Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của công nghệ thông tin và mạng Internet thúc đẩy sự gia tăng mạnh mẽ của các thiết bị đầu cuối (endpoint) như máy tính cá nhân, máy trạm, máy chủ và thiết bị IoT trong mọi lĩnh vực đời sống, kinh tế và an ninh. Cùng với sự phát triển này, các nguy cơ mất an toàn thông tin nhắm vào endpoint ngày càng trở nên phức tạp và nguy hiểm. Báo cáo Endpoint, Identity and Cloud, Top Cyber Attacks 2023 So Far của SentinelOne ghi nhận hàng loạt cuộc tấn công mã độc tống tiền (ransomware) quy mô lớn vào các tổ chức như Reddit (bị đánh cắp 80GB dữ liệu nội bộ và mã nguồn), công ty thực phẩm Dole (gây gián đoạn hoạt động sản xuất tại Bắc Mỹ), hay Cục Điều tra Tư pháp Hoa Kỳ (United States Marshals Service). Đồng thời, Báo cáo năm 2022 của Cơ quan An ninh mạng Châu Âu (ENISA) xác định 8 nhóm mối đe dọa hàng đầu, trong đó mã độc, tấn công từ chối dịch vụ (DoS/DDoS) và tấn công chuỗi cung ứng tiếp tục gây thiệt hại nghiêm trọng. Báo cáo Incident Response Report 2022 của Unit 42 (Palo Alto Networks) cũng chỉ ra rằng tấn công vét cạn (brute-force) chiếm tới 20% trong tổng số các vụ xâm nhập thành công.

Đối với các tổ chức và doanh nghiệp, việc trang bị các giải pháp bảo vệ và giám sát an ninh là yêu cầu bắt buộc nhằm duy trì hoạt động liên tục. Tuy nhiên, chi phí đầu tư và duy trì các hệ thống giám sát thương mại (như Tripwire Enterprise, AlienVault, McAfee, Symantec Endpoint Protection) thường rất cao. Do đó, việc nghiên cứu, đánh giá và triển khai các hệ thống phát hiện xâm nhập dựa trên host (HIDS) mã nguồn mở là một giải pháp thiết thực nhằm tối ưu hóa chi phí mà vẫn đảm bảo hiệu quả bảo vệ.

Đồ án tốt nghiệp "Đánh giá hiệu quả của các hệ thống phát hiện xâm nhập dựa trên host trong việc bảo vệ hệ thống" do sinh viên Vũ Thanh Tú thực hiện dưới sự hướng dẫn của TS. Đinh Trường Duy tại Khoa An toàn thông tin, Học viện Công nghệ Bưu chính Viễn thông (2024), tập trung giải quyết các nhiệm vụ nghiên cứu sau:

  1. Khảo sát tổng quan bối cảnh an toàn thông tin, phân loại các hệ thống phát hiện xâm nhập (IDS/IPS) và phân tích các mối đe dọa phổ biến nhắm vào endpoint.
  2. Tìm hiểu kiến trúc, nguyên lý hoạt động, cơ chế thu thập dữ liệu và kỹ thuật xây dựng tập luật của hai giải pháp HIDS mã nguồn mở tiêu biểu là Wazuh và Samhain.
  3. Thiết lập môi trường thử nghiệm thực tế và xây dựng hệ thống tiêu chí đánh giá hiệu năng (CPU, RAM, đĩa cứng) cùng các tính năng an ninh kỹ thuật.
  4. Thực nghiệm các kịch bản tấn công đối kháng (tấn công vét cạn, mã độc malware, rootkit) để đo lường, so sánh khả năng phát hiện, cảnh báo và phản hồi tự động của từng hệ thống.
  • Đối tượng nghiên cứu: Các hệ thống phát hiện xâm nhập dựa trên host (Host-based Intrusion Detection System - HIDS), tập trung vào hai giải pháp mã nguồn mở Wazuh và Samhain.
  • Phạm vi nghiên cứu: Thử nghiệm kỹ thuật trên môi trường máy chủ và máy khách sử dụng hệ điều hành Linux (kết hợp giám sát endpoint Windows), thực hiện tại Hà Nội năm 2024.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nội dung dựa trên nền tảng lý thuyết an ninh mạng và kiến trúc hệ thống giám sát an toàn thông tin:

  • Hệ thống phát hiện xâm nhập (IDS) và Ngăn chặn xâm nhập (IPS): Phân tích cơ chế phát hiện dựa trên chữ ký (Signature-based), dựa trên hành vi bất thường (Anomaly-based) và dựa trên chính sách bảo mật (Policy-based).
  • Phân loại IDS: Phân biệt hệ thống phát hiện xâm nhập mạng (NIDS - hoạt động ở chế độ thụ động hoặc nội tuyến) và hệ thống phát hiện xâm nhập dựa trên host (HIDS - triển khai dạng có agent hoặc không có agent). Cấu trúc 3 thành phần tiêu chuẩn của HIDS gồm: Bộ thu thập dữ liệu (Sensors/Agents), Bộ lưu trữ dữ liệu tập trung, và Công cụ phân tích - so khớp luật (Analysis Engine).
  • Mô hình bảo mật mở rộng: Tích hợp tính năng XDR (Extended Detection and Response) và SIEM (Security Information and Event Management) trong giám sát an ninh. Tham chiếu các tiêu chuẩn bảo mật và khung đánh giá như MITRE ATT&CK, PCI-DSS, GDPR, CIS baselines và NIST 800-53.
Tiêu chí Hệ thống phát hiện xâm nhập (IDS) Hệ thống ngăn chặn xâm nhập (IPS)
Chức năng chính Giám sát, phát hiện hành động đáng ngờ và đưa ra cảnh báo Giám sát, phát hiện, chủ động ngăn chặn và loại bỏ hành động độc hại
Phương pháp phát hiện Dựa trên chữ ký và dựa trên hành vi bất thường Dựa trên chữ ký, hành vi bất thường và dựa trên chính sách
Phân loại triển khai NIDS (trên mạng) và HIDS (trên host) NIPS (mạng), HIPS (host), NBA (hành vi mạng), WIPS (mạng không dây)

Phương pháp nghiên cứu được áp dụng trong khóa luận gồm:

  1. Phương pháp phân tích - tổng hợp tài liệu: Thu thập, hệ thống hóa lý thuyết từ tài liệu kỹ thuật của Wazuh, Samhain và các báo cáo an toàn thông tin quốc tế (SentinelOne, ENISA, Tanium, Unit 42).
  2. Phương pháp thực nghiệm hệ thống: Xây dựng mô hình mạng thử nghiệm gồm máy tấn công, máy nạn nhân cài đặt Wazuh agent và máy nạn nhân cài đặt Samhain.
  3. Phương pháp kiểm thử đối kháng: Sử dụng các công cụ và kỹ thuật tấn công thực tế bao gồm công cụ Hydra (tấn công vét cạn SSH), mã băm SHA256/tập tin độc hại (malware) và rootkit Diamorphine (can thiệp nhân hệ điều hành).
  4. Nguồn dữ liệu thực nghiệm: Nhật ký xác thực hệ thống (auth.log), nhật ký phiên đăng nhập (utmp), nhật ký hệ điều hành (syslog), và các cơ sở dữ liệu quy tắc giải mã, chỉ số thỏa hiệp (IoC).

Nội dung chính theo từng chương

Chương 1: Tổng quan về hệ thống phát hiện xâm nhập

Chương 1 khái quát thực trạng an toàn thông tin toàn cầu, nhấn mạnh sự gia tăng của các mối đe dọa nhắm vào các điểm cuối trong hệ thống mạng. Tác giả trình bày định nghĩa, nguyên lý vận hành và phân biệt ranh giới kỹ thuật giữa IDS và IPS, NIDS và HIDS. Bên cạnh đó, chương này phân tích cơ chế hoạt động và mức độ nguy hại của các dạng tấn công phổ biến:

  • Ransomware: Mã hóa bất đối xứng dữ liệu người dùng nhằm tống tiền.
  • Tấn công từ chối dịch vụ (DoS/DDoS): Cơ chế làm cạn kiệt tài nguyên hệ thống thông qua lỗi tràn bộ đệm (Buffer Overflow) hoặc ngập lụt kết nối (SYN Flood).
  • Rootkit: Tập hợp mã độc tạo cửa hậu, ẩn tiến trình/tệp tin và vô hiệu hóa các công cụ bảo mật.
  • Virus, Sâu (Worm), Trojan: Cơ chế tự lây lan và biến endpoint thành máy tính ma (Zombie) phục vụ mạng botnet.
  • Fileless Malware: Mã độc không sử dụng tệp thực thi, chỉ cư trú trên bộ nhớ RAM và tận dụng các tiến trình hợp lệ của hệ điều hành (PowerShell, VBScript, WMI, mshta, rundll32) khiến phần mềm diệt virus truyền thống khó phát hiện (ghi nhận mức tăng trưởng 94% theo báo cáo H1 2018).
  • Tấn công Brute-force: Các biến thể tấn công vét cạn đơn giản, tấn công từ điển, vét cạn hỗn hợp, vét cạn đảo ngược và chèn thông tin xác thực (Credential Stuffing).

Chương 2: Giới thiệu các hệ thống phát hiện xâm nhập dựa trên host

Chương 2 đi sâu vào cấu trúc nội tại của hai giải pháp HIDS mã nguồn mở:

1. Hệ thống Wazuh

Được phát triển từ năm 2015, kết hợp XDR và SIEM, bảo vệ đa nền tảng (On-premise, ảo hóa, Cloud).

  • Kiến trúc trung tâm: Gồm Wazuh Server (phân tích, giải mã, quản lý agent), Wazuh Indexer (công cụ tìm kiếm, lưu trữ dữ liệu JSON phân đoạn theo 4 chỉ mục: wazuh-alerts, wazuh-archives, wazuh-monitoring, wazuh-statistics), và Wazuh Dashboard (giao diện web, hỗ trợ RBAC, SSO, Ruleset Test, API Console).
  • Wazuh Agent: Cấu trúc module hóa gồm Log Collector, Command Execution, File Integrity Monitoring (FIM), Security Configuration Assessment (SCA), System Inventory, Malware Detection, Active Response, và Cloud Security Monitoring.
  • Cổng giao tiếp: Sử dụng các cổng chuẩn 1514 (kết nối agent, mã hóa AES-128 key 256-bit), 1515 (đăng ký agent), 1516 (cluster daemon), 514 (Syslog), 55000 (RESTful API), 9200 (Indexer API qua Filebeat với mã hóa TLS), 443 (Dashboard UI).
  • Quy trình phân tích log và tạo luật: Trải qua 3 giai đoạn: Tiền giải mã (Pre-Decoder), Giải mã (Decoder), và So khớp luật (Rule-Matching). Hệ thống phân loại luật gồm 17 cấp độ từ 0 (Ignored - loại bỏ dương tính giả) đến 16 (Severe attack). Người dùng tùy biến quy tắc tại local_rules.xml và local_decoder.xml (dải ID từ 100000 đến 120000).
Cổng kết nối Giao thức Thành phần Mục đích sử dụng
1514 TCP/UDP Wazuh Server Dịch vụ kết nối Wazuh Agent
1515 TCP Wazuh Server Dịch vụ đăng ký Agent mới
1516 TCP Wazuh Server Quản lý cụm Wazuh Cluster Daemon
514 TCP/UDP Wazuh Server Bộ thu thập nhật ký Syslog
55000 TCP Wazuh Server RESTful API quản trị hệ thống
9200 TCP Wazuh Indexer RESTful API tiếp nhận dữ liệu từ Filebeat
9300 - 9400 TCP Wazuh Indexer Giao tiếp nội bộ giữa các node trong cụm Indexer
443 TCP Wazuh Dashboard Giao diện người dùng Web Console

2. Hệ thống Samhain

Phát triển từ năm 1999 bởi Rainer Wichmann, chuyên sâu về kiểm tra tính toàn vẹn hệ thống và tệp tin.

