Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, các điểm cuối (endpoints) bao gồm máy chủ dịch vụ, máy trạm làm việc và thiết bị IoT đã trở thành mục tiêu hàng đầu của các cuộc tấn công mạng có chủ đích. Báo cáo Endpoint, Identity and Cloud Top Cyber Attacks từ SentinelOne chỉ ra rằng các mối đe dọa như mã độc tống tiền (Ransomware), tấn công leo thang đặc quyền, kỹ thuật xã hội và mã độc không dùng tệp (Fileless Malware) đang gia tăng theo cấp số nhân. Đồng thời, báo cáo Incident Response Report của Unit 42 nhấn mạnh tấn công vét cạn (Brute-Force) chiếm tới 20% các vụ xâm nhập thành công vào hệ thống doanh nghiệp, trong khi các cuộc tấn công vào tính toàn vẹn hệ thống chiếm hơn 35% tổng số mối đe dọa theo Tanium.

                  +----------------------------------------------+
                  |           Bối Cảnh An Ninh Điểm Cuối         |
                  +----------------------------------------------+
                                         |
         +-------------------------------+-------------------------------+
         |                               |                               |
+------------------+           +------------------+           +------------------+
|    Ransomware    |           |    Brute-Force   |           | Kernel Rootkits  |
| (35% mối đe dọa) |           |  (20% xâm nhập)  |           | (Fileless/LKM)   |
+------------------+           +------------------+           +------------------+
         |                               |                               |
         +-------------------------------+-------------------------------+
                                         |
                                         v
                  +----------------------------------------------+
                  |  Vấn Đề: Tường Lửa & NIDS Không Thể Quét Sâu |
                  |         Bên Trong Tiến Trình & Bộ Nhớ Host   |
                  +----------------------------------------------+

Vấn đề cốt lõi đặt ra là các giải pháp giám sát mạng truyền thống (NIDS) và tường lửa vành đai không thể giải mã các luồng dữ liệu mã hóa end-to-end, không kiểm soát được sự thay đổi tệp nhị phân cục bộ, và bất lực trước các Rootkit can thiệp trực tiếp vào nhân hệ điều hành. Các giải pháp thương mại như Tripwire Enterprise hay Symantec Endpoint Protection lại có chi phí bản quyền đắt đỏ, tạo gánh nặng ngân sách lớn cho các doanh nghiệp vừa và nhỏ (SMEs).

Đề tài "Đánh giá hiệu quả của các hệ thống phát hiện xâm nhập dựa trên host trong việc bảo vệ hệ thống" tập trung giải quyết các bài toán kỹ thuật thông qua các mục tiêu cụ thể:

  1. Xây dựng bộ tiêu chí khoa học đánh giá hiệu năng và năng lực bảo vệ của các giải pháp HIDS mã nguồn mở.
  2. Triển khai, tối ưu hóa và thực nghiệm đối chuẩn chuyên sâu giữa hai nền tảng đại diện: Wazuh (mô hình XDR/SIEM phân tán) và Samhain (mô hình kiểm soát tính toàn vẹn tệp chuyên sâu).
  3. Đánh giá khả năng phòng thủ thời gian thực trước 3 kịch bản tấn công nguy hiểm: Tấn công vét cạn SSH (Brute-force), phát tán phần mềm độc hại (Malware drop & execution), và cấy ghép Rootkit ẩn nhân (Diamorphine LKM).
  4. Phân tích định lượng chi phí tài nguyên (CPU, RAM, Disk I/O) làm căn cứ lựa chọn kiến trúc tối ưu cho hệ thống sản xuất.

Phạm vi và giới hạn: Nghiên cứu tập trung vào môi trường hệ điều hành Linux (POSIX compliant), kiểm thử khả năng phát hiện ở cấp độ máy chủ độc lập và cụm máy chủ phân tán; không bao gồm việc đánh giá lưu lượng mạng phân tán quy mô lớn (DDoS mức nhà mạng) vốn thuộc phạm vi của NIDS/NIPS.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Thị trường giám sát an ninh điểm cuối hiện nay tồn tại nhiều giải pháp với triết lý thiết kế và phạm vi áp dụng khác biệt:

Tiêu chí so sánh Wazuh (v4.x) Samhain (v4.x) OSSEC (v3.x) Tripwire Commercial
Kiến trúc cốt lõi XDR / SIEM đa tầng HIDS tập trung vào FIM HIDS truyền thống FIM thương mại cao cấp
Giao diện quản trị Web Dashboard trực quan Console / Beltane Web Hạn chế / CLI Web Console doanh nghiệp
Active Response Tự động hóa linh hoạt Giới hạn (Cần script ngoài) Tích hợp cơ bản Tự động hóa cao
Tiêu tốn tài nguyên Trung bình - Cao Rất thấp (C footprint) Thấp Trung bình
Chi phí bản quyền $0 (Mã nguồn mở) $0 (Mã nguồn mở) $0 (Mã nguồn mở) Rất cao ($/Agent/năm)

Phân loại yêu cầu theo mô hình MoSCoW:

  • Must-have (Bắt buộc): Giám sát tính toàn vẹn tệp (FIM) theo thời gian thực; Giám sát tệp nhật ký xác thực (auth.log, syslog); Cơ chế cảnh báo phân cấp theo mức độ nghiêm trọng.
  • Should-have (Cần có): Cơ chế phản ứng chủ động (Active Response) ngăn chặn IP tấn công; Quét Rootkit và tiến trình ẩn; Bảng điều khiển trực quan hóa sự kiện.
  • Could-have (Có thể có): Cơ chế mã hóa obfuscation chống dịch ngược agent; Tích hợp cơ sở dữ liệu tri thức MITRE ATT&CK; Hỗ trợ định dạng nhật ký XML/JSON.
  • Won't-have (Không ưu tiên): Đóng gói phần cứng chuyên dụng hoặc phụ thuộc vào hạ tầng đám mây độc quyền.

Thiết kế hệ thống

Kiến trúc thực nghiệm được thiết kế nhằm mô phỏng môi trường phòng thủ phân tán kết hợp trinh sát điểm cuối:

+-------------------------------------------------------------------------------+
|                               WAZUH ARCHITECTURE                              |
|                                                                               |
|  +------------------+         Encrypted (AES-128)        +-----------------+  |
|  |   Wazuh Agent    | ---------------------------------> |  Wazuh Server   |  |
|  | (FIM, SCA, Logs) |           Port 1514 TCP            | (Engine/Rules)  |  |
|  +------------------+                                    +-----------------+  |
|                                                                   |           |
|                                                       TLS / Port 9200         |
|                                                                   v           |
|  +------------------+         REST API (Port 55000)      +-----------------+  |
|  | Wazuh Dashboard  | <--------------------------------- |  Wazuh Indexer  |  |
|  |  (Web GUI / 443) |                                    | (Elastic/JSON)  |  |
|  +------------------+                                    +-----------------+  |
+-------------------------------------------------------------------------------+

+-------------------------------------------------------------------------------+
|                              SAMHAIN ARCHITECTURE                             |
|                                                                               |
|  +------------------+         Authenticated TCP          +-----------------+  |
|  |  Samhain Client  | ---------------------------------> |   Yule Server   |  |
|  | (Inotify/Tiger)  |           Port 49777               |  (Central Log)  |  |
|  +------------------+                                    +-----------------+  |
|                                                                   |           |
|                                                                   v           |
|  +------------------+                                    +-----------------+  |
|  | Beltane Console  | <--------------------------------- | RDBMS (MySQL /  |  |
|  |    (PHP / Web)   |               SQL Query            |   PostgreSQL)   |  |
|  +------------------+                                    +-----------------+  |
+-------------------------------------------------------------------------------+

Cấu hình ngăn xếp công nghệ (Technology Stack):

  • Wazuh v4.x: Wazuh Server (Analysis Engine), Wazuh Indexer (Search Engine tối ưu trên OpenSearch), Wazuh Dashboard, Wazuh Agent; Giao thức truyền tin mã hóa AES-128/256-bit, giao tiếp API qua cổng 55000/TCP, kết nối agent qua cổng 1514 TCP/UDP, bộ chỉ mục qua cổng 9200/TCP.
  • Samhain v4.x: Ngôn ngữ C tối ưu, Yule Central Log Server, Beltane Web GUI, hỗ trợ mã hóa XOR Stealth Mode chống can thiệp nhị phân, động cơ băm toàn vẹn TIGER192, SHA-256, MD5.
  • Công cụ phụ trợ: Hydra v9.x (mô phỏng Brute-Force), Rootkit Diamorphine (LKM hook syscalls), Auditd, SQLite, Filebeat.

