Triển khai & Vận hành SOC cơ bản

RobustX / Chương trình học / Vị trí công việc / Security Engineer / Triển khai & Vận hành SOC cơ bản

Trong bối cảnh an ninh mạng ngày càng phức tạp, việc xây dựng một Trung tâm Điều hành An ninh (SOC) hiệu quả là yếu tố then chốt để bảo vệ tài sản số của tổ chức. Khóa học “Triển khai & Vận hành SOC cơ bản” được thiết kế để cung cấp cho bạn kiến thức nền tảng và kỹ năng thực tiễn để xây dựng, quản lý và giám sát một hệ thống SOC từ những bước đầu tiên.

Chương trình tập trung vào việc ứng dụng các công cụ SIEM mã nguồn mở và phổ biến như ELK Stack và Splunk Free. Bạn sẽ được hướng dẫn chi tiết cách thu thập, phân tích log từ nhiều nguồn khác nhau, xây dựng các quy tắc phát hiện tấn công và trực quan hóa dữ liệu qua các dashboard giám sát. Qua đó, bạn có thể chủ động nhận diện các mối đe dọa tiềm ẩn trong hệ thống.

Điểm nhấn của khóa học là sự kết hợp giữa lý thuyết và thực hành thông qua các kịch bản mô phỏng tấn công thực tế. Bạn sẽ được áp dụng quy trình ứng phó sự cố theo tiêu chuẩn quốc tế NIST để xử lý các tình huống như phishing, malware, brute-force một cách bài bản, từ khâu phát hiện, ngăn chặn đến khắc phục và báo cáo.

Thời lượng: 32h

KẾT Quả đạt được

Vận hành Trung tâm An ninh mạng (SOC)

Hiểu rõ cấu trúc, mô hình hoạt động, vai trò và các chỉ số đo lường hiệu quả (KPIs/SLAs) của một SOC hiện đại.

Triển khai & Quản trị hệ thống SIEM

Thành thạo cài đặt, cấu hình và quản lý log tập trung với các hệ thống SIEM phổ biến như ELK Stack và Splunk.

Phân tích & Săn lùng mối đe dọa

Chuyên sâu phân tích log, viết quy tắc (rule) để phát hiện và truy vết các hành vi tấn công tinh vi trong hệ thống.

Xây dựng quy trình ứng phó sự cố

Nắm vững và áp dụng quy trình ứng phó sự cố theo chuẩn NIST, từ phát hiện, ngăn chặn đến khắc phục và rút kinh nghiệm.

Xử lý tình huống tấn công thực tế

Tích lũy kinh nghiệm thực chiến thông qua các kịch bản mô phỏng tấn công phishing, malware và brute-force phổ biến.

Yêu cầu tiên quyết:

- Kiến thức nền tảng về mạng máy tính (mô hình OSI, TCP/IP, DNS, HTTP).
- Kỹ năng quản trị cơ bản trên hệ điều hành Windows và Linux.
- Hiểu biết về các loại log hệ thống và định dạng phổ biến (Syslog, JSON, Event Log).

Nội dung khóa học

1. Tổng quan về Trung tâm Điều hành An ninh (SOC)

- Kiến trúc và Vai trò của SOC:
  - Định nghĩa, vai trò và chức năng cốt lõi của SOC trong một tổ chức.
  - Sự khác biệt giữa SOC, NOC và các bộ phận IT khác.
- Các mô hình và Cấp độ SOC:
  - So sánh các mô hình: In-house, MSSP (Managed Security Service Provider), Hybrid.
  - Giới thiệu về Mô hình trưởng thành SOC (SOC Maturity Model).
- Vận hành SOC hiệu quả:
  - Các vị trí và nhiệm vụ trong SOC (SOC Analyst Tier 1, 2, 3).
  - Xây dựng chỉ số đo lường hiệu suất (KPI) và cam kết chất lượng dịch vụ (SLA).

2. Quản lý Log và Triển khai hệ thống SIEM

- Nền tảng về Quản lý Log:
  - Các nguồn log quan trọng: Hệ điều hành, thiết bị mạng, ứng dụng, dịch vụ cloud.
  - Các định dạng log phổ biến: Syslog, JSON, CEF, Windows Event Log.
- Triển khai ELK Stack:
  - Cài đặt và cấu hình Elasticsearch để lưu trữ và lập chỉ mục dữ liệu.
  - Sử dụng Logstash và Beats để thu thập, xử lý và đẩy log.
  - Sử dụng Kibana để truy vấn và trực quan hóa dữ liệu.
- Giới thiệu Splunk:
  - Cài đặt và làm quen với giao diện Splunk Free.
  - Các thành phần của Splunk: Forwarder, Indexer, Search Head.
  - Thực hành các câu lệnh tìm kiếm cơ bản với Search Processing Language (SPL).

3. Phân tích Log và Phát hiện Tấn công

- Kỹ thuật Phân tích Dữ liệu:
  - Các phương pháp lọc, tìm kiếm, và tổng hợp (aggregation) dữ liệu log.
  - Sử dụng biểu thức chính quy (Regex) để trích xuất thông tin.
- Kịch bản Phát hiện Tấn công:
  - Phân tích log để phát hiện tấn công Brute-force login (SSH, RDP).
  - Nhận diện hành vi quét cổng (Port Scanning) và dò tìm thông tin.
  - Truy vết hoạt động của malware qua các mẫu beaconing.
- Xây dựng Quy tắc Phát hiện và Cảnh báo:
  - Viết các quy tắc phát hiện (Detection Rule) dựa trên mẫu tấn công.
  - Xây dựng quy tắc tương quan (Correlation Rule) để kết nối các sự kiện rời rạc.
  - Cấu hình hệ thống cảnh báo (alerting) tự động khi phát hiện mối đe dọa.

4. Quy trình Ứng phó Sự cố (Incident Response – IR)

- Vòng đời Ứng phó Sự cố theo NIST:
  - Preparation (Chuẩn bị): Xây dựng chính sách, quy trình và công cụ.
  - Detection & Analysis (Phát hiện & Phân tích): Xác định và đánh giá sự cố.
  - Containment, Eradication & Recovery (Ngăn chặn, Loại bỏ & Phục hồi).
  - Post-Incident Activity (Hoạt động sau sự cố): Rút kinh nghiệm và cải tiến.
- Xây dựng Cẩm nang Ứng phó (IR Playbook):
  - Playbook xử lý sự cố lừa đảo (Phishing).
  - Playbook xử lý sự cố mã độc (Malware).
  - Playbook xử lý sự cố tấn công từ chối dịch vụ (DDoS) và brute-force.
- Bộ công cụ hỗ trợ IR:
  - Giới thiệu Sysinternals Suite để phân tích hệ thống Windows.
  - Sử dụng CyberChef cho các tác vụ mã hóa, giải mã và phân tích dữ liệu.
  - Tổng quan về các nền tảng quản lý sự cố như TheHive & Cortex.

5. Case Study: Tích hợp SOC và IR

- Phân tích Kịch bản Tấn công Mô phỏng:
  - Tình huống giả lập: Kẻ tấn công khai thác lỗ hổng web, cài đặt backdoor, và đánh cắp dữ liệu (exfiltrate data).
- Thực hành Điều tra và Phân tích:
  - Thu thập và tổng hợp log từ web server, firewall và máy chủ bị xâm nhập.
  - Phân tích log để xác định dấu hiệu xâm nhập (Indicators of Compromise – IoC).
  - Xây dựng dòng thời gian (timeline) của cuộc tấn công.
- Quy trình Xử lý và Khắc phục:
  - Thực hiện các bước cô lập hệ thống bị ảnh hưởng (Containment).
  - Loại bỏ mã độc và các thay đổi trái phép (Eradication).
  - Khôi phục hệ thống về trạng thái an toàn (Recovery).
- Báo cáo và Rút kinh nghiệm:
  - Viết báo cáo sự cố hoàn chỉnh, bao gồm tóm tắt, timeline, phân tích nguyên nhân và các khuyến nghị bảo mật.

6. Thực hành (Labs)

- Xây dựng Hệ thống SIEM:
  - Cài đặt ELK Stack và cấu hình nhận log từ Ubuntu Server và Windows Server.
  - Cài đặt Splunk Free và thu thập log từ firewall (pfSense/FortiGate).
- Phát hiện Tấn công:
  - Viết truy vấn trên ELK/Splunk để phát hiện tấn công brute-force SSH.
  - Tạo dashboard trên Kibana/Splunk để giám sát lưu lượng mạng bất thường.
- Xử lý Sự cố Mô phỏng:
  - Thực hành xử lý kịch bản tấn công phishing/malware theo IR Playbook đã xây dựng.
  - Viết một báo cáo sự cố (Incident Report) hoàn chỉnh dựa trên kết quả phân tích.