Nghiên Cứu Giải Pháp Giám Sát Tập Trung Và Ứng Dụng Quản Lý Hệ Thống Mạng Tại Trường Đại Học Hà Nội

Chuyên khảo phân tích Luận văn nghiên cứu giải pháp tập trung và ứng dụng quản lý hệ thống mạng trường đại học hà nội, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu

• Tác giả: Nguyễn Thị Hà Ly
• Người hướng dẫn: PGS. Trần Quang Anh
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Giải Pháp Giám Sát Tập Trung Hệ Thống Mạng Tại Trường Đại Học Hà Nội
• Loại tài liệu: luận văn thạc sỹ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ GIÁM SÁT TẬP TRUNG VÀ CÁC YÊU CẦU GIÁM SÁT HỆ THỐNG MẠNG
• 1.1. Các yêu cầu giám sát hệ thống mạng
• 1.1.1. Giới thiệu chung
• 1.1.2. Các yêu cầu chung khi giám sát hệ thống mạng
• 1.2. Tổng quan về giám sát tập trung
• 1.2.1. Ứng dụng của giám sát tập trung
• 1.2.2. Các yêu cầu chung cho giám sát tập trung
• 1.2.3. Tình hình triển khai hệ thống giám sát mạng tại Việt Nam và các vấn đề liên quan đến giám sát hệ thống mạng trong thực tế
• 1.3. Kết luận chương 1
• 2. CHƯƠNG 2: NGHIÊN CỨU GIẢI PHÁP GIÁM SÁT TẬP TRUNG
• 2.1. Các giải pháp giám sát
• 2.1.1. Giải pháp giám sát hiệu năng hoạt động của máy chủ
• 2.1.2. Giải pháp giám sát lưu lượng và băng thông đường truyền
• 2.1.3. Giải pháp giám sát người dùng
• 2.1.4. Giải pháp giám sát dịch vụ
• 2.1.5. Giải pháp giám sát Database
• 2.1.6. Giải pháp giám sát hệ điều hành
• 2.1.7. Giải pháp giám sát an ninh hệ thống mạng
• 2.2. Giới thiệu một số công cụ giám sát
• 2.2.1. HP ArcSight Logger
• 2.2.2. PRTG Network Monitor
• 2.3. Kết luận chương 2
• 3. CHƯƠNG 3: XÂY DỰNG HỆ THỐNG GIÁM SÁT TẬP TRUNG CHO HỆ THỐNG MẠNG CỦA ĐẠI HỌC HÀ NỘI
• 3.1. Khảo sát mạng nội bộ Đại Học Hà Nội (sau khi đã xin phép nhà trường và được sự đồng ý từ ban giám hiệu)
• 3.1.1. Mô hình kiến trúc, các chức năng và trang thiết bị mạng hiện có của hệ thống mạng trường Đại học Hà Nội
• 3.1.2. Yêu cầu sử dụng
• 3.2. Đề xuất giải pháp giám sát tập trung cho mạng nội bộ tại trường đại học Hà Nội
• 3.2.1. Giám sát hiệu năng phần cứng máy chủ
• 3.2.2. Giám sát lưu lượng băng thông, đường truyền
• 3.2.3. Giám sát người dùng
• 3.2.4. Giám sát dịch vụ
• 3.2.5. Giám sát Hệ điều hành
• 3.2.6. Giám sát an ninh
• 3.3. Thử nghiệm và đánh giá một số giải pháp bảo mật đề xuất
• 3.3.1. Nội dung thử nghiệm
• 3.3.2. Kết quả thử nghiệm và đánh giá
• 3.4. Kết luận chương 3
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Giải Pháp Giám Sát Tập Trung Hệ Thống Mạng HANU

Giám sát hệ thống mạng là yếu tố then chốt để duy trì sự ổn định và hiệu quả của bất kỳ hệ thống mạng nào, đặc biệt là tại các tổ chức giáo dục như Trường Đại học Hà Nội (HANU). Việc giám sát liên tục các thành phần mạng giúp quản trị viên chủ động ứng phó với các sự cố tiềm ẩn, từ đó giảm thiểu thiệt hại và chi phí. Một hệ thống giám sát mạng cơ bản bao gồm máy chủ, đường truyền, thiết bị kết nối, máy tính người dùng và card mạng. Hệ thống giám sát hiệu quả cần có các thành phần: Máy trinh sát (Sensor), Máy thu thập (Collector), Cơ sở dữ liệu trung tâm và Công cụ phân tích (Analysis tool). Mỗi thành phần đóng vai trò riêng biệt trong việc thu thập, phân tích và báo cáo sự kiện, đảm bảo phản hồi nhanh chóng và chính xác. Theo ISO, mô hình FCAPS (Quản lý lỗi, cấu hình, tài khoản, hiệu năng, bảo mật) định hướng rõ các yếu tố cần quản lý. Việc triển khai giải pháp giám sát tập trung giúp thu thập thông tin, dữ liệu và báo cáo định kỳ, từ đó quản lý toàn bộ hệ thống hiệu quả.

1.1. Tầm quan trọng của giám sát mạng trường đại học

Giám sát hệ thống mạng đóng vai trò quan trọng trong việc đảm bảo hoạt động ổn định và an toàn của mạng Trường Đại học Hà Nội. Việc này giúp phát hiện sớm các sự cố, từ đó giảm thiểu thời gian chết và ảnh hưởng đến hoạt động giảng dạy, học tập và nghiên cứu. Theo tài liệu, việc cập nhật tình trạng của từng thành phần giúp chủ động ứng phó với các vấn đề có thể nảy sinh. Nếu không có sự giám sát, hệ thống sẽ thụ động trước các sự cố và can thiệp trái phép, gây ra tổn thất lớn. Các biện pháp bảo vệ an ninh mạng như firewall và phần mềm diệt virus chỉ có tác dụng ở vòng ngoài, không hiệu quả với các cuộc tấn công backdoor.

1.2. Các thành phần chính của hệ thống giám sát mạng

Một hệ thống giám sát mạng hoàn chỉnh bao gồm nhiều thành phần quan trọng. Máy trinh sát (Sensor) thu thập thông tin từ các thiết bị mạng. Máy thu thập (Collector) chuẩn hóa thông tin để xử lý và thống kê. Cơ sở dữ liệu trung tâm lưu trữ dữ liệu đã chuẩn hóa. Công cụ phân tích (Analysis tool) tạo báo cáo thống kê và cảnh báo. Theo tài liệu, mỗi thành phần có chức năng riêng, cùng các phương pháp thu thập, phân tích và liệt kê, đảm bảo đánh giá và phản hồi sự kiện nhanh chóng và chính xác. Máy trinh sát tiếp cận các hệ thống và dịch vụ cần giám sát để nhận biết trạng thái. Máy thu thập chuẩn hóa thông tin thu được từ các máy trinh sát.

II. Thách Thức Giám Sát An Ninh Mạng Đại Học Hà Nội Hiện Nay

Mặc dù có các biện pháp bảo vệ như firewall và phần mềm diệt virus, hệ thống mạng vẫn đối mặt với nhiều thách thức. Các giải pháp này chỉ bảo vệ ở vòng ngoài và không hiệu quả với các cuộc tấn công backdoor. Hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) cũng không thể phát hiện các sự cố từ bên trong như nghẽn băng thông, sập máy chủ hoặc router. Do đó, cần một hệ thống giám sát bao quát, cung cấp thông tin định kỳ, giúp quản trị mạng phát hiện và khắc phục sự cố nhanh chóng. Việc giám sát hiệu quả giúp giảm thiểu chi phí và quy mô sự cố. Các sự kiện diễn ra trong các thiết bị đều được ghi lại trong log. Log ghi lại chính xác mọi hoạt động và tình trạng hoạt động của thiết bị. Nhiệm vụ của hệ thống giám sát mạng là sử dụng máy trinh sát đến các thiết bị cần theo dõi, thu thập log và gửi về cơ sở dữ liệu trung tâm.

2.1. Các lỗ hổng bảo mật tiềm ẩn trong hệ thống mạng

Hệ thống mạng của Trường Đại học Hà Nội có thể tồn tại nhiều lỗ hổng bảo mật tiềm ẩn. Các lỗ hổng này có thể bị khai thác bởi các cuộc tấn công từ bên ngoài hoặc các sự cố từ bên trong. Theo tài liệu, các giải pháp bảo vệ an ninh mạng hiện tại chỉ có tác dụng ở vòng ngoài, không hiệu quả với các cuộc tấn công backdoor. IDS/IPS cũng không thể phát hiện các sự cố phát sinh từ bên trong như nghẽn băng thông, sập máy chủ, sập Router. Điều này cho thấy cần một hệ thống giám sát bao quát để phát hiện và khắc phục các sự cố một cách nhanh chóng và kịp thời.

2.2. Khó khăn trong việc quản lý lưu lượng và băng thông mạng

Quản lý lưu lượng và băng thông mạng là một thách thức lớn đối với Trường Đại học Hà Nội. Việc sử dụng mạng ngày càng tăng, đặc biệt là trong các giờ cao điểm, có thể dẫn đến nghẽn băng thông và giảm hiệu suất mạng. Theo tài liệu, một hệ thống mạng bất kỳ luôn cần một hệ thống giám sát bao quát được các vấn đề, cung cấp thông tin định kỳ của hệ thống, giúp người quản trị mạng luôn sẵn sàng phát hiện các sự cố nhằm khắc phục chúng nhanh nhất và kịp thời nhất, giảm thiểu chi phí và quy mô sự cố xuống thấp nhất có thể. Việc giám sát lưu lượng và băng thông giúp quản trị viên xác định các ứng dụng và người dùng tiêu thụ nhiều băng thông, từ đó đưa ra các biện pháp tối ưu hóa.

III. Phương Pháp Giám Sát Tập Trung Hiệu Quả Cho Mạng HANU

Để giám sát hiệu quả, cần có một giải pháp giám sát tập trung để thu thập lượng log lớn và giải quyết bài toán giám sát. Giải pháp này cần thu thập thông tin liên quan đến tình trạng hoạt động của các thiết bị trong hệ thống mạng. Có hai phương pháp thu thập dữ liệu: phương pháp đẩy (các sự kiện tự động chuyển về Collector) và phương pháp kéo (Collector thu thập các sự kiện được lưu trữ trên thiết bị). Sau khi thu thập, cần phân tích thông tin, chỉ mục hóa dữ liệu và phát hiện các bất thường. Cuối cùng, cần đánh giá, đưa thông tin cảnh báo và thực hiện các biện pháp chống lại các mối đe dọa. Cảnh báo có thể thông qua email, SMS hoặc thực thi script để hạn chế hậu quả.

3.1. Thu thập và phân tích log hệ thống mạng tập trung

Việc thu thập và phân tích log hệ thống mạng tập trung là một phần quan trọng của giải pháp giám sát tập trung. Log ghi lại các thông báo về hoạt động của hệ thống và các dịch vụ. Theo tài liệu, log file thường là các file văn bản thông thường dưới dạng “clear text”, có thể dễ dàng đọc được bằng các trình soạn thảo văn bản hoặc các trình xem văn bản thông thường. Các file log có thể cung cấp các thông tin cần biết, để giải quyết các vấn đề với các ứng dụng, tiến trình được ghi vào log. Việc phân tích log giúp phát hiện các sự cố, tấn công và các hoạt động bất thường.

3.2. Sử dụng công cụ giám sát mã nguồn mở cho HANU

Sử dụng các công cụ giám sát mã nguồn mở là một lựa chọn hiệu quả về chi phí cho Trường Đại học Hà Nội. Các công cụ này cung cấp nhiều tính năng giám sát mạnh mẽ và có thể tùy chỉnh để phù hợp với nhu cầu cụ thể của trường. Theo tài liệu, chúng ta cần phải có một giải pháp giám sát tập trung để thu thập lượng log lớn và giải quyết bài toán giám sát, từ đấy có thể quản lý hệ thống một cách hiệu quả. Một số công cụ giám sát mã nguồn mở phổ biến bao gồm Zabbix, Nagios và Prometheus.

IV. Ứng Dụng Giải Pháp Giám Sát Mạng Tại Đại Học Hà Nội

Luận văn tập trung vào việc khảo sát các yêu cầu và giải pháp giám sát tập trung, để đưa ra giải pháp giám sát tập trung cho hệ thống mạng tại Trường Đại Học Hà Nội có khả năng triển khai áp dụng trong thực tế. Đối tượng nghiên cứu là giám sát tập trung và các vấn đề liên quan. Phạm vi nghiên cứu là các giải pháp giám sát tập trung và ứng dụng cho mạng nội bộ trường đại học Hà Nội. Phương pháp nghiên cứu bao gồm thu thập, khảo sát, phân tích tài liệu liên quan đến giám sát tập trung và khảo sát hệ thống mạng Trường Đại học Hà Nội, ứng dụng giải pháp giám sát tập trung phù hợp với nhu cầu của nhà trường.

4.1. Giám sát hiệu năng phần cứng máy chủ và thiết bị mạng

Giám sát hiệu năng phần cứng máy chủ và thiết bị mạng là một phần quan trọng của giải pháp giám sát tập trung. Việc này giúp đảm bảo rằng các thiết bị hoạt động ổn định và hiệu quả. Theo tài liệu, việc cập nhật tình trạng của từng thành phần bên trong hệ thống giúp ta chủ động hơn để ứng phó với bất kì vấn đề nào có thể nảy sinh trong quá trình hệ thống hoạt động. Các thông số cần giám sát bao gồm CPU, bộ nhớ, ổ cứng và card mạng.

4.2. Giám sát lưu lượng băng thông và an ninh mạng HANU

Giám sát lưu lượng băng thông và an ninh mạng là một yếu tố then chốt để bảo vệ hệ thống mạng của Trường Đại học Hà Nội. Việc này giúp phát hiện các hoạt động bất thường, tấn công và các sự cố bảo mật. Theo tài liệu, các hệ thống mạng thường có những biện pháp bảo vệ an ninh mạng như firewall, phần mềm diệt virus,. nhưng các giải pháp đó chỉ có tác dụng ở vòng đai ngoài của hệ thống mạng, nó vô hiệu với các cuộc tấn công backdoor. Các thông số cần giám sát bao gồm lưu lượng truy cập, số lượng kết nối và các sự kiện bảo mật.

V. Đánh Giá và Thử Nghiệm Giải Pháp Giám Sát Mạng HANU

Sau khi xây dựng hệ thống giám sát tập trung, cần tiến hành thử nghiệm và đánh giá để đảm bảo tính hiệu quả. Quá trình này bao gồm kiểm tra khả năng thu thập, phân tích và báo cáo dữ liệu, cũng như khả năng phát hiện và cảnh báo các sự cố. Kết quả thử nghiệm sẽ giúp điều chỉnh và tối ưu hóa hệ thống để đáp ứng tốt nhất nhu cầu của Trường Đại học Hà Nội. Việc đánh giá cần dựa trên các tiêu chí như độ chính xác, tốc độ phản hồi và khả năng mở rộng.

5.1. Nội dung thử nghiệm và đánh giá giải pháp giám sát

Nội dung thử nghiệm và đánh giá giải pháp giám sát cần bao gồm các kịch bản khác nhau để kiểm tra khả năng hoạt động của hệ thống trong các tình huống thực tế. Theo tài liệu, cần thử nghiệm và đánh giá một số giải pháp bảo mật đề xuất. Các kịch bản này có thể bao gồm tấn công từ bên ngoài, sự cố phần cứng và phần mềm, và các hoạt động bất thường của người dùng.

5.2. Kết quả thử nghiệm và đánh giá hiệu quả giải pháp

Kết quả thử nghiệm và đánh giá cần được ghi lại và phân tích để xác định các điểm mạnh và điểm yếu của giải pháp giám sát. Theo tài liệu, kết quả thử nghiệm và đánh giá sẽ giúp điều chỉnh và tối ưu hóa hệ thống để đáp ứng tốt nhất nhu cầu của Trường Đại học Hà Nội. Các kết quả này sẽ được sử dụng để cải thiện hệ thống và đảm bảo tính hiệu quả trong việc giám sát và bảo vệ hệ thống mạng.

VI. Kết Luận và Hướng Phát Triển Giải Pháp Giám Sát Mạng HANU

Việc triển khai giải pháp giám sát tập trung là một bước quan trọng để nâng cao khả năng quản lý và bảo vệ hệ thống mạng của Trường Đại học Hà Nội. Giải pháp này giúp phát hiện sớm các sự cố, giảm thiểu thời gian chết và bảo vệ dữ liệu quan trọng. Trong tương lai, cần tiếp tục nghiên cứu và phát triển giải pháp để đáp ứng các thách thức mới và tận dụng các công nghệ tiên tiến. Việc tích hợp các công nghệ như trí tuệ nhân tạo và học máy có thể giúp tự động hóa quá trình giám sát và phát hiện các mối đe dọa phức tạp.

6.1. Tóm tắt kết quả nghiên cứu và ứng dụng thực tiễn

Nghiên cứu đã khảo sát các yêu cầu và giải pháp giám sát tập trung, từ đó đề xuất giải pháp phù hợp cho hệ thống mạng của Trường Đại học Hà Nội. Theo tài liệu, mục tiêu nghiên cứu của luận văn là khảo sát các yêu cầu và giải pháp giám sát tập trung, để đưa ra giải pháp giám sát tập trung cho hệ thống mạng tại trường Đại Học Hà Nội có khả năng triển khai áp dụng trong thực tế. Ứng dụng thực tiễn của giải pháp này giúp cải thiện khả năng quản lý, bảo vệ và tối ưu hóa hệ thống mạng.

6.2. Hướng phát triển và mở rộng giải pháp giám sát mạng

Trong tương lai, giải pháp giám sát mạng cần được phát triển và mở rộng để đáp ứng các thách thức mới và tận dụng các công nghệ tiên tiến. Theo tài liệu, việc tích hợp các công nghệ như trí tuệ nhân tạo và học máy có thể giúp tự động hóa quá trình giám sát và phát hiện các mối đe dọa phức tạp. Ngoài ra, cần tập trung vào việc cải thiện khả năng mở rộng, tính linh hoạt và khả năng tương thích của giải pháp.

Trích đoạn nội dung tài liệu

Chương 1 của luận văn đưa ra những yêu cầu, khái niệm cơ bản về giám sát hệ thống mạng và tổng quan về giám sát tập trung, cách ứng dụng cũng như các yêu cầu chung khi triển khai một hệ thống giám sát tập trung. Luận văn cũng sẽ đề cập đến tình hình giám sát hệ thống mạng tại Việt Nam và các vấn đề liên quan.1 Các yêu cầu giám sát hệ thống mạng 1.1 Giới thiệu chung Giám sát hệ thống mạng là việc sử dụng một hệ thống để liên tục theo dõi một thành phần trong mạng máy tính, xem xét tình trạng hoạt động của thành phần đó bên trong mạng, thông báo lại cho quản trị viên khi thành phần đang được giám sát phát sinh vấn đề. Có rất nhiều các thành phần cần được giám sát khi hệ thống hoạt động như: Người dùng, Hạ tầng, Dịch vụ,. Giám sát hệ thống mạng là cần thiết vì nó sẽ giúp quản trị viên nhanh chóng biết được những sự cố đang xảy ra trên thành phần đang được giám sát, từ đó đề ra phương án giải quyết.

Thông thường một mạng máy tính tối thiểu cần có máy chủ (Server), đường truyền, các thiết bị kết nối (Repeater, Hub, Switch, Bridge,.), máy tính người dùng (Client), card mạng (Network Interface Card – NIC) để kết nối các máy tính lại với nhau. Do hệ thống mạng có rất nhiều các thiết bị kết nối nên công tác giám sát càng đóng vai trò quan trọng để có thể duy trì hệ thống mạng hoạt động một cách ổn định, trơn tru và hiệu quả. Một hệ thống giám sát gồm có nhiều thành phần: Máy trinh sát (Sensor), Máy thu thập (Collector), Cơ sở dữ liệu trung tâm và Công cụ phân tích (Analysis tool). Mỗi một thành phần bao gồm các chức năng riêng, cùng các phương pháp thu thập, phân tích và liệt kê nhằm đảm bảo đánh giá và phản hồi sự kiện xảy ra trong hệ thống mạng một cách nhanh chóng và chính xác nhất: - Máy trinh sát (Sensor): là những máy trạm làm nhiệm vụ trinh sát.

Thành phần này sẽ tiếp cận, tương tác với các hệ thống và dịch vụ cần giám sát để nhận biết trạng thái của những dịch vụ đó. Trong quá trình triển khai hệ thống, thành phần này 5 sẽ được phân tán nằm rải rác nhiều nơi trên mạng để thu thập thông tin từ những nguồn khác nhau như: Tường lửa, Bộ định tuyến, File nhật ký… - Máy thu thập (Collector): Một điều đáng chú ý trong hệ thống giám sát mạng là các hệ thống, các dịch vụ cần giám sát có thể khác nhau. Điều này đồng nghĩa với việc thông tin thu được cũng có nhiều dạng khác nhau. Để có được thông tin một cách đồng nhất nhằm mục đích xử lý và thống kê, cần có một thành phần làm nhiệm vụ chuẩn hóa thông tin.

