- VI CHƯƠNG I: NGUY CƠ MẤT AN TOÀN AN NINH MẠNG VÀ HỆ THỐNG SIEM. - Tổng quan về hệ thống SIEM. - Tầm quan trọng của hệ thống SIEM. - Thành phần của hệ thống SIEM. - 25 CHƯƠNG II: HỆ THỐNG SPLUNK. - 44 CHO HỆ THỐNG MẠNG VIETNAM AIRLINES. - Khảo sát hệ thống mạng tại Vietnam Airlines. - Mô hình hệ thống mạng. - Hiện trạng hệ thống mạng. - Phân tích, đánh giá nguy cơ, rủi ro hệ thống mạng. - Đề xuất giải pháp, yêu cầu đối với hệ thống giám sát sự kiện an ninh thông tin cho các hệ thống CNTT tại Vietnam Airlines. - Yêu cầu đối với hệ thống giám sát sự kiện an ninh. - Kiến trúc hệ thống. - Khó khăn, tồn tại của hệ thống đã xây dựng. - 38 Bảng 3.1: Các hệ thống CNTT tại Vietnam Airlines. - 45 Bảng 3.2: Log được hệ thống thu thập. - 55 Bảng 3.3: Luật cảnh báo trên hệ thống. - 6 Hình 1.3: Dữ liệu, nhật ký hệ thống SIEM thu thập. - 44 Hình 3.2: kiến trúc tổng quan về hệ thống. - 64 Hình 3.8: Giao diện Admin hệ thống. - 66 Hình 3.10: Hệ thống cảnh báo đã phát hiện kết nối tới địa chỉ IP . - 68 Hình 3.12: Hệ thống giám sát cảnh báo đăng nhập lỗi. - 68 Hình 3.13: Email cảnh báo tấn công của hệ thống giám sát. - 69 Hình 3.14: Log của hệ thống firewall modsecurity. - 70 Hình 3.15: Cảnh báo tấn công web của hệ thống giám sát. - Mục tiêu nghiên cứu Luận văn tập trung nghiên cứu hệ thống quản lý và phân tích sự kiện an ninh thông tin và ứng dụng giúp tăng cường khả năng đảm bảo an toàn thông tin của tổng công ty Hàng không Việt Nam. - Đối tượng nghiên cứu VIII Luận văn nghiên cứu về hệ thống quản lý và phân tích sự kiện an ninh thông tin nói chung. - Trong đó, Luận văn tập trung vào nghiên cứu giải pháp Splunk trong việc xây dựng hệ thống giám sát, đảm bảo an toàn thông tin. - Phạm vi nghiên cứu Luận văn nghiên cứu một cách tổng quan về các hệ thống quản lý và phân tích sự kiện an ninh thông tin. - Đặc điểm, ưu điểm và nhược điểm của hệ thống. - Nghiên cứu các giải pháp xây dựng hệ thống đã có bao gồm trả phí và mã nguồn mở. - Phương pháp nghiên cứu Nghiên cứu đặc điểm của hệ thống quản lý và phân tích sự kiện an toàn thông tin nói chung. - Phân tích, đánh giá hệ thống tại Vietnam Airlines từ đó ứng dụng hệ thống đã xây dựng vào việc đảm bảo an toàn thông tin tại Vietnam Airlines. - CHƯƠNG II: HỆ THỐNG SPLUNK Tìm hiểu chi tiết về giải pháp Splunk Enterprise. - Từ đó đề xuất giải pháp, mô hình hệ thống giám sát sự kiện an ninh cho hệ thống tại Việt Nam. - Trình bày, mô tả về kiến trúc, thành phần của hệ thống. - Thực hiện thử nghiệm và đánh giá kết quả hệ thống tại Vietnam Airlines. - 1 CHƯƠNG I: NGUY CƠ MẤT AN TOÀN AN NINH MẠNG VÀ HỆ THỐNG SIEM 1.1. - Phát tán qua hệ thống botnet. - Tầm quan trọng của hệ thống SIEM SIEM là một giải pháp nhắm đến các tổ chức lớn với khả năng duy trì và phát triển một đội ngũ chuyên gia phân tích an toàn thông tin riêng biệt. - Chính vì lý do đó, SIEM sẽ giúp doanh nghiệp, tổ chức thu thập và chuẩn hóa toàn bộ các sự kiện an toàn thông tin sản sinh ra từ thiết bị đầu cuối có trong toàn hệ thống mạng và lưu trữ tập trung. - SIEM