SIEM là gì?

Mục lục

1. SIEM là gì và tên gọi đến từ đâu?
2. SIEM hoạt động theo những bước nào?
3. Một hệ thống SIEM gồm những thành phần nào?
4. Log nào đáng đưa vào SIEM trước?
5. SIEM khác gì với SOC, SOAR, EDR và công cụ quản lý log?
6. SIEM giúp gì cho doanh nghiệp Việt Nam?
7. Ưu điểm và hạn chế của SIEM là gì?
8. Khi nào doanh nghiệp nên và chưa nên dùng SIEM?
9. Triển khai SIEM gồm những bước nào?
10. SIEM nằm ở đâu trong bức tranh an toàn thông tin?
11. Câu hỏi thường gặp

SIEM là gì và tên gọi đến từ đâu?

SIEM là viết tắt của Security Information and Event Management, tạm dịch là quản lý thông tin và sự kiện an ninh. Tên này ghép hai mảng cũ. SIM (Security Information Management) lo lưu trữ log dài hạn để tra cứu và báo cáo. SEM (Security Event Management) lo giám sát sự kiện gần thời gian thực và cảnh báo. SIEM kết hợp SIM và SEM, và thuật ngữ này do Gartner đưa ra năm 2005.

Hãy hình dung một công ty có 40 máy chủ, 300 máy trạm, hai firewall, Microsoft 365 và một phần mềm ERP. Mỗi hệ thống tự ghi log theo định dạng riêng, đặt ở nơi riêng. Khi có sự cố, kỹ thuật viên phải đăng nhập từng nơi, đối chiếu giờ và đọc bằng mắt. SIEM đưa các luồng log đó vào một kho chung, đồng bộ cách đọc và cho phép hỏi một câu xuyên suốt, ví dụ: “tài khoản này đã làm gì trên mọi hệ thống trong 2 giờ qua?”

Cần phân biệt rõ: SIEM phát hiện và hỗ trợ điều tra. Nó không phải lớp phòng thủ chặn lưu lượng. Việc chặn do tường lửa và các thiết bị lọc đảm nhiệm. SIEM đọc log của những thiết bị đó rồi cho biết chúng đang chặn gì, và có gì lọt qua.

SIEM hoạt động theo những bước nào?

Dù khác thương hiệu, hầu hết SIEM đều chạy qua cùng một chuỗi xử lý. Hiểu chuỗi này giúp bạn biết lỗi thường nằm ở khâu nào khi SIEM “không thấy gì” hoặc “báo quá nhiều”.

Thu thập: agent, syslog hay API

Có ba cách đưa log vào. Cách thứ nhất là cài agent trên máy chủ hoặc máy trạm để đọc log cục bộ và đẩy về. Cách thứ hai là cho thiết bị mạng và Linux gửi syslog về bộ thu (thường qua cổng 514, tốt nhất dùng kênh có mã hoá thay cho UDP thuần). Cách thứ ba là gọi API của dịch vụ đám mây như Microsoft 365, Google Workspace hoặc AWS CloudTrail. Mỗi cách có độ trễ và điểm lỗi riêng. Agent có thể chết im lặng, UDP có thể rơi gói, API có thể bị giới hạn tần suất gọi.

Chuẩn hoá và làm giàu

Cùng một sự kiện “đăng nhập thất bại” nhưng mỗi hệ thống ghi một kiểu. Windows ghi thành Event ID 4625, firewall ghi một dòng văn bản khác hẳn, ứng dụng web lại ghi mã trạng thái riêng. SIEM bóc tách từng dòng (parsing) và ánh xạ vào các trường chung như thời gian, tài khoản, IP nguồn, IP đích, kết quả. Sau đó là khâu làm giàu (enrichment): gắn thêm thông tin phòng ban của tài khoản, mức quan trọng của máy chủ, hoặc IP có nằm trong danh sách đáng ngờ hay không. Nếu parsing sai, mọi quy tắc phía sau đều sai theo.

