Bối cảnh và vấn đề nghiên cứu

Trong xu thế số hóa và mở rộng hạ tầng công nghệ thông tin, số lượng thiết bị mạng và hệ thống máy chủ gia tăng nhanh chóng, tạo ra nhiều thách thức lớn trong công tác quản trị và bảo đảm an toàn thông tin. Việc xây dựng một hệ thống giám sát an ninh mạng liên tục trở thành nhiệm vụ trọng yếu nhằm phát hiện sớm các nguy cơ, ngăn ngừa sự cố và giảm thiểu thiệt hại cho tổ chức. Tuy nhiên, các giải pháp thương mại thường đi kèm chi phí đầu tư và duy trì rất cao, đòi hỏi tổ chức phải tìm kiếm những giải pháp tối ưu về mặt kinh phí nhưng vẫn bảo đảm tính linh hoạt và khả năng mở rộng.

Đồ án tốt nghiệp "Nghiên cứu triển khai hệ thống giám sát an ninh mạng dựa trên phần mềm Wazuh" do sinh viên Phạm Bá Tú thực hiện dưới sự hướng dẫn của thầy Vũ Minh Mạnh (Khoa An toàn Thông tin, Học viện Công nghệ Bưu chính Viễn thông, khóa 2019–2024) tập trung vào việc nghiên cứu, cài đặt và đánh giá năng lực của nền tảng mã nguồn mở Wazuh trong giám sát an ninh mạng tập trung.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài bao gồm:

  1. Tổng quan cơ sở lý thuyết về hệ thống giám sát an ninh mạng (NSM), các kiến trúc an ninh hiện đại (EDR, XDR, SIEM, SOAR, MDR, SOC) và các quy tắc thiết kế hệ thống giám sát.
  2. Phân tích kiến trúc, các thành phần cốt lõi, cơ chế truyền thông và chức năng của phần mềm Wazuh; so sánh Wazuh với các giải pháp giám sát khác như Snort, Suricata, Nagios và ELK Stack.
  3. Thiết kế mô hình thử nghiệm và triển khai cài đặt Wazuh Server cùng các Wazuh Agent trên đa nền tảng hệ điều hành (Ubuntu, Windows, RedHat).
  4. Thực nghiệm và đánh giá khả năng phát hiện các hành vi bất thường và tấn công mạng (tiến trình trái phép, Shellshock, SQL Injection, Brute-force, tệp nhị phân bất thường), tích hợp hệ thống phát hiện xâm nhập mạng (NIDS Suricata), tích hợp VirusTotal để tự động hóa xử lý mã độc, rà soát lỗ hổng và giám sát dịch vụ đám mây GitHub.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các cơ chế giám sát an ninh mạng, kiến trúc phần mềm Wazuh và các công cụ bổ trợ an ninh thông tin.
  • Phạm vi không gian: Triển khai mô hình thử nghiệm cục bộ trên môi trường ảo hóa VMware với các máy ảo đóng vai trò máy chủ quản trị, máy trạm/máy chủ bị giám sát và máy tấn công.
  • Phạm vi thời gian: Đồ án hoàn thành vào tháng 01 năm 2024.

Cơ sở lý thuyết và phương pháp

Đồ án dựa trên khung lý thuyết toàn diện về Giám sát An ninh Mạng (Network Security Monitoring - NSM), kết hợp các mô hình kiến trúc bảo mật điểm cuối và quản lý sự kiện thông tin an ninh:

  • Khung khái niệm và công nghệ bảo mật: Phát hiện và phản hồi điểm cuối (EDR), Phát hiện và phản hồi mở rộng (XDR), Quản lý sự kiện và thông tin bảo mật (SIEM), Điều phối, tự động hóa và phản hồi bảo mật (SOAR), Dịch vụ phát hiện và phản hồi được quản lý (MDR), và Trung tâm điều hành an ninh (SOC).
  • Tiêu chuẩn và bộ quy tắc: Tích hợp các tiêu chuẩn an ninh và tuân thủ quốc tế như ISO 27001, PCI DSS, GDPR, CIS, HIPAA, NIST 800-53; sử dụng ngôn ngữ đánh giá lỗ hổng OVAL và định dạng mô tả danh mục cấu hình XCCDF thông qua công cụ OpenSCAP.

