BỘ GIÁO DỤC VÀ ĐÀO TẠO
TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI
---------------------------------------
NGUYỄN THỊ THANH HUYỀN
NGHIÊN CỨU VÀ ỨNG DỤNG HỆ THỐNG PHÁT HIỆN VÀ CHỐNG
XÂM NHẬP PHỐI HỢP - CIDS
Chuyên ngành: KỸ THUẬT TRUYỀN THÔNG
LUẬN VĂN THẠC SĨ KỸ THUẬT
Kỹ thuật truyền thông
NGƯỜI HƯỚNG DẪN KHOA HỌC:
TS. PHẠM DOÃN TĨNH
Hà Nội – Năm 2014
1
MỤC LỤC
LỜI CAM ĐOAN ....................................................................................................... 3
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT .............................................. 4
DANH MỤC CÁC BẢNG.......................................................................................... 5
DANH MỤC HÌNH VẼ .............................................................................................. 6
LỜI MỞ ĐẦU ............................................................................................................. 8
Chương 1 - TỔNG QUAN VỀ AN NINH MẠNG ................................................. 10
1.1. Các vấn đề về an ninh mạng ........................................................................ 10
1.1.1. Một số lỗ hổng về an ninh mạng .......................................................... 10
1.1.2. Một số phương thức tấn công trong mạng ............................................ 11
1.2. Các giải pháp trong triển khai an ninh mạng ............................................... 21
1.2.1. Các chiến lược bảo vệ mạng ................................................................. 21
1.2.2. Các kỹ thuật bảo mật ............................................................................ 23
Chương 2 - MÔ HÌNH PHÁT HIỆN XÂM NHẬP PHỐI HỢP CIDS ................... 33
2.1. Giới thiệu mô hình hệ thống phát hiện xâm nhập phối hợp ........................ 33
2.2. Kiến trúc hệ thống, cơ chế phát hiện và cảnh báo tấn công trong hệ thống
CIDS ...................................................................................................................... 37
2.2.1. Cơ chế phát hiện tấn công mạng trong CIDS ....................................... 37
2.2.2. Kiến trúc hệ thống, cơ chế phát hiện và cảnh báo tấn công. ................ 40
2.2.3. Phân loại các mô hình phát hiện xâm nhập phối hợp CIDS ................. 43
2.2.4. Tính tương đối của các cảnh báo .......................................................... 59
Chương 3 - HỆ THỐNG QUẢN LÝ BẢO MẬT MÃ NGUỒN MỞ OSSIM. ....... 70
3.1. Giới thiệu về hệ thống quản lý OSSIM ....................................................... 70
3.2. Các chức năng của hệ thống OSSIM. .......................................................... 72
3.3. Các thành phần trong OSSIM. ..................................................................... 77
3.3.1. OSSIM server. ...................................................................................... 77
3.3.2. OSSIM frameword. ............................................................................... 78
3.3.3. OSSIM agent......................................................................................... 79
3.3.4. Plugin và cơ chế hoạt động. .................................................................. 80
2
3.4. Ứng dụng OSSIM như một hệ thống phát hiện xâm nhập phối hợp. .......... 82
3.4.1. Các thành phần cần triển khai trong OSSIM ....................................... 82
3.4.2. Mô hình triển khai và các bước cài đặt, cấu hình OSSIM .................... 92
KẾT LUẬN ............................................................................................................... 98
TÀI LIỆU THAM KHẢO ......................................................................................... 99
3
LỜI CAM ĐOAN
Tôi xin cam đoan Luận văn Thạc sỹ kỹ thuật này là do tôi nghiên cứu và được
thực hiện dưới sự hướng dẫn khoa học của TS. Phạm Doãn Tĩnh. Các kết quả do tôi
tự nghiên cứu và tham khảo từ các nguồn tài liệu cũng như các công trình nghiên
cứu khoa học khác được trích dẫn đầy đủ. Nếu có vấn đề về sai phạm bản quyền, tôi
xin hoàn toàn chịu trách nhiệm trước Nhà trường.
