Nghiên Cứu Giải Pháp Giám Sát Tập Trung Và Ứng Dụng Quản Lý Hệ Thống Mạng Tại Trường Đại Học Hà Nội

Giám sát hệ thống mạng là yếu tố then chốt để duy trì sự ổn định và hiệu quả của bất kỳ hệ thống… 82 trang · Học viện Công nghệ Bưu chính Viễn thông · 2019.

• Tác giả: Nguyễn Thị Hà Ly
• Người hướng dẫn: PGS. Trần Quang Anh
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Giải Pháp Giám Sát Tập Trung Hệ Thống Mạng Tại Trường Đại Học Hà Nội
• Loại tài liệu: luận văn thạc sỹ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ GIÁM SÁT TẬP TRUNG VÀ CÁC YÊU CẦU GIÁM SÁT HỆ THỐNG MẠNG
• 1.1. Các yêu cầu giám sát hệ thống mạng
• 1.1.1. Giới thiệu chung
• 1.1.2. Các yêu cầu chung khi giám sát hệ thống mạng
• 1.2. Tổng quan về giám sát tập trung
• 1.2.1. Ứng dụng của giám sát tập trung
• 1.2.2. Các yêu cầu chung cho giám sát tập trung
• 1.2.3. Tình hình triển khai hệ thống giám sát mạng tại Việt Nam và các vấn đề liên quan đến giám sát hệ thống mạng trong thực tế
• 1.3. Kết luận chương 1
• 2. CHƯƠNG 2: NGHIÊN CỨU GIẢI PHÁP GIÁM SÁT TẬP TRUNG
• 2.1. Các giải pháp giám sát
• 2.1.1. Giải pháp giám sát hiệu năng hoạt động của máy chủ
• 2.1.2. Giải pháp giám sát lưu lượng và băng thông đường truyền
• 2.1.3. Giải pháp giám sát người dùng
• 2.1.4. Giải pháp giám sát dịch vụ
• 2.1.5. Giải pháp giám sát Database
• 2.1.6. Giải pháp giám sát hệ điều hành
• 2.1.7. Giải pháp giám sát an ninh hệ thống mạng
• 2.2. Giới thiệu một số công cụ giám sát
• 2.2.1. HP ArcSight Logger
• 2.2.2. PRTG Network Monitor
• 2.3. Kết luận chương 2
• 3. CHƯƠNG 3: XÂY DỰNG HỆ THỐNG GIÁM SÁT TẬP TRUNG CHO HỆ THỐNG MẠNG CỦA ĐẠI HỌC HÀ NỘI
• 3.1. Khảo sát mạng nội bộ Đại Học Hà Nội (sau khi đã xin phép nhà trường và được sự đồng ý từ ban giám hiệu)
• 3.1.1. Mô hình kiến trúc, các chức năng và trang thiết bị mạng hiện có của hệ thống mạng trường Đại học Hà Nội
• 3.1.2. Yêu cầu sử dụng
• 3.2. Đề xuất giải pháp giám sát tập trung cho mạng nội bộ tại trường đại học Hà Nội
• 3.2.1. Giám sát hiệu năng phần cứng máy chủ
• 3.2.2. Giám sát lưu lượng băng thông, đường truyền
• 3.2.3. Giám sát người dùng
• 3.2.4. Giám sát dịch vụ
• 3.2.5. Giám sát Hệ điều hành
• 3.2.6. Giám sát an ninh
• 3.3. Thử nghiệm và đánh giá một số giải pháp bảo mật đề xuất
• 3.3.1. Nội dung thử nghiệm
• 3.3.2. Kết quả thử nghiệm và đánh giá
• 3.4. Kết luận chương 3
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Giải Pháp Giám Sát Tập Trung Hệ Thống Mạng HANU

Giám sát hệ thống mạng là yếu tố then chốt để duy trì sự ổn định và hiệu quả của bất kỳ hệ thống mạng nào, đặc biệt là tại các tổ chức giáo dục như Trường Đại học Hà Nội (HANU). Việc giám sát liên tục các thành phần mạng giúp quản trị viên chủ động ứng phó với các sự cố tiềm ẩn, từ đó giảm thiểu thiệt hại và chi phí. Một hệ thống giám sát mạng cơ bản bao gồm máy chủ, đường truyền, thiết bị kết nối, máy tính người dùng và card mạng. Hệ thống giám sát hiệu quả cần có các thành phần: Máy trinh sát (Sensor), Máy thu thập (Collector), Cơ sở dữ liệu trung tâm và Công cụ phân tích (Analysis tool). Mỗi thành phần đóng vai trò riêng biệt trong việc thu thập, phân tích và báo cáo sự kiện, đảm bảo phản hồi nhanh chóng và chính xác. Theo ISO, mô hình FCAPS (Quản lý lỗi, cấu hình, tài khoản, hiệu năng, bảo mật) định hướng rõ các yếu tố cần quản lý. Việc triển khai giải pháp giám sát tập trung giúp thu thập thông tin, dữ liệu và báo cáo định kỳ, từ đó quản lý toàn bộ hệ thống hiệu quả.

1.1. Tầm quan trọng của giám sát mạng trường đại học

Giám sát hệ thống mạng đóng vai trò quan trọng trong việc đảm bảo hoạt động ổn định và an toàn của mạng Trường Đại học Hà Nội. Việc này giúp phát hiện sớm các sự cố, từ đó giảm thiểu thời gian chết và ảnh hưởng đến hoạt động giảng dạy, học tập và nghiên cứu. Theo tài liệu, việc cập nhật tình trạng của từng thành phần giúp chủ động ứng phó với các vấn đề có thể nảy sinh. Nếu không có sự giám sát, hệ thống sẽ thụ động trước các sự cố và can thiệp trái phép, gây ra tổn thất lớn. Các biện pháp bảo vệ an ninh mạng như firewall và phần mềm diệt virus chỉ có tác dụng ở vòng ngoài, không hiệu quả với các cuộc tấn công backdoor.

1.2. Các thành phần chính của hệ thống giám sát mạng

Một hệ thống giám sát mạng hoàn chỉnh bao gồm nhiều thành phần quan trọng. Máy trinh sát (Sensor) thu thập thông tin từ các thiết bị mạng. Máy thu thập (Collector) chuẩn hóa thông tin để xử lý và thống kê. Cơ sở dữ liệu trung tâm lưu trữ dữ liệu đã chuẩn hóa. Công cụ phân tích (Analysis tool) tạo báo cáo thống kê và cảnh báo. Theo tài liệu, mỗi thành phần có chức năng riêng, cùng các phương pháp thu thập, phân tích và liệt kê, đảm bảo đánh giá và phản hồi sự kiện nhanh chóng và chính xác. Máy trinh sát tiếp cận các hệ thống và dịch vụ cần giám sát để nhận biết trạng thái. Máy thu thập chuẩn hóa thông tin thu được từ các máy trinh sát.

II. Thách Thức Giám Sát An Ninh Mạng Đại Học Hà Nội Hiện Nay

Mặc dù có các biện pháp bảo vệ như firewall và phần mềm diệt virus, hệ thống mạng vẫn đối mặt với nhiều thách thức. Các giải pháp này chỉ bảo vệ ở vòng ngoài và không hiệu quả với các cuộc tấn công backdoor. Hệ thống phát hiện và phòng chống xâm nhập (IDS/IPS) cũng không thể phát hiện các sự cố từ bên trong như nghẽn băng thông, sập máy chủ hoặc router. Do đó, cần một hệ thống giám sát bao quát, cung cấp thông tin định kỳ, giúp quản trị mạng phát hiện và khắc phục sự cố nhanh chóng. Việc giám sát hiệu quả giúp giảm thiểu chi phí và quy mô sự cố. Các sự kiện diễn ra trong các thiết bị đều được ghi lại trong log. Log ghi lại chính xác mọi hoạt động và tình trạng hoạt động của thiết bị. Nhiệm vụ của hệ thống giám sát mạng là sử dụng máy trinh sát đến các thiết bị cần theo dõi, thu thập log và gửi về cơ sở dữ liệu trung tâm.

2.1. Các lỗ hổng bảo mật tiềm ẩn trong hệ thống mạng

Hệ thống mạng của Trường Đại học Hà Nội có thể tồn tại nhiều lỗ hổng bảo mật tiềm ẩn. Các lỗ hổng này có thể bị khai thác bởi các cuộc tấn công từ bên ngoài hoặc các sự cố từ bên trong. Theo tài liệu, các giải pháp bảo vệ an ninh mạng hiện tại chỉ có tác dụng ở vòng ngoài, không hiệu quả với các cuộc tấn công backdoor. IDS/IPS cũng không thể phát hiện các sự cố phát sinh từ bên trong như nghẽn băng thông, sập máy chủ, sập Router. Điều này cho thấy cần một hệ thống giám sát bao quát để phát hiện và khắc phục các sự cố một cách nhanh chóng và kịp thời.

2.2. Khó khăn trong việc quản lý lưu lượng và băng thông mạng

Quản lý lưu lượng và băng thông mạng là một thách thức lớn đối với Trường Đại học Hà Nội. Việc sử dụng mạng ngày càng tăng, đặc biệt là trong các giờ cao điểm, có thể dẫn đến nghẽn băng thông và giảm hiệu suất mạng. Theo tài liệu, một hệ thống mạng bất kỳ luôn cần một hệ thống giám sát bao quát được các vấn đề, cung cấp thông tin định kỳ của hệ thống, giúp người quản trị mạng luôn sẵn sàng phát hiện các sự cố nhằm khắc phục chúng nhanh nhất và kịp thời nhất, giảm thiểu chi phí và quy mô sự cố xuống thấp nhất có thể. Việc giám sát lưu lượng và băng thông giúp quản trị viên xác định các ứng dụng và người dùng tiêu thụ nhiều băng thông, từ đó đưa ra các biện pháp tối ưu hóa.

III. Phương Pháp Giám Sát Tập Trung Hiệu Quả Cho Mạng HANU

Để giám sát hiệu quả, cần có một giải pháp giám sát tập trung để thu thập lượng log lớn và giải quyết bài toán giám sát. Giải pháp này cần thu thập thông tin liên quan đến tình trạng hoạt động của các thiết bị trong hệ thống mạng. Có hai phương pháp thu thập dữ liệu: phương pháp đẩy (các sự kiện tự động chuyển về Collector) và phương pháp kéo (Collector thu thập các sự kiện được lưu trữ trên thiết bị). Sau khi thu thập, cần phân tích thông tin, chỉ mục hóa dữ liệu và phát hiện các bất thường. Cuối cùng, cần đánh giá, đưa thông tin cảnh báo và thực hiện các biện pháp chống lại các mối đe dọa. Cảnh báo có thể thông qua email, SMS hoặc thực thi script để hạn chế hậu quả.

3.1. Thu thập và phân tích log hệ thống mạng tập trung

Việc thu thập và phân tích log hệ thống mạng tập trung là một phần quan trọng của giải pháp giám sát tập trung. Log ghi lại các thông báo về hoạt động của hệ thống và các dịch vụ. Theo tài liệu, log file thường là các file văn bản thông thường dưới dạng “clear text”, có thể dễ dàng đọc được bằng các trình soạn thảo văn bản hoặc các trình xem văn bản thông thường. Các file log có thể cung cấp các thông tin cần biết, để giải quyết các vấn đề với các ứng dụng, tiến trình được ghi vào log. Việc phân tích log giúp phát hiện các sự cố, tấn công và các hoạt động bất thường.

3.2. Sử dụng công cụ giám sát mã nguồn mở cho HANU

Sử dụng các công cụ giám sát mã nguồn mở là một lựa chọn hiệu quả về chi phí cho Trường Đại học Hà Nội. Các công cụ này cung cấp nhiều tính năng giám sát mạnh mẽ và có thể tùy chỉnh để phù hợp với nhu cầu cụ thể của trường. Theo tài liệu, chúng ta cần phải có một giải pháp giám sát tập trung để thu thập lượng log lớn và giải quyết bài toán giám sát, từ đấy có thể quản lý hệ thống một cách hiệu quả. Một số công cụ giám sát mã nguồn mở phổ biến bao gồm Zabbix, Nagios và Prometheus.

IV. Ứng Dụng Giải Pháp Giám Sát Mạng Tại Đại Học Hà Nội

Luận văn tập trung vào việc khảo sát các yêu cầu và giải pháp giám sát tập trung, để đưa ra giải pháp giám sát tập trung cho hệ thống mạng tại Trường Đại Học Hà Nội có khả năng triển khai áp dụng trong thực tế. Đối tượng nghiên cứu là giám sát tập trung và các vấn đề liên quan. Phạm vi nghiên cứu là các giải pháp giám sát tập trung và ứng dụng cho mạng nội bộ trường đại học Hà Nội. Phương pháp nghiên cứu bao gồm thu thập, khảo sát, phân tích tài liệu liên quan đến giám sát tập trung và khảo sát hệ thống mạng Trường Đại học Hà Nội, ứng dụng giải pháp giám sát tập trung phù hợp với nhu cầu của nhà trường.

4.1. Giám sát hiệu năng phần cứng máy chủ và thiết bị mạng

Giám sát hiệu năng phần cứng máy chủ và thiết bị mạng là một phần quan trọng của giải pháp giám sát tập trung. Việc này giúp đảm bảo rằng các thiết bị hoạt động ổn định và hiệu quả. Theo tài liệu, việc cập nhật tình trạng của từng thành phần bên trong hệ thống giúp ta chủ động hơn để ứng phó với bất kì vấn đề nào có thể nảy sinh trong quá trình hệ thống hoạt động. Các thông số cần giám sát bao gồm CPU, bộ nhớ, ổ cứng và card mạng.

4.2. Giám sát lưu lượng băng thông và an ninh mạng HANU

Giám sát lưu lượng băng thông và an ninh mạng là một yếu tố then chốt để bảo vệ hệ thống mạng của Trường Đại học Hà Nội. Việc này giúp phát hiện các hoạt động bất thường, tấn công và các sự cố bảo mật. Theo tài liệu, các hệ thống mạng thường có những biện pháp bảo vệ an ninh mạng như firewall, phần mềm diệt virus,. nhưng các giải pháp đó chỉ có tác dụng ở vòng đai ngoài của hệ thống mạng, nó vô hiệu với các cuộc tấn công backdoor. Các thông số cần giám sát bao gồm lưu lượng truy cập, số lượng kết nối và các sự kiện bảo mật.

V. Đánh Giá và Thử Nghiệm Giải Pháp Giám Sát Mạng HANU

Sau khi xây dựng hệ thống giám sát tập trung, cần tiến hành thử nghiệm và đánh giá để đảm bảo tính hiệu quả. Quá trình này bao gồm kiểm tra khả năng thu thập, phân tích và báo cáo dữ liệu, cũng như khả năng phát hiện và cảnh báo các sự cố. Kết quả thử nghiệm sẽ giúp điều chỉnh và tối ưu hóa hệ thống để đáp ứng tốt nhất nhu cầu của Trường Đại học Hà Nội. Việc đánh giá cần dựa trên các tiêu chí như độ chính xác, tốc độ phản hồi và khả năng mở rộng.

5.1. Nội dung thử nghiệm và đánh giá giải pháp giám sát

Nội dung thử nghiệm và đánh giá giải pháp giám sát cần bao gồm các kịch bản khác nhau để kiểm tra khả năng hoạt động của hệ thống trong các tình huống thực tế. Theo tài liệu, cần thử nghiệm và đánh giá một số giải pháp bảo mật đề xuất. Các kịch bản này có thể bao gồm tấn công từ bên ngoài, sự cố phần cứng và phần mềm, và các hoạt động bất thường của người dùng.

5.2. Kết quả thử nghiệm và đánh giá hiệu quả giải pháp

Kết quả thử nghiệm và đánh giá cần được ghi lại và phân tích để xác định các điểm mạnh và điểm yếu của giải pháp giám sát. Theo tài liệu, kết quả thử nghiệm và đánh giá sẽ giúp điều chỉnh và tối ưu hóa hệ thống để đáp ứng tốt nhất nhu cầu của Trường Đại học Hà Nội. Các kết quả này sẽ được sử dụng để cải thiện hệ thống và đảm bảo tính hiệu quả trong việc giám sát và bảo vệ hệ thống mạng.

VI. Kết Luận và Hướng Phát Triển Giải Pháp Giám Sát Mạng HANU

Việc triển khai giải pháp giám sát tập trung là một bước quan trọng để nâng cao khả năng quản lý và bảo vệ hệ thống mạng của Trường Đại học Hà Nội. Giải pháp này giúp phát hiện sớm các sự cố, giảm thiểu thời gian chết và bảo vệ dữ liệu quan trọng. Trong tương lai, cần tiếp tục nghiên cứu và phát triển giải pháp để đáp ứng các thách thức mới và tận dụng các công nghệ tiên tiến. Việc tích hợp các công nghệ như trí tuệ nhân tạo và học máy có thể giúp tự động hóa quá trình giám sát và phát hiện các mối đe dọa phức tạp.

6.1. Tóm tắt kết quả nghiên cứu và ứng dụng thực tiễn

Nghiên cứu đã khảo sát các yêu cầu và giải pháp giám sát tập trung, từ đó đề xuất giải pháp phù hợp cho hệ thống mạng của Trường Đại học Hà Nội. Theo tài liệu, mục tiêu nghiên cứu của luận văn là khảo sát các yêu cầu và giải pháp giám sát tập trung, để đưa ra giải pháp giám sát tập trung cho hệ thống mạng tại trường Đại Học Hà Nội có khả năng triển khai áp dụng trong thực tế. Ứng dụng thực tiễn của giải pháp này giúp cải thiện khả năng quản lý, bảo vệ và tối ưu hóa hệ thống mạng.

