Báo cáo đồ án: Giám sát xâm nhập bằng Splunk trong an ninh mạng

Đồ án nghiên cứu đồ án môn đồ án chuyên ngành giám sát xâm nhập bằng splunk, áp dụng công nghệ tiên tiến, tối ưu giải pháp kỹ thuật cho bài toán .

• Đề tài: Giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. PHẦN 1: MỞ ĐẦU
• 1.1. TÍNH CẤP THIẾT CỦA ĐỀ TÀI
• 1.2. MỤC ĐÍCH CỦA ĐỀ TÀI
• 1.3. PHƯƠNG PHÁP NGHIÊN CỨU
• 1.4. Ý NGHĨA THỰC TIỄN CỦA ĐỀ TÀI
• 2. PHẦN 2: NỘI DUNG
• 2. Chương 1: TỔNG QUAN VỀ SOC (SECURITY OPERATIONS CENTER)
• 2.1. GIỚI THIỆU CHUNG VỀ SECURITY OPERATIONS CENTER - SOC
• 2.2. CÁC THÀNH PHẦN QUAN TRỌNG CỦA HỆ THỐNG SOC
• 2.3. CÁC THÀNH PHẦN BẢO MẬT MẠNG
• 3. Chương 2: XÂY DỰNG HỆ THỐNG SOC
• 3.1. XÁC ĐỊNH CÁC ĐỐI TƯỢNG CẦN XÂY DỰNG VÀ BẢO VỆ
• 3.2. XÂY DỰNG KẾ HOẠCH
• 3.3. VAI TRÒ NGƯỜI QUẢN TRỊ
• 3.4. QUY TRÌNH GIÁM SÁT HỆ THỐNG SOC
• 3.5. VẬN HÀNH HỆ THỐNG SOC
• 4. PHẦN 3: KẾT LUẬN
• 4.1. NHỮNG KẾT QUẢ ĐẠT ĐƯỢC
• 4.2. NHỮNG KHÓ KHĂN THI THỰC HIỆN ĐỀ TÀI
• 4.3. HƯỚNG PHÁT TRIỂN TRONG TƯƠNG LAI
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan giám sát xâm nhập mạng với giải pháp Splunk

Trong bối cảnh an ninh mạng hiện đại, việc giám sát và phát hiện xâm nhập không còn là một lựa chọn mà là yêu cầu bắt buộc đối với mọi tổ chức. Dữ liệu log, được sinh ra từ hàng loạt thiết bị như tường lửa, máy chủ, và ứng dụng, chứa đựng những thông tin quan trọng về các hoạt động bất thường. Tuy nhiên, khối lượng dữ liệu khổng lồ này lại trở thành một thách thức lớn. Đây là lúc các giải pháp SIEM (Security Information and Event Management) phát huy vai trò trung tâm. SIEM cho phép thu thập log tập trung, phân tích và tương quan các sự kiện từ nhiều nguồn khác nhau để cung cấp một cái nhìn toàn cảnh về tình hình an ninh. Trong số các nền tảng SIEM hàng đầu, Splunk nổi lên như một công cụ mạnh mẽ, không chỉ thu thập mà còn biến dữ liệu máy (machine data) thành những thông tin chi tiết có giá trị. Khả năng phân tích log an ninh theo thời gian thực và cung cấp các dashboard giám sát an ninh trực quan giúp các trung tâm điều hành an ninh (SOC) nhanh chóng xác định và phản ứng với các mối đe dọa. Việc triển khai giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng là một bước đi chiến lược, giúp nâng cao khả năng phòng thủ và bảo vệ tài sản số của doanh nghiệp.

1.1. Splunk là gì Sức mạnh của nền tảng Data to Everything

Splunk là một nền tảng phần mềm tiên tiến cho phép tìm kiếm, phân tích và trực quan hóa dữ liệu lớn do máy tạo ra, được thu thập từ các trang web, ứng dụng, cảm biến, thiết bị, v.v. Vượt ra ngoài vai trò của một công cụ quản lý log đơn thuần, Splunk cung cấp khả năng lập chỉ mục (indexing) toàn bộ dữ liệu, cho phép thực hiện các truy vấn phức tạp để chẩn đoán sự cố và xác định các mẫu hành vi. Trong lĩnh vực bảo mật thông tin, Splunk hoạt động như một hệ thần kinh trung ương, tiếp nhận dữ liệu từ mọi ngóc ngách của hạ tầng công nghệ thông tin. Nền tảng này không yêu cầu một lược đồ dữ liệu cứng nhắc, giúp nó có thể xử lý hiệu quả các định dạng log đa dạng, từ syslog của thiết bị mạng đến event log của Windows hay các log ứng dụng tùy chỉnh. Sức mạnh của Splunk nằm ở khả năng biến đổi dữ liệu thô thành các báo cáo, biểu đồ và cảnh báo tấn công dễ hiểu, hỗ trợ đắc lực cho việc ra quyết định.

