Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số, sự bùng nổ của các thiết bị đầu cuối (Endpoints) như máy trạm, máy chủ đám mây, thiết bị di động và IoT đã mở rộng bề mặt tấn công mạng theo cấp số nhân. Theo Báo cáo Điều tra Vi phạm Dữ liệu của Verizon (DBIR), 43% các cuộc tấn công mạng nhắm vào các doanh nghiệp vừa và nhỏ, nơi các biện pháp bảo mật đầu cuối thường chưa được tối ưu hóa. Báo cáo Chi phí Vi phạm Dữ liệu của Viện Ponemon (ủy quyền bởi IBM) chỉ ra rằng chi phí trung bình cho một vụ rò rỉ dữ liệu lên tới 4.24 triệu USD trên toàn cầu và 9.05 triệu USD tại thị trường Hoa Kỳ.

Các trung tâm vận hành an toàn thông tin (Security Operations Center - SOC) hiện nay phải đối mặt với hội chứng "Alert Fatigue" (quá tải cảnh báo). Hàng ngàn cảnh báo an ninh được sinh ra mỗi ngày từ các hệ thống phát hiện và phản hồi đầu cuối (Endpoint Detection and Response - EDR). Việc phân tích, xác minh chỉ số xâm phạm (Indicators of Compromise - IOC) và đưa ra hành động ngăn chặn theo quy trình thủ công kéo dài Thời gian Trung bình để Phản hồi (Mean Time to Respond - MTTR) từ vài giờ đến vài ngày, tạo cơ hội cho kẻ tấn công thực hiện leo thang đặc quyền và lây lan mã độc diện rộng.

Đồ án tốt nghiệp "Nghiên cứu và xây dựng giải pháp tự động hóa ứng phó sự cố trong hệ thống phát hiện và phản hồi đầu cuối" do sinh viên Nguyễn Đức Sơn thực hiện dưới sự hướng dẫn của PGS.TS. Đỗ Xuân Chợ (Khoa An toàn Thông tin, Học viện Công nghệ Bưu chính Viễn thông) tập trung giải quyết triệt để bài toán tối ưu hóa quy trình SOC thông qua hệ sinh thái mã nguồn mở.

flowchart LR
    A[Mối đe dọa Endpoint\nBrute Force / Malware / Ransomware] --> B[Wazuh EDR\nThu thập log & Phát hiện]
    B -->|Webhook Alert JSON| C[Shuffle SOAR\nĐiều phối & Kích hoạt Playbook]
    C -->|Enrichment API| D[TheHive & Cortex\nCase Management & Threat Intel]
    C -->|Active Response API| B
    B -->|Thực thi Script| A
    C -->|Notification| E[Discord / SOC Alert]

Mục tiêu dự án

  1. Nghiên cứu chuyên sâu cơ chế thu thập log, giải mã (Decoders), so khớp luật (Rules) và tính năng phản hồi chủ động (Active Response) của nền tảng Wazuh EDR.
  2. Khảo sát kiến trúc điều phối, tự động hóa và phản hồi an ninh (Security Orchestration, Automation, and Response - SOAR), phân tích nền tảng Shuffle và hệ thống quản lý sự cố TheHive.
  3. Thiết kế và triển khai tích hợp thành công cụm hệ sinh thái SOAR kết hợp EDR hoàn toàn dựa trên mã nguồn mở.
  4. Xây dựng và thực nghiệm 03 quy trình phản ứng tự động (Playbooks): Chống tấn công vét cạn (Brute Force), Phát hiện - loại bỏ tệp độc hại tải xuống (Malware Quarantine), và Ngăn chặn hành vi mã độc tống tiền (Ransomware Containment).
  5. Đánh giá tính khả thi, hiệu năng và khả năng giảm thiểu MTTR trong môi trường mạng giả lập.

Giải pháp và kết quả kỳ vọng

Giải pháp kết hợp kiến trúc hướng sự kiện (Event-Driven Architecture) giữa Wazuh EDR, Shuffle SOAR và TheHive/Cortex. Hệ thống được kỳ vọng giảm MTTR từ 15-30 phút thao tác thủ công của phân tích viên xuống dưới 5 giây xử lý tự động hoàn toàn; tự động hóa 100% khâu tạo hồ sơ sự cố (Case), trích xuất Observables và làm giàu thông tin tình báo mối đe dọa (Threat Intelligence - TI) từ VirusTotal.

