Giới thiệu dự án

Trong bối cảnh chuyển đổi số và bùng nổ lưu lượng dữ liệu toàn cầu, an toàn thông tin mạng đã trở thành yếu tố sống còn đối với mọi tổ chức và doanh nghiệp. Theo các báo cáo từ Gartner, lưu lượng dữ liệu mạng doanh nghiệp dự kiến tăng hơn 5 lần trong giai đoạn 2020–2025. Đồng thời, nghiên cứu từ Cybersecurity Ventures chỉ ra rằng sự thiếu hụt nhân lực an ninh mạng toàn cầu chạm mốc 3,5 triệu chuyên gia vào năm 2025. Các cuộc tấn công có chủ đích (APT), mã độc tống tiền (Ransomware), khai thác lỗ hổng Zero-day và kỹ nghệ xã hội (Social Engineering) diễn biến ngày càng tinh vi, khiến mô hình phòng thủ tĩnh truyền thống bộc lộ nhiều lỗ hổng nghiêm trọng.

+-----------------------------------------------------------------------------------+
|                           MÔ HÌNH CHUYỂN DỊCH PHÒNG THỦ                          |
|                                                                                   |
|  [IDS Truyền thống]  --->  Phòng thủ lỗ hổng tĩnh  --->  Dễ bị bypass Zero-day   |
|  [Hệ thống NSM]      --->  Giám sát đe dọa động    --->  Truy vết toàn diện FPC   |
+-----------------------------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Hệ thống phát hiện xâm nhập truyền thống (IDS - Intrusion Detection System) thường vận hành theo cơ chế so khớp chữ ký tĩnh (signature-based) và phản hồi tuyến tính, dẫn đến các điểm nghẽn nghiêm trọng:

  • Tỷ lệ cảnh báo giả (False Positives) cao: Khiến đội ngũ vận hành SOC (Security Operations Center) bị quá tải thông tin (Alert Fatigue).
  • Mù thông tin ngữ cảnh: Thiếu khả năng đối chiếu giữa siêu dữ liệu mạng (Network Metadata), gói tin thô (Full Packet Capture - FPC) và sự kiện máy chủ (Host Telemetry).
  • Phản ứng thụ động: Khó khăn trong việc phát hiện các kỹ thuật di chuyển ngang (Lateral Movement), leo thang đặc quyền nội bộ và tấn công không dùng file (Fileless Malware).

Mục tiêu của đồ án

Đề tài nghiên cứu và xây dựng giải pháp giám sát an ninh mạng toàn diện giải quyết các mục tiêu cụ thể sau:

  1. Nghiên cứu cơ sở lý thuyết về Giám sát An toàn Mạng (NSM - Network Security Monitoring) và Khung thu thập ứng dụng (Applied Collection Framework - ACF).
  2. Khảo sát, đo kiểm và so sánh chuyên sâu các giải pháp NIDS/HIDS mã nguồn mở hàng đầu: Snort, Suricata, Wazuh và Security Onion.
  3. Triển khai thực nghiệm nền tảng Security Onion 2.4 theo kiến trúc Evaluation đa card mạng phục vụ việc bắt gói tin và quản trị tập trung.
  4. Xây dựng và kiểm thử 3 kịch bản tấn công thực tế (Nmap Reconnaissance, FTP/SSH Brute Force, Web SQLi, LFI qua Daemon knockd, Upload Webshell độc hại) và chuẩn hóa quy trình điều tra sự cố đa giai đoạn.

Phương pháp tiếp cận và kết quả kỳ vọng

Giải pháp tận dụng nền tảng Security Onion 2.4 để kết hợp sức mạnh phân tích gói tin đa luồng của Suricata, trích xuất siêu dữ liệu sâu của Zeek, khả năng thu thập toàn bộ gói tin của Stenographer và quản lý máy chủ phân tán thông qua Elastic Agent/Osquery.