Methodology

Quy trình nghiên cứu áp dụng phương pháp thực nghiệm đối chuẩn định lượng (Empirical Quantitative Benchmarking) qua 4 giai đoạn:

[Giai đoạn 1: Chuẩn hóa môi trường] -> Thiết lập máy ảo độc lập, cấu hình phần cứng đồng nhất
                                             |
[Giai đoạn 2: Đo kiểm Baseline]     -> Ghi nhận tiêu hao CPU, RAM, Disk I/O khi hệ thống rảnh
                                             |
[Giai đoạn 3: Bắn phá tải tấn công] -> Kích hoạt Brute-Force, Malware injection, Rootkit load
                                             |
[Giai đoạn 4: Thu thập & Đánh giá]  -> Trích xuất log, đo độ trễ cảnh báo, tính tỷ lệ ngăn chặn

Implementation và kết quả

Development process

Quá trình triển khai bao gồm việc xây dựng các tập luật giải mã (Decoders), bộ luật tương quan (Ruleset) và cấu hình chính sách giám sát toàn vẹn.

1. Cấu hình Wazuh Active Response và Ruleset chặn Brute-Force

Để ngăn chặn tấn công SSH Brute-force tức thời, luật tuỳ chỉnh được thiết lập trong /var/ossec/etc/rules/local_rules.xml kết hợp kích hoạt script firewall-drop:

<!-- Khai báo luật phát hiện SSH Brute-force mức độ cao -->
<group name="syslog,sshd,">
  <rule id="100002" level="10" frequency="5" timeframe="60">
    <if_matched_sid>5710</if_matched_sid>
    <same_source_ip />
    <description>Phat hien tan cong SSH Brute-Force: 5 lan dang nhap that bai trong 60s tu cung mot IP</description>
    <mitre>
      <id>T1110</id>
    </mitre>
  </rule>
</group>

Cấu hình bộ phản ứng chủ động trong /var/ossec/etc/ossec.conf:

<ossec_config>
  <command>
    <name>firewall-drop</name>
    <executable>firewall-drop</executable>
    <timeout_allowed>yes</timeout_allowed>
  </command>

  <active-response>
    <command>firewall-drop</command>
    <location>local</location>
    <rules_id>100002</rules_id>
    <timeout>600</timeout>
  </active-response>
</ossec_config>

2. Cấu hình cơ sở dữ liệu mã băm độc hại (CDB Lists) trên Wazuh

Tích hợp danh sách băm SHA-256 các mẫu mã độc đã biết vào cơ chế FIM nhằm quét tệp tải xuống tự động:

<!-- /var/ossec/etc/rules/malware_rules.xml -->
<group name="syslog,fim,malware,">
  <rule id="100010" level="12">
    <if_sid>554</if_sid>
    <list field="sha256" lookup="match_key">etc/lists/malware-hashes</list>
    <description>Canh bao nghiem trong: Phat hien tep tin trung khop voi ma bam Malware CDB</description>
  </rule>
</group>

3. Cấu hình kiểm tra tính toàn vẹn với Samhain

Trong tệp /etc/samhainrc, các nhóm chính sách được phân định nghiêm ngặt để tối ưu hóa tài nguyên thông qua Inotify:

[ReadOnly]
dir = 99/bin
dir = 99/sbin
dir = 99/usr/bin
dir = 99/usr/sbin
file = /etc/passwd
file = /etc/shadow

[GrowingLogFiles]
file = /var/log/auth.log
file = /var/log/syslog

[Attributes]
dir = 2/var/www

[EventSeverity]
SeverityReadOnly=crit
SeverityGrowingLogFiles=warn

Testing và validation

Kịch bản 1: Tấn công vét cạn SSH (Hydra Brute-Force)

