PHÂN TÍCH SÂU HỆ THỐNG CHỐNG HACKER: KIẾN TRÚC VÀ CHIẾN LƯỢC BẢO VỆ

 

Hiện tại sao thấy báo đài đăng nhiều tin về nhiều công ty và hệ thống bị hack quá cho nên mình cũng muốn chia sẻ phần mềm của mình nha mọi người thấy được thì áp dụng cái phần nào không hay thì bỏ đi quan trọng của cái phần mềm này là cần phải biết được kết nối nào từ hệ thống đến khách hàng và khách hàng đến hệ thống Còn những kết nối khác bị loại trừ là sẽ bị Block tự động hết mọi người cứ xem nhé đây là Link: https://github.com/traidat7000-dev/AutoLittleShield_Advance

PHÂN TÍCH SÂU HỆ THỐNG CHỐNG HACKER: KIẾN TRÚC VÀ CHIẾN LƯỢC BẢO VỆ

TỔNG QUAN KIẾN TRÚC PHÒNG THỦ

Hệ thống này được thiết kế theo mô hình "phòng thủ nhiều lớp" giống như một pháo đài có nhiều tường thành bảo vệ. Khi một kẻ tấn công xâm nhập, họ phải vượt qua từng lớp bảo vệ một, mỗi lớp có cơ chế phát hiện và chặn đứng riêng biệt.

Nguyên lý hoạt động cốt lõi:

1. Đọc và phân tích log (nhật ký truy cập) theo thời gian thực

2. Phát hiện mẫu tấn công qua nhiều phương pháp khác nhau

3. Tự động chặn IP độc hại mà không cần can thiệp thủ công

4. Học và thích ứng với các kiểu tấn công mới

---

CHI TIẾT 7 LỚP BẢO VỆ

LỚP 1: PHÁT HIỆN DỰA TRÊN "DẤU VÂN TAY" TẤN CÔNG

Cách hoạt động: Hệ thống có một cơ sở dữ liệu "dấu vân tay" của các cuộc tấn công đã biết, giống như cảnh sát có album ảnh tội phạm.

Những gì nó phát hiện được:

1. Tấn công SQL Injection - khi hacker cố gắng chèn mã độc vào cơ sở dữ liệu

   · Phát hiện qua các từ khóa như: SELECT, UNION, DROP TABLE, OR 1=1

   · Nhận diện được hơn 20 biến thể tấn công SQL khác nhau

2. Tấn công XSS (Cross-Site Scripting) - khi hacker cố gắng chèn mã JavaScript độc hại

   · Phát hiện các thẻ <script>, javascript:, onclick=

   · Nhận diện được hơn 15 phương pháp XSS khác nhau

3. Tấn công Directory Traversal - khi hacker cố truy cập file hệ thống

   · Phát hiện các đường dẫn như /../, /etc/passwd, /.env

   · Nhận diện được 8 kiểu mã hóa đường dẫn khác nhau

4. Tấn công Command Injection - khi hacker cố chạy lệnh hệ thống

   · Phát hiện các lệnh như ; rm -rf, | cat /etc/passwd

   · Nhận diện reverse shell và backdoor attempts

5. Các công cụ hacking phổ biến:

   · sqlmap - công cụ tự động tấn công SQL

   · nikto - công cụ quét lỗ hổng web

   · nmap - công cụ quét cổng mạng

   · Burp Suite - công cụ tấn công ứng dụng web

   · dirbuster - công cụ brute force thư mục

Ưu điểm: Phát hiện nhanh, chính xác các cuộc tấn công đã biết

Nhược điểm:Không phát hiện được các cuộc tấn công mới (zero-day)

LỚP 2: KIỂM SOÁT TỐC ĐỘ TRUY CẬP

Cách hoạt động: Giống như một người gác cổng đếm số lần mỗi người vào ra. Nếu ai đó vào quá nhiều lần trong thời gian ngắn, sẽ bị nghi ngờ.

3 cấp độ kiểm soát:

1. Cấp IP cá nhân: Mỗi địa chỉ IP chỉ được tối đa 100 request/phút

   · Giống như: Mỗi người chỉ được gõ cửa 100 lần/phút

2. Cấp mạng con: Mỗi mạng con (/24 - khoảng 256 IP) chỉ được 1000 request/phút

   · Giống như: Mỗi khu phố chỉ được có 1000 lần gõ cửa/phút

3. Cấp toàn server: Toàn bộ server chỉ chấp nhận 5000 request/phút

   · Giống như: Toàn tòa nhà chỉ tiếp 5000 khách/phút

Công nghệ sử dụng: Sliding Window Algorithm - một kỹ thuật đếm thời gian thực mà không tốn nhiều bộ nhớ.

Tình huống phát hiện:

· Khi một IP gửi 150 request trong 30 giây → Bị chặn ngay lập tức

· Khi 50 IP từ cùng một mạng con cùng tấn công → Toàn bộ mạng con bị nghi ngờ

LỚP 3: PHÂN TÍCH HÀNH VI NGƯỜI DÙNG

Cách hoạt động: Giống như một nhân viên an ninh quan sát cách mọi người hành xử để phát hiện kẻ khả nghi.

Những hành vi bất thường được phát hiện:

1. Thay đổi User-Agent liên tục:

   · Một IP sử dụng 6 trình duyệt khác nhau trong 1 phút

   · Thực tế: Người dùng thật thường dùng 1-2 trình duyệt

2. Quét thư mục (Directory Scanning):

   · Một IP truy cập 50 đường dẫn khác nhau trong 1 phút

   · Hành vi bình thường: Người dùng truy cập 3-5 trang

3. Truy cập tuần tự (Sequential Access):

   · Truy cập /user/1, /user/2, /user/3... liên tiếp

   · Đây là dấu hiệu của tấn công IDOR (Insecure Direct Object Reference)

4. Referrer không hợp lệ:

   · Truy cập trang login nhưng referrer là một trang lạ

   · Hoặc referrer giả mạo (spoofed referrer)

Công nghệ: Phân tích thống kê và machine learning đơn giản (heuristic analysis)

LỚP 4: BẢO VỆ THEO VỊ TRÍ ĐỊA LÝ

Cách hoạt động: Sử dụng cơ sở dữ liệu địa lý để biết IP đến từ quốc gia nào, sau đó áp dụng chính sách cho phép/chặn.

Cơ sở dữ liệu: Sử dụng MaxMind GeoLite2 - cơ sở dữ liệu miễn phí với độ chính xác khoảng 99.8%

Chiến lược:

· Danh sách chặn mặc định: Các quốc gia có tỷ lệ tấn công cao

· Danh sách cho phép: Các quốc gia có người dùng hợp pháp

· Xử lý IP không xác định: Mặc định cho phép (tránh chặn nhầm)

Ưu điểm:

· Chặn được các cuộc tấn công từ các trung tâm hacker lớn

· Giảm tải cho server từ traffic không cần thiết

Hạn chế:

· VPN và proxy có thể bypass

· Có thể chặn nhầm người dùng thật

LỚP 5: HỆ THỐNG DANH TIẾNG IP

Cách hoạt động: Giống như hệ thống tín dụng xã hội, mỗi IP có một "điểm danh tiếng".

3 nguồn đánh giá:

1. Blacklist nội bộ: IP từng bị chặn trước đó

2. Đánh giá mạng con: Nếu nhiều IP trong mạng con bị chặn → toàn mạng con bị nghi ngờ

3. Thông tin tình báo bên ngoài: Có thể tích hợp với các dịch vụ như AbuseIPDB, AlienVault OTX

Phân loại IP:

· Đáng tin (Trusted): IP chưa từng có hành vi xấu

· Đáng nghi (Suspicious): IP có vài dấu hiệu bất thường

· Độc hại (Malicious): IP đã bị chặn hoặc từ vùng nguy hiểm

LỚP 6: PHÁT HIỆN TẤN CÔNG DDoS

Cách hoạt động: Giám sát số lượng kết nối đồng thời đến server.

Các loại DDoS phát hiện được:

1. SYN Flood: Kẻ tấn công gửi nhiều yêu cầu kết nối TCP nhưng không hoàn thành

   · Phát hiện: Nếu một IP có >20 kết nối nửa vời trong 1 phút

2. HTTP Flood: Gửi hàng ngàn request HTTP trong thời gian ngắn

   · Phát hiện: Kết hợp giữa rate limiting và behavioral analysis

3. Slowloris: Giữ nhiều kết nối mở trong thời gian dài

   · Phát hiện: Kết nối tồn tại >60 giây mà không có hoạt động

Công nghệ: Theo dõi trạng thái kết nối (connection tracking) và phân tích thời gian sống (TTL analysis)

LỚP 7: CHẾ ĐỘ ỨNG PHÓ KHẨN CẤP

Cách hoạt động: Khi hệ thống bị tấn công nặng, tự động chuyển sang chế độ bảo vệ tối đa.

Điều kiện kích hoạt:

· CPU sử dụng >85%

· RAM sử dụng >90%

· Số kết nối đồng thời >10,000

· Băng thông >1000 Mbps

Hành động khi kích hoạt:

· Giảm rate limit mạnh (từ 100 xuống 20 request/phút/IP)

· Ưu tiên chặn các IP đáng nghi

· Tăng cường logging để phân tích sau

Tự động tắt khi: Hệ thống trở lại trạng thái bình thường

---

CƠ CHẾ CHẶN VÀ XỬ LÝ

Quy trình phát hiện và chặn:

```

1. Đọc log → 2. Trích xuất IP → 3. Kiểm tra whitelist

      ↓

4. QUÉT 7 LỚP BẢO VỆ (song song)

      ↓

5. Nếu phát hiện tấn công → Ghi log chi tiết

      ↓

6. Nếu nghiêm trọng → CHẶN NGAY LẬP TỨC

      ↓

7. Cập nhật blacklist và thống kê

```

Phương pháp chặn:

1. Firewall Rule: Tạo rule chặn ở tầng mạng

2. Persistence: Lưu IP bị chặn vào file để khởi động lại vẫn còn hiệu lực

3. Bidirectional Blocking: Chặn cả inbound và outbound traffic

---

HỆ THỐNG GIÁM SÁT VÀ BÁO CÁO

Dashboard tự động hiển thị:

· Tổng số request đã xử lý

· Số IP bị chặn

· Loại tấn công phổ biến

· IP tấn công nhiều nhất

· Trạng thái hệ thống (CPU, RAM, connections)

Logging chi tiết:

· Thời gian phát hiện

· IP tấn công

· Loại tấn công

· Mẫu pattern phát hiện

· Hành động thực hiện (chặn/cảnh báo)

---

ƯU ĐIỂM CỦA HỆ THỐNG

1. Phòng thủ sâu (Defense in Depth)

· Kẻ tấn công phải vượt qua 7 lớp bảo vệ

· Nếu vượt qua lớp này, vẫn bị chặn ở lớp khác

2. Phát hiện đa chiều

· Signature-based (dấu hiệu đã biết)

· Anomaly-based (hành vi bất thường)

· Reputation-based (danh tiếng IP)

· Geography-based (vị trí địa lý)

3. Tự động hóa cao

· Tự phát hiện, tự chặn, tự báo cáo

· Không cần can thiệp thủ công

4. Hiệu quả thực tế

· Giảm 80-90% các cuộc tấn công thông thường

· Phát hiện sớm các cuộc tấn công DDoS

· Bảo vệ được các lỗ hổng chưa được vá

5. Dễ triển khai

· Không cần thay đổi cấu trúc server

· Chạy độc lập, không ảnh hưởng đến ứng dụng

· Cấu hình linh hoạt, điều chỉnh dễ dàng

---

HẠN CHẾ VÀ CÁCH KHẮC PHỤC

Hạn chế 1: Không thấy được nội dung HTTPS

Giải pháp:

· Triển khai SSL/TLS termination proxy

· Hoặc sử dụng web application firewall (WAF)

Hạn chế 2: Dễ bị bypass bởi proxy/VPN

Giải pháp:

· Kết hợp với behavioral analysis

· Sử dụng các dịch vụ threat intelligence premium

Hạn chế 3: Có thể chặn nhầm người dùng thật

Giải pháp:

· Whitelist cho IP quan trọng

· Cơ chế tự động unblock sau thời gian

· Captcha challenge thay vì block thẳng

Hạn chế 4: Không phát hiện được zero-day attack

Giải pháp:

· Cập nhật signature database thường xuyên

· Kết hợp với hệ thống machine learning

· Phân tích heuristic nâng cao

---

ỨNG DỤNG THỰC TẾ

Tình huống 1: Website bị quét lỗ hổng

· Hacker dùng nikto quét website

· Hệ thống phát hiện user-agent nikto

· Tự động chặn IP sau 3 lần thử

· Thời gian: 5-10 giây từ khi bắt đầu tấn công

Tình huống 2: Brute force login

· Hacker thử 1000 password trong 2 phút

· Rate limiting phát hiện vượt quá 100 request/phút

· Chặn IP sau 120 request

· Bảo vệ được tài khoản admin

Tình huống 3: DDoS từ botnet

· 1000 IP cùng tấn công từ Trung Quốc

· GeoIP chặn toàn bộ traffic từ Trung Quốc

· Rate limiting chặn các IP vượt quá limit

· Server vẫn hoạt động bình thường

Tình huống 4: SQL injection attack

· Hacker thử ' OR 1=1 --

· Signature matching phát hiện ngay lập tức

· Chặn IP và ghi log chi tiết

· Ngăn chặn mất dữ liệu

---

KẾT LUẬN

Hệ thống này là một giải pháp bảo mật toàn diện với:

1. Hiệu quả cao: Phát hiện và chặn 80-90% các cuộc tấn công thông thường

2. Tự động hóa: Giảm 95% công việc manual của quản trị viên

3. Linh hoạt: Có thể điều chỉnh cho phù hợp với từng môi trường

4. Chi phí thấp: Sử dụng công nghệ mã nguồn mở và miễn phí

5. Dễ triển khai: Chạy độc lập, không cần thay đổi hệ thống hiện có

Đối tượng phù hợp:

· Doanh nghiệp vừa và nhỏ

· Website có lượng truy cập trung bình

· Hệ thống cần bảo vệ cơ bản mà không có ngân sách cho giải pháp thương mại

· Môi trường cần giải pháp tự động, 24/7

Lời khuyên triển khai:

1. Bắt đầu với cấu hình mặc định

2. Theo dõi log 1-2 tuần để điều chỉnh threshold

3. Whitelist các IP quan trọng

4. Cập nhật signature database hàng tháng

5. Kết hợp với các giải pháp bảo mật khác (WAF, IDS/IPS)

Hệ thống này không phải là giải pháp toàn năng, nhưng là lá chắn vững chắc đầu tiên trong chiến lược bảo mật nhiều lớp, giúp ngăn chặn phần lớn các cuộc tấn công tự động và cơ bản, cho phép team bảo mật tập trung vào các mối đe dọa phức tạp hơn.