Splunk: Công cụ toàn năng cho chuyên gia giám sát an ninh mạng

Tiếp tục loạt bài viết về hệ thống giám sát an ninh mạng, trong các bài tới tôi sẽ giới thiệu đến các bạn các công cụ, sản phẩm giám sát an ninh mạng điển hình – đó là Splunk.

Splunk – Công cụ giám sát an ninh mạng

Bạn có thể tham khảo thêm bài viết Tổng quan về một hệ thống giám sát an ninh mạng. Công cụ giám sát an ninh mạng đầu tiên mà tôi sẽ nhắc đến là Splunk: Công cụ toàn năng cho các chuyên gia giám sát an ninh mạng. Splunk là một phần mềm giám sát an ninh mạng dựa trên sức mạnh của việc phân tích Log. Splunk thực hiện các công việc tìm kiếm, giám sát và phân tích dữ liệu logs lớn được sinh ra từ các ứng dụng, các hệ thống và các thiết bị hạ tầng mạng. Nó có thể thao tác tốt với nhiều loại dịnh dạng dữ liệu khác nhau (Syslog, csv, apache-log, access_combine …). Splunk được xây dựng dựa trên nền tảng Lucene and MongoDB với một giao diện web rất trực quan.

Splunk Enterprise

CHÍNH SÁCH BẢN QUYỀN: Splunk cung cấp 2 bộ sản phẩm miễn phí và trả phí

Sản phẩm trả phí: Có tất cả các chức năng của Splunk, không hạn chế kích thước dữ liệu.
Sản phẩm miễn phí: Hạn chế một số chức năng, hạn chế khối lượng dữ liệu mỗi ngày là 500MB. Bao gồm các chức năng: Đánh chỉ mục dữ liệu, tìm kiếm trong thời gian thực, thống kế và kết xuất báo cáo.

TÍNH NĂNG Định dạng Log: Splunk hỗ trợ hầu như tất cả các loại log của hệ thống, thiết bị hạ tầng mạng, phần mềm, Firewall, IDS/IPS, Log Event, Register của các máy trạm… Các hình thức thu thập dữ liệu: Splunk có thể thực hiện việc thu thập log từ rất nhiều nguồn khác nhau.

Từ một file hoặc thư mục (kể cả file nén) trên server
Qua các kết nối UDP, TCP từ các Splunk Server khác trong mô hình Splunk phân tán
Từ các Event Logs, Registry của Windows…

Splunk cũng kết hợp rất tốt với các công cụ thu thập log khác để tăng hiệu năng của hệ thống. Cập nhật dữ liệu: Splunk cập nhật dữ liệu liên tục khi có thay đổi trong thời gian thực. Giúp cho việc phát hiện và cảnh báo chính xác trong thời gian thực. Đánh chỉ mục dữ liệu: Splunk được xây dựng trên Lucence, có thể đánh chỉ mục dữ liệu với một khối lượng dữ liệu rất lớn trong một khoảng thời gian ngắn. Giúp việc tìm kiếm diễn ra nhanh chóng và thuận tiện. Tìm kiếm thông tin: Splunk làm việc rất tốt với dữ liệu lớn và cập nhật liên tục. Nó cung cấp cơ chế tìm kiếm với một “Splunk Language” cực kỳ thông minh bao gồm các từ khóa, các hàm và cấu trúc tìm kiếm giúp người sử dụng có thể truy xuất mọi thứ, theo rất nhiều tiêu chí từ tập dữ liệu rất lớn. Những nhà quản trị mạng cao cấp và chuyên nghiệp thường gọi Splunk với cái tên “Splunk toàn năng” hay “Splunk as Google for Log files” để nói lên sức mạnh của Splunk. Giám sát an ninh mạng và cảnh báo: Splunk cung cấp cho người dùng một cơ chế cảnh báo dựa trên việc tìm kiếm các thông tin do chính người sử dụng đặt ra. Khi có vấn đề liên quan tới hệ thống phù hợp với các tiêu chí mà người dùng đã đặt ra thì hệ thống sẽ cảnh báo ngay tới người dùng (cảnh bảo trực tiếp qua giao diện, giử Email). Khắc phục sự cố: Splunk còn cung cấp một cơ chế tự động khắc phục với các vấn đề xảy ra bằng việc cấu hình để tự động chạy các file Script mà người dùng tự tạo (Ví dụ như: Chặn IP, đòng Port …) khi có các cảnh báo xảy ra. Hiển thị thông tin: Splunk cung cấp một cơ chế hiển thị trực quan giúp người sử dụng có thể dễ dàng hình dung về tình trạng của hệ thống, đưa ra các đánh giá về hệ thống. Splunk còn từ động kết xuất ra các báo cáo với nhiều loại định dạng một cách chuyên nghiệp. Phát triển: Cũng cung cấp các API hỗ trợ việc tạo các ứng dụng trên Splunk của người dùng. Một số bộ API điển hình như Splunk SDK (Cung cấp các SDK trên nền tảng Python, Java, JS, PHP), Shep (Splunk Hadoop Intergration – Đây là sự kết hợp giữa Splunk và Hadoop), Shuttl (Là một sản phẩm hỗ trợ việc sao lưu dữ liệu trong Splunk), Splunkgit (Giúp bạn hình dung dữ liệu tốt hơn), Splunk power shell resource Kit (Bộ công cụ hỗ trợ việc mở rộng và quản lý hệ thống). LƯU Ý: Splunk mạnh về khả năng phân tích và cảnh báo tuy nhiên nó lại không mạnh và không đảm bảo về việc thu thập và truyền tải log. Cụ thể là nó chưa có cơ chế bảo mật trên đường truyền, không phù hợp với những hệ thống đòi hỏi bảo mật cao. Để phát huy hết được sức mạnh của Splunk cần có thời gian tìm hiểu và sử dụng. Splunk chưa có cơ chế giúp tự động phát hiện ra các tấn công hay các vấn đề từ bên ngoài. Những điều này phụ thuộc vào kinh nghiệm sử dụng và vốn hiểu biết về bảo mật của người quản trị. Đề triển khai được một hệ thống sử dụng Splunk hiệu quả chúng ta cũng cần có một hệ thống riêng, đây cũng là một trở ngại không nhỏ với các hệ thống có quy mô trung bình và nhỏ.

CÀI ĐẶT SPLUNK ENTERPRISE:

Splunk cung cấp các bộ cài đặt trên trang web splunk.com. Bạn chỉ cần tải bộ cài đặt của Spunk và cài đặt trên các hệ thống server riêng của mình. Splunk cung cấp 1 giao diện web rất trực quan để bạn thao tác và cấu hình mọi thứ. Bạn cũng có thể cài đặt Splunk trên máy của mình để phân tích Log đơn thuần.

TRIỂN KHAI SPLUNK ENTERPRISE:

Với một hệ thống lớn để triển khai được Splunk chúng ta cần có một Server riêng để tập trung Log. Tuy nhiên Splunk làm không tốt việc tập trung Log từ các Server hay thiết bị khác. Vì thế chúng ta cần sử dụng một số công cụ khác để thực hiện việc tập trung Log và về Splunk Server. Cụ thể là ta có thể kết hợp với syslog, Snare (for Windows), sử dụng qua Heroku …. Triển khai hệ thống phân tán: Splunk hỗ trợ người dùng thiết lập một hệ thống phân tán khi lượng dữ liệu là quá lớn vượt qua khả năng lưu trữ và xử lý của một máy.