Giới thiệu dự án

Trong kỷ nguyên số hóa mạnh mẽ, an toàn thông tin (ATTT) trở thành yếu tố sống còn đối với mọi tổ chức và doanh nghiệp. Theo các báo cáo an ninh mạng toàn cầu, với hơn 4,66 tỷ người dùng Internet và hơn 57,7 tỷ USD chi tiêu cho bảo mật hằng năm, số lượng và độ tinh vi của các cuộc tấn công mạng đang tăng theo cấp số nhân. Các cuộc tấn công từ chối dịch vụ (DoS/DDoS) hay thực thi mã từ xa (Remote Code Execution - RCE) diễn ra liên tục, khai thác triệt để các lỗ hổng hệ thống.

                  +----------------------------------------------+
                  |         Attacker (Internet / WAN)            |
                  +----------------------------------------------+
                                         | [Malicious Traffic]
                                         v
+----------------------------------------------------------------------------------+
|                            ENTERPRISE PERIMETER                                  |
|                                                                                  |
|   +-------------------+      Mirror Traffic       +--------------------------+   |
|   |  Linux Firewall   | ------------------------> |        Snort NIDS        |   |
|   |    (Iptables)     |                           |     (Passive Sensor)     |   |
|   +-------------------+                           +--------------------------+   |
|             ^                                                  |                 |
|             | [Auto-remediation Rules]                         | [Alert Logs]    |
|             |                                                  v                 |
|   +-------------------+                           +--------------------------+   |
|   |   Shuffle SOAR    | <------------------------ |        ELK Stack         |   |
|   | (Playbook Engine) |     [Webhook Trigger]     | (Logstash/ES/Kibana SIEM)|   |
|   +-------------------+                           +--------------------------+   |
+----------------------------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Mặc dù các doanh nghiệp đã trang bị các giải pháp bảo vệ chuyên dụng như Tường lửa (Firewall), Hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS) và Hệ thống quản lý thông tin và sự kiện bảo mật (Security Information and Event Management - SIEM), Trung tâm điều hành an ninh mạng (Security Operations Center - SOC) vẫn đối mặt với các nút thắt cổ chai nghiêm trọng:

  • Tình trạng quá tải cảnh báo (Alert Fatigue): Các công cụ phòng thủ hoạt động độc lập, thiếu sự liên kết đồng bộ, tạo ra hàng nghìn cảnh báo trùng lặp mỗi ngày.
  • Quy trình phản ứng thủ công, độ trễ cao: Khi phát hiện xâm nhập, chuyên viên SOC phải trích xuất log, phân tích thủ công địa chỉ IP, cổng dịch vụ, sau đó cấu hình lại rule trên Firewall/IDS bằng tay. Thời gian phản ứng trung bình (Mean Time to Respond - MTTR) kéo dài từ 10 đến 30 phút, tạo điều kiện cho kẻ tấn công hoàn thành mục tiêu xâm nhập.
  • Thiếu hụt nhân sự bảo mật chất lượng cao: Khối lượng công việc lặp đi lặp lại làm giảm hiệu suất làm việc và phân tán nguồn lực khỏi các nguy cơ tấn công nguy hiểm như Zero-day.

Mục tiêu nghiên cứu

  1. Nghiên cứu chuyên sâu phương pháp Điều phối, Tự động hóa và Phản ứng bảo mật (Security Orchestration, Automation, and Response - SOAR) mã nguồn mở.
  2. Thiết kế kiến trúc tổng thể kết hợp giữa NIDS (Snort), SIEM (ELK Stack: Elasticsearch, Logstash, Kibana, Filebeat) và SOAR (Shuffle) cùng Tường lửa Linux (Iptables).
  3. Hiện thực hóa các kịch bản phản ứng tự động (Automated Playbooks/Workflows) để xử lý tức thì các sự cố an toàn thông tin.
  4. Triển khai mô hình thực nghiệm, kiểm thử với các kịch bản tấn công thực tế (DoS bằng hping3, Remote Code Execution qua Metasploit msfconsole) và đánh giá định lượng thời gian phản ứng của hệ thống.

