Báo cáo đồ án: Giám sát xâm nhập bằng Splunk trong an ninh mạng

• Đề tài: Giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng

• LỜI CẢM ƠN
• 1. PHẦN 1: MỞ ĐẦU
• 1.1. TÍNH CẤP THIẾT CỦA ĐỀ TÀI
• 1.2. MỤC ĐÍCH CỦA ĐỀ TÀI
• 1.3. PHƯƠNG PHÁP NGHIÊN CỨU
• 1.4. Ý NGHĨA THỰC TIỄN CỦA ĐỀ TÀI
• 2. PHẦN 2: NỘI DUNG
• 2. Chương 1: TỔNG QUAN VỀ SOC (SECURITY OPERATIONS CENTER)
• 2.1. GIỚI THIỆU CHUNG VỀ SECURITY OPERATIONS CENTER - SOC
• 2.2. CÁC THÀNH PHẦN QUAN TRỌNG CỦA HỆ THỐNG SOC
• 2.3. CÁC THÀNH PHẦN BẢO MẬT MẠNG
• 3. Chương 2: XÂY DỰNG HỆ THỐNG SOC
• 3.1. XÁC ĐỊNH CÁC ĐỐI TƯỢNG CẦN XÂY DỰNG VÀ BẢO VỆ
• 3.2. XÂY DỰNG KẾ HOẠCH
• 3.3. VAI TRÒ NGƯỜI QUẢN TRỊ
• 3.4. QUY TRÌNH GIÁM SÁT HỆ THỐNG SOC
• 3.5. VẬN HÀNH HỆ THỐNG SOC
• 4. PHẦN 3: KẾT LUẬN
• 4.1. NHỮNG KẾT QUẢ ĐẠT ĐƯỢC
• 4.2. NHỮNG KHÓ KHĂN THI THỰC HIỆN ĐỀ TÀI
• 4.3. HƯỚNG PHÁT TRIỂN TRONG TƯƠNG LAI
• TÀI LIỆU THAM KHẢO

I. Tổng quan giám sát xâm nhập mạng với giải pháp Splunk

Trong bối cảnh an ninh mạng hiện đại, việc giám sát và phát hiện xâm nhập không còn là một lựa chọn mà là yêu cầu bắt buộc đối với mọi tổ chức. Dữ liệu log, được sinh ra từ hàng loạt thiết bị như tường lửa, máy chủ, và ứng dụng, chứa đựng những thông tin quan trọng về các hoạt động bất thường. Tuy nhiên, khối lượng dữ liệu khổng lồ này lại trở thành một thách thức lớn. Đây là lúc các giải pháp SIEM (Security Information and Event Management) phát huy vai trò trung tâm. SIEM cho phép thu thập log tập trung, phân tích và tương quan các sự kiện từ nhiều nguồn khác nhau để cung cấp một cái nhìn toàn cảnh về tình hình an ninh. Trong số các nền tảng SIEM hàng đầu, Splunk nổi lên như một công cụ mạnh mẽ, không chỉ thu thập mà còn biến dữ liệu máy (machine data) thành những thông tin chi tiết có giá trị. Khả năng phân tích log an ninh theo thời gian thực và cung cấp các dashboard giám sát an ninh trực quan giúp các trung tâm điều hành an ninh (SOC) nhanh chóng xác định và phản ứng với các mối đe dọa. Việc triển khai giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng là một bước đi chiến lược, giúp nâng cao khả năng phòng thủ và bảo vệ tài sản số của doanh nghiệp.

