Nghiên Cứu và Xây Dựng Giải Pháp Tự Động Hóa Ứng Phó Sự Cố An Ninh

Nghiên cứu và xây dựng giải pháp tự động hóa ứng phó sự cố an ninh là một lĩnh vực quan trọng… 82 trang · Học viện Công nghệ Bưu chính Viễn thông · 2024.

• Tác giả: Nguyễn Đức Sơn
• Người hướng dẫn: PGS TS. Đỗ Xuân Chợ
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: An toàn thông tin
• Đề tài: Nghiên Cứu và Xây Dựng Giải Pháp Tự Động Hóa Ứng Phó Sự Cố An Ninh
• Loại tài liệu: đồ án tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: HỆ THỐNG PHÁT HIỆN VÀ PHẢN HỒI ĐẦU CUỐI (EDR)
• 1.1. Tổng quan về hệ thống phát hiện và phản hồi đầu cuối (EDR)
• 1.2. Khái niệm về Endpoint và sự cần thiết của Endpoint Security
• 1.3. Khái niệm và chức năng của EDR
• 1.4. Một số sản phẩm EDR
• 1.5. Tổng quan về Wazuh
• 1.5.1. Giới thiệu về Wazuh
• 1.5.2. Kiến trúc và cách thức hoạt động của Wazuh
• 1.5.3. Rule và Decoder
• 1.6. Kết chương 1
• 2. CHƯƠNG 2: HỆ THỐNG ĐIỀU PHỐI, TỰ ĐỘNG HOÁ VÀ PHẢN HỒI AN NINH (SOAR)
• 2.1. Tổng quan về hệ thống điều phối, tự động hóa và phản hồi an ninh
• 2.2. Khái niệm SOAR
• 2.3. Các tính năng và lợi ích SOAR mang lại
• 2.4. Một số sản phẩm SOAR
• 2.5. Tổng quan về Shuffle
• 2.5.1. Giới thiệu về Shuffle
• 2.5.2. Kiến trúc và hoạt động của Shuffle
• 2.5.3. Các tính năng Shuffle cung cấp
• 2.6. Tổng quan về TheHive
• 2.6.1. Giới thiệu về TheHive
• 2.6.2. Kiến trúc và hoạt động của TheHive
• 2.6.3. Một số API TheHive cung cấp
• 2.7. Kết chương 2
• 3. CHƯƠNG 3: XÂY DỰNG HỆ THỐNG ĐIỀU PHỐI, TỰ ĐỘNG HOÁ VÀ PHẢN HỒI AN NINH DỰA TRÊN SHUFFLE, THEHIVE VÀ WAZUH
• 3.1. Mô tả bài toán và hướng giải quyết
• 3.2. Tiến hành xây dựng hệ thống điều phối, tự động hoá và phản hồi an ninh (SOAR)
• 3.2.1. Cài đặt Wazuh
• 3.2.2. Cài đặt Shuffle
• 3.2.3. Cài đặt TheHive
• 4. CHƯƠNG 4: XÂY DỰNG PLAYBOOK THỬ NGHIỆM HỆ THỐNG SOAR
• 4.1. Xây dựng playbook tự động phản ứng khi phát hiện tấn công vét cạn
• 4.2. Tiến hành xây dựng Playbook
• 4.3. Thử nghiệm Playbook
• 4.4. Xây dựng playbook tự động phản ứng lại khi người dùng tải xuống các phần mềm độc hại
• 4.5. Xây dựng playbook tự động phản ứng khi endpoint có dấu hiệu bị nhiễm mã độc tống tiền (ransomware)
• 4.6. Đánh giá kết quả thử nghiệm
• 4.6.1. Ưu điểm và nhược điểm của hệ thống SOAR được xây dựng
• 4.7. Kết chương 4
• KẾT LUẬN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Giải Pháp Tự Động Hóa An Ninh

Nghiên cứu và xây dựng giải pháp tự động hóa ứng phó sự cố an ninh là một lĩnh vực quan trọng trong bảo mật thông tin. Với sự gia tăng của các mối đe dọa an ninh mạng, việc phát triển các hệ thống tự động hóa giúp nâng cao khả năng phát hiện và ứng phó kịp thời với các sự cố. Giải pháp này không chỉ giúp giảm thiểu rủi ro mà còn tối ưu hóa quy trình làm việc của các đội ngũ bảo mật.

1.1. Khái Niệm Về Tự Động Hóa An Ninh

Tự động hóa an ninh đề cập đến việc sử dụng công nghệ để tự động hóa các quy trình bảo mật, từ việc phát hiện đến ứng phó với các sự cố. Điều này giúp giảm thiểu sự can thiệp của con người và tăng cường hiệu quả trong việc bảo vệ hệ thống.

1.2. Tầm Quan Trọng Của Giải Pháp Tự Động Hóa

Giải pháp tự động hóa không chỉ giúp tiết kiệm thời gian mà còn nâng cao độ chính xác trong việc phát hiện các mối đe dọa. Theo báo cáo của IBM, các tổ chức áp dụng tự động hóa có thể giảm thiểu thời gian phản ứng sự cố lên đến 80%.

II. Vấn Đề và Thách Thức Trong Ứng Phó Sự Cố An Ninh

Mặc dù có nhiều giải pháp an ninh hiện đại, nhưng các tổ chức vẫn phải đối mặt với nhiều thách thức trong việc ứng phó sự cố. Các mối đe dọa ngày càng tinh vi và phức tạp, đòi hỏi các hệ thống phải có khả năng phát hiện và phản ứng nhanh chóng.

2.1. Các Mối Đe Dọa An Ninh Hiện Nay

Các mối đe dọa như ransomware, phishing và tấn công DDoS đang gia tăng. Những cuộc tấn công này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của tổ chức.