  • Kiến trúc: Máy khách Samhain, máy chủ trung tâm Yule (quản lý, thu thập log), giao diện web Beltane (nền tảng PHP), cơ sở dữ liệu quan hệ (MySQL, PostgreSQL, Oracle), và hệ thống tự động triển khai qua SSH.
  • Tính năng cốt lõi: Giám sát toàn vẹn tệp FIM (sử dụng inotify từ phiên bản 3.0+, thuật toán băm TIGER192, SHA-1, MD5), kiểm tra quyền/chủ sở hữu/inode, kiểm toán tệp SUID/SGID, giám sát tiến trình ẩn, phát hiện cổng mở bất thường, và theo dõi sự kiện đăng nhập/đăng xuất qua tệp utmp. Tùy chọn kiểm tra nhân (--with-kcheck) đã bị loại bỏ từ bản 4.0 do không còn tương thích với kernel hiện đại.
  • Chính sách (Policies) và mã cấu hình: Định nghĩa các nhóm chính sách [ReadOnly], [LogFiles], [GrowingLogFiles], [Attributes], [IgnoreAll], [IgnoreNone], [User0], [Prelink]. Sử dụng các mã thuộc tính: CHK (Checksum), LNK (Symlink), HLN (Hardlink), INO (Inode), USR (User), GRP (Group), MTM (mtime), ATM (atime), CTM (ctime), SIZ (Size), RDEV (Device), MOD (Permission).
  • Phân loại nhật ký: Cấu hình mức độ nghiêm trọng [EventSeverity] (None, Debug, Info, Notice, Warn, Mark, Err, Crit, Alert, Inet) và xuất dữ liệu [Log] (MailSeverity, LogSeverity, PrintSeverity, SyslogSeverity, DatabaseSeverity...). Hỗ trợ chế độ ẩn danh vận hành (--enable-stealth=XOR).

Chương 3: Cài đặt môi trường thử nghiệm và phân tích các tiêu chí đánh giá cho các hệ thống phát hiện xâm nhập

Chương 3 trình bày quy trình triển khai thực tế của hai hệ thống trong phòng lab:

  • Cài đặt cụm Wazuh Server, Wazuh Indexer, Wazuh Dashboard và tích hợp Wazuh Agent trên máy trạm nạn nhân.
  • Biên dịch nguồn, cấu hình tham số bảo mật và kích hoạt dịch vụ máy chủ Yule cùng máy khách Samhain.
  • Xác lập 3 nhóm tiêu chí đánh giá hiệu quả kỹ thuật:
    1. Tiêu chí tiêu thụ tài nguyên phần cứng: Tỷ lệ chiếm dụng vi xử lý (CPU), dung lượng bộ nhớ trong (RAM) và không gian đĩa cứng (Disk Storage).
    2. Tiêu chí tương thích hệ thống: Khả năng hỗ trợ đa nền tảng, tính linh hoạt trong quá trình cấu hình, bảo trì và quản trị tập trung.
    3. Tiêu chí an ninh và phản ứng sự cố: Khả năng nhận diện tấn công chính xác, tốc độ và mức độ chi tiết của cảnh báo, khả năng thực thi hành động ngăn chặn tự động (Active Response).

Chương 4: Thử nghiệm và đánh giá

Tác giả tiến hành kiểm thử hiệu năng và 3 kịch bản tấn công đối kháng trực tiếp:

  1. Đo lường tài nguyên phần cứng và tương thích:
    • Kiểm tra mức độ chiếm dụng CPU, RAM và dung lượng đĩa của Wazuh Agent và Samhain khi chạy ngầm trên Linux. Samhain tiêu thụ rất ít tài nguyên hệ thống do cấu trúc tinh gọn, trong khi Wazuh Agent sử dụng lượng RAM và dung lượng đĩa lớn hơn để duy trì các module phân tích, cơ sở dữ liệu SQLite cục bộ và kênh truyền mã hóa.
  2. Kịch bản tấn công vét cạn (Brute-force attack):
    • Sử dụng công cụ Hydra tấn công vét cạn tài khoản đăng nhập SSH vào máy nạn nhân.
    • Kết quả Wazuh: Bộ giải mã trích xuất sự kiện từ auth.log, kích hoạt luật cảnh báo mức độ cao hiển thị đầy đủ IP nguồn, dịch vụ bị nhắm tới trên Wazuh Dashboard. Cấu hình Active Response tự động chặn địa chỉ IP của kẻ tấn công thông qua tường lửa máy chủ.
    • Kết quả Samhain: Phát hiện sự thay đổi bất thường trong tệp auth.log và ghi nhận cảnh báo đăng nhập trái phép qua hệ thống kiểm tra sự kiện utmp, gửi thông báo đến máy chủ Yule và console quản trị.
  3. Kịch bản tấn công bằng phần mềm độc hại (Malware):
    • Tạo danh sách cơ sở dữ liệu nhị phân (CDB list) lưu trữ hàm băm SHA256 của các mẫu mã độc đã biết, viết luật tùy biến trên Wazuh Server để so khớp khi tệp được tải xuống máy nạn nhân.
    • Kết quả Wazuh: Module FIM phát hiện tệp mới, kích hoạt quét mã băm khớp với danh sách CDB, đưa ra cảnh báo tức thời và thực thi kịch bản Active Response xóa bỏ/cách ly tệp độc hại thành công.
    • Kết quả Samhain: Module FIM phát hiện tệp mới và sự thay đổi quyền truy cập/thuộc tính tệp tin trong thư mục giám sát, ghi nhận nhật ký chi tiết nhưng không tự động xóa mã độc.
  4. Kịch bản tấn công ẩn giấu bằng Rootkit Diamorphine:
    • Cài đặt và kích hoạt rootkit Diamorphine nhằm ẩn giấu tiến trình và module nhân Linux.
    • Kết quả Wazuh: Module Rootcheck quét các cuộc gọi hệ thống, kiểm tra sự bất thường giữa danh sách tiến trình hiển thị và tiến trình thực tế, kích hoạt cảnh báo phát hiện sự hiện diện của rootkit trên Dashboard.
    • Kết quả Samhain: Ghi nhận các dấu hiệu bất thường thông qua module kiểm tra tiến trình ẩn và giám sát tính toàn vẹn hệ thống tệp.

Kết quả và đóng góp

Khóa luận đã tổng hợp các kết quả thực nghiệm và so sánh toàn diện giữa Wazuh và Samhain:

Tiêu chí so sánh Hệ thống Wazuh Hệ thống Samhain
Kiến trúc & Quản trị Tập trung, quy mô lớn, tích hợp SIEM/XDR, Dashboard trực quan Tập trung hoặc độc lập, quản trị qua Yule/Beltane, giao diện đơn giản
Tiêu thụ tài nguyên Mức sử dụng CPU, RAM và đĩa cứng ở mức trung bình - cao Rất nhẹ, chiếm dụng CPU, RAM và đĩa cứng cực thấp
Giám sát tệp tin (FIM) Thời gian thực, hỗ trợ phân tích thuộc tính và mã băm Thời gian thực (inotify), hỗ trợ kiểm tra chi tiết inode/quyền/checksum
Cơ chế phản hồi Tự động hóa mạnh mẽ qua module Active Response (chặn IP, xóa tệp) Chủ yếu ghi log, tạo cảnh báo, không có cơ chế phản hồi động can thiệp
Hệ thống luật & Cảnh báo Luật XML phân cấp (0-16), hỗ trợ giải mã đa dạng, gắn thẻ MITRE ATT&CK Dựa trên chính sách (Policies), phân loại theo mức độ nghiêm trọng
Khả năng mở rộng Rất cao, hỗ trợ phân cụm (Cluster), tích hợp API và dịch vụ đám mây Phù hợp cho mạng nội bộ quy mô nhỏ đến trung bình
  • Đóng góp về mặt giải pháp:
    • Xây dựng quy trình thử nghiệm và bộ tiêu chí đánh giá định lượng/định tính chuẩn xác cho các hệ thống HIDS mã nguồn mở.
    • Cung cấp hướng dẫn kỹ thuật chi tiết về cấu hình giải mã, tùy biến luật XML, tạo danh sách CDB mã băm SHA256 trên Wazuh, cũng như phương pháp thiết lập chính sách kiểm toán trên Samhain.
    • Đưa ra căn cứ thực tế giúp doanh nghiệp tối ưu chi phí đầu tư bảo mật, lựa chọn đúng công cụ: sử dụng Wazuh khi cần giải pháp giám sát toàn diện, trực quan và phản ứng tự động; sử dụng Samhain khi cần giải pháp kiểm tra toàn vẹn chuyên sâu, dung lượng nhẹ cho các máy chủ tài nguyên hạn chế.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế:
    • Các thử nghiệm mới chỉ dừng lại ở phạm vi phòng thí nghiệm trên hệ điều hành Linux và máy trạm Windows, chưa triển khai đánh giá tải thực tế trên quy mô hàng nghìn endpoint doanh nghiệp.
    • Kịch bản tấn công tập trung vào 3 dạng điển hình (brute-force, malware tệp tĩnh, rootkit Diamorphine), chưa đánh giá toàn diện các kỹ thuật tấn công không dùng tệp (fileless malware) nâng cao hoặc tấn công qua giao thức mạng phức tạp.
    • Tính năng kiểm tra nhân của Samhain đã bị loại bỏ từ bản 4.0, làm hạn chế khả năng phân tích rootkit ở tầng kernel hiện đại.
  • Hướng nghiên cứu tiếp:
    • Mở rộng đánh giá thêm các giải pháp mã nguồn mở và thương mại khác như OSSEC, Security Onion, Tripwire Enterprise.
    • Nghiên cứu cơ chế giám sát bảo mật chuyên sâu cho hạ tầng đám mây (AWS, Azure, GCP) và môi trường ảo hóa container (Docker, Kubernetes).
    • Tích hợp các mô hình học máy (Machine Learning) vào quá trình phân tích nhật ký nhằm nâng cao độ chính xác trong phát hiện hành vi bất thường và giảm thiểu tỷ lệ dương tính giả.

Giá trị tham khảo

Tài liệu khóa luận mang lại giá trị tham khảo chuyên môn cho các đối tượng:

  • Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính: Nắm vững cấu trúc lý thuyết của hệ thống IDS/IPS, hiểu sâu kiến trúc phân tầng của HIDS và cơ chế hoạt động của các loại mã độc.
  • Quản trị viên hệ thống và kỹ sư an toàn thông tin doanh nghiệp: Tham khảo quy trình cài đặt, cấu hình luật bảo mật, tích hợp danh sách hàm băm CDB để phát hiện mã độc và thiết lập kịch bản Active Response tự động chặn đứng các cuộc tấn công mạng.
  • Nội dung tham khảo nổi bật: Hướng dẫn cú pháp bộ giải mã và tập luật Wazuh (Chương 2); Kỹ thuật cấu hình FIM và chính sách kiểm toán Samhain (Chương 2); Quy trình thực nghiệm tấn công vét cạn và phát hiện mã độc (Chương 4).

Câu hỏi thường gặp

1. Wazuh và Samhain sử dụng những cơ chế nào để giám sát tính toàn vẹn của tệp tin (FIM)?
Wazuh sử dụng module FIM chạy nền để theo dõi hệ thống tệp, ghi nhận các sự kiện tạo, sửa đổi hoặc xóa tệp thông qua việc đối chiếu thuộc tính, quyền hạn và hàm băm (MD5, SHA1, SHA256) được lưu trữ trong cơ sở dữ liệu SQLite. Samhain (từ bản 3.0+) tận dụng cơ chế inotify trên Linux để nhận thông báo thay đổi tức thì, kết hợp tính toán các giá trị băm TIGER192, SHA-1, MD5 và kiểm tra chi tiết các thuộc tính như Inode, UID, GID, Mode, thời gian truy cập/thay đổi (atime, mtime, ctime).

