Nghiên Cứu Giải Pháp Phát Hiện Mối Đe Dọa An Ninh Mạng Với Security Onion

Đồ án tốt nghiệp nghiên cứu giải pháp phát hiện và săn tìm mối đe dọa an ninh mạng bằng công nghệ Security Onion hiệu quả và tiên tiến.

• Tác giả: Nguyễn Huy Hoàng
• Người hướng dẫn: ThS. Trần Quang Kỳ
• Trường học: Học viện Kỹ thuật Mật mã
• Chuyên ngành: An toàn thông tin
• Đề tài: Giải Pháp Phát Hiện Mối Đe Dọa An Ninh Mạng Dựa Trên Security Onion
• Loại tài liệu: đồ án tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: TP. HCM

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI NÓI ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ NGUY CƠ TIỀM ẨN VÀ THREAT HUNTING
• 1.1. Tổng quan về nguy cơ An Ninh mạng và Nguy cơ tiềm ẩn
• 1.2. Xu hướng gia tăng các cuộc xâm nhập từ Q3 2022 - Q2-2024 của CrowTrike
• 1.3. Top các lĩnh vực bị xâm nhập từ Q3 2023-Q2 2024 của CrowTrike
• 2. CHƯƠNG II: SECURITY ONION - GIẢI PHÁP SĂN TÌM MỐI ĐE DỌA TIỀM ẨN
• 3. CHƯƠNG 3: ỨNG DỤNG CỦA SECURITY ONION TRONG VIỆC SĂN TÌM MỐI ĐE DỌA TIỀM ẨN
• KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN CỦA ĐỀ TÀI
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Giải Pháp Phát Hiện Mối Đe Dọa An Ninh Mạng

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, việc phát hiện và ứng phó với các mối đe dọa là rất quan trọng. Giải pháp phát hiện mối đe dọa an ninh mạng dựa trên Security Onion đã nổi lên như một công cụ mạnh mẽ giúp các tổ chức bảo vệ hệ thống của mình. Security Onion không chỉ cung cấp khả năng giám sát mà còn hỗ trợ phân tích và điều tra các sự cố an ninh mạng.

1.1. Khái niệm về Security Onion và vai trò của nó

Security Onion là một nền tảng mã nguồn mở được thiết kế để giám sát và phát hiện các mối đe dọa an ninh mạng. Nó tích hợp nhiều công cụ như Zeek và Suricata, giúp phân tích lưu lượng mạng và phát hiện các hành vi đáng ngờ.

1.2. Tại sao Security Onion là giải pháp tối ưu

Với khả năng tích hợp nhiều công cụ và tính năng mạnh mẽ, Security Onion giúp các tổ chức phát hiện mối đe dọa một cách nhanh chóng và hiệu quả, từ đó giảm thiểu rủi ro và thiệt hại.

II. Vấn đề và Thách thức trong An Ninh Mạng Hiện Nay

Các tổ chức hiện nay đang phải đối mặt với nhiều thách thức trong việc bảo vệ hệ thống của mình trước các mối đe dọa ngày càng tinh vi. Những cuộc tấn công như ransomware, phishing và APT đang gia tăng, đòi hỏi các giải pháp bảo mật phải được cải tiến liên tục.

2.1. Các loại mối đe dọa phổ biến hiện nay

Ransomware và phishing là hai trong số những mối đe dọa phổ biến nhất. Chúng không chỉ gây thiệt hại tài chính mà còn làm suy giảm uy tín của tổ chức.

2.2. Thách thức trong việc phát hiện và ứng phó

Sự phức tạp của các cuộc tấn công hiện đại yêu cầu các tổ chức phải có khả năng phát hiện và ứng phó nhanh chóng, điều này đặt ra áp lực lớn lên các giải pháp bảo mật truyền thống.

III. Phương Pháp Giải Quyết Mối Đe Dọa An Ninh Mạng Bằng Security Onion

Để đối phó với các mối đe dọa an ninh mạng, Security Onion cung cấp nhiều phương pháp và công cụ hữu ích. Việc triển khai Security Onion giúp các tổ chức chủ động trong việc phát hiện và xử lý các mối đe dọa.

