Thuật ngữ an ninh “Ngăn ngừa Xâm nhập” (Intrusion Prevention) mới đây đã xuất hiện trong từ điển chuyên ngành an ninh bảo mật. Chắc chắn nó có một ý nghĩa lớn lao hơn là một lời tiếp thị lôi cuốn.
Tuy vậy, đây không phải là một mô tả công nghệ bảo mật mới mang tính cách mạng mặc dù một số nhà tiếp thị chuyên nghiệp cho rằng IPS là một bước đại nhảy vọt. “Ngăn ngừa Xâm nhập” trong bài viết này được hiểu hàm chứa những khía cạnh của nhiều công nghệ bảo mật hiện hữu bao gồm chống virus, phát hiện xâm nhập, tường lửa và lọc truy nhập Internet, v.v. Ngăn ngừa xâm nhập chính là thế giới bảo mật CNTT.
Ý tưởng của công nghệ này là mọi cuộc tấn công chống lại bất cứ thành phần nào của môi trường được bảo vệ sẽ bị làm chệch hướng bằng các giải pháp ngăn ngừa xâm nhập. Với “quyền tối thượng”, các Hệ thống Ngăn ngừa Xâm nhập có thể “nắm” lấy bất cứ lưu lượng nào của các gói tin mạng và đưa ra quyết định có chủ ý – liệu đây có phải là một cuộc tấn công hay một sự sử dụng hợp pháp – sau đó thực hiện hành động thích hợp để hoàn thành tác vụ một cách trọn vẹn. Kết quả cuối cùng là một nhu cầu có hạn định cho các giải pháp phát hiện hay giám sát thâm nhập một khi tất cả những gì liên quan đến mối đe doạ đều bị ngăn chặn.
Bài viết phân tích những hạn chế của các hệ thống hiện tại cũng như nhu cầu cấp bách có một giải pháp hoàn thiện và đúng đắn trong tương lai. Tiếp đến, những đặc tính của hai giải pháp phát hiện xâm nhập và tường lửa vốn hình thành nên các giải pháp “Ngăn ngừa Xâm nhập” được đưa ra bàn thảo. Chúng ta ghi nhận những tính năng hữu ích và nêu bật những yêu cầu về mặt kiến trúc cho bất kỳ thiết bị an ninh nào có ý định nội tuyến (inline) trên mạng. Cuối cùng, bài viết đề xuất cách tiếp cận của Top Layer để ngăn ngừa xâm nhập – một phương pháp thiết thực chuyển hóa các khả năng tường lửa thành một giải pháp kiểm tra nội dung sâu hơn.
Nhu cầu hiển nhiên đằng sau các quảng cáo về “Ngăn ngừa xâm nhập”
Lời bàn tán xung quanh thuật ngữ “Ngăn ngừa Xâm nhập” đang được truyền đi bởi những nỗ lực tiếp thị của một số công ty, một số thông tin gây sửng sốt được đưa ra mà chủ đề được lấy từ các nhà phân tích như Gartner và báo giới. Các sản phẩm “Web firewall” mới đang bắt đầu được định giá và những cuộc thảo luận đang nóng dần. Một tỷ lệ phần trăm lớn của lưu lượng hiện thời đang được truyền qua Port 80, (Web port) và phần lớn các sản phẩm tường lửa thiếu khả năng áp dụng ép buộc chính sách lớp ứng dụng lên một lưu lượng lớn. Và bây giờ, Port 80 đã trở thành biểu tượng của sự thiếu hụt nghiêm trọng trong các tường lửa kiểm tra trạng thái đơn giản do thành công của những cuộc tấn công mới đây và tốc độ triển khai ngày càng tăng của các dự án B2B, các dịch vụ Web “tạo đường hầm” và các đối tượng SOAP thông qua Port 80.
Các giám đốc thông tin (CIO) và giám đốc an ninh thông tin (CISO) của các công ty hiện đang phân tích xem liệu họ có cần thiết bổ sung thêm các biện pháp đối phó một lớp các đe doạ hoàn toàn mới chuyên biệt ứng dụng sắp xẩy ra hay không. Trong thực tế họ đã triển khai các tường lửa, các phần mềm diệt virus và các hệ thống phát hiện xâm nhập trên mạng của họ, nhưng vẫn còn cảm thấy không an toàn. Khi đối mặt với những đe doạ đang hiện hữu, những rủi ro phải được đánh giá cẩn thận hơn và các kế hoạch giảm thiểu cần phải được đưa ra cho những hệ thống hiện tại. Yêu cầu cho sự truy nhập mở hơn, những mối quan tâm của khách hàng và những điều chỉnh đang được tăng thêm. Do vậy, những nhà chuyên về bảo mật đang mong chờ bổ sung thêm các giải pháp an ninh để có thể hỗ trợ các nhu cầu theo đơn vị doanh nghiệp:
- Những giám đốc doanh nghiệp đang theo đuổi các ứng dụng mở hơn trong nỗ lực đạt được năng suất cao hơn.