+---------------------------+-------------------------------------------------------+
| Chỉ số kỳ vọng            | Mục tiêu định lượng                                   |
+---------------------------+-------------------------------------------------------+
| Tỷ lệ bắt gói và cảnh báo | 100% đối với các vector tấn công thử nghiệm          |
| Thời gian phân tích điều tra| Giảm 50% thời gian xử lý nhờ liên kết Case Management  |
| Khả năng lưu trữ dữ liệu  | Phân tầng FPC, Session, Metadata và Alert tối ưu       |
+---------------------------+-------------------------------------------------------+

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khảo sát các giải pháp phát hiện xâm nhập hiện nay cho thấy sự khác biệt rõ rệt về kiến trúc và phạm vi giám sát:

Tiêu chí Snort (v3.x) Suricata (v6.x/7.x) Wazuh (v4.x) Security Onion (v2.4)
Loại hình NIDS / IPS NIDS / IPS / NSM HIDS / SIEM / XDR Bộ công cụ NSM/SOC tích hợp
Kiến trúc luồng Đơn luồng (Single-thread)* Đa luồng (Multi-threaded) Phân tán Agent - Server Hợp nhất (Multi-engine)
Trích xuất File/Metadata Hạn chế Hỗ trợ Native (HTTP/SMTP) Giám sát tệp tin (FIM) Zeek + Suricata + Strelka
Thu thập gói tin (FPC) Không tích hợp sẵn Hỗ trợ PCAP logging Không hỗ trợ Tích hợp Stenographer
Giao diện phân tích Cần bên thứ 3 (Snorby) Cần bên thứ 3 (EveBox) Wazuh Dashboard (Kibana) SOC Console, Hunt, CyberChef
Mức độ tích hợp Công cụ đơn lẻ Công cụ đơn lẻ Hệ thống máy chủ chuyên sâu Hoàn chỉnh toàn bộ hệ sinh thái

*Ghi chú: Snort 3 đã có hỗ trợ đa luồng nhưng hệ sinh thái tích hợp quy trình điều tra SOC chưa hoàn thiện như Security Onion.

Phân loại yêu cầu hệ thống (MoSCoW)

  • Must have (Bắt buộc có): Thu thập gói tin trực tiếp từ SPAN/TAP port, phân tích luật Suricata thời gian thực, lập chỉ mục cảnh báo vào Elasticsearch, tạo giao diện SOC điều tra tập trung.
  • Should have (Nên có): Tích hợp công cụ giải mã CyberChef, cơ chế quản lý điều tra phân quyền Case Management, trích xuất siêu dữ liệu giao thức tự động từ Zeek.
  • Could have (Có thể có): Bổ sung bẫy mạng Honeypot OpenCanary, tích hợp kiểm tra mã độc thông qua API VirusTotal.
  • Won't have (Chưa thực hiện): Khả năng inline IPS chủ động ngắt kết nối tự động trên diện rộng môi trường Production.

Thiết kế hệ thống

Hệ thống được thiết kế theo mô hình giám sát chuyên sâu (Deep Packet Inspection & Contextual Correlation), đặt tại vị trí chiến lược sau tường lửa biên nhằm kiểm soát toàn bộ lưu lượng Bắc - Nam (North-South) và lưu lượng Đông - Tây (East-West).

flowchart TD
    subgraph Network_Traffic ["Lưu lượng Mạng"]
        EXT["Lưu lượng Ngoài (Internet)"] --> FW["Tường lửa Biên (Firewall)"]
        FW --> TAP["Bộ tách cổng SPAN / TAP"]
        TAP --> INT_NET["Mạng Nội Bộ (LAN / DMZ)"]
    end

    subgraph Security_Onion ["Security Onion 2.4 (Evaluation Node)"]
        subgraph Sniffing_Engine ["Network Sniffing Interface"]
            SURICATA["Suricata NIDS Engine (Multi-threaded)"]
            ZEEK["Zeek Metadata Engine"]
            STENO["Stenographer (Full Packet Capture)"]
        end
        
        subgraph Host_Telemetry ["Host / Endpoint Telemetry"]
            E_AGENT["Elastic Agent & Fleet"]
            OSQUERY["Osquery (System State)"]
        end

        subgraph Core_Storage ["Lưu trữ & Lập chỉ mục"]
            LOGSTASH["Logstash Pipelines"]
            ES[("Elasticsearch Cluster")]
        end

        subgraph Analyst_UI ["Giao diện SOC Analyst Console"]
            SOC_ALERT["Alerts Triage"]
            SOC_HUNT["Hunt / Threat Hunting"]
            SOC_CASE["Case Management"]
            CYBERCHEF["CyberChef Decoder"]
        end
    end

    TAP -->|Promiscuous Mode| Sniffing_Engine
    INT_NET -.->|Endpoint Logs| E_AGENT
    
    SURICATA -->|EVE JSON Alerts| ES
    ZEEK -->|Protocol Logs| ES
    STENO -->|Indexed PCAP Files| SOC_ALERT
    E_AGENT --> LOGSTASH --> ES
    OSQUERY --> E_AGENT

    ES <--> Analyst_UI
    CYBERCHEF <--> SOC_CASE

Công nghệ và Phiên bản triển khai

  • Hệ điều hành nền tảng: Linux kernel (Ubuntu 22.04 LTS nền tảng Security Onion 2.4).
  • Công cụ phát hiện xâm nhập mạng: Suricata v6.0+ (Cấu hình Multi-threading AF_PACKET).
  • Công cụ phân tích siêu dữ liệu: Zeek v5.0+.
  • Bộ máy lập chỉ mục và tìm kiếm: Elasticsearch v8.x & Logstash.
  • Thu thập điểm cuối (Host Telemetry): Elastic Agent tích hợp Osquery Manager.
  • Công cụ giải mã Payload: CyberChef v9.x nhúng trực tiếp trên SOC Console.

Phương pháp luận (Methodology)

Hệ thống áp dụng Khung thu thập ứng dụng (Applied Collection Framework - ACF) nhằm tối ưu hóa việc phân loại và xử lý dữ liệu:

$$\text{Rủi ro } (R) = \text{Mức độ ảnh hưởng } (I) \times \text{Xác suất xảy ra } (P)$$

Trong đó $I \in [1, 5]$ và $P \in [1, 5]$, phân loại rủi ro thành 3 cấp độ:

  • 0 – 9 điểm: Rủi ro thấp (Low Risk).
  • 10 – 16 điểm: Rủi ro trung bình (Medium Risk).
  • 17 – 25 điểm: Rủi ro cao (High Risk) – Cần ưu tiên cảnh báo khẩn cấp và phân bổ tài nguyên giám sát.
+------------------------------------------------------------------------------------+
|                           QUY TRÌNH ĐIỀU TRA ĐA PHƯƠNG PHÁP                        |
|                                                                                    |
|  [Điều tra Quan hệ]     Sơ bộ Alert -> Đối tượng chính -> Mở rộng cấp 2, 3        |
|  [Chẩn đoán Khác biệt]   Dấu hiệu -> Giả thuyết phổ biến -> Loại trừ hệ thống       |
+------------------------------------------------------------------------------------+
  1. Điều tra Quan hệ (Relational Investigation):
    • Bước 1: Phân tích sơ bộ cảnh báo và xác định tính hợp lệ (loại trừ False Positive).
    • Bước 2: Đánh giá tương tác giữa thực thể tấn công (Source IP) và thực thể bị hại (Destination IP).
    • Bước 3: Mở rộng điều tra các thực thể thứ cấp (Port lạ, C2 Server, Tệp tin độc hại trung gian).
    • Bước 4: Xây dựng đồ thị liên kết toàn diện chuỗi tấn công.
  2. Chẩn đoán Khác biệt (Differential Diagnosis):
    • Liệt kê toàn bộ các khả năng gây ra bất thường.
    • Ưu tiên kiểm tra các giả thuyết nghiêm trọng nhất theo ma trận rủi ro ACF.
    • Triển khai phương pháp loại trừ từng điều kiện để đưa ra kết luận sự cố chính xác.