Tương quan sự kiện

Đây là khâu tạo ra khác biệt giữa SIEM và kho log. Một quy tắc tương quan ghép nhiều sự kiện rời rạc theo điều kiện thời gian. SIEM không chỉ đánh giá một sự kiện đơn lẻ mà xem xét mối liên hệ giữa nhiều sự kiện để tìm ra mối đe dọa phức tạp.

Ví dụ minh hoạ: trong 10 phút, một IP bên ngoài thất bại đăng nhập VPN 20 lần (Event ID 4625 phía máy chủ xác thực), sau đó có một lần thành công (4624), rồi tài khoản đó tạo thêm người dùng mới (4720). Từng sự kiện riêng lẻ đều bình thường. Chuỗi ba sự kiện thì là dấu hiệu dò mật khẩu thành công rồi tạo tài khoản ẩn. Quy tắc tương quan bắt được chuỗi này và nâng mức cảnh báo lên cao.

Cảnh báo, điều tra và lưu trữ

Khi quy tắc khớp, SIEM tạo cảnh báo kèm các sự kiện gốc để người trực mở ra xem ngay. Song song, log gốc được lưu theo thời hạn đã đặt để phục vụ điều tra sau sự cố và cung cấp bằng chứng cho kiểm toán. Bộ nhớ nóng (tìm nhanh) và nhớ lạnh (rẻ, tìm chậm) thường tách riêng để cân bằng chi phí.

Một hệ thống SIEM gồm những thành phần nào?

• Bộ thu thập (collector, forwarder): nhận log từ nguồn, có thể đệm tạm khi đường truyền đứt để không mất dữ liệu.
• Bộ phân tích cú pháp (parser): chuyển log thô về các trường chuẩn. Một số sản phẩm dùng các định dạng như CEF hoặc LEEF, số khác dùng JSON.
• Kho lưu trữ và chỉ mục: quyết định tốc độ tìm kiếm và chi phí lưu.
• Công cụ tương quan và thư viện quy tắc: phần “trí tuệ” của hệ thống. Nhiều sản phẩm có sẵn bộ quy tắc mẫu nhưng bạn vẫn phải chỉnh theo môi trường của mình.
• UEBA (User and Entity Behavior Analytics): so sánh hành vi hiện tại với “bình thường” của từng người dùng hoặc thiết bị. SIEM ngày nay còn tích hợp UEBA, AI và học máy để phát hiện hành vi bất thường.
• Tích hợp thông tin đe doạ (threat intelligence): đối chiếu IP, tên miền, mã băm tệp với danh sách chỉ báo đã biết.
• Bảng điều khiển và báo cáo: phục vụ người trực, quản lý và kiểm toán viên.

Log nào đáng đưa vào SIEM trước?

Đưa mọi thứ vào SIEM nghe có vẻ an toàn nhưng thường gây tốn kém và nhiễu. Báo cáo hướng dẫn quản lý log của NIST (SP 800-92, phát hành tháng 9/2006) nêu các thách thức quen thuộc: khối lượng log vượt quá tốc độ phân tích, định dạng log mỗi hãng một kiểu, và vấn đề lưu giữ dài hạn về chi phí. Bản dự thảo cập nhật SP 800-92r1 nhấn mạnh việc lập danh mục các tình huống sử dụng (phát hiện, chứng cứ tuân thủ, vận hành) để không ghi log chỉ vì ghi.

Một thứ tự ưu tiên thực tế, đi từ giá trị phát hiện cao xuống thấp:

1. Danh tính và xác thực: Active Directory hoặc Entra ID, VPN, đăng nhập quản trị. Hầu hết cuộc xâm nhập đều để lại dấu vết ở đây.
2. Thay đổi đặc quyền: thêm vào nhóm quản trị, tạo tài khoản, đặt lại mật khẩu.
3. Biên mạng và truy cập từ xa: firewall, VPN, proxy, email gateway.
4. Endpoint và máy chủ quan trọng: cảnh báo từ giải pháp bảo vệ endpoint, log tiến trình trên máy chủ chứa dữ liệu nhạy cảm.
5. Đám mây và SaaS: log kiểm toán của Microsoft 365, nhật ký quản trị của nhà cung cấp cloud.
6. Ứng dụng nghiệp vụ: ERP, kế toán, cổng khách hàng, đặc biệt là log phân quyền, xuất dữ liệu, sửa số liệu.

