Khái niệm Network Security Audit Data
Network Security Audit Data là tập hợp các bản ghi, nhật ký (log), bằng chứng được thu thập, phân tích trong quá trình kiểm toán an ninh mạng để đánh giá tuân thủ, hiệu quả kiểm soát và phát hiện lỗ hổng.
Quy trình kiểm toán an ninh mạng (Network Security Audit Workflow)
- Xác định phạm vi (Scope): Mạng nào, hệ thống nào, tiêu chuẩn nào (ISO 27001, PCI-DSS, NIST CSF, CIS Controls).
- Thu thập dữ liệu (Data Collection):
- Cấu hình firewall, router, switch, VPN, WAF, LB (backup config).
- Log: Firewall (traffic, threat), IDS/IPS, VPN auth, DNS, DHCP, Proxy, NAC, EDR, CloudTrail, VPC Flow Logs.
- Chính sách, sơ đồ mạng, asset inventory, vulnerability scan report, pen-test report.
- Phỏng ban vận hành, admin, security team.
- Phân tích & Đánh giá (Analysis):
- So sánh cấu hình với baseline (CIS Benchmark, STIG).
- Kiểm tra rule firewall: shadowed, overly permissive (any/any), unused.
- Phân tích log: brute force, port scan, data exfil, C2 beacon, lateral movement.
- Xác minh segmentation (VLAN, Zero Trust), encryption (TLS 1.2+, IPsec), MFA coverage.
- Đánh giá quy trình: change management, incident response, vendor management, backup/restore test.
- Báo cáo (Reporting): Executive summary, findings (Critical/High/Medium/Low), evidence, risk rating, recommendation, timeline remediation.
- Theo dõi khắc phục (Follow-up): Verify fix, re-scan, close finding.
Các loại Audit Records (Bản ghi kiểm toán) quan trọng
| Loại log | Nguồn | Mục đích kiểm toán |
|---|---|---|
| Firewall Traffic Log | Palo Alto, FortiGate, Check Point, AWS Security Group Flow Logs | Xác minh rule allow/deny, phát hiện kết nối bất thường, shadow IT. |
| IDS/IPS Alert Log | Suricata, Snort, Cisco Firepower, Zeek | Đánh giá coverage signature, false positive/negative, attack trend. |
| VPN/Remote Access Log | VPN concentrator, ZTNA, RADIUS, Azure AD Sign-in | Kiểm tra MFA, geo-impossible login, concurrent session, split tunnel. |
| DNS Query Log | Infoblox, Cisco Umbrella, Pi-hole, Windows DNS | Phát hiện DGA, C2, data exfil qua DNS, typosquatting. |
| Authentication/Authorization Log | Domain Controller, RADIUS, TACACS+, IAM (Okta, Azure AD) | Privilege escalation, account creation, Golden Ticket, Kerberoasting. |
| Configuration Change Log | NetBox, GitOps (ArgoCD/Flux), NCM (SolarWinds, BackBox) | Unauthorized change, drift so với baseline, change approval evidence. |
| Vulnerability Scan Report | Qualys, Tenable, Rapid7, OpenVAS | SLA patching, risk acceptance, false positive handling. |
| Physical Access Log | PACS (HID, Mercury), Camera | Server room access correlation với admin login. |
Yêu cầu đối với Audit Data
- Integrity: Log gửi qua syslog TLS / forwarder có chữ ký, lưu trữ WORM (immutable storage).
- Retention: Theo quy định (PCI-DSS 1 năm, SOX 7 năm, GDPR theo nguyên tắc minimization).
- Timestamp sync: NTP/PTP đồng bộ toàn bộ thiết bị (stratum 1/2).
- Completeness: Không gap log (monitor log source health).
Công cụ hỗ trợ kiểm toán
- SIEM: Splunk, Elastic, Sentinel, QRadar – query, dashboard, alert.
- Compliance Automation: Drata, Vanta, Secureframe, Tugboat Logic – map control → evidence.
- Network Config Audit: Nipper, Batfish, Netmiko/NAPALM scripts, RedSeal.
- Cloud Audit: AWS Config, Azure Policy, GCP Security Command Center, Prowler, ScoutSuite.
Kết luận
Network Security Audit Data không chỉ là log thô – là bằng chứng có cấu trúc, đầy đủ, toàn vẹn, có timestamp đồng bộ để chứng minh trạng thái an ninh mạng tại thời điểm kiểm toán và hỗ trợ điều tra sự cố. Việc tự động hóa thu thập, chuẩn hóa (CEF/OCSF/ECS) và lưu trữ immutable là xu hướng bắt buộc.