1.1. Splunk là gì Sức mạnh của nền tảng Data to Everything

Splunk là một nền tảng phần mềm tiên tiến cho phép tìm kiếm, phân tích và trực quan hóa dữ liệu lớn do máy tạo ra, được thu thập từ các trang web, ứng dụng, cảm biến, thiết bị, v.v. Vượt ra ngoài vai trò của một công cụ quản lý log đơn thuần, Splunk cung cấp khả năng lập chỉ mục (indexing) toàn bộ dữ liệu, cho phép thực hiện các truy vấn phức tạp để chẩn đoán sự cố và xác định các mẫu hành vi. Trong lĩnh vực bảo mật thông tin, Splunk hoạt động như một hệ thần kinh trung ương, tiếp nhận dữ liệu từ mọi ngóc ngách của hạ tầng công nghệ thông tin. Nền tảng này không yêu cầu một lược đồ dữ liệu cứng nhắc, giúp nó có thể xử lý hiệu quả các định dạng log đa dạng, từ syslog của thiết bị mạng đến event log của Windows hay các log ứng dụng tùy chỉnh. Sức mạnh của Splunk nằm ở khả năng biến đổi dữ liệu thô thành các báo cáo, biểu đồ và cảnh báo tấn công dễ hiểu, hỗ trợ đắc lực cho việc ra quyết định.

1.2. Vai trò cốt lõi trong Quản lý sự kiện và thông tin bảo mật

Splunk đóng vai trò là hạt nhân của một hệ thống quản lý sự kiện và thông tin bảo mật (SIEM). Theo báo cáo nghiên cứu, hệ thống này thu thập và tổng hợp dữ liệu nhật ký từ các thiết bị bảo mật như Firewall, hệ thống phát hiện xâm nhập (IDS), hệ thống ngăn chặn xâm nhập (IPS) và Anti-virus. Chức năng chính của Splunk là tương quan các sự kiện an ninh từ các nguồn phân tán này. Ví dụ, một cảnh báo từ IDS có thể được kết hợp với một log từ Firewall và một sự kiện đăng nhập thất bại trên máy chủ để xác định một cuộc tấn công đa giai đoạn. Bằng cách này, Splunk không chỉ phát hiện mối đe dọa mà còn cung cấp ngữ cảnh đầy đủ, giúp các nhà phân tích bảo mật hiểu rõ bản chất, quy mô và tác động của sự cố, từ đó đưa ra phương án ứng phó sự cố an ninh mạng kịp thời và chính xác.

II. Thách thức trong việc giám sát an ninh mạng thu thập log

Thách thức lớn nhất trong việc giám sát an ninh hiện đại là sự bùng nổ về khối lượng và sự đa dạng của dữ liệu log. Mỗi thiết bị trong mạng, từ router, switch, tường lửa cho đến máy chủ và thiết bị đầu cuối, đều tạo ra một luồng nhật ký liên tục. Dữ liệu này tồn tại ở nhiều định dạng khác nhau và được lưu trữ phân tán, gây khó khăn cực độ cho việc tổng hợp và phân tích. Nếu không có một hệ thống thu thập log tập trung, các nhà phân tích sẽ phải truy cập thủ công vào từng thiết bị, một công việc không chỉ tốn thời gian mà còn dễ bỏ sót các dấu hiệu quan trọng. Một vấn đề khác là 'nhiễu' thông tin, khi các cảnh báo hợp lệ bị chôn vùi giữa hàng ngàn cảnh báo sai (false positive). Việc thiếu khả năng tương quan sự kiện giữa các hệ thống khác nhau cũng là một điểm yếu chí mạng. Kẻ tấn công thường che giấu hoạt động của mình bằng cách thực hiện các hành động nhỏ, có vẻ vô hại trên nhiều hệ thống khác nhau. Chỉ khi các sự kiện này được xâu chuỗi lại, bức tranh toàn cảnh về cuộc tấn công mới hiện ra. Đây chính là những vấn đề mà một giải pháp SIEM như Splunk được thiết kế để giải quyết.

2.1. Vấn đề phân tán dữ liệu log từ nhiều nguồn thiết bị

Một hạ tầng mạng doanh nghiệp điển hình bao gồm nhiều lớp bảo mật và thiết bị. Tài liệu nghiên cứu cho thấy các nguồn log chính bao gồm: Firewall (ví dụ: pfSense), IDS/IPS (ví dụ: Suricata), Anti-virus (ví dụ: ClamAV), máy chủ web, và hệ điều hành. Mỗi hệ thống này ghi lại hoạt động theo cách riêng. Log của tường lửa ghi lại các kết nối được cho phép hoặc từ chối, trong khi log của IDS chứa các cảnh báo về chữ ký tấn công đã biết. Việc quản lý các log này một cách riêng lẻ là không hiệu quả và gần như không thể cung cấp cái nhìn tổng thể. Sự phân tán này không chỉ làm chậm quá trình điều tra mà còn tạo ra các 'điểm mù' an ninh, nơi các hoạt động độc hại có thể diễn ra mà không bị phát hiện.