Log chứa tên đăng nhập, địa chỉ IP và đôi khi cả nội dung giao dịch, nên bản thân SIEM cũng là kho dữ liệu nhạy cảm. Tài khoản được xem log cần được phân quyền, và quyền xóa hoặc sửa log phải tách khỏi quản trị viên hệ thống nguồn. Nếu log liên quan đến dữ liệu khách hàng, hãy đối chiếu nguyên tắc ở bài bảo vệ dữ liệu cá nhân về việc ai được truy cập.

SIEM khác gì với SOC, SOAR, EDR và công cụ quản lý log?

Đây là chỗ người mới dễ nhầm nhất. Bảng dưới tách vai trò từng khái niệm.

Khái niệm	Bản chất	Đầu vào chính	Làm được gì
SIEM	Nền tảng phần mềm	Log từ nhiều nguồn	Tương quan, cảnh báo, tìm kiếm, báo cáo
Quản lý log (log management)	Kho log tập trung	Log	Lưu, tìm kiếm, ít hoặc không có tương quan an ninh
SOC	Đội ngũ và quy trình	Cảnh báo từ nhiều công cụ	Giám sát, phân loại, ứng phó sự cố
SOAR	Nền tảng điều phối, tự động hoá	Cảnh báo từ SIEM và công cụ khác	Chạy kịch bản xử lý, ví dụ khoá tài khoản, cô lập máy
EDR / XDR	Phát hiện và phản ứng trên endpoint hoặc nhiều lớp	Dữ liệu hành vi sâu từ agent	Phát hiện, cô lập, điều tra trên thiết bị

Nói gọn: SIEM là công cụ, SOC là đội dùng công cụ. Bài SOC là gì giải thích các cấp độ nhà phân tích và mô hình thuê ngoài. Với EDR, dữ liệu hành vi tiến trình trên máy trạm sâu hơn nhiều so với log hệ điều hành thông thường. Bạn có thể xem thêm ở bài bảo mật endpoint. Trên thực tế, cảnh báo EDR thường được chuyển vào SIEM để đặt cạnh log danh tính và mạng, nhờ vậy một cảnh báo endpoint có thêm bối cảnh.

Các sản phẩm SIEM phổ biến hiện nay gồm Splunk, Microsoft Sentinel, Elastic Security, IBM QRadar và Wazuh (mã nguồn mở, kết hợp chức năng SIEM và XDR). Mỗi sản phẩm khác nhau ở mô hình triển khai và cách tính phí. Hãy so sánh theo nhu cầu của bạn, đừng chọn theo độ nổi tiếng.

SIEM giúp gì cho doanh nghiệp Việt Nam?

Phát hiện sớm những gì firewall và antivirus không thấy

Kẻ tấn công dùng tài khoản hợp lệ bị lộ mật khẩu sẽ không kích hoạt cảnh báo của tường lửa. Nhưng việc đăng nhập lúc 3 giờ sáng từ quốc gia lạ, rồi tải hàng loạt tệp, sẽ lộ ra khi tương quan log VPN, log tệp và log danh tính. Với mã độc, chuỗi hành vi điển hình như tắt phần mềm bảo vệ rồi xoá bản sao lưu cũng có thể thành quy tắc. Bạn có thể đọc về các dạng này ở bài malware là gì.

Làm bằng chứng điều tra và kiểm toán

Sau sự cố, câu hỏi đầu tiên luôn là “bắt đầu từ lúc nào, đã lấy gì?”. Không có log tập trung, nhiều tổ chức không trả lời được vì log cục bộ đã bị ghi đè hoặc bị kẻ tấn công xoá. Với các chuẩn thanh toán thẻ, yêu cầu ghi và theo dõi log truy cập là một phần bắt buộc (PCI DSS có Requirement 10 về logging và giám sát). Với hệ thống quản lý an toàn thông tin theo ISO/IEC 27001, bằng chứng log giúp chứng minh biện pháp giám sát đang chạy. Khung này được giải thích ở bài ISO 27001.

Phù hợp với mô hình làm việc từ xa và đa đám mây

Khi nhân viên truy cập qua SaaS và nhiều chi nhánh, ranh giới mạng không còn rõ. Log danh tính và log ứng dụng trở thành nguồn chính để biết ai đang làm gì. Điều này cũng là nền cho cách tiếp cận zero trust, vốn dựa nhiều vào việc quan sát liên tục.

Ưu điểm và hạn chế của SIEM là gì?

Ưu điểm	Hạn chế
Nhìn xuyên nhiều hệ thống trong một giao diện	Cần người đủ kỹ năng viết và chỉnh quy tắc
Phát hiện được chuỗi hành vi, không chỉ sự kiện lẻ	Dễ sinh quá nhiều cảnh báo giả (false positive) nếu chưa chỉnh
Lưu bằng chứng tập trung, khó bị xoá từ máy nguồn	Chi phí tăng theo lượng log nạp vào và thời hạn lưu
Hỗ trợ báo cáo cho kiểm toán và chuẩn tuân thủ	Chỉ thấy những gì được ghi log, nguồn nào không nạp thì mù
Làm nền cho SOC và tự động hoá phản ứng	Không chặn tấn công, chỉ phát hiện và hỗ trợ xử lý

Hạn chế lớn nhất không nằm ở công nghệ mà ở vận hành. Quy tắc mẫu có thể báo hàng trăm cảnh báo mỗi ngày từ các hành vi bình thường như quản trị viên chạy tác vụ định kỳ. Nếu không ai chỉnh, người trực sẽ quen bỏ qua và cảnh báo thật bị chìm.

Khi nào doanh nghiệp nên và chưa nên dùng SIEM?

Dấu hiệu nên cân nhắc SIEM

• Bạn có từ vài chục máy chủ trở lên, hoặc dùng nhiều dịch vụ đám mây, và việc đọc log từng nơi đã không theo kịp.
• Bạn chịu yêu cầu kiểm toán hoặc khách hàng đòi bằng chứng giám sát (chuẩn thanh toán thẻ, chứng nhận ISO 27001, hệ thống quan trọng).
• Đã có ít nhất một sự cố mà bạn không dựng lại được diễn biến vì thiếu log.
• Có người, nội bộ hoặc đối tác, đủ khả năng đọc cảnh báo ngoài giờ.

Trường hợp chưa nên

Công ty nhỏ chỉ có vài máy tính và dịch vụ email SaaS thường được lợi hơn khi bật log kiểm toán sẵn có, bật xác thực đa yếu tố cho mọi tài khoản và giữ bản sao lưu ngoại tuyến. SIEM không bù được cho nền tảng yếu như mật khẩu lỏng lẻo hay máy chủ không vá lỗi. Nếu bạn chưa có người đọc cảnh báo, hãy cân nhắc dịch vụ giám sát thuê ngoài thay vì tự mua nền tảng.

Triển khai SIEM gồm những bước nào?

1. Chọn các câu hỏi phát hiện trước. Ví dụ: “phát hiện đăng nhập quản trị từ ngoài nước”, “phát hiện xoá hàng loạt tệp trên máy chủ tệp”. Mỗi câu hỏi cho biết cần log nào.
2. Kiểm kê nguồn log và bật ghi log đủ mức. Nhiều hệ thống mặc định không ghi các sự kiện hữu ích, chẳng hạn kiểm toán quá trình tạo tiến trình trên Windows cần bật chính sách riêng.
3. Đồng bộ giờ và đặt định dạng. Cùng múi giờ, cùng nguồn NTP.
4. Nạp từng nhóm nguồn, kiểm tra parser. Sau mỗi nhóm, lấy mẫu vài sự kiện và xem các trường tài khoản, IP có điền đúng không.
5. Bật quy tắc, quan sát cảnh báo giả. Với mỗi quy tắc ồn, thêm ngoại lệ có lý do thay vì tắt hẳn.
6. Đặt thời hạn lưu theo tầng. Log nóng cho tìm kiếm nhanh, log lạnh cho điều tra và kiểm toán.
7. Nối với quy trình xử lý sự cố. Cảnh báo phải dẫn tới phiếu việc, người nhận và cách liên hệ ngoài giờ.

