Đồ Án Tốt Nghiệp: Ứng Dụng Phát Hiện Bất Thường Trên Hệ Điều Hành macOS

Hệ điều hành macOS đang trở thành mục tiêu chính của các cuộc tấn công mạng. 101 trang · Học viện Công nghệ Bưu chính Viễn thông · 2024.

• Tác giả: Nguyễn Thị Quỳnh Mai
• Người hướng dẫn: PGS. Đỗ Xuân Chợ
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: An toàn thông tin
• Đề tài: Ứng Dụng Phát Hiện Bất Thường Trên Hệ Điều Hành macOS
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ HỆ THỐNG PHÁT HIỆN XÂM NHẬP TRÊN THIẾT BỊ ĐẦU CUỐI
• 1.1. Giới thiệu về hệ thống phát hiện xâm nhập
• 1.2. Khái niệm IDS
• 1.3. Phân loại IDS
• 1.4. Các kỹ thuật phát hiện xâm nhập
• 1.4.1. Phát hiện xâm nhập dựa trên chữ ký
• 1.4.2. Phát hiện xâm nhập dựa trên bất thường
• 1.5. Hệ thống phát hiện xâm nhập sử dụng Wazuh tích hợp Elastic Stack và Suricata
• 1.5.1. Giới thiệu về Wazuh
• 1.5.2. Thành phần của Wazuh
• 1.5.3. Giới thiệu về Elastic Stack
• 1.5.4. Giới thiệu về Suricata
• 1.5.5. Ưu điểm của hệ thống Wazuh tích hợp Elastic Stack và Suricata để giám sát thiết bị đầu cuối
• 1.6. Kết chương
• 2. CHƯƠNG 2: CÀI ĐẶT VÀ CẤU HÌNH ỨNG DỤNG
• 2.1. Mô hình triển khai hệ thống
• 2.2. Cài đặt hệ thống
• 2.2.1. Môi trường cài đặt
• 2.2.2. Phương pháp cài đặt
• 2.2.3. Cài đặt Wazuh và Elastic Stack
• 2.2.4. Cài đặt Suricata
• 2.3. Cấu hình ứng dụng
• 2.3.1. Giám sát các tiến trình
• 2.3.1.1. Cấu hình macOS agent
• 2.3.1.2. Cấu hình Wazuh Server
• 2.3.2. Giám sát tài nguyên trên điểm cuối macOS
• 2.3.2.1. Cấu hình điểm cuối macOS
• 2.3.2.2. Cấu hình Wazuh Server
• 2.3.3. Phát hiện các lỗ hổng bảo mật
• 2.3.4. Giám sát tính toàn vẹn của tệp tin
• 2.3.5. Phát hiện phần mềm độc hại
• 2.3.5.1. Phát hiện phần mềm độc hại sử dụng FIM tích hợp Virustotal
• 2.3.5.2. Phát hiện phần mềm độc hại sử dụng FIM tích hợp YARA
• 2.3.6. Phát hiện xâm nhập sử dụng IDS – Suricata
• 2.3.7. Cảnh báo qua Telegram
• 2.4. Kết chương
• 3. CHƯƠNG 3: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Thực nghiệm giám sát tính toàn vẹn của tệp tin
• 3.1.1. Kịch bản thực nghiệm
• 3.1.2. Kết quả thực nghiệm
• 3.2. Thực nghiệm phát hiện phần mềm độc hại
• 3.2.1. Phát hiện phần mềm độc hại sử dụng FIM tích hợp Virustotal
• 3.2.1.1. Kịch bản thực nghiệm
• 3.2.1.2. Kết quả thực nghiệm
• 3.2.2. Phát hiện phần mềm độc hại sử dụng FIM tích hợp YARA
• 3.2.2.1. Kịch bản thực nghiệm
• 3.2.2.2. Kết quả thực nghiệm
• 3.3. Thực nghiệm phát hiện xâm nhập qua mạng
• 3.3.1. Phát hiện tấn công từ chối dịch vụ Denial of Service (DoS) TCP
• 3.3.1.1. Kịch bản thực nghiệm
• 3.3.1.2. Kết quả thực nghiệm
• 3.3.2. Truy cập tài nguyên website với quyền hạn cao (root)
• 3.3.2.1. Kịch bản thực nghiệm
• 3.3.2.2. Kết quả thực nghiệm
• 3.4. Kết chương
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về ứng dụng phát hiện bất thường trên macOS

Hệ điều hành macOS đang trở thành mục tiêu chính của các cuộc tấn công mạng. Việc phát hiện bất thường là rất quan trọng để bảo vệ an ninh mạng. Hệ thống phát hiện xâm nhập (IDS) giúp giám sát và phân tích hành vi của người dùng và ứng dụng. Điều này không chỉ giúp phát hiện các mối đe dọa mà còn bảo vệ thông tin nhạy cảm.

1.1. Khái niệm về hệ thống phát hiện xâm nhập IDS

Hệ thống phát hiện xâm nhập (IDS) là công cụ bảo mật giám sát lưu lượng mạng và thiết bị. IDS giúp phát hiện các hành vi đáng ngờ và hoạt động độc hại. Nó ghi lại các sự kiện để phân tích và gửi thông báo cho quản trị viên khi phát hiện mối đe dọa.

1.2. Tầm quan trọng của phát hiện bất thường trên macOS

Phát hiện bất thường trên macOS giúp bảo vệ hệ thống khỏi các cuộc tấn công. Các mối đe dọa như virus, phần mềm độc hại và xâm nhập trái phép có thể gây thiệt hại lớn. Việc phát hiện sớm giúp ngăn chặn các rủi ro an ninh mạng.

II. Các thách thức trong việc phát hiện bất thường trên macOS

Mặc dù có nhiều công cụ hỗ trợ, việc phát hiện bất thường trên macOS vẫn gặp nhiều thách thức. Các cuộc tấn công ngày càng tinh vi và khó phát hiện hơn. Hệ thống cần phải được cập nhật thường xuyên để đối phó với các mối đe dọa mới.

2.1. Tính phức tạp của các cuộc tấn công mạng

Các cuộc tấn công mạng hiện nay ngày càng phức tạp và tinh vi. Tin tặc sử dụng nhiều kỹ thuật để ẩn mình, khiến cho việc phát hiện trở nên khó khăn hơn. Điều này đòi hỏi các hệ thống IDS phải có khả năng phân tích hành vi một cách chính xác.

2.2. Khó khăn trong việc phân tích hành vi người dùng

Phân tích hành vi người dùng là một thách thức lớn. Các hành vi bình thường có thể bị nhầm lẫn với hành vi đáng ngờ. Do đó, cần có các thuật toán thông minh để phân tích và phát hiện bất thường một cách hiệu quả.

III. Phương pháp phát hiện bất thường hiệu quả trên macOS

Để phát hiện bất thường hiệu quả trên macOS, cần áp dụng các phương pháp tiên tiến. Sử dụng các công cụ như Wazuh và Elastic Stack giúp giám sát và phân tích dữ liệu một cách hiệu quả. Các phương pháp này giúp phát hiện nhanh chóng các mối đe dọa.

3.1. Sử dụng Wazuh để giám sát hệ thống

Wazuh là một công cụ mạnh mẽ giúp giám sát và phát hiện bất thường trên macOS. Nó cung cấp khả năng phân tích hành vi và cảnh báo khi phát hiện các hoạt động đáng ngờ. Wazuh tích hợp với Elastic Stack để tối ưu hóa việc phân tích dữ liệu.

3.2. Tích hợp Elastic Stack cho phân tích dữ liệu

Elastic Stack cho phép thu thập và phân tích dữ liệu từ nhiều nguồn khác nhau. Việc tích hợp này giúp cải thiện khả năng phát hiện bất thường và cung cấp cái nhìn tổng quan về tình trạng an ninh của hệ thống.

IV. Ứng dụng thực tiễn của phát hiện bất thường trên macOS

Việc phát hiện bất thường trên macOS đã được áp dụng thành công trong nhiều tổ chức. Các công ty đã sử dụng hệ thống IDS để bảo vệ thông tin nhạy cảm và ngăn chặn các cuộc tấn công. Kết quả cho thấy sự cải thiện rõ rệt trong an ninh mạng.

4.1. Kết quả nghiên cứu về phát hiện bất thường

Nghiên cứu cho thấy rằng việc áp dụng hệ thống phát hiện bất thường giúp giảm thiểu rủi ro an ninh mạng. Các tổ chức đã ghi nhận sự giảm đáng kể trong số lượng cuộc tấn công thành công.

4.2. Các trường hợp thành công trong ứng dụng IDS

Nhiều tổ chức đã thành công trong việc bảo vệ hệ thống của họ nhờ vào việc triển khai IDS. Các trường hợp này chứng minh rằng phát hiện bất thường là một phần quan trọng trong chiến lược an ninh mạng.

V. Kết luận và tương lai của phát hiện bất thường trên macOS

Phát hiện bất thường trên macOS sẽ tiếp tục phát triển trong tương lai. Các công nghệ mới sẽ giúp cải thiện khả năng phát hiện và phản ứng với các mối đe dọa. Điều này sẽ giúp bảo vệ an ninh mạng một cách hiệu quả hơn.

5.1. Xu hướng phát triển công nghệ bảo mật

Công nghệ bảo mật sẽ tiếp tục phát triển để đối phó với các mối đe dọa mới. Các hệ thống IDS sẽ được cải tiến để phát hiện nhanh chóng và chính xác hơn.

5.2. Tương lai của an ninh mạng trên macOS

An ninh mạng trên macOS sẽ trở nên quan trọng hơn bao giờ hết. Các tổ chức cần đầu tư vào công nghệ phát hiện bất thường để bảo vệ thông tin nhạy cảm và ngăn chặn các cuộc tấn công.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong môi trường kinh doanh và hạ tầng công nghệ thông tin hiện đại, các mối đe dọa an ninh mạng từ tội phạm kỹ thuật số ngày càng gia tăng về quy mô lẫn mức độ tinh vi. Theo số liệu thống kê được tác giả trích dẫn trong văn bản, trung bình cứ sau 39 giây lại có một cuộc tấn công mạng diễn ra, tương ứng với khoảng 2.244 cuộc tấn công mỗi ngày trên phạm vi toàn cầu. Trong bức tranh tổng thể đó, các thiết bị đầu cuối (endpoints) đóng vai trò là một trong những mục tiêu bị nhắm tới nhiều nhất do số lượng lớn thiết bị liên tục kết nối vào hệ thống mạng nội bộ. Mỗi điểm cuối khi kết nối vào mạng đều có khả năng trở thành một lỗ hổng an ninh tiềm ẩn, mở ra đường dẫn truy cập cho tin tặc xâm nhập vào tổ chức nhằm khai thác phần mềm độc hại, đánh cắp hoặc làm rò rỉ dữ liệu nhạy cảm.

Trước thực trạng các thiết bị đầu cuối sử dụng hệ điều hành macOS ngày càng phổ biến trong các tổ chức nhưng công tác giám sát chuyên biệt còn hạn chế, đồ án tập trung giải quyết bài toán phát hiện bất thường trên điểm cuối macOS thông qua giải pháp tích hợp các nền tảng giám sát an toàn thông tin mã nguồn mở.

Mục tiêu nghiên cứu của đồ án được xác định rõ qua 3 nhiệm vụ cụ thể:

1. Nắm được tổng quan về hệ thống phát hiện xâm nhập (Intrusion Detection Systems - IDS).
2. Cài đặt và cấu hình hoàn chỉnh hệ thống phát hiện xâm nhập trên hệ điều hành macOS.
3. Thực nghiệm kiểm thử để phát hiện các hành vi bất thường, mã độc và tấn công mạng trên điểm cuối hệ điều hành macOS.

Đối tượng và phạm vi nghiên cứu của đề tài bao gồm:

• Đối tượng nghiên cứu: Hệ thống phát hiện xâm nhập trên điểm cuối (HIDS), hệ thống phát hiện xâm nhập mạng (NIDS), các kỹ thuật phân tích bất thường và giám sát an toàn thông tin trên nền tảng macOS.
• Phạm vi không gian triển khai: Mô hình phòng thực nghiệm (Lab) với hệ thống quản trị tập trung Wazuh Manager tích hợp Elastic Stack và công cụ Suricata trên máy chủ ảo hóa Ubuntu Server; máy trạm điểm cuối chạy hệ điều hành macOS Ventura 13; cùng môi trường tấn công thử nghiệm sử dụng Kali Linux.
• Phạm vi thời gian: Đồ án được thực hiện trong khuôn khổ khóa học 2019–2024 tại Học viện Công nghệ Bưu chính Viễn thông và hoàn thành nghiệm thu vào tháng 01 năm 2024.

