Nghiên cứu giải pháp quản lý hệ thống mạng cho trường Đại học Hà Nội

Luận văn thạc sĩ nghiên cứu nghiên cứu giải pháp tập trung và ứng dụng quản lý hệ thống mạng trường đại học hà nội, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp

• Tác giả: Nguyễn Thị Hà Ly
• Người hướng dẫn: PGS. Trần Quang Anh
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Giải Pháp Quản Lý Hệ Thống Mạng Tại Đại Học Hà Nội
• Loại tài liệu: luận văn thạc sỹ
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG I: TỔNG QUAN VỀ GIÁM SÁT TẬP TRUNG VÀ CÁC YÊU CẦU GIÁM SÁT HỆ THỐNG MẠNG
• 1.1. Các yêu cầu giám sát hệ thống mạng
• 1.1.1. Giới thiệu chung
• 1.1.2. Các yêu cầu chung khi giám sát hệ thống mạng
• 1.2. Tổng quan về giám sát tập trung
• 1.2.1. Ứng dụng của giám sát tập trung
• 1.2.2. Các yêu cầu chung cho giám sát tập trung
• 1.2.3. Tình hình triển khai hệ thống giám sát mạng tại Việt Nam và các vấn đề liên quan đến giám sát hệ thống mạng trong thực tế
• 1.3. Kết luận chương 1
• 2. CHƯƠNG II: NGHIÊN CỨU GIẢI PHÁP GIÁM SÁT TẬP TRUNG
• 2.1. Các giải pháp giám sát
• 2.1.1. Giải pháp giám sát hiệu năng hoạt động của máy chủ
• 2.1.2. Giải pháp giám sát lưu lượng và băng thông đường truyền
• 2.1.3. Giải pháp giám sát người dùng
• 2.1.4. Giải pháp giám sát dịch vụ
• 2.1.5. Giải pháp giám sát Database
• 2.1.6. Giải pháp giám sát hệ điều hành
• 2.1.7. Giải pháp giám sát an ninh hệ thống mạng
• 2.2. Giới thiệu một số công cụ giám sát
• 2.2.1. HP ArcSight Logger
• 2.2.2. PRTG Network Monitor
• 2.3. Kết luận chương 2
• 3. CHƯƠNG III: XÂY DỰNG HỆ THỐNG GIÁM SÁT TẬP TRUNG CHO HỆ THỐNG MẠNG CỦA ĐẠI HỌC HÀ NỘI
• 3.1. Khảo sát mạng nội bộ Đại Học Hà Nội (sau khi đã xin phép nhà trường và được sự đồng ý từ ban giám hiệu)
• 3.1.1. Mô hình kiến trúc, các chức năng và trang thiết bị mạng hiện có của hệ thống mạng trường Đại học Hà Nội
• 3.1.2. Yêu cầu sử dụng
• 3.2. Đề xuất giải pháp giám sát tập trung cho mạng nội bộ tại trường đại học Hà Nội
• 3.2.1. Giám sát hiệu năng phần cứng máy chủ
• 3.2.2. Giám sát lưu lượng băng thông, đường truyền
• 3.2.3. Giám sát người dùng
• 3.2.4. Giám sát dịch vụ
• 3.2.5. Giám sát Hệ điều hành
• 3.2.6. Giám sát an ninh
• 3.3. Thử nghiệm và đánh giá một số giải pháp bảo mật đề xuất
• 3.3.1. Nội dung thử nghiệm
• 3.3.2. Kết quả thử nghiệm và đánh giá
• 3.4. Kết luận chương 3
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về giám sát tập trung và các yêu cầu giám sát hệ thống mạng

Giám sát hệ thống mạng là một yếu tố quan trọng trong việc duy trì hoạt động ổn định của các thành phần trong mạng máy tính. Việc giám sát không chỉ giúp phát hiện các sự cố mà còn cung cấp thông tin cần thiết để quản trị viên có thể ứng phó kịp thời. Các yêu cầu giám sát hệ thống mạng bao gồm việc theo dõi hiệu năng hoạt động của máy chủ, lưu lượng băng thông, và an ninh mạng. Đặc biệt, việc giám sát tập trung cho phép thu thập và phân tích dữ liệu từ nhiều nguồn khác nhau, giúp quản lý hệ thống một cách hiệu quả hơn. Theo ISO, mô hình FCAPS được thiết kế để định hướng các hoạt động quản lý, bao gồm quản lý lỗi, cấu hình, tài khoản, hiệu năng và bảo mật. Điều này cho thấy tầm quan trọng của việc có một hệ thống giám sát toàn diện để đảm bảo an toàn và hiệu quả cho hệ thống mạng.

