Luận văn thạc sĩ quản trị an ninh phi truyền thông nghiên cứu thiết kế và triển khai giải pháp giám sát cho hệ thống an ninh thông tin của phòng quản lý xuất nhập cảnh công an thành phố hà nội

Luận văn về giải pháp giám sát an ninh thông tin cho phòng quản lý xuất nhập cảnh CATP Hà Nội. Nghiên cứu thiết kế, triển khai hệ thống hiệu quả.

• Tác giả: Bùi Ngọc Hạnh
• Người hướng dẫn: Thiếu Tướng,Ts. Nguyễn Thế Bình
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Quản Trị An Ninh Phi Truyền Thống (MNS)
• Đề tài: Nghiên Cứu Thiết Kế Và Triển Khai Giải Pháp Giám Sát Cho Hệ Thống An Ninh Thông Tin Của Phòng Quản Lý Xuất Nhập Cảnh
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: HỆ THỐNG GSANM
• 1.1. Tổng quan về hệ thống GSANM
• 1.2. Tầm quan trọng của GSANM
• 1.3. Những yếu tố cần thiết cho một hệ thống GSANM
• 1.4. Công nghệ triển khai hệ thống GSANM
• 1.5. Một số giải pháp công nghệ GSANM nổi bật
• 1.6. Phân tích theo giải pháp công nghệ
• 1.7. Phân tích theo nhà cung cấp
• 1.8. Phương trình khoa học
• 2. CHƯƠNG 2: THIẾT KẾ GIẢI PHÁP GSANM CHO HỆ THỐNG MẠNG TẠI PHÒNG QUẢN LÝ XUẤT NHẬP CẢNH CATP HÀ NỘI
• 2.1. Các thành phần của hệ thống GSANM cho hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 2.2. Thành phần thu thập thông tin
• 2.3. Thành phần lưu trữ, phân tích sơ bộ
• 2.4. Thành phần phân tích quản trị tập trung
• 2.5. Các giao thức sử dụng tích hợp các thành phần trong GSANM
• 2.6. Khảo sát hệ thống mạng tại Phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 2.7. Mô hình hệ thống mạng
• 2.8. Hiện trạng hệ thống mạng
• 2.9. Phân tích, đánh giá các nguy cơ, rủi ro của hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội, xác định các thành phần cần thực hiện giám sát
• 2.10. Phân tích, đánh giá các rủi ro của hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 2.11. Thành phần cần thực hiện giám sát
• 3. CHƯƠNG 3: TRIỂN KHAI XÂY DỰNG HỆ THỐNG GSANM CHO HỆ THỐNG MẠNG TẠI PHÒNG QUẢN LÝ XUẤT NHẬP CẢNH CATP HÀ NỘI
• 3.1. Đề xuất giải pháp, mô hình hệ thống GSANM phù hợp cho hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội
• 3.2. Các yêu cầu đối với hệ thống GSANM phù hợp
• 3.3. Đề xuất giải pháp
• 3.4. Xây dựng hệ thống GSANM
• 3.5. Xây dựng thành phần phân tích quản trị tập trung - ArcSight ESM
• 3.6. Xây dựng thành phần lưu trữ, phân tích sơ bộ - ArcSight Logger
• 3.7. Xây dựng thành phần thu thập thông tin - ArcSight Connector
• 3.8. Cấu hình tích hợp các thành phần
• 3.9. Một số chính sách thực hiện giám sát
• KẾT LUẬN
• 4.1. Đánh giá hiệu quả của hệ thống GSANM đã xây dựng
• 4.2. Những khó khăn, tồn tại của hệ thống GSANM đã xây dựng
• 4.3. Hướng phát triển giải pháp, mở rộng hoàn thiện hệ thống GSANM
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Nghiên Cứu Giám Sát An Ninh Thông Tin Hiện Nay

Ngày nay, với sự phát triển vượt bậc của công nghệ thông tin, việc ứng dụng mạnh mẽ CNTT trong các cơ quan, tổ chức ngày càng gia tăng. Điều này mang lại hiệu quả hoạt động cao, tuy nhiên, hệ thống mạng cũng phải đối mặt với nhiều nguy cơ mất an toàn. Các cuộc tấn công mạng ngày càng tinh vi, phức tạp, sự gia tăng nhanh chóng của phần mềm độc hại ảnh hưởng nghiêm trọng đến tính an toàn, bí mật, sẵn sàng của thông tin, thiết bị, tài nguyên và dịch vụ. Xu hướng phát triển công nghệ gần đây cho thấy các cuộc tấn công mạng ngày càng mang động cơ chính trị và kinh tế rõ ràng. Các hệ thống thông tin điện tử trong cơ quan nhà nước trở thành mục tiêu, và Việt Nam đang là một mục tiêu của hình thức tấn công APT. Theo FireEye, các cơ quan báo chí, chính phủ, ngân hàng Việt Nam đã là đối tượng của APT30, APT64 trong 10 năm qua với mục đích lấy cắp dữ liệu nhạy cảm. Do đó, việc đảm bảo an ninh, an toàn thông tin (ATANTT) trở thành vấn đề cấp thiết. Phòng Quản lý Xuất Nhập Cảnh CATP Hà Nội, với đặc thù là một cơ quan có nhiều thông tin quan trọng và cung cấp dịch vụ trên internet, cũng không tránh khỏi các nguy cơ mất ATANTT. Lĩnh vực quản lý xuất nhập cảnh đặc biệt quan trọng trong tình hình tội phạm đa quốc gia, khủng bố và di dân hoạt động mạnh mẽ, đòi hỏi công tác quản lý chặt chẽ để tránh sơ hở, lộ lọt thông tin.

1.1. GSANM Là Gì Tổng Quan Hệ Thống Giám Sát An Ninh Mạng

Hệ thống giám sát an ninh mạng (GSANM) là hệ thống quản lý và phân tích các sự kiện ATTT được sinh ra từ các thành phần trong hạ tầng CNTT. Mục tiêu là phát hiện kịp thời các sự cố, nguy cơ mất ATTT như các cuộc tấn công mạng, máy tính nhiễm mã độc, lỗ hổng bảo mật của thiết bị/ứng dụng. Đồng thời, hệ thống cung cấp bằng chứng số phục vụ công tác điều tra khi xảy ra sự cố, giám sát việc tuân thủ chính sách an ninh thông tin. Hệ thống GSANM đảm bảo an ninh mạng cần thiết cho mọi tổ chức. Việc triển khai GSANM là một bước quan trọng để bảo vệ thông tin và tài sản của tổ chức.

1.2. Vì Sao GSANM Quan Trọng Trong Bảo Vệ An Ninh Mạng

Hệ thống mạng ngày nay có độ phức tạp cao. Các thiết bị như router, switch, hub kết nối vô số các máy con đến các dịch vụ trên máy chủ và Internet. Các tiện ích bảo mật và truyền thông như tường lửa, VPN, dịch vụ phòng chống mã độc và thư rác cũng được cài đặt. Sự hiểu biết về cấu trúc và khả năng cảnh báo là yếu tố quan trọng để duy trì hiệu suất và tính toàn vẹn. Có hàng ngàn khả năng xảy ra, và quản trị viên phải đảm bảo các nguy cơ được thông báo kịp thời và chính xác. Hệ thống mạng không còn là một cấu trúc cục bộ riêng rẽ. Nó phục vụ các nguồn truy cập từ Internet, mạng LAN, WAN, với sự kết hợp của các thiết bị, server, ứng dụng. Các hệ thống mạng rất phức tạp, và mỗi thành phần đại diện cho một nguy cơ. Đó là lý do cần phải được giám sát để giảm thiểu tối đa các nguy cơ tiềm tàng.

II. Thách Thức Nguy Cơ Mất An Ninh Thông Tin Tại Phòng XNC

Trong thực tế, hầu hết các cơ quan, tổ chức tại Việt Nam chưa có giải pháp giám sát và đánh giá tổng thể về hoạt động và mức độ an toàn, an ninh thông tin. Để đánh giá toàn diện, cần thu thập, phân tích và lưu trữ các sự kiện ATTT từ các thiết bị, dịch vụ và ứng dụng. Tuy nhiên, số lượng sự kiện ATTT rất lớn, với các kiểu định dạng khác nhau và giá trị thông tin khác nhau. Các thiết bị khác nhau có thể tạo ra báo cáo ở các góc độ khác nhau về cùng một sự cố ATTT. Yếu tố con người và môi trường làm việc cũng có thể dẫn đến bỏ qua thông tin cảnh báo quan trọng, các sự cố ATTT mạng không được xử lý kịp thời, gây ra thiệt hại lớn. Đối với hệ thống của phòng Quản lý xuất nhập cảnh CATP Hà Nội, mặc dù đã đầu tư, triển khai một số biện pháp tăng cường bảo mật như tường lửa thế hệ mới (Firewall), các thiết bị IDS/IPS, hệ thống phòng chống mã độc/thư rác, hệ thống kiểm soát truy cập web, vẫn còn gặp nhiều khó khăn trong việc phát hiện, ngăn chặn và xử lý các sự cố mất ATANTT.

2.1. Rủi Ro An Ninh Mạng Nổi Bật Tại Phòng Quản Lý XNC Hà Nội

Hiện trạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội đối mặt với một số rủi ro an ninh mạng tiêu biểu như sau. Tình trạng lộ lọt tài liệu, thông tin nhạy cảm: thông tin cá nhân của công dân, thông tin về các đối tượng bị cấm xuất nhập cảnh. Các máy tính bị nhiễm mã độc dù đã có cảnh báo của phần mềm phòng chống: các loại mã độc như virus, trojan, ransomware có thể xâm nhập và phá hoại hệ thống. Tình trạng dịch vụ cung cấp trên mạng (thư điện tử, các dịch vụ công...) còn chưa thực sự ổn định để đáp ứng nhu cầu khai thác của cán bộ và người dân. Việc tra cứu, tổng hợp thông tin về tình trạng hoạt động của hệ thống mạng để theo dõi là rất khó khăn.

2.2. Tại Sao Cần Hệ Thống Giám Sát An Ninh Mạng GSANM Cho XNC

Bởi vậy, cần có một hệ thống cho phép theo dõi, giám sát tình trạng hoạt động và các nguy cơ gây mất ATANTT trong hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội. Đó chính là hệ thống giám sát an ninh mạng (GSANM). Hệ thống này quản lý và phân tích các sự kiện ATTT, thực hiện thu thập, chuẩn hóa, lưu trữ và phân tích tương quan toàn bộ các sự kiện ATTT được sinh ra từ các thành phần trong hạ tầng công nghệ thông tin.

2.3. GSANM Giải Quyết Các Bài Toán An Ninh Mạng Khó Nhằn Nào

Hệ thống giám sát an ninh mạng có thể thực hiện các nhiệm vụ sau: Phát hiện kịp thời các tấn công mạng xuất phát từ Internet cũng như các tấn công xuất phát trong nội bộ. Phát hiện kịp thời các điểm yếu, lỗ hổng bảo mật của các thiết bị, ứng dụng và dịch vụ trong hệ thống. Phát hiện kịp thời sự lây nhiễm mã độc trong hệ thống mạng, các máy tính bị nhiễm mã độc, các máy tính bị tình nghi là thành viên của mạng máy tính ma (botnet). Giám sát việc tuân thủ chính sách an ninh trong hệ thống. Cung cấp bằng chứng số phục vụ công tác điều tra sau sự cố.

III. Giải Pháp Thiết Kế Triển Khai GSANM Cho Phòng Quản Lý XNC

Việc nghiên cứu triển khai xây dựng hệ thống giám sát an ninh mạng trong các cơ quan tổ chức như phòng Quản lý xuất nhập cảnh CATP Hà Nội là rất cấp thiết. Đây là công cụ hiệu quả trong việc hỗ trợ giám sát và phát hiện sớm các nguy cơ, các sự cố gây mất ATANTT và hỗ trợ điều tra nguồn gốc đối với các tấn công vào hệ thống thông tin điện tử. Qua đó giúp cho người quản trị hệ thống có thể theo dõi thường xuyên hệ thống và sớm nhận biết các mối nguy hiểm. Ngoài ra, việc triển khai xây dựng hệ thống giám sát an ninh mạng cho các cơ quan, tổ chức như phòng Quản lý xuất nhập cảnh CATP Hà Nội là tiền đề để có thể xây dựng hệ thống giám sát an ninh mạng cho CATP Hà Nội. Việc này có ý nghĩa to lớn trong việc chủ động đảm bảo an toàn an ninh mạng chung, bảo vệ thông tin quốc gia trong tình hình mất ATTT diễn ra ngày càng tinh vi, phức tạp trên toàn thế giới.

3.1. Nghiên Cứu Yêu Cầu Lựa Chọn Giải Pháp Giám Sát Phù Hợp

Đề tài tập trung nghiên cứu về giám sát tài nguyên hệ thống (thiết bị mạng, máy chủ), hoạt động truy cập mạng, hoạt động của các thiết bị bảo mật (Firewall, IDS/IPS, Antivirus...) đồng thời triển khai thực tế hệ thống giám sát an ninh mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội. Đề tài sẽ tập trung nghiên cứu một cách tổng quan về mô hình và kiến trúc bảo đảm an toàn, an ninh thông tin đặc biệt trong hướng xây dựng hệ thống giám sát an ninh mạng. Các vấn đề nghiên cứu trong phần này xoay quanh việc xác định các nguyên tắc để giám sát an toàn, an ninh thông tin một cách toàn diện nhất với toàn bộ hệ thống tt con người, kỹ thuật, quy trình và thủ tục.

3.2. Các Bước Triển Khai Hệ Thống GSANM Hiệu Quả Cho XNC

Nghiên cứu những đặc điểm của các hệ thống giám sát an ninh mạng nói chung. Các giải pháp được nghiên cứu, tổng hợp từ nhiều nguồn khác nhau từ đó, tổng hợp đưa ra giải pháp tổng thể để xây dựng hệ thống giám sát an ninh mạng giúp đảm bảo an ninh an toàn cho hệ thống mạng phòng quản lý xuất nhập cảnh của Công an thành phố Hà Nội. Ngoài ra, thực hiện khảo sát, phân tích hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội. Phân tích đánh giá các nguy cơ, rủi ro đối với hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội.

3.3. Các Thành Phần Cốt Lõi Của Hệ Thống GSANM Hoàn Chỉnh

Hệ thống GSANM cần có các thành phần cốt lõi như sau: Thành phần thu thập thông tin: Thu thập nhật ký hệ thống, sự kiện bảo mật từ các nguồn khác nhau. Thành phần lưu trữ và phân tích sơ bộ: Lưu trữ và phân tích sơ bộ dữ liệu thu thập được. Thành phần phân tích và quản trị tập trung: Phân tích chuyên sâu, tương quan các sự kiện để phát hiện các mối đe dọa, cung cấp giao diện quản trị tập trung.

IV. Ứng Dụng Giám Sát An Ninh Mạng Thực Tế Tại CATP Hà Nội

Để xây dựng một hệ thống GSANM hiệu quả, cần tuân thủ các bước sau: Khảo sát và đánh giá hệ thống: Xác định các tài sản cần bảo vệ, các nguy cơ tiềm ẩn và các yêu cầu về an ninh thông tin. Lựa chọn giải pháp và công nghệ: Lựa chọn các giải pháp và công nghệ phù hợp với yêu cầu và ngân sách. Thiết kế hệ thống: Thiết kế kiến trúc hệ thống, các thành phần cần thiết và các quy trình hoạt động. Triển khai và cấu hình: Triển khai các thành phần của hệ thống và cấu hình để thu thập, phân tích và báo cáo các sự kiện bảo mật. Vận hành và bảo trì: Vận hành hệ thống và thực hiện các hoạt động bảo trì định kỳ để đảm bảo hệ thống hoạt động ổn định và hiệu quả.

4.1. ArcSight ESM Logger Connector Trong Hệ Thống Giám Sát

Trong nghiên cứu, tác giả đã đề xuất sử dụng các thành phần ArcSight như ESM (Enterprise Security Management) cho thành phần phân tích quản trị tập trung, Logger cho thành phần lưu trữ và phân tích sơ bộ, và Connector cho thành phần thu thập thông tin. Cấu hình tích hợp các thành phần này là cần thiết để đảm bảo luồng dữ liệu thông suốt và hiệu quả.

4.2. Xây Dựng Chính Sách Giám Sát An Ninh Thông Tin Hiệu Quả

Việc xây dựng các chính sách giám sát an ninh thông tin là rất quan trọng. Các chính sách này cần xác định rõ các sự kiện cần giám sát, các ngưỡng cảnh báo và các hành động cần thực hiện khi phát hiện sự cố. Ví dụ, có thể xây dựng chính sách cảnh báo khi mất kết nối công mạng, cảnh báo về các sự kiện liên quan đến firewall, VMware, hoặc cảnh báo về các hành vi đăng nhập bất thường (Brute Force Login).

V. Đánh Giá Hiệu Quả Hướng Phát Triển Hệ Thống GSANM

Sau khi triển khai hệ thống GSANM, cần đánh giá hiệu quả của hệ thống. Đánh giá cần tập trung vào khả năng phát hiện và ngăn chặn các cuộc tấn công mạng, khả năng giảm thiểu rủi ro an ninh thông tin và khả năng tuân thủ các quy định pháp luật. Bên cạnh những thành công, cũng cần nhận diện những khó khăn và tồn tại của hệ thống để có hướng phát triển và hoàn thiện trong tương lai. Hướng phát triển có thể bao gồm mở rộng phạm vi giám sát, tích hợp thêm các nguồn thông tin về mối đe dọa (threat intelligence), và tự động hóa các hoạt động an ninh.

