Sự Tương Tác Giữa Các Vai Trò Trong SOC

[dangquangminh]

Sự Tương Tác Giữa Các Vai Trò Trong SOC


Để phát hiện và ngăn chặn tấn công trong thời gian ngắn nhất, các thành viên của Trung tâm Điều hành An ninh (SOC – Security Operations Center) phải phối hợp chặt chẽ với nhau. Một ví dụ điển hình là cách đội SOC xử lý một cuộc tấn công ransomware – trong đó từng vai trò đóng góp vào các giai đoạn giám sát, phân tích, ứng phó và truyền thông. Vai trò của SOC Manager


Ngoài đội ngũ SOC Analyst, SOC còn cần một SOC Manager để điều phối mọi hoạt động. Người quản lý SOC:

• Ưu tiên xử lý sự cố và phân bổ nguồn lực.
• Xây dựng mô hình quy trình (workflow model) và SOP (Standard Operating Procedures) cho xử lý sự cố.
• Đảm bảo các SOC Analyst được đào tạo đúng kỹ năng nền tảng.
• Giao tiếp với lãnh đạo cấp cao (CISO, CIO) và các bộ phận liên quan (pháp lý, nhân sự, truyền thông, IT, network).

SOC Tier 1 – Triage Specialist


Tier 1 là tuyến đầu của SOC, đòi hỏi kiến thức cơ bản về mạng, giám sát thiết bị và phân tích traffic. Họ:

• Giám sát hàng đợi cảnh báo liên tục.
• Thực hiện triage (sàng lọc) cảnh báo.
• Giám sát sức khỏe của các sensor bảo mật và endpoint.
• Thu thập dữ liệu, cung cấp bối cảnh để chuyển tiếp cho Tier 2.
• Phân loại cảnh báo true positive hay false positive.

SOC Tier 2 – Incident Handler


Tier 2 có nhiệm vụ đào sâu phân tích:

• Correlate dữ liệu từ nhiều nguồn (logs, SIEM, IDS/IPS, endpoint, threat intel).
• Xác định hệ thống hay dữ liệu quan trọng nào đã bị ảnh hưởng.
• Đưa ra khuyến nghị remediation.
• Hỗ trợ phát triển phương pháp phân tích mới cho threat detection.

SOC Tier 3 – Advanced Analyst / Threat Hunter


Tier 3 là tuyến chuyên gia cao cấp:

• Có kiến thức sâu về network, endpoint, threat intelligence, forensics, malware reverse engineering và các ứng dụng đặc thù.
• Thực hiện threat hunting chủ động, không chờ sự cố escalated.
• Tham gia xây dựng, tinh chỉnh và triển khai analytics để phát hiện mối đe dọa.

Quan hệ với nội bộ & bên ngoài

• Nội bộ: IT, Network, Software team, CISO/CIO, HR, Legal, PR.
• Bên ngoài: cơ quan pháp luật, truyền thông, tòa án quốc tế, US-CERT/CISA.

---

Câu hỏi ôn tập


Câu 1: Ghép trách nhiệm của SOC Analyst với tier tương ứng

• “Monitors the alert queue continuously. Triages security alerts. Monitors the health of the security sensors and endpoints, collects data and context necessary to initiate next tier analyst work”
  👉 Tier 1
• “Performs deep-dive incident analysis by correlating data from various sources. Determines if a critical system or data set has been impacted. Provides guidance on remediation. Provides support for new analytic methods for use in threat detection”
  👉 Tier 2
• “Applies in-depth technical knowledge… Acts as an advanced security analyst and proactive threat hunter… Participates in developing, tuning, and implementing threat detection analytics”
  👉 Tier 3

---

Câu 2: Bạn là một Tier 1 triage specialist. Bạn xác định được một cảnh báo là false positive. Bước tiếp theo bạn sẽ làm gì?
👉 Không liên hệ ai; chỉ log lại và tiếp tục công việc khác.

---

Câu 3: Jon – Tier 2 incident handler – phát hiện sự cố từ Rajiv (Tier 1). Jon xác định đây là zero-day. Ai cần được liên hệ để xử lý?
👉 Rachel, Tier 3 incident responder.

---

Câu 4: Jon (Tier 2) nhận sự cố escalated từ Rajiv (Tier 1). Anh ấy nghi ngờ là zero-day nhưng muốn xác nhận trước. Ai sẽ là người Jon nên liên hệ tiếp theo?
👉 Trước tiên không liên hệ ai; Jon sẽ dùng chính toolkit và chuyên môn để phân tích chi tiết thêm.

---

🎯 Tóm lại: SOC hoạt động hiệu quả nhờ sự phối hợp đa tầng (Tier 1, 2, 3) dưới sự điều phối của SOC Manager. Tier 1 lọc nhiễu, Tier 2 phân tích chuyên sâu, Tier 3 săn tìm mối đe dọa chủ động. Khi escalated đúng luồng, SOC có thể phát hiện, kiểm soát và giảm thiểu tác động của tấn công trong thời gian ngắn nhất.