Intrusion Detection System - part 2

2. ระบบตรวจจับการบุกรุกทำงานได้อย่างไร (How an IDS works?)
        2.1 What the IDS Is Watching: อะไรคือสิ่งที่ระบบ IDS จะเฝ้ามองดูบ้างนั้นสามารถที่จะแบ่งเป็นกลุ่มจากรูปแบบการเฝ้ามองได้ 3 ประเภทคือ
           
               2.1.1 Network – Base Intrusion Detection System (NIDS)
    เป็นระบบที่ทำหน้าที่เฝ้ามอง การจราจรในแต่ละส่วนของเครือข่ายหรือซับเน็ต โดยการเปลี่ยนโหมดการทำงานของ Network card แทนที่จะรับฟังข้อมูลของตนเองเพียงอย่างเดียว ก็เป็นการยอมรับข้อมูลทุกอย่างที่เข้าสู่ระบบหรือเรียกว่าโหมด promiscuous mode
               2.1.2 Host – Base Intrusion Detection System (HIDS)
    HIDS มีความแตกต่างจาก NIDS ในสองทางคือ การติดตั้งจะปกป้องเฉพาะเครื่องนั้นๆ ไม่ใช่ทั้งภายในซับเน็ต ส่วนโหมดการทำงานของ Network card ก็เป็นโหมดปกติ หรือ nonpromiscuous mode
               2.1.3 Distributed – Base Intrusion Detection System (DIDS)
DIDS คือระบบที่รวมทั้ง ระบบตรวจจับของ NIDS และ HIDS เข้าด้วยกันโดยมีเซิฟร์เวอร์ทำหน้าที่รับรายงานการตรวจจับภายในระบบ มาเปรียบเทียบ เพื่อให้เห็นภาพรวมของทั้งเครือข่าย


จากที่ระบบ IDS ที่แบ่งเป็นกลุ่มได้ 3 ประเภทนั้นระบบได้เฝ้ามองดูอะไรบ้าง
•    Application-Specific Information
    สำหรับระบบ IDSs ทั้งสามประเภทที่กล่าวมาสามารถที่จะเฝ้ามอง แอปพลิเคชั่นอย่างใดอย่างหนึ่งก็ได้ เช่นการส่งข้อมูลแบบ Cleartext ของ Telnet หรือ (HTTP)
•    Host-Specific Information
    ในขณะที่ HIDS โดยทั่วไปไม่ต้องมองทุกอย่างที่ ที่จะเกิดขึ้นบนเครื่อง (Host) แต่เราก็สามารถที่จะทำให้มันสามารถที่จะมองดูพฤติกรรมทั้งหมดที่เกิดขึ้น สำหรับเครื่องที่เราต้องการ ได้ตั้งแต่การสร้างไฟล์ และการเข้าถึงระบบภายใน และกิจกรรมภายในเครือข่าย ถึงลูปแบล็ค มันเป็นกเรื่องปกติที่ HIDS จะทำการสร้างฐานข้อมูลในการเกิดสถานะต่างๆที่เกิดขึ้นกับระบบ (ขนาดไฟล์, สิทธิการอนุญาต, เวลาการเข้าถึงไฟล์) เพื่อที่จะใช้ในการตรวจสอบในภายหลัง
•    Subnet-Specific Information
    เครือข่ายโดยมากแล้วจะมีรูปแบบการจราจรของข้อมูล เช่นถ้าคุณรู้ว่าหนึ่งในเครื่องของเครือข่ายนั้นเป็น Mail Server แล้วก็ไม่ต้องแปลกใจเลยที่จะเห็นการจราจรของข้อมูล Simple Mail Transfer Protocol (SMTP) ไปมาจากเครือข่าย ถ้าคุณใช้การ ping ทุกเครื่องในเครือข่าย ทุกๆ 5 นาที เพื่อทำการดูเครือข่าย การจราจรของข้อมูลนั้นยอมรับได้ แต่ในทางกลับกันถ้าเครื่องอื่น ทำแบบเดียวกับคุณ นั้นก็น่าสงสัย ตลอดเวลาสำหรับ NIDS ที่ดีควรที่จะมีปรับแต่งการจำแนก การยอมรับพฤติกรรมต่างๆ ของซับเนตที่เราอยู่ การให้การอนุญาตการจราจรของข้อมูลที่เรารู้จัก และส่งสัญญาณเตือน เมื่อมีการส่งข้อมูลจากเครื่องที่ไม่รู้จัก หรือไม่ได้รับอนุญาต
•    Distributed IDS
ในระบบ DIDS ข้อมูลที่ถูกรวบรวมและเปรียบเทียบด้วย DIDS เราจะได้เห็นภาพรวมของการจราจรภายในเครือข่ายทั้งหมด ที่จะช่วยใช้ในการวิเคราะห์ แทนการเก็บข้อมูลเฉพาะ เครื่อง หรือ เครือข่ายในซับเนตของคุณเพียงอย่างเดียว ซึ่งช่วยในการจัดการการจราจรของข้อมูลในเครือข่ายได้ดีขึ้น

