Luận văn thạc sĩ ueb nghiên cứu thiết kế và triển khai giải pháp giám sát cho hệ thống an ninh thông tin của phòng quản lý xuất nhập cảnh công an thành phố hà nội

Luận văn thạc sĩ phân tích ueb nghiên cứu thiết kế và triển khai giải pháp giám sát cho hệ thống an ninh thông tin của phòng, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải

• Tác giả: Bùi Ngọc Hạnh
• Người hướng dẫn: Thiếu Tướng,Ts. Nguyễn Thế Bình
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Quản trị an ninh phi truyền thống
• Đề tài: Nghiên cứu thiết kế và triển khai giải pháp giám sát cho hệ thống an ninh thông tin của phòng quản lý xuất nhập cảnh công an thành phố Hà Nội
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: HỆ THỐNG GSANM
• 1.1. Tổng quan về hệ thống GSANM
• 1.1.1. Tầm quan trọng của GSANM
• 1.1.2. Những yếu tố cần thiết cho một hệ thống GSANM
• 1.1.3. Công nghệ triển khai hệ thống GSANM
• 1.2. Một số giải pháp công nghệ GSANM nổi bật
• 1.2.1. Phân tích theo giải pháp công nghệ
• 1.2.2. Phân tích theo nhà cung cấp
• 1.2.3. Phương trình khoa học
• 2. CHƯƠNG 2: THIẾT KẾ GIẢI PHÁP GSANM CHO HỆ THỐNG MẠNG TẠI PHÒNG QUẢN LÝ XUẤT NHẬP CẢNH CATP HÀ NỘI
• 2.1. Các thành phần của hệ thống GSANM cho hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 2.1.1. Thành phần thu thập thông tin
• 2.1.2. Thành phần lưu trữ, phân tích sơ bộ
• 2.1.3. Thành phần phân tích quản trị tập trung
• 2.1.4. Các giao thức sử dụng tích hợp các thành phần trong GSANM
• 2.2. Khảo sát hệ thống mạng tại Phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 2.2.1. Mô hình hệ thống mạng
• 2.2.2. Hiện trạng hệ thống mạng
• 2.3. Phân tích, đánh giá các nguy cơ, rủi ro của hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội, xác định các thành phần cần thực hiện giám sát
• 2.3.1. Phân tích, đánh giá các rủi ro của hệ thống thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 2.3.2. Thành phần cần thực hiện giám sát
• 3. CHƯƠNG 3: TRIỂN KHAI XÂY DỰNG HỆ THỐNG GSANM CHO HỆ THỐNG MẠNG TẠI PHÒNG QUẢN LÝ XUẤT NHẬP CẢNH CATP HÀ NỘI
• 3.1. Đề xuất giải pháp, mô hình hệ thống GSANM phù hợp cho hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 3.1.1. Các yêu cầu đối với hệ thống GSANM phù hợp
• 3.1.2. Đề xuất giải pháp
• 3.2. Xây dựng hệ thống GSANM
• 3.2.1. Xây dựng thành phần phân tích quản trị tập trung- ArcSight ESM
• 3.2.2. Xây dựng thành phần lưu trữ, phân tích sơ bộ - ArcSight Logger
• 3.2.3. Xây dựng thành phần thu thập thông tin – ArcSight Connector
• 3.2.4. Cấu hình tích hợp các thành phần
• 3.2.5. Một số chính sách thực hiện giám sát
• KẾT LUẬN
• Đánh giá hiệu quả của hệ thống GSANM đã xây dựng
• Những khó khăn, tồn tại của hệ thống GSANM đã xây dựng
• Hướng phát triển giải pháp, mở rộng hoàn thiện hệ thống GSANM
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về giải pháp giám sát an ninh thông tin cho phòng quản lý xuất nhập cảnh Hà Nội

Giám sát an ninh thông tin là một yếu tố quan trọng trong việc bảo vệ dữ liệu và thông tin nhạy cảm tại các cơ quan nhà nước. Đặc biệt, phòng quản lý xuất nhập cảnh Hà Nội, nơi lưu trữ nhiều thông tin quan trọng về công dân và người nước ngoài, cần có một hệ thống giám sát hiệu quả. Hệ thống này không chỉ giúp phát hiện các mối đe dọa mà còn đảm bảo tính toàn vẹn và bảo mật của thông tin.

1.1. Khái niệm về giám sát an ninh thông tin

Giám sát an ninh thông tin là quá trình theo dõi và phân tích các sự kiện an ninh để phát hiện và ngăn chặn các mối đe dọa. Hệ thống này giúp tổ chức nhận diện các rủi ro và thực hiện các biện pháp bảo vệ kịp thời.

