Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ của hạ tầng điện toán đám mây, an toàn thông tin trở thành ưu tiên sống còn đối với mọi tổ chức và doanh nghiệp. Theo các báo cáo an ninh mạng toàn cầu, các hình thức tấn công mạng như mã độc tống tiền (Ransomware), tấn công từ chối dịch vụ phân tán (DDoS), tấn công xâm nhập Web (SQL Injection, XSS, Command Injection) và các chiến dịch tấn công có chủ đích (APT) đang gia tăng với tốc độ trên 35% mỗi năm. Tại Việt Nam, tỷ lệ các hệ thống bị xâm nhập và trở thành mạng máy tính ma (Botnet/Spam Zombie) chiếm tới 10,1% trên phạm vi toàn cầu, đặt ra yêu cầu cấp thiết về việc xây dựng Trung tâm điều hành an ninh mạng (SOC - Security Operations Center) có năng lực giám sát, thu thập và phân tích sự kiện an ninh liên tục 24/7.

+-----------------------------------------------------------------------------------+
|                              BỐI CẢNH AN NINH MẠNG                               |
+-----------------------------------------------------------------------------------+
|  - 35%+ tỷ lệ gia tăng tấn công mạng hàng năm (DDoS, Malware, Web Exploit, APT)   |
|  - Hàng triệu sự kiện/ngày tạo ra "nhiễu cảnh báo" (Alert Fatigue) cho SOC L1     |
|  - Thiếu khả năng tương quan chéo (Cross-Correlation) giữa Network Flow & Log     |
+-----------------------------------------------------------------------------------+

Vấn đề thực tiễn (Problem Statement)

Các doanh nghiệp hiện nay đối mặt với nhiều khó khăn trong quản lý an ninh hạ tầng:

  • Phân tán dữ liệu nhật ký (Log Silos): Nhật ký bảo mật từ tường lửa (Firewall), hệ thống phát hiện xâm nhập (IDS/IPS), máy chủ cơ sở dữ liệu (DBMS) và hệ điều hành (Windows, Linux) nằm rải rác, không được quy chuẩn hóa.
  • Nhiễu cảnh báo (Alert Fatigue): Quản trị viên phải xử lý hàng trăm nghìn log thô mỗi ngày mà không có cơ chế lọc và xác định tương quan tự động, dẫn đến bỏ sót các đợt tấn công thực sự.
  • Thiếu khả năng giám sát luồng lưu lượng mạng (Flow Visibility): Việc chỉ dựa vào Log Activity mà không phân tích Network Flow khiến hệ thống không thể phát hiện các hành vi bất thường như đường truyền C2 ngầm hoặc rò rỉ dữ liệu (Data Exfiltration).

Mục tiêu dự án

  1. Nghiên cứu toàn diện kiến trúc phần cứng, phần mềm và cơ chế xử lý dữ liệu của giải pháp SIEM hàng đầu thế giới IBM QRadar.
  2. Thiết kế và triển khai thành công mô hình giám sát tập trung QRadar All-in-One Appliance (phiên bản 3105) tích hợp đầy đủ các phân hệ thu thập, phân tích và quản lý vi phạm.
  3. Xây dựng bộ kịch bản tự động hóa mô phỏng tấn công thực tế đa nguồn (Multi-vendor log replay và Framework MITRE Caldera) để đánh giá năng lực phát hiện mối đe dọa.
  4. Lập trình module tích hợp qua QRadar REST API và Grafana Dashboard nhằm trực quan hóa hành vi tấn công và số liệu an ninh mạng theo thời gian thực.

Phương pháp tiếp cận (Solution Approach)

Đề tài tiếp cận giải pháp SIEM theo kiến trúc đa lớp tiêu chuẩn doanh nghiệp của IBM QRadar. Giải pháp kết hợp giữa giám sát dựa trên sự kiện (Event-driven) và giám sát dựa trên luồng mạng (Flow-driven), áp dụng engine phân tích tương quan Magistrate để nhóm các sự kiện liên quan thành từng Offense duy nhất, giúp giảm thiểu 90% số lượng cảnh báo giả.

