Quản trị nhật ký bảo mật là nền tảng để phát hiện sớm các hành vi bất thường, tuân thủ quy định và hỗ trợ điều tra sự cố. Dưới đây là 4 bước thực tế giúp doanh nghiệp vừa và nhỏ (SME) xây dựng quy trình log management hiệu quả mà không cần đội ngũ SOC lớn. 1. Xác định nguồn log quan trọng - Liệt kê tất cả hệ thống sinh log: firewall, VPN, máy chủ web, database, endpoint protection, dịch vụ đám mây (IaaS/SaaS). - Phân loại theo mức độ ưu tiên: log truy cập đặc quyền, log xác thực, log thay đổi cấu hình, log lỗi ứng dụng. - Ví dụ thực tế: Một công ty thương mại điện tử nhỏ chỉ cần thu thập log từ firewall, web server (Nginx/Apache), cơ sở dữ liệu (MySQL) và giải pháp EDR trên máy nhân viên. 2. Tập trung và chuẩn hóa log (Centralization & Normalization) - Sử dụng một log collector nhẹ (Fluent Bit, Filebeat, hoặc Syslog server) để đẩy log về một kho lưu trữ trung tâm (Elasticsearch, Loki, hoặc SIEM cloud miễn phí như Graylog). - Áp dụng schema chung: timestamp (UTC), source_ip, user_id, event_type, severity. - Tự động enrich: thêm thông tin địa lý IP, mapping MITRE ATT&CK tag cho các sự kiện đăng nhập thất bại, thay đổi rule firewall. 3. Thiết lập quy tắc cảnh báo và lưu giữ (Alerting & Retention) - Tạo rule cảnh báo cơ bản: >5 lần đăng nhập sai trong 5 phút, truy cập admin từ IP mới, thay đổi rule deny/allow trên firewall. - Gửi cảnh báo qua kênh đã có: email, Slack, Zalo OA, Microsoft Teams. - Định kỳ lưu giữ: log bảo mật tối thiểu 12 tháng (theo Luật An ninh mạng Việt Nam), log vận hành 30‑90 ngày. Sử dụng ILM (Index Lifecycle Management) để tự động xóa/archived. 4. Rà soát, điều tra và cải tiến liên tục (Review & Continuous Improvement) - Hàng tuần: kiểm tra dashboard “Top 10 cảnh báo”, xác nhận false positive, điều chỉnh ngưỡng. - Hàng tháng: thực hiện tabletop exercise dựa trên log thực tế (ví dụ: mô phỏng tấn công credential stuffing). - Cập nhật rule khi triển khai ứng dụng mới, thay đổi kiến trúc mạng hoặc khi có thông tin 위협 mới từ CERT/CSIRT. Lời khuyên áp dụng ngay: - Bắt đầu với một collector duy nhất và một kho lưu trữ miễn phí; mở rộng dần. - Đừng cố gắng log “mọi thứ” từ ngày đầu – tập trung vào 5‑7 loại sự kiện rủi ro cao nhất. - Gán trách nhiệm rõ ràng: một nhân viên IT phụ trách log collector, một người phụ trách phân tích cảnh báo. - Tài liệu hóa quy trình trong một runbook 1‑2 trang để nhân viên mới dễ dàng tiếp quản. Với 4 bước trên, doanh nghiệp vừa và nhỏ có thể biến log từ “rác dữ liệu” thành “tài sản an ninh” mà không cần đầu tư lớn.