1.2. Vai trò cốt lõi trong Quản lý sự kiện và thông tin bảo mật

Splunk đóng vai trò là hạt nhân của một hệ thống quản lý sự kiện và thông tin bảo mật (SIEM). Theo báo cáo nghiên cứu, hệ thống này thu thập và tổng hợp dữ liệu nhật ký từ các thiết bị bảo mật như Firewall, hệ thống phát hiện xâm nhập (IDS), hệ thống ngăn chặn xâm nhập (IPS) và Anti-virus. Chức năng chính của Splunk là tương quan các sự kiện an ninh từ các nguồn phân tán này. Ví dụ, một cảnh báo từ IDS có thể được kết hợp với một log từ Firewall và một sự kiện đăng nhập thất bại trên máy chủ để xác định một cuộc tấn công đa giai đoạn. Bằng cách này, Splunk không chỉ phát hiện mối đe dọa mà còn cung cấp ngữ cảnh đầy đủ, giúp các nhà phân tích bảo mật hiểu rõ bản chất, quy mô và tác động của sự cố, từ đó đưa ra phương án ứng phó sự cố an ninh mạng kịp thời và chính xác.

II. Thách thức trong việc giám sát an ninh mạng thu thập log

Thách thức lớn nhất trong việc giám sát an ninh hiện đại là sự bùng nổ về khối lượng và sự đa dạng của dữ liệu log. Mỗi thiết bị trong mạng, từ router, switch, tường lửa cho đến máy chủ và thiết bị đầu cuối, đều tạo ra một luồng nhật ký liên tục. Dữ liệu này tồn tại ở nhiều định dạng khác nhau và được lưu trữ phân tán, gây khó khăn cực độ cho việc tổng hợp và phân tích. Nếu không có một hệ thống thu thập log tập trung, các nhà phân tích sẽ phải truy cập thủ công vào từng thiết bị, một công việc không chỉ tốn thời gian mà còn dễ bỏ sót các dấu hiệu quan trọng. Một vấn đề khác là 'nhiễu' thông tin, khi các cảnh báo hợp lệ bị chôn vùi giữa hàng ngàn cảnh báo sai (false positive). Việc thiếu khả năng tương quan sự kiện giữa các hệ thống khác nhau cũng là một điểm yếu chí mạng. Kẻ tấn công thường che giấu hoạt động của mình bằng cách thực hiện các hành động nhỏ, có vẻ vô hại trên nhiều hệ thống khác nhau. Chỉ khi các sự kiện này được xâu chuỗi lại, bức tranh toàn cảnh về cuộc tấn công mới hiện ra. Đây chính là những vấn đề mà một giải pháp SIEM như Splunk được thiết kế để giải quyết.

2.1. Vấn đề phân tán dữ liệu log từ nhiều nguồn thiết bị

Một hạ tầng mạng doanh nghiệp điển hình bao gồm nhiều lớp bảo mật và thiết bị. Tài liệu nghiên cứu cho thấy các nguồn log chính bao gồm: Firewall (ví dụ: pfSense), IDS/IPS (ví dụ: Suricata), Anti-virus (ví dụ: ClamAV), máy chủ web, và hệ điều hành. Mỗi hệ thống này ghi lại hoạt động theo cách riêng. Log của tường lửa ghi lại các kết nối được cho phép hoặc từ chối, trong khi log của IDS chứa các cảnh báo về chữ ký tấn công đã biết. Việc quản lý các log này một cách riêng lẻ là không hiệu quả và gần như không thể cung cấp cái nhìn tổng thể. Sự phân tán này không chỉ làm chậm quá trình điều tra mà còn tạo ra các 'điểm mù' an ninh, nơi các hoạt động độc hại có thể diễn ra mà không bị phát hiện.

2.2. Khó khăn trong việc tương quan và phát hiện sự cố phức tạp

Việc phát hiện các cuộc tấn công tinh vi (Advanced Persistent Threats - APT) đòi hỏi khả năng tương quan dữ liệu ở mức độ cao. Một cảnh báo đơn lẻ, chẳng hạn như một lần quét cổng từ một địa chỉ IP lạ, có thể không đáng lo ngại. Tuy nhiên, khi sự kiện đó được kết hợp với một nỗ lực đăng nhập thất bại từ cùng một IP vào một máy chủ quan trọng, tiếp theo là một cảnh báo về việc tải xuống một tệp đáng ngờ, thì đó rõ ràng là một chuỗi tấn công. Nếu không có nền tảng phân tích tập trung, việc kết nối các điểm dữ liệu này theo thời gian thực là bất khả thi. Các nhà phân tích phải đối mặt với việc sàng lọc thủ công qua hàng gigabyte dữ liệu, một quá trình chậm chạp và dễ xảy ra lỗi con người. Đây là lý do tại sao khả năng phân tích log an ninh tự động và tương quan sự kiện là tính năng quan trọng nhất của một hệ thống giám sát hiệu quả.