Implementation và kết quả

Quá trình phát triển và cấu hình

Hệ thống Security Onion được cấu hình 2 giao diện mạng độc lập:

  • Management Interface (eth0): Địa chỉ IP tĩnh kết nối mạng quản trị an toàn, cung cấp quyền truy cập HTTPS vào Security Onion Console (SOC).
  • Sniffing Interface (eth1): Hoạt động ở chế độ Promiscuous Mode không gán IP, kết nối trực tiếp vào Switch Port Analyzer (SPAN) để thu nhận bản sao lưu lượng mạng thô.
+------------------------------------------------------------------------------------+
|                         CẤU TRÚC LUẬT PHÁT HIỆN SURICATA                           |
|                                                                                    |
|   action  header (options)                                                         |
|   ├── action : alert                                                               |
|   ├── header : tcp $EXTERNAL_NET any -> $HOME_NET 22                               |
|   └── options: msg:"ET SCAN Potential SSH Scan"; flags:S; threshold:...; sid:...;  |
+------------------------------------------------------------------------------------+

Ví dụ cấu trúc luật Suricata được áp dụng để nhận diện hành vi tấn công dò quét cổng SSH và khai thác ứng dụng web:

# Phát hiện tấn công quét cổng SSH liên tục
alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (
    msg:"ET SCAN Potential SSH Brute Force / Port Scan Detected";
    flags:S;
    threshold:type both, track by_src, count 5, seconds 60;
    classtype:attempted-recon;
    sid:2001219;
    rev:1;
)

# Phát hiện truy vấn file nhạy cảm thông qua lỗ hổng LFI
alert http $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (
    msg:"ET WEB_SPECIFIC_APPS Local File Inclusion attempt (/etc/passwd)";
    flow:established,to_server;
    http.uri; content:"/etc/passwd"; nocase;
    classtype:web-application-attack;
    sid:2010045;
    rev:2;
)

Thử nghiệm và đánh giá kết quả thực nghiệm

Hệ thống được đưa vào kiểm thử thực tế thông qua 3 kịch bản tấn công mô phỏng từ máy trạm Kali Linux nhắm vào các máy chủ mục tiêu (Metasploitable 2, Ubuntu Server, Debian Server):

+------------------------------------------------------------------------------------+
|                           TỔNG HỢP CÁC KỊCH BẢN THỰC NGHIỆM                        |
|                                                                                    |
|  [Kịch bản 1] Nmap Reconnaissance -> FTP Brute-Force -> Privilege Escalation (`id`)|
|  [Kịch bản 2] Web SQL Injection -> Reverse Shell Upload -> VirusTotal Analysis     |
|  [Kịch bản 3] Sqlmap Attack -> LFI (`knockd.conf`) -> Port Knocking -> SSH Brute   |
+------------------------------------------------------------------------------------+

Kịch bản 1: Dò quét mạng, Vét cạn dịch vụ FTP và Leo thang đặc quyền

  • Hành vi tấn công: Sử dụng Nmap dò quét dịch vụ máy chủ, tiến hành Brute-force dịch vụ FTP và thực thi lệnh qua backdoor để lấy shell root.
  • Ghi nhận từ Security Onion:
    • Suricata kích hoạt cảnh báo quét cổng tự động từ địa chỉ IP nguồn tấn công.
    • Zeek ghi nhận hàng loạt phiên FTP xác thực lỗi liên tiếp trong khoảng thời gian ngắn.
    • Cảnh báo nghiêm trọng: ET SHELLCODE Possible /bin/sh Executed và RESPONSE id check returned root khi phản hồi trả về chuỗi uid=0(root) gid=0(root).
    • Phân tích SOC: Tạo Case #1, phân công nhà phân tích thực hiện trích xuất phiên PCAP và xác nhận máy chủ đã bị chiếm quyền kiểm soát hoàn toàn.

Kịch bản 2: Tấn công SQL Injection, Tải lên Webshell và Đào bới Payload

  • Hành vi tấn công: Khai thác lỗi SQLi trên giao diện web, tải lên file mã độc dạng .php nhằm mở cổng backdoor lắng nghe (Port 1234).
  • Ghi nhận từ Security Onion:
    • Cảnh báo Suricata: ET WEB_SPECIFIC_APPS SQL Injection Attempt và cảnh báo tải lên tập tin nguy hiểm ET WEB_SERVER PHP Webshell Upload Detected.
    • Sử dụng công cụ CyberChef tích hợp trong SOC Console để giải mã chuỗi dữ liệu Base64 truyền trong HTTP POST Body:
# Dữ liệu Payload thô (Base64 Encoded):
c3lzdGVtKCdhcGFjaGUyIC12IDsgY2F0IC9ldGMvcGFzc3dkJyk7

# Kết quả sau khi chạy qua Recipe "From Base64" trên CyberChef:
system('apache2 -v ; cat /etc/passwd');
  • Xác thực mã độc: Trích xuất mã băm SHA256 của tệp tin PHP tải lên từ siêu dữ liệu của Zeek/Strelka, tự động đối soát thông qua VirusTotal để xác minh họ mã độc.

Kịch bản 3: Tấn công SQLi tự động bằng Sqlmap, khai thác LFI qua Knock Daemon và SSH Brute Force

  • Hành vi tấn công: Kẻ tấn công dùng công cụ sqlmap tự động, khai thác lỗi Local File Inclusion (LFI) nhằm xem nội dung file cấu hình bảo mật /etc/knockd.conf, thực hiện cơ chế Port Knocking tuần tự để mở cổng SSH bị ẩn và tiến hành vét cạn tài khoản đăng nhập.
  • Ghi nhận từ Security Onion:
    • Nhận diện chính xác User-Agent: sqlmap/1.x cùng chuỗi truy vấn thăm dò cơ sở dữ liệu.
    • Cảnh báo LFI khi HTTP URI xuất hiện mẫu ../../etc/passwd và ../../etc/knockd.conf.
    • Phân tích nhật ký Hunt Dashboard nhận diện các gói tin TCP SYN đơn lẻ gửi lần lượt tới các cổng Knock bí mật (ví dụ: 7000 -> 8000 -> 9000).
    • Phân tích Zeek ssh.log và xác định được chính xác thời điểm đăng nhập SSH thành công (auth_success=true) sau 48 lần thử sai.
+-----------------------------------------------------------------------------------+
|               KẾT QUẢ ĐO KIỂM HIỆU NĂNG PHÁT HIỆN & PHÂN TÍCH                     |
|                                                                                   |
|  [Độ chính xác cảnh báo]  ======================================== 100%           |
|  [Trích xuất FPC PCAP]    ======================================== 100%           |
|  [Giảm thời gian Triage]  ======================== 58.3% (36p -> 15p)             |
+-----------------------------------------------------------------------------------+

Kết quả đạt được

Chỉ số đánh giá Giá trị thực nghiệm Đánh giá
Tỷ lệ phát hiện tấn công (Detection Rate) 100% (3/3 Kịch bản) Bắt trọn vẹn toàn bộ chuỗi tấn công (Kill Chain)
Khả năng giải mã Payload (CyberChef) 100% chuỗi Base64/URL Encoded Khôi phục nguyên trạng mã thực thi độc hại
Độ trễ cảnh báo hệ thống (Alert Latency) < 1,5 giây Dữ liệu EVE JSON được lập chỉ mục tức thì vào Elasticsearch
Thời gian phân tích sự cố (Triage Time) Giảm từ 36 phút xuống 15 phút (~58,3%) Nhờ công cụ SOC Hunt và luồng quản lý Case tập trung

