Chào cả nhà!
Mình có một số thắc mắc về bảo mật mong mọi người giúp đỡ

1. Audit và phân tích log network (các công cụ và qui trình thưc hiện phân tích ) : log nhìn vô là thấy choáng,vậy những công cụ nào,qui trình kiểm tra như thế nào để công việc đạt hiểu quả.

2. Quản lý thiết bị và mạng chẳng hạn như khi một máy vi tính cắm vào mạng,sẽ có cảnh báo hoặc thông tin hiển thị báo rằng có một thằng vừa vào mạng. Không biết có tool nào làm đươc việc này kô.

thân!
 

%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/24, changed state to up
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/42, changed state to down

2. Câu này em đặt vấn đề chưa đươc rõ ràng lắm .

- Chẳng hạn như ta có một phòng dự án ở lầu 5 và IT thì ở lầu 3. Một anh nào đó từ chi nhánh lên làm việc với đội dự án thì anh ta chỉ có việc cắm dây mạng ,hỏi đồng nghiệp thông số ip .. là anh ta truy cập internet. Ờ lầu 3 mấy thằng IT đâu biết gì . Vấn đề đươc đặt ra là khi anh ta gắm dây mạng vào,cấu hình ip thì sẽ có một cảnh báo gởi tới IT.

- Mọi người có thể chia sẽ giùm mình việc quản lý đối với những trường hợp nhân viên từ chi nhánh lên làm việc với máy xách tay chẳng hạn.
 

2. Câu này em đặt vấn đề chưa đươc rõ ràng lắm .

- Chẳng hạn như ta có một phòng dự án ở lầu 5 và IT thì ở lầu 3. Một anh nào đó từ chi nhánh lên làm việc với đội dự án thì anh ta chỉ có việc cắm dây mạng ,hỏi đồng nghiệp thông số ip .. là anh ta truy cập internet. Ờ lầu 3 mấy thằng IT đâu biết gì . Vấn đề đươc đặt ra là khi anh ta gắm dây mạng vào,cấu hình ip thì sẽ có một cảnh báo gởi tới IT.

- Mọi người có thể chia sẽ giùm mình việc quản lý đối với những trường hợp nhân viên từ chi nhánh lên làm việc với máy xách tay chẳng hạn.
 

cái này bạn thử dùng snort thử xem 

snort dùng để làm gì? nguyên lý hoạt động của nó như thế nào mà có thể đáp ứng nhu cầu trên
 

Snort là một kiểu IDS (Instruction Detection System). Nói ngắn gọn IDS là một hệ thống được cài đặt trên mạng (hay máy tính) của bạn và nhiệm vụ của nó là giám sát những gói tin vào ra hệ thống của bạn. Nếu một cuộc tấn công được phát hiện bởi Snort thì nó có thể phản ứng bằng nhiều cách khác nhau phụ thuộc vào cấu hình mà bạn thiết lập, chẳng hạn như nó có thể gởi thông điệp cảnh báo đến nhà quản trị hay loại bỏ gói tin khi phát hiện có sự bất thường trong các gói tin đó.
 

snort dùng để làm gì? nguyên lý hoạt động của nó như thế nào mà có thể đáp ứng nhu cầu trên
 

Snort là một kiểu IDS (Instruction Detection System). Nói ngắn gọn IDS là một hệ thống được cài đặt trên mạng (hay máy tính) của bạn và nhiệm vụ của nó là giám sát những gói tin vào ra hệ thống của bạn. Nếu một cuộc tấn công được phát hiện bởi Snort thì nó có thể phản ứng bằng nhiều cách khác nhau phụ thuộc vào cấu hình mà bạn thiết lập, chẳng hạn như nó có thể gởi thông điệp cảnh báo đến nhà quản trị hay loại bỏ gói tin khi phát hiện có sự bất thường trong các gói tin đó.
 

cách sử dụng chi tiết trên win bạn có thể tham khảo tại [url=http://giaiphapantoan.com/downloads/elearning/software/Snort/]Đây
[/url]
hoặc tại trang chủ www.snort.org
bạn có thể tự xây dựng thêm ruler để cảnh báo khi máy khác kết nối vào mạng của bạn. tài liệu bạn có thể tìm trên mạng
 

về MAC: nếu dùng nhiều subnet thì làm sao quản lý, khi mà không có những thiết bị mạng chuyên dụng (Cisco Switch chằng hạn), dành cho doanh nghiệp??

về dhcp: nếu như ai đó cấu hình ip tĩnh thì làm sao mà theo dõi thông qua dhcp? Giải pháp kiểm soát việc plug/unplug 01 máy thông qua dhcp chỉ là phụ, cho những giải pháp khác.

đề xuất 02 cách:
- Chỉnh lại firewall, chỉ cho phép các IP hiện tại vào Internet và mở những kết nối cần thiết để liên lạc với các subnet khác trong mạng cty. Khi đó nếu như 01 máy mới được cắm vào, thì sẽ không thể kết nối đến bất kỳ máy nào, ngoại trừ các kết nối trong cùng 01 subnet.
- Dựng 01 proxy server, cũng chỉ cho phép các IP hiện tại vào Internet. Hoặc nên tìm 01 proxy server hỗ trợ report tốt trong việc thống kê truy cập của các IP. Dựa vào điều này để biết IP nào mới sử dụng proxy, ip nào đã sử dụng từ lâu.

02 cách trên đều có hạn chế là không thể kiểm soát truy cập từ các máy mới đến các máy trong cùng mạng. Chỉ làm được chuyện này nếu có thiết bị switch chuyên dụng (lại là đồ chuyên dụng), hỗ trợ protocol netflow.

Tất cả các cách, đều sẽ khó phát hiện ra 01 máy mới nếu máy đó cố tình dùng 01 IP đã có trong mạng đó, nếu không dựa vào MAC address.

về logs hả, đó là 01 may mắn khi các sếp giao nhiệm vụ đó cho lQ. Đọc logs riết rồi ghiền luôn, giống như cà phê buổi sáng đó :-P.
 

@beo_beo37:
Tất nhiên sẽ dùng AD để quản lý tập trung. Nhưng có những phòng ,những bộ phận vào AD chăng để làm gì. Việc 1 thằng nào đó cắm dây vô mạng ,cấu hình ip nhưng vẫn không truy xuất internet,subnet khác được là điều bình thường. Tạo 1 con DC,cài một DHCP chỉ để quản lý cái phòng dự án là điều không khả thi. Mà nói thât môt thằng nào đó trong phòng này la làng lên bất tiện nó không làm việc được thì mấy thằng network như tui chạy thí mồ
 

Thật ra vấn đề này đươc đặt ra không chỉ cho phòng dự án không, các chi nhánh cũng cần triển khai vấn đề này. Môt chi nhánh có 5 tầng chẳng lẻ cần 6 cái switch cisco. Chẳng lẻ mỗi chi nhánh phải cài ISA,DHCP. Mà qua ISA gói tin bị lọc sẽ gây độ trễ cho ứng dụng.