III. Hướng dẫn xây dựng hệ thống giám sát Splunk hiệu quả

Xây dựng một hệ thống giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng đòi hỏi một kế hoạch kiến trúc rõ ràng. Mô hình được đề xuất trong tài liệu nghiên cứu bao gồm hai thành phần chính: Splunk Enterprise và Splunk Universal Forwarder. Splunk Enterprise đóng vai trò là máy chủ trung tâm, chịu trách nhiệm xử lý, lập chỉ mục, lưu trữ và cung cấp giao diện để truy vấn dữ liệu. Trong khi đó, Splunk Universal Forwarder là các agent gọn nhẹ được cài đặt trên các thiết bị đầu cuối (máy chủ, máy trạm, máy ảo) để thu thập và chuyển tiếp dữ liệu log về máy chủ trung tâm. Mô hình này đảm bảo việc thu thập log tập trung được thực hiện một cách an toàn và hiệu quả. Luồng dữ liệu được thiết lập một cách có chủ đích: dữ liệu syslog từ các thiết bị mạng như Pfsense Firewall được gửi trực tiếp qua giao thức UDP đến port 514, trong khi dữ liệu từ các hệ thống như Suricata IDS và ClamAV Anti-virus được các Forwarder đóng gói và gửi qua giao thức TCP đến port 9997, đảm bảo tính toàn vẹn và tin cậy. Cách tiếp cận này tạo ra một hệ thống thu thập dữ liệu linh hoạt và có khả năng mở rộng.

3.1. Mô hình kiến trúc Splunk Enterprise và Universal Forwarder

Kiến trúc nền tảng của hệ thống giám sát Splunk bao gồm một máy chủ Splunk Enterprise đóng vai trò là 'bộ não', nơi tất cả dữ liệu được tập trung để phân tích. Thành phần thứ hai là Splunk Universal Forwarder, hoạt động như những 'cảm biến' được triển khai trên các hệ thống cần giám sát. Các Forwarder này được thiết kế để tiêu thụ tài nguyên hệ thống ở mức tối thiểu, chỉ thực hiện nhiệm vụ thu thập và gửi log về máy chủ. Theo mô hình thực nghiệm, một trình Forwarder được cài đặt trên máy chủ Suricata (IDS) và máy chủ ClamAV (Anti-virus). Cấu hình này cho phép giám sát các tệp log cụ thể (ví dụ: /var/log/suricata/fast.log) theo thời gian thực. Bất kỳ sự kiện mới nào được ghi vào các tệp này sẽ ngay lập tức được chuyển đến Splunk Enterprise, giúp giảm thiểu độ trễ trong việc phát hiện.

3.2. Cấu hình thu thập log tập trung từ Firewall IDS và Anti virus

Việc cấu hình các nguồn dữ liệu là bước quan trọng để đảm bảo luồng thông tin thông suốt. Đối với Pfsense Firewall, tài liệu mô tả việc cấu hình tính năng 'Remote Logging', chỉ định địa chỉ IP của máy chủ Splunk và port 514. Splunk Enterprise được cấu hình để 'lắng nghe' trên port UDP 514, sẵn sàng nhận dữ liệu syslog. Đối với Suricata và ClamAV, sau khi cài đặt Splunk Forwarder, người quản trị sẽ cấu hình tệp inputs.conf để chỉ định các tệp và thư mục cần theo dõi. Đồng thời, tệp outputs.conf trên Forwarder được cấu hình với địa chỉ IP của máy chủ Splunk và port 9997. Máy chủ Splunk Enterprise cũng được cấu hình để nhận dữ liệu trên port TCP 9997. Quy trình này đảm bảo mọi mẩu tin quan trọng từ các thành phần bảo mật đều được tập hợp về một nơi duy nhất để phân tích.

