Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, khối Doanh nghiệp Vừa và Nhỏ (SME - Small and Medium Enterprise) đóng vai trò xương sống của nền kinh tế. Tại Việt Nam, SME chiếm hơn 97% tổng số doanh nghiệp, đóng góp 26% tổng doanh thu thuần và tạo ra 36% việc làm cho thị trường lao động. Tuy nhiên, theo báo cáo an ninh mạng của Cisco, có tới 86% doanh nghiệp vừa và nhỏ từng bị lộ lọt dữ liệu khách hàng do các cuộc tấn công mạng, trong đó 30% doanh nghiệp chịu tổn thất tài chính vượt mức 500.000 USD cho mỗi sự cố.

+-------------------------------------------------------------------------+
|                  THỰC TRẠNG AN NINH MẠNG TẠI KHỐI SME                   |
+-------------------------------------------------------------------------+
|  [97%+] Doanh nghiệp là SME      --->  Mục tiêu hàng đầu của tin tặc    |
|  [86%]  Từng bị lộ lọt dữ liệu   --->  Thiếu hệ thống giám sát tập trung|
|  [30%]  Tổn thất > $500,000/vụ   --->  Ngân sách an ninh mạng eo hẹp    |
+-------------------------------------------------------------------------+

1. Vấn đề thực tế (Problem Statement)

Các doanh nghiệp SME đối mặt với nhiều rào cản kỹ thuật và tài chính lớn:

  • Thiếu khả năng hiển thị toàn diện: Dữ liệu nhật ký (log) nằm rải rác trên từng máy trạm, máy chủ và thiết bị mạng cục bộ, không có cơ chế thu thập tập trung.
  • Bề mặt tấn công mở rộng: Nguy cơ lây nhiễm phần mềm mã độc tống tiền (Ransomware), mã độc Trojan/Dropper, tấn công từ chối dịch vụ (DoS/DDoS) và thất thoát dữ liệu nhạy cảm (Data Loss) qua thiết bị ngoại vi hoặc kênh truyền web không được kiểm soát.
  • Thiếu hụt nhân lực chuyên trách: Đội ngũ IT kiêm nhiệm không thể trực tiếp kiểm tra hàng triệu dòng log thô mỗi ngày mà không có công cụ phân tích tự động.

2. Mục tiêu dự án

Đồ án "Nghiên cứu triển khai hệ thống giám sát an ninh cho doanh nghiệp vừa và nhỏ sử dụng Splunk" do sinh viên Vũ Thu Trang thực hiện dưới sự hướng dẫn của TS. Đinh Trường Duy tại Học viện Công nghệ Bưu chính Viễn thông (PTIT) tập trung vào 4 mục tiêu cụ thể:

  1. Nghiên cứu kiến trúc, cơ chế hoạt động và mô hình thu thập, lập chỉ mục dữ liệu của hệ thống quản trị sự kiện và thông tin bảo mật (SIEM - Security Information and Event Management) nền tảng Splunk.
  2. Thiết kế và tối ưu mô hình triển khai Splunk Enterprise phù hợp với tài nguyên hạ tầng phần cứng giới hạn của khối SME.
  3. Xây dựng tập luật tìm kiếm và cảnh báo theo thời gian thực (Search Processing Language - SPL) kết hợp Sysmon và File-based Lookup để phát hiện các mối đe dọa phổ biến: WannaCry Ransomware, Trojan Dropper, DoS Flood và rò rỉ dữ liệu qua USB/Web Messenger.
  4. Đánh giá tính khả thi, hiệu năng xử lý truy vấn và thời gian kích hoạt cảnh báo thực tế trên mô hình thử nghiệm.

3. Phương pháp tiếp cận và Phạm vi nghiên cứu

  • Giải pháp: Sử dụng Splunk Enterprise 9.x kết hợp mạng lưới Universal Forwarder gọn nhẹ cài đặt trực tiếp tại các endpoint, phân tích chuyên sâu log hệ điều hành Windows kết hợp System Monitor (Sysmon) của Microsoft Sysinternals.
  • Phạm vi triển khai: Môi trường mạng nội bộ SME (quy mô dưới 100 người dùng), máy chủ cài đặt trên nền tảng Ubuntu 20.04 LTS, tập trung vào tầng giám sát Endpoint Security và Network Activity cơ bản.
  • Giới hạn kỹ thuật: Đồ án không bao gồm tính năng tự động phản hồi triệt tiêu mối đe dọa (SOAR) hay giải mã gói tin mã hóa đầu cuối (Deep Packet Inspection - DPI), mà tập trung vào tầng phát hiện, phân tích và kích hoạt cảnh báo giám sát.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi lựa chọn Splunk, đồ án tiến hành đánh giá so sánh các nền tảng SIEM và hệ thống phát hiện xâm nhập (IDS/HIDS) phổ biến trên thị trường:

Tiêu chí Splunk Enterprise Elastic Stack (ELK) Wazuh (Open Source HIDS/SIEM)
Kiến trúc dữ liệu Schema-on-Read, TSIDX index files Schema-on-Write, Lucene index Database Index / OpenSearch
Mức độ phức tạp cài đặt Thấp (All-in-one hoặc 3-tier) Cao (Cần cấu hình Logstash/Beats) Trung bình (Manager, Indexer, Dashboard)
Ngôn ngữ truy vấn SPL (Search Processing Language) trực quan KQL / Elasticsearch DSL phức tạp Wazuh Rules XML / Lucene Query
Yêu cầu tài nguyên Agent Cực thấp (~20MB RAM, Universal Forwarder) Trung bình (~50-100MB, Filebeat/Metricbeat) Thấp (~30MB, Wazuh Agent)
Tính linh hoạt Lookup Rất cao (File CSV, KV Store, Script) Trung bình (Logstash translate filter) Khá (CDB lists)
Chi phí bản quyền Miễn phí 500MB/ngày (Free) / Bản quyền Enterprise Miễn phí (Basic) / Trả phí Elastic Cloud Hoàn toàn mã nguồn mở (GPLv2) 
+-----------------------------------------------------------------------+
|                 PHÂN TÍCH YÊU CẦU THEO MÔ HÌNH MOSCOW                 |
+-----------------------------------------------------------------------+
| [MUST HAVE]    - Thu thập tập trung Windows Event Log & Sysmon.       |
|                - Phát hiện Ransomware WannaCry & Trojan qua mã băm.  |
|                - Cảnh báo cắm thiết bị lưu trữ USB & gửi file Web.   |
| [SHOULD HAVE]  - Tối ưu đường ống Indexing Pipeline giảm chiếm dụng ổ.|
|                - Trực quan hóa dữ liệu qua biểu đồ Timechart/Stats.  |
| [COULD HAVE]   - Tích hợp GeoIP Lookup định vị IP ngoại vi.           |
| [WON'T HAVE]   - Tự động khóa cổng switch hoặc cô lập máy qua script |
|                  (dành cho giai đoạn nâng cấp SOAR).                  |
+-----------------------------------------------------------------------+

Thiết kế hệ thống

Kiến trúc hệ thống được thiết kế theo mô hình phân tán 3 tầng tối ưu cho doanh nghiệp vừa và nhỏ:

+-------------------------------------------------------------------------+
|                           KIẾN TRÚC HỆ THỐNG                            |
+-------------------------------------------------------------------------+
|                                                                         |
|  +-------------------------------------------------------------------+  |
|  |             TẦNG 1: THU THẬP DỮ LIỆU (DATA INGESTION)             |  |
|  |                                                                   |  |
|  |  +---------------------------+     +---------------------------+  |  |
|  |  |      Windows Clients      |     |       Linux Servers       |  |  |
|  |  | (Win Event Log + Sysmon)  |     |   (Syslog / Audit Log)    |  |  |
|  |  +-------------+-------------+     +-------------+-------------+  |  |
|  |                |                                 |                |  |
|  |                +----------------+----------------+                |  |
|  |                                 |                                 |  |
|  |                                 v (TCP Port 9997)                 |  |
|  |                 Universal Forwarder v9.1.x                        |  |
|  +---------------------------------+---------------------------------+  |
|                                    |                                    |
|                                    v                                    |
|  +-------------------------------------------------------------------+  |
|  |               TẦNG 2: XỬ LÝ & LẬP CHỈ MỤC (INDEXING)              |  |
|  |                                                                   |  |
|  |  Splunk Enterprise Engine (Ubuntu 20.04 LTS - IP: 192.168.x.129)  |  |
|  |  - Parsing Pipeline: Line breaking, Timestamping, Regex Transforms |  |
|  |  - Indexing Pipeline: Segmenting, TSIDX generation, Raw data zip  |  |
|  |  - Lookups: malware_hashes.csv, ransomware_ioc.csv                |  |
|  +---------------------------------+---------------------------------+  |
|                                    |                                    |
|                                    v                                    |
|  +-------------------------------------------------------------------+  |
|  |             TẦNG 3: TRUY VẤN & TRỰC QUAN HÓA (SEARCH/UI)          |  |
|  |                                                                   |  |
|  |  - Search Head Engine (SPL Processor)                             |  |
|  |  - Splunk Web (HTTP/HTTPS Port 8000)                              |  |
|  |  - SOC Alerting: Trigger Actions (Email, Log Dispatcher, SMS)    |  |
|  +-------------------------------------------------------------------+  |
|                                                                         |
+-------------------------------------------------------------------------+

