Giới thiệu dự án

Trong bối cảnh chuyển dịch số mạnh mẽ, hạ tầng công nghệ thông tin (CNTT) của doanh nghiệp ngày càng trở nên phân tán và phức tạp khi kết hợp giữa máy chủ vật lý nội bộ (On-premises) và các nền tảng điện toán đám mây (Cloud Computing) như Amazon Web Services (AWS) hay Microsoft Azure. Sự phân mảnh này dẫn đến khối lượng dữ liệu nhật ký (log data) khổng lồ từ hệ điều hành Windows, Linux, thiết bị mạng (Firewall, Switch, Router), và các dịch vụ đám mây (EC2, S3, Azure App Service, Event Hub).

Theo các báo cáo an toàn thông tin quốc tế, thời gian trung bình để phát hiện và ngăn chặn một vụ xâm nhập (Dwell Time) có thể kéo dài hàng tháng nếu doanh nghiệp thiếu một hệ thống giám sát tập trung. Để giải quyết thách thức trên, giải pháp SIEM (Security Information and Event Management) kết hợp giữa SIM (Security Information Management - thu thập, chuẩn hóa, phân tích lưu trữ nhật ký) và SEM (Security Event Management - phân tích sự kiện thời gian thực, tương quan sự kiện và giám sát mối đe dọa) là thành phần cốt lõi của Trung tâm điều hành an ninh mạng (SOC).

+-------------------------------------------------------------------------+
|                              SIEM PROCESS                               |
|                                                                         |
|  [Step 1: Collect]   -->   [Step 2: Normalize]   -->   [Step 3: Analyze] |
|  Multi-source Data         Extract Fields              Rules & Queries  |
|  (On-prem & Cloud)         Raw to Structured           Event Correlation|
|                                                                |        |
|                                                                v        |
|                                                       [Step 4: Alert]   |
|                                                       Active Response   |
|                                                       SOC Dashboards    |
+-------------------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

  • Thiếu khả năng hiển thị tập trung (Visibility Silos): Sự kiện an ninh bị cô lập tại từng máy chủ nội bộ hoặc các dịch vụ đám mây riêng biệt, khiến đội ngũ vận hành không thể liên kết các chuỗi tấn công đa tầng.
  • Tốc độ phản ứng sự cố chậm (High MTTR): Đa số các hệ thống giám sát truyền thống chỉ dừng lại ở mức ghi nhận log, thiếu cơ chế tự động hóa phản hồi (Active Response / Alert Actions), dẫn đến việc mã độc lan rộng hoặc các đòn tấn công brute-force kéo dài gây cạn kiệt tài nguyên.
  • Rào cản chi phí và tối ưu hóa giải pháp: Doanh nghiệp đứng trước sự phân vân giữa giải pháp thương mại độc quyền hàng đầu (Splunk Enterprise) với chi phí bản quyền tính theo dung lượng index cao và giải pháp mã nguồn mở linh hoạt (Wazuh kết hợp Elastic Stack) đòi hỏi cấu hình và tối ưu hóa chuyên sâu.

Mục tiêu dự án

  1. Khảo sát và thiết kế kiến trúc giám sát tập trung: Xây dựng hệ thống giám sát an toàn thông tin trên cả hai nền tảng Splunk Enterprise và Wazuh phục vụ cho hạ tầng kết hợp On-premises (Windows, Linux) và Multi-Cloud (AWS, Azure).
  2. Triển khai cơ chế thu thập và chuẩn hóa dữ liệu đa nguồn: Tích hợp các module/add-on, RESTful API, socket và HEC (HTTP Event Collector) để thu thập log từ hệ thống máy chủ và dịch vụ đám mây (AWS CloudTrail, CloudWatch, Azure Event Hub, Storage Account).
  3. Xây dựng bộ quy tắc phát hiện và kịch bản phản hồi tự động: Thiết lập các rule phát hiện tấn công vét cạn mật khẩu SSH (SSH Brute-force) và phát hiện mã độc (ClamAV/YARA), kết hợp tự động kích hoạt hành động chặn IP (IP blocking) và cô lập/xóa tệp độc hại.
  4. Đánh giá và so sánh định lượng: Tiến hành phân tích đối sánh chi tiết giữa Splunk Enterprise và Wazuh về hiệu năng thu thập, khả năng phân tích/truy vấn, tính tiện dụng của Dashboard, cơ chế Active Response và tổng chi phí sở hữu (TCO).

