## Tổng quan nghiên cứu

Trong bối cảnh cuộc cách mạng công nghiệp 4.0 với sự phát triển mạnh mẽ của trí tuệ nhân tạo (AI), Internet vạn vật (IoT) và dữ liệu lớn (Big Data), an ninh mạng trở thành một trong những thách thức lớn nhất đối với các tổ chức và doanh nghiệp. Theo ước tính, các vụ tấn công mạng ngày càng gia tăng về số lượng và mức độ tinh vi, gây thiệt hại nghiêm trọng về tài sản và thông tin. Đặc biệt, các mối đe dọa từ mã độc và tiến trình bất thường trên máy trạm là nguyên nhân chính dẫn đến các sự cố an ninh. Mục tiêu của nghiên cứu là xây dựng và thử nghiệm hệ thống phát hiện tiến trình bất thường trên máy trạm sử dụng Rule Sigma, nhằm giám sát và cảnh báo kịp thời các hành vi bất thường, từ đó nâng cao hiệu quả bảo mật hệ thống mạng doanh nghiệp. Nghiên cứu được thực hiện trong giai đoạn 2020-2022 tại Hà Nội, tập trung vào hệ thống mạng doanh nghiệp và các máy trạm trong môi trường Windows. Việc phát hiện sớm tiến trình bất thường giúp giảm thiểu rủi ro mất mát dữ liệu và tăng cường khả năng phản ứng nhanh với các sự cố an ninh, góp phần bảo vệ tài sản số và thông tin nhạy cảm của tổ chức.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

- **Hệ thống Endpoint Detection & Response (EDR):** Là công cụ bảo mật mạng chuyên sâu, liên tục giám sát, thu thập và phân tích các hoạt động trên điểm cuối (máy trạm) để phát hiện và phản hồi các mối đe dọa. EDR sử dụng các kỹ thuật như machine learning và trí tuệ nhân tạo để nhận diện hành vi bất thường.
- **Mã độc (Malware) và tiến trình (Process):** Mã độc là phần mềm độc hại với nhiều loại như Trojan, Worm, Ransomware, Rootkit... Tiến trình là chương trình đang thực thi trên hệ thống, có thể bị mã độc lợi dụng để thực hiện hành vi phá hoại.
- **Rule Sigma:** Là ngôn ngữ quy tắc mở, dùng để mô tả các mẫu phát hiện bất thường trong dữ liệu nhật ký (log) hệ thống, hỗ trợ phát hiện tiến trình bất thường dựa trên các sự kiện thu thập được.
- **Sysmon (System Monitor):** Công cụ của Microsoft dùng để ghi lại các sự kiện chi tiết về tiến trình, kết nối mạng, thay đổi file... giúp thu thập dữ liệu đầu vào cho hệ thống phát hiện.
- **Splunk:** Phần mềm phân tích và giám sát log mạnh mẽ, hỗ trợ thu thập, lập chỉ mục, tìm kiếm và cảnh báo dựa trên dữ liệu log từ nhiều nguồn khác nhau.

### Phương pháp nghiên cứu

Nghiên cứu sử dụng kết hợp phương pháp lý thuyết và thực nghiệm:

- **Nguồn dữ liệu:** Dữ liệu nhật ký sự kiện thu thập từ Sysmon trên các máy trạm Windows, dữ liệu mạng và hệ thống từ các cảm biến EDR như Veramine, ApexOne, Cortex XDR.
- **Phương pháp phân tích:** Áp dụng Rule Sigma để xây dựng các quy tắc phát hiện tiến trình bất thường, sử dụng Splunk để phân tích, hiển thị và cảnh báo các sự kiện bất thường. Kết hợp thuật toán máy học để nâng cao độ chính xác phát hiện.
- **Timeline nghiên cứu:** Từ 2020 đến 2022, gồm các giai đoạn tổng quan lý thuyết, xây dựng môi trường thử nghiệm, cài đặt công cụ, thực nghiệm phát hiện tiến trình bất thường và đánh giá hiệu quả hệ thống.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- Hệ thống thử nghiệm phát hiện tiến trình bất thường sử dụng Rule Sigma trên nền tảng Splunk và dữ liệu Sysmon đã phát hiện thành công các tiến trình độc hại với độ chính xác trên 85%, vượt trội so với các phương pháp truyền thống.
- So sánh với các giải pháp EDR thương mại như Veramine và ApexOne, hệ thống nghiên cứu có khả năng phát hiện các hành vi bất thường như truy cập trái phép, thay đổi quyền hạn tiến trình, và các kết nối mạng nghi ngờ với tỷ lệ cảnh báo giả thấp hơn 10%.
- Thời gian phản hồi trung bình (MTTR) được rút ngắn xuống còn khoảng 30 phút nhờ khả năng cảnh báo kịp thời và chi tiết về tiến trình bất thường.
- Hệ thống có khả năng mở rộng và tùy chỉnh quy tắc Sigma linh hoạt, phù hợp với nhiều môi trường doanh nghiệp khác nhau.

### Thảo luận kết quả

Nguyên nhân của hiệu quả trên là do việc kết hợp thu thập dữ liệu chi tiết từ Sysmon với khả năng phân tích mạnh mẽ của Splunk và tính linh hoạt của Rule Sigma trong việc mô tả các mẫu hành vi bất thường. So với các nghiên cứu trước đây chỉ tập trung vào phát hiện mã độc dựa trên signature, phương pháp này cho phép phát hiện các mối đe dọa mới, chưa có mẫu trước đó. Dữ liệu có thể được trình bày qua biểu đồ thời gian tiến trình bất thường, bảng thống kê số lượng cảnh báo theo loại tiến trình và biểu đồ phân bố các sự kiện mạng nghi ngờ, giúp người quản trị dễ dàng theo dõi và phân tích. Kết quả này khẳng định tính khả thi và hiệu quả của việc ứng dụng Rule Sigma trong phát hiện tiến trình bất thường, góp phần nâng cao an ninh mạng cho các tổ chức.

## Đề xuất và khuyến nghị

- **Triển khai hệ thống phát hiện tiến trình bất thường:** Áp dụng hệ thống sử dụng Rule Sigma kết hợp Splunk và Sysmon trong các doanh nghiệp để giám sát liên tục các máy trạm, nhằm nâng cao khả năng phát hiện sớm các mối đe dọa.
- **Đào tạo nhân sự an ninh mạng:** Tổ chức các khóa đào tạo chuyên sâu về phân tích log, sử dụng Rule Sigma và công cụ Splunk cho đội ngũ quản trị hệ thống, đảm bảo vận hành hiệu quả hệ thống phát hiện.
- **Cập nhật và tùy chỉnh quy tắc Sigma:** Liên tục cập nhật các quy tắc phát hiện mới dựa trên các mối đe dọa mới xuất hiện, đồng thời tùy chỉnh phù hợp với đặc thù môi trường mạng của từng tổ chức.
- **Tích hợp với các giải pháp bảo mật khác:** Kết hợp hệ thống phát hiện tiến trình bất thường với các giải pháp EDR thương mại và hệ thống phòng thủ mạng khác để tạo thành một hệ sinh thái bảo mật toàn diện.
- **Thời gian thực hiện:** Các giải pháp trên nên được triển khai trong vòng 6-12 tháng để đảm bảo hiệu quả và thích ứng nhanh với môi trường mạng thay đổi.

## Đối tượng nên tham khảo luận văn

- **Chuyên gia an ninh mạng:** Nâng cao kiến thức về phát hiện tiến trình bất thường và ứng dụng Rule Sigma trong thực tế.
- **Quản trị hệ thống doanh nghiệp:** Áp dụng các giải pháp phát hiện và phản hồi điểm cuối để bảo vệ hệ thống mạng nội bộ.
- **Nhà nghiên cứu và sinh viên ngành công nghệ thông tin:** Tham khảo phương pháp nghiên cứu và ứng dụng công nghệ mới trong an ninh mạng.
- **Các nhà cung cấp giải pháp bảo mật:** Phát triển và cải tiến sản phẩm dựa trên các kết quả nghiên cứu về Rule Sigma và hệ thống EDR.

## Câu hỏi thường gặp

1. **Rule Sigma là gì và tại sao lại quan trọng trong phát hiện tiến trình bất thường?**  
Rule Sigma là ngôn ngữ quy tắc mở giúp mô tả các mẫu phát hiện bất thường trong log hệ thống. Nó quan trọng vì cho phép phát hiện các hành vi độc hại mới mà không phụ thuộc vào mẫu mã độc đã biết.

2. **Sysmon thu thập những loại dữ liệu nào để hỗ trợ phát hiện?**  
Sysmon ghi lại các sự kiện như tạo tiến trình, kết nối mạng, thay đổi file, tải driver, giúp cung cấp dữ liệu chi tiết để phân tích hành vi tiến trình.

3. **Splunk có vai trò gì trong hệ thống phát hiện tiến trình bất thường?**  
Splunk là công cụ phân tích và giám sát log, giúp lập chỉ mục, tìm kiếm, cảnh báo và hiển thị dữ liệu từ Sysmon và các nguồn khác, hỗ trợ phát hiện và phản hồi kịp thời.

4. **Hệ thống phát hiện sử dụng Rule Sigma có thể áp dụng cho môi trường nào?**  
Hệ thống phù hợp với các doanh nghiệp có mạng nội bộ sử dụng hệ điều hành Windows, đặc biệt là các tổ chức cần giám sát an ninh mạng chặt chẽ.

5. **Làm thế nào để giảm thiểu cảnh báo giả trong hệ thống?**  
Bằng cách tùy chỉnh và cập nhật liên tục các quy tắc Sigma, kết hợp phân tích hành vi và máy học để phân biệt chính xác giữa hành vi bình thường và bất thường.

## Kết luận

- Đã xây dựng và thử nghiệm thành công hệ thống phát hiện tiến trình bất thường trên máy trạm sử dụng Rule Sigma với độ chính xác trên 85%.  
- Hệ thống giúp giảm thời gian phản hồi sự cố xuống còn khoảng 30 phút, nâng cao hiệu quả bảo mật.  
- Kết hợp Sysmon, Splunk và Rule Sigma tạo thành giải pháp linh hoạt, mở rộng và phù hợp với nhiều môi trường doanh nghiệp.  
- Đề xuất triển khai hệ thống, đào tạo nhân sự và cập nhật quy tắc thường xuyên để duy trì hiệu quả.  
- Khuyến khích các tổ chức và chuyên gia an ninh mạng áp dụng và phát triển thêm dựa trên nghiên cứu này để nâng cao khả năng phòng thủ mạng.

Hành động tiếp theo là triển khai thử nghiệm thực tế tại các doanh nghiệp, thu thập phản hồi và tối ưu hệ thống để đáp ứng tốt hơn các yêu cầu an ninh mạng trong tương lai.