Phân tích nhật ký bảo mật mạng (Network Security Log Analysis)
Phân tích log bảo mật là quá trình thu thập, chuẩn hóa, tương quan và giải mã dữ liệu nhật ký từ nhiều nguồn (tường lửa, server, ứng dụng, endpoint...) để phát hiện mối đe dọa, điều tra sự cố và đảm bảo tuân thủ.
1. Nhật ký bảo mật mạng là gì?
Log bảo mật là bản ghi sự kiện xảy ra trong mạng và hệ thống. Mỗi entry chứa thông tin: thời gian, nguồn/đích, loại sự kiện, mức độ nghiêm trọng, hành động thực hiện. Các loại log chính:
- Log tường lửa (Firewall logs): Kết nối cho phép/chặn, tấn công mạng
- Log hệ điều hành (Windows Event Logs, Syslog Linux): Đăng nhập, thay đổi chính sách, lỗi hệ thống
- Log ứng dụng: Truy cập DB, lỗi ứng dụng, giao dịch
- Log proxy/web gateway: Truy cập web, tải file, URL độc hại
- Log VPN/Remote Access: Kết nối từ xa, xác thực thất bại
- Log IoT/OT: Thiết bị thông minh, hệ thống công nghiệp
2. Quy trình phân tích log chuẩn
- Thu thập (Collection): Agent/syslog forwarder thu thập từ mọi nguồn
- Chuẩn hóa (Normalization): Chuyển về định dạng chung (CEF, JSON, Syslog RFC5424)
- Lưu trữ tập trung (Centralized Storage): SIEM, Log Management Platform
- Index & Tìm kiếm: Full-text search, query ngôn ngữ chuyên biệt (KQL, SPL, Lucene)
- Tương quan (Correlation): Kết nối sự kiện liên quan qua thời gian, IP, user, MITRE ATT&CK
- Phân tích & Cảnh báo: Rule-based, ML-based anomaly detection, threat hunting
- Điều tra & Phản hồi: Timeline analysis, root cause, containment
- Báo cáo & Tuân thủ: Dashboard, audit report, compliance evidence
3. Mục đích phân tích log
- Giám sát & Cảnh báo real-time: Phát hiện tấn công đang diễn ra
- Tuân thủ chính sách bảo mật: Kiểm tra vi phạm quy định
- Kiểm toán & Tuân thủ quy định: PCI-DSS, GDPR, ISO 27001, HIPAA
- Điều tra pháp y số (Forensics): Tái hiện chuỗi tấn công, thu thập bằng chứng
- Tối ưu hiệu suất: Phát hiện bottleneck, misconfiguration
- Threat Hunting: Chủ động tìm kiếm mối đe dọa ẩn nấp
4. Công cụ phân tích log phổ biến
| Phân loại | Công cụ | Đặc điểm |
|---|---|---|
| SIEM Enterprise | Splunk, IBM QRadar, LogRhythm, ArcSight | Tương quan nâng cao, ML, compliance reporting, đắt tiền |
| Cloud-native SIEM | Microsoft Sentinel, Google Chronicle, Sumo Logic | Serverless, scale tự động, tích hợp cloud tốt |
| Open Source | ELK Stack (Elasticsearch, Logstash, Kibana), Wazuh, Graylog | Miễn phí, tùy biến cao, cần chuyên môn vận hành |
| Log Management | Datadog, New Relic, SolarWinds, Papertrail, Loggly | Dễ dùng, tập trung observability, pricing theo volume |
| Specialized | Zeek (Bro), Suricata, Velociraptor | Phân tích gói tin, endpoint forensics |
5. Phân tích log tường lửa (Firewall Log Analysis)
Các trường quan trọng cần chú ý:
- Action: allow, deny, drop, reset-both
- Source/Destination IP & Port: Xác định luồng tráfico
- Protocol: TCP, UDP, ICMP...
- Rule ID/Name: Quy tắc nào khớp
- Threat/Category: malware, botnet, C2, exploit...
- Bytes Sent/Received: Phát hiện exfiltration
Trên Windows: Event Viewer > Windows Logs > Security / Firewall
6. Thực hành tốt nhất (Best Practices)
- Chính sách lưu giữ (Retention): 90 ngày online, 1-7 năm archive (tuân thủ)
- Đồng bộ thời gian (NTP): Tất cả thiết bị cùng múi giờ, đồng bộ ms
- Bật log chi tiết: Không chỉ log "deny", cần log "allow" để threat hunting
- Giàu hóa log (Enrichment): Thêm GeoIP, Threat Intel, Asset context, User identity
- Tự động hóa: SOAR playbook cho cảnh báo lặp lại, false positive tuning
- Phân quyền truy cập log: Need-to-know basis, audit trail truy cập log
- Kiểm tra độ hoàn chỉnh: Log source health monitoring, gap detection
7. Ví dụ phân tích log thực tế
# Phát hiện Brute Force SSH
source="firewall" action="deny" dst_port=22
| stats count by src_ip, _time span=5m
| where count > 10
| lookup geoip src_ip as country
| table _time, src_ip, country, countKết luận: Phân tích log không chỉ là "xem log" mà là quy trình hệ thống hóa biến dữ liệu thô thành trí tuệ hành động (actionable intelligence). Đầu tư vào SIEM, quy trình và nhân sự phân tích là yếu tố then chốt cho tư thế bảo mật chủ động.