5.1. Các Tiêu Chí Đánh Giá Hiệu Quả Giám Sát An Ninh Mạng

Các tiêu chí đánh giá hiệu quả GSANM bao gồm: khả năng phát hiện các mối đe dọa (ví dụ: tỷ lệ phát hiện tấn công), thời gian phản ứng với sự cố (ví dụ: thời gian trung bình để xử lý sự cố), giảm thiểu thiệt hại (ví dụ: giảm chi phí do mất dữ liệu), cải thiện tuân thủ (ví dụ: tuân thủ các quy định về bảo vệ dữ liệu cá nhân).

5.2. Triển Vọng Phát Triển Hoàn Thiện Giải Pháp GSANM

Hướng phát triển giải pháp GSANM bao gồm: tích hợp các nguồn thông tin về mối đe dọa từ bên ngoài (threat intelligence feeds), sử dụng các kỹ thuật phân tích nâng cao (ví dụ: machine learning) để phát hiện các tấn công tinh vi hơn, tự động hóa các hoạt động phản ứng sự cố để giảm thời gian xử lý, và mở rộng phạm vi giám sát để bao phủ các tài sản CNTT mới.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin, việc ứng dụng hệ thống mạng thông tin điện tử trong các cơ quan, tổ chức ngày càng phổ biến, góp phần nâng cao hiệu quả hoạt động và mang lại nhiều lợi ích thiết thực. Tuy nhiên, cùng với sự phát triển đó là sự gia tăng các nguy cơ mất an toàn thông tin (ATTT) ngày càng tinh vi và phức tạp, đặc biệt là các cuộc tấn công mạng có động cơ chính trị và kinh tế rõ ràng. Theo báo cáo của ngành bảo mật, trong vòng 10 năm qua, các cơ quan báo chí, chính phủ và ngân hàng tại Việt Nam đã trở thành mục tiêu của các nhóm tấn công APT như APT30 và APT64 nhằm đánh cắp dữ liệu nhạy cảm.

Phòng Quản lý xuất nhập cảnh Công an thành phố Hà Nội (CATP Hà Nội) là một đơn vị đặc thù, vừa quản lý nhiều thông tin quan trọng, vừa cung cấp dịch vụ công trực tuyến như hộ chiếu và lưu trú. Do đó, hệ thống mạng tại đây phải đối mặt với nhiều thách thức về an ninh phi truyền thống, đặc biệt trong bối cảnh tội phạm đa quốc gia và khủng bố gia tăng. Việc đảm bảo an toàn, an ninh thông tin cho hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội là rất cấp thiết nhằm bảo vệ an ninh quốc gia và ngăn ngừa các rủi ro từ việc lộ lọt thông tin.

Mục tiêu nghiên cứu của luận văn là thiết kế và triển khai giải pháp giám sát an ninh mạng (GSANM) cho hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội, nhằm tăng cường công tác đảm bảo ATTT, phát hiện sớm các nguy cơ và sự cố an ninh mạng. Phạm vi nghiên cứu tập trung vào hệ thống mạng nội bộ và các thiết bị bảo mật, máy chủ dịch vụ, trong khoảng thời gian nghiên cứu thực hiện từ năm 2016 đến 2017. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc nâng cao hiệu quả quản lý an ninh mạng, giảm thiểu thiệt hại do các sự cố an ninh gây ra, đồng thời làm cơ sở để mở rộng triển khai cho các đơn vị khác trong CATP Hà Nội.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình quản trị an ninh phi truyền thống, tập trung vào hệ thống giám sát an ninh mạng (GSANM) và giải pháp quản lý sự kiện và thông tin bảo mật (SIEM). Hai lý thuyết chính được áp dụng gồm:

1. Lý thuyết quản lý sự kiện an ninh (Security Event Management - SEM): Tập trung vào việc thu thập, phân tích và phản ứng với các sự kiện an ninh theo thời gian thực nhằm phát hiện và ngăn chặn các mối đe dọa.

2. Lý thuyết quản lý thông tin an ninh (Security Information Management - SIM): Chú trọng vào việc lưu trữ, quản lý và báo cáo các nhật ký an ninh trong thời gian dài để phục vụ công tác kiểm tra tuân thủ và điều tra sự cố.

Kết hợp SEM và SIM tạo thành giải pháp SIEM, cung cấp một hệ thống toàn diện cho việc giám sát, phân tích và quản lý các sự kiện an ninh mạng. Các khái niệm chuyên ngành quan trọng bao gồm: nhật ký an ninh (log), phân tích tương quan sự kiện (correlation), cảnh báo thời gian thực (real-time alert), và chuẩn hóa dữ liệu (data normalization).

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa khảo sát thực trạng, phân tích rủi ro và thiết kế giải pháp kỹ thuật. Cụ thể:

• Nguồn dữ liệu: Thu thập dữ liệu từ hệ thống mạng và các thiết bị bảo mật tại phòng Quản lý xuất nhập cảnh CATP Hà Nội, bao gồm hơn 100 máy tính cá nhân và hơn 20 máy chủ dịch vụ. Dữ liệu nhật ký an ninh được thu thập từ các thiết bị như firewall, IDS/IPS, hệ thống phòng chống mã độc, và các máy chủ ảo hóa.

• Phương pháp phân tích: Sử dụng phân tích định tính để đánh giá các nguy cơ, rủi ro bảo mật dựa trên hiện trạng hệ thống và các báo cáo sự cố. Phân tích định lượng được thực hiện thông qua việc thu thập và xử lý nhật ký an ninh bằng phần mềm ArcSight SIEM, áp dụng các thuật toán phân tích tương quan và phát hiện sự kiện bất thường.

• Timeline nghiên cứu: Nghiên cứu được thực hiện trong khoảng thời gian từ đầu năm 2016 đến giữa năm 2017, bao gồm khảo sát hiện trạng, thiết kế giải pháp, triển khai thử nghiệm và đánh giá hiệu quả hệ thống GSANM.

