5 hệ thống phát hiện xâm nhập máy chủ hàng đầu năm 2022
|
Show
Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng. Bạn đang chuẩn bị làm bài báo cáo thực tập nghề nghiệp, hay bạn đang làm đồ án tốt nghiệp, nhưng các bạn lại chưa biết lựa chọn đề tài nào cho phù hợp với trường hợp của bạn, giờ đây các bạn không còn phải lo lắng về vấn đề đó nữa, vì dưới đây Dịch Vụ Hỗ Trợ Viết Luận Văn sẽ chia sẻ đến các bạn sinh viên một bài Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng các bạn có thể tham khảo thử nhé. MỞ ĐẦUThế giới đang bắt đầu bước vào cuộc cách mạng công nghiệp lần thứ tư, một cuộc cách mạng sản xuất mới gắn liền với những đột phá chưa từng có về công nghệ, liên quan đến kết nối Internet, điện toán đám mây, in 3D, công nghệ cảm biến, thực tế ảo… Cuộc cách mạng sản xuất mới này được dự đoán sẽ tác động mạnh mẽ đến mọi quốc gia, chính phủ, doanh nghiệp và người dân khắp toàn cầu, cũng như làm thay đổi căn bản cách chúng ta sống, làm việc và sản xuất. Bên cạnh sự phát triển đó cũng tiềm ẩn những nguy cơ đe dọa đến mọi mặt của đời sống xã hội như việc đánh cắp thông tin, truy cập hệ thống trái phép, tấn công từ chối dịch vụ… Là nguy cơ mà người dùng Internet phải đương đầu. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” Rất nhiều các giải pháp an ninh mạng đã được đưa ra và cũng đã có những đóng góp to lớn trong việc đảm bảo an toàn thông tin, ví dụ như: Firewall ngăn chặn những kết nối không đáng tin cậy, mã hóa làm tăng độ an toàn cho việc truyền dữ liệu, các chương trình diệt virus với cơ sở dữ liệu được cập nhật thường xuyên… Tuy nhiên thực tế cho thấy chúng ta vẫn luôn thụ động trước các cuộc tấn công đặc biệt là các tấn công kiểu mới vì vậy yêu cầu đặt ra là cần có một hệ thống phát hiện và cảnh báo sớm trước các cuộc tấn công. Hệ thống phát hiện xâm nhập được xem như là một lựa chọn tối ưu. Đồ án này trình bày về Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng và tìm hiểu công cụ phát hiện cảnh báo nguy cơ tấn công mạng mã nguồn mở SNORT. Nội dung của đồ án bao gồm:
CHƯƠNG 1: TỔNG QUAN VỀ GIÁM SÁT AN NINH MẠNG “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng”1.1 Giám sát An ninh mạngGiám sát An ninh mạng là hệ thống được xây dựng nhằm mục đích thu thập, theo dõi, phân tích các sự kiện, dữ liệu ra vào mạng từ đó phát hiện các tấn công mạng và đưa ra cảnh báo cho hệ thống mạng được giám sát. Về bản chất đây là hệ thống phân tích sự kiện, luồng dữ liệu mà không tích hợp các giải pháp ngăn chặn vào trong đó. Hệ thống này hoạt động độc lập và chỉ thu thập nhật ký hệ thống của các thiết bị, ứng dụng hay các luồng dữ liệu chứ không ảnh hưởng đến chúng. Trong các hệ thống thông tin, việc khắc phục các sự cố thường tốn một chi phí rất lớn. vì vậy, giải pháp giám sát mạng để phát hiện sớm các sự cố là một sự lựa chọn được nhiều người ưa thích nhằm mang lại hiệu quả cao với chi phí vừa phải. 1.2 Mô hình hệ thống và chức năng chính. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng”Về cơ bản hệ thống Giám sát an ninh mạng (GSANM) tuân thủ theo mô hình SIEM (Security Information and Event Management). Đây là mô hình chung cho hệ thống GSANM được sử dụng rất nhiều trên thế giới và các nhà sản xuất các thiết bị GSANM cũng dựa trên mô hình chuẩn này. 1.2.1 Các thành phần chính. Hệ thống Giám sát an ninh mạng bao gồm các thành phần chính sau: CONSOLE: Là nơi xử lý, lưu trữ các sự kiện an ninh được cảnh báo, các sự kiện này được gửi lên từ Event Processor và Flow Processor. Ngoài ra tại đây còn chứa các tập luật xử lý các dữ liệu, CONSOLE có khả năng hoạt động độc lập. CONSOLE có hai giao diện, giao diện command line giúp người quản trị cấu hình, xử lý các lỗi hệ thống,… và giao diện web là nơi hiển thị các cảnh báo cũng như các sự kiện thu thập được. Các cảnh báo sẽ được lưu trữ tùy vào cấu hình quản trị trong bao lâu, thường là một năm cho mỗi hệ thống. Năng lực hoạt động của CONSOLE tùy thuộc vào nhiều yếu tố như: Đường truyền mạng, cấu hình phần cứng, … thông thường hệ thống hoạt động với công suất 1000EPS và 100000FPM. Khi hệ thống GSANM được thiết lập và cấu hình thì CONSOLE sẽ tự động cấu hình tương ứng cho các thiết bị khác một cách chủ động sau khi kết nối vào các thiết bị thông qua cổng 22. Từ đó các việc cấu hình các thiết bị trong hệ thống GSANM có thể được thực hiện thông qua CONSOLE bằng hai cách đó là qua giao diện Web với cổng 443 hoặc qua giao diện command line. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” EVENT PROCESSOR (EP): Đây là nơi xử lý các sự kiện được gửi về từ Event Collector. Các sự kiện này sẽ được xử lý thông qua các tập luật tại đây. Nếu là cảnh báo hoặc các sự kiện từ các thiết bị an ninh đưa ra cảnh báo thì nó sẽ được gửi thẳng trực tiếp lên CONSOLE để xử lý. Nếu là các sự kiện không đưa ra cảnh báo sẽ được lưu trữ tại đây mà không chuyển lên CONSOLE. Các sự kiện được lưu trữ tùy theo cấu hình của quản trị, thường là ba tháng cho các sự kiện không đưa ra cảnh báo. Các nhật ký hệ thống không đưa ra cảnh báo nó sẽ được quản lý qua giao diện web của CONSOLE. FLOW PROCESSOR (FP): Đây là nơi xử lý luồng dữ liệu, FP nhận dữ liệu từ Flow Collector và xử lý dựa trên các tập luật của FP. Sau đó, các cảnh báo sẽ được nó gửi lên CONSOLE còn các sự kiện không đưa ra cảnh báo sẽ được lưu trữ tại FP và được quản lý dựa trên giao diện web của CONSOLE. Thời gian lưu trữ các sự kiện này tùy thuộc vào cấu hình thường là ba tháng. EVENT COLLECTOR (EC): Là nơi thu thập nhật ký hệ thống, tiếp nhận các nhật ký hệ thống từ các thiết bị, hoặc các ứng dụng gửi về. Tại đây nhật ký hệ thống sẽ được mã hóa, nén và gửi về EP qua cổng 22. Sau đó nó sẽ được EP phân tích và xử lý . Đối với EC có rất nhiều phương pháp lấy nhật ký hệ thống khác nhau VD: Cài đặt agent lên các máy tính cần thu thập và gửi nhật ký hệ thống đã được chỉ định về cho EC. Tại CONSOLE người quản trị sẽ cấu hình cho EC thu nhận các nhật ký hệ thống từ các agent này. Sau đó các nhật ký hệ thống này sẽ được quản lý dựa trên giao diện web của CONSOLE. EC chỉ có khả năng thu thập các sự kiện mà không có khả năng thu thập các luồng dữ liệu. Với một thiết bị, dịch vụ như IIS, thường có khoảng 20 sự kiện trên giây (20 EPS). “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” FLOW COLLECTOR (FC): Đây là nơi thu thập các luồng dữ liệu từ mạng được giám sát. FC thường thu nhận luồng dữ liệu từ các switch có chức năng span port của Cisco. Sau đó dữ liệu cũng được nén, mã hóa và chuyển về FP xử lý thông qua cổng 22. CONSOLE sẽ cấu hình cho FC lắng nghe ở cổng Ethernet được kết nối với span port để thu thập dữ liệu. Khả năng xử lý hiện tại trên hệ thống GSANM đối với FC là 220000FPM. Các thiết bị phần cứng EC và FC của hệ thống GSANM có chức năng thu thập nhật ký hệ thống ở dạng “thô” là dạng chưa được phân tích. Đối với mỗi thiết bị này người quản trị hệ thống cần cung cấp địa chỉ IP tĩnh public, sau đó việc trao đổi dữ liệu qua hệ thống sẽ được mã hóa, nén lại và gửi tới EP, FP để phân tích và xử lý thông qua cổng 22. CONSOLE sẽ hiển thị dữ liệu lên giao diện web để người quản trị có thể sẽ xem các cảnh báo này thông qua cổng 443. 1.2.2 Phân loại Mô hình GSNAM được triển khai có hai dạng chính sau:
Là mô hình mà trong đó có hệ thống xử lý được đặt ở trung tâm GSANM và mọi hoạt động của hệ thống như: Các sự kiện, luồng dữ liệu, …sẽ được xử lý tại trung tâm sau đó được hiển thị lên giao diện Web site. Đối với mô hình này thường đòi hỏi một sự đầu tư quy mô và lực lượng con người phải nhiều mới đủ khả năng để vận hành hệ thống này.
