Đồ án: Tìm hiểu SIEM (Security Information and Event Management) và Thực nghiệm

Đồ án SIEM: Tìm hiểu về Security Information and Event Management. Nghiên cứu lý thuyết SIEM và thực nghiệm triển khai hệ thống quản lý sự kiện bảo mật.

• Tác giả: Hồ Duy Tân
• Người hướng dẫn: ThS. Nguyễn Thị Thanh Vân
• Trường học: Trường Đại học Sư phạm Kỹ thuật Thành phố Hồ Chí Minh
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Tìm hiểu SIEM (Security Information and Event Management) và thực nghiệm
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• DANH MỤC HÌNH
• DANH MỤC TỪ VIẾT TẮT
• PHẦN MỞ ĐẦU
• 1. Lý do chọn đề tài.Đối tượng nghiên cứu.Phạm vi nghiên cứu.Mục tiêu nghiên cứu
• PHẦN NỘI DUNG
• 1. CHƯƠNG 1: AN TOÀN THÔNG TIN DOANH NGHIỆP VÀ HỆ THỐNG SIEM
• 1.1. Tổng quan an toàn thông tin
• 1.2. Tổng quan về CIA
• 1.3. Các mối nguy hại trong an toàn thông tin
• 1.4. Tình trạng bảo mật trong doanh nghiệp hiện nay
• 1.5. Mô hình kinh doanh và bảo mật. Tổng quan về SIEM
• 1.6. Khái niệm về SIEM
• 1.7. Lịch sử của SIEM. Các thành phần của SIEM
• 1.8. Parsing/Normalization of Logs
• 1.9. Rule Engine/Correlation Engine. Cách hoạt động của SIEM
• 1.10. Các chức năng của SIEM. Lợi ích và hạn chế của SIEM
• 1.11. Những giá trị mà SIEM mang lại
• 1.12. Khi nào nên sử dụng SIEM
• 1.13. Những hạn chế của SIEM
• 1.14. Sự khác biệt giữa có SIEM và không có SIEM
• 1.15. Hệ thống SIEM trong doanh nghiệp
• 1.16. Hệ thống trong doanh nghiệp
• 1.17. Giải pháp SIEM sử dụng trong doanh nghiệp
• 2. CHƯƠNG 2: CÁC CÔNG CỤ SIEM PHỔ BIẾN
• 2.1. Các công cụ SIEM phổ biến
• 2.2. Tổng quan Splunk
• 2.3. Khái niệm Splunk
• 2.4. Thành phần của Splunk
• 2.5. Chức năng của Splunk
• 2.6. Giải pháp với Splunk
• 2.7. Tổng quan về IBM QRadar
• 2.8. Khái niệm IBM QRadar
• 2.9. Chức năng IBM QRadar
• 2.10. Cơ chế hoạt động IBM QRadar
• 2.11. Các giải pháp triển khai IBM QRadar
• 3. CHƯƠNG 3: THỰC NGHIỆM SIEM
• 3.1. Triển khai các kịch bản
• 3.2. Thu thập log hệ điều hành
• 3.3. Thu thập log Firewall
• 3.4. Thu thập log antivirus
• 3.5. Thu thập log IDS
• 3.6. Tạo cảnh báo cho splunk
• 3.7. Tạo thống kê dữ liệu
• PHẦN KẾT LUẬN
• 1. Kết quả đạt được
• 2. Về phần lý thuyết. Về phần ứng dụng. Nhận xét và đánh giá tổng quan
• 3. Đánh giá mức độ hoàn thành của thành viên
• 4. Hồ Duy Tân. Trần Duy Đức Độ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về hệ thống SIEM

SIEM (Security Information and Event Management) là giải pháp công nghệ quan trọng trong lĩnh vực an toàn thông tin hiện nay. Hệ thống này kết hợp quản lý thông tin bảo mật (SIM) và quản lý sự kiện bảo mật (SEM) để cung cấp khả năng giám sát tập trung. SIEM hoạt động như một kho lưu trữ trung tâm cho nhật ký hệ thống, thông qua các quy tắc logic để chọn ra các sự kiện quan tâm cụ thể. Theo định nghĩa từ Viện Tiêu chuẩn và Công nghệ Quốc gia, SIEM là "ứng dụng cung cấp khả năng thu thập dữ liệu bảo mật từ các thành phần của hệ thống thông tin và trình bày dữ liệu đó dưới dạng thông tin có thể thực hiện được thông qua một giao diện". Lịch sử hình thành của SIEM bắt đầu từ cuối những năm 1970 khi các nhóm làm việc được thành lập để thiết lập tiêu chuẩn quản lý chương trình kiểm tra và giám sát. Đến năm 2005, Gartner chính thức đưa ra thuật ngữ SIEM. Ngày nay, SIEM đã trở thành công cụ thiết yếu trong việc phát hiện, điều tra và ứng phó với các mối đe dọa an ninh mạng.

