Posted inSecurity

Hướng dẫn cài đặt và sử dụng MISP trên Linux: Quản lý và chia sẻ Threat Intelligence

Security tutorial - IT technology blog
Security tutorial - IT technology blog

Bối cảnh & Nhu cầu: Khi log quá nhiều nhưng thiếu thông tin định danh

Thời còn trực vận hành cùng team DevOps, mỗi lần SIEM hay firewall hú còi báo IP lạ là cả một cực hình. Cả team mất 20 đến 30 phút tra cứu lòng vòng qua VirusTotal, AbuseIPDB rồi ghi chép thủ công vào file Excel nội bộ. Cách làm này nhanh chóng vỡ trận. Dữ liệu phân mảnh, ca trực sau hoàn toàn mù tịt về những gì ca trước đã xử lý. Nghiêm trọng hơn, chúng mình không có cách nào đẩy tự động các chỉ số xâm phạm IoC (Indicators of Compromise) xuống cụm Suricata hay iptables để chặn kịp thời.

Đó là lý do team quyết định triển khai MISP (Malware Information Sharing Platform). Nền tảng chia sẻ thông tin mối đe dọa mã nguồn mở này giải quyết 3 bài toán lớn:

  • Tập trung hóa dữ liệu: Gom mã hash file, IP, domain C2, CVE và chiến dịch tấn công (threat actor) vào một cơ sở dữ liệu chuẩn hóa theo STIX/TAXII.
  • Đồng bộ tự động: Tự động kéo 50.000 đến 100.000 IoC mỗi ngày từ CIRCL, AlienVault OTX hay abuse.ch về server.
  • Tự động hóa phòng thủ: Cung cấp REST API cho SIEM, SOAR, script iptables hoặc Snort/Suricata tự động fetch danh sách đen để chặn lưu lượng tức thì.

Triển khai MISP: Phương pháp Docker thực tế cho Linux

Cài đặt MISP trực tiếp (bare-metal) trên Linux là một trải nghiệm khá phức tạp. Hệ sinh thái này phụ thuộc đan xen nhiều tầng: PHP 7.4/8.x, Apache/Nginx, MariaDB, Redis, Python venv và các thư viện C biên dịch ngoài. Mỗi đợt nâng cấp phiên bản rất dễ xung đột môi trường. Vì vậy, triển khai qua Docker (dựa trên repo misp-docker chính thức) là phương án an toàn nhất: môi trường được cô lập hoàn toàn, dễ snapshot sao lưu và không làm rác hệ điều hành gốc.

Bước 1: Chuẩn bị server Ubuntu/Debian

Mức cấu hình tối thiểu là 2 vCPU và 4GB RAM. Nếu bạn định bật từ 5 feed lớn trở lên (như URLhaus hay OTX), hãy cấp tối thiểu 8GB RAM và 40GB SSD để MariaDB và Redis không bị nghẽn I/O khi xử lý dữ liệu nặng. Cài đặt Docker Engine và Compose plugin:

# Cập nhật repository và cài Docker engine
sudo apt update && sudo apt install -y curl git docker.io docker-compose-plugin

# Khởi động dịch vụ Docker
sudo systemctl enable --now docker

# Thêm user hiện tại vào group docker để thao tác trực tiếp
sudo usermod -aG docker $USER
newgrp docker

Bước 2: Clone repository và thiết lập biến môi trường

Chúng ta sẽ sử dụng bộ Docker Compose chuẩn do đội ngũ MISP duy trì:

git clone https://github.com/MISP/misp-docker.git
cd misp-docker
cp template.env .env

Mở file .env lên để cấu hình. Đừng bao giờ dùng mật khẩu mặc định cho MySQL, khóa mã hóa và tài khoản admin. Bạn nên sinh chuỗi ngẫu nhiên tối thiểu 24 ký tự (ví dụ dùng công cụ client-side tại toolcraft.app/vi/tools/security/password-generator để sinh mật khẩu an toàn, không lo bị lộ chuỗi bí mật qua mạng).

# Một số thông số quan trọng trong file .env
MISP_BASEURL="https://misp.yourdomain.local"
MYSQL_USER="misp"
MYSQL_PASSWORD="Dung_Password_Generator_Tao_Chuoi_Phuc_Tap_O_Day_123!"
MYSQL_DATABASE="misp"
MYSQL_ROOT_PASSWORD="Root_Password_Sieu_Dai_456!"
ADMIN_PASSPHRASE="Admin_Initial_Password_789!"

Bước 3: Khởi chạy cụm container

docker compose up -d

Lần đầu chạy, Docker cần tải khoảng 2GB images và chạy migration schema ban đầu trong khoảng 3 đến 5 phút. Bạn theo dõi log khởi tạo bằng lệnh:

docker compose logs -f misp-core

Khi log thông báo dịch vụ web đã sẵn sàng, hãy truy cập https://<IP-Server> qua trình duyệt. Tài khoản đăng nhập ban đầu là [email protected] cùng mật khẩu đã đặt ở ADMIN_PASSPHRASE. Hệ thống sẽ yêu cầu bạn đổi mật khẩu mới ngay lần truy cập đầu tiên.

