THÔNG BẮC NINH

Chuyên ngành: Khoa học máy tính
Mã số: 60.48.01.01

LUẬN VĂN THẠC SĨ KHOA HỌC MÁY TÍNH

NGƯỜI HƯỚNG DẪN KHOA HỌC: TS- PHẠM THẾ QUẾ

Th¸i Nguyªn 2017

LỜI CẢM ƠN

Lời đầu tiên, tôi xin cảm ơn TS. Phạm Thế Quế, Giảng viên Học viện công nghệ
bưu chính viễn thông đã định hướng đề tài và tận tình hướng dẫn, chỉ bảo tôi trong suốt
quá trình thực hiện luận văn.
Tôi xin chân thành cảm ơn các thầy, cô trong Trường Đại học Công nghệ thông tin
và truyền thông Thái Nguyên đã truyền đạt kiến thức và tạo điều kiện trong thời gian
học tập.
Cuối cùng, tôi xin được gửi lời cảm ơn tới gia đình và bạn bè, những người đã
luôn bên cạnh, giúp đỡ và động viên tôi trong quá trình học tập cũng như trong suốt quá
trình thực hiện luận văn.
Mặc dù đã rất nỗ lực, cố gắng nhưng chắc chắn luận văn của tôi vẫn còn nhiều
thiếu sót. Tôi rất mong nhận được những ý kiến đóng góp, chia sẻ của quý thầy cô, anh
chị và các bạn.
Tôi xin chân thành cảm ơn!

Thái Nguyên, ngày tháng 6 năm 2017
Người thực hiện

Ngô Thị Thanh Hải


LỜI CAM ĐOAN

Tôi xin cam đoan luận văn cao học “Nghiên cứu giải pháp bảo mật và xác thực
cho các giao dịch hành chính công điện tử – Sở Thông tin và Truyền thông Bắc Ninh”
của tôi được thực hiện dưới sự hướng dẫn của giáo viên hướng dẫn là TS. Phạm Thế
Quế. Các nội dung trong luận văn đều được ghi rõ nguồn gốc ở phía cuối luận văn.

Nếu có phát hiện nào về sự gian lận trong sao chép tài liệu, công trình
nghiên cứu của tác giả khác mà không được ghi rõ trong phần tài liệu tham khảo, tôi sẽ
chịu hoàn toàn trách nhiệm về kết quả luận văn của mình.

Thái Nguyên, ngày tháng 6 năm 2017
Người thực hiện

Ngô Thị Thanh Hải


MỤC LỤC
Trang
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT ........................................i
DANH MỤC BẢNG BIỂU .................................................................................. iii
DANH MỤC CÁC HÌNH .....................................................................................iv
MỞ ĐẦU ................................................................................................................. 1
CHƯƠNG I: T NG QUAN AN TOÀN BẢO MẬT HỆ TH NG THÔNG TIN.. 3
1.1 Khái niệm chung về an toàn thông tin [1]................................................. 3
1.1.1 Giới thiệu ......................................................................................... 3
1.1.2 Các mục tiêu an toàn thông tin [2] ................................................ 4
1.1.3 Các tiêu chí đánh giá một hệ thống thông tin an toàn, bảo mật 5
1.1.4 Các hành vi vi phạm an toàn và bảo mật thông tin ...................... 7
1.1.5 Một số hình thức tấn công hệ thống thông tin [2] ........................ 8
1.2 Kỹ thuật phát hiện và ngăn chặn xâm nhập [3] ..................................... 11
1.2.1 Tường lửa (Firewall) ..................................................................... 11
1.2.2 Hệ thống phát hiện xâm nhập..................................................... 14
1.3 Bảo vệ thông tin bằng kỹ thuật mật mã [1]............................................. 15
1.3.1 Hệ mật mã ..................................................................................... 15
1.3.2 Bảo vệ thông tin bằng kỹ thuật mật mã khoá đối xứng .................. 17
1.3.3 Thuật toán trao đổi khoá Diffie-Hellman........................................ 19

1.4 Bảo vệ thông tin bằng mật mã khóa bất đối xứng [1] ................................ 21
1.4.1 Khái niệm ....................................................................................... 21
1.4.2 Thuật toán mật mã RSA ................................................................. 23
1.4.3 Chuyển đổi văn bản rõ .................................................................... 25
1.4.4 Đánh giá kỹ thuật mật mã bất đối xứng .......................................... 26
1.4.5 Một số hệ mật mã khóa công khai khác.......................................... 27
CHƯƠNG II: XÁC THỰC DÙNG CHỮ KÝ ĐIỆN TỬ VÀ CHỨNG THỰC S
........................................................................................................................... 28
2.1 Cơ chế xác thực nguồn gốc thông tin [8]..................................................... 28


2.1.1 Giới thiệu chung.............................................................................. 28
2.1.2 Kỹ thuật xác thực thông tin ............................................................. 28
2.2 Hàm băm bảo mật ...................................................................................... 32
2.2.1 Hàm băm bảo mật là gì .................................................................. 32
2.2.2 Ứng dụng hàm băm bảo mật .......................................................... 33
2.2.3 Hàm băm bảo mật SHA ................................................................. 34
2.2.4 Hàm băm MD5............................................................................... 35
2.3 Chữ ký số [8] .............................................................................................. 36
2.3.1 Khái niệm ....................................................................................... 36
2.3.2 Phân loại chữ ký số ......................................................................... 38
2.3.3 Các phương pháp thực hiện chữ ký số ............................................ 38
2.3.4 Chuẩn chữ ký DSS .......................................................................... 40
2.3.5 Thuật toán tạo chữ ký DSA............................................................. 42
2.3.6 Những vấn đề còn tồn tại của chữ ký số ......................................... 43
2.4 Cơ sở hạ tầng khóa công khai PKI [9] ....................................................... 44
2.4.1 Khái niệm ....................................................................................... 44
2.4.2 Chức năng chủ yếu của PKI............................................................ 47
2.4.3 Các thành phần PKI ........................................................................ 48
2.4.4 Các thủ tục trong PKI ..................................................................... 50

