IDS & IPS Training Hub

Tìm hiểu và mô phỏng hệ thống phát hiện & ngăn chặn xâm nhập trong môi trường On-Premises

🛡️ Cấu hình hệ thống

IDS (Intrusion Detection System): Đang ở chế độ Passive Monitoring. Hệ thống lắng nghe thông qua SPAN/Mirror port, chỉ đưa ra cảnh báo (Alert) mà không can thiệp vào traffic gốc.

Event Logs

Hệ thống sẵn sàng...

Network Diagram Visualization

🌐

Internet

🧱

Firewall

🛡️

IDS (Passive)

💻

Internal LAN

So sánh IDS vs IPS

Đặc điểm	IDS	IPS
Cơ chế	Passive (Thụ động)	Inline (Trực tiếp)
Hành động	Alert Only (Cảnh báo)	Block & Prevent (Chặn)
Độ trễ	Không ảnh hưởng	Có thể gây trễ (Latency)
Triển khai	SPAN / TAP port	In-line path

Công nghệ Detection

Signature-based detection

Dựa trên các "mẫu vân tay" của mã độc đã biết. Rất hiệu quả với các cuộc tấn công phổ biến nhưng yếu trước Zero-day.

Anomaly-based detection

Xây dựng "Baseline" (ngưỡng bình thường). Nếu traffic có hành vi lạ (vượt ngưỡng), hệ thống sẽ cảnh báo. Dễ gây False Positives.

Hardware Cisco Firepower / Palo Alto

Open Source Snort / Suricata

💡 Things you should know

False Positive vs Negative

False Positive: Nhầm người tốt là kẻ xấu (chặn nhầm traffic hợp lệ).
False Negative: Kẻ xấu lọt lưới mà hệ thống không biết (nguy hiểm nhất).

Hiệu năng (Performance)

Khi dùng **IPS Inline**, mọi gói tin phải được kiểm tra (Deep Packet Inspection) trước khi đi tiếp. Nếu thiết bị yếu, nó sẽ trở thành "Nút thắt cổ chai" (**Bottleneck**) của toàn mạng.

Placement & Fail-open

IPS thường có cơ chế **Fail-open bypass**. Nếu thiết bị IPS chết, nó sẽ cho phép traffic đi thẳng qua để tránh làm sập toàn bộ hệ thống mạng của doanh nghiệp.