Hà Nội, ngày…….tháng…… năm 2014
Học viên
Nguyễn Thị Thanh Huyền
4
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
ACID
Analysis Console for Intrusion Databases
ARP
Address Resolution Protocol
CGI Scripts
Common Gateway Interface Scripts
CIDS
Collaborative Intrusion Detection System
DDOS
Distributed Denial Of Service
DHCP
Dynamic Host Configuration Protocol
DIDS
Distributed Intrusion Detection System
DMZ
Demilitarized Zone
DNS
Domain Name System
DOS
Denial Of Service
DRDoS
Distributed Reflection Denial of Service
DSOC
Distributed Security Operation Center
GD
Global detectors
ICMP
Internetwork Control Message Protocol
IDPS
IPS + IDS
IDS
Intrusion Detection System
IPS
Intrusion Prevention System
LAN
Local Area Network
LD
Local detectors
MAC
Medium Access Control
MADIDF
Mobile Agents based Distributed Intrusion Detection Framework
NIC
Network Interface Card
NIDS
Network Intrusion Detection System
OSSIM
Open Source Security Information Management
P2P
Peer – to – Peer
PSKs
Pre-shared keys
RARP
Reverse Address Resolution Protocol
SMTP
Simple Mail Transfer Protoco
SQL
Structured Query Language
TCP/IP
Transmission Control Protocol/Internet Protocol
UDP
User Datagram Protocol
WAN
Wide Area Network
6
DANH MỤC HÌNH VẼ
Hình 1-1:Các tấn công đối với thông tin trên mạng ................................................. 12
Hình 1-2: Smurf attack .............................................................................................. 18
Hình 1-3: Tấn công kiểu DRDoS .............................................................................. 19
Hình 1-4: Mã hóa và giải mã .................................................................................... 24
Hình 1-5: Mô hình mã hóa bí mật ............................................................................. 26
Hình 1-6: Mô hình mã hóa công khai ....................................................................... 26
Hình 1-7: Mô hình Firewall cơ bản ........................................................................... 30
Hình 2-1: Mô hình hệ thống phát hiện xâm nhập phối hợp CIDS ............................ 36
Hình 2-2: Firewall bảo vệ mạng LAN bên trong, ngăn chặn kết nối trái phép. ....... 38
Hình 2-3: Firewall không bảo vệ được các tấn công không đi qua nó .................... 38
Hình 2-4: Mô hình hệ thống CIDS bảo vệ ................................................................ 39
Hình 2-5: Cơ chế cảnh báo tấn công và cảnh báo xâm nhập của hệ thống CIDS .... 39
Hình 2-6: Kiến trúc hệ thống CIDS .......................................................................... 40
Hình 2-7: Quá trình gửi và liên kết dữ liệu từ khối Corelation ............................... 43
Hình 2-8: CIDS thu thập thông tin mức thấp, xử lý và đưa ra cảnh báo ở mức cao 45
Hình 2-9: Phương pháp tiếp cận tập trung ............................................................... 47
Hình 2-10: Ứng dụng phương pháp tiếp cận tập trung trong mô hình DIDS ........... 48
Hình 2-11: Phương pháp tiếp cận phân cấp .............................................................. 51
Hình 2-12: Ứng dụng phương pháp tiếp cận phân cấp trong mô hình EMERALD . 53
Hình 2-13: Phương pháp tiếp cận phân phối hoàn toàn ............................................ 55
Hình 3-1: Kiến trúc hệ thống quản lý thông tin OSSIM ........................................... 71
Hình 3-2: Khả năng kết nối Plugins với OSSIM ..................................................... 73
Hình 3-3: Thông tin đánh giá tổng quan về Security trên toàn mạng ....................... 74
Hình 3-4: Bảng hiển thị thông tin: Security Report. ................................................. 75
Hình 3-5: Bảng hiển thị thông tin cảnh báo theo các luật được cấu hình ................. 76
Hình 3-6: Giao diện thiết lập luật cho quá theo dõi tất cả các giao thức của Snort .. 77
7
Hình 3-7: Sơ đồ xử lý thông tin giữa OSSIM server - OSSIM agent - Plugin ......... 81
Hình 3-8: Các thành phần và sơ đồ hoạt động trong hệ thống triển khai OSSIM .... 84
Hình 3-9: Thông tin về các Plugin được OSSIM hỗ trợ ........................................... 84
Hình 3-10: Giao diện đăng nhập đồ họa vào OSSIM ............................................... 86
Hình 3-11: Các Plugin đóng vai trò là Monitor trong hệ thống OSSIM................... 88
Hình 3-12: Các Plugin đóng vai trò là Detector trong hệ thống OSSIM .................. 89
Hình 3-13: Giao diện đồ họa triển khai luật trên OSSIM ......................................... 90
Hình 3-14: Cấu hình luật được lưu tương ứng trên OSSIM server .......................... 91
Hình 3-15: Mô hình triển khai thử nghiệm ............................................................... 93
Hình 3-16: Giao diện phần mềm giả lập tấn công DDoS ......................................... 93
Hình 3-17: website trước khi bị tấn công .................................................................. 96
Hình 3-18: Website sau khi bị tấn công .................................................................... 96
Hình 3-19: Kết quả hiện thị trên OSSIM .................................................................. 97
8
LỜI MỞ ĐẦU
Như chúng ta đã biết, ngày nay khi cuộc sống của con người ngày càng hiện đại,
cùng với sự phát triển như vũ bão của công nghệ thông tin giúp con người có cuộc
sống tốt đẹp hơn, đáp ứng mọi nhu cầu của con người trong cuộc sống như: Giải trí,
gặp gỡ bạn bè, mua sắm, tìm kiếm thông tin, học tập, làm việc, kinh doanh, buôn
bán, v.v.. thì song song với đó tiềm ẩn rất nhiều những nguy cơ luôn luôn rình rập
tới tất cả mọi người. Những thông tin nhạy cảm: Số tài khoản, thẻ tín dụng, địa chỉ
nhà, số điện thoại, mật khẩu mail, thông tin cá nhân, các tài khoản online,… và
nghiêm trọng hơn là các nguy cơ với các hệ thống lớn, các hệ thống cung cấp dịch
vụ, các công ty có quy mô rộng lớn trên khắp các vùng địa lý khác nhau, những nơi
mà sự sẵn sàng của hệ thống là yếu tố quyết định tới sự tồn tại của cả công ty thì
yêu cầu về đảm bảo an toàn thông tin: Bí mật, toàn vẹn, sẵn sàng là vấn đề luôn
được quan tâm, nghiên cứu. Cùng với tư tưởng tạo ra một hệ thống an ninh đảm bảo
an toàn cao, triển khai trên quy mô rộng lớn, quản lý tập trung, hướng đến một hệ
thống tự động phát hiện xâm nhập với quá trính tự động tính toán và đưa ra các
cảnh báo xâm nhập thì hệ thống phát hiện xâm nhập phối hợp CIDS được nghiên
cứu và phát triển.
Hệ thống phát hiện xâm nhập phối hợp hoạt động trên nguyên tắc kết hợp các
thiết bị an toàn thôn tin: Firewall, IDS, IPS trên các phân vùng mạng riêng lẻ thành
một thể thống nhất, quản lý bởi một thiết bị tập trung, nhận dữ liệu từ nhiều nguồn
khác nhau và xử lý tập trung để đưa ra các đánh giá về sự an toàn thông tin trên toàn
bộ mạng. Hệ thống CIDS đưa ra các cảnh báo từ sự tổng hợp thông tin nhận được
từ nhiều nguồn khác nhau nên kết quả đánh giá sẽ có tính chất khách quan, phát
hiện được các kiểu tấn công phức tạp, tinh vi với nhiều kịch bản tấn công khác
nhau: Scan lén lút, tấn công từ chối dịch vụ, sự bùng phát và phá hoại của sâu
mạng, mà có thể với một thiết bị an toàn thông tin đơn lẻ sẽ rất khó để phát hiện ra.
