Hệ thống phát hiện xâm nhập (Intrusion Detection System

IDS là gì?

Hệ thống Phát hiện Xâm nhập (Intrusion Detection System - IDS) là giải pháp bảo mật (phần mềm/phần cứng/hybrid) giám sát lưu lượng mạng hoặc hoạt động hệ thống để phát hiện hành vi độc hại, vi phạm chính sách hoặc bất thường, sau đó cảnh báo (Alert) cho đội ngũ bảo mật. IDS KHÔNG CHẶN (khác với IPS - Intrusion Prevention System).

Phân loại IDS

Loại	Vị trí triển khai	Nguồn dữ liệu	Phát hiện được	Ví dụ
NIDS (Network-based IDS)	Điểm chiến lược mạng (Core Switch SPAN/TAP, Internet Edge, DC Edge, Segment Boundary)	Traffic mạng (Packet capture: SPAN, TAP, ERSPAN, VPC Traffic Mirroring)	Network scans, Exploits (CVE), C2 Beaconing, Lateral Movement, Data Exfil, Malware Traffic, Protocol Anomaly, DDoS	Suricata, Snort, Zeek (Bro), Cisco Secure IDS (FirePOWER), Trellix NS, Darktrace (NDR), Vectra, ExtraHop, Corelight
HIDS (Host-based IDS)	Trên từng Endpoint/Server (Agent)	System Call, File Integrity (FIM), Log (Event Log, Syslog, Auditd), Registry, Process Tree, Memory, Network Socket (local)	Malware execution, Privilege Escalation, Persistence, Credential Access, Fileless Attack, Rootkit, Unauthorized Config Change	OSSEC/Wazuh (Open Source), Elastic Defend, CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Trend Micro Apex One, Auditd + Auditbeat
PIDS (Protocol-based IDS)	Server ứng dụng/Web Server/Database	Application Protocol (HTTP, SQL, RPC, DNS, SMTP)	SQLi, XSS, Command Injection, API Abuse, Protocol Violation	ModSecurity (WAF mode IDS), AppLayer IDS
APIDS (Application Protocol-based IDS)	Middleware/Application Server	Application Logic, Business Transaction	Business Logic Flaw, Fraud, Account Takeover	Custom / APM Security Module
Hybrid IDS / NDR (Network Detection & Response)	Kết hợp NIDS + Behavioral Analytics + ML + Threat Intel	Network Traffic + Cloud Logs + Identity + Endpoint Telemetry	Unknown/Zero-day, Low-and-slow, Encrypted Traffic Analysis (ETA), Insider Threat	Darktrace, Vectra AI, ExtraHop Reveal(x), Corelight, Stamus Networks, Awake Security (Arista), Lastline (VMware)

Phương pháp phát hiện (Detection Methodologies)

Signature-based (Misuse Detection): So khớp pattern (Signature/Rule) đã biết (Snort/Suricata rules, YARA, Sigma). Ưu: Chính xác cao known threats. Nhược: Không bắt Zero-day, cần cập nhật liên tục.
Anomaly-based (Behavioral/Statistical/ML): Xây dựng Baseline (Normal Behavior) → Phát hiện Deviation. Ưu: Bắt Zero-day, Unknown. Nhược: False Positive cao, cần tuning, training data.
Hybrid: Kết hợp cả hai (Đa số giải pháp hiện đại).
Threat Intelligence Matching: So khớp IOC (IP, Domain, Hash, Cert) với Feed TI.

Kiến trúc triển khai IDS hiệu quả

Internet
   │
   ▼
[Border Router] ──► [TAP/SPAN] ──► [NIDS Sensor Cluster (Suricata/Zeek/Suricata)]
   │                           │
   │                           ▼
   │                    [Log/Alert] ──► [SIEM (Splunk/Elastic/Sentinel)]
   │                           │
   ▼                           ▼
[Firewall/IPS] ◄──────── [SOAR Auto-Block / Manual Review]
   │
   ▼
[Internal Network] ──► [Segmentation: VLAN/Micro-seg]
   │                         │
   │                    [TAP/SPAN per Segment] ──► [NIDS/NDR per Segment]
   │                         │
   ▼                         ▼
[Servers/Endpoints] ──► [HIDS/EDR Agent (Wazuh/Elastic/CrowdStrike/MDE)]
   │
   ▼
[Central Log & SIEM] ◄── All Logs/Alerts
   │
   ▼
[SOC Analyst / Threat Hunter / SOAR Playbook]

Cảnh báo (Alert) & Xử lý sự kiện (Alert Triage)

Ingest: Syslog/CEF/JSON/OTLP → SIEM.
Enrichment: GeoIP, ASN, Threat Intel (VT, OTX, MISP), Asset Context (CMDB), User Identity (IAM/AD).
Correlation/Deduplication: Rule/ML gom nhóm alert liên quan → Incident.
Prioritization (Triage): Severity (Critical/High/Med/Low) + Asset Criticality + Threat Context + MITRE ATT&CK Mapping.
Investigation: Query SIEM/NDR/EDR → Timeline, Scope, Root Cause, IOC Extraction.
Containment/Eradication/Recovery: Block IP/Domain (Firewall/Proxy), Quarantine Host (EDR/NAC), Reset Cred, Restore Backup.
Post-Incident: Report, Lessons Learned, Detection Improvement (New Rule, Tuning), Threat Intel Sharing.

IDS vs IPS vs Firewall vs NDR

Đặc điểm	IDS	IPS	Firewall (L3/L4)	NDR
Chức năng chính	Detect & Alert	Detect & Block (Inline)	Allow/Deny Policy (Stateful)	Detect (ML/Behavior) + Response
Vị trí	Out-of-band (SPAN/TAP)	Inline (Bridge/Router)	Inline (Gateway/Segment)	Out-of-band (SPAN/TAP/Mirror)
Impact on Traffic	Không (Passive)	Có (Latency, Fail-open/bypass)	Có (Policy Enforcement)	Không (Passive)
Encrypted Traffic	Khó (cần SSL Decrypt)	Khó (cần SSL Decrypt)	Khó (cần SSL Decrypt)	Encrypted Traffic Analysis (ETA/ML)
Zero-day/Unknown	Yếu (Signature-based)	Yếu (Signature-based)	Không (Policy-based)	Mạnh (Behavioral/ML)
Response	Manual / SOAR	Auto Block (Inline)	Auto Deny (Policy)	Auto/Manual via Integration (Firewall/NAC/EDR API)

Best Practice vận hành IDS

Tuning liên tục: Suppress False Positive (Noise), Update Signature (Daily/Weekly), Custom Rule cho môi trường riêng.
Coverage Mapping: MITRE ATT&CK Coverage Dashboard – đảm bảo phủ các Technique quan trọng (T1021, T1040, T1071, T1571...).
Encrypted Traffic Visibility: TLS Decryption (Proxy/IDS) hoặc ETA (JA3/JA3S, SNI, Cert Analysis, Flow Behavior).
High-Fidelity Alerts: Ưu tiên Alert có Context đầy đủ (PCAP, File, Process Tree, MITRE Tag).
Integration: SIEM (Alerting), SOAR (Auto-enrich/Contain), Ticketing (Jira/ServiceNow), ChatOps (Slack/Teams).
Health Monitoring: Sensor Up/Down, Capture Rate, Drop Rate, Disk/CPU/Mem, License.
Purple Team Exercise: Định kỳ mô phỏng tấn công (Atomic Red Team, Caldera) → Verify Detection Coverage.