Phương pháp chọn mẫu là lựa chọn toàn bộ các thiết bị và hệ thống mạng quan trọng tại phòng Quản lý xuất nhập cảnh để đảm bảo tính toàn diện trong giám sát và phân tích. Lý do lựa chọn phương pháp phân tích SIEM là do khả năng thu thập, chuẩn hóa, lưu trữ và phân tích dữ liệu nhật ký từ nhiều nguồn khác nhau, giúp phát hiện sớm các mối đe dọa phức tạp và hỗ trợ công tác điều tra sự cố.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiện trạng hệ thống mạng phức tạp và đa dạng: Hệ thống mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội gồm nhiều phân vùng mạng (LAN, WAN, DMZ), với hơn 10 máy chủ vật lý và hơn 15 máy chủ ảo, cùng nhiều thiết bị bảo mật như firewall, IDS/IPS, hệ thống phòng chống mã độc. Việc quản lý và giám sát các thiết bị này gặp nhiều khó khăn do tính đa dạng và phức tạp của hệ thống.

2. Nguy cơ mất an toàn thông tin cao: Qua khảo sát, có khoảng 79.9% website chứa mã độc là các website hợp pháp bị tấn công, đồng thời các nguy cơ từ mã độc, tấn công APT, tấn công từ chối dịch vụ (DDoS), và rò rỉ dữ liệu qua web chiếm tỷ lệ lớn. Hệ thống mạng tại phòng Quản lý xuất nhập cảnh phải đối mặt với các rủi ro như tấn công nội bộ, tấn công mạng không dây, và các lỗ hổng bảo mật trong môi trường ảo hóa.

3. Thiếu hệ thống giám sát tập trung và phân tích sự kiện an ninh: Hiện tại, phòng Quản lý xuất nhập cảnh đã triển khai một số biện pháp bảo mật như firewall thế hệ mới, IDS/IPS, nhưng chưa có hệ thống giám sát an ninh mạng tập trung để thu thập, phân tích và cảnh báo kịp thời các sự kiện an ninh. Điều này dẫn đến việc bỏ sót các cảnh báo quan trọng và khó khăn trong việc điều tra sự cố.

4. Hiệu quả của giải pháp ArcSight SIEM: Việc triển khai hệ thống GSANM dựa trên giải pháp ArcSight SIEM cho phép thu thập và chuẩn hóa nhật ký từ hơn 350 sản phẩm của hơn 100 nhà cung cấp, phân tích tương quan sự kiện theo thời gian thực, và cung cấp cảnh báo kịp thời. Hệ thống hỗ trợ lưu trữ nhật ký dài hạn, đáp ứng yêu cầu tuân thủ các tiêu chuẩn an ninh như ISO/IEC 27002:2005 và NIST 800-53.

Thảo luận kết quả

Nguyên nhân chính dẫn đến các rủi ro bảo mật tại phòng Quản lý xuất nhập cảnh là do tính chất phức tạp của hệ thống mạng, sự đa dạng của các thiết bị và phần mềm bảo mật, cùng với môi trường ảo hóa tạo ra các điểm yếu mới. So với các nghiên cứu trong ngành, kết quả này phù hợp với xu hướng chung về thách thức an ninh mạng trong các tổ chức có quy mô lớn và đa dạng thiết bị.

Việc áp dụng giải pháp SIEM như ArcSight giúp khắc phục các hạn chế của các hệ thống bảo mật truyền thống bằng cách cung cấp khả năng phân tích sâu, cảnh báo thời gian thực và quản lý sự kiện tập trung. Dữ liệu có thể được trình bày qua các biểu đồ dashboard thể hiện số lượng sự kiện an ninh theo thời gian, phân loại theo mức độ nguy hiểm, và báo cáo chi tiết các sự cố đã phát hiện.

Kết quả nghiên cứu có ý nghĩa quan trọng trong việc nâng cao năng lực giám sát, phát hiện và ứng phó với các mối đe dọa an ninh mạng tại phòng Quản lý xuất nhập cảnh, đồng thời làm cơ sở để mở rộng triển khai cho các đơn vị khác trong CATP Hà Nội, góp phần bảo vệ an ninh quốc gia trong bối cảnh tấn công mạng ngày càng tinh vi.

Đề xuất và khuyến nghị

1. Triển khai hệ thống GSANM dựa trên giải pháp SIEM trong toàn bộ hệ thống mạng: Đề nghị phòng Quản lý xuất nhập cảnh CATP Hà Nội mở rộng triển khai hệ thống GSANM sử dụng phần mềm ArcSight SIEM để thu thập, phân tích và cảnh báo các sự kiện an ninh mạng theo thời gian thực. Mục tiêu là giảm thiểu thời gian phát hiện sự cố xuống dưới 5 phút, hoàn thành trong vòng 12 tháng.

2. Xây dựng chính sách và quy trình giám sát an ninh mạng chặt chẽ: Thiết lập các chính sách bảo mật, quy trình xử lý sự cố và đào tạo nhân sự vận hành hệ thống GSANM nhằm đảm bảo tuân thủ các tiêu chuẩn quốc tế về an toàn thông tin. Thời gian thực hiện trong 6 tháng, do phòng An ninh mạng phối hợp với phòng Quản lý xuất nhập cảnh thực hiện.

3. Tăng cường đầu tư hạ tầng kỹ thuật và nhân lực chuyên môn: Đầu tư bổ sung thiết bị lưu trữ, máy chủ xử lý dữ liệu và nâng cao năng lực đội ngũ quản trị mạng để đảm bảo hệ thống GSANM hoạt động ổn định, hiệu quả. Mục tiêu nâng cao khả năng xử lý dữ liệu lên ít nhất 30% so với hiện tại, hoàn thành trong 18 tháng.