Mô hình hệ thống phát hiện xâm nhập phối hợp là một mô hình triển khai an
toàn thông tin có tính khả thi cao, đã được áp dụng trên nhiều sản phẩm từ mã
nguồn mở như: Hệ thống quản lý bảo mật mã nguồn mở OSSIM, tới các sản phẩm
9
thương mại nổi tiếng: Firewall Site Protecter của IBM, Symantec Endpoint của
hãng bảo mật Symantec,… thực tế đã chứng minh được mô hình hoạt động của hệ
thống an toàn thông tin phối hợp là rất hiệu quả, có tính khả thi cao. Là một người
làm về hệ thống với công việc là triển khai, quản trị và đảm bảo hệ thống bảo mật,
phòng chống virus cho Vietnamairlines thì việc tích hợp triền khai hệ thống phát
hiện, chống xâm nhập phối hợp cho các dịch vụ của đơn vị cung cấp là vô cùng cần
thiết. Do đó tác giả đã lựa chọn đề tài “ Nghiên cứu và ứng dụng hệ thống phát hiện
và chống xâm nhập phối hợp (CIDS)” cho luận văn của mình.
Để hoàn thành được Luận văn Thạc sĩ của mình , em xin gửi lời cảm ơn chân
thành tới Ban giám hiệu, Viện sau đại học, Viện Điện tử Viễn Thông và các Giảng
viên trường Đại học Bách Khoa Hà Nội đã nhiệt tình truyền đạt những kiến thức
quý báu cho em trong suốt quá trình học tập và hoàn thành Luận văn Thạc sĩ.
Em xin gửi lời cảm ơn và lòng biết ơn chân thành tới TS.Phạm Doãn Tĩnh -
Người đã trực tiếp chỉ bảo, hướng dẫn và giúp đỡ em trong suốt quá trình nghiên
cứu và hoàn thành Luận văn Thạc sĩ.
Cuối cùng, tôi xin chân thành cảm ơn tới các anh, các đồng nghiệp tại Phòng Hạ
tầng CNTT - Công ty Cổ phần tin học viễn thông Hàng Không đã giúp đỡ tôi trong
suốt quá trình thực hiện đề tài.
Xin chân thành cảm ơn!
Hà Nội, Ngày tháng năm 2014
Học viên
Nguyễn Thị Thanh Huyền
10
Chương 1 - TỔNG QUAN VỀ AN NINH MẠNG
1.1. Các vấn đề về an ninh mạng
1.1.1. Một số lỗ hổng về an ninh mạng
Lỗ hổng hệ thống là nơi mà đối tượng tấn công có thể khai thác để thực hiện các
hành vi tấn công hệ thống. Lỗ hổng hệ thống có thể tồn tại trong hệ thống mạng
hoặc trong thủ tục quản trị mạng
[1]
. Việc sử dụng mạng Internet làm tăng nhanh
khả năng kết nối, nhưng đồng thời chứa đựng trong đó những hiểm hoạ không ngờ.
Những lỗ hổng để kẻ tấn công có thể lợi dụng, gây tổn thương cho hệ thống có rất
nhiều. Sau đây là một vài lỗ hổng phổng biến trên cộng đồng mạng hiện nay.
Mật khẩu yếu: Mọi người thường có thói quen sử dụng mật khẩu theo tên, ngày
tháng năm sinh của người thân hay những gì quen thuộc với mình. Với những
mật khẩu dể bị phán đoán, kẻ tấn công có thể chiếm đoạt được quyển quản trị
trong mạng, phá huỷ hệ thống, cài đặt backdoor…Ngày nay, một người ngồi từ
xa cũng có thể đăng nhập được vào hệ thống cho nên ta cần phải sử dụng những
mật khẩu khó đoán, khó dò tìm hơn.
Dữ liệu không được mã hoá: Các dữ liệu được truyền đi trên mạng rất dễ bị xâm
phạm, xem trộm, sửa chữa… Với những dữ liệu không được mã hoá, kẻ tấn
công chẳng tốn thời gian để có thể hiểu được chúng. Những thông tin nhạy cảm
càng cần phải mã hoá cẩn thận trước khi gửi đi trên mạng.