Đổi mới và đóng góp

  1. Hợp nhất đa nền tảng giám sát mạng và máy chủ: Thay vì chỉ sử dụng công cụ NIDS đơn lẻ (dễ bỏ lọt tấn công mã hóa) hoặc HIDS đơn lẻ (thiếu ngữ cảnh lưu lượng mạng), hệ thống đã xây dựng mô hình Hợp nhất cảm biến (Unified Sensor Fusion) giữa Suricata (NIDS) + Zeek (Metadata) + Stenographer (FPC) + Elastic Agent (Host Endpoint).
+-----------------------------------------------------------------------------------+
|                         CƠ CHẾ PHÂN TÍCH ĐA LỚP HỢP NHẤT                          |
|                                                                                   |
|  [Suricata]   Alert: Khởi tạo cảnh báo vi phạm chữ ký / bất thường ban đầu       |
|      ↓                                                                            |
|  [Zeek]       Metadata: Cung cấp bản ghi phiên chi tiết (Conn, HTTP, SSH, DNS)    |
|      ↓                                                                            |
|  [Steno]      PCAP: Trích xuất toàn bộ gói tin thô để làm bằng chứng số           |
|      ↓                                                                            |
|  [CyberChef]  Decode: Giải mã Payload và trích xuất IoC trực tiếp trên Web UI     |
+-----------------------------------------------------------------------------------+

  1. Chuẩn hóa quy trình điều tra SOC cho đội ngũ bảo mật: Đóng góp quy trình phân tích 4 bước kết hợp giữa Điều tra Quan hệ và Chẩn đoán Khác biệt, giúp các chuyên gia phân tích giảm thiểu tối đa tình trạng "chìm ngập trong biển cảnh báo", nâng cao năng suất xử lý cảnh báo giả thêm 40–60% so với thao tác dòng lệnh thủ công.

  2. Cơ chế cộng tác phân tích đa chuyên gia (Collaborative Case Management): Xây dựng mô hình tương tác thời gian thực trên SOC Cases, cho phép các chuyên viên SOC (Tier-1, Tier-2, Incident Responder) cùng bình luận, đính kèm Observable (IoC), lưu vết bằng chứng PCAP và phân công nhiệm vụ xử lý một cách minh bạch.

Ứng dụng thực tế và triển khai

Trường hợp sử dụng thực tế (Use Cases)

  • Doanh nghiệp vừa và nhỏ (SMB): Giám sát toàn diện lưu lượng mạng nội bộ và các dịch vụ Public (Web, Mail, VPN) với chi phí bản quyền phần mềm 0 VNĐ.
  • Trung tâm điều hành an ninh mạng (SOC): Đóng vai trò là cụm cảm biến thu thập mạng (Network Sensor) đẩy dữ liệu chuẩn hóa về các hệ thống SIEM/SOAR cấp cao hơn.
  • Cơ sở đào tạo an toàn thông tin: Làm môi trường thao trường mạng (Cyber Range Lab) phục vụ nghiên cứu, diễn tập ứng cứu sự cố và phân tích mã độc.

Yêu cầu phần cứng và Mô hình mở rộng (Scalability)

