Thiết kế mô hình triển khai IBM Guardium (On-premise)
I. CÁC MÔ HÌNH TRIỂN KHAI IBM GUARDIUM
1.1. Mô hình Mid-size Architecture (sử dụng S-TAP Agent)
1.1.1. Mô hình
1.1.2. Cấu trúc
Mô hình gồm nhiều Collector và các S-TAP được cài đặt trên từng Database Server, cùng với một Aggregator đóng đồng thời vai trò Central Manager. Các Collector gửi dữ liệu đã xử lý về Aggregator để tổng hợp báo cáo tập trung, trong khi Aggregator/CM cũng thực hiện việc quản lý chính sách và cấu hình cho toàn bộ các Collector.
1.1.3. Thông tin các thiết bị
Thành phần | Thiết bị / Hệ điều hành đề xuất | Thành phần phần mềm cần cài đặt | Vai trò chính |
| Aggregator & Central Manager | Guardium OS | Central Manager (CM) + Aggregator | Quản trị tập trung, lưu trữ kho dữ liệu kiểm toán và quản lý chính sách toàn hệ thống. |
| Collector 1 và 2 | Guardium OS | Collector | Thu thập và phân tích lưu lượng cơ sở dữ liệu theo thời gian thực. |
| Oracle Database Server | RedHat Enterprise Linux (RHEL) | Oracle DB + S-TAP + GIM Client | Máy chủ chứa dữ liệu Oracle, cài đặt Agent để giám sát lưu lượng. |
| SQL Database Server | Windows Server 2019/2022 | MS SQL Server + S-TAP + GIM Client | Máy chủ chứa dữ liệu SQL, cài đặt Agent để giám sát lưu lượng. |
| Admin | Windows/Linux | Trình duyệt web | Truy cập Dashboard trên Central Manager để quản lý, cấu hình. |
1.1.4. Các cổng cần cấu hình
Nguồn - Đích | Cổng | Giao thức | Ý nghĩa và chức năng |
| Client - Database Servers | 1521, 1433 | TCP | SQL Traffic: luồng truy vấn dữ liệu nghiệp vụ thông thường. |
| DB Servers - Collectors | 16016 | TCP | S-TAP Traffic: gửi dữ liệu SQL đã bắt được về Collector, không mã hoá. |
| DB Servers - Collectors | 16018 | TCP | S-TAP TLS: gửi dữ liệu SQL về Collector có mã hoá TLS. |
| DB Servers - Collectors/CM | 8444, 8446 | TCP | GIM Traffic: GIM Client kết nối về GIM Server để nhận cấu hình. |
| Collectors - Aggregator/CM | 8443 | HTTPS | CM điều khiển và cấu hình các Managed Unit bên dưới. |
| Collectors - Aggregator/CM | 22 | SSH | Trao đổi dữ liệu nội bộ, đẩy file dữ liệu đã xử lý để tổng hợp báo cáo. |
| Admin PC - Aggregator/CM | 8443 | HTTPS | Truy cập giao diện quản trị và Dashboard của Central Manager. |
| Managed Units - Aggregator/CM | 16020 | TCP | Đăng ký thiết bị và duy trì kết nối quản lý (Keep-alive). |
| Aggregator/CM - Managed Units | 8447 | TCP | Phân phối thiết lập cấu hình hoặc lịch trình đến các Managed Unit. |
1.2. Mô hình Basic Stand-alone Architecture (sử dụng S-TAP Agent)
1.2.1. Mô hình
1.2.2. Cấu trúc
Mô hình đơn giản nhất, chỉ gồm một Collector duy nhất đảm nhiệm toàn bộ vai trò thu thập, phân tích và lưu trữ dữ liệu kiểm toán. Các S-TAP Agent cài đặt trên Database Server gửi dữ liệu trực tiếp về Collector này để xử lý và tạo báo cáo. Mô hình phù hợp cho môi trường Lab, thử nghiệm hoặc doanh nghiệp quy mô nhỏ với số lượng Database Server hạn chế.