Phương pháp nghiên cứu được áp dụng trong đồ án:

  • Phương pháp nghiên cứu lý thuyết: Phân tích, tổng hợp tài liệu chuyên ngành về an toàn mạng, kiến trúc hệ thống giám sát và tài liệu kỹ thuật chính thức của Wazuh, OSSEC, Elastic Stack.
  • Phương pháp thiết kế và triển khai kỹ thuật: Xây dựng mô hình kiến trúc hệ thống Server - Agent, phân bổ địa chỉ IP, thiết lập luồng dữ liệu bảo mật, cấu hình bộ giải mã (decoders) và các bộ luật (ruleset) để xử lý tập trung sự kiện an ninh.
  • Phương pháp thực nghiệm (Empirical/Experimental): Mô phỏng các cuộc tấn công thực tế từ máy trạm kiểm thử bằng các công cụ chuyên dụng (như Hydra, curl) và tệp kiểm tra tiêu chuẩn (EICAR) để kiểm tra khả năng phát hiện, sinh cảnh báo và kích hoạt phản ứng tự động (Active Response) của hệ thống.

Nguồn dữ liệu sử dụng trong nghiên cứu:

  • Dữ liệu nhật ký hệ thống (System logs), nhật ký xác thực và nhật ký dịch vụ mạng (Apache Web Server logs).
  • Dữ liệu lưu lượng mạng và thông tin luồng gói tin thu thập từ NIDS.
  • Dữ liệu kiểm tra tính toàn vẹn tệp tin (File Integrity Monitoring - FIM) và giá trị băm (Hash MD5, SHA1).
  • Dữ liệu tình báo mối đe dọa (Threat Intelligence) từ cơ sở dữ liệu VirusTotal và nhật ký kiểm toán từ API của GitHub Cloud Service.

Thiết kế và triển khai hệ thống giám sát

Kiến trúc tổng thể và cơ chế giao tiếp của Wazuh

Nền tảng Wazuh tích hợp các khả năng của XDR và SIEM, hoạt động dựa trên sự phối hợp giữa ba thành phần trung tâm và các tác nhân điểm cuối:

  • Wazuh Server: Tiếp nhận dữ liệu từ các Agent, giải mã dữ liệu nhật ký thông qua bộ phân tích (Analysis Engine), đối sánh với các tập luật phát hiện và kích hoạt các cảnh báo hoặc phản ứng tự động.
  • Wazuh Indexer: Công cụ phân tích và tìm kiếm toàn văn, chịu trách nhiệm lưu trữ và đánh chỉ mục các cảnh báo do máy chủ Wazuh tạo ra.
  • Wazuh Dashboard: Giao diện người dùng nền web phục vụ trực quan hóa dữ liệu sự kiện, giám sát tuân thủ quy định và cấu hình hệ thống.
  • Wazuh Agent: Ứng dụng nhẹ cài đặt trên các điểm cuối (hỗ trợ Linux, Windows, macOS, Solaris, AIX, HP-UX) để thu thập nhật ký, giám sát tệp tin và tiến trình. Ngoài ra, Wazuh hỗ trợ giám sát không cần tác nhân (Agentless) đối với switch, router, firewall qua Syslog, SSH hoặc API.
+-----------------------------------------------------------------------------+
|                               WAZUH SERVER                                  |
|  +-----------------------------------------------------------------------+  |
|  | Cổng 443/TCP: Wazuh Dashboard (Giao diện trực quan hóa)               |  |
|  | Cổng 55000/TCP: RESTful API (Quản lý cấu hình & trạng thái Agent)     |  |
|  | Cổng 9200/TCP: Wazuh Indexer / Elasticsearch (Lưu trữ chỉ mục)       |  |
|  | Cổng 1514 (UDP/TCP): Wazuh Manager (Phân tích, đối sánh bộ luật)      |  |
|  +-----------------------------------------------------------------------+  |
+-----------------------------------------------------------------------------+
                                       ^
                                       | Kênh mã hóa Blowfish 192-bit (Port 1514)
                                       v
+-----------------------------------------------------------------------------+
|                             CÁC ĐIỂM CUỐI (AGENTS)                          |
|  - Ubuntu Agent (192.132)  - RedHat Agent (192.134)  - Windows Agent (192.135) |
|  - NIDS Suricata           - Giám sát Agentless     - GitHub Cloud Service  |
+-----------------------------------------------------------------------------+