Intrusion Detection System - part 1

เนื่องจากต้องทำรายงาน คร่าวๆเกี่ยวกับความปลอดภัยบนเครือข่ายอินเตอร์เนต แล้วดันเลือกเรื่อง IDS หาข้อมูลภาษาไทยไม่เจอเลย  ก็เลยต้องหาข้อมูลมานั่งอ่านแล้วแปลเองเออ แต่ในที่สุดก็เสร็จ  ถ้าจะไม่อัพขึ้นบล็อกที่อุตส่าห์ทำมามันก็จะไม่มีประโยชน์ เพื่อว่าจะมีคนอยากรู้ เริ่มเลยแล้วกัน

 Intrusion Detection System

1.    อะไรคือการบุกรุก ? (What Is an Intrusion?)
คำว่า “Intrusion” ตามความหมายทางพจนานุกรมแล้ว หมายถึง การเข้าไปในสู่สถานที่ๆหนึ่ง โดยไม่ได้รับอนุญาต ไม่ถูกต้อง และไม่ได้รับการต้อนรับให้เข้ามา สำหรับการบุกรุกระบบเครือข่าย (Network Intrusion) ก็คือการเข้าสู่ระบบ เพื่อกระทำการใดๆ กับคอมพิวเตอร์ หรือเครือข่าย ผ่านทางช่องทางผู้ใช้งานที่ถูกต้องของระบบ แล้วพยายามยกสิทธิของ ตัวเองให้สูงขึ้นเพื่อให้ตนเองสามารถที่จะควบคุมได้ทั้งระบบ ไม่ว่าจะเป็นการกำหนดสิทธิ การเปิดปิดเซอร์วิส การสร้างบัญชีผู้ใช้งานใหม่ โดยอาศัยช่องโหว่ ของระบบ สำหรับการบุกรุก สามารถมาได้จากการกระทำหลายๆทาง เช่นผู้ประสงค์ร้าย ผู้ก่อการร้าย หรือแม้แต่ผู้ร่วมงานเองรูปแบบการบุกรุก

1.1    การสแกนระบบ (Scanning)
    เมื่อทำการเฝ้ามองกิจกรรมในเครือข่ายนั้น มีกิจกรรมหลายๆอย่างที่เราต้องคอยเฝ้ามอง เราอาจจะต้องเฝ้ามองในจุดที่เป็นจุดอ่อนของระบบเป็นพิเศษ หรือ เฉพาะพอร์ตที่เปิดใช้งานในระบบ กิจกรรมเหล่านี้นั้นมักจะกระทำในเครือข่ายอินเตอร์เน็ตที่ไม่มีการกรองของข้อมูล และพวก Private Network โดยส่วนมากแล้วเมื่อใดก็ตามที่เครือข่ายของเรานั้นเริ่มถูกสแกน มักจะเป็นจุดเริ่มของการเตรียมพร้อมในการโจมตี ดังนั้นแล้วผู้ดูแลระบบหลายๆคน จึงมักจะต้องการการเตือนเมื่อระบบที่ดูแล นั้นเริ่มถูกการสแกน และอาจทำการติดตามการสแกน (Tracking Scanning) ซึ่งเป็นวิธีที่จะช่วยในการตรวจสอบในกรณีที่เกิดการโจมตีไปแล้ว
    สิ่งสำคัญที่ควรรู้อย่างหนึ่งเมื่อเครือข่ายของเรานั้นถูกสแกน คือการอย่าเสียเวลาอันมาค่าในการตามการสแกนทุก ๆ บุคคลที่ทำการสแกนเครือข่ายของเรา สิ่งที่ดีที่สุดที่คุณควรทำกับข้อมูลการสแกนคือดู IP ต้นที่ทำการแสกนแล้วทำการจัดอันดับการเฝ้าระวัง หรือดูว่ามีการสแกนซ้ำๆไปมาหรือไม่ เพื่อนำข้อมูลที่ได้มาวิเคราะห์ดูหาพฤติกรรมที่เกิดขึ้น ก่อนจัดการกับตัวปัญหา