Chia sẻ file qua mạng: Việc mở các file chia sẻ thông tin là một trong những vấn
đề bảo mật rất dễ gặp. Điều này cho phép bất kỳ ai cũng có thể truy nhập các file
nếu ta không có cơ chế bảo mật, phân quyền tốt.
Bộ giao thức TCP/IP hiện nay cũng được sử dụng rộng rãi trên mạng và luôn
tiềm
ẩn những hiểm hoạ khôn lường. Kẻ tấn công có thể sử dụng ngay chính các quy
tắc trong bộ giao thức này để thực hiện tấn công DOS. Sau đây là một số lỗ
hổng đáng chú ý liên quan đến bộ giao thức TCP/IP
o Tấn công DNS: DNS server thường là mục tiêu chính hay bị tấn công. Do
hậu quả rất lớn là nó làm ách tắc toàn mạng.
11
o Tràn bộ đệm (Buffer Overflows): Có hai kiểu tấn công khai thác lỗi làm tràn
bộ đệm là : DNS overflow (Khi một tên DNS quá dài được gửi tới Server) và
Start overflow (khi một tên file quá dài được cung cấp)
o Tấn công SMTP(Sendmail)
o Giả địa chỉ IP (IP spoofing)
o Tấn công trình duyệt Web: do các trình duyệt Web như của Microsoft,
Netscape có khá nhiều lỗ hổng bảo mật nên xuất hiện các tấn công URL,
HTTP, HTML, Java, JavaScript, Frames và ActiveX.
o Tấn công Webserver: Ngoài các lỗ hổng bảo mật do việc thực thi các chương
trình CGI, các web server còn có thể có các lỗ hổng khác. Ví dụ như Web
Server(IIS 1.0.x.x) có một lỗ hổng mà do đó một tên file có thể chèn thêm
đoạn “../” vào trong tên đường dẫn thì có thể di chuyển tới mọi nơi trong hệ
thống file và có thể lấy được bất kỳ file nào. Một lỗi thông dụng khác là lỗi
tràn bộ đệm trong trường hợp Request hoặc trong các trường hợp HTTP
khác.
o CGI Scripts: Các chương trình của CGI nổi tiếng là kém bảo mật. Bởi nó cho
phép web server thực thi một file chạy, do vậy kho các hacker khai thác được
các lỗ hổng bảo mật này thì các hacker hoàn toàn có thể thực thi bất kỳ cái gì
trên máy chủ.
1.1.2. Một số phương thức tấn công trong mạng
Tấn công (attack) là hoạt động có chủ ý của kẻ phạm tội lợi dụng các thương tổn
của hệ ến hành phá vỡ tính sẵn sàng, tính toàn vẹn và tính bí
mật củ ấn công (attack, intrustion) mạng là các tác động hoặc
là trình tự liên kết giữa các tác động với nhau để phá huỷ, dẫn đến việc hiện thực
hoá các nguy cơ bằng cách lợi dụng đặc tính dễ bị tổn thương của các hệ thống
thông tin này
[2]
. Hình dưới đây thể hiện luồng dữ liệu và một vài cách tấn công
bình thường.
12
Nguồn thông tin
Đích thông tin
Ngăn chặn thông tin
Nguồn thông tin
Đích thông tin
Chặn bắt thông tin
Nguồn thông tin
Đích thông tin
Sửa đổi
thông tin
Nguồn thông tin
Đích thông tin
Chèn thông tin giả
Hình 1-1:Các tấn công đối với thông tin trên mạng
1.1.2.1. Một số loại tấn công trong mạng
Tấn công ngăn chặn thông tin (interruption)
Tài nguyên thông tin bị phá hủy, không sẵn sàng phục vụ hoặc không sử dụng
được. Đây là hình thức tấncông làm mất khả năng sẵn sàng phục vụ của thông tin
(ví dụ như cắt đường dây hoặc làm tràn ngập liên kết khiến cho thông tin bị loại bỏ
vì tắc nghẽn). Tấn công theo kiểu này là một dạng của tấn công từ chối dịch vụ.
