Chuyển tới nội dung chính

Giám Sát Traffic Mạng Phát Hiện Bất Thường

Giới Thiệu​

Trong bối cảnh mối đe dọa an ninh mạng ngày càng phức tạp, việc giám sát traffic mạng để phát hiện các hoạt động bất thường là một yếu tố then chốt để bảo vệ hạ tầng và dữ liệu của tổ chức. Bài viết này sẽ hướng dẫn bạn cách thiết lập và thực hiện giám sát traffic mạng, từ việc thu thập dữ liệu đến phân tích và nhận diện các dấu hiệu đáng ngờ. Việc phát hiện sớm các bất thường có thể giúp ngăn chặn các cuộc tấn công, giảm thiểu thiệt hại và duy trì tính liên tục của hoạt động kinh doanh.

📋 Thời gian: 45 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện theo hướng dẫn này, bạn cần có:

  • Một hệ thống Linux (Ubuntu, CentOS, Debian) hoặc macOS để cài đặt và chạy các công cụ.
  • Quyền truy cập root hoặc sudo trên hệ thống.
  • Hiểu biết cơ bản về mạng máy tính (địa chỉ IP, cổng, giao thức).
  • Kiến thức cơ bản về dòng lệnh Linux.

Các Bước Thực Hiện​

Bước 1: Hiểu về Traffic Mạng và Định nghĩa Bất Thường​

Trước khi bắt đầu giám sát, điều quan trọng là phải hiểu rõ traffic mạng "bình thường" của bạn trông như thế nào. Bất thường có thể là bất kỳ hoạt động nào đi chệch khỏi mẫu hình hoặc hành vi đã biết. Ví dụ: lưu lượng truy cập tăng đột biến không giải thích được, kết nối đến các quốc gia lạ, hoặc việc sử dụng các cổng/giao thức không mong muốn.

💡 Mẹo: Ghi lại baseline (đường cơ sở) của traffic mạng trong giai đoạn hoạt động bình thường để có điểm so sánh.

Bước 2: Chọn và Cài đặt Công cụ Giám sát Traffic​

Có nhiều công cụ có thể giúp bạn thu thập và phân tích traffic mạng. Trong hướng dẫn này, chúng ta sẽ tập trung vào tcpdump để thu thập dữ liệu cơ bản và giới thiệu về các công cụ nâng cao hơn.

Cài đặt tcpdump (trên hệ thống Debian/Ubuntu):

# Cập nhật danh sách gói
sudo apt update

# Cài đặt tcpdump
sudo apt install tcpdump

Cài đặt tcpdump (trên hệ thống CentOS/RHEL):

# Cập nhật danh sách gói
sudo yum update

# Cài đặt tcpdump
sudo yum install tcpdump

⚠️ Lưu ý: tcpdump cần quyền root để chạy.

Bước 3: Thu thập Traffic Mạng​

Sử dụng tcpdump để bắt gói tin mạng. Bạn có thể chỉ định interface (giao diện mạng), số lượng gói tin, và lưu kết quả vào file để phân tích sau.

# Liệt kê các interface mạng có sẵn
tcpdump -D

# Bắt 1000 gói tin trên interface eth0 và lưu vào file traffic.pcap
# Thay thế 'eth0' bằng tên interface mạng của bạn (ví dụ: enp0s3, wlan0)
sudo tcpdump -i eth0 -c 1000 -w traffic.pcap

# Bắt gói tin trên interface eth0, chỉ hiển thị traffic HTTP (port 80) và HTTPS (port 443)
# -n: không phân giải tên miền
# -v: hiển thị chi tiết hơn
sudo tcpdump -i eth0 -n -v 'port 80 or port 443'

# Bắt gói tin từ một địa chỉ IP cụ thể (ví dụ: 192.168.1.100)
sudo tcpdump -i eth0 -n host 192.168.1.100

# Bắt gói tin và hiển thị nội dung gói tin ở dạng ASCII (-A) hoặc Hex/ASCII (-X)
# Cẩn thận khi sử dụng trên mạng production vì có thể hiển thị dữ liệu nhạy cảm
# sudo tcpdump -i eth0 -c 100 -A

Bước 4: Phân tích Dữ liệu để Phát hiện Bất thường​

Sau khi đã thu thập dữ liệu, bạn cần phân tích nó. Với tcpdump, bạn có thể xem lại file .pcap bằng Wireshark (một công cụ phân tích GUI mạnh mẽ) hoặc tiếp tục sử dụng tcpdump với các bộ lọc.

Sử dụng Wireshark để phân tích file .pcap:

  1. Chuyển file traffic.pcap sang máy tính có cài đặt Wireshark.
  2. Mở Wireshark và chọn File > Open để mở traffic.pcap.
  3. Sử dụng các bộ lọc của Wireshark để tìm kiếm các dấu hiệu bất thường:
    • ip.addr == 192.168.1.10: Lọc theo địa chỉ IP.
    • tcp.flags.syn == 1 and tcp.flags.ack == 0 and tcp.flags.fin == 0: Tìm kiếm các gói tin SYN (có thể là dấu hiệu của scan cổng).
    • http.request.method == "POST": Lọc các yêu cầu HTTP POST.
    • data.len > 1000: Tìm các gói tin có kích thước lớn bất thường.

Phân tích với tcpdump và các lệnh Linux: Bạn có thể trích xuất thông tin từ file .pcap và sử dụng các công cụ dòng lệnh khác để phân tích.

# Đọc file .pcap và hiển thị các kết nối TCP
# -r: đọc từ file
# -n: không phân giải tên miền
sudo tcpdump -r traffic.pcap -n 'tcp' | less

# Trích xuất các địa chỉ IP nguồn và đích, sau đó đếm số lượng kết nối từ mỗi IP nguồn
sudo tcpdump -r traffic.pcap -n | awk '{print $3}' | cut -d'.' -f1-4 | sort | uniq -c | sort -nr

# Tìm kiếm các kết nối đến các cổng ít dùng (ví dụ: cổng > 1024 không phải HTTP/HTTPS)
# Đây là một ví dụ đơn giản, trong thực tế cần bộ lọc phức tạp hơn
sudo tcpdump -r traffic.pcap -n 'tcp and (dst port > 1024 and not dst port 80 and not dst port 443)'

Các dấu hiệu bất thường cần tìm:

  • Tăng đột biến lưu lượng: Lượng dữ liệu hoặc số lượng kết nối tăng đột ngột.
  • Kết nối đến các địa chỉ IP lạ/đen: Các IP không thuộc dải IP nội bộ hoặc được biết đến là độc hại.
  • Sử dụng cổng/giao thức không chuẩn: Ví dụ, traffic HTTP trên cổng không phải 80/8080.
  • Quét cổng (Port Scanning): Nhiều gói tin SYN đến nhiều cổng khác nhau trên một host.
  • Truy cập vào tài nguyên nhạy cảm: Các yêu cầu truy cập file hoặc thư mục không được phép.
  • Lỗi xác thực liên tục: Nhiều lần đăng nhập thất bại từ một nguồn.

Bước 5: Thiết lập Cảnh báo và Phản ứng​

Sau khi phát hiện bất thường, bạn cần có cơ chế cảnh báo và quy trình phản ứng.

  • Cảnh báo đơn giản: Đối với các hệ thống nhỏ, bạn có thể viết script để chạy tcpdump định kỳ và gửi email cảnh báo nếu phát hiện một mẫu hình cụ thể.
  • Hệ thống NIDS/SIEM: Đối với môi trường lớn hơn, hãy cân nhắc sử dụng Hệ thống Phát hiện Xâm nhập Mạng (NIDS) như Suricata hoặc Zeek (trước đây là Bro), kết hợp với một hệ thống Quản lý Sự kiện và Thông tin An ninh (SIEM) như ELK Stack (Elasticsearch, Logstash, Kibana) hoặc Splunk. Các hệ thống này có thể tự động phát hiện, phân từch và cảnh báo về các bất thường dựa trên các quy tắc và mô hình học máy.

Troubleshooting​

  • tcpdump: eth0: No such device exists: Đảm bảo bạn đã thay thế eth0 bằng tên interface mạng chính xác trên hệ thống của mình. Dùng tcpdump -D hoặc ip a để tìm tên interface.
  • Không thấy traffic mong muốn:
    • Kiểm tra lại bộ lọc tcpdump của bạn. Có thể bộ lọc quá chặt.
    • Đảm bảo tcpdump đang lắng nghe trên đúng interface mà traffic đi qua.
    • Kiểm tra tường lửa trên máy chủ hoặc mạng của bạn có đang chặn traffic không.
  • File .pcap quá lớn: Sử dụng -c để giới hạn số lượng gói tin hoặc -G để xoay vòng file sau một khoảng thời gian nhất định. 
    # Bắt gói tin trong 60 giây và lưu vào file có tên dựa trên timestamp
    sudo tcpdump -i eth0 -w traffic-%Y%m%d%H%M%S.pcap -G 60
  • Phân tích thủ công quá mất thời gian: Đây là lý do cần các công cụ NIDS/SIEM. Bắt đầu với các công cụ này khi bạn đã quen với việc giám sát cơ bản.

Kết Luận​

Giám sát traffic mạng là một phần không thể thiếu của chiến lược an ninh mạng hiệu quả. Bằng cóch thu thập và phân tích dữ liệu mạng, bạn có thể nhanh chóng phát hiện các hoạt động bất thường, từ đó chủ động ứng phó với các mối đe dọa. Bắt đầu với các công cụ cơ bản như tcpdump và Wireshark để xây dựng nền tảng, sau đó dần chuyển sang các giải pháp NIDS và SIEM mạnh mẽ hơn để tự động hóa và mở rộng khả năng giám sát của bạn.

✅ Best Practices:

  • Thiết lập Baseline: Luôn có một cái nhìn rõ ràng về trạng thái "bình thường" của mạng.
  • Kết hợp nhiều nguồn dữ liệu: Không chỉ traffic mạng, mà cả log hệ thống, log ứng dụng cũng rất quan trọng.
  • Tự động hóa: Sử dụng NIDS/SIEM để tự động hóa việc phát hiện và cảnh báo.
  • Đào tạo: Đảm bảo đội ngũ của bạn được đào tạo để nhận diện và phản ứng với các bất thường.
  • Kiểm tra định kỳ: Thường xuyên kiểm tra và cập nhật các quy tắc phát hiện bất thường của bạn.

Xem thêm: