Xây Dựng Hệ Thống SIEM Giám Sát An Toàn Thông Tin

Đồ án nghiên cứu xây dựng hệ thống siem giám sát an toàn thông tin, áp dụng công nghệ tiên tiến, tối ưu giải pháp kỹ thuật cho bài toán kỹ thuật.

• Tác giả: Đàm Văn Dưỡng
• Người hướng dẫn: ThS. Vũ Việt Dũng
• Trường học: Trường Đại Học Công Nghệ Thông Tin Và Truyền Thông
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Xây Dựng Hệ Thống SIEM Giám Sát An Toàn Thông Tin
• Loại tài liệu: đồ án tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: Thái Nguyên

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG I: TỔNG QUAN VỀ AN TOÀN THÔNG TIN
• 1.1. Tổng quan chung về an toàn thông tin
• 1.2. Các mối đe dọa an toàn thông tin và phương thức tấn công
• 1.2.1. Các mối đe dọa an toàn thông tin
• 1.2.2. Các cách thức tấn công hệ thống mạng máy tính
• 1.3. Giới thiệu tổng quan về hệ thống SIEM
• 1.3.1. Tổng quan về SIEM
• 1.3.2. Chức năng chính của SIEM
• 1.3.3. Các thành phần của hệ thống
• 1.3.4. Kiến trúc và cách thức hoạt động của hệ thống SIEM
• 1.3.4.1. Thiết bị nguồn trong kiến trúc SIEM
• 1.3.4.2. Bộ phận thu thập log
• 1.3.4.3. Bộ phận phân tích và chuẩn hóa log
• 1.3.4.4. Bộ phận kỹ thuật tương quan sự kiện
• 1.3.4.5. Bộ phận lưu trữ log
• 1.3.4.6. Bộ phận giám sát
• 2. CHƯƠNG II: NGHIÊN CỨU GIẢI PHÁP AN TOÀN THÔNG TIN
• 2.1. Các tiêu chí đánh giá khi xây dựng một hệ thống SIEM
• 2.1.1. Mức độ hỗ trợ của SIEM đối với các nguồn nhật ký
• 2.1.2. Khả năng ghi nhật ký bổ sung của SIEM
• 2.1.3. Khả năng sử dụng hiệu quả các thông tin tình báo của hệ thống SIEM
• 2.1.4. Khả năng điều tra số của hệ thống SIEM
• 2.1.5. Những tính năng hỗ trợ thực hiện phân tích dữ liệu của hệ thống SIEM
• 2.1.6. Khả năng phản hồi tự động của SIEM
• 2.1.7. Khả năng xây dựng báo cáo của hệ thống SIEM
• 2.2. Các giải pháp giám sát an toàn thông tin hiện nay
• 2.2.1. Giải pháp HP ArcSight ESM
• 2.2.2. Giải pháp IBM Security Qradar
• 2.2.3. Giải pháp Mcafee ESM
• 2.2.4. Giải pháp Esabeam Fusion
• 2.2.5. Giải pháp AlienVault OSSIM
• 2.2.6. Giải pháp Splunk
• 2.3. Lựa chọn giải pháp SIEM wazuh
• 2.3.1. Giới thiệu tổng quan về giải pháp SIEM wazuh
• 2.3.2. Tính năng của SIEM wazuh
• 2.3.3. Thành phần của SIEM wazuh
• 2.3.4. Cách thức hoạt động của SIEM Wazuh
• 3. CHƯƠNG III: XÂY DỰNG HỆ THỐNG SIEM GIÁM SÁT AN TOÀN THÔNG TIN
• 3.1. Mục tiêu bài toàn
• 3.2. Mô hình hệ thống thử nghiệm giám sát an toàn thông tin bằng SIEM
• 3.3. Mô phỏng hệ thống SIEM giám sát an toàn thông tin
• TÀI LIỆU THAM KHẢO
• NHẬN XÉT CỦA GIẢNG VIÊN HƯỚNG DẪN

Tóm tắt

I. Tổng quan về Hệ Thống SIEM Giám Sát An Toàn Thông Tin

Hệ thống SIEM (Security Information and Event Management) là một giải pháp quan trọng trong việc giám sát và bảo vệ an toàn thông tin. Hệ thống này giúp thu thập, phân tích và quản lý các sự kiện bảo mật từ nhiều nguồn khác nhau. Việc triển khai hệ thống SIEM không chỉ giúp phát hiện các mối đe dọa mà còn hỗ trợ trong việc điều tra và ứng phó với các sự cố an ninh mạng.

1.1. Định nghĩa và Chức năng của Hệ Thống SIEM

Hệ thống SIEM là công cụ giúp tổ chức thu thập và phân tích dữ liệu từ các nguồn khác nhau như máy chủ, ứng dụng và thiết bị mạng. Chức năng chính của SIEM bao gồm phân tích log, phát hiện xâm nhập và quản lý sự kiện bảo mật.

1.2. Lợi ích của Hệ Thống SIEM trong An Toàn Thông Tin

Hệ thống SIEM mang lại nhiều lợi ích cho tổ chức, bao gồm khả năng phát hiện sớm các mối đe dọa, giảm thiểu thiệt hại do tấn công mạng và cải thiện khả năng tuân thủ các quy định về bảo mật thông tin.

II. Các Vấn Đề và Thách Thức trong Giám Sát An Toàn Thông Tin

Mặc dù hệ thống SIEM mang lại nhiều lợi ích, nhưng cũng tồn tại nhiều thách thức trong việc triển khai và vận hành. Các vấn đề như khối lượng dữ liệu lớn, sự phức tạp trong việc phân tích và thiếu hụt nguồn lực có thể ảnh hưởng đến hiệu quả của hệ thống.

2.1. Khối lượng Dữ liệu và Phân tích Log

Khối lượng dữ liệu từ các nguồn khác nhau có thể rất lớn, gây khó khăn trong việc phân tích và xử lý. Việc tối ưu hóa quy trình phân tích log là cần thiết để đảm bảo hiệu quả.

2.2. Thiếu hụt Nguồn lực và Kỹ năng

Nhiều tổ chức gặp khó khăn trong việc tìm kiếm nhân lực có kỹ năng phù hợp để vận hành hệ thống SIEM. Điều này có thể dẫn đến việc không khai thác hết tiềm năng của hệ thống.

III. Phương Pháp Xây Dựng Hệ Thống SIEM Hiệu Quả

Để xây dựng một hệ thống SIEM hiệu quả, cần có một kế hoạch chi tiết và các phương pháp phù hợp. Việc lựa chọn công nghệ, thiết lập quy trình và đào tạo nhân viên là những yếu tố quan trọng.

3.1. Lựa Chọn Công Nghệ SIEM Phù Hợp

Việc lựa chọn công nghệ SIEM phù hợp với nhu cầu và quy mô của tổ chức là rất quan trọng. Các giải pháp như Wazuh, Splunk hay IBM Security Qradar đều có những ưu điểm riêng.

3.2. Thiết Lập Quy Trình Phân Tích và Ứng Phó

Cần thiết lập quy trình phân tích và ứng phó với sự cố rõ ràng để đảm bảo rằng các mối đe dọa được phát hiện và xử lý kịp thời.

IV. Ứng Dụng Thực Tiễn của Hệ Thống SIEM trong Doanh Nghiệp

Hệ thống SIEM đã được nhiều doanh nghiệp áp dụng để nâng cao khả năng bảo mật thông tin. Các ứng dụng thực tiễn cho thấy sự hiệu quả trong việc phát hiện và ứng phó với các cuộc tấn công mạng.

4.1. Các Tình Huống Thực Tế và Kết Quả

Nhiều doanh nghiệp đã ghi nhận sự cải thiện rõ rệt trong khả năng phát hiện các mối đe dọa sau khi triển khai hệ thống SIEM. Các tình huống thực tế cho thấy sự cần thiết của việc giám sát liên tục.

4.2. Đánh Giá Hiệu Quả của Hệ Thống SIEM

Đánh giá hiệu quả của hệ thống SIEM là cần thiết để xác định các điểm mạnh và điểm yếu, từ đó có thể điều chỉnh và cải thiện hệ thống.

V. Kết Luận và Tương Lai của Hệ Thống SIEM

Hệ thống SIEM đóng vai trò quan trọng trong việc bảo vệ an toàn thông tin trong bối cảnh ngày càng nhiều mối đe dọa mạng. Tương lai của hệ thống này sẽ phụ thuộc vào sự phát triển của công nghệ và khả năng thích ứng của tổ chức.

5.1. Xu Hướng Phát Triển của Công Nghệ SIEM

Công nghệ SIEM đang phát triển nhanh chóng với sự tích hợp của trí tuệ nhân tạo và học máy, giúp nâng cao khả năng phát hiện và ứng phó với các mối đe dọa.

5.2. Tương Lai của An Toàn Thông Tin với SIEM

Tương lai của an toàn thông tin sẽ ngày càng phụ thuộc vào khả năng của hệ thống SIEM trong việc bảo vệ dữ liệu và ứng phó với các cuộc tấn công mạng.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh bùng nổ của cuộc Cách mạng công nghiệp lần thứ tư, sự phát triển nhanh chóng của các công nghệ như trí tuệ nhân tạo (AI), Internet vạn vật (IoT), điện toán đám mây (Cloud Computing) và dữ liệu lớn (Big Data) đã làm thay đổi sâu sắc cấu trúc không gian mạng. Mạng Internet và các ứng dụng web trở thành phương tiện thiết yếu trong hoạt động quản trị, giao tiếp và thương mại hóa của các tổ chức, doanh nghiệp, cơ quan nhà nước. Tuy nhiên, đi cùng với các lợi ích này là nguy cơ mất an toàn thông tin ngày càng gia tăng. Các cuộc tấn công mạng diễn ra với tần suất lớn, tính chất phức tạp và kỹ thuật ngày càng tinh vi, đe dọa trực tiếp đến tính bảo mật của dữ liệu người dùng và sự vận hành ổn định của hạ tầng công nghệ thông tin.

Về bối cảnh thực tiễn, tác giả tổng hợp các số liệu thống kê an ninh mạng trong giai đoạn 2021 – 2022 để làm rõ tính cấp thiết của đề tài:

• Tình hình an ninh mạng toàn cầu: Hệ thống giám sát ghi nhận hơn 5 triệu mối đe dọa tống tiền bằng mã độc (ransomware) trên các lớp email, liên kết URL và tệp tin, tăng gần 45% so với quý IV-2021 và tăng hơn 5% so với cùng kỳ năm trước. Các nhóm tin tặc khét tiếng như LockBit, Conti và BlackCat đã xâm nhập thành công vào ít nhất 100 tổ chức trên thế giới, bao gồm các cơ quan nhà nước và các tập đoàn viễn thông lớn. Điển hình, nhóm Conti đã tấn công vào hạ tầng số của Costa Rica, làm ngưng trệ toàn bộ hoạt động xuất nhập khẩu và gây thiệt hại hàng chục triệu USD mỗi ngày. Thống kê cũng chỉ ra rằng cứ 60 tổ chức trên toàn cầu thì có một tổ chức chịu ảnh hưởng bởi mã độc tống tiền mỗi tuần (tăng 14% so với cùng kỳ). Theo Khảo sát Rủi ro và Bảo hiểm Mạng Toàn cầu năm 2022 (trên 7.000 người tham gia tại 14 quốc gia), tỷ lệ các cuộc tấn công ransomware tăng từ 21% lên 28%, vi phạm dữ liệu tăng từ 32% lên 43%, và tấn công lừa đảo tăng từ 38% lên 46%; trong đó Ấn Độ, Trung Quốc và Nam Phi là các quốc gia chịu ảnh hưởng nặng nề nhất.
• Tình hình an ninh mạng tại Việt Nam: Trong 6 tháng đầu năm 2022, xu hướng làm việc kết hợp đã làm gia tăng số lượng các cuộc tấn công mạng lên 48.646 vụ (tăng gần 20% so với năm 2021). Có 641 sự cố an ninh mạng gây ảnh hưởng nghiêm trọng đến các hệ thống thông tin trong nước, tăng 35,14% so với cuối năm 2021 và tăng 37,92% so với cùng kỳ năm 2021. Phân tích 646 cuộc tấn công vào các hệ thống thông tin trọng yếu nửa đầu năm 2022 ghi nhận cơ cấu phương thức tấn công như sau: tấn công khai thác lỗ hổng chiếm 53%; dò quét mạng chiếm 15,65%; tấn công có chủ đích APT chiếm 14,36%; tấn công xác thực chiếm 9,39%; cài đặt mã độc chiếm 7,58%; tấn công từ chối dịch vụ (DoS/DDoS) chiếm 0,47% và các hình thức khác chiếm 0,91%.

Trước thực trạng đó, các cơ quan, doanh nghiệp khi vận hành hệ thống mạng nội bộ luôn phải đối mặt với nguy cơ lỗi hệ thống, sự cố phần cứng hoặc các hành vi xâm nhập trái phép từ bên trong lẫn bên ngoài. Việc giám sát thủ công trên từng thiết bị đơn lẻ không còn đáp ứng được yêu cầu phản ứng nhanh. Do đó, việc nghiên cứu và triển khai một hệ thống quản lý sự kiện và an toàn thông tin (SIEM) có khả năng thu thập, chuẩn hóa, phân tích tương quan nhật ký (log) tập trung nhằm phát hiện sớm các nguy cơ mất an toàn là yêu cầu cấp thiết.

Mục tiêu và nhiệm vụ nghiên cứu:

1. Đánh giá thực trạng an toàn thông tin trên thế giới và tại Việt Nam trong giai đoạn nghiên cứu.
2. Nghiên cứu tổng quan lý thuyết về an toàn thông tin, các hình thức tấn công mạng và kiến trúc hoạt động của hệ thống SIEM.
3. Khảo sát, phân tích và so sánh các giải pháp SIEM thương mại và mã nguồn mở hiện hành trên thị trường.
4. Lựa chọn giải pháp Wazuh, nghiên cứu sâu kiến trúc, thành phần và nguyên lý vận hành của nền tảng này.
5. Xây dựng mô hình thử nghiệm hệ thống SIEM Wazuh, thực hiện kiểm thử phát hiện tấn công ứng dụng web và phát hiện thay đổi tệp tin mã độc.

Đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Các giải pháp an toàn thông tin mạng, trọng tâm là giải pháp mã nguồn mở Wazuh trong việc xây dựng hệ thống SIEM giám sát an toàn thông tin, kỹ thuật chuẩn hóa dữ liệu nhật ký và cơ chế phân tích tương quan phát cảnh báo.
• Phạm vi nghiên cứu: Về không gian, nghiên cứu lý thuyết tổng quan về tình hình ATTT tại Việt Nam và quốc tế; thực nghiệm thiết lập mô hình lab giám sát mạng nội bộ. Về thời gian, số liệu thống kê thứ cấp được cập nhật đến nửa đầu năm 2022.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đồ án dựa trên các nguyên lý căn bản của an toàn thông tin và kiến trúc quản lý nhật ký tập trung:

• Bộ ba thuộc tính an toàn thông tin (CIA Triad):
  • Tính bí mật (Confidentiality): Đảm bảo thông tin chỉ được tiếp cận và sử dụng bởi các đối tượng được phân quyền hợp lệ.
  • Tính toàn vẹn (Integrity): Bảo vệ tính chính xác, đầy đủ và nguyên vẹn của thông tin, ngăn chặn các hành vi sửa đổi hoặc giả mạo dữ liệu trái phép.
  • Tính sẵn sàng (Availability): Đảm bảo hệ thống và dữ liệu luôn trong trạng thái sẵn sàng phục vụ người dùng hợp lệ, phòng tránh rủi ro gián đoạn do lỗi phần cứng, phần mềm hoặc tấn công từ chối dịch vụ.
• Phân loại mối đe dọa an toàn thông tin:
  • Mối đe dọa không có cấu trúc (Unstructured threat): Các hành vi tấn công đơn lẻ, ngẫu nhiên, không có tổ chức, thường do các đối tượng có trình độ kỹ thuật thấp (Script Kiddies) sử dụng các công cụ, kịch bản khai thác có sẵn trên Internet.
  • Mối đe dọa có cấu trúc (Structured threat): Các cuộc tấn công có chủ đích, được thực hiện bởi các nhóm hacker chuyên nghiệp hoặc các tổ chức tội phạm mạng có kỹ năng cao, có động cơ rõ ràng về tài chính hoặc chính trị.
  • Mối đe dọa bên ngoài (External threat) và bên trong (Internal threat): Phân định theo nguồn gốc tấn công từ các thực thể không có quyền truy cập trên không gian mạng hoặc từ chính các tài khoản, nhân viên nội bộ có đặc quyền trong hệ thống mạng LAN.
• Các kỹ thuật tấn công mạng điển hình: Tác giả hệ thống hóa các kỹ thuật tấn công phổ biến gồm nghe lén gói tin (Packet Sniffers), tấn công mật khẩu (Brute-force attack), lợi dụng máy chủ thư điện tử (Mail Relay), tấn công vào tầng ứng dụng (Application layer attack qua cổng 80 HTTP, cổng 25 Mail), và phát tán mã độc (Virus, Trojan Horse).
• Bản chất của giải pháp SIEM: Hệ thống SIEM (Security Information and Event Management) được hợp nhất từ hai khái niệm: SIM (Security Information Management - thu thập, phân tích dài hạn và báo cáo nhật ký từ máy chủ, ứng dụng, thiết bị mạng) và SEM (Security Event Management - xử lý, phân tích tương quan sự kiện an ninh theo thời gian thực để đưa ra phản ứng bảo vệ).
• Kiến trúc 6 khối chức năng của hệ thống SIEM:
  1. Thiết bị nguồn (Source Devices): Các thành phần sinh log như tường lửa (Firewall ASA), bộ định tuyến (Router), thiết bị chuyển mạch (Switch), hệ điều hành (Windows Server Event Log, Linux syslog), và máy chủ ứng dụng.
  2. Bộ phận thu thập log (Log Collection): Thực hiện tiếp nhận dữ liệu qua hai cơ chế chính: Đẩy nhật ký (Push log) và Kéo nhật ký (Pull log), bên cạnh các cơ chế cấu hình sẵn (Prebuilt), cấu hình tùy biến (Custom) hoặc phối hợp hỗn hợp (Mixed Environments) thông qua Syslog, kết nối cơ sở dữ liệu hoặc đọc tệp hệ thống.
  3. Bộ phận phân tích và chuẩn hóa log (Log Parsing & Normalization): Chuyển đổi các định dạng nhật ký phân tán, không đồng nhất về một cấu trúc dữ liệu chuẩn chung duy nhất để phục vụ cho các thuật toán phân tích tiếp theo.
  4. Bộ phận kỹ thuật tương quan sự kiện (Event Correlation): Sử dụng tập luật (ruleset) và các biểu thức điều kiện để liên kết các sự kiện đơn lẻ thành một chuỗi sự kiện an ninh. Ví dụ về logic tương quan phát hiện tấn công vét cạn tài khoản: If [(failed logins >= 3) and then (Successful Login)] from the same source within 20 seconds = Possible Brute Force Compromise.
  5. Bộ phận lưu trữ log (Log Storage): Quản lý lưu trữ nhật ký đã chuẩn hóa thông qua hệ quản trị cơ sở dữ liệu quan hệ/phi quan hệ (MySQL, Oracle, SQL, Hadoop), tệp tin văn bản định dạng phân cách (CSV, Tab), hoặc tệp nhị phân chuyên dụng.
  6. Bộ phận giám sát (Monitoring): Cung cấp bảng điều khiển giao diện web trực quan giúp người quản trị theo dõi tổng quan môi trường mạng, truy vấn sự kiện và lập báo cáo.

Phương pháp nghiên cứu:

• Phương pháp nghiên cứu lý thuyết: Thu thập, tổng hợp, dịch thuật và phân tích tài liệu chuyên khảo về an toàn thông tin, các tiêu chuẩn an ninh và tài liệu kỹ thuật của các giải pháp SIEM.
• Phương pháp thực nghiệm: Xây dựng hệ thống thử nghiệm trên nền tảng máy ảo, cấu hình dịch vụ web, thiết lập các module của Wazuh, thực hiện rà quét lỗ hổng bằng công cụ OWASP ZAP và chèn tệp tin để kiểm tra khả năng bắt log, phân tích, kích hoạt luật cảnh báo và liên kết dữ liệu mã băm qua API của VirusTotal.

Nguồn dữ liệu: Báo cáo an ninh mạng năm 2022 của các tổ chức quốc tế; thống kê tình hình an ninh mạng 6 tháng đầu năm 2022 tại Việt Nam; dữ liệu bản ghi nhật ký kiểm thử từ hệ điều hành Windows Server, Cisco ASA; cơ sở dữ liệu lỗ hổng bảo mật quốc gia (CVE); và dữ liệu nhận dạng mã độc của nền tảng VirusTotal.

Thiết kế và triển khai hệ thống

Đồ án tập trung nghiên cứu thiết kế và triển khai giải pháp kỹ thuật giám sát an toàn thông tin dựa trên phần mềm mã nguồn mở Wazuh. Trước khi đi vào thiết kế chi tiết, tác giả xác lập bộ 7 tiêu chí đánh giá lựa chọn hệ thống SIEM cho tổ chức:

1. Mức độ hỗ trợ đối với các nguồn nhật ký: Khả năng tương thích với thiết bị mạng, hệ điều hành (Windows, Linux, macOS), cơ sở dữ liệu và ứng dụng.
2. Khả năng ghi nhật ký bổ sung: Tự động giám sát và tạo dữ liệu thô đối với các phần mềm thiếu khả năng tự ghi log.
3. Khả năng sử dụng thông tin tình báo mối đe dọa (Threat Intelligence): Tích hợp các nguồn cấp dữ liệu đe dọa để nhận diện tác nhân độc hại.
4. Khả năng điều tra số (Digital Forensics): Khả năng thu thập chứng cứ, chụp gói tin mạng (packet capture) và ghi nhận hành vi trên máy chủ.
5. Tính năng hỗ trợ phân tích dữ liệu: Khả năng tìm kiếm nhanh, lọc dữ liệu phức tạp và trực quan hóa luồng sự kiện.
6. Khả năng phản hồi tự động (Active Response): Tự động can thiệp chặn kết nối độc hại hoặc cách ly tiến trình khi phát hiện xâm nhập.
7. Khả năng xây dựng báo cáo tuân thủ: Cung cấp mẫu báo cáo hỗ trợ các chuẩn PCI DSS, GDPR, HIPAA, NIST 800-53, CIS.

Dựa trên các tiêu chí này, tác giả đã tiến hành khảo sát và so sánh các giải pháp SIEM phổ biến trên thị trường:

Giải pháp SIEM	Nhà phát triển / Bản quyền	Ưu điểm chính	Hạn chế ghi nhận
HP ArcSight ESM	HP / Thương mại	Phân tích dữ liệu toàn diện; cảnh báo thời gian thực; quản lý khối lượng log lớn.	Hiệu năng phụ thuộc nhiều vào phần cứng; chi phí đầu tư và nâng cấp đắt đỏ.
IBM Security QRadar	IBM / Thương mại	Tự động hóa phân tích tương quan; phân tích luồng mạng Lớp 7 (Network Insights); báo cáo tuân thủ phong phú.	Yêu cầu hạ tầng lớn; chi phí bản quyền và vận hành cao đối với doanh nghiệp nhỏ.
McAfee ESM	Intel Security / Thương mại	Tích hợp sâu Active Directory; phân tích tương quan nâng cao; khả năng truy vết bản ghi gốc nhanh.	Chi phí đầu tư rất cao (đắt gấp nhiều lần so với các sản phẩm SIEM tầm trung).
Exabeam Fusion	Exabeam / Đám mây (SaaS)	Kết hợp SIEM và XDR; tích hợp sẵn các gói quy trình TDIR; phân tích hành vi người dùng hiện đại.	Phụ thuộc vào kết nối đám mây; chính sách chi phí dịch vụ định kỳ.
AlienVault OSSIM	AlienVault / Mã nguồn mở	Tích hợp nhiều công cụ bảo mật (Snort, OpenVAS, OSSEC, ntop); giảm thiểu cảnh báo giả.	Cấu hình phức tạp; khả năng mở rộng ở quy mô doanh nghiệp lớn bị giới hạn.
Splunk	Splunk / Nguồn mở & Thương mại	Lập chỉ mục siêu tốc dựa trên Lucene; tìm kiếm và phân tích log thời gian thực rất linh hoạt.	Chi phí gia tăng rất nhanh theo dung lượng log nạp vào hàng ngày ở phiên bản thương mại.
Wazuh	Wazuh / Mã nguồn mở (Miễn phí)	Hợp nhất SIEM và XDR; đa nền tảng; tích hợp sẵn kiểm tra toàn vẹn file, quét CVE, SCA; dễ mở rộng.	Cần kiến thức kỹ thuật để tự triển khai, tinh chỉnh luật và quản trị cụm lưu trữ.

Nhận thấy Wazuh là giải pháp có khả năng đáp ứng toàn diện các tiêu chí đánh giá, tích hợp cả hai năng lực SIEM và XDR, đồng thời hoàn toàn miễn phí bản quyền nên tác giả đã chọn Wazuh để thiết kế hệ thống.

Kiến trúc hệ thống Wazuh: Hệ thống được thiết kế theo mô hình phân tán gồm 4 thành phần kỹ thuật:

1. Wazuh Agent: Được cài đặt trên các máy chủ và điểm cuối (endpoint) chạy các hệ điều hành khác nhau (Windows, Linux, macOS, Solaris, AIX). Agent hoạt động theo cấu trúc module đa chức năng: đọc log hệ điều hành/ứng dụng, giám sát tính toàn vẹn tệp tin (FIM), đánh giá cấu hình an ninh (SCA), quét rootkit, và phát hiện mã độc. Dữ liệu sau khi thu thập được mã hóa và truyền về Wazuh Server.
2. Wazuh Server: Thành phần trung tâm điều khiển và phân tích, bao gồm:
   • Dịch vụ đăng ký agent (Registration Service): Cung cấp và phân phối khóa xác thực duy nhất cho từng Agent thông qua chứng chỉ mạng TLS/SSL hoặc mật khẩu cấu hình sẵn.
   • Dịch vụ kết nối tới agent (Connection Service): Tiếp nhận luồng dữ liệu an toàn từ các Agent, quản lý khóa chia sẻ và truyền các cấu hình quản trị tập trung xuống Agent từ xa.
   • Công cụ phân tích (Analysis Engine): Sử dụng các bộ giải mã (decoders) để bóc tách các trường dữ liệu từ thông điệp thô (nhật ký SSH, nhật ký Web, Windows Event Log...), sau đó đối chiếu với tập luật (ruleset) để phát hiện sự kiện bất thường. Server tích hợp bản đồ kỹ thuật tấn công MITRE ATT&CK và hỗ trợ liên kết các hệ thống bên ngoài (Slack, Jira, ServiceNow).
3. Wazuh Indexer: Công cụ tìm kiếm và phân tích toàn văn bản có khả năng mở rộng cụm (hỗ trợ mô hình single-node hoặc multi-node). Indexer tiếp nhận các cảnh báo từ Wazuh Server, lưu trữ dưới dạng các tài liệu JSON phân tán trên các phân đoạn (shards) và các nút mạng, cung cấp khả năng tìm kiếm và lập chỉ mục gần thời gian thực.
4. Wazuh Dashboard: Giao diện người dùng trên nền web, cung cấp các biểu đồ thống kê, bảng điều khiển sự kiện an ninh, giám sát tính tuân thủ quy chuẩn, và hỗ trợ điều tra số.

Nội dung chính theo từng chương

Chương I: Tổng quan về an toàn thông tin

Chương I mở đầu bằng việc định nghĩa ba thuộc tính cốt lõi của an toàn thông tin (Bảo mật, Toàn vẹn, Sẵn sàng - CIA) và cung cấp bức tranh toàn cảnh về thực trạng mất an toàn thông tin trên thế giới và tại Việt Nam trong giai đoạn 2021 - 2022. Tác giả phân tích chi tiết các số liệu về mã độc tống tiền (hơn 5 triệu mối đe dọa ransomware, sự hoành hành của các nhóm LockBit, Conti, BlackCat) và số liệu 48.646 cuộc tấn công tại Việt Nam trong 6 tháng đầu năm 2022.

Tiếp đó, chương này đi sâu phân loại các mối đe dọa (mối đe dọa không có cấu trúc do Script Kiddies thực hiện; mối đe dọa có cấu trúc có kỹ thuật cao và mục đích rõ ràng; mối đe dọa từ bên ngoài mạng Internet và mối đe dọa nội bộ xuất phát từ người dùng có quyền). Tác giả làm rõ các hình thức tấn công hệ thống mạng phổ biến như nghe lén bằng Packet Sniffer, vét cạn mật khẩu Brute-force, tiếp sức thư rác Mail Relay, tấn công khai thác cổng dịch vụ tầng ứng dụng và phát tán Virus/Trojan.

Phần trọng tâm của chương là việc giới thiệu hệ thống SIEM. Tác giả giải thích sự giao thoa giữa SIM và SEM, nêu bật 3 chức năng chính gồm quản lý dữ liệu tập trung, giám sát an toàn mạng diện rộng và hỗ trợ xử lý sự cố. Cuối cùng, chương I mô tả chi tiết kiến trúc 6 khối chức năng của một hệ thống SIEM hoàn chỉnh (Thiết bị nguồn, Thu thập log với hai phương thức Push/Pull, Phân tích chuẩn hóa log, Kỹ thuật tương quan sự kiện với ví dụ kiểm soát đăng nhập thất bại liên tiếp, Khối lưu trữ log dạng CSDL/văn bản/nhị phân, và Khối giao diện Web giám sát).

Chương II: Nghiên cứu giải pháp an toàn thông tin

Chương II tập trung giải quyết bài toán lựa chọn công nghệ giám sát. Mở đầu chương, tác giả xây dựng khung 7 tiêu chí kỹ thuật để đánh giá một hệ thống SIEM bao gồm: khả năng hỗ trợ nguồn log, khả năng tự sinh log bổ sung, tích hợp dữ liệu tình báo mối đe dọa, năng lực điều tra số, công cụ hỗ trợ phân tích dữ liệu, khả năng tự động hóa phản hồi ngăn chặn, và khả năng lập báo cáo tuân thủ an ninh.

Trên cơ sở các tiêu chí trên, tác giả tiến hành khảo sát và đánh giá 6 giải pháp giám sát an ninh mạng nổi tiếng trên thị trường: HP ArcSight ESM, IBM Security QRadar, McAfee ESM, Exabeam Fusion, AlienVault OSSIM, và Splunk. Tác giả phân tích rõ ưu điểm về mặt xử lý dữ liệu và những rào cản về chi phí bản quyền, cấu hình phần cứng đắt đỏ của các hệ sinh thái thương mại đóng.

Từ kết quả phân tích so sánh, tác giả đề xuất lựa chọn giải pháp Wazuh – một nền tảng mã nguồn mở hợp nhất giữa XDR và SIEM. Chương II dành phần lớn dung lượng để phân tích sâu các tính năng của Wazuh: phân tích bảo mật đa nền tảng, phát hiện xâm nhập dựa trên chữ ký và hành vi, phân tích log dựa trên luật, giám sát tính toàn vẹn của tệp tin (FIM), phát hiện lỗ hổng phần mềm thông qua ánh xạ cơ sở dữ liệu CVE, đánh giá cấu hình bảo mật tự động (SCA), phản hồi sự cố chủ động (Active Response như chặn IP), báo cáo tuân thủ các tiêu chuẩn (PCI DSS, HIPAA, GDPR), cùng khả năng giám sát hạ tầng đám mây (AWS, Azure, GCP) và vùng chứa (Docker, Kubernetes). Cuối chương, tác giả trình bày kiến trúc 4 thành phần nội tại của Wazuh (Agent, Indexer, Server, Dashboard), làm rõ cách thức hoạt động của từng dịch vụ và cơ chế trao đổi khóa bảo mật TLS giữa Agent và Server.

Chương III: Xây dựng hệ thống SIEM giám sát an toàn thông tin

Chương III trình bày quá trình thực nghiệm xây dựng và kiểm thử hệ thống SIEM bằng Wazuh. Tác giả xác định mục tiêu bài toán là xây dựng một mô hình phòng lab có khả năng thu thập nhật ký từ máy chủ, xử lý dữ liệu tập trung và phát hiện các hành vi tấn công mạng phổ biến.

Hệ thống thử nghiệm được thiết kế bao gồm máy chủ cài đặt Wazuh Server, Wazuh Indexer, Wazuh Dashboard và các máy trạm/máy chủ dịch vụ cài đặt Wazuh Agent để giám sát. Tác giả thực hiện hai kịch bản mô phỏng kiểm thử an ninh:

• Kịch bản 1 - Giám sát và phát hiện tấn công ứng dụng web: Tác giả triển khai một ứng dụng web thử nghiệm có chức năng đăng nhập, sau đó sử dụng công cụ rà quét lỗ hổng bảo mật chuyên dụng OWASP ZAP để tiến hành dò quét vào ứng dụng này. Kết quả thực nghiệm cho thấy Wazuh Agent đã ghi nhận toàn bộ nhật ký truy cập bất thường, gửi về máy chủ Wazuh Server. Tại đây, công cụ phân tích đã kích hoạt các luật cảnh báo tấn công web, hiển thị trực quan thông tin cảnh báo (Security Event) trên Wazuh Dashboard và cho phép người quản trị truy xuất toàn bộ nội dung nhật ký chi tiết (Full Log) của cuộc tấn công.
• Kịch bản 2 - Giám sát tính toàn vẹn tệp tin và phát hiện mã độc: Kịch bản mô phỏng hành vi của kẻ tấn công hoặc mã độc khi thêm một tệp tin mới vào hệ thống máy chủ được giám sát. Module FIM (File Integrity Monitoring) của Wazuh Agent ngay lập tức ghi nhận sự thay đổi cấu trúc tệp tin, trích xuất mã băm (hash) của tệp tin mới và kích hoạt cảnh báo trên Dashboard. Đồng thời, thông tin mã băm này được gửi đối chiếu tự động với cơ sở dữ liệu nhận dạng phần mềm độc hại của VirusTotal, giúp quản trị viên xác định ngay mức độ nguy hại của tệp tin vừa xuất hiện trong hệ thống.