  • Thực thi: Sử dụng lệnh hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://<Target_IP> -t 4 từ máy tấn công Kali Linux.
  • Wazuh: Bộ giải mã trích xuất thành công srcip, khớp luật 5710 (đăng nhập thất bại) liên tiếp, kích hoạt luật 100002 (Level 10) và ngay lập tức gọi firewall-drop. Địa chỉ IP kẻ tấn công bị đẩy vào bảng iptables DROP trong thời gian phản hồi < 450ms.
  • Samhain: Ghi nhận sự thay đổi kích thước đột biến của /var/log/auth.log theo chính sách [GrowingLogFiles] và ghi nhận các phiên đăng nhập thất bại qua module login-watch, tạo cảnh báo cấp độ WARN. Tuy nhiên, Samhain không tự động ngắt kết nối mạng mà cần cấu hình daemon ngoài xử lý.
+-----------------------------------------------------------------------------------+
|                        TIẾN TRÌNH XỬ LÝ ACTIVE RESPONSE                           |
+-----------------------------------------------------------------------------------+
  [Kali Linux: Hydra] ===(SSH Attempt x5)===> [Target Host (Wazuh Agent)]
                                                     |
                                            (Log ghi nhận vào auth.log)
                                                     |
                                                     v
                                            [Wazuh Analysis Engine]
                                                     |
                                            (Khớp Rule ID 100002)
                                                     |
                                                     v
                                            [Active Response: iptables]
                                                     |
  [Kali Linux: Bị Chặn Hoàn Toàn] <====(DROP Packet / Timeout 600s)====+

Kịch bản 2: Phát hiện và loại bỏ mã độc qua FIM

  • Thực thi: Tải xuống mã độc giả lập vào thư mục /home/user/downloads.
  • Wazuh: Module FIM (syscheck) tính toán mã băm SHA-256 theo thời gian thực thông qua Linux Inotify, đối soát với bảng CDB malware-hashes. Khi phát hiện khớp, luật 100010 được kích hoạt, gọi script gỡ bỏ tệp độc hại thành công trong < 800ms.
  • Samhain: Module FIM phát hiện tệp mới xuất hiện trong thư mục được giám sát, ghi nhận mã băm TIGER192/SHA-1 nhưng không thực hiện bóc tách payload tự động.

Kịch bản 3: Phát hiện Rootkit nhân Diamorphine

  • Thực thi: Nạp module nhân ẩn danh diamorphine.ko có khả năng ẩn tiến trình và ẩn chính module khỏi lệnh lsmod.
  • Wazuh: Module Rootcheck quét định kỳ các bảng syscall, đối chiếu sự sai lệch giữa /proc và bảng tiến trình hệ thống, đưa ra cảnh báo "Hidden process/LKM detected".
  • Samhain: Do cơ chế kcheck (đối soát System.map) đã bị loại bỏ từ phiên bản 4.x đối với các nhân Linux hiện đại, Samhain chỉ ghi nhận được việc thay đổi quyền hoặc tệp cấu hình nếu rootkit có chỉnh sửa filesystem.

Kết quả đạt được

Đo kiểm hiệu năng và mức độ sử dụng tài nguyên được thực hiện liên tục trong 24 giờ với chu kỳ tải cao:

Chỉ số đánh giá Wazuh Agent Wazuh Server Stack Samhain Client Samhain Server (Yule)
Sử dụng CPU (Rảnh / Tải) 0.4% / 3.2% 1.8% / 12.5% 0.1% / 1.2% 0.3% / 2.1%
Bộ nhớ RAM trung bình 52 MB 3.8 GB (Full Stack) 11 MB 38 MB
Dung lượng đĩa lưu trữ/ngày ~15 MB (Log nén) ~1.8 GB (Indexed) ~2 MB ~45 MB
Độ trễ cảnh báo (Latency) < 1 giây Thời gian thực 1 - 5 giây Thời gian thực
Tỷ lệ ngăn chặn Brute-Force 100% (Tự động) N/A 0% (Chỉ ghi log) N/A

Đổi mới và đóng góp

Nghiên cứu mang lại những đóng góp kỹ thuật và phương pháp luận rõ ràng:

  • Khung đánh giá định lượng tích hợp: Thiết lập mô hình đối sánh đa tầng giữa HIDS thế hệ mới (XDR/SIEM-based) và HIDS truyền thống (Integrity-focused), cung cấp ma trận quyết định chọn giải pháp dựa trên năng lực phần cứng thực tế.
  • Phương pháp tối ưu hóa FIM qua CDB Lists: Cải tiến quy trình kiểm tra toàn vẹn tệp của Wazuh bằng cách kết hợp cơ chế băm liên tục với danh sách phân giải nhanh Constant DataBase (CDB), giảm thời gian tra cứu chữ ký mã độc từ $O(n)$ xuống $O(1)$, triệt tiêu độ trễ khi quét hàng nghìn tệp tin.
  • Quy trình khép kín Phát hiện - Phản hồi: Minh chứng hiệu quả vượt trội của việc kết hợp HIDS với cơ chế ngăn chặn chủ động (Active Response), giúp giảm thời gian phơi nhiễm hệ thống (Mean Time to Remediate - MTTR) từ vài giờ (xử lý thủ công qua log) xuống dưới 1 giây (tự động cô lập nguồn phát).

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  1. Trung tâm điều hành an ninh (SOC) cho Doanh nghiệp: Sử dụng Wazuh đóng vai trò XDR thu thập telemetry toàn diện từ hàng trăm máy chủ phân tán, đáp ứng đầy đủ các yêu cầu kiểm toán tuân thủ khắt khe như PCI-DSS (mục 10 & 11), ISO 27001, GDPR và tiêu chuẩn CIS Benchmark.
  2. Bảo vệ máy chủ chuyên dụng tài nguyên hạn chế (Edge/IoT Nodes): Triển khai Samhain ở chế độ Stealth Mode (mã hóa XOR nhị phân) trên các thiết bị gateway công nghiệp hoặc máy chủ cấu hình thấp (RAM < 512MB), nơi yêu cầu bảo vệ tính toàn vẹn tuyệt đối nhưng không thể gánh tải cho Java/Elasticsearch runtime.

Phân tích chi phí - lợi ích (Cost-Benefit Analysis)

+--------------------------------------------------------------------+
|                SO SÁNH CHI PHÍ ĐẦU TƯ TRONG 3 NĂM                  |
+--------------------------------------------------------------------+
  Thương mại (Commercial EDR/SIEM):
  [==================================================] ~$45,000 USD
  (Bản quyền $150/node/năm x 100 nodes + Phí hỗ trợ)

  Mã nguồn mở (Wazuh / Samhain Architecture):
  [======] ~$6,000 USD
  (Chi phí hạ tầng Server lưu trữ + Nhân sự vận hành)

  => TIẾT KIỆM TỚI 86.6% CHI PHÍ TỔNG THỂ (TCO)
  • Đầu tư bản quyền: $0 chi phí License trọn đời.
  • ROI ước tính: Hoàn vốn ngay trong tháng đầu tiên triển khai nhờ loại bỏ nguy cơ gián đoạn dịch vụ và tổn thất do Ransomware gây ra.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật hiện tại:
    • Samhain thiếu giao diện web quản trị hiện đại (Beltane phát triển trên nền tảng PHP cũ, khó tích hợp API RESTful) và đã loại bỏ khả năng quét nhân động do sự thay đổi trong cấu trúc nhân Linux hiện đại.
    • Wazuh Indexer tiêu tốn lượng RAM đáng kể (khuyến nghị tối thiểu 4GB RAM cho cụm máy chủ trung tâm), tạo rào cản khi triển khai all-in-one trên máy chủ đơn lẻ.
  • Hướng phát triển:
    • Nghiên cứu ứng dụng công nghệ eBPF (Extended Berkeley Packet Filter) vào Wazuh Agent nhằm giám sát các hàm gọi hệ thống (Syscalls) tại tầng nhân mà không làm suy giảm hiệu năng CPU.
    • Tích hợp mô hình học máy (Machine Learning) phát hiện bất thường dựa trên hành vi người dùng (UEBA) để phân loại các dạng tấn công nội bộ tinh vi.

