Trong hệ thống tường lửa thế hệ tiếp theo (Next-Generation Firewall – NGFW), công nghệ Intrusion Prevention System (IPS) không đơn thuần chỉ dựa vào địa chỉ IP hay cổng để chặn lưu lượng đáng ngờ. Thay vào đó, nó sử dụng kỹ thuật phân tích sâu gói tin (Deep Packet Inspection – DPI) để tái cấu trúc, phân tích và xác định các mối đe dọa tiềm ẩn với độ chính xác cao. IPS hoạt động như một lớp an ninh chủ động, giúp phát hiện các hành vi độc hại ẩn sâu bên trong dữ liệu truyền tải, kể cả khi các hành vi đó vượt qua các bộ lọc thông thường.
Firepower NGFW triển khai IPS theo nhiều giai đoạn kỹ thuật khắt khe, bao gồm các loại phân tích chính sau:
1. Bóc tách gói tin (Packet Disassembly)
Khi một gói tin đi qua NGFW, hệ thống sẽ:
Việc bóc tách cho phép IPS nhìn rõ hơn về nội dung thực sự bên trong gói tin, từ đó tránh bị “qua mặt” bởi các kỹ thuật che giấu như tunneling hoặc mã hóa nội dung.
2. Tái cấu trúc phiên làm việc (Flow Reassembly)
Các kết nối TCP thường chia nhỏ dữ liệu thành nhiều gói:
Ví dụ: Một payload chứa shellcode được chia ra trong 5 gói TCP, hệ thống IPS sẽ hợp nhất lại trước khi phân tích.
3. Phân tích nội dung (Payload Inspection)
Sau khi tái tạo phiên, IPS sử dụng các công cụ sau:
Thông tin được ghi nhận bao gồm:
4. Tác động và phản ứng (Action & Enforcement)
Khi phát hiện mối đe dọa, IPS thực hiện hành động dựa trên chính sách:
IPS có thể tùy biến hành động theo mức độ nghiêm trọng của mỗi chữ ký (severity level).
5. Đóng gói lại và chuyển tiếp (Repackaging & Forwarding)
Nếu gói tin không có dấu hiệu nguy hiểm:
Đây là bước quan trọng để đảm bảo không làm gián đoạn giao tiếp hợp lệ trong môi trường sản xuất.
Tình huống thực tế:
Một user trong mạng nội bộ truy cập website và tải về một file PDF. Payload trong TCP stream bị chia thành nhiều đoạn. Trong một trong các đoạn, ẩn bên trong là shellcode khai thác lỗ hổng Adobe Reader cũ.
-
Kết nối bị reset, và một bản ghi Intrusion Event được tạo, với chi tiết về IP, file, SID và hành vi bị phát hiện.
Tổng kết
Công nghệ IPS trên Firepower NGFW không đơn giản là "nhìn vào tiêu đề", mà là quá trình phân tích chi tiết từng gói dữ liệu, xây dựng lại toàn bộ luồng thông tin, và phát hiện hành vi độc hại một cách chủ động và thông minh. Điều này làm cho hệ thống trở nên cực kỳ mạnh mẽ trong việc ngăn chặn tấn công tinh vi, và đóng vai trò cốt lõi trong kiến trúc phòng thủ mạng hiện đại.
