Chữ ký (Signature) trong IPS/IDS là gì?
Trong hệ thống Phát hiện xâm nhập (IDS) và Ngăn chặn xâm nhập (IPS), chữ ký (signature) là một mẫu (pattern) hoặc bộ quy tắc xác định đặc trưng của một hoạt động độc hại hoặc vi phạm chính sách đã biết. Nó có thể là:
- Chuỗi byte đặc trưng trong payload (ví dụ: shellcode, exploit string).
- Mẫu header/protocol bất thường (ví dụ: TCP flags invalid, DNS tunneling pattern).
- Hành vi chuỗi sự kiện (ví dụ: port scan -> brute force -> shell access).
- Hash của file độc hại (MD5, SHA256).
- YARA rule, Snort/Suricata rule, STIX/IOC pattern.
Khi traffic khớp với chữ ký -> IPS/IDS tạo sự kiện (alert), ghi log, chặn (nếu IPS inline mode).
Chữ ký đã nghỉ hưu (Retired Signature) là gì?
Retired Signature là chữ ký mà nhà cung cấp (vendor) hoặc quản trị viên đã chính thức ngừng sử dụng để quét/traffic matching. Trạng thái này có nghĩa:
- Chữ ký không được biên dịch (compile) vào bộ nhớ của engine IPS/IDS để so khớp real-time.
- Không tạo alert, không chặn traffic dựa trên chữ ký này.
- Vẫn tồn tại trong database/kho chữ ký (để tham khảo, audit, rollback).
- Thường đi kèm metadata: lý do retire, ngày retire, chữ ký thay thế (nếu có).
Tại sao chữ ký bị "nghỉ hưu"?
| Lý do |
Giải thích |
| False Positive cao |
Chữ ký khớp nhầm với traffic hợp pháp (update phần mềm, backup, ứng dụng nội bộ) gây noise, mệt mỏi analyst. |
| Mục tiêu tấn công đã lỗi thời |
Khai thác lỗ hổng rất cũ (Windows XP, IIS 6.0, Apache Struts 1) không còn tồn tại trong môi trường hiện đại. |
| Hiệu suất (Performance) |
Chữ ký phức tạp, tốn CPU/memory, làm chậm throughput. Retire để tối ưu hiệu năng. |
| Đã được thay thế bằng chữ ký tốt hơn |
Chữ ký mới (nguyên tử, behavioral, ML-based) bao quát rộng hơn, chính xác hơn. |
| Thay đổi giao thức/ứng dụng |
Ung dụng cập nhật version, thay đổi format traffic -> chữ ký cũ không còn khớp. |
| Chuyển sang mô hình phát hiện khác |
Vendor chuyển từ signature-based sang anomaly/ML/behavioral-based cho loại tấn công này. |
| Yêu cầu của khách hàng / Compliance |
Tổ chức yêu cầu retire do conflict với ứng dụng nội bộ, hoặc audit yêu cầu. |
Quản lý Retired Signature trên các nền tảng phổ biến
Cisco IPS / Firepower / Secure IPS
- Signature State:
Retired (mặc định vendor) hoặc User Retired (admin tự retire).
- Quản lý qua: Firepower Management Center (FMC) -> Policies > Access Control > Intrusion Policy > Signatures.
- Filter:
Signature State: Retired để xem danh sách.
- Hành động: Unretire (Kích hoạt lại) nếu cần (ví dụ: phát hiện lại malware cũ quay trở lại như Conficker, WannaCry).
- Cisco IOS IPS: Dùng CLI
ips signature ID retire / unretire.
Palo Alto Networks (PAN-OS)
- Threat ID có trạng thái:
retired trong threat vault.
- Admin không thể tự retire signature vendor, nhưng có thể tạo Exception (bypass) cho signature cụ thể trong Vulnerability Protection Profile / Anti-Spyware Profile.
- Xem retired signatures:
show threat-vault status hoặc Threat Vault web portal.
Fortinet FortiGate (FortiOS)
- IPS Signature có trạng thái
enable/disable. Vendor có thể set default disable cho signature cũ.
- Admin override:
config ips sensor -> edit -> set status disable.
- Xem danh sách:
diagnose ips signature list (filter status).
Snort / Suricata (Open Source)
- Rule file (.rules) -> comment dòng rule (thêm
# đầu dòng) hoặc xóa rule.
- Dùng
disabled keyword trong rule metadata (Suricata 4.0+): metadata: disabled true;.
- PulledPork / oinkmaster quản lý rule set tự động: có thể config
disablesid file.
Trend Micro / Check Point / Juniper / Trellix (McAfee)
- Đều có khái niệm tương tự: Vendor retired (mặc định tắt) + User override (enable/disable/exception).
- Quản lý qua Console quản trị trung tâm (SmartConsole, Trend Vision One, Junos Space, ePO).
Thực tiễn tốt nhất (Best Practices)
- KHÔNG tự retire signature vendor trừ khi có lý do kỹ thuật rõ ràng, đã test, có compensating control, và ghi nhận change management.
- Thay vào đó, hãy tạo Exception (Bypass): Chỉ bỏ qua signature đó cho zone/subnet/application cụ thể gây false positive. Giữ signature active cho phần còn lại của mạng.
- Review định kỳ (hàng quý): Danh sách User-Retired/Disabled signatures. Có cần unretire không? (Ví dụ: Emotet quay lại, vulnerability cũ bị khai thác lại).
- Theo dõi Release Notes của Vendor: Mỗi bản cập nhật signature (thường hàng ngày/tuần) liệt kê: New, Modified, Retired signatures. Đọc kỹ phần Retired.
- Test trước khi Deploy: Staging environment -> bật signature mới -> quan sát false positive 24-48h -> mới push production.
- Tuning dựa trên Environment: Môi trường không có Windows XP -> có thể retire/disable các signature chỉ target Windows XP exploits (nếu vendor chưa retire).
- Document mọi quyết định: Signature ID, lý do, người duyệt, ngày, compensating control, next review date.
Rủi ro của việc Retire Signature
- Mỗ hổng bảo mật (Security Gap): Nếu retire chữ ký phát hiện kỹ thuật tấn công vẫn còn hiệu lực (ví dụ: technique T1059 Command Shell, T1003 Credential Dumping) -> bỏ lỡ tấn công.
- Compliance Violation: Một số chuẩn (PCI-DSS Req 11.4) yêu cầu IPS/IDS phải bật chữ ký cho các loại tấn công phổ biến.
- Khó khăn khi Incident Response: Log thiếu sự kiện quan trọng vì signature đã tắt.
Kết luận
Retired Signature là cơ chế quản trị vòng đời chữ ký IPS/IDS cần thiết để duy trì hiệu năng và độ chính xác. Tuy nhiên, việc retire phải dựa trên dữ liệu, quy trình change management chặt chẽ, ưu tiên Exception hơn Retire toàn cục, và review định kỳ. Mục tiêu: Tín hiệu cao (High Fidelity Alerts), ít nhiễu (Low Noise), bao quát-threat tốt (Good Coverage).
