IDS - Hệ thống Phát hiện Xâm nhập (Intrusion Detection System)
IDS là giải pháp phần mềm/phần cứng giám sát lưu lượng mạng/hệ thống, phát hiện hoạt động đáng ngờ/độc hại và gửi cảnh báo – KHÔNG chặn tự động (khác IPS).
1. Phân loại chính
| Loại | Viết tắt | Mô tả | Ví dụ |
|---|---|---|---|
| Network-based | NIDS | Giám sát gói tin trên mạng (tap/span port). Phát hiện quét cổng, DoS, exploit mạng. | Snort, Suricata, Zeek (Bro), Cisco FirePOWER |
| Host-based | HIDS | Cài agent trên endpoint/server. Giám sát log, file integrity, process, registry. | OSSEC/Wazuh, Tripwire, AIDE, Sysmon |
| Perimeter-based | PIDS | Đặt ở biên giới mạng (DMZ, gateway). | Kết hợp NIDS + HIDS |
| VM-based | VMIDS | Giám sát môi trường ảo/hypervisor. | VMware AppDefense, AWS GuardDuty |
2. Phương pháp phát hiện
- Signature-based (Dựa trên chữ ký): So khớp pattern đã biết (như antivirus). Nhanh, chính xác với tấn công biết, nhưng bỏ lỡ zero-day.
- Anomaly-based (Dựa trên bất thường): Học baseline hành vi bình thường, cảnh báo khi lệch. Phát hiện zero-day, nhưng tỷ lệ false positive cao.
- Hybrid: Kết hợp cả hai.
3. IDS vs IPS (Intrusion Prevention System)
| Đặc điểm | IDS | IPS |
|---|---|---|
| Chức năng chính | Phát hiện & Cảnh báo (Detect & Alert) | Phát hiện & Ngăn chặn (Detect & Prevent) |
| Vị trí triển khai | Out-of-band (TAP/SPAN) – không ng断 lưu lượng | In-line – trực tiếp trên đường truyền |
| Rủi ro | Không làm gián đoạn dịch vụ | False positive có thể block traffic hợp pháp |
| Ví dụ | Snort (mode IDS), Suricata (IDS mode) | Snort (IPS mode), Suricata (IPS), Palo Alto, FortiGate IPS |
4. Quy trình vận hành IDS
- Thu thập dữ liệu (packet capture, log, netflow).
- Phân tích (signature, anomaly, behavioral).
- Tạo cảnh báo (alert) với mức độ nghiêm trọng.
- Gửi đến SIEM/SOC để phân tích, triage, response.
5. Ưu/nhược điểm
- Ưu: Phát hiện sớm, tuân thủ compliance, forensic evidence, không ảnh hưởng throughput.
- Nhược: False positive/negative cao, không chặn tự động, cần SOC/analyst 24/7, tuning liên tục.
6. Các giải pháp IDS phổ biến
- Open Source: Snort, Suricata, Zeek, Wazuh (HIDS), Security Onion (distro toàn diện).
- Commercial: Cisco Secure IDS/IPS (FirePOWER), Palo Alto Networks, FortiGate IPS, Check Point IPS, Trend Micro TippingPoint, Darktrace (AI/ML).
- Cloud/Managed: AWS GuardDuty, Azure Defender, Google Cloud IDS, Arctic Wolf, Red Canary.
Best Practice: Triển khai IDS + IPS + SIEM + SOC 24/7, tuning rule định kỳ, tích hợp Threat Intelligence.