Phạm vi và giới hạn

  • Phạm vi: Triển khai trên môi trường phòng thí nghiệm lai kết hợp đám mây AWS EC2 và hệ thống máy ảo VMware (Windows 10 Pro, Ubuntu Server 20.04 LTS, Ubuntu Attacker với Metasploit Framework).
  • Giới hạn: Tập trung vào các kịch bản tấn công điển hình (SSH Brute Force, Dropped Malware, Ransomware Behavior); chưa tích hợp các thuật toán Machine Learning sâu để tự động phát hiện bất thường hành vi không có signature.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Hiện nay trên thị trường có nhiều giải pháp SOAR thương mại mạnh mẽ, tuy nhiên chi phí đầu tư bản quyền rất lớn, tạo rào cản cho các doanh nghiệp vừa và nhỏ.

Tiêu chí Splunk SOAR (Phantom) Palo Alto Cortex XSOAR Hệ thống Đề xuất (Wazuh + Shuffle + TheHive)
Chi phí bản quyền Rất cao (Tính theo User/Action) Rất cao (Enterprise License) Hoàn toàn miễn phí (Open Source)
Kiến trúc mã nguồn Đóng (Proprietary) Đóng (Proprietary) Mở (Apache 2.0 / AGPL v3)
Tùy biến App/Playbook Hạn chế theo SDK Khá tốt, yêu cầu ngôn ngữ riêng Cực cao (OpenAPI, Python, UI Builder)
Tích hợp EDR/XDR Cần Plugin thương mại Tối ưu với Cortex XDR Tích hợp sâu Wazuh EDR/HIDS gốc
Case Management Tích hợp sẵn Tích hợp sẵn TheHive 5 chuyên sâu cho SOC

Yêu cầu người dùng (Mô hình MoSCoW)

  • Must Have (Bắt buộc): Tiếp nhận Webhook cảnh báo thời gian thực từ Wazuh; Khả năng phân tích chuỗi JSON alert; Tự động block IP qua iptables/netsh; Tự động tạo Case và Task trên TheHive.
  • Should Have (Nên có): Tích hợp Cortex để tự động gửi hash tệp lên VirusTotal API v3 kiểm tra độ tin cậy; Tự động gửi cảnh báo tức thì qua Discord/Slack.
  • Could Have (Có thể có): Kịch bản ngắt kết nối card mạng (Network Isolation) để cô lập máy trạm bị nhiễm Ransomware.
  • Won't Have (Chưa thực hiện): Tự động khôi phục dữ liệu mã hóa bằng Volume Shadow Copies tự sinh.
       KHOẢNG TRỐNG HIỆN TẠI (GAP ANALYSIS)
[ Wazuh EDR ]  --- (Thiếu công cụ điều phối tự động) ---> [ Thao tác SOC thủ công ]
      |                                                            |
      +============> GIẢI PHÁP TÍCH HỢP SOAR <====================+
               (Shuffle Playbook + TheHive Enrichment)
       => Tự động hóa hoàn toàn: Detect -> Enrich -> Contain -> Log

Thiết kế hệ thống

Hệ thống được thiết kế theo mô hình phân tán, bảo mật đa tầng, kết nối qua mạng cục bộ và giao thức HTTPS an toàn.

graph TB
    subgraph Endpoint Layer
        W10[Windows 10 Pro Client\nWazuh Agent + Sysmon]
        UBU[Ubuntu Server 20.04\nWazuh Agent + SSH Service]
    end

    subgraph Detection & Search Layer [AWS EC2 Instance 1: 4 vCPU / 16GB RAM]
        WZ_SVR[Wazuh Server 4.x\nAnalysis Engine & Filebeat]
        WZ_IDX[Wazuh Indexer 7.2\nOpenSearch Engine]
        WZ_DASH[Wazuh Dashboard Web]
        SHUF[Shuffle SOAR 1.x\nOrborus, Worker, Frontend]
    end

    subgraph Incident & Intelligence Layer [AWS EC2 Instance 2: 4 vCPU / 8GB RAM]
        HIVE[TheHive 5 / Cassandra DB]
        CRTX[Cortex Engine 3.1\nVirusTotal Analyzer]
    end

    subgraph External Notification
        DISC[Discord Channel / Webhook]
        VT[VirusTotal API v3]
    end

    W10 -->|Encrypted Agent Protocol 1514/TCP| WZ_SVR
    UBU -->|Encrypted Agent Protocol 1514/TCP| WZ_SVR
    WZ_SVR -->|Filebeat Log Indexing| WZ_IDX
    WZ_SVR -->|Custom Webhook Alert| SHUF
    SHUF -->|REST API / Token Auth| WZ_SVR
    SHUF -->|REST API / Bearer Auth| HIVE
    SHUF -->|REST API| CRTX
    CRTX -->|Query Hash IOC| VT
    SHUF -->|Webhook Alert| DISC

Technology Stack và phiên bản chi tiết

  • Wazuh Central Components (v4.x):
    • Wazuh Manager/Server: Chịu trách nhiệm phân tích log, so khớp ruleset và điều khiển Active Response qua cổng 1514/1515 TCP.
    • Wazuh Indexer: Xây dựng trên nền tảng OpenSearch v7.2 (Lucene 9.0), phục vụ đánh chỉ mục và truy vấn log tốc độ cao.
    • Wazuh Dashboard: Giao diện trực quan hóa dữ liệu và kiểm soát chính sách đầu cuối qua cổng 443 HTTPS.
  • Shuffle SOAR (v1.x): Nền tảng điều phối containerized gồm Orborus (quản lý job), Worker (thực thi node logic) và Backend API.
  • TheHive & Cortex: TheHive 5 kết hợp cơ sở dữ liệu Apache Cassandra và công cụ phân tích Cortex v3.1 (chạy các Dockerized Analyzers: VirusTotal_GetReport_3_1).
  • Hạ tầng triển khai: 02 máy chủ AWS EC2 (Ubuntu 22.04 LTS), Elastic IP tĩnh; Endpoint bao gồm Windows 10 Pro (tích hợp Microsoft Sysmon) và Ubuntu Server 20.04.

Đặc tả API và giao tiếp dữ liệu

Hệ thống sử dụng các endpoint RESTful tiêu chuẩn với định dạng trao đổi JSON:

  • Wazuh Authentication & Execution:
    • POST /security/user/authenticate: Lấy JWT Token qua xác thực Basic Auth.
    • PUT /active-response: Gửi lệnh thực thi tới Agent ID được chỉ định:
    {
  "command": "firewall-drop",
  "custom": false,
  "arguments": ["-", "192.168.1.50"]
}
  • TheHive Case Management:
    • POST /api/v1/case: Khởi tạo hồ sơ sự cố (title, description, severity, tlp).
    • POST /api/v1/case/{caseId}/observable: Thêm định danh nghi vấn (dataType: ip, hash, file).

Methodology

Đồ án áp dụng mô hình phát triển linh hoạt (Agile/Kanban) với các chu kỳ kiểm thử lặp (Iteration cycles):

  1. Pha 1 (Tuần 1 - 4): Thu thập tài liệu, phân tích cơ chế rule/decoder trong /var/ossec/ruleset/ và đặc tả SOAR workflows.
  2. Pha 2 (Tuần 5 - 8): Triển khai cụm server Wazuh, Shuffle, TheHive trên môi trường AWS EC2; cài đặt Agent trên Endpoints.
  3. Pha 3 (Tuần 9 - 12): Thiết kế logic Playbook, cấu hình API Webhook, xây dựng các kịch bản Active Response tùy biến trên Windows/Linux.
  4. Pha 4 (Tuần 13 - 14): Thực nghiệm kịch bản tấn công (Metasploit, Ransomware Simulator, EICAR/Malware sample), ghi nhận benchmark.
  5. Pha 5 (Tuần 15 - 16): Đánh giá rủi ro nghẽn luồng (Worker starvation), tối ưu hóa thời gian xử lý và hoàn thiện báo cáo đồ án.

