Hãy xem trích dẫn này của Đô đốc Grace Hopper
“Cuộc sống đơn giản hơn trước chiến tranh thế giới thứ hai. Sau đó chúng tôi đã có hệ thống ”
Vì vậy, điều này thực sự có nghĩa là gì? Với việc phát minh ra các hệ thống (hệ thống máy tính) đã làm gia tăng các nhu cầu khác nhau của mạng, và với mạng là ý tưởng chia sẻ dữ liệu. Ngày nay trong thời đại toàn cầu hóa, với sự phát triển của công nghệ thông tin cũng như sự dễ dàng tiếp cận và phát triển của các công cụ hack, kéo theo nhu cầu bảo mật các dữ liệu quan trọng. Tường lửa có thể cung cấp điều này, nhưng chúng không bao giờ cảnh báo cho quản trị viên về bất kỳ cuộc tấn công nào. Đó là lý do xuất hiện nhu cầu về một hệ thống khác - một loại hệ thống phát hiện.
Hệ thống phát hiện xâm nhập là một giải pháp cần thiết cho vấn đề trên. Nó tương tự như một hệ thống báo trộm trong nhà của bạn hoặc bất kỳ tổ chức nào phát hiện sự hiện diện của bất kỳ sự can thiệp không mong muốn nào và cảnh báo cho quản trị viên hệ thống.
Đây là một loại phần mềm được thiết kế để tự động cảnh báo cho quản trị viên khi bất kỳ ai cố gắng xâm nhập hệ thống bằng các hoạt động độc hại.
Bây giờ trước khi tìm hiểu về một Hệ thống phát hiện xâm nhập , chúng ta hãy nhắc lại ngắn gọn về tường lửa.
Tường lửa là các chương trình phần mềm hoặc thiết bị phần cứng có thể được sử dụng để ngăn chặn bất kỳ cuộc tấn công độc hại nào vào hệ thống hoặc trên mạng. Về cơ bản, chúng hoạt động như bộ lọc chặn bất kỳ loại thông tin nào có thể gây ra mối đe dọa cho hệ thống hoặc mạng. Họ có thể giám sát một vài nội dung của gói tin đến hoặc giám sát toàn bộ gói tin.
Phân loại hệ thống phát hiện xâm nhập:
Dựa trên loại hệ thống mà IDS bảo vệ:
- Hệ thống phát hiện xâm nhập mạng : Hệ thống này giám sát lưu lượng trên các mạng hoặc mạng con riêng lẻ bằng cách liên tục phân tích lưu lượng và so sánh với các cuộc tấn công đã biết trong thư viện. Nếu một cuộc tấn công được phát hiện, một cảnh báo sẽ được gửi đến quản trị viên hệ thống. Nó được đặt hầu hết ở các điểm quan trọng trong mạng để có thể theo dõi lưu lượng di chuyển đến và đi từ các thiết bị khác nhau trên mạng. IDS được đặt dọc theo ranh giới mạng hoặc giữa mạng và máy chủ. Một ưu điểm của hệ thống này là có thể triển khai dễ dàng và chi phí thấp, không cần phải tải cho từng hệ thống.
Hệ thống phát hiện xâm nhập mạng
- Hệ thống phát hiện xâm nhập máy chủ : Hệ thống như vậy hoạt động trên các hệ thống riêng lẻ nơi kết nối mạng với hệ thống, tức là các gói tin đến và đi được giám sát liên tục và việc kiểm tra các tệp hệ thống cũng được thực hiện và trong trường hợp có bất kỳ sự khác biệt nào, quản trị viên hệ thống sẽ được cảnh báo về điều này. Hệ thống này giám sát hệ điều hành của máy tính. IDS được cài đặt trên máy tính. Ưu điểm của hệ thống này là có thể giám sát chính xác toàn bộ hệ thống và không yêu cầu cài đặt bất kỳ phần cứng nào khác.
Hệ thống phát hiện xâm nhập máy chủ
Dựa trên phương pháp làm việc:
- Hệ thống phát hiện xâm nhập dựa trên chữ ký : Hệ thống này hoạt động trên nguyên tắc ăn khớp. Dữ liệu được phân tích và so sánh với dấu hiệu của các cuộc tấn công đã biết. Trong trường hợp khớp, một cảnh báo sẽ được đưa ra. Một ưu điểm của hệ thống này là nó có độ chính xác cao hơn và các cảnh báo tiêu chuẩn được người dùng hiểu rõ.
Hệ thống phát hiện xâm nhập dựa trên chữ ký
- Hệ thống phát hiện xâm nhập dựa trên sự bất thường : Nó bao gồm một mô hình thống kê về lưu lượng mạng bình thường bao gồm băng thông được sử dụng, các giao thức được xác định cho lưu lượng, các cổng và thiết bị là một phần của mạng. Nó thường xuyên theo dõi lưu lượng mạng và so sánh với mô hình thống kê. Trong trường hợp có bất kỳ sự bất thường hoặc khác biệt nào, quản trị viên sẽ được cảnh báo. Một lợi thế của hệ thống này là nó có thể phát hiện các cuộc tấn công mới và độc đáo.