không trực tiếp ngăn chặn các cuộc tấn công mà có thể kết nối, điều khiển các hệ thống đảm bảo an toàn thông tin khác của tổ chức. - Tùy thuộc và cơ sở hạ tầng hiện tại việc triển khai hệ thống SIEM sẽ khác nhau. - Log Event: là log ghi lại chi tiết những sự kiện mà hệ thống đã thực hiện. - Dữ liệu từ công cụ đánh giá lỗ hổng sẽ cho người quản trị biết hệ thống nào có thể dễ bị tấn công bởi những loại hướng tấn công nào. - Push Log: là phương thức mà các dữ liệu, nhật ký sẽ được các thiết bị sinh ra dữ liệu đó tự động gửi về hệ thống SIEM. - Phương pháp này cho phép hệ thống dễ dàng lưu trữ cũng như tương tác, truy vấn dữ liệu. - Ngoài ra, người sử dụng cũng sử dụng giao diện này để quản lý, điều hành hệ thống. - Giao diện ứng dụng này cho phép xử lý sự cố hoặc cung cấp cái nhìn tổng quan về môi trường của hệ thống. - Gartner khuyến cáo khách hàng sử dụng McAfee ESM cho các hệ thống có lượng thông tin với yêu cầu xử lý nhanh. - Kết hợp với giải pháp quản lý bảo mật Endpoint: nạp 24 thông tin bảo mật của hệ thống Endpoint – McAfee ePO. - 26 CHƯƠNG II: HỆ THỐNG SPLUNK 2.1. - Hệ thống Splunk cũng được sử dụng cho nhiều ứng dụng trong đời sống không chỉ trong lĩnh vực an toàn thông tin. - Splunk thực hiện các công việc tìm kiếm, giám sát và phân tích dữ liệu logs lớn được sinh ra từ các ứng dụng, các hệ thống và các thiết bị hạ tầng mạng. - Nó cung cấp 1 góc nhìn trung tâm về toàn bộ hệ thống cơ sở hạ tầng của chúng ta. - Sử dụng công cụ phân tích mạnh mẽ để khắc phục sự cố trong thời gian thực và phân tích hiệu suất hệ thống lưu trữ của chúng ta. - Tương quan dữ liệu mạng với các ứng dụng, hệ thống lưu trữ và phân tích máy chủ để giữ cho mạng của chúng ta an toàn và hoạt động mọi lúc. - Nắm được năng lực hạn chế của hệ thống hoặc tình trạng nhàn rỗi. - Thu thập dữ liệu có chiều sâu từ máy chủ, máy ảo, hệ thống máy tính. - Nó được xây dựng để lây lan trên toàn bộ hệ thống. - Kẻ tấn công có thể tùy ý nghiên cứu chỉnh sửa hệ thống của chúng ta, nếu bị phát hiện, kẻ tấn công có thể kích hoạt malware khác để tiếp tục thu thập dữ liệu. - Thành phần của Splunk Kiến trúc hệ thống Splunk gồm 3 thành phần chính. - 44 CHƯƠNG III: XÂY DỰNG ỨNG DỤNG GIÁM SÁT MẠNG CHO HỆ THỐNG MẠNG VIETNAM AIRLINES 3.1. - Khảo sát hệ thống mạng tại Vietnam Airlines 3.1.1. - Mô hình hệ thống mạng Hình 3.1: Mô hình mạng Vietnam Airlines a. - Trung tâm dữ liệu Tại trung tâm dữ liệu, hệ thống mạng được chia thành các phân vùng. - Hiện trạng hệ thống mạng a. - Ngoài ra, Vietnam Airlines còn sử dụng các hệ thống khác như. - Hệ thống bảo vệ máy chủ web phục vụ hoạt động đặt vé, bán vé, trang thông tin điện tử của công ty. - Hệ thống bảo vệ máy chủ thư điện tử. - Hệ thống phát hiện và phòng chống xâm nhập IPS - Hệ thống Antivirus SYMANTEC 3.2. - Hệ thống mạng có tính chất của một hệ thống mạng nội bộ cũng như của một trung tâm lưu trữ dữ liệu. - Với thực trạng hệ thống hiện tại, Vietnam Airlines sẽ phải đối diện với nhiều mối hiểm họa, nguy cơ mất an ninh, an toàn thông tin. - Đối với hệ thống máy chủ dữ liệu thường phải đối mặt với những nguy cơ sau. - 49 - Tấn công dò quét hệ thống máy chủ 3. - Đề xuất giải pháp, yêu cầu đối với hệ thống giám sát sự kiện an ninh thông tin cho các hệ thống CNTT tại Vietnam Airlines 3.3.1. - Splunk là giải pháp cung cấp một công cụ mạnh mẽ cho các tổ chức trong việc thu thập và giám sát các sự kiện an ninh xảy ra trong hệ thống. - Hệ thống tiến hành phân tích nâng cao bằng cách tương quan nhiều loại dữ liệu với nhau để đưa ra những cảnh báo bảo mật chi tiết cho người quản trị. - Việc thực hiện thu thập toàn bộ các thông tin này sẽ giúp cho hệ thống có được lượng dữ liệu đầy đủ về mọi hoạt động trong toàn bộ hệ thống mạng. - Việc thu thập đầy đủ thông tin dữ liệu của hệ thống là công việc rất quan trọng đảm bảo cho hệ thống được an toàn và hoạt động ổn định. - Phát hiện các hành vi liên quan đến việc chỉnh sửa, thêm tài khoản trên hệ thống. - Phát hiện kẻ tấn công sử dụng tính năng taskschedule để cài, cắm mã độc System 7045 Phát hiện các service được khởi tạo trên hệ thống. - Thành phần này có sử dụng các bộ luật, dấu hiệu phát hiện tấn công giúp cho việc phát hiện và cảnh báo về nguy cơ mất an ninh của hệ thống cho quản trị nhanh chóng thông qua email. - Platform Alert 1 Windows Cảnh báo tấn công BruteForce Cảnh bảo Service mới được cài trên hệ thống. - Cảnh báo các commandline Powershell được thực thi trên hệ thống. - Thành phần lưu trữ MongoDB Dữ liệu sau khi được thu thập từ hệ thống mạng sẽ được gửi về hệ thống Splunk để thực hiện lưu trữ và phân tích. - Trong thành phân lưu trữ, phân tích có sử dụng các bộ luật, dấu hiệu phát hiện tấn công giúp cho việc phát hiện và cảnh báo về nguy cơ mất an ninh của hệ thống cho quản trị nhanh chóng thông qua email. - Giao diện hệ thống gồm có 3 thành phần chính. - Do đó, Việc phát hiện sớm các cảnh báo IP tấn công trên hệ thống sẽ giúp cho quản trị viên nhanh chóng có phương án xử lý kịp thời. - là tài khoản có quyền cao nhất trong hệ thống. - Hình 3.11: Tấn công vét cạn bằng công cụ hydra Bước 2: Kiểm tra hệ thống giám sát. - Hình 3.12: Hệ thống giám sát cảnh báo đăng nhập lỗi 69 Bước 3: Kiểm tra email cảnh cáo. - Hệ thống đã gửi email cảnh báo về cuộc tấn công bruteforce xảy ra. - Như vậy, hệ thống đã phát hiện và cảnh báo thành công về tấn công trên môi trường Linux. - Giải pháp WAF được phát triển dựa trên modsecurity để có thể phát hiện những dấu hiệu tấn công tới hệ thống website. - Tại máy chủ Splunk được cài đặt Log source type cho modsecurity để hệ thống có thể hiểu được và dễ dàng phân tích. - Liên tục cập nhật, bổ sung cơ chế phát hiện các tấn công mạng, mã độc trên hệ thống. - Tích hợp hệ thống cảnh báo thông qua gọi điện, nhắn tin SMS. - Các kết quả đạt được của luận văn: Sau quá trình thực hiện đề tài: “Hệ thống quản lý và phân tích sự kiện an ninh thông tin và ứng dụng”. - Tham luận “CÁC NGUY CƠ TẤN CÔNG GÂY MẤT ATTT HỆ THỐNG THÔNG TIN TRỌNG YẾU VÀ MỘT SỐ GIẢI PHÁP”, VNCert
Xem thử không khả dụng, vui lòng xem tại trang nguồn hoặc xem
Tóm tắt