2.2. Khó Khăn Trong Việc Phát Hiện Sự Cố

Việc phát hiện sự cố trở nên khó khăn hơn do khối lượng dữ liệu lớn và sự đa dạng của các thiết bị đầu cuối. Các hệ thống truyền thống thường không đủ khả năng để xử lý và phân tích dữ liệu trong thời gian thực.

III. Phương Pháp Tự Động Hóa Ứng Phó Sự Cố An Ninh

Để giải quyết các thách thức trong ứng phó sự cố, nhiều tổ chức đã áp dụng các phương pháp tự động hóa. Các giải pháp này bao gồm việc sử dụng các công cụ mã nguồn mở và các nền tảng tích hợp để tối ưu hóa quy trình bảo mật.

3.1. Sử Dụng Hệ Thống EDR

Hệ thống phát hiện và phản hồi đầu cuối (EDR) giúp theo dõi và phân tích các hoạt động trên các thiết bị đầu cuối. EDR cung cấp khả năng phát hiện mối đe dọa và phản ứng tự động khi có sự cố xảy ra.

3.2. Tích Hợp Các Công Cụ Tự Động Hóa

Việc tích hợp các công cụ như Wazuh, Shuffle và TheHive giúp tạo ra một hệ thống tự động hóa mạnh mẽ. Những công cụ này cho phép thu thập, phân tích và phản hồi các mối đe dọa một cách hiệu quả.

IV. Ứng Dụng Thực Tiễn Của Giải Pháp Tự Động Hóa An Ninh

Giải pháp tự động hóa ứng phó sự cố an ninh đã được áp dụng rộng rãi trong nhiều tổ chức. Các ứng dụng này không chỉ giúp bảo vệ dữ liệu mà còn nâng cao hiệu quả hoạt động của các đội ngũ bảo mật.

4.1. Kết Quả Nghiên Cứu Từ Các Tổ Chức

Nhiều tổ chức đã ghi nhận sự cải thiện rõ rệt trong khả năng phát hiện và ứng phó với các mối đe dọa sau khi triển khai giải pháp tự động hóa. Theo một nghiên cứu của Gartner, 70% các tổ chức cho biết họ đã giảm thiểu được thời gian phản ứng sự cố.

4.2. Các Trường Hợp Điển Hình

Một số tổ chức lớn như IBM và Cisco đã áp dụng thành công các giải pháp tự động hóa, giúp họ bảo vệ hệ thống khỏi các cuộc tấn công mạng phức tạp.

V. Kết Luận và Tương Lai Của Giải Pháp Tự Động Hóa An Ninh

Giải pháp tự động hóa ứng phó sự cố an ninh đang trở thành xu hướng tất yếu trong bảo mật thông tin. Tương lai của lĩnh vực này hứa hẹn sẽ có nhiều cải tiến và phát triển mới, giúp nâng cao khả năng bảo vệ hệ thống.

5.1. Xu Hướng Phát Triển Trong Tương Lai

Các công nghệ mới như trí tuệ nhân tạo và học máy sẽ được tích hợp vào các giải pháp tự động hóa, giúp nâng cao khả năng phát hiện và ứng phó với các mối đe dọa.

5.2. Tầm Quan Trọng Của Đào Tạo Nhân Lực

Đào tạo nhân lực trong lĩnh vực bảo mật thông tin là rất quan trọng. Các chuyên gia cần được trang bị kiến thức và kỹ năng để vận hành hiệu quả các hệ thống tự động hóa.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong môi trường công nghệ hiện đại, số lượng các thiết bị đầu cuối (endpoint) như máy trạm, máy tính cá nhân, máy chủ và thiết bị IoT gia tăng nhanh chóng, tạo thành mạng lưới phức tạp và tiềm ẩn nhiều nguy cơ an ninh mạng. Điểm cuối là nơi lưu trữ và chia sẻ trực tiếp dữ liệu trọng yếu nhưng tính an toàn lại phụ thuộc lớn vào ý thức và biện pháp bảo mật của người sử dụng. Theo các số liệu được tác giả trích dẫn trong văn bản:

• Báo cáo Điều tra Vi phạm Dữ liệu của Verizon chỉ ra 43% các cuộc tấn công mạng nhắm vào các doanh nghiệp quy mô nhỏ.
• Báo cáo chi phí vi phạm dữ liệu năm 2021 của Viện Ponemon (do IBM ủy quyền) ghi nhận thiệt hại trung bình của một vụ rò rỉ dữ liệu là 4,24 triệu USD trên quy mô toàn cầu và lên đến 9,05 triệu USD tại thị trường Hoa Kỳ.

Dù các giải pháp an ninh như Hệ thống phát hiện và phản hồi đầu cuối (EDR) đã hỗ trợ thu thập dữ liệu và cảnh báo, khối lượng cảnh báo phát sinh hàng ngày tại các Trung tâm điều hành an ninh mạng (SOC) là rất lớn. Nhân sự SOC phải đối mặt với nguy cơ quá tải trong quá trình xác minh và điều tra thủ công, làm giảm tốc độ xử lý và khả năng ứng phó tức thời trước các cuộc tấn công tinh vi. Xuất phát từ thực trạng này, đồ án hướng đến việc ứng dụng giải pháp Điều phối, Tự động hóa và Phản hồi An ninh (SOAR) nhằm tự động hóa quy trình phản ứng sự cố từ EDR.