Cơ sở lý thuyết và phương pháp

Cơ sở lý thuyết của đồ án được xây dựng dựa trên các khái niệm chuẩn mực về giám sát và phòng thủ an toàn thông tin:

• Hệ thống phát hiện xâm nhập (IDS): Đóng vai trò là lớp phòng thủ quan trọng theo mô hình chiều sâu (defense-in-depth), thực hiện giám sát lưu lượng mạng hoặc hoạt động trên máy chủ, ghi log phục vụ phân tích và cảnh báo cho quản trị viên. Văn bản chỉ ra các tiêu chuẩn cần thỏa mãn của một IDS gồm: tính chính xác (Accuracy), hiệu năng (Performance), tính trọn vẹn (Completeness), khả năng chịu lỗi (Fault Tolerance) và khả năng mở rộng (Scalability).
• Phân loại IDS: Hệ thống phát hiện xâm nhập mạng (Network-based IDS - NIDS) phân tích gói tin mạng theo thời gian thực để phát hiện các cuộc tấn công như từ chối dịch vụ (DoS); Hệ thống phát hiện xâm nhập máy chủ (Host-based IDS - HIDS) được cài trực tiếp lên thiết bị điểm cuối để giám sát tiến trình, sự kiện tệp tin, nhật ký hệ thống, tài nguyên vi xử lý (CPU), bộ nhớ (RAM) và tính toàn vẹn tệp tin.
• Kỹ thuật phát hiện xâm nhập: Phân biệt rõ giữa phương pháp dựa trên chữ ký (Signature-based detection) và phương pháp dựa trên bất thường (Anomaly-based detection). Phương pháp chữ ký có tốc độ xử lý nhanh, yêu cầu tài nguyên thấp, chính xác với các mẫu đã biết nhưng không nhận diện được tấn công mới. Phương pháp dựa trên bất thường gồm hai pha: huấn luyện xây dựng hồ sơ hành vi bình thường và pha giám sát phát hiện sai lệch, cho phép phát hiện nguy cơ chưa biết trước nhưng có tỷ lệ cảnh báo sai (false positive) cao hơn.
• Nền tảng công nghệ sử dụng:
  • Wazuh: Nền tảng an ninh mã nguồn mở hợp nhất tính năng XDR (Extended Detection and Response) và SIEM (Security Information and Event Management), phát triển từ nhánh của OSSEC HIDS.
  • Elastic Stack: Bộ công cụ xử lý dữ liệu tập trung gồm Elasticsearch (lưu trữ và tìm kiếm dữ liệu phân tán), Kibana (trực quan hóa dữ liệu qua biểu đồ, dashboard) và Filebeat (chuyển tiếp sự kiện). Trong kiến trúc này, Elasticsearch và Kibana được dùng kết hợp hoặc thay thế một phần cho Wazuh Indexer.
  • Suricata: Động cơ giám sát an ninh mạng (NSM) và phát hiện xâm nhập mã nguồn mở phát triển bởi Open Information Security Foundation (OISF), xử lý lưu lượng mạng theo bộ luật/chữ ký.
  • Công cụ mở rộng: Công cụ phân tích mã độc VirusTotal (tra cứu qua API), công cụ nhận diện mẫu nhị phân YARA và ứng dụng nhắn tin Telegram (nhận thông báo thời gian thực).

Phương pháp nghiên cứu thực tế được tác giả áp dụng là phương pháp thiết kế - triển khai hệ thống kỹ thuật kết hợp phương pháp thực nghiệm kiểm chứng. Tác giả tiến hành cấu hình chi tiết từng module chức năng, sau đó thiết lập các kịch bản mô phỏng hành vi bất thường, phát tán mã độc và tấn công mạng thực tế để đánh giá phản ứng của hệ thống.

Thiết kế và triển khai

Hệ thống được thiết kế theo mô hình phân tán giữa máy chủ phân tích trung tâm và thiết bị điểm cuối cần giám sát, phân tách chức năng thành các tầng kiến trúc rõ ràng.

Môi trường và công nghệ triển khai

Môi trường thực nghiệm được thiết lập trên hạ tầng máy ảo với các tham số kỹ thuật được văn bản ghi nhận như sau:

Thành phần	Hệ điều hành / Phiên bản	Địa chỉ IP	Vai trò chức năng
Máy chủ quản trị	Ubuntu Server	192.168.x.181	Cài đặt Wazuh Manager (v4.4-1), Elasticsearch (v7.16), Kibana (v7.13), Filebeat (v7.13), Suricata IDS
Điểm cuối giám sát	macOS Ventura 13	192.168.x.182	Cài đặt Wazuh Agent v4.x, thu thập sự kiện, giám sát tiến trình, tệp tin và tài nguyên
Máy tấn công thử nghiệm	Kali Linux	192.168.x (dải mạng nội bộ)	Sử dụng công cụ hping3 để phát sinh tấn công mạng mô phỏng