1.2.3. Cấu hình thiết bị
Thiết bị | Hệ điều hành đề xuất | Vai trò và thành phần cài đặt |
| Oracle DB Server | RedHat Enterprise Linux (RHEL) | Chứa Database Oracle. Cài đặt S-TAP và GIM Client. |
| SQL DB Server | Windows Server 2019/2022 | Chứa MS SQL Server. Cài đặt S-TAP và GIM Client. |
| Guardium Collector | Guardium OS (v11.5.x hoặc 12.x) | Thiết bị Stand-alone xử lý, lưu trữ log và hiển thị Report, Dashboard. |
| Client | Windows/Linux | Máy người dùng hoặc Application Server thực hiện truy vấn dữ liệu. |
| Layer 3 Switch | None | Kết nối các thiết bị, định tuyến lưu lượng giữa Client và Server. |
| Admin | Windows | Truy cập giao diện quản trị của Guardium Collector để quản lý, cấu hình. |
1.2.4. Cấu hình cổng
Nguồn | Đích | Cổng | Giao thức | Mục đích |
| Client | DB Servers | 1521, 1433 | TCP | Truy vấn dữ liệu SQL. |
| DB Servers | Collector | 16016, 16018 | TCP | S-TAP gửi dữ liệu đã bắt về Collector, không mã hoá và mã hoá. |
| DB Servers | Collector | 8444, 8446 | TCP | GIM Client giao tiếp GIM Server, nhận cấu hình. |
| Admin | Collector | 8443 | TCP | Truy cập giao diện quản trị/Dashboard. |
1.3. Mô hình sử dụng E-TAP Agent
1.3.1. Các thành phần của mô hình
Docker: External S-TAP được triển khai dưới dạng container, giúp việc mở rộng quy mô (scale) trở nên linh hoạt. Load Balancer: đảm bảo tính sẵn sàng cao, nếu một container E-TAP gặp sự cố thì lưu lượng sẽ tự động được chuyển sang container khác. External S-TAP: có thể chạy song song nhiều instance để xử lý tải lớn.
1.3.2. Trường hợp áp dụng
1. Cơ sở dữ liệu trên nền tảng đám mây dạng dịch vụ được quản lý (PaaS), ví dụ AWS RDS hoặc Azure SQL, nơi tổ chức không có quyền truy cập hệ điều hành để cài đặt S-TAP.
2. Giảm tải xử lý cho Database Server: toàn bộ việc xử lý log và giám sát được đẩy sang máy chủ riêng (External Host), không chiếm dụng tài nguyên CPU/RAM của máy chủ cơ sở dữ liệu.
3. Quản lý tập trung: dễ dàng cập nhật hoặc thay đổi cấu hình E-TAP mà không cần khởi động lại hoặc can thiệp vào Database Server.
2. Giảm tải xử lý cho Database Server: toàn bộ việc xử lý log và giám sát được đẩy sang máy chủ riêng (External Host), không chiếm dụng tài nguyên CPU/RAM của máy chủ cơ sở dữ liệu.
3. Quản lý tập trung: dễ dàng cập nhật hoặc thay đổi cấu hình E-TAP mà không cần khởi động lại hoặc can thiệp vào Database Server.
1.3.3. Yêu cầu cấu hình
Load Balancer tiếp nhận toàn bộ yêu cầu từ Client và phân chia tải đến các container E-TAP khác nhau, đảm bảo không có container nào bị quá tải và khi có sự cố thì truy vấn của người dùng vẫn được xử lý thông qua các container còn lại.
Máy chủ Host (E-TAP Host) nên chạy một bản phân phối Linux ổn định như RHEL, Ubuntu Server hoặc Debian, với cấu hình tối thiểu 4GB RAM và 2 CPU, đã cài đặt sẵn Docker Engine và Docker Compose để quản lý các container E-TAP.
Guardium Collector tiếp nhận các gói tin được gửi về từ các container E-TAP, sử dụng tiến trình Sniffer để phân tích cú pháp SQL, đối chiếu với chính sách bảo mật và ghi nhận nhật ký kiểm toán.
Máy chủ Host (E-TAP Host) nên chạy một bản phân phối Linux ổn định như RHEL, Ubuntu Server hoặc Debian, với cấu hình tối thiểu 4GB RAM và 2 CPU, đã cài đặt sẵn Docker Engine và Docker Compose để quản lý các container E-TAP.
Guardium Collector tiếp nhận các gói tin được gửi về từ các container E-TAP, sử dụng tiến trình Sniffer để phân tích cú pháp SQL, đối chiếu với chính sách bảo mật và ghi nhận nhật ký kiểm toán.
1.4. Mô hình Enterprise/Federated Architecture
Đây là mô hình mở rộng dành cho các tổ chức có quy mô lớn, vận hành nhiều trung tâm dữ liệu (Data Center) hoặc nhiều chi nhánh phân tán về mặt địa lý. Mô hình sử dụng nhiều nhóm Collector đặt tại từng trung tâm dữ liệu, dữ liệu được tổng hợp về một hoặc nhiều Aggregator khu vực, sau đó toàn bộ các Aggregator và Collector được quản lý thống nhất bởi một Central Manager cấp cao nhất (Enterprise Central Manager).