Máy thu thập sẽ đọc những thông tin thu được từ các máy trinh sát và chuẩn hóa thông tin dựa trên những quy tắc chuẩn hóa biết trước. Thông tin đầu ra sẽ có định dạng giống nhau và được lưu vào cơ sở dữ liệu trung tâm. - Cơ sở dữ liệu trung tâm: là nơi lưu trữ dữ liệu của toàn bộ hệ thống giám sát. Các dữ liệu ở đây đã được chuẩn hóa nên có thể sử dụng để tính toán các số liệu thống kê trên toàn hệ thống - Công cụ phân tích (Analysis tool): Thành phần này sẽ đọc các dữ liệu từ cơ sở dữ liệu trung tâm và tính toán để tạo ra bản báo cáo số liệu thống kê trên toàn hệ thống.

Về cơ chế hoạt động, mỗi máy trinh sát sẽ có một danh sách những đối tượng mà máy trinh sát đó cần giám sát. Những đối tượng này có thể là file nhật ký hoạt động trên một máy tính, có thể là một dịch vụ trên hệ thống khác, cũng có thể là thành phần báo cáo trạng thái của Tường lửa/Bộ định tuyến… Dựa vào bản danh sách này, Máy trinh sát sẽ gửi truy vấn đến đối tượng để truy vấn thông tin. Thông tin thu thập được sẽ gửi đến Máy thu thập để chuẩn hóa trước khi lưu trữ vào cơ sở dữ liệu trung tâm. Tùy theo thiết kế của hệ thống, nếu những thông tin mà Máy trinh sát thu thập được có định dạng giống nhau thì sẽ không cần đến thành phần Máy thu thập.

Trong một số trường hợp khác, các Máy trinh sát cũng có thể kiêm luôn vai trò của Máy thu thập thực hiện việc chuẩn hóa dữ liệu trước khi lưu trữ. Tại cơ sở dữ liệu trung tâm, mọi dữ liệu thu dược đã có định dạng rõ ràng. Bộ phân tích sẽ đọc thông tin tại đây để tính toán và đưa ra những số liệu thống kê tạo thành một bản báo cáo hoàn chỉnh. Báo cáo này sẽ được gửi tới người quản trị.

Trong một số hệ thống giám sát, để nâng cao mức độ tự động hóa, Bộ phân tích có thể có thêm chức năng 6 phát hiện dấu hiệu xác định trước để phát ra cảnh báo. Ví dụ, sau khi lấy thông tin từ file nhật ký ghi nhận lại những lần đăng nhập không thành công vào hệ thống, nếu phát hiện thấy có 3 lần đăng nhập không thành công liên tiếp trong vòng 5 phút thì Bộ phân tích phát ra cảnh báo tới người quản trị. Cảnh báo này có thể là thư điện tử, tin nhắn SMS gửi tới điện thoại di động… Việc thu thập dữ liệu ở đây chính là việc lấy các thông tin liên quan đến tình trạng hoạt động của các thiết bị trong hệ thống mạng. Tuy nhiên, trong những hệ thống mạng lớn thì các dịch vụ hay các thiết bị không đặt tại trên máy, một địa điểm mà nằm trên các máy chủ, các hệ thống con riêng biệt nhau.

Các thành phần hệ thống cũng hoạt động trên những nền tảng hoàn toàn khác nhau. Có 2 phương pháp để thu thập dữ liệu: - Phương pháp đẩy: Các sự kiện từ các thiết bị, Các máy trạm, Server sẽ được tự động chuyển về các Collector theo thời gian thực hoặc sau mỗi khoảng thời gian phụ thuộc vào việc cấu hình trên các thiết bị tương ứng. Các Collector của Log Server sẽ thực hiện việc nghe và nhận các sự kiện khi chúng xảy ra. - Phương pháp kéo: Các Collector thu tập các sự kiện được phát sinh và lưu trữ trên chính các thiết bị và sẽ được lấy về bởi các bộ Collector.