Thiết kế cấu hình chức năng giám sát

1. Giám sát tiến trình: Điểm cuối macOS được cấu hình trong tệp /Library/Ossec/etc/ossec.conf sử dụng module logcollector với định dạng full_command. Lệnh thực thi được gán nhãn gồm ps auxw | grep wazuh-agentd (alias check_wazuh_status) và ps auxw | grep Terminal.app (alias check_terminal_status) với tần suất quét 120 giây. Trên Wazuh Server, tệp /var/ossec/etc/rules/local_rules.xml được bổ sung hai quy tắc tùy biến: Rule ID 100013 (phát hiện wazuh-agentd đang hoạt động) và Rule ID 100014 (phát hiện Terminal đang hoạt động), đều ở mức độ nghiêm trọng level 6.
2. Giám sát tài nguyên hệ thống macOS: Sử dụng lệnh định kỳ mỗi 300 giây (5 phút) để trích xuất các chỉ số vận hành:
   • Tải và mức sử dụng CPU: Tính toán thông qua lệnh top -l 1 | grep 'CPU usage' và top -l 1 | grep 'Load Avg' (lấy trung bình tải 1 phút, 5 phút, 15 phút).
   • Bộ nhớ (RAM): Phân tích qua top -l 1 | grep PhysMem dựa trên công thức tỷ lệ sử dụng: $\text{Memory utilization (%)} = (\text{MemUsed} \times 100) / (\text{MemUsed} + \text{MemUnused})$.
   • Dung lượng ổ đĩa: Kiểm tra phân vùng gốc / bằng lệnh df -h /.
   • Lưu lượng mạng: Lấy thông tin gói tin gửi/nhận thông qua top -l 1 | grep Networks.
   • Bộ giải mã và quy tắc cảnh báo: Tác giả xây dựng bộ giải mã trong /var/ossec/etc/decoders/local_decoder.xml (gồm cpu_health, memory_health, disk_health, network_check...) và thiết lập ngưỡng cảnh báo trong local_rules.xml: Rule ID 100101 (bộ nhớ vượt 80%, level 12), Rule ID 100102 (CPU vượt 80%, level 12), Rule ID 100103 (ổ đĩa sử dụng vượt 70%, level 12), cùng các Rule ID 100104 đến 100108 ở level 3 ghi nhận dữ liệu định kỳ.
3. Giám sát tính toàn vẹn tệp tin (FIM): Kích hoạt module syscheck trên agent để theo dõi liên tục thư mục mục tiêu. Mọi hành vi tạo mới, chỉnh sửa nội dung hoặc xóa tệp đều được ghi nhận tức thời.
4. Phát hiện mã độc qua tích hợp VirusTotal và YARA:
   • VirusTotal: Cấu hình tích hợp API trên Wazuh Server kết hợp với module FIM. Khi tệp mới xuất hiện, mã băm (hash) của tệp được gửi tự động lên cơ sở dữ liệu VirusTotal để kiểm tra.
   • YARA: Xây dựng tập lệnh phản ứng tích cực (Active Response) gọi script thực thi YARA trên điểm cuối khi FIM bắt được sự kiện thay đổi. Hệ thống cài đặt thêm tiện ích jq trên macOS để phân tích dữ liệu JSON trả về từ engine FIM trước khi chuyển qua bộ quy tắc YARA nhằm nhận diện mẫu mã độc.
5. Giám sát lưu lượng mạng bằng Suricata: Suricata được kích hoạt tính năng Community ID, cấu hình gắn biến interface vào card mạng của hệ thống qua hai cơ chế af-packet và pcap. Filebeat kích hoạt module Suricata để chuyển tiếp nhật ký cảnh báo sang Elasticsearch.
6. Kênh cảnh báo Telegram: Tác giả phát triển đoạn mã tích hợp tùy biến (integration script) trên Wazuh Manager, cấp quyền thực thi và cấu hình thông tin bot token cùng chat ID nhằm gửi cảnh báo tức thì về thiết bị di động khi phát hiện sự kiện an ninh.

Nội dung chính theo từng chương

Chương 1. Tổng quan về hệ thống phát hiện xâm nhập trên thiết bị đầu cuối

Chương 1 hệ thống hóa toàn bộ lý thuyết nền tảng về IDS, phân tích chuyên sâu hai nhánh NIDS và HIDS cùng các nguyên lý phát hiện theo mẫu chữ ký và theo hành vi bất thường. Phần lớn dung lượng chương dành cho việc giới thiệu chi tiết kiến trúc và cơ chế vận hành của nền tảng Wazuh. Tác giả bóc tách đầy đủ các thành phần cốt lõi:

• Wazuh Server: Bao gồm Agent enrollment service, Agent connection service, Analysis engine, RESTful API service, Wazuh cluster daemon và Filebeat.
• Wazuh Indexer: Đảm nhận lưu trữ và lập chỉ mục dữ liệu với các chỉ mục chuyên biệt (wazuh-alerts, wazuh-archives, wazuh-monitoring, wazuh-statistics).
• Wazuh Dashboard: Giao diện web hỗ trợ RBAC, SSO, trực quan hóa dữ liệu và công cụ phát triển kiểm thử quy tắc (Rule test tool).
• Wazuh Agent: Cấu trúc dạng module gồm Log collector, Command execution, FIM, Security Configuration Assessment (SCA), System inventory, Malware detection, Active response, Container security và Cloud security monitoring. Chương này cũng giới thiệu vai trò của bộ ba Elastic Stack (Elasticsearch, Kibana, Filebeat), công cụ Suricata và phân tích ưu điểm tổng hợp của giải pháp khi kết hợp khả năng giám sát mạng của Suricata với năng lực phân tích máy chủ chuyên sâu của Wazuh.

Chương 2. Cài đặt và cấu hình ứng dụng

Chương 2 trình bày chi tiết từng bước hiện thực hóa giải pháp trên môi trường thực nghiệm. Nội dung bắt đầu từ sơ đồ kiến trúc tổng quan kết nối các luồng dữ liệu giữa agent macOS, Wazuh manager, Elasticsearch, Kibana, Filebeat và Suricata. Tác giả ghi lại quy trình cài đặt máy chủ:

• Tạo khóa GPG, thêm kho lưu trữ, cài đặt Elasticsearch 7.x, cấu hình cluster đơn nút (single-node), bật module bảo mật xpack.security.enabled: true và thiết lập mật khẩu hệ thống.
• Cài đặt và sinh khóa mã hóa cho Kibana (kibana-encryption-keys), tích hợp plugin Wazuh Kibana.
• Cấu hình Filebeat, nạp mẫu template wazuh-template.json, bật module Wazuh và module Suricata.
• Cài đặt Wazuh Manager phiên bản 4.4-1 từ kho lưu trữ chính thức.
• Cài đặt Suricata từ PPA của OISF (ppa:oisf/suricata-stable), cấu hình lắng nghe giao diện mạng qua af-packet và pcap. Phần cấu hình ứng dụng tập trung giải quyết các bài toán kỹ thuật thực tế trên macOS: thiết lập giám sát tiến trình hệ thống, xây dựng decoder và rule giám sát 4 chỉ số tài nguyên trọng yếu (CPU, RAM, Disk, Network), bật module FIM, viết script Active Response tích hợp YARA, tích hợp API VirusTotal và lập trình module gửi cảnh báo qua Telegram.