6.2. Hướng phát triển và mở rộng giải pháp giám sát mạng

Trong tương lai, giải pháp giám sát mạng cần được phát triển và mở rộng để đáp ứng các thách thức mới và tận dụng các công nghệ tiên tiến. Theo tài liệu, việc tích hợp các công nghệ như trí tuệ nhân tạo và học máy có thể giúp tự động hóa quá trình giám sát và phát hiện các mối đe dọa phức tạp. Ngoài ra, cần tập trung vào việc cải thiện khả năng mở rộng, tính linh hoạt và khả năng tương thích của giải pháp.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên số hóa giáo dục đại học, hạ tầng mạng đóng vai trò huyết mạch trong việc duy trì liên tục các hoạt động giảng dạy, nghiên cứu và quản trị hành chính. Thực tế khảo sát tại Trường Đại học Hà Nội cho thấy hệ thống mạng nội bộ phục vụ quy mô lớn với 52 phòng ban, khoa chuyên môn, quản lý hơn 2.000 máy tính (gồm 1.200 máy tính cán bộ và 800 máy tính sinh viên tại 6 phòng thực hành), 300 camera giám sát cùng 13 máy chủ dịch vụ trọng yếu. Tuy nhiên, việc vận hành phân tán và thiếu công cụ quan sát toàn diện đã dẫn đến tình trạng nghẽn băng thông cục bộ, đặc biệt trong khung giờ cao điểm từ 8h30 đến 10h00 sáng khi lưu lượng truy cập máy chủ tăng vọt làm hiệu năng CPU và RAM vượt ngưỡng an toàn. Bên cạnh đó, các rủi ro lây nhiễm mã độc nội bộ và tấn công dò quét tài khoản Active Directory diễn ra nhưng không được cảnh báo kịp thời.

Trước thách thức trên, đề tài luận văn thạc sĩ chuyên ngành Khoa học máy tính hướng tới mục tiêu thiết kế, xây dựng và thử nghiệm thành công kiến trúc giám sát tập trung toàn diện cho Trường Đại học Hà Nội. Phạm vi nghiên cứu bao quát toàn bộ hạ tầng mạng LAN/WAN của nhà trường trong giai đoạn 2018 - 2019, tích hợp giám sát từ lớp biên (2 tường lửa Fortinet FG-600D, 1 thiết bị cân bằng tải PBL 210), lớp lõi (2 thiết bị chuyển mạch Switch Cisco 3850 chạy cơ chế Stack), 62 bộ chuyển mạch phân phối và truy cập, đến 13 máy chủ dịch vụ (Web, Mail, File, Quản lý đề thi, Quản trị nhân sự, DHCP/DNS). Nghiên cứu mang ý nghĩa thực tiễn sâu sắc khi giúp giảm thiểu thời gian phát hiện và xử lý sự cố mạng ước tính hơn 65%, duy trì hiệu năng tải máy chủ ổn định dưới ngưỡng 70%, đồng thời nâng cao mức độ an toàn thông tin trên toàn bộ hệ thống với chi phí đầu tư phần mềm tối ưu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên mô hình quản lý mạng tiêu chuẩn quốc tế FCAPS do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) ban hành. Khung lý thuyết này phân chia hoạt động quản trị hệ thống thành 5 khối chức năng cốt lõi: Quản lý lỗi (Fault Management) nhằm phát hiện và khắc phục sự cố tức thời; Quản lý cấu hình (Configuration Management) để kiểm soát phiên bản và trạng thái thiết bị; Quản lý tài khoản (Accounting Management) tối ưu hóa phân bổ tài nguyên; Quản lý hiệu năng (Performance Management) đo lường thông lượng và tài nguyên phần cứng; và Quản lý bảo mật (Security Management) ngăn chặn truy cập trái phép và mã độc.

Song song với FCAPS, tác giả áp dụng mô hình vòng đời của nhật ký dữ liệu (Log Lifecycle) gồm 5 giai đoạn: Khởi tạo tại máy trạm cục bộ -> Vận chuyển an toàn -> Phân tích và chuẩn hóa -> Lưu trữ tập trung -> Hủy bỏ theo chu kỳ định sẵn (khoảng 30 ngày).

Hệ thống tích hợp 4 khái niệm và giao thức kỹ thuật nền tảng:

• Chỉ mục đảo (Inverted Index): Cấu trúc dữ liệu ánh xạ giữa các từ khóa (term) và tài liệu chứa từ khóa trong Elasticsearch, cho phép tìm kiếm và truy vấn tức thời trên tập dữ liệu hàng triệu bản ghi.
• Đường ống dẫn dữ liệu (Data Pipeline): Cơ chế tiếp nhận, lọc, thêm trường siêu dữ liệu và chuẩn hóa thông tin từ hơn 200 plugin đầu vào của Logstash.
• Giao thức Syslog (RFC 3195 và RFC 6587): Chuẩn truyền tải nhật ký sự kiện qua cổng UDP/TCP 514, hỗ trợ gán nhãn mức độ nghiêm trọng từ thông tin thông thường đến cảnh báo nguy cấp.
• Giao thức SNMP (Simple Network Management Protocol): Giao thức quản trị từ xa hoạt động trên cổng UDP 161/162, phục vụ thu thập số liệu phần cứng, trạng thái giao diện mạng và lưu lượng truyền tải.

Phương pháp nghiên cứu

Phương pháp nghiên cứu kết hợp chặt chẽ giữa tổng hợp lý thuyết chuyên sâu và thực nghiệm ứng dụng trên môi trường thực tế:

• Nguồn dữ liệu: Dữ liệu thu thập đa nguồn theo thời gian thực gồm nhật ký hệ thống Linux (/var/log/messages, /var/log/secure), nhật ký Windows Event Log (Application, Security, System), số liệu hiệu năng CPU/RAM/Disk từ Metricbeat, gói tin mạng từ Packetbeat, nhật ký xác thực Active Directory và thông báo diệt virus từ Windows Defender.
• Phương pháp phân tích: Ứng dụng kỹ thuật phân tích nhật ký tập trung và đối soát chuỗi thống kê (Log Correlation Analysis) thông qua bộ phần mềm ELK Stack (Elasticsearch, Logstash, Kibana) kết hợp hệ thống tác tử Beats chuyên dụng.
• Cỡ mẫu và phương pháp chọn mẫu: Tác giả thực hiện phương pháp lấy mẫu toàn bộ hệ sinh thái (Whole-population Census Sampling) bao gồm toàn bộ 13 máy chủ dịch vụ, 62 thiết bị chuyển mạch (2 Core Switch 3850, 8 Distribution Switch, 54 Access Switch), 2 tường lửa FortiGate chạy chế độ cân bằng tải HA, cùng 2.000 máy trạm thuộc 52 phòng ban và 6 phòng máy học tập.
• Lý do lựa chọn phương pháp: Phương pháp tiếp cận tổng thể giúp loại bỏ điểm mù giám sát (monitoring blind spots), đảm bảo dữ liệu log không bị phân mảnh, cho phép tái hiện chính xác nguồn gốc sự cố nghẽn mạng và hành vi xâm nhập mà các giải pháp giám sát cục bộ truyền thống không thể thực hiện được.
• Timeline nghiên cứu: Quá trình khảo sát hiện trạng, xin phê duyệt từ Ban Giám hiệu, lập mô hình thử nghiệm, cài đặt các Beats tác tử, cấu hình máy chủ ELK và đánh giá hiệu năng diễn ra liên tục trong 6 tháng (từ quý III/2018 đến tháng 2/2019).

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình triển khai thử nghiệm giải pháp giám sát tập trung tại Trường Đại học Hà Nội đã ghi nhận 4 phát hiện quan trọng:

1. Kiểm soát tải phần cứng máy chủ theo thời gian thực: Hệ thống đo lường chính xác hiệu năng của 13 máy chủ dịch vụ. Việc thiết lập ngưỡng cảnh báo sớm tại mức 70% và ngưỡng nguy hiểm tại 100% đối với CPU và RAM giúp phát hiện ngay lập tức các máy chủ quá tải trong khung giờ 8h30 - 10h00, kích hoạt thông báo tự động qua Email trong vòng chưa đầy 30 giây để quản trị viên kịp thời phân luồng tài nguyên.
2. Định danh chính xác nút mạng gây nghẽn băng thông: Thông qua công cụ Packetbeat và nhật ký Syslog từ Core Switch, hệ thống phát hiện nút mạng có địa chỉ IP 10.231 tạo ra lưu lượng đột biến lên tới khoảng 4,5 triệu bytes mỗi 30 giây. Việc định vị chính xác địa chỉ IP chiếm dụng băng thông giúp cô lập nguyên nhân nghẽn đường truyền tại các tòa nhà mà trước đây không thể xác định được.
3. Phát hiện nguy cơ an ninh từ xác thực và mã độc: Hệ thống ghi nhận các chuỗi sự kiện đăng nhập thất bại vượt quá 3 lần/phút trên máy chủ Active Directory, chỉ điểm các hành vi dò quét mật khẩu trái phép. Đồng thời, qua Winlogbeat, nhật ký từ Windows Defender Antivirus tại các phòng ban được gom về tập trung, cảnh báo tức thì khi có máy trạm nhiễm mã độc trước khi phát tán diện rộng qua mạng LAN.
4. Tối ưu hóa quản lý dung lượng lưu trữ: Phân tích dung lượng ổ cứng cho thấy các máy chủ Mail và File Server có tốc độ tăng trưởng dữ liệu trung bình 1GB mỗi ngày. Việc thiết lập ngưỡng cảnh báo 70% và nguy hiểm 90% - 95% đã ngăn ngừa hoàn toàn nguy cơ sập dịch vụ lưu trữ do đầy đĩa cứng đột ngột.

Thảo luận kết quả

Nguyên nhân cốt lõi của các sự cố mạng trước đây tại Trường Đại học Hà Nội xuất phát từ việc thiếu cơ chế tương quan dữ liệu giữa các lớp thiết bị. Khi hiện tượng nghẽn mạng xảy ra tại Switch tầng, quản trị viên thường phải kiểm tra thủ công từng thiết bị bằng câu lệnh dòng lệnh (CLI), mất nhiều giờ để tìm ra máy trạm gây nghẽn. Với giải pháp ELK Stack, mọi sự kiện mạng và phần cứng được hiển thị trực quan thông qua trang tổng quan Kibana. Dữ liệu hiệu năng có thể được trình bày rõ ràng qua biểu đồ đường (Line Chart) theo dõi biến thiên CPU/RAM 24/7, biểu đồ tròn (Pie Chart) phân tích tỷ trọng lưu lượng của Top 5 máy trạm tiêu thụ băng thông lớn nhất, và bảng nhiệt (Heatmap Table) tổng hợp mật độ log cảnh báo bảo mật từ tường lửa Fortinet FG-600D.

So với các giải pháp thương mại đắt đỏ như Splunk (chi phí giấy phép tính theo dung lượng GB log/ngày rất cao) hay HP ArcSight Logger (phụ thuộc chặt chẽ vào phần cứng chuyên dụng), ELK Stack mang lại hiệu năng xử lý phân tán tương đương, khả năng chịu tải hàng chục nghìn log/giây mà hoàn toàn miễn phí bản quyền phần mềm cốt lõi. Đồng thời, ELK Stack vượt trội hơn hẳn các công cụ mã nguồn mở truyền thống như Zabbix hay Nagios vốn chỉ mạnh về giám sát hiệu năng máy chủ đơn lẻ và thường suy giảm hiệu năng rõ rệt khi quy mô vượt trên 1.000 nút mạng.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, luận văn đưa ra 4 nhóm giải pháp cụ thể nhằm hoàn thiện hệ thống quản lý mạng tại Trường Đại học Hà Nội:

1. Chính thức đưa vào vận hành hệ thống giám sát tập trung ELK: Bộ phận Quản trị Mạng cần triển khai cài đặt tác tử Metricbeat và Packetbeat trên toàn bộ 13 máy chủ dịch vụ và cấu hình chuyển tiếp Syslog trên 62 bộ chuyển mạch, duy trì mục tiêu giữ tải CPU trung bình dưới 70% và phát hiện bất thường lưu lượng mạng trong vòng 1 phút (Thời gian thực hiện: Quý I/2019).
2. Thiết lập chính sách kiểm soát an ninh đa lớp và phòng chống mã độc: Trung tâm Công nghệ Thông tin cần kích hoạt giám sát nhật ký bảo mật từ 2 tường lửa Fortinet FG-600D kết hợp Winlogbeat trên máy trạm cán bộ, đặt mục tiêu phát hiện và tự động cô lập 100% máy trạm nhiễm virus hoặc có hành vi brute-force Active Directory trong vòng 5 phút (Thời gian thực hiện: Hoàn thành trong 3 tháng).
3. Quy chuẩn hóa hạ tầng phần cứng máy chủ giám sát và quản lý vòng đời Log: Ban Giám hiệu nhà trường cần phê duyệt đầu tư máy chủ chuyên dụng cho ELK với cấu hình CPU 8 lõi (tốc độ trên 3.0 GHz), bộ nhớ RAM từ 32GB đến 64GB, dung lượng lưu trữ tối thiểu 50GB SSD tốc độ cao kèm cơ chế tự động xoay vòng và xóa log sau 30 ngày để tối ưu không gian đĩa (Thời gian thực hiện: Quý II/2019).
4. Xây dựng quy trình phản ứng sự cố và tích hợp kênh thông báo đa nền tảng: Đội ngũ kỹ thuật viên cần cấu hình module cảnh báo tự động gửi thông báo khẩn cấp qua Email, SMS và ứng dụng tin nhắn như Telegram khi các chỉ số vượt ngưỡng nguy hiểm (CPU > 80%, RAM trống < 1GB, Disk > 90%), rút ngắn thời gian tiếp nhận và xử lý sự cố xuống dưới 15 phút (Thời gian thực hiện: Triển khai ngay lập tức).