Kết quả và đóng góp

• Kết quả đạt được:
  • Hệ thống hóa một cách khoa học các cơ sở lý luận về an toàn thông tin, phân loại mối đe dọa và nguyên lý cấu tạo 6 khối chức năng của hệ thống SIEM.
  • Xây dựng được bộ 7 tiêu chí đánh giá kỹ thuật toàn diện, làm cơ sở khách quan cho việc phân tích, so sánh các giải pháp SIEM thương mại và mã nguồn mở.
  • Triển khai thành công mô hình thử nghiệm hệ thống SIEM phân tán sử dụng hoàn toàn nền tảng mã nguồn mở Wazuh (bao gồm Wazuh Agent, Wazuh Server, Wazuh Indexer và Wazuh Dashboard).
  • Thực nghiệm thành công 2 kịch bản an ninh mạng điển hình: phát hiện dò quét ứng dụng web thông qua OWASP ZAP và giám sát tính toàn vẹn tệp tin (FIM) kết hợp tra cứu mã băm tự động qua nền tảng VirusTotal.
• Giải pháp đề xuất: Tác giả đề xuất các tổ chức, doanh nghiệp (đặc biệt là các đơn vị vừa và nhỏ có ngân sách an ninh mạng hạn chế) nên áp dụng giải pháp SIEM mã nguồn mở Wazuh thay cho các hệ sinh thái thương mại đắt tiền, kết hợp kích hoạt tính năng phản hồi chủ động (Active Response) để tự động ngăn chặn các cuộc tấn công vét cạn tài khoản và rà quét mạng.
• Đóng góp của đồ án: Đồ án cung cấp một tài liệu kỹ thuật có tính ứng dụng thực tế cao, kết nối chặt chẽ giữa lý thuyết quản lý sự kiện an toàn thông tin với quy trình triển khai, cấu hình và vận hành một hệ thống giám sát an ninh mạng nguồn mở hoàn chỉnh, có khả năng mở rộng giám sát trên cả môi trường đám mây và Docker container.

Hạn chế và hướng nghiên cứu tiếp

• Hạn chế:
  • Mô hình thử nghiệm mới được thiết lập trong phạm vi phòng thí nghiệm (môi trường lab ảo hóa), số lượng điểm cuối và chủng loại thiết bị nguồn được kết nối còn hạn chế; chưa đưa vào vận hành thử nghiệm trên một hạ tầng mạng doanh nghiệp thực tế với lưu lượng log lớn và đa dạng thiết bị phần cứng (như Firewall vật lý, Switch Core).
  • Các kịch bản tấn công kiểm thử mới dừng lại ở mức độ cơ bản (dò quét web bằng công cụ tự động OWASP ZAP và chèn file tĩnh), chưa thực hiện các kịch bản tấn công nâng cao như tấn công có chủ đích APT đa giai đoạn, tấn công leo thang đặc quyền phức tạp hay tấn công làm tràn ngập dữ liệu từ chối dịch vụ.
• Hướng nghiên cứu tiếp:
  • Mở rộng quy mô triển khai hệ thống Wazuh lên môi trường mạng thực tế của một tổ chức, kết nối thu thập log từ nhiều thiết bị phần cứng và hệ thống cơ sở dữ liệu lớn.
  • Nghiên cứu phát triển, tùy biến thêm các bộ giải mã (decoders) và các tập luật (custom rules) chuyên biệt để tối ưu hóa khả năng nhận diện các cuộc tấn công đặc thù tại Việt Nam.
  • Tích hợp sâu hơn cơ chế tự động hóa phản hồi (SOAR) kết hợp các hệ thống quản lý vé sự cố (ServiceNow, Jira) và nền tảng giao tiếp nhóm (Slack) để hoàn thiện quy trình phản ứng nhanh của trung tâm điều hành an ninh mạng (SOC).

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho các nhóm đối tượng sau:

• Sinh viên chuyên ngành An toàn thông tin, Công nghệ thông tin, Mạng máy tính: Tài liệu cung cấp cơ sở lý thuyết chuẩn mực về tam giác CIA, các hình thức tấn công mạng và cấu trúc vận hành chi tiết của giải pháp SIEM (đặc biệt là cơ chế tương quan sự kiện và chuẩn hóa log).
• Kỹ sư an toàn thông tin, chuyên viên quản trị hệ thống tại doanh nghiệp: Cung cấp hướng dẫn tham khảo trong việc lựa chọn công nghệ, triển khai cài đặt và vận hành hệ thống giám sát an ninh mạng Wazuh với chi phí tối ưu.
• Các phần có giá trị tham khảo cao nhất: Bảng tiêu chí đánh giá SIEM và phân tích so sánh các giải pháp ở Chương II; sơ đồ cấu trúc chi tiết các module của Wazuh Server/Agent; và kịch bản thiết lập tích hợp API tra cứu mã băm VirusTotal tại Chương III.

Câu hỏi thường gặp

1. Khái niệm SIEM được hình thành từ sự kết hợp của những giải pháp nào và có các chức năng chính nào? Trong đồ án, SIEM (Security Information and Event Management) được định nghĩa là giải pháp hợp nhất giữa hai hệ thống: SIM (Security Information Management - thu thập, phân tích và lưu trữ dữ liệu nhật ký dài hạn) và SEM (Security Event Management - giám sát, phân tích tương quan sự kiện an ninh theo thời gian thực). Hệ thống SIEM có 3 chức năng chính: quản lý dữ liệu nhật ký tập trung từ nhiều thiết bị, giám sát an toàn mạng tổng thể để phát hiện tấn công, và cung cấp công cụ trực quan hỗ trợ xử lý sự cố an ninh mạng.

2. Quy tắc (rule) tương quan sự kiện phát hiện tấn công vét cạn mật khẩu (Brute-Force) được tác giả minh họa bằng logic nào? Tác giả đã minh họa logic tương quan sự kiện để phát hiện hành vi tấn công dò quét mật khẩu như sau: If [(failed logins >= 3) and then (Successful Login)] from the same source within 20 seconds = Possible Brute Force Compromise. Logic này chỉ ra rằng nếu có từ 3 lần đăng nhập thất bại trở lên, sau đó là một lần đăng nhập thành công xuất phát từ cùng một địa chỉ nguồn trong khoảng thời gian 20 giây, hệ thống sẽ xác định đây là một cuộc xâm nhập vét cạn tài khoản và lập tức phát cảnh báo.

3. Wazuh Server bao gồm những thành phần chức năng cốt lõi nào? Theo Bảng 2-1 trong đồ án, Wazuh Server được cấu thành từ 3 thành phần chính:

• Dịch vụ đăng ký agent (Registration Service): Cung cấp và phân phối khóa xác thực duy nhất cho mỗi agent khi đăng ký vào hệ thống qua giao thức TLS/SSL hoặc mật mã cố định.
• Dịch vụ kết nối tới agent (Connection Service): Tiếp nhận dữ liệu, xác thực danh tính agent bằng khóa chia sẻ, mã hóa đường truyền và quản lý cấu hình agent tập trung từ xa.
• Công cụ phân tích (Analysis Engine): Thực hiện phân tích dữ liệu bằng cách sử dụng các bộ giải mã (decoders) để trích xuất trường thông tin từ log, sau đó áp dụng tập luật để kích hoạt cảnh báo an ninh.

4. Hai kịch bản tấn công thực nghiệm được tác giả thực hiện trong Chương III là gì và kết quả ghi nhận ra sao? Hai kịch bản thực nghiệm gồm:

• Kịch bản 1: Sử dụng công cụ OWASP ZAP rà quét ứng dụng web thử nghiệm. Kết quả Wazuh thu thập được log web, bộ giải mã nhận diện được hành vi dò quét và kích hoạt cảnh báo phát hiện sự kiện tấn công web trên bảng điều khiển Wazuh Dashboard, cho phép xem toàn bộ log chi tiết.
• Kịch bản 2: Thêm một tệp tin lạ vào hệ thống máy chủ được giám sát. Module FIM của Wazuh Agent đã phát hiện sự thay đổi, phát cảnh báo có tệp mới được thêm vào và trích xuất mã hash của tệp để đối chiếu tự động với cơ sở dữ liệu của VirusTotal.