2.2. Khó khăn trong việc tương quan và phát hiện sự cố phức tạp

Việc phát hiện các cuộc tấn công tinh vi (Advanced Persistent Threats - APT) đòi hỏi khả năng tương quan dữ liệu ở mức độ cao. Một cảnh báo đơn lẻ, chẳng hạn như một lần quét cổng từ một địa chỉ IP lạ, có thể không đáng lo ngại. Tuy nhiên, khi sự kiện đó được kết hợp với một nỗ lực đăng nhập thất bại từ cùng một IP vào một máy chủ quan trọng, tiếp theo là một cảnh báo về việc tải xuống một tệp đáng ngờ, thì đó rõ ràng là một chuỗi tấn công. Nếu không có nền tảng phân tích tập trung, việc kết nối các điểm dữ liệu này theo thời gian thực là bất khả thi. Các nhà phân tích phải đối mặt với việc sàng lọc thủ công qua hàng gigabyte dữ liệu, một quá trình chậm chạp và dễ xảy ra lỗi con người. Đây là lý do tại sao khả năng phân tích log an ninh tự động và tương quan sự kiện là tính năng quan trọng nhất của một hệ thống giám sát hiệu quả.

III. Hướng dẫn xây dựng hệ thống giám sát Splunk hiệu quả

Xây dựng một hệ thống giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng đòi hỏi một kế hoạch kiến trúc rõ ràng. Mô hình được đề xuất trong tài liệu nghiên cứu bao gồm hai thành phần chính: Splunk Enterprise và Splunk Universal Forwarder. Splunk Enterprise đóng vai trò là máy chủ trung tâm, chịu trách nhiệm xử lý, lập chỉ mục, lưu trữ và cung cấp giao diện để truy vấn dữ liệu. Trong khi đó, Splunk Universal Forwarder là các agent gọn nhẹ được cài đặt trên các thiết bị đầu cuối (máy chủ, máy trạm, máy ảo) để thu thập và chuyển tiếp dữ liệu log về máy chủ trung tâm. Mô hình này đảm bảo việc thu thập log tập trung được thực hiện một cách an toàn và hiệu quả. Luồng dữ liệu được thiết lập một cách có chủ đích: dữ liệu syslog từ các thiết bị mạng như Pfsense Firewall được gửi trực tiếp qua giao thức UDP đến port 514, trong khi dữ liệu từ các hệ thống như Suricata IDS và ClamAV Anti-virus được các Forwarder đóng gói và gửi qua giao thức TCP đến port 9997, đảm bảo tính toàn vẹn và tin cậy. Cách tiếp cận này tạo ra một hệ thống thu thập dữ liệu linh hoạt và có khả năng mở rộng.

3.1. Mô hình kiến trúc Splunk Enterprise và Universal Forwarder

Kiến trúc nền tảng của hệ thống giám sát Splunk bao gồm một máy chủ Splunk Enterprise đóng vai trò là 'bộ não', nơi tất cả dữ liệu được tập trung để phân tích. Thành phần thứ hai là Splunk Universal Forwarder, hoạt động như những 'cảm biến' được triển khai trên các hệ thống cần giám sát. Các Forwarder này được thiết kế để tiêu thụ tài nguyên hệ thống ở mức tối thiểu, chỉ thực hiện nhiệm vụ thu thập và gửi log về máy chủ. Theo mô hình thực nghiệm, một trình Forwarder được cài đặt trên máy chủ Suricata (IDS) và máy chủ ClamAV (Anti-virus). Cấu hình này cho phép giám sát các tệp log cụ thể (ví dụ: /var/log/suricata/fast.log) theo thời gian thực. Bất kỳ sự kiện mới nào được ghi vào các tệp này sẽ ngay lập tức được chuyển đến Splunk Enterprise, giúp giảm thiểu độ trễ trong việc phát hiện.