1.1. Khái niệm và lịch sử hình thành

SIEM là viết tắt của Security Information and Event Management, một lĩnh vực trong bảo mật máy tính kết hợp quản lý thông tin bảo mật và quản lý sự kiện bảo mật. Các giải pháp SIEM có khả năng phát hiện mối đe dọa và lỗ hổng bảo mật tiềm ẩn bằng cách phân tích dữ liệu nhật ký và sự kiện trong thời gian thực. Lịch sử của hệ thống giám sát nhật ký trở nên phổ biến khi các cuộc tấn công mạng phức tạp buộc tuân thủ các cơ chế quy định. Từ cuối những năm 1970, các nhóm làm việc đã giúp thiết lập tiêu chuẩn cho quản lý chương trình kiểm tra và giám sát. Khi bảo đảm thông tin đầy đủ vào cuối những năm 1990, nhật ký hệ thống cần được tập trung hóa, tạo tiền đề cho sự ra đời của SIEM. Thuật ngữ SIEM chính thức được Gartner đưa ra vào năm 2005 và hiện đã trở thành công cụ thiết yếu trong an ninh mạng.

1.2. Vai trò trong an toàn thông tin

SIEM đóng vai trò trung tâm trong hệ thống an toàn thông tin hiện đại. Hệ thống này cung cấp khả năng quan sát hoạt động trong mạng để tổ chức có thể ứng phó nhanh chóng với các cuộc tấn công tiềm ẩn. Trong môi trường doanh nghiệp, SIEM giúp thu thập tất cả nhật ký, sự kiện tập trung tại một nơi để quản trị viên phân tích chính xác vấn đề. Các cảnh báo được đưa ra kịp thời nhằm tiết kiệm thời gian và nhân lực. SIEM còn cung cấp cơ chế ngăn chặn tự động các cuộc tấn công mạng và ngắt kết nối với các thiết bị đã bị xâm hại. Đặc biệt, SIEM là nền tảng giám sát tổng thể và đóng vai trò không thể thiếu trong hệ thống Trung tâm Điều hành An toàn thông tin (SOC) của một tổ chức.

1.3. Mối quan hệ với mô hình CIA

SIEM có mối quan hệ chặt chẽ với mô hình CIA (Confidentiality, Integrity, Availability) - nguyên tắc cốt lõi của chương trình bảo mật. Hệ thống SIEM giúp đảm bảo tính bảo mật (Confidentiality) bằng cách kiểm soát truy cập và phát hiện các truy cập trái phép. Về tính toàn vẹn (Integrity), SIEM giám sát các thay đổi đối với hệ thống và phát hiện các hành vi chỉnh sửa dữ liệu bất thường. Đối với tính sẵn sàng (Availability), SIEM giúp phát hiện các cuộc tấn công từ chối dịch vụ (DoS, DDoS) nhằm đảm bảo hệ thống luôn hoạt động chính xác. Thông qua việc thu thập và phân tích dữ liệu từ nhiều nguồn, SIEM cung cấp cái nhìn toàn diện về trạng thái bảo mật của hệ thống theo ba khía cạnh của mô hình CIA.

II. Cách thức hoạt động của SIEM

Hệ thống SIEM hoạt động thông qua quy trình thu thập dữ liệu từ nhiều nguồn khác nhau như máy tính, thiết bị mạng và máy chủ. Dữ liệu sau đó được chuẩn hóa và tổng hợp để chuyên gia bảo mật phân tích và phát hiện mối đe dọa. Để hiểu rõ cách hoạt động của SIEM, cần phân biệt giữa sự kiện an ninh và sự cố an ninh. Sự kiện an ninh là bất kỳ sự kiện quan sát được trong hệ thống thông tin, bao gồm hệ điều hành, ứng dụng, thiết bị và cơ sở dữ liệu. Trong khi đó, sự cố bảo mật là sự cố xảy ra thực sự hoặc có khả năng gây nguy hiểm cho tính bảo mật, tính toàn vẹn hoặc tính khả dụng của hệ thống thông tin. Khi phát hiện sự kiện bất thường, SIEM sẽ tạo cảnh báo - thông báo rằng một cuộc tấn công cụ thể đã nhắm vào hệ thống. Các cảnh báo này giúp nhân viên CNTT kịp thời điều tra và xử lý. Khả năng phân tích và tương quan sự kiện từ nhiều nguồn khác nhau chính là yếu tố giúp SIEM khác biệt với các công cụ giám sát và phát hiện khác trên mạng.

2.1. Quy trình thu thập dữ liệu

Quy trình thu thập dữ liệu là bước đầu tiên và quan trọng trong hoạt động của SIEM. Hệ thống thu thập nhật ký từ nhiều nguồn khác nhau như hệ điều hành, thiết bị mạng, ứng dụng và cơ sở dữ liệu. Có hai phương thức thu thập chính: Push Log và Pull Log. Phương thức Push Log cho phép thiết bị nguồn tự động gửi nhật ký tới SIEM, thường sử dụng giao thức syslog. Ưu điểm của phương pháp này là dễ thiết lập và cấu hình, nhưng có thể gặp vấn đề về độ tin cậy khi sử dụng UDP. Phương thức Pull Log yêu cầu SIEM chủ động kết nối và truy xuất nhật ký từ thiết bị nguồn, thường thông qua các tệp văn bản được chia sẻ trên mạng. Phương pháp này đảm bảo tính toàn vẹn dữ liệu nhưng có thể không cung cấp dữ liệu theo thời gian thực. Việc lựa chọn phương thức thu thập phù hợp phụ thuộc vào yêu cầu cụ thể của từng hệ thống.

