Tổng quan

Tài liệu này hướng dẫn cách kết nối và đưa dữ liệu log vào hệ thống SecOps để phục vụ giám sát và phân tích an ninh.

SecOps hỗ trợ 3 phương thức thu thập dữ liệu chính:

1. Push Data: Hệ thống nguồn chủ động gửi log vào SecOps qua API
2. Pull Data (Kafka): SecOps đọc dữ liệu từ Kafka
   Pull Data (API): SecOps gọi API từ hệ thống bên thứ ba (ví dụ SentinelOne)
3. Sensor: Agent trung gian để thu thập log

Điều kiện tiên quyết (Prerequisites)

Trước khi bắt đầu, cần chuẩn bị:

✔ Có quyền truy cập hệ thống SecOps

✔ Có thông tin hệ thống nguồn (Kafka / API / hệ thống gửi log)

✔ Có thông tin xác thực (API Token / Kafka credentials)

✔ Đã xác định phương thức tích hợp (Push / Pull / Sensor)

Các bước Data Onboarding

Bước 1: Lựa chọn phương thức thu thập dữ liệu

Người dùng lựa chọn phương thức thu thập dữ liệu phù hợp:

• Push: Áp dụng khi hệ thống nguồn có thể chủ động gửi log
• Pull từ Kafka: Áp dụng khi đã có hệ thống streaming (Kafka)
• Pull từ bên thứ 3: Áp dụng khi tích hợp với bên khác (SentinelOne, Crowdstrike…)
• Sensor: Thu thập log từ server, network nội bộ

i-lucide-corner-down-right: Sau khi chọn, thực hiện theo hướng dẫn tương ứng ở Bước 2.

Bước 2: Cấu hình kết nối

Người dùng thực hiện cấu hình kết nối theo phương thức đã chọn:

Bước 3: Kiểm tra dữ liệu trên hệ thống SecOps

Sau khi hoàn tất cấu hình và dữ liệu được push / pull:

1. Truy cập màn hình Search
2. Chọn Log source theo Connector name
3. Kiểm tra theo các điều kiện sau:

• Log đã được thu thập vào hệ thống
• Có hiển thị theo thời gian thực hoặc gần real time
• Không có lỗi thu thập (ví dụ: mất log, delay bất thường, kết nối lỗi)

Bước 4: Xác nhận hoàn tất

Onboarding được coi là thành công khi đáp ứng đầy đủ các điều kiện sau:

✔ Log được ingest vào SecOps

✔ Dữ liệu hiển thị trên màn hình Search:

• Với dữ liệu chưa parse → hiển thị tại tab Raw Log
• Với dữ liệu đã parse → hiển thị tại tab Event

✔ Không phát sinh lỗi kết nối hoặc lỗi thu thập dữ liệu

Bước tiếp theo

Sau khi onboarding thành công, bạn có thể:

• Cấu hình Parser
• Xây dựng Dashboard, Alert & Case
• Tạo Detection Rules để phát hiện bất thường
• ...