1.1 Các yêu cầu giám sát hệ thống mạng

Các yêu cầu giám sát hệ thống mạng bao gồm việc theo dõi tình trạng hoạt động của các thành phần trong mạng, từ máy chủ đến các thiết bị kết nối. Việc giám sát này không chỉ giúp phát hiện các sự cố mà còn cung cấp thông tin để quản trị viên có thể đưa ra các quyết định kịp thời. Hệ thống giám sát cần có khả năng thu thập dữ liệu từ nhiều nguồn khác nhau, bao gồm cả log từ các thiết bị và dịch vụ. Điều này giúp đảm bảo rằng mọi hoạt động trong hệ thống đều được ghi nhận và phân tích một cách chính xác. Hệ thống giám sát cũng cần có khả năng phát hiện các mối đe dọa từ bên ngoài và bên trong, từ đó đưa ra các biện pháp ứng phó kịp thời.

1.2 Tổng quan về giám sát tập trung

Giám sát tập trung là một phương pháp hiệu quả để quản lý hệ thống mạng, cho phép thu thập và phân tích dữ liệu từ nhiều nguồn khác nhau. Hệ thống giám sát tập trung bao gồm các thành phần như máy trinh sát, máy thu thập, cơ sở dữ liệu trung tâm và công cụ phân tích. Mỗi thành phần có vai trò riêng trong việc đảm bảo rằng thông tin được thu thập và phân tích một cách chính xác. Việc sử dụng hệ thống giám sát tập trung giúp quản trị viên có cái nhìn tổng quan về tình trạng hoạt động của hệ thống, từ đó có thể phát hiện và khắc phục các sự cố một cách nhanh chóng. Hệ thống này cũng giúp giảm thiểu chi phí và quy mô sự cố, đồng thời nâng cao hiệu quả quản lý mạng.

II. Nghiên cứu giải pháp giám sát tập trung

Giải pháp giám sát tập trung cho hệ thống mạng tại Đại học Hà Nội được xây dựng dựa trên các yêu cầu và tiêu chí cụ thể. Các giải pháp này bao gồm giám sát hiệu năng hoạt động của máy chủ, lưu lượng băng thông, và an ninh hệ thống mạng. Việc áp dụng các công nghệ hiện đại như HP ArcSight Logger và PRTG Network Monitor giúp nâng cao khả năng giám sát và phân tích dữ liệu. Các giải pháp này không chỉ giúp phát hiện các sự cố mà còn cung cấp thông tin cần thiết để quản trị viên có thể đưa ra các quyết định kịp thời. Đặc biệt, việc giám sát an ninh hệ thống mạng là một yếu tố quan trọng, giúp bảo vệ hệ thống khỏi các mối đe dọa từ bên ngoài.

2.1 Các giải pháp giám sát

Các giải pháp giám sát bao gồm nhiều phương pháp khác nhau, từ giám sát hiệu năng máy chủ đến giám sát an ninh hệ thống mạng. Việc giám sát hiệu năng máy chủ giúp đảm bảo rằng các dịch vụ hoạt động ổn định và không bị gián đoạn. Giám sát lưu lượng băng thông giúp phát hiện các vấn đề liên quan đến nghẽn mạng, trong khi giám sát an ninh giúp bảo vệ hệ thống khỏi các cuộc tấn công. Các công cụ giám sát hiện đại như HP ArcSight Logger và PRTG Network Monitor cung cấp khả năng phân tích và báo cáo chi tiết, giúp quản trị viên có thể theo dõi tình trạng hoạt động của hệ thống một cách hiệu quả.

2.2 Giới thiệu một số công cụ giám sát

Một số công cụ giám sát nổi bật như HP ArcSight Logger và PRTG Network Monitor đã được áp dụng trong việc giám sát hệ thống mạng tại Đại học Hà Nội. HP ArcSight Logger cung cấp khả năng thu thập và phân tích log từ nhiều nguồn khác nhau, giúp phát hiện các mối đe dọa và sự cố một cách nhanh chóng. PRTG Network Monitor cho phép theo dõi hiệu năng của các thiết bị mạng, từ đó cung cấp thông tin chi tiết về tình trạng hoạt động của hệ thống. Việc sử dụng các công cụ này không chỉ giúp nâng cao hiệu quả giám sát mà còn giảm thiểu rủi ro cho hệ thống mạng.