Chi tiết Tech Stack và Cấu hình Phiên bản

  • Hệ điều hành máy chủ: Ubuntu Server 20.04 LTS (x86_64, 4 vCPU, 8GB RAM, 100GB SSD).
  • Phần mềm SIEM trung tâm: Splunk Enterprise Version 9.1.x (Kiến trúc đơn nhân kết hợp Search Head và Indexer trên cùng máy chủ vật lý).
  • Phần mềm Endpoint Agent: Splunk Universal Forwarder Version 9.1.x chạy ngầm dưới quyền NT AUTHORITY\Local System.
  • Module giám sát chuyên sâu: Microsoft Sysmon (System Monitor) v14.x với cấu hình SwiftOnSecurity rule filter.
  • Giao thức truyền thông: TCP Raw/Cooked trên cổng 9997 (Forwarding to Indexer) và TCP 8000 (Splunk Web GUI).
+-------------------------------------------------------------------------+
|                        TIÊU CHUẨN AN TOÀN VÀ HIỆU NĂNG                  |
+-------------------------------------------------------------------------+
| [Bảo mật]   - Phân quyền theo vai trò (RBAC) trên Splunk Web.           |
|             - Mã hóa luồng truyền dữ liệu giữa Forwarder và Indexer.    |
|             - Ẩn danh (Masking) dữ liệu nhạy cảm trước khi Indexing.   |
| [Hiệu năng] - Thông lượng xử lý: Ingest tối thiểu 5MB/giây/core.        |
|             - Thời gian phản hồi truy vấn SPL: < 2.5 giây cho 100k log. |
+-------------------------------------------------------------------------+

Phương pháp luận (Methodology)

Dự án áp dụng mô hình phát triển lặp kết hợp Agile/Scrum gồm 4 giai đoạn chính trong 12 tuần:

+-------------------------------------------------------------------------+
|                      LỘ TRÌNH TRIỂN KHAI (12 TUẦN)                      |
+-------------------------------------------------------------------------+
| [Tuần 1-3]   Nghiên cứu cơ sở lý thuyết, SIEM, phân tích bề mặt nguy cơ |
| [Tuần 4-6]   Thiết lập hạ tầng máy chủ Ubuntu, cài đặt Splunk 9.1       |
| [Tuần 7-9]   Triển khai Universal Forwarder, Sysmon, viết tập luật SPL  |
| [Tuần 10-12] Diễn tập tấn công giả lập, đo lường benchmark & tối ưu     |
+-------------------------------------------------------------------------+

+-------------------------------------------------------------------------+
|                    MA TRẬN ĐÁNH GIÁ VÀ XỬ LÝ RỦI RO                     |
+-------------------------------------------------------------------------+
| Nguy cơ                    | Mức độ | Biện pháp giảm thiểu               |
+----------------------------+--------+-----------------------------------+
| Quá tải dung lượng lưu trữ | Cao    | Thiết lập Data Retention policy,   |
| (Disk exhaustion)          |        | chuyển log cũ sang Cold/Frozen.   |
| Forwarder gây nghẽn CPU    | Vừa    | Giới hạn maxKBps = 1024 trong     |
| trên máy trạm người dùng   |        | limits.conf của Forwarder.        |
| Tỷ lệ báo động giả (FP)    | Cao    | Tinh chỉnh whitelist trường lệnh  |
| làm loãng thông tin        |        | trong các truy vấn SPL.           |
+-------------------------------------------------------------------------+

Implementation và kết quả

Quá trình phát triển và Thiết lập Kỹ thuật

1. Cài đặt và cấu hình máy chủ Splunk Enterprise

Cài đặt trực tiếp gói nhị phân Debian trên hệ thống Ubuntu 20.04:

# Cài đặt gói Splunk Enterprise 9.1.x
sudo dpkg -i splunk-9.1.2-b6b9c8185839-linux-2.6-amd64.deb

# Cấu hình tự động khởi động cùng hệ thống
sudo /opt/splunk/bin/splunk enable boot-start -user splunk

# Khởi chạy dịch vụ và chấp thuận điều khoản bản quyền
sudo service splunk start

# Mở cổng tiếp nhận log (Receiving Port) trên cổng 9997
sudo /opt/splunk/bin/splunk enable listen 9997 -auth admin:AdminPassword123

2. Cấu hình Universal Forwarder trên Endpoint Windows

Tạo tệp cấu hình thu thập dữ liệu inputs.conf tại thư mục C:\Program Files\SplunkUniversalForwarder\etc\system\local\inputs.conf:

[default]
host = PC-USER-B19DCAT196

# Thu thập Security Event Log chuẩn của Windows
[WinEventLog://Security]
disabled = 0
start_from = newest
current_only = 1
checkpointInterval = 5

# Thu thập Sysmon Log để phát hiện chi tiết tiến trình và file
[WinEventLog://Microsoft-Windows-Sysmon/Operational]
disabled = 0
renderXml = 1

# Giám sát nhật ký Driver để phát hiện thiết bị lưu trữ ngoại vi (USB)
[WinEventLog://Microsoft-Windows-DriverFrameworks-UserMode/Operational]
disabled = 0

Xây dựng các luật cảnh báo chuyên sâu bằng SPL

Kịch bản 1: Phát hiện Ransomware WannaCry qua hành vi đổi đuôi tệp

Mã độc tống tiền WannaCry khi thực thi sẽ kích hoạt tiến trình mã hóa hàng loạt tệp tin dữ liệu sang định dạng mở rộng .WNCRY và tạo các tệp chỉ dẫn @Please_Read_Me@.txt, @WanaDecryptor@.exe.

index=main sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=11
| eval TargetFile=replace(TargetFilename, ".*\\\\", "")
| where like(TargetFilename, "%.WNCRY") OR like(TargetFilename, "%@Please_Read_Me@.txt")
| stats count min(_time) as FirstSeen max(_time) as LastSeen values(Image) as ProcessName by host, TargetFilename
| convert ctime(FirstSeen) ctime(LastSeen)
| where count >= 3
  • Rationale: Sysmon EventCode=11 ghi nhận toàn bộ sự kiện File Creation. Khi số lượng file có đuôi .WNCRY được tạo ra dồn dập từ cùng một tiến trình, hệ thống lập tức kích hoạt cảnh báo mức độ Critical.

Kịch bản 2: Phát hiện Trojan/Malware thông qua bảng đối soát mã băm (Lookup Table)

Sử dụng tệp dữ liệu chữ ký malware_hashes.csv chứa danh sách mã băm SHA256 của các chủng malware đã biết để đối soát với mã băm của mọi tiến trình mới khởi chạy trên hệ thống qua Sysmon EventCode=1.

index=main sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1
| eval ProcessSHA256=upper(replace(Hashes, ".*SHA256=([A-Fa-f0-9]{64}).*", "\\1"))
| lookup malware_hashes.csv SHA256 AS ProcessSHA256 OUTPUT MalwareName, ThreatCategory, Severity
| where isnotnull(MalwareName)
| table _time, host, User, Image, CommandLine, ProcessSHA256, MalwareName, ThreatCategory, Severity
  • Rationale: Tận dụng tính năng File-based Lookup với cú pháp lookup ... OUTPUT để gán nhãn tức thời loại mã độc mà không làm tăng độ trễ xử lý dữ liệu thô.

Kịch bản 3: Phát hiện tấn công DoS dạng ICMP Echo Request Flood

Kẻ tấn công gửi hàng nghìn gói tin ICMP kích thước lớn nhằm làm tê liệt băng thông và tài nguyên CPU của máy chủ mục tiêu.

index=main sourcetype="network_log" protocol="ICMP"
| bin _time span=10s
| stats count as PacketCount, values(src_ip) as AttackerIP by _time, dest_ip
| where PacketCount > 500
| eval AlertMsg="Phat hien tan cong DoS ICMP Flood vuot nguong 500 goi/10s"

Kịch bản 4: Chống thất thoát dữ liệu (DLP) qua thiết bị ngoại vi và Web App

  1. Phát hiện cắm thiết bị lưu trữ USB vào máy tính người dùng:
index=main sourcetype="WinEventLog:Microsoft-Windows-DriverFrameworks-UserMode/Operational" EventCode=1002
| stats count by _time, host, User, Message
| rename Message as DeviceDetails
  1. Phát hiện sao chép tài liệu nhạy cảm sang phân vùng USB:
index=main sourcetype="WinEventLog:Security" EventCode=4663 ObjectType="File"
| regex ObjectName="(?i)^[D-Z]:\\\.*"
| table _time, SubjectUserName, ProcessName, ObjectName, AccessMask
  1. Phát hiện tải tệp tin nội bộ qua Facebook Messenger trên trình duyệt Chrome:
index=main sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=11 Image="*\\chrome.exe"
| where like(TargetFilename, "%AppData%\\Local\\Google\\Chrome%upload%") OR like(CommandLine, "%upload_attachment%")
| table _time, host, User, TargetFilename

Kiểm thử và Đánh giá kết quả

Hệ thống được kiểm thử thực tế bằng cách tạo lập môi trường Lab mô phỏng mạng doanh nghiệp SME gồm 1 máy chủ Splunk SIEM và 5 máy trạm Windows Client:

+-------------------------------------------------------------------------+
|                  KẾT QUẢ KIỂM THỬ CÁC KỊCH BẢN TẤN CÔNG                 |
+-------------------------------------------------------------------------+
| Kịch bản kiểm thử           | Tổng số thử nghiệm | Tỷ lệ phát hiện | Trễ|
+-----------------------------+--------------------+-----------------+----+
| Ransomware WannaCry         | 15 lần thực thi    | 100% (15/15)    | 1.8s|
| Dropper Trojan (Hash Match) | 20 mẫu nhị phân    | 95.0% (19/20)   | 2.1s|
| Tấn công ICMP Flood         | 10 đợt flood       | 100% (10/10)    | 3.0s|
| Cắm USB trái phép (1002)    | 12 lần kết nối     | 100% (12/12)    | 1.2s|
| Copy tệp tin vào USB        | 25 thao tác copy   | 92.0% (23/25)   | 2.4s|
+-------------------------------------------------------------------------+

+-------------------------------------------------------------------------+
|                  HIỆU NĂNG HỆ THỐNG TRONG THỰC TẾ                       |
+-------------------------------------------------------------------------+
|  [Tài nguyên Endpoint] RAM: ~18.5 MB  |  CPU: < 1.2% lúc đỉnh điểm      |
|  [Tài nguyên Server]   RAM: ~3.2 GB   |  CPU: 12-18% khi Indexing       |
|  [Độ trễ cảnh báo]     Trung bình: 2.1 giây từ khi sinh log sự kiện     |
+-------------------------------------------------------------------------+

Đổi mới và đóng góp

  1. Chuẩn hóa mô hình giám sát chi phí thấp cho SME: Đồ án chứng minh doanh nghiệp vừa và nhỏ hoàn toàn có thể sở hữu một trung tâm điều hành an ninh (SOC) thu nhỏ với hiệu năng cấp doanh nghiệp mà không cần đầu tư hàng chục nghìn USD cho bản quyền phần mềm đắt đỏ.
  2. Tối ưu hóa Pipeline phân tích cú pháp: Loại bỏ các trường log thừa (unnecessary metadata) ngay tại giai đoạn Parsing Pipeline, giúp giảm dung lượng lập chỉ mục thực tế tới 34%, duy trì hoạt động ổn định trong hạn mức miễn phí 500MB/ngày của Splunk Free.
  3. Bộ luật SPL chuyên biệt cho tấn công mã độc thế hệ mới: Thay vì chỉ dựa vào log Windows cơ bản, đồ án kết hợp trực tiếp Sysmon XML Schema, mang lại độ bao phủ phát hiện cao trên cả tầng tiến trình (Process), tệp tin (File) và thiết bị ngoại vi (Hardware Bus).
+-------------------------------------------------------------------------+
|              SO SÁNH CÁC CHỈ SỐ VẬN HÀNH TRƯỚC VÀ SAU KHI TRIỂN KHAI    |
+-------------------------------------------------------------------------+
| Chỉ số                         | Khi chưa có SIEM  | Khi triển khai SIEM|
+--------------------------------+-------------------+--------------------+
| Thời gian phát hiện (MTTD)     | 48 - 72 giờ       | < 5 giây           |
| Khả năng truy vết nguồn gốc    | Rất khó / Mất dấu | Toàn diện (Sysmon) |
| Mức độ kiểm soát rò rỉ USB     | Không có          | 100% thao tác      |
| Chi phí nhân sự vận hành       | Tốn nhiều giờ kiểm tra| Tự động hóa qua Dashboard |
+--------------------------------+-------------------+--------------------+