IV. Phương pháp phát hiện mối đe dọa với Splunk và SPL

Sau khi dữ liệu đã được tập trung, sức mạnh thực sự của Splunk được thể hiện qua khả năng phân tích và phát hiện mối đe dọa. Công cụ cốt lõi để thực hiện việc này là truy vấn SPL (Search Processing Language). SPL là một ngôn ngữ truy vấn mạnh mẽ, cho phép các nhà phân tích 'trò chuyện' với dữ liệu của họ. Bằng cách sử dụng các lệnh SPL, người dùng có thể lọc ra các sự kiện không liên quan, trích xuất các trường thông tin quan trọng, thực hiện các phép tính thống kê, và xác định các xu hướng hoặc hành vi bất thường. Ví dụ, một truy vấn đơn giản có thể tìm kiếm tất cả các lần đăng nhập thất bại, trong khi một truy vấn phức tạp hơn có thể xác định một người dùng đang truy cập vào các tài nguyên mà họ chưa từng truy cập trước đây. Kết quả của các truy vấn này có thể được trực quan hóa trên các dashboard giám sát an ninh, cung cấp cho đội ngũ trung tâm điều hành an ninh (SOC) một cái nhìn trực quan và liên tục về trạng thái hệ thống. Hơn nữa, các truy vấn quan trọng có thể được lưu lại dưới dạng cảnh báo, tự động kích hoạt các hành động như gửi email khi một ngưỡng nhất định bị vi phạm.

4.1. Khai thác ngôn ngữ truy vấn SPL để săn lùng mối đe dọa

Hoạt động săn lùng mối đe dọa (threat hunting) là một quy trình chủ động, nơi các nhà phân tích không chờ đợi cảnh báo mà tự mình tìm kiếm các dấu hiệu xâm nhập. SPL là công cụ không thể thiếu trong quá trình này. Dựa trên tài liệu, một nhà phân tích có thể viết một truy vấn SPL để tìm kiếm các sự kiện 'Possible DDoS attack' từ log của Suricata. Câu lệnh index=* host="syslog" "Possible DDoS attack" sẽ nhanh chóng lọc ra tất cả các sự kiện liên quan. Từ đó, họ có thể sử dụng các lệnh như stats count by src_ip để đếm số lượng tấn công từ mỗi địa chỉ IP nguồn, hoặc top limit=10 dest_ip để xác định các mục tiêu bị tấn công nhiều nhất. Khả năng tương tác và tinh chỉnh truy vấn một cách linh hoạt cho phép các nhà phân tích đi sâu vào dữ liệu, khám phá các mối liên hệ ẩn và xác định các mối đe dọa chưa từng được biết đến.

4.2. Xây dựng Dashboard và thiết lập cảnh báo tấn công tự động

Một dashboard giám sát an ninh hiệu quả là sự kết hợp của nhiều bảng điều khiển (panel), mỗi panel hiển thị kết quả của một truy vấn SPL. Ví dụ, một dashboard có thể bao gồm biểu đồ về số lượng cảnh báo IDS theo thời gian, bản đồ địa lý hiển thị vị trí các cuộc tấn công, và danh sách các IP đáng ngờ nhất. Điều này cung cấp một cái nhìn tổng quan, 'nhìn nhanh' về tình hình an ninh. Đối với các sự kiện quan trọng, việc thiết lập cảnh báo là tối cần thiết. Tài liệu đã trình bày chi tiết cách tạo một cảnh báo cho sự kiện tấn công DDoS. Cảnh báo này có thể được cấu hình để chạy theo lịch trình (ví dụ: mỗi 5 phút) hoặc theo thời gian thực. Khi điều kiện của cảnh báo được thỏa mãn, Splunk có thể tự động thực hiện một hành động, chẳng hạn như gửi email đến quản trị viên. Tính năng này đảm bảo rằng các sự cố nghiêm trọng sẽ được chú ý ngay lập tức, cho phép ứng phó sự cố an ninh mạng một cách nhanh chóng.

V. Case study Giám sát tấn công thực tiễn bằng Splunk

Lý thuyết sẽ không hoàn chỉnh nếu thiếu đi các bằng chứng thực tiễn. Phần thực nghiệm của tài liệu nghiên cứu đã mô phỏng các kịch bản tấn công phổ biến để kiểm chứng hiệu quả của hệ thống giám sát Splunk. Các cuộc tấn công được thực hiện từ một máy Kali Linux nhắm vào các máy chủ trong vùng DMZ và mạng nội bộ, bao gồm tấn công từ chối dịch vụ (DDoS), tấn công dò mật khẩu SSH (SSH Brute Force), và tấn công SQL Injection. Trong mọi trường hợp, hệ thống đã chứng tỏ khả năng phát hiện và ghi nhận sự cố một cách hiệu quả. Dữ liệu từ các công cụ bảo mật như Suricata và Pfsense ngay lập tức được chuyển về Splunk. Tại đây, các nhà phân tích có thể sử dụng SPL để phân tích chi tiết từng sự kiện, xác định nguồn gốc, mục tiêu và bản chất của cuộc tấn công. Các cảnh báo tấn công được cấu hình trước đó đã tự động kích hoạt, gửi thông báo qua email cho người quản trị. Những kịch bản này khẳng định rằng việc triển khai giám sát xâm nhập hiệu quả với Splunk trong an ninh mạng không chỉ khả thi mà còn mang lại giá trị thực tiễn to lớn trong việc bảo vệ hệ thống.