2. Bốn chỉ mục (indices) chính được sử dụng để lưu trữ dữ liệu trong Wazuh Indexer là gì?
Wazuh Indexer lưu trữ dữ liệu dưới định dạng JSON theo 4 chỉ mục chuyên biệt: wazuh-alerts (lưu trữ các cảnh báo an ninh được tạo khi sự kiện khớp với luật có mức ưu tiên đủ cao), wazuh-archives (lưu trữ toàn bộ sự kiện và dữ liệu thô nhận được từ server), wazuh-monitoring (lưu trữ trạng thái hoạt động của các agent theo thời gian), và wazuh-statistics (lưu trữ số liệu thống kê về hiệu năng hoạt động của Wazuh Server).

3. Cơ chế phản hồi chủ động (Active Response) của Wazuh xử lý cuộc tấn công vét cạn (brute-force) như thế nào?
Khi kẻ tấn công sử dụng công cụ như Hydra để thử mật khẩu nhiều lần, các bản ghi thất bại liên tiếp trong auth.log sẽ được Log Collector gửi về Wazuh Server. Bộ giải mã và tập luật phân tích xác định đây là hành vi tấn công vét cạn (luật mức độ cao) và kích hoạt module Active Response. Module này gửi lệnh ngược lại cho Wazuh Agent trên máy nạn nhân để tự động thực thi kịch bản chặn địa chỉ IP nguồn của kẻ tấn công tại tường lửa hệ thống trong một khoảng thời gian xác định.

4. Tại sao tính năng kiểm tra tính toàn vẹn nhân (--with-kcheck) của Samhain bị loại bỏ từ phiên bản 4.0 trở đi?
Tùy chọn cấu hình --with-kcheck ban đầu được thiết kế để kiểm tra tệp System.map của nhân Linux/FreeBSD nhằm phát hiện các sửa đổi trái phép ở tầng kernel. Tuy nhiên, cấu trúc và cơ chế quản lý bộ nhớ của các phiên bản nhân hệ điều hành hiện đại đã thay đổi hoàn toàn, khiến phương pháp kiểm tra tĩnh này trở nên lỗi thời và không còn mang lại hiệu quả, do đó nhà phát triển đã loại bỏ tính năng này từ phiên bản 4.0.

5. Fileless malware là gì và tại sao nó gây khó khăn cho các phần mềm chống virus truyền thống?
Fileless malware là dạng mã độc không ghi tệp thực thi độc hại trực tiếp lên ổ đĩa của endpoint. Thay vào đó, mã độc được tiêm trực tiếp vào các tiến trình đang chạy và chỉ thực thi trong bộ nhớ RAM, đồng thời tận dụng các công cụ/tiến trình hệ thống hợp lệ có sẵn như PowerShell, VBScript, WMI, mshta hoặc rundll32. Do không tồn tại tệp tin tĩnh trên đĩa cứng để quét chữ ký, các giải pháp diệt virus truyền thống không thể phát hiện và ngăn chặn theo cách thông thường.

Kết luận

Đồ án tốt nghiệp của sinh viên Vũ Thanh Tú đã hoàn thành việc nghiên cứu tổng quan về hệ thống phát hiện xâm nhập dựa trên host, phân tích chi tiết cấu trúc kỹ thuật của hai giải pháp mã nguồn mở Wazuh và Samhain. Thông qua việc thiết lập môi trường thử nghiệm và tiến hành các kịch bản tấn công đối kháng thực tế, tác giả đã cung cấp số liệu so sánh rõ ràng về mức độ tiêu thụ tài nguyên phần cứng, năng lực nhận diện mối đe dọa và khả năng phản hồi tự động của từng công cụ. Công trình là nguồn tài liệu tham khảo có giá trị kỹ thuật thực tiễn cao, giúp các cá nhân và tổ chức xây dựng phương án bảo vệ điểm cuối hiệu quả, phù hợp với điều kiện hạ tầng và ngân sách.