4. Thường xuyên cập nhật và nâng cấp phần mềm, công nghệ bảo mật: Đảm bảo hệ thống GSANM luôn được cập nhật các bản vá lỗi, tính năng mới và tích hợp các công nghệ phân tích hành vi người dùng (UBA) để phát hiện các mối đe dọa mới. Thực hiện định kỳ hàng quý, do bộ phận kỹ thuật chịu trách nhiệm.

5. Mở rộng phạm vi giám sát sang các đơn vị liên quan trong CATP Hà Nội: Sau khi triển khai thành công tại phòng Quản lý xuất nhập cảnh, đề xuất mở rộng hệ thống GSANM sang các phòng ban khác nhằm xây dựng mạng lưới giám sát an ninh mạng toàn diện cho CATP Hà Nội. Kế hoạch thực hiện trong 24 tháng tiếp theo.

Đối tượng nên tham khảo luận văn

1. Cán bộ quản lý an ninh mạng trong các cơ quan nhà nước: Luận văn cung cấp giải pháp thực tiễn và các bước triển khai hệ thống GSANM, giúp nâng cao năng lực quản lý và bảo vệ hệ thống mạng trong các cơ quan có tính chất nhạy cảm về an ninh.

2. Chuyên gia và kỹ sư công nghệ thông tin: Các kỹ sư vận hành hệ thống mạng và bảo mật có thể áp dụng các kiến thức về SIEM, phân tích sự kiện an ninh và các giao thức mạng để thiết kế, triển khai và vận hành hệ thống giám sát hiệu quả.

3. Nhà nghiên cứu và sinh viên ngành an ninh mạng, công nghệ thông tin: Luận văn là tài liệu tham khảo quý giá về lý thuyết, mô hình và thực tiễn triển khai GSANM, giúp hiểu sâu về các giải pháp bảo mật hiện đại và các thách thức trong môi trường mạng phức tạp.

4. Các đơn vị cung cấp giải pháp bảo mật và tư vấn công nghệ: Thông qua nghiên cứu này, các nhà cung cấp dịch vụ có thể hiểu rõ hơn về yêu cầu thực tế của khách hàng, từ đó phát triển các sản phẩm và dịch vụ phù hợp với nhu cầu giám sát an ninh mạng trong các tổ chức nhà nước.

Câu hỏi thường gặp

1. GSANM là gì và tại sao cần thiết cho các cơ quan nhà nước?
   GSANM (Giám sát an ninh mạng) là hệ thống thu thập, phân tích và cảnh báo các sự kiện an ninh mạng nhằm phát hiện sớm các nguy cơ mất an toàn thông tin. Đối với các cơ quan nhà nước, GSANM giúp bảo vệ dữ liệu quan trọng, đảm bảo hoạt động liên tục và tuân thủ các quy định bảo mật.

2. Giải pháp SIEM có ưu điểm gì so với các hệ thống bảo mật truyền thống?
   SIEM kết hợp khả năng thu thập nhật ký từ nhiều nguồn, phân tích tương quan sự kiện theo thời gian thực và lưu trữ dữ liệu dài hạn. Điều này giúp phát hiện các mối đe dọa phức tạp mà các hệ thống truyền thống khó nhận biết, đồng thời hỗ trợ điều tra và xử lý sự cố hiệu quả.

3. Phạm vi giám sát của hệ thống GSANM trong nghiên cứu này bao gồm những gì?
   Hệ thống giám sát tập trung vào các thiết bị mạng như core switch, firewall, hệ thống phòng chống mã độc, máy chủ ảo hóa VMware ESXi và các máy chủ dịch vụ quan trọng trong phòng Quản lý xuất nhập cảnh CATP Hà Nội.

4. Làm thế nào để đảm bảo tính toàn vẹn và bảo mật dữ liệu nhật ký trong GSANM?
   Giải pháp ArcSight SIEM sử dụng mã hóa, nén dữ liệu và kiểm soát băng thông trong quá trình thu thập và truyền tải nhật ký. Ngoài ra, hệ thống hỗ trợ kiểm tra tính toàn vẹn dữ liệu theo chuẩn NIST 800-92, đảm bảo dữ liệu không bị thay đổi hoặc mất mát.

5. Các thách thức khi triển khai GSANM trong môi trường mạng phức tạp là gì?
   Các thách thức bao gồm sự đa dạng của thiết bị và phần mềm, môi trường ảo hóa tạo ra các điểm yếu mới, khối lượng dữ liệu lớn cần xử lý, và yêu cầu cao về nhân lực vận hành có trình độ chuyên môn. Việc tích hợp và đồng bộ dữ liệu từ nhiều nguồn cũng là một khó khăn lớn.

Kết luận

• Luận văn đã phân tích chi tiết hiện trạng, nguy cơ và thách thức an ninh mạng tại phòng Quản lý xuất nhập cảnh CATP Hà Nội, xác định rõ nhu cầu cấp thiết về hệ thống giám sát an ninh mạng tập trung.
• Giải pháp GSANM dựa trên công nghệ SIEM, cụ thể là phần mềm ArcSight của HP, được lựa chọn và triển khai phù hợp với đặc thù hệ thống mạng và yêu cầu bảo mật của đơn vị.
• Hệ thống GSANM đã chứng minh khả năng thu thập, chuẩn hóa, phân tích và cảnh báo các sự kiện an ninh mạng theo thời gian thực, góp phần nâng cao hiệu quả quản lý và giảm thiểu rủi ro mất an toàn thông tin.
• Đề xuất các giải pháp mở rộng triển khai, nâng cấp hạ tầng và đào tạo nhân lực nhằm đảm bảo tính bền vững và hiệu quả lâu dài của hệ thống GSANM.
• Các bước tiếp theo bao gồm hoàn thiện chính sách vận hành, mở rộng phạm vi giám sát và tích hợp các công nghệ phân tích hành vi người dùng để nâng cao khả năng phát hiện mối đe dọa mới.

Kêu gọi hành động: Các cơ quan, tổ chức có thể tham khảo và áp dụng mô hình GSANM này để nâng cao năng lực bảo vệ an ninh mạng, đồng thời phối hợp với các đơn vị chuyên môn để triển khai hiệu quả giải pháp phù hợp với đặc thù riêng của mình.

Trích đoạn nội dung tài liệu

Chương I: Hệ thống giám sát an ninh mạng (GSANM) Chương II: Thiết kế giải pháp GSANM cho hệ thống mạng tại phòng quản lý xuất nhập cảnh CATP Hà Nội Chương III: Triển khai xây dựng hệ thống GSANM cho hệ thống mạng phòng quản lý xuất nhập cảnh CATP Hà Nội. 13 CHUONG 1: HE THONG GIÁM SÁT AN NINH MẠNG (GSANM) - Tổng quan lý thuyết, khái niệm co bản về hệ thống GSANM. - Giới thiệu một số giải pháp GSANM nỗi bật. Tổng quan về hệ thống GSANM Hệ thống GSANM là hệ thống quản lý và phân tích các sự kiện ATTT được sinh ra từ các thành phần trong hạ tang công nghệ thông tin của cơ quan/tổ chức từ đó kịp thời phát hiện các sự cố, nguy cơ mat ATTT (các cuộc tan công mạng, máy tính nhiễm mã độc, các lỗ héng bao mật của các thiết bi/img dụng .), đồng thời cung cấp bằng chứng số phục vụ công tác điều tra khi xảy ra sự cố cũng như giám sát việc tuân thủ chính sách an ninh thông tin của các thành phan trong hệ thống thông tin của cơ quan/té chức.

Tam quan trọng cia GSANM Ngày nay, hệ thống mạng có độ phức tạp ngày càng cao. Các thiết bị như router, switch, hub đã kết nối vô số các máy con đến các dịch vụ trên máy chủ cũng như ra ngoài Internet. Thêm vào đó là rất nhiều các tiện ích bảo mật và truyền thông được cài đặt bao gồm ca tường lửa, mạng riêng ảo (VPN), các dich vụ phòng chống mã độc và thư rác. Sự hiểu biết về cấu trúc của hệ thống cũng như có được khả năng cảnh báo về hệ thống là một yếu tố quan trọng trong việc duy trì hiệu suất cũng như tính toàn vẹn của hệ thống.

Có hàng ngàn khả năng có thé xảy ra đối với một hệ thống và quản trị viên phải dam bảo được rằng các nguy cơ xảy ra được thông báo một cách kịp thời và chính xác. Hệ thống mạng không còn là một cấu trúc cục bộ riêng rẽ. Nó được xây dựng dé phục vụ các nguồn truy cập từ Internet, mạng cục bộ (LAN), mạng diện rộng (WAN), với sự kết hợp của các thiết bị, server (máy chủ), ứng dụng chạy trên hệ thống đó. Thực tế là các hệ thống mạng rất phức tạp và mỗi thành phần trong mạng đại diện cho một nguy cơ ảnh hưởng đến hệ thống.

Đó cũng là lý do tại sao nó cần thiết phải được giám sát để giảm thiểu tối đa các nguy cơ tiềm tàng. Tuy nhiên không phải mọi vấn đề đều có thé được giải quyết một cách chủ động trước bat kỳ dấu hiệu cảnh báo nao. Nhưng nếu ta có thé giám sát hệ thống trong thời gian thực thì có thể xác định các van đề trước khi chúng trở nên nguy hiểm hơn. Ví dụ, một máy chủ bị quá tải có thể được thay thế trước khi nó bị treo.

Điều này sẽ làm giảm thiểu các nguy cơ đối với hệ thống và tăng hiệu suất làm việc của hệ thống. Với một hệ thống GSANM, ta sẽ biết được tình trạng của tất cả các thiết bị trên mang mà không cần phải kiểm tra một cách cụ thé từng thiết bị và cũng nhanh chóng xác định chính xác vấn đề khi cần thiết. Những yếu tô cần thiết cho một hệ thong GSANM Dé hiểu được về hệ thống, cần một giải pháp giám sát dé có thể cung cấp các thông tin quan trọng trong thời gian thực và ở bat cứ đâu cũng như bắt cứ thời điểm nao. Đối với các doanh nghiệp, tổ chức thì cần các giải pháp đơn giản đề triển khai, sử dụng.

Nếu một tô chức yêu cầu tính sẵn sàng cao, thì cần một giải pháp tin cậy đã được triển khai và chứng minh là hoạt động tốt. Hệ thống mạng ngày nay có rất nhiều thiết bị trên hệ thống và phải thu thập rất nhiều thông tin liên quan. Chính vì vậy cần một giải pháp hiển thị hệ thống như bản đồ mạng, báo cáo dữ liệu, cảnh báo sự có. Bên cạnh việc xử lý sự cô dé dàng hơn, điều này sẽ giúp tận dụng mạng lưới dữ liệu để hiểu được các xu hướng trong việc sử dụng thiết bị, sử dụng mang, và dung lượng mạng tong thé dé thiết kế hệ thống mạng lưới hiệu qua.

Theo NIST SP 800-137 [7], các bước trong tiến trình giám sát liên lục gồm: Xác định chiến lược: định nghĩa chiến lược theo chính sách rủi ro của tô chức, xây dựng và triển khai các chính sách, phát triển các thủ tục và các mẫu đề hỗ trợ thực hiện chiến lược và chính sách. Thiết lập đo lường và các đại lượng đo: thiết lập những thông số và tình trạng của các thành phần cần xác thực/không xác thực trên mạng để thu thập các thông tin cho hoạt động giám sát như tình trạng hoạt động của thiết bị, các giao tiép vào ra, phan bố các dòng dữ liệu (flow),. Các đối tượng được giám sát như giám sát nguồn/đích và lưu lượng luồng dữ liệu, giám sát các dịch vụ như các công, các giao thức, giám sát các loại dữ liệu như các sơ sở đữ liệu, thư điện tử, Thiết lập giám sát và theo dõi thường xuyên: Giám sát và kiểm soát các đại lượng và các phép đo thường xuyên dựa trên một số thông tin như: các rủi ro về hệ thống của tổ chức, thông tin về các mối nguy và lỗ hông bảo mật, kiểm soát các điểm yếu đã được nhận diện, kiểm soát các chức năng bảo mật quan trọng, kết quả nhận diện các rủi ro, các yêu cầu báo cáo,. Thực hiện giám sát: thu thập thông tin đã thiết lập cho hoạt động giám sát.

