Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của công nghệ thông tin đã thúc đẩy các cá nhân, tổ chức và doanh nghiệp chuyển dịch toàn bộ cơ sở hạ tầng, dịch vụ sản xuất và kinh doanh lên không gian mạng. Tính đến năm 2021, toàn cầu đã ghi nhận khoảng 4,66 tỷ người sử dụng Internet tích cực cùng với tổng mức chi tiêu cho lĩnh vực an ninh mạng đạt khoảng 57,7 tỷ USD. Tuy nhiên, cùng với quy mô mở rộng này, các mối đe dọa an ninh mạng ngày càng gia tăng cả về mức độ tinh vi lẫn tần suất tấn công. Các tổ chức cung cấp dịch vụ trực tuyến và sở hữu cơ sở dữ liệu lớn trở thành mục tiêu hàng đầu của các đối tượng tấn công nhằm phá hoại hoặc đánh cắp dữ liệu.

Để bảo vệ hạ tầng mạng, các tổ chức thường áp dụng các giải pháp phòng thủ truyền thống như tường lửa (Firewall), hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), cùng các giải pháp quản lý sự kiện và thông tin bảo mật (SIEM). Dù vậy, những giải pháp này tồn tại giới hạn cố hữu: chúng hoạt động dựa trên các mẫu nhận dạng (signature) đã biết, không thể tự động thích ứng với các mối đe dọa mới hoặc tấn công chưa biết (zero-day), và yêu cầu phải cấu hình, cập nhật quy tắc (rule) thủ công liên tục.

Trong môi trường vận hành thực tế của các Trung tâm Điều hành An ninh mạng (SOC), các kỹ sư và giám sát viên phải đối mặt với tình trạng quá tải nghiêm trọng do khối lượng cảnh báo bảo mật quá lớn, nhiều cảnh báo trùng lặp từ các công cụ hoạt động độc lập, thiếu tầm nhìn tập trung và quy trình phản ứng thủ công tốn nhiều thời gian. Sự phụ thuộc vào thao tác thủ công khiến thời gian phản hồi (MTTR - Mean Time to Response) bị kéo dài và làm giảm năng lực của đội ngũ SOC trong việc tập trung xử lý các mối đe dọa chuyên sâu. Xuất phát từ thực tế đó, đề tài khóa luận tập trung nghiên cứu, thiết kế và triển khai giải pháp kết hợp giữa Điều phối, Tự động hoá và Phản ứng bảo mật (SOAR) với các công cụ bảo mật sẵn có nhằm tự động hóa quy trình phát hiện, phân tích và ngăn chặn các cuộc tấn công mạng.

Nhiệm vụ và mục tiêu nghiên cứu của khóa luận được xác định cụ thể qua 4 nội dung:

  1. Tìm hiểu về giải pháp Điều phối, Tự động hóa và Phản ứng bảo mật (Security Orchestration, Automation, and Response — SOAR).
  2. Thiết kế giải pháp điều phối, tự động hóa và phản ứng bảo mật kết hợp với hệ thống phát hiện xâm nhập (IDS) nhằm giảm thiểu các mối đe dọa cho hệ thống mạng.
  3. Triển khai hiện thực hóa giải pháp SOAR kết hợp với hệ thống phát hiện xâm nhập đã thiết kế trên môi trường mạng thực nghiệm.
  4. Thực hiện kiểm thử, đánh giá hiệu năng của hệ thống qua các kịch bản tấn công thực tế và đưa ra kết luận, đề xuất hướng phát triển.

Đối tượng và phạm vi nghiên cứu của đề tài bao gồm:

  • Đối tượng nghiên cứu: Các công cụ mã nguồn mở trong giám sát và phản ứng an toàn thông tin, bao gồm công cụ SOAR (Shuffle), hệ thống phát hiện xâm nhập mạng (Snort IDS), hệ thống quản lý log và sự kiện (ELK Stack: Elasticsearch, Logstash, Kibana kết hợp Filebeat), và tường lửa máy chủ Linux (Iptables).
  • Phạm vi nghiên cứu: Hệ thống mạng mô phỏng gồm 8 máy ảo được cấu hình và vận hành trên nền tảng ảo hóa VMware Workstation tại Phòng thí nghiệm An toàn thông tin (Inseclab) thuộc Trường Đại học Công nghệ Thông tin – ĐHQG TP.HCM. Phạm vi kiểm thử tập trung vào việc ngăn chặn hai hình thức tấn công điển hình: tấn công từ chối dịch vụ (DoS) bằng công cụ hping3 và tấn công khai thác lỗ hổng thực thi mã từ xa (RCE) qua công cụ msfconsole trên máy chủ mục tiêu Metasploitable2.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khóa luận xây dựng nền tảng nghiên cứu dựa trên các khái niệm, khung tiêu chuẩn bảo mật và các công nghệ nguồn mở chuyên dụng:

  • Khung khái niệm SOAR (theo Gartner): Định nghĩa SOAR là tập hợp các công nghệ cho phép tổ chức thu thập dữ liệu và cảnh báo từ nhiều nguồn, mã hóa quy trình xử lý sự cố thành các luồng công việc kỹ thuật số (digital workflows/playbooks) và tự động hóa các hành động phản ứng sự cố mà không cần sự can thiệp thủ công của con người. Ba thành phần cốt lõi của SOAR bao gồm:
    • Điều phối (Orchestration): Khả năng kết nối và điều phối hành động giữa các công cụ bảo mật độc lập thông qua giao diện lập trình ứng dụng (API).
    • Tự động hóa (Automation): Thực thi tự động các chuỗi hành động dựa trên các kịch bản bảo mật (playbooks/workflows) được thiết lập sẵn bằng giao diện trực quan hoặc mã lập trình (Python).
    • Phản ứng sự cố (Incident Response): Tự động cô lập tệp tin độc hại, chặn cổng, khóa địa chỉ IP và cập nhật danh sách quy tắc trên thiết bị phòng thủ.
  • Hệ thống phát hiện xâm nhập (IDS theo chuẩn NIST): Sử dụng phương pháp phát hiện dựa trên chữ ký (Signature-based) và triển khai dưới dạng Network-based IDS (NIDS) ở chế độ thụ động (Passive mode). NIDS lắng nghe bản sao lưu lượng mạng được chuyển tiếp từ Switch để phân tích gói tin mà không làm gián đoạn đường truyền dữ liệu thực tế.
  • Hệ thống SIEM (Security Information and Event Management): Kết hợp giữa Quản lý thông tin bảo mật (SIM) và Quản lý sự kiện bảo mật (SEM). SIEM thu thập, chuẩn hóa định dạng các bản ghi nhật ký (log) thô từ IDS, sắp xếp tương quan sự kiện và phát tín hiệu kích hoạt (trigger/webhook) sang SOAR.
  • Cơ chế lọc gói tin Linux Netfilter / Iptables: Sử dụng cấu trúc lọc gói phân tầng gồm các Bảng (Filter, NAT, Mangle, Raw, Security), các Chuỗi (PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING) và các Hành động mục tiêu (ACCEPT, DROP, REJECT, LOG).

Về mặt phương pháp nghiên cứu, tác giả áp dụng phương pháp nghiên cứu tài liệu lý thuyết kết hợp với phương pháp thực nghiệm thiết kế hệ thống kỹ thuật:

  • Khảo sát các công trình nghiên cứu đi trước, đặc biệt là nghiên cứu của Jay Johnson và cộng sự về ứng dụng SOAR trong bảo vệ hệ thống tài nguyên năng lượng phân tán (DER) sử dụng Zeek, Snort và syslog. Khóa luận kế thừa ý tưởng tích hợp IDS - SIEM - SOAR nhưng điều chỉnh mô hình để áp dụng trực tiếp cho việc bảo vệ hệ thống mạng doanh nghiệp và tự động điều khiển tường lửa Iptables/Snort.
  • Phương pháp xây dựng mô hình thực nghiệm: Triển khai các thành phần trên môi trường ảo hóa, tích hợp luồng dữ liệu giữa Filebeat, Logstash, Elasticsearch, Kibana Alerting Rule, Shuffle Webhook và Iptables Scripting.
  • Phương pháp kiểm thử thực chứng: Thực hiện tấn công thử nghiệm từ máy tấn công (Attacker), ghi nhận log sự kiện, theo dõi thời gian kích hoạt workflow của Shuffle và xác minh trạng thái chặn gói tin trên tường lửa.

Phân tích thiết kế và triển khai hệ thống

Kiến trúc tổng quan của giải pháp

Hệ thống được thiết kế theo mô hình 4 khối chức năng liên kết khép kín, đặt SOAR làm trung tâm điều phối hành động phản ứng:

Thành phần Công nghệ sử dụng Vai trò và chức năng chính trong hệ thống
Cảm biến giám sát (IDS) Snort Bắt bản sao gói tin qua libpcap ở chế độ Passive, phân tích giải mã giao thức, so khớp với tập luật (rules), phát cảnh báo (alert) và ghi log thô dạng CSV/Syslog.
Thu thập & Chuẩn hóa (SIEM) ELK Stack (Filebeat, Logstash, Elasticsearch, Kibana) Filebeat đọc log từ Snort; Logstash bóc tách và chuẩn hóa các trường (src_ip, dst_ip, src_port, dst_port, msg); Elasticsearch lưu trữ và đánh chỉ mục; Kibana tạo Rule và Connector gửi thông tin tấn công qua Webhook.
Điều phối & Tự động hóa (SOAR) Shuffle Nhận dữ liệu JSON từ Webhook Trigger của Kibana, phân tích nội dung cảnh báo, gán biến dữ liệu (Variables) và thực thi Workflow điều khiển từ xa (Remote Execution).
Ngăn chặn (Firewall) Iptables Tiếp nhận lệnh thực thi từ Shuffle để bổ sung quy tắc DROP, chặn triệt để địa chỉ IP và cổng dịch vụ của kẻ tấn công ngay tại lớp mạng.

Quy trình luồng hoạt động của hệ thống

Quy trình tự động hóa từ phát hiện đến ngăn chặn sự cố an ninh mạng được thực hiện tuần tự qua 6 bước:

[Kẻ tấn công] ---> [Tường lửa / Switch] ---> [Mạng LAN nội bộ]
                           |
                     (Bản sao gói tin)
                           v
                     [Snort IDS] (Phát hiện & Ghi log)
                           v
                     [Filebeat -> Logstash -> Elasticsearch] (Chuẩn hóa log)
                           v
                     [Kibana Alerting] (Kích hoạt Webhook)
                           v
                     [Shuffle SOAR] (Thực thi Workflow)
                           v
                     [Iptables Firewall] (Tự động thêm rule DROP IP tấn công)
  1. Bước 1 (Tiếp nhận lưu lượng): Lưu lượng mạng từ bên ngoài đi qua Firewall và Switch để vào mạng LAN. Switch chuyển tiếp một bản sao lưu lượng sang máy chủ Snort IDS.
  2. Bước 2 (Phát hiện và ghi log): Snort lắng nghe ở chế độ Passive. Khi gói tin trùng khớp với signature tấn công, Module phát hiện kích hoạt cảnh báo, ghi log thô chứa thông tin gói tin.
  3. Bước 3 (Thu thập và chuẩn hóa): Filebeat đọc file log của Snort và đẩy về Logstash. Logstash phân tích cú pháp, trích xuất cấu trúc các trường thông tin (@timestamp, datetime, msg, src_ip, src_port, dst_ip, dst_port) và lưu vào Elasticsearch.
  4. Bước 4 (Phát cảnh báo tích hợp): Kibana định kỳ kiểm tra các chỉ mục log. Khi có sự kiện thỏa mãn điều kiện quy tắc cảnh báo (Alert Rule), Kibana Connector đóng gói thông tin tấn công thành cấu trúc JSON và gửi HTTP POST request tới Webhook Trigger của Shuffle.
  5. Bước 5 (Kích hoạt Workflow phản ứng): Shuffle nhận dữ liệu, giải mã các biến JSON (src_ip, loại tấn công) và kích hoạt Workflow tương ứng.
  6. Bước 6 (Tự động cấu hình tường lửa): Shuffle sử dụng hành động SSH Remote thực thi lệnh ghi thêm quy tắc trên máy chủ Firewall, áp dụng mục tiêu DROP đối với IP nguồn của kẻ tấn công trên Iptables hoặc cập nhật rule Snort, từ đó chặn đứng hoàn toàn cuộc tấn công.

Nội dung chính theo từng chương của khóa luận

Chương 1: Tổng quan đề tài

Chương 1 làm rõ tính cấp thiết của việc áp dụng giải pháp Điều phối, Tự động hóa và Phản ứng bảo mật (SOAR) trong bối cảnh các cuộc tấn công mạng gia tăng về số lượng và độ phức tạp. Tác giả chỉ ra các hạn chế của mô hình vận hành bảo mật thủ công truyền thống, xác định 4 mục tiêu nghiên cứu cụ thể, phạm vi ứng dụng các công cụ mã nguồn mở (Shuffle, Snort, ELK, Iptables) và bố cục tổng thể gồm 5 chương của khóa luận.

Chương 2: Kiến thức nền tảng

Chương 2 trình bày có hệ thống các cơ sở lý thuyết và công nghệ cốt lõi:

  • Giải pháp SOAR: Phân tích định nghĩa của Gartner, cấu trúc 3 thành phần (Orchestration, Automation, Incident Response) và các chỉ số đo lường MTTD, MTTR; giới thiệu kiến trúc Shuffle dựa trên OpenAPI, tiêu chuẩn WALKOFF, cấu trúc App, Trigger và Variable.
  • Hệ thống IDS: Phân loại Signature-based và NIDS (Inline vs. Passive); phân tích 5 module kiến trúc của Snort (giải mã gói tin pcap, tiền xử lý phân mảnh và giải mã giao thức, phát hiện theo luật, ghi log/cảnh báo, kết xuất thông tin) và cấu trúc một Snort rule (header và options).
  • Hệ thống SIEM và ELK Stack: Trình bày vai trò gom log, tương quan sự kiện; cơ chế hoạt động của Elasticsearch (lưu trữ phân tích), Logstash (thu thập xử lý) và Kibana (trực quan hóa dữ liệu).
  • Tường lửa Iptables: Phân tích nguyên lý packet filtering của Netfilter Linux với 5 bảng (Filter, NAT, Mangle, Raw, Security), 5 chuỗi (PREROUTING, INPUT, OUTPUT, FORWARD, POSTROUTING) và 4 hành động mục tiêu (ACCEPT, DROP, REJECT, LOG).
  • Nghiên cứu liên quan: Tổng thuật mô hình bảo vệ tài nguyên năng lượng phân tán (DER) của Jay Johnson và nghiên cứu của Upendra Bartwal, rút ra cơ sở để xây dựng mô hình tích hợp bảo vệ hệ thống mạng trong khóa luận.

Chương 3: Phân tích thiết kế hệ thống

Chương 3 tập trung thuyết minh giải pháp kiến trúc tổng thể của hệ thống phòng thủ tự động. Tác giả phân tích chi tiết vai trò của từng mắt xích: Snort IDS đóng vai trò cảm biến thụ động; ELK Stack đóng vai trò chuẩn hóa và trích xuất dữ liệu có cấu trúc từ log thô dạng CSV; Shuffle SOAR đóng vai trò hạt nhân tiếp nhận tín hiệu và điều phối hành động; Iptables đóng vai trò điểm thực thi ngăn chặn. Chương này xây dựng chi tiết luồng hoạt động 6 bước khép kín từ lúc phát sinh tấn công đến khi tường lửa kích hoạt thành công rule ngăn chặn.

Chương 4: Hiện thực và đánh giá hệ thống

Chương 4 mô tả toàn bộ quá trình hiện thực hóa mô hình trên môi trường ảo hóa VMware Workstation gồm 8 máy ảo: máy Attacker, máy Firewall (Iptables), máy Switch trung gian, máy IDS (Snort), máy SIEM (ELK Stack), máy SOAR (Shuffle) và 2 máy chủ dịch vụ mạng nội bộ (trong đó có máy chứa lỗ hổng Metasploitable2). Tác giả trình bày cấu hình Filebeat, Logstash, Alert Rules trên Kibana, cấu hình Workflow trên Shuffle và tiến hành thử nghiệm trên 2 kịch bản tấn công: DoS bằng hping3 và RCE bằng msfconsole.

Chương 5: Kết luận và hướng phát triển

Chương cuối tổng kết toàn bộ các kết quả đạt được về mặt thiết kế và triển khai giải pháp SOAR kết hợp IDS/SIEM/Firewall; đánh giá ưu điểm về khả năng tự động hóa phản ứng giúp giảm tải cho nhóm SOC và chỉ ra các hạn chế kỹ thuật cùng các hướng nghiên cứu mở rộng trong tương lai.

Kết quả thực nghiệm và đóng góp của đề tài

Kết quả kiểm thử trên các kịch bản thực tế

Giải pháp đã được triển khai và kiểm thử thành công trên hai kịch bản tấn công điển hình:

  1. Kịch bản 1: Tấn công từ chối dịch vụ (DoS) bằng hping3

    • Diễn biến: Kẻ tấn công sử dụng công cụ hping3 gửi lượng lớn gói tin TCP SYN bất thường vào hệ thống mạng nội bộ.
    • Phản ứng của hệ thống: Snort phát hiện gói tin trùng khớp với signature tấn công DoS, phát cảnh báo BAD-TRAFFIC tcp port 0 và ghi log. Filebeat gửi log về Logstash, Logstash bóc tách các trường dữ liệu và chuyển về Elasticsearch. Kibana kích hoạt Rule cảnh báo và gửi thông tin qua Webhook tới Shuffle. Shuffle kích hoạt Workflow DoS, tự động kết nối SSH tới máy Firewall và chèn quy tắc Iptables để chặn IP của Attacker.
    • Kết quả: Cuộc tấn công DoS bị ngắt hoàn toàn ngay sau khi Iptables nạp rule DROP, bảo vệ an toàn cho tài nguyên máy chủ mạng nội bộ.

  2. Kịch bản 2: Tấn công thực thi mã từ xa (RCE) bằng msfconsole

    • Diễn biến: Kẻ tấn công sử dụng framework Metasploit (msfconsole) khai thác lỗ hổng bảo mật trên máy chủ dịch vụ Metasploitable2 nhằm chiếm quyền điều khiển hệ thống (/bin/sh).
    • Phản ứng của hệ thống: Snort phát hiện gói tin chứa payload thực thi mã từ xa, ghi log cảnh báo xâm nhập. Hệ thống ELK tiếp nhận, chuẩn hóa log và gửi cảnh báo sang Shuffle qua Kibana Connector. Shuffle thực thi Workflow tương ứng, kích hoạt hành động phản ứng từ xa để cập nhật quy tắc ngăn chặn trên Firewall/Snort.
    • Kết quả: Phiên khai thác bị ngắt kết nối, kẻ tấn công không thể tiếp tục chiếm quyền điều khiển trên máy chủ mục tiêu.

Đóng góp của đề tài

  • Tự động hóa toàn diện quy trình ứng phó sự cố: Xây dựng thành công quy trình khép kín từ khâu phát hiện (Snort), chuẩn hóa dữ liệu (ELK), xử lý logic phản ứng (Shuffle) đến ngăn chặn vật lý/logic (Iptables) mà không cần sự can thiệp thủ công của quản trị viên.
  • Giảm thiểu thời gian phản hồi sự cố (MTTR): Việc thay thế quy trình cập nhật rule thủ công bằng digital workflow giúp rút ngắn đáng kể thời gian phản ứng trước các cuộc tấn công mạng đã nhận diện.
  • Tối ưu hóa nguồn lực cho Trung tâm SOC: Giúp giảm thiểu tình trạng báo động trùng lặp và giảm tải khối lượng công việc lặp đi lặp lại cho đội ngũ giám sát an toàn thông tin, cho phép nhân sự tập trung vào phân tích các nguy cơ phức tạp hơn.
  • Khả năng ứng dụng thực tiễn cao từ mã nguồn mở: Toàn bộ giải pháp được xây dựng dựa trên các công cụ mã nguồn mở (Shuffle, Snort, ELK Stack, Iptables), giúp các tổ chức và doanh nghiệp có thể tham khảo, triển khai với chi phí phần mềm tối ưu.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của hệ thống

  • Phụ thuộc vào cơ sở dữ liệu mẫu nhận dạng (Signature): Hệ thống sử dụng Snort Signature-based IDS nên hiệu quả phát hiện phụ thuộc hoàn toàn vào tập rule có sẵn; chưa có khả năng tự động nhận diện và phản ứng đối với các cuộc tấn công zero-day hoặc các biến thể tấn công chưa từng được ghi nhận trong database.
  • Rủi ro cảnh báo sai (False Positive / False Negative): Trong trường hợp IDS xác định sai (dương tính giả), hệ thống SOAR có thể tự động chặn nhầm lưu lượng hợp lệ của người dùng, gây gián đoạn dịch vụ; ngược lại, âm tính giả sẽ khiến cuộc tấn công vượt qua hàng rào phòng thủ mà không kích hoạt phản ứng.
  • Quy mô thực nghiệm giới hạn: Hệ thống mới được triển khai và đánh giá trên môi trường mạng ảo hóa cục bộ (VMware Workstation) với 8 máy ảo và 2 kịch bản tấn công mẫu (DoS và RCE), chưa kiểm thử trên hệ thống mạng thực tế quy mô lớn có lưu lượng truyền tải cao và kiến trúc mạng phức tạp.

Hướng nghiên cứu tiếp

  • Bổ sung các kỹ thuật phát hiện bất thường (Anomaly-based IDS): Tích hợp các thuật toán học máy (Machine Learning / Deep Learning) vào hệ thống phát hiện để phân tích hành vi lưu lượng, hỗ trợ nhận diện các cuộc tấn công chưa biết (zero-day).
  • Mở rộng kịch bản bảo mật (Playbooks/Workflows): Xây dựng thêm các kịch bản phản ứng đa dạng cho Shuffle như xử lý tấn công vét cạn mật khẩu (SSH Brute-force), tấn công mạo danh địa chỉ ARP (ARP Spoofing), mã độc tống tiền (Ransomware) và quét cổng thăm dò (Port Scanning).
  • Đa dạng hóa tích hợp thiết bị đầu cuối: Mở rộng khả năng điều phối của Shuffle sang nhiều dòng tường lửa phần cứng chuyên dụng, các thiết bị cân bằng tải, hệ thống EDR (Endpoint Detection and Response) và các dịch vụ mạng đám mây.

Giá trị tham khảo

Báo cáo khóa luận là tài liệu tham khảo kỹ thuật hữu ích cho:

  • Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính và Công nghệ thông tin: Cung cấp tài liệu chi tiết về cách xây dựng, liên kết các công cụ bảo mật nguồn mở phổ biến (Snort, ELK Stack, Shuffle SOAR, Iptables) thành một hệ thống giám sát và phản ứng hoàn chỉnh.
  • Kỹ sư vận hành Trung tâm SOC và Quản trị mạng: Tham khảo kiến trúc luồng dữ liệu, phương pháp chuẩn hóa log IDS qua Logstash, cách thiết lập Webhook cảnh báo từ Kibana sang SOAR và xây dựng Workflow phản ứng tự động trên Shuffle.
  • Các nhóm nghiên cứu đề tài an ninh mạng: Cung cấp mô hình mạng thực nghiệm 8 máy ảo và phương pháp kiểm thử an toàn thông tin trên môi trường máy chủ chứa lỗ hổng Metasploitable2.

Câu hỏi thường gặp

1. Vì sao hệ thống cần tích hợp thêm ELK Stack (SIEM) giữa Snort IDS và Shuffle SOAR thay vì gửi trực tiếp log từ Snort sang Shuffle?
Trả lời: Log thô sinh ra từ Snort IDS thường ở dạng văn bản hoặc CSV không đồng nhất, khó bóc tách trực tiếp các trường thông tin cần thiết. ELK Stack (thông qua Filebeat và Logstash) thực hiện nhiệm vụ chuẩn hóa cú pháp, trích xuất chính xác các trường dữ liệu quan trọng (src_ip, dst_ip, src_port, dst_port, msg) và lưu vào Elasticsearch. Kibana đóng vai trò phân tích, kiểm tra điều kiện quy tắc cảnh báo để đóng gói dữ liệu thành định dạng JSON chuẩn và kích hoạt Webhook gửi sang Shuffle một cách chính xác.

2. Công cụ SOAR Shuffle giao tiếp và điều khiển các thành phần khác trong hệ thống bằng cơ chế nào?
Trả lời: Shuffle hoạt động dựa trên các tiêu chuẩn WebAPI và OpenAPI. Hệ thống tiếp nhận thông tin cảnh báo đầu vào thông qua các Webhook Trigger dưới dạng dữ liệu JSON, sau đó gán dữ liệu vào các Biến (Variables) và thực thi Workflow để gửi lệnh điều khiển từ xa (qua giao thức SSH/Remote Execution Action) nhằm cập nhật quy tắc trên máy chủ Tường lửa (Iptables) hoặc cấu hình Snort.

3. Tường lửa Iptables thực hiện hành động gì để ngăn chặn cuộc tấn công sau khi nhận lệnh từ Shuffle?
Trả lời: Khi nhận được thông tin về địa chỉ IP và cổng của kẻ tấn công từ Workflow của Shuffle, lệnh thực thi từ xa sẽ chèn một quy tắc mới vào chuỗi phù hợp (như chuỗi INPUT hoặc FORWARD) của bảng Filter Table trên Iptables với hành động mục tiêu là DROP, từ đó loại bỏ toàn bộ các gói tin phát sinh từ IP của kẻ tấn công mà không phản hồi.

4. Mô hình thực nghiệm trong khóa luận được triển khai trên quy mô phần cứng và môi trường mạng như thế nào?
Trả lời: Hệ thống được triển khai trên nền tảng ảo hóa VMware Workstation tại Phòng thí nghiệm An toàn thông tin (Inseclab) thuộc Trường ĐH Công nghệ Thông tin – ĐHQG TP.HCM, bao gồm 8 máy ảo phân chia theo các vùng mạng: 1 máy Attacker, 1 máy Firewall (Iptables), 1 máy Switch chuyển tiếp, 1 máy Snort IDS (chế độ Passive), 1 máy ELK Stack (SIEM), 1 máy Shuffle (SOAR) và 2 máy chủ dịch vụ mạng nội bộ (gồm máy chủ lỗ hổng Metasploitable2).

5. Điểm khác biệt chính giữa giải pháp của tác giả và mô hình SOAR của nhóm tác giả Jay Johnson là gì?
Trả lời: Nhóm tác giả Jay Johnson xây dựng hệ thống SOAR chuyên biệt để bảo vệ tài nguyên năng lượng phân tán (DER) với các kịch bản đặc thù như giám sát giao thức Modbus, Zeek log và dữ liệu điện áp của biến tần (inverter). Trong khi đó, tác giả khóa luận kế thừa nguyên lý tích hợp IDS - SIEM - SOAR nhưng tái cấu trúc mô hình để bảo vệ hạ tầng mạng doanh nghiệp tổng quát, kết hợp công cụ Shuffle SOAR với Snort IDS, ELK Stack và tường lửa Iptables nhằm xử lý các cuộc tấn công mạng kinh điển như DoS và RCE.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Duy Thành đã nghiên cứu và hiện thực hóa thành công mô hình phòng thủ an ninh mạng tự động hóa dựa trên việc kết hợp giải pháp SOAR (Shuffle), hệ thống phát hiện xâm nhập (Snort IDS), hệ thống quản lý thông tin sự kiện (ELK Stack) và tường lửa (Iptables). Kết quả thử nghiệm trên môi trường mạng ảo hóa chứng minh hệ thống có khả năng tự động phát hiện, chuẩn hóa dữ liệu cảnh báo và kích hoạt quy tắc chặn đứng hiệu quả các cuộc tấn công DoS và thực thi mã từ xa (RCE). Đề tài đóng góp một mô hình tham khảo khả thi về mặt kỹ thuật, giúp tối ưu hóa thời gian phản ứng sự cố và giảm áp lực vận hành thủ công cho các trung tâm giám sát an toàn thông tin (SOC).