2.2. Phân tích và tương quan sự kiện

Sau khi thu thập, dữ liệu được chuẩn hóa và phân tích để phát hiện mối đe dọa. Quá trình chuẩn hóa chuyển đổi các định dạng nhật ký khác nhau thành một định dạng chung, giúp việc phân tích trở nên hiệu quả hơn. Tiếp theo, công cụ tương quan (Correlation Engine) hợp nhất nhiều sự kiện từ các nguồn khác nhau thành một sự kiện liên quan duy nhất. Có hai kiểu tương quan sự kiện chính: dựa trên quy tắc (Rule-based) và dựa trên thống kê (Statistical-based). Phương pháp Rule-based sử dụng kiến thức đã biết về các cuộc tấn công để liên kết các sự kiện lại với nhau. Trong khi đó, phương pháp Statistical-based dựa trên việc phân tích hành vi bình thường đã được tích lũy để phát hiện các hoạt động bất thường. Khả năng tương quan sự kiện giúp đơn giản hóa quy trình ứng phó sự cố và cung cấp cái nhìn tổng thể về tình trạng an ninh.

2.3. Cơ chế cảnh báo và báo cáo

Cơ chế cảnh báo và báo cáo là thành phần quan trọng giúp SIEM chuyển hóa dữ liệu thành thông tin có giá trị. Khi phát hiện sự kiện bất thường, SIEM tạo cảnh báo - thông báo ngắn gọn về một cuộc tấn công tiềm tàng nhắm vào hệ thống. Các cảnh báo thường được gửi qua email, tin nhắn trên bảng điều khiển hoặc tin nhắn văn bản đến điện thoại của nhân viên an ninh. Để tránh tình trạng quá tải cảnh báo, hệ thống cần được cấu hình chính xác để chỉ cảnh báo về các sự kiện có rủi ro cao. Ngoài cảnh báo, SIEM còn cung cấp khả năng báo cáo tự động giúp tổ chức tuân thủ các yêu cầu quy định. Các báo cáo này có thể được tùy chỉnh theo nhu cầu cụ thể, cung cấp cái nhìn tổng quan về tình trạng an ninh và các xu hướng tấn công trong hệ thống.

III. Các thành phần chính trong SIEM

Hệ thống SIEM có thể được so sánh với một cỗ máy phức tạp gồm nhiều bộ phận hoạt động phối hợp nhịp nhàng với nhau. Một hệ thống SIEM cơ bản bao gồm 6 thành phần chính: thiết bị nguồn (Source Device), thu thập nhật ký (Log Collection), chuẩn hóa nhật ký (Parsing/Normalization of Logs), công cụ quy tắc (Rule Engine), lưu trữ nhật ký (Log Storage) và giám sát sự kiện (Event Monitoring). Mỗi thành phần đóng vai trò riêng biệt nhưng liên kết chặt chẽ với nhau. Nếu một thành phần không hoạt động, toàn bộ hệ thống SIEM sẽ không hoạt động bình thường. Thiết bị nguồn cung cấp thông tin đầu vào cho SIEM, có thể là các thiết bị mạng, máy chủ hoặc ứng dụng. Tiếp theo, quá trình thu thập nhật ký lấy dữ liệu từ các thiết bị nguồn về hệ thống SIEM. Dữ liệu sau đó được chuẩn hóa để chuyển đổi các định dạng khác nhau thành định dạng chung. Công cụ quy tắc và tương quan phân tích dữ liệu để phát hiện mối đe dọa. Dữ liệu được lưu trữ trong hệ thống lưu trữ để truy vấn khi cần. Cuối cùng, thành phần giám sát cung cấp giao diện để người dùng tương tác với hệ thống.

3.1. Thiết bị nguồn và thu thập log

Thiết bị nguồn là thành phần đầu tiên trong hệ thống SIEM, cung cấp thông tin đầu vào. Các thiết bị này bao gồm hệ điều hành (Windows, Linux, UNIX), thiết bị mạng (router, switch, firewall) và ứng dụng (DNS, DHCP, web server). Mỗi thiết bị tạo ra các bản ghi log chứa thông tin về hoạt động hệ thống và người dùng. Quá trình thu thập log từ các thiết bị nguồn đến SIEM có thể thực hiện qua hai phương thức chính: Push và Pull. Phương thức Push cho phép thiết bị nguồn tự động gửi log đến SIEM, thường sử dụng giao thức syslog. Phương thức Pull yêu cầu SIEM chủ động kết nối và truy xuất log từ thiết bị nguồn. Việc xác định chính xác các thiết bị nguồn cần thu thập log là quan trọng trong triển khai SIEM, giúp tiết kiệm công sức, chi phí và giảm sự phức tạp trong triển khai.

3.2. Công cụ chuẩn hóa và tương quan

Công cụ chuẩn hóa và tương quan đóng vai trò trung tâm trong quá trình phân tích dữ liệu của SIEM. Thành phần chuẩn hóa (Parsing/Normalization) chuyển đổi các định dạng log khác nhau từ các thiết bị nguồn thành một định dạng chung. Quá trình này rất quan trọng vì dữ liệu đến từ nhiều thiết bị và nhà cung cấp khác nhau với các định dạng đa dạng. Sau chuẩn hóa, công cụ tương quan (Correlation Engine) hợp nhất nhiều sự kiện từ các nguồn khác nhau thành một sự kiện liên quan duy nhất. Có hai kiểu tương quan chính: dựa trên quy tắc (Rule-based) sử dụng kiến thức đã biết về các cuộc tấn công, và dựa trên thống kê (Statistical-based) dựa trên việc phân tích hành vi bình thường để phát hiện bất thường. Khả năng tương quan sự kiện giúp đơn giản hóa quy trình ứng phó sự cố và cung cấp cái nhìn tổng thể về tình trạng an ninh.

