full2012.pdf - page 450

5) ฐานข้อมูล (Knowledge Base) เป็ นตัวเก็บข้อมูลเกี่ ยวกับพฤติกรรมของการบุกรุก ข้อมูลนี้ ถู กใช้โดยส่วนของ
ส่วนตรวจสอบลายเซ็นตรงกัน ข้อมู ลส่วนนี้ มีความสําคัญมากกับระบบ เป็ นตัวตัดสิ นเลยว่าระบบฉลาดพอที่จะตรวจจับการ
บุกรุกได้หรื อไม่
6) ระบบจั ดการแจ้งเตือน (Alert Manager) ทําหน้าที่เป็ นตัวตัดสินใจว่ าจะเหตุการณ์ที่เกิดขึ้ นในระบบควรจะต้อง
เตือนหรื อไม่ ระบบจะมีความไวมากน้อยแค่ไหนอยู่ที่ตัวนี้ ด้วย
7) ส่ วนติดต่ อผู้ ใช้งาน (User Interface) เป็ นส่วนที่โต้ตอบกับผู ้ ใช้ อาจจะเป็ นการแสดงผลที่หน้าจอ ส่ งเสียงเตือน
ถึงการบุกรุ ก สั่งพิมพ์หรื อเชื่อมกับระบบโทรศัพท์ด้วยการส่ งข้อความสั้ น (Short Message Service : SMS) นอกจากนี้ ส่วน
ติดต่อผู้ใช้งานยังเป็ นส่ วนโต้ตอบระหว่างผู้ใช้กับระบบเพื่อเปลี่ ยนแปลงหรื ออัพเดทข้อมูลในฐานข้อมู ล
8) ส่ วนจัดการโต้ตอบ (Response Manager) รับข้อมูลจากส่ วนจัดการแจ้งเตือน เพื่อนํามาตัดสิ นใจว่าจะโต้ตอบกับ
การบุกรุ กอย่างไร (ไตรรั ตน์ พุทธรักษา. 2550), (Yan Zhang,Shuguang Huang,Yongyi Wang. 2012)
ในปัจุบันเทคโนโลยีด้านความปลอดภัยระบบสารสนเทศได้ก้าวไปข้างหน้าอย่างรวดเร็ ว ซอฟต์แวร์และฮาร์ ดแวร์
ต่าง ๆ ที่ เกี่ยวข้องกับความปลอดภัยด้านสารสนเทศได้ถู กวิจัยและพัฒนาขึ้ นเพื่อตอบสนองความต้ องการของผู้ ใช้ มากขึ้ น
ฮันนี่ พอทจึงเป็ นระบบความปลอดภัยอี กชนิดหนึ่ งที่ ได้ถู กพัฒนาอย่างต่อเนื่องและรวดเร็ ว ซึ่ งฮันนี่พอทก็คื อคอมพิวเตอร์
หรื อกลุ่มของคอมพิ วเตอร์ที่ถู กติดตั้ งไว้สําหรับล่อลวงให้ผู้บุกรุกทําการโจมตี เพื่อเรียนรู ้เทคนิ คที่ผู้บุกรุกใช้ และนําความรู ้
เหล่านั้ นหาทางป้ องกันการโจมตีใหม่ๆที่เกิ ดขึ้ น นอกจากนี้ฮันนี่ พอทยังสามารถใช้ลดความเสี่ ยงของเครื่อง แม่ข่ายในระบบที่
อาจถูกโจมตีหรื อใช้เป็ นระบบตรวจจับการบุ กรุ กได้อี กทางหนึ่ งด้วย โดยปกติแล้ วฮันนี่พอทจะถู กติ ดตั้ งในเครื อข่ ายที่แยก
จากเครือข่ายที่ใช้งานจริ งเพื่อป้ องกันไม่ให้เครื อข่ายที่ใช้งานปกติถู กโจมตีได้จากฮันนี่ พอทที่ผู้บุกรุ กสามารถโจมตีได้จาก
ฮันนี่พอทที่ผู้ บุ กรุกสามารถโจมตีได้ สําเร็จนั้ นเอง (Chunfu Jia and Deqiang Chen. 2009), (Jianxiao Liu and Lijuan Li. 2008)
ª·›¸„µ¦ª·‹´¥
การออกแบบส่วนโปรแกรมการทํางานหลักระบบตรวจจับการบุกรุ กมีเป้ าหมายคือ สามารถตรวจจับการบุกรุ ก
เครื อข่ายได้มีประสิทธิ ภาพมากขึ้ น โดยเปรี ยบเทียบระหว่างการใช้ระบบตรวจจับการบุกรุ ก และระบบตรวจจับการบุกรุ ก
ร่วมกั บฮันนี่พอท ส่ วนโปรแกรมการทํางานหลักระบบตรวจจับการบุ กรุ กเครื อข่าย จะทํางานภายใต้ระบบปฏิบัติการ Linux
ซึ่ งประกอบด้วย 2 ส่วนหลัก ๆ คือส่ วนระบบตรวจจับการบุกรุ ก และส่วนของระบบฐานข้อมูลโดยมีรายละเอียดดังนี้
1) ระบบตรวจจับการบุกรุ ก ประกอบด้วยโปรแกรม Snort ซึ่ งจะทํางานภายใต้ระบบปฏิบัติ การ Linux กําหนดค่า
Rule ของโปรแกรม Snort เพราะค่า Rule ปกติที่โปรแกรมตั้งค่าให้นั้น จะเป็ นค่าที่วิเคราะห์รู ปแบบการโจมตีแบบธรรมดา
ซึ่ งตัวโปรแกรมจะไม่ เปิ ดการใช้งาน Rule ทั้งหมด ตัวโปรแกรมจะใช้งาน Rule บางส่วนที่เป็ นรู ปแบบการโจมตี ที่มีผล
รุนแรงเท่านั้น ทําให้ในการศึกษาและวิจัยนั้นไม่ สามารถเปรี ยบเทียบค่าประสิ ทธิภาพที่สูงสุด
2) ในการตรวจจับการโจมตีของโปรแกรมได้ ดังนั้ นจึงทําการตั้งค่า Rule ใหม่ โดยทําการแก้ไข ปรับแต่งและตั้งค่า
ในไฟล์ snort.conf โดยทําการเปิ ดใช้งาน Rule ทั้ งหมดที่โปรแกรมสามารถตรวจจับได้ และทําการ Update ค่าของ Rule ให้
เป็ นเวอร์ ชั่นล่าสุ ดจากเซิร์ ฟเวอร์หลักของตัวโปรแกรม
450
การประชุมวิชาการระดับชาติ มหาวิ ทยาลัยทักษิณ ครั้งที่ 22 ประจำปี 2555