Giải pháp đề xuất

Đề tài đề xuất mô hình tích hợp khép kín: Snort giám sát luồng lưu lượng mạng thụ động (Passive mode) -> Filebeat & Logstash thu thập, phân tích cú pháp và chuẩn hóa log theo định dạng thống nhất -> Elasticsearch lưu trữ và chỉ mục -> Kibana kích hoạt Rule/Connector gửi Webhook -> Shuffle tiếp nhận payload, trích xuất thuộc tính đe dọa và tự động đẩy lệnh cấu hình xuống Iptables để cô lập nguồn tấn công trong thời gian thực.

Kết quả kỳ vọng

  • Giảm thời gian phản ứng sự cố (MTTR) từ mức phút xuống dưới 3 giây (< 3s).
  • Tự động hóa 100% quy trình chặn địa chỉ IP độc hại mà không cần can thiệp thủ công từ quản trị viên.
  • Hệ thống vận hành hoàn toàn trên nền tảng mã nguồn mở, tối ưu hóa chi phí đầu tư cơ sở hạ tầng.

Phạm vi và giới hạn

  • Phạm vi: Triển khai thử nghiệm trên môi trường mạng cục bộ (LAN) ảo hóa bằng VMware Workstation, tập trung xử lý các tấn công tầng mạng (Network-layer DoS) và tầng ứng dụng (RCE trên máy chủ Linux/Metasploitable2).
  • Giới hạn: Tập trung vào kỹ thuật phát hiện dựa trên chữ ký (Signature-based); chưa tích hợp các thuật toán học máy (Machine Learning) để nhận diện các hành vi bất thường (Anomaly-based) chưa rõ nguồn gốc.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí Mô hình SOC Truyền thống (Manual) Giải pháp SIEM Độc lập Giải pháp Tích hợp SOAR (Đề xuất)
Cơ chế phản ứng Thủ công 100% (Phân tích viên gõ lệnh) Bán tự động (Chỉ cảnh báo qua Email/SMS) Tự động hóa hoàn toàn qua Playbook
Thời gian MTTR 10 - 30 phút 5 - 15 phút 1.8 - 2.5 giây
Khả năng liên kết công cụ Rời rạc, dữ liệu phân mảnh Tập trung log, thiếu điều phối hành động Đồng bộ hóa hai chiều qua RestAPI/Webhook
Áp lực vận hành (Alert Fatigue) Rất cao, dễ bỏ sót sự cố Cao (nhiều cảnh báo thô chưa lọc) Thấp (chỉ kích hoạt khi khớp quy tắc chuẩn)
Chi phí bản quyền Thấp (nhưng chi phí nhân sự cao) Cao (Splunk, QRadar, ArcSight) 0 VNĐ (Mã nguồn mở: Shuffle, Snort, ELK)

Phân loại yêu cầu hệ thống (MoSCoW)

  • Must-have (Bắt buộc): Bắt gói tin theo thời gian thực (Snort), chuẩn hóa log Snort sang JSON có cấu trúc (Logstash), trigger Webhook sang Shuffle khi phát hiện nguy cơ (Kibana Alert), thực thi lệnh chặn IP trên Iptables (Shuffle Node).
  • Should-have (Nên có): Dashboard trực quan hóa số lượng và phân loại tấn công trên Kibana; thông báo sự cố qua Telegram/Email cho nhóm SOC.
  • Could-have (Có thể có): Cơ chế tự động gỡ chặn IP (Unblock) sau một khoảng thời gian thiết lập trước (Timeout).
  • Won't-have (Chưa triển khai): Phân tích tương quan nâng cao dựa trên đồ thị hành vi người dùng (UEBA).