1.2. Tầm quan trọng của giám sát an ninh thông tin

Việc giám sát an ninh thông tin giúp phòng quản lý xuất nhập cảnh bảo vệ dữ liệu nhạy cảm, ngăn chặn các cuộc tấn công mạng và đảm bảo hoạt động thông suốt của hệ thống thông tin.

II. Những thách thức trong việc giám sát an ninh thông tin tại phòng quản lý xuất nhập cảnh Hà Nội

Phòng quản lý xuất nhập cảnh Hà Nội đang phải đối mặt với nhiều thách thức trong việc bảo vệ an ninh thông tin. Các cuộc tấn công mạng ngày càng tinh vi, cùng với sự gia tăng của các phần mềm độc hại, đã đặt ra nhiều khó khăn cho việc duy trì an toàn thông tin.

2.1. Các mối đe dọa từ tấn công mạng

Các cuộc tấn công mạng như APT (Advanced Persistent Threat) đang gia tăng, nhắm vào các cơ quan nhà nước và tổ chức. Điều này đòi hỏi phòng quản lý xuất nhập cảnh phải có biện pháp phòng ngừa hiệu quả.

2.2. Khó khăn trong việc phát hiện và xử lý sự cố

Việc phát hiện và xử lý các sự cố an ninh thông tin gặp nhiều khó khăn do số lượng sự kiện lớn và tính phức tạp của hệ thống mạng. Điều này có thể dẫn đến việc bỏ sót các cảnh báo quan trọng.

III. Phương pháp giám sát an ninh thông tin hiệu quả cho phòng quản lý xuất nhập cảnh Hà Nội

Để đảm bảo an ninh thông tin, phòng quản lý xuất nhập cảnh cần triển khai các phương pháp giám sát hiện đại. Các giải pháp này không chỉ giúp phát hiện các mối đe dọa mà còn hỗ trợ trong việc phân tích và xử lý sự cố.

3.1. Sử dụng công nghệ giám sát tiên tiến

Công nghệ giám sát như SIEM (Security Information and Event Management) giúp thu thập và phân tích dữ liệu an ninh từ nhiều nguồn khác nhau, từ đó phát hiện các mối đe dọa kịp thời.

3.2. Đào tạo nhân viên về an ninh thông tin

Đào tạo nhân viên về các biện pháp bảo mật và nhận diện các mối đe dọa là rất quan trọng. Nhân viên được trang bị kiến thức sẽ giúp nâng cao hiệu quả giám sát an ninh thông tin.

IV. Ứng dụng thực tiễn của giải pháp giám sát an ninh thông tin tại phòng quản lý xuất nhập cảnh Hà Nội

Việc triển khai hệ thống giám sát an ninh thông tin đã mang lại nhiều lợi ích cho phòng quản lý xuất nhập cảnh. Hệ thống này không chỉ giúp phát hiện các mối đe dọa mà còn cải thiện quy trình làm việc và bảo vệ thông tin nhạy cảm.

4.1. Cải thiện khả năng phát hiện sự cố

Hệ thống giám sát giúp phát hiện kịp thời các sự cố an ninh, từ đó giảm thiểu thiệt hại và đảm bảo an toàn thông tin.

4.2. Tăng cường bảo mật thông tin

Giải pháp giám sát an ninh thông tin giúp bảo vệ dữ liệu nhạy cảm, ngăn chặn các cuộc tấn công và đảm bảo tính toàn vẹn của thông tin.

V. Kết luận và hướng phát triển giải pháp giám sát an ninh thông tin tại phòng quản lý xuất nhập cảnh Hà Nội

Việc triển khai giải pháp giám sát an ninh thông tin là cần thiết để bảo vệ thông tin nhạy cảm tại phòng quản lý xuất nhập cảnh Hà Nội. Hướng phát triển trong tương lai cần tập trung vào việc nâng cao công nghệ và đào tạo nhân viên.

5.1. Định hướng phát triển công nghệ giám sát

Cần nghiên cứu và áp dụng các công nghệ mới trong giám sát an ninh thông tin để nâng cao hiệu quả bảo vệ dữ liệu.

5.2. Tăng cường hợp tác giữa các cơ quan

Hợp tác giữa các cơ quan nhà nước và tổ chức trong việc chia sẻ thông tin và kinh nghiệm sẽ giúp nâng cao hiệu quả giám sát an ninh thông tin.