2.4.5 Ưu nhược điểm của việc ứng dụng hệ thống PKI........................... 50
2.5 Chứng thực số trong môi trường hạ tầng khóa công khai PKI [9] ............ 51
2.5.1 Khái niệm ....................................................................................... 51
2.5.2 Xác thực thông tin dùng chữ ký điện tử và chứng thực điện tử .. 53
CHƯƠNG III: CÀI ĐẶT VÀ THỬ NGHIỆM BÀI TOÁN XÁC THỰC CHO
CÁC GIAO DỊCH HÀNH CHÍNH CÔNG ĐIỆN TỬ ..................................... 56
3.1 Mô hình giao dịch Chính phủ - Công dân (G to C) .................................... 56
3.1.1 Khái niệm ......................................................................................... 56
3.1.2 Hệ thống giao dịch hành chính công điện tử ................................... 56
3.1.3 Mô hình xác thực hệ thống thông tin liên thông .............................. 57
3.1.4 Các mức độ dịch vụ hành chính công .............................................. 58
3.1.5 Thủ tục sử dụng các dịch vụ hành chính công một cửa ................... 58


3.2 Nhu cầu triển khai chữ ký điện tử cho các giao dịch hành chính công tại Sở
Thông tin và Truyền thông.......................................................................... 59
3.2.1 Hiện trạng dịch vụ công ................................................................... 59
3.2.2 Các điểm yếu về bảo mật trong giao dịch hành chính công ............ 60
3.3.3 Ứng dụng PKI và các yêu cầu của Sở TT&TT .............................. 60
3.3 Một số đề xuất về tổ chức cung cấp quản lý chứng chỉ số ......................... 61
3.3.1 Đề xuất mô hình CA ........................................................................ 61
3.3.2 Kiến trúc các thành phần thiết bị ..................................................... 61
3.3.3 Tính năng sản phẩm đề xuất .......................................................... 61
3.4 Giải pháp triển khai...................................................................................... 60
3.4.1 Xây dựng một hệ thống CA riêng tại Sở TT&TT............................ 63
3.4.2 Đăng ký sử dụng với một tổ chức cung cấp dịch vụ chứng thực số 63
3.4.3 Lưu trữ và bảo vệ khóa bí mật sử dụng cho chữ ký số .................... 63
3.5 Triển khai thử nghiệm.................................................................................. 64
3.5.1 Ứng dụng java mô phỏng quá trình ký và xác thực chữ ký ............ 64
3.5.2 Kết quả thử nghiệm ......................................................................... 65

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN .......................................................... 67
TÀI LIỆU THAM KHẢO ................................................................................... 69


i

DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
AES

Advanced Encryption Standard

ANSI

American National

Chuẩn mã hoá tiên tiến

Standards

Viện tiêu chuẩn quốc gia Mỹ

Institude
CA

Certification Authority

Nhà cung cấp chứng thực CRL

Certificate Revocation List
Ecryption Standard

Danh sách chứng thực thu hồi DES

Data

Chuẩn mã dữ liệu

DNS

Domain Name System

Hệ thống tên miền

DSA

Digital Signature Algorithm

Thuật toán chữ ký điện tử

DSS

Digital Signature Standard

Chuẩn chữ ký điện tử

EDI

Electronic Data Interchange

Trao đổi dữ liệu điện tử

FIPS

Federal Information Processing

Chuẩn xử lý thông tin liên bang Mỹ

Standard
FTP

File Transfer Protocol

Giao thức truyền file

HTTP

Hyper Text Transport Protocol

Giao thức truyền siêu văn bản

IDEA

International Data Encryption

Thuật toán mã hoá dữ liệu quốc tế

ISO

Algorithm

International

Tổ chức tiêu chuẩn hoá quốc tế

Organization for Standardization
ISP

Internet

Service

Provider

Nhà cung cấp dịch vụ

Internet
ITU

International

Liên minh viễn thông quốc tế

Telecommunication Union
MD5

Message Digest 5

Thuật toán mã hóa

NIST

National Institute of Standards

Viện quốc gia về chuẩn và công

and Technology

nghệ

OSI

Open System Interconnection

Kết nối giữa các hệ thống mở

PGP

Pretty Good Private

Bảo mật rất mạnh

PKI

Public Key Infrastructure

Cơ sở hạ tầng khoá công khai


ii

RA

Registration Authority

Nhà quản lý đăng ký

RSA

Rivest-Shamir-Aldeman

Thuật toán mật mã hóa khóa công
khai

SET

Secure Electronic Transaction

Giao dịch điện tử an toàn

SHA

Secure Hash Algorithm

Thuật toán băm an toàn

TCP/IP

Transmission Control Protocol/

Giao thức điều khiển truyền

Internet protocol
URL

Uniform Resource Locator

Bộ định vị tài nguyên

AES

Advanced Encryption Standard

Chuẩn mã hoá tiên tiến

ANSI

American National

Standards

Viện tiêu chuẩn quốc gia Mỹ

Institude
CA

Certification Authority CRL

Nhà cung cấp chứng thực

DES

Data Ecryption Standard

Chuẩn mã dữ liệu

DNS

Domain Name System

Hệ thống tên miền

DSA

Digital Signature Algorithm

Thuật toán chữ ký điện tử

DSS

Digital Signature Standard

Chuẩn chữ ký điện tử

EDI

Electronic Data Interchange

Trao đổi dữ liệu điện tử

FIPS

Federal Information Processing

Chuẩn xử lý thông tin liên bang

Standard
FTP

File Transfer Protocol

Giao thức truyền file

HTTP

Hyper Text Transport Protocol

Giao thức truyền siêu văn bản

IDEA

International Data Encryption

Thuật toán mã hoá dữ liệu quốc tế

Algorithm
ISO

International Organization for

Tổ chức tiêu chuẩn hoá quốc tế

Standardization
ISP

Internet Service Provider

Nhà cung cấp dịch vụ Internet


3

DANH MỤC BẢNG BIỂU

Bảng 2.1. Các phiên bản SHA……………………………………………..35
Bảng 2.2. So sánh các thông số giữa SHA-1 và MD5……………………...36
Bảng 3.1. Kết quả thử nghiệm………………………………………………66


