GIẢI PHÁP CHỐNG TẤN CÔNG XÂM NHẬP TRÁI PHÉP IPS TIPPING POINT CỦA TRENDMICRO

Giới Thiệu Giải Pháp Chống Tấn Công Xâm Nhập Trái Phép IPS Tipping Point Của TrendMicro

Với các mối đe doạ ngày càng phức tạp và nguy hiểm hiện nay, yêu cầu đặt ra các phương thức chống tấn công tương xứng là một trong những yêu cầu cấp thiết nhất hiện nay. Cách tiếp cận với lĩnh vực bảo mật thông tin hoàn toàn khác với firewall và IDS, IPS là một hệ thống hoạt động in-line (hay còn gọi là in-band), được triển khai ngay trên các segment mạng.

Tất cả các traffic trên segment mạng đi qua IPS sẽ được kiểm tra từ lớp 2-7 của mô hình mạng 7 lớp. Điều này có nghĩa rằng, toàn bộ các gói tin sẽ được kiểm tra ở mức sâu, các tấn công dựa trên các giao thức lớp mạng hay lớp ứng dụng sẽ được nhận biết, cảnh báo, và khác với IDS, IPS sẽ chủ động ngăn chặn các tấn công này, không cần tới sự can thiệp của quản trị

1. Các tính năng chính của IPS Tipping Point

Chống được các tấn công ở mức rộng và mức sâu: các IPS phải đảm bảo chống được nhiều loại tấn công khác nhau, từ các tấn công tại lớp mạng cho đến các tấn công trên tầng ứng dụng, từ các tấn công đã được nhận biết (wellknown attack) cho đến các tấn công mới, chưa được nhận biết (unknown attack). Chỉ với một lỗ hổng bảo mật, các hacker có thể sử dụng đến hàng trăm cách khác nhau để khai thác, do vậy, một IPS không chỉ hoạt động dựa trên “signal database”, mà còn phải nhận biết các tấn công dựa trên “behavior”, đảm bảo cho IPS chống lại các tấn công chưa được nhận biết.

Chống các tấn công khai thác lỗ hổng bảo mật (vulnerability): một hệ thống thông tin của một doanh nghiệp bao gồm rất nhiều các thiết bị, server, PC và ứng dụng khác nhau, hoạt động trên nhiều hệ điều hành và các giao thức khác nhau. Số lượng các lỗ hổng bảo mật được phát hiện hàng năm của các hệ điều hành, ứng dụng ngày càng lớn.

Thời gian để cập nhật các bản vá lỗi từ các hãng phần mềm đôi khi mất đến hàng tuần, trong khi không thể đảm bảo toàn bộ các ứng dụng, máy tính và thiết bị trong mạng đều được cập nhật bản vá một cách kịp thời và đầy đủ. IPS phải có khả năng chống được các tấn công khai thác các lỗ hổng bảo mật này ngay khi lỗ hổng bảo mật được phát hiện và công bố, thậm chí là trước khi bản vá của hãng phần mềm được phát hành.

Chống các tấn công vào các dịch vụ web: 60% các tấn công trên tầng ứng dụng nhằm vào các ứng dụng web. Trong đó, 3 loại tấn công là PHP File Include, Cross Site Scripting, và SQL Injection attacks chiếm đến 80% các tấn công nhằm vào ứng dụng web. Do vậy, các IPS phải được trang bị các phương thức chống tấn công thích hợp để chống lại các loại tấn công này.

Hạn chế các tấn công DoS/DDoS: các tấn công từ chối dịch vụ vẫn là một trong những công cụ được các hacker sử dụng để tấn công vào các hệ thống thông tin. Các tấn công này có thể gây nghẽn mạng, nhưng có rất nhiều tấn công DoS/DDó có chủ đích nhằm trực tiếp vào một server hoặc một dịch vụ nào đó. Các tấn công có chủ đích thường là làm server bị “crash” hoặc quá tải, làm tràn bộ đệm,…

Hỗ trợ nhanh chóng các giao thức mới: các công ty telco ở Việt nam đã bắt đầu triển khai các dịch vụ 3G, cung cấp các dịch vụ mobile broadband cho thuê bao. Tiềm năng kinh doanh là rất lớn, nhưng kèm theo đó cũng là các nguy cơ mới nảy sinh. Các nghiên cứu bảo mật đã chỉ ra rằng, các nguy cơ từ phía mobile broad sẽ trở nên ngang bằng với các nguy cơ đến từ internet trong thời gian tới, do vậy, hệ thống thông tin của các công ty viễn thông cũng phải được triển khai để ngăn chặn các nguy cơ mới này. Với IPS, các nhà cung cấp phải đảm bảo cho IPS ngăn chặn được các tấn công sử dụng các giao thức của dịch vụ 3G, như là GTP.

Khả năng cách ly (quarantine): không chỉ được triển khai tại lớp vành đai (perimeter) để chống các tấn công từ bên ngoài vào, các IPS còn được triển khai tại các lớp bên trong mạng, nhằm mục đích ngăn chặn các tấn công xuất phát từ bên trong, nhằm vào các hệ cơ sở dữ liệu, hệ thống lưu trữ hay các backend server.

Các bộ lọc hoạt động chính xác: IPS phải đảm bảo được tính chính xác trong quá trình ngăn chặn các traffic xấu, hay nói cách khác, tỷ lệ false positive (dương tính giả) phải là thấp nhất để tránh khả năng chặn cả các traffic hợp lệ của người dùng, gây ảnh hưởng xấu đến các hoạt động của doanh nghiệp, trong khi vẫn phải đảm bảo tỷ lệ false negative thấp, tránh việc để lọt các tấn công.

Cập nhật thường xuyên và kịp thời: với sự bùng nổ cấp IPS phải cập nhật các bộ lọc mới một cách thường xuyên, theo mỗi tuần, đồng thời, khi có tấn công nghiêm trọng nảy sinh, IPS phải được cập nhật trong thời gian ngắn nhất, thường trong khoảng 24-48h.

Quản trị và triển khai: các IPS thường có số lượng bộ lọc chống tấn công rất lớn (lên đến trên 4,000), do vậy, khi triển khai IPS, các quản trị sẽ rất khó khăn để cấu hình bộ lọc một cách thích hợp để chống tấn công. Các IPS của  các nhà cung cấp khác nhau sẽ có các cấu hình mặc định khác nhau. Số lượng bộ lọc được kích hoạt mặc định sẽ quyết định rất lớn đến khả năng bảo vệ của IPS ngay khi triển khai và trong một thời gian sau này.

2. Các dòng sản phẩm Tipping Point

Trend Micro IPS Tipping Point hỗ trợ nhiều dòng sản phẩm phù hợp với nhu cầu của người dùng như T Series, TX Series, N Series, NX Series, …