Giao tiếp giữa Wazuh Agent và Wazuh Server diễn ra qua giao thức tin nhắn OSSEC trên cổng 1514 (UDP hoặc TCP), được bảo vệ bằng thuật toán mã hóa đối xứng Blowfish 192-bit với 16 vòng lặp đầy đủ. Dữ liệu sự kiện xử lý trên máy chủ được phân tách thành hai tệp chính:

  • /var/ossec/logs/archives/archives.json: Lưu trữ toàn bộ sự kiện nhận được từ hệ thống.
  • /var/ossec/logs/alerts/alerts.json: Chỉ lưu trữ các sự kiện khớp với bộ luật cảnh báo an ninh.

Thông số mô hình mạng thử nghiệm

Hệ thống được thiết lập trên môi trường ảo hóa VMware với bảng phân bổ địa chỉ IP và chức năng các máy như sau:

Tên thiết bị / Máy ảo Địa chỉ IP Hệ điều hành / Phiên bản Vai trò trong hệ thống
Wazuh Server 192.131 Ubuntu Server Máy chủ quản trị trung tâm (Manager, Indexer, Dashboard)
Ubuntu Agent 192.132 Ubuntu Điểm cuối giám sát dịch vụ web, tệp tin và NIDS
RedHat Agent 192.134 RedHat Enterprise Linux Điểm cuối giám sát hệ thống máy chủ doanh nghiệp
Windows Agent 192.135 Microsoft Windows Điểm cuối giám sát máy trạm (Wazuh Agent v4.7)
Attacker Machine Phân đoạn mạng nội bộ Kali Linux Máy phát động các cuộc tấn công kiểm thử

Nội dung chính theo từng chương

Chương 1: Tổng quan về hệ thống giám sát an ninh mạng

Chương 1 hệ thống hóa cơ sở lý luận về Network Security Monitoring (NSM), chỉ rõ các thành phần chức năng thiết yếu: thu thập dữ liệu gói tin (PCAP), phân tích luồng dữ liệu (Flow Data), phân tích nhật ký (Log Analysis), hệ thống phát hiện xâm nhập (IDS), đánh giá lỗ hổng bảo mật, tích hợp thông tin đe dọa (Threat Intelligence), phân tích hành vi người dùng, phản ứng sự cố, điều tra kỹ thuật số (Forensics) và liên kết với SIEM.

Tác giả phân tích 12 nhóm đối tượng giám sát chính trong môi trường CNTT (máy chủ, mạng, người dùng, ứng dụng, thiết bị mạng, hệ thống lưu trữ, hệ thống quản lý, thiết bị điểm cuối, tệp tin, thiết bị USB/kết nối ngoại vi, dịch vụ đám mây, hệ thống SIEM) cùng 13 nguyên tắc thiết kế hệ thống an ninh.

Chương 1 cũng làm rõ sự khác biệt giữa các giải pháp công nghệ an ninh thông qua bảng đối sánh:

Giải pháp Trọng tâm chức năng Nguồn dữ liệu Khả năng phản hồi tự động
SIEM Thu thập, tổng hợp, tương quan log đa miền và phục vụ tuân thủ/kiểm toán Nhật ký hệ thống, thiết bị mạng, ứng dụng đa nguồn Cảnh báo cho chuyên viên; hạn chế phản hồi tự động
SOAR Bổ trợ SIEM, điều phối quy trình và tự động hóa các hành động phản hồi Dữ liệu cảnh báo và sự kiện bảo mật từ SIEM và công cụ khác Tự động hóa cao, giảm thiểu sự can thiệp thủ công
EDR Phát hiện, điều tra hành vi và xử lý đe dọa tại thiết bị đầu cuối Hoạt động tiến trình, tệp tin, registry trên máy trạm/máy chủ Cách ly điểm cuối, xử lý cục bộ tự động
XDR Hợp nhất EDR với bảo mật mạng và đám mây thành nền tảng đồng nhất Điểm cuối, lưu lượng mạng, máy chủ đám mây, ứng dụng Phân tích hành vi nâng cao và phản ứng liên miền tự động