Đây là mô hình mà hệ thống được xây dựng riêng lẻ cho các đơn vị, và không liên quan tới nhau, có nghĩa là hệ thống hoạt động độc lập. Các nhật ký hệ thống và luồng dữ liệu được trực tiếp thu thập tại mạng con, sau đó đẩy về thiết bị GSANM và tại đây luồng dữ liệu sẽ được xử lý. Tuy nhiên, mô hình này phù hợp cho các ngân hàng và đơn vị nhỏ và yêu cầu về đầu tư và lực lượng con người không cao. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” 1.2.3 Chức năng Đối với hệ thống GSANM chức năng chính của nó là sẽ thu thập các thành phần sau:
Với mỗi dòng nhật ký hệ thống sinh được tính là một sự kiện, các sự kiên được tính trên giây (EPS), và xử lý các luồng dữ liệu này được tính trên phút (FPM) sau đó hệ thống sẽ tiến hành phân tích bằng các bộ luật và đưa ra các cảnh báo cần thiết tới nhà quản trị hệ thống.
1.3 Phát hiện và chống xâm nhập mạng1.3.1 Hệ thống phát hiện xâm nhập (IDS). IDS (Intrusion Detection Systems) là một hệ thống phòng chống nhằm phát hiện các hành động tấn công vào một mạng mục đích của nó là phát hiện và ngăn ngừa các hành động phá hoại đối với vấn đề bảo mật hệ thống hoặc những hành động trong tiến trình tấn công như sưu tập, quét các cổng một tính năng chính của hệ thống này là cung cấp thông tin nhận biết về những hành động không bình thường và đưa ra các báo cảnh thông báo cho quản trị viên mạng khóa các kết nối đang tấn công này thêm vào đó công cụ IDS cũng có thể phân biệt giữa những tấn công bên trong từ bên trong tổ chức (từ chính nhân viên hoặc khách hàng) và tấn công bên ngoài (tấn công từ hacker). “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” 1.3.2 Hệ thống chống xâm nhập (IPS). IPS (Intrusion Prevention Systems) là hệ thống theo dõi, ngăn ngừa kịp thời các hoạt động xâm nhập không mong muốn. Chức năng chính của IPS là xác định các hoạt động nguy hại, lưu giữ các thông tin này. Sau đó kết hợp với firewall để dừng ngay các hoạt động này, và cuối cùng đưa ra các báo cáo chi tiết về các hoạt động xâm nhập trái phép trên. Hệ thống IPS được xem là trường hợp mở rộng của hệ thống IDS, cách thức hoạt động cũng như đặc điểm của 2 hệ thống này tương tự nhau. Điểm khác nhau duy nhất là hệ thống IPS ngoài khả năng theo dõi, giám sát thì còn có chức năng ngăn chặn kịp thời các hoạt động nguy hại đối với hệ thống. Hệ thống IPS sử dụng tập luật tương tự như hệ thống IDS. 1.3.3 Nguyên lý hoạt động hệ thống Nguyên lý hoạt động của một hệ thống phát hiện và chống xâm nhập được chia làm 5 giai đoạn chính: Giám sát mạng, phân tích lưu thông, Liên lạc giữa các thành phần, Cảnh báo về các hành vi xâm nhập và cuối cùng có thể tiến hành phản ứng lại tùy theo chức năng của từng IDS. 1.3.3.1 Giám sát mạng (monotoring) Giám sát mạng là quá trình thu thập thông tin về lưu thông trên mạng. Việc này thông thường được thực hiện bằng các Sensor. Yêu cầu đòi hỏi đối với giai đoạn này là có được thông tin đầy đủ và toàn vẹn về tình hình mạng. Đây cũng là một vấn đề khó khăn, bởi vì nếu theo dõi toàn bộ thông tin thì sẽ tốn khá nhiều tài nguyên, đồng thời gây ra nguy cơ tắc nghẽn mạng. Nên cần thiết phải cân nhắc để không làm ảnh hưởng đến toàn bộ hệ thống. Có thể sử dụng phương án là thu thập liên tục trong khoảng thời gian dài hoặc thu thập theo từng chu kì. Tuy nhiên khi đó những hành vi bắt được chỉ là những hành trong khoảng thời gian giám sát. Hoặc có thể theo vết những lưu thông TCP theo gói hoặc theo liên kết. Bằng cách này sẽ thấy được những dòng dữ liệu vào ra được phép. Nhưng nếu chỉ theo dõi những liên kết thành công sẽ có thể bỏ qua những thông tin có giá trị về những liên kết không thành công mà đây lại thường là những phần quan tâm trong một hệ thống IDS, ví dụ như hành động quét cổng. 1.3.3.2 Phân tích lưu thông (Analyzing) Khi đã thu thập được những thông tin cần thiết từ những điểm trên mạng. IDS tiến hành phân tích những dữ liệu thu thập được. Mỗi hệ thống cần có một sự phân tích khác nhau vì không phải môi trường nào cũng giống nhau. Thông thường ở giai đoạn này, hệ thống IDS sẽ dò tìm trong dòng traffic mang những dấu hiệu đáng nghi ngờ dựa trên kỹ thuật đối sánh mẫu hoặc phân tích hành vi bất thường. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” 1.3.3.3 Liên lạc Giai đoạn này giữ một vai trò quan trọng trong hệ thống IDS. Việc liên lạc diễn ra khi Sensor phát hiện ra dấu hiệu tấn công hoặc Bộ xử lý thực hiện thay đổi cấu hình, điều khiển Sensor. Thông thường các hệ thống IDS sử dụng các bộ giao thức đặc biệt để trao đổi thông tin giữa các thành phần. Các giao thức này phải đảm bảo tính tin cậy, bí mật và chịu lỗi tốt, ví dụ: SSH, HTTPS, SNMPv3…Chẳng hạn hệ thống IDS của hãng Cisco thường sử dụng giao thức PostOffice định nghĩa một tập các thông điệp để giao tiếp giữa các thành phần. 1.3.3.4 Cảnh báo (Alert) Sau khi đã phân tích xong dữ liệu, hệ thống IDS cần phải đưa ra được những cảnh báo. Ví dụ như:
1.3.3.5 Phản ứng (Response) Trong một số hệ thống IDS tiên tiến hiện nay, sau khi các giai đoạn trên phát hiện được dấu hiệu tấn công, hệ thống không những cảnh báo cho người quản trị mà còn đưa ra các hành vi phòng vệ ngăn chặn hành vi tấn công đó. Điều này giúp tăng cường khả năng tự vệ của Mạng, vì nếu chỉ cần cảnh báo cho người quản trị thì đôi khi cuộc tấn công sẽ tiếp tục xảy ra gây ra các tác hại xấu. Một hệ thống IDS có thể phản ứng lại trước những tấn công phải được cấu hình để có quyền can thiệp vào hoạt động của Firewall, Switch và Router. Các hành động mà IDS có thể đưa ra như:
Nếu như hiểu Firewall là một hệ thống “khóa” chốt chặn ở cửa ngõ mạng, thì hệ thống IDS có thể được coi như các “cảm ứng giám sát” được đặt khắp nơi trong mạng để cảnh báo về các cuộc tấn công đã “qua mặt” được Firewall hoặc xuất phát từ bên trong mạng. Một IDS có nhiệm vụ phân tích các gói tin mà Firewall cho phép đi qua, tìm kiếm các dấu hiệu tấn công từ các dấu hiệu đã biết hoặc thông qua việc phân tích các sự kiện bất thường, từ đó ngăn chặn các cuộc tấn công trước khi nó có thể gây ra những hậu quả xấu với tổ chức. Cách đây khoảng 25 năm, khái niệm phát hiện xâm nhập xuất hiện qua một bài báo của James Anderson khi đó người ta cần IDS với mục đích là dò tìm và nghiên cứu các hành vi bất thường và thái độ của người sử dụng trong mạng, phát hiện ra các việc làm dụng đặc quyền để giám sát tài sản hệ thống mạng. Các nghiên cứu về hệ thống phát hiện xâm nhập được nghiên cứu chính thức từ năm 1983 đến năm 1988 trước khi được sử dụng tại mạng máy tính của không lực Hoa Kỳ. Cho đến tận năm 1996, các khái niệm IDS vẫn chưa được phổ biến, một số hệ thống IDS chỉ được xuất hiện trong các phòng thí nghiệm và viện nghiên cứu. Tuy nhiên trong thời gian này một số công nghệ IDS bắt đầu phát triển dựa trên sự bùng nổ của công nghệ thông tin đến năm 1997 IDS mới được biết đến rộng rãi và thực sự đem lại lợi nhuận với sự đi đầu của công ty ISS, một năm sau đó, Cisco nhận ra tầm quan trọng của IDS và đã mua lại một công ty cung cấp giải pháp IDS tên là Wheel. Hiện tại, các thống kê cho thấy IDS/IPS đang là một trong các công nghệ an ninh được sử dụng nhiều nhất và vẫn còn phát triển. 2.1 Phát hiện xâm nhậpPhát hiện xâm nhập là tập hợp các kỹ thuật và phương pháp được sử dụng để phát hiện các hành vi đáng ngờ cả ở cấp độ mạng và máy chủ hệ thống phát hiện xâm nhập phân thành hai loại cơ bản:
Kẻ tấn công có những dấu hiệu, giống như là virus, có thể được phát hiện bằng cách sử dụng phần mềm bằng cách tìm ra dữ liệu của gói tin mà có chứa bất kì dấu hiệu xâm nhập hoặc dị thường được biết đến dựa trên một tập hợp các dấu hiệu (signatures) hoặc các qui tắc (rules). Hệ thống phát hiện có thể dò tìm, ghi lại các hoạt động đáng ngờ này và đưa ra các cảnh báo. Anomaly-based IDS thường dựa vào phần header giao thức của gói tin được cho là bất thường Trong một số trường hợp các phương pháp có kết quả tốt hơn với Signature-based IDS thông thường IDS sẽ bắt lấy các gói tin trên mạng và đối chiếu với các rule để tìm ra các dấu hiệu bất thường của gói tin. 2.1.1 Chính sách của IDS. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng”Trước khi cài đặt một hệ thống IDS lên hệ thống thì cần phải có một chính sách để phát hiện kẻ tấn công và cách xử lý khi phát hiện ra các hoạt động tấn công bằng cách nào đó chúng phải được áp dụng các chính sách cần chứa các phần sau (có thể thêm tùy theo yêu cầu của từng hệ thống):
2.1.2 Kiến trúc hệ thống phát hiện xâm nhập.Kiến trúc của một hệ thống IDS bao gồm các thành phần chính sau: Thành phần thu thập gói tin (information collection), thành phần phân tích gói tin (detection) và thành phần phản hồi (response). Trong ba thành phần này, thành phần phân tích gói tin là quan trọng nhất và bộ cảm biến (sensor) đóng vai trò quan quyết định nên cần được phân tích để hiểu rõ hơn về kiến trúc của một hệ thống phát hiện xâm nhập. Bộ cảm biến được tích hợp với thành phần sưu tập dữ liệu bộ tạo sự kiện cách sưu tập này được xác định bởi chính sách tạo sự kiện để định nghĩa chế độ lọc thông tin sự kiện bộ tạo sự kiện (hệ điều hành, mạng, ứng dụng) cung cấp một số chính sách thích hợp cho các sự kiện, có thể là một bản ghi các sự kiện của hệ thống hoặc các gói mạng số chính sách này cùng với thông tin chính sách có thể được lưu trong hệ thống được bảo vệ hoặc bên ngoài. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” Vai trò của bộ cảm biến là dùng để lọc thông tin và loại bỏ dữ liệu không tương thích đạt được từ các sự kiện liên quan với hệ thống bảo vệ, vì vậy có thể phát hiện được các hành động nghi ngờ bộ phân tích sử dụng cơ sở dữ liệu chính sách phát hiện cho mục này. Ngoài ra còn có các thành phần: dấu hiệu tấn công, profile hành vi thông thường, các tham số cần thiết (ví dụ: các ngưỡng) thêm vào đó, cơ sở dữ liệu giữ các tham số cấu hình, gồm có các chế độ truyền thông với module đáp trả bộ cảm biến cũng có cơ sở dữ liệu của riêng nó, gồm dữ liệu lưu về các xâm phạm phức tạp tiềm ẩn (tạo ra từ nhiều hành động khác nhau). IDS có thể được sắp đặt tập trung (ví dụ như được tích hợp vào trong tường lửa) hoặc phân tán. Một IDS phân tán gồm nhiều IDS khác nhau trên một mạng lớn, tất cả chúng truyền thông với nhau nhiều hệ thống tinh vi đi theo nguyên lý cấu trúc một tác nhân, nơi các module nhỏ được tổ chức trên một host trong mạng được bảo vệ. Vai trò của tác nhân là để kiểm tra và lọc tất cả các hành động bên trong vùng được bảo vệ và phụ thuộc vào phương pháp được đưa ra tạo phân tích bước đầu và thậm chí đảm trách cả hành động đáp trả mạng các tác nhân hợp tác báo cáo đến máy chủ phân tích trung tâm là một trong những thành phần quan trọng của IDS DIDS có thể sử dụng nhiều công cụ phân tích tinh hơn, đặc biệt được trang bị sự phát hiện các tấn công phân tán. Các vai trò khác của tác nhân liên quan đến khả năng lưu động và tính roaming của nó trong các vị trí vật lý thêm vào đó, các tác nhân có thể đặc biệt dành cho việc phát hiện dấu hiệu tấn công đã biết nào đó đây là một hệ số quyết định khi nói đến nghĩa vụ bảo vệ liên quan đến các kiểu tấn công mới. Giải pháp kiến trúc đa tác nhân được đưa ra năm 1994 là AAFID (các tác nhân tự trị cho việc phát hiện xâm phạm) Nó sử dụng các tác nhân để kiểm tra một khía cạnh nào đó về các hành vi hệ thống ở một thời điểm nào đó. Ví dụ: một tác nhân có thể cho biết một số không bình thường các telnet session bên trong hệ thống nó kiểm tra tác nhân có khả năng đưa ra một cảnh báo khi phát hiện một sự kiện khả nghi các tác nhân có thể được nhái và thay đổi bên trong các hệ thống khác (tính năng tự trị). Một phần trong các tác nhân, hệ thống có thể có các bộ phận thu phát để kiểm tra tất cả các hành động được kiểm soát bởi các tác nhân ở một host cụ thể nào đó các bộ thu nhận luôn luôn gửi các kết quả hoạt động của chúng đến bộ kiểm tra duy nhất các bộ kiểm tra nhận thông tin từ các mạng (không chủ từ một host), điều đó có nghĩa là chúng có thể tương quan với thông tin phân tán. Thêm vào đó một số bộ lọc có thể được đưa ra để chọn lọc và thu thập dữ liệu. 2.1.3 Phân loại hệ thống phát hiện xâm nhập. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng”Cách thông thường nhất để phân loại các hệ thống IDS là dựa vào đặc điểm của nguồn dữ liệu thu thập được. Trong trường hợp này, các hệ thống IDS được chia thành các loại sau:
2.1.3.1 Giám sát toàn bộ mạng NIDS (Network based IDS) NIDS là một hệ thống phát hiện xâm nhập bằng cách thu thập dữ liệu của các gói tin lưu thông trên các phương tiện truyền dẫn như (cables, wireless) bằng cách sử dụng các card giao tiếp. Khi một gói dữ liệu phù hợp với qui tắc của hệ thống, một cảnh báo được tạo ra để thông báo đến nhà quản trị và các file log được lưu vào cơ sở dữ liệu. Trong hình thức này NIDS xác định các truy cập trái phép bằng việc giám sát các hoạt động mạng được tiến hành trên toàn bộ các phân mạng của hệ thống, NIDS sử dụng bộ dò và bộ cảm biến cài đặt trên toàn mạng. Những bộ dò này theo dõi trên mạng nhằm tìm kiếm những lưu lượng trùng với những mô tả sơ lược được định nghĩa hay là những dấu hiệu. Khi ghi nhận được một mẫu lưu lượng hay dấu hiệu, bộ cảm biến gửi tín hiệu cảnh báo đến trung tâm điều khiển và có thể được cấu hình nhằm tìm ra biện pháp ngăn chặn những xâm nhập xa hơn. NIDS là tập nhiều sensor được đặt ở toàn mạng để theo dõi những gói tin trong mạng, so sánh với các mẫu đã được định nghĩa để phát hiện đó là tấn công hay không.