Chương 3. Thực nghiệm và đánh giá

Chương 3 triển khai các kịch bản kiểm thử nhằm đánh giá năng lực bảo vệ của hệ thống đã cấu hình. Các kịch bản thực nghiệm bao gồm:

• Thực nghiệm giám sát tính toàn vẹn của tệp tin: Thao tác tạo mới, sửa đổi nội dung và xóa tệp tin trong thư mục giám sát trên macOS. Module FIM ghi nhận chính xác từng sự kiện và đẩy thông báo chi tiết về Telegram.
• Thực nghiệm phát hiện phần mềm độc hại qua VirusTotal: Tải tệp mẫu chuẩn eicar.com và tệp mã độc nhắm vào macOS thực tế mang tên SysJoker. Hệ thống FIM trích xuất mã băm, đối chiếu qua API VirusTotal và đưa ra cảnh báo xác nhận mã độc.
• Thực nghiệm phát hiện phần mềm độc hại qua YARA: Đưa vào thư mục giám sát tệp mã độc SysJoker và mẫu ransomware Lockbit. Script Active Response kích hoạt engine YARA quét nội dung, đối khớp chữ ký thành công và gửi thông tin nhận diện về nhóm Telegram.
• Thực nghiệm phát hiện xâm nhập mạng: Mô phỏng tấn công từ chối dịch vụ dạng TCP SYN Flood từ máy Kali Linux bằng công cụ hping3 hướng đến agent macOS. Suricata phát hiện lưu lượng bất thường, ghi vết vào tệp nhật ký fast.log và cảnh báo trên bảng điều khiển. Đồng thời, kịch bản truy cập URL thử nghiệm http://testmynids.org/uid/index nhằm kiểm tra quyền root cũng được Suricata nhận diện và kích hoạt rule tương ứng.

Kết quả và đóng góp

Kết quả thực nghiệm

Quá trình kiểm thử cho thấy hệ thống vận hành ổn định và đạt được đầy đủ các chỉ tiêu chức năng đã đặt ra. Các kết quả cụ thể bao gồm:

Tình huống kiểm thử	Đối tượng / Công cụ thực nghiệm	Module xử lý	Kết quả ghi nhận trên hệ thống	Cảnh báo Telegram
Giám sát tiến trình	wazuh-agentd, Terminal.app	Logcollector	Nhận diện trạng thái tiến trình mỗi 120s qua Rule 100013, 100014	Ghi nhận sự kiện
Giám sát tài nguyên	Mức dùng CPU, RAM, Disk, Mạng	Command monitoring	Decoder trích xuất đúng trường dữ liệu; kích hoạt rule cảnh báo khi RAM/CPU > 80%, Disk > 70%	Ghi nhận sự kiện
Toàn vẹn tệp tin (FIM)	Thêm, sửa, xóa file trong thư mục	FIM (syscheck)	Ghi nhận chính xác hành vi, thời gian, tên tệp trên dashboard	Gửi thông báo tức thời
Mã độc (VirusTotal)	Tệp mẫu eicar.com, mã độc SysJoker	FIM + VirusTotal API	Nhận diện chính xác chữ ký mã độc từ cơ sở dữ liệu VirusTotal	Cảnh báo chi tiết mã độc
Mã độc (YARA)	Mã độc SysJoker, ransomware Lockbit	FIM + Active Response + YARA	Phân tích tệp qua bộ giải mã JSON (jq), YARA quét khớp mẫu độc hại	Cảnh báo mẫu mã độc
Tấn công mạng DoS	TCP SYN Flood qua lệnh hping3	NIDS Suricata	Bắt gói tin vi phạm, ghi vào fast.log, kích hoạt quy tắc IDS	Ghi nhận sự kiện
Truy cập trái phép	URL http://testmynids.org/uid/index	NIDS Suricata	Phát hiện hành vi truy cập web với đặc quyền root	Kích hoạt rule cảnh báo

Đóng góp của đề tài

Theo tự đánh giá của tác giả trong đồ án, đề tài mang lại những đóng góp cụ thể sau:

1. Xây dựng hoàn chỉnh mô hình phối hợp giám sát thiết bị đầu cuối macOS quy mô phòng lab dựa trên sự kết hợp giữa nền tảng HIDS/SIEM (Wazuh), nền tảng tìm kiếm/trực quan hóa (Elastic Stack) và hệ thống NIDS (Suricata).
2. Tự thiết kế và cấu hình thành công hệ thống bộ giải mã (decoders) cùng bộ quy tắc (rules) tùy biến để theo dõi các thông số sức khỏe phần cứng, hiệu năng mạng và các tiến trình đặc trưng trên nền tảng macOS.
3. Cải tiến và bổ sung đoạn mã tích hợp tùy biến cho phép tự động trích xuất các sự kiện bảo mật nghiêm trọng từ Wazuh Manager để chuyển tiếp thông báo tức thời (real-time alert) tới ứng dụng Telegram của người quản trị.
4. Xây dựng và kiểm chứng thành công các chuỗi kịch bản phát hiện mã độc macOS thực tế kết hợp linh hoạt giữa cơ chế giám sát tệp tin FIM với hai công cụ phân tích độc lập là VirusTotal và YARA.

Hạn chế và hướng nghiên cứu tiếp

Mặc dù đã hoàn thành các mục tiêu thử nghiệm, tác giả cũng chỉ rõ các hạn chế nội tại của hệ thống:

• Hệ thống chủ yếu hoạt động hiệu quả khi phát hiện các cuộc tấn công đã từng xảy ra và đã có sẵn mẫu nhận diện, chữ ký hoặc quy tắc phát hiện.
• Hệ thống chưa có khả năng tự động phát hiện các hình thức tấn công mới (zero-day), các biến thể mã độc chưa từng xuất hiện hoặc chưa được cập nhật quy tắc trong cơ sở dữ liệu.
• Thời gian thực hiện đồ án tương đối ngắn nên quy mô triển khai mới dừng lại ở phạm vi thử nghiệm mô phỏng trên môi trường ảo hóa máy trạm đơn lẻ, chưa kiểm thử trên môi trường mạng quy mô lớn nhiều nút phân tán.
• Phương pháp phát hiện bất thường dựa trên hành vi tổng quát chưa được huấn luyện bằng các mô hình học máy nâng cao để giảm thiểu tỷ lệ cảnh báo sai.