Chương 2: Tổng quan về phần mềm Wazuh và một số phần mềm giám sát an ninh mạng khác

Chương 2 đi sâu vào cấu trúc nội tại của nền tảng Wazuh. Wazuh được hình thành từ sự kết hợp của ba công nghệ cốt lõi:

  1. OSSEC HIDS: Thành phần nền tảng thực hiện phát hiện xâm nhập dựa trên máy chủ, phân tích log tập trung, kiểm tra tính toàn vẹn tệp tin và giám sát thiết bị agentless.
  2. OpenSCAP: Công cụ đánh giá mức độ tuân thủ chính sách bảo mật hệ thống thông qua các chuẩn kiểm tra an ninh OVAL và XCCDF.
  3. Elastic Stack (hoặc Wazuh Indexer/Dashboard): Đảm nhiệm việc thu thập, lưu trữ phân tán, lập chỉ mục và trực quan hóa toàn bộ dữ liệu nhật ký.

Đồ án phân tích hai mô hình triển khai:

  • Single-node deployment: Thích hợp cho quy mô dưới 50 agent, toàn bộ dịch vụ quản lý, lập chỉ mục và giao diện vận hành trên cùng một máy chủ vật lý/máy ảo.
  • Multi-node deployment: Áp dụng cho hệ thống lớn, tách biệt cụm Wazuh Server và cụm Elasticsearch/Indexer, sử dụng Filebeat để truyền tải dữ liệu cảnh báo qua giao thức TLS đến Logstash (cổng 5000/TCP).

Ngoài ra, chương 2 phân tích đối sánh điểm mạnh và điểm yếu của Wazuh cùng các phần mềm giám sát phổ biến khác:

  • Snort: NIDS/IPS mã nguồn mở mạnh mẽ dựa trên tập luật (ruleset) tùy biến và các bộ tiền xử lý (preprocessors), nhưng đòi hỏi kỹ năng cấu hình chuyên sâu và dễ phát sinh cảnh báo giả.
  • Nagios: Giải pháp giám sát trạng thái tài nguyên và dịch vụ (CPU, RAM, SNMP, HTTP, SSH), hỗ trợ cảnh báo qua email/SMS và hệ thống plugin đa dạng, nhưng giao diện cổ điển và khó quản lý khối lượng lớn log bảo mật.
  • Suricata: NIDS/IPS hiệu năng cao với khả năng xử lý đa luồng (multi-threaded), phân tích gói tin đa tầng và hỗ trợ các giao thức ứng dụng L7.
  • ELK Stack: Bộ ba Elasticsearch, Logstash, Kibana tối ưu cho việc tìm kiếm, phân tích và trực quan hóa dữ liệu lớn từ nhiều nguồn log khác nhau.

Chương 3: Triển khai hệ thống giám sát an ninh mạng dựa trên phần mềm Wazuh

Chương 3 trình bày toàn bộ quy trình hiện thực hóa giải pháp giám sát an ninh mạng. Tác giả thực hiện cài đặt Wazuh Server bằng bộ script hỗ trợ tự động wazuh-install.sh, tạo chứng chỉ số và tài khoản quản trị hệ thống.

Quy trình cài đặt và kết nối Wazuh Agent được triển khai cụ thể trên từng môi trường:

  • Ubuntu Agent: Cài đặt khóa xác thực GPG, cấu hình repository chính thức của Wazuh, cài gói wazuh-agent, thiết lập địa chỉ WAZUH_MANAGER="192.131" và khởi chạy daemon dịch vụ qua systemctl.
  • Windows Agent: Triển khai gói cài đặt wazuh-agent-4.x.msi thông qua dòng lệnh CMD với tham số cấu hình IP máy chủ quản trị hoặc sử dụng giao diện đồ họa Wazuh Agent Manager GUI để nhập khóa xác thực (Authentication Key).
  • RedHat Agent: Triển khai thông qua trình quản lý gói tương tự môi trường Linux.

