Phát hiện xâm nhập mạng (IDS) là gì và cách tự bảo vệ tài khoản

Phát hiện xâm nhập mạng là việc theo dõi lưu lượng mạng và nhật ký hệ thống để nhận ra dấu hiệu có người hoặc phần mềm truy cập trái phép. Có hai cách tiếp cận chính: so khớp với "chữ ký" của các kiểu tấn công đã biết, và tìm hành vi lệch khỏi mức bình thường để bắt cả kiểu tấn công mới. Với người dùng cá nhân, phần việc quan trọng nhất không nằm ở thiết bị đắt tiền mà ở vài thói quen: xác thực hai lớp, mật khẩu riêng cho từng tài khoản, cập nhật phần mềm và thường xuyên xem lịch sử đăng nhập.

Bảy mươi lăm xu: một sai lệch kế toán mở ra cuộc truy vết

Năm 1986, Clifford Stoll, một nhà thiên văn đang làm quản trị hệ thống tại Phòng thí nghiệm Lawrence Berkeley ở California, được giao tìm hiểu một khoản chênh lệch 75 xu trong sổ tính phí sử dụng máy tính. Số tiền nhỏ tới mức có thể bỏ qua. Ông không bỏ qua. Lần theo khoản chênh, Stoll phát hiện một tài khoản lạ được dùng để xâm nhập, rồi kiên nhẫn theo dõi kẻ đột nhập suốt nhiều tháng, ghi lại từng phiên làm việc. Cuộc truy vết cuối cùng dẫn tới một nhóm người ở Tây Đức. Stoll kể lại câu chuyện trong cuốn The Cuckoo's Egg (1989).

Đây là một trong những ví dụ nổi tiếng nhất về phát hiện bất thường trong an ninh máy tính, và bài học của nó vẫn còn nguyên: dấu hiệu xâm nhập đầu tiên thường nhỏ, trông như lỗi vặt, và chỉ người chịu tìm hiểu "vì sao lệch" mới thấy.

Từ mô hình của Dorothy Denning tới các hệ thống ngày nay

Năm 1987, nhà khoa học máy tính Dorothy Denning công bố bài "An Intrusion-Detection Model" trên tạp chí IEEE Transactions on Software Engineering. Bài báo đề xuất ý tưởng nền tảng: xây hồ sơ hành vi bình thường cho từng người dùng và từng hệ thống, rồi dùng thống kê để phát hiện hành vi lệch khỏi hồ sơ đó. Đây được coi là một trong những công trình đặt nền móng cho lĩnh vực phát hiện xâm nhập dựa trên bất thường.

Từ đó, lĩnh vực phát triển thành nhiều nhánh. Người làm nghề hay phân biệt theo hai trục: đặt ở đâu và phát hiện bằng cách nào.

Các công cụ mã nguồn mở như Snort (ra đời năm 1998), Suricata và Zeek được dùng rộng rãi trong giảng dạy và thực tế. Khi một hệ thống không chỉ phát hiện mà còn tự động chặn, người ta gọi là hệ thống ngăn chặn xâm nhập (IPS).

Chữ ký và bất thường: mỗi cách giỏi một việc

Phát hiện theo chữ ký

Giống như phần mềm diệt virus đời đầu: hệ thống giữ một thư viện mô tả các tấn công đã biết, gặp mẫu khớp thì báo. Ưu điểm là chính xác, ít báo nhầm, và cảnh báo nói rõ đó là kiểu tấn công gì. Nhược điểm là mù trước kiểu tấn công chưa có trong thư viện, và phải cập nhật liên tục.

Phát hiện theo bất thường

Hệ thống học mức nền: máy nào thường nói chuyện với máy nào, vào giờ nào, lượng dữ liệu bao nhiêu, ai đăng nhập từ đâu. Những thứ đi lệch được đánh dấu. Một số tín hiệu điển hình mà các tài liệu an ninh thường nêu:

• Một tài khoản đăng nhập vào lúc nửa đêm từ quốc gia chưa từng xuất hiện.
• Một máy trạm văn phòng bỗng gửi lượng dữ liệu lớn bất thường ra ngoài.
• Rất nhiều lần đăng nhập sai liên tiếp vào nhiều tài khoản khác nhau.
• Một máy trong mạng nội bộ đột nhiên dò tìm hàng loạt máy khác.

Ưu điểm là có cơ hội bắt được kiểu tấn công mới. Nhược điểm là báo nhầm nhiều: một nhân viên đi công tác, một đợt sao lưu dữ liệu lớn, một phần mềm mới cài đều trông "bất thường". Thực tế, các trung tâm điều hành an ninh thường kết hợp cả hai cách, cộng thêm con người để thẩm định.