Kết quả kỳ vọng

  • Hệ thống xử lý ổn định tải sự kiện từ 1.000 đến 5.000 EPS (Events Per Second) và 25.000 đến 200.000 FPM (Flows Per Minute).
  • Tỷ lệ phát hiện chính xác các cuộc tấn công Brute-force, Shell Command Injection, Port Scanning và DOS đạt 100% trong môi trường thử nghiệm.
  • Trích xuất dữ liệu API tự động với độ trễ phản hồi dưới 300ms.

Phạm vi và giới hạn

  • Phạm vi: Triển khai thử nghiệm mô hình QRadar All-in-One trên hạ tầng máy chủ Enterprise kết nối hệ thống máy trạm Windows 10, máy chủ Linux Ubuntu Server và máy chủ Microsoft SQL.
  • Giới hạn: Đề tài tập trung vào cấu hình tương quan, phân tích log và hiển thị báo cáo vi phạm; chưa triển khai phân tán đa cụm Event Collector/Processor vật lý ở quy mô nhiều chi nhánh địa lý.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Trước khi triển khai, việc đánh giá các nền tảng SIEM phổ biến trên thị trường là tiền đề cốt lõi nhằm lựa chọn kiến trúc tối ưu.

Tiêu chí IBM QRadar SIEM Splunk Enterprise Security Elastic SIEM (ELK Stack)
Cơ chế tương quan Real-time Rule Engine (CRE) + Magistrate Search-based SPL Queries (Chạy theo lịch) Index-based Alerting Rules
Giám sát Network Flow Tích hợp sẵn QFlow (Layer 7 Content Analysis) Cần Stream App / Chi phí License cao Cần Packetbeat (Layer 4/7 giới hạn)
Khả năng quản lý vi phạm Tự động gom nhóm thành Offenses Phân tán thành các Notable Events rời rạc Quản lý theo từng Documents Alert
Chi phí & Bản quyền Dựa trên EPS và FPM cố định Dựa trên dung lượng Log nạp (GB/Day) Dựa trên tài nguyên Node phần cứng
Độ phức tạp vận hành Trung bình (Tối ưu hóa sẵn cho SOC) Cao (Yêu cầu chuyên gia viết truy vấn SPL) Cao (Tự xây dựng Pipeline và Parsing Log)

Yêu cầu người dùng theo mô hình MoSCoW

  • Must have (Bắt buộc): Thu thập nhật ký tập trung từ Syslog UDP/TCP; Tự động phân tích và gắn nhãn Log Source; Cơ chế tạo Offense khi phát hiện tấn công.
  • Should have (Nên có): Báo cáo tuân thủ tự động (Compliance/Incident Reports); Phân cấp mạng (Network Hierarchy); REST API Service Token để xuất dữ liệu.
  • Could have (Có thể có): Tích hợp công cụ trực quan hóa mở rộng bên thứ ba (Grafana); Tự động khóa IP nguồn trên tường lửa.
  • Won't have (Chưa hỗ trợ): Triển khai High Availability (HA) dự phòng phần cứng đa vùng.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế theo cấu trúc module phân lớp của IBM QRadar SIEM, bảo đảm việc thu nạp, xử lý và lưu trữ dữ liệu nhật ký không bị nghẽn cổ chai:

flowchart TD
    subgraph Data_Sources["Nguồn dữ liệu An ninh"]
        FW[Firewall / Palo Alto / Cisco ASA]
        IDS[Snort / NIPS / Suricata]
        SRV[Windows Server / Linux Server / MS SQL]
        SW[Core Switch SPAN Port]
    end

    subgraph QRadar_AllInOne["Hệ thống IBM QRadar All-in-One (Appliance 3105)"]
        subgraph Collection_Layer["Tầng Thu thập (Collector Component)"]
            EC[Event Collector 1501<br/>Port 514 UDP/TCP - Syslog]
            FC[QFlow Collector 1201<br/>SPAN / Network TAP]
        end