Nội dung chính

Tổng quan nghiên cứu

Theo các báo cáo an ninh mạng quốc tế, Việt Nam liên tục là mục tiêu trọng điểm của các chiến dịch tấn công có chủ đích APT 30 và APT 64 kéo dài suốt hơn 10 năm qua nhằm chiếm đoạt dữ liệu nhạy cảm. Trong bối cảnh đó, Phòng Quản lý xuất nhập cảnh Công an Thành phố Hà Nội quản lý một hạ tầng công nghệ thông tin phức tạp với hơn 100 máy trạm cá nhân, hơn 20 máy chủ dịch vụ và 2 cổng thông tin trực tuyến phục vụ người dân là cổng thông tin hộ chiếu và cổng thông tin lưu trú. Việc lưu trữ dữ liệu nhạy cảm về danh sách cấm xuất nhập cảnh và quản lý di biến động dân cư đặt ra thách thức an ninh phi truyền thống đặc biệt nghiêm trọng.

Vấn đề nghiên cứu trọng tâm là sự thiếu hụt một hệ thống giám sát tập trung, khiến các sự kiện an ninh từ tường lửa, hệ thống phát hiện xâm nhập và máy chủ dịch vụ bị phân tán, làm gia tăng nguy cơ lộ lọt thông tin. Mục tiêu cụ thể của luận văn là nghiên cứu thiết kế, thử nghiệm và triển khai giải pháp giám sát an ninh mạng toàn diện dựa trên nền tảng quản lý thông tin và sự kiện an ninh hiện đại.

Phạm vi nghiên cứu được triển khai trực tiếp tại hạ tầng mạng nội bộ và Trung tâm tích hợp dữ liệu của Phòng Quản lý xuất nhập cảnh Công an Thành phố Hà Nội trong năm 2017. Nghiên cứu mang lại giá trị thực tiễn to lớn khi giúp giảm thời gian phát hiện và ứng cứu sự cố từ nhiều giờ xuống dưới 15 phút, duy trì độ sẵn sàng 99.9% cho các dịch vụ công và bảo đảm an toàn dữ liệu số cho 100% cán bộ, chiến sĩ trong đơn vị.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn vận dụng phương trình công nghệ trong quản trị an ninh phi truyền thống của Giáo sư Hoàng Đình Phi: Công nghệ = Thiết bị/Công cụ + Kiến thức + Kỹ năng. Trong đó, an toàn công nghệ thông tin đòi hỏi sự kết hợp đồng bộ giữa hạ tầng phần cứng, phần mềm, nền tảng tri thức khoa học và kỹ năng vận hành thực tế của con người. Bên cạnh đó, tác giả áp dụng khung hướng dẫn giám sát thông tin liên tục NIST SP 800-137 và tiêu chuẩn quản lý an toàn thông tin quốc tế ISO/IEC 27002:2005.

Nghiên cứu tập trung vào 4 khái niệm cốt lõi:

• Quản lý thông tin và sự kiện an ninh (SIEM): Giải pháp kết hợp giữa quản lý thông tin an ninh (SIM) phục vụ lưu trữ, báo cáo và quản lý sự kiện an ninh (SEM) phục vụ phân tích theo thời gian thực.
• Định dạng sự kiện chung (CEF): Chuẩn cấu trúc dữ liệu cho phép chuẩn hóa hàng nghìn bản ghi nhật ký khác nhau từ hơn 350 sản phẩm bảo mật của hơn 100 nhà cung cấp.
• Tấn công có chủ đích (APT): Hình thức xâm nhập mạng tinh vi, kéo dài qua nhiều giai đoạn với mục tiêu đánh cắp thông tin bí mật quốc gia.
• Phân tích tương quan sự kiện (Correlation Engine): Cơ chế liên kết các cảnh báo đơn lẻ theo thời gian thực để nhận diện các kịch bản tấn công phức tạp.

Phương pháp nghiên cứu

Nguồn dữ liệu của nghiên cứu bao gồm dữ liệu khảo sát thực tế và toàn bộ dữ liệu nhật ký hệ thống sinh ra từ 100 máy tính cán bộ, 10 máy chủ vật lý, 15 máy chủ ảo hóa VMware ESXi, 3 hệ thống tường lửa và thiết bị chuyển mạch trung tâm. Cỡ mẫu nghiên cứu bao trùm 100% các nút mạng trọng yếu tại đơn vị.

Phương pháp chọn mẫu toàn bộ thực thể trọng yếu (census sampling) được lựa chọn thay vì phương pháp lấy mẫu xác suất ngẫu nhiên. Lý do lựa chọn là vì an toàn thông tin đòi hỏi sự kiểm soát tuyệt đối trên mọi phân vùng mạng, việc bỏ sót bất kỳ luồng dữ liệu nào cũng có thể tạo ra lỗ hổng bảo mật nghiêm trọng.