Ứng dụng thực tế và triển khai

Trường hợp ứng dụng điển hình (Use Case)

Mô hình giám sát an ninh mạng này được thiết kế tương thích hoàn hảo cho các mô hình:

  • Chuỗi bán lẻ / Doanh nghiệp Logistics (30 - 100 máy trạm): Giám sát các máy POS, máy trạm kế toán, ngăn ngừa mã độc tống tiền phá hoại cơ sở dữ liệu bán hàng.
  • Công ty Tài chính công nghệ / Bảo hiểm vi mô: Bảo vệ hồ sơ khách hàng, phát hiện nhân viên nội bộ sao chép trái phép danh sách người dùng qua USB hoặc Facebook.
  • Văn phòng Luật / Sở hữu trí tuệ: Chống rò rỉ văn bản hợp đồng tuyệt mật ra bên ngoài.
+-------------------------------------------------------------------------+
|                       KẾ HOẠCH TRIỂN KHAI 4 TUẦN                        |
+-------------------------------------------------------------------------+
| TUẦN 1: Chuẩn bị máy chủ Ubuntu, cài đặt Splunk Enterprise & SSL cert   |
| TUẦN 2: Đẩy Sysmon + Universal Forwarder tự động qua Group Policy (GPO) |
| TUẦN 3: Nạp tệp Lookup chữ ký, áp dụng 10 luật SPL giám sát cốt lõi     |
| TUẦN 4: Diễn tập kích hoạt cảnh báo, tối ưu ngưỡng và bàn giao vận hành |
+-------------------------------------------------------------------------+

+-------------------------------------------------------------------------+
|                      PHÂN TÍCH TÀI CHÍNH VÀ ROI                         |
+-------------------------------------------------------------------------+
| Chi phí thuê ngoài MSSP SOC:    $800 - $1,500 / tháng                   |
| Chi phí triển khai giải pháp:   $0 tiền bản quyền (Splunk Free) + Server|
| Tỷ lệ tiết kiệm năm đầu tiên:   > 65% ngân sách an ninh thông tin        |
| Thời gian hoàn vốn (ROI):       Dưới 3 tháng vận hành                   |
+-------------------------------------------------------------------------+

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Giới hạn dung lượng Log: Phiên bản Splunk Free giới hạn 500MB log lập chỉ mục mỗi ngày và bị vô hiệu hóa tính năng phân quyền người dùng nhiều cấp (Multi-user RBAC).
  • Phụ thuộc vào Endpoint Agent: Nếu kẻ tấn công chiếm quyền Root/SYSTEM và tắt dịch vụ SplunkForwarder hoặc gỡ Sysmon, khả năng giám sát trên máy đó sẽ bị vô hiệu.
  • Phương pháp phát hiện: Chủ yếu dựa trên chữ ký mã băm (Signature-based) và luật ngưỡng cố định, chưa có khả năng tự động học hành vi nâng cao (Machine Learning) để nhận diện tấn công Zero-day phức tạp.

Hướng phát triển tiếp theo

  • Tích hợp Splunk Machine Learning Toolkit (MLTK): Áp dụng thuật toán phân cụm không giám sát (Unsupervised Clustering) để tự động phát hiện hành vi bất thường của người dùng (UEBA).
  • Mở rộng nguồn thu thập: Tích hợp Syslog từ Router/Firewall mạng (pfSense, Fortigate, Cisco ASA) và nhật ký dịch vụ đám mây (Microsoft 365, Google Workspace).
  • Tự động hóa phản ứng: Kết hợp công cụ SOAR mã nguồn mở (như Shuffle hoặc TheHive/Cortex) để tự động khóa tài khoản Active Directory hoặc ngắt kết nối mạng của máy tính ngay khi phát hiện Ransomware.