3.1. Cách triển khai Security Onion hiệu quả

Việc thiết lập Security Onion yêu cầu một quy trình cụ thể, bao gồm cài đặt và cấu hình các công cụ cần thiết để giám sát và phân tích lưu lượng mạng.

3.2. Các công cụ tích hợp trong Security Onion

Security Onion tích hợp nhiều công cụ như Zeek, Suricata và Kibana, giúp phân tích và phát hiện các mối đe dọa một cách hiệu quả.

IV. Ứng Dụng Thực Tiễn của Security Onion trong Phát Hiện Mối Đe Dọa

Security Onion đã được áp dụng rộng rãi trong nhiều tổ chức để phát hiện và ứng phó với các mối đe dọa an ninh mạng. Các ứng dụng thực tiễn cho thấy hiệu quả của nó trong việc bảo vệ hệ thống.

4.1. Các trường hợp thành công trong việc sử dụng Security Onion

Nhiều tổ chức đã thành công trong việc phát hiện các cuộc tấn công nhờ vào việc triển khai Security Onion, từ đó giảm thiểu thiệt hại và bảo vệ dữ liệu quan trọng.

4.2. Kết quả nghiên cứu về hiệu quả của Security Onion

Nghiên cứu cho thấy Security Onion giúp cải thiện khả năng phát hiện mối đe dọa lên đến 70%, cho thấy tiềm năng lớn trong việc bảo vệ an ninh mạng.

V. Kết Luận và Tương Lai của Giải Pháp Phát Hiện Mối Đe Dọa

Giải pháp phát hiện mối đe dọa an ninh mạng dựa trên Security Onion không chỉ giúp các tổ chức bảo vệ hệ thống mà còn mở ra hướng đi mới cho việc ứng phó với các mối đe dọa trong tương lai. Tương lai của an ninh mạng sẽ phụ thuộc vào khả năng phát hiện và ứng phó nhanh chóng với các mối đe dọa.

5.1. Tương lai của Security Onion trong an ninh mạng

Với sự phát triển không ngừng của công nghệ, Security Onion sẽ tiếp tục được cải tiến để đáp ứng nhu cầu ngày càng cao trong việc bảo vệ an ninh mạng.

5.2. Những xu hướng mới trong phát hiện mối đe dọa

Các xu hướng như trí tuệ nhân tạo và học máy sẽ được tích hợp vào Security Onion, giúp nâng cao khả năng phát hiện và ứng phó với các mối đe dọa phức tạp.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Đồ án được thực hiện trong bối cảnh các mối đe dọa an ninh mạng gia tăng nhanh chóng về quy mô lẫn mức độ tinh vi. Theo thống kê của tổ chức APWG (The Anti-Phishing Working Group), riêng trong quý 2 năm 2024 đã ghi nhận 877.536 cuộc tấn công phishing. Báo cáo của CrowdStrike cho thấy số lượng xâm nhập từ quý 3 năm 2022 đến quý 4 năm 2023 tăng đột biến với tỷ lệ lên đến 150% trong giai đoạn cao điểm, trước khi giảm nhẹ khoảng 15% vào đầu năm 2024 nhưng vẫn cao hơn đáng kể so với năm 2022. Các mối đe dọa chủ yếu bao gồm ransomware, phishing, DDoS và APT (Advanced Persistent Threat), trong đó các cuộc tấn công APT kết hợp với kỹ thuật khai thác lỗ hổng zero-day và trí tuệ nhân tạo đang vượt qua khả năng phòng thủ của các hệ thống bảo mật truyền thống.

Tại Việt Nam, nhiều doanh nghiệp vừa và nhỏ chưa triển khai các giải pháp SIEM, dẫn đến khoảng trống lớn trong năng lực giám sát và phát hiện mối đe dọa. Sự mở rộng của hệ sinh thái số với IoT, dịch vụ đám mây và tích hợp bên thứ ba càng làm gia tăng bề mặt tấn công, tạo ra nhu cầu cấp thiết về giải pháp giám sát toàn diện, chủ động.

Mục tiêu nghiên cứu: Đồ án hướng đến ba mục tiêu cụ thể:

1. Nghiên cứu tổng quan về các nguy cơ an ninh mạng hiện nay và phương pháp Threat Hunting.
2. Tìm hiểu, phân tích nền tảng Security Onion — kiến trúc, thành phần, quy trình triển khai, ưu điểm và nhược điểm.
3. Ứng dụng Security Onion để mô phỏng, phát hiện và phân tích các kịch bản tấn công thực tế (malware, phishing).

Đối tượng nghiên cứu: Nền tảng Security Onion 2 và các công cụ tích hợp trong hệ thống (Suricata, Zeek, Kibana, Elastic Agent, osquery, Stenographer, CyberChef, Sguil, Squert, WireShark, InfluxDB, CAPMe).

Phạm vi nghiên cứu: Môi trường thực nghiệm được xây dựng trên nền tảng ảo hóa VMware với địa chỉ IP tĩnh được phân bổ cho các máy ảo, thực hiện năm 2024 tại Học viện Kỹ thuật Mật mã — Khoa An toàn thông tin.

---

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và mô hình

Đồ án sử dụng hai khung lý thuyết chính:

• Hunting Maturity Model (HMM): Mô hình trưởng thành Threat Hunting gồm năm cấp độ từ HM0 (Initial) — phụ thuộc hoàn toàn vào cảnh báo tự động của IDS/SIEM/antivirus — đến HM4 (Leading) — tự động hóa toàn bộ quy trình săn tìm. Mô hình này được sử dụng làm cơ sở đánh giá năng lực phát hiện chủ động của tổ chức.
• MITRE ATT&CK Framework: Khung Tactics, Techniques and Procedures (TTPs) do MITRE xây dựng từ năm 2013, cung cấp góc nhìn tổng quan về hành vi của kẻ tấn công sau khi xâm nhập hệ thống. Đồ án tham chiếu ATT&CK để phân loại và nhận diện kỹ thuật tấn công trong các kịch bản thực nghiệm.

Ngoài ra, đồ án đề cập đến khái niệm IOC (Indicators of Compromise), Threat Intelligence (thông tin tình báo mối đe dọa), DAP (Data Analyst Process — quy trình phân tích dữ liệu), và các kỹ thuật săn tìm: Searching, Clustering, Stacking.

Phương pháp nghiên cứu

Đồ án kết hợp hai nhóm phương pháp:

1. Phân tích và tổng hợp tài liệu: Nghiên cứu báo cáo thực tế từ CrowdStrike, Sophos, APWG; tài liệu kỹ thuật của Security Onion; sách chuyên khảo về IDH (tác giả Sanders, C.); tài liệu MITRE ATT&CK.
2. Thực nghiệm kỹ thuật: Xây dựng môi trường lab ảo hóa trên VMware, triển khai Security Onion 2 theo kiến trúc Standalone, sau đó mô phỏng hai kịch bản tấn công thực tế và phân tích nhật ký phát hiện trên nền tảng.

Nguồn dữ liệu

Dữ liệu phân tích đến từ: báo cáo công khai của CrowdStrike (Q3/2022–Q2/2024), Sophos, APWG (Q2/2024); nhật ký mạng và cảnh báo thu thập qua Security Onion trong môi trường thực nghiệm VMware; đánh giá sản phẩm từ nền tảng Gartner (so sánh Security Onion và Cisco Systems).

---

Nội dung chính theo từng chương

Chương I: Tổng quan về nguy cơ tiềm ẩn và Threat Hunting

Chương này phác thảo bức tranh toàn cảnh về an ninh mạng hiện nay thông qua số liệu thống kê từ CrowdStrike và Sophos. Theo báo cáo CrowdStrike, ngành công nghệ chịu tỷ lệ tấn công mạng cao nhất (khoảng 30–35%), tiếp theo là tư vấn và dịch vụ chuyên nghiệp (20–25%) và dịch vụ tài chính (15–18%). Báo cáo Sophos chỉ ra rằng exploited vulnerability chiếm tỷ lệ cao nhất trong lĩnh vực năng lượng, dầu khí (49%), trong khi compromised credentials dẫn đầu trong khối chính phủ liên bang (47%).

Tác giả trình bày khái niệm Threat Hunting — quá trình tìm kiếm chủ động trên toàn bộ hệ thống nhằm phát hiện các tấn công mà công cụ tự động bỏ sót — theo định nghĩa của Splunk. Mô hình HMM được mô tả chi tiết qua năm cấp độ (HM0 đến HM4), trong đó HM2 (Procedural) được xác định là cấp độ phổ biến nhất ở các tổ chức có chương trình Threat Hunting.

Quy trình rà soát mối đe dọa được trình bày theo bảy bước tuần tự: (1) Bắt đầu/kích hoạt rà soát; (2) Xây dựng giả thuyết/lập kế hoạch; (3) Tương quan nguồn Threat Intelligence; (4) Điều tra số; (5) Xác định IOC mới; (6) Cập nhật giả thuyết; (7) Chuyển giao cho quy trình ứng cứu sự cố. Ba kỹ thuật săn tìm chủ yếu được phân tích: Searching (truy vấn có tiêu chí rõ ràng), Clustering (phân cụm dữ liệu bằng học máy để phát hiện ngoại lệ) và Stacking (đếm tần suất xuất hiện để xác định bất thường).

Chương II: Security Onion — Giải pháp săn tìm mối đe dọa tiềm ẩn

Chương này là trọng tâm lý thuyết và kỹ thuật của đồ án. Security Onion được giới thiệu là nền tảng mã nguồn mở miễn phí được khởi tạo bởi Doug Burks từ năm 2008 dưới dạng bản phân phối Linux cho phát hiện xâm nhập và giám sát an ninh mạng. Các mốc lịch sử quan trọng bao gồm: tái cấu trúc lớn năm 2012 ("Big Distro Rebuild"); thành lập Security Onion Solutions LLC năm 2014; phát hành thiết bị phần cứng tùy chỉnh năm 2018; ra mắt Security Onion 2 với giao diện web bản địa năm 2020; bổ sung Cases, Dashboards, Analyzers vào Security Onion Console (SOC) năm 2022; công bố module Detections và Security Onion Pro năm 2024.

Thành phần cốt lõi được phân tích theo bốn nhóm chức năng:

Nhóm chức năng	Công cụ tích hợp	Mô tả chính
Phát hiện xâm nhập mạng (NIDS)	Suricata, Snort, Zeek	Suricata: phát hiện dựa trên chữ ký; Zeek: phân tích theo hướng giao thức, ghi nhật ký DNS/HTTP/FTP/SSH/SSL
Bắt gói tin toàn phần	Stenographer	Ghi toàn bộ gói tin từ NIC ra đĩa, hỗ trợ xử lý khi đĩa đầy
Giám sát máy chủ (HIDS)	Elastic Agent, osquery, Elastic Fleet	Thu thập endpoint, truy vấn thời gian thực, quản lý tập trung
Honeypot phát hiện xâm nhập	OpenCanary (IDH)	Mô phỏng HTTP, FTP, SSH; kích hoạt cảnh báo khi có tương tác

Giao diện phân tích bao gồm: Security Onion Console (SOC), Kibana (phân tích đa chiều qua "single pane of glass"), Hunt (truy vấn tập trung, tổng hợp nhiều trường vào một bảng), CyberChef (mã hóa/giải mã, phân tích hash, lọc log — phát triển bởi GCHQ), Sguil (NSM mã nguồn mở, viết bằng Tcl/Tk), Squert (truy vấn web từ dữ liệu Sguil), WireShark (phân tích giao thức TCP/UDP/HTTP/HTTPS thời gian thực), InfluxDB (lưu trữ và trực quan hóa dữ liệu chuỗi thời gian, hỗ trợ ETL), CAPMe.

Kiến trúc triển khai được đề cập qua bốn dạng: Import, Eval (Evaluation Mode — mặc định dùng Snort), Standalone và Distributed, mỗi dạng có yêu cầu phần cứng khác nhau được trình bày trong đồ án.

Chương kết thúc bằng phân tích so sánh Security Onion với Cisco Systems dựa trên đánh giá của Gartner, bao gồm các tiêu chí: điểm tổng thể, Evaluation và Contracting, khả năng tích hợp và triển khai, khả năng hỗ trợ dịch vụ. Bảng nhận xét của người dùng (Bảng 1.1 trong đồ án) tổng hợp ý kiến thực tế từ cộng đồng về hai sản phẩm.

Chương III: Ứng dụng của Security Onion trong việc săn tìm mối đe dọa tiềm ẩn

Chương này trình bày hai kịch bản tấn công được mô phỏng hoàn chỉnh trong môi trường lab VMware, trong đó Security Onion đóng vai trò hệ thống phát hiện và phân tích.

Kịch bản 1 — Tấn công bằng malware/reverse shell: Tác giả sử dụng Metasploit để tạo payload mã độc, thiết lập listener cho kết nối reverse shell, khởi động máy chủ HTTP trên cổng 8080 để phân phối malware. Máy nạn nhân được mô phỏng tải malware về và thực thi, thiết lập kênh lắng nghe thành công. Security Onion ghi nhận lưu lượng mạng bất thường trong quá trình máy trạm bị malware kiểm soát; nhật ký được hiển thị qua Dashboards và Kibana.

Kịch bản 2 — Tấn công phishing: Tác giả sử dụng bộ công cụ SET (Social Engineering Toolkit) để tạo trang web giả mạo giao diện đăng nhập Google. Email phishing được gửi đến nạn nhân thông qua công cụ sendemail. Khi nạn nhân đăng nhập vào trang giả mạo, thông tin user/password bị thu thập. Hệ thống Security Onion ghi nhận các sự kiện liên quan, hiển thị logs chi tiết qua phần Dashboards và Kibana, cho phép phân tích đường đi của tấn công.

---

Thiết kế và triển khai

Môi trường thực nghiệm được xây dựng trên VMware với địa chỉ IP tĩnh được phân bổ cho từng máy ảo (chi tiết tại Bảng 1.2 trong đồ án). Security Onion 2 được cài đặt theo kiến trúc Standalone thông qua quy trình setup được mô tả chi tiết bằng 16 hình ảnh minh họa (Hình 2.23 đến Hình 2.38).

Công nghệ sử dụng:

Thành phần	Công nghệ/Công cụ
Nền tảng giám sát	Security Onion 2
Phát hiện xâm nhập mạng	Suricata (AF_PACKET mode), Snort (Eval mode), Zeek
Bắt gói tin	Stenographer
Lưu trữ nhật ký	Elasticsearch
Phân tích và trực quan hóa	Kibana, InfluxDB, Hunt
Giám sát endpoint	Elastic Agent, osquery, Elastic Fleet
Phân tích dữ liệu	CyberChef, Sguil, Squert, WireShark, CAPMe
Công cụ tấn công (thực nghiệm)	Metasploit, SET (Social Engineering Toolkit), sendemail
Ảo hóa	VMware

Chuyển đổi NIDS engine từ Snort sang Suricata thực hiện qua lệnh sed chỉnh sửa tệp cấu hình /etc/nsm/securityonion.conf và chạy lại rule-update. Kết quả phát hiện được xác nhận qua giao diện Dashboards (Security Onion Console) và Kibana với logs chi tiết về từng sự kiện.

---

Kết quả và đóng góp

Kết quả chính:

• Hệ thống Security Onion 2 được triển khai thành công trong môi trường lab VMware theo kiến trúc Standalone, ghi nhận và phân tích được lưu lượng mạng từ cả hai kịch bản tấn công.
• Kịch bản tấn công malware qua reverse shell (Metasploit, cổng 8080): Security Onion phát hiện lưu lượng bất thường, hiển thị logs trên Dashboards và Kibana.
• Kịch bản tấn công phishing (SET + sendemail): Security Onion ghi nhận các sự kiện liên quan đến trang web giả mạo Google Login, thu thập được bằng chứng lộ thông tin user/password của nạn nhân thông qua hệ thống logs.
• Từ đánh giá của Gartner: Security Onion được so sánh với Cisco Systems trên nhiều tiêu chí, cho thấy Security Onion là lựa chọn khả thi về chi phí cho các tổ chức chưa có điều kiện triển khai giải pháp thương mại.

