## Tổng quan nghiên cứu

Trong bối cảnh Internet phát triển mạnh mẽ, số lượng website và server lưu trữ ngày càng tăng nhanh, kéo theo nguy cơ bị tấn công mạng cũng gia tăng đáng kể. Theo báo cáo của ngành, các cuộc tấn công DDoS và xâm nhập máy chủ đã gây thiệt hại kinh tế lên tới hàng triệu đô la mỗi năm cho các doanh nghiệp. Vấn đề bảo mật server trở thành thách thức lớn đối với các tổ chức, đặc biệt khi các cuộc tấn công ngày càng tinh vi và khó phát hiện. Việc phát hiện sớm các dấu hiệu bất thường trên server là yếu tố then chốt để ngăn chặn thiệt hại.

Luận văn tập trung nghiên cứu file log server – một nguồn dữ liệu quan trọng ghi lại toàn bộ hoạt động của server – và ứng dụng phân tích file log trong việc tăng cường bảo mật server. Mục tiêu chính là xây dựng hệ thống phân tích log server có khả năng phát hiện sớm các dấu hiệu tấn công, cảnh báo kịp thời cho quản trị viên, từ đó giảm thiểu rủi ro và chi phí vận hành. Nghiên cứu được thực hiện trên hệ thống server lưu trữ web của công ty iNET trong khoảng thời gian năm 2020 tại Hà Nội.

Ý nghĩa của nghiên cứu thể hiện qua việc nâng cao hiệu quả quản trị hệ thống, giảm thiểu thời gian và nguồn lực xử lý sự cố, đồng thời góp phần bảo vệ an toàn dữ liệu và duy trì hoạt động liên tục của server trong môi trường mạng ngày càng phức tạp.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

- **Lý thuyết bảo mật server:** Tập trung vào các nguyên tắc bảo vệ dữ liệu và tài nguyên trên server khỏi truy cập trái phép, chỉnh sửa hoặc đánh cắp, đảm bảo tính bí mật, toàn vẹn và sẵn sàng của hệ thống.
- **Mô hình phân tích file log:** Bao gồm các giai đoạn thu thập, chuẩn bị, mô hình hóa và báo cáo dữ liệu log, giúp phát hiện các sự kiện bất thường hoặc tấn công.
- **Các kỹ thuật phân tích log:** Normalization (chuẩn hóa dữ liệu), Classification and Tagging (phân loại và gắn nhãn), Pattern Recognition (nhận dạng mẫu), Correlation Analysis (phân tích tương quan) nhằm xử lý và phân tích dữ liệu log hiệu quả.
- **Mô hình ELK Stack:** Sử dụng ElasticSearch, Logstash và Kibana để thu thập, xử lý, lưu trữ và trực quan hóa dữ liệu log, hỗ trợ phân tích và cảnh báo tự động.

### Phương pháp nghiên cứu

- **Nguồn dữ liệu:** Dữ liệu log server thu thập từ hệ thống server lưu trữ web của công ty iNET, bao gồm khoảng 20 server với đa dạng hệ điều hành như Windows Server, CentOS, Debian, Ubuntu và CloudLinux.
- **Phương pháp phân tích:** Áp dụng công nghệ ELK Stack để xây dựng hệ thống phân tích log tự động. Filebeat được sử dụng để thu thập dữ liệu log, Logstash xử lý và chuẩn hóa dữ liệu, ElasticSearch lưu trữ và lập chỉ mục, Kibana trực quan hóa dữ liệu.
- **Timeline nghiên cứu:** Nghiên cứu và thiết kế hệ thống trong năm 2020, triển khai thử nghiệm trên một server thí điểm của iNET, thu thập và phân tích dữ liệu log trong quá trình vận hành thực tế.
- **Cỡ mẫu:** Dữ liệu log từ server thí điểm hoạt động 24/7, với hàng nghìn bản ghi log mỗi ngày, đảm bảo tính đại diện và độ tin cậy cho phân tích.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- **Phát hiện các cuộc tấn công DDoS:** Dữ liệu log cho thấy các IP gửi hàng trăm request trong vòng 1 giây, gây tăng đột biến lưu lượng truy cập, phản hồi nhiều mã lỗi 5xx và 4xx. Ví dụ, IP 183.252 gửi nhiều request trong 1 giây, biểu đồ lưu lượng tăng đột biến rõ ràng.
- **Phát hiện tấn công Brute Force:** Log ghi nhận nhiều lần đăng nhập thất bại liên tiếp với các tài khoản khác nhau, ví dụ các bản ghi lỗi đăng nhập sai mật khẩu liên tục trong một khoảng thời gian ngắn.
- **Phát hiện tấn công Cross Site Scripting (XSS) và Injection:** Các mẫu script độc hại như `<script>alert('XSS')</script>` và các từ khóa SQL injection như `' or 1=1 --` được phát hiện trong log, giúp cảnh báo sớm các hành vi tấn công.
- **Phân tích mã trạng thái HTTP:** Tỷ lệ các mã lỗi 4xx và 5xx tăng cao trong các thời điểm có sự cố, giúp xác định các điểm yếu và lỗ hổng trong hệ thống.

### Thảo luận kết quả

Nguyên nhân các cuộc tấn công được xác định do server hoạt động trên môi trường Internet mở, dễ bị khai thác các lỗ hổng phần mềm và cấu hình chưa tối ưu. So với các nghiên cứu trong ngành, việc sử dụng ELK Stack giúp tăng tốc độ phát hiện và xử lý sự cố so với phương pháp phân tích thủ công truyền thống. Việc trực quan hóa dữ liệu qua biểu đồ và bảng số liệu trên Kibana giúp quản trị viên dễ dàng nhận biết các bất thường và đưa ra quyết định nhanh chóng. Kết quả nghiên cứu khẳng định tầm quan trọng của việc phân tích log server trong bảo mật, đồng thời cho thấy hiệu quả của hệ thống phân tích log tự động trong việc giảm thiểu rủi ro và chi phí vận hành.