DANH MỤC CÁC HÌNH
Hình 1.1: Tấn công từ chối dịch vụ phân tán - DDoS ................................. 10
Hình 1.2: Mô tả hoạt động của tường lửa.................................................... 13
Hình 1.3: Mô tả một NIDS điển hình .......................................................... 14
Hình 1.4: Host Based IDS (HIDS) .............................................................. 15
Hình 1.5: Cấu trúc một hệ thống mật mã .................................................... 16
Hình 1.6: Trao đổi khoá trong mật mã khóa đối xứng ................................ 17
Hình 1.7: Thuật toán trao đổi khoá Diffie-Hellman .................................... 20
Hình 1.8: Cấu trúc hệ thống mật mã khóa bất đối xứng ............................. 21
Hình 2.1: Xác thực thông tin sử dụng kỹ thuật mật mã ............................. 29
Hình 2.2: Xác thực thông tin dùng MAC .................................................... 30
Hình 2.3: Xác thực thông tin dùng hàm băm .............................................. 31

Hình 2.4: Một ứng dụng điển hình của hàm băm ........................................ 33
Hình 2.5: Tạo chữ ký số .............................................................................. 36
Hình 2.6: Chữ ký trực tiếp .......................................................................... 39
Hình 2.7: Xác thực thông tin dùng RSA và chữ ký số DSS...................... 41
Hình 2.8: Tạo và kiểm tra chữ ký DSS ....................................................... 42
Hình 2.9: Các thành phần cơ bản của một PKI ........................................... 49
Hình 2.10: Minh hoạ xác thực sử dụng chứng chỉ số và chữ ký điện tử..... 53
Hình 2.11: Sơ đồ minh hoạ quá trình xin cấp chứng chỉ số ........................ 54
Hình 3.1: Mô hình tổng quát quy trình xác thực liên thông một cửa ......... .59
Hình 3.2: eToken Pro 32K ......................................................................... .64
Hình 3.3: Giao diện chương trình demo chữ ký số .................................... .64
Hình 3.4: Giao diện kiểm tra chuỗi toàn vẹn .............................................. 65


1

MỞ ĐẦU
Với sự phát triển mang tính toàn cầu của mạng Internet, con người có thể giao tiếp,
trao đổi và cung cấp các dịch vụ thông tin qua mạng một cách dễ dàng, nhanh chóng.
Tuy nhiên, đã và đang phát sinh những vấn đề cần phải giải quyết. Những thông
tin quan trọng, nhạy cảm đang được lưu trữ trong các cơ sở dữ liệu trên các máy chủ
dịch vụ, hay thông tin lưu chuyển trên đường truyền có thể bị đánh cắp, sao chép, làm
sai lệch hay bị giả mạo, … Điều này làm ảnh hưởng đến các tổ chức, cá nhân hay
một quốc gia. Những bí mật trong kinh doanh, tài chính, ngân hàng, hay các thông tin
nhạy cảm về an ninh, quốc phòng, ... là những mục tiêu hấp dẫn của những kẻ đánh
cắp, phá hoại.
Theo số liệu của CERT (Computer Emegency Response Team - đội cấp cứu máy
tính) số lượng các vụ tấn công trên Internet ngày một gia tăng. Quy mô mỗi ngày một
lớn và phương pháp tấn công mỗi ngày một tinh vi và hoàn thiện hơn. Chẳng hạn như
cùng một thời điểm tin tặc có thể tấn công hàng trăm nghìn máy tính trên mạng. Vì vậy

đối với các giao dịch mang tính nhạy cảm cần phải có những cơ chế nhằm đảm bảo cho
các hệ thống thông tin an toàn và bảo mật. Vì vậy, vấn đề bảo mật, an toàn thông tin
trong giao dịch điện tử là một vấn đề hết sức quan trọng và cấp thiết.
Bảo mật và xác thực thông tin cho các giao dịch điện tử đã và đang trở nên bức
thiết trong thiết kế, xây dựng và cài đặt các hệ thống thông tin. Yêu cầu này đang được
áp dụng ngày càng phổ biến, rộng rãi ở Việt Nam và trên phạm vi toàn cầu. Các cơ chế
bảo mật và an toàn thông tin bao gồm:
- Nội dung và nguồn gốc thông tin phải đảm bảo bí mật, không bị theo dõi,
nghe lén hoặc sao chép bởi những thực thể bất hợp pháp, không có thẩm quyền.
- Nội dung và nguồn gốc thông tin phải được toàn vẹn, không bị sửa đổi hay
bóp méo bởi những thực thể không được phép.


- Trong quá trình tham gia giao dịch, phải xác định tính hợp pháp, nguồn gốc
thông tin của các thực thể tham gia.
- Các thực thể tham gia trong các giao dịch điện tử không thể chối bỏ tính pháp
lý về những sự việc và những nội dung thông tin đã gửi hoặc nhận.
Xuất phát từ những khả năng ứng dụng trong thực tế và những ứng dụng đã có từ
các kết quả của nghiên cứu trước đây về lĩnh vực bảo mật và an toàn thông tin, tôi đã
chọn đề tài “Nghiên cứu giải pháp bảo mật và xác thực cho các giao dịch hành chính
công điện tử - Sở Thông tin và Truyền thông Bắc Ninh” làm hướng nghiên cứu và
ứng dụng. Nghiên cứu các giải pháp kỹ thuật và đề xuất các mô hình về bảo mật và
xác thực thông tin dựa vào chữ ký điện tử trong môi trường cơ sở hạ tầng khóa công
khai cho bài toán hành chính công một cửa của Sở Thông tin và Truyền thông Bắc Ninh.
Hiện tại, các phương pháp truy xuất, sử dụng các dịch vụ thông tin về các dịch vụ
hành chính công đang thực hiện theo các phương pháp thủ công, có sự hỗ trợ của hệ
thống mạng máy tính nội bộ. Nó đang bộc lộ những vấn đề về bảo mật thông tin, ảnh
hưởng đến sự an toàn hệ thống và người dùng đầu cuối. Vì vậy, trên cơ sở hạ tầng mạng
đã có, học viên nghiên cứu và đề xuất các giải pháp an toàn, bảo mật sao cho thông tin
trong hệ thống đảm bảo được bí mật nội dung và nguồn gốc, toàn vẹn được nội dung và

không sai lệch nguồn gốc thông tin. Đặc biệt có thể xác minh được nội dung và nguồn
gốc thông tin đi từ đâu và từ đâu đến. Vấn đề giải quyết bằng các mô hình xác thực
người sử dụng và kiểm soát quyền truy nhập thông tin của người dùng trong hệ thống
dựa trên kỹ thuật mật mã, chữ ký điện tử và cơ sở hạ tầng mật mã khóa công khai.
Ngoài phần mở đầu, kết luận và tài liệu tham khảo, nội dung luận văn gồm 3
chương như sau:
Chương I. Tổng quan an toàn bảo mật hệ thống thông tin
Chương II. Xác thực dùng chữ ký điện tử và chứng thực số
Chương III. Cài đặt và thử nghiệm bài toán xác thực cho các giao dịch hành chính
công điện tử.


