SIEM/Log Management TÍCH HỢP LOG FIREWALL VÀ TỰ ĐỘNG HÀO PHẢN ỨNG NGĂN CHẶN (ACTIVE RESPONSE)

1. Xử lý lỗi hệ thống và tinh chỉnh Pipeline
Trong bước đầu cấu hình Ingest Pipeline cho Firewall FortiGate, hệ thống gặp lỗi parse_exception do thiếu thuộc tính bắt buộc trong bộ xử lý dữ liệu.


Tôi đã tiến hành sửa đổi mã nguồn, chuyển đổi từ việc sao chép trực tiếp sang sử dụng Mustache Template ({{src}}) để ánh xạ dữ liệu vào trường chuẩn ECS một cách linh hoạt hơn.

2. Phân tách dữ liệu CEF bằng Grok và KV Processor​

Dữ liệu log từ Firewall thường có định dạng CEF (Common Event Format) rất phức tạp. Tôi đã sử dụng phối hợp:

• Grok Processor: Để tách các thành phần chính như Model thiết bị, phiên bản và tên sự kiện.
• KV Processor: Để tự động bóc tách các cặp "Khóa=Giá trị" trong phần mở rộng của log (như IP nguồn, IP đích, hành động ngăn chặn).
  
  
  

3. Tự động nhận diện tấn công (Automated Tagging)​

Điểm mạnh của Pipeline này là khả năng "đọc hiểu" hành vi log. Khi log Firewall trả về trạng thái deny hoặc block, hệ thống sẽ tự động gắn các nhãn cảnh báo (Tags):

• SECURITY_ALERT: Đánh dấu các sự kiện an ninh cần chú ý.
• POTENTIAL_PORT_SCAN: Kích hoạt khi phát hiện hành vi quét cổng trái phép.
  
  
  

4. Phản ứng ngược (Active Response) qua API​

Sau khi log được gắn nhãn nguy hiểm, hệ thống SOC sẽ kích hoạt vòng lặp phản ứng:

1. Monitor: Quét các log có tag cảnh báo.
2. Trigger: Nếu vượt ngưỡng (ví dụ 5 lần quét cổng), một lệnh API sẽ được gửi đi.
3. Action: Gọi Webhook đến Firewall FortiGate để thực hiện lệnh chặn (Block) IP nguồn vĩnh viễn.

5. Kết luận​

Thông qua việc chuẩn hóa Mapping theo ECS và xây dựng Pipeline xử lý thông minh, hệ thống hiện tại không chỉ dừng lại ở mức lưu trữ log mà đã trở thành một hệ thống tự vệ chủ động.