Phạm vi và giới hạn nghiên cứu

  • Phạm vi: Giám sát máy chủ nội bộ chạy hệ điều hành Linux (Ubuntu/CentOS), Windows Server; máy ảo EC2, S3 bucket, CloudTrail trên AWS; Web App Service, Storage Account, Event Hub trên Microsoft Azure; các kịch bản tấn công thử nghiệm: SSH Brute-force và mã độc thử nghiệm EICAR/tệp nghi vấn.
  • Giới hạn: Nghiên cứu tập trung vào mô hình triển khai All-in-One và kiến trúc phân tán quy mô phòng lab/doanh nghiệp vừa và nhỏ; chưa mở rộng đánh giá hiệu năng trên các cụm Cluster quy mô Petabyte hoặc các kịch bản tấn công APT phức tạp đa giai đoạn.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Tiêu chí Quản lý Log Truyền thống (Syslog/Event Viewer) Splunk Enterprise (Thương mại) Wazuh + Elastic Stack (Mã nguồn mở)
Thu thập dữ liệu Phân mảnh, lưu trữ cục bộ Đa dạng qua Universal/Heavy Forwarder, HEC, Add-on Linh hoạt qua Wazuh Agent đa module, Agentless (Syslog/SSH)
Chuẩn hóa & Parsing Thủ công bằng script Schema-on-Read, tự động nhận diện trường với SPL Decoders (Pre-decoding & XML Decoders) tối ưu hóa thời gian thực
Ngôn ngữ truy vấn Grep, regex cơ bản Search Processing Language (SPL) cực mạnh Query DSL (Elasticsearch), Lucene, Wazuh WQL
Tự động phản hồi Không hỗ trợ Hỗ trợ qua Alert Trigger Actions / Script Tích hợp sẵn module Active Response trực tiếp trên Agent
Chi phí bản quyền Miễn phí Rất cao (tính theo GB/ngày được index) Hoàn toàn miễn phí (Open-source Apache 2.0 / GPL)

Yêu cầu hệ thống theo mô hình MoSCoW

  • Must have (Bắt buộc): Thu thập tập trung log từ Windows, Linux, AWS, Azure; phân tích và trích xuất trường dữ liệu chuẩn (IP, User, EventID, Checksum); phát hiện SSH Brute-force và mã độc; kích hoạt phản hồi tự động chặn IP và xóa file.
  • Should have (Nên có): Trực quan hóa dữ liệu qua Dashboard chuyên sâu cho AWS Metrics (EC2, EBS, Billing) và Azure Health Metric; cơ chế kiểm tra tính toàn vẹn tệp (FIM) và đánh giá cấu hình bảo mật (SCA).
  • Could have (Có thể có): Tự động mở khóa (Unblock) IP sau một khoảng thời gian timeout định trước để tránh hiện tượng DoS người dùng hợp lệ.
  • Won't have (Chưa thực hiện): Tích hợp nền tảng SOAR chuyên dụng độc lập hoặc huấn luyện mô hình Machine Learning phát hiện bất thường hành vi người dùng (UEBA).

