Soc

[dangquangminh]

Giải thích vai trò của SOC (Security Operations Center) – Trung tâm điều hành an ninh mạng, qua hai vai trò chủ chốt: Security Analysts/Incident Responders và Threat Hunters.

---

🎯 Tóm tắt nội dung chính của hình:

1. Security Analysts / Incident Responders (bên trái - hình xe cảnh sát):

• Vai trò phản ứng (Reactive): Nhóm này phản hồi với các cảnh báo đã được hệ thống phát hiện ra – gọi là playbooks.
• Tuần tra hệ thống mạng: Chủ yếu dùng công cụ giám sát để “tuần tra”, tìm kiếm các sự cố đã được cảnh báo hoặc có dấu hiệu bất thường rõ ràng.
• Tương tự lực lượng cảnh sát phản ứng nhanh: Khi có cảnh báo – giống như tín hiệu đèn xanh đỏ – họ sẽ vào cuộc để điều tra, cô lập, khắc phục.

---

2. Threat Hunters (bên phải - hình thám tử):

• Chủ động điều tra (Proactive): Họ không chờ cảnh báo, mà giả định rằng hệ thống đã bị xâm nhập.
• Tìm kiếm hành vi bất thường (abnormalities), TTPS (Tactics, Techniques and Procedures) – dấu hiệu nhận diện hành vi của attacker.
• Suy luận theo tư duy “có thể đã bị tấn công mà chưa phát hiện ra” – đây là tư duy cốt lõi của threat hunting hiện đại.

---

🔄 Mũi tên 2 chiều cho thấy mối quan hệ khép kín:

• Phát hiện từ Threat Hunter có thể tạo ra cảnh báo mới → gửi về cho Analysts xử lý → kết quả điều tra giúp cập nhật thêm kỹ thuật săn mối đe dọa.
• Hai nhóm này hỗ trợ nhau: một bên đi theo cảnh báo, một bên tạo ra cảnh báo từ hoạt động chủ động.

---

📌 Gợi ý triển khai cho các tổ chức tại Việt Nam:

• Đa số SOC nội bộ mới dừng ở cấp Analyst phản ứng cảnh báo từ SIEM. Việc bổ sung năng lực Threat Hunting là xu hướng tất yếu để phát hiện APT, ransomware, insider threat.
• Các nền tảng hỗ trợ Threat Hunting có thể kể đến như: Elastic stack, Splunk, Sentinel, QRadar + MITRE ATT&CK framework.

---

✍️ Lời kết:


SOC không chỉ là “xử lý cảnh báo”, mà là một cuộc chiến liên tục giữa bị động và chủ động. Xây dựng được văn hóa “hunt-to-improve” – tức là săn để cải tiến – chính là yếu tố giúp SOC trưởng thành vượt bậc.