Chương 1- Giới thiệu tổng quan: Chương | giới thiệu về xu hướng phát triển của an toàn thông tin trong thế giới công nghệ hiện đại, đồng thời rủi ro về dữ liệu được chú trọng trong các cuộc tan công mạng, mối nguy hại của ransomware đối với dữ liệu. Chương cũng đề cập đến các công nghệ bảo mật như SIEM, IDPS và việc triển khai tự động các dịch vụ bảo mật trên môi trường đám mây đang là xu hướng tat yếu giúp giảm thiểu thủ công. e Chương 2-— Kiến thức nền tảng: Chương 2 sẽ giới thiệu về các kiến thức cần thiết trong công trình nghiên cứu này, bao gồm SIEM, Cloud, IDPS, AWS, Wazuh, Suricata, Pfsense,. Ngoài ra, một sé công trình nghiên cứu tham khảo cũng được đề cập và khảo sát tại chương này.
e Chương 3-— Mô hình đề xuất: Trinh bày về phương pháp nghiên cứu, sử dụng các giải pháp đã được trình bày tại chương trước, mô hình tổng quan của hệ thống cùng với luồng hoạt động của giải pháp sẽ được sử dụng trong mô hình. e - Chương 4— Thực nghiệm và đánh giá: Chương 4 trình bay cách cài đặt va cầu hình một số thành phần trong mô hình, giới thiệu chỉ tiết các kịch bản sẽ 12 được thực hiện và triển khai trên hệ thống, qua đó đánh giá được mức độ thiệt hại, khả năng phát hiện, ngăn chặn và phục hồi của các giải pháp đã triển khai đối với hệ thống. e Chương 5-— Kết luận và hướng phát triển: Tổng kết lại quá trình nghiên cứu cũng như kết qua của dé tài, các hạn chế trong thời gian thực hiện và dé ra hướng phát triển cho nghiên cứu trong tương lai. Trong chương 2, chúng tôi cung cấp các kiến thức nền tảng cũng như giới thiệu các thuật ngữ và công cụ sẽ được sử dụng trong mô hình đề xuất.
Chương3 trình bày phương pháp nghiên cứu, thiết kế, cái nhìn trực quan về hệ thống đề xuất, dựa trên các giải pháp và công cụ đã được giới thiệu trước đó. Chương 4 mô tả chỉ tiết việc triển khai thử nghiệm, bao gồm môi trường, các kịch bản tan công và khả năng ứng phó sự có của hệ thống. Kết quả thực hiện, phân tích và đánh giá cũng được đề cập trong chương này. Cuối cùng, chương 5 tong kết quá trình nghiên cứu, đánh giá những hạn chế của hệ thống đề xuất, và đưa ra các định hướng phát triển nghiên cứu trong tương lai.
KIÊN THỨC NEN TANG Chương 2 giới thiệu các lý thuyết cơ sở và khái niệm được sử dụng trong đề tài, bao gồm: Quản lý sự kiện và thông tin bảo mật (Security Information and Event Management — SIEM); Điện toán đám mây (Cloud Computing); Hệ thong phát hiện va ngăn ngừa xâm nhập (Intrusion Detection and Prevention System — IDPS); Dịch vu Web Amazon (Amazon Web Services — AWS); Nền tảng quản lí sự kiện bảo mật — Wazuh; Giải pháp quan lí, giám sát, phát hiện và ngăn ngừa xâm nhập — Suricata; Nên tảng tường lửa và router — Pfsense; Nén tảng phát triển và vận hành hệ thống — Docker; Bộ công cụ phan mém hỗ trợ cơ sở hạ tang dưới dạng mã nguồn (Infrastructure as Code) — Ansible; Bộ công cu phân mêm hỗ trợ cơ sở hạ tang dưới dang mã nguồn (Infrastructure as Code) — Terraform. Quan lý su kiện và thông tin bao mat (Security Information and Event Management — SIEM) Trình quan lí sự kiện và thông tin bao mat (SIEM) là một phương pháp quản lý bảo mật kết hợp dữ liệu sự kiện, mối đe dọa và rủi ro vào một hệ thống duy nhất dé cải thiện khả năng phát hiện và khắc phục các van dé bảo mật, đồng thời cung cấp thêm một lớp bảo vệ chuyên sâu. Việc sử dụng SIEM có thê giúp ích rất nhiều nhưng đòi hỏi phải xem xét các quy trình và dữ liệu kinh doanh bảo mật dé tận dụng công cụ SIEM theo cách hiệu quả nhất. SIEM có nhiều khả năng mà khi được kết hợp và tích hợp sẽ mang lại sự bảo vệ toàn diện cho các tô chức và doanh nghiệp.