Hệ thống phát hiện xâm nhập dựa trên sự bất thường
Dựa trên chức năng của chúng:
- Hệ thống phát hiện xâm nhập thụ động : Nó chỉ đơn giản là phát hiện loại hoạt động của phần mềm độc hại và đưa ra cảnh báo cho quản trị viên hệ thống hoặc mạng. (Những gì chúng tôi đã thấy cho đến bây giờ!). Hành động bắt buộc sau đó sẽ được thực hiện bởi quản trị viên.
Hệ thống phát hiện xâm nhập thụ động
- Hệ thống phát hiện xâm nhập phản ứng : Nó không chỉ phát hiện mối đe dọa mà còn thực hiện hành động cụ thể bằng cách đặt lại kết nối đáng ngờ hoặc chặn lưu lượng mạng từ nguồn đáng ngờ. Nó còn được gọi là Hệ thống ngăn chặn xâm nhập.
Các tính năng điển hình của một hệ thống phát hiện xâm nhập:
- Nó giám sát và phân tích các hoạt động của người dùng và hệ thống.
- Nó thực hiện kiểm tra các tệp hệ thống và các cấu hình khác và hệ điều hành.
- Nó đánh giá tính toàn vẹn của hệ thống và các tệp dữ liệu
- Nó tiến hành phân tích các mẫu dựa trên các cuộc tấn công đã biết.
- Nó phát hiện lỗi trong cấu hình hệ thống.
- Nó phát hiện và cảnh báo nếu hệ thống gặp nguy hiểm.
Phần mềm phát hiện xâm nhập miễn phí
Hệ thống phát hiện xâm nhập Snort
Một trong những Phần mềm phát hiện xâm nhập được sử dụng rộng rãi nhất là phần mềm Snort. Nó là một sự xâm nhập mạng Phần mềm phát hiện được phát triển bởi tệp Nguồn. Nó thực hiện phân tích lưu lượng theo thời gian thực và phân tích giao thức, đối sánh mẫu và phát hiện các loại tấn công khác nhau.
Hệ thống phát hiện xâm nhập Snort
Hệ thống phát hiện xâm nhập dựa trên Snort Bao gồm các thành phần sau:
Các thành phần của Snort IDS bằng Hệ thống phát hiện xâm nhập với Snort
- Một bộ giải mã gói : Nó lấy các gói từ các mạng khác nhau và chuẩn bị cho chúng để xử lý trước hoặc bất kỳ hành động nào khác. Về cơ bản nó giải mã các gói mạng sắp tới.
- Một bộ tiền xử lý : Nó chuẩn bị và sửa đổi các gói dữ liệu và cũng thực hiện chống phân mảnh gói dữ liệu, giải mã các luồng TCP.
- Một công cụ phát hiện : Nó thực hiện phát hiện gói trên cơ sở các quy tắc Snort. Nếu bất kỳ gói nào phù hợp với các quy tắc, hành động thích hợp được thực hiện, nếu không gói tin đó sẽ bị loại bỏ.
- Hệ thống ghi nhật ký và cảnh báo : Gói được phát hiện đã được đăng nhập vào các tệp hệ thống hoặc trong trường hợp có mối đe dọa, hệ thống sẽ được cảnh báo.
- Mô-đun đầu ra : Họ kiểm soát loại đầu ra từ hệ thống ghi nhật ký và cảnh báo.
Ưu điểm của Hệ thống phát hiện xâm nhập
- Mạng hoặc máy tính được giám sát liên tục để tìm bất kỳ cuộc xâm nhập hoặc tấn công nào.
- Hệ thống có thể được sửa đổi và thay đổi theo nhu cầu của các khách hàng cụ thể và có thể trợ giúp bên ngoài cũng như bên trong các mối đe dọa đối với hệ thống và mạng.
- Nó ngăn chặn hiệu quả bất kỳ thiệt hại nào cho mạng.
- Nó cung cấp một giao diện thân thiện với người dùng cho phép hệ thống quản lý bảo mật dễ dàng.
- Mọi thay đổi đối với các tệp và thư mục trên hệ thống có thể dễ dàng được phát hiện và báo cáo.
Một nhược điểm duy nhất của Hệ thống phát hiện xâm nhập là chúng không thể phát hiện ra nguồn gốc của cuộc tấn công và trong bất kỳ trường hợp tấn công nào, chúng chỉ khóa toàn bộ mạng. Nếu có thêm thắc mắc về khái niệm này hoặc về các dự án điện và điện tử, hãy để lại bình luận bên dưới.