Mục tiêu chung của đồ án là nghiên cứu và xây dựng một hệ thống SOAR hoàn chỉnh dựa trên các phần mềm mã nguồn mở kết hợp với nền tảng EDR để tự động hoặc bán tự động xử lý các cảnh báo an toàn thông tin. Tác giả xác định 4 nhiệm vụ nghiên cứu cụ thể gắn với bố cục 4 chương:

1. Nghiên cứu tổng quan về Endpoint Security, các chức năng của hệ thống EDR và tìm hiểu chi tiết nền tảng EDR mã nguồn mở Wazuh.
2. Khảo sát kiến trúc và tính năng của hệ thống SOAR, nghiên cứu hai công cụ mã nguồn mở là Shuffle và TheHive (kèm công cụ phân tích Cortex).
3. Thiết kế kiến trúc và triển khai tích hợp hệ thống SOAR hoàn chỉnh từ ba thành phần chính: Wazuh, TheHive và Shuffle trên hạ tầng mạng thử nghiệm.
4. Xây dựng các quy trình phản ứng tự động (playbook) cho 3 tình huống tấn công thực tế (tấn công vét cạn, người dùng tải mã độc, endpoint nhiễm ransomware), thử nghiệm và đánh giá hiệu năng hệ thống.

Đối tượng nghiên cứu của đề tài là các quy trình, cơ chế phát hiện vi phạm tại điểm cuối và công nghệ tự động hóa phản hồi sự cố an ninh mạng. Phạm vi nghiên cứu được giới hạn trong việc tích hợp các phần mềm mã nguồn mở (Wazuh, Shuffle, TheHive, Cortex) và kiểm thử thực nghiệm trên môi trường máy ảo cục bộ kết hợp máy chủ ảo đám mây, hoàn thành tại Học viện Công nghệ Bưu chính Viễn thông vào tháng 1 năm 2024.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đồ án dựa trên các khái niệm và mô hình kỹ thuật sau:

• Hệ thống phát hiện và phản hồi đầu cuối (EDR): Định nghĩa theo chuẩn của IBM, bao gồm chu trình 5 bước: Identify (Nhận diện), Protect (Bảo vệ), Detect (Phát hiện), Respond (Phản ứng), Recover (Khôi phục). EDR liên tục thu thập dữ liệu về tiến trình, lưu lượng mạng, cấu hình hệ thống từ agent và so khớp với thông tin tình báo mối đe dọa (Threat Intelligence - TI).
• Hệ thống điều phối, tự động hóa và phản hồi an ninh (SOAR): Mô hình kết hợp ba trụ cột: Orchestration (điều phối quy trình và tích hợp sản phẩm), Automation (tự động hóa thực thi các tác vụ bằng kịch bản máy tính), Response (quản lý ca sự cố, lập báo cáo và hỗ trợ cộng tác).
• Các giải pháp công nghệ mã nguồn mở:
  • Wazuh: Nền tảng hợp nhất khả năng XDR và SIEM phát triển từ HIDS OSSEC, quản lý rules/decoders bằng định dạng XML.
  • Shuffle: Nền tảng SOAR mã nguồn mở xây dựng theo kiến trúc phân tán (Orborus, Worker, Apps) hỗ trợ tích hợp API OpenAPI/Swagger.
  • TheHive: Nền tảng chuyên biệt cho quản lý sự cố SOC (Case, Task, Observable), kết hợp cơ sở dữ liệu phân tán và công cụ Cortex để làm giàu chỉ số nguy hại (IOC).

Phương pháp nghiên cứu thực tế bao gồm:

• Phương pháp nghiên cứu tài liệu kỹ thuật: Khảo sát tài liệu lập trình API, cấu trúc dữ liệu và tài liệu kỹ thuật của Wazuh, Shuffle, TheHive và Cortex; tham chiếu các giải pháp thương mại như Splunk SOAR, Palo Alto Cortex XSOAR.
• Phương pháp thiết kế và tích hợp hệ thống: Xây dựng mô hình tương tác liên thành phần thông qua RESTful API, Webhook và các tập lệnh Active Response.
• Phương pháp thực nghiệm: Thiết lập phòng thí nghiệm kiểm thử (lab), sử dụng công cụ Metasploit Framework và các mã độc mô phỏng để kích hoạt cảnh báo, qua đó kiểm chứng luồng hoạt động tự động của playbook.

Nguồn dữ liệu thực nghiệm bao gồm log hệ thống Windows Event Log, Sysmon, SSH log trên Linux, các chỉ báo IOC bóc tách từ sự kiện mạng, và dữ liệu phân tích mối đe dọa ngoại vi từ dịch vụ VirusTotal thông qua API.

Thiết kế và triển khai hệ thống

Hệ thống được thiết kế theo mô hình tích hợp 3 thành phần chính:

• Thành phần phát hiện và thu thập log (Wazuh): Cài đặt Wazuh Agent trên các endpoint để giám sát tập tin, tiến trình và kết nối mạng; chuyển log về Wazuh Server và Wazuh Indexer để giải mã và kích hoạt cảnh báo.
• Thành phần quản trị sự cố (TheHive & Cortex): Tiếp nhận thông tin cảnh báo, tự động khởi tạo case, phân tách task, lưu trữ observable và chạy các phân tích làm giàu dữ liệu qua các bộ phân tích (Analyzers) của Cortex.
• Thành phần điều phối và tự động hóa (Shuffle): Đóng vai trò trung gian, tiếp nhận webhook từ Wazuh Server, thực thi các playbook logic, gọi API tới TheHive để tạo case và gọi ngược lại API/Active Response của Wazuh để cách ly hoặc xử lý endpoint.

