Chương 1. TÔNG QUAN PE TÀI Trong chương này, tác giả trình bày khái niệm và các kiến thức nền tảng về các giải pháp bao mật dé có thé thực hiện được nghiên cứu. Đồng thời, tác giả cũng trình bày sơ lược một sô công trình liên quan có cùng hướng nghiên cứu. e Chương 3: PHAN TÍCH THIET KE HỆ THONG Chương nay là phan trong tâm của khóa luận, tại chương này tác giả trình bay những nội dung chính về phương pháp thực hiện; các công cụ và giải pháp bảo mật được tác giả sử dụng; mô hình, luồng hoạt động của giải pháp mà tác giả xây dựng.
e Chương 4: HIỆN THỰC VÀ DANH GIÁ HỆ THONG Tại chương này, tác giả trình bày về quá trình tác giả sẽ hiện thực hóa những gì tác giả đã đề ra trong Chương 3. Sau đó, trình bày phương pháp thực nghiêm và đánh giá kết quả thực nghiệm. e_ Chương 5: KET LUẬN VÀ HƯỚNG PHAT TRIÊN Tại chương cuối cùng nay, tác giả tong kết về kết quả đạt được khi thực hiện khóa luận, đưa ra kết luận, đánh giá ưu, nhược điểm của về mô hình, đưa ra một số hướng phát triển đề tiếp tục nghiên cứu trong tương lai. KIÊN THỨC NEN TANG Tóm tắt chương Tại chương 2, tác giả trình bày những khái niệm và kiến thức nền tảng đề có thê thực hiện được khóa luận như là khái niệm về điều phối, tự động hóa và phản ứng bảo mật, hệ thống phát hiện xâm nhập, hệ thống quản lý sự kiện và thông tin bảo mật, tường lửa.
Đồng thời, tác giả trình bày tóm tắt về các nghiên cứu liên quan về giải pháp điều phối, tự động hóa và phản ứng bảo mật và những điểm khác của khóa luận này so với các nghiên cứu trước đó. Điều phối, Tự động hoá, và Phản ứng bảo mật 2. Tổng quan Trong bối cảnh công nghệ thông tin (CNTT) ngày càng phát triển như hiện nay, tan công mang đang là một van đề nóng ở khắp moi nơi trên thế giới. Các cuộc tan công mang gia tăng cả về mặt hình thức, quy mô và mục dich tan công, các sự cô an ninh mạng (ANM) tăng đều qua các báo cáo hàng năm.
Khi sô lượng các cuộc tân công mạng tăng cao, việc quá tải vê khôi lượng công việc đôi với những đội ngũ đảm nhận van dé an toàn thông tin cho môi doanh nghiệp cũng tăng tỉ lệ thuận, chính vì lẽ đó mà có sự quá tải vê nguôn nhân lực trong chính ngành này và sự giảm sút vê mặt chat lượng công việc. Cùng với đó, việc giám sát và phản ứng với các van đê ATTT của các nhóm phụ trách vệ AT TT làm việc trên nhiêu các công cụ, giải pháp riêng lẻ cũng khiên cho các tô chức, doanh nghiệp phải đối mặt với các thách thức như: - _ Các công cụ, giải pháp hoạt động độc lập với nhau, thiếu sự gắn kết trong công việc, dẫn đến việc có quá nhiều cảnh báo trùng lặp cho cùng một đối tượng hay sự kiện. - _ Thiếu tầm nhìn tong thé trong suốt quá trình giám sát và phản ứng. KIÊN THÚC NEN TANG - Công việc có nhiều công đoạn xử lí thủ công, làm giảm chất lượng công việc xuống.
- _ Việc thiếu hụt nhân sự có kỹ năng vận hành, làm chủ các công cụ. Với những thách thức nêu trên, những nhóm vận hành ATTT sẽ phải tìm kiếm một giải pháp dé giải quyết về nhu cau tất yếu, đó là nâng cao quá trình vận hành và phản ứng với các sự cố ATTT. Và cũng vì thế, nhu cầu cho giải pháp Điều phối, Tự động hoá, và Phản ứng bảo mật (tên tiếng anh là Security Orchestration, Automation, and Response — SOAR) được sinh ra. Định nghĩa Phương pháp Điều phối, Tự động hoá, và Phản ứng bảo mật (SOAR) là một công cụ cho phép một tổ chức thu thập dữ liệu về các mối de doa bảo mật và phản ứng với các sự kiện bảo mật mà không có sự hỗ trợ của con người [3].
Theo Gartner định nghĩa, SOAR là một công cụ dé: - Thu thập các dữ liệu va các cảnh báo về mối de doa bao mật va phan ứng bao mật từ nhiều nguồn khác nhau. - inh nghĩa và tuân thủ theo một workflow tiêu chuẩn cho các hoạt động phan ứng sự CỐ. - Mã hoá các phân tích sự cố va thủ tục phan ứng trong một định dang digital workflow, cho phép một số hoặc tất cả phản ứng sự cố một cách tự động hoá. Cũng theo Gartner, ba khả năng quan trọng nhất của công nghệ SOAR là: - Quan lí các mối đe doa và lỗ hỏng: Những công nghệ này hỗ trợ việc khắc phục các lỗ hỏng bảo mật.
Chúng cung cấp các chức năng định dạng workflow, báo cáo và phối hợp. - Phan ứng sự cố bảo mật: Những công nghệ này hỗ trợ cách lập một kế hoạch có tô chức, quản lí, theo dõi và điều phối phản ứng cho một sự cố bảo mật là như thế nào. KIÊN THÚC NEN TANG - Tu động hoá vận hành bảo mật: Các công nghệ nay hỗ trợ việc tự động hoá và điều phối các workflows, tiến trình, chính sách thực thi và báo cáo. Các thành phần của SOAR Orchestration (Điều phối) Orchestration (Điều phối) là khả năng điều phối việc đưa ra quyết định, và tự động hoá hành động phản ứng dựa trên một đánh giá về các rủi ro và trạng thái môi trường.
Công cụ SOAR có thể làm điều đó bằng cách tích hợp với các giải pháp bảo mật khác theo một cách nào đó rang là dé chúng thu thập data và cũng đồng thời thực hiện các hành động chủ động. SOAR cung cấp một giao diện chung, cho phép phân tích các hành động được định sẵn trên các công cụ bảo mật và các hệ thống công nghệ thông tin mà không cần những chuyên gia thuộc những hệ thống đó hoặc API của họ. Ví dụ về Orchestration: Xử lí một email đáng giờ Automation (Tự động hoá) Tự động hoá liên quan đến điều phối — nó là các hành động được thực hiện bằng máy móc nằm trên các công cụ bảo mật và các hệ thống IT, như là một phần của một phản ứng với một sự cô, các công cụ SOAR cho phép các nhóm bảo mật tự định ra các bước tự động một cách tiêu chuẩn và một workflow về việc đưa ra quyết định, cùng với việc thực thị, theo dõi trạng thái và kiểm tra các chức năng. Việc tự động hoá dựa trên các kịch bản bảo mật (security playbooks), thứ mà các phân tích viên có thể lập trình bằng cách sử dụng một UI ảo hoặc bằng ngôn ngữ lập trình như Python.
Ví dụ: Malware Playbook Chương 2. KIÊN THÚC NEN TANG Incident Response (Phản ứng sự cô) Việc tiếp cận để giải quyết và quản lí sự cố bảo mật với một lần mỗi cảnh báo đã được xác nhận, bao gôm phân loại, ngăn chặn, khắc phục và các hành động khác. Ngày nay, nhiêu hành động như là cach li các tệp tin và vô hiệu hoá truy cập đên các tài khoản bị tôn hại,đên một vài tên, được thực hiện một cách tự động, vì vậy các sự cô mỗi lần được trình ra như một mối de doa thực có thé được giải quyêt một cách nhanh chóng. Ví dụ: chặn port trên Firewall Tối ưu hoá bảng điều khiến và tự động báo cáo Công cụ SOAR không chỉ có trách nhiệm cho việc điều phối và tự động phản ứng các sự cố, mà còn có thể trở thành trung tâm đo lường cho các hoạt động của SOC.
Báo cáo sự cô cụ thé: Lam nôi bật các chi tiệt sự cô và các bước thực hiện dé giải quyêt vân đê. Báo cáo theo mức độ phân tích trên các hoạt động bởi mỗi phân tích, như là số lượng và phân loại của các sự có, thời gian trung bình dé phát hiện và phản ứng trên mỗi phân tích,. Báo cáo quản lí SOC: Báo cáo dựa trên sô lượng các phân tích, sự lí các sự cô trên mỗi phân tích, và thời giant rung bình có từng giai đoạn cụ thé của quá trình phan ứng đôi với sự cô, đê nhận dạng được các sự kiện thắt cô chai. Báo cáo theo mức độ CISO: Sắp xếp các rủi ro theo chỉ số IT đề thấy được tầm ảnh hưởng của các sự cố trong các hoạt động kinh doanh và các quy định; đo lường ảnh hưởng băng cách quan sát MTTD (Mean time to detect) và MTTR (Mean time to response) qua toàn bộ tô chức, và giảm công việc thông qua tự động hoá.
KIÊN THÚC NEN TANG Security Orchestration and Automation Intelligence Hình 2.1: Biéu đồ Venn thê hiện các thành phần của hệ thống SOAR [4] 2. Shuffle — Công cu SOAR mã nguồn mở Một vấn đề đặt ra trong an ninh mạng, đó chính là làm sao để các công cụ và giải pháp bảo mật hoạt động trơn tru và đồng nhất. Các công cụ như tường lửa, hệ thống phát hiện xâm nhập, hệ thong quan li su kiện và thông tin bao mật, trình anti-virus,. đều có cách thức hoạt động, thu thập dữ liệu và lưu trữ dữ liệu khác nhau.
Công việc của một quan tri viên an toàn thông tin là tích hợp các công cụ và giải pháp bảo mật trên, dùng dữ liệu và thông tin chúng thu thập liên kết lại với nhau, khi đó các công cụ tạo thành một hệ thống đồng nhất, hoạt động tuần tự. Công việc này hết sức khó khăn và yêu cầu phải xử lí dữ liệu liên tục, và vì thế họ luôn nghiên cứu và xây dựng một giải pháp nhằm mục đích là trung tâm xử lí dữ liệu, kết hợp dữ liệu từ nhiều nguon, diéu phối các công cụ thực hiện các công việc một cách tự động. Đó là lí do giải pháp điều phối, tự động hóa và phản ứng bảo mật được sinh ra. KIÊN THÚC NEN TANG Shuffle là một giải pháp SOAR mã nguồn mở.
Nó được sinh ra nhằm mục đích phục vụ cho việc tự động hóa truyền dữ liệu giữa các công cụ, giải pháp bảo mật mà không cần sự can thiệp của con người. Vơi công cụ này, ta có thể xây dựng một chuỗi công việc cho các công cụ trong hệ thống, vì vậy nhu cầu nhân lực dé vận hành sẽ giảm xuống, và thời gian nhằm dé xây dựng một giải pháp hay một hệ thống bảo mật sẽ giảm đáng kể. Nguyên lí hoạt động của Shuffle Shuffle làm việc thông qua kết hợp các App (Ứng dụng) tạo thành một Workflow (Luéng hoạt động). Apps (Ứng dụng) Shuffle có thể hoạt động được thông qua ứng dụng được tích hợp.