III. Xây dựng hệ thống giám sát tập trung cho hệ thống mạng của Đại học Hà Nội

Hệ thống giám sát tập trung cho Đại học Hà Nội được xây dựng dựa trên khảo sát thực tế về mạng nội bộ của trường. Mô hình kiến trúc của hệ thống bao gồm các thành phần như máy trinh sát, máy thu thập, và cơ sở dữ liệu trung tâm. Các yêu cầu sử dụng được xác định rõ ràng, từ đó đề xuất các giải pháp giám sát phù hợp. Việc thử nghiệm và đánh giá các giải pháp bảo mật cũng được thực hiện để đảm bảo rằng hệ thống hoạt động hiệu quả và an toàn. Kết quả thử nghiệm cho thấy hệ thống giám sát tập trung có khả năng phát hiện và khắc phục các sự cố một cách nhanh chóng, từ đó nâng cao hiệu quả quản lý mạng.

3.1 Khảo sát mạng nội bộ Đại học Hà Nội

Khảo sát mạng nội bộ của Đại học Hà Nội cho thấy hệ thống mạng hiện tại có nhiều thành phần khác nhau, bao gồm máy chủ, thiết bị kết nối và máy tính người dùng. Việc khảo sát này giúp xác định các yêu cầu và tiêu chí cần thiết cho hệ thống giám sát tập trung. Mô hình kiến trúc của hệ thống được thiết kế để đảm bảo rằng mọi thành phần đều được giám sát một cách hiệu quả. Các chức năng và trang thiết bị mạng hiện có cũng được xem xét để đưa ra các giải pháp giám sát phù hợp.

3.2 Đề xuất giải pháp giám sát tập trung

Đề xuất giải pháp giám sát tập trung cho mạng nội bộ tại Đại học Hà Nội bao gồm việc giám sát hiệu năng phần cứng máy chủ, lưu lượng băng thông, và an ninh hệ thống. Các giải pháp này được thiết kế để đảm bảo rằng mọi hoạt động trong hệ thống đều được theo dõi và phân tích một cách chính xác. Việc áp dụng các công nghệ hiện đại giúp nâng cao khả năng giám sát và bảo mật cho hệ thống mạng, từ đó giảm thiểu rủi ro và nâng cao hiệu quả quản lý.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin, việc giám sát hệ thống mạng trở thành một yếu tố thiết yếu để đảm bảo hoạt động ổn định và an toàn cho các tổ chức, đặc biệt là các trường đại học với quy mô mạng lớn và đa dạng. Theo ước tính, hệ thống mạng tại Trường Đại học Hà Nội phục vụ hơn 2.000 máy tính và 13 máy chủ, cùng với hàng trăm thiết bị mạng và camera giám sát, tạo nên một môi trường mạng phức tạp cần được quản lý chặt chẽ. Vấn đề nghiên cứu tập trung vào việc xây dựng giải pháp giám sát tập trung nhằm quản lý hiệu quả hệ thống mạng nội bộ của trường, giúp phát hiện sớm các sự cố, giảm thiểu rủi ro và nâng cao hiệu suất vận hành.

Mục tiêu cụ thể của nghiên cứu là khảo sát các yêu cầu và giải pháp giám sát tập trung, từ đó đề xuất và ứng dụng một hệ thống giám sát tập trung phù hợp với đặc thù mạng của Trường Đại học Hà Nội. Phạm vi nghiên cứu bao gồm các giải pháp giám sát hiệu năng phần cứng máy chủ, lưu lượng băng thông, người dùng, dịch vụ, cơ sở dữ liệu, hệ điều hành và an ninh mạng trong môi trường mạng nội bộ của trường. Thời gian nghiên cứu tập trung vào năm 2018-2019, với khảo sát thực tế tại trường.

Ý nghĩa của nghiên cứu được thể hiện qua việc cung cấp một hệ thống giám sát tập trung có khả năng thu thập, phân tích và cảnh báo kịp thời các sự cố mạng, từ đó nâng cao chất lượng quản lý và vận hành hệ thống mạng, giảm thiểu thời gian gián đoạn dịch vụ và tăng cường an ninh mạng cho nhà trường.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên mô hình quản lý mạng FCAPS của ISO, bao gồm năm thành phần chính: Quản lý lỗi (Fault management), Quản lý cấu hình (Configuration management), Quản lý tài khoản (Accounting management), Quản lý hiệu năng (Performance management) và Quản lý bảo mật (Security management). Mô hình này định hướng rõ ràng các chức năng cần thiết cho hệ thống giám sát mạng.