Implementation và kết quả

Development process

1. Cấu hình Luật Wazuh và Decoder

Để phát hiện tấn công vét cạn hoặc tải mã độc, cấu hình các rule tùy biến trong /var/ossec/etc/rules/local_rules.xml:

<group name="syscheck,malware_detection,">
  <rule id="100010" level="12">
    <if_sid>550</if_sid>
    <field name="file">C:\\Users\\sonnd\\Downloads</field>
    <description>File integrity monitoring: Phat hien tep moi duoc tai xuong thu muc Downloads</description>
    <mitre>
      <id>T1105</id>
    </mitre>
  </rule>
</group>

Đồng thời, kích hoạt cơ chế tích hợp Webhook trong tệp cấu hình chính /var/ossec/etc/ossec.conf của Wazuh Server để chuyển tiếp cảnh báo sang Shuffle:

<ossec_config>
  <integration>
    <name>custom-shuffle</name>
    <hook_url>http://192.168.1.100:3001/api/v1/hooks/webhook_bf89a12c</hook_url>
    <rule_id>100010,5710,5712</rule_id>
    <alert_format>json</alert_format>
  </integration>
</ossec_config>

2. Kịch bản Active Response tùy biến

Trên máy trạm Windows 10, xây dựng script remove-threat.exe (hoặc PowerShell wrapper) để loại bỏ tệp độc hại ngay khi có chỉ thị từ Shuffle:

# Script: remove-threat.ps1 (Compiled to remove-threat.exe)
param (
    [string]$filePath
)
if (Test-Path -Path $filePath) {
    Stop-Process -Force -ErrorAction SilentlyContinue -Path $filePath
    Remove-Item -Path $filePath -Force
    Write-Output "Threat removed successfully: $filePath"
} else {
    Write-Error "File not found: $filePath"
}

Trên Wazuh Manager, khai báo câu lệnh Active Response tương ứng:

<command>
  <name>remove-threat</name>
  <executable>remove-threat.exe</executable>
  <timeout_allowed>no</timeout_allowed>
</command>

<active-response>
  <command>remove-threat</command>
  <location>local</location>
  <rules_id>100010</rules_id>
</active-response>

sequenceDiagram
    autonumber
    actor Attacker as Kẻ tấn công
    participant EP as Endpoint (Ubuntu / Win10)
    participant WZ as Wazuh Server / Indexer
    participant SH as Shuffle SOAR Engine
    participant TH as TheHive & Cortex (VT)
    participant DC as Discord / SOC Team

    Attacker->>EP: Thực hiện tấn công (Brute Force / Drop Malware)
    EP->>WZ: Gửi Event Log qua Agent (Port 1514)
    WZ->>WZ: So khớp Ruleset (Rule 5710/100010 kích hoạt)
    WZ->>SH: Gửi Webhook Alert Payload (JSON)
    SH->>TH: Kiểm tra & Làm giàu IOC (Query VirusTotal Hash)
    TH-->>SH: Trả kết quả Phân tích (Malicious Score > 0)
    SH->>TH: Tự động khởi tạo Case, Task & Observable
    SH->>WZ: Gửi lệnh Active Response qua REST API (/active-response)
    WZ->>EP: Thực thi Script (iptables drop / remove-threat.exe / isolate)
    EP-->>WZ: Báo cáo kết quả thực thi
    SH->>DC: Gửi cảnh báo đa kênh tới đội ngũ SOC

Testing và validation

Kịch bản 1: Phản ứng tự động chống tấn công vét cạn (Brute Force SSH)

  • Kịch bản: Máy tấn công Ubuntu Attacker sử dụng hydra thực hiện Brute Force SSH nhắm vào Ubuntu Server (192.168.1.150).
  • Quy trình:
    1. Wazuh Agent ghi nhận chuỗi log Failed password for invalid user.
    2. Wazuh Server kích hoạt Rule ID 5710 (Level 10) và đẩy Webhook sang Shuffle.
    3. Playbook Shuffle bóc tách trường data.srcip và gửi chỉ thị Active Response firewall-drop tới Wazuh API.
    4. Wazuh Agent trên Ubuntu Server tự động chèn rule chặn vào iptables: iptables -I INPUT -s <Attacker_IP> -j DROP
    5. Playbook tạo Case trên TheHive và gửi thông báo qua Discord.
  • Kết quả: Địa chỉ IP tấn công bị cô lập hoàn toàn chỉ sau 1.8 giây kể từ khi vượt ngưỡng cảnh báo.

Kịch bản 2: Phát hiện và loại bỏ tệp độc hại tải xuống (Malware Response)

  • Kịch bản: Người dùng trên Windows 10 tải tệp thực thi mã độc giả lập (EICAR / Malware Sample) về thư mục Downloads.
  • Quy trình:
    1. Module Wazuh Syscheck (FIM) tính toán mã băm SHA256 và kích hoạt Rule 100010.
    2. Shuffle tiếp nhận Webhook, lấy mã hash thông qua endpoint /syscheck/{agent_id}.
    3. Shuffle kích hoạt Cortex Analyzer VirusTotal_GetReport_3_1.
    4. Phân tích kết quả: Nếu số lượng engine đánh giá độc hại > 0, Shuffle kích hoạt Active Response remove-threat.exe để xóa vĩnh viễn tệp.
    5. Cập nhật Case trên TheHive với đầy đủ thông tin báo cáo VirusTotal.
  • Kết quả: Tệp tin bị tiêu hủy trong vòng 3.1 giây; ngăn chặn hoàn toàn khả năng người dùng nhấn thực thi.

Kịch bản 3: Tự động ứng phó mã độc tống tiền (Ransomware Containment)

  • Kịch bản: Thực thi script giả lập hành vi Ransomware trên Windows 10 (thực hiện xóa Volume Shadow Copies qua lệnh vssadmin delete shadows /all /quiet và dừng dịch vụ sao lưu).
  • Quy trình:
    1. Wazuh phát hiện hành vi qua Sysmon Event ID 1 (Process Creation).
    2. Shuffle kích hoạt playbook khẩn cấp Block-Connection, gọi script block-connection.exe.
    3. Máy trạm tự động ngắt toàn bộ kết nối mạng thông qua lệnh netsh interface set interface "Ethernet" disable, đồng thời chặn dải IP nội bộ nhằm cô lập nguy cơ lây lan ngang (Lateral Movement).
    4. Case mức độ nghiêm trọng cao (Severity: High) được mở trên TheHive.
  • Kết quả: Endpoint được ngắt ly khai khỏi mạng nội bộ sau 2.2 giây.

Kết quả đạt được

Hệ thống đã hoàn thành 100% các tính năng đề ra so với kế hoạch ban đầu:

Chỉ số / Tính năng Quy trình Xử lý Thủ công Hệ thống SOAR Tự động hóa Mức độ Cải thiện
Thời gian phản hồi (MTTR) 15 - 45 phút 1.5 - 3.2 giây Nhanh hơn ~98.8%
Khởi tạo Case & Log Tasks 5 - 10 phút (Thủ công) Tức thì (< 1 giây) Tự động hóa 100%
Thời gian làm giàu IOC (VirusTotal) 3 - 5 phút (Tra cứu tay) ~1.2 giây (Qua Cortex API) Giảm 99% thời gian tra cứu
Tỉ lệ sót cảnh báo (Alert Fatigue) ~25% trong giờ cao điểm 0% (Xử lý theo hàng đợi) Độ tin cậy tuyệt đối
Chi phí bản quyền phần mềm $30,000 - $80,000 / năm $0 USD Tiết kiệm 100%

Đổi mới và đóng góp

  1. Kiến trúc Tự động hóa Toàn diện 100% Mã nguồn mở: Đồ án đã chứng minh khả năng kết hợp các công cụ Open Source rời rạc (Wazuh, Shuffle, TheHive, Cortex) thành một hệ thống bảo mật cấp doanh nghiệp khép kín, hoạt động ổn định và có khả năng thay thế các giải pháp thương mại đắt đỏ.
  2. Cơ chế Phản hồi Lai (Hybrid Active Response): Không chỉ dừng lại ở việc phản ứng cục bộ tại Endpoint (qua agent daemon) hay chỉ phản ứng trên network, hệ thống kết hợp điều phối thông minh đa chiều: EDR bắt log $\rightarrow$ SOAR phân tích ngữ cảnh $\rightarrow$ Ra lệnh ngược lại cho EDR can thiệp sâu vào kernel/hệ điều hành.
  3. Quy trình Playbook tiêu chuẩn hóa: Xây dựng thành công 3 Playbooks chuẩn hóa có khả năng tái sử dụng cao, dễ dàng mở rộng thêm các kịch bản mới thông qua giao diện kéo-thả trực quan của Shuffle mà không cần lập trình lại lõi hệ thống.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

  • Trung tâm điều hành SOC cho doanh nghiệp SMEs: Giải quyết bài toán thiếu hụt nhân sự bảo mật; giúp 1-2 kỹ sư SOC có thể quản lý và giám sát hàng ngàn Endpoint mà không bị quá tải.
  • Cơ quan chính phủ / Tổ chức giáo dục: Nơi có yêu cầu nghiêm ngặt về chủ quyền dữ liệu và hạn chế về ngân sách bản quyền phần mềm nước ngoài.
       LỘ TRÌNH TRIỂN KHAI DOANH NGHIỆP (4 GIAI ĐOẠN)
[ Tuần 1-2: Setup Server ] ---> [ Tuần 3-4: Deploy Agent ] 
             |                                |
[ Tuần 7-8: Chuyển giao ] <--- [ Tuần 5-6: Playbook Tuning ]

Yêu cầu triển khai hệ thống

  • Phần cứng đề xuất (cho quy mô 500 - 1,000 Endpoints):
    • Wazuh Cluster (Manager + Indexer): 02 Server (Ubuntu 22.04 LTS), 8 Core CPU, 32GB RAM, 500GB SSD NVMe.
    • Shuffle & TheHive/Cortex: 01 Server (Ubuntu 22.04 LTS), 8 Core CPU, 16GB RAM, 200GB SSD.
  • Phần mềm: Docker CE 24.x, Docker Compose v2, OpenJDK 11/17, Python 3.10+.

Phân tích Chi phí - Lợi ích (ROI)

Với một doanh nghiệp quy mô 500 máy trạm, chi phí trang bị Splunk SOAR hoặc Cortex XSOAR ước tính dao động từ $40,000 đến $70,000/năm. Việc triển khai giải pháp dựa trên Wazuh + Shuffle + TheHive chỉ phát sinh chi phí duy trì hạ tầng máy chủ nội bộ hoặc Cloud (~$1,200 - $2,000/năm), đem lại tỷ suất hoàn vốn ROI > 90% ngay trong năm đầu tiên vận hành.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phụ thuộc vào chất lượng Rule: Hệ thống hoạt động dựa trên các bộ luật và ngưỡng kích hoạt (Rule-based). Nếu kẻ tấn công sử dụng các kỹ thuật Bypass tinh vi chưa có trong Rule, EDR sẽ không sinh cảnh báo để kích hoạt Playbook.
  • Giới hạn Rate-Limit API bên thứ ba: Tài khoản VirusTotal Public API bị giới hạn 4 requests/phút, có thể gây nghẽn hàng đợi phân tích nếu xảy ra bão cảnh báo (Alert Storm).
  • Nguy cơ chặn nhầm (False Positives): Việc tự động cô lập mạng hoặc chặn IP nếu bộ lọc rule chưa được tinh chỉnh chặt chẽ có thể gián đoạn hoạt động nghiệp vụ của người dùng thông thường.

Hướng phát triển trong tương lai

  • Tích hợp các mô hình ngôn ngữ lớn (LLMs/GenAI) vào Shuffle để phân tích ngữ cảnh cảnh báo, sinh tóm tắt báo cáo điều tra tự động.
  • Phát triển cơ chế tự động giải mã và phục hồi dữ liệu bị mã hóa bằng Volume Shadow Copy hoặc Snapshot lưu trữ an toàn.
  • Mở rộng tích hợp các nền tảng Threat Intelligence đa nguồn (như MISP, AlienVault OTX) để tăng cường độ chính xác khi làm giàu IOC.

Đối tượng hưởng lợi

mindmap
  root((Hệ sinh thái SOAR-EDR))
    Sinh viên & Nghiên cứu sinh
      Tài liệu tham khảo đồ án thực tế
      Mô hình Lab giả lập an toàn
    Kỹ sư SOC / SecOps
      Giảm 95% công việc chân tay
      Chuẩn hóa quy trình Playbook
    Doanh nghiệp & Tổ chức
      Tiết kiệm hàng chục ngàn USD bản quyền
      Tối ưu hóa năng lực bảo vệ Endpoint
    Chuyên gia An toàn thông tin
      Bộ khung mở rộng cho Threat Hunting
      Cộng đồng mã nguồn mở phát triển
  • Sinh viên & Nghiên cứu sinh An toàn Thông tin: Cung cấp tài liệu tham khảo chi tiết, kiến trúc chuẩn mực và hướng dẫn cài đặt từng bước cho các đồ án chuyên ngành ATTT, SOC, EDR.
  • Kỹ sư SOC / SecOps: Cung cấp các mẫu Playbook thực tế, giải phóng sức lao động, giảm thiểu áp lực trực ca và nguy cơ sai sót do con người.
  • Doanh nghiệp & Quản trị viên CNTT: Sở hữu một giải pháp bảo mật toàn diện, chi phí $0 bản quyền, bảo vệ tài sản số trước các cuộc tấn công mã độc có chủ đích.

Câu hỏi thường gặp

1. Cần chuẩn bị hạ tầng phần cứng tối thiểu như thế nào để thử nghiệm hệ thống?

Để thử nghiệm mô hình Lab đầy đủ, bạn cần tối thiểu 02 máy chủ (hoặc máy ảo) cấu hình:

  • Node 1 (Wazuh Server + Shuffle): 4 Core CPU, 16GB RAM, 50GB Disk.
  • Node 2 (TheHive + Cortex): 4 Core CPU, 8GB RAM, 40GB Disk.
  • Các máy ảo Endpoint (Windows 10, Ubuntu): 2 Core CPU, 4GB RAM.

2. Shuffle có đáp ứng được khi số lượng cảnh báo từ EDR tăng đột biến không?

Shuffle được thiết kế trên kiến trúc Microservices với Docker Swarm / Kubernetes. Khi tải tăng, bạn có thể cấu hình scale ngang số lượng Worker container để xử lý song song các hàng đợi công việc mà không làm nghẽn hệ thống.

3. Hệ thống có thể tích hợp với các SIEM/EDR khác ngoài Wazuh không?

Có. Shuffle hỗ trợ chuẩn OpenAPI và cung cấp hơn 2,000 ứng dụng tích hợp sẵn. Bạn hoàn toàn có thể kết nối Shuffle với Elastic SIEM, Splunk, Microsoft Defender for Endpoint, CrowdStrike hoặc Suricata thông qua Webhook và REST API.

4. Chi phí duy trì và bảo trì hệ sinh thái này gồm những gì?

Hệ thống sử dụng phần mềm mã nguồn mở hoàn toàn miễn phí giấy phép sử dụng. Chi phí duy nhất là chi phí hạ tầng máy chủ (On-premise hoặc Cloud AWS/Azure) và chi phí vận hành, bảo trì của đội ngũ kỹ sư nội bộ.

5. Làm thế nào để tránh việc Active Response chặn nhầm các dịch vụ quan trọng?

Cần thiết lập danh sách trắng (Whitelist IP/Subnet) trong cấu hình Wazuh Manager (<white_list> trong ossec.conf). Đồng thời, trong Playbook Shuffle, có thể chèn thêm nhánh điều kiện kiểm tra (Condition node) hoặc yêu cầu phê duyệt bán tự động (User Approval qua Email/Slack) đối với các máy chủ nghiệp vụ quan trọng trước khi thi hành lệnh ngắt mạng/block IP.

Kết luận

Đồ án "Nghiên cứu và xây dựng giải pháp tự động hóa ứng phó sự cố trong hệ thống phát hiện và phản hồi đầu cuối" của sinh viên Nguyễn Đức Sơn (PTIT) đã giải quyết thành công bài toán cấp thiết trong quản lý và vận hành an ninh mạng hiện đại. Bằng việc kết hợp sáng tạo giữa Wazuh EDR, Shuffle SOAR và TheHive/Cortex, dự án đã xây dựng thành công một trung tâm điều hành an ninh tự động hóa mạnh mẽ, giúp rút ngắn thời gian phản hồi sự cố từ hàng chục phút xuống chỉ còn vài giây, giảm thiểu tối đa rủi ro thiệt hại do mã độc gây ra.

Đây không chỉ là một công trình nghiên cứu tốt nghiệp xuất sắc mang tính học thuật cao mà còn là một bộ giải pháp hoàn chỉnh, có giá trị ứng dụng thực tiễn to lớn cho các tổ chức, doanh nghiệp trong hành trình xây dựng hệ thống phòng thủ không gian mạng tự động, chủ động và bền vững.