5. Theo số liệu thống kê tại Việt Nam trong nửa đầu năm 2022 được trích dẫn trong văn bản, hình thức tấn công nào chiếm tỷ lệ lớn nhất? Theo thống kê 646 cuộc tấn công vào các hệ thống thông tin trọng yếu tại Việt Nam trong 6 tháng đầu năm 2022 được tác giả trích dẫn, hình thức tấn công khai thác lỗ hổng chiếm tỷ lệ cao nhất với gần 53% tổng số cuộc tấn công; tiếp theo là tấn công dò quét mạng (15,65%), tấn công APT (14,36%), tấn công xác thực (9,39%), tấn công cài mã độc (7,58%), tấn công từ chối dịch vụ (0,47%) và các hình thức khác (0,91%).

Kết luận

Báo cáo đồ án tốt nghiệp của sinh viên Đàm Văn Dưỡng đã hệ thống hóa đầy đủ cơ sở lý thuyết về an toàn thông tin, các phương thức tấn công mạng và kiến trúc chuyên sâu của hệ thống giám sát an ninh SIEM. Tác giả đã xây dựng bộ tiêu chí đánh giá khách quan để phân tích, so sánh các giải pháp SIEM lớn trên thế giới, từ đó lựa chọn và làm rõ nền tảng nguồn mở Wazuh với cấu trúc phân tán hiện đại. Thông qua việc triển khai thử nghiệm mô hình thực tế với các kịch bản rà quét web và giám sát tính toàn vẹn tệp tin tích hợp VirusTotal, đồ án đã chứng minh tính khả thi và hiệu quả của giải pháp. Đây là công trình nghiên cứu mang giá trị ứng dụng thực tiễn cao, hỗ trợ tích cực cho công tác xây dựng trung tâm điều hành an toàn thông tin tại các cơ quan và doanh nghiệp.

Trích đoạn nội dung tài liệu

CHƯƠNG I TỔNG QUAN VỀ AN TOÀN THÔNG TIN 1.1 Tổng quan chung về an toàn thông tin - An toàn thông tin là duy trì tính bí mật, tính toàn vẹn, tính sẵn sàng cho toàn bộ thông tin. Ba yếu tố không thể tách rời trong việc đảm bảo an toàn thông tin: Tính bí mật: Đảm bảo thông tin đó là duy nhất, những người muốn tiếp cận và sử dụng thông tin cần được phân quyền truy cập. Tính toàn vẹn: Bảo vệ sự hoàn chỉnh toàn diện cho hệ thống thông tin. Thông tin đưa ra phải chính xác, đầy đủ, không được sai lệch hoặc bị chỉnh sửa.

Tính sẵn sàng: Việc bảo mật thông tin luôn phải sẵn sàng, có thể thực hiện bất cứ đâu, bất cứ khi nào, tránh được những rủi ro phần cứng và phần mềm. - Tình hình an ninh mạng trên thế giới: Hơn 5 triệu mối đe dọa ransomware trên các lớp email, URL và tệp đã được phát hiện và ngăn chặn. Con số này tăng gần 45% so với quý trước (quý IV-2021) và tăng nhiều hơn 5% so với cùng kỳ năm trước. Trong đó, các cuộc tấn công cài mã độc tăng mạnh và nạn nhân của các phi vụ này là con số không hề nhỏ.

LockBit, Conti and BlackCat ba tác nhân này đã xâm nhập thành công ít nhất 100 tổ chức trên khắp thế giới. Phần lớn nạn nhân của LockBit là các tổ chức ở châu Âu, trong khi Conti và BlackCat nhắm vào các tổ chức ở Bắc Mỹ. Các mã độc của LockBit, Conti và BlackCat xuất hiện rải rác trong các bộ máy tổ chức Nhà nước, cơ sở hạ tầng nhạy cảm trên thế giới, trong đó có “các công ty viễn thông lớn”. Nhóm Conti “tàn phá” Costa Rica bằng những vụ tấn công đòi tiền chuộc có mức độ phá hoại được đánh giá là lớn nhất tới trước tới nay.

Chúng làm đóng băng toàn bộ hoạt động xuất nhập khẩu, gây thiệt hại hàng chục triệu USD mỗi ngày ở quốc gia này. Nền tảng tài chính phi tập trung trở thành “miếng mồi béo bở” cho các vụ tấn công cướp đoạt tiền mã hoá giá trị hàng chục, hàng trăm triệu USD. 11 Hình 1-1 Thống kê các cuộc tấn công mã độc Top 10 ngành bị tấn công nhiều nhất. Hình 1-2 Thống kê top các ngành bị tấn công Top 10 quốc gia bị tấn công nhiều nhất.

12 Hình 1-3 Thống kê top các nước bị tấn công Thống kê cho thấy Cứ 60 tổ chức trên toàn cầu thì có một tổ chức bị ảnh hưởng bởi một cuộc tấn công Ransomware mỗi tuần - tăng 14% so với cùng kỳ năm ngoái. Số vụ tấn công trung bình hàng tuần trên toàn cầu nhằm vào các tổ chức trong lĩnh vực du lịch và giải trí đã tăng 60% vào tháng 6/2022 so với nửa đầu tháng 6 năm 2021. Theo Cuộc Khảo sát Rủi ro và Bảo hiểm Mạng Toàn cầu năm 2022 được thực hiện với hơn 7.000 người tham gia từ 14 quốc gia, các cuộc tấn công ransomware đã tăng từ 21% lên 28%, vi phạm dữ liệu tăng từ 32% lên 43% và lừa đảo trên mạng tăng từ 38% lên 46%. Ấn Độ, Trung Quốc và Nam Phi là ba quốc gia bị ảnh hưởng nặng nề nhất.

Trong số 14 quốc gia tham gia cuộc khảo sát nói trên, Ấn Độ là quốc gia bày tỏ quan ngại nhất về các cuộc tấn công mạng tiềm ẩn đang diễn ra đối với các doanh nghiệp nước này (92%), tiếp sau là Brazil (89%), Tây Ban Nha và Nam Phi xếp thứ 3 và thứ 4 với lần lượt 85% và 83%. - Tình hình an ninh mạng Việt Nam: Trong 6 tháng đầu năm 2022 sự gia tăng của xu hướng làm việc kết hợp và sự thay đổi liên tục của các phương thức tấn công tinh vi đang đặt ra vô vàn thách thức về an ninh mạng trong năm 2022. Theo thống kê, trong 6 tháng đầu năm 2022 đã có 48.646 cuộc tấn công mạng với nhiều hình thức tinh vi, so với năm 2021, con số này tăng gần 20%.641 vụ tấn công mạng gây ra sự cố vào hệ thống thông tin trong nước, tăng 35,14% so với cuối năm 2021 và tăng 37,92% so với cùng kỳ năm 13 2021.646 cuộc tấn công mạng vào các hệ thống CNTT trọng yếu nửa đầu năm 2022, tấn công khai thác lỗ hổng vẫn chiếm đa số với gần 53% tổng số cuộc tấn công; tiếp đó là tấn công dò quét mạng (15,65%), tấn công APT (14,36%); tấn công xác thực (9,39%); tấn công cài mã độc (7,58%), tấn công cài mã độc (7,58%), tấn công từ chối dịch vụ (0,47%) và các hình thức tấn công khác là 0,91%. Hình 1-4 Thống kê các hình thức tấn công Ngày nay ở Việt Nam, các tổ chức, doanh nghiệp đều xây dựng, vận hành một hệ thống mạng của riêng mình.