SIEM hỗ trợ khả năng ứng phó sự có của Trung tâm điều hành an ninh (SOC), bao gồm các hoạt động phát hiện, điều tra, săn lùng mối đe dọa cũng như các hoạt động ứng phó và khắc phục. Việc này cũng được thực hiện dễ dàng và hiệu quả hơn bằng cách tập hợp lại thành một trang tổng quan. SIEM cung cap bảo mật doanh nghiệp bằng cách cung cấp khả năng hiển thi cho doanh nghiệp - toàn bộ mạng lưới thiết bị và ứng dụng. 14 © Incident Review Incident Review Hình 2.1 Splunk — giải pháp SIEM trả phí được ứng dung ở nhiều quốc gia! Splunk là một phần mềm quản lí và giám sát hệ thống và có khả năng mở rộng nhằm lập chỉ mục và tìm kiếm các file log trong hệ thống cũng như phân tích dữ liệu dé thu thập thông tin vận hành.
Phần mềm chịu trách nhiệm phân tách dữ liệu, nghĩa là nó tương quan, thu thập và lập chỉ mục dữ liệu theo thời gian thực, từ đó tạo ra cảnh báo, trang tong quan, đồ thị, báo cáo và hình anh trực quan. Điều này giúp các tổ chức nhận ra các mẫu dữ liệu phô biến, chân đoán các van đề tiềm ẩn, áp dụng trí thông minh vào hoạt động kinh doanh và tạo ra các số liệu. Phần mềm của Splunk có thé được sử dụng dé kiểm tra, giám sát và tìm kiếm dữ liệu lớn do máy tạo ra thông qua giao diện giống trình duyệt. Nó giúp việc tìm ! https://www.com/en_us/products.html 15 kiếm một phan dữ liệu cụ thé trở nên nhanh chóng và dé dang và quan trọng hơn là không yêu câu cơ sở dữ liệu đê lưu trữ dữ liệu vì nó sử dụng các chỉ mục đê lưu trữ.
~ | Woidlies ñ@nt@sgone © œwazuh Dashboard Events (9) Explore agent 3) Generate report QV Search KQL j⁄ Last 24 hours Show dates 7 Refresh dustername: wazuh rule groups: audit + Add filter Alert groups Events 5,327 hits May 19, 2020 @ 10:13:25.490 II ili iii Time « agentiname rulegroups rule description rulelevel rulelẻ > Aug 16, 2620 8 22:39:18.199 RHEL? Connection blocked Poor reputation IP address 196.89 blocked by firewall 9 100100 > Aug 15, 2020 8 16:29:31.754 Windows File quarantined File C:\Users\Administrator\Finance.doc quarantined 10 100125 y Aug 15, 2620 8 01:20:38.187 Debian Process stopped Conpromised process /usr/sbin/httpd stopped 2 168232 > Aug 14, 2620 8 63:16:14.366 Centes Application renoved Blacklisted RPM nmap-ncat-6.2 Wazuh — giải pháp SIEM mã nguồn mở miễn phí? Wazuh là nền tảng quản lí sự kiện bảo mật mã nguồn mở. Hệ thống cung cấp chức năng Phát hiện và phản hồi mở rộng (XDR) và Quản lý sự kiện và thông tin bảo mật (SIEM) đề giúp người dùng bảo vệ các điểm cuối tốt hơn và tăng tốc độ phản hồi của họ đối với các vấn đề bảo mật. Wazuh sử dụng tác nhân bảo mật điểm cuối để phát hiện các sự cố bảo mật cục bộ và phần mềm độc hại trên thiết bị khách, máy chủ, máy do và hệ thông dựa trên đám mây. Máy chủ Wazuh cung cấp khả năng kiểm soát và quản lý các tác nhân điểm cuối và cảnh báo, đồng thời sử dụng bộ giải mã, quy tắc và thông tin về mối de doa dé tìm kiếm các dau hiệu xâm phạm ở phạm vi mạng.