5.1. Kịch bản phát hiện tấn công DDoS và SSH Brute Force

Trong kịch bản tấn công Ping of Death (một dạng DDoS), kẻ tấn công sử dụng công cụ hping3 để tạo ra một lượng lớn gói tin ICMP gửi đến máy chủ mục tiêu. Suricata, với vai trò là hệ thống phát hiện xâm nhập (IDS), ngay lập tức nhận diện lưu lượng bất thường này và ghi lại một sự kiện với chữ ký cảnh báo tấn công DDoS. Log này được Splunk Forwarder thu thập và gửi về máy chủ. Trên giao diện Splunk, nhà phân tích có thể thấy sự gia tăng đột biến của các sự kiện từ Suricata và dễ dàng lọc ra thông tin về IP nguồn và đích. Tương tự, với cuộc tấn công SSH Brute Force bằng công cụ Hydra, hệ thống ghi nhận hàng loạt lần đăng nhập thất bại trong một khoảng thời gian ngắn từ một địa chỉ IP duy nhất. Splunk có thể dễ dàng phát hiện mẫu hành vi này và đưa ra cảnh báo về một nỗ lực dò mật khẩu đang diễn ra.

5.2. Phân tích và ngăn chặn tấn công SQL Injection MS17 010

Đối với các cuộc tấn công vào tầng ứng dụng như SQL Injection, Suricata đóng vai trò quan trọng trong việc phát hiện các chuỗi truy vấn độc hại trong lưu lượng mạng. Khi kẻ tấn công chèn các câu lệnh SQL vào một biểu mẫu trên trang web, Suricata sẽ so khớp với các quy tắc (rules) của nó và tạo ra một cảnh báo. Splunk tiếp nhận cảnh báo này và cho phép nhà phân tích xem chi tiết về chuỗi tấn công, địa chỉ IP của kẻ tấn công, và máy chủ web bị nhắm tới. Tương tự, khi khai thác lỗ hổng MS17-010 bằng Metasploit, các dấu hiệu đặc trưng của việc khai thác sẽ bị Suricata phát hiện. Splunk không chỉ hiển thị cảnh báo này mà còn cho phép tương quan nó với các log khác, chẳng hạn như log từ hệ điều hành của máy chủ bị tấn công, để xác nhận xem cuộc tấn công có thành công hay không. Quá trình này cung cấp đầy đủ thông tin để tiến hành các bước ứng phó sự cố an ninh mạng tiếp theo.

VI. Tương lai giám sát an ninh Tích hợp Splunk và SOAR

Việc xây dựng thành công một mô hình giám sát xâm nhập với Splunk đã giải quyết được các bài toán cốt lõi về khả năng quan sát, phát hiện và phân tích. Hệ thống cho phép biến dữ liệu log từ trạng thái rời rạc, vô nghĩa thành những thông tin chi tiết, hữu ích cho công tác bảo mật thông tin. Kết quả thực nghiệm đã chứng minh hiệu quả của mô hình trong việc nhận diện các loại tấn công phổ biến. Tuy nhiên, quá trình ứng phó sự cố an ninh mạng vẫn còn phụ thuộc nhiều vào sự can thiệp thủ công của con người sau khi nhận được cảnh báo. Đây chính là bước phát triển tiếp theo của hệ thống. Tương lai của các trung tâm điều hành an ninh (SOC) nằm ở việc tự động hóa. Việc tích hợp Splunk với các nền tảng tự động hóa phản ứng và điều phối an ninh (SOAR) sẽ là một bước tiến vượt bậc, giúp giảm thiểu thời gian phản ứng từ vài phút, vài giờ xuống chỉ còn vài giây, nâng cao đáng kể khả năng chống chịu của tổ chức trước các mối đe dọa ngày càng tinh vi.

