Các kiến thức nền tảng cần nắm cho một Security Operations Center

[Huỳnh Trần Nhật Tân]

1. Kiến thức nền tảng về CNTT & Mạng
Mạng máy tính

• Mô hình OSI & TCP/IP (hiểu 7 lớp, gói tin đi thế nào).
• Giao thức: IP, TCP, UDP, ICMP, HTTP, DNS, DHCP, ARP.
• Phân biệt switch / router / firewall / IDS / IPS.
• Hiểu subnet, NAT, VLAN, routing, port.

Hệ điều hành

• Windows: Event Viewer, log hệ thống, registry, process, services.
• Linux: command cơ bản (ps, netstat, grep, journalctl, top, tail…), log tại /var/log/.

2. Kiến thức về An ninh mạng cơ bản:

• Các khái niệm: CIA Triad (Confidentiality – Integrity – Availability)
• Kiểu tấn công phổ biến:
• Brute force, SQL injection, XSS, phishing, malware, ransomware, DoS/DDoS.
• Công cụ & kỹ thuật hacker dùng: Nmap, Metasploit, Wireshark, Burp Suite, v.v.
• Cách phát hiện dấu hiệu bị tấn công (IoC): IP lạ, file hash, process bất thường, traffic lạ, v.v.

3. Kiến thức chuyên biệt cho SOC:
Phân tích log & sự kiện

• Nhận diện hành vi đáng ngờ từ log: đăng nhập thất bại, escalation, network scanning, lateral movement.
• Biết cách tương quan log từ nhiều nguồn: firewall, IDS/IPS, endpoint, AD, v.v.
• Xử lý sự cố (Incident Response)

Quy trình Incident Handling:

• Phát hiện (Detection)
• Phân loại (Analysis)
• Cô lập (Containment)
• Loại bỏ (Eradication)
• Khôi phục (Recovery)
• Báo cáo & cải thiện (Lessons Learned)

Biết dùng công cụ: VirusTotal, Any.run, Whois, Shodan, MITRE ATT&CK để điều tra.
4. Kỹ năng phân tích & công cụ hỗ trợ

• Wireshark– bắt và phân tích gói tin.
• Sysmon + ELK/Wazuh – giám sát hành vi trên endpoint.
• Suricata / Snort – IDS/IPS phát hiện xâm nhập.
• YARA / Sigma Rules – viết quy tắc phát hiện malware.
• MITRE ATT&CK – mô hình hóa hành vi tấn công.