Giám sát web server với splunk và modsecurity: Phát hiện truy cập bất thường qua log

[Tiến Dũng Nguyễn]

Splunk là một nền tảng phân tích dữ liệu thời gian thực, được sử dụng rộng rãi trong các hệ thống giám sát bảo mật (SIEM), quản lý log, và phân tích hành vi hệ thống.

Với Splunk, chúng ta có thể:

• Thu thập dữ liệu từ nhiều nguồn (web server, firewall, WAF, hệ điều hành, v.v.)
• Tìm kiếm nhanh các sự kiện đáng chú ý
• Phân tích hành vi người dùng, phát hiện tấn công
• Xây dựng dashboard và cảnh báo tùy chỉnh

Trong lĩnh vực an ninh mạng, Splunk được xem là một công cụ quan trọng của đội Blue Team, giúp phát hiện sớm các hoạt động bất thường thông qua log, việc phát hiện sớm các hành vi bất thường – dù nhỏ như truy cập sai đường dẫn – đóng vai trò cực kỳ quan trọng.
Ở đây tôi xin phép chia sẻ một demo đơn giản nhưng hiệu quả, sử dụng ModSecurity kết hợp với Splunk để thu thập và phân tích log từ một ứng dụng web.

• Giới thiệu mô hình tích hợp Splunk + ModSecurity
• Hướng dẫn mô phỏng truy cập bất thường vào web server
• Phân tích log cảnh báo từ ModSecurity thông qua Splunk

Đây là một bước khởi đầu quan trọng để làm quen với các công cụ SIEM và các kỹ thuật giám sát tấn công web trong môi trường an toàn. Bạn có thể mở rộng thêm bằng cách thử các hình thức tấn công khác như SQL Injection, XSS hoặc tự mình viết những rule để phát hiện các cuộc tấn công mới dựa trên ModSecurity.