- Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 1 - MỤC LỤC DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT. - Mô hình hệ thống phát hiện xâm nhập hợp tác CIDS. - Kiến trúc hệ thống CIDS. - Xây dựng hệ thống theo phƣơng pháp tiếp cận tập trung. - Xây dựng hệ thống theo phƣơng pháp tiếp cận phân cấp. - TRIỂN KHAI HỆ THỐNG OSSIM. - Kiến trúc hệ thống. - Chi tiết các thành phần trong hệ thống OSSIM. - 54 - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng . - Kết nối OSSIM với hệ thống Symantech-SEP. - Kết nối OSSIM với hệ thống Filewall Cisco ASA. - 83 - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 3 - LỜI CAM ĐOAN Tôi xin cam đoan luận văn thạc sỹ kỹ thuật này là do tôi nghiên cứu và đƣợc thực hiện dƣới sự hƣớng dẫn khoa học của PGS.TS Ngô Hồng Sơn. - Nhật ký truy cập hệ thống OSSIM Bảng 2.2: Plugin trong phần phát hiện xâm nhập Snort Bảng 2.3. - Bảng mô tả các plugin giám sát trong hệ thống OSSIM Bảng 2.5. - Bảng mô tả các plugin rà soát trong hệ thống OSSI………………….47 Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 7 - DANH MỤC HÌNH VẼ Hình 1.1. - Mô hình hệ thống phát hiện xâm nhập hợp tác CIDS Hình1.3. - Mô hình hệ thống CIDS bảo vệ Hình1.5. - Cơ chế cảnh báo tấn công và cảnh báo xâm nhập của hệ thống CIDS.15 Hình 1.6. - Kiến trúc hệ thống CIDS Hình 1.11. - Sơ đồ hoạt động hệ thống OSSIM Hình 2.2: Mô hình hệ thống quản lý an toàn thông tin Hình 2.3. - Kết nối plugin OSSEC tới OSSIM server Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 8 - Hình 3.7. - Top 15 cảnh báo được hệ thống gửi đi nhiều nhất. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 11 - Vấn đề đặt ra là chƣa có một giải pháp tổng thể, mang tính chất tập trung, thu thập và đánh giá an toàn thông tin của toàn bộ hệ thống mạng mà chỉ mang tính chất nội bộ hệ thống mạng mà thiết bị đó quản lý. - Xin chân thành cảm ơn! Hà Nội, Ngày 11 tháng 9 năm 2015 Học viên Đặng Hồng Cường Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 13 - Chương I. - Mô hình hệ thống phát hiện xâm nhập hợp tác CIDS Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 15 - 1.2. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 16 - ``FIREWALL`ActackActackActackActackActack Hình1.3. - Mô hình hệ thống CIDS bảo vệ Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 17 - IDSFirewallIDPSCIDSActack Internet(Gửi thông bào về CIDS)(CIDS phat cảnh báo tấn công) Hình1.5. - Cơ chế cảnh báo tấn công và cảnh báo xâm nhập của hệ thống CIDS 1.3. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 18. - Kiến trúc hệ thống: CIDS bản chất là một hệ thống phát hiện xâm nhập hợp tác. - Kể từ khi phát hiện chính xác tổng thể của CIDS phụ thuộc vào tính chính xác của thông tin cảnh Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 19 - báo đƣợc cung cấp bởi mỗi Detection Unit tham gia, điều quan trọng để xác minh độ tin cậy của các cảnh báo. - Xây dựng hệ thống theo phương pháp tiếp cận tập trung. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 20 - Hình 1.7. - Xây dựng hệ thống theo phương pháp tiếp cận phân cấp . - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 21 - Mỗi nhóm truyền thông là một tập hợp con của cả hệ thống lớn. - Phương pháp tiếp cận phân phối hoàn toàn Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 23 - 1.4. - Hệ thống phát hiện xâm nhập hợp tác đƣợc triển khai với hai thành phần chính. - Khối xử lý thông tin là một hệ thống có khả năng kết nối trực tiếp đƣợc với nhiều khối phát hiện. - Quá trình gửi và liên kết dữ liệu từ khối Corelation Unit và khối Detection Unit Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng . - Indra MADIDF Không tồn tại điểm nhạy cảm trong hệ thống, khả năng mở Mất cân bằng tải trong các cuộc tấn công, không chắc chắn Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 27 - Garcia et al. - Có khả năng phát hiện các Chi phí xây dựng cơ sở Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 28 - CAML Qiu and Lee Almgren et al. - Khả năng phát hiện xâm nhập bị hạn khi các thành viên hệ thống bị vô hiệu hóa. - Bảo mật và đồng bộ dữ liệu Indra DOMINO Chen and Yeager Khả năng xác thực nguồn gốc thông tin Bảo vệ, ngăn chặn ngƣời dùng hợp Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 29 - pháp phát tán mã độc hại. - TRIỂN KHAI HỆ THỐNG OSSIM 2.1. - Hệ thống quản lý bảo mật thông tin mã nguồn mở (Open Source Security Information Management) đƣợc viết tắt là OSSIM. - Đây là một hệ thống quản lý an toàn thông tin dựa trên nền mã nguồn mở. - Dƣới đây là kiến trúc và mô tả hoạt động của hệ thống quản lý an toàn thông tin. - Các máy trạm hoạt động và thu thập thông tin về các sự kiện, mỗi khi phát hiện ra một sự kiện có dấu hiệu bất thƣờng hoặc có dấu hiệu nhƣ một sự tấn Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 30 - công thì sinh ra một cảnh báo. - Sơ đồ hoạt động hệ thống OSSIM Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 32. - Chi tiết các thành phần trong hệ thống OSSIM.9 2.3.1. - Hệ thống quản lý an toàn thông tin sẽ sử dụng một số cơ sở dữ liệu. - Hệ quản lý tập trung OSSIM Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 35 - Trong quá trình hệ thống hoạt động, có thể sẽ có rất nhiều sự kiện đƣợc ghi nhận. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 36. - Hệ thống này có khả năng kết hợp các thông tin để đƣa ra quyết định. - Lƣu giữ thông tin về các hệ thống. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 37. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 38 - Chức năng này rất tiện khi hệ thống có nhiều ngƣời sử dụng và ta muốn xem ai đã làm những gì trên hệ thống. - Nhật ký truy cập hệ thống OSSIM 2.3.4. - Description: mô tả về tiện ích Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 39 - Mỗi tiện ích có thể tạo ra nhiều kiểu sự kiện khác nhau, thông tin này đƣợc lƣu trong bảng “plugin_sid” của cơ sở dữ liệu của hệ thống QLAT Internet nhƣ sau. - Bảng mô tả các plugin báo cáo trong hệ thống OSSIM 2.3.4.1. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 43. - Bảng mô tả các plugin giám sát trong hệ thống OSSIM 2.3.4.2. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 44. - Sau đây ta sẽ xem xét về hoạt động của hệ thống. - output Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 45. - chạy chƣơng trình khi khởi động hệ thống restart=no . - nơi ghi nhật ký của chƣơng trình Arpwatch Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 50 - shutdown=killall %(proce. - host={$1} mac={$2} interface={$4} vendor=unknown plugin_sid=2 Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 51 - Chương III. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 52 - Hình 3.1. - Đƣa ra các cảnh báo ở mức độ tổng hợp từ nhiều nguồn khác nhau trong hệ thống mạng. - Nhận thức đƣợc vấn đề trên em đã áp dụng mô hình hệ thống phát hiện xâm nhập hợp tác CIDS triển khai vào hệ thống mạng Vietnamairlines với sản phẩm OSSIM. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 53 - 3.1. - Mô hình mạng tổng quan triển khai OSSIM trong hệ thống mạng VNA. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 54 - Hình 3.3. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 55 - OSSIM ServerOSSIM AgentPlugin Symantech-epmSymantech ServerSetup conect OSSIM serverRemote Controle / ReportSymantech Enport Protechtion – OSSIM AgentAdministrator - Các bƣớc thực hiện. - Đƣờng dẫn kết nối server Symantech endpoint protection: Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 56 - /etc/ossim/agent/plugins/symantec-epm.cfg. - Failed login attempts Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 57. - event_type=event regexp="(\S+\s+\d+\s+\d+:\d+:\d+)\s+(\S+)\s+(\S+):\s+(\S+),Category:\s+0,SYLINK,Failed\s+to\s+contact\s+server\s+for\s+more\s+than\s+10\s+times." plugin_sid=4 sensor={resolv($3)} date={normalize_date($1)} src_ip={resolv($4)} dst_ip={resolv($3)} Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 59 - ossim. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 60 - OSSIM ServerOSSIM AgentPlugin cisco-asaFirewall Cisco ASASetup conect OSSIM serverRemote Controle / ReportSymantech Enport Protechtion – OSSIM AgentAdministrator - Các bƣớc thực hiện. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng . - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 66 - (?P\d+):\s+(?P(?P\S+)\s+Accessed\s+URL\s+(?P\S[^:|\s. - ossim-setup Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 67 - Hình 3.3. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 68 - OSSIM ServerOSSIM AgentPlugin OSSECOSSECSetup conect OSSIM serverRemote Controle / ReportOSSEC – OSSIM AgentAdministratorTạo Key xác thực OSSIM-OSSEC - Các bƣớc thực hiện. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 69 - Bƣớc 5: Cài đặt chƣơng trình OSSEC trên web server. - shutdown plugin process when agent stops Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 70 - restart=no . - ossec, Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng Nov ossim-dk->ossec-logcollector #Rule: 591 (level 3. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 73 - Hình 3.6. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 74 - Hình 3.8. - Các cảnh báo theo thời gian thực Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 75. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 76 - Hình 3.10. - Các cảnh báo tổng hợp của toàn hệ thống. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 77 - Hình 3.11. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 78 - Hình 3.12. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 79 - Hình 3.13. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 80 - 2.2. - Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 81 - KẾT LUẬN. - Tìm hiểu đƣợc nguyên lý hoạt động, phân tích và phát hiện xâm nhập của hệ thống phát hiện xâm nhập kết hợp. - Áp Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 82 - dụng trên firewall cisco. - để trở thành hệ thống phát hiện xâm nhập phối hợp thực sự. - Em xin chân thành cảm ơn! Luận Văn Thạc Sĩ Đề tài: Hệ thống phát hiện xâm nhập hợp tác và ứng dụng - 83 - TÀI LIỆU THAM KHẢO 1 Snapp S, Brentano J, Dias G, Goan T, Heberlein L, Ho C, et al
Xem thử không khả dụng, vui lòng xem tại trang nguồn hoặc xem
Tóm tắt