Signature-Based và Rule-Based Monitoring – Lớp phòng thủ kép trong an ninh mạng -

Giới thiệu

• Signature-Based Monitoring giúp nhận diện ngay lập tức các mối đe dọa đã biết dựa trên cơ sở dữ liệu chữ ký số (signatures).

• Rule-Based Monitoring lại tập trung vào việc giám sát hành vi, phát hiện những bất thường như lưu lượng outbound lớn hoặc hành vi truy cập trái phép.

Signature-Based Monitoring – Vũ khí chính xác cho mối đe dọa đã biết

• Hacker gửi một HTTP request chứa payload độc hại.

• IDS so sánh gói tin này với chữ ký trong database.

• Hệ thống ngay lập tức cảnh báo, chặn yêu cầu và gửi log về hệ thống giám sát.

• Chính xác cao với mối đe dọa đã biết.

• Ít false positive.

• Dễ triển khai và phổ biến trong antivirus, IDS/IPS.

• Không phát hiện được zero-day hoặc malware biến đổi liên tục.

• Phụ thuộc vào tốc độ cập nhật database chữ ký.

Các dạng chữ ký (Signature Forms)

1. File-Based Signatures

• File hash: MD5, SHA-256 của file mã độc.

• Binary pattern: Chuỗi byte/Opcode đặc trưng trong file thực thi.
  Ứng dụng: Antivirus so sánh hash của file với DB đã biết.

2. Network Traffic Signatures

• Protocol anomaly: HTTP request sai chuẩn.

• Malicious pattern: SQL Injection (' OR '1'='1).

• C2 beaconing: Phát hiện lưu lượng Command-and-Control định kỳ.
  Ứng dụng: IDS/IPS chặn SQL Injection, detect traffic botnet.

3. Exploit Signatures

• Payload pattern: chuỗi đặc trưng trong buffer overflow (NOP sled).

• Shellcode signatures: nhận diện shellcode nhúng trong packet.

4. Polymorphic/Metamorphic Malware Signatures

• Generic signatures: tìm pattern chung của malware biến hình.

• Heuristic signatures: dùng thuật toán để nhận diện hành vi bất thường.

5. IOC (Indicator of Compromise) Signatures

• File artifacts: hash file mã độc.

• Network artifacts: IP/domain C2.

• System artifacts: registry key, process khả nghi.

6. Time-Based Signatures

• Beaconing: kết nối lặp lại theo chu kỳ.

• Scheduled attack: malware chạy theo lịch.

Quy trình phát hiện dựa trên chữ ký

• Discovery: Các researcher hoặc hệ thống tự động phát hiện mối đe dọa mới.

• Signature Creation: Tạo ra dấu vết số hóa (digital signature).

• Database Update: Cập nhật cơ sở dữ liệu chữ ký toàn cầu.

• Deployment: Phân phối DB chữ ký xuống endpoint, IDS/IPS, firewall.

• Scanning: Liên tục so sánh lưu lượng, file, hành vi với DB chữ ký.

• Detection & Action: Khi phát hiện khớp → alert, block, quarantine.

Liên hệ thực tế

• DNA và pháp y: Mỗi malware giống như DNA – duy nhất và có thể nhận diện qua signature.

• Bảo vệ bảo tàng: Guard (IDS) so sánh khuôn mặt khách với danh sách “kẻ trộm đã biết”. Hiệu quả với kẻ quen mặt, nhưng khó phát hiện kẻ ngụy trang.

Rule-Based Monitoring – Phát hiện bất thường hành vi

• Lượng outbound traffic vượt ngưỡng → cảnh báo.

• User bình thường chỉ upload vài MB, nay đột ngột upload hàng GB.

• Truy cập ngoài giờ hành chính từ IP lạ.

• Phát hiện zero-day và advanced persistent threat (APT).

• Thích hợp cho anomaly detection, threat hunting.

• False positive cao nếu rule không tinh chỉnh.

• Đòi hỏi baseline chuẩn và hệ thống SIEM/UEBA mạnh.

TÓM TẮT

• Phòng thủ nhiều lớp.

• Giảm thiểu blind spot giữa mối đe dọa đã biết và chưa biết.

• Rút ngắn thời gian phát hiện và phản ứng sự cố.