+------------------------------------------------------------------------------------+
|                         CÁC MÔ HÌNH TRIỂN KHAI SECURITY ONION                      |
|                                                                                    |
|  [Evaluation / POC]    1 Máy chủ duy nhất (Single Node: All-in-one)                |
|  [Distributed Enterprise]                                                          |
|       ├── Manager Node : Quản trị Fleet, SOC Web Console, Kibana, InfluxDB         |
|       ├── Search Nodes : Cụm Elasticsearch Cluster lưu trữ và lập chỉ mục Logs    |
|       └── Forward Nodes: Cảm biến mạng chuyên biệt (Suricata, Zeek, Stenographer)  |
+------------------------------------------------------------------------------------+
  • Môi trường Thử nghiệm / Đánh giá (Evaluation Node):
    • CPU: Tối thiểu 4 Cores (Khuyến nghị 8 Cores).
    • RAM: Tối thiểu 12 GB – 16 GB.
    • Lưu trữ: Tối thiểu 200 GB SSD (Ưu tiên NVMe để tối ưu tốc độ ghi Elasticsearch và FPC).
  • Môi trường Doanh nghiệp (Distributed Deployment):
    • Phân tách riêng biệt giữa Manager Node, Search Nodes (Cụm Elasticsearch Cluster) và Forward Nodes (Các máy trạm chuyên thu thập mạng tại từng chi nhánh).

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Lưu lượng mã hóa (TLS/SSL Encrypted Traffic): Suricata và Zeek gặp rào cản khi phân tích sâu nội dung gói tin HTTPS nếu không triển khai giải pháp SSL/TLS Decryption Proxy (MITM).
  • Chi phí phần cứng cao khi mở rộng: Việc lưu trữ toàn bộ gói tin (Full Packet Capture) yêu cầu dung lượng đĩa cứng rất lớn; hệ thống cần cơ chế luân chuyển và xóa log định kỳ (Retention Policy) để tránh đầy bộ nhớ.
  • Khả năng can thiệp chủ động: Kiến trúc Evaluation thu thập qua cổng SPAN/TAP chỉ hỗ trợ phát hiện thụ động (Passive Monitoring), không trực tiếp chặn gói tin theo thời gian thực như Firewall/IPS Inline.

Hướng phát triển trong tương lai

  • Phát triển và viết thêm các tập luật tùy biến (Custom Zeek Scripts) để tự động nhận diện các hành vi truyền dữ liệu ẩn (DNS Tunneling, ICMP Exfiltration).
  • Tích hợp các mô hình Học máy (Machine Learning) và AI vào Elasticsearch nhằm phát hiện bất thường dựa trên phân tích hành vi người dùng và thực thể (UEBA).
  • Kết nối Security Onion với các nền tảng SOAR (Security Orchestration, Automation and Response) như Shuffle hoặc TheHive để tự động hóa chặn IP tại Tường lửa khi phát hiện tấn công mức độ High.

Đối tượng hưởng lợi

  • Sinh viên & Nghiên cứu sinh ngành An toàn thông tin: Tài liệu tham khảo toàn diện về lý thuyết NSM, mô hình ACF và phương pháp thiết lập phòng thí nghiệm thực hành giám sát mạng.
  • Kỹ sư vận hành SOC / Chuyên viên An ninh mạng: Nắm vững kỹ thuật săn lùng mối đe dọa (Threat Hunting), kỹ năng phân tích sâu gói tin PCAP và quy trình bóc tách mã độc qua CyberChef.
  • Doanh nghiệp & Tổ chức: Có được bản thiết kế kiến trúc hoàn chỉnh để triển khai hệ thống giám sát an toàn thông tin chuyên nghiệp với mức chi phí đầu tư bản quyền tối ưu nhất.
  • Cộng đồng nguồn mở: Đóng góp tài liệu thực nghiệm bằng tiếng Việt, cung cấp các kịch bản kiểm thử mẫu và hướng dẫn tối ưu hóa phiên bản Security Onion 2.4.

Câu hỏi thường gặp (FAQ)

1. Yêu cầu phần cứng tối thiểu để triển khai Security Onion 2.4 trong thực tế là gì?

Đối với kiến trúc Evaluation phục vụ học tập/nghiên cứu, hệ thống yêu cầu tối thiểu 4 CPU Cores, 12 GB RAM và 200 GB dung lượng ổ cứng. Đối với môi trường doanh nghiệp quy mô vừa (băng thông mạng 1 Gbps), cần tối thiểu 16 CPU Cores, 64 GB RAM và hệ thống lưu trữ RAID SSD từ 2 TB trở lên để đảm bảo khả năng ghi Full Packet Capture không bị rớt gói (packet drop).