- Các điểm truy nhập mạng đặc biệt thông qua IPsec và các mạng riêng ảo (VPN) “client-less” được “móc” vào trong các vành đai mạng để mở rộng những dịch vụ ngày càng phân tán.
- Người tiêu dùng đang phải chịu đựng những đòn từ chối dịch vụ gây ra bởi các hacker dẫn đến các giao dịch trên Internet thất bại và thiếu tin cậy. Các số thẻ tín dụng và dữ liệu riêng khác đang bị lấy cắp.
Do yêu cầu cấp bách bảo vệ các hệ thống, các công ty và các cơ quan chính phủ đang tích cực tập trung vào vấn đề gây tranh cãi. Các nhà cung cấp an ninh đang kiểm tra các sản phẩm của họ. Các công ty xây dựng các hệ thống cân bằng tải có tính sẵn sàng cao “Web farm” thậm chí đang được kích thích bởi một số áp lực thị trường để nhận ra những gì họ có thể phải cung cấp để xử lý những mối đe doạ mới cho tới các ứng dụng mạng lưới. Các công ty mới cũng nổi lên với các sản phẩm dự định là sẽ cung cấp các giải pháp khắc phục nhanh chóng và phi thường. Những dự định nhìn chung là tốt và đang đạt được những tiến triển nhất định nhưng một giải pháp quan trọng vẫn chưa hiện hữu.
An ninh CNTT nhất thiết phải cung cấp các giải pháp chống lại những mối đe doạ đã biết và chưa biết
Trong khi nhiều mối đe dọa mới đang tiềm tàng ẩn chứa, các chuyên gia bảo mật phải đối mặt với những thách thức trên nhiều mặt trận:
1. Cung cấp sự bảo vệ chống lại những mối đe doạ chuyên biệt ứng dụng đã biết có khả năng vượt qua các thiết bị tường lửa không có khả năng phát hiện xâm nhập chuyên biệt ứng dụng. Hiện nay, các cổng vào ra chống vi rút được hỗ trợ các CSDL chữ ký virút và các dịch vụ cập nhật đã cung cấp một số giải pháp bảo vệ nhưng cần có nhiều giải pháp hơn nữa.
2. Cung cấp nhiều khả năng bảo vệ với bộ lọc cho tất cả các giao thức, không phải chỉ có HTTP (“Ngăn ngừa Xâm nhập” đa giao thức). Một vài kiểu đe doạ hiện đang được xử lý bởi những tường lửa uỷ quyền ứng dụng lai ghép.
3. Cung cấp các kỹ thuật lọc, ngăn chặn và xác nhận tính hợp lệ chuyên biệt ứng dụng với những điều khiển nội dung cho mục đích loại trừ tối đa các cuộc tấn công đã biết và chưa biết. Mục đích là làm giảm nguy cơ của các mối đe doạ chưa biết trở thành “Code Red” tiếp theo. Những tường lửa lai ghép, có khả năng các cơ chế an ninh lớp 3 tới lớp 7 sẽ cung cấp nền tảng thích hợp nhất cho sự phát triển này.
4. Quy mô cho các yêu cầu băng thông lớn. Sự tiến triển ở đây sẽ bao gồm các cải thiện về hiệu suất thực hiện trong phần cứng đã được đóng gói, các card mạng (NIC) có thể lập trình, các cổng (gateway) dựa vào các ASIC (mạch tích hợp chuyên biệt ứng dụng) và các công cụ quản lý tốt hơn cho các giải pháp cổng theo nhóm dung lượng cao.
