Bối cảnh và vấn đề nghiên cứu

Sự mở rộng nhanh chóng về quy mô hạ tầng công nghệ thông tin cùng nhu cầu cung cấp dịch vụ liên tục đã thúc đẩy các tổ chức, doanh nghiệp chuyển dịch mô hình hạ tầng. Bên cạnh các máy chủ vật lý truyền thống tại cơ sở (on-premises), việc ứng dụng hệ thống máy chủ đám mây (cloud servers) và kiến trúc vi dịch vụ (microservices) trên các nền tảng như Microsoft Azure hay Amazon Web Services (AWS) trở nên phổ biến. Tuy nhiên, môi trường vận hành phân tán và đa nền tảng (hybrid) đặt ra thách thức lớn cho công tác quản trị và an toàn thông tin: các công cụ giám sát độc lập gây phân mảnh dữ liệu nhật ký (log), kéo dài thời gian phát hiện và hạn chế khả năng phản ứng kịp thời trước các sự cố an ninh mạng.

Trước thực tế đó, đề tài khóa luận tập trung vào việc nghiên cứu, triển khai thử nghiệm và đánh giá so sánh hai giải pháp quản lý thông tin và sự kiện an toàn thông tin (SIEM - Security Information and Event Management) tiêu biểu là Splunk Enterprise (nền tảng thương mại) và Wazuh (nền tảng mã nguồn mở tích hợp Elastic Stack).

Mục tiêu và nhiệm vụ nghiên cứu của khóa luận được xác định gồm 5 nội dung:

  1. Nghiên cứu tổng quan lý thuyết về hệ thống SIEM, cấu trúc hoạt động và kiến trúc kỹ thuật của hai giải pháp Splunk Enterprise và Wazuh cùng các dịch vụ giám sát trên nền tảng điện toán đám mây Azure và AWS.
  2. Thiết kế và xây dựng hai mô hình thử nghiệm hệ thống giám sát song song cho hạ tầng máy chủ nội bộ (Windows, Linux) và hạ tầng đám mây (Azure, AWS).
  3. Triển khai các phương pháp thu thập và chuẩn hóa dữ liệu nhật ký sự kiện trên cả hai nền tảng Splunk và Wazuh.
  4. Xây dựng các tập luật (rules), bộ giải mã (decoders), bảng điều khiển (dashboard) và kịch bản tự động phản hồi sự cố (active response/alert action) đối với hai trường hợp cụ thể: phát hiện mã độc và phát hiện tấn công vét cạn (brute-force) mật khẩu qua giao thức SSH.
  5. Tiến hành so sánh, phân tích ưu điểm, nhược điểm và hiệu quả vận hành của Splunk Enterprise và Wazuh dựa trên các tiêu chí kỹ thuật thực tế.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các nền tảng SIEM (Splunk Enterprise, Wazuh); dữ liệu nhật ký, sự kiện an toàn thông tin thu thập từ máy chủ nội bộ và các dịch vụ đám mây; cơ chế phân tích và tính năng phản hồi tự động trước sự cố.
  • Đối tượng sử dụng: Bộ phận quản trị hệ thống, đội ngũ giám sát vận hành an toàn thông tin (SOC) tại doanh nghiệp và môi trường nghiên cứu học thuật.
  • Phạm vi nghiên cứu:
    • Hệ thống máy chủ nội bộ chạy hệ điều hành Windows và Linux.
    • Hệ thống máy chủ và dịch vụ đám mây cơ bản trên Microsoft Azure (Azure App Service, Storage Account, Event Hub, Virtual Machine) và Amazon Web Services (Amazon EC2, S3, CloudWatch, CloudTrail, EBS, Billing).
    • Phương pháp xử lý, tương quan sự kiện và kịch bản phản hồi sự cố cho mã độc (Malware) và tấn công dò quét SSH.

