I. Mục tiêu
Mục tiêu của bài lab là giúp sinh viên hiểu rõ sự khác nhau giữa Monitoring và Logging trong an toàn cloud. Đồng thời, bài lab giúp sinh viên nhận biết các dấu hiệu của hành vi bất thường, phân tích log và dữ liệu giám sát ở mức khái niệm – vận hành.
- Hiểu rõ Monitoring và Logging khác nhau ở đâu trong an toàn cloud.
- Xác định các indicator - chỉ dấu của hành vi bất thường.
- Phân tích log và dữ liệu giám sát ở mức khái niệm, vận hành.
- Liên hệ Monitoring với phát hiện sớm sự cố và Incident Response - ứng phó sự cố.
- Nhận thức rõ giới hạn của giám sát trong bảo mật ứng dụng.
II. Nội dung thực hành
1. Yêu cầu 1: Kiến thức cơ bản về Monitoring và Logging
1.1. Monitoring là gì?
Monitoring - giám sát là quá trình theo dõi liên tục trạng thái, hiệu năng và hoạt động của hệ thống. Trong môi trường cloud, monitoring giúp quản trị viên phát hiện nhanh các dấu hiệu bất thường như CPU tăng cao, RAM gần đầy, số lượng request tăng đột biến, lỗi hệ thống tăng hoặc nhiều lần đăng nhập thất bại.
1.2. Logging là gì?
Logging - ghi nhật ký là quá trình ghi lại các sự kiện xảy ra trong hệ thống. Log thường lưu các thông tin như người dùng nào đã truy cập, truy cập lúc nào, từ địa chỉ IP nào, thực hiện hành động gì và hành động đó thành công hay thất bại.
2026-06-21 10:15:30 | user=admin | action=login_failed | ip=45.10.22.8
1.3. Security Visibility trong cloud
Security Visibility - khả năng quan sát bảo mật là khả năng nhìn thấy, theo dõi và phân tích các hoạt động đang diễn ra trong hệ thống cloud. Nếu không có security visibility, quản trị viên khó phát hiện hệ thống đang bị tấn công, bị truy cập trái phép hoặc bị khai thác lỗ hổng.
1.4. Vai trò của Monitoring và Logging trong môi trường cloud
Trong môi trường điện toán đám mây, Monitoring và Logging giữ vai trò rất quan trọng trong việc vận hành và bảo vệ hệ thống. Monitoring giúp phát hiện sớm các dấu hiệu bất thường, còn Logging giúp điều tra chi tiết nguyên nhân khi sự cố đã xảy ra.
1.5. So sánh Monitoring và Logging
| Tiêu chí | Monitoring - Giám sát | Logging - Ghi nhật ký |
|---|---|---|
| Bản chất | Theo dõi chỉ số và trạng thái hệ thống. | Ghi lại chi tiết các sự kiện xảy ra. |
| Dữ liệu chính | Metrics - chỉ số như CPU, RAM, request, error rate. | Logs - nhật ký sự kiện như đăng nhập, IP, hành động. |
| Mục đích | Phát hiện nhanh bất thường và cảnh báo sớm. | Điều tra chi tiết nguyên nhân sự cố. |
| Thời điểm sử dụng | Trước và trong khi sự cố xảy ra. | Trong và sau khi sự cố xảy ra. |
| Ví dụ | CPU tăng 95%, request tăng đột biến. | User admin đăng nhập thất bại từ IP lạ. |
2. Yêu cầu 2: Xác định đối tượng cần giám sát
Giả sử nhóm đang vận hành một website hoặc ứng dụng web triển khai trên cloud, cần xác định các đối tượng quan trọng cần giám sát để đảm bảo hệ thống hoạt động ổn định và an toàn.
Người dùng truy cập hệ thống
Cần giám sát số lượng người dùng, địa chỉ IP, vị trí truy cập và hành vi truy cập. Nếu không giám sát, hệ thống có thể bị tấn công DDoS hoặc truy cập trái phép mà quản trị viên không phát hiện kịp thời.
Phiên đăng nhập
Session - phiên đăng nhập cần được giám sát để phát hiện session kéo dài bất thường, đăng nhập từ nhiều vị trí lạ hoặc dấu hiệu session bị chiếm quyền.
Hoạt động đăng nhập / đăng xuất
Cần theo dõi số lần đăng nhập thành công, đăng nhập thất bại, đăng nhập từ IP lạ hoặc đăng nhập ngoài giờ làm việc. Nếu không giám sát, có thể bỏ sót brute force attack.
Các yêu cầu truy cập bất thường
Cần giám sát các request tăng cao đột biến, truy cập vào endpoint nhạy cảm, request chứa dấu hiệu SQL injection hoặc XSS.
Các lỗi phát sinh trong hệ thống
Cần giám sát lỗi 500, lỗi database, lỗi timeout, lỗi xác thực hoặc lỗi phân quyền. Nếu không giám sát, lỗi có thể kéo dài và ảnh hưởng đến người dùng.