CHƯƠNG I: T NG QUAN AN TOÀN BẢO MẬT HỆ TH NG THÔNG
TIN
1.1 Khái niệm chung về an toàn thông tin [1]
1.1.1 Giới thiệu
Vấn đề bảo đảm an toàn cho các hệ thống thông tin là một trong những vấn đề
quan trọng không thể thiếu trong quá trình thiết kế, cài đặt, vận hành và bảo dưỡng các
hệ thống thông tin. Nhu cầu bảo vệ thông tin ngày càng trở nên bức thiết. Bảo vệ thông
tin là bảo vệ tính bí mật của thông tin, tính toàn vẹn của thông tin, tính xác thực và không
chối bỏ thông tin.
Một trong những mục tiêu kết nối máy tính thành mạng là chia sẻ các tài nguyên
chung của mạng. Về nguyên tắc, người sử dụng có thể truy xuất và khai thác sử dụng các
tài nguyên của mạng mà không phụ thuộc vào vị trí địa lý. Do đặc điểm nhiều người sử
dụng lại phân tán về mặt vật lý nên việc bảo vệ các tài nguyên thông tin lưu trữ trong các
cơ sở dữ liệu, thông tin lưu chuyển trên mạng, là việc làm cần thiết và cấp bách, trở nên
có tầm quan trọng thời sự. Một hệ thống còn có giá trị hay không nếu nó không được bảo
vệ để chống lại mọi hình thức tấn công và xâm nhập từ bên ngoài và bên trong hệ thống.
An toàn và bảo mật thông tin trở thành một mục tiêu phải đạt được trong quá trình thiết
kế hệ thống. Vấn đề an toàn và bảo mật thông tin thực sự phải được đặt lên hàng đầu cho

dù chi phí cao.
An toàn thông tin có thể hiểu là cách thức bảo vệ thông tin nhằm đảm bảo an toàn
cho hoạt động và cho tất cả các thành phần của mạng bao gồm dữ liệu, thiết bị, cơ sở hạ
tầng mạng và đảm bảo mọi tài nguyên mạng được sử dụng tương ứng với một chính sách
hoạt động được ấn định và với chỉ những người có thẩm quyền tương ứng.
Cần phải xác định chính xác các khả năng, nguy cơ xâm phạm hệ thống thông
tin, các sự cố rủi ro đối với dữ liệu trên mạng để có các giải pháp phù hợp đảm bảo an
hệ thống thông tin. Đánh giá các nguy cơ tấn công của Hacker, sự phát tán virus, ...
Phải nhận thấy an toàn thông tin là một trong những vấn đề cực


kỳ quan trọng trong các hoạt động, nhất là các hoạt động trong giao dịch điện tử. Một
thách thức đối với an toàn thông tin là xác định chính xác mức độ an toàn cần thiết
cho việc điều khiển hệ thống và các thành phần hệ thống. Đánh giá các nguy cơ, các lỗ
hổng khiến mạng có thể bị xâm phạm thông qua cách tiếp cận có cấu trúc. Xác định
những nguy cơ cơ virus, bọ gián điệp..., nguy ăn cắp, phá hoại, xoá các cơ sở dữ
liệu, ăn cắp mật khẩu, ... nguy cơ đối với sự hoạt động an toàn của hệ thống. Khi đánh
giá được hết những nguy cơ ảnh hưởng tới an ninh thông tin thì mới có thể có được
những biện pháp tốt nhất để đảm bảo an toàn hệ thống thông tin.
Về bản chất có thể phân loại các vi phạm an toàn thông tin thành hai loại: vi phạm
thụ động và vi phạm chủ động. Thụ động và chủ động được hiểu theo nghĩa có can thiệp
vào nội dung và luồng thông tin trao đổi hay không. Vi phạm thụ động chỉ nhằm mục
đích nắm bắt được thông tin. Vi phạm chủ động là thực hiện sự biến đổi, xoá bỏ hoặc
thêm thông tin ngoại lai để làm sai lệch thông tin gốc nhằm mục đích phá hoại. Các hành
động vi phạm thụ động thường khó có thể phát hiện nhưng có thể ngăn chặn hiệu quả.
Trái lại vi phạm chủ động rất dễ dàng phát hiện nhưng lại rất khó ngăn chặn.
1.1.2 Các mục tiêu an toàn thông tin [2]
Một hệ thống thông tin an toàn và bảo mật lý tưởng là khi thiết kế hệ thống phải
đạt được các mục tiêu sau:
Phát hiện (Detection): Mục tiêu thiết kế hệ thống là tập trung vào các sự kiện

vi phạm chính sách đã và đang xảy ra trên hệ thống. Thực hiện các cơ chế phát hiện nói
chung rất phức tạp, phải dựa trên nhiều kỹ thuật và nhiều nguồn thông tin khác nhau. Về
cơ bản, các cơ chế phát hiện xâm nhập chủ yếu dựa vào việc theo dõi và phân tích các
thông tin trong nhật ký hệ thống (System Log) và dữ liệu đang lưu thông trên mạng
(Network Traffic) để tìm ra các dấu hiệu của vi phạm, gọi là Signature thường phải
được nhận diện trước và mô tả trong một cơ sở dữ liệu của hệ thống, gọi là Signature
database.