Ngoài ra, nghiên cứu áp dụng các khái niệm về log và phân tích log trong giám sát mạng. Log được xem là nguồn dữ liệu quan trọng ghi lại mọi hoạt động và trạng thái của hệ thống, giúp phát hiện và xử lý sự cố. Khái niệm giám sát tập trung được sử dụng để mô tả hệ thống thu thập và phân tích log từ nhiều nguồn khác nhau về một cơ sở dữ liệu trung tâm, qua đó cung cấp cái nhìn tổng thể và chính xác về trạng thái mạng.

Các công cụ giám sát hiện đại như ELK stack (Elasticsearch, Logstash, Kibana và Beats) được nghiên cứu để áp dụng trong giải pháp giám sát tập trung. ELK stack là bộ công cụ mã nguồn mở, có khả năng thu thập, xử lý và trực quan hóa dữ liệu log với hiệu năng cao, phù hợp với môi trường mạng phức tạp.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa lý thuyết và thực nghiệm. Về mặt lý thuyết, tác giả thu thập và phân tích các tài liệu chuyên ngành về giám sát mạng, các mô hình quản lý mạng và công cụ giám sát hiện có. Về mặt thực nghiệm, khảo sát thực tế hệ thống mạng nội bộ của Trường Đại học Hà Nội với quy mô hơn 2.000 máy tính và 13 máy chủ, cùng hệ thống thiết bị mạng đa dạng.

Cỡ mẫu nghiên cứu bao gồm toàn bộ hệ thống mạng nội bộ trường, với các thiết bị mạng, máy chủ và người dùng được khảo sát. Phương pháp chọn mẫu là khảo sát toàn diện nhằm đảm bảo tính đại diện và đầy đủ thông tin.

Phân tích dữ liệu được thực hiện thông qua việc triển khai bộ công cụ ELK stack để thu thập, chuẩn hóa và phân tích log từ các thiết bị mạng, máy chủ và dịch vụ. Các công cụ Metricbeat, Packetbeat, Filebeat và Winlogbeat được sử dụng để thu thập dữ liệu chi tiết về hiệu năng phần cứng, lưu lượng mạng, hệ điều hành và hoạt động người dùng. Thời gian nghiên cứu thực nghiệm kéo dài trong khoảng 6 tháng, từ khảo sát đến thử nghiệm và đánh giá giải pháp.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu năng phần cứng máy chủ: Qua giám sát bằng Metricbeat, CPU và bộ nhớ RAM của các máy chủ tại trường thường xuyên đạt mức sử dụng trên 70% vào giờ cao điểm (8h30-10h sáng), với một số máy chủ có CPU vượt ngưỡng 80%, gây nguy cơ treo máy. Việc đặt ngưỡng cảnh báo giúp quản trị viên kịp thời can thiệp, giảm thiểu sự cố.

2. Lưu lượng và băng thông đường truyền: Sử dụng Packetbeat và syslog từ Switch, Router, phát hiện một số địa chỉ IP chiếm dụng lưu lượng lớn, gây tắc nghẽn tại các Switch tổng. Ví dụ, một IP trong dải mạng máy chủ tạo ra khoảng 4,5 triệu bytes traffic mỗi 30 giây, ảnh hưởng đến hiệu suất mạng.

3. Giám sát người dùng: Qua Winlogbeat, phát hiện số lần đăng nhập sai vượt quá 3 lần trong vòng 1 phút tại một số tài khoản, cảnh báo nguy cơ truy cập trái phép. Thời gian sử dụng dịch vụ và hoạt động truy cập được theo dõi để phát hiện hành vi bất thường.

4. Giám sát dịch vụ và an ninh: Các dịch vụ Web, Mail, FTP được giám sát liên tục, với cảnh báo khi dịch vụ ngưng hoạt động hoặc số lượng phiên kết nối vượt ngưỡng 90-95%. Hệ thống cũng thu thập log từ Firewall Fortinet và Windows Defender Antivirus, giúp phát hiện và xử lý kịp thời các mối đe dọa an ninh.

Thảo luận kết quả

Kết quả thử nghiệm cho thấy giải pháp giám sát tập trung sử dụng ELK stack đáp ứng hiệu quả các yêu cầu quản lý mạng của Trường Đại học Hà Nội. Việc giám sát hiệu năng phần cứng giúp giảm thiểu tình trạng treo máy chủ, nâng cao độ ổn định dịch vụ. Giám sát lưu lượng và băng thông giúp phát hiện các điểm nghẽn mạng, từ đó đề xuất nâng cấp hạ tầng phù hợp.

So với các nghiên cứu trước đây, việc ứng dụng ELK stack với các Beats chuyên dụng mang lại khả năng thu thập và phân tích dữ liệu đa dạng, nhanh chóng và chính xác hơn. Hệ thống cảnh báo tự động qua email giúp quản trị viên phản ứng kịp thời, giảm thiểu thiệt hại do sự cố mạng.

Dữ liệu có thể được trình bày qua các biểu đồ dashboard trực quan trên Kibana, thể hiện mức sử dụng CPU, RAM, lưu lượng mạng theo thời gian thực, danh sách các IP chiếm dụng băng thông cao, số lần đăng nhập thất bại của người dùng, giúp quản trị viên dễ dàng theo dõi và ra quyết định.

Đề xuất và khuyến nghị

1. Triển khai hệ thống giám sát tập trung ELK stack toàn diện: Đẩy mạnh cài đặt và cấu hình các công cụ Metricbeat, Packetbeat, Filebeat, Winlogbeat trên toàn bộ hệ thống mạng trong vòng 6 tháng tới nhằm thu thập dữ liệu đầy đủ và chính xác.

2. Thiết lập ngưỡng cảnh báo và phản ứng tự động: Đặt ngưỡng cảnh báo cho CPU, RAM, băng thông, số lần đăng nhập sai và dịch vụ ngưng hoạt động, đồng thời cấu hình gửi email, SMS tự động để giảm thiểu thời gian phản ứng khi sự cố xảy ra.

3. Nâng cấp hạ tầng mạng: Dựa trên dữ liệu giám sát lưu lượng, đề xuất nâng cấp băng thông đường truyền và thiết bị Switch, Router tại các điểm nghẽn trong vòng 12 tháng để đảm bảo hiệu suất mạng ổn định.

4. Tăng cường đào tạo và nâng cao nhận thức an ninh mạng: Tổ chức các khóa đào tạo cho đội ngũ quản trị viên và người dùng về an ninh mạng, cách sử dụng hệ thống giám sát và xử lý sự cố trong vòng 3 tháng, nhằm nâng cao hiệu quả quản lý và bảo vệ hệ thống.

Đối tượng nên tham khảo luận văn

1. Quản trị viên mạng tại các trường đại học và tổ chức giáo dục: Nghiên cứu cung cấp giải pháp thực tiễn để giám sát và quản lý hệ thống mạng phức tạp, giúp họ nâng cao hiệu quả vận hành và bảo mật.

2. Chuyên gia an ninh mạng: Luận văn trình bày chi tiết về giám sát an ninh mạng, các công cụ và phương pháp phát hiện xâm nhập, hỗ trợ chuyên gia trong việc xây dựng hệ thống phòng thủ mạng.

3. Nhà quản lý CNTT trong doanh nghiệp: Các giải pháp giám sát tập trung và công cụ ELK stack có thể áp dụng rộng rãi trong doanh nghiệp để quản lý hạ tầng mạng và dịch vụ CNTT.

4. Sinh viên và nghiên cứu sinh ngành Khoa học máy tính, Công nghệ thông tin: Tài liệu cung cấp kiến thức chuyên sâu về giám sát mạng, mô hình FCAPS, công cụ giám sát hiện đại, hỗ trợ học tập và nghiên cứu.

Câu hỏi thường gặp

1. Giám sát tập trung khác gì so với giám sát truyền thống?
   Giám sát tập trung thu thập và phân tích dữ liệu từ nhiều nguồn khác nhau về một cơ sở dữ liệu trung tâm, giúp quản trị viên có cái nhìn tổng thể và xử lý sự cố nhanh hơn, trong khi giám sát truyền thống thường chỉ theo dõi từng thành phần riêng lẻ.

2. Tại sao ELK stack được chọn làm công cụ giám sát?
   ELK stack là bộ công cụ mã nguồn mở, có khả năng xử lý lượng lớn dữ liệu log đa dạng, cung cấp giao diện trực quan và khả năng cảnh báo thời gian thực, phù hợp với môi trường mạng phức tạp như trường đại học.

3. Làm thế nào để đặt ngưỡng cảnh báo hiệu quả?
   Ngưỡng cảnh báo được thiết lập dựa trên phân tích dữ liệu thực tế, ví dụ CPU và RAM cảnh báo khi vượt 70%, băng thông cảnh báo khi đạt 70-80%, giúp phát hiện sớm các vấn đề mà không gây cảnh báo giả.