        subgraph Processing_Layer["Tầng Xử lý (Processor Component)"]
            EP[Event Processor 1605<br/>Normalizing & Parsing]
            FP[Flow Processor 1705<br/>L7 Traffic Inspection]
            CRE[Custom Rules Engine - CRE]
        end

        subgraph Magistrate_Layer["Tầng Quản trị & Tương quan"]
            MAG[Magistrate Engine<br/>Correlation & Offense Generation]
            DB[(Ariel Database<br/>RAID Storage)]
            API[REST API Service Endpoint]
        end
    end

    subgraph Visualization["Tầng Trực quan hóa & Giám sát"]
        WEB[QRadar Admin & Offense Web Console]
        GRAF[Grafana Security Dashboard]
    end

    FW -->|Syslog| EC
    IDS -->|Syslog| EC
    SRV -->|WinCollect / Syslog| EC
    SW -->|Raw Packet Mirror| FC

    EC -->|Normalized Events - Port 22 SSH| EP
    FC -->|Flow Data - Port 22 SSH| FP

    EP --> CRE
    FP --> CRE
    CRE --> MAG
    MAG --> DB
    MAG -->|Trigger| WEB
    MAG --> API
    API -->|JSON Over HTTPS/443| GRAF

Technology Stack và Thông số kỹ thuật

  • Nền tảng SIEM: IBM QRadar SIEM Console Version 7.3.x / 7.5.x (Chạy trên nền tảng Red Hat Enterprise Linux tối ưu hóa).
  • Phần cứng triển khai (All-in-One Model 3105):
    • CPU & RAM: 64 GB (8x 8GB 1600 MHz RDIMM).
    • Dung lượng lưu trữ: 9x 3.2TB SAS (Khả dụng 6.2 TB, cấu hình RAID 5/10 dự phòng).
    • Năng lực xử lý: License mở rộng lên đến 5.000 EPS và 200.000 FPM.
    • Giao tiếp mạng: 2x 10/100/1000 Base-T Monitoring, 1x Management Port, 2x 10 Gbps SFP+.
  • Giao thức thu thập: Listening Protocols (Syslog UDP/514, Syslog TLS/TCP), Polling Protocols (JDBC cho MS SQL, Log File Tail), Specialty Protocols (REST API).
  • Trực quan hóa và Tự động hóa: MITRE Caldera v4.x, Grafana v9.x/10.x, Python 3.9 (Thư viện requests, urllib3, pandas).
+-----------------------------------------------------------------------------------+
|                        KIẾN TRÚC PHẦN CỨNG QRADAR 3105                            |
+-----------------------------------------------------------------------------------+
|  [ RAM: 64GB RDIMM ]  --->  [ Storage: 6.2TB Usable RAID-5 ]  ---> [ EPS: 5,000 ] |
|  [ Dual 675W PSU   ]  --->  [ 2x 10Gbps SFP+ Ports         ]  ---> [ FPM: 200,000]|
+-----------------------------------------------------------------------------------+

Methodology

Dự án áp dụng phương pháp triển khai xoắn ốc (Iterative Engineering & Validation) kết hợp quy chuẩn vận hành SOC:

  1. Giai đoạn 1 (Khảo sát & Chuẩn bị): Quy hoạch phân cấp mạng (Network Hierarchy), xác định danh mục thiết bị nguồn và mở các luồng tường lửa tương ứng (Port 22 SSH, 443 HTTPS, 514 UDP/TCP).
  2. Giai đoạn 2 (Cài đặt & Cấu hình Core): Thiết lập QRadar Console, kích hoạt bản quyền System License, phân quyền Role-Based Access Control (RBAC).
  3. Giai đoạn 3 (Tích hợp Log Source & Tuning Rules): Cấu hình DSM (Device Support Module) tự động nhận diện thiết bị nguồn và tinh chỉnh tập luật CRE.
  4. Giai đoạn 4 (Kiểm thử xâm nhập & Đánh giá): Chạy kịch bản mô phỏng tấn công và tích hợp API ra bảng điều khiển ngoài.