Một NIDS truyền thống với hai bộ cảm biến trên các đoạn mạng khác nhau cùng giao tiếp với một trạm kiểm soát. Ưu điểm “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng”
Nhược điểm
2.1.3.2 Giám sát máy tính đơn lẻ HIDS (Host based IDS) HIDS là hệ thống phát hiện xâm nhập được cài đặt trên các máy tính (host) HIDS cài đặt trên nhiều kiểu máy chủ khác nhau, trên máy trạm làm việc hoặc máy notebook HIDS cho phép thực hiện một cách linh hoạt trên các phân đoạn mạng mà NIDS không thực hiện được. Lưu lượng đã gửi đến host được phân tích và chuyển qua host nếu chúng không tiềm ẩn các mã nguy hiểm HIDS cụ thể hơn với các nền ứng dụng và phục vụ mạnh mẽ cho hệ điều hành. Nhiệm vụ chính của HIDS là giám sát sự thay đổi trên hệ thống. Host-based IDS tìm kiếm dấu hiệu của xâm nhập vào một host cục bộ; thường sử dụng các cơ chế kiểm tra và phân tích các thông tin được logging. Nó tìm kiếm các hoạt động bất thường như login, truy nhập file không thích hợp, bước leo thang các đặc quyền không được chấp nhận. “Đồ án: Hệ thống phát hiện cảnh báo nguy cơ tấn công mạng” Kiến trúc IDS này thường dựa trên các luật (rule-based) để phân tích các hoạt động. Ví dụ đặc quyền của người sử dụng cấp cao chỉ có thể đạt được thông qua lệnh su-select user, như vậy những cố gắng liên tục để login vào account root có thể được coi là một cuộc tấn công. Bằng cách cài đặt một phần mềm trên tất cả các máy tính chủ, IDS dựa trên máy chủ quan sát tất cả những hoạt động hệ thống, như các file log và những lưu lượng mạng thu thập được. Hệ thống dựa trên máy chủ cũng theo dõi OS, những cuộc gọi hệ thống, lịch sử sổ sách (audit log) và những thông điệp báo lỗi trên hệ thống máy chủ. Trong khi những đầu dò của mạng có thể phát hiện một cuộc tấn công, thì chỉ có hệ thống dựa trên máy chủ mới có thể xác định xem cuộc tấn công có thành công hay không. HIDS thường được cài đặt trên một máy tính nhất định. Thay vì giám sát hoạt động của một Network segment, HIDS chỉ giám sát các hoạt động trên một máy tính. Nó thường được đặt trên các Host xung yếu của tổ chức, và các server trong vùng DMZ. thường là mục tiêu tấn công đầu tiên. Nhiệm vụ chính của HIDS là giám sát các thay đổi trên hệ thống, bao gồm:
Ưu điểm
Nhược điểm
Dịch Vụ Viết Luận Văn 24/7 Chuyên cung cấp dịch vụ làm luận văn thạc sĩ, báo cáo tốt nghiệp, khóa luận tốt nghiệp, chuyên đề tốt nghiệp và Làm Tiểu Luận Môn luôn luôn uy tín hàng đầu. Dịch Vụ Viết Luận Văn 24/7 luôn đặt lợi ích của các bạn học viên là ưu tiên hàng đầu. Rất mong được hỗ trợ các bạn học viên khi làm bài tốt nghiệp. Hãy liên hệ ngay Dịch Vụ Viết Luận Văn qua Website: https://dichvuvietluanvan.com/ – Hoặc Gmail: Post Views: 94 Ngay cả khi chúng ta có ý định tốt nhất và làm việc chăm chỉ để giữ cho hệ thống của chúng ta được bảo vệ, con người vẫn có thể sai lầm.Tin tặc biết điều này, điều này có thể dẫn đến việc tạo ra các hợp kim phức tạp và thuyết phục được sử dụng để lừa người dùng cuối của bạn để tiết lộ thông tin đăng nhập, cho phép tin tặc truy cập vào hệ thống của bạn. Vì lý do này, nó rất cần thiết cho bất kỳ tổ chức nào sử dụng mạng để gửi và lưu trữ dữ liệu nhạy cảm để có ít nhất một hình thức bảo vệ (nếu không nhiều hơn) tại chỗ, đặc biệt là vì không có hệ thống nào là bất khả xâm phạm 100%. Phần mềm phát hiện xâm nhập là một phần quan trọng của câu đố bảo mật này.Kiểm tra hướng dẫn cuối cùng này về các hệ thống phát hiện xâm nhập dựa trên máy chủ (HIDS), chẳng hạn như sự khác biệt giữa HID và Hệ thống phát hiện xâm nhập mạng (NID), xác định các thuật ngữ bảo mật quan trọng mà bạn có thể chạy trong nghiên cứu của mình và cung cấp tám đánh giá tập trung vào tính năng tập trungcủa các giải pháp phát hiện hàng đầu trên thị trường hiện nay (bao gồm các lý do tại sao SolarWinds® Security Event Manager là lựa chọn hàng đầu của tôi cho hệ thống phát hiện xâm nhập tốt nhất). Hids là gì?HIDS so với NIDS: Điều gì khác biệt?Phương pháp phát hiện HID và NIDS phổ biến Làm thế nào để một hệ thống phát hiện xâm nhập dựa trên máy chủ hoạt động?8 Công cụ HIDS và NIDS tốt nhất nhưng chờ đợi hệ thống phòng ngừa xâm nhập là gì?HIDS và SIEM liên quan như thế nào?Các định nghĩa bổ sung để biết: APT, ATP và mối đe dọa Trí thông minh Hình ảnh lớn: Tại sao các tệp nhật ký lại quan trọng?Làm thế nào để bạn duy trì bảo mật của các tệp nhật ký của bạn?Công cụ phát hiện mối đe dọa nào phù hợp với tôi? Hids là gì?HIDS là viết tắt của hệ thống phát hiện xâm nhập dựa trên máy chủ, một ứng dụng giám sát máy tính hoặc mạng cho hoạt động đáng ngờ, có thể bao gồm các cuộc xâm nhập của các tác nhân bên ngoài cũng như lạm dụng tài nguyên hoặc dữ liệu bởi các tài nguyên bên trong.host-based intrusion detection system,” an application monitoring a computer or network for suspicious activity, which can include intrusions by external actors as well as misuse of resources or data by internal ones. Làm thế nào để một hệ thống phát hiện xâm nhập dựa trên máy chủ hoạt động?Giống như một hệ thống bảo mật gia đình, phần mềm HID ghi lại hoạt động đáng ngờ và báo cáo nó cho các quản trị viên quản lý các thiết bị hoặc mạng. & NBSP;logs the suspicious activity and reports it to the administrators managing the devices or networks. Hầu hết các ứng dụng chạy trên thiết bị và mạng tạo thông điệp nhật ký của các hoạt động và chức năng được thực hiện trong khi phiên đang hoạt động.Nếu bạn đang thu thập và tổ chức tất cả các tệp nhật ký khác nhau từ tất cả các ứng dụng khác nhau, điều này có thể nhanh chóng trở nên khó sử dụng và thoát khỏi tài nguyên của bạn, đó là một lượng lớn dữ liệu để theo dõi.Đó là nơi mà các hệ thống phát hiện xâm nhập dựa trên máy chủ đi vào hình ảnh. Các công cụ HIDS giám sát các tệp nhật ký được tạo bởi các ứng dụng của bạn, tạo ra một bản ghi lịch sử về các hoạt động và chức năng cho phép bạn nhanh chóng tìm kiếm chúng về sự bất thường và có thể xảy ra sự xâm nhập.Họ cũng biên dịch các tệp nhật ký của bạn và cho phép bạn giữ chúng được tổ chức theo cách căn chỉnh với cấu trúc thư mục của máy chủ tệp nhật ký của bạn, giúp dễ dàng tìm kiếm hoặc sắp xếp các tệp theo ứng dụng, ngày hoặc các số liệu khác. They also compile your log files and let you keep them organized in ways aligning with the directory structure of your log file server, making it easy to search or sort the files by application, date, or other metrics. Chức năng chính của các công cụ HIDS là phát hiện tự động, giúp bạn tiết kiệm nhu cầu sắp xếp thông qua các tệp nhật ký cho hành vi bất thường khi chúng được tổ chức và biên dịch.HIDS sử dụng các quy tắc và chính sách, một số trong số đó được đặt trước nhưng thường có thể được sửa đổi và cập nhật để phù hợp với tổ chức của bạn.key function of HIDS tools is automated detection, which saves you the need to sort through the log files for unusual behavior once they’re organized and compiled. HIDSs use rules and policies—some of which are preset but can usually be modified and updated to suit your organization’s specific needs—to search your log files, flagging those with events or activity the rules have determined could be indicative of potentially malicious behavior. Mặc dù các quản trị viên CNTT sẽ luôn là những người quen thuộc nhất với các hoạt động hệ thống của họ và do đó, có thể điều chỉnh các quy tắc mà HIDS của họ sử dụng khi quét các tệp nhật ký, tôi cũng khuyên bạnđược viết bởi các chuyên gia bảo mật để giúp xác định các dấu hiệu xâm nhập chung.Giữ cho các chính sách của bạn được cập nhật là vô cùng quan trọng.Toàn bộ mục đích của phần mềm HIDS là làm cho quá trình phát hiện dễ dàng hơn đối với các quản trị viên, giải phóng các tài nguyên nhóm của bạn để đối phó với các trách nhiệm hàng ngày khác.HIDSs use when scanning the log files, I recommend also making the most of the preset policies included with your HIDS, as these have often been written by security experts to help identify common signs of intrusion. Keeping your HIDS policies up to date is incredibly important. The entire purpose of HIDS software is to make the detection process easier for administrators, freeing up your team’s resources to deal with other day-to-day responsibilities. Trở lại đầu trang HIDS so với NIDS: Điều gì khác biệt?Mặc dù các hệ thống phát hiện xâm nhập dựa trên máy chủ là không thể thiếu để giữ một tuyến phòng thủ mạnh mẽ chống lại các mối đe dọa hack, nhưng chúng không phải là phương tiện duy nhất để bảo vệ các tệp nhật ký của bạn.Các hệ thống phát hiện xâm nhập dựa trên mạng, hoặc NIDS, là một lựa chọn khác. Hãy để đi sâu vào sự khác biệt.