Những đặc điểm của các cuộc tấn công mức ứng dụng mới đang điều khiển sự đổi mới công nghệ bảo mật
Các hệ thống an ninh đang được mở rộng do những sáng kiến thương mại điện tử vượt quá xa khả năng tự nhiên của chúng. Sự mở rộng này đã để ngỏ các hệ thống và các ứng dụng cho tin tặc khám phá và sau đó khai thác những kẽ hở bị phát hiện bên trong các quá trình truyền thông khách/chủ của ứng dụng. Tin tặc đã chứng minh rằng có thể tìm ra nhiều điểm yếu để khai thác trong cả hai phiên bản mới và cũ của các ứng dụng được tạo ra do các công cụ lập trình tự động hoá và các phương pháp đánh giá phần mềm không được cân nhắc cẩn thận, chẳng hạn, những dữ liệu đầu vào của người dùng trong các ứng dụng Web là những điểm nhạy cảm (dễ bị tấn công). Việc xây dựng khả năng tự bảo vệ mình trước các cuộc tấn công trong thời gian sử dụng vào trong các ứng dụng thường không phải là mục tiêu của các nhà thiết kế ứng dụng. Và vì các cuộc tấn công xuất hiện trong thời gian sử dụng các ứng dụng, các cuộc tấn công đặc thù theo ứng dụng không cần thiết phải vi phạm các chuẩn RFC hay ngay cả bản thân các giao thức. Kết quả là, các cuộc tấn công thường vô hình (không nhìn thấy được) đối với bức tường (bộ lọc) an ninh trong nhiều hệ thống và do đó nó có khả năng “ẩn” trong dòng lưu lượng thông thường. Sự tiến triển mới này trong các cuộc tấn công là rất khôn ngoan, chuyên biệt cho từng ứng dụng và rất khó nhận biết.
Mặc dù việc bảo vệ triệt để là không thể thực hiện được, nhưng không còn nghi ngờ gì nữa, các giải pháp “Ngăn ngừa Xâm nhập” là những đòi hỏi tất yếu cho bất kỳ kiến trúc an ninh nào. Về cơ bản, các giải pháp “Ngăn ngừa Xâm nhập” là sự thay thế thế hệ tường lửa và bởi vậy trước tiên chúng phải hoạt động như một tường lửa nếu muốn thành công.
Một Hệ thống Ngăn ngừa xâm nhập (IPS) là gì 1
Các Hệ thống Ngăn ngừa Xâm nhập
Hai kiểu IPS được biết trên thị trường hiện nay là “dựa vào máy chủ” và “nội tuyến” (dựa vào mạng). Các hệ thống “dựa vào máy chủ” là các phần mềm ngăn ngừa xâm nhập được viết để “móc” trực tiếp vào trong các ứng dụng hay cài đặt trực tiếp trên các máy chủ ứng dụng. Bài viết này chỉ tập trung vào bảo mật “nội tuyến”. Bảo mật “nội tuyến” tương tự như trong kiến trúc tường lửa di trú kép hay một cổng chống vi rút được đặt ngược chiều từ các ứng dụng được bảo vệ và áp dụng các dịch vụ ngăn ngừa xâm nhập cho nhiều ứng dụng xuôi chiều của các IPS. Theo đúng nghĩa của khái niệm này, ta có thể định nghĩa như sau“Một Hệ thống Ngăn ngừa Xâm nhập “nội tuyến” (inline) là bất kỳ một thiết bị phần cứng hay phần mềm nào có khả năng phát hiện và ngăn ngừa các cuộc tấn công đã quen biết”. Thậm chí đơn giản hơn, “Ngăn ngừa Xâm nhập” chỉ đề cập đến việc phát hiện và sau đó ngăn chặn những cuộc tấn công chuyên biệt ứng dụng đã biết. Thuật ngữ “Hệ thống Ngăn ngừa Xâm nhập” (Intrusion Prevention System) bản thân được sử dụng để hợp nhất cả hai khái niệm “Hệ thống Phát hiện” (detection system) và “Hệ thống Ngăn ngừa” (prevention system) dưới một cấu trúc. Chú ý rằng định nghĩa này chỉ nhằm vào các cuộc tấn công đã quen biết.
Phát hiện và ngăn ngừa
Nhìn bề ngoài, các giải pháp phát hiện xâm nhập và ngăn ngừa xâm nhập xuất hiện theo kiểu cạnh tranh nhau. Rốt cuộc, chúng chia sẻ một danh sách các chức năng giống nhau như kiểm tra gói tin, phân tích có trạng thái, ráp lại các đoạn, ráp lại các TCP-segment, kiểm tra gói tin sâu, xác nhận tính hợp lệ giao thức và thích ứng chữ ký. Một IPS hoạt động giống như một người bảo vệ gác cổng cho một khu dân cư, cho phép và từ chối truy nhập dựa trên cơ sở các uỷ nhiệm và tập quy tắc nội quy nào đó. Một IDS (hệ thống phát hiện xâm nhập) làm việc giống như một xe tuần tra bên trong khu dân cư, giám sát các hoạt động và tìm ra những tình huống bất bình thường. Dù mức độ an ninh tại cổng vào khu dân cư mạnh đến mức nào, xe tuần tra vẫn tiếp tục hoạt động trong một hệ thống giám sát và sự cân bằng của chính nó.