Cơ sở lý thuyết và phương pháp

Khóa luận dựa trên nền tảng lý thuyết của hệ thống SIEM – giải pháp kết hợp giữa Quản lý thông tin bảo mật (SIM - Security Information Management) và Quản lý sự kiện bảo mật (SEM - Security Event Management). Quy trình hoạt động chuẩn của SIEM được tác giả hệ thống hóa qua 4 bước:

  1. Thu thập dữ liệu (Data Collection): Gom nhật ký từ máy chủ, thiết bị mạng (Firewall, Switch, Router), giải pháp bảo mật (IDS/IPS, Endpoint Security) và dịch vụ đám mây.
  2. Chuẩn hóa và kết hợp (Normalize & Aggregate): Phân tách các trường dữ liệu thô thành định dạng có cấu trúc để phục vụ truy vấn và liên kết thông tin.
  3. Phân tích và tương quan (Analyze & Correlate): Áp dụng các bộ quy tắc (rules) và logic tìm kiếm để phát hiện hành vi bất thường hoặc dấu hiệu xâm nhập.
  4. Cảnh báo và phản hồi (Alert & Respond): Phân loại mức độ rủi ro, kích hoạt thông báo và thực thi các biện pháp ngăn chặn.

Phương pháp nghiên cứu thực nghiệm và thiết kế hệ thống được áp dụng xuyên suốt đề tài:

  • Phương pháp thu thập và phân tích tài liệu kỹ thuật: Nghiên cứu tài liệu chuyên sâu của Splunk Inc., Wazuh documentation, Center for Internet Security (CIS) benchmarks và các tài liệu API của Azure, AWS.
  • Phương pháp thực nghiệm - mô phỏng: Xây dựng phòng thí nghiệm ảo hóa kết hợp hạ tầng đám mây thực tế để triển khai cài đặt Splunk Enterprise và Wazuh.
  • Phương pháp kiểm thử use-case: Tạo lập các kịch bản tấn công thực tế (lây nhiễm tệp mã độc, tấn công vét cạn SSH) nhằm kiểm tra khả năng bắt log, kích hoạt cảnh báo và tự động thực thi script phản hồi.
  • Phương pháp so sánh đối chiếu: Tổng hợp các thông số kỹ thuật, khả năng cấu hình, độ phức tạp khi vận hành và tính năng trực quan hóa của hai giải pháp trên cùng một tập dữ liệu đầu vào.

Thiết kế và triển khai hệ thống

1. Kiến trúc hệ thống Splunk Enterprise

Kiến trúc Splunk Enterprise được triển khai theo mô hình phân tầng chức năng (Tiered Architecture):

  • Data Input Tier (Splunk Forwarder): Sử dụng Universal Forwarder (tiêu tốn ít tài nguyên máy chủ đích, chỉ chuyển tiếp dữ liệu thô) hoặc Heavy Forwarder (phân tách và lập chỉ mục dữ liệu trước khi gửi đi).
  • Indexing Tier (Splunk Indexer): Tiếp nhận dữ liệu, biến đổi thành sự kiện có thể phân tích, lưu trữ dữ liệu thô (raw data) và dữ liệu chỉ mục (index data) vào các cấu trúc thư mục gọi là buckets (chia theo mốc thời gian: hot, warm, cold, frozen). Splunk sử dụng cơ chế Cyclic Redundancy Check (CRC) băm 256 bytes đầu tiên của tệp kết hợp trường seekAddress để theo dõi và chỉ đọc các phần dữ liệu mới phát sinh.
  • Search Management Tier (Splunk Search Head): Cung cấp giao diện đồ họa, điều phối các tiến trình tìm kiếm phân tán thông qua ngôn ngữ truy vấn chuyên dụng SPL (Search Processing Language), quản lý các Add-on và ứng dụng (Apps) từ kho ứng dụng Splunkbase.

2. Kiến trúc hệ thống Wazuh

Wazuh được thiết kế gồm ba thành phần chính:

  • Wazuh Agent: Chạy trên các endpoint với cấu trúc mô-đun hóa linh hoạt: Log collector, Command execution, File Integrity Monitoring (FIM), Security Configuration Assessment (SCA - kiểm tra theo chuẩn CIS), System inventory, Malware detection, Active response, Container security monitoring (tích hợp Docker Engine API) và Cloud security monitoring. Agent liên lạc với server qua kênh bảo mật sử dụng mã hóa AES (khối 128-bit, khóa 256-bit).
  • Wazuh Server: Chứa Analysis Engine để giải mã dữ liệu thông qua decoders và khớp với rules; Agents registration service; Agents connection service; Wazuh cluster daemon và Filebeat. Dữ liệu sự kiện được ghi nhận tại hai tệp lưu trữ cục bộ: /var/ossec/logs/archives/archives.json (toàn bộ sự kiện) và /var/ossec/logs/alerts/alerts.json (các sự kiện kích hoạt cảnh báo), sau đó được nén hằng ngày và tạo mã băm kiểm tra toàn vẹn (MD5, SHA1, SHA256).
  • Elastic Stack: Sử dụng Filebeat để vận chuyển log theo thời gian thực tới Elasticsearch qua cổng mã hóa TLS; Elasticsearch thực hiện lưu trữ phân tán và đánh chỉ mục; Kibana hiển thị giao diện người dùng và các bảng điều khiển trực quan hóa.
Thành phần / Dịch vụ Giao thức Cổng mặc định Chức năng kỹ thuật
Wazuh Agent Connection TCP / UDP 1514 Nhận dữ liệu sự kiện từ các agent về server
Wazuh Agent Registration TCP 1515 Đăng ký và cấp phát pre-shared key cho agent mới
Wazuh Cluster Daemon TCP 1516 Đồng bộ hóa dữ liệu giữa các nút máy chủ Wazuh
Wazuh RESTful API TCP 55000 Giao tiếp điều khiển, cấu hình server và tích hợp Kibana
Elasticsearch REST API TCP 9200 Nhận dữ liệu index từ Filebeat và phục vụ truy vấn
Elasticsearch Cluster TCP 9300 - 9400 Giao tiếp nội bộ giữa các nút trong cụm Elasticsearch
Kibana Web UI TCP 5601 Giao diện đồ họa người dùng và hiển thị dashboard
Splunk Forwarding TCP 9997 Nhận luồng dữ liệu nhật ký từ Splunk Forwarder
Splunk Deployment Server TCP 8089 Quản lý cấu hình tập trung và kiểm tra trạng thái forwarder
Splunk Network Collector TCP / UDP 1514 (hoặc tùy biến) Thu thập syslog từ thiết bị mạng không cài đặt được agent

Nội dung chính theo từng chương

Chương 1 — Mở đầu

Chương này nêu rõ tính cấp thiết của đề tài trong bối cảnh các mối đe dọa an toàn thông tin gia tăng song hành với sự phức tạp của hạ tầng điện toán đám mây kết hợp nội bộ. Tác giả trình bày mục tiêu xây dựng giải pháp giám sát tập trung, đối tượng nghiên cứu, phạm vi ứng dụng và phương pháp tiếp cận đề tài.

Chương 2 — Kiến thức nền tảng

Chương 2 phân tích chi tiết khái niệm, nguyên lý hoạt động và các giai đoạn vận hành của hệ thống SIEM. Tác giả chỉ ra các ưu điểm vượt trội (quản lý tập trung, tương quan sự kiện, bảng điều khiển trực quan) và các khó khăn cố hữu (yêu cầu lọc nhiễu log, độ phức tạp khi xây dựng quy tắc và áp lực về trình độ nhân sự vận hành). Đồng thời, chương này cung cấp kiến trúc chuyên sâu của Splunk Enterprise (Forwarder, Indexer, Search Head, SPL), Wazuh (Agent, Server, Elastic Stack) và tổng quan các dịch vụ cơ bản trên Microsoft Azure (Virtual Machine, App Service, Storage Account, Event Hub) cùng Amazon Web Services (EC2, S3, CloudWatch, CloudTrail, EBS, Billing).

Chương 3 — Phương pháp thu thập dữ liệu

Trình bày cơ chế thu thập dữ liệu của từng nền tảng:

  • Splunk: Sử dụng tệp cấu hình inputs.conf trên Universal Forwarder để theo dõi tệp/thư mục cục bộ (port 9997), nhận dữ liệu mạng (port 1514), tích hợp Splunk Add-on for Microsoft Cloud Services qua Azure Event Hub/Storage Account/APIs, và Splunk Add-on for AWS kết hợp HTTP Event Collector (HEC) hoặc truy vấn API trực tiếp từ S3/CloudWatch.
  • Wazuh: Thu thập log hệ thống nội bộ qua mô-đun Log collector; thu thập dữ liệu đám mây qua mô-đun Cloud security monitoring giao tiếp với Azure APIs và AWS S3/CloudTrail bucket.

Chương 4 — Phương pháp phân tích dữ liệu

Phân tích cơ chế xử lý log:

  • Splunk: Phân chia dữ liệu vào các bucket theo nhãn thời gian, bóc tách trường dữ liệu động và xử lý dữ liệu thông qua các câu truy vấn SPL (Search Processing Language) để tạo cảnh báo (Alert) và bảng biểu (Dashboard).
  • Wazuh: Dữ liệu thô trải qua hai giai đoạn: Pre-decoding (trích xuất thời gian, hostname, tên chương trình) và Decoding (sử dụng biểu thức chính quy để tách các trường như source IP, username, event ID). Tiếp theo, Analysis Engine so khớp với bộ quy tắc XML theo cấu trúc phân cấp (rule id, rule level). Dữ liệu sau phân tích được Filebeat chuyển sang Elasticsearch để đánh chỉ mục và trực quan hóa trên Kibana.

Chương 5 — Triển khai hệ thống giám sát

Mô tả chi tiết quá trình cấu hình thực tế:

  • Splunk: Thiết lập các Dashboard giám sát cho máy chủ Windows (Overview, Process, Registry), máy chủ Linux (Overview, Authentication, Network Interfaces, Installed Packages), giám sát Azure (Azure Activity, Web App Health) và AWS (EC2 Overview, EBS, Billing).
  • Wazuh: Cài đặt các Dashboard giám sát hệ thống nội bộ (số lần truy cập, đăng nhập thành công, đánh giá cấu hình bảo mật Linux SCA, quản lý tiến trình, kiểm tra tính toàn vẹn tệp tin Windows FIM) và Dashboard giám sát đám mây (Wazuh Activity cho Azure Web App Service, sự kiện AWS EC2 SSH Login và trạng thái dừng máy ảo).

Chương 6 — Phát hiện và phản hồi sự cố

Xây dựng và thực nghiệm 2 kịch bản an ninh:

  1. Kịch bản phát hiện mã độc:
    • Splunk: Thu thập log quét từ ClamAV thông qua Add-on, thiết lập câu truy vấn SPL nhận diện mã độc và cấu hình Trigger Action thực thi script xóa tệp tin độc hại.
    • Wazuh: Sử dụng mô-đun FIM phát hiện tệp mới/thay đổi checksum, kích hoạt công cụ quét mã độc YARA bằng script thực thi, viết decoder trích xuất các trường thông tin (yara_rule, yara_path, deleted_message) và áp dụng quy tắc Active Response để tự động cô lập hoặc xóa tệp.
  2. Kịch bản phát hiện tấn công vét cạn mật khẩu SSH:
    • Splunk: Thu thập log xác thực thất bại liên tiếp, tạo quy tắc cảnh báo bằng SPL và kích hoạt Alert Action chạy script chặn địa chỉ IP vi phạm trên tường lửa.
    • Wazuh: Thu thập log SSHD, sử dụng tập luật có sẵn và tùy biến để phát hiện hành vi brute-force, kích hoạt tính năng Active Response chặn IP trên firewall cục bộ, đồng thời hỗ trợ cơ chế tự động mở khóa (unblock) sau một khoảng thời gian chờ (timeout) định trước.

Chương 7 — So sánh và đánh giá

Tổng hợp và phân tích toàn diện các kết quả thực nghiệm giữa Splunk Enterprise và Wazuh theo nhiều khía cạnh kỹ thuật, bản quyền và vận hành.

Chương 8 — Kết luận và hướng phát triển

Tóm lược các kết quả đạt được của khóa luận và đề xuất các giải pháp nâng cấp, mở rộng hệ thống trong tương lai.

Kết quả và đóng góp

Khóa luận đã hoàn thành việc triển khai hai hệ sinh thái giám sát an toàn thông tin hoàn chỉnh, chứng minh tính khả thi của cả hai giải pháp trên môi trường hỗn hợp (Hybrid Environment).

Tiêu chí so sánh Splunk Enterprise Wazuh
Mô hình bản quyền Thương mại (tính phí dựa trên dung lượng dữ liệu nạp mỗi ngày) Mã nguồn mở (miễn phí giấy phép sử dụng)
Kiến trúc giám sát Endpoint Cần cài đặt Splunk Forwarder kết hợp các Add-on chuyên dụng Tích hợp sẵn nhiều mô-đun bảo mật (FIM, SCA, Rootkit/Malware, Inventory)
Ngôn ngữ truy vấn & Phân tích Ngôn ngữ SPL mạnh mẽ, linh hoạt, hỗ trợ xử lý thống kê phức tạp Cú pháp truy vấn của Elasticsearch kết hợp bộ giải mã/quy tắc định dạng XML
Trực quan hóa & Báo cáo Hệ thống Dashboard phong phú, tích hợp sẵn, tùy biến giao diện cao Giao diện Kibana Plugin, cung cấp sẵn các mẫu Dashboard tuân thủ quy chuẩn
Khả năng phản hồi sự cố Alert Actions (gửi cảnh báo, chạy custom script) Active Response (hỗ trợ chặn IP, dừng tiến trình, xóa tệp, tự động unblock)
Giám sát môi trường Cloud Add-on for AWS và Microsoft Cloud Services (API, HEC, Event Hub) Mô-đun Cloud Security tích hợp sẵn qua API của Azure và AWS S3/CloudTrail

Các đóng góp cụ thể của khóa luận:

  • Xây dựng thành công quy trình thu thập và phân tích dữ liệu đa nguồn từ máy chủ Windows, Linux đến các dịch vụ đám mây AWS (EC2, S3, CloudTrail) và Azure (App Service, Event Hub, Storage Account).
  • Xây dựng các bộ giải mã (decoders) và quy tắc (rules) tùy biến cho công cụ quét mã độc YARA trên nền tảng Wazuh.
  • Hiện thực hóa quy trình phản hồi sự cố tự động khép kín (từ khâu ghi nhận log, phân tích, kích hoạt rule đến thực thi script chặn IP hoặc xóa mã độc) trên cả hai hệ thống.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận ghi nhận một số hạn chế dựa trên phạm vi nghiên cứu và đề xuất các hướng mở rộng:

  • Hạn chế:
    • Quy mô triển khai thử nghiệm mới dừng lại ở các dịch vụ cơ bản của Azure và AWS, chưa bao quát toàn bộ hệ sinh thái dịch vụ đa dạng của các nhà cung cấp đám mây.
    • Các kịch bản phản hồi sự cố mới chỉ tập trung vào hai mối đe dọa điển hình (mã độc cục bộ và tấn công vét cạn SSH) trên phạm vi máy chủ đơn lẻ.
  • Hướng phát triển:
    • Mở rộng quy mô giám sát tới các nền tảng điện toán đám mây khác (như Google Cloud Platform) và các dịch vụ đám mây nâng cao (Kubernetes, Serverless).
    • Tích hợp thêm các nguồn cấp dữ liệu tình báo mối đe dọa (Threat Intelligence Feeds) và áp dụng các mô hình học máy (Machine Learning) để phát hiện bất thường hành vi người dùng (UEBA).
    • Tối ưu hóa hiệu năng cụm phân tán (Clustering) cho cả Indexer của Splunk và Elasticsearch của Wazuh nhằm đáp ứng lưu lượng log lớn trong môi trường doanh nghiệp quy mô lớn.

Giá trị tham khảo

Tài liệu khóa luận mang lại giá trị thực tiễn cao cho:

  • Sinh viên và nghiên cứu viên ngành An toàn Thông tin / Mạng máy tính: Cung cấp tài liệu tham khảo chi tiết về quy trình hoạt động của hệ thống SIEM, cách viết bộ giải mã (decoders), cấu hình quy tắc (rules) trên Wazuh và cú pháp câu lệnh truy vấn SPL trên Splunk Enterprise.
  • Kỹ sư vận hành SOC và quản trị hệ thống: Cung cấp tài liệu hướng dẫn kỹ thuật từng bước để tích hợp thu thập dữ liệu từ môi trường điện toán đám mây (AWS, Azure) về hệ thống giám sát tập trung, cũng như phương pháp thiết lập cơ chế Active Response để tự động hóa quy trình xử lý sự cố ban đầu.

Câu hỏi thường gặp

1. Splunk sử dụng cơ chế nào để tối ưu việc lưu trữ và phân biệt dữ liệu mới khi thu thập tệp tin?
Splunk sử dụng cơ chế Cyclic Redundancy Check (CRC) để băm 256 bytes đầu tiên của tệp dữ liệu rồi so sánh với cơ sở dữ liệu đã lưu. Nếu trùng khớp, Splunk sẽ đối chiếu giá trị seekAddress (số byte đã đọc trước đó) với kích thước tệp hiện tại để chỉ đọc tiếp phần nội dung mới phát sinh mà không đọc lại toàn bộ tệp. Dữ liệu sau đó được phân loại thành raw data và index data, lưu trữ trong các thư mục index chia theo mốc thời gian gọi là các buckets.

2. Quá trình xử lý sự kiện trong Analysis Engine của Wazuh diễn ra qua các giai đoạn nào?
Quá trình xử lý gồm hai bước chính: Giai đoạn giải mã (gồm Pre-decoding để tách thông tin cơ bản như timestamp, hostname, program_name và Decoding để trích xuất các trường dữ liệu chi tiết bằng biểu thức chính quy) và Giai đoạn so khớp quy tắc (khớp dữ liệu đã giải mã với các bộ quy tắc XML phân cấp theo rule id và rule level để quyết định mức độ cảnh báo).

3. Khóa luận đã sử dụng những thành phần nào để liên kết Wazuh với Elastic Stack?
Hệ thống sử dụng Filebeat cài đặt trên Wazuh Server để đọc đầu ra từ Analysis Engine và chuyển các sự kiện, cảnh báo theo thời gian thực tới cụm Elasticsearch (thông qua cổng mã hóa TLS 9200/TCP). Sau khi Elasticsearch đánh chỉ mục dữ liệu, giao diện web Kibana (với Wazuh plugin tích hợp sẵn) sẽ truy vấn API của Wazuh Server (cổng 55000/TCP) và dữ liệu từ Elasticsearch để trực quan hóa lên dashboard.

4. Kịch bản phát hiện và xử lý mã độc tự động trên Wazuh được cấu hình ra sao?
Mô-đun File Integrity Monitoring (FIM) của Wazuh Agent giám sát thư mục và phát hiện tệp mới hoặc tệp bị thay đổi checksum. Sự kiện này kích hoạt lệnh quét tệp thông qua công cụ YARA. Kết quả quét được chuyển về Wazuh Server để phân tích qua bộ decoder tùy biến (bóc tách các trường yara_rule, yara_path, deleted_message). Khi phát hiện mẫu mã độc, quy tắc tương ứng sẽ kích hoạt lệnh Active Response thực thi script xóa bỏ tệp tin độc hại.

5. Điểm khác biệt chính giữa Splunk và Wazuh trong việc tự động chặn tấn công vét cạn SSH là gì?
Splunk sử dụng câu truy vấn SPL để gom nhóm các sự kiện đăng nhập thất bại liên tiếp và kích hoạt Trigger Action chạy script chặn IP vi phạm trên tường lửa. Trong khi đó, Wazuh tận dụng trực tiếp mô-đun Active Response tích hợp sẵn trên Agent: khi Analysis Engine khớp quy tắc SSH brute-force, server gửi lệnh xuống agent để chặn IP qua firewall, đồng thời Wazuh hỗ trợ cấu hình sẵn khoảng thời gian timeout để tự động gỡ chặn (unblock) IP sau đó mà không cần can thiệp thủ công.

Kết luận

Khóa luận tốt nghiệp của tác giả Nguyễn Nhật Quang và Nguyễn Duy Phước đã nghiên cứu toàn diện và triển khai thành công hệ thống giám sát quản lý thông tin sự kiện an toàn thông tin (SIEM) trên cả hai nền tảng Splunk Enterprise và Wazuh. Đề tài đã giải quyết trọn vẹn bài toán thu thập, chuẩn hóa, tương quan dữ liệu trên môi trường hỗn hợp giữa máy chủ nội bộ và hạ tầng điện toán đám mây Azure, AWS. Các thử nghiệm thực tế với kịch bản phát hiện mã độc và ngăn chặn tấn công SSH brute-force đã chứng minh hiệu quả của cơ chế tự động hóa phản hồi sự cố, cung cấp cơ sở so sánh thực nghiệm giá trị giữa giải pháp thương mại và mã nguồn mở cho công tác bảo đảm an toàn thông tin doanh nghiệp.