Mở đầu Nguyễn Đức Sơn — BI9DCAT153 10 Đồ án tốt nghiệp đại học Chương |: EDR CHUONG 1: HE THONG PHAT HIEN VA PHAN HOI DAU CUOI (EDR) Do sự phát triển của công nghệ, số lượng Endpoint ngày càng gia tang, tạo nên một môi trường phức tạp va da dạng, kèm theo đó là yêu cau cần phải đảm bảo an toàn cho các thiết bị đầu cuối. Endpoint Detection and Response (EDR) ra đời nhằm giải quyết van dé đó bằng cách đặt trọng điểm vào việc phát hiện và ứng phó với các moi de dọa trên các thiết bị dau cuối (Endpoint) trong mạng. Trong số các phan mềm EDR thì Wazuh, một giải pháp mã nguôn mở, là một công cụ cung cấp đây đủ tinh năng của một EDR. Chương này sẽ tập trung vào những khía cạnh quan trọng của EDR và Wazuh.
Tổng quan về hệ thống phát hiện và phản hồi đầu cuối (EDR): 1. Khái niệm về Endpoint và sự cần thiết của Endpoint Security: Endpoint (theo Microsoft) là các thiết bị vật lý kết nối và trao đổi thông tin với mạng máy tính. Ngày nay, với sự phát triển của khoa học và công nghệ, số lượng các Endpoint ngày càng lớn. Đặc biệt ở trong các doanh nghiệp lớn, số lượng các Endpoint cần bảo vệ rất lớn đặt ra nhiều thách thức cho các kỹ sư an toàn thông tin.
[1] Ví dụ về Endpoint: Các thiết bị di động, Máy tính dé ban, May ảo, Cac server, Các thiết bị IOT. Vi dụ về Endpoint Tầm quan trọng của Endpoint Security được thê hiện ở các điểm sau [1]: - Tội phạm mạng thường nhắm vào các thiết bi đầu cuối vì các Endpoint phụ thuộc vào người dùng đê áp dụng các biện pháp bảo mật. Nguyễn Đức Sơn - B19DCAT153 H Đồ án tốt nghiệp đại học Chương |: EDR - Doanh nghiệp thuộc mọi quy mô đều có thé bị nhắm tới. Theo Bao cáo Điều tra Vi phạm Dữ liệu của Verizon, 43% các cuộc tấn công mạng liên quan đến các doanh nghiệp nhỏ.
- _ Và nếu như doanh nghiệp bi tan công thành công rất có thể doanh nghiệp đó sẽ phải chịu thiệt hại nặng nề. Chi phí trung bình của một vụ vi phạm dữ liệu là 4,24 triệu USD trên toàn cầu và 9,05 triệu USD ở Hoa Ky, theo "Báo cáo chi phí vi phạm đữ liệu năm 2021" của Viện Ponemon (do IBM ủy quyền). Khái niệm và chức năng của EDR: EDR (theo IBM) là một phần mềm được thiết kế để tự động bảo vệ các thiết bị Endpoint trong một tô chức khỏi các mối đe dọa. EDR thu thập dữ liệu liên tục từ các Endpoint va phân tích dữ liệu đó để đưa ra các thông báo hoặc ngăn chặn các mối đe dọa.
EDR là một giải pháp hiệu quả giúp cho các doanh nghiệp lớn đảm bảo an toàn cho các Endpoint trong bối cảnh số lượng các thiết bị Endpoint ngày càng gia tăng và các kỹ thuật tan công vào Endpoint ngày càng đa dạng. [2] IDENTIFY PROTECT DETECT RESPOND RECOVER Endpoint Detection & Response (EDR) Các tính năng của EDR [2]: - Thu thập dt liệu liên tục từ các Endpoint: EDR liên tục thu thập di liệu liên quan đến các tiến trình, hiệu năng, những thay đổi về cấu hình, kết nối mạng, các tập tin hoặc dữ liệu được tải xuống và truyền đi nhờ vao các agent. - Phan tích và phát hiện các mối đe dọa trong thời gian thực: EDR tìm kiếm các IOC dựa vào việc liên kết đữ liệu từ endpoint trong thời gian thực với các dịch vu TI (Threat Intelligence) cung cấp liên tục các thông tin về các kỹ thuật tan công mới Nguyễn Đức Sơn - B19DCAT153 12 Đồ án tốt nghiệp đại học Chương |: EDR - Tu động phan ứng khi phát hiện mối đe doa: EDR có thé tự động phan ứng lại khi phát hiện các mối đe doạ. Ví dụ: ngắt kết nối mạng của các endpoint, đưa ra các cảnh báo khi có mối de doa.
- Điều tra và khắc phục: EDR cung cấp các công cụ giúp cho việc điều tra và khắc phục sự cô. - _ Hỗ trợ cho Threat Hunting: Kết hợp với các nền tảng TI (Threat Intelligence) như Mitre ATT&CK để cập nhật các kỹ thuật tấn công mới nhất. Một số sản phẩm EDR: 1. OSSEC: - OSSEC là hệ thống phát hiện xâm nhập dựa trên host (HIDS) mã nguồn mở, đa nền tảng, có thể mở rộng vả có nhiều cơ chế bảo mật khác nhau.