Ngăn chặn (Prevention): Phải ngăn chặn kịp thời các hành vi vi phạm chính sách.
Phải nhận điện các sự kiện, hành vi dẫn đến vi phạm chính sách. Các hành vi vi phạm có
thể đơn giản như việc để lộ mật khẩu, quên thoát khỏi hệ thống khi rời khỏi hệ thống,
hoặc có những hành vi phức tạp và có chủ đích như cố gắng tấn công vào hệ thống từ
bên ngoài.
Phục hồi (recovery): Mục tiêu thiết kế bao gồm các cơ chế nhằm chặn đứng
các vi phạm đang diễn ra (Response) hoặc khắc phục hậu quả của vi phạm một cách
nhanh chóng nhất với mức độ thiệt hại thấp nhất (Recovery). Tùy theo mức độ nghiêm
trọng của sự cố mà có các cơ chế phục hồi khác nhau. Có những sự cố đơn giản và
việc phục hồi có thể hoàn toàn được thực hiện tự động mà không cần sự can thiệp
của con người. Ngược lại có những sự cố phức tạp và nghiêm trọng yêu cầu phải áp
dụng những biện pháp bổ sung để phục hồi.
1.1.3 Các tiêu chí đánh giá một hệ thống thông tin an toàn, bảo mật
Đảm bảo an toàn và an ninh thông tin là nhằm mục đích đảm bảo cho tính đúng
đắn, độ tin cậy cao nhất của thông tin được xử lý, đồng thời bảo vệ được các thông tin
được lưu trữ trong các cơ sở dữ liệu và thông tin lưu chuyển trên mạng. Một hệ thống
được xem là an toàn khi có sự kết hợp các đặc tính: bảo mật (Confidentialy), toàn vẹn
(Intergity) và tính sẵn sàng (Availability) của các tài nguyên mạng và các dịch vụ của
mạng. Vấn đề an toàn thông tin còn thể hiện qua mối quan hệ giữa người sử dụng với hệ
thống mạng và tài nguyên mạng. Các quan hệ này được đảm bảo bằng các phương thức
xác thực (Authentication), cấp phép sử dụng (Authorization) và từ chối phục vụ

(Repudiation). Cụ thể như sau:
Tính bảo mật (Confidentialy): Bảo đảm dữ liệu không bị tiếp xúc, bị sử dụng bởi
người không có thẩm quyền. Là đặc tính tin tức không bị tiết lộ cho các thực thể hay quá
trình không được uỷ quyền biết hoặc không để cho các đối tượng đó lợi dụng. Thông tin
chỉ cho phép thực thể được cấp quyền sử dụng. Kỹ thuật bảo mật thường là phòng ngừa
dò la thu thập, phòng ngừa bức xạ. Tăng cường bảo mật thông tin bằng khoá mật mã, bảo
mật vật lý.
Tính toàn vẹn (Integrity): Là đặc tính khi thông tin trong các cơ sở dữ liệu hoặc
đang lưu chuyển trên mạng khi chưa được uỷ quyền thì không thể thay đổi, tức là thông
tin trên mạng khi đang lưu giữ hoặc trong quá trình truyền dẫn đảm


bảo không bị xoá bỏ, sửa đổi, giả mạo, làm rối loạn trật tự, xen vào một cách ngẫu nhiên
hoặc cố ý và những sự phá hoại khác. Chúng chỉ được sử dụng và được sửa đổi bởi
những người chủ của nó hay được cấp phép quyền sử dụng, khai thác.
Các cơ chế đảm bảo sự toàn vẹn của thông tin gồm:
 Cơ chế ngăn chặn có chức năng ngăn cản các hành vi trái phép làm thay
đổi nội dung và nguồn gốc của thông tin.
 Cơ chế phát hiện chỉ thực hiện chức năng giám sát và thông báo khi có thay
đổi diễn ra trên thông tin mà không thực hiện chức năng ngăn chặn các hành
vi truy xuất trái phép thông tin.
Tính xác thực (Authentification): Kiểm tra tính hợp pháp của một thực thể giao
tiếp trên mạng được quyền sử dụng tài nguyên của mạng. Một thực thể có thể là một
người sử dụng, một chương trình ứng dụng, hoặc một thiết bị phần cứng. Các hoạt động
kiểm tra tính xác thực được đánh giá là quan trọng nhất trong các hoạt động của một
phương thức bảo mật. Một hệ thống thông thường phải thực hiện kiểm tra tính xác thực
của một thực thể trước khi thực thể đó thực hiện kết nối với hệ thống. Việc xác thực
thường kết hợp với sự cho phép sử dụng hay từ chối phục vụ. Xác thực thông thường
bằng mật khẩu (Password), dấu vân tay hay các dấu hiệu đặc trưng. Nói cách khác, xác
thực là sự cho phép xác định người sử dụng được quyền thực hiện một hành động nào đó

như đọc/ghi một tệp, hay sử dụng tài nguyên phần mềm, sử dụng các tài nguyên phần
cứng, sử dụng các dịch vụ mạng, ... Người sử dụng phải qua giai đoạn xác thực bằng mật
khẩu trước khi được phép khai thác thông tin hay một tài nguyên nào đó trên mạng. Cơ
chế kiểm tra tính xác thực của các phương thức bảo mật dựa vào 3 mô hình chính sau:
- Đối tượng cần kiểm tra cần phải cung cấp những thông tin trước, ví dụ như
Password, hoặc mã số PIN (Personal Information Number).
- Kiểm tra dựa vào mô hình những thông tin đã có, đối tượng kiểm tra cần phải
thể hiện những thông tin mà chúng sở hữu, ví dụ như Private Key, hoặc số thẻ
tín dụng.
- Kiểm tra dựa vào mô hình những thông tin xác định tính duy nhất, đối tượng
kiểm tra cần phải có những thông tin để định danh tính duy nhất của mình, ví
dụ như thông qua giọng nói, dấu vân tay, chữ ký ...


Tính không thể chối cãi (Nonreputation): Trong quá trình trao đổi thông tin trên
mạng, yêu cầu phải xác nhận tính chân thực của những thực thể tham gia, tức là tất cả
các thực thể tham gia không thể chối bỏ hoặc phủ nhận những thao tác và cam kết đã
được thực hiện.
Tính sẵn sàng (Availability): Tính sẵn sàng là đặc tính mà hệ thống thông tin trên
mạng phải được các thực thể hợp pháp tiếp cận và sử dụng theo yêu cầu bất cứ ở đâu,
thời gian nào. Tài nguyên trên mạng luôn luôn được đảm bảo không thể bị chiếm đoạt
bởi người không có thẩm quyền. Các tài nguyên mạng luôn sẵn sàng phục vụ cho
những người được phép sử dụng hợp pháp. Đặc tính này rất quan trọng trong các dịch
vụ mạng như dịch vụ ngân hàng, tư vấn, các giao dịch thanh toán, mua bán trên mạng, ....
Trong thực tế, tính khả dụng được xem là nền tảng của một hệ thống bảo mật,
bởi vì khi hệ thống không sẵn sàng thì việc đảm bảo các đặc trưng về bí mật, toàn vẹn,
xác thực và chống chối bỏ sẽ trở nên vô nghĩa.
Hiện nay, các hình thức tấn công từ chối dịch vụ DoS (Denial of Service) và DDoS
(Distributed Denial of Service) được đánh giá là các nguy cơ lớn nhất đối với sự an toàn
của các hệ thống thông tin. Gây ra những thiệt hại lớn và đặc biệt là chưa có giải pháp