Đối tượng hưởng lợi

  • Sinh viên & Nghiên cứu sinh ngành An toàn thông tin: Nguồn tài liệu thực nghiệm chuẩn xác về quy trình thu thập Windows Log, cách viết cấu hình Sysmon và cú pháp SPL từ cơ bản đến nâng cao.
  • Kỹ sư bảo mật (SOC Analyst / DevSecOps): Nắm vững phương pháp tối ưu hóa đường ống phân tích log, giảm tải tài nguyên phần cứng và kỹ năng trích xuất IoC.
  • Chủ doanh nghiệp & Giám đốc công nghệ (CIO/CTO) khối SME: Sở hữu một bản thiết kế hệ thống an ninh mạng khả thi, tiết kiệm chi phí nhưng vẫn đảm bảo tính tuân thủ các quy định bảo vệ dữ liệu.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai Splunk cho doanh nghiệp SME là bao nhiêu?

Đối với quy mô từ 30 đến 100 endpoints, máy chủ Splunk Enterprise cần tối thiểu: CPU 4 cores (x86_64), 8GB RAM và 100GB dung lượng lưu trữ SSD tốc độ cao. Các máy trạm cài đặt Universal Forwarder chỉ cần tối thiểu 20MB RAM trống và dưới 1% CPU.

2. Giới hạn 500MB/ngày của Splunk Free có đủ cho một doanh nghiệp nhỏ không?

Hoàn toàn khả thi nếu doanh nghiệp thực hiện lọc dữ liệu (Event Filtering) tại inputs.conf trên Universal Forwarder, chỉ đẩy các EventCode quan trọng (như Sysmon Event 1, 11 và Windows Security Event 4624, 4625, 4663, 1002), loại bỏ các sự kiện thông tin (Informational log) không cần thiết.

3. Splunk có thể tích hợp với các hệ thống tường lửa cứng hiện có không?

Có. Splunk Enterprise hỗ trợ tiếp nhận trực tiếp dữ liệu nhật ký qua giao thức mạng UDP/TCP Syslog (cổng mặc định 514) từ tất cả các hãng tường lửa như Fortinet, Cisco, Sophos, MikroTik và pfSense.

4. Hệ thống cần bảo trì định kỳ như thế nào?

Người quản trị cần thực hiện 3 tác vụ chính hàng tuần: (1) Cập nhật tệp danh sách mã băm mã độc malware_hashes.csv từ các nguồn Threat Intelligence (như AlienVault OTX, VirusTotal), (2) Kiểm tra trạng thái kết nối của các Forwarder qua lệnh index=_internal, và (3) Dọn dẹp các bucket dữ liệu cũ chuyển sang trạng thái Frozen.

5. Chi phí đầu tư thực tế và thời gian hoàn vốn (ROI) được tính toán ra sao?

Giải pháp tận dụng máy chủ nội bộ có sẵn và phiên bản miễn phí của Splunk/Sysmon, chi phí đầu tư ban đầu gần như bằng 0 đối với phần mềm. Doanh nghiệp tiết kiệm được khoản chi phí trung bình 10.000 USD/năm so với việc thuê ngoài dịch vụ SOC, mang lại thời gian hoàn vốn đầu tư ngay trong quý đầu tiên vận hành.

Kết luận

Đồ án tốt nghiệp "Nghiên cứu triển khai hệ thống giám sát an ninh cho doanh nghiệp vừa và nhỏ sử dụng Splunk" của sinh viên Vũ Thu Trang đã giải quyết thành công bài toán bảo vệ an toàn thông tin trọng yếu cho khối doanh nghiệp SME. Bằng cách kết hợp linh hoạt giữa kiến trúc gọn nhẹ của Universal Forwarder, sức mạnh phân tích sâu của Microsoft Sysmon và khả năng lập chỉ mục tốc độ cao của Splunk Enterprise, hệ thống đã chứng minh được hiệu quả vượt trội trong việc phát hiện sớm mã độc tống tiền WannaCry, ngăn chặn tấn công từ chối dịch vụ và kiểm soát triệt để nguy cơ thất thoát dữ liệu nội bộ. Đây là tài liệu tham khảo có giá trị ứng dụng thực tiễn cao, mở ra hướng đi bền vững cho các doanh nghiệp vừa và nhỏ trên hành trình xây dựng pháo đài an ninh mạng vững chắc với chi phí tối ưu nhất.