Về hướng nghiên cứu tiếp theo, đề tài hướng tới việc hoàn thiện các bộ quy tắc phát hiện bất thường thông minh hơn, nghiên cứu mở rộng khả năng phản ứng tự động (Active Response) để cô lập thiết bị hoặc chặn luồng mạng khi có sự cố, cũng như tối ưu hóa hiệu năng hệ thống khi triển khai đồng thời trên số lượng lớn điểm cuối macOS.

Giá trị tham khảo

Đồ án là tài liệu kỹ thuật có giá trị tham khảo thiết thực cho các nhóm đối tượng sau:

• Sinh viên chuyên ngành An toàn thông tin, Mạng máy tính và Công nghệ thông tin: Tài liệu cung cấp hướng dẫn từng bước từ cài đặt, cấu hình Elastic Stack, cấu hình Wazuh Manager, cài đặt Suricata cho đến cách viết rule và decoder trong môi trường thực tế.
• Kỹ sư vận hành Trung tâm điều hành an ninh mạng (SOC) và Quản trị hệ thống: Cung cấp giải pháp triển khai thực tiễn để giám sát thiết bị macOS – một đối tượng thường gặp nhiều thách thức trong việc thu thập nhật ký và quản lý tập trung trong doanh nghiệp.
• Người nghiên cứu các giải pháp an ninh mã nguồn mở: Cung cấp phương pháp mẫu về việc kết hợp nhiều công cụ độc lập (Wazuh, Elastic, Suricata, VirusTotal, YARA, Telegram) thành một quy trình phát hiện và cảnh báo khép kín mà không tốn chi phí bản quyền phần mềm thương mại.

Phần đáng tham khảo nhất trong đồ án là tiểu mục 2.3 (cấu hình chi tiết các câu lệnh shell trên macOS, cách bóc tách chuỗi bằng awk, cách viết regex cho bộ giải mã decoder và cách định nghĩa rule XML tùy biến) cùng tiểu mục 3.2 (quy trình thiết lập kịch bản kết hợp FIM, script phản ứng tích cực YARA và API VirusTotal).

Câu hỏi thường gặp

1. Tác giả sử dụng các tham số và lệnh nào trên macOS để giám sát mức độ sử dụng tài nguyên hệ thống?
Tác giả sử dụng các lệnh Unix tiêu chuẩn kết hợp với awk được cấu hình trong khối <localfile> chạy định kỳ mỗi 300 giây:

• CPU: Lệnh top -l 1 | grep 'CPU usage' để lấy tỷ lệ user, sys, idle; và top -l 1 | grep 'Load Avg' để lấy trung bình tải.
• Bộ nhớ: Lệnh top -l 1 | grep PhysMem để lấy dung lượng đã dùng (used) và chưa dùng (unused).
• Ổ đĩa: Lệnh df -h / để kiểm tra phân vùng gốc.
• Mạng: Lệnh top -l 1 | grep Networks để lấy số lượng gói tin và dung lượng dữ liệu vào/ra.

2. Các ngưỡng kích hoạt cảnh báo mức độ cao (Level 12) cho tài nguyên hệ thống được thiết lập như thế nào?
Trong tệp cấu hình quy tắc /var/ossec/etc/rules/local_rules.xml, tác giả thiết lập ba quy tắc mức độ nghiêm trọng level 12 gồm:

• Rule ID 100101: Kích hoạt khi tỷ lệ sử dụng bộ nhớ vượt quá 80%.
• Rule ID 100102: Kích hoạt khi tỷ lệ sử dụng CPU vượt quá 80%.
• Rule ID 100103: Kích hoạt khi dung lượng ổ đĩa bị chiếm dụng vượt quá 70%.

3. Cơ chế phối hợp giữa FIM và YARA để phát hiện phần mềm độc hại được triển khai ra sao?
Khi một tệp tin được thêm mới hoặc chỉnh sửa trong thư mục giám sát, module FIM (syscheck) của Wazuh Agent lập tức phát hiện sự thay đổi và kích hoạt cơ chế phản ứng tích cực (Active Response). Cơ chế này gọi script yara.sh, sử dụng công cụ jq để trích xuất đường dẫn tệp tin từ chuỗi dữ liệu JSON do FIM cung cấp, sau đó chuyển tệp tin này cho công cụ YARA quét đối chiếu với các tập luật nhận diện mã độc. Nếu phát hiện trùng khớp, hệ thống sinh sự kiện cảnh báo tương ứng.

4. Hai mẫu phần mềm độc hại thực tế nào đã được đưa vào thực nghiệm trên điểm cuối macOS?
Trong Chương 3, ngoài tệp kiểm tra chuẩn eicar.com, tác giả đã tiến hành thử nghiệm với hai mẫu mã độc cụ thể là mã độc nhắm vào macOS mang tên SysJoker (kiểm thử qua VirusTotal và YARA) cùng mẫu mã độc tống tiền (ransomware) Lockbit (kiểm thử qua công cụ YARA). Cả hai mẫu đều bị hệ thống phát hiện chính xác.

5. Đóng góp cải tiến mã nguồn mà tác giả tự thực hiện ngoài các mục tiêu mặc định ban đầu là gì?
Ngoài ba mục tiêu chính về tổng quan, cài đặt cấu hình và thực nghiệm, tác giả đã tự viết thêm đoạn mã tích hợp (integration script) trên Wazuh Server nhằm kết nối hệ thống với API của Telegram. Đoạn mã này cho phép chuyển đổi các sự kiện an ninh thu thập được thành tin nhắn cảnh báo gửi theo thời gian thực tới tài khoản Telegram của quản trị viên.

Kết luận

Đồ án tốt nghiệp của sinh viên Nguyễn Thị Quỳnh Mai đã hoàn thành đầy đủ mục tiêu nghiên cứu về việc thiết lập hệ thống giám sát và phát hiện bất thường chuyên biệt cho điểm cuối hệ điều hành macOS. Bằng cách tích hợp linh hoạt nền tảng Wazuh với Elastic Stack, công cụ phân tích mạng Suricata cùng các tiện ích mở rộng như VirusTotal và YARA, tác giả đã xây dựng thành công một giải pháp giám sát an ninh đa lớp có chi phí tối ưu. Kết quả thực nghiệm đã minh chứng tính khả thi và độ chính xác của hệ thống trong việc kiểm soát toàn vẹn dữ liệu, đo lường tài nguyên, nhận diện mã độc thực tế và ngăn ngừa các nguy cơ tấn công mạng.