Thành phần	Môi trường triển khai	Cấu hình phần cứng	Vai trò kỹ thuật
Wazuh Server & Shuffle	AWS EC2 (Elastic IP)	4 vCPU, 16 GB RAM	Phân tích log, chỉ mục dữ liệu, điều phối playbook
TheHive & Cortex	AWS EC2 (Elastic IP)	4 vCPU, 8 GB RAM	Quản lý case sự cố, làm giàu dữ liệu tình báo
Windows 10 Endpoint	VMware Workstation	Máy ảo Windows 10 Pro	Endpoint người dùng, cài Wazuh Agent v4.x, Sysmon
Linux Server Endpoint	VMware Workstation	Máy ảo Ubuntu Server 20.04	Máy chủ nội bộ, chạy dịch vụ SSH, cài Wazuh Agent
Attacker Machine	VMware Workstation	Máy ảo Ubuntu 22.04 LTS	Triển khai Metasploit Framework để phát động tấn công

Quá trình triển khai kỹ thuật được thực hiện tuần tự:

• Cài đặt Wazuh: Sử dụng tập lệnh wazuh-install.sh tạo các tệp chứng chỉ (wazuh-install-files.tar), triển khai cụm Wazuh Indexer (phiên bản OpenSearch 7.2 / Lucene 9.0), cài đặt Filebeat chuyển tiếp log, kích hoạt wazuh-manager và giao diện web wazuh-dashboard trên cổng HTTPS 443.
• Cài đặt Shuffle: Tải mã nguồn từ GitHub, phân quyền thư mục dữ liệu (chown -R 1000:1000 shuffle-database), triển khai toàn bộ dịch vụ phụ trợ qua Docker Compose.
• Cài đặt TheHive và Cortex: Đóng gói triển khai bằng Docker Compose kết hợp cơ sở dữ liệu Apache Cassandra và Elasticsearch. Cấu hình Organization, cấp phát API Key, thiết lập kết nối giữa TheHive và Cortex tại cổng 9001, đồng thời kích hoạt các Analyzer tích hợp như VirusTotal_GetReport_3_1 và VirusTotal_Scan_3_1.

Nội dung chính theo từng chương

Chương 1: Hệ thống phát hiện và phản hồi đầu cuối (EDR)

Chương 1 hệ thống hóa cơ sở lý thuyết về điểm cuối, sự cần thiết của bảo mật điểm cuối và các chức năng cốt lõi của EDR: thu thập dữ liệu liên tục qua agent, phân tích đe dọa thời gian thực, tự động phản ứng, điều tra khắc phục và hỗ trợ Threat Hunting (liên kết MITRE ATT&CK). Tác giả so sánh hai sản phẩm EDR mã nguồn mở nổi bật là OSSEC (và bản mở rộng Atomic OSSEC XDR) với Wazuh.

Nội dung trọng tâm của chương đi sâu vào kiến trúc thành phần của Wazuh bao gồm Wazuh Agent, Wazuh Server, Filebeat, Wazuh Indexer và Wazuh Dashboard. Tác giả phân tích cấu trúc thư mục quy tắc tại /var/ossec/etc/decoders/local_decoder.xml và /var/ossec/etc/rules/local_rules.xml (quy định ID tùy biến trong khoảng 100000 - 120000), liệt kê bảng các thẻ cấu hình Decoder (parent, prematch, regex, use_own_name) và Rule (match, regex, decoded_as, srcip, dstip, user, id). Bên cạnh đó, tác giả tổng hợp danh mục tập lệnh Active Response sẵn có trên Linux (disable-account, firewall-drop, host-deny, wazuh-slack) và Windows (netsh.exe, route-null.exe), cùng các phương thức RESTful API chính của Wazuh (POST /security/user/authenticate, PUT /active-response, GET /syscheck/{agent_id}).

Chương 2: Hệ thống điều phối, tự động hoá và phản hồi an ninh (SOAR)

Chương 2 trình bày định nghĩa của SOAR theo Gartner/tiêu chuẩn bảo mật, phân tích 3 thành phần cốt lõi và các lợi ích: giảm thời gian phản ứng, tăng hiệu quả vận hành SOC, giảm độ phức tạp quy trình. Tác giả khảo sát ngắn gọn hai giải pháp thương mại quy mô lớn là Splunk SOAR (hơn 100 playbook dựng sẵn, hơn 300 ứng dụng tích hợp) và Palo Alto Cortex XSOAR (khoảng 1000 playbook dựng sẵn, hơn 970 ứng dụng tích hợp).

Phần tiếp theo phân tích chi tiết hai nền tảng mã nguồn mở được lựa chọn:

• Shuffle: Kiến trúc gồm Frontend, Backend, Orborus, Worker và Apps. Tác giả làm rõ 5 nhóm usecase của Shuffle: Collect (thu thập), Enrich (làm giàu), Detect (phát hiện), Respond (phản ứng) và Verify (xác thực). Chương này liệt kê các tập API của Shuffle kết nối với TheHive (tạo alert, tạo case, thêm observable), Cortex và Wazuh.
• TheHive: Phân tích kiến trúc lưu trữ sử dụng Apache Cassandra, Elasticsearch và MinIO/Local Filesystem. Tác giả làm rõ vòng đời xử lý sự cố thông qua các đối tượng Case, Task, Observable và Analyze, đồng thời liệt kê các điểm cuối API: POST /api/v1/alert, POST /api/v1/case, POST /api/v1/case/{caseId}/observable, POST /api/v1/case/{caseId}/task.

Chương 3: Xây dựng hệ thống điều phối, tự động hoá và phản hồi an ninh dựa trên Shuffle, TheHive và Wazuh

Chương 3 trình bày việc giải quyết bài toán quá tải cảnh báo của trung tâm SOC bằng một mô hình kỹ thuật khép kín sử dụng phần mềm mã nguồn mở. Tác giả xây dựng sơ đồ mạng tổng thể trên AWS và mạng máy ảo cục bộ, đồng thời ghi lại từng bước cấu hình chi tiết:

• Chỉnh sửa tệp cấu hình YAML của Wazuh, sinh khóa bảo mật, cài đặt và kiểm tra trạng thái hoạt động của cụm Wazuh Indexer trên cổng 9200.
• Khởi chạy dịch vụ Wazuh Server, Filebeat và Wazuh Dashboard.
• Tạo gói cài đặt agent, phân phối và triển khai Wazuh Agent trên máy trạm Windows 10 (bằng lệnh msiexec.exe) và máy chủ Ubuntu.
• Triển khai Shuffle qua tệp Docker Compose, phân quyền cơ sở dữ liệu shuffle-database, thiết lập tài khoản quản trị OrgAdmin.
• Thiết lập TheHive và Cortex qua Docker, cấu hình tổ chức mới, liên kết URL nội bộ của Cortex và cấu hình khóa API cho bộ phân tích VirusTotal.