Hệ thống mạng giúp gia tăng khả năng làm việc giữa các nhân viên, các đơn vị với nhau, gia tăng hiệu suất và giúp cơ quan, tổ chứchoạt động một cách hiệu quả. Tuy nhiên, khi vận hành hệ thống mạng, có rất nhiều vấn đề có thể phát sinh làm ảnh hưởng đến khả năng hoạt động của hệ thống. Những vấn đề đó đến từ nhiều nguyên nhân khác nhau, có thể là hỏng hóc máy móc thiết bị hay lỗi do người dùng tạo ra. Hệ thống càng lớn, các hoạt động diễn ra bên trong hệ thống phức tạp, các vấn đề nảy sinh cũng càng tăng theo.

Do đó, hệ thống mạng luôn cần có một hệ thống giám sát an toàn thông tin bao quát toàn bộ các hoạt động, các vấn đề, có thể túc trực, quản lý, dễ dàng phát hiện các sự cố xảy ra bên trong hệ thống, thông qua đó quản trị viên sẽ đưa ra các biện pháp ứng phó. Từ tình hình trên, việc xây dựng hệ thống giám sát an toàn thông tin để quản lý hệ thống mạng đang ngày cảng trở nên cấp thiết hơn bao giờ hết.2 Các mối đe dọa an toàn thông tin và phương thức tấn công 1.1 Các mối đe dọa an toàn thông tin - Mối đe dọa không có cấu trúc: Là những hành vi xâm nhập mạng trái phép một cách đơn lẻ, không có tổ chức. Kiểu tấn công này có rất nhiều công cụ trên internet có thể hack và rất nhiều script có sẵn. Chỉ cần ai muốn tìm hiểu có thể tải chúng về và sử dụng thử để nghiên cứu trên mạng nội bộ của công ty.

Rất nhiều người lại thích với việc tấn công và xâm nhập vào máy tính và thử thách các hành động vượt tường lửa đi ra khỏi tầm bảo vệ. Đa phần tấn công không có cấu trúc đều được gây ra bởi Script Kiddies hay những người có trình độ thấp hoặc vừa phải. Những cuộc tấn công đó có thể do sở thích cá nhân, nhưng đôi khi có nhiều cuộc tấn công có ý đồ xấu để đánh cắp thông tin. Các trường hợp đó sẽ có ảnh hưởng nghiêm trọng đến hệ thống và các chủ thể sở hữu mạng.

Thậm chí, có một số đoạn mã độc có thể phá hủy chức năng của mạng nội bộ. - Mối đe dọa có cấu trúc: Là những cách thức tấn công hoặc xâm nhập hệ thống mạng trái phép, có động cơ và kỹ thuật cao. Kiểu này hoạt động độc lập hoặc theo từng nhóm, chúng thường có kỹ năng phát triển ứng dụng và sử dụng các kỹ thuật phức tạp nhằm xâm nhập vào mục tiêu có chủ đích. Mục đích của các hình thức tấn công này có thể vì tiền hoặc hoạt động chính trị, đôi khi là tức giận hay báo thù.

Các nhóm tội phạm, các đối tác, đối thủ cạnh tranh hay các tổ chức sắc tộc thuê các hacker để thực hiện các cuộc tấn công, kiểm soát dạng structured threat. Những cuộc tấn công vào hệ thống thường có nhiều mục đích từ trước, qua đó có thể lấy được mã nguồn của những đối thủ cạnh tranh với nhau. Các cuộc tấn công như vậy rất có thể gây hậu quả nghiêm trọng, có thể gây nên sự phá hủy cho toàn hệ thống mạng của doanh nghiệp hoặc các tổ chức. - Mối đe dọa từ bên ngoài: Là những cuộc tấn công được tạo ra khi Hacker không có một quyền nào kiểm soát trong hệ thống.

Người dùng có thể bị tấn công trên toàn thế giới thông qua mạng Internet. Những mối đe dọa từ bên ngoài này thường là mối đe dọa nguy hiểm, các chủ doanh nghiệp sở hữu mạng LAN thường phải bỏ rất nhiều tiền và thời gian để bảo vệ hệ thống. - Mối đe dọa từ bên trong hệ thống: Là kiểu tấn công được thực hiện từ một cá nhân hoặc một tổ chức có một số quyền truy cập vào hệ thống mạng nội bộ của công ty. Những cách tấn công này thường từ bên trong, được thực hiện từ một vị trí tin cậy trong mạng nội bộ, 15 rất khó phòng chống bởi đôi khi chính là các nhân viên truy cập mạng rồi tấn công.

Nhưng nếu có hệ thống giám sát và phân tích sẽ rất dễ bắt được các đối tượng này.2 Các cách thức tấn công hệ thống mạng máy tính - Cách thức lấy cắp thông tin bằng kiểu tấn công Packet Sniffers: Chương trình ứng dụng này tạo ra dùng để bắt giữ các các gói tin lưu chuyển trên hệ thống mạng hoặc trên một miền mạng riêng. Kiểu Sniffer thường được dùng phân tích lưu lượng (traffic). Nếu một số ứng dụng không mã hóa mà gửi dữ liệu dưới dạng clear text (telnet, POP3, FTP, SMTP,.) thì phần mềm sniffer cũng là một công cụ giúp cho hacker bắt được các thông tin nhạy cảm như là username, password, từ đó có thể đăng nhập vào các hệ thống máy chủ. - Cách thức lấy cắp mật khẩu bằng Password attack: Hacker thường tấn công lấy cắp mật khẩu bằng các phương pháp như: kiểu brute-force attack, chương trình Trojan Horse, hoặc IP spoofing và packet sniffer.

Đối với kiểu dùng packet sniffer hoặc IP spoofing có thể lấy được tài khoản và mật khẩu (user account và password), tuy nhiên các Hacker lại thường sử dụng kiểu brute-force để lấy tài khoản và mật khẩu. Cách thức tấn công brute-force được thực hiện bằng phương pháp dùng một chương trình chạy trên hệ thống mạng, sau đó cố gắng login vào các phần chia sẻ tài nguyên trên máy chủ. - Cách thức tấn công bằng Mail Relay: Phương pháp này rất phổ biến hiện nay. Nếu máy chủ chạy dịch vụ Email không cấu hình theo chuẩn hoặc tài khoản và mật khẩu của người dùng sử dụng mail bị lộ.

Các Hacker thường lợi dụng máy chủ Email để gửi rất nhiều mail cùng lúc gây ngập băng thông mạng và phá hoại các hệ thống email khác.