Phương pháp phân tích kết hợp giữa phân tích tương quan dữ liệu nhật ký theo chuỗi thời gian, đánh giá rủi ro an ninh mạng và kiểm thử luồng lưu lượng thông qua các giao thức SNMP, NetFlow và Syslog. Timeline nghiên cứu được thực hiện trong 8 tháng của năm 2017, chia thành các giai đoạn khảo sát hạ tầng, đánh giá nguy cơ, thiết kế kiến trúc và thử nghiệm thực tế.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát và kiểm thử hệ thống đã chỉ ra 4 phát hiện quan trọng:

Thứ nhất, hơn 79.9% trang web chứa mã độc trên không gian mạng hiện nay là các website hợp pháp bị tin tặc tấn công chiếm quyền điều khiển, và hơn 90% các cuộc xâm nhập khai thác trực tiếp các lỗ hổng bảo mật đã được công bố rộng rãi trên hệ điều hành và cơ sở dữ liệu.

Thứ hai, hạ tầng mạng của đơn vị trước khi triển khai hệ thống giám sát tập trung có độ trễ cảnh báo lên tới hơn 60% khi xử lý thủ công các sự cố an ninh, do log hệ thống phát sinh rời rạc từ hơn 20 máy chủ và thiết bị bảo mật của các hãng khác nhau mà không có cơ chế liên kết.

Thứ ba, việc triển khai giải pháp ArcSight ESM và ArcSight Logger đã chuẩn hóa thành công 100% dữ liệu nhật ký thô sang định dạng chung CEF, đạt tỷ lệ nén dữ liệu 10:1 theo tiêu chuẩn NIST SP 800-92 và tăng tốc độ truy vấn lịch sử sự kiện lên gấp 5 lần so với phương pháp lưu trữ phân tán.

Thứ tư, hệ thống giám sát phát hiện và ngăn chặn thành công các đợt tấn công dò quét mật khẩu quản trị (Brute Force) với tần suất hơn 50 lần mỗi phút, đồng thời bóc tách các liên kết độc hại trong thư rác vốn chiếm tới 10% lưu lượng thư điện tử gửi đến hệ thống máy chủ nội bộ.

Thảo luận kết quả

Nguyên nhân chính của các tồn tại an ninh trước đây là do sự thiếu hụt giải pháp quản lý tập trung và sự phức tạp của môi trường ảo hóa đa phân vùng. Khi so sánh với các công nghệ SIM và SEM độc lập, mô hình SIEM tích hợp thể hiện ưu thế vượt trội: SIM chỉ lưu trữ thụ động, còn SEM chỉ xử lý tức thời mà thiếu khả năng lưu trữ dài hạn.

Việc ứng dụng giải pháp ArcSight ESM giúp phân tích tương quan đa nguồn, tạo nên lá chắn bảo vệ vững chắc cho cả 3 phân vùng mạng: phân vùng máy chủ ngoài Internet (DMZ), phân vùng cơ sở dữ liệu (DATA) và phân vùng mạng nội bộ (LAN). Dữ liệu giám sát có thể được trực quan hóa sinh động qua biểu đồ tròn phân bổ nguy cơ mã độc, biểu đồ cột so sánh lưu lượng truy cập bất thường và bảng ma trận đánh giá rủi ro hệ thống máy chủ. Kết quả nghiên cứu khẳng định việc làm chủ công nghệ giám sát an ninh là bước đột phá trong quản trị an ninh phi truyền thống tại các cơ quan thực thi pháp luật.

Đề xuất và khuyến nghị

Để duy trì tính ổn định và nâng cao hiệu quả giám sát an ninh mạng, luận văn đề xuất 4 nhóm giải pháp trọng tâm:

1. Triển khai và cấu hình đồng bộ bộ thu thập dữ liệu ArcSight Connector trên 100% thiết bị mạng, máy chủ và 3 tường lửa vành đai, hoàn thành trong quý 1 năm 2018 do Tổ quản trị công nghệ thông tin chủ trì.
2. Xây dựng và tinh chỉnh 15 bộ luật phân tích tương quan chuyên biệt cho các cổng dịch vụ công trực tuyến, hướng tới mục tiêu giảm tỷ lệ cảnh báo giả xuống dưới 5%, thực hiện trong 6 tháng đầu năm do nhóm chuyên gia an toàn thông tin Công an Thành phố Hà Nội thực hiện.
3. Thiết lập chính sách lưu trữ nhật ký hai tầng với thời gian lưu trữ trực tuyến tối thiểu 90 ngày và lưu trữ ngoại tuyến an toàn tối thiểu 365 ngày đạt chuẩn NIST SP 800-92, hoàn thành trong vòng 3 tháng dưới sự phê duyệt của Ban Giám đốc đơn vị.
4. Tổ chức định kỳ 2 khóa đào tạo mỗi năm về kỹ năng ứng cứu sự cố và diễn tập thực chiến cho 100% cán bộ quản trị hệ thống, do Lãnh đạo Phòng Quản lý xuất nhập cảnh phối hợp cùng các cơ sở đào tạo chuyên ngành an ninh mạng triển khai.