Phát hiện xâm nhập
Mục đích của “phát hiện xâm nhập” là cung cấp sự giám sát, kiểm tra, tính pháp lý và báo cáo về các hoạt động của mạng. Nó hoạt động trên các gói tin được cho phép thông qua một thiết bị kiểm soát truy nhập. Do những hạn chế về độ tin cậy và những đe doạ bên trong, “Ngăn ngừa Xâm nhập” phải cho phép một số “vùng xám” (gray area) tấn công để tránh các trường hợp báo động giả. Mặt khác, những giải pháp IDS được “nhồi” trí thông minh có sử dụng nhiều kỹ thuật khác nhau để nhận biết những cuộc xâm nhập, những khai thác, lạm dụng bất chính và các cuộc tấn công tiềm tàng. Một IDS có thể thực hiện các hoạt động mà không làm ảnh hưởng đến các kiến trúc tính toán và kết nối mạng.
Bản chất bị động của IDS nằm ở chỗ cung cấp sức mạnh để chỉ đạo phân tích thông minh các lưu lượng gói tin. Những vị trí IDS này có thể nhận ra :
- Các cuộc tấn công quen biết theo đường chữ ký (signature) và các quy tắc.
- Những biến thiên trong lưu lượng và phương hướng sử dụng những quy tắc và phân tích thống kê phức tạp.
- Những biến đổi mẫu lưu lượng truyền thông có sử dụng phân tích luồng.
- Phát hiện hoạt động bất bình thường có sử dụng phân tích độ lệch đường cơ sở (baseline deviation analysis).
- Phát hiện hoạt động đáng nghi nhờ phân tích luồng, các kỹ thuật thống kê và phát hiện sự bất bình thường.
Ngăn ngừa xâm nhập
Như được đề cập trước đây, các giải pháp “Ngăn ngừa Xâm nhập” nhằm mục đích bảo vệ tài nguyên, dữ liệu và mạng. Chúng sẽ làm giảm bớt những mối đe doạ tấn công bằng việc loại bỏ những lưu lượng mạng có hại hay có ác ý trong khi vẫn cho phép các hoạt động hợp pháp tiếp tục. Mục đích ở đây là một hệ thống hoàn hảo – không có những báo động giả nào làm giảm năng suất người dùng cuối và không có những từ chối sai nào tạo ra rủi ro quá mức bên trong môi trường. Có lẽ một vai trò cốt yếu hơn sẽ là cần thiết để tin tưởng, để thực hiện theo cách mong muốn dưới bất kỳ điều kiện nào. Điều này có nghĩa các giải pháp “Ngăn ngừa Xâm nhập” được đặt vào đúng vị trí để phục vụ với:
- Những ứng dụng không mong muốn và những cuộc tấn công “Trojan horse” nhằm vào các mạng và các ứng dụng cá nhân, qua việc sử dụng các nguyên tắc xác định và các danh sách điều khiển truy nhập (access control lists).
- Các gói tin tấn công giống như những gói tin từ LAND và WinNuke qua việc sử dụng các bộ lọc gói tốc độ cao.
- Sự lạm dụng giao thức và những hành động lảng tránh – những thao tác giao thức mạng giống như Fragroute và những khảo sát lấn TCP (TCP overlap exploits) – thông qua sự ráp lại thông minh.
- Các tấn công từ chối dịch vụ (DOS/DDOS) như “lụt” các gói tin SYN và ICMP bởi việc sử dụng các thuật toán lọc dựa trên cơ sở ngưỡng.
- Sự lạm dụng các ứng dụng và những thao tác giao thức – các cuộc tấn công đã biết và chưa biết chống lại HTTP, FTP, DNS, SMTP .v.v. – qua việc sử dụng những quy tắc giao thức ứng dụng và chữ ký.
- Những cuộc tấn công quá tải hay lạm dụng ứng dụng bằng việc sử dụng các hữu hạn tiêu thụ tài nguyên dựa trên cơ sở ngưỡng.
Tất cả các cuộc tấn công và trạng thái dễ bị tấn công cho phép chúng tình cờ xảy ra đều được chứng minh bằng tài liệu. Ngoài ra, những khác thường trong các giao thức truyền thông từ mạng qua lớp ứng dụng không có chỗ cho bất cứ loại lưu lượng hợp pháp nào, làm cho các lỗi trở thành tự chọn lọc trong ngữ cảnh xác định.
