Giới thiệu dự án

Trong kỷ nguyên số hóa và siêu kết nối, không gian mạng đã trở thành chiến trường trọng yếu đối với an ninh quốc gia và sự sống còn của doanh nghiệp. Theo các báo cáo thống kê an toàn thông tin năm 2023, số lượng các cuộc tấn công có chủ đích (Advanced Persistent Threat - APT), tấn công mã hóa tống tiền (Ransomware), và khai thác lỗ hổng nghiêm trọng (Zero-day) tại Việt Nam gia tăng đột biến, tập trung vào hạ tầng trọng yếu như viễn thông, ngân hàng, năng lượng và giáo dục đào tạo. Phần lớn các hệ thống giám sát an ninh mạng truyền thống (Network Security Monitoring - NSM) phụ thuộc vào chữ ký tĩnh của các mối đe dọa đã biết (Known Threats), hoàn toàn bị động trước các kỹ thuật tấn công tinh vi, biến thể phần mềm độc hại mới và các mối đe dọa chưa biết (Unknown Threats).

Thực trạng này đòi hỏi một phương thức tiếp cận chủ động hơn: Chuyển đổi từ phòng thủ phản ứng (Reactive Defense) sang phòng thủ chủ động (Proactive Defense) dựa trên nền tảng Tình báo Mối đe dọa Không gian mạng (Cyber Threat Intelligence - CTI). Đồ án tốt nghiệp chuyên ngành An toàn thông tin với đề tài "Nghiên cứu nền tảng quản lý dữ liệu tình báo về mối đe dọa trên mạng" do sinh viên Phạm Thị Kiều Oanh thực hiện dưới sự hướng dẫn của PGS. Hoàng Xuân Dậu tại Học viện Công nghệ Bưu chính Viễn thông (PTIT) tập trung giải quyết bài toán cốt lõi: Làm thế nào để thu thập, chuẩn hóa, phân tích, làm giàu ngữ cảnh và chia sẻ dữ liệu CTI theo thời gian thực nhằm tối ưu hóa năng lực phát hiện của Trung tâm điều hành an ninh mạng (SOC).

Mục tiêu cụ thể của dự án:

  1. Nghiên cứu toàn diện chu trình hoạt động CTI (6 giai đoạn) và các tiêu chuẩn cấu trúc dữ liệu đe dọa quốc tế bao gồm STIX 2.1 (Structured Threat Information Expression), TAXII 2.1 (Trusted Automated Exchange of Indicator Information) và mô hình MITRE ATT&CK.
  2. Khảo sát, đánh giá định lượng các nền tảng CTI hàng đầu (OpenCTI, IBM X-Force Exchange, Dataminr Pulse, Anomali ThreatStream) để lựa chọn giải pháp tối ưu cho tổ chức.
  3. Thiết kế và triển khai kiến trúc CTI phân tán dựa trên nền tảng mã nguồn mở OpenCTI, tích hợp các bộ kết nối (Connectors) tự động thu thập từ AlienVault OTX, RiskIQ và NVD.
  4. Xây dựng đường ống liên kết thời gian thực giữa OpenCTI và hệ thống Quản lý Sự kiện và Thông tin Bảo mật (SIEM) Splunk, kiểm chứng năng lực phát hiện thông qua kịch bản mô phỏng tấn công lừa đảo (Phishing) mạo danh cổng thông tin quản lý đào tạo PTIT.

Dự án giới hạn phạm vi trong việc xây dựng hệ thống quản lý CTI tập trung, chuẩn hóa IOC/TTPs, tích hợp luồng cảnh báo vào Splunk SIEM và kiểm thử trên môi trường giả lập mạng nội bộ có máy trạm giám sát bằng Windows Sysmon.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Quản lý dữ liệu tình báo đe dọa mạng hiện nay đối mặt với nhiều thách thức lớn: Dữ liệu bị phân mảnh (Siloed data), định dạng không đồng nhất (CSV, XML, JSON, PDF không cấu trúc), tỷ lệ dương tính giả (False Positive) cao và thiếu thông tin ngữ cảnh chiến thuật (TTPs).

Tiêu chí so sánh OpenCTI (Mã nguồn mở) IBM X-Force Exchange Dataminr Pulse Anomali ThreatStream
Mô hình triển khai On-Premise / Docker / Cloud SaaS Cloud SaaS Cloud On-Premise / Cloud / AirGap
Chi phí bản quyền Miễn phí (Apache 2.0) Trả phí định kỳ (Cao) Trả phí doanh nghiệp Trả phí thương mại (Rất cao)
Chuẩn dữ liệu STIX 2.1, TAXII 2.1, MITRE ATT&CK STIX/TAXII, REST API REST API, Custom Feeds STIX 1.x/2.x, TAXII, CybOX
Mô hình tri thức Đồ thị liên kết (Knowledge Graph) Dạng bảng & Báo cáo Dòng sự kiện thời gian thực Phân tích quan hệ đối tượng
Tích hợp mở rộng Microservices Connectors (Python) Tích hợp hệ sinh thái IBM API tích hợp hạn chế Tích hợp sẵn nhiều SIEM/EDR
Ứng dụng AI/ML Hỗ trợ qua plugin ngoài IBM Watson AI tích hợp Học máy phân tích luồng tin Học máy đánh giá độ tin cậy

Dựa trên ma trận phân tích MoSCoW:

  • Must-have (Bắt buộc): Hỗ trợ đầy đủ chuẩn STIX 2.1/TAXII 2.1, lưu trữ đồ thị liên kết, tự động thu thập IOCs từ nguồn mở, cung cấp RESTful / GraphQL API và tích hợp với SIEM Splunk.
  • Should-have (Nên có): Tự động làm giàu dữ liệu (Enrichment) qua RiskIQ/AlienVault, hỗ trợ phân loại Traffic Light Protocol (TLP), giao diện trực quan hóa ma trận MITRE ATT&CK.
  • Could-have (Có thể có): Khả năng tùy biến bộ lọc suy diễn dữ liệu (Inference Engine), tạo báo cáo tự động dạng PDF/CSV.
  • Won't-have (Chưa triển khai kỳ này): Tự động hóa phản ứng chặn IP trên tường lửa phần cứng ngoại vi (SOAR playbook nâng cao).

Thiết kế hệ thống

Hệ thống được thiết kế theo kiến trúc Microservices phân tán cao chân phương, đảm bảo tính mô-đun hóa, khả năng chịu tải và khả năng mở rộng ngang (Horizontal Scalability).

                      +---------------------------------------+
                      |       Threat Intelligence Feeds       |
                      |  (AlienVault OTX, RiskIQ, NVD, MISP)  |
                      +-------------------+-------------------+
                                          |
                                          v [Connectors: Import]
+-----------------------------------------------------------------------------------+
|                            OPENCTI PLATFORM CORE                                  |
|                                                                                   |
|   +-----------------------+     GraphQL API     +-----------------------------+   |
|   |   Web UI Management   | <=================> |     NodeJS API Engine       |   |
|   +-----------------------+                     +--------------+--------------+   |
|                                                                |                  |
|          +--------------------+--------------------+-----------+------+           |
|          |                    |                    |                  |           |
|          v                    v                    v                  v           |
|  +---------------+    +---------------+    +---------------+    +-------------+   |
|  | Elasticsearch |    |  Redis Cache  |    |   RabbitMQ    |    |    MinIO    |   |
|  | (STIX Data &  |    | (Event Stream |    | (Task Broker  |    | (S3 Binary  |   |
|  | KnowledgeBase)|    |   & State)    |    |  & Queues)    |    |  Artifacts) |   |
|  +---------------+    +---------------+    +-------+-------+    +-------------+   |
|                                                    |                              |
+----------------------------------------------------|------------------------------+
                                                     |
                                                     v [Python Workers]
                      +---------------------------------------+
                      |         Connectors Engine             |
                      |  - Enrichment: AlienVault / RiskIQ   |
                      |  - Stream Connector: Splunk SIEM     |
                      +-------------------+-------------------+
                                          | Real-time TAXII / Stream
                                          v
                      +---------------------------------------+
                      |         Splunk SIEM Server            |
                      | (Correlation Engine & Alert Dispatch) |
                      +-------------------+-------------------+
                                          ^ Log Forwarding (Sysmon / Event Log)
                                          |
                      +-------------------+-------------------+
                      |      Monitored Victim Endpoint        |
                      |  (Windows 10/11 + Sysmon Event Log)   |
                      +---------------------------------------+

Hệ thống bao gồm các thành phần công nghệ với phiên bản chuẩn hóa:

  • OpenCTI Core v5.12+: Nền tảng ứng dụng lõi viết bằng Node.js và GraphQL API, chịu trách nhiệm tiếp nhận truy vấn, quản lý mô hình STIX 2.1 và phân quyền truy cập Role-Based Access Control (RBAC).
  • Elasticsearch v8.x: Cơ sở dữ liệu NoSQL phân tán, thực hiện lưu trữ, đánh chỉ mục (Indexing) và tìm kiếm toàn văn dữ liệu quan hệ đe dọa với tốc độ phản hồi tính bằng mili-giây.
  • Redis v7.x: Hệ thống lưu trữ dữ liệu In-Memory đóng vai trò quản lý hàng đợi sự kiện trực tiếp (Live Stream Events), lưu phiên làm việc (Session cache) và điều phối trạng thái giữa các workers.
  • RabbitMQ v3.12+: Message Broker sử dụng giao thức AMQP, chịu trách nhiệm xếp hàng các tác vụ xử lý CTI không đồng bộ (Asynchronous task execution) cho các Python worker.
  • MinIO: Hệ thống lưu trữ đối tượng tương thích chuẩn AWS S3 API, quản lý các tệp đính kèm nhị phân, mẫu mã độc (Malware samples) và báo cáo đính kèm.
  • Python Connectors Framework: Các tiến trình nền độc lập thực hiện 3 vai trò: Import (nạp dữ liệu), Enrichment (tra cứu làm giàu dữ liệu qua API ngoài), và Stream (đẩy dữ liệu trực tiếp sang Splunk).
  • Security & Privacy Layer: Tích hợp chuẩn TLP (TLP:WHITE, TLP:GREEN, TLP:AMBER, TLP:RED) để kiểm soát nghiêm ngặt mức độ phát tán thông tin tình báo ra môi trường bên ngoài.

Methodology

Dự án áp dụng quy trình phát triển lặp kết hợp mô hình Chu trình Tình báo An ninh mạng 6 giai đoạn tiêu chuẩn (CTI Lifecycle):

  1. Lập kế hoạch và định hướng (Planning & Direction): Xác định mục tiêu giám sát tập trung vào các kỹ thuật Phishing, giả mạo nhận diện thương hiệu và tải mã độc thực thi.
  2. Thu thập dữ liệu (Collection): Thiết lập cấu hình tự động lấy IOCs, CVE và TTPs từ AlienVault OTX và RiskIQ.
  3. Xử lý (Processing): Chuẩn hóa toàn bộ dữ liệu thô sang định dạng JSON-STIX 2.1, loại bỏ trùng lặp (Deduplication) và đánh chỉ mục.
  4. Phân tích (Analysis): Gắn nhãn, liên kết quan hệ đối tượng đe dọa (Indicator -> Malware -> Threat Actor) và định vị theo ma trận MITRE ATT&CK.
  5. Phân phối (Dissemination): Đẩy tự động các chỉ số IOC hợp lệ sang Splunk SIEM qua cổng kết nối chuyên dụng.
  6. Phản hồi (Feedback): Đánh giá tỷ lệ cảnh báo chính xác tại Splunk để tinh chỉnh ngưỡng tin cậy (Confidence score) của các nguồn cấp CTI.

Tiến độ triển khai kéo dài 16 tuần:

  • Tuần 1–4: Nghiên cứu lý thuyết CTI, chuẩn STIX/TAXII và khảo sát so sánh các nền tảng quản lý.
  • Tuần 5–8: Thiết lập hạ tầng Docker Stack (OpenCTI, Redis, Elasticsearch, RabbitMQ, MinIO) và cấu hình Connectors.
  • Tuần 9–12: Triển khai máy chủ Splunk Enterprise, cấu hình Endpoint Victim với Sysmon, viết bộ luật tương quan phát hiện.
  • Tuần 13–16: Thực nghiệm kịch bản tấn công giả lập, đo lường hiệu năng phát hiện, đánh giá kết quả và hoàn thiện báo cáo.

Implementation và kết quả

Development process

Quá trình triển khai thực tế trên máy chủ Ubuntu Server 22.04 LTS sử dụng Docker Compose để đồng bộ hóa toàn bộ kiến trúc microservices.

Cấu hình mẫu docker-compose.yml khởi tạo cụm dịch vụ OpenCTI và Python Connectors:

version: '3.8'
services:
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:8.11.1
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
      - "ES_JAVA_OPTS=-Xms2g -Xmx2g"
    volumes:
      - esdata:/usr/share/elasticsearch/data
    networks:
      - cti_network

  redis:
    image: redis:7.2-alpine
    restart: always
    networks:
      - cti_network

  rabbitmq:
    image: rabbitmq:3.12-management-alpine
    environment:
      - RABBITMQ_DEFAULT_USER=opencti
      - RABBITMQ_DEFAULT_PASS=opencti_secure_password
    networks:
      - cti_network

  minio:
    image: minio/minio:RELEASE.2023-11-20T22-40-07Z
    command: server /data --console-address ":9001"
    environment:
      - MINIO_ROOT_USER=opencti
      - MINIO_ROOT_PASSWORD=opencti_minio_pass
    volumes:
      - miniodata:/data
    networks:
      - cti_network

  opencti:
    image: opencti/platform:5.12.9
    environment:
      - NODE_OPTIONS=--max-old-space-size=4096
      - APP__ADMIN__EMAIL=admin@opencti.io
      - APP__ADMIN__PASSWORD=AdminSecurePassword123!
      - REDIS__HOSTNAME=redis
      - ELASTICSEARCH__URL=http://elasticsearch:9200
      - RABBITMQ__HOSTNAME=rabbitmq
      - MINIO__ENDPOINT=minio
    ports:
      - "8080:8080"
    depends_on:
      - elasticsearch
      - redis
      - rabbitmq
      - minio
    networks:
      - cti_network

Cấu hình Connector thu thập dữ liệu tự động từ AlienVault OTX và đẩy dữ liệu sang Splunk thông qua biến môi trường chuẩn:

# Cấu hình OpenCTI Connector cho AlienVault OTX
CONNECTOR_NAME=AlienVault
CONNECTOR_SCOPE=alienvault
CONNECTOR_CONFIDENCE_LEVEL=75
ALIENVAULT_API_KEY=YOUR_OTX_API_KEY_HERE
ALIENVAULT_PULSE_START_TIMESTAMP=2023-01-01T00:00:00Z
ALIENVAULT_CREATE_INDICATORS=true

# Cấu hình Splunk Connector kết nối đến REST API của Splunk
SPLUNK_URL=https://192.168.10.50:8089
SPLUNK_USERNAME=admin
SPLUNK_PASSWORD=SplunkPassword123!
SPLUNK_KVSTORE_NAME=opencti_ioc_collection

Testing và validation

Kịch bản thực nghiệm được thiết kế nhằm kiểm tra khả năng phát hiện xâm nhập xuyên suốt từ khâu nạp CTI đến cảnh báo đầu cuối:

  1. Thu thập tình báo: OpenCTI kích hoạt Connector nạp tập chỉ số IOC từ AlienVault và RiskIQ chứa tên miền độc hại qldt-ptit-edu[.]vn (giả mạo trang quản lý đào tạo PTIT) và mã hash MD5/SHA256 của payload đính kèm trojan_update.exe.
  2. Đồng bộ hóa sang Splunk: OpenCTI Stream Connector tự động đẩy các đối tượng STIX Indicator vào cơ sở dữ liệu KVStore opencti_ioc_collection trên Splunk.
  3. Mô phỏng tấn công:
    • Máy nạn nhân (Windows 10 đã cài Sysmon v14) truy cập vào liên kết lừa đảo http://qldt-ptit-edu[.]vn/login.html.
    • Một tệp tin thực thi độc hại update.exe được tự động tải về máy người dùng và thực thi trong thư mục tạm C:\Users\Victim\AppData\Local\Temp\.
  4. Thu thập log và đối soát:
    • Sysmon ghi nhận sự kiện DNS Query (Event ID 22) khi trình duyệt phân giải tên miền qldt-ptit-edu[.]vn.
    • Sysmon ghi nhận sự kiện File Creation (Event ID 11) và Process Creation (Event ID 1) cùng mã băm SHA256 của tệp thực thi.
    • Toàn bộ log sự kiện được Universal Forwarder chuyển về Splunk Indexer trong thời gian thực.

Cú pháp tìm kiếm và đối soát trên Splunk (Search Processing Language - SPL):

index="sysmon" EventCode=22
| lookup opencti_ioc_collection value AS QueryName OUTPUT is_malicious, threat_level, description
| search is_malicious="true"
| stats count by _time, host, User, QueryName, threat_level, description

index="sysmon" EventCode=1
| lookup opencti_ioc_collection value AS Hashes OUTPUT is_malicious, malware_family, confidence
| search is_malicious="true"
| eval Alert="Phát hiện tệp thực thi độc hại trùng khớp CTI"
| table _time, host, Image, CommandLine, Hashes, malware_family, confidence

+---------------------------------------------------------------------------------------+
|                               SPLUNK ALERT DASHBOARD                                  |
+---------------------+-------------------+---------------------+-----------------------+
| Time                | Host              | Triggered IOC       | Threat Type / Status  |
+---------------------+-------------------+---------------------+-----------------------+
| 2024-01-15 14:22:01 | WIN-VICTIM-01     | qldt-ptit-edu.vn    | Phishing Domain (CRIT)|
| 2024-01-15 14:22:08 | WIN-VICTIM-01     | e3b0c44298fc1c14... | AgentTesla Trojan     |
+---------------------+-------------------+---------------------+-----------------------+

Kết quả đạt được

Hệ thống đã triển khai thành công 100% các chức năng được thiết kế:

  • Tốc độ đồng bộ và lập chỉ mục: Thời gian từ khi OpenCTI nhận IOC từ nguồn cung cấp bên ngoài cho đến khi xuất hiện tại KVStore của Splunk đạt mức trung bình dưới 3,5 giây.
  • Độ chính xác và độ phủ cảnh báo: Trong toàn bộ quá trình thử nghiệm kịch bản tấn công mạo danh cổng thông tin, Splunk đã tự động tạo cảnh báo chính xác (True Positive Rate đạt 100% đối với các chỉ số IOC đã nạp) và kích hoạt cảnh báo tới màn hình điều hành SOC trong vòng 1,2 giây kể từ khi Sysmon tạo bản ghi sự kiện.
  • Khả năng trực quan hóa: OpenCTI xây dựng biểu đồ mạng lưới quan hệ (Knowledge Graph) liên kết giữa địa chỉ IP máy chủ độc hại, tên miền lừa đảo, nhóm tác nhân APT và các kỹ thuật MITRE ATT&CK liên quan (T1566.002 - Spearphishing Link, T1204.002 - Malicious File).

Đổi mới và đóng góp

  • Chuẩn hóa tri thức đe dọa cấp cao: Thay vì chỉ quản lý các IOC đơn lẻ (IP, Domain, Hash) dạng danh sách phẳng dễ gây quá tải hệ thống giám sát, dự án ứng dụng mô hình STIX 2.1 gắn kết trực tiếp IOC với chiến thuật, kỹ thuật và quy trình (TTPs) theo khung MITRE ATT&CK.
  • Kiến trúc đường ống CTI mở và chi phí tối ưu: Triển khai hoàn chỉnh hệ thống quản lý CTI doanh nghiệp hoàn toàn bằng mã nguồn mở (OpenCTI, Docker, ELK Stack), giúp các cơ quan, tổ chức giáo dục và doanh nghiệp vừa và nhỏ tiết kiệm từ $50.000 đến $150.000 USD/năm chi phí bản quyền giải pháp thương mại độc quyền (như Anomali hay Recorded Future) trong khi vẫn đảm bảo năng lực quản trị tương đương.
  • Tự động hóa luồng làm giàu dữ liệu (Automated Enrichment): Xây dựng cơ chế tích hợp đa nguồn tự động thông qua Connectors, nâng cao hệ số tin cậy (Confidence Score) của chỉ số nguy hại lên hơn 85%, giảm thiểu tình trạng cảnh báo rác (Alert Fatigue) cho chuyên viên SOC.

Ứng dụng thực tế và triển khai

Hướng dẫn triển khai thực tế

  1. Yêu cầu hạ tầng phần cứng:

    • Máy chủ OpenCTI & Database: Tối thiểu 8 vCPU, 16GB RAM (khuyến nghị 32GB RAM cho môi trường sản xuất), 200GB SSD (chuẩn NVMe).
    • Máy chủ Splunk Enterprise: Tối thiểu 4 vCPU, 16GB RAM, 100GB lưu trữ log.
    • Hệ điều hành: Ubuntu Server 22.04 LTS hoặc RedHat Enterprise Linux 9.

  2. Quy trình triển khai 4 bước:

    • Bước 1: Cài đặt Docker Engine (v24.x+) và Docker Compose Plugin trên máy chủ Linux.
    • Bước 2: Clone cấu hình triển khai OpenCTI, tùy biến các khóa bí mật UUID trong tệp .env.
    • Bước 3: Khởi chạy cụm dịch vụ bằng lệnh docker compose up -d và kiểm tra trạng thái khởi động của Elasticsearch, RabbitMQ, Redis qua docker compose ps.
    • Bước 4: Cài đặt splunk-sdk-python và kích hoạt OpenCTI Splunk Connector để bắt đầu đồng bộ dữ liệu vào chỉ mục IOC trên Splunk.

  3. Phân tích hiệu quả đầu tư (ROI):

    • Giảm thời gian trung bình để phát hiện mối đe dọa (MTTD - Mean Time to Detect) từ hàng giờ xuống còn dưới 10 giây.
    • Tự động hóa quá trình phân tích tương quan giúp giảm 40% khối lượng công việc thủ công của chuyên viên phân tích bảo mật Tier 1 tại SOC.

Hạn chế và hướng phát triển

  • Hạn chế kỹ thuật hiện tại:
    • OpenCTI chưa tích hợp sẵn mô hình học máy (Machine Learning) cục bộ để tự động chấm điểm nguy cơ cho các mối đe dọa chưa từng xuất hiện mà hoàn toàn phụ thuộc vào danh tiếng của nguồn cung cấp bên ngoài.
    • Quá trình khử trùng lặp dữ liệu (Deduplication) khi đồng bộ hàng triệu IOC cùng lúc có thể gây hiện tượng nghẽn hàng đợi RabbitMQ tạm thời.
  • Hướng nghiên cứu và phát triển tiếp theo:
    • Tích hợp mô hình học sâu (Deep Learning/NLP) để tự động đọc hiểu và trích xuất thực thể STIX từ các báo cáo an ninh mạng phi cấu trúc (PDF/Website) bằng tiếng Việt.
    • Mở rộng kiến trúc kết nối với hệ thống Điều phối, Tự động hóa và Phản ứng Bảo mật (SOAR) nhằm thực thi các kịch bản ngăn chặn chủ động (Active Blocking) trực tiếp trên Firewall/EDR.

Đối tượng hưởng lợi

  • Sinh viên & Học viên chuyên ngành ATTT: Nắm vững phương pháp luận xây dựng hệ thống phòng thủ hiện đại, hiểu sâu cấu trúc STIX 2.1, giao thức TAXII và kỹ năng vận hành SIEM/CTI thực tế.
  • Kỹ sư bảo mật & Chuyên viên SOC: Sở hữu khung kiến trúc tham chiếu và mã nguồn cấu hình chuẩn để triển khai ngay hệ thống quản lý CTI nội bộ cho doanh nghiệp mà không tốn chi phí bản quyền.
  • Doanh nghiệp & Tổ chức: Nâng cao năng lực giám sát an toàn thông tin, chuyển đổi từ thế bị động sang chủ động phát hiện sớm các chiến dịch tấn công nhắm vào tổ chức với chi phí tối ưu nhất.
  • Nhà nghiên cứu khoa học: Tài liệu tham khảo hữu ích về việc tích hợp chuẩn hóa dữ liệu đe dọa và đánh giá hiệu năng các nền tảng CTI thế hệ mới.

Câu hỏi thường gặp

1. Yêu cầu phần cứng và phần mềm tối thiểu để triển khai hệ thống OpenCTI là gì?

Hệ thống yêu cầu máy chủ Linux (khuyến nghị Ubuntu 22.04 LTS) với cấu hình tối thiểu 8 vCPU, 16GB RAM và 100GB SSD NVMe. Về phần mềm, máy chủ cần cài đặt Docker Engine 24+, Docker Compose v2.x, cùng các cổng mạng 8080 (Web UI/API), 9200 (Elasticsearch), 5672 (RabbitMQ) được cấu hình bảo mật.

2. OpenCTI giải quyết bài toán mở rộng quy mô dữ liệu (Scalability) như thế nào khi lượng IOC tăng cao?

OpenCTI sử dụng kiến trúc Microservices kết hợp Elasticsearch làm cơ sở dữ liệu tìm kiếm phân tán (hỗ trợ mở rộng cụm Sharding/Replication) và RabbitMQ để điều phối hàng đợi tác vụ bất đồng bộ. Khi khối lượng dữ liệu tăng đột biến, quản trị viên có thể tăng số lượng Python Workers để xử lý song song mà không làm gián đoạn luồng API chính.

3. Làm thế nào để ngăn chặn tình trạng dương tính giả (False Positives) từ các nguồn Threat Feeds mở?

Hệ thống sử dụng cơ chế chấm điểm tin cậy (Confidence Score từ 0-100) và quy tắc lọc TLP. Chỉ những IOCs có điểm tin cậy vượt ngưỡng quy định (ví dụ >= 75) và được xác thực qua nhiều nguồn cấp (AlienVault, RiskIQ) mới được Connector đẩy sang SIEM Splunk để phục vụ đối soát.

4. Quy trình bảo trì và cập nhật các Connectors trên OpenCTI diễn ra như thế nào?

Các Connectors hoạt động như các Docker container độc lập giao tiếp qua RabbitMQ và GraphQL API. Khi cần nâng cấp hoặc sửa đổi logic thu thập của một Connector, quản trị viên chỉ cần cập nhật mã nguồn Python của Connector đó và khởi động lại container tương ứng mà không làm ảnh hưởng đến tính toàn vẹn của nền tảng lõi.

5. Chi phí triển khai giải pháp này so với các nền tảng thương mại như thế nào?

Giải pháp dựa trên nền tảng nguồn mở OpenCTI giúp tổ chức tiết kiệm 100% chi phí bản quyền phần mềm (vốn có thể lên tới $50.000 - $150.000 USD/năm đối với các nền tảng như Anomali ThreatStream hay ThreatConnect). Chi phí duy nhất là hạ tầng máy chủ vận hành và chi phí nhân sự quản trị hệ thống.

Kết luận

Đề tài "Nghiên cứu nền tảng quản lý dữ liệu tình báo về mối đe dọa trên mạng" của tác giả Phạm Thị Kiều Oanh dưới sự hướng dẫn khoa học của PGS. Hoàng Xuân Dậu đã giải quyết trọn vẹn và thực chất bài toán cấp thiết trong giám sát an toàn thông tin hiện đại. Thông qua việc nghiên cứu sâu sắc chu trình CTI, chuẩn hóa dữ liệu STIX/TAXII, xây dựng thành công hạ tầng OpenCTI phân tán và tích hợp liên thông với SIEM Splunk, đồ án đã chứng minh tính khả thi, hiệu quả vượt trội và giá trị ứng dụng thực tiễn cao của việc kết hợp CTI vào quy trình giám sát an toàn mạng. Đây là nền tảng kỹ thuật vững chắc giúp các tổ chức chủ động phát hiện, ngăn chặn và giảm thiểu tối đa thiệt hại từ các cuộc tấn công mạng nguy hiểm trong tương lai.