Phân tích lưu lượng mạng (Network Traffic Analysis - NTA)
NTA là loại giải pháp an ninh mạng giám sát truyền thông mạng, nhận diện mẫu và mối đe dọa bằng phân tích dữ liệu. Bao gồm: intercept (chặn), record (ghi lại), analyze (phân tích) các mẫu giao tiếp.
Traffic Analysis giúp Security Analyst như thế nào?
- Phát hiện hoạt động tấn công cần chặn/giảm thiểu chính xác
- Phát hiện hoạt động bất thường (anomaly) cần điều tra/sửa chữa
- Xác định hệ thống/rủi ro cần giám sát thường xuyên
- Hỗ trợ mã hóa end-to-end hoặc từ data center
Traffic Analysis trong bảo mật thông tin
Quy trình chặn và phân tích tin nhắn để rút ra kết luận từ mẫu giao tiếp. Có thể thực hiện ngay cả trên tin nhắn đã mã hóa. Kỹ thuật nâng cao dùng phân tích mạng xã hội (Social Network Analysis).
Tại sao Traffic Analysis quan trọng?
- Hiểu sâu, nhanh hơn về mạng → sẵn sàng hành động khi sự cố xảy ra
- Phát hiện zero-day threats, tấn công, bất thường
- Tối ưu hiệu suất mạng
- Phục vụ điều tra sự cố (forensics)
Tấn công Traffic Analysis (Traffic Analysis Attack)
- Kẻ tấn công nghe lén (eavesdrop) trên cùng mạng
- Thu thập metadata: ai nói với ai, khi nào, bao nhiêu dữ liệu, kích thước gói tin, tần suất
- Suy ra: vị trí node quan trọng, cấu trúc định tuyến, mẫu ứng dụng
- Dù nội dung được mã hóa, metadata vẫn tiết lộ thông tin nhạy cảm
Wireshark trong bảo mật
Phân tích giao thức mạng miễn phí, mạnh mẽ. Cho phép "hiển vi" traffic, lọc (filter), drill-down để chẩn đoán sự cố mạng và phát hiện tấn công.
Giải pháp bắt gói tin (Packet Capture) quan trọng vì sao?
Đội an ninh cần bắt 100% gói tin để phát hiện mối đe dọa hoặc vấn đề hiệu năng real-time. Không bắt đủ → bỏ lỗ tấn công.
3 loại traffic mạng
- Sensitive (Nhạy cảm): Dữ liệu tài chính, y tế, PII, IP - cần bảo vệ tối đa
- Best-effort (Nỗ lực tối đa): Web, email, file transfer - QoS bình thường
- Unwanted (Không mong muốn): Malware C2, spam, scan, DDoS - cần chặn
Bảo vệ traffic mạng
- Firewall bảo vệ service gateway
- Bắt buộc dùng SSL/TLS (mã hóa trong truyền)
- Cấu hình port gateway an toàn
- RBAC: phân quyền user/group truy cập component
- WebLogic Auditing: giám sát mọi truy cập mạng
- Account lockout policy