## Đề xuất và khuyến nghị

- **Triển khai hệ thống phân tích log tập trung:** Áp dụng ELK Stack trên toàn bộ hệ thống server của doanh nghiệp để thu thập và phân tích log đồng bộ, nâng cao khả năng phát hiện sớm các sự cố bảo mật.
- **Tự động hóa cảnh báo và phản hồi:** Thiết lập các ngưỡng cảnh báo tự động dựa trên các mẫu tấn công phổ biến như DDoS, Brute Force, XSS để giảm thiểu thời gian phản ứng, đảm bảo an toàn hệ thống.
- **Đào tạo và nâng cao nhận thức cho quản trị viên:** Tổ chức các khóa đào tạo về phân tích log và bảo mật server nhằm nâng cao kỹ năng phát hiện và xử lý sự cố kịp thời.
- **Cập nhật và vá lỗi phần mềm định kỳ:** Thực hiện kiểm tra và cập nhật các bản vá bảo mật cho hệ điều hành và phần mềm server để giảm thiểu các lỗ hổng bị khai thác.
- **Thời gian thực hiện:** Triển khai trong vòng 6-12 tháng, ưu tiên các server có lưu lượng truy cập cao và dữ liệu nhạy cảm.
- **Chủ thể thực hiện:** Bộ phận CNTT và bảo mật của doanh nghiệp phối hợp với các nhà cung cấp giải pháp công nghệ để triển khai và vận hành hệ thống.

## Đối tượng nên tham khảo luận văn

- **Quản trị viên hệ thống và mạng:** Nắm bắt kiến thức về phân tích log server và ứng dụng trong bảo mật để nâng cao hiệu quả quản lý và bảo vệ hệ thống.
- **Chuyên gia bảo mật thông tin:** Áp dụng các kỹ thuật phân tích log để phát hiện và ngăn chặn các cuộc tấn công mạng, cải thiện chiến lược bảo mật.
- **Nhà nghiên cứu và sinh viên ngành công nghệ thông tin:** Tham khảo mô hình nghiên cứu và ứng dụng thực tiễn về phân tích log server, công nghệ ELK Stack.
- **Doanh nghiệp cung cấp dịch vụ lưu trữ và hosting:** Tăng cường bảo mật hệ thống, giảm thiểu rủi ro và chi phí vận hành thông qua hệ thống phân tích log tự động.

## Câu hỏi thường gặp

1. **File log server là gì và tại sao quan trọng?**  
File log server là tập tin ghi lại toàn bộ hoạt động của server trong một khoảng thời gian. Nó giúp quản trị viên theo dõi, phân tích và phát hiện các sự cố hoặc tấn công mạng kịp thời.

2. **ELK Stack gồm những thành phần nào?**  
ELK Stack bao gồm ElasticSearch (lưu trữ và tìm kiếm dữ liệu), Logstash (xử lý và lọc dữ liệu log) và Kibana (trực quan hóa dữ liệu). Đây là bộ công cụ mã nguồn mở phổ biến trong phân tích log.

3. **Làm thế nào để phát hiện tấn công DDoS qua log?**  
DDoS được nhận biết qua lưu lượng truy cập tăng đột biến từ một hoặc nhiều IP, kèm theo các mã lỗi HTTP 4xx, 5xx tăng cao. Biểu đồ lưu lượng trên Kibana giúp trực quan hóa các bất thường này.

4. **Phân tích log có thể phát hiện những loại tấn công nào?**  
Phân tích log có thể phát hiện các tấn công như Cross Site Scripting (XSS), SQL Injection, Brute Force, DDoS, và các hành vi bất thường khác dựa trên mẫu dữ liệu và mã trạng thái HTTP.

5. **Lợi ích của việc sử dụng hệ thống phân tích log tự động?**  
Hệ thống tự động giúp giảm thời gian và công sức phân tích thủ công, phát hiện sớm các sự cố, cảnh báo kịp thời, từ đó giảm thiểu thiệt hại và chi phí vận hành cho doanh nghiệp.

## Kết luận

- Luận văn đã nghiên cứu và xây dựng thành công hệ thống phân tích file log server ứng dụng trong bảo mật server, sử dụng công nghệ ELK Stack.  
- Hệ thống giúp phát hiện sớm các dấu hiệu tấn công như DDoS, Brute Force, XSS, từ đó cảnh báo kịp thời cho quản trị viên.  
- Việc áp dụng phân tích log tự động nâng cao hiệu quả quản trị, giảm thiểu rủi ro và chi phí vận hành hệ thống server.  
- Nghiên cứu được thử nghiệm thực tế trên hệ thống server của công ty iNET với kết quả khả quan, có thể mở rộng áp dụng cho các doanh nghiệp khác.  
- Đề xuất triển khai hệ thống phân tích log tập trung, tự động hóa cảnh báo và đào tạo nhân sự để nâng cao bảo mật hệ thống trong thời gian tới.

Doanh nghiệp và quản trị viên nên bắt đầu triển khai hệ thống phân tích log tự động, đồng thời cập nhật kiến thức và kỹ năng phân tích log để bảo vệ hệ thống hiệu quả hơn trong môi trường mạng ngày càng phức tạp.