Sau khi thiết lập kết nối thành công, đồ án tiến hành kiểm thử thực nghiệm trên 9 kịch bản an ninh:

  1. Phát hiện các tiến trình trái phép: Cấu hình file ossec.conf và bổ sung luật phát hiện tùy biến trong local_rules.xml để ghi nhận các tiến trình lạ khởi chạy trên máy trạm.
  2. Phát hiện tấn công Shellshock: Cấu hình giám sát nhật ký máy chủ web Apache trên máy trạm, máy tấn công gửi chuỗi khai thác qua tiêu đề HTTP Request; Wazuh Server đối sánh quy tắc và phát hiện thành công hành vi khai thác.
  3. Phát hiện tấn công chèn mã SQL (SQL Injection): Sử dụng công cụ curl mô phỏng các chuỗi truy vấn độc hại nhắm vào dịch vụ web Apache, hệ thống trích xuất log và đưa ra cảnh báo chính xác.
  4. Phát hiện tấn công Brute-force: Sử dụng công cụ Hydra trên máy Kali Linux để thực hiện tấn công dò mật khẩu dịch vụ; Wazuh phân tích tần suất xác thực thất bại liên tiếp trong nhật ký hệ thống và sinh cảnh báo nguy cơ cao.
  5. Phát hiện các tệp nhị phân bất thường: Tận dụng tính năng FIM và cấu hình giám sát các thư mục thực thi nhị phân để cảnh báo ngay khi phát hiện tệp tin mới hoặc bị thay đổi nội dung.
  6. Tích hợp hệ thống phát hiện xâm nhập mạng (NIDS Suricata): Cài đặt Suricata trên máy trạm, cấu hình tệp suricata.yaml xuất log sự kiện định dạng eve.json, cấu hình ossec.conf để Wazuh Agent đọc luồng log này và chuyển tiếp về Wazuh Server phân tích tập trung.
  7. Phát hiện và loại bỏ mã độc tự động với VirusTotal: Cấu hình tích hợp API key của VirusTotal trong ossec.conf, thiết lập tập luật cảnh báo mã độc và xây dựng tệp lệnh remove-threat trong cơ chế Active Response. Khi tải tệp mẫu độc hại chuẩn EICAR (eicar.com), hệ thống tự động gửi mã băm kiểm tra qua VirusTotal và thực thi lệnh cô lập/xóa tệp ngay lập tức.
  8. Phát hiện và rà soát lỗ hổng (Vulnerability Detection): Kích hoạt mô-đun quét lỗ hổng định kỳ trên Wazuh Server dựa trên cơ sở dữ liệu các lỗ hổng đã công bố (CVE) tương ứng với các phần mềm cài đặt trên các Agent.
  9. Giám sát an ninh GitHub: Khởi tạo GitHub Personal Access Token, cấp quyền đọc nhật ký kiểm toán và bật mô-đun dịch vụ đám mây GitHub (github cloud service) trong ossec.conf để theo dõi các sự kiện xác thực, phân quyền và thao tác trên kho mã nguồn.

Kết quả và đóng góp

Kết quả chính đạt được

  • Triển khai hoàn chỉnh hệ thống giám sát an ninh mạng tập trung dựa trên Wazuh Server trên nền Ubuntu, quản lý đồng thời nhiều loại Agent trên các nền tảng khác nhau (Ubuntu, Windows, RedHat).
  • Kiểm chứng thành công khả năng giám sát đa tầng: từ giám sát hoạt động hệ điều hành điểm cuối (tiến trình, FIM, Brute-force), giám sát tầng ứng dụng web (Shellshock, SQLi), giám sát lưu lượng mạng (thông qua tích hợp Suricata), đến giám sát dịch vụ đám mây (GitHub).
  • Hiện thực hóa quy trình phản ứng tự động (Active Response) bằng cách liên kết thông tin tình báo mối đe dọa (VirusTotal API) để nhận diện và tự động xóa bỏ mã độc kiểm thử EICAR trong thời gian thực.
  • Xây dựng cơ chế quản lý và lưu trữ dữ liệu an ninh bảo mật: mã hóa kênh truyền Blowfish 192-bit, lưu trữ phân tách giữa toàn bộ sự kiện (archives.json) và cảnh báo vi phạm (alerts.json), thiết lập quy trình nén và tạo mã băm MD5/SHA1 phục vụ toàn vẹn dữ liệu.