Trích đoạn nội dung tài liệu

Chương 1 trình bày khái quát chung về hệ thống phát hiện xâm nhập IDS và công cụ để xây dựng hệ thống phát hiện xâm nhập sử dụng Wazuh tích hợp Elastic Stack và Suricata 1.1 Giới thiệu về hệ thống phát hiện xâm nhập 1.1 Khái niệm IDS Hê thống phát hiên xâm nhập IDS (Intrusion Detection Systems) là công cụ bảo mật có nhiêm vụ giám sát lưu lượng mạng và thiết bị để phát hiên các hành vi đáng ngờ, hoạt đông đôc hại đã biết hoặc vi phạm chính sách bảo mật. Hê thống phát hiên tấn công, xâm nhập IDS là môt lớp phòng vê quan trọng trong các lớp giải pháp đảm bảo an toàn cho hê thống thông tin và mạng theo mô hình phòng thủ theo chiều sâu. Nhiêm vụ chính của hê thống IDS gồm: e Giám sát lưu lượng mạng hoặc các hành vi trên một hê thống để nhận dạng các dấu hiêu của tấn công, xâm nhập. se Khi phát hiên các hành vi tấn công, xâm nhập thì ghi logs các hành vi nhằm mục đích phân tích bổ sung sau này.

Gửi thông báo cho người quản trị về các hành vi tấn công, xâm nhập đã phát hiên được. IDS có thể giúp tăng tốc và tự đông hóa viêc phát hiên mối đe dọa mạng bằng cách cảnh báo cho quản trị viên bảo mật về các mối đe dọa đã biết hoặc tiềm ẩn bằng cách gửi cảnh báo đến môt công cụ bảo mật tập trung, chẳng hạn như hê thống quản lý sự kiên và thông tin bảo mật SIEM, nơi chúng có thể được kết hợp với dữ liêu từ các nguồn khác để giúp các nhóm bảo mật xác định và ứng phó với các mối đe dọa mạng. I1] Môt hê thống IDS cần phải thỏa mãn những yêu cầu: e Tinh chinh xac (Accuracy): IDS không được coi những hành đông thông thường trong môi trường hê thống là những hành đông bất thường hay lạm dụng. Nguyễn Thị Quỳnh Mai - D19CQAT01-B 3 Đồ án tốt nghiệp đại học Chương 2 e Hiéu năng (Performance): Hiêu năng của IDS phải đủ để phát hiên xâm nhập trái phép trong thời gian thực e_ Tính trọn vẹn (Completeness): IDS không được bỏ qua môt xâm nhập trái phép nào.

Đây là môt điều kiên khó thỏa mãn được. se _ Chịu lỗi (Fault Tolerance): Bản thân IDS phải có khả năng chống lại tấn công. ¢ Kha nang mé réng (Scalability): IDS phai cé kha nang xu ly trong trạng thái xấu nhất là không bỏ sót thông tin nào. Yên cầu này liên quan tới hê thống mà các sự kiên trong tương lai đến từ nhiều nguồn tài nguyên với số lượng host nhỏ.

Với sự phát triển nhanh và mạnh của mạng máy tính, hê thống có thể bị quá tải bởi sự tăng trưởng của số lượng sự kiên.2 Phân loại IDS Có 2 loại hê thống phát hiên xâm nhập phổ biến: e Hê thống phát hiên xâm nhập mạng (NIDS - Network based IDS): NIDS phân tích lưu lượng mạng để phát hiên tấn công, xâm nhập cho cả mạng hoặc môt phần mạng. Giám sát lưu lượng truy cập vào và ra tới các thiết bị trên mạng. NIDS sẽ kiểm tra các giao tiếp trên mạng theo thời gian thực. Nó kiểm tra các giao tiếp, quét header của các gói tin và có thể kiểm tra nôi dung của các gói đó để phát hiên ra các đoạn mã nguy hiểm hay các dạng tấn công khác nhau.

Môt Network-Based IDS hoạt đông tin cậy trong viêc kiểm tra, phát hiên các dạng tấn công trên mạng, ví dụ như dựa vào băng thông (bandwidth-based) của tấn công Denied of Service (DoS). e« _ Hê thống phát hiên xâm nhập cho host (HIDS - Host based IDS): HIDS phân tích các sự kiên xảy ra trong hê thống/ dịch vụ để phát hiên tấn công, xâm nhập cho hê thống đó. HIDS được cài đặt trên môt điểm cuối cụ thể, giám sát hoạt đông trên thiết bị đó, bao gồm cả lưu lượng truy cập Nguyễn Thị Quỳnh Mai - D19CQAT01-B 4 Đồ án tốt nghiệp đại học Chương 2 đến và đi từ thiết bị đó. HIDS giám sát và phân tích tất cả những hoạt đông về cấu hình hê thống và các file log, hoạt đông ứng dụng, lưu lượng mạng thu thập, cuôc gọi hé thống, lịch sử và những thông điệp báo lỗi trên hê thống máy chủ.

Nhiêm vụ của HIDS là theo dõi các thay đổi trên hê thống bao gồm: * Cac tién trình = Cac entry cua Registry » Muc do su dung CPU * Tinh trang RAM » Kiém tra tinh toan ven va truy cap trén hé théng file Các khả năng của HIDS bao gồm kiểm tra tính toàn vẹn, tương quan sự kiên, phân tích nhật ký, thực thi chính sách, phát hiên rootkit, bô xử lý, bô nhớ, đĩa cứng và cảnh báo. HIDS có khả năng chính xác cao hơn và ít dương tính giả hơn NIDS vì nó phân tích các têp log nên có thể xác định liêu môt cuôc tấn công có xảy ra thành công hay không. HIDS yêu cầu các chương trình hoặc agent được cài đặt trên hê thống để tạo báo cáo nếu có bất kỳ hoạt đông đôc hại nào xảy ra. HIDS sẽ duy trì cơ sở dữ liêu của các đối tượng hê thống mà nó cần giám sát.