Khi đã thu thập được những thông tin về hệ thống thì công việc tiếp theo là phân tích thông tin, cụ thể là việc thực hiện chỉ mục hóa dữ liệu, phát hiện những điều bất thường, những mối đe dọa của hệ thống. Dựa trên những thông tin về lưu lượng truy cập, trạng thái truy cập, định dạng request… Tiếp theo là phát hiện và phản ứng. Phát hiện và phản ứng là hai thành phần quan trọng trong các yếu tố của tiến trình. Sau khi phân tích các thông tin và phát hiện các sự cố liên quan đến phần cứng, phần mềm hay các cuộc tấn công bên ngoài , ta sẽ cần phải nhanh chóng đưa ta giải pháp xử lý sự cố một cách nhanh và hiệu quả nhất.

Sau khi đã thực hiện việc phân tích dữ liệu từ các thông tin thu thập được việc tiếp theo là thực hiện việc đánh giá, đưa thông tin cảnh báo tới người quản trị và thực 7 hiện những công tác nhằm chống lại những mỗi đe dọa, khắc phục các sự cố có thể sảy ra. Cảnh báo có thể thông qua email, SMS, hoặc thực thi các mã script nhằm hạn chế hậu quả của sự cố. Khi xảy ra sự cố, hệ thống sẽ tự động gửi email, sms cho người quản trị và cũng có thể chạy script để thêm một địa chỉ IP có biểu hiện tấn công và danh sách đen của Firewall. Việc này đòi hỏi người lập trình phải có hiểu biết sâu và kinh nghiệm về hệ thống.

Cơ chế hoạt động của hệ thống giám sát Giới thiệu về log Log ghi lại liên tục các thông báo về hoạt động của cả hệ thống hoặc của các dịch vụ được triển khai trên hệ thống và file tương ứng. Log file thường là các file văn bản thông thường dưới dạng “clear text”, có thể dễ dàng đọc được bằng các trình soạn thảo văn bản (vi, vim, nano.) hoặc các trình xem văn bản thông thường (cat, tailf, head.) là có thể xem được file log. Các file log có thể cung cấp các thông tin cần biết, để giải quyết các vấn đề với các ứng dụng, tiến trình được ghi vào log. Tóm lại: Log = Thời điểm + Dữ liệu.

Log ghi lại những hoạt động của hệ thống. Vòng đời của chung của Log (Nguồn: Internet) Một vòng đời của Log bao gồm 5 bước chính được minh họa trong hình 1.2 cụ thể là: - Đầu tiên log sẽ được ghi lại tại chính máy local sau đó nó sẽ được vận chuyển sang máy chủ quản lý log. - Người quản trị mạng sẽ từ những bản ghi đó mà tiến hành phân tích, từ đó có thể giám sát được hoạt động của các máy client. - Qua bước phân tích này mà người quản trị có thể phát hiện các hoạt động, hành vi xâm nhập không được phép.

- Sau khi phân tích, dữ liệu log sẽ được lưu trữ để sử dụng lại nếu cần. - Bước cuối cùng là xóa, thường những tập tin log không cần thiết có thể được xóa bởi người quản trị nhằm giảm bớt lượng thông tin log không cần thiết. Phân tích các log hoặc các chuỗi thống kê là một nghệ thuật của việc trích dẫn đầy đủ ý nghĩa thông tin và đưa ra kết luận về một trạng thái an toàn từ các bản ghi thống kê những sự việc được sản sinh từ các thiết bị. Phân tích log không phải là 1 khoa học, nhưng ngày nay, việc tin tưởng vào kỹ năng phân tích độc lập và trực quan cũng như tính chất may mắn trong việc phân tích log chất lượng cũng là một khái niệm khoa học.

Định nghĩa việc phân tích log có thể nghe rất khô khan, nhưng quan trọng là rút ra một “Kết luận có ý nghĩa”. Nhìn một cách đơn giản vào các file log không phải 9 là phân tích, bởi vì hiếm có những cái gì ngoài những sự nhàm chán và dường như chẳng liên quan gì đến nhau. Trong trường hợp một thiết bị 1 người sử dụng với rất ít các hoạt động, tất cả những bản ghi log mà chưa được nhìn trước là rất ít nghi ngờ, nhưng trong thực tế lại không dễ dàng như vậy. Công dụng của Log - Phân tích nguyên nhân khi có sự cố xảy ra.

- Giúp cho việc khắc phục sự cố nhanh hơn khi hệ thống gặp vấn đề. - Giúp cho việc phát hiện, dự đoán một vấn đề có thể xảy ra đối với hệ thống.