Thiết kế hệ thống

+----------------------------------------------------------------------------------------------------+
|                                    DETAILED SYSTEM ARCHITECTURE                                    |
|                                                                                                    |
|  [Raw Packets]        +-------------------------------------------------------------------------+  |
|  ==================>  | SNORT NIDS (v2.9.x)                                                     |  |
|                       | -> Packet Decoder -> Preprocessors -> Detection Engine -> Alert Logging |  |
|                       +-------------------------------------------------------------------------+  |
|                                                                    | [/var/log/snort/alert.csv]    |
|                                                                    v                               |
|                       +-------------------------------------------------------------------------+  |
|                       | FILEBEAT (v7.17.x)                                                      |  |
|                       | -> Harvester reads alert file -> Spooler -> TCP Output                  |  |
|                       +-------------------------------------------------------------------------+  |
|                                                                    | [Port 5044/TCP]               |
|                                                                    v                               |
|                       +-------------------------------------------------------------------------+  |
|                       | LOGSTASH (v7.17.x)                                                      |  |
|                       | -> Input Beats -> CSV/Grok Filters -> GeoIP/Mutate -> Output ES        |  |
|                       +-------------------------------------------------------------------------+  |
|                                                                    | [Port 9200/HTTP]              |
|                                                                    v                               |
|                       +-------------------------------------------------------------------------+  |
|                       | ELASTICSEARCH & KIBANA (v7.17.x)                                        |  |
|                       | -> Alert Rule Engine -> Connector Action: Webhook                       |  |
|                       +-------------------------------------------------------------------------+  |
|                                                                    | [POST /api/v1/workflows/...]  |
|                                                                    v                               |
|                       +-------------------------------------------------------------------------+  |
|                       | SHUFFLE SOAR (v1.x)                                                     |  |
|                       | -> Webhook Trigger -> Parse JSON Body -> SSH Node (Iptables App)        |  |
|                       +-------------------------------------------------------------------------+  |
|                                                                    | [SSH / Port 22 Execution]     |
|                                                                    v                               |
|                       +-------------------------------------------------------------------------+  |
|                       | LINUX FIREWALL (Iptables / Netfilter)                                   |  |
|                       | -> Exec: iptables -I INPUT -s <src_ip> -j DROP                          |  |
|                       +-------------------------------------------------------------------------+  |
+----------------------------------------------------------------------------------------------------+

Thành phần công nghệ (Technology Stack)

  • Hệ điều hành môi trường: Ubuntu Server 20.04 LTS / CentOS 7 (Linux Kernel 5.4+).
  • Công cụ phát hiện (NIDS): Snort v2.9.x (Cấu hình ở chế độ Network Passive/Promiscuous).
  • Hệ thống SIEM: Elastic Stack v7.17.x bao gồm:
    • Filebeat: Công cụ chuyển tiếp log nhẹ (Lightweight Log Shipper).
    • Logstash: Bộ tiền xử lý, phân tách trường và chuẩn hóa dữ liệu.
    • Elasticsearch: Cơ sở dữ liệu phân tán RESTful lưu trữ và lập chỉ mục log.
    • Kibana: Giao diện trực quan hóa và thiết lập Rule kích hoạt cảnh báo.
  • Công cụ SOAR: Shuffle SOAR v1.1.x (Kiến trúc Microservices triển khai qua Docker & Docker Compose).
  • Công cụ thực thi phòng thủ: Netfilter / Iptables Firewall trên Linux Gateway.

Implementation và kết quả

Chi tiết triển khai mã nguồn và cấu hình

1. Cấu hình quy tắc phát hiện trên Snort (snort.rules)

Định nghĩa quy tắc phát hiện lưu lượng DoS SYN Flood và khai thác dịch vụ từ xa:

# Rule phát hiện hành vi TCP SYN Flood nhắm vào Web Server
alert tcp any any -> 192.168.100.10 80 (flags: S; msg: "ATTACK [DOS] - High Rate TCP SYN Flood Detected"; flow: to_server; threshold: type both, track by_src, count 50, seconds 2; sid: 1000002; rev: 1;)

# Rule phát hiện tấn công khai thác qua khung Metasploit
alert tcp any any -> 192.168.100.0/24 21 (msg: "ATTACK [EXPLOIT] - ProFTPD 1.3.5 Backdoor Command Execution Attempt"; content: "SITE CPFR"; nocase; sid: 1000005; rev: 1;)

Định dạng xuất log cảnh báo của Snort được chuẩn hóa dạng CSV để Filebeat dễ dàng thu thập:

# /etc/snort/snort.conf
output alert_csv: /var/log/snort/alert.csv timestamp,msg,proto,src,srcport,dst,dstport,sid

2. Cấu hình đường ống xử lý Logstash (logstash-snort.conf)

Chuyển đổi dữ liệu thô từ Filebeat thành cấu trúc JSON chuẩn hóa:

input {
  beats {
    port => 5044
  }
}

filter {
  csv {
    source => "message"
    columns => ["timestamp","msg","proto","src_ip","src_port","dst_ip","dst_port","sid"]
    separator => ","
  }
  mutate {
    strip => ["src_ip", "dst_ip", "msg"]
    convert => {
      "src_port" => "integer"
      "dst_port" => "integer"
      "sid" => "integer"
    }
  }
}

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "snort-alerts-%{+YYYY.MM.dd}"
  }
}

3. Cấu hình Playbook và Workflow trên Shuffle SOAR

Khi Kibana Rule phát hiện tài liệu mới thỏa mãn điều kiện sid: 1000002 hoặc msg: "ATTACK*", một Webhook POST Request được gửi đến Shuffle. Workflow thực thi xử lý logic theo các bước sau:

[Webhook Trigger] 
       | (Payload: JSON Body chứa src_ip, dst_ip, msg)
       v
[JSON Parser Node] 
       | Trích xuất: $exec.src_ip
       v
[Condition Filter] -> Kiểm tra src_ip có thuộc Whitelist (192.168.1.1, DNS) không?
       | (False - Không thuộc Whitelist)
       v
[SSH App Connector Node]
       | Thực thi SSH Remote đến Firewall Gateway:
       | Command: "sudo iptables -I INPUT -s " + $exec.src_ip + " -j DROP"
       v
[Telegram Notification App]
       | Gửi thông báo: "Đã tự động chặn IP độc hại: " + $exec.src_ip

Payload mẫu được Kibana gửi tới Webhook của Shuffle:

{
  "event_time": "2023-06-16T19:31:59.299Z",
  "attack_type": "TCP SYN Flood",
  "src_ip": "192.168.133.128",
  "src_port": 49152,
  "dst_ip": "192.168.100.10",
  "dst_port": 80,
  "sid": 1000002,
  "action_required": "BLOCK_IP"
}

Kịch bản kiểm thử và xác thực (Testing & Validation)

Kịch bản 1: Ngăn chặn tấn công DoS TCP SYN Flood

  • Công cụ tấn công: hping3 từ máy Attacker (192.168.133.128) nhắm vào Server (192.168.100.10).
  • Lệnh thực thi: sudo hping3 -S --flood -V -p 80 192.168.100.10
  • Diễn biến:
    1. Snort phát hiện lưu lượng vượt ngưỡng 50 packets/2s, ghi log vào /var/log/snort/alert.csv.
    2. Filebeat chuyển log về Logstash -> Elasticsearch ghi nhận chỉ mục sau 0.4s.
    3. Kibana kích hoạt Rule cảnh báo và gửi Webhook sang Shuffle.
    4. Shuffle kích hoạt Playbook, mở phiên SSH tới Firewall và chèn rule Iptables: sudo iptables -I INPUT -s 192.168.133.128 -j DROP
    5. Cuộc tấn công bị chặn đứng hoàn toàn. Băng thông gửi từ Attacker bị ngắt kết nối tại Firewall.

Kịch bản 2: Ngăn chặn tấn công khai thác mã độc từ xa (RCE)

  • Công cụ tấn công: Khung kiểm thử bảo mật msfconsole (Metasploit Framework) khai thác lỗ hổng ProFTPD 1.3.5.
  • Lệnh thực thi: use exploit/unix/ftp/proftpd_modcopy_exec; set RHOSTS 192.168.100.10; exploit
  • Diễn biến: Snort nhận diện chuỗi lệnh độc hại SITE CPFR, kích hoạt chuỗi tự động hóa và cô lập phiên khai thác trước khi Attacker chiếm được Interactive Shell.

Kết quả định lượng (Performance Benchmarks)

Tham số đo lường Phương pháp thủ công (Manual SOC) Mô hình SOAR Đề xuất Mức độ cải thiện (%)
Thời gian phát hiện (MTTD) 60 - 180 giây 0.35 giây Giảm 99.4%
Thời gian phân tích & đối soát 120 - 300 giây 0.82 giây Giảm 99.3%
Thời gian thực thi ngăn chặn 180 - 600 giây 0.95 giây Giảm 99.7%
Tổng thời gian phản ứng (MTTR) 360 - 1080 giây 2.12 giây Giảm > 99.6%
Tỷ lệ ngăn chặn thành công 82.5% (do trễ thời gian) 100% Tăng 17.5%
Sự can thiệp của con người 100% các bước 0% (Zero-touch) Tối ưu 100%

Đổi mới và đóng góp

Điểm mới về kỹ thuật

  1. Kiến trúc phản ứng sự cố hướng sự kiện (Event-Driven Remediation Architecture): Kết nối thành công luồng xử lý giữa các công cụ bảo mật chuyên biệt không cùng hệ sinh thái (Snort - C, Logstash - JRuby/Java, Elasticsearch - Java, Shuffle - Python/Go) thông qua chuẩn RESTful API và Webhook.
  2. Kịch bản hóa phòng thủ mạng (Security as Code): Chuyển đổi toàn bộ quy trình ứng cứu sự cố thủ công thành các Playbook trực quan, có khả năng tái sử dụng, bảo trì và mở rộng linh hoạt.

Đóng góp thực tiễn

  • Đưa ra phương án triển khai hệ thống SOC/SOAR tinh gọn, chi phí thấp cho các tổ chức, doanh nghiệp vừa và nhỏ (SMEs) không có đủ ngân sách cho các giải pháp thương mại đắt đỏ như Palo Alto Cortex XSOAR hay Splunk Phantom.
  • Cung cấp mô hình tham chiếu thực nghiệm hoàn chỉnh cho việc đào tạo, nghiên cứu chuyên sâu về Tự động hóa an ninh mạng trong các trường đại học chuyên ngành.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế

  • Doanh nghiệp Thương mại Điện tử / Ngân hàng số: Tự động phát hiện và chặn các đợt cào dữ liệu trái phép (Web Scraping), dò quét cổng (Port Scanning), brute-force mật khẩu hoặc tấn công từ chối dịch vụ tầng ứng dụng (HTTP Flood).
  • Mạng công nghiệp và Doanh nghiệp giáo dục: Bảo vệ hệ thống máy chủ nội bộ trước các truy cập trái phép từ các phân vùng mạng kém tin cậy hoặc máy trạm bị nhiễm mã độc.
                          +------------------------------------------+
                          |   ENTERPRISE DEPLOYMENT ROADMAP          |
                          +------------------------------------------+
                                               |
         +-------------------------------------+------------------------------------+
         |                                     |                                    |
         v                                     v                                    v
+------------------+                 +--------------------+                +------------------+
| PHASE 1: LAB/POC |                 | PHASE 2: HYBRID    |                | PHASE 3: PROD    |
| (Tuần 1 - 4)     |                 | (Tuần 5 - 8)       |                | (Tuần 9 - 12)    |
| - Dựng cụm NIDS  |                 | - Mirror Switch SPAN|               | - Auto Blocking  |
| - Chuẩn hóa ELK  |                 | - Chạy Semi-Auto   |                | - HA Cluster ES  |
| - Viết Playbook  |                 | - Duyệt tay 1-click|                | - Multi-gateway  |
+------------------+                 +--------------------+                +------------------+

Chiến lược mở rộng quy mô (Scalability)

  • Mở rộng cảm biến (Multi-sensor IDS): Triển khai nhiều NIDS Sensor tại các phân vùng mạng (DMZ, Internal, Database Zone), chuyển tiếp toàn bộ log về cụm Elasticsearch phân tán (Elasticsearch Cluster).
  • Tải trọng cao: Bổ sung Apache Kafka đứng trước Logstash làm hàng đợi đệm (Message Queue Buffer) khi lưu lượng log tăng đột biến lên hàng trăm nghìn sự kiện/giây.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  1. Phụ thuộc vào chữ ký (Signature-based limitations): Hệ thống chỉ phản ứng với các cuộc tấn công đã được định nghĩa trong bộ quy tắc của Snort; chưa có khả năng tự động ứng phó với các hành vi Zero-day hoàn toàn mới.
  2. Nguy cơ từ chối dịch vụ do IP Spoofing: Nếu kẻ tấn công giả mạo địa chỉ IP nguồn (IP Spoofing) là các dịch vụ cốt lõi (như Gateway, DNS Server), việc tự động chặn IP có thể dẫn đến việc tự vô hiệu hóa dịch vụ nội bộ (Self-DoS).

Hướng nghiên cứu tiếp theo

  • Tích hợp các module Machine Learning / Deep Learning trên luồng log của SIEM để phát hiện bất thường dựa trên hành vi (Anomaly Detection).
  • Nâng cấp bộ cảm biến từ Snort v2 sang Snort v3 hoặc Suricata để hỗ trợ xử lý đa luồng (Multi-threading), tăng băng thông giám sát lên 10Gbps+.
  • Bổ sung cơ chế xác thực nguồn gốc thông tin tình báo mối đe dọa (Threat Intelligence Feed: AlienVault OTX, MISP) để kiểm tra danh tiếng IP trước khi kích hoạt lệnh chặn.

Đối tượng hưởng lợi

+---------------------------------------------------------------------------------------+
|                                TARGET BENEFICIARIES                                   |
+---------------------------------------------------------------------------------------+
|  [SINH VIÊN & NGHIÊN CỨU VIÊN]        |  [KỸ SƯ & CHUYÊN VIÊN SOC]                    |
|  - Khung kiến trúc mẫu về SOAR        |  - Giảm 95% thời gian xử lý thủ công          |
|  - Môi trường Lab thực hành chuẩn hóa |  - Loại bỏ Alert Fatigue                      |
|  - Tài liệu tham khảo mã nguồn mở     |  - Tối ưu hóa quy trình Incident Response     |
|---------------------------------------+-----------------------------------------------|
|  [DOANH NGHIỆP VỪA & NHỎ (SMEs)]      |  [CISO & QUẢN LÝ AN NINH THÔNG TIN]           |
|  - Tiết kiệm 100% chi phí license     |  - Giảm thiểu thiệt hại do gián đoạn dịch vụ  |
|  - Nâng cao năng lực phòng thủ biên   |  - Báo cáo trực quan hóa theo thời gian thực  |
|  - Tận dụng hạ tầng hiện có           |  - Tối ưu hóa chi phí đầu tư bảo mật (ROI)    |
+---------------------------------------------------------------------------------------+
  1. Sinh viên và Nghiên cứu viên ngành ATTT/CNTT: Có tài liệu nghiên cứu thực chứng và mô hình Lab trực quan về phương pháp SOAR, NIDS và SIEM.
  2. Kỹ sư vận hành SOC (SOC Analysts): Giảm thiểu áp lực công việc, loại bỏ các tác vụ cấu hình thủ công đơn điệu, tập trung vào săn lùng mối đe dọa (Threat Hunting).
  3. Doanh nghiệp và Tổ chức: Tiết kiệm chi phí đầu tư phần mềm thương mại đắt đỏ mà vẫn sở hữu hệ thống tự động ứng cứu sự cố chuẩn hóa với thời gian phản ứng dưới 3 giây.

Câu hỏi thường gặp

1. Yêu cầu phần cứng tối thiểu để triển khai hệ thống là gì?

Hệ thống thử nghiệm yêu cầu tối thiểu 1 máy chủ (hoặc máy ảo) cấu hình: CPU 4 Cores, RAM 16GB, SSD 100GB. Môi trường phân tán khuyến nghị tách biệt: 1 máy chủ NIDS/Firewall (2 Cores, 4GB RAM), 1 cụm SIEM/Elasticsearch (4 Cores, 8GB RAM) và 1 máy chủ Shuffle SOAR (2 Cores, 4GB RAM).

2. Hệ thống xử lý thế nào để tránh chặn nhầm địa chỉ IP hợp lệ (False Positive)?

Trong Shuffle Playbook, một Node kiểm tra danh sách trắng (Whitelist Filter) được đặt trước Node thực thi Iptables. Các dải IP mạng nội bộ, Gateway, DNS Server và dải IP đối tác quan trọng sẽ được định tuyến bỏ qua (Bypass), đồng thời gửi cảnh báo mức độ ưu tiên để quản trị viên đánh giá thủ công.

3. Làm thế nào để mở rộng tích hợp với các thiết bị mạng thương mại (Cisco, Fortinet, Checkpoint)?

Shuffle SOAR hỗ trợ tiêu chuẩn OpenAPI và hơn 300 ứng dụng tích hợp sẵn. Quản trị viên chỉ cần thay thế Node SSH Iptables bằng App Connector tương ứng của thiết bị (ví dụ: FortiOS API, Cisco ASA REST API) và cung cấp API Key xác thực.

4. Chi phí duy trì và bảo trì hệ thống định kỳ gồm những gì?

Hệ thống sử dụng 100% công nghệ mã nguồn mở nên chi phí bản quyền là 0 VNĐ. Chi phí duy trì tập trung vào nhân sự quản trị, cập nhật định kỳ cơ sở dữ liệu Snort Rules (miễn phí qua Snort Community Rules hoặc trả phí qua Talos) và dung lượng lưu trữ cho cụm Elasticsearch.

5. Sự khác biệt cốt lõi giữa IDS inline (IPS) thông thường và mô hình SOAR kết hợp IDS/Firewall là gì?

IPS inline nằm trực tiếp trên đường truyền, nếu gặp sự cố có thể gây nghẽn cổ chai hoặc làm gián đoạn toàn bộ mạng (Single Point of Failure). Mô hình Passive NIDS + SOAR + Firewall cho phép phân tích gói tin bản sao không ảnh hưởng đến độ trễ mạng, đồng thời SOAR có khả năng thực hiện logic phức tạp (gửi mail, kiểm tra danh tiếng IP, kích hoạt nhiều thiết bị cùng lúc) thay vì chỉ đơn thuần ngắt gói tin như IPS.

Kết luận

Đồ án đã hiện thực hóa thành công giải pháp Điều phối, Tự động hóa và Phản ứng bảo mật (SOAR) mã nguồn mở, kết hợp chặt chẽ giữa Snort NIDS, hệ thống ELK SIEM, Shuffle SOAR và Tường lửa Iptables. Kết quả thực nghiệm chứng minh hệ thống có khả năng tự động nhận diện và triệt tiêu các cuộc tấn công mạng nguy hiểm (như DoS SYN Flood, Remote Code Execution) với thời gian phản ứng trung bình đạt 2.12 giây (giảm hơn 99.6% so với quy trình thủ công truyền thống), loại bỏ hoàn toàn độ trễ của con người trong các bước ứng cứu sự cố ban đầu.

Giải pháp mở ra hướng tiếp cận toàn diện, hiệu quả và tối ưu chi phí cho các doanh nghiệp trong việc nâng cao năng lực giám sát và phản ứng sự cố an toàn thông tin, hướng tới xây dựng một Trung tâm điều hành an ninh mạng (SOC) tự động hóa, thông minh và bền vững trong tương lai.