Trong mô hình này, tổ chức có thể áp dụng cơ chế phân nhóm quản lý (Central Manager Group) để phân chia trách nhiệm quản trị theo khu vực hoặc theo đơn vị kinh doanh, đồng thời vẫn duy trì khả năng xem báo cáo tổng hợp trên phạm vi toàn doanh nghiệp. Để đảm bảo tính sẵn sàng cao, các Aggregator và Central Manager thường được triển khai theo cặp dự phòng (High Availability pair).
1.5. Mô hình triển khai trên môi trường Cloud/Hybrid
Với xu hướng dịch chuyển hạ tầng lên nền tảng đám mây, IBM Guardium cũng hỗ trợ triển khai dưới dạng thiết bị ảo trên các nền tảng điện toán đám mây công cộng như AWS, Microsoft Azure, Google Cloud Platform, hoặc triển khai theo mô hình lai (Hybrid) khi tổ chức có cả hệ thống on-premise và hệ thống trên cloud.
1. Đối với cơ sở dữ liệu dạng IaaS (máy ảo tự quản lý trên cloud), tổ chức vẫn có thể cài đặt S-TAP trực tiếp như mô hình on-premise.
2. Đối với cơ sở dữ liệu dạng PaaS (AWS RDS, Azure SQL Database), tổ chức sử dụng E-TAP hoặc Universal Connector để thu thập nhật ký hoạt động thông qua API của nhà cung cấp dịch vụ cloud.
3. Guardium Appliance (Collector, Aggregator, Central Manager) có thể được triển khai dưới dạng máy ảo ngay trên hạ tầng cloud hoặc đặt tại trung tâm dữ liệu on-premise, kết nối về cloud thông qua kênh truyền bảo mật (VPN/Direct Connect).
4. Cần đảm bảo độ trễ mạng (latency) giữa E-TAP/Universal Connector và Collector ở mức chấp nhận được để không ảnh hưởng đến hiệu năng truy vấn của ứng dụng.
1. Đối với cơ sở dữ liệu dạng IaaS (máy ảo tự quản lý trên cloud), tổ chức vẫn có thể cài đặt S-TAP trực tiếp như mô hình on-premise.
2. Đối với cơ sở dữ liệu dạng PaaS (AWS RDS, Azure SQL Database), tổ chức sử dụng E-TAP hoặc Universal Connector để thu thập nhật ký hoạt động thông qua API của nhà cung cấp dịch vụ cloud.
3. Guardium Appliance (Collector, Aggregator, Central Manager) có thể được triển khai dưới dạng máy ảo ngay trên hạ tầng cloud hoặc đặt tại trung tâm dữ liệu on-premise, kết nối về cloud thông qua kênh truyền bảo mật (VPN/Direct Connect).
4. Cần đảm bảo độ trễ mạng (latency) giữa E-TAP/Universal Connector và Collector ở mức chấp nhận được để không ảnh hưởng đến hiệu năng truy vấn của ứng dụng.
1.6. Bảng so sánh các mô hình triển khai
Tiêu chí | Basic Stand-alone | Mid-size Architecture | E-TAP Architecture | Enterprise/Federated |
| Quy mô phù hợp | Lab, doanh nghiệp nhỏ | Doanh nghiệp vừa | Cloud PaaS, giảm tải DB Server | Doanh nghiệp lớn, nhiều Data Center |
| Số lượng Collector | 1 | Nhiều | 1 hoặc nhiều | Nhiều theo từng khu vực |
| Cần Aggregator | Không | Có | Tuỳ chọn | Có, nhiều Aggregator |
| Cần Central Manager | Không | Có (chung với Aggregator) | Tuỳ chọn | Có, cấp Enterprise |
| Cài Agent trên DB Server | Có (S-TAP) | Có (S-TAP) | Không (dùng Proxy E-TAP) | Có thể kết hợp cả hai |
| Độ phức tạp triển khai | Thấp | Trung bình | Trung bình - Cao | Cao |
II. YÊU CẦU HỆ THỐNG VÀ ĐIỀU KIỆN TIÊN QUYẾT
2.1. Yêu cầu hệ thống (System Requirements)
Phiên bản áp dụng: v12.x, v11.5, v11.4. Giải pháp IBM Guardium hiện có dưới hai hình thức cung cấp: sản phẩm phần cứng (Hardware offering) là thiết bị vật lý đã được IBM cấu hình sẵn, và sản phẩm phần mềm (Software offering) là các hình ảnh phần mềm được triển khai trực tiếp trên phần cứng của khách hàng hoặc dưới dạng thiết bị ảo.