2. Sự khác biệt cốt lõi giữa IDS truyền thống và hệ thống NSM là gì?

IDS truyền thống tập trung chủ yếu vào việc ngăn chặn dựa trên chữ ký tĩnh của các lỗ hổng đã biết và đưa ra cảnh báo độc lập. Ngược lại, NSM (Network Security Monitoring) tập trung vào việc thu thập đa dạng nguồn dữ liệu (FPC, Metadata, Session, Alert), chấp nhận nguy cơ hệ thống có thể bị xâm nhập để tập trung vào việc phát hiện hành vi kẻ tấn công, truy vết nguồn gốc và hỗ trợ phản ứng sự cố toàn diện.

3. Làm thế nào để Security Onion giám sát được lưu lượng mạng đã bị mã hóa HTTPS?

Security Onion sử dụng Zeek và Suricata để phân tích siêu dữ liệu phiên TLS/SSL (chẳng hạn như tên miền trong SNI - Server Name Indication, chứng chỉ số Certificate Issuer, Fingerprint JA3/JA3S). Mặc dù không đọc trực tiếp nội dung gói tin mã hóa, hệ thống vẫn nhận diện được máy chủ C2 độc hại dựa trên danh tiếng IP/Domain và các dấu vân tay TLS bất thường.

4. Tại sao Security Onion 2.4 lại thay thế OSSEC/Wazuh bằng Elastic Agent?

Trong phiên bản 2.4, Security Onion chuyển đổi sang sử dụng Elastic Agent tích hợp Osquery và Elastic Fleet nhằm đồng bộ hóa hoàn toàn luồng dữ liệu về kiến trúc Elastic Stack chung. Điều này giúp tối ưu hóa hiệu năng thu thập log điểm cuối, đơn giản hóa việc quản trị tập trung và cho phép truy vấn trạng thái hệ điều hành trực tiếp từ giao diện SOC Console.

5. Chi phí triển khai Security Onion so với các giải pháp thương mại (Splunk, QRadar) như thế nào?

Security Onion là nền tảng mã nguồn mở hoàn toàn miễn phí về mặt bản quyền phần mềm. Doanh nghiệp chỉ cần đầu tư chi phí phần cứng máy chủ và nhân lực vận hành. So với các giải pháp SIEM thương mại tính phí theo dung lượng log nạp hàng ngày (GB/day) có thể lên đến hàng chục nghìn USD mỗi năm, Security Onion mang lại hiệu quả đầu tư (ROI) vượt trội cho các tổ chức tối ưu ngân sách.

Kết luận

Đồ án tốt nghiệp "Nghiên cứu và triển khai hệ thống giám sát an toàn mạng với Security Onion" đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm đề ra. Thông qua việc phân tích chuyên sâu nền tảng lý thuyết NSM, áp dụng Khung thu thập ACF và triển khai thành công phiên bản Security Onion 2.4, công trình đã chứng minh tính khả thi, độ tin cậy và hiệu quả vượt trội của giải pháp mã nguồn mở trong việc bảo vệ hạ tầng mạng hiện đại.

Kết quả thử nghiệm trên 3 kịch bản tấn công thực tế (Dò quét Nmap, Vét cạn dịch vụ, Tấn công ứng dụng Web SQLi, LFI và leo thang đặc quyền) cho thấy hệ thống có khả năng nhận diện chính xác 100% các hành vi xâm nhập, hỗ trợ đắc lực cho chuyên viên phân tích SOC thông qua bộ công cụ SOC Console, Hunt và CyberChef. Đây là tiền đề vững chắc để phát triển, mở rộng triển khai thành các trung tâm điều hành an ninh mạng SOC chuyên nghiệp trong các cơ quan, tổ chức và doanh nghiệp trong tương lai.