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu cung cấp tài liệu tham khảo giá trị cho 4 nhóm đối tượng cụ thể:

• Quản trị viên hệ thống và mạng tại các trường đại học, viện nghiên cứu: Cung cấp mô hình kiến trúc thực tế để giám sát hệ thống mạng quy mô lớn trên 2.000 thiết bị với cấu hình chi tiết cho thiết bị Cisco, Fortinet và Active Directory.
• Kỹ sư DevOps và chuyên gia an toàn thông tin (SecOps): Nắm vững quy trình xây dựng đường ống thu thập log phân tán sử dụng bộ công cụ Beats (Metricbeat, Packetbeat, Filebeat, Winlogbeat) kết hợp Logstash và Elasticsearch để xử lý dữ liệu lớn.
• Học viên cao học và sinh viên chuyên ngành Công nghệ Thông tin/Khoa học Máy tính: Tài liệu học thuật chuẩn mực áp dụng mô hình chuẩn quốc tế FCAPS vào bài toán tối ưu hóa vận hành và an ninh mạng thực tiễn.
• Lãnh đạo và Giám đốc CNTT (CIO) tại các tổ chức giáo dục, doanh nghiệp: Cung cấp căn cứ khoa học và phân tích chi phí - lợi ích (TCO) để lựa chọn giải pháp giám sát mã nguồn mở mạnh mẽ thay thế các phần mềm thương mại đắt đỏ.

Câu hỏi thường gặp

Tại sao nên lựa chọn ELK Stack thay vì các giải pháp giám sát thương mại như Splunk hay PRTG?
ELK Stack là nền tảng mã nguồn mở mạnh mẽ, giúp các trường đại học tiết kiệm hàng ngàn USD chi phí bản quyền hàng năm so với Splunk. Khác với PRTG bị giới hạn số lượng cảm biến (sensor) ở bản miễn phí, ELK Stack cho phép giám sát không giới hạn số lượng nút mạng, đồng thời sở hữu khả năng tìm kiếm phân tán tốc độ cao nhờ cấu trúc chỉ mục đảo Inverted Index.

Làm thế nào để hệ thống phát hiện chính xác hiện tượng nghẽn băng thông trong giờ cao điểm?
Thông qua công cụ Packetbeat cài đặt trên các dải mạng máy chủ kết hợp tính năng Syslog trên Core Switch Cisco 3850, hệ thống liên tục đo lường lưu lượng gói tin gửi/nhận. Khi xuất hiện địa chỉ IP phát sinh lưu lượng đột biến (như IP 10.231 tạo ra 4,5 triệu bytes/30 giây), Kibana sẽ lập tức hiển thị trên biểu đồ phân tích lưu lượng để quản trị viên xử lý.

Ngưỡng thiết lập cảnh báo an toàn cho tài nguyên máy chủ được xác định như thế nào?
Dựa trên tính toán tải thực tế, ngưỡng cảnh báo CPU được đặt ở mức 70% - 80% (nguy hiểm tại 100%), RAM được cấu hình cảnh báo khi dung lượng trống dưới 1GB (tương đương ngưỡng 87% trên máy chủ 8GB RAM). Đối với ổ cứng lưu trữ, ngưỡng cảnh báo sớm đặt tại 70% và ngưỡng nguy cấp từ 90% đến 95% nhằm đảm bảo dịch vụ Mail, File không bị gián đoạn.

Giải pháp giám sát tập trung hỗ trợ ngăn chặn các cuộc tấn công Active Directory ra sao?
Thông qua tác tử Winlogbeat thu thập Security Log từ hệ điều hành Windows Server, hệ thống thiết lập bộ lọc theo dõi các sự kiện đăng nhập. Nếu phát hiện một tài khoản có trên 3 lần đăng nhập thất bại liên tiếp trong vòng 1 phút, hệ thống sẽ tự động kích hoạt cảnh báo tấn công dò mật khẩu và gửi thông báo khẩn cấp tới quản trị viên.

Cấu hình phần cứng tối thiểu để triển khai máy chủ giám sát ELK Stack là bao nhiêu?
Để vận hành ổn định cho hệ thống mạng quy mô 2.000 nút và lưu lượng 1GB log/ngày với chu kỳ lưu trữ 30 ngày, máy chủ ELK cần trang bị CPU đa lõi (từ 2 đến 8 lõi, xung nhịp trên 3.0 GHz), bộ nhớ RAM từ 16GB đến 64GB và dung lượng ổ cứng tối thiểu 50GB SSD để đảm bảo tốc độ đọc ghi dữ liệu.