4. Giám sát người dùng có ảnh hưởng đến quyền riêng tư không?
   Giám sát người dùng tập trung vào các hoạt động đăng nhập, truy cập dịch vụ nhằm bảo vệ an ninh mạng, được thực hiện theo chính sách bảo mật và quy định của tổ chức để đảm bảo quyền riêng tư.

5. Hệ thống giám sát có thể mở rộng cho các tổ chức khác không?
   Giải pháp và công cụ được thiết kế linh hoạt, có thể tùy chỉnh và mở rộng để áp dụng cho các tổ chức có quy mô và yêu cầu khác nhau, từ doanh nghiệp đến các cơ quan nhà nước.

Kết luận

• Luận văn đã xây dựng và thử nghiệm thành công giải pháp giám sát tập trung sử dụng ELK stack cho hệ thống mạng Trường Đại học Hà Nội, đáp ứng các yêu cầu về hiệu năng, an ninh và quản lý.
• Giám sát hiệu năng phần cứng, lưu lượng mạng, người dùng và dịch vụ được thực hiện hiệu quả, giúp phát hiện và xử lý sự cố kịp thời.
• Hệ thống cảnh báo tự động qua email giúp giảm thiểu thời gian phản ứng và nâng cao độ ổn định của mạng.
• Đề xuất nâng cấp hạ tầng mạng và đào tạo nhân sự nhằm đảm bảo vận hành bền vững trong tương lai.
• Khuyến khích các tổ chức giáo dục và doanh nghiệp áp dụng giải pháp giám sát tập trung để nâng cao hiệu quả quản lý hệ thống mạng.

Tiếp theo, cần triển khai mở rộng hệ thống giám sát trên toàn bộ mạng nội bộ, đồng thời nghiên cứu tích hợp thêm các công nghệ mới như trí tuệ nhân tạo để nâng cao khả năng dự báo và tự động hóa xử lý sự cố. Đề nghị các nhà quản lý CNTT và chuyên gia an ninh mạng quan tâm áp dụng và phát triển giải pháp này nhằm bảo vệ hạ tầng mạng một cách toàn diện.

Trích đoạn nội dung tài liệu

Chương 1 của luận văn đưa ra những yêu cầu, khái niệm cơ bản về giám sát hệ thống mạng và tổng quan về giám sát tập trung, cách ứng dụng cũng như các yêu cầu chung khi triển khai một hệ thống giám sát tập trung. Luận văn cũng sẽ đề cập đến tình hình giám sát hệ thống mạng tại Việt Nam và các vấn đề liên quan.1 Các yêu cầu giám sát hệ thống mạng 1.1 Giới thiệu chung Giám sát hệ thống mạng là việc sử dụng một hệ thống để liên tục theo dõi một thành phần trong mạng máy tính, xem xét tình trạng hoạt động của thành phần đó bên trong mạng, thông báo lại cho quản trị viên khi thành phần đang được giám sát phát sinh vấn đề. Có rất nhiều các thành phần cần được giám sát khi hệ thống hoạt động như: Người dùng, Hạ tầng, Dịch vụ,. Giám sát hệ thống mạng là cần thiết vì nó sẽ giúp quản trị viên nhanh chóng biết được những sự cố đang xảy ra trên thành phần đang được giám sát, từ đó đề ra phương án giải quyết.

Thông thường một mạng máy tính tối thiểu cần có máy chủ (Server), đường truyền, các thiết bị kết nối (Repeater, Hub, Switch, Bridge,.), máy tính người dùng (Client), card mạng (Network Interface Card – NIC) để kết nối các máy tính lại với nhau. Do hệ thống mạng có rất nhiều các thiết bị kết nối nên công tác giám sát càng đóng vai trò quan trọng để có thể duy trì hệ thống mạng hoạt động một cách ổn định, trơn tru và hiệu quả. Một hệ thống giám sát gồm có nhiều thành phần: Máy trinh sát (Sensor), Máy thu thập (Collector), Cơ sở dữ liệu trung tâm và Công cụ phân tích (Analysis tool). Mỗi một thành phần bao gồm các chức năng riêng, cùng các phương pháp thu thập, phân tích và liệt kê nhằm đảm bảo đánh giá và phản hồi sự kiện xảy ra trong hệ thống mạng một cách nhanh chóng và chính xác nhất: - Máy trinh sát (Sensor): là những máy trạm làm nhiệm vụ trinh sát.