Tình trạng của công nghệ IPS
Trạng thái của công nghệ IPS là chưa chín muồi nếu bạn xem xét ở góc độ sản phẩm của từng nhà cung cấp đơn lẻ với tất cả các tính năng phát hiện, giám sát, ngăn ngừa, cập nhật và báo cáo trên mỗi sự truyền tải cho truy nhập vào trong và ra ngoài qua một điểm nghẽn (choke-point) mạng đặc biệt. Gần đây, các doanh nghiệp đã tiêu tốn hàng triệu đô la vào các sản phẩm để giúp đỡ họ bảo vệ an toàn mạng của họ. Các sản phẩm IPS mới nổi của ngày nay được tập trung chủ yếu dành riêng cho Port 80 và như vậy chúng hiện không thay thế các hệ thống hiện tại. Thay vào đó chúng làm tăng thêm giá trị của những hệ thống này. Một giải pháp IPS đa giao thức bao hàm tất cả sẽ phải được phát triển và chứng tỏ trước khi những hệ thống như vậy được coi như những thay thế thực tế cho các hệ thống đã triển khai.
Các mục tiêu dài hạn
Trong tương lai, một giải pháp cổng an ninh nội tuyến (inline) phải đạt được các mục tiêu này :
- Khả năng phát hiện và ngăn chặn tấn công dựa trên cơ sở sử dụng lôgic và vật lý của nhiều công nghệ ép buộc. Rộng hơn, điều này còn bao gồm cả khả năng ngăn ngừa cả hai dạng tấn công đã biết và chưa biết có sử dụng các biện pháp phòng thủ ứng dụng (Application Defenses).
- Khả năng cùng nhau hoạt động với cơ sở hạ tầng an ninh được triển khai cho những mục đích hỗ trợ tập hợp dữ liệu, bằng chứng điện tử, giám sát theo dõi và phục tùng điều chỉnh khi cần.
- Khả năng không phá vỡ những hoạt động kinh doanh do thiếu tính sẵn sàng, hiệu năng kém, những khẳng định sai hay không có khả năng hoạt động cùng nhau với các cơ sở hạ tầng chứng thực quy định.
- Khả năng hỗ trợ các chuyên gia an ninh CNTT trong việc chuyển giao kế hoạch quản lý rủi ro của tổ chức của họ bao gồm chi phí cho thực hiện, hoạt động và những kết quả làm việc từ các cảnh báo và báo cáo từ hệ thống.
Những thách thức để đạt được mục đích
- Hiện thời không có các nghiên cứu của đối tác thứ ba có thể chấp nhận được tính hiệu quả của IPS như là một giải pháp. Sự quảng cáo thổi phồng xung quanh “Ngăn ngừa Xâm nhập” đang làm lẫn lộn giữa những gì công nghệ này có thể cung cấp và những gì nó hứa hẹn.
- Cách tiếp cận nhiều lớp cho an ninh CNTT tiếp tục có giá trị trong khi công nghiệp phát triển. Nó không có vẻ là sự di trú ra xa khỏi phòng thủ chiều sâu phân lớp đúng như nó được tổ chức.
- Nhiều giải pháp IPS sẽ đòi hỏi những yêu cầu giống IDS để điều chỉnh, giám sát và báo cáo.
Một cách nhìn thực dụng trong tương lai
Hiện tại không có sản phẩm nào thích hợp cho tất cả có thể làm việc phù hợp với nhu cầu thị trường rộng lớn tại mức mà nó có thể thay thế tường lửa hiện tại, NIDS (Network Intrusion Detection System), các bộ chuyển mạch lớp 7 và các thành phần khác có thể hay không thể trở thành các cổng an ninh nội tuyến của ngày mai. Tuy vậy, nếu một sản phẩm như vậy xuất hiện, nó sẽ phải phù hợp với những mục tiêu được thảo luận trước đây trong tài liệu này, bao gồm cả khả năng “phòng thủ ứng dụng” (Application Defenses). Tiếp theo là gì? Một cuộc cách mạng không phải là cái gì đó có thể đoán trước được và nói chung gồm nhiều bước trong tương lai. Những mối đe doạ trong tương lai mà ngày hôm nay chúng ta chưa biết sẽ điều khiển phương hướng của những giải pháp của chúng ta trong tương lai. Có thể có những mối đe doạ mới và tính dễ bị tổn thương mới được phát hiện tác động đến các khái niệm an ninh “Ngăn ngừa Xâm nhập” của ngày hôm nay theo những cách cơ bản. Nhưng sự phát triển các “Hệ thống Ngăn ngừa Xâm nhập” phần nhiều giống như sự hoà trộn từng bước một qua thời gian của các khái niệm an ninh khác nhau vào trong một mô hình phòng thủ ứng dụng đích thực.