2.1.1. Cài đặt trên thiết bị vật lý
Chỉ hoạt động trên nền tảng x86 dựa trên Intel hoặc AMD (64-bit). Hệ điều hành hỗ trợ chính thức là Red Hat Linux 9.4 (64-bit).
2.1.2. Cài đặt trên thiết bị ảo (Virtual Appliances)
Hỗ trợ các nền tảng ảo hoá Red Hat Enterprise Virtualization, VMware, Microsoft Hyper-V và Nutanix AHV. Yêu cầu tối thiểu VMware ESX 5.1 trở lên để chạy Guardium 12.1. Hiệu suất của giải pháp khi triển khai trên môi trường ảo hoá phụ thuộc nhiều vào cấu hình phần cứng dành cho máy ảo (RAM, CPU) và cấu hình hệ thống ảo hoá nền.
2.1.3. Tài nguyên tối thiểu và khuyến nghị
Tài nguyên | Phạm vi yêu cầu | Ghi chú |
| CPU vật lý | Tối thiểu 4 nhân, khuyến nghị 8 nhân, tải cao 24 nhân | Yêu cầu bộ vi xử lý x86 (Intel hoặc AMD). |
| CPU ảo | Tối thiểu 4 vCPU, khuyến nghị 8 vCPU, tải cao 24 nhân | Kafka broker nodes khuyến nghị 8 CPU (Core=4, Socket=2). |
| RAM (64-bit) | Tối thiểu 24 GB, khuyến nghị 32 GB, tải cao/Analytics 64 GB | Central Manager trong môi trường liên kết lớn khuyến nghị 64 GB. |
| Cổng mạng (NICs) | 1 đến 4 cổng, khuyến nghị 1 Gbit hoặc 10 Gbit/s | Có thể là NIC vật lý hoặc switch ảo, hỗ trợ failover IP teaming. |
| Dung lượng đĩa | Tối thiểu 300 GB, tối đa dưới 2 TB | Collector: 300-600 GB. Aggregator: 600-1000 GB. Cần tối thiểu 25 GB trống trên /var. |
| Dung lượng đĩa trên 2 TB | Hỗ trợ từ phiên bản 10.1.2 trở đi | Cần cấu hình hệ thống ở chế độ EFI/UEFI qua BIOS, sử dụng phân vùng GPT. |
| Tốc độ đĩa | 7.200 đến 15.000 RPM | Nếu dùng ổ 7.200 RPM cần giảm định cỡ số lượng S-TAP trên mỗi Collector khoảng 70%. |
2.1.4. Thiết bị vật lý tham khảo
IBM cung cấp các cấu hình thiết bị vật lý dựa trên nền tảng IBM SR630 và SR630 V2 (M7) với các phiên bản Collector và Aggregator tương ứng (x2464, x3364, x2364, x3264, 64-bit), tuỳ theo quy mô và tải xử lý dự kiến của hệ thống.
2.1.5. Giao diện người dùng (UI)
Giao diện Guardium hỗ trợ các trình duyệt: Microsoft Edge phiên bản 90.0.818.56 trở lên, Firefox ESR phiên bản 52 trở lên, Chrome phiên bản 70 trở lên, với độ phân giải màn hình tối thiểu 1366 x 768.
2.2. Điều kiện tiên quyết (Pre-requirements)
Đây là các bước chuẩn bị hoặc yếu tố môi trường cần được thiết lập sẵn trước khi tiến hành cài đặt hoặc cấu hình một tính năng cụ thể. Nếu thiếu, hệ thống vẫn có thể cài đặt được phần mềm nhưng sẽ không thể kết nối hoặc sử dụng đầy đủ các tính năng.
1. Đảm bảo máy ảo Guardium và máy ảo cơ sở dữ liệu (ví dụ MySQL, Oracle) thông mạng với nhau; tắt Firewall hoặc mở cổng cần thiết trên máy cơ sở dữ liệu để Guardium có thể truy cập.
2. Mở các cổng tường lửa cần thiết: cổng 8443 (HTTPS) để truy cập giao diện Web UI; cổng 16016/16018 để S-TAP gửi dữ liệu về Collector; cổng dịch vụ của cơ sở dữ liệu (ví dụ 1521 cho Oracle, 3306 cho MySQL) để Guardium thực hiện quét lỗ hổng (VA).