3.2. Cấu hình thu thập log tập trung từ Firewall IDS và Anti virus

Việc cấu hình các nguồn dữ liệu là bước quan trọng để đảm bảo luồng thông tin thông suốt. Đối với Pfsense Firewall, tài liệu mô tả việc cấu hình tính năng 'Remote Logging', chỉ định địa chỉ IP của máy chủ Splunk và port 514. Splunk Enterprise được cấu hình để 'lắng nghe' trên port UDP 514, sẵn sàng nhận dữ liệu syslog. Đối với Suricata và ClamAV, sau khi cài đặt Splunk Forwarder, người quản trị sẽ cấu hình tệp inputs.conf để chỉ định các tệp và thư mục cần theo dõi. Đồng thời, tệp outputs.conf trên Forwarder được cấu hình với địa chỉ IP của máy chủ Splunk và port 9997. Máy chủ Splunk Enterprise cũng được cấu hình để nhận dữ liệu trên port TCP 9997. Quy trình này đảm bảo mọi mẩu tin quan trọng từ các thành phần bảo mật đều được tập hợp về một nơi duy nhất để phân tích.

IV. Phương pháp phát hiện mối đe dọa với Splunk và SPL

Sau khi dữ liệu đã được tập trung, sức mạnh thực sự của Splunk được thể hiện qua khả năng phân tích và phát hiện mối đe dọa. Công cụ cốt lõi để thực hiện việc này là truy vấn SPL (Search Processing Language). SPL là một ngôn ngữ truy vấn mạnh mẽ, cho phép các nhà phân tích 'trò chuyện' với dữ liệu của họ. Bằng cách sử dụng các lệnh SPL, người dùng có thể lọc ra các sự kiện không liên quan, trích xuất các trường thông tin quan trọng, thực hiện các phép tính thống kê, và xác định các xu hướng hoặc hành vi bất thường. Ví dụ, một truy vấn đơn giản có thể tìm kiếm tất cả các lần đăng nhập thất bại, trong khi một truy vấn phức tạp hơn có thể xác định một người dùng đang truy cập vào các tài nguyên mà họ chưa từng truy cập trước đây. Kết quả của các truy vấn này có thể được trực quan hóa trên các dashboard giám sát an ninh, cung cấp cho đội ngũ trung tâm điều hành an ninh (SOC) một cái nhìn trực quan và liên tục về trạng thái hệ thống. Hơn nữa, các truy vấn quan trọng có thể được lưu lại dưới dạng cảnh báo, tự động kích hoạt các hành động như gửi email khi một ngưỡng nhất định bị vi phạm.

4.1. Khai thác ngôn ngữ truy vấn SPL để săn lùng mối đe dọa

Hoạt động săn lùng mối đe dọa (threat hunting) là một quy trình chủ động, nơi các nhà phân tích không chờ đợi cảnh báo mà tự mình tìm kiếm các dấu hiệu xâm nhập. SPL là công cụ không thể thiếu trong quá trình này. Dựa trên tài liệu, một nhà phân tích có thể viết một truy vấn SPL để tìm kiếm các sự kiện 'Possible DDoS attack' từ log của Suricata. Câu lệnh index=* host="syslog" "Possible DDoS attack" sẽ nhanh chóng lọc ra tất cả các sự kiện liên quan. Từ đó, họ có thể sử dụng các lệnh như stats count by src_ip để đếm số lượng tấn công từ mỗi địa chỉ IP nguồn, hoặc top limit=10 dest_ip để xác định các mục tiêu bị tấn công nhiều nhất. Khả năng tương tác và tinh chỉnh truy vấn một cách linh hoạt cho phép các nhà phân tích đi sâu vào dữ liệu, khám phá các mối liên hệ ẩn và xác định các mối đe dọa chưa từng được biết đến.