Thành phần này sẽ tiếp cận, tương tác với các hệ thống và dịch vụ cần giám sát để nhận biết trạng thái của những dịch vụ đó. Trong quá trình triển khai hệ thống, thành phần này Luan van 5 sẽ được phân tán nằm rải rác nhiều nơi trên mạng để thu thập thông tin từ những nguồn khác nhau như: Tường lửa, Bộ định tuyến, File nhật ký… - Máy thu thập (Collector): Một điều đáng chú ý trong hệ thống giám sát mạng là các hệ thống, các dịch vụ cần giám sát có thể khác nhau. Điều này đồng nghĩa với việc thông tin thu được cũng có nhiều dạng khác nhau. Để có được thông tin một cách đồng nhất nhằm mục đích xử lý và thống kê, cần có một thành phần làm nhiệm vụ chuẩn hóa thông tin.

Máy thu thập sẽ đọc những thông tin thu được từ các máy trinh sát và chuẩn hóa thông tin dựa trên những quy tắc chuẩn hóa biết trước. Thông tin đầu ra sẽ có định dạng giống nhau và được lưu vào cơ sở dữ liệu trung tâm. - Cơ sở dữ liệu trung tâm: là nơi lưu trữ dữ liệu của toàn bộ hệ thống giám sát. Các dữ liệu ở đây đã được chuẩn hóa nên có thể sử dụng để tính toán các số liệu thống kê trên toàn hệ thống - Công cụ phân tích (Analysis tool): Thành phần này sẽ đọc các dữ liệu từ cơ sở dữ liệu trung tâm và tính toán để tạo ra bản báo cáo số liệu thống kê trên toàn hệ thống.

Về cơ chế hoạt động, mỗi máy trinh sát sẽ có một danh sách những đối tượng mà máy trinh sát đó cần giám sát. Những đối tượng này có thể là file nhật ký hoạt động trên một máy tính, có thể là một dịch vụ trên hệ thống khác, cũng có thể là thành phần báo cáo trạng thái của Tường lửa/Bộ định tuyến… Dựa vào bản danh sách này, Máy trinh sát sẽ gửi truy vấn đến đối tượng để truy vấn thông tin. Thông tin thu thập được sẽ gửi đến Máy thu thập để chuẩn hóa trước khi lưu trữ vào cơ sở dữ liệu trung tâm. Tùy theo thiết kế của hệ thống, nếu những thông tin mà Máy trinh sát thu thập được có định dạng giống nhau thì sẽ không cần đến thành phần Máy thu thập.

Trong một số trường hợp khác, các Máy trinh sát cũng có thể kiêm luôn vai trò của Máy thu thập thực hiện việc chuẩn hóa dữ liệu trước khi lưu trữ. Tại cơ sở dữ liệu trung tâm, mọi dữ liệu thu dược đã có định dạng rõ ràng. Bộ phân tích sẽ đọc thông tin tại đây để tính toán và đưa ra những số liệu thống kê tạo thành một bản báo cáo hoàn chỉnh. Báo cáo này sẽ được gửi tới người quản trị.

Trong một số hệ thống giám sát, để nâng cao mức độ tự động hóa, Bộ phân tích có thể có thêm chức năng Luan van 6 phát hiện dấu hiệu xác định trước để phát ra cảnh báo. Ví dụ, sau khi lấy thông tin từ file nhật ký ghi nhận lại những lần đăng nhập không thành công vào hệ thống, nếu phát hiện thấy có 3 lần đăng nhập không thành công liên tiếp trong vòng 5 phút thì Bộ phân tích phát ra cảnh báo tới người quản trị. Cảnh báo này có thể là thư điện tử, tin nhắn SMS gửi tới điện thoại di động… Việc thu thập dữ liệu ở đây chính là việc lấy các thông tin liên quan đến tình trạng hoạt động của các thiết bị trong hệ thống mạng. Tuy nhiên, trong những hệ thống mạng lớn thì các dịch vụ hay các thiết bị không đặt tại trên máy, một địa điểm mà nằm trên các máy chủ, các hệ thống con riêng biệt nhau.

Các thành phần hệ thống cũng hoạt động trên những nền tảng hoàn toàn khác nhau. Có 2 phương pháp để thu thập dữ liệu: - Phương pháp đẩy: Các sự kiện từ các thiết bị, Các máy trạm, Server sẽ được tự động chuyển về các Collector theo thời gian thực hoặc sau mỗi khoảng thời gian phụ thuộc vào việc cấu hình trên các thiết bị tương ứng. Các Collector của Log Server sẽ thực hiện việc nghe và nhận các sự kiện khi chúng xảy ra. - Phương pháp kéo: Các Collector thu tập các sự kiện được phát sinh và lưu trữ trên chính các thiết bị và sẽ được lấy về bởi các bộ Collector.