1.2    Viruses and Worms
    รูปแบบการจราจร บนเครือข่ายอย่างหนึ่งที่คุณจะเห็นว่ามีการกระตุ้นการทำงานให้กับระบบ IDSs ของเราเกิดการทำงานตอบโต้ก็คือ รูปแบบของการจราจรของพวก Worms และ Viruses เพราะพวกมันมีพฤติกรรมการทำงานที่ซ้ำๆ เป็นแบบอัตโนมัติ และพฤติกรรมประจำตัวเป็นการคัดลอกตัวเอง การพยายามโจมตีเครือข่ายหลายๆครั้ง ดังนั้นรูปแบบของการจราจร (traffic pattern) จึงสามารถที่จะตรวจสอบเจอโดยระบบ IDS ของคุณ สำหรับตัวอย่างของ Worm ที่ใช้งานการจราจรบนเครือข่ายแล้วทำให้เกิดการล้มของเครือข่ายที่จะยกตัวอย่างได้แก่ SQL Slammer Worm
    SQL Slammer Worm ถูกปล่อยเข้าสู่บนโลกอินเตอร์เน็ตในวันที่ 25 มกราคม 2003 โดยตัวของ worm ได้อาศัยช่องโหว่ใน Microsoft Structure Query (SQL) Server โดยมันจะส่งข้อมูลขนาด 376 byte User Datagram Protocol (UDP) เข้าพอร์ต 1434 ทำให้เกิด overflow ในบัฟเฟอร์บน MSSQL Server และได้สิทธิระดับ SYSTEM ซึ่งเป็นระดับที่สูงที่สุดบนระบบปฏิบัติการของไมโครซอฟท์ และเมื่อทำสำเร็จก็จะเริ่มสแกน IP อื่นๆ เพื่อกระจายตัวต่อไป หลังจากที่มันถูกปล่อยแพร่กระจายประมาณ 10 นาที แบนวิทที่สูงขึ้นอย่างมหาศาลที่เกิดจากการสแกนเครือข่ายโดย worm ทำให้ 5 ใน 13 ของ DNS หลักของเครือข่ายอินเตอร์เน็ต ถูกทำให้ล้มโดย worm สามารถดูประกาศสิ่งที่เกิดขึ้นได้จากทาง www.microsoft.com/technet/treeview/default.asp?url=/technet/security/alerts/slammer.asp
www.cert.org/advisories/CA-2003-04.html

1.3    Live Attacks
    Live Attacks เป็นการโจมตีที่กระทำโดยบุคคลที่พยายาม overflow เซอร์วิสของเครือข่ายเพื่อทำให้ระบบเกิดการรวน ตัวอย่างที่ยกนี้จะนี้คือ Wingate POP3 buffer overflow คือใช้ประโยชน์ของ buffer overflow ใน wingate หลังจากที่คำสั่ง USER ถูกส่งข้อมูลจำนวนมากจะถูกส่งตามคำสั่ง “USER” เพื่อทับข้อมูลใน buffer และทำให้เป็นไปได้ที่คำสั่งแปลกปลอมที่ถูกใส่เข้าไปจะถูก Execute เหตุที่เป็นแบบนี้ก็เพราะโดยปกติแล้วการใช้ POP3 มักจะใส่ชื่อผู้ใช้ตามหลังคำสั่ง USER และชื่อผู้ใช้นั้นก็ไม่ได้มีขนาดที่ยาวมากนัก ดังนั้นการใส่ข้อมูลที่มีขนาดมากตามหลังคำสั่งคำสั่ง USER จึงสามารถที่ทำให้เกิด overflow ขึ้นได้

Programs for notebook

โปรแกรมดีๆ สำหรับ Notebook หาบทความ หรือวิธีลง เกี่ยวกับโปรแกรม จาก google เองนะครับ

Notebook Hardware Control (NHC)


โปรแกรมเพื่อการควมคุม Notebook ทั้งทางด้านความเร็ว และการประหยัดพลังงาน

CPU-Z


โปรแกรมสำหรับดูสเปกของ CPU ในเครื่องของเรา

GPU-Z

 โปรแกรมสำหรับดูสเปกของ GPU หรือการ์ดจอ รวมถึงอุณหภูมิ การ์ดจอที่อยู่ในเครื่องเช่น ATI,Nvidia ในเครื่องของเรา