Kết luận

• Luận văn đã chuẩn hóa thành công mô hình giám sát tập trung dựa trên khung lý thuyết chuẩn quốc tế FCAPS và kiến trúc mã nguồn mở ELK Stack, đáp ứng toàn diện 7 bài toán giám sát mạng phức tạp.
• Khảo sát và giải quyết triệt để các tồn tại thực tế trên hạ tầng mạng Trường Đại học Hà Nội với quy mô 52 phòng ban, 13 máy chủ, 62 bộ chuyển mạch và hơn 2.000 máy trạm.
• Thử nghiệm thành công các tác tử Metricbeat, Packetbeat, Filebeat, Winlogbeat kết hợp Syslog từ tường lửa Fortinet FG-600D, giúp phát hiện tự động các điểm nghẽn lưu lượng (IP 10.231 phát sinh 4,5 triệu bytes/30s) và cảnh báo quá tải CPU vượt ngưỡng 70%.
• Đưa ra lộ trình triển khai chi tiết với cấu hình phần cứng tối ưu (RAM 16-64GB, lưu trữ SSD xoay vòng 30 ngày) và cơ chế cảnh báo tự động đa kênh qua Email/SMS với thời gian phản hồi dưới 30 giây.
• Đóng góp giải pháp khoa học có tính ứng dụng cao, sẵn sàng chuyển giao công nghệ cho các trường đại học và cơ quan hành chính nhằm nâng cao năng lực quản trị mạng và bảo đảm an toàn thông tin trong giai đoạn chuyển đổi số.

Trích đoạn nội dung tài liệu

Chương 1 của luận văn đưa ra những yêu cầu, khái niệm cơ bản về giám sát hệ thống mạng và tổng quan về giám sát tập trung, cách ứng dụng cũng như các yêu cầu chung khi triển khai một hệ thống giám sát tập trung. Luận văn cũng sẽ đề cập đến tình hình giám sát hệ thống mạng tại Việt Nam và các vấn đề liên quan.1 Các yêu cầu giám sát hệ thống mạng 1.1 Giới thiệu chung Giám sát hệ thống mạng là việc sử dụng một hệ thống để liên tục theo dõi một thành phần trong mạng máy tính, xem xét tình trạng hoạt động của thành phần đó bên trong mạng, thông báo lại cho quản trị viên khi thành phần đang được giám sát phát sinh vấn đề. Có rất nhiều các thành phần cần được giám sát khi hệ thống hoạt động như: Người dùng, Hạ tầng, Dịch vụ,. Giám sát hệ thống mạng là cần thiết vì nó sẽ giúp quản trị viên nhanh chóng biết được những sự cố đang xảy ra trên thành phần đang được giám sát, từ đó đề ra phương án giải quyết.

Thông thường một mạng máy tính tối thiểu cần có máy chủ (Server), đường truyền, các thiết bị kết nối (Repeater, Hub, Switch, Bridge,.), máy tính người dùng (Client), card mạng (Network Interface Card – NIC) để kết nối các máy tính lại với nhau. Do hệ thống mạng có rất nhiều các thiết bị kết nối nên công tác giám sát càng đóng vai trò quan trọng để có thể duy trì hệ thống mạng hoạt động một cách ổn định, trơn tru và hiệu quả. Một hệ thống giám sát gồm có nhiều thành phần: Máy trinh sát (Sensor), Máy thu thập (Collector), Cơ sở dữ liệu trung tâm và Công cụ phân tích (Analysis tool). Mỗi một thành phần bao gồm các chức năng riêng, cùng các phương pháp thu thập, phân tích và liệt kê nhằm đảm bảo đánh giá và phản hồi sự kiện xảy ra trong hệ thống mạng một cách nhanh chóng và chính xác nhất: - Máy trinh sát (Sensor): là những máy trạm làm nhiệm vụ trinh sát.

Thành phần này sẽ tiếp cận, tương tác với các hệ thống và dịch vụ cần giám sát để nhận biết trạng thái của những dịch vụ đó. Trong quá trình triển khai hệ thống, thành phần này 5 sẽ được phân tán nằm rải rác nhiều nơi trên mạng để thu thập thông tin từ những nguồn khác nhau như: Tường lửa, Bộ định tuyến, File nhật ký… - Máy thu thập (Collector): Một điều đáng chú ý trong hệ thống giám sát mạng là các hệ thống, các dịch vụ cần giám sát có thể khác nhau. Điều này đồng nghĩa với việc thông tin thu được cũng có nhiều dạng khác nhau. Để có được thông tin một cách đồng nhất nhằm mục đích xử lý và thống kê, cần có một thành phần làm nhiệm vụ chuẩn hóa thông tin.

Máy thu thập sẽ đọc những thông tin thu được từ các máy trinh sát và chuẩn hóa thông tin dựa trên những quy tắc chuẩn hóa biết trước. Thông tin đầu ra sẽ có định dạng giống nhau và được lưu vào cơ sở dữ liệu trung tâm. - Cơ sở dữ liệu trung tâm: là nơi lưu trữ dữ liệu của toàn bộ hệ thống giám sát. Các dữ liệu ở đây đã được chuẩn hóa nên có thể sử dụng để tính toán các số liệu thống kê trên toàn hệ thống - Công cụ phân tích (Analysis tool): Thành phần này sẽ đọc các dữ liệu từ cơ sở dữ liệu trung tâm và tính toán để tạo ra bản báo cáo số liệu thống kê trên toàn hệ thống.

Về cơ chế hoạt động, mỗi máy trinh sát sẽ có một danh sách những đối tượng mà máy trinh sát đó cần giám sát. Những đối tượng này có thể là file nhật ký hoạt động trên một máy tính, có thể là một dịch vụ trên hệ thống khác, cũng có thể là thành phần báo cáo trạng thái của Tường lửa/Bộ định tuyến… Dựa vào bản danh sách này, Máy trinh sát sẽ gửi truy vấn đến đối tượng để truy vấn thông tin. Thông tin thu thập được sẽ gửi đến Máy thu thập để chuẩn hóa trước khi lưu trữ vào cơ sở dữ liệu trung tâm. Tùy theo thiết kế của hệ thống, nếu những thông tin mà Máy trinh sát thu thập được có định dạng giống nhau thì sẽ không cần đến thành phần Máy thu thập.

Trong một số trường hợp khác, các Máy trinh sát cũng có thể kiêm luôn vai trò của Máy thu thập thực hiện việc chuẩn hóa dữ liệu trước khi lưu trữ. Tại cơ sở dữ liệu trung tâm, mọi dữ liệu thu dược đã có định dạng rõ ràng. Bộ phân tích sẽ đọc thông tin tại đây để tính toán và đưa ra những số liệu thống kê tạo thành một bản báo cáo hoàn chỉnh. Báo cáo này sẽ được gửi tới người quản trị.

Trong một số hệ thống giám sát, để nâng cao mức độ tự động hóa, Bộ phân tích có thể có thêm chức năng 6 phát hiện dấu hiệu xác định trước để phát ra cảnh báo. Ví dụ, sau khi lấy thông tin từ file nhật ký ghi nhận lại những lần đăng nhập không thành công vào hệ thống, nếu phát hiện thấy có 3 lần đăng nhập không thành công liên tiếp trong vòng 5 phút thì Bộ phân tích phát ra cảnh báo tới người quản trị. Cảnh báo này có thể là thư điện tử, tin nhắn SMS gửi tới điện thoại di động… Việc thu thập dữ liệu ở đây chính là việc lấy các thông tin liên quan đến tình trạng hoạt động của các thiết bị trong hệ thống mạng. Tuy nhiên, trong những hệ thống mạng lớn thì các dịch vụ hay các thiết bị không đặt tại trên máy, một địa điểm mà nằm trên các máy chủ, các hệ thống con riêng biệt nhau.

Các thành phần hệ thống cũng hoạt động trên những nền tảng hoàn toàn khác nhau. Có 2 phương pháp để thu thập dữ liệu: - Phương pháp đẩy: Các sự kiện từ các thiết bị, Các máy trạm, Server sẽ được tự động chuyển về các Collector theo thời gian thực hoặc sau mỗi khoảng thời gian phụ thuộc vào việc cấu hình trên các thiết bị tương ứng. Các Collector của Log Server sẽ thực hiện việc nghe và nhận các sự kiện khi chúng xảy ra. - Phương pháp kéo: Các Collector thu tập các sự kiện được phát sinh và lưu trữ trên chính các thiết bị và sẽ được lấy về bởi các bộ Collector.

Khi đã thu thập được những thông tin về hệ thống thì công việc tiếp theo là phân tích thông tin, cụ thể là việc thực hiện chỉ mục hóa dữ liệu, phát hiện những điều bất thường, những mối đe dọa của hệ thống. Dựa trên những thông tin về lưu lượng truy cập, trạng thái truy cập, định dạng request… Tiếp theo là phát hiện và phản ứng. Phát hiện và phản ứng là hai thành phần quan trọng trong các yếu tố của tiến trình. Sau khi phân tích các thông tin và phát hiện các sự cố liên quan đến phần cứng, phần mềm hay các cuộc tấn công bên ngoài , ta sẽ cần phải nhanh chóng đưa ta giải pháp xử lý sự cố một cách nhanh và hiệu quả nhất.

Sau khi đã thực hiện việc phân tích dữ liệu từ các thông tin thu thập được việc tiếp theo là thực hiện việc đánh giá, đưa thông tin cảnh báo tới người quản trị và thực 7 hiện những công tác nhằm chống lại những mỗi đe dọa, khắc phục các sự cố có thể sảy ra. Cảnh báo có thể thông qua email, SMS, hoặc thực thi các mã script nhằm hạn chế hậu quả của sự cố. Khi xảy ra sự cố, hệ thống sẽ tự động gửi email, sms cho người quản trị và cũng có thể chạy script để thêm một địa chỉ IP có biểu hiện tấn công và danh sách đen của Firewall. Việc này đòi hỏi người lập trình phải có hiểu biết sâu và kinh nghiệm về hệ thống.

Cơ chế hoạt động của hệ thống giám sát Giới thiệu về log Log ghi lại liên tục các thông báo về hoạt động của cả hệ thống hoặc của các dịch vụ được triển khai trên hệ thống và file tương ứng. Log file thường là các file văn bản thông thường dưới dạng “clear text”, có thể dễ dàng đọc được bằng các trình soạn thảo văn bản (vi, vim, nano.) hoặc các trình xem văn bản thông thường (cat, tailf, head.) là có thể xem được file log. Các file log có thể cung cấp các thông tin cần biết, để giải quyết các vấn đề với các ứng dụng, tiến trình được ghi vào log. Tóm lại: Log = Thời điểm + Dữ liệu.

Log ghi lại những hoạt động của hệ thống. Vòng đời của chung của Log (Nguồn: Internet) Một vòng đời của Log bao gồm 5 bước chính được minh họa trong hình 1.2 cụ thể là: - Đầu tiên log sẽ được ghi lại tại chính máy local sau đó nó sẽ được vận chuyển sang máy chủ quản lý log. - Người quản trị mạng sẽ từ những bản ghi đó mà tiến hành phân tích, từ đó có thể giám sát được hoạt động của các máy client. - Qua bước phân tích này mà người quản trị có thể phát hiện các hoạt động, hành vi xâm nhập không được phép.

- Sau khi phân tích, dữ liệu log sẽ được lưu trữ để sử dụng lại nếu cần. - Bước cuối cùng là xóa, thường những tập tin log không cần thiết có thể được xóa bởi người quản trị nhằm giảm bớt lượng thông tin log không cần thiết. Phân tích các log hoặc các chuỗi thống kê là một nghệ thuật của việc trích dẫn đầy đủ ý nghĩa thông tin và đưa ra kết luận về một trạng thái an toàn từ các bản ghi thống kê những sự việc được sản sinh từ các thiết bị. Phân tích log không phải là 1 khoa học, nhưng ngày nay, việc tin tưởng vào kỹ năng phân tích độc lập và trực quan cũng như tính chất may mắn trong việc phân tích log chất lượng cũng là một khái niệm khoa học.

Định nghĩa việc phân tích log có thể nghe rất khô khan, nhưng quan trọng là rút ra một “Kết luận có ý nghĩa”. Nhìn một cách đơn giản vào các file log không phải 9 là phân tích, bởi vì hiếm có những cái gì ngoài những sự nhàm chán và dường như chẳng liên quan gì đến nhau. Trong trường hợp một thiết bị 1 người sử dụng với rất ít các hoạt động, tất cả những bản ghi log mà chưa được nhìn trước là rất ít nghi ngờ, nhưng trong thực tế lại không dễ dàng như vậy. Công dụng của Log - Phân tích nguyên nhân khi có sự cố xảy ra.

- Giúp cho việc khắc phục sự cố nhanh hơn khi hệ thống gặp vấn đề. - Giúp cho việc phát hiện, dự đoán một vấn đề có thể xảy ra đối với hệ thống.