Lỗi thường gặp

• Nạp log nhưng không ai viết quy tắc: SIEM trở thành kho log đắt tiền.
• Parser không bóc được trường tài khoản: quy tắc tương quan theo người dùng không bao giờ khớp.
• Agent dừng mà không có cảnh báo mất log: cần quy tắc “nguồn im lặng quá N phút”.
• Tính phí theo dung lượng bị bất ngờ: một nguồn gửi debug log có thể làm dung lượng tăng vọt. Nên đặt giới hạn và lọc ngay tại bộ thu.
• Quyền quản trị SIEM trùng với quyền quản trị hệ thống nguồn: kẻ tấn công chiếm được một tài khoản có thể xoá cả dấu vết.

SIEM nằm ở đâu trong bức tranh an toàn thông tin?

SIEM thuộc nhóm biện pháp phát hiện. Nó bổ sung cho nhóm phòng ngừa (tường lửa, MFA, vá lỗi) và nhóm ứng phó (quy trình sự cố, sao lưu). Nếu bạn cần khung tổng thể về mục tiêu bảo mật, bài an toàn thông tin là gì đặt SIEM trong bối cảnh bộ ba bảo mật, toàn vẹn, sẵn sàng. Còn bức tranh rộng về phòng vệ mạng nằm ở bài an ninh mạng là gì.

Câu hỏi thường gặp

SIEM có phải là phần mềm diệt virus không?

Không. Phần mềm diệt virus hoặc EDR chạy trên thiết bị để chặn và xử lý mã độc. SIEM không nằm trên đường đi của dữ liệu. Nó đọc log từ các công cụ đó và từ nhiều nguồn khác để phát hiện chuỗi hành vi đáng ngờ.

SIEM và log management khác nhau thế nào?

Log management tập trung vào thu thập, lưu trữ và tìm kiếm log. SIEM làm thêm phần phân tích an ninh như tương quan sự kiện, cảnh báo, làm giàu bằng thông tin đe doạ và báo cáo tuân thủ. Một số sản phẩm có cả hai và ranh giới có thể mờ.

Doanh nghiệp nhỏ có cần SIEM không?

Không phải lúc nào cũng cần. Nếu hạ tầng nhỏ và chủ yếu dùng SaaS, bật log kiểm toán sẵn có, MFA và sao lưu thường hợp lý hơn. SIEM bắt đầu có ý nghĩa khi số nguồn log tăng, có yêu cầu kiểm toán, hoặc đã từng gặp sự cố không dựng lại được diễn biến. Với tổ chức không có người trực, có thể cân nhắc dịch vụ giám sát thuê ngoài.

SIEM tính phí theo cách nào?

Tuỳ sản phẩm. Các mô hình phổ biến gồm tính theo dung lượng log nạp mỗi ngày, theo số sự kiện mỗi giây (EPS), theo số nguồn hoặc thiết bị, hoặc theo tài nguyên máy chủ đối với bản tự vận hành. Vì giá thay đổi theo thời điểm và gói, bạn nên xin báo giá dựa trên ước tính lượng log thực tế của mình.

SIEM có dùng AI không?

Nhiều sản phẩm hiện có học máy cho phân tích hành vi (UEBA) và hỗ trợ điều tra. Các mô hình này vẫn phụ thuộc chất lượng log đầu vào và cần người xem xét kết quả. Quy tắc tương quan rõ ràng vẫn là phần quan trọng của hệ thống.

SIEM có thay thế được đội SOC không?

Không. SIEM tạo cảnh báo, còn người trong SOC xác minh, phân loại và quyết định cách ứng phó. Công cụ tự động hoá (SOAR) có thể xử lý một số bước lặp lại, nhưng việc phán đoán trong các tình huống mới vẫn cần nhà phân tích.