3. Cấu hình DNS và Hostname: các máy chủ phải phân giải được tên miền của nhau hoặc được khai báo trong tệp /etc/hosts.
4. Đồng bộ thời gian (NTP): máy chủ Guardium và máy chủ cơ sở dữ liệu bắt buộc phải khớp thời gian; nếu lệch múi giờ hoặc lệch phút, các bản ghi log sẽ bị sai lệch, gây khó khăn cho việc điều tra sự cố.
5. Chuẩn bị khoá bản quyền (License Keys): cần có tệp license để kích hoạt các tính năng như DAM, VA sau khi cài đặt hoàn tất.
1. Đảm bảo máy ảo Guardium và máy ảo cơ sở dữ liệu (ví dụ MySQL, Oracle) thông mạng với nhau; tắt Firewall hoặc mở cổng cần thiết trên máy cơ sở dữ liệu để Guardium có thể truy cập.
2. Mở các cổng tường lửa cần thiết: cổng 8443 (HTTPS) để truy cập giao diện Web UI; cổng 16016/16018 để S-TAP gửi dữ liệu về Collector; cổng dịch vụ của cơ sở dữ liệu (ví dụ 1521 cho Oracle, 3306 cho MySQL) để Guardium thực hiện quét lỗ hổng (VA).
3. Cấu hình DNS và Hostname: các máy chủ phải phân giải được tên miền của nhau hoặc được khai báo trong tệp /etc/hosts.
4. Đồng bộ thời gian (NTP): máy chủ Guardium và máy chủ cơ sở dữ liệu bắt buộc phải khớp thời gian; nếu lệch múi giờ hoặc lệch phút, các bản ghi log sẽ bị sai lệch, gây khó khăn cho việc điều tra sự cố.
5. Chuẩn bị khoá bản quyền (License Keys): cần có tệp license để kích hoạt các tính năng như DAM, VA sau khi cài đặt hoàn tất.
2.3. Bảng tổng hợp yêu cầu cổng (Port Requirements)
Cổng | Giao thức | Chức năng |
| 323 | UDP | NTP (máy chủ thời gian) để đồng bộ hoá thời gian. |
| 1521 / 1433 / ... | TCP | Cổng lắng nghe của Database Server (do người dùng định nghĩa), ví dụ 1521 cho Oracle hoặc 1433 cho MS-SQL. |
| 16016 | TCP | S-TAP trên Linux/Unix gửi dữ liệu SQL về Collector, không mã hoá. |
| 16018 | TCP | S-TAP trên Linux/Unix gửi dữ liệu SQL về Collector, có mã hoá. |
| 9800 | TCP | S-TAP trên Windows gửi dữ liệu SQL về Collector, không mã hoá. |
| 9801 | TCP | S-TAP trên Windows gửi dữ liệu SQL về Collector, có mã hoá. |
| 16017 | TCP | Configuration Audit System (CAS), không mã hoá. |
| 16019 | TCP | Configuration Audit System (CAS), có mã hoá. |
| 16022 / 16023 | TCP/TLS | Giám sát hoạt động tệp tin (File Activity Monitoring - FAM). |
| 8445 | TCP | Cổng lắng nghe của GIM Client trên Database Server theo cả hai chiều; GIM Server trên CM hoặc Collector kết nối tới cổng này. |
| 8446 | TLS | GIM xác thực qua TLS, dùng để truyền tải chứng chỉ giữa GIM Client và GIM Server; nếu cổng này không mở sẽ tự động chuyển sang 8444 nhưng không có chứng chỉ. |
| 8447 | TLS | Central Manager phân phối cấu hình và lịch trình (Configuration Profiles) đến các Managed Unit. |
| 8443 | TLS | Enterprise Load Balancer; cổng cần thiết để S-TAP trên Unix/Linux truyền tải tới Collector hoặc Central Manager; cũng dùng cho truy cập Web GUI. |
| 8081 | TLS | Kết nối GIM Client với GIM Server khi tham số GIM_USE_SSL bị tắt. Không khả dụng từ phiên bản Guardium 12.1. |
| 8983 | TCP | Thiết lập giao tiếp giữa Central Manager và Managed Unit. |
| 9983 | TCP | Managed Unit tự động kết nối đến Central Manager để duy trì kết nối quản lý. |
| 16020 | TCP | Managed Unit đăng ký thiết bị và duy trì kết nối Keep-alive với Aggregator/CM. |
| 22 | SSH | Trao đổi dữ liệu nội bộ giữa các thiết bị Guardium, đẩy file dữ liệu phục vụ tổng hợp báo cáo. |