IPS trên FortiGate: Sensor, Signature, Severity

1. Liên hệ thực tế

Sau vụ SYN Flood ở bài DoS Policy, đội bảo mật khách hàng phát hiện thêm một vấn đề khác: có dấu hiệu ai đó đang cố khai thác lỗ hổng cụ thể trên phần mềm quản lý nội bộ (một CVE đã công bố) thông qua traffic hợp lệ về mặt port/protocol — DoS Policy không phát hiện được vì đây không phải traffic dạng flood khối lượng lớn, mà là traffic có cấu trúc khai thác lỗ hổng cụ thể.

Anh Nam hỏi: "DoS Policy chỉ nhìn số liệu thống kê, không phân tích được nội dung gói tin theo kiểu này. Vậy dùng công cụ gì?"

Chị Lan: "Đây chính là việc của IPS (Intrusion Prevention System) — dựa trên cơ sở dữ liệu chữ ký (signature) mô tả chi tiết cách thức khai thác từng lỗ hổng cụ thể, IPS soi vào cấu trúc gói tin để phát hiện đúng pattern tấn công đó, bất kể tốc độ traffic cao hay thấp."

Bài này giới thiệu IPS Sensor, cách tổ chức theo Signature và Severity, và cách xây dựng chính sách IPS phù hợp.

2. Kiến thức cốt lõi

2.1 IPS khác DoS Policy ở điểm nào

Đã học ở bài DoS Policy, DoS Policy phát hiện tấn công dựa trên ngưỡng số liệu thống kê (gói/giây, số phiên...) — phù hợp cho tấn công dạng flood khối lượng lớn. IPS thì phân tích cấu trúc và nội dung của từng gói tin/luồng traffic, đối chiếu với cơ sở dữ liệu chữ ký (Signature Database) do FortiGuard duy trì, mô tả chi tiết cách thức khai thác của từng lỗ hổng (CVE) hoặc kỹ thuật tấn công đã biết — phát hiện được cả tấn công tinh vi không cần khối lượng traffic lớn.

2.2 IPS Sensor — tập hợp signature áp dụng cho Policy

IPS Sensor là một profile gồm các nhóm điều kiện lọc signature (filter) — thay vì chọn thủ công từng signature riêng lẻ trong hàng chục nghìn chữ ký có sẵn, filter cho phép chọn theo tiêu chí như severity, target, OS, protocol...

config ips sensor
    edit "chan-khai-thac-nghiem-trong"
        config entries
            edit 1
                set severity high critical
                set action block
                set log enable
            next
            edit 2
                set severity medium
                set action pass
                set log enable
            next
        end
    next
end

config firewall policy
    edit 100
        ...
        set ips-sensor "chan-khai-thac-nghiem-trong"
    next
end

2.3 Severity — bốn mức độ nghiêm trọng

Mỗi signature IPS được gắn một mức Severity phản ánh mức độ nguy hiểm tiềm tàng nếu bị khai thác thành công — từ low (thông tin, ít rủi ro thực tế) tới critical (khai thác từ xa, hậu quả nghiêm trọng). Cấu hình filter theo severity giúp xây dựng chính sách phù hợp mức độ chấp nhận rủi ro của tổ chức, thay vì phải duyệt thủ công từng chữ ký.

⚠️ Lưu ý: Không nên mặc định block toàn bộ severity low/medium ngay từ đầu — một số signature mức thấp có thể trùng khớp với hành vi traffic hợp lệ trong môi trường đặc thù, gây false positive. Cách an toàn: bắt đầu với block cho high/critical, và monitor (log nhưng không chặn) cho low/medium để quan sát trước khi quyết định nâng mức độ chặt chẽ.

2.4 Target và Protocol — thu hẹp phạm vi filter

Ngoài severity, filter còn thu hẹp theo nhiều tiêu chí khác để tối ưu hiệu năng và độ chính xác:

config ips sensor
    edit "bao-ve-web-server"
        config entries
            edit 1
                set severity high critical
                set target server
                set protocol HTTP HTTPS
                set os Linux
                set action block
                set log enable
            next
        end
    next
end

• target — client (bảo vệ máy trạm khỏi bị tấn công) hoặc server (bảo vệ server khỏi bị khai thác) — chọn đúng hướng giúp giảm số lượng signature không liên quan, tăng hiệu năng xử lý.
• protocol — chỉ áp dụng cho các giao thức cụ thể (HTTP, SMB, DNS...), phù hợp khi biết rõ dịch vụ cần bảo vệ chạy giao thức gì.
• os — chỉ áp dụng signature liên quan tới hệ điều hành cụ thể (Windows, Linux...), tránh lãng phí tài nguyên xử lý signature không liên quan tới hạ tầng thực tế.

2.5 Exempt IP List — loại trừ theo nguồn/đích cụ thể

Tương tự SSL Exempt List đã học ở bài SSL Inspection, IPS Sensor hỗ trợ loại trừ traffic từ/tới một số địa chỉ IP cụ thể ra khỏi việc kiểm tra — hữu ích khi có công cụ quét bảo mật nội bộ (vulnerability scanner) hợp lệ mà IPS liên tục cảnh báo nhầm:

config ips sensor
    edit "bao-ve-web-server"
        config exempt-ip
            edit 1
                set src-ip 10.0.5.100 255.255.255.255
                set dst-ip 0.0.0.0 0.0.0.0
            next
        end
    next
end

2.6 Signature riêng lẻ — override khi cần thiết

Ngoài lọc theo nhóm điều kiện, có thể chỉ định hành động cho một signature cụ thể bằng tên, override lại hành động mặc định của nhóm filter chứa nó — dùng khi cần xử lý đặc biệt cho đúng một CVE quan trọng mà không muốn ảnh hưởng tới toàn bộ filter chung:

config ips sensor
    edit "bao-ve-web-server"
        config entries
            edit 1
                set severity high critical
                set action block
            next
        end
        config override
            edit 1
                set rule-id 12345
                set status enable
                set action block
                set log enable
            next
        end
    next
end

3. Hỏi & Đáp

IPS có thay thế được Antivirus không?