Đối tượng nên tham khảo luận văn

Luận văn là tài liệu chuyên khảo có giá trị ứng dụng cao cho 4 nhóm đối tượng chính:

• Lãnh đạo và chỉ huy các đơn vị an ninh thông tin trong lực lượng vũ trang: Tham khảo mô hình quản trị an ninh phi truyền thống kết hợp công nghệ hiện đại nhằm bảo vệ các trung tâm dữ liệu và hệ thống thông tin trọng yếu của ngành.
• Kỹ sư an toàn thông tin và kiến trúc sư hệ thống tại các cơ quan nhà nước: Ứng dụng mô hình thiết kế 3 tầng (thu thập, lưu trữ, phân tích tương quan) và quy trình chuẩn hóa log CEF để xây dựng Trung tâm điều hành an ninh mạng (SOC) cấp cơ sở.
• Giảng viên, học viên cao học và nghiên cứu sinh chuyên ngành An toàn thông tin, Quản trị an ninh: Sử dụng làm tài liệu nghiên cứu ca điển hình (case study) về tích hợp các chuẩn quốc tế NIST SP 800-137, NIST SP 800-92 và ISO/IEC 27002 vào môi trường thực tế tại Việt Nam.
• Quản trị viên hệ thống tại các tổ chức tài chính, ngân hàng và doanh nghiệp cung cấp dịch vụ trực tuyến: Vận dụng kinh nghiệm giải quyết rủi ro bảo mật trong môi trường máy chủ ảo hóa VMware và tối ưu hóa không gian lưu trữ dữ liệu lớn với tỷ lệ nén 10:1.

Câu hỏi thường gặp

Tại sao Phòng Quản lý xuất nhập cảnh cần triển khai hệ thống giám sát SIEM chuyên dụng? Đơn vị quản lý hơn 100 máy tính, 20 máy chủ và cung cấp dịch vụ công trực tuyến quan trọng cho hàng triệu công dân. Hệ thống SIEM giúp kết nối các cảnh báo từ 3 tường lửa và các thiết bị phân tán, giảm thời gian định vị sự cố từ nhiều giờ xuống dưới 15 phút.

Điểm khác biệt cốt lõi giữa hệ thống SIEM và các công cụ giám sát SIM hay SEM truyền thống là gì? Giải pháp SIM thuần túy chỉ hỗ trợ lưu trữ log và xuất báo cáo tuân thủ định kỳ, trong khi SEM tập trung vào phân tích cảnh báo tức thời nhưng thiếu khả năng lưu trữ dài hạn. SIEM kết hợp hoàn chỉnh cả hai, hỗ trợ nén dữ liệu tỷ lệ 10:1 và phân tích tương quan thời gian thực.

Dữ liệu nhật ký an ninh mạng cần được lưu trữ trong bao lâu để đáp ứng yêu cầu điều tra số? Theo tiêu chuẩn an toàn NIST SP 800-92 và yêu cầu nghiệp vụ của lực lượng Công an, toàn bộ dữ liệu nhật ký phải được lưu trữ trực tuyến tối thiểu 90 ngày để phục vụ tra cứu nhanh và lưu trữ ngoại tuyến tối thiểu 365 ngày để bảo đảm chứng cứ điều tra số sau sự cố.

Làm thế nào để kiểm soát rủi ro an ninh trong môi trường máy chủ ảo hóa VMware ESXi? Hệ thống triển khai các agent chuyên dụng ArcSight Connector để giám sát luồng lưu lượng giữa các máy ảo, thiết lập phân vùng mạng độc lập giữa vùng DMZ và vùng dữ liệu, loại bỏ hoàn toàn nguy cơ tấn công bắc cầu giữa 15 máy chủ ảo trên cùng một hạ tầng vật lý.

Chi phí và độ phức tạp khi vận hành nền tảng ArcSight SIEM có phù hợp với cơ quan nhà nước không? Mặc dù giải pháp đòi hỏi đào tạo ban đầu về quy trình, nhưng khả năng tích hợp sẵn hơn 350 nguồn log và tính năng tự động hóa xử lý sự cố giúp tiết kiệm hơn 40% chi phí nhân lực vận hành thủ công và bảo vệ an toàn tài sản dữ liệu quốc gia trong dài hạn.

Kết luận

• Luận văn đã thiết kế và triển khai thành công kiến trúc giám sát an ninh mạng 3 tầng cho Phòng Quản lý xuất nhập cảnh Công an Thành phố Hà Nội.
• Chuẩn hóa thành công dữ liệu sự kiện từ hơn 120 thiết bị và máy chủ sang định dạng chung CEF, tối ưu hóa tỷ lệ nén log đạt 10:1.
• Nâng cao năng lực phân tích tương quan thời gian thực, rút ngắn thời gian phát hiện và xử lý sự cố an ninh mạng xuống dưới 15 phút.
• Thiết lập quy trình quản trị dữ liệu nhật ký nghiêm ngặt, bảo đảm lưu trữ trực tuyến 90 ngày và ngoại tuyến 365 ngày theo chuẩn NIST SP 800-92.
• Ứng dụng thành công lý thuyết quản trị an ninh phi truyền thống vào giải quyết bài toán an toàn hạ tầng công nghệ thông tin thực tế.

Đóng góp lớn nhất của nghiên cứu là xây dựng khung tham chiếu kỹ thuật chuẩn mực cho việc thiết lập hệ thống giám sát an ninh mạng cấp đơn vị cơ sở. Kế hoạch tiếp theo trong 12 tháng tới là nâng cấp mô-đun phân tích hành vi người dùng và mở rộng kết nối dữ liệu giám sát cho toàn Công an Thành phố Hà Nội. Hãy chủ động liên hệ và tham khảo toàn văn công trình nghiên cứu để áp dụng các giải pháp bảo mật tối ưu cho tổ chức của bạn.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: HỆ THỐNG GIÁM SÁT AN NINH MẠNG (GSANM) - Tổng quan lý thuyết, khái niệm cơ bản về hệ thống GSANM. - Giới thiệu một số giải pháp GSANM nổi bật. Tổng quan về hệ thống GSANM Hệ thống GSANM là hệ thống quản lý và phân tích các sự kiện ATTT được sinh ra từ các thành phần trong hạ tầng công nghệ thông tin của cơ quan/tổ chức từ đó kịp thời phát hiện các sự cố, nguy cơ mất ATTT (các cuộc tấn công mạng, máy tính nhiễm mã độc, các lỗ hổng bảo mật của các thiết bị/ứng dụng …), đồng thời cung cấp bằng chứng số phục vụ công tác điều tra khi xảy ra sự cố cũng như giám sát việc tuân thủ chính sách an ninh thông tin của các thành phần trong hệ thống thông tin của cơ quan/tổ chức. Tầm quan trọng của GSANM Ngày nay, hệ thống mạng có độ phức tạp ngày càng cao.

Các thiết bị như router, switch, hub đã kết nối vô số các máy con đến các dịch vụ trên máy chủ cũng như ra ngoài Internet. Thêm vào đó là rất nhiều các tiện ích bảo mật và truyền thông được cài đặt bao gồm cả tường lửa, mạng riêng ảo (VPN), các dịch vụ phòng chống mã độc và thư rác. Sự hiểu biết về cấu trúc của hệ thống cũng như có được khả năng cảnh báo về hệ thống là một yếu tố quan trọng trong việc duy trì hiệu suất cũng như tính toàn vẹn của hệ thống. Có hàng ngàn khả năng có thể xảy ra đối với một hệ thống và quản trị viên phải đảm bảo được rằng các nguy cơ xảy ra được thông báo một cách kịp thời và chính xác.

Hệ thống mạng không còn là một cấu trúc cục bộ riêng rẽ. Nó được xây dựng để phục vụ các nguồn truy cập từ Internet, mạng cục bộ (LAN), mạng diện rộng (WAN), với sự kết hợp của các thiết bị, server (máy chủ), ứng dụng chạy trên hệ thống đó. Thực tế là các hệ thống mạng rất phức tạp và mỗi thành phần trong mạng đại diện cho một nguy cơ ảnh hưởng đến hệ thống. Đó cũng là lý do tại sao nó cần thiết phải được giám sát để giảm thiểu tối đa các nguy cơ tiềm tàng.

Tuy nhiên không phải mọi vấn đề đều có thể được giải quyết một cách chủ động trước bất kỳ dấu hiệu cảnh báo nào. Nhưng nếu ta có thể giám sát hệ thống trong thời gian thực thì có thể xác định các vấn đề trước khi chúng trở nên nguy hiểm hơn. Ví dụ, một máy chủ bị quá tải có thể được thay thế trước khi nó bị treo. Điều này sẽ làm giảm thiểu các nguy cơ đối với hệ thống và tăng hiệu suất làm việc của hệ thống.

Với một hệ thống GSANM, ta sẽ biết được tình trạng của tất cả các thiết bị trên mạng mà không cần phải kiểm tra một cách cụ thể từng thiết bị và cũng nhanh chóng xác định chính xác vấn đề khi cần thiết. Những yếu tố cần thiết cho một hệ thống GSANM Để hiểu được về hệ thống, cần một giải pháp giám sát để có thể cung cấp các thông tin quan trọng trong thời gian thực và ở bất cứ đâu cũng như bất cứ thời điểm nào. Đối với các doanh nghiệp, tổ chức thì cần các giải pháp đơn giản để triển khai, sử dụng. Nếu một tổ chức yêu cầu tính sẵn sàng cao, thì cần một giải pháp tin cậy đã được triển khai và chứng minh là hoạt động tốt.

Hệ thống mạng ngày nay có rất nhiều thiết bị trên hệ thống và phải thu thập rất nhiều thông tin liên quan. Chính vì vậy cần một giải pháp hiển thị hệ thống như bản đồ mạng, báo cáo dữ liệu, cảnh báo sự cố. Bên cạnh việc xử lý sự cố dễ dàng hơn, điều này sẽ giúp tận dụng mạng lưới dữ liệu để hiểu được các xu hướng trong việc sử dụng thiết bị, sử dụng mạng, và dung lượng mạng tổng thể để thiết kế hệ thống mạng lưới hiệu quả. Theo NIST SP 800-137 [7], các bước trong tiến trình giám sát liên lục gồm: - Xác định chiến lược: định nghĩa chiến lược theo chính sách rủi ro của tổ chức, xây dựng và triển khai các chính sách, phát triển các thủ tục và các mẫu để hỗ trợ thực hiện chiến lược và chính sách.

- Thiết lập đo lường và các đại lượng đo: thiết lập những thông số và tình trạng của các thành phần cần xác thực/không xác thực trên mạng để thu thập các thông tin cho hoạt động giám sát như tình trạng hoạt động của thiết bị, các giao tiếp vào ra, phân bố các dòng dữ liệu (flow),. Các đối tượng được giám sát như giám sát nguồn/đích và lưu lượng luồng dữ liệu, giám sát các dịch vụ như các cổng, các giao thức, giám sát các loại dữ liệu như các sơ sở dữ liệu, thư điện tử,. - Thiết lập giám sát và theo dõi thường xuyên: Giám sát và kiểm soát các đại lượng và các phép đo thường xuyên dựa trên một số thông tin như: các rủi ro về hệ thống của tổ chức, thông tin về các mối nguy và lỗ hổng bảo mật, kiểm soát các điểm yếu đã được nhận diện, kiểm soát các chức năng bảo mật quan trọng, kết quả nhận diện các rủi ro, các yêu cầu báo cáo,. - Thực hiện giám sát: thu thập thông tin đã thiết lập cho hoạt động giám sát.

- Phân tích các thông tin (dữ liệu) có liên quan và lập báo cáo: dữ liệu được phân tích trong ngữ cảnh như các rủi ro của tổ chức đã được chấp nhận, các điểm yếu tiềm ẩn trong các quá trình vận hành hệ thống mạng của của tổ chức. - Phản ứng với các rủi ro như từ chối, chuyển, hoặc chấp nhận. Cảnh báo là một trong những bước đầu tiên quan trọng của việc phản ứng. Dựa trên đó, người 15 quản trị hoặc người có trách nhiệm sẽ thực hiện các hành động tiếp theo trực tiếp tại chỗ hay từ xa như tiếp tục theo dõi, xử lý, thay đổi, xoá.

- Xem xét lại và cập nhật chiến lược và chương trình giám sát. Các bước này cần được lưu ý và triển khai trong các hệ thống GSANM. Tuỳ theo điều kiện và yêu cầu thực tế mà hệ thống GSANM ở mỗi tổ chức sẽ được hoạch định và triển khai khác nhau theo các tiêu chí khác nhau. Công nghệ triển khai hệ thống GSANM Có nhiều công nghệ được dùng cho các hệ thống GSANM.

