VietNetwork.Vn

1. Giới thiệu.

• Công cụ giám sát an ninh mạng đầu tiên mà tôi sẽ nhắc đến là Splunk: Công cụ toàn năng cho các chuyên gia giám sát an ninh mạng. Splunk là một phần mềm giám sát an ninh mạng dựa trên sức mạnh của việc phân tích Log. Splunk thực hiện các công việc tìm kiếm, giám sát và phân tích dữ liệu Logs lớn được sinh ra từ các ứng dụng, các hệ thống và các thiết bị hạ tầng mạng. Nó có thể thao tác tốt với nhiều loại định dạng dữ liệu khác nhau (Syslog, csv, apache-log, access_combine ...). Splunk được xây dựng dựa trên nền tảng Lucene and MongoDB với một giao diện Web rất trực quan.

2. Bản quyền.Splunk cung cấp 2 bộ sản phẩm miễn phí và trả phí.

• Sản phẩm trả phí: Có tất cả các chức năng của Splunk, không hạn chế kích thước dữ liệu.
• Sản phẩm miễn phí: Hạn chế một số chức năng, hạn chế khối lượng dữ liệu mỗi ngày là 500MB. Bao gồm các chức năng: Đánh chỉ mục dữ liệu, tìm kiếm trong thời gian thực, thống kế và kết xuất báo cáo.

3. Các tính năng của Splunk.Định dạng Log.

• Splunk hỗ trợ hầu như tất cả các loại Log của hệ thống, thiết bị hạ tầng mạng, phần mềm, Firewall, IDS/IPS, Log Event, Register của các máy trạm...

Các hình thức thu thập dữ liệu.

• Splunk có thể thực hiện việc thu thập Log từ rất nhiều nguồn khác nhau.
• Từ một tập tin hoặc thư mục, kể cả tập tin nén trên máy chủ.
• Qua các kết nối UDP, TCP từ các Splunk Server khác trong mô hình Splunk phân tán.
• Từ các Event Logs, Registry của Windows...
• Splunk cũng kết hợp rất tốt với các công cụ thu thập Log khác để tăng hiệu năng của hệ thống.

Cập nhật dữ liệu.

• Splunk cập nhật dữ liệu liên tục khi có thay đổi trong thời gian thực. Giúp cho việc phát hiện và cảnh báo chính xác trong thời gian thực.

Đánh chỉ mục dữ liệu.

• Splunk được xây dựng trên Lucence, có thể đánh chỉ mục dữ liệu với một khối lượng dữ liệu rất lớn trong một khoảng thời gian ngắn. Giúp việc tìm kiếm diễn ra nhanh chóng và thuận tiện.

Tìm kiếm thông tin.

• Splunk làm việc rất tốt với dữ liệu lớn và cập nhật liên tục. Nó cung cấp cơ chế tìm kiếm với một "Splunk Language" cực kỳ thông minh bao gồm các từ khóa, các hàm và cấu trúc tìm kiếm giúp người sử dụng có thể truy xuất mọi thứ, theo rất nhiều tiêu chí từ tập dữ liệu rất lớn. Những nhà quản trị mạng cao cấp và chuyên nghiệp thường gọi Splunk với cái tên "Splunk toàn năng" hay "Splunk as Google for Log files" để nói lên sức mạnh của Splunk.

Giám sát an ninh mạng và cảnh báo.

• Splunk cung cấp cho người dùng một cơ chế cảnh báo dựa trên việc tìm kiếm các thông tin do chính người sử dụng đặt ra. Khi có vấn đề liên quan tới hệ thống phù hợp với các tiêu chí mà người dùng đã đặt ra thì hệ thống sẽ cảnh báo ngay tới người dùng, cảnh bảo trực tiếp qua giao diện, giử Email.

Khắc phục sự cố.

• Splunk còn cung cấp một cơ chế tự động khắc phục với các vấn đề xảy ra bằng việc cấu hình để tự động chạy các tập tin Script mà người dùng tự tạo. Ví dụ như: Chặn IP, đóng Port... khi có các cảnh báo xảy ra.

Hiển thị thông tin.

• Splunk cung cấp một cơ chế hiển thị trực quan giúp người sử dụng có thể dễ dàng hình dung về tình trạng của hệ thống, đưa ra các đánh giá về hệ thống. Splunk còn từ động kết xuất ra các báo cáo với nhiều loại định dạng một cách chuyên nghiệp.

Phát triển.

• Splunk cũng cung cấp các API hỗ trợ việc tạo các ứng dụng trên Splunk của người dùng. Một số bộ API điển hình như Splunk SDK (Cung cấp các SDK trên nền tảng Python, Java, JS, PHP), Shep (Splunk Hadoop Intergration – Đây là sự kết hợp giữa Splunk và Hadoop), Shuttl (Là một sản phẩm hỗ trợ việc sao lưu dữ liệu trong Splunk), Splunkgit (Giúp bạn hình dung dữ liệu tốt hơn), Splunk power shell resource Kit (Bộ công cụ hỗ trợ việc mở rộng và quản lý hệ thống).

Chú ý:

• Splunk mạnh về khả năng phân tích và cảnh báo, tuy nhiên nó lại không mạnh và không đảm bảo về việc thu thập và truyền tải Log. Cụ thể là nó chưa có cơ chế bảo mật trên đường truyền, không phù hợp với những hệ thống đòi hỏi bảo mật cao. Để phát huy hết được sức mạnh của Splunk cần có thời gian tìm hiểu và sử dụng.
• Splunk chưa có cơ chế giúp tự động phát hiện ra các tấn công hay các vấn đề từ bên ngoài. Những điều này phụ thuộc vào kinh nghiệm sử dụng và vốn hiểu biết về bảo mật của người quản trị. Đề triển khai được một hệ thống sử dụng Splunk hiệu quả chúng ta cũng cần có một hệ thống riêng, đây cũng là một trở ngại không nhỏ với các hệ thống có quy mô trung bình và nhỏ.

4. Cài đặt Splunk EnterPrise.

• Splunk cung cấp các bộ cài đặt trên trang Web   Đăng nhập để xem liên kết. Bạn chỉ cần tải bộ cài đặt của Spunk và cài đặt trên các hệ thống máy chủ riêng của mình.
• Splunk cung cấp 1 giao diện Web rất trực quan để bạn thao tác và cấu hình mọi thứ. Bạn cũng có thể cài đặt Splunk trên máy tính của mình để phân tích Log đơn thuần.

5. Triển khai Splunk EnterPrise.

Với một hệ thống lớn để triển khai được Splunk chúng ta cần có một máy chủ riêng để tập trung Log. Tuy nhiên Splunk làm không tốt việc tập trung Log từ các máy chủ hay thiết bị khác. Vì thế chúng ta cần sử dụng một số công cụ khác để thực hiện việc tập trung Log và về Splunk Server. Cụ thể là chúng ta có thể kết hợp với Syslog, Snare (cho Windows), sử dụng qua Heroku .... Triển khai hệ thống phân tán: Splunk hỗ trợ người dùng thiết lập một hệ thống phân tán khi lượng dữ liệu là quá lớn vượt qua khả năng lưu trữ và xử lý của một máy.