Đầu tiên, một màn hình IDS dựa trên máy chủ?Như bạn có thể nói từ tên, HIDS giám sát lưu lượng và hoạt động đáng ngờ trên cơ sở hạ tầng máy tính cụ thể mà họ đã cài đặt.NIDSS, mặt khác, giám sát lưu lượng và hoạt động dựa trên mạng.Cả hai hệ thống hoạt động bằng cách khảo sát các thông điệp nhật ký và sự kiện mà hệ thống tạo ra, nhưng NIDSS cũng kiểm tra dữ liệu gói khi thông tin di chuyển trên mạng.Một cách khác, hai hình thức hệ thống phát hiện xâm nhập khác nhau là: NIDSS hoạt động nhiều hơn trong thời gian thực, theo dõi dữ liệu trực tiếp cho các dấu hiệu giả mạo, trong khi HIDS kiểm tra các tệp đã ghi để biết bằng chứng về hoạt động độc hại.HIDSs monitor the traffic and suspicious activity on the specific computer infrastructure they’re installed on. NIDSs, on the other hand, monitor network-based traffic and activity. Both systems work by surveying log and event messages the system generates, but NIDSs also examine packet data as information moves across a network. Another way the two forms of intrusion detection system differ is: NIDSs work more in real time, tracking live data for signs of tampering, while HIDSs check logged files for evidence of malicious activity. Một chế độ bảo mật vững chắc sẽ bao gồm cả HIDS và NIDS, vì chúng làm việc cùng nhau theo cách có nghĩa là bổ sung.NIDSS cho phép thời gian phản hồi nhanh hơn với các mối đe dọa bảo mật tiềm năng, vì giám sát dữ liệu gói thời gian thực có thể kích hoạt cảnh báo nếu có điều gì đó đáng ngờ xảy ra.HIDSS cho phép bạn kiểm tra dữ liệu lịch sử cho các mô hình hoạt động, rất hữu ích cho các tin tặc hiểu biết, những người thường thay đổi phương pháp xâm nhập của họ là khó đoán hơn và do đó ít được truy tìm hơn.Có hồ sơ hoạt động lịch sử cho phép bạn kiểm tra các hành vi độc hại có khả năng từ một hình ảnh lớn, quan điểm mắt chim, cho bạn khả năng xác định các mẫu có thể không kích hoạt cảnh báo trong các hệ thống phát hiện thời gian thực, chi tiết.Việc thực hiện cả hai loại hệ thống phát hiện xâm nhập cùng giúp giữ an toàn cho dữ liệu của bạn khỏi nhiều góc độ khác nhau., as they work together in a way meant to be complementary. NIDSs allow for faster response times to potential security threats, as real-time packet data monitoring can trigger alerts if something suspicious occurs. HIDSs allow you to examine historical data for patterns of activity, which is useful for savvy hackers who often vary their methods of intrusion to be more unpredictable and therefore less easily traced. Having the historical record of activity allows you to examine potentially malicious behavior from a big-picture, bird’s-eye view, giving you the ability to identify patterns that might not trigger alerts in granular, real-time detection systems. Implementing both types of intrusion detection system jointly helps to keep your data secure from several different angles. Phương pháp phát hiện HIDS và NIDS phổ biếnCó hai phương tiện mà HIDSS và NIDSS thực hiện phát hiện xâm nhập thực tế trên các hệ thống của bạn: sự bất thường và chữ ký.Mỗi loại ID có thể sử dụng chiến lược, mang lại cho mỗi tùy chọn một số lợi thế nhất định. anomalies and signatures. Each type of IDS can employ either strategy, which gives each option certain advantages. Phát hiện dựa trên bất thường cho hoạt động bất thường hoặc bất thường do người dùng hoặc quy trình gây ra.Chẳng hạn, nếu mạng của bạn được truy cập với thông tin đăng nhập tương tự từ một số thành phố khác nhau trên toàn cầu trong cùng một ngày, thì đó có thể là một dấu hiệu của hành vi dị thường.Một HID bằng cách sử dụng các khảo sát phát hiện dựa trên dị thường các tệp nhật ký cho các chỉ dẫn về hành vi bất ngờ, trong khi một NIDS theo dõi các dị thường trong thời gian thực. looks for unusual or irregular activity caused by users or processes. For instance, if your network was accessed with the same login credentials from several different cities around the globe all in the same day, it could be a sign of anomalous behavior. A HIDS using anomaly-based detection surveys log files for indications of unexpected behavior, while a NIDS monitors for the anomalies in real time. Hình thức phát hiện dựa trên chữ ký theo dõi dữ liệu cho các mẫu.HIDS chạy phát hiện dựa trên chữ ký hoạt động tương tự như các ứng dụng chống vi-rút, tìm kiếm các mẫu bit hoặc từ khóa trong các tệp chương trình bằng cách thực hiện các lần quét tương tự trên các tệp nhật ký.Mặt khác, NIDS dựa trên chữ ký, hoạt động giống như tường lửa, ngoại trừ nơi tường lửa chạy kiểm tra các từ khóa, loại gói và hoạt động giao thức nhập hoặc thoát mạng, NIDS chạy kiểm tra tương tự khi di chuyển lưu lượng trong mạng.. HIDSs running signature-based detection work somewhat similarly to antivirus applications—which search for bit patterns or keywords in program files—by performing similar scans on log files. Signature-based NIDSs, on the other hand, function more like firewalls, except where firewalls run checks on keywords, packet types, and protocol activity entering or exiting the network, NIDSs run similar checks on traffic moving within the network. Giống như lựa chọn giữa ID dựa trên máy chủ và ID dựa trên mạng, các chiến lược phát hiện dựa trên đặc trưng và bất thường không phải là loại trừ lẫn nhau.Mỗi hệ thống bổ sung cho hệ thống khác, tạo ra một hệ thống phát hiện xâm nhập toàn diện hơn. Trở lại đầu trang Ngay cả các mạng nhỏ hơn cũng có thể tạo ra một lượng dữ liệu nhật ký đáng kể mỗi ngày, điều đó có nghĩa là bạn sẽ cần một HID có khả năng sắp xếp và tìm kiếm thông qua một lượng lớn dữ liệu một cách nhanh chóng.Một công cụ HIDS chậm đã giành được bạn rất nhiều, vì nó có thể không thể theo kịp khối lượng thông tin mà máy chủ nhật ký của bạn tích lũy mỗi ngày.Mặc dù một giao diện hoặc bảng điều khiển bóng bẩy có thể hấp dẫn, nhưng nó không đáng để gặp rắc rối của các chức năng tìm kiếm laggy.Các công cụ HIDS tốt nhất sẽ mang lại cho bạn những điều tốt nhất của cả hai thế giới, giám sát và giao diện trực quan để làm cho công việc của bạn dễ dàng hơn. Tôi đã tạo ra danh sách những gì tôi nghĩ là một số tùy chọn phần mềm HIDS tốt nhất, với một vài công cụ NIDS được đưa vào để có biện pháp tốt.Một số công cụ được liệt kê ở đây là miễn phí, điều đó có nghĩa là chúng có thể không có cùng các tính năng mà các tùy chọn trả phí có.Tuy nhiên, tôi đã bao gồm chúng vì làm việc đặc biệt nhanh như thế nào.Một số công cụ cũng toàn diện hơn nhiều, trong khi những công cụ khác chỉ được thiết kế để tuân thủ các tiêu chuẩn bảo mật dữ liệu nhất định.Nhu cầu cụ thể của bạn - và kích thước của các hệ thống bạn đang tìm kiếm để theo dõi - sẽ giúp xác định công cụ nào phù hợp nhất cho công ty của bạn.the best HIDS software options, with a few NIDS tools thrown in for good measure. Some of the tools listed here are free, which means they might not have the same features the paid options have. However, I included them because of how exceptionally fast they work. Some of the tools are also much more comprehensive, while others are designed solely to comply with certain data security standards. Your specific needs — and the size of the systems you are looking to monitor — will help determine which tools are the best fit for your company. 1. Người quản lý sự kiện bảo mật năng lượng mặt trờiSolarWinds Security Event Manager (SEM) là một nơi ẩn náu với một đội hình mạnh mẽ của các công cụ khắc phục mối đe dọa tự động, nếu bạn đã chú ý đến các từ viết tắt, về mặt kỹ thuật sẽ làm cho tùy chọn này trở thành IPS.Nó cũng đi kèm với một bộ công cụ của các tính năng quản lý nhật ký hữu ích.Trình quản lý sự kiện bảo mật giúp dễ dàng theo dõi, chuyển tiếp, sao lưu hoặc lưu trữ các tệp nhật ký và bao gồm mã hóa quá cảnh và lưu trữ tích hợp.Security Event Manager makes it easy to constantly monitor, forward, back up, or archive log files, and includes built-in transit and storage encryption. Tôi thực sự thích các sản phẩm của Solarwinds cho các hệ thống cảnh báo tự động của họ, không chỉ hiệu quả mà còn có thể tùy chỉnh, có nghĩa là bạn không phải thực hiện kiểm tra bằng tay trừ khi bạn muốn: Ngoài các tính năng tự động, công cụ này bao gồm tùy chọn choChạy kiểm tra thủ công trên tính toàn vẹn dữ liệu.Nó cũng sử dụng một hệ thống phân tích nhật ký tập trung để phát hiện hoạt động APT tiềm năng.Kéo và phân tích dữ liệu từ các hệ thống trên mạng, phần mềm tạo ra một môi trường giám sát gắn kết để theo dõi các dấu hiệu của các cuộc tấn công mạng APT để bắt nguồn từ chúng.running manual checks on data integrity. It also uses a centralized log analysis system to detect potential APT activity. Pulling and analyzing data from systems across the network, the software creates a cohesive monitoring environment to track down the signs of APT cyberattacks to root them out. Một tính năng hữu ích khác là khả năng chạy các báo cáo kiểm toán để kiểm tra mức độ phù hợp của