Thiết lập vận hành: Đưa MISP vào hoạt động thực tế

1. Cấu hình Base URL và kiểm tra GnuPG Key

Đăng nhập quyền quản trị, vào menu Administration → Server Settings & Maintenance → tab MISP settings:

  • Tìm tham số MISP.baseurl: Điền chính xác FQDN truy cập (ví dụ https://misp.company.com). Nếu cấu hình sai, toàn bộ link xác thực email, webhook sync giữa các node và export URL sẽ bị hỏng.
  • Chuyển qua tab GnuPG settings: Kiểm tra trạng thái GPG key. MISP sử dụng cặp key này để mã hóa và ký số dữ liệu cảnh báo trao đổi giữa các tổ chức thành viên.

2. Kích hoạt Threat Feeds công khai

MISP mới dựng chỉ là một kho rỗng. Bạn cần nạp các nguồn cấp dữ liệu tình báo nguồn mở (OSINT Feeds):

  1. Truy cập Sync Actions → List Feeds.
  2. Nhấn Load default feed metadata. Hệ thống sẽ tự nạp danh mục hơn 60 nguồn uy tín toàn cầu.
  3. Chọn nguồn phù hợp: Khuyến nghị bật CIRCL OSINT Feed và abuse.ch URLhaus, bấm biểu tượng bánh răng rồi chọn Enable.
  4. Bấm Fetch and capture all feeds để worker tải dữ liệu đe dọa về. Lần đồng bộ đầu tiên sẽ kéo hàng chục nghìn bản ghi, mất khoảng 5–10 phút tùy đường truyền.

3. Ghi nhận Event đầu tiên và đánh dấu cờ IDS

Giả sử đội trực SOC phát hiện một máy chủ C2 phát tán mã độc tống tiền (ransomware) vừa liên lạc với dải mạng nội bộ. Bạn tạo Event để lưu vết như sau:

  • Vào Event Actions → Add Event.
  • Điền thông tin: Distribution chọn This Community Only (chỉ lưu hành nội bộ), Threat Level chọn High, Analysis chọn Initial.
  • Sau khi tạo Event, bấm Add Attribute: Chọn Category là Network activity, Type là ip-dst, nhập địa chỉ IP nghi vấn (ví dụ: 198.51.100.23).
  • Quan trọng: Tích chọn ô IDS. Cờ này là tín hiệu cho phép firewall hoặc script phòng thủ biết đây là IoC cần áp luật chặn tự động.

4. Tạo API Key để tự động hóa tích hợp

Muốn các công cụ bên ngoài gọi sang MISP lấy dữ liệu, bạn cần tạo khóa xác thực riêng biệt:

Vào Administration → List Users → chọn user của bạn → View Auth Keys → Add Authentication Key. Sao lưu chuỗi token 40 ký tự này vào password manager; MISP sẽ ẩn chuỗi này sau khi bạn rời trang.

Kiểm tra & Vận hành: Đảm bảo luồng dữ liệu thông suốt

1. Kiểm tra trạng thái Worker

Mọi tác vụ bóc tách IoC, phân tích hash và kéo feed đều chạy ngầm qua hàng đợi Redis và CakePHP worker. Nếu worker bị treo, dữ liệu mới sẽ kẹt lại hàng đợi.

Kiểm tra bằng cách vào Administration → Server Settings & Maintenance → tab Workers. Đảm bảo toàn bộ hàng đợi gồm default, email, cache, prio đều ở trạng thái OK (Active) màu xanh lá.

2. Viết Python script trích xuất danh sách chặn tự động

Dưới đây là script mẫu kiểm tra kết nối API, tự động trích xuất các IP độc hại được gắn cờ IDS trong vòng 7 ngày qua để cấp cho iptables hoặc firewall:

import requests
import json

MISP_URL = "https://misp.yourdomain.local"
AUTH_KEY = "YOUR_MISP_API_KEY_HERE"

headers = {
    "Authorization": AUTH_KEY,
    "Accept": "application/json",
    "Content-Type": "application/json"
}

# Query lay cac IP doc hai co gan co IDS trong 7 ngay gan nhat
payload = {
    "returnFormat": "json",
    "type": "ip-dst",
    "to_ids": 1,
    "last": "7d"
}

response = requests.post(
    f"{MISP_URL}/attributes/restSearch",
    headers=headers,
    data=json.dumps(payload),
    verify=False  # Bo qua kiem tra SSL neu dung self-signed cert noi bo
)

if response.status_code == 200:
    data = response.json()
    attributes = data.get("response", {}).get("Attribute", [])
    print(f"[+] Trich xuat thanh cong {len(attributes)} IP doc hai tu MISP:")
    for item in attributes[:5]:
        print(f" - {item['value']} (Event ID: {item['event_id']})")
else:
    print(f"[-] Loi ket noi API: {response.status_code} - {response.text}")

3. Bảo trì tài nguyên và dọn dẹp định kỳ

Sau 2–3 tuần chạy liên tục với nhiều feed, database MariaDB và thư mục dữ liệu Docker có thể phình lên 10–20GB. Bạn nên thiết lập cronjob định kỳ trên máy chủ host để giữ hiệu năng ổn định:

# Kiem tra dung luong volume chua database MariaDB
docker exec -it misp-docker-misp-db-1 df -h /var/lib/mysql

# Xoa bot cac job log da hoan thanh qua 30 ngay trong container core
docker exec -it misp-docker-misp-core-1 /var/www/MISP/app/Console/cake Admin cleanupLogs 30

Sau khi hoàn tất cấu hình, thời gian từ lúc phát hiện một chỉ số tấn công mới đến khi toàn bộ hạ tầng mạng kích hoạt luật chặn sẽ rút ngắn xuống dưới 5 phút, thay vì mất hàng giờ tra cứu thủ công như trước.

Share:
Tags: