Đồ án tốt nghiệp
LỜI CẢM ƠN
Để có thể hoàn thành được đồ án tốt nghiệp này là một quá trình tích
lũy kiến thức lâu dài dưới mái trường học viện. Trong quá trình đó, học tập
của em đã nhận được sự hướng dẫn, giúp đỡ rất tận tình của Thầy Cô, bạn bè.
Em xin chân thành gửi lời cảm ơn đến tất cả các Thầy Cô giáo của Học
Viện Kỹ thuật mật mã đã tận tình hướng dẫn và truyền đạt kiến thức cho em,
nó sẽ là hành trang quý giá nhất cho em bước vào đời.
Em xin chân thành cảm ơn Tiến sỹ Nguyễn Hông Quang tận tình chỉ
bảo và đóng góp ý kiến trong trong suốt quá trình em làm đồ án tốt nghiệp
này.
Em xin cảm ơn các Thầy Cô trong khoa An toàn thông tin đã tạo điều
kiện cho em hoàn thành tốt đồ án tốt nghiệp này.
Cuối cùng em cũng xin cảm ơn gia đình, bạn bè những người thân luôn
bên cạnh động viên, giúp đỡ và tạo mọi điều kiện thuận lợi cho em.
Do còn hạn chế về kiến thức và kinh nghiệm nên luân văn còn nhiều
thiếu sót em rất mong được sự phê bình, đánh giá và góp ý của thầy cô và các
bạn.
Em xin chân thành cảm ơn!
Hà nội, Ngày Tháng 06 Năm 2009.
Sinh viên
Lê Minh Hùng
1
Đồ án tốt nghiệp
MỤC LỤC
LỜI CẢM ƠN 1
MỤC LỤC 2
MỞ ĐẦU 5
CHƯƠNG I 7
TỔNG QUAN VỀ HỆ THỐNG PHÁT HIỆN XÂM NHẬP 7
1.1. Tổng quan về các nguy cơ an ninh 7

2.2.4. Hệ thống ghi và cảnh báo 41
2.2.5. Bộ phận đầu ra 41
2.3. Các chế độ làm việc của Snort 42
2.3.1. Chế độ “lắng nghe” mạng 42
2.3.2. Chế độ phát hiện xâm nhập mạng 44
2.4. Làm việc với tập luật của Snort 45
2.4.1. Luật dở đầu tiên: 46
2.4.2. Cấu trúc chung của luật trong Snort 46
2.4.2.1. Rule header 46
2.4.2.2. Rule option 48
CHƯƠNG III 56
TRIỂN KHAI SNORT BẢO VỆ HÊ THỐNG MẠNG 56
3.1. Tiêu chí triển khai 56
3.1.2. Một số chú ý khi triển khai 56
3.1.2. Các hệ thống và mạng phải giám sát 57
3.1.3. Tạo các điểm kết nối 58
3.1.4. Lưu lượng mã hóa 58
3.1.5. Bảo mật bộ cảm biến Snort 59
3.1.6. Chọn một hệ điều hành 59
3.1.7. Cấu hình các giao diện 60
3.2. Xây dựng snort bảo vệ hệ thống mạng 61
3.2.1. Tham khảo một số mô hình thực tế 61
3.2.2. Xây dựng mô hình 63
3.4. Triển khai cơ sở hạ tầng 65
3.4.1. Cấu hình 65
3.4.2. Cài đặt snort trong hệ thống ubuntu 65
3.4.3. Cấu hình với file Snort.conf 69
3.5. Phân tích snort bảo vệ hệ thống trước các cuộc tấn công 75
3.5.1. Mô hình tấn công 75
3.5.2. Tấn công Dos 75

học và các cơ quan nhà nước, các tổ chức quân sự, nhà băng, …một số vụ tấn
công với quy mô khổng lồ (có tới 100.000 máy tính bị tấn công). Hơn nữa
những con số này chỉ là phần nổi của tảng băng trôi. Một phần rất lớn các vụ
tấn công không được thông báo vì nhiều lý do, trong đó có thể kể đến nỗi lo
mất uy tín hoặc chỉ đơn giản những người quản trị dự án không hề hay biết
những vụ tấn công nhằm vào hệ thống của họ.
Không chỉ các vụ tấn công tăng lên nhanh chóng mà các phương pháp
tấn công cũng liên tục được hoàn thiện. Điều đó một phần do các nhân viên
quản trị hệ thống ngày càng đề cao cảnh giác. Vì vậy việc kết nối vào mạng
Internet mà không có các biện pháp đảm bảo an ninh thì cũng được xem là tự
sát.
Từ nhu cầu phát triển, đòi hỏi các cơ quan, tổ chức phải hòa mình vào
mạng toàn cầu, mạng Internet song vẫn phải đảm bảo an toàn thông tin trong
quá trình kết nối. Bởi vậy, em đã quyết định chọn đề tài”Tìm hiểu và nghiên
cứu hệ thống phần mềm phát hiện và phòng chống xâm nhập”, nhằm
giám sát luồng thông tin ra, vào và bảo vệ các hệ thống mạng khỏi sự tấn
công từ Internet. Nội dung đề tài này sẽ trình bày một cách khái quát về hệ
thống phát hiện và phòng chống xâm nhập(IDS&IPS), cách bảo vệ mạng
bằng Snort, cách xây dựng Snort trên hệ thống mã nguồn mở sao cho hệ
thống vừa an toàn vừa tiết kiệm một cách tối đa.
Nội dung chính của đề tài gồm 3 chương như sau:
5
Đồ án tốt nghiệp
Chương 1: Tổng quan về hệ thống phát hiện và phòng chống xâm
nhập.
Chương này mô tả khái niệm, vai trò và những ưu nhược điểm của hệ
thống phát hiện nhập, nghiên cứu mô hình kiến trúc và hoạt động của hệ
thống phát hiện và phòng chống xâm nhập
Chương 2: Cấu trúc snort, chức năng snort, luật snort.
Nghiên cứu về hệ thống Snort bao gồm: cấu trúc, các thành phần, chế

muốn biết có bao nhiêu bảo vệ đang làm nhiệm vụ, bao nhiêu camera, vị trí
của chúng và đường thoát hiểm. Thăm dò là một kiểu tấn công, nó cũng là
một giai đoạn tấn công.
7
Đồ án tốt nghiệp
Hình 1: Tấn công thăm dò IP.
1.1.1.2. Kiểu tấn công truy cập.
Truy cập là một thuật ngữ rộng miêu tả bất kỳ kiểu tấn công nào đòi
hỏi người xâm nhập lấy được quyền truy cập trái phép của một hệ thống bảo
mật với mục đích thao túng dữ liệu, nâng cao đặc quyền, hay đơn giản chỉ là
truy cập vào hệ thống:
a). Tấn công truy cập hệ thống: Truy cập hệ thống là hành động nhằm
đạt được quyền truy cập bất hợp pháp đến một hệ thống mà ở đó hacker
không có tài khoản sử dụng. Hacker thường tìm kiếm quyền truy cập đến một
thiết bị bằng cách chạy một đoạn mã hay bằng những công cụ hack (hacking
tool), hay là khai thác một yếu điểm của ứng dụng hoặc một dịch vụ đang
chạy trên máy chủ.
b). Tấn công truy cập thao túng dữ liệu: Thao túng dữ liệu xuất hiện
khi kẻ xâm nhập đọc, viết, xóa, sao chép hay thay đổi dữ liệu. Nó có thể đơn
giản như việc tìm phần mềm chia sẻ (share) trên máy tính Window 9x hay
NT, hay khó hơn như việc cố gắng xâm nhập một hệ thống tín dụng của cục
thông tin (credit bureau’s information).
c). Tấn công truy cập nâng cao đặc quyền: Nâng cao đặc quyền là
một dạng tấn công phổ biến. Bằng cách nâng cao đặc quyền, kẻ xâm nhập có
thể truy cập vào các files hay folder dữ liệu mà tài khoản người sử dụng ban
đầu không được cho phép truy cập. Khi hacker đạt được mức độ quyền truy
cập đủ cao, họ có thể cài đặt phần mềm như là backdoors và Trojan horses,
cũng như cho phép truy cập sâu hơn và thăm dò. Mục đích chung của hacker
là chiếm được quyền truy cập ở mức độ quản trị. Khi đã đạt được mục đích
đó, họ có toàn quyền điều khiển hệ thống mạng.

xác định mục tiêu là động cơ đằng sau sự xâm nhập. Hầu hết những script
kiddies (hacker mới vào nghề) bị thúc đẩy bởi sự hồi hộp, gay cấn trong khi
đó những hacker cao cấp bị thúc đẩy bởi những động cơ như thử thách trí tuệ,
trả thù, kiếm tiền bất hợp pháp.
b). Giai đoạn hai thăm dò: Giai đoạn thăm dò, như chính tựa đề của
nó, là giai đoạn mà hacker sử dụng nhiều nguồn tài nguyên để thu thập thông
tin về hệ thống đối tượng. Thông thường những hacker có kinh nghiệm
thường thu thập những thông tin về công ty đối tượng, như là vị trí của công
ty, số điện thoại, tên của những nhân viên, địa chỉ e-mail, tất cả đều hữu dụng
với người xâm nhập có kinh nghiệm.
c). Giai đoạn thứ ba giai đoạn tấn công: Giai đoạn cuối cùng là giai
đoạn tấn công. Trong giai đoạn tấn công kẻ xâm nhập bắt đầu cố gắng xâm
nhập mạng và tài nguyên hệ thống trên mạng. Bằng cách sử dụng các thông
tin đã thu thập được, một vài hacker có thể thực hiện việc tấn công nhiều lần
cho đến khi phát hiện được lỗi bảo mật để có thể khai thác.
1.1.1.4. Kiểu tấn công qua ứng dụng web.
Theo số liệu thống kê từ các công ty bảo mật hàng đầu hiện nay, thời
gian gần đây số lượng các cuộc tấn công vào ứng dụng web đã tăng lên nhanh
chóng (75% các cuộc tấn công được thực hiện là ở lớp ứng dụng web) Trong
đó hai kĩ thuật tấn công được các hacker sử dụng phổ biến là cross-site
scripting và sql injection và hình sau đây:
10
Đồ án tốt nghiệp
Hình 3: Số liệu tấn công ứng dụng web.
a). Kiểu tấn công cross-site scripting (hay còn gọi là xss): Được các
hacker tiến hành bằng cách nhúng các thẻ script vào một url (uniform
resource locator) và tìm cách lừa người dùng nhấn vào những liên kết này.
Khi đó đoạn mã độc hại này sẽ được thực thi trên máy tính của nạn nhân. Kĩ
thuật thực hiện các cuộc tấn công kiểu này không có gì phức tạp và chủ yếu là
hacker lợi dụng sự tin cậy giữa người dùng và server (bởi vì các url dường

phần cứng hoặc phần mềm) để dò tìm các điểm yếu và các lỗ hổng bảo mật
trên hệ thống, thực hiện các hoạt động xâm nhập và chiếm đoạt tài nguyên trái
phép. Một số đối tượng tấn công mạng như:
Hacker: là những kẻ xâm nhập vào mạng trái phép bằng cách sử dụng
các công cụ phá mật khẩu hoặc khai thác các điểm yếu của thành phần truy
nhập trên hệ thống.
Masquerader: Là những kẻ giả mạo thông tin trên mạng như giả mạo
địa chỉ IP, tên miền, định danh người dùng…
Eavesdropping: Là những đối tượng nghe trộm thông tin trên mạng, sử
dụng các công cụ Sniffer, sau đó dùng các công cụ phân tích và debug để lấy
được các thông tin có giá trị.
Những đối tượng tấn công mạng có thể nhằm nhiều mục đích khác
nhau như ăn cắp các thông tin có giá trị về kinh tế, phá hoại hệ thống mạng có
chủ định, hoặc có thể đó là những hành động vô ý thức…
b). Các lỗ hổng bảo mật: Các lỗ hổng bảo mật là những điểm yếu trên
hệ thống hoặc ẩn chứa trong một dịch vụ mà dựa vào đó kẻ tấn công có thể
xâm nhập trái phép vào hệ thống để thực hiện những hành động phá hoại
chiếm đoạt tài nguyên bất hợp pháp.
c). Chính sách bảo mật: Chính sách bảo mật là tập hợp các quy tắc áp
dụng cho những người tham gia quản trị mạng, có sử dụng các tài nguyên và
các dịch vụ mạng. Đối với từng trường hợp phải có chính sách bảo mật khác
nhau. Chính sách bảo mật giúp người sử dụng biết trách nhiệm của mình
trong việc bảo vệ các tài nguyên trên mạng, đồng thời còn giúp cho nhà quản
trị mạng thiết lập các biên pháp đảm bảo hữu hiệu trong quá trình trang bị,
cấu hình và kiểm soát hoạt động của hệ thống và mạng.
13
Đồ án tốt nghiệp
1.1.2.3. Lỗ hổng bảo mật và phương thức tấn công mạng.
a). Các loại lỗ hổng: Có nhiều các tổ chức đã tiến hành phân loại các
dạng lỗ hổng đặc biệt. Theo bộ quốc phòng Mỹ các loại lỗ hổng được phân

14
Đồ án tốt nghiệp
mạng để phát hiện những lỗ hổng loại này. Một loạt các chương trình phiên
bản cũ thường sử dụng có những lỗ hổng loại A như: FTP, Gopher, Telnet,
Sendmail, ARP, finger
b). Các hình thức tấn công mạng phổ biến:
Scanner: Là một chương trình tự động rà soát và phát hiện những điểm
yếu về bảo mật trên một trạm làm việc cục bộ hoặc một trạm ở xa. Một kẻ phá
hoại sử dụng chương trình Scanner có thể phát hiện ra những lỗ hổng về bảo
mật trên một Server dù ở xa. Cơ chế hoạt động là rà soát và phát hiện những
cổng TCP/UDP được sử dụng trên hệ thống cần tấn công và các dịch vụ sử
dụng trên hệ thống đó. Scanner ghi lại những đáp ứng trên hệ thống từ xa
tương ứng với dịch vụ mà nó phát hiện ra. Từ đó nó có thể tìm ra điểm yếu
của hệ thống. Các chương trình Scanner có vai trò quan trọng trong một hệ
thống bảo mật, vì chúng có khả năng phát hiện ra những điểm yếu kém trên
một hệ thống mạng.
Password Cracker: Là một chương trình có khả năng giải mã một mật
khẩu đã được mã hoá hoặc có thể vô hiệu hoá chức năng bảo vệ mật khẩu của
một hệ thống. Một số chương trình phá khoá có nguyên tắc hoạt động khác
nhau. Một số chương trình tạo ra danh sách các từ giới hạn, áp dụng một số
thuật toán mã hoá từ kết quả so sánh với Password đã mã hoá cần bẻ khoá để
tạo ra một danh sách khác theo một logic của chương trình. Khi thấy phù hợp
với mật khẩu đã mã hoá, kẻ phá hoại đã có được mật khẩu dưới dạng text .
Mật khẩu text thông thường sẽ được ghi vào một file. Biện pháp khắc phục
đối với cách thức phá hoại này là cần xây dựng một chính sách bảo vệ mật
khẩu đúng đắn.
Sniffer: Là các công cụ (phần cứng hoặc phần mềm)”bắt” các thông tin
lưu chuyển trên mạng và lấy các thông tin có giá trị trao đổi trên mạng.
Sniffer có thể “bắt” được các thông tin trao đổi giữa nhiều trạm làm việc với
nhau. Thực hiện bắt các gói tin từ tầng IP trở xuống. Mục đích của các

đó là:
Mạng riêng ảo (Virtual Private Network- VPN): Là sự mở rộng mạng
riêng của các công ty, tổ chức thông qua sử dụng các kết nối mạng công cộng
hoặc mạng chia sẻ như Internet. VPN cung cấp cho khách hàng đầy đủ các
tính năng mà một kênh thuê riêng có được nhưng với giá thành rẻ hơn do sử
dụng hạ tầng cơ sở mạng công cộng. VPN sử dụng giao thức để tạo đường
hầm truyền tin riêng và các biện pháp an ninh để bảo vệ dữ liệu trên đường
truyền như mã hoá, xác thực…
IDS&IPS:Thuật ngữ IDS&IPS (phát hiện và ngăn chặn) thiết kế trong
xây dựng để phát hiện và ngăn chặn xâm nhập máy tính trái phép. Cũng có
16
Đồ án tốt nghiệp
thể hiểu rằng IDS&IPS là một cơ chế để bảo vệ mạng tin tưởng (Trusted
network) khỏi các mạng không tin tưởng (Untrusted network).
Qua quá trình tìm hiểu em thấy rằng IDS&IPS là phương pháp hữu
hiệu và phổ biến nhất hiện nay do nó có nhiều ưu điểm, cung cấp những tính
năng bảo mật tốt cho vấn đề bảo vệ an ninh mạng hiện nay. Trong khuôn khổ
bài báo cáo này em xin trình bày về phương pháp bảo mật mạng LAN bằng
IDS&IPS.
1.2. Tổng quan về hệ thống phát hiện và phòng chống xâm nhập.
1.2.1. Định nghĩa.
a). Hệ thống phát hiện xâm nhập (Intrusion Detection System-
IDS): Kiểm soát tài nguyên và hoạt động của hệ thống hay mạng, sử dụng
thông tin thu thập được từ những nguồn này, thông báo cho những người có
trách nhiệm khi nó xác định được khả năng có sự xâm nhập. Nếu tường lửa
đóng vai trò như nhân viên bảo vệ cơ quan, kiểm tra mọi người đến và đi thì
hệ thống kiểm tra xâm nhập giống như có một mạng lưới cảm biến để thông
báo cho bạn biết khi có ai đó xâm nhập, họ đang ở đâu và làm gì? Tường lửa
"án ngữ" ở ngõ vào của mạng và chỉ làm việc với những gói tin khi chúng đi
vào và đi ra khỏi mạng. Một khi kẻ xâm nhập đã vượt qua được tường lửa,

đe dọa mạng mà các hệ thống khác(như bức tường lửa) không có khả năng
phát hiện, kết hợp với hệ thống ngăn chặn xâm nhập IDPS giúp cho hệ thống
chặn đứng, hạn chế các cuộc tấn công, xâm nhập từ bên ngoài.
b). Tăng khả năng hiểu biết về những gì đang hoạt động trên mạng.
IDPS cung cấp khả năng giám sát xâm nhập và khả năng mô tả an ninh để
cung cấp kiến thức tổng hợp về những gì đang chạy trên mạng từ góc độ ứng
dụng cũng như góc độ mạng cùng với khả năng liên kết với phân tích, điều tra
an ninh nhằm đưa ra các thông tin về hệ thống nhờ đó giúp người quản trị
nắm bắt và hiểu rõ những gì đang diễn ra trên mạng.
c). Khả năng cảnh báo và hỗ trợ ngăn chặn tấn công. IDPS có thể
hoạt động trong các chế độ làm việc của một thiết bị giám sát thụ động
(sniffer mode) hỗ trợ cho các thiết bị giám sát chủ động hay như là một thiết
bị ngăn chặn chủ động (khả năng loại bỏ lưu lượng khả nghi). IDPS sẽ hỗ trợ
cho các hệ thống an ninh đưa ra các quyết định về lưu lượng dựa trên địa chỉ
IP hoặc cổng của nguồn thông tin cũng như là đặc tính của tấn công ví dụ như
mẫu tấn công hoặc bất thường về giao thức hoặc lưu lượng tương tác đến từ
những máy chủ không hợp lệ. IDS còn có thể cảnh báo và ghi chép các biến
cố cũng như thực hiện bắt giữ gói lưu lượng khi phát hiện tấn công để cung
cấp cho nhà quản trị mạng các thông tin để phân tích và điều tra các biến cố.
Ngay sau khi các phép phân tích và điều tra được thực hiện, một quy tắc loại
18
Đồ án tốt nghiệp
bỏ lưu lượng sẽ được đưa ra dựa trên kết quả phân tích, điều tra đó. Chính tổ
hợp của những thuộc tính và khả năng này cung cấp cho nhà quản trị mạng
khả năng tích hợp IDPS vào mạng và tăng cường an ninh đến một mức độ mà
trước đây không thể đạt đến bằng các biện pháp đơn lẻ như bức tường lửa.
1.2.3. Những ưu điểm và hạn chế của hệ thống.
a). Ưu điểm.
Có khả năng phát hiện và phòng chống các cuộc tấn công, xâm nhập từ
bên trong cũng như bên ngoài hệ thống.

(Sensor) để giám sát các lưu lượng và hoạt động trong một khu vực mạng.
Các bộ cảm ứng này sẽ kiểm tra các gói tin và nội dung bên trong nó để xác
định sự tấn công
20
Đồ án tốt nghiệp
Hình 6: Hệ thống phát hiện xâm nhập trên mạng.
c). So sánh giữa hệ thống HIDS và NIDS.
NIDS HIDS
Áp dụng trong phạm vi rộng (theo
dõi toàn bộ hoạt động của mạng)
Áp dụng trong phạm vi một máy
trạm
Phát hiện tốt những tấn công, xâm
nhập từ bên ngoài
Phát hiện tốt những tấn công, xâm
nhập từ bên trong.
Phát hiện dựa trên các dữ liệu,
thông tin thu thập trong toàn bộ
mạng
Phát hiện dựa trên thông tin, dữ liệu
trên máy trạm
Độc lập với hệ điều hành Phụ thuộc vào hệ điều hành trên
máy trạm
Tiết kiệm kinh phí khi triển khai Yêu cầu chi phí cao
Dễ dàng cài đặt, triển khai Phức tạp khi cài đặt, triển khai
Bảng 1: So sánh HIDS và NIDS.
1.2.4.2. Mô hình, cấu trúc và hoạt động của hệ thống.
Một hệ thống phát hiện xâm nhập IDPS được xem là thành công nếu
chúng hội tụ được các yếu tố: thực hiện nhanh, chính xác, phân tích được toàn
bộ lưu lượng và đưa ra các cảnh báo chuẩn xác về các cuộc tấn công và xâm

Mô hình trên còn gọi là mô hình 3 lớp, mô hình này cung cấp cho nhà
quản trị mạng sự linh hoạt để truy cập vào hệ thống từ bất cứ đâu để thực hiện
quản lý từ xa. Máy chủ quản lý tập trung lưu giữ tất cả các bản ghi và thông
tin trong một cơ sở dữ liệu thuận tiện cho việc truy cập, quản lý. Các bản ghi,
dữ liệu được thu thập từ những bộ cảm biến độc lập được tập hợp lại nhằm
phân tích, đánh giá để phát hiện các nguy cơ đe dọa hệ thống từ bên ngoài.
b). Cấu trúc và hoạt động bên trong hệ thống phát hiện xâm nhập
IDS.
Hình 8: Hệ thống phát hiện xâm nhập IDS.
Hệ thống phát hiện xâm nhập bao gồm 3 modul chính:
Modul thu thập thông tin, dữ liệu: Modul này có nhiệm vụ thu thập các
gói tin trên mạng để đem phân tích. Một vấn đề đặt ra trong thực tế là chúng
ta cần triển khai hệ thống phát hiện xâm nhập IDS ở vị trí nào trong mô hình
mạng của chúng ta. Thông thường chúng ta sẽ đặt IDS ở những nơi mà chúng
23
Đồ án tốt nghiệp
ta cần giám sát. Có hai mô hình chính để thu thập dữ liệu đó là: mô hình
ngoài luồng và mô hình trong luồng. Phần tiếp theo dưới đây, chúng ta sẽ tìm
hiểu chi tiết hai mô hình triển khai hệ thống IDS trong hệ thống mạng.
Mô hình thu thập dữ liệu ngoài luồng. Trong mô hình ngoài luồng
không can thiệp trực tiếp vào luồng dữ liệu. Luồng dữ liệu vào ra hệ thống
mạng sẽ được sao thành một bản và được chuyển tới modul thu thập dữ liệu .
Với vị trí này, hệ thống phát hiện xâm nhập IDS không làm ảnh hưởng tới tốc
độ lưu thông của mạng.
Hình 9: Mô hình thu thập dữ liệu ngoài luồng.
Mô hình thu thập dữ liệu trong luồng: Trong mô hình này, hệ thống
phát hiện xâm nhập IDS được đặt trực tiếp vào luồng dữ liệu vào ra trong hệ
thống mạng, luồng dữ liệu phải đi qua hệ thống phát hiện xâm nhập IDS trước
khi đi vào trong mạng.
Hình 10: Mô hình thu thập dữ liệu trong luồng.

thống phát hiện xâm nhập dựa trên luật sẽ phát cảnh báo bất cứ khi nào từ
khóa “root” xuất hiện trong luồng lưu lượng. Tuy nhiên nó có thể là một cảnh
báo nhầm, để hạn chế sự nhầm lẫn hệ thống sẽ chỉ tìm kiếm chuỗi ký tự
“root” trong chuỗi ký tự đăng nhập, và đó là một phương pháp phát hiện tấn
công có độ chính xác cao. Một ví dụ khác, chúng ta xem xét một kiểu tấn
công Sendmail Wiz, đó là một dạng tấn công cố gắng chiếm quyền truy nhập
gốc đến máy chủ SMTP. Để thực hiện tấn công, kẻ tấn công thiết lập một kết
nối SMTP và gửi mẫu “wiz” trong kết nối điều khiển. Một hệ thống phát hiện
tấn công cần phải nhận dạng mẫu “wiz” để đưa ra cảnh báo.
25