6.1. Tóm tắt kết quả đạt được và những hạn chế của mô hình

Mô hình được trình bày đã đạt được các mục tiêu chính: xây dựng thành công một hệ thống thu thập log tập trung, phân tích và hiển thị các sự kiện an ninh từ nhiều nguồn khác nhau, và phát hiện thành công các cuộc tấn công mô phỏng. Báo cáo nghiên cứu đã chứng minh rằng Splunk là một giải pháp SIEM mạnh mẽ và linh hoạt. Tuy nhiên, tài liệu cũng thẳng thắn nhìn nhận những hạn chế, bao gồm cơ sở lý thuyết chưa thực sự đi sâu vào các kỹ thuật phân tích hành vi người dùng (UBA) hay machine learning, và chưa khai thác hết các ứng dụng (add-on) mở rộng có sẵn trên Splunk. Đây là những điểm có thể cải thiện trong các nghiên cứu và triển khai trong tương lai để nâng cao hơn nữa khả năng phát hiện các mối đe dọa không xác định.

6.2. Hướng phát triển Tích hợp SOAR để tự động hóa ứng phó

SOAR (Security Orchestration, Automation, and Response) là công nghệ cho phép các tổ chức định nghĩa các quy trình ứng phó sự cố (playbook) và tự động thực thi chúng. Trong một mô hình tích hợp, khi Splunk tạo ra một cảnh báo quan trọng (ví dụ: phát hiện một máy chủ bị nhiễm mã độc), nó sẽ gửi thông tin này đến nền tảng SOAR. Hệ thống SOAR sau đó sẽ tự động kích hoạt một playbook: cô lập máy chủ bị nhiễm khỏi mạng, chặn địa chỉ IP của kẻ tấn công trên tường lửa, và tạo một phiếu yêu cầu (ticket) cho đội ngũ an ninh để điều tra sâu hơn. Việc tích hợp Splunk Enterprise Security với một giải pháp SOAR giúp giảm tải công việc lặp đi lặp lại cho các nhà phân tích, cho phép họ tập trung vào các nhiệm vụ phức tạp hơn như săn lùng mối đe dọa, đồng thời đảm bảo rằng các sự cố được xử lý một cách nhất quán và nhanh chóng, bất kể thời gian nào trong ngày.

Trích đoạn nội dung tài liệu

Chương 1: TỔNG QUAN VỀ SOC (SECURITY OPERATIONS CENTER) 1.1 GIỚI THIỆU CHUNG VỀ SECURITY OPERATIONS CENTER - SOC Trung Tâm Điều Hành An Ninh (Security Operations Center - SOC ) là một đơn vị xử lý các vấn đề an ninh tập trung. Mục tiêu của SOC là phát hiện, phân tích và ứng phó với các sự cố an ninh mạng bằng cách sử dụng kết hợp các giải pháp công nghệ và quy trình hoạt động chặc chẽ. Các trung tâm hoạt động bảo mật thường có nhân viên với các nhà phân tích bảo mật và kỹ sư cũng như các nhà quản lý giám sát các hoạt động bảo mật. Nhân viên SOC làm việc chặt chẽ với các nhóm phản ứng sự cố để đảm bảo các vấn đề an ninh được giải quyết nhanh chóng khi phát hiện ra.

Hệ thống trung tâm này có thể giúp bảo mật cho các thiết bị đầu cuối khác nhau: bảo mật website, bảo mật ứng dụng, bảo mật cơ sở dữ liệu, bảo mật máy chủ, bảo mật hệ thống mạng, máy tính, … Hệ thống SOC tùy theo kiến trúc thiết kế sẽ liên tục theo dõi mọi hoạt động trong hệ thống của khách hàng và đưa ra những cảnh báo. Các tính năng chính của hệ thống như sau: ● Kiểm soát – tập trung vào kiểm soát các trạng thái bảo mật của hệ thống như: đánh giá bảo mật pentest, đánh giá tính tuân thủ, đánh giá lỗ hổng hệ thống, … ● Giám sát – tập trung vào các sự kiện và phản hồi dựa trên giám sát logs, quản trị SIEM và phản hồi sự cố. ● Hoạt động – tập trung vào quản trị hoạt động bảo mật như quản lý định danh và truy cập, quản lý khóa, quản trị tường lửa, … Để xây dựng được hệ thống SOC thì điều quan trọng là cần có sự liên kết giữa con người (people), công nghệ (technology), quy trình (processes). Như hình sau: Hình 1.

Khối xây dựng của SOC 1. Con người (People) - Nhân viên của SOC phải được đào tạo cần thiết để đối phó với công việc liên tục thay đổi và thường khá khó khăn của một nhà phân tích bảo mật, điều tra viên sự cố, chuyên gia về chủ đề hoặc người quản lý SOC. Bảng 1: Nhiệm vụ và nhu cầu đào tạo của SOC - Liên tục theo dõi hàng đợi cảnh báo; xử Cấp 1: Phân tích, cảnh báo lý (Tier 1: Alert Analyst) cảnh báo an ninh; theo dõi thiết bị cảm biến an ninh và thiết bị đầu cuối; thu thập dữ liệu và bối cảnh cần thiết để bắt đầu công việc ở Cấp 2. - Thực hiện phân tích sự cố sâu bên trong Cấp 2: Ứng phó sự cố (Tier 2: bằng cách tương quan dữ liệu từ nhiều nguồn Incident Responder) khác nhau; xác định nếu một hệ thống quan trọng hoặc tập dữ liệu đã bị ảnh hưởng; tư vấn khắc phục; cung cấp hỗ trợ cho các phương pháp phân tích mới để phát hiện các mối đe dọa.

