Kiến trúc hệ thống Giám sát theo thiết kế Cisco

[dangquangminh]

🔥 Khi hệ thống giám sát không còn là “xem log” mà trở thành một cỗ máy tự động hóa vận hành thông minh

Trong các hệ thống mạng hiện đại, vấn đề không còn là có bao nhiêu công cụ monitoring, mà là làm sao gom chúng lại, hiểu được sự kiện (event), và tự động phản ứng (action). Kiến trúc trong hình là một ví dụ rất điển hình của cách các doanh nghiệp lớn đang xây dựng Event-Driven & AIOps Architecture.

---

🧠 Tổng quan kiến trúc (Architecture Overview)


Kiến trúc này được chia thành 3 lớp chính:

1. Data Sources – Nguồn dữ liệu đầu vào


Đây là nơi sinh ra toàn bộ sự kiện (events) trong hệ thống:

• Cisco Meraki / ThousandEyes
  → Gửi dữ liệu qua Webhook
• DNA Center
  → Gửi webhook hoặc telemetry
• Zabbix
  → Gửi dữ liệu qua Kafka (SNMP, ICMP monitoring)
• Splunk
  → Gửi log qua Syslog
• Cisco Firepower (FMC)
  → Log bảo mật
• Cisco Telemetry Broker
  → Gửi SNMP Traps
• API Systems
  → Custom alerts

👉 Điểm quan trọng:
Hệ thống này không phụ thuộc vào một vendor duy nhất, mà gom dữ liệu từ rất nhiều nguồn khác nhau.

---

2. DMZ & Ingestion Layer – Lớp tiếp nhận dữ liệu

• NGINX (DMZ Web Proxy) đóng vai trò:
  • Nhận webhook từ bên ngoài
  • Bảo vệ hệ thống internal
  • Forward request vào bên trong

👉 Đây là best practice về security:

• Không expose trực tiếp hệ thống xử lý bên trong
• Tách biệt DMZ và Internal Network

---

3. Core Processing – Xử lý trung tâm (Trái tim hệ thống)


Bên trong internal network, hệ thống xử lý theo pipeline rất rõ ràng: 🔹 Bước 1: Raw Events

• Nhận event thô từ nhiều nguồn

🔹 Bước 2: Normalize & Import

• Chuẩn hóa dữ liệu (normalize)
• Import vào hệ thống xử lý

👉 Ví dụ:

• Zabbix gửi alert CPU → convert về format chung
• Firepower gửi intrusion → normalize thành security event

---

🔹 Bước 3: Rules Engine (Event → Alert → Situation)


Đây là phần “thông minh” nhất:

• Rules Evaluator
• Situation Assigner
• Situation Evaluator

👉 Logic xử lý:

• Event → tạo Alert
• Nhiều Alert → gom lại thành Situation

📌 Ví dụ thực tế:

• 1 switch down → alert
• 20 switch cùng site down → Situation: Site outage

---

🔹 Bước 4: Data Storage

• Lưu vào:
  • PostgreSQL
  • Volume storage
• Đồng thời push vào:
  • Splunk Index

👉 Đây là nơi phục vụ:

• Search log
• SOC analysis
• Compliance

---

🔹 Bước 5: Integration & Automation


Hệ thống tích hợp mạnh với:

• ServiceNow
  • CMDB Sync
  • Incident
  • Change Request
• Webex (Cisco)
  • Gửi alert real-time
• Email / Ticketing
• Automation Trigger (Kafka / GitHub)

👉 Ví dụ:

• Phát hiện incident → tự tạo ticket ServiceNow
• Critical alert → gửi Webex + Email
• Automation → trigger script fix lỗi

---

⚙️ Luồng xử lý tổng thể


Toàn bộ hệ thống hoạt động theo pipeline:

Event → Alert → Situation → Rules → Actions

Trong đó:

• Event: dữ liệu thô
• Alert: cảnh báo đơn lẻ
• Situation: ngữ cảnh tổng hợp
• Rules: logic xử lý
• Actions: hành động (automation)

---

🚀 Ví dụ thực chiến

Case 1: Link WAN bị down

1. Zabbix detect ICMP fail
2. Gửi event qua Kafka
3. System tạo Alert
4. Rule detect nhiều alert cùng site
5. Tạo Situation: WAN outage
6. Trigger:
   • ServiceNow ticket
   • Webex alert cho NOC
   • Automation chạy failover script

---

Case 2: Security attack

1. Firepower phát hiện intrusion
2. Gửi log về Splunk
3. Rule detect pattern tấn công
4. Tạo Situation: Possible attack
5. Action:
   • Block IP (automation)
   • Alert SOC team

---

🧩 Điểm mạnh của kiến trúc này

• Decoupled (Kafka-based) → mở rộng dễ
• Multi-source integration → không bị lock vendor
• Event correlation → giảm false alert
• Automation-first → giảm MTTR
• AIOps-ready → dễ tích hợp AI sau này

---

💡 Góc nhìn CCIE / CISSP

• Đây chính là mô hình SIEM + SOAR + AIOps hybrid
• Phù hợp với:
  • NOC (Network Operation Center)
  • SOC (Security Operation Center)
• Tuân thủ nguyên tắc:
  • Defense in Depth (DMZ + Internal)
  • Least Exposure
  • Centralized Logging & Correlation

---

🔥 Kết luận


Nếu bạn vẫn đang:

• Check log thủ công
• Xử lý alert riêng lẻ
• Không có correlation

👉 Thì bạn đang ở “Monitoring 1.0”

Còn kiến trúc này đại diện cho:
👉 Monitoring 3.0 – Event-driven + Automation + Context-aware