Project 2: Cài đặt và dùng SIEM miễn phí (Cấp độ: Cơ bản – Trung bình)

01/03/2025
Less 1 min read

Mục tiêu: Làm quen với SIEM (Security Information and Event Management) – ‘trái tim’ của SOC.

Công cụ cần dùng:
Elastic Stack (ELK): Elasticsearch, Logstash, Kibana (miễn phí).
Một máy ảo Ubuntu hoặc máy tính đủ mạnh (ít nhất 4GB RAM).

Các bước thực hiện:

  1. Tải và cài ELK Stack trên máy ảo (tìm hướng dẫn trên trang elastic.co).
  2. Cấu hình Logstash để thu thập log từ máy ảo (dùng log hệ thống như /var/log/syslog).
  3. Dùng Kibana để tạo dashboard:
    • Tạo biểu đồ số lần đăng nhập thất bại.
    • Tìm kiếm các từ khóa như “error” hoặc “failed”.
  4. Giả lập một “tấn công” đơn giản: thử đăng nhập sai mật khẩu 10 lần, rồi xem Kibana có hiển thị gì không.
  5. Ghi lại kết quả: Em có nhận diện được “tấn công” không?

Kết quả mong đợi:
Các em sẽ biết cách dùng SIEM để thu thập, trực quan hóa log và phát hiện sự kiện bất thường.

Mẹo từ anh:
Nếu cài ELK phức tạp quá, thử Wazuh (một SIEM miễn phí khác, dễ cài hơn).

Tags