[ LAB 5 ] Kiểm tra và xác nhận cấu hình OPNsense và Graylog

I. Các thành phần trong mô hình
II. Nội dung
1. Tổng quan hệ thống
2. Cấu hình cơ bản
3. Kiểm tra và xác nhận hệ thống
III. Kết luận

---

I. Các thành phần trong mô hình
Mô hình mạng sử dụng để triển khai luật phát hiện cơ bản bao gồm:
OPNsense:

• Giao diện WAN: NAT kết nối ra Internet.
• Giao diện LAN (vmnet5): Kết nối nội bộ với các máy ảo Kali, Windows và Ubuntu.

Máy Windows 7 (IP: 192.168.1.10):

• Gắn card mạng vmnet5.
• Được dùng làm mục tiêu kiểm tra cảnh báo từ Suricata.

Máy Kali Linux (IP: 192.168.1.20):

• Gắn 2 card mạng:
  • NAT (để kết nối Internet).
  • vmnet5 (để gửi lưu lượng nội bộ tới Windows 7 và đi qua OPNsense).
• Dùng để tạo traffic kiểm thử như ping, scan cổng, kết nối HTTPS, v.v.

Máy Ubuntu (IP: 192.168.1.30):

---

II. Nội dung

• Hệ thống IPS/IDS sử dụng Suricata chạy trên OPNsense, theo dõi và phát hiện các hành vi bất thường trong lưu lượng mạng.
• Graylog trên máy Ubuntu nhận và lưu trữ log từ Suricata, hỗ trợ phân tích và cảnh báo.
• Máy Kali tạo traffic thử nghiệm để kiểm tra luật phát hiện.

• Cài đặt Suricata trên OPNsense, cấu hình luật phát hiện cơ bản.
• Cài đặt Graylog trên Ubuntu, cấu hình nhận log từ Suricata qua Syslog (UDP/TCP port 5514).
• Cấu hình đồng bộ thời gian (NTP) trên OPNsense và Ubuntu.
• Thiết lập mạng LAN vmnet5 làm mạng nội bộ để các máy ảo kết nối và trao đổi dữ liệu.

• Truy cập web OPNsense: https://192.168.1.1
• Vào Services → Intrusion Detection → Tab Administration
• Kiểm tra trạng thái dịch vụ Suricata phải hiển thị Running.

Ping máy Windows 7 : ping 192.168.1.10

Quét cổng TCP máy Windows 7 : nmap -sS 192.168.1.10

Quan sát trên OPNsense, tab Alerts của Suricata sẽ có log cảnh báo tương ứng :

• Truy cập giao diện web Graylog: http://192.168.1.30:9000
• Vào Search → All messages
• Tìm kiếm log theo từ khóa : OPNsense.localdomain

ubuntu : timedatectl status

III. Kết luận

• Hệ thống IPS/IDS trên OPNsense với Suricata đã hoạt động ổn định, luật phát hiện cơ bản được kích hoạt và phản hồi đúng với các traffic thử nghiệm.
• Log từ Suricata được gửi về Graylog trên Ubuntu thành công, cho phép quản trị viên theo dõi và phân tích dữ liệu dễ dàng.
• Đồng bộ thời gian (NTP) đảm bảo tính chính xác của timestamp trong log.
• Mô hình mạng nội bộ vmnet5 vận hành hiệu quả, thay thế được cho SPAN port vật lý trong môi trường ảo.
• Hệ thống sẵn sàng mở rộng hoặc nâng cấp với cấu hình HA, backup để tăng độ tin cậy và bảo vệ hệ thống trong điều kiện thực tế.