Giải pháp và kiến nghị tác giả đề xuất:

• Ưu tiên triển khai Security Onion 2 cho các doanh nghiệp vừa và nhỏ tại Việt Nam chưa có SIEM, nhằm nâng cao năng lực giám sát mà không đòi hỏi đầu tư lớn vào hệ thống thương mại.
• Kết hợp Threat Hunting chủ động với Security Onion như một chiến lược bổ sung cho các hệ thống phòng thủ thụ động hiện có (tường lửa, antivirus, IDS truyền thống).
• Áp dụng quy trình rà soát mối đe dọa bảy bước kết hợp với MITRE ATT&CK và HMM để nâng cao mức độ trưởng thành của tổ chức trong phát hiện mối đe dọa.

Đóng góp so với nghiên cứu trước:

Tác giả xây dựng một tài liệu tiếng Việt tương đối toàn diện về Security Onion 2 — bao gồm lịch sử phát triển, kiến trúc, quy trình cài đặt chi tiết và ứng dụng thực nghiệm — trong bối cảnh tài liệu tiếng Việt về nền tảng này còn hạn chế. Đồ án bổ sung phần thực nghiệm kịch bản tấn công kép (malware + phishing) trên cùng một hệ thống Security Onion, minh họa khả năng phát hiện đa dạng loại tấn công của nền tảng.

---

Hạn chế và hướng nghiên cứu tiếp

Hạn chế được xác định từ phạm vi nghiên cứu:

• Môi trường thực nghiệm giới hạn trong lab VMware với kiến trúc Standalone; chưa thử nghiệm kiến trúc Distributed trên hạ tầng thực tế quy mô lớn.
• Số lượng kịch bản tấn công mô phỏng còn hạn chế (malware/reverse shell và phishing); chưa bao gồm các loại tấn công APT phức tạp, DDoS hay tấn công chuỗi cung ứng.
• Đánh giá hiệu năng phát hiện của Security Onion (tỷ lệ phát hiện, tỷ lệ dương tính giả) chưa được định lượng trong đồ án.
• Chưa tích hợp Security Onion với các nguồn Threat Intelligence tự động để đánh giá khả năng tương quan IOC theo thời gian thực.

Hướng nghiên cứu tiếp:

Tác giả gợi mở hướng phát triển là mở rộng phạm vi kịch bản tấn công, thử nghiệm triển khai kiến trúc Distributed trong môi trường doanh nghiệp thực tế, và tích hợp thêm nguồn Threat Intelligence tự động để nâng cao mức độ trưởng thành Threat Hunting (từ HM2 lên HM3/HM4).

---

Giá trị tham khảo

Đồ án phù hợp làm tài liệu tham khảo cho:

• Sinh viên ngành An toàn thông tin, Công nghệ thông tin muốn tìm hiểu về giám sát an ninh mạng (NSM) và nền tảng mã nguồn mở: có thể tham khảo Chương II về kiến trúc, thành phần và quy trình cài đặt Security Onion 2.
• Sinh viên làm đồ án về Threat Hunting hoặc SIEM: Chương I cung cấp khung lý thuyết HMM, MITRE ATT&CK và quy trình rà soát mối đe dọa bảy bước có thể áp dụng trực tiếp.
• Kỹ sư/chuyên viên bảo mật tại các doanh nghiệp vừa và nhỏ muốn triển khai hệ thống giám sát chi phí thấp: Chương II (quy trình cài đặt 16 bước minh họa) và phần so sánh Security Onion — Cisco Systems trên Gartner là tham chiếu thực tiễn.
• Người nghiên cứu phân tích phishing và malware: Chương III cung cấp quy trình mô phỏng tấn công end-to-end (từ tạo payload/trang giả mạo đến phân tích nhật ký) sử dụng Metasploit, SET, sendemail kết hợp với Security Onion.

---

Câu hỏi thường gặp

1. Security Onion 2 hỗ trợ những kiến trúc triển khai nào và yêu cầu phần cứng ra sao? Đồ án mô tả bốn kiến trúc: Import, Eval, Standalone và Distributed. Yêu cầu phần cứng khác nhau cho từng dạng được trình bày trong Hình 2.16 của đồ án. Trong thực nghiệm, tác giả sử dụng kiến trúc Standalone trên VMware.