bạn với một loạt các tiêu chuẩn bảo mật dữ liệu và tính toàn vẹn, bao gồm PCI DSS, SOX, HIPAA, ISO, NCUA, FISMA, FERPA, GLBA, NERC CIP, GPG13, và disa stig.Solarwinds SEM có thể thu thập dữ liệu nhật ký từ hầu hết các hệ điều hành, bao gồm Linux và Unix, mặc dù nó chỉ có thể được cài đặt trên máy chủ Windows.Tuy nhiên, nó sẽ thu thập dữ liệu nhật ký từ các hệ điều hành khác, bao gồm Linux và Unix.PCI DSS, SOX, HIPAA, ISO, NCUA, FISMA, FERPA, GLBA, NERC CIP, GPG13, and DISA STIG. SolarWinds SEM can collect log data from most operating systems, including Linux and Unix, though it can only be installed on Windows servers. It will, however, collect log data from other operating systems, including Linux and Unix. Nói chung, SEM là một hệ thống phát hiện xâm nhập cực kỳ toàn diện cho chức năng và tùy chỉnh với các công cụ bảo mật mạnh mẽ.Bạn cũng có thể tải xuống bản dùng thử miễn phí trong 30 ngày để kiểm tra nó trước khi mua. 2. OssecTheo tôi, ứng dụng miễn phí này là một trong những tùy chọn nguồn mở tốt nhất hiện có.Mặc dù về mặt kỹ thuật là một HID, nó cũng cung cấp một vài công cụ giám sát hệ thống mà bạn có nhiều khả năng tìm thấy trong một NIDS.Khi nói đến dữ liệu nhật ký, OSSEC là một bộ xử lý cực kỳ hiệu quả, nhưng nó không có giao diện người dùng.Bạn có thể hiểu được điều này bằng cách chạy một bảng điều khiển nguồn mở như Kibana hoặc Graylog.best open-source options available. While technically a HIDS, it also offers a few system monitoring tools you’d be more likely to find in a NIDS. When it comes to log data, OSSEC is an incredibly efficient processor, but it doesn’t have a user interface. You can get around this by running an open-source dashboard like Kibana or Graylog. OSSEC tổ chức và sắp xếp các tệp nhật ký của bạn và sử dụng các chiến lược và chính sách phát hiện dựa trên dị thường.Bởi vì nó là một ứng dụng nguồn mở, bạn cũng có thể tải xuống các bộ quy tắc tình báo đe dọa được xác định trước từ cộng đồng người dùng khác đã cài đặt OSSEC.Nếu bạn cần hỗ trợ kỹ thuật, trợ giúp từ cộng đồng người dùng đang hoạt động được truy cập miễn phí và xu hướng Micro Micro tạo ra OSSEC, cũng cung cấp gói hỗ trợ chuyên nghiệp với chi phí.organizes and sorts your log files and uses anomaly-based detection strategies and policies. Because it’s an open-source application, you can also download predefined threat intelligence rule sets from the community of other users who have OSSEC installed. If you need technical support, help from the active user community is free to access, and Trend Micro—which produces OSSEC—also offers a professional support package for a cost. OSSEC có thể được cài đặt trên nhiều hệ điều hành, bao gồm Windows, Linux, Unix và Mac OS.Công cụ giám sát nhật ký sự kiện và sổ đăng ký cho các hệ thống Windows và trên các hệ điều hành khác, nó sẽ bảo vệ tài khoản gốc.OSSEC cũng cung cấp các chức năng báo cáo tuân thủ và các phương pháp phát hiện tệp nhật ký của nó quét cho hành vi bất thường hoặc các thay đổi trái phép có thể gây ra các vấn đề tuân thủ cụ thể.Windows, Linux, Unix, and Mac OS. The tool monitors event logs and the registry for Windows systems, and on the other operating systems, it’ll guard the root account. OSSEC offers compliance reporting functions as well, and its log file detection methods scan for unusual behavior or unauthorized changes that could specifically cause compliance issues. Trở lại đầu trang 3. Solarwinds PapertrailPapertrail ™ là một sản phẩm khác của Solarwinds và nó khác một chút so với các HID hoặc NID thông thường của bạn.Dịch vụ quản lý dựa trên đám mây này tổng hợp các tệp nhật ký của bạn và lưu trữ chúng, vì vậy bạn không phải lo lắng về khối lượng lưu trữ dữ liệu nhật ký trên hệ thống của bạn.Bằng cách tập trung lưu trữ tệp nhật ký, Papertrail cung cấp quyền truy cập dễ dàng và các chức năng tìm kiếm nhanh chóng cho toàn bộ lưu trữ dữ liệu của bạn.typical HIDS or NIDS. This cloud-based management service aggregates your log files and stores them, so you don’t have to worry about volumes of log data eating up storage on your systems. By centralizing log file storage, Papertrail provides easy access and rapid search functions for your entire data archive. Công cụ này sử dụng cả chiến lược phát hiện dựa trên dị thường và chữ ký có thể quản lý nhiều loại tệp khác nhau (bao gồm nhật ký sự kiện Windows, thông báo tường lửa và hơn thế nữa) và gửi các bản cập nhật chính sách tình báo đe dọa với thông tin mới được học từ các cuộc tấn công mạng đã cố gắng cho người dùng khác. Giống như các sản phẩm khác của Solarwinds, PaperTrail cho phép bạn tạo và sửa đổi các quy tắc và chính sách của riêng bạn.PaperTrail mã hóa dữ liệu nhật ký cho dù trong quá trình vận chuyển hay trong kho và yêu cầu xác thực để truy cập các tệp, vì vậy nếu có bất kỳ nỗ lực xâm phạm nào được thực hiện, bạn sẽ được cung cấp một báo cáo chi tiết thông tin đăng nhập được sử dụng.Có một số tầng đăng ký để lưu trữ giấy tờ, bao gồm một tùy chọn miễn phí, vì vậy bạn có thể điều chỉnh các kế hoạch định giá phù hợp với quy mô của công ty bạn.Papertrail encrypts log data whether in transit or in storage, and requires authentication to access the files, so if any intrusive attempts are made, you’ll be provided with a report detailing whose credentials were used. There are several subscription tiers for Papertrail storage, including a free option, so you can tailor pricing plans to suit the size of your company. 4. Phân tích EventLog ManageEngineManagementEngine EventLog Phân tích là một ứng dụng bảo mật toàn diện với cả khả năng HID và NIDS.Nó cũng tập trung các tệp nhật ký và siêu dữ liệu của bạn ở một vị trí và nếu phát hiện các tệp nhật ký đã bị thay đổi không phù hợp, bạn có thể tự động khôi phục các tệp nhật ký của mình từ các bản sao lưu.Tương tự như PaperTrail, Trình phân tích EventLog bảo vệ các tệp nhật ký với các giao thức mã hóa và nén và yêu cầu xác thực người dùng để truy cập dữ liệu. both HIDS and NIDS capabilities. It also centralizes your log files and metadata in one location, and if it detects log files have been altered inappropriately, you can automatically restore your log files from backups. Similar to Papertrail, EventLog Analyzer protects log files with encryption and compression protocols and requires user authentication to access the data. Một lợi ích khác của sản phẩm này là bảng điều khiển có thể tùy chỉnh, cho phép bạn tạo các màn hình khác nhau và điều chỉnh các tính năng nào được gán cho các nhóm người dùng khác nhau, từ đó điều chỉnh việc thu thập dữ liệu của bạn để phù hợp với những gì có liên quan hoặc quan trọng nhất để duy trì các tiêu chuẩn bảo mật của doanh nghiệp.EventLog cũng cung cấp các khả năng báo cáo và cho phép bạn tạo báo cáo tuân thủ cho một số tiêu chuẩn bảo mật dữ liệu, bao gồm PCI DSS, FISMA, GLBA, SOX, HIPAA và các tiêu chuẩn khác.Các báo cáo tuân thủ cũng có thể tùy chỉnh, vì vậy bạn có thể điều chỉnh các báo cáo hiện tại để đáp ứng các yêu cầu của các hành vi điều tiết mới hoặc sắp tới.features are assigned to different user groups, thereby tailoring your data collection to align with what’s most relevant or important for maintaining your business’s security standards. EventLog provides reporting capabilities as well and lets you create compliance reports for a number of data security standards, including PCI DSS, FISMA, GLBA, SOX, HIPAA, and others. The compliance reports are also customizable, so you can adjust existing reports to meet the requirements of new or upcoming regulatory acts. Máy phân tích EventLog có thể được cài đặt trên Windows hoặc Linux và dễ dàng tích hợp với các công cụ quản lý cơ sở hạ tầng ManageEngine, giúp bạn kiểm soát và giám sát nhiều hơn về hiệu suất và chức năng mạng của bạn.Theo như giá cả, năm thiết bị đầu tiên của bạn có thể theo dõi một lợi thế tốt đẹp nếu bạn đang chạy mạng ở nhà hoặc cho một doanh nghiệp rất nhỏ.Những người quản lý các mạng lớn hơn có thể yêu cầu báo giá trên trang web của ManageEngine. 5. SplunkCó một số phiên bản của Splunk có sẵn, từ ứng dụng cơ sở miễn phí, đây là một HIDS dựa trên dị thường tuyệt vời cho đến các tùy chọn trả tiền với nhiều tính năng NIDS khác nhau.Các phiên bản trả phí của Splunk, bao gồm các tùy chọn dựa trên đám mây, cung cấp các tính năng tự động để phản hồi ngay lập tức các mối đe dọa được phát hiện, cung cấp cho chúng các khả năng IPS.Splunk cũng tự hào có một giao diện người dùng và bảng điều khiển tuyệt vời với trực quan hóa hữu ích.The paid versions of Splunk, which include cloud-based options, offer automated features to respond immediately to detected threats, giving them IPS capabilities. Splunk also boasts an excellent user interface and dashboard with useful visualizations. Tất cả các phiên bản của Splunk có thể được cài đặt trên các hệ điều hành Windows, Linux và Mac và mỗi phiên bản bao gồm một trình phân tích dữ liệu mạnh mẽ để dễ dàng phân loại và tìm kiếm thông qua dữ liệu nhật ký của bạn.Các giai đoạn dùng thử miễn phí khác nhau có sẵn cho các tầng khác nhau của Splunk, cho phép bạn thử trước khi mua.Windows, Linux, and Mac operating systems, and each includes a strong data analyzer for easy sorting and searching through your log data. Different free trial periods are available for the different tiers of Splunk, allowing you to try before you buy. Trở lại đầu trang 6. SaganSagan là một tùy chọn miễn phí khác sử dụng cả chiến lược phát hiện dựa trên bất thường và chữ ký.Sagan có thể tùy chỉnh và cho phép bạn xác định các hành động tự động để ứng dụng thực hiện khi dự phòng xâm nhập được kích hoạt.Nó có một số công cụ mà các HIDS khác không cung cấp, bao gồm tính năng định vị địa lý IP để tạo cảnh báo nếu hoạt động từ nhiều địa chỉ IP dường như xuất phát từ cùng một vị trí địa lý.Sagan cũng cho phép thực thi tập lệnh, có nghĩa là nó có thể hoạt động giống như IPS.anomaly- and signature-based detection strategies. Sagan is customizable and allows you to define automatic actions for the application to take when an intrusion contingency is triggered. It has a number of tools other HIDSs don’t offer, including an IP geolocation feature to create alerts if activity from multiple IP addresses appears to be stemming from the same geographical location. Sagan also allows for script execution, which means it can function more like an IPS. Sagan được viết để dễ dàng tích hợp với Snort, một nids (xem bên dưới) và khi được ghép nối với nhau, chúng tạo ra một combo HIDS và NIDS mạnh mẽ, mạnh mẽ. Mặc dù Sagan chỉ có thể được cài đặt trên các hệ điều hành Linux, UNIX và MAC, nhưng nó vẫn có thể thu thập các tin nhắn nhật ký sự kiện Windows và nó là một tùy chọn tương đối nhẹ và giành được quá đánh thuế trên máy chủ CPU của bạn. 7. SnortSnort là một ứng dụng NIDS nguồn mở tuyệt vời đầy đủ các tính năng.Nó không chỉ hoạt động như một công cụ phát hiện xâm nhập mạnh mẽ, mà còn bao gồm chức năng đánh hơi và ghi nhật ký gói.open-source NIDS application chock-full of features. Not only does it work as a robust intrusion detection tool, but it also includes packet sniffing and logging functionality. Tương tự như cách OSSEC cho phép bạn tải xuống các quy tắc và chính sách từ cộng đồng người dùng, các quy tắc được xác định trước để khịt mũi có sẵn trên trang web, với các tùy chọn để đăng ký đăng ký để đảm bảo các chính sách tình báo mối đe dọa của bạn được cập nhật.Các quy tắc của Snort cũng có thể được tùy chỉnh cho phù hợp với thông số kỹ thuật của bạn, nhưng bộ chính sách cơ bản là một nơi tốt để bắt đầu.Các sự kiện mà các chính sách này phát hiện bao gồm các cuộc tấn công tràn bộ đệm, các cuộc tấn công CGI, dấu vân tay hệ điều hành và quét cổng tàng hình.Bộ quy tắc bao gồm cả chính sách dựa trên dị thường và đặc trưng, làm cho phạm vi ứng dụng khá rộng và bao gồm.Và, như đã đề cập ở trên, Snort có thể được kết hợp liền mạch với Sagan cho một giải pháp giám sát nguồn mở toàn diện hơn.The rule set includes both anomaly- and signature-based policies, making the application’s scope fairly broad and inclusive. And, as mentioned above, Snort can be seamlessly combined with Sagan for a more comprehensive open-source monitoring solution. 8. SamhainMột tùy chọn HIDS miễn phí khác, Samhain cung cấp các chức năng bảo mật tệp như kiểm tra tính toàn vẹn, giám sát và phân tích.Có lẽ tính năng độc đáo nhất của nó là giám sát chế độ tàng hình của nó, về cơ bản cho phép nó chạy mà không cần tin tặc nhận thấy.Trong nhiều trường hợp tấn công mạng, những kẻ xâm nhập có thể xác định và ngăn chặn các quá trình phát hiện, nhưng chức năng mật mã độc quyền của họ ngăn tin tặc nhận thấy nó hoạt động và thực hiện quét.Công cụ cũng sử dụng khóa PGP để bảo vệ các tệp nhật ký trung tâm và bản sao lưu.mode monitoring, which essentially allows it to run without a hacker noticing. In many cases of cyberattacks, the intruders can identify and stop detection processes, but their proprietary cryptographic function prevents hackers from noticing it’s active and performing sweeps. The tool uses a PGP key to protect central log files and backups, as well. Các tính năng khác bao gồm khả năng thực hiện phát hiện rootkit và giám sát cổng và phát hiện các quy trình ẩn chạy trên thiết bị của bạn.Nó có thể quản lý nhiều hệ thống, ngay cả khi họ chạy các hệ điều hành khác nhau từ giao diện tập trung.Samhain có thể được cài đặt trên các hệ điều hành Linux, UNIX và MAC và trên Windows thông qua Cygwin.Linux, Unix, and Mac operating systems, and on Windows through Cygwin. Trở lại đầu trang Nhưng chờ đợi, một hệ thống phòng ngừa xâm nhập là gì?Mặc dù tôi đã giải thích cách HIDSS và NIDS đóng vai trò thiết yếu trong việc giữ cho mạng của bạn được bảo vệ, nhưng cả hai đều chỉ có các hệ thống phát hiện.Khi họ đã xác định hoạt động đáng ngờ hoặc độc hại, bạn sẽ phải giải quyết vấn đề, giữ an toàn cho dữ liệu của bạn và ngăn chặn hoặc giảm thiểu thiệt hại tiềm tàng.they’re both only detection systems. Once they’ve identified suspicious or malicious activity, it’s up to you to address the issue, keep your data secure, and prevent or mitigate potential damage. Mặc dù bạn có thể làm việc thủ công để ngăn chặn và giảm thiểu các mối đe dọa này, nhưng làm như vậy có thể cả việc tốn thời gian và sử dụng tài nguyên không hiệu quả.Theo tôi, tùy chọn tốt hơn là đầu tư vào các công cụ quản lý mạng để giúp chặn và loại bỏ những kẻ xâm nhập khỏi hệ thống của bạn dễ dàng hơn.Kết hợp một hệ thống phát hiện xâm nhập với các biện pháp đối phó khắc phục mối đe dọa tạo ra một gói tròn hoàn toàn gọi là hệ thống phòng ngừa xâm nhập (IPS), một chút của một cái tên gây hiểu lầm, vì IPSS về mặt kỹ thuật hoạt động để loại bỏ các vi phạm được phát hiện thay vì ngăn chặn các vi phạm trước khi chúng bắt đầu.Tìm hiểu thêm về sự khác biệt giữa ID và IPS trong bài viết khác của tôi.Combining an intrusion detection system with threat remediation countermeasures creates a fully rounded package called an intrusion prevention system (IPS)—a bit of a misleading name, as IPSs technically work to seal off detected breaches rather than staving off breaches before they start. Learn more about the differences between IDS and IPS in my other article. Có thể cực kỳ khó khăn, nếu không hoàn toàn không thể, để giữ cho ranh giới của mạng lưới mạng của bạn và hoàn toàn an toàn, vì rất nhiều biến số nằm ngoài tầm kiểm soát của bạn.Ngay cả những nỗ lực tốt nhất để tạo ra một môi trường mạng an toàn cũng không thể ngăn chặn các lỗi của người dùng, cho dù có cố ý hay không.Thật không may, không có hệ thống bảo vệ nào, đó là một tường lửa hoặc ứng dụng chống vi -rút, được đảm bảo là an toàn 100% mọi lúc, do đó, các quản trị viên CNTT phải cảnh giác và tận dụng các công cụ phát hiện xâm nhập phù hợp để hỗ trợ nỗ lực của họ. SIEM là một từ viết tắt khá phổ biến trong điện toán, một trong những bạn bị ràng buộc gặp phải trong thế giới của các công cụ bảo mật mạng.Nó viết tắt của thông tin bảo mật và quản lý sự kiện.Về cơ bản, công nghệ SIEM sử dụng kết hợp các công cụ quản lý thông tin bảo mật (SIM) và quản lý sự kiện bảo mật (SEM).SIEM technology uses a combination of security information management (SIM) and security event management (SEM) tools. Sự khác biệt giữa hai điều chỉnh với sự khác biệt giữa HID và NIDS: Công cụ SIM theo dõi các tệp nhật ký cho các mẫu theo thời gian và các công cụ SEM kiểm tra dữ liệu trong thời gian thực.Khi bạn sử dụng cả hai trong song song để theo dõi dữ liệu của mình, về mặt kỹ thuật, bạn sẽ sử dụng một hệ thống SIEM.Bằng cách sử dụng các công cụ ID và SIEM cùng nhau, bạn cũng thực hiện nhiều biện pháp chiến lược để duy trì an toàn dữ liệu.SIM tools track log files for patterns over time, and SEM tools examine data in real time. When you use both in tandem to monitor your data, you’re technically using a SIEM system. By using IDS and SIEM tools together, you’re also taking a variety of strategic measures to maintain data safety. Các định nghĩa bổ sung để biết: APT, ATP và Trí thông minh đe dọaMột vấn đề bảo mật đặc biệt độc hại mà bạn có thể gặp phải khi nghiên cứu các giải pháp HIDS được gọi là mối đe dọa liên tục tiên tiến (APT), liên quan đến một tin tặc có thể truy cập vào các hệ thống hoặc mạng của tổ chức trong một thời gian dài mà không bị phát hiện.Một lợi thế của các công cụ phát hiện xâm nhập dựa trên máy chủ là thiết kế của họ để định vị và dừng APT. Một apt bị phản đối thông qua