3.3. Hệ thống lưu trữ và giám sát

Hệ thống lưu trữ và giám sát là hai thành phần quan trọng cuối cùng trong kiến trúc SIEM. Thành phần lưu trữ (Log Storage) có thể triển khai theo ba cách chính: trong cơ sở dữ liệu (Oracle, MySQL, SQL Server), tệp văn bản phẳng (Flat text file) hoặc tệp nhị phân (Binary file). Mỗi phương pháp có ưu và nhược điểm riêng về hiệu suất, khả năng mở rộng và độ tin cậy. Thành phần giám sát (Monitoring) cung cấp giao diện để người dùng tương tác với dữ liệu được lưu trữ trong SIEM. Giao diện này có thể dựa trên web hoặc ứng dụng, cho phép người dùng xem, phân tích và tạo báo cáo từ dữ liệu. Thông qua giao diện giám sát, người xử lý sự cố hoặc kỹ sư hệ thống có cái nhìn độc đáo về môi trường, giúp việc xem và phân tích tất cả các nhật ký khác nhau trở nên dễ dàng hơn nhiều.

IV. Giải pháp SIEM phổ biến hiện nay

Trên thị trường hiện nay có nhiều giải pháp SIEM được phát triển bởi các công ty công nghệ hàng đầu. Mỗi giải pháp có những ưu điểm và tính năng riêng phù hợp với nhu cầu cụ thể của từng tổ chức. Một số công cụ SIEM phổ biến bao gồm Splunk, IBM QRadar, LogRhythm, SolarWinds, AlienVault OSSIM, NetWitness, Sumo Logic, InsightsIDR và Elastic Security. Việc lựa chọn giải pháp SIEM phù hợp phụ thuộc vào nhiều yếu tố như quy mô tổ chức, yêu cầu tuân thủ, ngân sách và nguồn lực kỹ thuật. Ví dụ, nếu tổ chức cần SIEM chủ yếu để đáp ứng yêu cầu quy định, khả năng tạo báo cáo sẽ là ưu tiên hàng đầu. Ngược lại, nếu mục tiêu là bảo vệ trước các cuộc tấn công mới nổi, hệ thống cần có chức năng tương quan cao và khả năng cảnh báo linh hoạt. Trong số các giải pháp này, Splunk và IBM QRadar là hai trong những nền tảng SIEM phổ biến và được đánh giá cao nhất hiện nay.

4.1. Tổng quan về Splunk

Splunk là hệ thống có khả năng capture, trích xuất dữ liệu thời gian thực có liên quan đến nhau, từ đó tạo ra các đồ thị, báo cáo, cảnh báo và biểu đồ. Mục đích của Splunk là giúp xác định mô hình dữ liệu và thu thập dữ liệu máy trên toàn hệ thống một cách dễ dàng. Splunk cung cấp số liệu, chẩn đoán các vấn đề xảy ra, phục vụ tốt cho hoạt động kinh doanh. Hệ thống có thể tìm kiếm các sự kiện đã và đang xảy ra, đồng thời báo cáo và phân tích thống kê kết quả tìm được. Splunk có thể nhập dữ liệu máy dưới dạng có cấu trúc hoặc không cấu trúc. Hoạt động tìm kiếm và phân tích sử dụng SPL (Search Processing Language), được tạo để quản lý Big Data. Do được phát triển từ Unix Piping và SQL, Splunk có khả năng tìm kiếm dữ liệu, lọc, sửa đổi, chèn và xóa dữ liệu hiệu quả.

4.2. Giải pháp IBM QRadar

IBM QRadar là một trong những giải pháp SIEM hàng đầu hiện nay, cung cấp khả năng giám sát an ninh toàn diện. Hệ thống này thu thập dữ liệu log từ nhiều nguồn khác nhau trong mạng, phân tích để phát hiện các mối đe dọa và hành vi bất thường. IBM QRadar sử dụng công nghệ thông minh để tự động phát hiện các hoạt động đáng ngờ, giảm thời gian phản ứng với sự cố an ninh. Một trong những ưu điểm nổi bật của QRadar là khả năng tích hợp với nhiều sản phẩm bảo mật khác của IBM, tạo thành một hệ sinh thái an ninh toàn diện. Giải pháp này cung cấp giao diện trực quan, dễ sử dụng, cho phép người dùng nhanh chóng xác định và điều tra các mối đe dọa. IBM QRadar phù hợp với các tổ chức vừa và lớn có nhu cầu giám sát an ninh phức tạp.

4.3. Các nền tảng SIEM khác

Ngoài Splunk và IBM QRadar, thị trường còn có nhiều nền tảng SIEM khác với những tính năng đặc trưng. LogRhythm được đánh giá cao về khả năng phát hiện mối đe dọa tiên tiến và tự động hóa phản ứng. SolarWinds SIEM cung cấp giải pháp giá trị hợp lý cho các doanh nghiệp vừa và nhỏ với khả năng thu thập log từ nhiều nguồn. AlienVault OSSIM là giải pháp mã nguồn mở tích hợp nhiều chức năng bảo mật trong một nền tảng duy nhất. NetWitness (trước đây là RSA NetWitness) nổi bật với khả năng phân tích gói mạng sâu và phát hiện mối đe dọa nâng cao. Sumo Logic là giải pháp SIEM dựa trên đám mây, cung cấp khả năng mở rộng linh hoạt. Elastic Security (dựa trên Elastic Stack) là lựa chọn phổ biến cho các tổ chức muốn xây dựng giải pháp SIEM tùy chỉnh với chi phí hợp lý.

V. Triển khai và thực nghiệm SIEM

Việc triển khai hệ thống SIEM đòi hỏi quy trình bài bản và kỹ thuật chuyên môn. Quá trình này thường bắt đầu với việc xác định yêu cầu, lựa chọn giải pháp phù hợp, thiết kế kiến trúc hệ thống, cài đặt và cấu hình. Trong giai đoạn thực nghiệm, các kịch bản thử nghiệm được thiết lập để đánh giá hiệu quả của hệ thống. Một trong những bước quan trọng trong triển khai SIEM là thu thập log từ các hệ thống khác nhau như hệ điều hành, firewall, antivirus và hệ thống phát hiện xâm nhập (IDS). Sau khi thu thập được dữ liệu, hệ thống cần được cấu hình để tạo cảnh báo khi phát hiện các hoạt động đáng ngờ. Cuối cùng, các công cụ thống kê và phân tích dữ liệu được sử dụng để đánh giá hiệu quả của hệ thống và cung cấp cái nhìn tổng quan về tình trạng an ninh. Quá trình triển khai SIEM có thể mất từ 90 ngày trở lên tùy thuộc vào quy mô và độ phức tạp của hệ thống. Việc hiệu chỉnh và cấu hình liên tục cũng cần thiết để đảm bảo hệ thống hoạt động hiệu quả.

5.1. Thu thập log từ hệ thống

Thu thập log từ hệ thống là bước đầu tiên và quan trọng trong quá trình triển khai SIEM. Log có thể được thu thập từ nhiều nguồn khác nhau như hệ điều hành (Windows, Linux), thiết bị mạng (router, switch, firewall), hệ thống antivirus và hệ thống phát hiện xâm nhập (IDS). Quá trình này đòi hỏi cấu hình các thiết bị nguồn để gửi log đến hệ thống SIEM. Đối với hệ điều hành Windows, có thể sử dụng Windows Event Forwarding hoặc các agent chuyên dụng. Với hệ thống Linux, thường sử dụng dịch vụ rsyslog hoặc syslog-ng để gửi log. Đối với thiết bị mạng như firewall, cấu hình gửi log qua giao thức syslog là phổ biến. Việc xác định chính xác các nguồn log cần thiết và cấu hình đúng cách sẽ đảm bảo hệ thống SIEM nhận được đủ thông tin cần thiết để phân tích và phát hiện mối đe dọa.

5.2. Thiết lập cảnh báo an ninh

Sau khi thu thập được dữ liệu, bước tiếp theo là thiết lập cảnh báo an ninh trong hệ thống SIEM. Quá trình này bao gồm việc tạo các quy tắc (rules) để phát hiện các hoạt động đáng ngờ dựa trên dữ liệu log đã thu thập. Các quy tắc có thể đơn giản như phát hiện nhiều lần đăng nhập thất bại liên tiếp, hoặc phức tạp hơn như phát hiện các mẫu tấn công đa giai đoạn. Hệ thống SIEM cho phép phân loại cảnh báo theo mức độ nghiêm trọng, giúp đội an ninh ưu tiên xử lý các mối đe dọa cao. Ngoài ra, có thể cấu hình cơ chế thông báo tự động qua email, tin nhắn hoặc tích hợp với các hệ thống khác. Việc tinh chỉnh các quy tắc cảnh báo là quá trình liên tục để giảm thiểu cảnh báo giả (false positive) và đảm bảo không bỏ sót các mối đe dọa thực sự.

5.3. Phân tích và thống kê dữ liệu

Phân tích và thống kê dữ liệu là bước cuối cùng trong quá trình triển khai SIEM, giúp đánh giá hiệu quả của hệ thống. Các công cụ phân tích cho phép người dùng truy vấn dữ liệu log đã thu thập để điều tra các sự cố an ninh hoặc phát hiện các xu hướng. Hệ thống SIEM cung cấp ngôn ngữ truy vấn chuyên dụng (như SPL của Splunk) để thực hiện các phân tích phức tạp. Bên cạnh đó, các dashboard và báo cáo trực quan giúp tổng hợp dữ liệu thành thông tin dễ hiểu. Các thống kê quan trọng bao gồm số lượng sự kiện theo thời gian, phân loại cảnh báo, các mối đe dọa phổ biến và hiệu suất của hệ thống. Việc phân tích định kỳ các thống kê này giúp đánh giá tình trạng an ninh và xác định các lĩnh vực cần cải thiện.

VI. Lợi ích và hạn chế của SIEM

Hệ thống SIEM mang lại nhiều lợi ích quan trọng cho tổ chức nhưng cũng tồn tại những hạn chế cần cân nhắc. Về mặt lợi ích, SIEM giúp cải thiện hiệu suất an ninh mạng bằng cách rút ngắn thời gian phát hiện và xác định mối đe dọa, cho phép phản ứng nhanh hơn. Hệ thống cũng cung cấp phân tích pháp y chi tiết khi xảy ra sự cố, giúp điều tra nguyên nhân và tạo bản sửa lỗi. Ngoài ra, SIEM hỗ trợ tổ chức tuân thủ các yêu cầu quy định bằng cách thu thập và báo cáo liên tục về toàn bộ mạng. Tuy nhiên, việc triển khai SIEM cũng đối mặt với nhiều thách thức. Quá trình triển khai có thể mất 90 ngày hoặc hơn, đòi hỏi chuyên môn kỹ thuật cao và chi phí đầu tư lớn. Nếu không được cấu hình đúng cách, SIEM có thể tạo ra lượng lớn cảnh báo giả, gây khó khăn cho việc xác định mối đe dọa thực sự. Do đó, tổ chức cần cân nhắc kỹ lưỡng giữa lợi ích và hạn chế trước khi quyết định triển khai hệ thống SIEM.

6.1. Giá trị mang lại cho doanh nghiệp

SIEM mang lại nhiều giá trị thiết thực cho doanh nghiệp khi được triển khai đúng cách. Trước hết, hệ thống giúp cải thiện hiệu suất an ninh mạng bằng cách rút ngắn thời gian phát hiện mối đe dọa, cho phép phản ứng nhanh hơn và giảm thiểu thiệt hại. SIEM cũng có khả năng phát hiện các mối đe dọa zero-day thông qua việc phân tích hành vi bất thường. Thứ hai, hệ thống cung cấp phân tích pháp y chi tiết khi xảy ra sự cố, giúp điều tra nguyên nhân và cung cấp bằng chứng số cho các thủ tục pháp lý. Thứ ba, SIEM hỗ trợ doanh nghiệp tuân thủ các yêu cầu quy định bằng cách thu thập và báo cáo liên tục về hoạt động mạng. Cuối cùng, SIEM có nhiều ứng dụng khác nhau từ hỗ trợ vận hành đến khắc phục sự cố, trao quyền cho đội CNTT với thông tin cần thiết để làm việc hiệu quả hơn.

6.2. Thời điểm triển khai phù hợp

Việc xác định thời điểm phù hợp để triển khai SIEM là quan trọng để đảm bảo hiệu quả của hệ thống. Thông thường, tổ chức nên cân nhắc triển khai SIEM khi có nhu cầu giám sát an ninh mạng toàn diện, đặc biệt khi hệ thống CNTT phát triển với nhiều thành phần phức tạp. Các dấu hiệu cho thấy tổ chức cần SIEM bao gồm: khó khăn trong việc thu thập và phân tích log từ nhiều nguồn, yêu cầu tuân thủ các quy định an ninh nghiêm ngặt, hoặc đã trải qua các sự cố an ninh nghiêm trọng. Đối với các doanh nghiệp vừa và nhỏ, việc triển khai SIEM có thể được xem xét khi có đủ nguồn lực tài chính và nhân sự chuyên môn. Trong bối cảnh hiện nay, với sự gia tăng của các mối đe dọa mạng và yêu cầu về an toàn thông tin, SIEM đang trở thành giải pháp cần thiết cho hầu hết các tổ chức.

6.3. Những thách thức khi áp dụng

Mặc dù mang lại nhiều lợi ích, việc áp dụng SIEM cũng đối mặt với nhiều thách thức. Thứ nhất, quá trình triển khai có thể mất nhiều thời gian (90 ngày hoặc hơn) đòi hỏi sự đầu tư đáng kể về thời gian và nguồn lực. Thứ hai, SIEM yêu cầu chuyên môn kỹ thuật cao để thiết lập, cấu hình và giám sát. Nếu không có đội ngũ có kỹ năng phù hợp, hệ thống có thể không hoạt động hiệu quả. Thứ ba, chi phí triển khai và vận hành SIEM thường cao, bao gồm chi phí phần mềm, phần cứng, giấy phép và nhân sự. Thứ tư, nếu không được cấu hình đúng cách, SIEM có thể tạo ra lượng lớn cảnh báo giả (false positive), gây khó khăn cho việc xác định mối đe dọa thực sự. Cuối cùng, việc duy trì và cập nhật liên tục hệ thống để đối phó với các mối đe dọa mới cũng là một thách thức không nhỏ.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: AN TOÀN THÔNG TIN DOANH NGHIỆP VÀ HỆ THỐNG SIEM 1. Tổng quan an toàn thông tin Trong thời đại công nghệ ngày càng phát triển như hiện nay thì việc bảo mật thông tin dữ liệu đang trở thành một thách thức không hề nhỏ đối với một cá nhân hay tập thể, đặc biệt là các doanh nghiệp, tổ chức trong các lĩnh vực kinh tế, giáo dục, chính trị quân sự hiện nay trên toàn thế giới. Các cuộc tấn công tinh vi đang trở thành mối đe dọa lớn đến an ninh mạng khiến môi trường mạng tiềm ẩn nhiều rủi ro hơn đối với các tổ chức, doanh nghiệp và cả người dùng cá nhân trên thế giới. Để bảo đảm tốt nhât cho thông tin doanh nghiệp, bạn cần biết rõ hệ thống thông tin của mình cần những gì để xác định cách triển khai.

Khi tiếp xúc với một mối đe dọa, bạn cần đánh giá được mối đe dọa để xác định chiến lược bảo mật tốt nhất. Điều này sẽ phụ thuộc vào mô hình doanh nghiệp của tổ chức bạn.1 Tổng quan về CIA Để hiểu rõ hơn và so sánh các loại mô hình kinh doanh khác nhau thì ta cần xác định những điểm chung phần lớn của các chương trình bảo mật. Khái niệm này sẽ được dùng để đánh giá mức an toàn của một hê thống và khái niệm đó là tam giác CIA (confidentiality, integrity, availability) đây cũng là nguyên tắc cốt lõi của chương trình bảo mật. Nếu không hiểu rõ về các khái niệm này và cách chúng liên quan với môi trường, bạn sẽ không thể nào đánh giá được nhu cầu của chương trình bảo mật của mình một cách chính xác.

Dưới đây là tóm tắt về các khái niệm này: Tính bí mật (Confidentiality): Đảm bảo tính bí mật của thông tin, tức là thông tin chỉ được phép truy cập (đọc) bởi những đối tượng (người, chương trình máy tính) được cấp phép. Cách phổ biến nhất để giữ bí mật thông tin là kiểm soát truy cập bằng cách đặt mật mã để mã hóa dữ liệu. Ví dụ: một giao dịch tín dụng qua Internet, số thẻ tín dụng được 15 gửi từ người mua hàng đến người bán, và từ người bán đến nhà cung cấp dịch vụ thẻ tín dụng. Hệ thống sẽ cố gắng thực hiện tính bí mật bằng cách mã hóa số thẻ trong suốt quá trình truyền tin, giới hạn nơi nó có thể xuất hiện (cơ sở dữ liệu, log file, sao lưu (backup), in hóa đơn…) Tính toàn vẹn (Integrity): Trong an toàn thông tin, toàn vẹn có nghĩa rằng dữ liệu không thể bị chỉnh sửa mà không bị phát hiện.

Nó khác với tính toàn vẹn trong tham chiếu của cơ sở dữ liệu, mặc dù nó có thể được xem như là một trường hợp đặc biệt của tính nhất quán. Tính toàn vẹn bị xâm phạm khi một thông điệp bị chỉnh sửa trong giao dịch. Hệ thống thông tin an toàn luôn cung cấp các thông điệp toàn vẹn và bí mật Tính sẵn sàng (Availability): Mọi hệ thống thông tin đều phục vụ mục đích riêng của nó và thông tin phải luôn luôn sẵn sàng khi cần thiết. Điều đó có nghĩa rằng hệ thống tính toán sử dụng để lưu trữ và xử lý thông tin, có một hệ thống điều khiển bảo mật sử dụng để bảo vệ nó, và kênh kết nối sử dụng để truy cập nó phải luôn hoạt động chính xác.

Hệ thống có tính sẵn sàng cao hướng đến sự sẵn sàng ở mọi thời điểm, tránh được những rủi ro cả về phần cứng, phần mềm như: sự cố mất điện, hỏng phần cứng, cập nhật, nâng cấp hệ thống… đảm bảo tính sẵn sàng cũng có nghĩa là tránh được tấn công từ chối dịch vụ. Ví dụ: nếu server chỉ bị ngưng hoạt động hay ngừng cung cấp dịch vụ trong vòng 5 phút trên một năm thì độ sẵn sàng nó là 99.999% Ngoài những khái niệm đó là tam giác CIA thì ta còn có: Tính xác thực (authentication): Trong hoạt động tính toán, kinh doanh qua mạng và an toàn thông tin, tính xác thực là vô cùng cần thiết để đảm bảo rằng dữ liệu, giao dịch, kết nối hoặc các tài liệu (tài liệu điện tử hoặc tài liệu cứng) đều là thật (genuine). Nó cũng quan trọng cho việc xác nhận rằng các bên liên quan biết họ là ai trong hệ thống. Tính không thể chối cãi (Non-repudiation): tính không thể chối cãi có nghĩa rằng một bên giao dịch không thể phủ nhận việc họ đã thực hiện giao dịch với các bên khác.

Ví dụ: trong khi giao dịch mua hàng qua mạng, khi khách hàng đã gửi số thẻ tín dụng cho bên 16 bán, đã thanh toán thành công, thì bên bán không thể phủ nhận việc họ đã nhận được tiền, (trừ trường hợp hệ thống không đảm bảo tính an toàn thông tin trong giao dịch). Tính định danh (Identification): hành động của ngườisử dụng khi xác nhận một sự định danh tới hệ thống,ví dụ định danh thông qua tên (username) của cánhân. Tính kiểm toán (Accountability): sự xác định các hành động hoặc hành vi của một cá nhân bên trong hệ thống và nắm chắc được trách nhiệm cá nhân hoặc các hành động của họ 1.2 Các mối nguy hại trong an toàn thông tin Nhìn từ quan điểm an toàn th có vô số cách để tấn công, lấy cắp thông tin của một hệ thống. Lỗ hổng của ứng dụng, lỗ hổng dịch vụ trực tuyến (web, mail…), lỗ hổng hệ điều hành… Vì thế, rất khó để có thể thiết lập và duy trì bảo mật thông tin.

Rất nhiều các khai thác thành công đều bắt nguồn từ bên trong tổ chức (công ty). Theo những thống kê của Computer Security Institute, thì khoảng 60%-80% các hành động sử dụng sai mạng máy tính, phần mềm bắt nguồn từ bên trong các công ty. Vì thế, đào tạo nhận thức an ninh mạng cho các thành viên của công ty, thậm chí cho người quản trị là vô cùng quan trọng, đồng thời ta cũng phải tìm hiểu một số nguy ngại phổ biến trong an toàn thông tin: Lỗi và sự bỏ sót, cố tình bỏ qua Nguy cơ này được xếp vào hàng nguy hiểm nhất. Khi lập trình, các cảnh báo và lỗi do trình biên dịch đưa ra thường bị bỏ qua và nó có thể dẫn đến những sự việc không đáng có, ví dụ như tràn bộ đệm, tràn heap.

Khi người dùng vô tình (hay cố ý) sử dụng các đầu vào không hợp lý thì chương trình sẽ xử lý sai, hoặc dẫn đến việc bị khai thác, đổ vỡ (crash). Kỹ thuật lập trình đóng vài trò rất quan trọng trong mọi ứng dụng. Và lập trình viên phải luôn luôn cập nhật thông tin, các lỗi bị khai thác, cách phòng chống, sử dụng phương thức lập trình an toàn. 17 Một cách tốt nhất để phòng tránh là sử dụng chính sách “lease privilege” (có nghĩa là ít quyền hạn nhất có thể).

Người dùng sẽ chỉ được xử lý, truy cập đến một số vùng thông tin nhất định. Lừa đảo và lấy cắp thông tin Tưởng tượng rằng có những đồng nghiệp trong công ty đi làm không phải để làm việc, mà để lấy cắp những thông tin quan trọng của công ty. Chuyện này hoàn toàn có thể xảy ra, đặc biệt là những công ty làm việc về quân sự, cơ quan nhà nước…. Rất khó phát hiện kẻ tấn công từ bên trong.

Việc lấy cắp có thể được thực hiện dưới nhiều hình thức: lấy cắp văn bản in hay lấy cắp thông tin số, cung cấp thông tin nội bộ cho bên ngoài. Cách tốt nhất để phòng tránh nguy cơ này là: phải có những chính sách bảo mật được thiết kế tốt. Những chính sách có thể giúp người quản lý bảo mật thông tin thu thập thông tin, từ đó điều tra và đưa ra những kết luận chính xác, nhanh chóng. Khi đã có một chính sách tốt, người quản trị có thể sử dụng các kỹ thuật điều tra số (forensics) để truy vết các hành động tấn công.

Ví dụ như hình thức lấy cắp thông tin số, nếu một nhân viên truy cập vào khu vực đặt tài liệu bí mật của công ty, hệ thống sẽ ghi lại được thời gian, IP, tài liệu bị lấy, sử dụng phần mềm gì để truy cập, phần mềm bị cài đặt trái phép… từ đó, người quản trị sẽ chứng minh được ai đã làm việc này. Hacker (Tin tặc) Có rất nhiều cách hacker tấn công hệ thống. Mỗi kẻ tấn công đều có những thủ thuật, công cụ, kiến thức, hiểu biết về hệ thống. Và cũng có vô số các cuốn sách, diễn đàn đăng tải những nội dung này.

Trước tiên, hacker thu thập thông tin về hệ thống, nhiều nhất có thể. Càng nhiều thông tin, thì khả năng thành công của việc tấn công sẽ càng lớn. Những thông tin đó có thể là: tên ứng dụng, phiên bản ứng dụng, hệ điều hành, email quản trị… Bước tiếp theo là quét hệ thống để tìm lỗ hổng. Các lỗ hổng này có thể gây ra bởi ứng dụng xử lý thông tin hoặc 18 do hệ điều hành, hoặc bất kỳ thành phần nào có liên quan.

Từ đó, họ sẽ lợi dụng các lỗ hổng tìm được, hoặc sử dụng các tài khoản mặc định nhằm chiếm quyền truy cập vào ứng dụng. Khi đã thành công, hacker sẽ cài đặt các phần mềm, mã độc để có thể xâm nhập vào hệ thống trong các lần sau. Bước cuối cùng là xóa vết tấn công. Các trang mạng nổi tiếng như: The World Street Jounals, The NewYork Times mới đây đều công bố rằng mình đã bị hacker tấn công.

Để phòng tránh nguy cơ này, các ứng dụng tương tác với người dùng, dữ liệu cần phải giấu đi những thông tin quan trọng (nếu có thể) như phiên bản, loại ứng dụng, các thành phần kèm theo… Sử dụng các phần mềm phát hiện truy cập trái phép, rà soát hệ thống thường xuyên xem có phần mềm lạ không, cấu hình tường lửa hợp lý, chính sách truy cập của từng nhóm người dùng, quản lý truy cập… Lây lan mã độc Có rất nhiều loại mã độc có thể kể đến như: virus, sâu máy tính, Trojan horse, logic bomb… Nguy cơ do chúng gây ra là hoàn toàn rõ ràng, và vô cùng phong phú. Khi đã xâm nhập vào máy nạn nhân, mã độc có thể: mở cổng hậu (back door) để kẻ tấn công có thể truy cập và làm mọi việc trên máy nạn nhân; ghi lại thông tin sử dụng máy tính (thao tác bàn phím, sử dụng mạng, thông tin đăng nhập…). Đã có rất nhiều công ty bị cài đặt mã độc. Mới đây, Facebook cũng bị một nhóm hacker tấn công[2] do máy tính của một số nhân viên bị cài mã độc.