ngăn chặn hữu hiệu.Các hình thức tấn công này đều nhắm vào tính khả dụng của hệ
thống.
1.1.4 Các hành vi vi phạm an toàn và bảo mật thông tin
Các lỗ hổng về an toàn và bảo mật thông tin là những tình huống có khả năng
gây mất mát và tổn hại đến hệ thống. Có 4 hiểm hoạ đối với an toàn một hệ thống thông
tin, đó là: sự phá hoại, sự can thiệp, sự sửa đổi và sự giả mạo.
Phá hoại, ngăn chặn (Interception): Là các hành vi ngăn chặn để thực hiện tấn công
vào các tài nguyên của hệ thống, làm cho hệ thống không ở trạng thái sẵn sàng hoặc
không thể sử dụng được, làm chậm hoặc gián đoạn dịch vụ của hệ thống. Các hình thức
tấn công loại này xâm phạm vào tính toàn vẹn dữ liệu của hệ thống. Ví dụ, các hành vi
cố ý phá hoại các thiết bị phần cứng (máy chủ, Routers), xoá bỏ hoặc sửa đổi nội dung
File dữ liệu, các chương trình hoặc thực hiện sai chức năng, hoặc không thể hoạt động,
… Hacker thực hiện bằng các phương pháp tấn công từ


chối dịch vụ DoS hoặc phá hoại bằng Virus, hoặc cài đặt mã độc ẩn vào phần mềm ứng
dụng, cài đặt phần mềm gián điệp, chặn bắt mật khẩu người sử dụng, …
Xâm nhập (Intrusion): Xâm nhập nghĩa là mọi hành vi làm tổn hại đến an toàn của
hệ thống, có thể chủ động hoặc thụ động. Đối tượng không được phép truy nhập vào hệ
thống sử dụng tài nguyên bất hợp pháp. Xâm nhập và tấn công với ý nghĩa gần giống
nhau trong bảo mật hệ thống. Tấn công là các hành vi xâm nhập chủ động bởi con người
nhằm khai thác hoặc phá hoại các tài nguyên hệ thống. Mục tiêu của xâm nhập là tấn
công vào tính bí mật (Confidentiality), tính toàn vẹn (Integrity) và tính khả dụng
(Availability).
Giả mạo (Tampering): Giả mạo những đối tượng hợp pháp trong hệ thống (người
sử dụng, một máy tính với một địa chỉ IP xác định hoặc một phần mềm) để thực hiện các
hành vi bất hợp pháp. Đưa các giao dịch giả vào mạng truyền thông, thêm, sửa xóa dữ
liệu trong cơ sở dữ liệu hiện có. Giả mạo nội dung, hoặc thay thế bản tin trên mạng. Giả
mạo địa chỉ IP của một máy tính hợp pháp trên mạng, tạo ra các gói dữ liệu mang địa
chỉ IP nguồn không phải là địa chỉ của nó, để truy nhập trái phép vào đối tượng cần

tấn công (gọi là IP spoofing). Giả mạo tên miền DNS (Domain Name System) và giả
mạo hệ thống để chiếm quyền điều khiển. Hình thức này làm thay đổi nguồn gốc thông
tin, tấn công vào đặc tính toàn vẹn của nguồn gốc thông tin.
Cơ sở để tấn công giả mạo dựa vào những lỗ hổng về kỹ thuật của bộ giao thức
TCP/IP.
1.1.5 Một số hình thức tấn công hệ thống thông tin[2]
1. Tấn công từ chối dịch vụ DoS (Denial of Service): Dạng tấn công này không
nhằm vi phạm tính bảo mật, tính toàn vẹn dữ liệu, mà chỉ nhằm vào mục đích ngăn chặn
hoạt động bình thường của hệ thống. Đặc biệt tấn công vào tính khả dụng của các hệ
thống phục vụ trên mạng công cộng như Web Servers, Mail Servers, …Ví dụ: kẻ tấn
công dùng phần mềm tự động liên tục gửi các gói tin rác đến một máy chủ trên mạng,
gây quá tải cho máy chủ, làm cho máy chủ không còn khả năng cung cấp dịch vụ một
cách bình thường.
Cơ sở của tấn công từ chối dịch vụ là Hacker dò tìm các hệ thống thông tin sơ hở
về bảo mật. Lợi dụng những lỗ hổng bảo mật trong các giao thức kết nối


mạng (TCP/IP), các lỗ hổng bảo mật phần mềm, hoặc sự hạn chế băng thông kết nối
(Connection Bandwidth), hoặc năng lực của máy chủ để cài đặt bất hợp pháp các loại
phần mềm độc hại, phần mềm gián điệp, các loại virus vào hệ thống. Tấn công từ chối
dịch vụ có thể xuất phát từ trong nội bộ hệ thống dưới dạng tác động của các phần mềm
độc hại.
Hậu quả của các cuộc tấn công dịch vụ DoS có thể: Tiêu hao các tài nguyên của
mạng như băng thông, dung lượng, thời gian; thông tin định tuyến trong các bảng định
tuyến vị xóa, bị sửa đổi; phá vỡ các trạng thái hoạt động, reset lại các phiên TCP hoặc
UDP; phá vỡ các thành phần vật lý của mạng máy tính và làm tắc nghẽn thông tin giữa
các thực thể.
Tấn công từ chối dịch vụ DoS thông thường không chủ đích vi phạm tính bảo
mật, gây tiết lộ thông tin hay vi phạm tính toàn vẹn dữ liệu, làm mất dữ liệu mà chỉ
nhắm vào tính khả dụng của hệ thống. Tuy nhiên, do tính phổ biến của từ chối dịch vụ