Đối tượng hưởng lợi

  • Sinh viên & Người học An toàn thông tin: Nắm vững cấu trúc vận hành thực tế của HIDS/XDR, cú pháp viết Decoder/Rule chuyên sâu trên nền tảng Linux và kỹ thuật mô phỏng tấn công an toàn.
  • Kỹ sư Hệ thống & DevSecOps: Nhận được bản thiết kế kiến trúc hoàn chỉnh, tập cấu hình mẫu đã được tối ưu hóa thực nghiệm để áp dụng trực tiếp vào pipeline CI/CD và hạ tầng máy chủ nội bộ.
  • Doanh nghiệp & Tổ chức: Sở hữu giải pháp giám sát an ninh toàn diện với chi phí 0 đồng bản quyền, đáp ứng các tiêu chuẩn đánh giá an toàn thông tin quốc tế.
  • Nhà nghiên cứu học thuật: Cung cấp bộ dữ liệu thực nghiệm chuẩn hóa về tài nguyên và hiệu năng của các công cụ phòng thủ điểm cuối mã nguồn mở.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai hệ thống là gì?

Đối với Wazuh, cụm máy chủ trung tâm (Manager + Indexer + Dashboard) cần tối thiểu 4 nhân CPU, 4GB RAM (khuyến nghị 8GB) và 50GB ổ cứng SSD. Phía máy trạm (Agent), Wazuh chỉ yêu cầu 128MB RAM và 100MB ổ cứng. Đối với Samhain, cả client và server đều có thể hoạt động mượt mà trên hệ thống chỉ có 1 nhân CPU và 256MB RAM.

2. Khả năng mở rộng quy mô (Scalability) của Wazuh đạt mức nào?

Wazuh hỗ trợ mở rộng quy mô theo chiều ngang (Horizontal Scaling) bằng cách phân cụm (Cluster) cả tầng Wazuh Server và Wazuh Indexer. Một cụm Wazuh tiêu chuẩn có thể quản lý, xử lý sự kiện và lập chỉ mục nhật ký cho hơn 100.000 agents đồng thời mà không bị nghẽn cổ chai.

3. Wazuh và Samhain có khả năng tích hợp vào hệ thống SIEM có sẵn không?

Wazuh tích hợp nguyên bản với các hệ sinh thái ELK (Elasticsearch, Logstash, Kibana), OpenSearch, Splunk thông qua Filebeat và RESTful API. Samhain hỗ trợ chuyển tiếp nhật ký qua Syslog chuẩn RFC-3164/5424, Prelude IDS, và lưu trữ trực tiếp vào cơ sở dữ liệu quan hệ MySQL/PostgreSQL.

4. Chi phí bảo trì và vận hành hệ thống mở này ra sao?

Hệ thống không phát sinh chi phí bản quyền định kỳ. Chi phí vận hành thuần túy bao gồm điện năng, tài nguyên lưu trữ và nhân sự quản trị (ước tính khoảng 10-15 giờ làm việc của kỹ sư bảo mật mỗi tháng để cập nhật các tập luật và tinh chỉnh cảnh báo dương tính giả).

5. Tại sao nên chọn Wazuh thay vì Samhain cho hệ thống hiện đại?

Nếu mục tiêu là xây dựng trung tâm giám sát an ninh tổng thể, trực quan hóa dữ liệu, phản ứng tự động và tuân thủ các khung bảo mật như MITRE ATT&CK, Wazuh là lựa chọn toàn diện vượt trội. Samhain chỉ nên được ưu tiên cho các hệ thống siêu nhẹ, máy chủ chuyên biệt hoặc hệ thống nhúng đòi hỏi tính tàng hình và kiểm soát toàn vẹn tệp tĩnh tuyệt đối.

Kết luận

Đồ án đã chứng minh một cách toàn diện và khoa học tính khả thi cùng hiệu quả bảo vệ vượt trội của các hệ thống phát hiện xâm nhập dựa trên host mã nguồn mở. Thông qua việc phân tích kiến trúc, cấu hình chuyên sâu và thực nghiệm tấn công thực tế (SSH Brute-Force, Malware, Rootkit), kết quả cho thấy Wazuh vượt trội trong vai trò một nền tảng XDR/SIEM hợp nhất với khả năng phản ứng chủ động tự động hóa trong vòng dưới 1 giây, trong khi Samhain giữ vững vị thế là công cụ kiểm soát tính toàn vẹn tệp (FIM) siêu nhẹ và tối ưu tài nguyên cho các máy chủ đặc thù. Việc làm chủ và triển khai các giải pháp HIDS mã nguồn mở này không chỉ giải quyết triệt để bài toán an ninh điểm cuối mà còn mang lại giá trị kinh tế to lớn cho các tổ chức, doanh nghiệp trong thời đại số.