Cơ sở dữ liêu chứa thông tin quan trọng về các đối tượng hê thống này bao gồm các thuôc tính, thời gian sửa đổi, kích thước, tổng kiểm tra hoặc mã băm của các đối tượng hê thống.3 Các kỹ thuật phát hiện xâm nhập 1.1 Phát hiện xâm nhập dựa trên chữ ký Phát hiên xâm nhập dựa trên chữ ký trước hết cần xây dựng cơ sở dữ liêu các chữ ký hoặc các dấu hiêu của các loại tấn công, xâm nhập đã biết. Hầu hết các chữ ký, dấu hiêu được nhận dạng và mã hóa thủ công và dạng biểu diễn thường gặp là các luật phát hiên (detection rule). Nguyễn Thị Quỳnh Mai - D19CQAT01-B 5 Đồ án tốt nghiệp đại học Chương 2 Bước tiếp theo là sử dụng cơ sở dữ liêu các chữ ký để giám sát các hành vi của hé thống hoặc mạng và cảnh báo nếu phát hiên chữ ký của tấn công, xâm nhập. Phát hiên xâm nhập dựa trên chữ ký có khả năng phát hiên các tấn công, xâm nhập đã biết môt cách hiêu quả, tốc đô xử lý cao và yêu cầu tài nguyên tính toán tương đối thấp.

Phương pháp này không có khả năng phát hiên các tấn công, xâm nhập mới, do chữ ký của chúng chưa tồn tại trong cơ sở dữ liêu các chữ ký. Để có hiêu quả, cơ sở dữ liêu chữ ký phải được cập nhật thường xuyên với thông tin tình báo về mối đe dọa mới khi các cuôc tấn công mới xuất hiên và các cuôc tấn công hiên có phát triển.2 Phát hiện xâm nhập dựa trên bất thường Phát hiên xâm nhập dựa trên bất thường gồm 2 giai đoạn: huấn luyên và phát hiên. Trong giai đoạn huấn luyên, hồ sơ của đối tượng trong chế đô làm viêc bình thường được xây dựng. Thực hiên giám sát đối tượng trong khoảng thời gian đủ dài để thu thập được đầy đủ dữ liêu mô tả các hành vi của đối tượng trong điều kiên bình thường làm dữ liêu huấn luyên.

Trong giai đoạn phát hiên, thực hiên giám sát hành vi hiên tại của hê thống và cảnh báo nếu có khác biêt rõ nét giữa hành vi hiên tại và các hành vi lưu trong hồ sơ của đối tượng. Phát hiên xâm nhập dựa trên bất thường có tiềm năng phát hiên các loại tấn công, xâm nhập mới mà không yêu cầu biết trước thông tin về chúng. Tuy nhiên, phương pháp này có tỷ lê cảnh báo sai tương đối cao so với phương pháp phát hiên dựa trên chữ ký.2 Hệ thống phát hiện xâm nhập sử dụng Wazuh tích hợp Elastic Stack và Suricata 1.1 Giới thiệu về Wazuh Wazuh là môt nền tảng bảo mật mã nguồn mở và miễn phí hợp nhất các khả năng của XDR và SIEM. Wazuh dugc sinh ra nhu Nguyễn Thị Quỳnh Mai - D19CQAT01-B 6 Đồ án tốt nghiệp đại học Chương 2 môt nhánh của OSSEC HIDS và sau đó được tích hợp với Elastic Stack.

Wazuh được sử dụng trong nhiều trường hợp: se _ Phân tích bảo mật: Wazuh được sử dụng để thu thập, tổng hợp, lập chỉ mục và phân tích dữ liêu bảo mật, giúp các tổ chức phát hiên các hành vi xâm nhập, mối đe dọa và hành vi bất thường. se _ Phát hiên xâm nhập: Wazuh agent quét các hê thống được giám sát để tìm phần mém doc hai, rootkit va cac điểm bất thường đáng ngờ. Phát hiên các têp ẩn, tiến trình được che giấu hoặc trình nghe mạng chưa đăng ký cũng như sự không nhất quán trong phản hồi cuôc gọi hê thống. Phát hiên xâm nhập dựa trên chữ ký, sử dụng biểu thức chính quy để phân tích dữ liêu nhật ký được thu thập và tìm kiếm các dấu hiêu xâm phạm.

se Phân tích dữ liêu nhật ký: Wazuh agent đọc nhật ký ứng dụng và hệ điều hành, đồng thời chuyển tiếp chúng môt cách an toàn đến trung tâm quản lý để phân tích và lưu trữ dựa trên quy tắc. Giám sát tính toàn vẹn của têp: Wazuh giám sát hê thống têp, xác định các thay đổi về nôi dung, quyền, quyền sở hữu và thuôc tính của têp cần theo dõi e Phát hiên lỗ hổng: Wazuh agent lấy dữ liêu kiểm kê phần mềm và gửi thông tin đến máy chủ, tương quan với cơ sở dữ liêu CVE (Common Vulnerabilities and Exposure) được cập nhật liên tục để xác định phần mềm dễ bị tấn công phổ biến. se Đánh giá cấu hình: Wazuh giám sát các cài đặt cấu hình ứng dụng và hê thống để đảm bảo tuân thủ các chính sách, tiêu chuẩn bảo mật và hướng dẫn nâng cao. Agent thực hiên quét định kỳ để phát hiên các ứng dụng được xác định là dễ bị tấn công, chưa được vá lỗi hoặc được cấu hình không an toàn.

Nguyễn Thị Quỳnh Mai - D19CQAT01-B 7 Đồ án tốt nghiệp đại học Chương 2 »«Ứng phó sự cố: Wazuh cung cấp các phản hồi tích cực ngay lập tức để thực hiên nhiều biên pháp đối phó khác nhau nhằm giải quyết các mối đe dọa không hoạt đông. e Tuan thu quy định, chính sách: Wazuh cung cấp môt số biên pháp kiểm soát bảo mật cần thiết để tuân thủ các tiêu chuẩn và quy định. e Bảo mật đám mây: Wazuh giúp giám sát cơ sở hạ tầng đám mây sử dụng API, sử dụng các module tích hợp có khả năng lấy dữ liêu bảo mật từ các nhà cung cấp đám mây. se Bảo mật container: cung cấp khả năng hiển thị bảo mật cho các máy chủ và Docker container, giám sát hành vi và phát hiên các mối đe dọa, lỗ hổng và sự bất thường.2 Thành phần của Wazuh 1.