Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển nhanh chóng, các hệ thống mạng của tổ chức và doanh nghiệp phải đối mặt với nhiều nguy cơ an ninh mạng phức tạp và có chiều hướng gia tăng. Các hiểm họa này bao gồm tấn công từ chối dịch vụ (DDoS), mã độc (malware), lừa đảo (phishing), khai thác lỗ hổng bảo mật, rò rỉ dữ liệu nhạy cảm, xâm nhập chiếm quyền điều khiển hệ thống, tấn công từ nội bộ và tấn công phi kỹ thuật (social engineering). Dữ liệu từ Báo cáo thường niên về hiểm họa an toàn Internet của hãng Symantec giai đoạn 2013–2014 được tác giả trích dẫn cho thấy: Mỹ dẫn đầu về tấn công mã độc (20,7%), Phishing host (46,6%) và tấn công Web (21,1%); Trung Quốc dẫn đầu về máy tính nhiễm Botnet (16,5%) và tấn công mạng (28,7%); trong khi đó Việt Nam đứng thứ 9 về tỷ lệ tấn công mã độc (2,4%) và đứng đầu thế giới về nguồn phát tán Spam zombie (10,1%).

Thực trạng trên đặt ra yêu cầu cấp thiết về việc thiết lập hệ thống giám sát an ninh mạng toàn diện, có khả năng kiểm soát, thu thập toàn bộ lưu lượng dữ liệu và đưa ra cảnh báo kịp thời cho người quản trị. Xuất phát từ bối cảnh đó, tác giả lựa chọn nghiên cứu giải pháp giám sát an ninh mạng IBM QRadar SIEM.

Nhiệm vụ và mục tiêu nghiên cứu của đồ án bao gồm 5 nội dung chính:

  1. Nghiên cứu tổng quan về hệ thống giám sát an ninh mạng và kiến trúc giải pháp SIEM (Security Information and Event Management).
  2. Phân tích chi tiết các thành phần, chức năng phần cứng, cơ chế thu thập, xử lý nhật ký (log), luồng mạng (flow) và các mô hình triển khai của giải pháp IBM QRadar.
  3. Nghiên cứu và mô tả quy trình 5 bước triển khai hệ thống giám sát an ninh mạng cho cơ quan, doanh nghiệp.
  4. Triển khai thử nghiệm mô hình QRadar tập trung (All-in-One) và sử dụng các công cụ kịch bản (script), phần mềm Caldera để phát sinh các sự kiện an ninh (security events) nhằm quan sát, đánh giá khả năng phát hiện tấn công của hệ thống.
  5. Khai thác giao diện lập trình ứng dụng REST API của IBM QRadar kết hợp với nền tảng Grafana để trực quan hóa hành vi và dữ liệu sự kiện an ninh.

Đối tượng nghiên cứu của đồ án là giải pháp quản lý sự kiện và thông tin an toàn thông tin IBM QRadar SIEM, bao gồm các thành phần thu thập, xử lý và phân tích dữ liệu an ninh. Phạm vi nghiên cứu về mặt thực nghiệm được tiến hành trên môi trường mạng thử nghiệm gồm một máy chủ trung tâm (Server), một máy trạm chạy hệ điều hành Linux và một máy trạm chạy hệ điều hành Windows.

Cơ sở lý thuyết và phương pháp

Về mặt cơ sở lý thuyết, tác giả hệ thống hóa quá trình tiến hóa của các giải pháp giám sát an ninh mạng qua ba giai đoạn công nghệ chính:

  • Quản lý thông tin an ninh (SIM - Security Information Management): Tập trung vào việc thu thập, lưu trữ, quản lý log hệ thống và tạo báo cáo tổng thể.
  • Quản lý sự kiện an ninh (SEM - Security Event Management): Phân tích, đánh giá các sự kiện an ninh trong thời gian thực nhằm phát hiện các mẫu hành vi đáng ngờ thông qua phân loại dữ liệu và phân tích hành vi người dùng.
  • Quản lý và phân tích sự kiện an toàn thông tin (SIEM - Security Information and Event Management): Kết hợp toàn diện giữa SIM và SEM, tích hợp các cơ chế thu thập, lưu trữ, phân tích tương quan, phát hiện bất thường, tạo cảnh báo và hỗ trợ xử lý sự cố.

Một hệ thống SIEM tiêu chuẩn bao gồm 6 thành phần cốt lõi: Thu thập dữ liệu, Lưu trữ và quản lý dữ liệu, Phân tích dữ liệu, Phát hiện sự kiện an ninh, Cảnh báo và thông báo, Hồ sơ và báo cáo (Report).

Phương pháp nghiên cứu được áp dụng trong đồ án là phương pháp kỹ thuật thực nghiệm kết hợp phân tích hệ thống:

  • Phương pháp phân tích - tổng hợp tài liệu: Thu thập, đối chiếu thông số kỹ thuật, cấu trúc phân lớp và các mô hình kiến trúc của các dòng thiết bị IBM QRadar từ tài liệu kỹ thuật chuyên ngành.
  • Phương pháp thực nghiệm hệ thống: Cài đặt và cấu hình hệ thống giám sát IBM QRadar theo mô hình tập trung (All-in-One); xây dựng kịch bản Bash script phát sinh dữ liệu log từ đa nguồn thiết bị mạng; triển khai công cụ mô phỏng tấn công Caldera; cấu hình truy xuất dữ liệu qua QRadar REST API bằng Authorized Service Token để tích hợp bảng điều khiển trên Grafana.

Nguồn dữ liệu của nghiên cứu bao gồm: dữ liệu thống kê an ninh mạng từ Symantec; thông số kỹ thuật phần cứng và phần mềm của IBM QRadar (phiên bản 7.6); tập dữ liệu nhật ký sự kiện mô phỏng từ các thiết bị tường lửa, IDS, hệ điều hành và cơ sở dữ liệu; dữ liệu tấn công thực nghiệm từ framework Caldera.

Thiết kế và triển khai hệ thống

Hệ thống IBM QRadar được thiết kế dựa trên các thành phần chức năng chuyên biệt, có thể hoạt động độc lập hoặc tích hợp:

  • Flow Collector (FC): Thu thập luồng dữ liệu mạng thông qua cổng SPAN của Switch/Router hoặc thiết bị Network TAP, sau đó nén, mã hóa và chuyển về Flow Processor qua cổng SSH (port 22).
  • Flow Processor (FP): Xử lý, phân tích luồng dữ liệu dựa trên tập luật; lưu trữ các sự kiện thông thường (mặc định 3 tháng) và chuyển tiếp các cảnh báo lên CONSOLE.
  • Event Collector (EC): Tiếp nhận, chuẩn hóa, nén và mã hóa nhật ký hệ thống từ các thiết bị và ứng dụng, sau đó chuyển tiếp về Event Processor qua cổng 22.
  • Event Processor (EP): Xử lý các sự kiện từ EC dựa trên tập luật phân tích; gửi cảnh báo lên CONSOLE và lưu trữ các sự kiện không cảnh báo.
  • Magistrate: Thành phần phân tích tương quan giữa các hành vi vi phạm (Offenses) với các sự kiện gửi về từ nhiều EP, tạo quy tắc cảnh báo (như gửi email) và quản lý dữ liệu vi phạm.
  • CONSOLE: Thiết bị quản trị trung tâm, tiếp nhận cảnh báo từ EP và FP, chứa các tập luật xử lý, cung cấp giao diện quản lý trên nền web qua giao thức HTTPS (port 443).
Tên thiết bị Vai trò Khả năng xử lý / Giấy phép Bộ nhớ (RAM) Bộ nhớ lưu trữ Giao diện mạng / Cổng kết nối
QRadar 2100 All-in-One 1.000 EPS; 50.000 FPM; hỗ trợ 750 nguồn log Tích hợp sẵn 1.5 TB khả dụng (RAID 10) Cổng 10/100/1000 Base-T (giám sát & quản lý)
QRadar 3105 All-in-One Cơ bản: 1.000 EPS / 25.000 FPM; Nâng cao: 5.000 EPS / 200.000 FPM 64 GB RDIMM (8x8 GB 1600 MHz) 9 TB tổng, 6.2 TB khả dụng (9x 3.2K NL SAS) 2x Base-T giám sát, 1x Base-T quản lý, 1x IMM, 2x 10 Gbps SFP+
QFlow Collector 1201 Thu thập luồng Băng thông 1 Gbps 16 GB RDIMM (4x4 GB 1600 MHz) 2x 2.5" 600 GB SAS 5x Base-T giám sát, 2x 10 Gbps SFP+, 1x Base-T quản lý, 1x IMM
QFlow Processor 1705 Xử lý luồng Cơ bản: 100.000 FPM; Nâng cao: 600.000 FPM 64 GB RDIMM (8x8 GB 1600 MHz) 9 TB tổng, 6.2 TB khả dụng (RAID 5) 2x Base-T giám sát, 1x Base-T quản lý, 1x IMM, 2x 10 Gbps SFP+
Event Collector 1501 Thu thập sự kiện 15.000 EPS; Băng thông 1 Gbps 16 GB RDIMM (4x4 GB 1600 MHz) 2x 2.5" 600 GB SAS (RAID 1) 5x Base-T giám sát, 2x 10 Gbps SFP+, 1x Base-T quản lý, 1x IMM
Event Processor 1605 Xử lý sự kiện Cơ bản: 2.500 EPS; Nâng cao: 20.000 EPS 64 GB RDIMM (8x8 GB 1600 MHz) 9 TB tổng, 6.2 TB khả dụng (RAID 5) 2x Base-T giám sát, 1x Base-T quản lý, 2x 10 Gbps SFP+

Quy trình triển khai giám sát an ninh mạng gồm 5 bước tiêu chuẩn:

  1. Bước 1 - Thảo luận phối hợp: Xác định các bên liên quan (Nhóm quản lý, Nhóm người dùng cuối, Nhà cung cấp dịch vụ), thống nhất mục tiêu, phạm vi, lộ trình và phân công nguồn lực.
  2. Bước 2 - Đánh giá sơ bộ hệ thống: Kiểm kê danh mục thiết bị mạng, máy chủ, ứng dụng, dịch vụ và đo lường lưu lượng mạng thực tế.
  3. Bước 3 - Kiến nghị, đề xuất: Đưa ra phương án bổ sung thiết bị, quy hoạch hạ tầng mạng và xây dựng mô hình vận hành phù hợp.
  4. Bước 4 - Lập kế hoạch và triển khai: Chi tiết hóa phương thức cấu hình thu thập dữ liệu và tiến hành cài đặt hệ thống.
  5. Bước 5 - Vận hành hệ thống: Thực hiện giám sát thường trực 24/7 theo thỏa thuận giữa các bên.

Về quản lý nguồn thu thập, phiên bản QRadar 7.6 hỗ trợ 315 loại Log Source (174 loại có khả năng tự động phân tích) với hơn 52 giao thức được chia thành ba nhóm:

  • Listening Protocols: SysLog, TLS SysLog, TCP Multiline SysLog, UDP Multiline SysLog, SysLog Redirect.
  • Polling Protocols: JDBC, Log File, SMB Tail.
  • Specialty Protocols: REST API Protocols, Amazon AWS, Microsoft Office 365, Subscription Protocols.

Nội dung chính theo từng chương

Chương 1: Tổng quan về hệ thống giám sát an ninh mạng

Chương này phân tích thực trạng an toàn thông tin toàn cầu và trong nước, chỉ rõ 6 nhóm mối đe dọa chính: tấn công mạng, rò rỉ dữ liệu, xâm nhập trái phép, tấn công từ nội bộ, kỹ thuật xã hội và thiếu hụt bảo mật. Tác giả trình bày 6 lý do cấp thiết phải giám sát an ninh mạng: phát hiện sớm hoạt động bất thường, ngăn chặn tấn công, bảo vệ dữ liệu trọng yếu, tuân thủ quy định chuẩn mực, thích ứng với kỹ thuật tấn công mới và hỗ trợ phục hồi sau sự cố. Chương 1 cũng trình bày quá trình phát triển từ SIM, SEM đến giải pháp tích hợp SIEM cùng 6 thành phần cốt lõi cấu thành hệ thống SIEM hoàn chỉnh.

Chương 2: Thiết bị và giải pháp triển khai hệ thống giám sát QRadar SIEM

Nội dung chương 2 tập trung vào cấu trúc phần cứng và cơ chế hoạt động của các thành phần trong giải pháp IBM QRadar (Flow Collector, Flow Processor, Event Collector, Event Processor, CONSOLE, Magistrate). Tác giả cung cấp thông số kỹ thuật chi tiết của các dòng thiết bị chuyên dụng (QRadar 2100, 3105, 1201, 1705, 1501, 1605, 1601, 1624, 1701, 1724). Chương này phân tích hai mô hình kiến trúc:

  • Mô hình tập trung (All-in-One): Tất cả các mô-đun thu thập, xử lý và quản trị được tích hợp trên một máy chủ duy nhất, tối ưu chi phí và nhân lực cho các đơn vị vừa và nhỏ.
  • Mô hình phân tán: Triển khai các bộ thu thập và xử lý riêng biệt tại nhiều phân vùng mạng khác nhau, phục vụ môi trường mạng quy mô lớn.

Ngoài ra, chương 2 phân loại 4 dạng báo cáo an ninh của QRadar: Báo cáo sự kiện (Event Reports), Báo cáo luồng mạng (Flow Reports), Báo cáo tuân thủ (Compliance Reports) và Báo cáo sự cố (Incident Reports).

Chương 3: Quy trình triển khai hệ thống SIEM QRadar

Chương 3 trình bày giải pháp triển khai theo mô hình All-in-One cùng quy trình thực hiện 5 bước. Tác giả mô tả chi tiết giao diện quản trị web (hỗ trợ trình duyệt Mozilla Firefox 38.0 ESR và Google Chrome 46) qua các phân hệ:

  • Tab Dashboard: Hiển thị các biểu đồ tổng hợp vi phạm, hành vi nghiêm trọng nhất, lưu lượng mạng; tự động làm mới mỗi 5 phút.
  • Tab Offenses: Quản lý và điều tra các hành vi vi phạm, hỗ trợ phân loại theo My Offenses, All Offenses, By Category, By Source IP, By Destination IP, By Network, Rules và cho phép xuất dữ liệu ra tệp định dạng .doc.
  • Tab Log Activity: Giám sát và tìm kiếm bản ghi nhật ký hệ thống trong thời gian thực.
  • Tab Admin: Cung cấp các công cụ quản trị cấu hình hệ thống: Auto Update, Backup and Recovery, Index Management, Network Hierarchy, System and License Management (giấy phép dùng thử mặc định 5 tuần), System Health, Asset Profiler Configuration, Custom Offense Close Reasons, Routing Rules và Domain Management.

Trong phần thực nghiệm kỹ thuật, tác giả xây dựng kịch bản Bash script phát sinh sự kiện log tự động từ hơn 20 loại thiết bị và ứng dụng (Palo Alto, Cisco ASA/ACS/WiSM/VPN, FireEye MPS, F5 Networks BigIP/FirePass, McAfee IntruShield, Juniper NetScreen, Oracle, MS SQL, Windows Server, Linux Server, IDS/NIPS/OSSEC). Đồ án sử dụng công cụ Caldera cài đặt agent trên máy nạn nhân để tạo các cuộc tấn công kiểm thử. Cuối cùng, tác giả cấu hình Authorized Service Token để kết nối REST API của QRadar với phần mềm Grafana nhằm trực quan hóa các sự kiện tấn công.

Kết quả và đóng góp

Về mặt kết quả thực nghiệm, đồ án đã hoàn thành các nội dung kỹ thuật sau:

  • Xây dựng thành công hệ thống giám sát an ninh mạng IBM QRadar theo mô hình tập trung All-in-One trên môi trường thử nghiệm gồm 1 máy chủ, 1 máy Linux và 1 máy Windows.
  • Triển khai kịch bản phát sinh sự kiện an ninh giả lập liên tục (chu kỳ 300 giây và 1200 giây), ghi nhận thành công các bản ghi cảnh báo từ IDS/tường lửa như: đăng nhập bằng người dùng không tồn tại (Attempt to login using a non-existent user), lỗi xác thực SSH (SSHD authentication failed), rà quét cổng (scan port), tấn công chèn lệnh (Shell Command Injection), chèn thẻ HTML (HTTP HTML Tag Injection), HTTP PHP Addslashes ViewFiles, XPATH Injection, và tấn công Brute-force từ tường lửa.
  • Mô phỏng tấn công bằng framework Caldera, ghi nhận các sự kiện vi phạm trên QRadar, bao gồm hành vi tấn công từ chối dịch vụ (DOS) và cảnh báo vi phạm Multiple Exploit/Malware Types Targeting a Single Destination containing HTTP GET Requests Long URI Anomaly.
  • Tích hợp thành công giao diện lập trình ứng dụng REST API của QRadar với nền tảng Grafana thông qua chứng chỉ SSL và Authorized Service Token, trực quan hóa biểu đồ tương quan sự kiện giữa các thiết bị và các đợt tấn công DOS.

Về giải pháp và đóng góp:

  • Đồ án chuẩn hóa quy trình 5 bước triển khai hệ thống giám sát an ninh mạng từ khâu khảo sát đến vận hành thực tế.
  • Đưa ra phương pháp luận kết hợp giữa công cụ sinh log tự động và framework kiểm thử Caldera để đánh giá năng lực phát hiện của hệ thống SIEM mà không gây ảnh hưởng đến hệ thống mạng sản xuất.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Thử nghiệm thực tế của đồ án mới dừng lại ở mô hình All-in-One trên quy mô phòng lab nhỏ (gồm một máy chủ, một máy Linux và một máy Windows); chưa tiến hành triển khai và đo kiểm hiệu năng thực tế của mô hình phân tán trên các phần cứng vật lý chuyên dụng (như Event Collector 1501, Event Processor 1605, QFlow Collector 1201).
  • Hướng nghiên cứu tiếp: Mở rộng nghiên cứu sang mô hình phân tán quy mô lớn với nhiều phân vùng mạng; xây dựng và tối ưu hóa các tập luật tùy biến (Custom Rules) chuyên sâu trên thành phần Magistrate; phát triển thêm các bảng điều khiển trực quan hóa đa chiều trên Grafana thông qua việc mở rộng khai thác REST API của QRadar.

Giá trị tham khảo

Tài liệu này là nguồn tham khảo hữu ích cho sinh viên, học viên ngành Công nghệ thông tin, An toàn thông tin, Mạng máy tính và truyền thông dữ liệu, cũng như các kỹ sư an ninh mạng (SOC Analyst), chuyên viên quản trị hệ thống.

Các nội dung có giá trị tham khảo ứng dụng cao gồm:

  • Bảng tổng hợp thông số kỹ thuật chi tiết của các dòng thiết bị phần cứng IBM QRadar phục vụ công tác thiết kế, lập dự toán hạ tầng SIEM.
  • Hướng dẫn quy trình 5 bước triển khai giám sát an ninh mạng từ giai đoạn khảo sát, đánh giá đến vận hành.
  • Cấu trúc kịch bản Bash script phát sinh dữ liệu log đa dạng nguồn thiết bị mạng và phương pháp kết nối QRadar REST API với Grafana để xây dựng hệ thống hiển thị dữ liệu tập trung.

Câu hỏi thường gặp

1. Mô hình triển khai All-in-One của IBM QRadar phù hợp với đối tượng nào và có ưu điểm gì?
Mô hình All-in-One tích hợp toàn bộ các mô-đun thu thập (Collector) và xử lý (Processor) trên một thiết bị máy chủ duy nhất (CONSOLE). Mô hình này phù hợp cho các mạng quy mô vừa và nhỏ (như ngân hàng, doanh nghiệp nhỏ) nhờ ưu điểm tiết kiệm chi phí đầu tư phần cứng, giảm công sức quản lý và vận hành đơn giản.

2. Các thành phần phân tán trong hệ thống QRadar giao tiếp với nhau qua các cổng và giao thức nào?
Các thành phần thu thập (Event Collector và Flow Collector) sau khi nén và mã hóa dữ liệu sẽ chuyển tiếp nhật ký và luồng mạng về cho Event Processor và Flow Processor xử lý thông qua cổng SSH (cổng 22). Sau đó, các cảnh báo được gửi lên máy chủ CONSOLE để người quản trị truy cập qua giao diện web bảo mật HTTPS (cổng 443).

3. Phiên bản QRadar 7.6 hỗ trợ bao nhiêu nguồn Log Source và những nhóm giao thức thu thập nào?
QRadar phiên bản 7.6 hỗ trợ 315 loại Log Source (trong đó có 174 loại hỗ trợ tính năng tự động phân tích lưu lượng) với hơn 52 giao thức, được phân thành 3 nhóm cơ bản: Listening Protocols (SysLog, TLS SysLog...), Polling Protocols (JDBC, Log File, SMB Tail) và Specialty Protocols (REST API Protocols, Amazon AWS, Microsoft Office 365, Subscription Protocols).

4. Tác giả sử dụng phương pháp nào để kiểm thử và kích hoạt các cảnh báo an ninh trên hệ thống QRadar?
Tác giả sử dụng hai phương pháp: (1) Viết kịch bản Bash script để gửi liên tục các bản ghi log giả lập từ hơn 20 loại thiết bị bảo mật, hệ điều hành và CSDL; (2) Sử dụng framework Caldera cài đặt agent trên máy nạn nhân để thực thi các kỹ thuật tấn công thực tế (như Brute-force, DoS, khai thác mã độc).

5. Tab Offenses trên giao diện QRadar có chức năng gì và hỗ trợ xuất báo cáo theo định dạng nào?
Tab Offenses là nơi hiển thị các cảnh báo, nguy cơ tấn công và quản lý các tập luật an ninh. Người quản trị có thể điều hướng, lọc vi phạm theo My Offenses, All Offenses, By Category, By Source IP, By Destination IP, By Network, Rules và xuất dữ liệu vi phạm trực tiếp ra tệp văn bản định dạng .doc.

Kết luận

Khóa luận tốt nghiệp của tác giả Trần Nguyễn Thành Đạt đã nghiên cứu toàn diện hệ thống quản lý an ninh mạng IBM QRadar SIEM từ cơ sở lý thuyết, kiến trúc phần cứng đến quy trình triển khai thực tế. Đề tài đã xây dựng thành công mô hình thử nghiệm All-in-One, thực hiện mô phỏng phát sinh sự kiện log và kiểm thử tấn công bằng Caldera để kiểm chứng năng lực phân tích của hệ thống. Đồng thời, công trình đã khai thác hiệu quả REST API kết hợp với Grafana nhằm nâng cao khả năng trực quan hóa dữ liệu giám sát an ninh mạng.