## Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng, các cuộc tấn công mạng ngày càng gia tăng về số lượng và mức độ phức tạp, gây thiệt hại nghiêm trọng cho cá nhân, tổ chức và doanh nghiệp. Theo ước tính, hàng năm có hàng nghìn sự cố an ninh mạng xảy ra, làm gián đoạn hoạt động và đánh cắp dữ liệu quan trọng. Vấn đề bảo đảm an toàn thông tin trở thành ưu tiên hàng đầu, đặc biệt với các tổ chức vừa và nhỏ tại Việt Nam, nơi mà chi phí đầu tư cho các giải pháp bảo mật thương mại thường rất cao và hạn chế khả năng tùy biến, mở rộng.

Luận văn tập trung nghiên cứu và xây dựng công cụ phát hiện tấn công mạng dựa trên công nghệ SIEM (Security Information and Event Management) với mã nguồn mở AlienVault OSSIM, nhằm cung cấp giải pháp giám sát an ninh mạng hiệu quả, tiết kiệm chi phí và phù hợp với điều kiện thực tế tại Việt Nam. Mục tiêu cụ thể là phát triển hệ thống có khả năng thu thập, phân tích và tương quan các sự kiện an ninh từ nhiều nguồn khác nhau để phát hiện sớm các cuộc tấn công như tấn công đăng nhập, dò quét cổng, tấn công từ chối dịch vụ (DoS/DDoS), và tấn công SQL injection.

Phạm vi nghiên cứu tập trung vào hệ thống mạng quy mô vừa và nhỏ tại Việt Nam trong giai đoạn 2014-2016. Ý nghĩa của nghiên cứu được thể hiện qua việc nâng cao khả năng phòng chống tấn công mạng, giảm thiểu thiệt hại và tăng cường an toàn thông tin cho các tổ chức, đồng thời góp phần phát triển công nghệ bảo mật nội địa.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

- **Lý thuyết an toàn mạng**: Bao gồm các khái niệm về tính bảo mật, tính toàn vẹn, tính sẵn sàng và các kiểu vi phạm an toàn mạng như phá hoại, can thiệp, sửa đổi và giả mạo.
- **Mô hình tấn công mạng**: Phân tích các kiểu tấn công phổ biến như tấn công thăm dò, nghe trộm, tấn công truy cập, tấn công từ chối dịch vụ (DoS, DDoS, DRDoS), và giả mạo IP.
- **Công nghệ SIEM**: Hệ thống quản lý và phân tích sự kiện an ninh, bao gồm các thành phần thu thập log, chuẩn hóa dữ liệu, tương quan sự kiện và cảnh báo.
- **Mô hình phát hiện xâm nhập IDS/IPS**: Phân biệt giữa Network-based IDS (NIDS) và Host-based IDS (HIDS), cùng các ưu nhược điểm và vai trò trong giám sát an ninh mạng.
- **Mô hình tương quan sự kiện an ninh**: Phương pháp dựa trên quy tắc (rule-based) và thống kê (statistical-based) để phát hiện các hành vi bất thường.

### Phương pháp nghiên cứu

- **Nguồn dữ liệu**: Thu thập log và sự kiện an ninh từ các thiết bị mạng, máy chủ, ứng dụng và thiết bị bảo mật trong hệ thống mạng thử nghiệm.
- **Phương pháp phân tích**: Sử dụng công nghệ SIEM với phần mềm mã nguồn mở AlienVault OSSIM để chuẩn hóa, tổng hợp và tương quan các sự kiện an ninh nhằm phát hiện các dấu hiệu tấn công.
- **Cỡ mẫu và chọn mẫu**: Hệ thống mạng quy mô vừa và nhỏ tại một số tổ chức, doanh nghiệp tại Việt Nam được lựa chọn làm mẫu thử nghiệm.
- **Timeline nghiên cứu**: Nghiên cứu và phát triển công cụ trong khoảng thời gian 6 tháng, từ đầu năm 2016 đến giữa năm 2016, bao gồm các giai đoạn thu thập dữ liệu, xây dựng luật phát hiện, triển khai và thử nghiệm thực tế.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- Hệ thống SIEM dựa trên AlienVault OSSIM có khả năng thu thập và xử lý hàng trăm nghìn bản ghi log mỗi ngày, giúp phát hiện kịp thời các cuộc tấn công mạng.
- Công cụ phát hiện được các kiểu tấn công phổ biến như tấn công đăng nhập thất bại với tỷ lệ phát hiện trên 90%, tấn công dò quét cổng với độ chính xác khoảng 85%, và tấn công từ chối dịch vụ với khả năng cảnh báo sớm trong vòng vài giây.
- So sánh với các hệ thống IDS/IPS truyền thống, SIEM giảm thiểu cảnh báo giả xuống dưới 10%, giúp quản trị viên tập trung xử lý các sự kiện quan trọng.
- Việc xây dựng các luật phát hiện phù hợp với đặc thù mạng nội bộ giúp tăng hiệu quả phát hiện và giảm thiểu cảnh báo không cần thiết.

### Thảo luận kết quả

Nguyên nhân của các kết quả tích cực là do SIEM tích hợp khả năng tương quan sự kiện từ nhiều nguồn khác nhau, giúp phát hiện các hành vi tấn công phức tạp mà các hệ thống đơn lẻ không thể nhận biết. So với các nghiên cứu trước đây, công cụ phát hiện tấn công mạng dựa trên SIEM mã nguồn mở phù hợp hơn với điều kiện thực tế tại Việt Nam, đặc biệt là về chi phí và khả năng tùy biến.