và đặc biệt là hiện nay chưa có một giải pháp hữu hiệu cho việc ngăn chặn các tấn công
loại này. Tấn công từ chối dịch vụ được coi như là một nguy cơ rất lớn đối với sự an toàn
của các hệ thống thông tin.
2. Tấn công từ chối dịch vụ phân tán (Distributed DoS hay DDoS): Là các
phương thức tấn công phổ biến nhất và nguy hiểm nhất hiện nay. Phương thức tấn công
DDoS dựa trên nguyên tắc của tấn công từ chối dịch vụ DoS, nhưng có mức độ nguy
hiểm cao hơn nhiều. Hacker thường sử dụng phương thức này tấn công có chủ đích
như tống tiền, gây thiệt hại cho một ngành kinh tế, mức độ cao hơn với mục đích chính
trị, an ninh, quốc phòng, chiến tranh mạng. Hacker có thể thực hiện được, vì nó sử dụng
nhiều hệ thống tòng phạm (những hệ thống hổng về bảo mật), cùng một thời điểm giờ
G, đồng loạt tổng tấn công vào mục tiêu đã định. Tấn công từ chối dịch vụ phân tán
DdoS, một cách tổng quát được thực hiện qua 2 giai đoạn:
 Giai đoạn đầu tiên là Hacker dò tìm các hệ thống trên mạng có nhiều sơ hở về
bảo mật, nó tìm cách cài đặt các phần mềm độc hại, phần mềm gián điệp, có khả
năng điều khiển từ xa trên các hệ thống này này.
 Giai đoạn tiếp theo: Kẻ tấn công điều khiển từ xa các phần mềm gián điệp,
thực hiện tấn công đồng loạt vào mục tiêu đã được xác định.


Hacker
Dò tìm các máy
sơ hở bảo mật
Cài đặt các phần
mềm giánđiệp
Điều khiển từ xa,
tấn công đồng thời
Mục tiêu
bị tấn công
Hình 1.1: Tấn công từ chối dịch vụ phân tán - DDoS
3. Tấn công bằng phần mềm độc hại: Ngoài các hình thức tấn công như trên, các hệ

thống thông tin còn phải đối mặt với một nguy cơ xâm nhập rất lớn đó là các phần mềm
virus, worm, spyware, … gọi chung là các phần mềm độc hại (Malicious Code). Phần
mềm độc hại là phần mềm nhỏ gọn, có dung lượng nhỏ, có một nhiệm vụ duy nhất, cụ
thể được Hacker ủy quyền, hoạt động tự trị. Nó có thể ẩn nấp, ngủ đông, các phần mềm
diệt vius hiện nay khó phát hiện, diệt trừ.
4. Tấn công bằng các công cụ quét (Scanner): Hacker sử dụng các chương trình
Scanner tự động rà soát, quét và phát hiện những điểm yếu lỗ hổng về bảo mật trên một
Server ở xa, dựa vào những thông tin số hiệu cổng (Port) sử dụng trong giao thức
TCP/UDP và những dịch vụ sử dụng mà Scanner phát hiện. Các chương trình quét
Scanner cung cấp thông tin về khả năng bảo mật yếu kém của một hệ thống, hết sức
nguy hiểm khi những kẻ phá hoại có những thông tin này.
Có những phương pháp quét:
 Quét TCP Connect dựa trên giao thức TCP tạo ra một liên kết đến tất cả các
cổng máy ở xa đang lắng nghe lệnh Connect.
 Quét TCP SYN gửi một gói tin SYN để thăm dò mở một liên kết nếu nhận
được thông tin phản hồi SYN/ACK, cổng đích đang trong chế độ lắng nghe.


 Quét phân đoạn (chia) tiêu đề (Header) của gói tin, quét thành nhiều phần nhỏ
dưới dạng các gói tin IP, nhằm tránh các chương trình lọc gói và tránh phát
hiện trong các thiết bị như tường lửa, ….
 Quét đảo ngược TCP xác định tên người sử dụng thực hiện kết nối TCP.
 Quét sử dụng đặc điểm của giao thức FTP, hỗ trợ giao thức TCP.
Bẻ khoá (Password Cracker): Chương trình bẻ khoá Password là chương trình có
khả năng giải mã một mật khẩu đã được mã hoá hoặc có thể vô hiệu hoá chức năng bảo
vệ mật khẩu của một hệ thống. Hầu hết việc mã hoá các mật khẩu được tạo ra từ một
phương thức mã hoá. Các chương trình mã hoá sử dụng các thuật toán mã hoá để mã
hoá mật khẩu. Có thể thay thế phá khoá trên một hệ thống phân tán, đơn giản hơn so
với việc phá khoá trên một Server cục bộ.
Trojans trinh sát:

Một chương trình không rõ nguồn gốc nằm trong một chương trình hợp pháp,
cung cấp những thông tin bí mật.
Một chương trình hợp pháp bị thay đổi bằng cách sắp xếp các mã lệnh không rõ
code nguồn trong nó. Những mã lệnh này cung cấp những thông tin bí mật.
Những chương trình có ích đính kềm những mã lệnh đặc biệt cung cấp thông tin
bí mật.
Một chương trình Trojan chạy không hợp lệ trên một hệ thống với vai trò như
một chương trình hợp pháp. Nó thực hiện các chức năng không hợp pháp. Thông thường,
Trojans có thể chạy được là do các chương trình hợp pháp đã bị thay đổi mã bằng những
mã bất hợp pháp. Virus là một loại điển hình của các chương trình Trojans, vì các
chương trình Virus che dấu các đoạn mã trong những chương trình hợp pháp. Khi chương
trình hoạt động thì những đoạn mã ẩn sẽ thực hiện một số chức năng mà người sử dụng
không biết.
1.2 Kỹ thuật phát hiện và ngăn chặn xâm nhập [3]
1.2.1 Tường lửa (Firewall)
Tường lửa là kỹ thuật ngăn chặn các tấn công xâm nhập từ bên ngoài từ mạng
Internet vào hệ thống bên trong (mạng LAN và server). Hình 1.2 mô tả một


cấu trúc mạng điển hình trong đó Firewall được lắp đặt trước Router, với vai trò bảo vệ
cho toàn bộ hệ thống mạng bên trong.
Nguyên tắc chung của tường lửa là điều khiển truy xuất bằng cách giám sát tất cả
các gói dữ liệu đi qua tường lửa. Phụ vào chính sách bảo mật, nó cho phép hoặc không
cho phép các gói được đi qua hay không được đi qua. Hình 1.2 mô tả hoạt động điển
hình của một tường lửa, trong đó, lưu lượng HTTP (TCP port 80) được phép đi qua
tường lửa, còn lưu lượng NetBIOS (TCP port 445) thì bị chặn lại.
Chức năng của tường lửa là quản lý lưu lượng vào/ra trên kết nối Internet và ghi lại
các sự kiện diễn ra trên kết nối này phục vụ cho các mục đích an toàn mạng. Tuy
nhiên, do bản chất của tường lửa là giám sát lưu lượng luân chuyển thông qua một kết
nối giữa mạng nội bộ và mạng công cộng bên ngoài, vì vậy tường lửa không có khả năng

giám sát và ngăn chặn các tấn công xuất phát từ bên trong mạng nội bộ.
Có thể tóm tắt chức năng chủ yếu của tường lửa như sau:
 Separator: Tách mạng nội bộ và mạng công cộng, ràng buộc tất cả các kết nối từ
trong ra ngoài hoặc từ ngoài vào trong phải đi qua tường lửa như một đường đi
duy nhất.