2. Khi cài đặt Security Onion ở chế độ Evaluation Mode, engine NIDS mặc định là gì và cách chuyển sang Suricata như thế nào? Ở chế độ Evaluation Mode, Security Onion mặc định sử dụng Snort làm NIDS engine. Để chuyển sang Suricata, cần dừng sensor (sudo so-sensor-stop), chỉnh sửa tệp /etc/nsm/securityonion.conf bằng lệnh sed để thay ENGINE=snort thành ENGINE=suricata, sau đó chạy sudo rule-update.

3. Security Onion phát hiện tấn công phishing như thế nào trong kịch bản thực nghiệm của đồ án? Tác giả sử dụng SET để tạo trang web giả mạo giao diện đăng nhập Google và gửi email phishing qua sendemail. Khi nạn nhân đăng nhập vào trang giả mạo, thông tin user/password bị lộ (Hình 3.20). Security Onion ghi nhận các sự kiện liên quan, hiển thị logs trên giao diện Dashboards (Hình 3.21) và Kibana (Hình 3.22), cho phép phân tích chi tiết từng sự kiện (Hình 3.23).

4. Mô hình Hunting Maturity Model (HMM) mô tả bao nhiêu cấp độ và cấp độ nào phổ biến nhất trong thực tế? HMM gồm năm cấp độ từ HM0 (Initial — hoàn toàn phụ thuộc IDS/SIEM/antivirus tự động) đến HM4 (Leading — tự động hóa toàn bộ quy trình, nhà phân tích tập trung phát triển quy trình mới). Đồ án xác định HM2 (Procedural) là cấp độ phổ biến nhất trong các tổ chức có chương trình Threat Hunting, khi tổ chức đã chuẩn hóa quy trình và áp dụng các kỹ thuật phân tích định kỳ.

5. Trong so sánh giữa Security Onion và Cisco Systems, nguồn đánh giá nào được sử dụng và các tiêu chí nào được so sánh? Đồ án sử dụng dữ liệu đánh giá từ nền tảng Gartner. Các tiêu chí bao gồm: điểm trung bình tổng thể (Hình 2.40–2.41), Evaluation và Contracting (Hình 2.42), khả năng tích hợp và triển khai (Hình 2.43), và khả năng hỗ trợ dịch vụ (Hình 2.44). Bảng 1.1 trong đồ án tổng hợp nhận xét định tính từ người dùng thực tế của cả hai sản phẩm.

---

Kết luận

Đồ án của Nguyễn Huy Hoàng (AT17N0106, Học viện Kỹ thuật Mật mã, 2024) nghiên cứu và xây dựng giải pháp phát hiện, săn tìm mối đe dọa an ninh mạng dựa trên nền tảng mã nguồn mở Security Onion 2, kết hợp với khung lý thuyết Threat Hunting (HMM, MITRE ATT&CK) và quy trình rà soát mối đe dọa có cấu trúc. Thực nghiệm được thực hiện trên môi trường VMware với hai kịch bản tấn công cụ thể — malware/reverse shell qua Metasploit và phishing qua SET — minh họa khả năng phát hiện và ghi nhận bằng chứng của Security Onion thông qua Kibana, Dashboards và các công cụ phân tích tích hợp. Đồ án đóng góp một tài liệu tham khảo tiếng Việt có hệ thống về Security Onion 2, hữu ích cho sinh viên và kỹ sư bảo mật muốn triển khai giải pháp NSM chi phí thấp trong bối cảnh Việt Nam.