4.2. Xây dựng Dashboard và thiết lập cảnh báo tấn công tự động

Một dashboard giám sát an ninh hiệu quả là sự kết hợp của nhiều bảng điều khiển (panel), mỗi panel hiển thị kết quả của một truy vấn SPL. Ví dụ, một dashboard có thể bao gồm biểu đồ về số lượng cảnh báo IDS theo thời gian, bản đồ địa lý hiển thị vị trí các cuộc tấn công, và danh sách các IP đáng ngờ nhất. Điều này cung cấp một cái nhìn tổng quan, 'nhìn nhanh' về tình hình an ninh. Đối với các sự kiện quan trọng, việc thiết lập cảnh báo là tối cần thiết. Tài liệu đã trình bày chi tiết cách tạo một cảnh báo cho sự kiện tấn công DDoS. Cảnh báo này có thể được cấu hình để chạy theo lịch trình (ví dụ: mỗi 5 phút) hoặc theo thời gian thực. Khi điều kiện của cảnh báo được thỏa mãn, Splunk có thể tự động thực hiện một hành động, chẳng hạn như gửi email đến quản trị viên. Tính năng này đảm bảo rằng các sự cố nghiêm trọng sẽ được chú ý ngay lập tức, cho phép ứng phó sự cố an ninh mạng một cách nhanh chóng.

V. Case study Giám sát tấn công thực tiễn bằng Splunk

Lý thuyết sẽ không hoàn chỉnh nếu thiếu đi các bằng chứng thực tiễn. Phần thực nghiệm của tài liệu nghiên cứu đã mô phỏng các kịch bản tấn công phổ biến để kiểm chứng hiệu quả của hệ thống giám sát Splunk. Các cuộc tấn công được thực hiện từ một máy Kali Linux nhắm vào các máy chủ trong vùng DMZ và mạng nội bộ, bao gồm tấn công từ chối dịch vụ (DDoS), tấn công dò mật khẩu SSH (SSH Brute Force), và tấn công SQL Injection. Trong mọi trường hợp, hệ thống đã chứng tỏ khả năng phát hiện và ghi nhận sự cố một cách hiệu quả. Dữ liệu từ các công cụ bảo mật như Suricata và Pfsense ngay lập tức được chuyển về Splunk. Tại đây, các nhà phân tích có thể sử dụng SPL để phân tích chi tiết từng sự kiện, xác định nguồn gốc, mục tiêu và bản chất của cuộc tấn công. Các cảnh báo tấn công được cấu hình trước đó đã tự động kích hoạt, gửi thông báo qua email cho người quản trị. Những kịch bản này khẳng định rằng việc triển khai giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng không chỉ khả thi mà còn mang lại giá trị thực tiễn to lớn trong việc bảo vệ hệ thống.

5.1. Kịch bản phát hiện tấn công DDoS và SSH Brute Force

Trong kịch bản tấn công Ping of Death (một dạng DDoS), kẻ tấn công sử dụng công cụ hping3 để tạo ra một lượng lớn gói tin ICMP gửi đến máy chủ mục tiêu. Suricata, với vai trò là hệ thống phát hiện xâm nhập (IDS), ngay lập tức nhận diện lưu lượng bất thường này và ghi lại một sự kiện với chữ ký cảnh báo tấn công DDoS. Log này được Splunk Forwarder thu thập và gửi về máy chủ. Trên giao diện Splunk, nhà phân tích có thể thấy sự gia tăng đột biến của các sự kiện từ Suricata và dễ dàng lọc ra thông tin về IP nguồn và đích. Tương tự, với cuộc tấn công SSH Brute Force bằng công cụ Hydra, hệ thống ghi nhận hàng loạt lần đăng nhập thất bại trong một khoảng thời gian ngắn từ một địa chỉ IP duy nhất. Splunk có thể dễ dàng phát hiện mẫu hành vi này và đưa ra cảnh báo về một nỗ lực dò mật khẩu đang diễn ra.

5.2. Phân tích và ngăn chặn tấn công SQL Injection MS17 010

Đối với các cuộc tấn công vào tầng ứng dụng như SQL Injection, Suricata đóng vai trò quan trọng trong việc phát hiện các chuỗi truy vấn độc hại trong lưu lượng mạng. Khi kẻ tấn công chèn các câu lệnh SQL vào một biểu mẫu trên trang web, Suricata sẽ so khớp với các quy tắc (rules) của nó và tạo ra một cảnh báo. Splunk tiếp nhận cảnh báo này và cho phép nhà phân tích xem chi tiết về chuỗi tấn công, địa chỉ IP của kẻ tấn công, và máy chủ web bị nhắm tới. Tương tự, khi khai thác lỗ hổng MS17-010 bằng Metasploit, các dấu hiệu đặc trưng của việc khai thác sẽ bị Suricata phát hiện. Splunk không chỉ hiển thị cảnh báo này mà còn cho phép tương quan nó với các log khác, chẳng hạn như log từ hệ điều hành của máy chủ bị tấn công, để xác nhận xem cuộc tấn công có thành công hay không. Quá trình này cung cấp đầy đủ thông tin để tiến hành các bước ứng phó sự cố an ninh mạng tiếp theo.