Giải pháp và khuyến nghị kỹ thuật từ tác giả

  • Tối ưu hóa bộ luật: Quản trị viên cần chủ động tinh chỉnh ngưỡng cảnh báo (thresholds) và viết thêm các luật cục bộ (local_rules.xml) phù hợp với đặc thù từng hệ thống để giảm thiểu tỷ lệ cảnh báo giả (false positives).
  • Quản lý dung lượng lưu trữ: Do khối lượng log phát sinh rất lớn, cần lên lịch trình sao lưu tự động (cron job), thiết lập cơ chế xoay vòng nhật ký (log rotation) và cân nhắc chuyển dữ liệu lưu trữ dài hạn sang các cụm Elasticsearch chuyên biệt.
  • Chính sách phân quyền: Cần áp dụng nguyên tắc đặc quyền tối thiểu khi tạo mã truy cập API (như GitHub Personal Access Token hay VirusTotal API Key) để tránh nguy cơ rò rỉ quyền quản trị.

Đóng góp của đề tài

  • Hệ thống hóa các kiến thức chuyên môn về giám sát an ninh mạng, phân định rõ ràng vai trò và mối liên hệ giữa các mô hình SIEM, SOAR, EDR, XDR, MDR và SOC.
  • Cung cấp tài liệu hướng dẫn triển khai thực tế, chi tiết từ khâu cài đặt hệ thống máy chủ, triển khai tác nhân điểm cuối đa hệ điều hành đến việc tùy biến bộ luật và tích hợp các công cụ an ninh mở rộng.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung được trình bày trong đồ án, các hạn chế và hướng mở rộng bao gồm:

  • Hạn chế: Mô hình hệ thống mới dừng lại ở quy mô thử nghiệm nội bộ trên môi trường máy ảo VMware với số lượng agent hạn chế; cấu hình ban đầu còn phức tạp và đòi hỏi kỹ năng chuyên sâu về an toàn thông tin; việc phân loại sự kiện đôi lúc còn gặp hiện tượng cảnh báo giả; các kịch bản giám sát đám mây mới chỉ thử nghiệm với GitHub mà chưa mở rộng sang các hạ tầng đám mây lớn (AWS, Azure, GCP).
  • Hướng nghiên cứu tiếp:
    1. Nghiên cứu triển khai mô hình cụm phân tán (Multi-node deployment) với nhiều Wazuh Manager và cụm Indexer để đáp ứng môi trường doanh nghiệp quy mô lớn.
    2. Mở rộng tích hợp các nền tảng đám mây công cộng và giám sát hệ thống container (Docker, Kubernetes).
    3. Xây dựng các kịch bản tự động hóa phản ứng sự cố phức tạp hơn thông qua việc liên kết sâu với các nền tảng SOAR và ánh xạ các quy tắc phát hiện theo khung MITRE ATT&CK.

Giá trị tham khảo

Đồ án là tài liệu tham khảo có giá trị chuyên môn cao đối với các đối tượng:

  • Sinh viên chuyên ngành An toàn thông tin, Mạng máy tính và Công nghệ thông tin: Là tài liệu trực quan hỗ trợ học tập các học phần về giám sát an ninh mạng, phát hiện xâm nhập, quản trị hệ thống Linux/Windows và phân tích nhật ký bảo mật.
  • Quản trị viên hệ thống và kỹ sư an ninh mạng (SOC Analyst): Cung cấp tài liệu tham khảo chi tiết về quy trình triển khai Wazuh trong thực tế, cách thức kết hợp Wazuh với NIDS Suricata và VirusTotal nhằm xây dựng hệ thống phòng thủ đa tầng với chi phí tối ưu.
  • Phần đáng tham khảo nhất: Quy trình cấu hình chi tiết các kịch bản thử nghiệm tại Chương 3, đặc biệt là cơ chế tích hợp Suricata đọc log eve.json và cơ chế Active Response tự động xử lý mã độc bằng script remove-threat.