Tuy nhiên, có thể phân thành 3 nhóm công nghệ cơ bản thường dùng cho các hệ thống các hệ thống GSANM liên tục: - Thu thập dữ liệu trực tiếp về tình trạng hoạt động của mạng thông qua các giao thức như ICMP, SNMP, Syslog, NetFlow,. - Tổng hợp và Phân tích bằng giải pháp SIEM (Quản lý sự kiện và thông tin bảo mật), quản lý qua Dashboard. - Tự động hoá: giao thức SCAP (Security Content Automation Protocol - Giao thức tự động bảo mật nội dung). Hiện nay, có khá nhiều công cụ, giải pháp được phát triển phục vụ cho các hệ thống GSANM với các mục đích đặc thù khác nhau.

Tuy nhiên, nhìn chung các hệ thống GSANM thường được xây dựng dựa trên một trong ba nhóm giải pháp sau: Giải pháp quản lý thông tin an ninh (SIM), Giải pháp quản lý sự kiện an ninh (SEM) và Giải pháp quản lý và phân tích sự kiện an ninh (SIEM). Trong đó SIEM đang được coi là giải pháp tổng thể phù hợp nhất để xây dựng hệ thống GSANM. Hệ thống SIEM thường bao gồm các thành phần chính với các chức năng như sau: - Thành phần thu thập nhật ký (nhật ký ATTT):  Thực hiện thu thập toàn bộ các nhật ký cần thiết của các thành phần trong hệ thống công nghệ thông tin (bao gồm các thiết bị/ứng dụng).  Chuẩn hóa các thông tin nhật ký thu thập được phục vụ công tác lưu trữ và phân tích sau này.

 Chuyển toàn bộ thông tin nhật ký thu thập được sau khi chuẩn hóa tới thành phần lưu trữ và phân tích. - Thành phần lưu trữ và phân tích:  Tập hợp, lưu trữ tập trung các thông tin nhật ký ATTT từ các nguồn thu thập khác nhau.  Thực hiện phân tích, so sánh tính tương quan của toàn bộ các thông tin nhật ký ATTT đã tập hợp nhằm phát hiện các sự cố, nguy cơ mất ATTT trong hệ 16 thống. Việc phân tích chủ yếu dựa trên các tập luật được định nghĩa nhưng đồng thời cũng cần có khả năng tùy biến linh động nhằm đưa ra các kết quả phân tích chính xác nhất.

 Cập nhật các kết quả phân tích, kịp thời đưa ra các cảnh báo về các sự cố, nguy cơ mất ATTT trong hệ thống cho người quản trị. - Thành phần quản trị tập trung:  Cung cấp giao diện quản trị tập trung của toàn bộ hệ thống GSANM cho người quản trị.  Hỗ trợ người quản trị dễ dàng, thuận tiện theo dõi các báo cáo kết quả phân tích nhật ký ATTT cũng như các sự kiện ATTT xảy ra trong hệ thống.  Cung cấp các công cụ hỗ trợ người quản trị thực hiện xử lý khi các sự kiện ATTT xảy ra nhằm hạn chế, giảm thiểu rủi ro, hậu quả mà các sự kiện ATTT gây ra cho hệ thống.

Giải pháp quản lý sự kiện và an ninh thông tin (SIEM) mang lại một số lợi ích như sau: - Tăng hiệu quả sử dụng các thông tin về sự kiện, log an ninh cho các cán bộ phụ trách an ninh, vận hành hệ thống: Giải pháp SIEM cho phép thu thập, chuẩn hóa log từ nhiều nguồn, giao diện quản trị mạnh mẽ, tập trung giúp tăng hiệu quả việc sử dụng các thông tin về sự kiện, log an ninh phục vụ công tác an ninh và vận hành hệ thống - Phát hiện nhanh sự cố và các mối đe dọa: Công cụ SIEM thu thập các thông tin từ nhiều nguồn để phát hiện các loại tấn công tinh vi. Có thể phát hiện bất kì thay đổi từ các hoạt động bình thường để chỉ ra các mối đe dọa sắp xảy ra và các nguy cơ trong hệ thống. Ví dụ: bùng nổ mã độc, spam mail, xâm nhập trái phép, dò quét, tấn công dịch vụ. - Hỗ trợ đảm bảo tính tuân thủ về bảo mật: Công cụ SIEM thu thập tất cả các thông tin liên quan và hiển thị qua báo cáo tuân thủ theo tiêu chuẩn.

- Đưa ra cái nhìn toàn diện về tình trạng an ninh trên hệ thống: Thông qua các báo cáo ở các cấp độ khác nhau, giải pháp SIEM có thể đưa ra cái nhìn toàn diện về tình trạng an ninh trên toàn hệ thống.