Chương 4: Xây dựng playbook thử nghiệm hệ thống SOAR

Chương 4 thiết kế và kiểm thử thực nghiệm 3 kịch bản playbook tự động hóa trên Shuffle:

1. Playbook ứng phó tấn công vét cạn (Brute Force):
   • Kịch bản: Máy tấn công Ubuntu sử dụng công cụ dò mật khẩu SSH vào Ubuntu Server.
   • Hoạt động: Wazuh phát hiện sự kiện đăng nhập thất bại liên tiếp và gửi cảnh báo qua Webhook tới Shuffle. Shuffle trích xuất địa chỉ IP nguồn, kích hoạt lệnh cập nhật bảng iptables trên máy chủ để chặn IP tấn công, đồng thời gọi API tạo Case, Task, Observable trên TheHive và gửi tin nhắn cảnh báo tới quản trị viên qua Discord.
2. Playbook xử lý người dùng tải tệp độc hại:
   • Kịch bản: Người dùng tải tệp mẫu mã độc (sample malware) về máy Windows 10.
   • Hoạt động: Wazuh Agent phát hiện tệp mới thông qua Syscheck, gửi cảnh báo về Wazuh Server. Shuffle nhận webhook, gọi API lấy mã băm (hash) của tệp, chuyển tiếp tới Cortex để kiểm tra danh tiếng trên VirusTotal (VirusTotal_GetReport). Nếu xác định độc hại, Shuffle gọi API kích hoạt tập lệnh Active Response remove-threat.exe trên endpoint Windows để xóa bỏ tệp, sau đó gửi thông báo hoàn tất qua Discord.
3. Playbook phản ứng khi có dấu hiệu nhiễm mã độc tống tiền (Ransomware):
   • Kịch bản: Máy tính Windows 10 chạy tập lệnh mô phỏng hành vi ransomware (thực thi các lệnh xóa Event Log hệ thống và mã hóa dữ liệu).
   • Hoạt động: Wazuh bắt được hành vi bất thường, phát sinh alert. Shuffle nhận tín hiệu, kích hoạt Active Response chạy tập lệnh Block Connection.exe (sử dụng tiện ích netsh.exe) nhằm ngắt toàn bộ kết nối mạng của máy nạn nhân, cô lập endpoint khỏi mạng nội bộ để ngăn chặn lây lan, đồng thời mở ca điều tra trên TheHive và gửi cảnh báo khẩn cấp tới quản trị viên.

Cuối chương, tác giả tiến hành đánh giá tổng kết ưu điểm và hạn chế kỹ thuật của toàn bộ hệ thống sau quá trình thử nghiệm.

Kết quả và đóng góp

Về kết quả thực nghiệm kỹ thuật, đồ án đã triển khai vận hành thành công mô hình tích hợp giữa Wazuh, Shuffle, TheHive và Cortex. Kết quả thực thi của 3 playbook được ghi nhận đầy đủ qua dữ liệu kiểm thử:

Kịch bản thử nghiệm	Kỹ thuật tấn công giả lập	Cơ chế phát hiện	Hành động phản ứng tự động	Kết quả ghi nhận
Tấn công vét cạn (Brute Force)	SSH brute-force từ máy Ubuntu Attacker	Wazuh Rule phát hiện thất bại SSH liên tiếp	Cập nhật quy tắc iptables trên Ubuntu Server; tạo Case trên TheHive	IP tấn công bị chặn thành công; case và observable được tạo tự động; thông báo gửi về Discord
Tải phần mềm độc hại	Tải mẫu malware trên Windows 10	Wazuh Syscheck & Decoder phân tích sự kiện	Lấy hash tệp, kiểm tra VirusTotal qua Cortex, gọi lệnh remove-threat.exe	Tệp độc hại bị xóa hoàn toàn khỏi thư mục đích; hệ thống ghi nhận report an toàn
Nhiễm Ransomware	Chạy script mô phỏng xóa Event Log và mã hóa	Wazuh Rule giám sát hành vi lệnh cmd/powershell	Gọi Active Response chạy Block Connection.exe (netsh.exe)	Máy Windows 10 bị ngắt kết nối mạng ngay lập tức; cách ly hoàn toàn khỏi hệ thống

Về đóng góp giải pháp và kiến nghị:

• Tác giả chứng minh tính khả thi của việc xây dựng một trung tâm điều hành SOC thu nhỏ với chi phí phần mềm bằng 0, hoàn toàn sử dụng các giải pháp mã nguồn mở thay thế cho các nền tảng thương mại đắt đỏ như Splunk hay Palo Alto Cortex XSOAR.
• Đề xuất quy trình chuẩn hóa kết nối: sử dụng Wazuh làm nguồn cảm biến phát hiện, Shuffle làm bộ não điều phối dữ liệu dạng luồng công việc (workflow), và TheHive làm sổ tay theo dõi sự cố tập trung.
• Tự động hóa các tác vụ lặp lại (ngắt mạng, chặn IP, quét mã băm, xóa tệp độc hại), giúp rút ngắn thời gian phản ứng từ hàng chục phút thao tác thủ công xuống mức gần thời gian thực (vài giây), giảm thiểu tải công việc cho chuyên viên phân tích SOC.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên nội dung tự nhận xét và đánh giá của tác giả ở cuối Chương 4 và phần Kết luận:

• Hạn chế của hệ thống:
  • Hệ thống phụ thuộc lớn vào tính sẵn sàng của các giao diện kết nối API và Webhook; nếu kết nối mạng giữa các nền tảng gián đoạn, chuỗi phản ứng sẽ bị dừng.
  • Số lượng các playbook được cộng đồng Shuffle cung cấp sẵn còn hạn chế và độ tương thích với các môi trường doanh nghiệp thực tế chưa cao, đòi hỏi kỹ sư phải tự xây dựng quy trình từ đầu.
  • Các kịch bản phản ứng mới chỉ được thử nghiệm trong quy mô phòng lab ảo hóa (máy ảo VMware và máy chủ thử nghiệm AWS), chưa được kiểm nghiệm tải thực tế với lưu lượng log lớn và hàng nghìn endpoint đồng thời.
  • Việc xử lý mã độc mới dừng ở cấp độ tập lệnh mô phỏng và dựa vào chữ ký hash có sẵn trên VirusTotal, chưa xử lý được các biến thể mã độc chưa biết (Zero-day) nếu dịch vụ Threat Intelligence chưa cập nhật.
• Hướng mở rộng nghiên cứu:
  • Nghiên cứu tối ưu hóa cụm phân tán của Shuffle (thông qua Docker Swarm) để tăng khả năng chịu tải và cân bằng tải khi xử lý khối lượng workflow lớn.
  • Xây dựng thêm các bộ playbook đa dạng cho nhiều dạng tấn công mạng phức tạp khác (như tấn công leo thang đặc quyền, tấn công web, đánh cắp danh tính qua Active Directory).
  • Tích hợp thêm các nền tảng chia sẻ thông tin tình báo mối đe dọa chuyên sâu như MISP vào hệ thống TheHive/Cortex để nâng cao chất lượng làm giàu dữ liệu.

Giá trị tham khảo

Đồ án là tài liệu tham khảo hữu ích cho sinh viên các ngành An toàn thông tin, Mạng máy tính và Công nghệ thông tin, cũng như các kỹ sư mới tiếp cận công việc vận hành SOC (SecOps/SOC Analyst). Các nội dung có giá trị tham khảo ứng dụng thực tiễn cao bao gồm:

• Cấu hình EDR chuyên sâu: Hướng dẫn chi tiết cú pháp viết thẻ XML cho Decoder và Rule của Wazuh, cách thiết lập dải ID từ 100000 đến 120000 và kỹ thuật gán lệnh tùy biến vào mô-đun Active Response trên cả hệ điều hành Windows và Linux.
• Tích hợp API và tự động hóa quy trình: Tài liệu cung cấp danh mục các điểm cuối REST API chuẩn xác kèm tham số cấu hình của Wazuh, TheHive và Cortex, đóng vai trò như bản hướng dẫn tích hợp dịch vụ cho người thiết kế giải pháp tự động hóa an ninh.
• Quy trình triển khai hạ tầng an ninh mạng trên đám mây: Các tệp mẫu và hướng dẫn triển khai TheHive, Cassandra, Elasticsearch, Cortex và Shuffle thông qua Docker Compose giúp rút ngắn thời gian thiết lập môi trường nghiên cứu hoặc triển khai thử nghiệm tại doanh nghiệp vừa và nhỏ.

Câu hỏi thường gặp

1. Trong kiến trúc của Wazuh, các quy tắc (rules) và bộ giải mã (decoders) do người dùng tự định nghĩa phải tuân theo quy ước nào về ID và đường dẫn lưu trữ?
Người dùng phải khai báo các quy tắc và bộ giải mã tùy biến trong hai tệp cục bộ là /var/ossec/etc/decoders/local_decoder.xml và /var/ossec/etc/rules/local_rules.xml. Mã định danh (ID) bắt buộc phải nằm trong dải số từ 100000 đến 120000 để tránh bị ghi đè khi hệ thống cập nhật bộ quy tắc mặc định trong thư mục ruleset/.

2. Thành phần Orborus trong kiến trúc phân tán của Shuffle giữ vai trò gì?
Orborus đóng vai trò lắng nghe và tiếp nhận các yêu cầu công việc (jobs) từ phía Backend hoặc môi trường Cloud, sau đó khởi chạy và quản lý các tiến trình Worker để trực tiếp thực thi các Workflow (playbook).

3. TheHive sử dụng cơ sở dữ liệu và công cụ tìm kiếm nào để vận hành nền tảng quản trị sự cố?
TheHive sử dụng cơ sở dữ liệu phân tán Apache Cassandra để lưu trữ dữ liệu các ca sự cố, kết hợp với Elasticsearch để đánh chỉ mục và tìm kiếm dữ liệu, cùng hệ thống tệp cục bộ (Local Filesystem) hoặc MinIO S3 để lưu trữ các tệp đính kèm.

4. Kịch bản ứng phó mã độc tống tiền (ransomware) trên endpoint Windows 10 thực hiện hành động cách ly mạng bằng cách nào?
Sau khi Wazuh phát hiện các tập lệnh độc hại thực hiện xóa Event Log hệ thống, Shuffle nhận cảnh báo và gọi API kích hoạt tập lệnh Active Response Block Connection.exe đặt trên endpoint Windows. Tập lệnh này sử dụng tiện ích nội tại netsh.exe của Windows để ngắt kết nối mạng của máy trạm, cô lập thiết bị khỏi mạng nội bộ.

5. Cơ chế làm giàu dữ liệu chỉ số nguy hại (IOC) của tệp tải xuống trong đồ án được thực hiện thông qua công cụ nào?
Dữ liệu mã băm (hash) của tệp thu thập từ mô-đun Syscheck của Wazuh được Shuffle chuyển tiếp tới TheHive và phân tích tự động bằng công cụ Cortex thông qua bộ phân tích VirusTotal_GetReport_3_1 để đối soát độ độc hại trên dịch vụ VirusTotal.

Kết luận

Đồ án tốt nghiệp của sinh viên Nguyễn Đức Sơn đã nghiên cứu và triển khai giải pháp tự động hóa ứng phó sự cố an ninh mạng bằng việc tích hợp ba nền tảng mã nguồn mở Wazuh, Shuffle và TheHive. Bằng việc kết hợp năng lực giám sát điểm cuối của EDR với khả năng điều phối workflow của SOAR, tác giả đã xây dựng và kiểm chứng thành công 3 kịch bản playbook tự động ngăn chặn tấn công brute-force, loại bỏ phần mềm độc hại và cách ly ransomware. Nghiên cứu cung cấp tài liệu kỹ thuật có giá trị thực tiễn cao cho việc tối ưu hóa quy trình vận hành và giảm tải công việc cho nhân sự tại các trung tâm điều hành an toàn thông tin (SOC).

Trích đoạn nội dung tài liệu

Mở đầu Nguyễn Đức Sơn — BI9DCAT153 10 Đồ án tốt nghiệp đại học Chương |: EDR CHUONG 1: HE THONG PHAT HIEN VA PHAN HOI DAU CUOI (EDR) Do sự phát triển của công nghệ, số lượng Endpoint ngày càng gia tang, tạo nên một môi trường phức tạp va da dạng, kèm theo đó là yêu cau cần phải đảm bảo an toàn cho các thiết bị đầu cuối. Endpoint Detection and Response (EDR) ra đời nhằm giải quyết van dé đó bằng cách đặt trọng điểm vào việc phát hiện và ứng phó với các moi de dọa trên các thiết bị dau cuối (Endpoint) trong mạng. Trong số các phan mềm EDR thì Wazuh, một giải pháp mã nguôn mở, là một công cụ cung cấp đây đủ tinh năng của một EDR. Chương này sẽ tập trung vào những khía cạnh quan trọng của EDR và Wazuh.

Tổng quan về hệ thống phát hiện và phản hồi đầu cuối (EDR): 1. Khái niệm về Endpoint và sự cần thiết của Endpoint Security: Endpoint (theo Microsoft) là các thiết bị vật lý kết nối và trao đổi thông tin với mạng máy tính. Ngày nay, với sự phát triển của khoa học và công nghệ, số lượng các Endpoint ngày càng lớn. Đặc biệt ở trong các doanh nghiệp lớn, số lượng các Endpoint cần bảo vệ rất lớn đặt ra nhiều thách thức cho các kỹ sư an toàn thông tin.

[1] Ví dụ về Endpoint: Các thiết bị di động, Máy tính dé ban, May ảo, Cac server, Các thiết bị IOT. Vi dụ về Endpoint Tầm quan trọng của Endpoint Security được thê hiện ở các điểm sau [1]: - Tội phạm mạng thường nhắm vào các thiết bi đầu cuối vì các Endpoint phụ thuộc vào người dùng đê áp dụng các biện pháp bảo mật. Nguyễn Đức Sơn - B19DCAT153 H Đồ án tốt nghiệp đại học Chương |: EDR - Doanh nghiệp thuộc mọi quy mô đều có thé bị nhắm tới. Theo Bao cáo Điều tra Vi phạm Dữ liệu của Verizon, 43% các cuộc tấn công mạng liên quan đến các doanh nghiệp nhỏ.

- _ Và nếu như doanh nghiệp bi tan công thành công rất có thể doanh nghiệp đó sẽ phải chịu thiệt hại nặng nề. Chi phí trung bình của một vụ vi phạm dữ liệu là 4,24 triệu USD trên toàn cầu và 9,05 triệu USD ở Hoa Ky, theo "Báo cáo chi phí vi phạm đữ liệu năm 2021" của Viện Ponemon (do IBM ủy quyền). Khái niệm và chức năng của EDR: EDR (theo IBM) là một phần mềm được thiết kế để tự động bảo vệ các thiết bị Endpoint trong một tô chức khỏi các mối đe dọa. EDR thu thập dữ liệu liên tục từ các Endpoint va phân tích dữ liệu đó để đưa ra các thông báo hoặc ngăn chặn các mối đe dọa.

EDR là một giải pháp hiệu quả giúp cho các doanh nghiệp lớn đảm bảo an toàn cho các Endpoint trong bối cảnh số lượng các thiết bị Endpoint ngày càng gia tăng và các kỹ thuật tan công vào Endpoint ngày càng đa dạng. [2] IDENTIFY PROTECT DETECT RESPOND RECOVER Endpoint Detection & Response (EDR) Các tính năng của EDR [2]: - Thu thập dt liệu liên tục từ các Endpoint: EDR liên tục thu thập di liệu liên quan đến các tiến trình, hiệu năng, những thay đổi về cấu hình, kết nối mạng, các tập tin hoặc dữ liệu được tải xuống và truyền đi nhờ vao các agent. - Phan tích và phát hiện các mối đe dọa trong thời gian thực: EDR tìm kiếm các IOC dựa vào việc liên kết đữ liệu từ endpoint trong thời gian thực với các dịch vu TI (Threat Intelligence) cung cấp liên tục các thông tin về các kỹ thuật tan công mới Nguyễn Đức Sơn - B19DCAT153 12 Đồ án tốt nghiệp đại học Chương |: EDR - Tu động phan ứng khi phát hiện mối đe doa: EDR có thé tự động phan ứng lại khi phát hiện các mối đe doạ. Ví dụ: ngắt kết nối mạng của các endpoint, đưa ra các cảnh báo khi có mối de doa.

- Điều tra và khắc phục: EDR cung cấp các công cụ giúp cho việc điều tra và khắc phục sự cô. - _ Hỗ trợ cho Threat Hunting: Kết hợp với các nền tảng TI (Threat Intelligence) như Mitre ATT&CK để cập nhật các kỹ thuật tấn công mới nhất. Một số sản phẩm EDR: 1. OSSEC: - OSSEC là hệ thống phát hiện xâm nhập dựa trên host (HIDS) mã nguồn mở, đa nền tảng, có thể mở rộng vả có nhiều cơ chế bảo mật khác nhau.

- _ Phiên bản Automic OSSEC XDR mới nhất tích hợp thêm nhiều tinh năng mới, XDR là một nền tảng kết thừa EDR, ngoài khả năng giám sát các Endpoint, XDR cung cấp khả năng giám sát các nền tảng điện toán đám mây (AWS, Azure,. Wazuh: - Wazuh là một phần mềm mã nguồn mở được xây dựng dựa trên HIDS OSSEC, Wazuh kết hợp các tính năng của XDR và SIEM. - Wazuh cho phép giám sát các Endpoint và các dịch vụ điện toán đám mây, ngoài ra Wazuh tích hợp tính năng của SIEM, cho phép người dùng đánh chỉ mục và tìm kiếm các cảnh báo. Tổng quan về Wazuh [3]: 1.

Giới thiệu về Wazuh: Wazuh là một phan mềm mã nguồn mở miễn phí hợp nhất các khả năng của XDR và SIEM. Wazuh giúp các tô chức và cá nhân bảo vệ tài sản dữ liệu trước các mối de dọa bảo mật. Wazuh được sử dụng rộng rãi bởi hàng nghìn tổ chức doanh nghiệp trên toàn thế giới từ doanh nghiệp nhỏ đến lớn. Kiến trúc và cách thức hoạt động của Wazuh: 1.

Kiến trúc của Wazuh: Nguyễn Đức Sơn - B19DCAT153 13 Đồ án tốt nghiệp đại học Chương |: EDR Endpoints Wazuh central components Server : : : : 43 W. server cluster Wazuh agent : : : ‘ El Master node : Wazuh users : : 5 d 4 E W. dashboard Wazuh agent : Laptop 2 wazuhagent : : =| Worker node : » : W. Indexer 2 ~-° q Cloud instance :: :: «œ@ 'Wazuh agent : ° : .n B Worker node © Wazuh indexer node : h Analysis engine Filebeat Virtual Machine : : Ls] Wazuh agent : : Hình 1-3.

Kiến trúc của Wazuh - Wazuh agents: được cài đặt tại các Endpoint như laptop, máy tinh dé ban. nhằm thu thập dữ liệu từ các thiết bị đó. - Wazuh server: Phân tích dữ liệu từ các agent. - Wazuh indexer: là một công cụ phân tích và tìm kiếm có khả năng mở rộng cao.

- Wazuh server có thé được chia thành các node khác nhau. - Wazuh indexer cũng có thé được chia thành các node khác nhau. => Điều này giúp cho Wazuh có thé mở rộng được nhằm phù hợp với kich thước của mỗi doanh nghiệp khác nhau. - Wazuh dashboard: Giao diện web trực quan hóa dir liệu.

Cách thức hoạt động của Wazuh: Wazuh thu thập dữ liệu từ các Endpoint thông qua các Wazuh agent, các agent nay có thé được cài trên đa số các nền tảng hệ điều hành. Sau đó đữ liệu này được gửi đến Wazuh server, tại Wazuh server dữ liệu sẽ được phân tích dé đưa ra các cảnh báo. Các dữ liệu sẽ được bóc tách và so khớp với bộ rule của Wazuh. Wazuh server sử dụng Filebeat để gửi những dữ liệu về các cảnh bảo và sự kiện tới cho Wazuh indexer.

Tại Wazuh indexer dữ liệu sẽ được đánh index phục vụ cho mục đích tìm kiếm và quản lý. Wazuh dashboard hiển thị dữ liệu đã được đánh index cho người dùng va cung cấp giao điện cho người dùng dé tương tác với hệ thống. Rule và Decoder: - _ Cú pháp của Rule va Decoder trong Wazuh được viết theo các thẻ XML - C4u trúc thư mục: Nguyễn Đức Sơn - B19DCAT153 14 Đồ án tốt nghiệp đại học Chương |: EDR /var/ossec/ |_— etc/ | |_— decoders/ | | L—local_decoder.xml | L— rules/ | L—local_rules.xml L_ ruleset/ |_— decoders/ Lˆ rules/ + Trong thư mục ruleset/ chứa các luật va các decoder thường được sử dung. Tất cả các file trong thư mục nay sẽ được viết lại và chỉnh sửa khi Wazuh cập nhật tiến trình.

+ Để tự tạo các luật, cần thêm vào các file local decoder.xml và local_rules.xml + Các ID cua các rule va decoder phải được đặt trong khoảng từ 100000 đến 120000 1. Decoder: Có nhiệm vụ trích xuất các thông tin từ các sự kiện thu thập được từ agent dé chuẩn bi cho quá trình phân tích tiếp theo. Các lựa chon dé cấu hình decoder: Lựa chọn Gia tri M6 ta decoder Tên của decoder Thuộc tính này định nghĩa một decoder. parent Tên của 1 decoder | Tham chiếu decoder gốc va decoder bat ky hién tai accumulate None Cho phép theo dõi các sự kiện thông qua log program name Bất ky biéu | Dat tên cho một program thức regex, sregex hoặc pcre2 nao.

prematch Bất cứ biểu | Đặt một biêu thức làm điều kiện dé áp thức regex hoặc pc | dung decoder re2 nao. regex Bat cu biéu | Decoder nay sẽ tim các trường xác thức regex hoặc pc định va trích xuất chúng re2 nao. Nguyễn Đức Sơn — B19DCAT153 15 Đồ án tốt nghiệp đại học Chương |: EDR use_own_ name True Chỉ được dùng cho decoder con json_null field String Thêm tùy chon cách lưu trữ gia tri NULL từ JSON json_array_ structure String Thêm tùy chon các lưu trữ mang từ JSON var Tên của bién Xác định các bién có thé được sử dụng lại trong cùng | file Bang T-I. Các Decoder thường dùng 1.

Rule: Sau khi các decoder bóc tách các thông tin từ log, rule sẽ sử dụng các thông tin này dé so khớp với các IOC.