Phân tích các thông tin (dữ liệu) có liên quan và lập báo cáo: dữ liệu được phân tích trong ngữ cảnh như các rủi ro của tô chức đã được chấp nhận, các điểm yếu tiềm an trong các quá trình vận hành hệ thống mạng của của tô chức. Phan ứng với các rủi ro như từ chối, chuyển, hoặc chấp nhận. Cảnh báo là một trong những bước đầu tiên quan trọng của việc phản ứng. Dựa trên đó, người 15 quản trị hoặc người có trách nhiệm sẽ thực hiện các hành động tiếp theo trực tiếp tại chỗ hay từ xa như tiếp tục theo dõi, xử lý, thay đôi, xoá.

- Xem xét lại và cập nhật chiến lược và chương trình giám sát. Các bước này cần được lưu ý và triển khai trong các hệ thống GSANM. Tuy theo điều kiện và yêu cầu thực tế mà hệ thống GSANM ở mỗi tổ chức sẽ được hoạch định và triển khai khác nhau theo các tiêu chí khác nhau. Công nghệ triển khai hệ thống GSANM Có nhiều công nghệ được dùng cho các hệ thống GSANM.

Tuy nhiên, có thé phân thành 3 nhóm công nghệ cơ bản thường dùng cho các hệ thống các hệ thống GSANM liên tục: - Thu thập dữ liệu trực tiếp về tình trạng hoạt động của mạng thông qua các giao thức như ICMP, SNMP, Syslog, NetFlow,. - _ Tổng hợp và Phân tích bằng giải pháp SIEM (Quản lý sự kiện và thông tin bảo mật), quản lý qua Dashboard. - Tu động hoá: giao thức SCAP (Security Content Automation Protocol - Giao thức tự động bảo mật nội dung). Hiện nay, có khá nhiều công cụ, giải pháp được phát triển phục vụ cho các hệ thống GSANM với các mục đích đặc thù khác nhau.

Tuy nhiên, nhìn chung các hệ thống GSANM thường được xây dựng dựa trên một trong ba nhóm giải pháp sau: Giải pháp quản ly thông tin an ninh (SIM), Giải pháp quản ly sự kiện an ninh (SEM) và Giải pháp quản lý và phân tích sự kiện an ninh (SIEM). Trong đó SIEM đang được coi là giải pháp tổng thể phù hợp nhất để xây dựng hệ thống GSANM. Hệ thống SIEM thường bao gồm các thành phan chính với các chức năng như sau: - _ Thành phan thu thập nhật ký (nhật ký ATTT): +. Thực hiện thu thập toàn bộ các nhật ký cần thiết của các thành phần trong hệ thống công nghệ thông tin (bao gồm các thiết bj/ứng dụng).

v Chuẩn hóa các thông tin nhật ký thu thập được phục vụ công tác lưu trữ và phân tích sau này. *⁄ Chuyển toàn bộ thông tin nhật ky thu thập được sau khi chuẩn hóa tới thành phần lưu trữ và phân tích. - __ Thành phan lưu trữ và phân tích: v_ Tập hợp, lưu trữ tập trung các thông tin nhật ký ATTT từ các nguồn thu thập khác nhau. Thực hiện phân tích, so sánh tính tương quan của toàn bộ các thông tin nhật ký ATTT đã tập hợp nhằm phát hiện các sự cố, nguy cơ mất ATTT trong hệ 16 thống.

Việc phân tích chủ yếu dựa trên các tập luật được định nghĩa nhưng đồng thời cũng cần có khả năng tùy biến linh động nhằm đưa ra các kết quả phân tích chính xác nhất. v Cập nhật các kết quả phân tích, kịp thời đưa ra các cảnh báo về các sự cố, nguy cơ mất ATTT trong hệ thống cho người quản trị. - Thanh phan quản trị tập trung: w Cung cấp giao diện quản trị tập trung của toàn bộ hệ thống GSANM cho người quản trị. ¥ Hỗ trợ người quản trị dé dàng, thuận tiện theo déi các báo cáo kết quả phân tích nhật ký AT TT cũng như các sự kiện AT TT xảy ra trong hệ thống.

w Cung cấp các công cụ hỗ trợ người quản trị thực hiện xử lý khi các sự kiện ATTT xảy ra nhằm hạn chế, giảm thiểu rủi ro, hậu quả mà các sự kiện ATTT gây ra cho hệ thống. Giải pháp quản lý sự kiện và an ninh thông tin (SIEM) mang lại một số lợi ích như Sau: - Tang hiệu quả sử dụng các thông tin về sự kiện, log an ninh cho các cán bộ phụ trách an ninh, vận hành hệ thống: Giải pháp SIEM cho phép thu thập, chuẩn hóa log từ nhiều nguồn, giao diện quản trị mạnh mẽ, tập trung giúp tăng hiệu quả việc sử dụng các thông tin về sự kiện, log an ninh phục vụ công tác an ninh và vận hành hệ thống - Phat hiện nhanh sự cố và các mối đe doa: Công cụ SIEM thu thập các thông tin từ nhiều nguồn để phát hiện các loại tấn công tinh vi. Có thể phát hiện bất kì thay đổi từ các hoạt động bình thường dé chỉ ra các mối đe dọa sắp xảy ra và các nguy cơ trong hệ thống. Ví dụ: bùng nỗ mã độc, spam mail, xâm nhập trái phép, do quét, tấn công dịch vụ.

- — Hỗ trợ đảm bảo tính tuân thủ về bảo mật: Công cụ SIEM thu thập tất cả các thông tin liên quan và hiển thị qua báo cáo tuân thủ theo tiêu chuẩn.