Mô tả:
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Snort
Snort là chương trình bảo mật mã nguồn mở
với 3 chức năng chính:
- A packet sniffer
- A packet logger
- Hệ thống phát hiện xâm nhập triển khai trên
mạng (A Network-based Intrusion Detection
System)
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
1
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Ưu điểm của Snort
- Mã nguồn mở.
- Thực hiện trong suốt với người dùng.
- Chạy trên nhiều hệ điều hành: Linux,
Windows, MacOS X...
- Có đầy đủ tính năng của 1 IDS/IPS.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
2
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Các thành phần cơ bản của Snort
Packet Decoder: bộ giải mã gói
Preprocessors: Bộ tiền xử lý.
Detection Engine: bộ máy phát hiện
Logging and Alerting System: hệ thống ghi
và cảnh báo.
Output Modules: các mô đun xuất.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
3
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Cơ chế hoạt động của Snort
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
4
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Chọn lựa sản phẩm
1.
2.
3.
4.
5.
Các yêu cầu tổng quan.
Các yêu cầu khả năng bảo mật.
Các yêu cầu về năng suất vận hành.
Các yêu cầu về quản lý
Đánh giá sản phẩm
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
5
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Yêu cầu tổng quan
- Đánh giá môi trường hệ thống mạng
- Mục tiêu
- Chính sách bảo mật
- Hạn chế nguồn tài nguyên
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
6
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Đánh giá môi trường hệ thống mạng
Trước tiên cần hiểu về các đặc điểm của
môi trường mạng và hệ thống của tổ chức:
- Các đặc điểm kỹ thuật của môi trường IT
- Các đặc điểm kỹ thuật của hệ thống an ninh
hiện tại.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
7
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Đánh giá môi trường hệ thống mạng (tt)
Các đặc điểm kỹ thuật của môi trường IT:
- Sơ đồ mạng, bao gồm tất cả các kết nối, số
lượng và vị trí của các host.
- Hệ điều hành, các dịch vụ mạng, và các ứng
dụng chạy bởi mỗi host.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
8
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Đánh giá môi trường hệ thống mạng (tt)
Các đặc điểm kỹ thuật của hệ thống an ninh hiện
tại:
- Các IDS/IPS đang tồn tại.
- Các máy chủ logging được tập trung.
- Phần mềm antimalware.
- Phần mềm lọc nội dung. Ví dụ: phần mềm
antispam .
- Các thiết bị firewall, router, proxies.
- Các dịch vụ mã hóa việc truyền thông: VPN, SSL,
TLS.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
9
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Mục tiêu
Sau khi thu thập về trình trạng hệ thống đang
tồn tại, người quản trị nên trình bày các mục
tiêu (về kinh doanh, hoạt động, kỹ thuật) cần
được bảo vệ bởi IDS/IPS. Các câu hỏi sau sẽ
giúp đạt được vấn đề trên:
- Loại nguy hiểm nào (threats) mà IDS/IPS cần
phải bảo vệ.
- Các hành động vi phạm việc sử dụng mạng
nhưng có thể chấp nhận được.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
10
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Chính sách bảo mật
Chính sách bảo mật hiện tại nên được xem
xét trước khi chọn lựa sản phẩm. Các chính
sách này sẽ cung cấp các đặc điểm kỹ thuật
mà IDS/IPS sẽ phải đáp ứng. Bao gồm:
- Các mục tiêu của chính sách.
- Chính sách sử dụng hợp lý hoặc các quy
định khác về quản lý.
- Quy trình xử lý vi phạm chính sách
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
11
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Chính sách bảo mật (tt)
Các mục tiêu của chính sách: giúp trình bày
các mục tiêu được đề ra trong chính sách
(tính toàn vẹn, tính bí mật và tính sẵn sàng)
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
12
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Chính sách bảo mật (tt)
Chính sách sử dụng hợp lý hoặc các quy
định khác về quản lý: chính sách sử dụng hệ
thống là một phần của chính sách an ninh.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
13
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Chính sách bảo mật (tt)
Quy trình xử lý vi phạm chính sách: quy
trình nào bao gồm các hành động mà
IDS/IPS sẽ thực hiện khi phát hiện được sự
bất thường.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
14
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Hạn chế nguồn tài nguyên
Xem xét ngân sách mua và “hỗ trợ vòng đời”
cho các sản phẩm phần cứng và phần mềm
IDS/IPS.
Nhân viên để giám sát và duy trì IDS/IPS.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
15
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Yêu cầu khả năng bảo mật
Các khả năng bảo mật sau đây cần được
đánh giá và xem xét trước khi chọn lựa
sản phẩm:
- Các khả năng thu thập thông tin
- Các khả năng ghi log
- Các khả năng phát hiện
- Các khả năng ngăn chặn
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
16
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Yêu cầu về năng suất vận hành.
So sánh về năng suất vận hành các sản phẩm IDS/IPS
là một thách thức, vì:
- Năng suất vận hành phụ thuộc vào việc cấu hình và điều
chỉnh của mỗi sản phẩm.
-Hiệu suất và khả năng phát hiện thường tỷ lệ nghịch với
nhau. Vì khả năng phát hiện phức tạp yêu cầu nhiều khả
năng xử lý và bộ nhớ.
- Nhiều thành phần IDS/IPS không dựa trên thiết bị phần
cứng chuyên dụng. Do vậy, hiệu suất còn phụ thuộc vào hệ
điều hành.
- Không có tiêu chuẩn chung để kiểm tra năng suất vận
hành, và cũng không được công bố công khai.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
17
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Yêu cầu về quản lý
Đánh giá khả năng quản lý của mỗi sản
phẩm IDS/IPS là rất quan trọng. Bởi vì
nếu 1 sản phẩm khó quản lý sẽ không
được sử dụng hiệu quả. Khả năng quản lý
được xem xét ở 3 yếu tố sau:
- Thiết kế và thực thi
- Hoạt động và duy trì
- Đào tạo, ghi chép, và hỗ trợ kỹ thuật.
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
18
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Thiết kế và thực thi
Với đánh giá này, tổ chức nên xem xét các
tiêu chí tổng quan liên quan tới:
- Độ tin cậy
- Khả năng tương tác
- Khả năng mở rộng Bảo mật
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
19
Đại học Công nghệ thông tin
Khoa Mạng máy tính và truyền thông
Độ tin cậy
-Khả năng dự phòng (nguồn dự trữ, nhiều card
mạng, các thiết bị lưu trữ...),
- Khả năng triển khai nhiều cảm biến hay không?
- Sản phẩm có thể sử dụng nhiều server quản lý
hay không?
- Nếu 1 cảm biến hư thì có thể dễ dàng chuyển
cấu hình sang 1 cảm biến khác hay không?
Hệ thống tìm kiếm, phát hiện và ngăn ngừa xâm nhập
20
- Xem thêm -