Phân biệt Monitoring và Logging trong các tình huống
| Tình huống | Phù hợp hơn | Giải thích |
|---|---|---|
| Phát hiện số lần đăng nhập thất bại tăng đột biến. | Monitoring | Vì cần phát hiện nhanh sự tăng bất thường của một chỉ số theo thời gian thực. |
| Điều tra ai đã truy cập hệ thống vào thời điểm xảy ra sự cố. | Logging | Vì cần thông tin chi tiết như tài khoản, IP, thời gian và hành động cụ thể. |
| Xác định nguyên nhân gây lỗi hệ thống. | Logging | Vì log giúp xem chi tiết lỗi, request gây lỗi, endpoint bị lỗi và thời điểm lỗi xảy ra. |
3. Yêu cầu 3: Phân tích hành vi bất thường
3.1. Tình huống giả định
Hệ thống ghi nhận trong vòng 10 phút có số lượng request tăng cao bất thường, nhiều lần đăng nhập thất bại liên tiếp và truy cập từ địa chỉ IP hoặc vị trí không quen thuộc.
3.2. Các dấu hiệu thể hiện hành vi bất thường
- Số lượng request tăng cao bất thường: có thể là dấu hiệu của DDoS attack, bot quét hệ thống hoặc truy cập tự động.
- Nhiều lần đăng nhập thất bại liên tiếp: có thể là dấu hiệu của brute force attack hoặc credential stuffing.
- Truy cập từ IP hoặc vị trí không quen thuộc: có thể cho thấy tài khoản bị lộ hoặc có người cố gắng truy cập trái phép.
3.3. Dấu hiệu phát hiện nhờ Monitoring
Monitoring giúp phát hiện các dấu hiệu liên quan đến sự thay đổi của chỉ số hệ thống. Ví dụ: request tăng cao, số lần đăng nhập thất bại tăng nhanh, CPU/RAM tăng bất thường, network traffic tăng hoặc response time chậm.
3.4. Dấu hiệu phát hiện nhờ Log
Log giúp phát hiện và phân tích các thông tin chi tiết như IP nào truy cập, tài khoản nào đăng nhập thất bại, truy cập vào endpoint nào, thời điểm xảy ra sự kiện và user-agent của người truy cập.
2026-06-21 10:05:12 | user=admin | action=login_failed | ip=45.12.33.8 | location=Unknown
3.5. Nhận xét nếu chỉ có Monitoring mà không có Log
Nếu hệ thống chỉ có monitoring mà không có log, quản trị viên chỉ biết có bất thường đang xảy ra nhưng không biết chi tiết nguyên nhân. Hệ thống sẽ thiếu thông tin về tài khoản bị tấn công, IP thực hiện truy cập, thời điểm cụ thể, endpoint bị truy cập và hành động của người dùng.
4. Yêu cầu 4: Vai trò của log trong điều tra sự cố
4.1. Log giúp trả lời những câu hỏi nào khi xảy ra sự cố an toàn?
Khi xảy ra sự cố an toàn, log giúp trả lời các câu hỏi như:
- Ai đã truy cập hệ thống?
- Truy cập vào thời điểm nào?
- Truy cập từ địa chỉ IP nào?
- Người dùng đã thực hiện hành động gì?
- Hành động đó thành công hay thất bại?
- Tài khoản hoặc dữ liệu nào bị ảnh hưởng?
- Sự cố bắt đầu từ thời điểm nào?
- Request nào gây lỗi hoặc gây bất thường?
4.2. Nếu không có log thì gặp khó khăn gì?
Nếu không có log, việc xác định nguyên nhân sự cố sẽ rất khó khăn vì không có dữ liệu để truy vết. Quản trị viên không biết ai đã truy cập, truy cập khi nào, từ đâu, đã thực hiện hành động gì và dữ liệu nào bị ảnh hưởng.
Trong trường hợp không có log, việc xác định trách nhiệm cũng rất khó vì thiếu bằng chứng kỹ thuật. Khi đó, quá trình điều tra chỉ dựa trên suy đoán và không đủ độ tin cậy.
4.3. Rủi ro nếu log ghi quá chi tiết hoặc không được bảo vệ
Nếu log ghi quá chi tiết, hệ thống có thể vô tình lưu thông tin nhạy cảm như mật khẩu, token đăng nhập, mã OTP, thông tin cá nhân hoặc thông tin thanh toán.
user=admin | password=123456 | token=abcxyz
Nếu log không được bảo vệ đúng cách, kẻ tấn công có thể đọc log để lấy thông tin hệ thống, xóa log để che giấu dấu vết hoặc chỉnh sửa log để làm sai lệch quá trình điều tra.
4.4. Cloud hỗ trợ Monitoring và Logging ở những lớp nào?
| Lớp | Nội dung hỗ trợ Monitoring / Logging |
|---|---|
| Hạ tầng | CPU, RAM, disk, máy ảo, container. |
| Mạng | IP truy cập, firewall, load balancer, network traffic. |
| Ứng dụng | API request, lỗi ứng dụng, response time, error rate. |
| Cơ sở dữ liệu | Truy vấn, lỗi kết nối, số lượng query, hiệu năng database. |
| Định danh và truy cập | Đăng nhập, đăng xuất, phân quyền, thay đổi tài khoản. |
| Lưu trữ | Upload, download, truy cập file. |
4.5. Cloud không thể giám sát những gì trong ứng dụng?
Cloud không thể tự hiểu toàn bộ logic nghiệp vụ bên trong ứng dụng nếu lập trình viên không thiết kế logging phù hợp. Ví dụ, cloud có thể thấy request đặt hàng thành công, nhưng không thể tự biết đơn hàng đó có gian lận hay không.