Không — hai tính năng bổ trợ nhau. Antivirus tập trung phát hiện file/mã độc dựa trên chữ ký virus, còn IPS tập trung phát hiện hành vi khai thác lỗ hổng trong giao thức mạng hoặc ứng dụng — ví dụ một payload SQL Injection gửi qua HTTP là phạm vi của IPS, còn file đính kèm chứa virus là phạm vi của Antivirus.

Vì sao nên chọn đúng target (client/server) thay vì để mặc định cả hai?

Chọn đúng target giúp giảm số lượng signature IPS cần đối chiếu cho mỗi gói tin, cải thiện hiệu năng xử lý đáng kể trên các model có tài nguyên hạn chế — đặc biệt quan trọng khi bật đồng thời nhiều Security Profile khác (Antivirus, Web Filter, Application Control) trên cùng Policy.

Nếu chặn nhầm 1 signature gây gián đoạn ứng dụng hợp lệ, xử lý thế nào?

Có thể dùng Signature Override để đặt riêng action disable hoặc pass cho đúng signature đó, mà không ảnh hưởng tới toàn bộ filter chung — hoặc thêm địa chỉ IP liên quan vào Exempt IP List nếu vấn đề chỉ giới hạn ở một nguồn/đích cụ thể.

IPS Sensor có cần SSL Deep Inspection giống Application Control không?

Tương tự nguyên lý đã học — với traffic HTTPS, IPS chỉ phân tích được cấu trúc gói tin đầy đủ khi có Deep Inspection giải mã nội dung. Nếu chỉ dùng Certificate Inspection, khả năng phát hiện của IPS đối với payload bên trong traffic mã hóa sẽ hạn chế hơn đáng kể.

4. Quiz

Câu 1: IPS khác DoS Policy chủ yếu ở điểm nào?

• A. IPS chỉ hoạt động với IPv6
• B. IPS phân tích cấu trúc/nội dung gói tin theo chữ ký, trong khi DoS Policy dựa trên ngưỡng số liệu thống kê
• C. Không có sự khác biệt, hai tên gọi cùng một tính năng
• D. DoS Policy mạnh hơn IPS trong mọi trường hợp

Câu 2: Severity trong IPS Signature phản ánh điều gì?

• A. Tốc độ xử lý của signature đó
• B. Mức độ nghiêm trọng tiềm tàng nếu lỗ hổng bị khai thác thành công
• C. Ngày phát hành signature
• D. Dung lượng file log

Câu 3: Tham số target trong IPS Sensor entry dùng để làm gì?

• A. Chỉ định địa chỉ IP đích cụ thể
• B. Thu hẹp phạm vi filter theo hướng bảo vệ: client hay server
• C. Đặt tên cho Sensor
• D. Không có tác dụng thực tế

Câu 4: Exempt IP List trong IPS Sensor dùng để làm gì?

• A. Chặn hoàn toàn các IP trong danh sách
• B. Loại trừ traffic từ/tới một số IP cụ thể khỏi việc kiểm tra IPS, hữu ích cho công cụ quét bảo mật nội bộ hợp lệ
• C. Tăng tốc độ quét cho toàn bộ traffic
• D. Chỉ áp dụng cho traffic UDP

Câu 5: Vì sao không nên mặc định block toàn bộ signature severity thấp ngay từ đầu?

• A. Vì severity thấp không tồn tại trong FortiOS
• B. Vì có thể gây false positive, chặn nhầm traffic hợp lệ trùng khớp pattern mức thấp
• C. Vì signature severity thấp luôn bị lỗi
• D. Vì FortiGate không hỗ trợ chặn severity thấp

👉 Đáp án

Câu 1: B IPS phân tích cấu trúc và nội dung gói tin dựa trên cơ sở dữ liệu chữ ký (signature) mô tả cách thức khai thác cụ thể, trong khi DoS Policy chỉ dựa trên ngưỡng số liệu thống kê (gói/giây, số phiên...).

Câu 2: B Severity phản ánh mức độ nghiêm trọng tiềm tàng nếu lỗ hổng liên quan bị khai thác thành công, từ low (ít rủi ro) tới critical (nghiêm trọng, khai thác từ xa).

Câu 3: B target thu hẹp phạm vi filter theo hướng cần bảo vệ — client (bảo vệ máy trạm) hoặc server (bảo vệ server) — giúp giảm số signature không liên quan cần đối chiếu.

Câu 4: B Exempt IP List loại trừ traffic từ/tới các địa chỉ IP cụ thể khỏi việc kiểm tra IPS, hữu ích khi có công cụ quét bảo mật nội bộ hợp lệ mà IPS liên tục cảnh báo nhầm.

Câu 5: B Một số signature severity thấp có thể trùng khớp với hành vi traffic hợp lệ trong môi trường đặc thù, gây false positive nếu mặc định chặn ngay từ đầu mà chưa quan sát thực tế.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng