CHƯƠNG 1: HỆ THỐNG GIÁM SÁT AN NINH MẠNG (GSANM) - Tổng quan lý thuyết, khái niệm cơ bản về hệ thống GSANM. - Giới thiệu một số giải pháp GSANM nổi bật. Tổng quan về hệ thống GSANM Hệ thống GSANM là hệ thống quản lý và phân tích các sự kiện ATTT được sinh ra từ các thành phần trong hạ tầng công nghệ thông tin của cơ quan/tổ chức từ đó kịp thời phát hiện các sự cố, nguy cơ mất ATTT (các cuộc tấn công mạng, máy tính nhiễm mã độc, các lỗ hổng bảo mật của các thiết bị/ứng dụng …), đồng thời cung cấp bằng chứng số phục vụ công tác điều tra khi xảy ra sự cố cũng như giám sát việc tuân thủ chính sách an ninh thông tin của các thành phần trong hệ thống thông tin của cơ quan/tổ chức. Tầm quan trọng của GSANM Ngày nay, hệ thống mạng có độ phức tạp ngày càng cao.
Các thiết bị như router, switch, hub đã kết nối vô số các máy con đến các dịch vụ trên máy chủ cũng như ra ngoài Internet. Thêm vào đó là rất nhiều các tiện ích bảo mật và truyền thông được cài đặt bao gồm cả tường lửa, mạng riêng ảo (VPN), các dịch vụ phòng chống mã độc và thư rác. Sự hiểu biết về cấu trúc của hệ thống cũng như có được khả năng cảnh báo về hệ thống là một yếu tố quan trọng trong việc duy trì hiệu suất cũng như tính toàn vẹn của hệ thống. Có hàng ngàn khả năng có thể xảy ra đối với một hệ thống và quản trị viên phải đảm bảo được rằng các nguy cơ xảy ra được thông báo một cách kịp thời và chính xác.
Hệ thống mạng không còn là một cấu trúc cục bộ riêng rẽ. Nó được xây dựng để phục vụ các nguồn truy cập từ Internet, mạng cục bộ (LAN), mạng diện rộng (WAN), với sự kết hợp của các thiết bị, server (máy chủ), ứng dụng chạy trên hệ thống đó. Thực tế là các hệ thống mạng rất phức tạp và mỗi thành phần trong mạng đại diện cho một nguy cơ ảnh hưởng đến hệ thống. Đó cũng là lý do tại sao nó cần thiết phải được giám sát để giảm thiểu tối đa các nguy cơ tiềm tàng.
Tuy nhiên không phải mọi vấn đề đều có thể được giải quyết một cách chủ động trước bất kỳ dấu hiệu cảnh báo nào. Nhưng nếu ta có thể giám sát hệ thống trong thời gian thực thì có thể xác định các vấn đề trước khi chúng trở nên nguy hiểm hơn. Ví dụ, một máy chủ bị quá tải có thể được thay thế trước khi nó bị treo. Điều này sẽ làm giảm thiểu các nguy cơ đối với hệ thống và tăng hiệu suất làm việc của hệ thống.
Với một hệ thống GSANM, ta sẽ biết được tình trạng của tất cả các thiết bị trên mạng mà không cần phải kiểm tra một cách cụ thể từng thiết bị và cũng nhanh chóng xác định chính xác vấn đề khi cần thiết. Những yếu tố cần thiết cho một hệ thống GSANM Để hiểu được về hệ thống, cần một giải pháp giám sát để có thể cung cấp các thông tin quan trọng trong thời gian thực và ở bất cứ đâu cũng như bất cứ thời điểm nào. Đối với các doanh nghiệp, tổ chức thì cần các giải pháp đơn giản để triển khai, sử dụng. Nếu một tổ chức yêu cầu tính sẵn sàng cao, thì cần một giải pháp tin cậy đã được triển khai và chứng minh là hoạt động tốt.
Hệ thống mạng ngày nay có rất nhiều thiết bị trên hệ thống và phải thu thập rất nhiều thông tin liên quan. Chính vì vậy cần một giải pháp hiển thị hệ thống như bản đồ mạng, báo cáo dữ liệu, cảnh báo sự cố. Bên cạnh việc xử lý sự cố dễ dàng hơn, điều này sẽ giúp tận dụng mạng lưới dữ liệu để hiểu được các xu hướng trong việc sử dụng thiết bị, sử dụng mạng, và dung lượng mạng tổng thể để thiết kế hệ thống mạng lưới hiệu quả. Theo NIST SP 800-137 [7], các bước trong tiến trình giám sát liên lục gồm: - Xác định chiến lược: định nghĩa chiến lược theo chính sách rủi ro của tổ chức, xây dựng và triển khai các chính sách, phát triển các thủ tục và các mẫu để hỗ trợ thực hiện chiến lược và chính sách.
- Thiết lập đo lường và các đại lượng đo: thiết lập những thông số và tình trạng của các thành phần cần xác thực/không xác thực trên mạng để thu thập các thông tin cho hoạt động giám sát như tình trạng hoạt động của thiết bị, các giao tiếp vào ra, phân bố các dòng dữ liệu (flow),. Các đối tượng được giám sát như giám sát nguồn/đích và lưu lượng luồng dữ liệu, giám sát các dịch vụ như các cổng, các giao thức, giám sát các loại dữ liệu như các sơ sở dữ liệu, thư điện tử,. - Thiết lập giám sát và theo dõi thường xuyên: Giám sát và kiểm soát các đại lượng và các phép đo thường xuyên dựa trên một số thông tin như: các rủi ro về hệ thống của tổ chức, thông tin về các mối nguy và lỗ hổng bảo mật, kiểm soát các điểm yếu đã được nhận diện, kiểm soát các chức năng bảo mật quan trọng, kết quả nhận diện các rủi ro, các yêu cầu báo cáo,. - Thực hiện giám sát: thu thập thông tin đã thiết lập cho hoạt động giám sát.
- Phân tích các thông tin (dữ liệu) có liên quan và lập báo cáo: dữ liệu được phân tích trong ngữ cảnh như các rủi ro của tổ chức đã được chấp nhận, các điểm yếu tiềm ẩn trong các quá trình vận hành hệ thống mạng của của tổ chức. - Phản ứng với các rủi ro như từ chối, chuyển, hoặc chấp nhận. Cảnh báo là một trong những bước đầu tiên quan trọng của việc phản ứng. Dựa trên đó, người 15 quản trị hoặc người có trách nhiệm sẽ thực hiện các hành động tiếp theo trực tiếp tại chỗ hay từ xa như tiếp tục theo dõi, xử lý, thay đổi, xoá.
- Xem xét lại và cập nhật chiến lược và chương trình giám sát. Các bước này cần được lưu ý và triển khai trong các hệ thống GSANM. Tuỳ theo điều kiện và yêu cầu thực tế mà hệ thống GSANM ở mỗi tổ chức sẽ được hoạch định và triển khai khác nhau theo các tiêu chí khác nhau. Công nghệ triển khai hệ thống GSANM Có nhiều công nghệ được dùng cho các hệ thống GSANM.
Tuy nhiên, có thể phân thành 3 nhóm công nghệ cơ bản thường dùng cho các hệ thống các hệ thống GSANM liên tục: - Thu thập dữ liệu trực tiếp về tình trạng hoạt động của mạng thông qua các giao thức như ICMP, SNMP, Syslog, NetFlow,. - Tổng hợp và Phân tích bằng giải pháp SIEM (Quản lý sự kiện và thông tin bảo mật), quản lý qua Dashboard. - Tự động hoá: giao thức SCAP (Security Content Automation Protocol - Giao thức tự động bảo mật nội dung). Hiện nay, có khá nhiều công cụ, giải pháp được phát triển phục vụ cho các hệ thống GSANM với các mục đích đặc thù khác nhau.