CoreTemp

โปรแกรมดูอุณหภูมิของ CPU

RmClock Utility

ปรับแต่งตัวคูณความเร็ว CPU ได้ดั่งใจ แต่ต้องมือโปรหน่อย

คอมเก่า กับการ์ดกราฟฟิคในอดีต จุดเริ่มต้นคนรักคอมพิวเตอร์

     นึกถึงสมัย ที่เคยเล่นคอมพิวเตอร์เครื่องเก่าๆ สมัยนั้น คงจะเป็น CPU ตระกูล 286,386 (ที่จริงก็เคยมี 8086,8088 แต่ไม่รู้จะไปรันอะไร) จากหลากหลายผู้ผลิต แต่สมัยนี้มีรายใหญ่ๆ เพียง AMD Intel Via สมัยก่อนระบบปฏิบัติการ มี windows 3.11 ให้ใช้ แต่ก็ไม่ค่อยจะได้ใช้เท่าไร ส่วนมากจะเล่นโปรแกรม บน DOS มากกว่า ถ้าใครยังพอจำได้ว่า เคยใช้ Thai Menu และเคยใช้ Thai Show ของ อาจารย์อาจหาญ สัตยารักษ์ ก็คงจะรู้ตัวว่าตอนนี้อายุของท่านนะจะอายุเกินยี่สิบละ อาจเป็นไปได้ว่าด้วยความลำบากของการใช้งานโปรแกรมในสมัยก่อน เหมือนจะบีบให้เรา(ตัวผมเองแหละ)เริ่มจะเรียนเขียนโปรแกรมขึ้นมาบ้าง ตอนนั้นก็ศึกษากับพี่(ผมอยู่ประถม 6 พี่อยู่ ป.ตรี) ก็เริ่มเขียนกันมาตั้งแต่ pascal,Qbasic,C บน DOS จนมาถึงตอนเริ่มเข้าสู่ยุค windows 95 ก็มาเขียนเป็น GUI บ้าง บน delphi,VB,rapidq จนมาถึงปัจจุบันก็ python,C++,php,jsp,java พูดมาซะเยอะใช่ว่าจะเขียนเก่งนะครับ เผอิญว่าเวลาเขียนโปรแกรมผมเป็นคนที่ไม่ค่อยจะยึดติดกับภาษาไหนเป็นหลักหรือ วาง Syntex ภาษาไหนไว้บนหัวตลอด เพราะว่ามันจะมีปัญหาเวลาเราเขียนโปรแกรมหลายๆภาษามันจะงง บางสิ่งมันก็ไม่จำเป็นต้องจำละ ถ้าเขียนทีมันผิดก็เปิดคู่มือเอา เอาสมองจดจำวิธีการแก้ปัญหา การร่างโปรแกรมมากกว่า ไม่ได้บอกว่าวิธีนี้ดีนะครับ แล้วแต่ความชอบของแต่ละคน


    เอาละมาพูดถึงการ์จอกันมั้ง ถ้าจะพูดไปแล้วเปรียบเทียบอดีตกับปัจจุบัน มันต่างกันมากๆ จากที่เล่นเกมส์บน DOS เป็นกราฟฟิค 2D ภาพเป็นหยักๆ พัฒนามาจนเรื่อยมาถึงยุคของ windows 95 ขึ้นไปที่มีการใช้ หน่วยประมวลผลกราฟฟิคในงานที่ให้ความบันเทิงต่าง ตั้งแต่ การดูหนังฟัง ไปถึงการเล่นเกมส์ ผ่านตัว API directX,Opengl งานส่วนมากก็จะเป็นกราฟฟิค 3D ภาพที่ได้ก็สวยงามซะ พูดไปแล้วก็อาจเป็นเพราะความต้องการของมนุษย์ไม่มีที่สิ้นสุดก็คงจะถูกต้อง แล้วถ้าให้เด็กสมัยนี้ไปเล่นเครื่องเก่าๆ ดูคงจะเครียดน่าดู และสำหรับเรื่องราวของการ์ดกราฟฟิคในอดีตแล้ว สามารถดูได้ตามลิงค์นี้นะครับ คนไทยคนหนึ่งที่เขียนบทแล้วผมประทับใจมากๆ การ์ดกราฟฟิค at IonRa's space  ลองหาบทความอ่านดูแล้วจะรู้ว่า อดีตนั้นสร้างอนาคต แต่อย่าอย่ายึดติดกับอดีตมันจะไม่มีอนาคต

   จากการใช้คอมพิวเตอร์มาอย่างยาวนาน ได้เห็นการเติบโต การพัฒนาของคอมพิวเตอร์ นั้นแหละทำให้ผมเองชอบคอมพิวเตอร์