- Có kiến thức chuyên sâu về mạng, thiết Cấp 3: Chuyên gia xử lý các vấn bị đề. (Tier 3: Subject Matter Expert) đầu cuối, mối đe dọa, điều tra số và dịch ngược phần mềm độc hại, cũng như chức năng của các ứng dụng cụ thể hoặc cơ sở hạ tầng CNTT cơ bản; hoạt động như một sự cố, không chờ đợi sự cố leo thang; tham gia chặt chẽ trong việc phát triển, điều chỉnh và thực hiện các phân tích phát hiện mối đe dọa. - Quản lý các nguồn lực bao gồm nhân sự, Cấp 4: Quản lý SOC (SOC Manager) ngân sách, lập kế hoạch thay đổi và chiến lược; đóng vai trò là người tổ chức cho các sự cố quan trọng; cung cấp định hướng chung cho SOC và đầu vào cho chiến lược bảo mật tổng thể. Quy trình (Processes) - Xác định các quy trình xử lý và điều tra sự cố có thể lặp lại để chuẩn hóa các hành động mà nhà phân tích SOC thực hiện và đảm bảo không có nhiệm vụ quan trọng nào rơi vào vết nứt.

Bằng cách tạo quy trình quản lý sự cố có thể lặp lại, các thành viên nhóm trách nhiệm và hành động từ việc tạo ra một cảnh báo và đánh giá Cấp 1 ban đầu để leo thang lên nhân sự Cấp 2 hoặc Cấp 3 được xác định. Dựa trên quy trình làm việc, tài nguyên có thể được phân bổ hiệu quả. - Quy trình bao gồm sáu giai đoạn: chuẩn bị, xác định, ngăn chặn, diệt trừ, phục hồi và rút ra bài học kinh nghiệm. Công nghệ (Technology) - Xây dựng một giải pháp thu thập, tổng hợp, phát hiện, phân tích và quản lý dữ liệu là công nghệ cốt lõi của SOC.

- Một hệ thống giám sát an ninh hiệu quả sẽ kết hợp dữ liệu được thu thập từ việc giám sát liên tục các điểm cuối (PC, máy tính xách tay, thiết bị di động và máy chủ,.) cũng như các mạng và nguồn nhật ký và sự kiện.Các dữ liệu này được thu thập trước và trong khi xảy ra sự cố, nên các nhà phân tích có thể ngay lập tức xoay vòng từ việc sử dụng hệ thống giám sát an ninh như một công cụ thám tử để sử dụng nó như một công cụ điều tra, xem xét các hoạt động đáng ngờ tạo nên sự cố hiện tại và thậm chí là một công cụ để quản lý phản ứng với các sự cố.2 KIẾN TRÚC Hình 2. Mô hình kiến trúc cơ bản của một hệ thống SOC Kiến trúc cơ bản của một hệ thống SOC chia thành các lớp xử lý sau: - Reporting and management layer – Báo cáo và quản trị. ● Chịu trách nhiệm về việc quản lý các vấn đề về bảo mật, quản lý hệ thống các thiết bị, hệ thống mạng… ● Lập báo cáo về các sự cố trong hệ thống. - Data collaboration – Tổng hợp các dữ liệu ● Lớp này sẽ quản lý các chính sách về các vấn đề an ninh.

Lưu trữ và quản lý dữ liệu về sự cố đã xảy ra để cập nhật vào dữ liệu hệ thống. Tự động hóa về an ninh. - Security vulnerability: Phân tích lỗ hổng bảo mật. ● Cung cấp cơ sở dữ liệu về các lỗ hổng bảo mật phổ biến (CVE) giúp dễ dàng đối chiếu thông tin lỗ hổng trên các công cụ và dịch vụ khác nhau, dễ dàng xác định và cập nhật các bản vá lỗi thuận lợi cho việc bảo trì và xây dựng hệ thống.

● Kiểm soát cấu hình. ● Tổng hợp số liệu bảo mật, xếp hạng các rủi ro. - Event correlation layer – Tương quan sự kiện. + Sử dụng công cụ tương quan sự kiện để quản lý, phân tích và lọc các sự kiện, phân tích luồng dữ liệu.