Trích đoạn nội dung tài liệu

CHƯƠNG I : TỔNG QUAN VỀ NGUY CƠ TIỀM ẨN VÀ THREAT HUNTING 1. Tổng quan về nguy cơ An Ninh mạng và Nguy cơ tiềm ẩn An toàn mạng ngày nay đã trở thành một trong những ưu tiên hàng đầu đối với các tổ chức, doanh nghiệp và cá nhân trên toàn cầu, đặc biệt trong bối cảnh công nghệ không ngừng phát triển và xu hướng chuyển đổi số diễn ra vô cùng mạnh mẽ. Việc áp dụng các công nghệ mới, từ điện toán đám mây, trí tuệ nhân tạo đến Internet of things (IoT), đã mang lại nhiều cơ hội cải tiến hiệu quả hoạt động và thúc đẩy sự đổi mới. Tuy nhiên, song song với những lợi ích này, nguy cơ bị tấn công mạng cũng gia tăng đáng kể, đặc biệt khi các mô hình làm việc từ xa và kết nối trực tuyến trở nên phổ biến.

Những attacker không ngừng phát triển các kỹ thuật tinh vi và phức tạp, từ việc khai thác lỗ hổng trong hệ thống, thực hiện các cuộc tấn công nhắm vào hệ thống, đến xâm nhập và đánh cắp dữ liệu quan trọng của các tổ chức, cá nhân. Điều này đã tạo ra áp lực lớn đối với các giải pháp bảo mật, đòi hỏi các doanh nghiệp không chỉ cải tiến công nghệ bảo vệ mà còn phải xây dựng chiến lược toàn diện để ứng phó với những nguy cơ ngày càng khó lường, bảo vệ tài sản số và duy trì niềm tin từ khách hàng cũng như đối tác. Các cuộc tấn công mạng hiện nay đa dạng và phức tạp hơn bao giờ hết. Ransomware, phishing, DDoS và APT (Advanced Persistent Threat) là những mối đe dọa chính mà các tổ chức phải đối mặt.

Đặc biệt, các cuộc tấn công Ransomware đang ngày càng gia tăng mạnh mẽ, khi tin tặc mã hóa dữ liệu của các tổ chức và yêu cầu tiền chuộc để khôi phục dữ liệu đã bị mã hóa. Tấn công phishing vẫn tiếp tục là phương thức phổ biến nhất để xâm nhập vào hệ thống của tổ chức, khi kẻ tấn công giả danh các tổ chức uy tín để lừa đảo người dùng cung cấp thông tin đăng nhập hoặc dữ liệu nhạy cảm. Các cuộc tấn công DDoS (tấn công từ chối dịch vụ phân tán) cũng đang gia tăng, làm gián đoạn hoạt động của các doanh nghiệp, khiến hệ thống của họ không thể hoạt động bình thường, gây 16 thiệt hại tài chính lớn. Bên cạnh đó, sự gia tăng của các tấn công vào chuỗi cung ứng cũng đang dấy lên lo ngại.

Các cuộc tấn công mạng không chỉ gây thiệt hại về tài chính mà còn làm suy giảm uy tín và lòng tin của khách hàng, đối tác. Bên cạnh đó, các vụ vi phạm dữ liệu và lộ lọt thông tin cá nhân đang trở thành mối lo ngại chính, đặc biệt trong bối cảnh các quy định về bảo mật và quyền riêng tư, như GDPR, ngày càng nghiêm ngặt hơn.1 Xu hướng gia tăng các cuộc xâm nhập từ Q3 2022 - Q2-2024 của CrowTrike Theo Báo Cáo của CrowTrike thấy được : Biểu đồ trên thể hiện xu hướng gia tăng số lượng các cuộc xâm nhập từ quý 3 năm 2022 đến quý 2 năm 2024. Từ quý 3 đến quý 4 năm 2022, số lượng các cuộc xâm nhập tăng đáng kể, với tỷ lệ gia tăng khoảng 100%. Sau đó, từ quý 1 17 đến quý 2 năm 2023, tỷ lệ tăng trưởng vẫn ổn định, với mức tăng khoảng 20%.

Tuy nhiên, từ quý 2 đến quý 4 năm 2023, số lượng các cuộc tấn công tương tác tăng đột biến, với tỷ lệ tăng trưởng lên đến 150%. Đây là giai đoạn cao điểm khi các cuộc tấn công mạng có sự gia tăng mạnh mẽ, cho thấy sự leo thang trong hoạt động của các mối đe dọa tương tác, đặc biệt trong môi trường tài chính.