Restricter: Chỉ cho phép lượng giới hạn được phép qua tường lửa. Người quản
trị có thể thực thi chính sách bảo mật bằng cách thiết lập các quy tắc lọc gói
tương ứng gọi là các Access Rules.



Analyzer: Theo dõi lưu lượng luân chuyển qua tường lửa, lập nhật ký
(logging) theo yêu cầu của người quản trị để phân tích để đánh giá mức độ an
toàn của hệ thống.



Ngoài các chức năng ở trên, một số tường lửa còn có chức năng xác thực
(authentication) đối với người sử dụng trước khi chấp nhận kết nối.

Tường lửa có thể là một phần mềm chạy trên một máy tính gọi là Firewall mềm
hoặc là một thiết bị phần cứng riêng biệt, được gọi là Firewall cứng, hoặc một thiết bị là
phần cứng và cài đặt phần mềm. Các sản phầm Firewall cứng điển hình như: Cisco PIX,
NetScreen firewalls, SonicWall appliances, Nokia Firewalls, …
Firewall theo phạm vi bảo vệ: Tường lửa dành cho máy tính cá nhân
(Personal Firewalls) và tường lửa dành cho mạng (Network Firewalls).

 Personal firewall thông thường là các firewall mềm, được cài đặt trên máy cá
nhân. Các hệ điều hành Windows (2000 và XP) đã có tích hợp sẵn personal
firewall. Ngoài ra, các phần mềm antivirus chuyên nghiệp cũng có chức năng
của personal firewall như Norton Antivirus, McAfee, …
 Network Firewall có thể là Firewall mềm hoặc Firewall cứng, thường được
lắp đặt trước hoặc sau bộ định tuyến nhằm mục đích bảo vệ hệ
thống mạng.
Internet
Firewall

Router
Web server

Mail server

Các máy tính khác trong mạng
nội bộ

Hình 1.2 : Mô tả hoạt động của tường lửa
Firewall theo cơ chế làm việc: Có 3 loại:
Tường lửa lọc gói (Packet Filtering Firewall): Dựa vào địa chỉ IP, cổng (Port
number) và giao thức kết nối (Protocol), trong tiêu đề các gói dữ liệu đi qua
tường lửa để quyết định chấp nhận (Accept) hay loại bỏ gói dữ liệu (Drop).
Firewall lớp ứng dụng (Application Layer gateway): Hoạt động tương tự
như tường lửa lọc gói. Nó cho phép thiết lập các quy tắc lọc gói phức tạp hơn dựa vào
phân tích nội dung của gói dữ liệu IP (phần Data Payload). Vì vậy, nó quản lý nội dung
truy cập của người sử dụng hoặc để nhận dạng dấu hiệu của một số loại phần mềm độc
(virus, worm, trojan, …). Do phải phân tích toàn bộ cấu trúc gói dữ liệu để lấy thông tin
nên nhược điểm của tường lửa lớp ứng dụng là yêu cầu năng lực xử lý mạnh, và là nơi có
thể xảy ra tắc nghẽn tiềm năng của mạng.

Tường lửa kiểm soát trạng thái (Stateful Inspection Firewall): Là loại tường lửa
kết hợp cả tường lửa lọc gói và tường lửa lớp ứng dụng. Cho phép thiết lập


các quy tắc lọc gói phức tạp, nhưng không mất nhiều thời gian phân tích nội dung của
các gói dữ liệu như tường lửa lớp ứng dụng. Nó theo dõi trạng thái của tất cả kết nối đi
qua nó, chỉ có các các gói dữ liệu thuộc về các kết nối hợp lệ mới được chấp nhận
chuyển tiếp qua tường lửa, các gói khác đều bị loại bỏ tại đây.
1.2.2 Hệ thống phát hiện xâm nhập
Hệ thống phát hiện xâm nhập IDS (Intrusion Detection System) là hệ thống phát
hiện các dấu hiệu của tấn công xâm nhập. Khác với tường lửa, IDS không thực hiện các
thao tác ngăn chặn truy xuất mà chỉ theo dõi các hoạt động trên mạng để tìm ra các
dấu hiệu của tấn công và cảnh báo cho người quản trị mạng. IDS không thực hiện chức
năng tách mạng nội bộ và mạng công cộng nên không
gánh toàn bộ lưu lượng qua nó và do đó không có nguy cơ làm tắc nghẽn mạng.

Router

IDS

Firewall

Signature
database

Quản trị
hệ thống

Hình 1.3: Mô tả một NIDS điển hình
Xâm nhập (Intrusion) nghĩa là một hành vi tác động vào các tiêu chí bảo mật,

toàn vẹn và khả dụng. IDS phát hiện dấu vết của tấn công bằng cách phân tích chủ
yếu nguồn thông tin các thao tác thực hiện trên máy chủ lưu trong nhật ký hệ thống
(system log) và lưu lượng đang lưu thông trên mạng.
Ngày nay, IDS không chỉ là phát hiện các dấu hiện xâm nhập, cảnh báo tấn công
khi tấn công đang diễn ra hoặc sau khi tấn công đã hoàn tất, mà còn có khả năng dự đoán
được tấn công (Prediction) và thậm chí phản ứng lại các tấn công đang diễn ra (Active
Response).
Thành phần quan trọng của hệ thống IDS là Sensor (bộ cảm nhận) và
Signature Database (cơ sở dữ liệu) chứa dấu hiệu (Signature) của các tấn công đã