Implementation và kết quả

Development process

Quá trình triển khai bao gồm việc cấu hình và thiết lập các kịch bản phát sinh sự kiện log giả lập từ 22 dòng sản phẩm bảo mật khác nhau nhằm kiểm tra khả năng phân tích (parsing) của hệ thống QRadar DSM.

1. Kịch bản phát sinh Log đa nguồn tự động (Log Replay Engine)

Một Bash script chuyên dụng được xây dựng để nạp luồng log định kỳ từ các thiết bị Firewall, IDS, Cơ sở dữ liệu và Máy chủ hệ điều hành:

#!/bin/bash
# Script phát sinh sự kiện an ninh đa nguồn định kỳ vào QRadar Collector
while true; do 
    for i in {1..20}; do
        # 1. Giả lập tấn công trên NIPS & OSSEC Host IDS
        /bin/logger -n 192.168.1.162 -p local0.info -f events/false/nips.111
        /bin/logger -n 192.168.1.162 -p local0.info -f events/false/ossec.112
        
        # 2. Giả lập cảnh báo tường lửa thế hệ mới Palo Alto & Cisco ASA
        /bin/logger -n 192.168.1.162 -p local1.warning -f events/PaloAltoNetworks/PASeries/PaloAlto_PASeries_00000_01.2
        /bin/logger -n 192.168.1.162 -p local1.warning -f events/Cisco/Firewall/Cisco_ASA_17050_01.22
        
        # 3. Giả lập nhật ký hệ điều hành Windows Security & GNU Linux Server
        /bin/logger -n 192.168.1.162 -p auth.alert -f events/Microsoft/Windows/Microsoft_Windows_00000_01.4
        /bin/logger -n 192.168.1.162 -p auth.alert -f events/GNU/LinuxServer/GNU_LinuxServer_15946.14
        
        # 4. Giả lập truy vấn trái phép Microsoft SQL Server & Oracle OSAudit
        /bin/logger -n 192.168.1.162 -p daemon.err -f events/Microsoft/SQL/Microsoft_SQL_00000_01.6
        /bin/logger -n 192.168.1.162 -p daemon.err -f events/Oracle/OSAudit/Oracle_OSAudit_33557.3
        
        sleep 5s
    done
    sleep 300s
done

2. Kịch bản mô phỏng tấn công đối kháng với MITRE Caldera

Triển khai agent Caldera trên máy nạn nhân (Victim IP: 192.168.1.110) và thực hiện các kỹ thuật tấn công theo chuẩn MITRE ATT&CK từ máy Attacker:

  • T1110 (Brute Force): Thực hiện thử mật khẩu SSH và Windows RDP liên tục với danh sách tài khoản không tồn tại.
  • T1059 (Command and Scripting Interpreter): Thực thi chèn mã Shell Command Injection và XPATH Injection trên ứng dụng web máy chủ.
  • T1046 (Network Service Discovery): Quét cổng dịch vụ trên toàn dải mạng nội bộ.

3. Lập trình module thu thập Offense tự động qua REST API

Sử dụng Authorized Service Token của QRadar để gọi endpoint /api/siem/offenses, trích xuất thông tin hành vi vi phạm phục vụ hiển thị trực quan:

import requests
import json
import urllib3
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

QRADAR_CONSOLE_IP = "192.168.1.162"
SEC_TOKEN = "e8c28b41-xxxx-4d89-b883-7c37f0012a9c"

headers = {
    'SEC': SEC_TOKEN,
    'Accept': 'application/json',
    'Version': '14.0'
}

def fetch_active_offenses():
    url = f"https://{QRADAR_CONSOLE_IP}/api/siem/offenses?filter=status%3DOPEN"
    response = requests.get(url, headers=headers, verify=False, timeout=10)
    if response.status_code == 200:
        offenses = response.json()
        print(f"[*] Thu thập thành công {len(offenses)} Offenses đang hoạt động.")
        return offenses
    else:
        print(f"[!] Lỗi API: HTTP {response.status_code} - {response.text}")
        return []

if __name__ == "__main__":
    active_offenses = fetch_active_offenses()

Testing và validation

Hệ thống được kiểm thử thông qua 4 kịch bản an ninh trọng yếu với các chỉ số đo lường chi tiết:

Kịch bản kiểm thử Mô tả hành vi tấn công Tập luật CRE kích hoạt Kết quả trên Tab Offenses Độ trễ tương quan
Kịch bản 1: SSH Brute-Force 50 lần đăng nhập thất bại trong 60 giây Excessive Login Failures to Single Destination Offense #101: Rule Triggered, Gán mức Severity 7 1.8 giây
Kịch bản 2: Shell Injection HTTP GET Request chứa ký tự điều khiển ; /bin/sh Multiple Exploit/Malware Types - Long URI Anomaly Offense #102: Xác định chính xác Source IP & Payload 0.9 giây
Kịch bản 3: Distributed SYN Flood Lưu lượng SYN vượt ngưỡng 10.000 pps Potential Denial of Service (DOS) Attack Offense #103: Phân loại hành vi bất thường mạng 2.4 giây
Kịch bản 4: MS SQL Privilege Abuse Đăng nhập tài khoản sa bất thường từ IP lạ Database Unauthorized Administrative Access Offense #104: Cảnh báo truy cập đặc quyền trái phép 1.2 giây 
+-----------------------------------------------------------------------------------+
|                        BENCHMARK KẾT QUẢ KIỂM THỬ TƯƠNG QUAN                      |
+-----------------------------------------------------------------------------------+
|  [ Brute-Force: 1.8s ]  --->  [ Shell Injection: 0.9s ]  ---> [ DOS Flood: 2.4s ]  |
|  Độ chính xác: 100%    --->  Cảnh báo giả: 0%          ---> Tải CPU Core: < 28%   |
+-----------------------------------------------------------------------------------+

Kết quả đạt được

  • Khả năng nhận diện Log Source: Hệ thống tự động phân loại chính xác 100% trong tổng số 22 nguồn log khác nhau từ Palo Alto, Cisco ASA, FireEye, McAfee, Juniper, Oracle đến Windows/Linux OS.
  • Tối ưu hóa cảnh báo: Giảm từ hơn 45.000 log sự kiện thô xuống chỉ còn 12 Offenses có giá trị điều tra cao, giúp nhân viên giám sát SOC tập trung xử lý đúng trọng tâm.
  • Trực quan hóa đa nền tảng: Xây dựng thành công hệ thống Dashboard giám sát tương quan giữa Log sự kiện và bản đồ tấn công trên Grafana qua kết nối REST API an toàn.

Đổi mới và đóng góp

  1. Ứng dụng mô hình tương quan Magistrate kết hợp: Khác với các giải pháp phân tích log truyền thống chỉ dựa trên việc tìm kiếm chuỗi văn bản (String matching), giải pháp khai thác thuật toán gom nhóm của QRadar Magistrate giúp tự động liên kết các log khác nguồn (từ Firewall, Web Server và Database) có cùng địa chỉ IP nguồn/đích trong một khung thời gian cụ thể thành một chuỗi sự cố duy nhất (Incident Chain).
  2. Quy trình kiểm thử an ninh dựa trên tấn công thực chứng (Adversary Emulation): Thay vì chỉ sử dụng dữ liệu tĩnh, đề tài đã kết hợp công cụ sinh log giả lập với framework MITRE Caldera, đem lại phương pháp kiểm chuẩn SIEM khoa học và có khả năng tái lập cao.
  3. Mở rộng năng lực hiển thị qua REST API: Phát triển thành công pipeline trích xuất dữ liệu tự động giữa QRadar SIEM và Grafana, giúp giảm chi phí mua thêm license người dùng xem báo cáo chuyên biệt trên QRadar Console mà vẫn đảm bảo tính trực quan của dữ liệu.

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

  • Giám sát SOC cho Ngân hàng và Tổ chức Tài chính: Giám sát truy cập cơ sở dữ liệu lõi (Core Banking), phát hiện gian lận và các hành vi đánh cắp dữ liệu tài khoản khách hàng.
  • Bảo vệ hạ tầng Cơ quan Nhà nước & Doanh nghiệp: Ngăn chặn các cuộc tấn công DDoS vào cổng dịch vụ công trực tuyến và phát hiện xâm nhập mã độc tống tiền trên máy chủ nội bộ.
gantt
    title Lộ trình triển khai hệ thống QRadar SIEM (10 tuần)
    dateFormat  YYYY-MM-DD
    section Khảo sát & Chuẩn bị
    Khảo sát hạ tầng mạng & log sources    :a1, 2024-01-01, 14d
    Quy hoạch Network Hierarchy & IP       :a2, after a1, 7d
    section Triển khai Hệ thống
    Cài đặt QRadar 3105 All-in-One         :b1, after a2, 7d
    Cấu hình Syslog & DSM Parsing          :b2, after b1, 14d
    section Tinh chỉnh & Kiểm thử
    Viết Rule CRE & Thiết lập Offense      :c1, after b2, 14d
    Mô phỏng tấn công với Caldera          :c2, after c1, 7d
    Tích hợp REST API & Grafana            :c3, after c2, 7d

Yêu cầu triển khai phần cứng và tài nguyên

  • Môi trường tối thiểu (Lab/SME): Máy chủ x86_64, 16 Cores CPU, 64 GB RAM, 2 TB SSD Storage (RAID 10), card mạng 1Gbps.
  • Môi trường Enterprise: Cụm máy chủ QRadar Appliance chuyên dụng (Console 3105 + QFlow Processor 1705 + Event Collector 1501) hỗ trợ đường truyền quang SFP+ 10Gbps.

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Chi phí đầu tư phần cứng ban đầu cao: Mô hình QRadar Appliance tiêu chuẩn yêu cầu dung lượng bộ nhớ RAM và hệ thống đĩa cứng tốc độ cao để đảm bảo cơ sở dữ liệu nén Ariel hoạt động mượt mà.
  • Phụ thuộc vào DSM có sẵn: Đối với các ứng dụng tự phát triển nội bộ (In-house applications), cần phải tự viết Custom Log Source Extension (XML Parser) thủ công.

Hướng phát triển trong tương lai

  • Ứng dụng mô hình Machine Learning / UBA (User Behavior Analytics) để tự động phát hiện hành vi bất thường của người dùng nội bộ mà không cần phụ thuộc vào tập luật tĩnh.
  • Mở rộng kiến trúc sang mô hình Hybrid Cloud SIEM, tích hợp giám sát log từ các nền tảng đám mây như AWS CloudTrail và Microsoft Azure Sentinel.

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
|                            ĐỐI TƯỢNG HƯỞNG LỢI                                    |
+-----------------------------------------------------------------------------------+
|  [ Sinh viên & SOC Analyst L1 ] ---> Nắm vững nguyên lý hoạt động thực tế SIEM     |
|  [ Kỹ sư An toàn thông tin    ] ---> Thành thạo cấu hình Log Source & CRE Rules   |
|  [ Doanh nghiệp & Quản lý CNTT] ---> Bản thiết kế chuẩn hóa cho Trung tâm SOC     |
|  [ Nhà nghiên cứu An ninh mạng] ---> Phương pháp mô phỏng kiểm thử dựa trên MITRE |
+-----------------------------------------------------------------------------------+
  • Sinh viên & Kỹ sư An toàn thông tin mới (SOC Analyst L1/L2): Tiếp cận tài liệu chi tiết, các kịch bản log thực tế và bộ code thu thập tự động để thực hành vận hành SOC.
  • Chuyên viên Quản trị Hệ thống (System/Network Administrators): Nắm bắt cách chuẩn hóa cấu hình log forwarding trên đa dạng thiết bị (Cisco, Palo Alto, Microsoft, Linux).
  • Doanh nghiệp & Cơ quan Nhà nước: Sở hữu tài liệu tham chiếu kỹ thuật đầy đủ để thẩm định, thiết kế và tối ưu hóa chi phí đầu tư cho hệ thống giám sát an toàn thông tin chuyên nghiệp.

Câu hỏi thường gặp

1. Cấu hình phần cứng tối thiểu để triển khai QRadar All-in-One là gì?

Hệ thống QRadar All-in-One yêu cầu tối thiểu vi xử lý 16 Cores, 32GB RAM (khuyến nghị 64GB cho môi trường sản xuất), và tối thiểu 1.5TB dung lượng đĩa cứng chuẩn SAS/SSD cấu hình RAID để lưu trữ dữ liệu Ariel database trong ít nhất 3 đến 6 tháng.

2. QRadar xử lý nghẽn tải như thế nào khi lượng sự kiện (EPS) vượt ngưỡng bản quyền?

Khi lưu lượng log vượt quá mức EPS được cấp phép, QRadar kích hoạt cơ chế bộ đệm hàng đợi (Spillover Queue) tại tầng Event Collector để lưu trữ tạm thời các log thô, sau đó nạp dần vào Event Processor khi lưu lượng giảm xuống, bảo đảm không bị thất thoát dữ liệu nhật ký.

3. QRadar thu thập log từ hệ thống máy chủ Windows bằng cách nào?

QRadar hỗ trợ hai phương pháp chính: Thu thập thụ động thông qua WinCollect Agent (cài đặt trực tiếp trên máy chủ Windows hoặc đóng vai trò Standalone Collector) và Thu thập qua giao thức chuẩn Syslog / MSRPC Windows Event Forwarding (WEF).

4. Chi phí bảo trì và vận hành hệ thống định kỳ bao gồm những gì?

Chi phí vận hành định kỳ bao gồm bản quyền duy trì nâng cấp phần mềm (Software Maintenance & Auto Updates DSM), bản quyền nguồn dữ liệu tình báo mối đe dọa (IBM X-Force Threat Intelligence Feed), và chi phí sao lưu lưu trữ dữ liệu nhật ký dài hạn theo quy định pháp lý.

5. Làm thế nào để phân biệt sự cố thực sự và cảnh báo giả (False Positive) trên QRadar?

Người quản trị sử dụng tính năng Tuning trong Tab Offenses: kiểm tra payload thô của sự kiện trong tab Log Activity, xác minh địa chỉ IP nguồn/đích qua Network Hierarchy, và điều chỉnh ngưỡng hoặc thêm các điều kiện ngoại lệ (False Positive Rule Exceptions) trong Custom Rules Engine (CRE).

Kết luận

Đồ án tốt nghiệp "Tìm hiểu hệ thống quản lý an ninh mạng QRadar" đã hoàn thành toàn diện các mục tiêu nghiên cứu và thực nghiệm đề ra. Thông qua việc phân tích sâu kiến trúc phần cứng, các tầng xử lý dữ liệu và cơ chế tương quan Magistrate, đề tài đã chứng minh năng lực vượt trội của IBM QRadar trong việc chuẩn hóa dữ liệu an ninh đa nguồn và tối ưu hóa phát hiện mối đe dọa. Việc kết hợp thành công công cụ mô phỏng tấn công Caldera, kịch bản sinh log tự động và giao tiếp qua REST API đã tạo nên một mô hình giám sát an toàn thông tin hoàn chỉnh, có tính ứng dụng thực tiễn cao cho các trung tâm điều hành an ninh mạng SOC hiện đại.