Tấn công chặn bắt thông tin (interception)
Tấn công chặn bắt thông tin là kẻ tấn công có thể truy nhập tới tài nguyên thông
tin. Đây là hình thức tấn công vào tính bí mật của thôngtin.
Tấn công sửa đổi thông tin (Modification)
Tấn công sửa đổi thông tin là kẻ tấn công truy nhập, chỉnh sửa thông tin khi
đang truyền từ nguồn tới đích để thay đổi nội dung thông điệp.
Chèn thông tin giả mạo (Fabrication)
13
Kẻ tấn công chèn các thông tin và dữ liệu giả vào hệ thống mà không có hành
động nào của người gửi. Khi một đối tượng bị nghe lén trước đó được chèn vào,
quá trình này được gọi là Replaying. Khi kẻ tấn công giả vờ là nguồn thông tin hợp
pháp và chèn thông tin theo ý muốn thì cuộc tấn công này được gọi là
Masquerading(giả trang). Đây là hình thức tấn công vào tính xác thực của thông tin.
Bốn cách tấn công trên là xâm phạm đến các thuộc tính bảo mật khác nhau của một
hệ thống máy tính.
1.1.2.2. Các kỹ thuật tấn công trong mạng
Có rất nhiều các kỹ thuật tấn công trong mạng nhưng được chia ra làm 4 loại
chủ yếu sau:
a. Tấn công thăm dò
Tấn công thăm dò là việc thu thập thông tin trái phép về tài nguyên, các lỗ hổng
hoặc dịch vụ của hệ thống
[2]
. Trước khi bắt đầu cuộc tấn công mạng, tin tặc cố gắng
thu thập thông tin càng nhiều càng tốt về mạng đó, để rồi sau đó tung ra cuộc tấn
công tập trung. Họ có thể dùng nhiều cách khác nhau để thăm dò mạng như in ấn
dấu chân (footprint), đếm mạng, truy vấn hệ thống tên miền….Qúa trình thăm dò
mạng đòi hỏi rất nhiều thời gian và công sức, đầu tiên có thể các hacker cần xác
định thông tin về hệ thống đích bằng các công cụ như Whois. Sau khi dùng các biện
pháp truy vấn tên miền và thu được các thông tin như Host thuộc Domain nào và
những địa chỉ được gán cho Domain đó, hacker sẽ sử dụng các công cụ quét cổng
để quét tất cả các cổng trên host nhằm thu được thông tin chi tiết hơn như số cổng
đang mở, cá dịch vụ đang chạy…Tuy khó ngăn cản việc dò quét cổng nhưng có thể
giảm bằng cách vô hiệu hoá tất cả các dịch vụ không cần thiết. Tấn công thăm dò
thường bao gồm các hình thức sau:
Sniffing (Nghe lén)
Sniffer là một hình thức nghe lén trên hệ thống mạng dựa trên những đặc điểm
của cơ chế TCP/IP. Sniffer ban đầu là một kỹ thuật bảo mật, được phát triển nhằm
giúp các nhà quản trị mạng khai thác mạng hiệu quả hơn, và có thể kiểm tra các dữ
liệu ra vào mạng cũng như các dữ liệu trong mạng (kiểm tra lỗi). Sau này, hacker
14
dùng phương pháp này để lấy cắp mật khẩu hay các thông tin nhạy cảm khác. Biến
thể của sniffer là các chương trình nghe lén bất hợp pháp như: công cụ nghe lén
yahoo, ăn cắp password email…
Active sniffer:
o Môi trường hoạt động: Chủ yếu hoạt động trên các mạng sử dụng thiết bị
chuyển mạch (switch).
o Cơ chế hoạt động: Thay đổi đường đi của dòng dữ liệu, áp dụng cơ chế ARP
và RARP (hai cơ chế chuyển đổi từ IP sang MAC và từ MAC sang IP) bằng
cách phát đi các gói tin đầu độc.