Giải pháp này được chúng tôi đề cập và giải thích rõ hơn ở phần 2. Nền tảng quản lí sự kiện bảo mật — Wazuh. Điện toán đám mây (Cloud Computing) Điện toán đám mây, được duy trì bởi bên thứ ba (qua internet), là khả năng truy cập tới các tài nguyên máy tính bao gồm phan cứng, lưu trữ, mang, giao diện và dich vụ [6]. Sử dụng các tài nguyên này, người dùng có thé truy cập cơ sở hạ tang, ứng dụng và dịch vụ theo yêu cầu.
Nó cho phép người dùng truy cập thông tin, ứng dụng và dữ liệu của họ ở bất kỳ đâu dựa trên nhu cầu của họ, chỉ cần có kết nối internet. Đặc quyền của điện toán đám mây so với điện toán thông thường bao gồm tính linh hoạt, khả năng mở rộng, hiệu quả về chỉ phí và độc lập về thiết bị và vị trí [7]. Dua trén loai ha tang, điện toán dam mây có thé được chia thành ba loại [8], chăng hạn như public cloud (nhà cung cấp dịch vụ đám mây chịu trách nhiệm quản lý, phân phối và bán đám mây cho cộng đồng), private cloud (một công ty sở hữu đám mây chịu trách nhiệm phân phối và bán) và hybrid cloud (do nhiều công ty sở hữu và phân phối) [9]. Dịch vụ điện toán đám mây có thể được chia thành ba loại: Cơ sở hạ tầng dưới dạng Dịch vụ (Infrastructure as a Service - laaS), Nền tảng dưới dạng Dịch vụ (Platform as a Service - PaaS) và Phần mềm dưới dạng Dịch vụ (Software as a Service - SaaS) [10] như được thể hiện trong hình 2.
Bảo mật là một khía cạnh quan trọng của điện toán và do đó, điện toán đám mây có liên quan chặt chẽ đến bảo mật do đữ liệu quan trọng và nhạy cảm được lưu trữ trên đám mây. Gần đây, rất nhiều nghiên cứu đang được tiến hành đề giải quyết những thách thức của Dữ liệu lớn trong điện toán đám mây. Một số thách thức này liên quan đến bảo mật thông tin, quyền riêng tư, quy định và các vân dé vê hiệu suât. 17 Application Data Runtime MiddleWare Operating System Virtualization Hardware Customer Cloud Service Providers Microsoft Azure là nền tảng điện toán đám mây công cộng bao gồm: Platform as a Service (PaaS) — nền tảng dưới dang dịch vu, Infrastruture as a Service (IaaS) — co so ha tang va Software as a Service (SaaS) — phan mềm.
Tất cả đều ở dạng dịch vụ. Microsoft Azure được ứng dụng cho những dịch vụ như: lưu trữ, phân tích, mạng, ảo hóa máy tính,. Ngoài ra, Azure còn có thể được dùng hoặc là bổ sung thêm cho các máy chủ ngay tại chỗ. 18 4Á Azure CycleCloud 9 Clusters Create a New Cluster Xã blender-prod (21) Schedulers E§ Oo cmenane HTC ond vr (5) kafka-prod (4) ah Grid Engine HTCondor PBS Professional OSS Slurm — _ nfs-prod (1) im Filesystems & anaconda blender-dev 4Ú“ ° $ŒLUsTrER ca BeeGFS = gluster-dev BeeGFS GlusterFS NFS kafka-dev Infrastructure nfs-dev Bq kafk Sj i 3 arka New Cluster redis Data Science VM Kafka Redis Single VM Zookeeper Applications g s ` docker Anaconda Blender Docker LAMMPS MrBayes Singularity » [+][@ |[o Hình 2.4 Một số thành phan trong Microsoft Azure 3 Google Cloud Platform (GCP) là nha cung cấp đám mây công cộng đến từ Google - giống như các đối thủ cạnh tranh Amazon Web Services (AWS) và Microsoft Azure.
Với GCP và các nhà cung cấp đám mây khác, khách hàng có thể truy cập miễn phí các tài nguyên máy tính đặt trong các trung tâm dữ liệu của Google trên toàn thế giới hoặc trên cơ sở trả tiền cho mỗi lần sử dụng.