Hệ thống phát hiện xâm nhập IDS/IPS hoạt động ra sao

Hệ thống phát hiện xâm nhập (IDS) quan sát lưu lượng mạng hoặc hoạt động trên máy chủ, so sánh với mẫu tấn công đã biết hoặc với hành vi bình thường, rồi phát cảnh báo khi thấy dấu hiệu bất thường. Hệ thống ngăn chặn xâm nhập (IPS) làm thêm một bước: nó đứng trên đường đi của dữ liệu và có thể chặn gói tin hoặc ngắt kết nối ngay lập tức. Nói gọn, IDS là camera giám sát, còn IPS là bảo vệ đứng ở cửa.

Bài viết này giải thích cơ chế bên trong, các kiểu triển khai và những điều doanh nghiệp cần cân nhắc để hệ thống thực sự hữu ích thay vì chỉ sinh ra hàng nghìn cảnh báo không ai đọc.

IDS và IPS khác nhau ở điểm nào

Nhiều sản phẩm hiện nay gộp cả hai: cùng một bộ máy phân tích, quản trị viên chọn luật nào chỉ cảnh báo, luật nào được phép chặn. Tường lửa thế hệ mới cũng thường tích hợp chức năng IPS, vì vậy ranh giới giữa các thiết bị đã mờ đi nhiều.

Hai cách phát hiện chính

Dựa trên chữ ký

Mỗi kiểu tấn công đã biết để lại dấu vết đặc trưng: một chuỗi byte trong gói tin, một mẫu yêu cầu HTTP khai thác lỗ hổng cụ thể, một trình tự kết nối của công cụ dò quét. Nhà cung cấp hoặc cộng đồng viết các luật mô tả dấu vết này. Hệ thống so khớp lưu lượng với bộ luật, khớp là cảnh báo. Snort và Suricata là hai bộ máy mã nguồn mở nổi tiếng hoạt động theo hướng này.

Ưu điểm là chính xác với tấn công đã biết và dễ giải thích vì sao cảnh báo. Nhược điểm là không thấy được tấn công mới chưa có luật, và phụ thuộc vào việc cập nhật bộ luật thường xuyên.

Dựa trên bất thường và hành vi

Thay vì tìm mẫu xấu, hệ thống học thế nào là bình thường: máy chủ này thường nói chuyện với ai, lưu lượng ban đêm bao nhiêu, tài khoản này đăng nhập từ đâu. Khi có độ lệch đáng kể, ví dụ một máy trạm bỗng gửi lượng lớn dữ liệu ra ngoài lúc ba giờ sáng, hệ thống đánh dấu để con người xem xét.

Cách này có cơ hội bắt được tấn công chưa từng thấy, nhưng dễ báo nhầm khi hoạt động hợp lệ thay đổi, như đợt sao lưu mới hay một phòng ban chuyển sang công cụ khác. Thực tế, hệ thống tốt kết hợp cả hai cách và bổ sung nguồn thông tin về mối đe dọa (danh sách địa chỉ, tên miền độc hại đã biết).

NIDS và HIDS: đặt cảm biến ở đâu

NIDS (network-based) nghe lưu lượng ở các điểm trọng yếu: sau tường lửa biên, giữa vùng người dùng và vùng máy chủ, trước vùng DMZ. Một cảm biến đặt đúng chỗ có thể quan sát nhiều máy cùng lúc. Hạn chế lớn là lưu lượng mã hóa: khi phần lớn kết nối đã dùng TLS, NIDS chỉ thấy siêu dữ liệu như địa chỉ, cổng, tên miền, kích thước, trừ khi có giải mã ở điểm trung gian.

HIDS (host-based) chạy trên từng máy chủ hoặc máy trạm, theo dõi nhật ký hệ thống, thay đổi tệp quan trọng, tiến trình lạ, đăng nhập bất thường. Nó thấy được những gì xảy ra sau khi dữ liệu đã giải mã. Các nền tảng EDR hiện đại có thể xem là bước phát triển tiếp theo của HIDS.

Doanh nghiệp vừa thường bắt đầu với một cảm biến mạng ở biên và giám sát cấp máy chủ cho các hệ thống quan trọng nhất, sau đó mở rộng dần. Vị trí của tường lửa và các vùng mạng quyết định nhiều tới chỗ đặt cảm biến, chủ đề được bàn trong bài tầm quan trọng của tường lửa.

Bài toán cảnh báo giả

Lý do phổ biến nhất khiến IDS bị bỏ xó là quá nhiều cảnh báo. Khi đội vận hành nhận hàng trăm cảnh báo mỗi ngày mà phần lớn vô hại, họ sẽ dần bỏ qua, kể cả cảnh báo thật. Một số cách giảm nhiễu:

1. Tinh chỉnh theo môi trường: tắt luật cho phần mềm và hệ điều hành doanh nghiệp không dùng.
2. Xếp hạng mức độ: chỉ đẩy thông báo tức thời với cảnh báo mức cao, phần còn lại xem theo báo cáo định kỳ.
3. Gắn ngữ cảnh tài sản: một nỗ lực khai thác lỗ hổng nhắm vào máy chủ đã vá ít khẩn cấp hơn nhắm vào máy chưa vá. Kết hợp dữ liệu từ phân tích lỗ hổng giúp ưu tiên chính xác hơn.
4. Danh sách ngoại lệ có kiểm soát: ghi rõ lý do và người phê duyệt mỗi ngoại lệ, xem lại định kỳ.
5. Đưa vào SIEM: tương quan cảnh báo IDS với nhật ký đăng nhập, tường lửa, máy chủ để thấy chuỗi sự kiện thay vì từng điểm rời rạc.

Những gì IDS/IPS không làm được

IDS/IPS không thay thế việc vá lỗi, quản lý quyền truy cập hay sao lưu. Nó khó thấy tấn công dùng tài khoản hợp lệ bị đánh cắp, vì lưu lượng trông hoàn toàn bình thường. Nó cũng hạn chế trước lưu lượng mã hóa và trước kẻ tấn công cố tình hành động chậm, hòa lẫn vào hoạt động hằng ngày. Vì vậy, hệ thống phát hiện chỉ là một lớp trong chiến lược phòng thủ nhiều tầng.

Với tấn công làm ngập băng thông, IPS đặt trong mạng nội bộ cũng thường bất lực vì đường truyền đã nghẽn trước khi lưu lượng tới thiết bị; loại này cần biện pháp ở phía nhà mạng hoặc dịch vụ chuyên dụng như mô tả trong bài phòng chống tấn công DDoS.

Gợi ý triển khai theo từng bước

• Xác định tài sản cần bảo vệ nhất và luồng dữ liệu tới chúng.
• Bắt đầu ở chế độ chỉ phát hiện, quan sát vài tuần để hiểu lưu lượng bình thường.
• Tinh chỉnh luật, sau đó mới bật chặn cho nhóm luật có độ tin cậy cao.
• Viết quy trình xử lý cảnh báo: ai nhận, trong bao lâu phải xem, khi nào leo thang.
• Kiểm tra định kỳ bằng cách mô phỏng tấn công có kiểm soát để chắc hệ thống còn hoạt động đúng.

Một hệ thống IDS/IPS có giá trị không nằm ở số luật nó có, mà ở việc mỗi cảnh báo quan trọng đều được một người có trách nhiệm xem xét và xử lý kịp thời.