Khi đã thu thập được những thông tin về hệ thống thì công việc tiếp theo là phân tích thông tin, cụ thể là việc thực hiện chỉ mục hóa dữ liệu, phát hiện những điều bất thường, những mối đe dọa của hệ thống. Dựa trên những thông tin về lưu lượng truy cập, trạng thái truy cập, định dạng request… Tiếp theo là phát hiện và phản ứng. Phát hiện và phản ứng là hai thành phần quan trọng trong các yếu tố của tiến trình. Sau khi phân tích các thông tin và phát hiện các sự cố liên quan đến phần cứng, phần mềm hay các cuộc tấn công bên ngoài , ta sẽ cần phải nhanh chóng đưa ta giải pháp xử lý sự cố một cách nhanh và hiệu quả nhất.

Sau khi đã thực hiện việc phân tích dữ liệu từ các thông tin thu thập được việc tiếp theo là thực hiện việc đánh giá, đưa thông tin cảnh báo tới người quản trị và thực Luan van 7 hiện những công tác nhằm chống lại những mỗi đe dọa, khắc phục các sự cố có thể sảy ra. Cảnh báo có thể thông qua email, SMS, hoặc thực thi các mã script nhằm hạn chế hậu quả của sự cố. Khi xảy ra sự cố, hệ thống sẽ tự động gửi email, sms cho người quản trị và cũng có thể chạy script để thêm một địa chỉ IP có biểu hiện tấn công và danh sách đen của Firewall. Việc này đòi hỏi người lập trình phải có hiểu biết sâu và kinh nghiệm về hệ thống.

Cơ chế hoạt động của hệ thống giám sát Giới thiệu về log Log ghi lại liên tục các thông báo về hoạt động của cả hệ thống hoặc của các dịch vụ được triển khai trên hệ thống và file tương ứng. Log file thường là các file văn bản thông thường dưới dạng “clear text”, có thể dễ dàng đọc được bằng các trình soạn thảo văn bản (vi, vim, nano.) hoặc các trình xem văn bản thông thường (cat, tailf, head.) là có thể xem được file log. Các file log có thể cung cấp các thông tin cần biết, để giải quyết các vấn đề với các ứng dụng, tiến trình được ghi vào log. Tóm lại: Log = Thời điểm + Dữ liệu.

Log ghi lại những hoạt động của hệ thống. Luan van 8 Hình 1. Vòng đời của chung của Log (Nguồn: Internet) Một vòng đời của Log bao gồm 5 bước chính được minh họa trong hình 1.2 cụ thể là: - Đầu tiên log sẽ được ghi lại tại chính máy local sau đó nó sẽ được vận chuyển sang máy chủ quản lý log. - Người quản trị mạng sẽ từ những bản ghi đó mà tiến hành phân tích, từ đó có thể giám sát được hoạt động của các máy client.

- Qua bước phân tích này mà người quản trị có thể phát hiện các hoạt động, hành vi xâm nhập không được phép. - Sau khi phân tích, dữ liệu log sẽ được lưu trữ để sử dụng lại nếu cần. - Bước cuối cùng là xóa, thường những tập tin log không cần thiết có thể được xóa bởi người quản trị nhằm giảm bớt lượng thông tin log không cần thiết. Phân tích các log hoặc các chuỗi thống kê là một nghệ thuật của việc trích dẫn đầy đủ ý nghĩa thông tin và đưa ra kết luận về một trạng thái an toàn từ các bản ghi thống kê những sự việc được sản sinh từ các thiết bị.

Phân tích log không phải là 1 khoa học, nhưng ngày nay, việc tin tưởng vào kỹ năng phân tích độc lập và trực quan cũng như tính chất may mắn trong việc phân tích log chất lượng cũng là một khái niệm khoa học. Định nghĩa việc phân tích log có thể nghe rất khô khan, nhưng quan trọng là rút ra một “Kết luận có ý nghĩa”. Nhìn một cách đơn giản vào các file log không phải Luan van 9 là phân tích, bởi vì hiếm có những cái gì ngoài những sự nhàm chán và dường như chẳng liên quan gì đến nhau. Trong trường hợp một thiết bị 1 người sử dụng với rất ít các hoạt động, tất cả những bản ghi log mà chưa được nhìn trước là rất ít nghi ngờ, nhưng trong thực tế lại không dễ dàng như vậy.

Công dụng của Log - Phân tích nguyên nhân khi có sự cố xảy ra. - Giúp cho việc khắc phục sự cố nhanh hơn khi hệ thống gặp vấn đề.