Tuy nhiên, nhìn chung các hệ thống GSANM thường được xây dựng dựa trên một trong ba nhóm giải pháp sau: Giải pháp quản lý thông tin an ninh (SIM), Giải pháp quản lý sự kiện an ninh (SEM) và Giải pháp quản lý và phân tích sự kiện an ninh (SIEM). Trong đó SIEM đang được coi là giải pháp tổng thể phù hợp nhất để xây dựng hệ thống GSANM. Hệ thống SIEM thường bao gồm các thành phần chính với các chức năng như sau: - Thành phần thu thập nhật ký (nhật ký ATTT): Thực hiện thu thập toàn bộ các nhật ký cần thiết của các thành phần trong hệ thống công nghệ thông tin (bao gồm các thiết bị/ứng dụng). Chuẩn hóa các thông tin nhật ký thu thập được phục vụ công tác lưu trữ và phân tích sau này.
Chuyển toàn bộ thông tin nhật ký thu thập được sau khi chuẩn hóa tới thành phần lưu trữ và phân tích. - Thành phần lưu trữ và phân tích: Tập hợp, lưu trữ tập trung các thông tin nhật ký ATTT từ các nguồn thu thập khác nhau. Thực hiện phân tích, so sánh tính tương quan của toàn bộ các thông tin nhật ký ATTT đã tập hợp nhằm phát hiện các sự cố, nguy cơ mất ATTT trong hệ 16 thống. Việc phân tích chủ yếu dựa trên các tập luật được định nghĩa nhưng đồng thời cũng cần có khả năng tùy biến linh động nhằm đưa ra các kết quả phân tích chính xác nhất.
Cập nhật các kết quả phân tích, kịp thời đưa ra các cảnh báo về các sự cố, nguy cơ mất ATTT trong hệ thống cho người quản trị. - Thành phần quản trị tập trung: Cung cấp giao diện quản trị tập trung của toàn bộ hệ thống GSANM cho người quản trị. Hỗ trợ người quản trị dễ dàng, thuận tiện theo dõi các báo cáo kết quả phân tích nhật ký ATTT cũng như các sự kiện ATTT xảy ra trong hệ thống. Cung cấp các công cụ hỗ trợ người quản trị thực hiện xử lý khi các sự kiện ATTT xảy ra nhằm hạn chế, giảm thiểu rủi ro, hậu quả mà các sự kiện ATTT gây ra cho hệ thống.
Giải pháp quản lý sự kiện và an ninh thông tin (SIEM) mang lại một số lợi ích như sau: - Tăng hiệu quả sử dụng các thông tin về sự kiện, log an ninh cho các cán bộ phụ trách an ninh, vận hành hệ thống: Giải pháp SIEM cho phép thu thập, chuẩn hóa log từ nhiều nguồn, giao diện quản trị mạnh mẽ, tập trung giúp tăng hiệu quả việc sử dụng các thông tin về sự kiện, log an ninh phục vụ công tác an ninh và vận hành hệ thống - Phát hiện nhanh sự cố và các mối đe dọa: Công cụ SIEM thu thập các thông tin từ nhiều nguồn để phát hiện các loại tấn công tinh vi. Có thể phát hiện bất kì thay đổi từ các hoạt động bình thường để chỉ ra các mối đe dọa sắp xảy ra và các nguy cơ trong hệ thống. Ví dụ: bùng nổ mã độc, spam mail, xâm nhập trái phép, dò quét, tấn công dịch vụ. - Hỗ trợ đảm bảo tính tuân thủ về bảo mật: Công cụ SIEM thu thập tất cả các thông tin liên quan và hiển thị qua báo cáo tuân thủ theo tiêu chuẩn.
- Đưa ra cái nhìn toàn diện về tình trạng an ninh trên hệ thống: Thông qua các báo cáo ở các cấp độ khác nhau, giải pháp SIEM có thể đưa ra cái nhìn toàn diện về tình trạng an ninh trên toàn hệ thống.