- Không tự biết giao dịch có gian lận hay không.
- Không tự biết người dùng có lợi dụng khuyến mãi hay không.
- Không tự biết dữ liệu nhập vào có hợp lý về mặt nghiệp vụ hay không.
- Không tự biết một hành động có đúng quy trình nội bộ hay không.
4.6. Monitoring giúp phát hiện sự cố ở giai đoạn nào?
Monitoring giúp phát hiện sự cố ở giai đoạn sớm, khi hệ thống bắt đầu có dấu hiệu bất thường như request tăng đột biến, CPU tăng cao, lỗi 500 tăng, đăng nhập thất bại tăng hoặc response time chậm.
4.7. Logging hỗ trợ Incident Response ra sao?
Incident Response - ứng phó sự cố là quá trình phát hiện, phân tích, xử lý và khôi phục sau sự cố an toàn thông tin. Logging hỗ trợ Incident Response bằng cách cung cấp bằng chứng, xác định nguyên nhân gốc, truy vết hành động của attacker, xác định tài khoản bị ảnh hưởng và hỗ trợ báo cáo sau sự cố.
4.8. Nếu phát hiện sự cố muộn thì hậu quả thế nào?
Nếu phát hiện sự cố muộn, kẻ tấn công có nhiều thời gian khai thác hệ thống, dữ liệu có thể bị đánh cắp hoặc thay đổi, log có thể bị xóa, hệ thống bị gián đoạn lâu hơn và việc xác định nguyên nhân trở nên khó khăn hơn.
5. Yêu cầu 5: Triển khai các nội dung lên web Lab 1
Nhóm đã triển khai các nội dung của Lab tuần 4 lên website Lab 1 nhằm trình bày kiến thức về giám sát, ghi nhật ký và phát hiện hành vi bất thường dưới dạng giao diện web. Việc triển khai giúp người xem dễ theo dõi nội dung, nắm được vai trò của Monitoring và Logging trong môi trường điện toán đám mây.
5.1. Cấu trúc website đã triển khai
- Phần mục tiêu bài lab.
- Phần kiến thức cơ bản về Monitoring, Logging và Security Visibility.
- Phần so sánh giữa Monitoring và Logging.
- Phần xác định các đối tượng cần giám sát.
- Phần phân tích hành vi bất thường.
- Phần vai trò của log trong điều tra sự cố.
- Phần liên hệ triển khai trên môi trường cloud.
- Phần kết luận.
5.2. Nội dung triển khai
Website trình bày đầy đủ các nội dung chính của bài lab. Ở phần đầu, website giới thiệu khái niệm Monitoring và Logging. Tiếp theo, website trình bày bảng so sánh để làm rõ sự khác nhau giữa hai thành phần này. Sau đó, website phân tích các đối tượng cần giám sát trong một hệ thống web triển khai trên cloud như người dùng, phiên đăng nhập, hoạt động đăng nhập, request bất thường và lỗi hệ thống.
Bên cạnh đó, website cũng trình bày tình huống phân tích hành vi bất thường, trong đó hệ thống ghi nhận request tăng cao, đăng nhập thất bại liên tiếp và truy cập từ IP lạ. Nội dung này giúp làm rõ dấu hiệu nào phát hiện nhờ Monitoring và dấu hiệu nào cần phân tích bằng Logging.
5.3. Kết quả đạt được
Sau khi triển khai, website Lab 1 đã bổ sung đầy đủ nội dung của Lab tuần 4. Giao diện được chia thành nhiều phần rõ ràng, có bảng so sánh, ví dụ log, danh sách đối tượng cần giám sát và phần kết luận. Website giúp trình bày nội dung trực quan hơn so với văn bản thuần túy.
Kết luận
Monitoring và Logging là hai thành phần quan trọng trong bảo mật và vận hành hệ thống cloud. Monitoring giúp phát hiện nhanh các dấu hiệu bất thường thông qua các chỉ số như request, CPU, RAM, lỗi hệ thống hoặc số lần đăng nhập thất bại. Trong khi đó, Logging giúp ghi lại chi tiết các sự kiện, hỗ trợ điều tra nguyên nhân, xác định trách nhiệm và phục vụ quá trình Incident Response.
Nếu chỉ có Monitoring mà không có Logging, hệ thống có thể phát hiện có sự cố nhưng khó biết sự cố do ai gây ra, xảy ra như thế nào và ảnh hưởng đến đâu. Vì vậy, trong môi trường cloud, cần kết hợp cả Monitoring và Logging để nâng cao khả năng phát hiện, phân tích và xử lý sự cố an toàn thông tin.