Vai Trò và Trách Nhiệm của Các Thành Viên Trong SOC -

Mở đầu

• Các vai trò cụ thể trong một SOC chuyên nghiệp.

• Nhiệm vụ thường ngày và tương tác giữa các cấp bậc.

• Các công cụ và giai đoạn ứng cứu sự cố mà các SOC Analyst sử dụng.

Tầm Quan Trọng của Việc Phân Vai Trong SOC

• Thuê ngoài hoàn toàn (outsourced)

• Thuộc biên chế nội bộ (in-house)

• Kết hợp mô hình hybrid (co-managed)

Phân Tầng Vai Trò Trong SOC

SOC Tier 1 – Alert/Triage Analyst (Phân Tích Cảnh Báo Ban Đầu)

• Vai trò: Tiếp nhận và xác minh các cảnh báo từ hệ thống SIEM hoặc từ hệ thống ticket (ITSM).

• Công cụ sử dụng: SIEM (Security Information and Event Management), SOAR (Security Orchestration Automation and Response).

• Nhiệm vụ chính:
  Phân loại (triage) cảnh báo.
  Loại bỏ false positives.
  Chuyển tiếp sự cố nghiêm trọng lên Tier 2.

SOC Tier 2 – Incident Responder / Investigator

• Vai trò: Phân tích sâu các sự kiện do Tier 1 chuyển lên.

• Công cụ sử dụng: Packet capture, EDR, log correlation, threat intel.

• Nhiệm vụ chính:
  Điều tra nguyên nhân và hành vi tấn công.
  Thu thập dữ liệu, dựng lại dòng sự kiện.
  Ra quyết định ban đầu về containment và khắc phục.

SOC Tier 3 – Threat Hunter / Forensics / Malware Analyst

• Vai trò: Phân tích các mối đe dọa chưa được phát hiện (APT, zero-day, stealthy attack).

• Công cụ sử dụng: Threat intelligence feeds, sandbox, memory analysis, reverse engineering.

• Nhiệm vụ chính:
  Chủ động tìm kiếm dấu hiệu bị xâm nhập chưa bị phát hiện.
  Phân tích phần mềm độc hại sâu (malware analysis).
  Hỗ trợ các cuộc điều tra số (digital forensics).

SOC Manager / Security Architect

• Vai trò: Lãnh đạo và định hướng hoạt động SOC.

• Trách nhiệm chính:
  Xây dựng quy trình phản ứng sự cố (IR playbooks).
  Đảm bảo sự tuân thủ với các tiêu chuẩn (ISO, NIST, GDPR).
  Đánh giá hiệu quả công cụ và nâng cao năng lực nhân sự.

Mối Quan Hệ và Tương Tác Trong Đội SOC

• Tăng tốc độ phản ứng khi sự cố xảy ra.

• Giảm mức độ kiệt sức của SOC analyst bằng cách luân chuyển công việc.

• Nâng cao hiệu quả trong việc chuyển giao kiến thức nội bộ.

• Một analyst cấp 1 khi phát hiện sự kiện lạ từ firewall log có thể chuyển tiếp trực tiếp sang analyst cấp 2 để truy vết thêm qua các log EDR.

• Khi có chỉ số tấn công mới từ threat intelligence, SOC tier 3 có thể tạo ra rule mới cho SIEM, đồng thời phối hợp với tier 1 để kiểm tra dấu hiệu trong log quá khứ.

TÓM TẮT và Gợi Ý Cho Người Học

• SOC Analyst (Cisco SCOR, CompTIA CySA+)

• Incident Responder (GIAC GCIH)

• Threat Hunter (GIAC Threat Hunting, MITRE ATT&CK)

• Chuẩn bị lộ trình nghề nghiệp phù hợp.

• Luyện tập các công cụ và quy trình đúng thực tế.

• Hợp tác hiệu quả khi tham gia các cuộc điều tra sự cố thực thụ.