- _ Phiên bản Automic OSSEC XDR mới nhất tích hợp thêm nhiều tinh năng mới, XDR là một nền tảng kết thừa EDR, ngoài khả năng giám sát các Endpoint, XDR cung cấp khả năng giám sát các nền tảng điện toán đám mây (AWS, Azure,. Wazuh: - Wazuh là một phần mềm mã nguồn mở được xây dựng dựa trên HIDS OSSEC, Wazuh kết hợp các tính năng của XDR và SIEM. - Wazuh cho phép giám sát các Endpoint và các dịch vụ điện toán đám mây, ngoài ra Wazuh tích hợp tính năng của SIEM, cho phép người dùng đánh chỉ mục và tìm kiếm các cảnh báo. Tổng quan về Wazuh [3]: 1.
Giới thiệu về Wazuh: Wazuh là một phan mềm mã nguồn mở miễn phí hợp nhất các khả năng của XDR và SIEM. Wazuh giúp các tô chức và cá nhân bảo vệ tài sản dữ liệu trước các mối de dọa bảo mật. Wazuh được sử dụng rộng rãi bởi hàng nghìn tổ chức doanh nghiệp trên toàn thế giới từ doanh nghiệp nhỏ đến lớn. Kiến trúc và cách thức hoạt động của Wazuh: 1.
Kiến trúc của Wazuh: Nguyễn Đức Sơn - B19DCAT153 13 Đồ án tốt nghiệp đại học Chương |: EDR Endpoints Wazuh central components Server : : : : 43 W. server cluster Wazuh agent : : : ‘ El Master node : Wazuh users : : 5 d 4 E W. dashboard Wazuh agent : Laptop 2 wazuhagent : : =| Worker node : » : W. Indexer 2 ~-° q Cloud instance :: :: «œ@ 'Wazuh agent : ° : .n B Worker node © Wazuh indexer node : h Analysis engine Filebeat Virtual Machine : : Ls] Wazuh agent : : Hình 1-3.
Kiến trúc của Wazuh - Wazuh agents: được cài đặt tại các Endpoint như laptop, máy tinh dé ban. nhằm thu thập dữ liệu từ các thiết bị đó. - Wazuh server: Phân tích dữ liệu từ các agent. - Wazuh indexer: là một công cụ phân tích và tìm kiếm có khả năng mở rộng cao.
- Wazuh server có thé được chia thành các node khác nhau. - Wazuh indexer cũng có thé được chia thành các node khác nhau. => Điều này giúp cho Wazuh có thé mở rộng được nhằm phù hợp với kich thước của mỗi doanh nghiệp khác nhau. - Wazuh dashboard: Giao diện web trực quan hóa dir liệu.
Cách thức hoạt động của Wazuh: Wazuh thu thập dữ liệu từ các Endpoint thông qua các Wazuh agent, các agent nay có thé được cài trên đa số các nền tảng hệ điều hành. Sau đó đữ liệu này được gửi đến Wazuh server, tại Wazuh server dữ liệu sẽ được phân tích dé đưa ra các cảnh báo. Các dữ liệu sẽ được bóc tách và so khớp với bộ rule của Wazuh. Wazuh server sử dụng Filebeat để gửi những dữ liệu về các cảnh bảo và sự kiện tới cho Wazuh indexer.
Tại Wazuh indexer dữ liệu sẽ được đánh index phục vụ cho mục đích tìm kiếm và quản lý. Wazuh dashboard hiển thị dữ liệu đã được đánh index cho người dùng va cung cấp giao điện cho người dùng dé tương tác với hệ thống. Rule và Decoder: - _ Cú pháp của Rule va Decoder trong Wazuh được viết theo các thẻ XML - C4u trúc thư mục: Nguyễn Đức Sơn - B19DCAT153 14 Đồ án tốt nghiệp đại học Chương |: EDR /var/ossec/ |_— etc/ | |_— decoders/ | | L—local_decoder.xml | L— rules/ | L—local_rules.xml L_ ruleset/ |_— decoders/ Lˆ rules/ + Trong thư mục ruleset/ chứa các luật va các decoder thường được sử dung. Tất cả các file trong thư mục nay sẽ được viết lại và chỉnh sửa khi Wazuh cập nhật tiến trình.
+ Để tự tạo các luật, cần thêm vào các file local decoder.xml và local_rules.xml + Các ID cua các rule va decoder phải được đặt trong khoảng từ 100000 đến 120000 1. Decoder: Có nhiệm vụ trích xuất các thông tin từ các sự kiện thu thập được từ agent dé chuẩn bi cho quá trình phân tích tiếp theo. Các lựa chon dé cấu hình decoder: Lựa chọn Gia tri M6 ta decoder Tên của decoder Thuộc tính này định nghĩa một decoder. parent Tên của 1 decoder | Tham chiếu decoder gốc va decoder bat ky hién tai accumulate None Cho phép theo dõi các sự kiện thông qua log program name Bất ky biéu | Dat tên cho một program thức regex, sregex hoặc pcre2 nao.
prematch Bất cứ biểu | Đặt một biêu thức làm điều kiện dé áp thức regex hoặc pc | dung decoder re2 nao. regex Bat cu biéu | Decoder nay sẽ tim các trường xác thức regex hoặc pc định va trích xuất chúng re2 nao. Nguyễn Đức Sơn — B19DCAT153 15 Đồ án tốt nghiệp đại học Chương |: EDR use_own_ name True Chỉ được dùng cho decoder con json_null field String Thêm tùy chon cách lưu trữ gia tri NULL từ JSON json_array_ structure String Thêm tùy chon các lưu trữ mang từ JSON var Tên của bién Xác định các bién có thé được sử dụng lại trong cùng | file Bang T-I. Các Decoder thường dùng 1.
Rule: Sau khi các decoder bóc tách các thông tin từ log, rule sẽ sử dụng các thông tin này dé so khớp với các IOC.