XÂY DỰNG HỆ THỐNG GIÁM SÁT VÀ TỰ ĐỘNG HÓA PHẢN ỨNG SỰ CỐ THÔNG MINH SỬ DỤNG WAZUH, SHUFFLE TÍCH HỢP MÔ HÌNH PHÂN TÍCH HÀNH VI DỰA TRÊN AI

Abstract

Sự gia tăng về số lượng sự kiện và cảnh báo trong Trung tâm điều hành an toàn thông tin (SOC) đặt ra yêu cầu nâng cao khả năng phân loại, bổ sung ngữ cảnh và hỗ trợ chuyên viên xác định các cảnh báo cần ưu tiên. Luận văn đề xuất và xây dựng hệ thống SOC tích hợp học máy hỗ trợ phân loại, tương quan và điều phối cảnh báo, trong đó học máy đóng vai trò hỗ trợ phân tích thay vì trực tiếp quyết định hành động phản ứng. Hệ thống sử dụng Sysmon để thu thập sự kiện trên Windows và Wazuh làm nền tảng SIEM. Bộ dữ liệu LMD-2023 được sử dụng để xây dựng mô hình Random Forest phân loại ba lớp Normal, EoRS và EoHT. Trong môi trường vận hành, dữ liệu Sysmon/Wazuh được chuẩn hóa và ánh xạ về đúng cấu trúc đặc trưng trước khi đưa vào mô hình suy luận. Kết quả dự đoán tiếp tục được xử lý thông qua cơ chế kiểm soát độ tin cậy, tương quan sự kiện, loại bỏ cảnh báo trùng lặp và điều phối qua Shuffle đến Telegram. Các thử nghiệm cho thấy mô hình có khả năng phân loại ổn định trong phạm vi dữ liệu nghiên cứu, đồng thời có thể được tích hợp vào pipeline xử lý sự kiện thực tế. Kiểm thử End-to-End xác nhận một sự kiện có thể được xử lý và truy vết xuyên suốt chuỗi Sysmon → Wazuh → AI → SAFE Policy → Dispatch → Shuffle → Telegram. Kết quả của đề tài cho thấy khả năng kết hợp học máy với SIEM, cơ chế tương quan và SOAR trong một quy trình xử lý cảnh báo thống nhất, qua đó hỗ trợ chuyên viên SOC trong việc phân loại, ưu tiên và theo dõi cảnh báo mà vẫn duy trì khả năng kiểm soát và truy vết. Từ khóa: SOC, SIEM, Wazuh, Sysmon, học máy, Random Forest, Lateral Movement, tương quan sự kiện, SOAR, Shuffle Tóm tắt tiếng Anh: The increasing volume of security events and alerts in Security Operations Centers (SOCs) creates a need for improved classification, contextualization, and prioritization support for security analysts. This thesis proposes and implements a machine-learning-integrated SOC for supporting alert classification, correlation, and orchestration, in which machine learning serves as an analytical support component rather than directly determining response actions. The system uses Sysmon to collect Windows endpoint events and Wazuh as the SIEM platform. The LMD-2023 dataset is used to build a Random Forest model for three-class classification: Normal, EoRS, and EoHT. During runtime, Sysmon/Wazuh events are normalized and mapped to the required feature structure before model inference. Prediction results are subsequently processed through confidence control, event correlation, alert deduplication, and orchestration through Shuffle to Telegram. The experiments show that the model provides stable classification performance within the scope of the study and can be integrated into a practical event-processing pipeline. End-to-End testing confirms that a security event can be processed and traced throughout the pipeline: Sysmon → Wazuh → AI → SAFE Policy → Dispatch → Shuffle → Telegram. The results demonstrate the feasibility of combining machine learning with SIEM, event correlation, and SOAR in a unified alert-processing workflow to support SOC analysts in classification, prioritization, and alert tracking while maintaining traceability and human oversight.Keywords: Security Operations Center, SIEM, Wazuh, Sysmon, Machine Learning, Random Forest, Lateral Movement, Event Correlation, SOAR, Shuffle.