o Đặc điểm: Do phải gửi gói tin đi nên chiếm băng thông của mạng, nếu sniff
quá nhiều trong mạng thì lượng gói tin gửi đi sẽ rất lớn (do liên tục gửi đi các
thông tin giả mạo) có thể dẫn tới nghẽn mạng hay gây quá tải lên chính NIC
của máy (thắt nút cổ chai)
o Một số kỹ thuật ép dòng dữ liệu đi qua NIC của mình như:
ARP poisoning: thay đổi thông tin ARP
MAC flooding: làm tràn bộ nhớ switch, từ đó switch sẽ chạy chế độ
forwarding mà không chuyển mạch gói.
Giả MAC: các sniffer sẽ thay đổi MAC của mình thành một MAC của
một máy hợp lệ và qua được chức năng lọc MAC của thiết bị.
Đầu độc DHCP để thay đổi gateway của máy client.
DNS spoofing: làm phân giải sai tên miền.
Passtive sniffer
o Môi trường hoạt động: Chủ yếu hoạt động trong môi trường không có thiết
bị switch mà dùng hub.
o Cơ chế hoạt động: Hoạt động dựa trên cơ chế broadcast gói tin trong mạng,
do không có thiết bị switch nên các các gói tin được broadcast đi trong mạng,
có thể bắt các gói tin lại để xem (dù host nhận gói tin không phải là nơi gói
tin đó gửi tới)
15
o Đặc điểm: Do máy tự broadcast gói tin nên hình thức Passtive sniff này rất
khó phát hiện.
Ping sweep
o Ping: Đưa ra một gói yêu cầu ICMP và đợi trả một thông báo trả lời từ một
máy hoạt động.
o Ping Sweep: Xác định hệ thống đang “sống” hay không rất quan trọng vì có
thể hacker ngừng ngay tấn công khi xác định hệ thống đó đã “chết”. Việc xác
định trạng thái hệ thống có thể sử dụng kỹ thuật Ping Scan hay còn gọi với
tên Ping Sweep. Bản chất của quá trình này là gửi một ICMP Echo Request
đến máy chủ mà hacker đang muốn tấn công và mong đợi một ICMP Reply.
Ngoài lệnh ping có sẵn trên Windows, còn có một số công cụ ping sweep
như: Pinger, Friendly Pinger, Ping Pro…
Ports scanning
o Port scanning là một quá trình kết nối các cổng (TCP và UDP) trên một hệ
thống mục tiêu nhằm xác định xem dịch vụ nào đang “chạy” hoặc đang trong
trạng thái “nghe”. Xác định máy đang mở cổng nào, hệ thống đang sử dụng
dịch vụ nào. Xác định các cổng nghe là một công việc rất quan trọng nhằm
xác định được loại hình hệ thống và những ứng dụng đang được sử dụng.
o Mỗi công cụ có cơ chế port scan riêng. Ví dụ hoạt động của công cụ Nmap là
hỗ trợ nhiều kỹ thuật scan port như: TCP scan, SYN scan, Null scan,
Windows scan, ACK scan…kỹ thuật TCP scan tức là Nmap sẽ kiểm tra cổng
trên hệ thống đích mở hay đóng bằng cách thực hiện kết nối TCP đầy đủ.
b. Tấn công xâm nhập (access attack)
Tấn công xâm nhập là một thuật ngữ rộng miêu tả bất kỳ kiểu tấn công nào đòi
hỏi người xâm nhập lấy được quyền truy cập trái phép của một hệ thống bảo mật
với mục đích thao túng dữ liêu, nâng cao đặc quyền. Tấn công truy nhập hệ thống:
Là hành động nhằm đạt được quyền truy cập bất hợp pháp đến một hệ thống mà ở
đó hacker không có tài khoản sử dụng. Kẻ xâm nhập sẽ thao túng dữ liệu đọc, viết,
xóa, sao chép hay thay đổi dữ liệu.