Dữ liệu có thể được trình bày qua biểu đồ số lượng sự kiện an ninh theo thời gian, bảng so sánh tỷ lệ phát hiện và cảnh báo giả giữa các hệ thống, giúp minh họa rõ ràng hiệu quả của công cụ. Kết quả này có ý nghĩa quan trọng trong việc nâng cao năng lực phòng chống tấn công mạng cho các tổ chức vừa và nhỏ, góp phần bảo vệ an toàn thông tin quốc gia.

## Đề xuất và khuyến nghị

- **Triển khai rộng rãi công cụ SIEM mã nguồn mở** tại các tổ chức vừa và nhỏ nhằm giảm chi phí đầu tư và tăng cường khả năng giám sát an ninh mạng.
- **Đào tạo nhân lực chuyên sâu về quản trị và vận hành SIEM** để nâng cao hiệu quả phát hiện và ứng phó sự cố, đảm bảo thời gian phản ứng nhanh chóng.
- **Phát triển và cập nhật liên tục các luật phát hiện tấn công** dựa trên đặc thù mạng và các mối đe dọa mới, nhằm giảm thiểu cảnh báo giả và tăng độ chính xác.
- **Xây dựng hệ thống cảnh báo và báo cáo trực quan** giúp quản trị viên dễ dàng theo dõi và phân tích các sự kiện an ninh, từ đó đưa ra quyết định kịp thời.
- **Khuyến khích hợp tác nghiên cứu và chia sẻ thông tin về các mối đe dọa mạng** giữa các tổ chức để nâng cao khả năng phòng chống tấn công mạng trên phạm vi toàn quốc.

## Đối tượng nên tham khảo luận văn

- **Quản trị viên mạng và an ninh thông tin**: Nâng cao kiến thức về công nghệ SIEM và các phương pháp phát hiện tấn công mạng hiệu quả.
- **Các tổ chức, doanh nghiệp vừa và nhỏ**: Tìm hiểu giải pháp giám sát an ninh mạng tiết kiệm chi phí, phù hợp với điều kiện thực tế.
- **Nhà nghiên cứu và sinh viên ngành công nghệ thông tin**: Tham khảo mô hình nghiên cứu, phương pháp triển khai và đánh giá công cụ phát hiện tấn công mạng.
- **Cơ quan quản lý và hoạch định chính sách an ninh mạng**: Đánh giá hiệu quả các giải pháp công nghệ mã nguồn mở trong việc bảo vệ hạ tầng mạng quốc gia.

## Câu hỏi thường gặp

1. **SIEM là gì và tại sao cần sử dụng SIEM trong an ninh mạng?**  
SIEM là hệ thống quản lý và phân tích sự kiện an ninh, giúp thu thập, chuẩn hóa và tương quan các sự kiện từ nhiều nguồn để phát hiện sớm các cuộc tấn công mạng. Ví dụ, SIEM có thể phát hiện các cuộc tấn công đăng nhập bất thường mà các hệ thống đơn lẻ không nhận ra.

2. **AlienVault OSSIM có phù hợp với các tổ chức nhỏ không?**  
OSSIM là giải pháp SIEM mã nguồn mở, dễ triển khai và chi phí thấp, rất phù hợp với các tổ chức vừa và nhỏ muốn nâng cao khả năng giám sát an ninh mạng mà không phải đầu tư lớn vào các sản phẩm thương mại.

3. **Làm thế nào để giảm cảnh báo giả trong hệ thống SIEM?**  
Bằng cách xây dựng và cập nhật các luật phát hiện phù hợp với đặc thù mạng, sử dụng các bộ lọc và tương quan sự kiện, SIEM có thể giảm thiểu cảnh báo giả, giúp quản trị viên tập trung xử lý các sự kiện thực sự nguy hiểm.

4. **Phương pháp thu thập log trong SIEM như thế nào?**  
SIEM có thể thu thập log theo phương thức push (thiết bị gửi log tự động) hoặc pull (SIEM chủ động lấy log). Việc lựa chọn phương pháp phụ thuộc vào loại thiết bị và yêu cầu bảo mật.

5. **SIEM có thể phát hiện được những loại tấn công nào?**  
SIEM có khả năng phát hiện nhiều loại tấn công như tấn công đăng nhập trái phép, dò quét cổng, tấn công từ chối dịch vụ (DoS/DDoS), tấn công SQL injection và các hành vi vi phạm chính sách an ninh khác.

## Kết luận

- Đã xây dựng thành công công cụ phát hiện tấn công mạng dựa trên công nghệ SIEM với mã nguồn mở AlienVault OSSIM, phù hợp với điều kiện thực tế tại Việt Nam.  
- Công cụ có khả năng thu thập, phân tích và tương quan hàng trăm nghìn sự kiện an ninh mỗi ngày, phát hiện chính xác các kiểu tấn công phổ biến.  
- Giảm thiểu cảnh báo giả, giúp quản trị viên tập trung xử lý các sự kiện quan trọng, nâng cao hiệu quả giám sát an ninh mạng.  
- Đề xuất triển khai rộng rãi, đào tạo nhân lực và phát triển luật phát hiện để nâng cao năng lực phòng chống tấn công mạng.  
- Hướng tới nghiên cứu mở rộng, tích hợp thêm các công nghệ mới và nâng cao khả năng tự động ứng phó sự cố trong các giai đoạn tiếp theo.

Khuyến khích các tổ chức áp dụng công cụ, đồng thời tiếp tục nghiên cứu, hoàn thiện và mở rộng giải pháp để đáp ứng nhu cầu an ninh mạng ngày càng phức tạp.