những gì mà một người gọi là ATP, hay bảo vệ mối đe dọa nâng cao, hệ thống của Hồi (tất cả các từ viết tắt đều rất thú vị, tôi biết!).Các hệ thống ATP về cơ bản là điều tương tự như các hệ thống phát hiện xâm nhập, nhưng với sự nhấn mạnh nhiều hơn vào cái gọi là trí thông minh đe dọa.ATP systems are essentially the same thing as intrusion detection systems, but with more emphasis on what’s called threat intelligence. Một lợi thế của các hệ thống ATP là các nhà cung cấp dịch vụ nâng cao nhận thức về mối đe dọa trung tâm của các nhà cung cấp.Các dịch vụ này có thể được đưa vào như một thuê bao liên tục hoặc với giá mua trước bổ sung, sẽ định kỳ gửi các bản cập nhật để giữ các hệ thống ATP với thông tin về các vectơ tấn công được xác định tích cực được loại bỏ từ nhật ký dữ liệu tổng hợp và báo cáo từ các thuê bao khác.Cơ sở dữ liệu tập trung của các vectơ tấn công cho phép tất cả các thuê bao được hưởng lợi, vì vậy ngay cả khi hệ thống của bạn đã trải qua một hình thức xâm nhập nhất định, họ vẫn có thể được chuẩn bị để xác định nó.Một số nhà cung cấp HIDS bao gồm các dịch vụ tương tự, trong khi những người khác hoạt động theo các mô hình dựa trên cộng đồng hơn, nhưng nói chung, các nhà cung cấp ATP có xu hướng cung cấp các tính năng trí thông minh đe dọa mạnh mẽ hơn.. These services—which can be included as an ongoing subscription or with an additional up-front purchase price—will periodically send out updates to keep ATP systems current with information about positively identified attack vectors culled from aggregated data logs and reports from other subscribers. The centralized database of attack vectors allows all subscribers to benefit, so even if your systems haven’t experienced a certain form of intrusion, they can still be prepared to identify it. Some HIDS providers include similar services, while others operate along more community-driven models, but by and large, ATP providers tend to offer more robust threat intelligence features. Vì vậy, những gì mối đe dọa tình báo?Trí thông minh đe dọa trong các hệ thống phát hiện xâm nhập đề cập đến quá trình kiểm tra các thuật ngữ tìm kiếm dữ liệu và kiểm tra hệ thống chống lại một loạt các quy tắc để phát hiện sự hiện diện của hoạt động mạng cần được nghiên cứu.Mặc dù trí tuệ nhân tạo có thể được sử dụng để tạo kiểm tra được mã hóa hoặc các quy tắc có thể sửa đổi được đặt làm chính sách, hiệu quả của các chính sách được tạo bởi các hệ thống tự động phụ thuộc hoàn toàn vào các quy tắc can thiệp được tích hợp vào AI thực tế.Các hệ thống AI có thể siêu hữu ích, nhưng bạn sẽ muốn đảm bảo rằng nền tảng là vững chắc trước khi phụ thuộc quá nhiều vào chúng. Threat intelligence in intrusion detection systems refers to the process of checking data search terms and system tests against a series of rules to detect the presence of network activity that should be investigated. While artificial intelligence can be used to create coded checks or modifiable rules set as policies, the efficacy of policies created by automated systems depends entirely on the interference rules built into the actual AI. AI systems can be super-helpful, but you’ll want to make sure the groundwork is solid before relying too heavily on them. Trở lại đầu trang Hình ảnh lớn: Tại sao các tệp nhật ký lại quan trọng?Các cổ phần của việc giữ dữ liệu được bảo vệ và bảo mật cao hơn bao giờ hết.Số lượng tệp nhật ký được tạo ra trên một mạng có thể đáng sợ, nhưng đó là lý do tại sao sử dụng HIDS, NIDS hoặc hệ thống phát hiện xâm nhập khác là rất quan trọng.Nếu bạn không theo dõi đúng và duy trì các tệp nhật ký của mình, công ty của bạn có thể gặp rủi ro.If you don’t properly monitor and maintain your log files, your company could be at risk. Bạn chỉ cần xem xét một số vi phạm dữ liệu gần đây và hàng triệu đô la tổ chức đã buộc phải trả tiền do kiện tụng để hiểu được sự bảo mật không đầy đủ có thể ảnh hưởng đến dòng dưới cùng và danh tiếng của công ty bạn.Trước những lo ngại về quyền riêng tư do các rò rỉ này đưa ra, các vấn đề bảo vệ dữ liệu thường được đưa vào các hợp đồng.Một số ngành công nghiệp cũng đã thiết lập các tiêu chuẩn dữ liệu và bảo mật, điều này không chỉ giúp các bên liên quan cảm thấy an toàn hơn mà còn tốt hơn cho doanh nghiệp của bạn.Các tiêu chuẩn toàn vẹn dữ liệu bao gồm các yêu cầu liên quan đến các công ty bảo trì tệp nhật ký phải tuân theo tuân thủ quy định.Một số tiêu chuẩn yêu cầu các tệp nhật ký được lưu giữ và lưu trữ an toàn trong nhiều năm.Data integrity standards include requirements regarding log file maintenance companies must follow to be in regulatory compliance. Certain standards require log files be securely kept and archived for years. Làm thế nào để bạn duy trì bảo mật của các tệp nhật ký của bạn?Vì các tệp nhật ký có thể tạo các thông điệp sự kiện hiển thị các dấu hiệu xâm nhập, tin tặc thường thay đổi chúng để loại bỏ các dấu hiệu của hoạt động độc hại.HIDS là một phần không thể thiếu của dòng bảo mật toàn diện vì chúng có thể sao lưu các tệp vào máy chủ nhật ký chạy kiểm tra các sửa đổi trái phép.Sử dụng máy chủ nhật ký cũng là chìa khóa để quản lý tuân thủ các tiêu chuẩn bảo mật dữ liệu. Sử dụng HIDS như là một phần của dòng sản phẩm bảo mật của bạn đã giành được bạn rất nhiều nếu dữ liệu mà giám sát mà nó đã bị giả mạo.Để bảo vệ đầy đủ các tệp nhật ký của bạn, bạn cũng cần thực hiện các biện pháp để đảm bảo bạn có một hệ thống xác thực thích hợp.Nếu các công cụ HIDS của bạn chỉ đơn giản là giám sát các tệp nhật ký, hệ thống tự động không có cách nào để biết những gì cấu thành quyền truy cập được ủy quyền hoặc trái phép trừ khi nó cũng theo dõi các quyền liên quan đến tài khoản người dùng.Bằng cách theo dõi các quyền, bạn có thể biết ai nên và không nên có khả năng truy cập các tệp trên máy chủ và liệu các thay đổi để cung cấp người dùng có cần thiết hay không.If your HIDS tools are simply monitoring the log files, the automated system has no way to tell what constitutes authorized or unauthorized access unless it’s also tracking the permissions associated with user accounts. By tracking permissions, you can tell who should and should not have the ability to access the files on the server and whether changes to user provisioning is needed. So sánh hệ thống phát hiện xâm nhập máy chủ này có nghĩa là trang bị cho bạn thông tin bạn cần để xác định công cụ HID nào phù hợp nhất với các hệ thống bạn quản lý.Kích thước mạng của bạn và sự lựa chọn hệ điều hành của bạn trên các máy chủ nhật ký của bạn, cùng với cách bạn muốn thực hiện trong việc quản lý mọi chi tiết về các giải pháp bảo mật phát hiện xâm nhập của bạn, là tất cả các yếu tố sẽ đóng một phần trong việc quyết định chương trình nàoHoặc kết hợp các chương trình là phù hợp nhất cho doanh nghiệp của bạn. Nếu bạn muốn hoặc được hưởng lợi từ một sản phẩm phát hiện xâm nhập cao cấp, tôi thực sự khuyên bạn nên xem xét Trình quản lý sự kiện bảo mật.Hoặc nếu bạn quan tâm đến việc chạy các dịch vụ dựa trên đám mây, thì tôi khuyên bạn nên xem xét Papertrail hoặc Splunk Cloud.Các giải pháp IDS khác mà tôi đã xem xét ở đây sẽ thu hút các quản trị viên thích các ứng dụng nguồn mở cho phép họ sửa chữa.Và nếu bạn không hoàn toàn chắc chắn công cụ nào sẽ thử, bạn luôn có thể tải xuống các bản dùng thử miễn phí. Ví dụ về máy chủ là gìID dựa trên máy chủ chạy trên một máy chủ và giám sát các hoạt động hệ thống cho các dấu hiệu của hành vi đáng ngờ.Các ví dụ có thể là những thay đổi đối với sổ đăng ký hệ thống, các nỗ lực đăng nhập thất bại lặp đi lặp lại hoặc cài đặt cửa hậu.changes to the system Registry, repeated failed login attempts, or installation of a backdoor.
Máy chủ là gìID dựa trên máy chủ là một hệ thống phát hiện xâm nhập giám sát cơ sở hạ tầng máy tính mà nó được cài đặt, phân tích lưu lượng truy cập và ghi nhật ký hành vi độc hại.Một HIDS cung cấp cho bạn khả năng hiển thị sâu sắc về những gì đang xảy ra trên các hệ thống bảo mật quan trọng của bạn.an intrusion detection system that monitors the computer infrastructure on which it is installed, analyzing traffic and logging malicious behavior. An HIDS gives you deep visibility into what's happening on your critical security systems.
Các loại hệ thống phát hiện xâm nhập chính là gì?5 loại hệ thống phát hiện xâm nhập khác nhau.. Hệ thống phát hiện xâm nhập mạng..... Hệ thống phát hiện xâm nhập nút mạng..... Hệ thống phát hiện xâm nhập chủ..... Hệ thống phát hiện xâm nhập dựa trên giao thức..... Hệ thống phát hiện xâm nhập dựa trên giao thức ứng dụng .. Bốn loại IPS là gì?Địa chỉ giao thức Internet (IP) cho phép máy tính gửi và nhận thông tin.Có bốn loại địa chỉ IP: công khai, riêng tư, tĩnh và động.public, private, static, and dynamic. |