VI. Tương lai giám sát an ninh Tích hợp Splunk và SOAR

Việc xây dựng thành công một mô hình giám sát xâm nhập với Splunk đã giải quyết được các bài toán cốt lõi về khả năng quan sát, phát hiện và phân tích. Hệ thống cho phép biến dữ liệu log từ trạng thái rời rạc, vô nghĩa thành những thông tin chi tiết, hữu ích cho công tác bảo mật thông tin. Kết quả thực nghiệm đã chứng minh hiệu quả của mô hình trong việc nhận diện các loại tấn công phổ biến. Tuy nhiên, quá trình ứng phó sự cố an ninh mạng vẫn còn phụ thuộc nhiều vào sự can thiệp thủ công của con người sau khi nhận được cảnh báo. Đây chính là bước phát triển tiếp theo của hệ thống. Tương lai của các trung tâm điều hành an ninh (SOC) nằm ở việc tự động hóa. Việc tích hợp Splunk với các nền tảng tự động hóa phản ứng và điều phối an ninh (SOAR) sẽ là một bước tiến vượt bậc, giúp giảm thiểu thời gian phản ứng từ vài phút, vài giờ xuống chỉ còn vài giây, nâng cao đáng kể khả năng chống chịu của tổ chức trước các mối đe dọa ngày càng tinh vi.

6.1. Tóm tắt kết quả đạt được và những hạn chế của mô hình

Mô hình được trình bày đã đạt được các mục tiêu chính: xây dựng thành công một hệ thống thu thập log tập trung, phân tích và hiển thị các sự kiện an ninh từ nhiều nguồn khác nhau, và phát hiện thành công các cuộc tấn công mô phỏng. Báo cáo nghiên cứu đã chứng minh rằng Splunk là một giải pháp SIEM mạnh mẽ và linh hoạt. Tuy nhiên, tài liệu cũng thẳng thắn nhìn nhận những hạn chế, bao gồm cơ sở lý thuyết chưa thực sự đi sâu vào các kỹ thuật phân tích hành vi người dùng (UBA) hay machine learning, và chưa khai thác hết các ứng dụng (add-on) mở rộng có sẵn trên Splunk. Đây là những điểm có thể cải thiện trong các nghiên cứu và triển khai trong tương lai để nâng cao hơn nữa khả năng phát hiện các mối đe dọa không xác định.

6.2. Hướng phát triển Tích hợp SOAR để tự động hóa ứng phó

SOAR (Security Orchestration, Automation, and Response) là công nghệ cho phép các tổ chức định nghĩa các quy trình ứng phó sự cố (playbook) và tự động thực thi chúng. Trong một mô hình tích hợp, khi Splunk tạo ra một cảnh báo quan trọng (ví dụ: phát hiện một máy chủ bị nhiễm mã độc), nó sẽ gửi thông tin này đến nền tảng SOAR. Hệ thống SOAR sau đó sẽ tự động kích hoạt một playbook: cô lập máy chủ bị nhiễm khỏi mạng, chặn địa chỉ IP của kẻ tấn công trên tường lửa, và tạo một phiếu yêu cầu (ticket) cho đội ngũ an ninh để điều tra sâu hơn. Việc tích hợp Splunk Enterprise Security với một giải pháp SOAR giúp giảm tải công việc lặp đi lặp lại cho các nhà phân tích, cho phép họ tập trung vào các nhiệm vụ phức tạp hơn như săn lùng mối đe dọa, đồng thời đảm bảo rằng các sự cố được xử lý một cách nhất quán và nhanh chóng, bất kể thời gian nào trong ngày.