Photo by Vyyka
356 words
2 minutes
SIEM là gì?
SIEM (Security Information and Event Management)
1. Khái niệm
SIEM là hệ thống quản lý thông tin và sự kiện an ninh. Mục tiêu của SIEM là:
- Thu thập log và sự kiện từ nhiều nguồn khác nhau.
- Chuẩn hóa, lọc, phân tích dữ liệu.
- Cảnh báo sự kiện bất thường.
- Phân tích và điều tra các sự kiện bảo mật.
2. ELK trong vai trò SIEM
ELK Stack có thể được sử dụng như một nền tảng của hệ thống SIEM nhờ những đặc điểm sau:
Thu thập dữ liệu
- Logstash hoặc Beats (Filebeat, Packetbeat, Winlogbeat, Metricbeat) giữa các nguồn log (firewall, IDS/IPS, server, endpoint, ứng dụng, cấu hình cloud…).
Lưu trữ và tìm kiếm
- Elasticsearch cung cấp khả năng lưu trữ dữ liệu dạng schema-free, tìm kiếm nhanh và mở rộng theo thời gian thực.
Phân tích và trực quan hóa
- Kibana có thể xây dựng dashboard cho nhà quản trị, SOC analyst.
- Cảnh báo theo thời gian thực (Kibana Alerting).
3. Lợi ích khi dùng ELK làm SIEM
- Chi phí thấp: ELK là mở nguồn, có thể triển khai on-premise hoặc cloud.
- Mở rộng linh hoạt: Thêm nguồn log mới, xây dựng dashboard tự do.
- Khả năng tìm kiếm mạnh: Hỗ trợ tìm kiếm full-text và truy vấn phức tạp.
- Hỗ trợ điều tra sự kiện: Timeline và báo cáo chi tiết.
4. Thảo luận với những sản phẩm SIEM chuyên dụng
| Tiêu chí | ELK Stack | SIEM chuyên dụng (Splunk, QRadar, ArcSight…) |
|---|---|---|
| Chi phí | Thấp hoặc free | Cao |
| Triển khai và linh hoạt | Tính tuỳ chỉnh cao | Đã tích hợp và hoàn chỉnh |
| Đại số log ingested | Quản lý rất tốt cho dữ liệu lớn | Thích hợp với quy mô enterprise |
| Khả năng bảo trì | Tự quản lý cần kiến thức | Dịch vụ hoàn chỉnh, SLA cao |
Tổng kết
ELK Stack khi được kết hợp với các plugin và công cụ bổ sung (như ElastAlert, Wazuh, Security Onion…) có thể biến thành một hệ thống SIEM mở hiệu quả. Giá trị nổi bật nhất chính là tính tự do, linh hoạt và tiết kiệm chi phí.
Với các tổ chức có đội ngũ kỹ thuật tốt và muốn tự kiểm soát hệ thống SIEM theo nhu cầu, ELK là một lựa chọn đáng cân nhắc.
Nguồn bài viết: Khiaa Blog Tác giả: Khiaa Team Ngày xuất bản: 2025-06-12 Giấy phép: CC BY-NC-SA 4.0
SIEM là gì?
https://fuwari.vercel.app/posts/siem/