Thiết kế hệ thống

+-----------------------------------------------------------------------------------+
|                            KIẾN TRÚC TỔNG THỂ HỆ THỐNG                             |
|                                                                                   |
|  +--------------------+   +----------------------+   +-------------------------+  |
|  |   On-Premises      |   |      AWS Cloud       |   |      Azure Cloud        |  |
|  | - Linux (Syslog)   |   | - EC2 Instances      |   | - Virtual Machines      |  |
|  | - Windows (Events) |   | - CloudTrail, S3     |   | - Event Hub             |  |
|  | - ClamAV / YARA    |   | - CloudWatch Logs    |   | - Storage Account       |  |
|  +---------+----------+   +----------+-----------+   +------------+------------+  |
|            |                         |                            |               |
|            +-------------------------+----------------------------+               |
|                                      |                                            |
|                                      v                                            |
|  +-----------------------------------------------------------------------------+  |
|  |                              TIẾP NHẬN DỮ LIỆU                              |  |
|  |  [Splunk]: Port 9997 (Forwarder), Port 8089 (Mgmt), HEC (HTTPS)             |  |
|  |  [Wazuh]:  Port 1514 (Agent Con), Port 1515 (Auth), Port 514 (Syslog)       |  |
|  +-----------------------------------+-----------------------------------------+  |
|                                      |                                            |
|                                      v                                            |
|  +-----------------------------------------------------------------------------+  |
|  |                          XỬ LÝ, PHÂN TÍCH & LƯU TRỮ                         |  |
|  |  [Splunk Core Engine]: Indexing Bucket (Hot -> Warm -> Cold -> Frozen)     |  |
|  |  [Wazuh Manager]: Analysis Engine -> Decoders -> Rules -> Filebeat (TLS)    |  |
|  |  [Elasticsearch]: Port 9200 (Indices Indexing & Cluster Storage)           |  |
|  +-----------------------------------+-----------------------------------------+  |
|                                      |                                            |
|                                      v                                            |
|  +-----------------------------------------------------------------------------+  |
|  |                           HIỂN THỊ & PHẢN HỒI                               |  |
|  |  - Splunk Search Head: Web GUI (SPL queries, Alerts, Custom Dashboards)    |  |
|  |  - Kibana Dashboard: Wazuh Plugin (Port 5601), RESTful API (Port 55000)   |  |
|  |  - Active Response: Chặn IP Firewall, Xóa file mã độc, Unblock Timeout      |  |
|  +-----------------------------------------------------------------------------+  |
+-----------------------------------------------------------------------------------+

1. Kiến trúc Splunk Enterprise

Gồm 3 tầng chính (3-tier architecture):

  • Data Input Tier: Sử dụng Splunk Universal Forwarder (tiêu tốn cực ít tài nguyên CPU/RAM, gửi dữ liệu thô qua cổng TCP 9997) và Heavy Forwarder (tiền xử lý dữ liệu trước khi gửi). Giao tiếp quản trị triển khai cấu hình qua Splunk Deployment Server tại cổng TCP 8089. Splunk sử dụng cơ chế Cyclic Redundancy Check (CRC) đọc 256 bytes đầu tiên của tệp tin để tạo hash và lưu vết thông qua con trỏ seekAddress, tránh việc đọc trùng lặp log.
  • Indexing Tier: Phân tích, chuyển đổi dữ liệu thành các event có timestamp và lưu trữ theo chu kỳ vòng đời của Bucket: Hot (đọc/ghi trực tiếp trên RAM/SSD) $\rightarrow$ Warm (chỉ đọc, trên SSD) $\rightarrow$ Cold (chuyển sang HDD dung lượng lớn) $\rightarrow$ Frozen (lưu trữ dạng archive hoặc xóa).
  • Search Management Tier: Splunk Search Head cung cấp giao diện Web, nhận câu lệnh SPL từ người dùng, điều phối các Indexer thực thi truy vấn phân tán và trực quan hóa kết quả.

2. Kiến trúc Wazuh & Elastic Stack

Gồm 3 thành phần liên kết chặt chẽ:

  • Wazuh Agent: Chạy trực tiếp trên endpoint với kiến trúc đa module độc lập: Log collector, Command execution, File Integrity Monitoring (FIM) (kiểm soát thay đổi file dựa trên hash MD5, SHA1, SHA256), Security Configuration Assessment (SCA) (kiểm tra chuẩn bảo mật CIS benchmark), Malware Detection, Active Response, Cloud Security Monitoring.
  • Wazuh Server: Chạy Agents registration service (Port 1515/TCP xác thực TLS/pre-shared key), Agents connection service (Port 1514/TCP/UDP tiếp nhận sự kiện mã hóa AES-128/256), Analysis Engine (giải mã sự kiện qua bộ decoders và so khớp bộ rules), và Filebeat (chuyển tiếp cảnh báo thời gian thực qua giao tiếp mã hóa TLS đến Elasticsearch).
  • Elastic Stack: Elasticsearch (Port 9200/TCP) chịu trách nhiệm lập chỉ mục (index) và lưu trữ phân tán; Kibana (Port 5601/TCP) tích hợp Wazuh Plugin tương tác qua Wazuh RESTful API (Port 55000/TCP) để cung cấp giao diện điều khiển và giám sát toàn diện.

Quy trình và phương pháp nghiên cứu (Methodology)

Nghiên cứu áp dụng quy trình kiểm thử thực nghiệm (Empirical Testing) theo các giai đoạn:

  1. Thiết lập môi trường Lab: Cấu hình mạng máy chủ nội bộ ảo hóa (KVM/ESXi) và các tài khoản dịch vụ Cloud (AWS Free Tier, Azure Student/Trial).
  2. Triển khai Data Pipelines: Cài đặt Agent, cấu hình Add-on (Splunk Add-on for AWS, Splunk Add-on for Microsoft Cloud Services) và cấu hình Wazuh Cloud Integrations thông qua AWS S3 Bucket, Azure Storage Account Blob.
  3. Phát triển Rule & Decoder: Xây dựng tập luật XML trên Wazuh và cấu hình Saved Search Alert trên Splunk.
  4. Kiểm thử tấn công giả lập (Red Teaming): Dùng công cụ Hydra/Nmap để quét và tấn công vét cạn SSH; cài đặt mã độc thử nghiệm để kiểm tra FIM, YARA và ClamAV.
  5. Đo đạc và đánh giá chỉ số: Đo lường độ trễ tiếp nhận cảnh báo, mức độ tiêu thụ RAM/CPU và độ chính xác của cơ chế phản hồi.

Implementation và kết quả

Quá trình triển khai kỹ thuật (Development Process)

1. Cấu hình thu thập dữ liệu Splunk (inputs.conf)

Trên Splunk Universal Forwarder (Linux/Windows), các file cấu hình inputs.conf được triển khai để bắt log hệ thống và tích hợp module diệt virus:

[monitor:///var/log/auth.log]
disabled = false
sourcetype = syslog
index = os_linux

[monitor:///var/log/clamav/clamav.log]
disabled = false
sourcetype = clamav_log
index = security_malware

Truy vấn SPL phát hiện tấn công vét cạn SSH trên Splunk:

index=os_linux sourcetype=syslog "Failed password for"
| rex "Failed password for (invalid user )?(?<user>\S+) from (?<src_ip>\d+\.\d+\.\d+\.\d+) port (?<src_port>\d+)"
| stats count by src_ip, user
| where count >= 5
| eval alert_action="block_ip"

Cấu hình Alert Action trên Splunk để tự động gọi script thực thi chặn IP thông qua iptables:

#!/bin/bash
# Script: /opt/splunk/bin/scripts/block_ip.sh
SRC_IP=$1
if [ ! -z "$SRC_IP" ]; then
    iptables -A INPUT -s $SRC_IP -j DROP
    echo "$(date) - Blocked IP: $SRC_IP" >> /var/log/splunk_active_response.log
fi

2. Cấu hình giải mã và tập luật trên Wazuh (Decoders & Rules)

Tích hợp công cụ quét mã độc YARA và phân tích kết quả log trong Wazuh Server thông qua custom decoder và custom rule XML:

<!-- Custom Decoder: /var/ossec/etc/decoders/local_decoder.xml -->
<decoder name="yara_decoder">
  <prematch>^YARA: </prematch>
</decoder>

<decoder name="yara_child">
  <parent>yara_decoder</parent>
  <regex offset="after_parent">rule: '(\S+)' file: '(\S+)' action: '(\S+)'</regex>
  <order>yara_rule, yara_path, yara_action</order>
</decoder>

<!-- Custom Rule: /var/ossec/etc/rules/local_rules.xml -->
<group name="malware_detection,yara,">
  <!-- Rule cảnh báo phát hiện tệp độc hại -->
  <rule id="100100" level="12">
    <decoded_as>yara_decoder</decoded_as>
    <field name="yara_action">DETECTED</field>
    <description>YARA Scanner detected malware: Rule $(yara_rule) on file $(yara_path)</description>
    <group>pci_dss_11.4,mitre_t1204,</group>
  </rule>

  <!-- Rule phát hiện tấn công SSH Brute Force -->
  <rule id="100101" level="10" frequency="5" timeframe="60">
    <if_matched_sid>5710</if_matched_sid>
    <same_source_ip />
    <description>SSHD: Multiple failed logins from same source IP $(srcip) - Potential Brute Force</description>
  </rule>
</group>

Cấu hình cơ chế Active Response tự động kích hoạt script xóa mã độc và chặn IP trong file ossec.conf:

<!-- Cấu hình Command & Active Response trên Wazuh Manager -->
<command>
  <name>remove-malware</name>
  <executable>remove-malware.sh</executable>
  <expect>yara_path</expect>
  <timeout_allowed>no</timeout_allowed>
</command>

<active-response>
  <command>remove-malware</command>
  <rules_id>100100</rules_id>
  <location>local</location>
</active-response>

<command>
  <name>firewall-drop</name>
  <executable>firewall-drop</executable>
  <timeout_allowed>yes</timeout_allowed>
</command>

<active-response>
  <command>firewall-drop</command>
  <rules_id>100101</rules_id>
  <location>local</location>
  <timeout>600</timeout> <!-- Tự động unblock sau 10 phút -->
</active-response>

Kết quả kiểm thử và đo lường (Testing & Benchmarks)

Hệ thống được đưa vào kiểm thử thực tế với 2 kịch bản trọng tâm:

  1. Kịch bản 1: Phát hiện và xử lý mã độc

    • Tác vụ: Sao chép file chứa mã độc vào thư mục /home/user/downloads.
    • Phản ứng Wazuh: Module FIM ghi nhận sự kiện thay đổi trạng thái tệp tin $\rightarrow$ Kích hoạt script YARA scan $\rightarrow$ Log YARA được xuất ra $\rightarrow$ Bộ Decoder trích xuất thông tin $\rightarrow$ Rule 100100 kích hoạt cảnh báo Level 12 $\rightarrow$ Active Response thực thi remove-malware.sh xóa vĩnh viễn tệp độc hại trong vòng < 1.5 giây.
    • Phản ứng Splunk: ClamAV ghi log phát hiện virus $\rightarrow$ Universal Forwarder gửi log về Indexer $\rightarrow$ Scheduled Alert truy vấn SPL phát hiện sự kiện $\rightarrow$ Gọi Alert Action thực thi script xử lý trong vòng ~5 - 10 giây (phụ thuộc vào chu kỳ quét scheduled search).

  2. Kịch bản 2: Tấn công vét cạn SSH (SSH Brute Force Attack)

    • Tác vụ: Sử dụng script tự động gửi 10 yêu cầu đăng nhập SSH sai mật khẩu liên tục từ IP 192.168.1.150 trong 15 giây.
    • Kết quả: Cả hai hệ thống đều trích xuất chính xác trường srcip / src_ip. Wazuh thực thi firewall-drop khóa IP ngay tại lần thử thứ 5, đồng thời thiết lập bộ đếm tự động mở khóa (Unblock) sau 600 giây. Splunk ghi nhận cảnh báo trên Dashboard và kích hoạt script iptables drop gói tin thành công.
+-------------------------------------------------------------------------+
|                  SO SÁNH THỜI GIAN ĐÁP ỨNG PHẢN HỒI SỰ CỐ               |
|                                                                         |
|  Kịch bản 1: Xóa mã độc                                                |
|  - Wazuh (FIM + YARA + Active Response):  [===] 1.5s                    |
|  - Splunk (ClamAV + Scheduled SPL Alert): [==================] 8.0s     |
|                                                                         |
|  Kịch bản 2: Chặn IP Tấn công SSH                                      |
|  - Wazuh (Real-time Rule + Active Resp):  [==] 0.8s                     |
|  - Splunk (Real-time Alert Action):       [=====] 2.2s                  |
+-------------------------------------------------------------------------+

Đổi mới và đóng góp

  1. Chuẩn hóa quy trình giám sát Hybrid Multi-Cloud: Xây dựng thành công quy trình kết nối và thu thập log xuyên suốt từ hệ thống On-premises (Windows Event Logs, Linux Syslog) đến Cloud (AWS CloudTrail, S3, CloudWatch, Azure Event Hub, Azure Storage Account), giải quyết triệt để bài toán "điểm mù an ninh".
  2. Cơ chế phản hồi sự cố khép kín (Closed-loop Automated Response): Không chỉ dừng lại ở vai trò cảnh báo thụ động, nghiên cứu đã tích hợp cơ chế tự động hóa phản hồi sự cố trực tiếp ở mức endpoint (host-based response) với độ trễ thấp và khả năng tự phục hồi (tự động unblock IP).
  3. Phân tích đối sánh kỹ thuật chuyên sâu: Cung cấp bảng đánh giá toàn diện giữa hai trường phái SIEM đại diện (Thương mại vs. Mã nguồn mở):
Đặc tính kỹ thuật Splunk Enterprise Wazuh + Elastic Stack
Mô hình bản quyền Độc quyền thương mại (Proprietary) Mã nguồn mở hoàn toàn (GPLv2 / Apache 2.0)
Cơ chế phân tích Schema-on-Read, phân tích khi truy vấn (SPL) Schema-on-Write, giải mã thời gian thực qua Decoders
Tài nguyên Agent Cực nhẹ (Universal Forwarder: ~30MB RAM) Vừa phải (Wazuh Agent: ~50-80MB RAM do tích hợp FIM/SCA)
Tích hợp sẵn tính năng Cần cài thêm App/Add-on từ Splunkbase Tích hợp sẵn HIDS, FIM, SCA, CIS Benchmark, Rootcheck
Tự động phản hồi Cần thiết lập Alert Action / Webhook / SOAR Tích hợp sẵn Module Active Response mạnh mẽ, linh hoạt
Khả năng mở rộng Rất cao với Indexer Cluster, Search Head Cluster Rất cao với Multi-node Elasticsearch Cluster
Chi phí vận hành (TCO) Cao (chi phí license tăng theo volume GB log/ngày) Thấp đến trung bình (chỉ tính chi phí hạ tầng máy chủ)

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tiễn

  • Trung tâm vận hành an ninh (SOC) cho Doanh nghiệp vừa và nhỏ (SMEs): Wazuh là lựa chọn tối ưu giúp doanh nghiệp thiết lập hệ thống SIEM/HIDS đạt chuẩn PCI-DSS, ISO 27001 với chi phí bản quyền 0 đồng, tận dụng tối đa phần cứng sẵn có.
  • Doanh nghiệp lớn và Tập đoàn tài chính: Splunk Enterprise phù hợp cho các đơn vị có khối lượng log hàng Terabyte mỗi ngày, cần khả năng điều tra số học (Digital Forensics) chuyên sâu thông qua ngôn ngữ truy vấn SPL linh hoạt và yêu cầu hỗ trợ kỹ thuật 24/7 từ hãng.

Yêu cầu phần cứng và triển khai (Sizing Guidelines)

+-------------------------------------------------------------------------+
|                  CẤU HÌNH PHẦN CỨNG ĐỀ XUẤT (ALL-IN-ONE)                |
+----------------------+--------------------+-----------------------------+
| Thành phần           | Splunk Enterprise  | Wazuh + Elastic Stack       |
+----------------------+--------------------+-----------------------------+
| Hệ điều hành         | Ubuntu 20.04 / RHEL| Ubuntu 20.04 LTS / CentOS 8 |
| CPU                  | 8 - 16 Cores       | 4 - 8 Cores                 |
| Bộ nhớ RAM           | 16 - 32 GB         | 8 - 16 GB                   |
| Ổ cứng lưu trữ       | SSD 500GB+ (NVMe)  | SSD 250GB - 500GB           |
| Băng thông mạng      | 1 Gbps             | 1 Gbps                      |
| Quy mô giám sát      | 50 - 200 Endpoints | 50 - 100 Endpoints          |
+----------------------+--------------------+-----------------------------+

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Giới hạn môi trường thử nghiệm: Nghiên cứu được thực nghiệm trên quy mô lab, chưa đánh giá hết hiện tượng nghẽn cổ chai (bottleneck) khi hệ thống tiếp nhận trên 10,000 sự kiện mỗi giây (EPS).
  • Hạn chế phiên bản miễn phí: Phiên bản dùng thử của Splunk giới hạn 500MB log/ngày và bị vô hiệu hóa một số tính năng phân quyền người dùng nâng cao.

Hướng phát triển tương lai

  • Tích hợp nền tảng SOAR: Kết nối Wazuh/Splunk với các nền tảng tự động hóa điều phối an ninh mã nguồn mở như Shuffle hoặc TheHive / Cortex để xử lý sự cố phức tạp theo kịch bản Playbook.
  • Ứng dụng Trí tuệ nhân tạo & Học máy: Triển khai module Machine Learning trên Elasticsearch hoặc Splunk MLTK để phát hiện bất thường hành vi đăng nhập và cảnh báo sớm các đợt tấn công APT không có chữ ký.
  • Mở rộng giám sát Container & Kubernetes: Tích hợp sâu hơn vào hệ sinh thái Docker Engine, Kubernetes API để quản lý an ninh cho kiến trúc Microservices.

Đối tượng hưởng lợi

  • Sinh viên & Nghiên cứu sinh: Cung cấp tài liệu thực hành chi tiết, các mẫu cấu hình chuẩn XML/SPL và kiến trúc triển khai thực tế của hai nền tảng SIEM hàng đầu.
  • Kỹ sư An toàn thông tin (SOC/DevSecOps): Nắm vững phương pháp tích hợp giám sát log đa nền tảng (On-prem, AWS, Azure) và kỹ thuật viết rule/decoder chuẩn hóa.
  • Doanh nghiệp & Cấp quản lý CNTT (CIO/CISO): Có cơ sở định lượng rõ ràng để lựa chọn giải pháp SIEM phù hợp giữa hiệu năng, tính năng và bài toán tối ưu hóa chi phí đầu tư (ROI/TCO).

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai mô hình thử nghiệm là gì?

Máy chủ thử nghiệm cần tối thiểu 4 Core CPU, 8GB RAM, 50GB dung lượng đĩa trống chạy Ubuntu Server 20.04 LTS. Đối với endpoint, Agent chỉ yêu cầu tối thiểu 1 vCPU và 512MB RAM khả dụng.

2. Wazuh và Splunk xử lý khả năng mở rộng (Scalability) như thế nào khi lượng dữ liệu tăng đột biến?

Splunk mở rộng thông qua cụm Indexer Cluster kết hợp bộ cân bằng tải và Search Head Cluster. Wazuh mở rộng bằng cách thiết lập Wazuh Cluster Daemon đồng bộ hóa giữa các Manager và kết nối với cụm Elasticsearch Cluster phân tán đa node.

3. Làm thế nào để thu thập log an toàn từ các chi nhánh từ xa về SIEM tập trung?

Wazuh Agent và Splunk Universal Forwarder đều hỗ trợ mã hóa dữ liệu trên đường truyền qua giao thức TLS/SSL hoặc AES-256, cho phép truyền an toàn qua mạng Internet mà không nhất thiết phải thiết lập kênh VPN riêng biệt.

4. Chi phí bản quyền giữa Splunk Enterprise và Wazuh chênh lệch như thế nào?

Wazuh là phần mềm mã nguồn mở hoàn toàn miễn phí bản quyền (không giới hạn số lượng agent và dung lượng log). Splunk Enterprise tính phí bản quyền dựa trên khối lượng dữ liệu nạp vào mỗi ngày (GB/day), có thể từ vài nghìn đến hàng trăm nghìn USD mỗi năm cho quy mô doanh nghiệp lớn.

5. Tại sao nên chọn Wazuh thay vì Splunk cho doanh nghiệp vừa và nhỏ?

Wazuh tích hợp sẵn các tính năng Endpoint Security (FIM, Rootcheck, SCA, Active Response) mà không cần cài đặt thêm module ngoài, đồng thời tiết kiệm 100% chi phí bản quyền phần mềm, giúp tối ưu hóa ngân sách cho các đơn vị có nguồn lực tài chính giới hạn.

Kết luận

Đồ án đã nghiên cứu và triển khai thành công hệ thống giám sát và quản lý thông tin sự kiện an toàn thông tin (SIEM) trên hai nền tảng đại diện là Splunk Enterprise và Wazuh, bao phủ toàn diện hạ tầng máy chủ nội bộ kết hợp đa đám mây (AWS và Azure). Kết quả thực nghiệm đã chứng minh:

  • Splunk Enterprise vượt trội về khả năng phân tích dữ liệu linh hoạt thông qua ngôn ngữ tìm kiếm SPL và hệ sinh thái ứng dụng phong phú, là lựa chọn hàng đầu cho các tổ chức yêu cầu khả năng điều tra an ninh phức tạp.
  • Wazuh khẳng định vị thế là giải pháp SIEM/HIDS mã nguồn mở toàn diện nhất hiện nay với khả năng phát hiện mối đe dọa trực tiếp trên endpoint, chi phí sở hữu tối ưu và cơ chế Active Response tự động hóa phản hồi sự cố thời gian thực cực kỳ hiệu quả.

Nghiên cứu này cung cấp tài liệu tham khảo kỹ thuật chuẩn xác và lộ trình triển khai chi tiết cho các kỹ sư an toàn thông tin trong việc xây dựng trung tâm điều hành SOC hiện đại.