Vấn đề muôn thuở: quá nhiều cảnh báo

Ngành an ninh mạng có một nỗi khổ chung với bệnh viện: mệt mỏi vì cảnh báo. Khi hệ thống sinh ra hàng nghìn cảnh báo mỗi ngày mà phần lớn là vô hại, chuyên viên phân tích bắt đầu lướt qua, và cảnh báo thật dễ bị chìm. Nhiều báo cáo điều tra sau các vụ rò rỉ dữ liệu lớn trên thế giới cho thấy hệ thống đã từng phát cảnh báo, nhưng không ai xử lý kịp.

Vì vậy, trong nghề, một hệ thống phát hiện tốt không phải là hệ thống báo nhiều nhất, mà là hệ thống có cảnh báo đáng tin, được xếp mức ưu tiên rõ, kèm đủ ngữ cảnh để người trực quyết định nhanh. Điều chỉnh ngưỡng, loại các cảnh báo trùng, gom các sự kiện liên quan thành một vụ việc là phần việc tốn công nhất.

Phần việc của bạn: những lớp phòng thủ cá nhân

Bạn không cần dựng IDS ở nhà. Nhưng các dịch vụ bạn dùng, như email, mạng xã hội, ngân hàng, đã có sẵn những tính năng phát hiện bất thường, và bạn có thể tận dụng chúng.

1. Bật xác thực hai lớp cho email chính, mạng xã hội, ứng dụng ngân hàng. Ưu tiên ứng dụng xác thực hoặc khoá bảo mật hơn tin nhắn SMS khi dịch vụ cho phép. Email chính quan trọng nhất vì nó là chìa khoá đặt lại mật khẩu của mọi thứ khác.
2. Mỗi tài khoản một mật khẩu riêng, dùng trình quản lý mật khẩu để không phải nhớ. Khi một trang bị lộ dữ liệu, kẻ gian thường thử cùng email và mật khẩu đó ở các trang khác.
3. Xem lịch sử đăng nhập và thiết bị định kỳ. Google, Facebook, Zalo và nhiều dịch vụ khác đều có mục liệt kê thiết bị đang đăng nhập. Thấy máy lạ thì đăng xuất nó và đổi mật khẩu.
4. Đừng bỏ qua email cảnh báo đăng nhập từ dịch vụ thật. Nhưng cũng đừng bấm link trong email: tự mở ứng dụng hoặc gõ địa chỉ trang để kiểm tra, vì kẻ gian hay giả mạo chính loại email này.
5. Cập nhật hệ điều hành, trình duyệt, ứng dụng và cả bộ định tuyến wifi. Rất nhiều cuộc xâm nhập khai thác lỗ hổng đã có bản vá từ lâu.
6. Đổi mật khẩu mặc định của router và camera trong nhà. Thiết bị để nguyên mật khẩu xuất xưởng là mục tiêu dễ dàng.
7. Kiểm tra email có nằm trong các vụ lộ dữ liệu không qua dịch vụ uy tín như Have I Been Pwned do chuyên gia bảo mật Troy Hunt lập ra. Nếu có, đổi mật khẩu ở dịch vụ đó và mọi nơi dùng chung.
8. Sao lưu dữ liệu quan trọng ra nơi tách rời, để phòng mã độc tống tiền.

Dấu hiệu máy tính, điện thoại có thể đã bị xâm nhập

• Pin hao nhanh, máy nóng khi không dùng, lưu lượng dữ liệu tăng vọt không rõ lý do.
• Bạn bè nhận tin nhắn, email bạn không gửi.
• Xuất hiện ứng dụng, tiện ích trình duyệt lạ mà bạn không cài.
• Mật khẩu bỗng không đăng nhập được, hoặc nhận mã xác thực mà bạn không yêu cầu.

Gặp các dấu hiệu này, hãy dùng một thiết bị khác an toàn để đổi mật khẩu email chính trước, sau đó kiểm tra các tài khoản còn lại. Nếu liên quan tới tiền, báo ngay cho ngân hàng. Với tổ chức, doanh nghiệp, nên liên hệ đơn vị chuyên môn về an toàn thông tin thay vì tự xử lý.

Góc nhìn hôm nay: đọc gì để hiểu thêm

The Cuckoo's Egg của Clifford Stoll vẫn là cuốn sách dễ đọc nhất để hiểu tinh thần của phát hiện xâm nhập. Bài báo năm 1987 của Dorothy Denning ngắn và rõ ràng nếu bạn muốn xem ý tưởng gốc. Khung MITRE ATT&CK, một cơ sở tri thức công khai mô tả các kỹ thuật mà kẻ tấn công thường dùng, được giới phòng thủ dùng để kiểm tra mình đã phát hiện được những gì. Với người mới, các khoá học nhập môn an toàn thông tin miễn phí của nhiều trường đại học là điểm khởi đầu tốt.