+ Tích hợp với hệ thống quản lý mạng như: NMS. + Tích hợp xử lý rắc rối. - Security information and event management (SIEM): Quản lý thông tin và sự kiện bảo mật. + Thu thập thông tin và sự kiện từ các thiết bị đầu cuối, dịch vụ … trong hệ thống.

Lưu trữ và quản lý tập trung. + Phân tích và xử lý các sự cố an ninh xảy ra. - Network layer – Mạng. +Vùng chứa các thiết bị mạng (Router, switch, ảo hóa, …), thiết bị đầu cuối (PC), server (DMZ, Data center), các thiết bị bảo mật (Firewall, IDS, AV, …).

+ Logs của các thiết bị hay dịch vụ ở lớp mạng này sẽ được chuyển tới SIEM để phân tích và xử lý. Trung tâm điều hành an ninh (SOC) có thể giải quyết các vấn đề về lượng dữ liệu khổng lồ và đơn giản hóa mô hình dữ liệu của quản lý bảo mật nói chung. Thông tin bảo mật từ tất cả các thiết bị mạng sẽ được lưu trữ vào cơ sở dữ liệu chung và được phân tích theo các chính sách bảo mật tùy chỉnh. Tất cả các thông tin có liên quan được lưu trữ để thực hiện phân tích rủi ro, giám sát rủi ro và giải quyết rủi ro.

Hệ thống SOC là một công cụ mạnh mẽ trong hoạt động của các chuyên gia bảo trì bảo mật và sẽ liên tục phân tích các rủi ro bảo mật của hệ thống và đưa ra các giải pháp một cách hiệu quả, linh hoạt. Hệ thống SOC có thể được xây dựng theo một trong ba mô hình giải pháp sau: - Giải pháp quản lý thông tin an ninh: tập trung vào việc thu thập, lưu trữ và biểu diễn nhật ký. - Giải pháp quản lý sự kiện an ninh: tập trung vào việc phân tích và xử lý các nhật ký đã được thu thập để đưa ra cảnh báo cho người dùng. Giải pháp quản lý và phân tích sự kiện an ninh: là sự kết hợp của cả hai giải pháp trên nhằm khắc phục những hạn chế vốn có.

Vì vậy, bài báo cáo này em sẽ hướng đến giải pháp này.3 CÁC THÀNH PHẦN QUAN TRỌNG CỦA HỆ THỐNG SOC 1. Logs Là một thành phần quan trọng của hệ thống mạng. Nó lưu lại một cách chính xác mọi hoạt động của hệ thống, tình trạng hoạt động của hệ thống, các ứng dụng, các thiết bị đã và đang hoạt động trong hệ thống. Log Access: Là log ghi lại toàn bộ thông tin truy cập của người dùng tới hệ thống, truy cập của các ứng dụng tới cơ sở dữ liệu … Log Event: là log ghi lại chi tiết những sự kiện mà hệ thống đã thực hiện.

Log ứng dụng, log của điều hành, … Log Device: là log ghi lại tình trạng hoạt động của các thiết bị phần cứng và phần mềm đang được sử dụng: Router, Switch, Firewall, … Log là một thành phần cực kỳ hữu hiệu cho việc giám sát cũng như khắc phục các sự cố trong hệ thống mạng. Tuy nhiên, với những hệ thống lớn, chạy nhiều ứng dụng, lượng truy cập cao thì công việc phân tích log thực sự là một điều vô cùng khó khăn. Event Một sự kiện vẫn có thể là một bản ghi, nhưng nó là một bản ghi có bối cảnh cụ thể cho bạn. Sự kiện có thể đến từ nhiều nguồn, không chỉ là nhật ký.

Ví dụ: một người dùng gọi để phàn nàn về quá nhiều tin nhắn rác trong email của anh ta là một sự kiện. Trong mọi trường hợp, một sự kiện là một đầu vào cho SOC cần được thay đổi và xem xét để xác định xem nó có đảm bảo điều tra hoặc phân tích thêm không. Nó thường là một bản ghi ý nghĩa mà ai đó muốn ghi lại về những gì đang xảy ra. Thông thường có thể bao gồm ký hiệu Information, Warning, Exception.

Ví dụ: - Dung lượng ổ đĩa đã vượt quá một ngưỡng nhất định, chẳng hạn như 95%. - Việc sử dụng CPU vượt quá 99%. - Một người dùng đăng nhập vào hệ thống. Không phải tất cả các bản ghi mà bạn thu thập sẽ đủ xứng đáng để trở thành một sự kiện mà ai đó có thể phải xem lại.