Câu hỏi thường gặp

1. Phần mềm Wazuh được xây dựng dựa trên những thành phần nền tảng cốt lõi nào?

Theo nội dung đồ án, Wazuh được xây dựng dựa trên sự hợp nhất của ba thành phần chính:

  • OSSEC HIDS: Đóng vai trò là hệ thống phát hiện xâm nhập dựa trên máy chủ, thực hiện thu thập log, kiểm tra tính toàn vẹn tệp tin và phát hiện các điểm bất thường.
  • OpenSCAP: Công cụ đánh giá lỗ hổng và kiểm tra mức độ tuân thủ cấu hình an ninh hệ thống theo các tiêu chuẩn OVAL và XCCDF.
  • Elastic Stack (hoặc Wazuh Indexer/Dashboard): Đảm nhiệm việc thu thập, lưu trữ, lập chỉ mục tìm kiếm và trực quan hóa toàn bộ dữ liệu nhật ký bảo mật.

2. Giao tiếp giữa Wazuh Agent và Wazuh Server sử dụng cổng và chuẩn mã hóa nào?

Wazuh Agent sử dụng giao thức thông điệp OSSEC để truyền các sự kiện thu thập được về máy chủ Wazuh thông qua cổng 1514 (hỗ trợ cả giao thức UDP và TCP). Toàn bộ luồng dữ liệu trên kênh truyền này được bảo vệ bằng thuật toán mã hóa Blowfish 192-bit với 16 vòng lặp xử lý đầy đủ (full 16-round implementation).

3. Quy trình phát hiện và xử lý mã độc tự động thông qua VirusTotal được cấu hình như thế nào?

Quy trình được thiết lập qua các bước:

  1. Cấu hình tích hợp khóa API VirusTotal trong tệp ossec.conf của máy chủ Wazuh.
  2. Thiết lập quy tắc cảnh báo trong tệp local_rules.xml.
  3. Xây dựng tệp lệnh remove-threat và khai báo cấu hình phản ứng tự động (Active Response) trong ossec.conf.
  4. Khi Agent phát hiện tệp tin mới (thử nghiệm với tệp mẫu chuẩn EICAR), mã băm của tệp được gửi tới VirusTotal để kiểm tra. Nếu xác định là độc hại, máy chủ sẽ chỉ thị cho Agent kích hoạt script remove-threat để xóa tệp ngay lập tức.

4. Khác biệt cơ bản giữa hai mô hình triển khai Single-node và Multi-node của Wazuh là gì?

  • Single-node deployment: Áp dụng cho các hệ thống nhỏ (dưới 50 agent), trong đó Wazuh Manager và cụm Elasticsearch/Indexer chạy trên cùng một máy chủ; Logstash đọc dữ liệu cảnh báo trực tiếp từ hệ thống tệp cục bộ.
  • Multi-node deployment: Áp dụng cho hệ thống lớn, tách biệt Wazuh Server và Elasticsearch thành các cụm máy chủ riêng biệt; sử dụng Filebeat để chuyển tiếp an toàn các cảnh báo và sự kiện qua giao thức mạng mã hóa TLS đến Logstash trên cổng 5000/TCP.

5. Wazuh thực hiện giám sát các thiết bị mạng không cài đặt được Agent (Agentless) bằng cách nào?

Đối với các thiết bị như router, switch, firewall hoặc access point, Wazuh cung cấp cơ chế giám sát không cần tác nhân thông qua việc tiếp nhận dữ liệu nhật ký hệ thống gửi về máy chủ qua dịch vụ Syslog, hoặc chủ động thăm dò và kiểm tra cấu hình định kỳ thông qua kết nối SSH an toàn và giao diện lập trình ứng dụng (API).

Kết luận

Đồ án tốt nghiệp của sinh viên Phạm Bá Tú đã nghiên cứu và triển khai thành công hệ thống giám sát an ninh mạng toàn diện dựa trên nền tảng mã nguồn mở Wazuh. Bằng việc kết hợp hài hòa giữa cơ sở lý thuyết hiện đại về NSM, SIEM, XDR với việc triển khai thực nghiệm trên môi trường máy ảo, công trình đã chứng minh hiệu quả thực tế của Wazuh trong việc phát hiện đa dạng các hình thức tấn công mạng và tự động hóa phản ứng sự cố. Đây là một công trình có giá trị ứng dụng cao, cung cấp quy trình kỹ thuật rõ ràng cho việc xây dựng hệ thống giám sát an ninh mạng tối ưu về mặt chi phí cho các tổ chức và doanh nghiệp.