“Không chỉ là vấn đề con người - đây là một bài toán về dữ liệu, tốc độ và khả năng thích nghi.”

Trong thời đại mọi thứ đều kết nối, các cuộc tấn công mạng diễn ra nhanh hơn, tinh vi hơn, và để lại hậu quả lớn hơn. Các Trung tâm Điều hành An ninh (SOC - Security Operations Center) đóng vai trò tuyến đầu phòng thủ, nhưng liệu SOC hiện tại của bạn đã đủ sức chống đỡ?

Dù SOC đang ở giai đoạn thủ công (1.0), bán tự động (2.0/2.5), hay ứng dụng AI (3.0), thì vẫn xoay quanh 

Phân loại cảnh báo và xử lý sự cố

Phát hiện và tương quan dữ liệu

Một SOC hiện đại không thể bỏ qua bất kỳ chức năng nào trong bốn trụ cột trên. Hiệu quả SOC phụ thuộc vào khả năng 

tối ưu hóa đồng thời cả 4 khâu

: từ dữ liệu, phát hiện, phân loại đến phản ứng.

Đừng để SOC chỉ dừng ở công cụ - hãy xây dựng tư duy, kỹ năng phân tích dữ liệu và phản ứng thực chiến. Tham gia BLUETEAM 2025 để trở thành 

: từ log analysis đến threat hunting & incident response.

🎓 Khóa học BlueTeam 2025: 

https://cyberjutsu.io/course/khoa-hoc-blueteam

🛠 SOC 1.0: Khi mọi thứ đều thủ công

SOC 1.0 là mô hình truyền thống - nơi mọi dữ liệu được tập trung về SIEM và mọi cảnh báo được phân tích thủ công. Từ việc lọc cảnh báo giả, tham chiếu SOP (1) trong wiki, đến việc viết rule trong SIEM, tất cả đều cần chuyên viên con người can thiệp.

“SOC 1.0 giống như chữa cháy thủ công, trong khi hỏa hoạn lan khắp mọi nơi.”

⚙️ SOC 2.0: Tự động hóa từng phần - bước chuyển mình mạnh mẽ

SOC 2.0 đánh dấu bước chuyển từ thủ công sang 

. Với sự xuất hiện của SOAR, SIEM hiện đại và XDR, nhiều công đoạn đã được máy móc hỗ trợ. Các cảnh báo được enrich tự động, SOP được chuyển thành playbook, và rule phát hiện được cung cấp sẵn.

Tự động enrich cảnh báo (IP, hostname, geoIP, CVE…)

Chạy playbook xử lý (như cô lập host, chặn IP), SOAR thực hiện một phần SOP, tiết kiệm thời gian xử lý

Rule phát hiện dựng sẵn, dễ kích hoạt theo từng kịch bản

Hạ tầng pipeline linh hoạt hơn với CRIBL, Sentinel, v.v.

Analyst vẫn phải “tự quyết định” sau bước enrich

SOAR cần duy trì phức tạp, dễ hỏng nếu API thay đổi

Việc điều tra sâu vẫn mất nhiều thời gian & công sức

💡 SOC 2.5: Sự chuẩn bị cho một bước ngoặc lớn

bước đệm quan trọng giữa SOC 2.0 và SOC 3.0

. Ở giai đoạn này, nhiều tổ chức bắt đầu nhận ra rằng việc “dồn hết log vào SIEM” không còn hiệu quả. Thay vào đó, họ chuyển dần dữ liệu sang 

Chuẩn bị nền tảng dữ liệu để huấn luyện hoặc ứng dụng AI/ML

Truy vấn linh hoạt hơn với SQL hoặc công cụ BI

Dễ dàng chia sẻ dữ liệu giữa các đội ngũ (SOC, Threat Hunting, IT Ops…)

Detection-as-Code: quản lý, chia sẻ và kiểm thử như một repo DevOps
- Viết rule phát hiện như viết code (YAML, Python, SQL…)
- Dễ dàng quản lý version, kiểm thử, CI/CD
- Có thể tái sử dụng và chia sẻ giữa các tổ chức

Cần có chiến lược phân tách dữ liệu rõ ràng (hot vs cold, near real-time vs archival)

Cần thêm kỹ năng về quản trị data lake, định danh dữ liệu

Việc kết nối giữa SIEM/SOAR và data lake đòi hỏi sự linh hoạt trong pipeline

“SOC 2.5 không chỉ là lưu log rẻ hơn - mà là thay đổi cách tiếp cận dữ liệu bảo mật.”

🤖 SOC 3.0: Khi AI trở thành đồng đội thực thụ

SOC 3.0 mang đến bước nhảy vọt - trí tuệ nhân tạo (AI) giúp tự động hóa hầu hết quy trình vận hành, từ triage đến điều tra và phản ứng. AI học từ dữ liệu thực tế, tự điều chỉnh rule và cung cấp phản hồi theo thời gian thực.

Phân loại và đề xuất xử lý cảnh báo tự động

Rule phát hiện thích nghi với mối đe dọa mới

Tự động điều tra sự cố sâu mà không cần viết script

Truy vấn dữ liệu tại chỗ - không cần gom về một nơi

AI cần thời gian học và tinh chỉnh

Analyst cần xây dựng niềm tin với hệ thống AI

Hạ tầng dữ liệu phân tán đòi hỏi chiến lược phù hợp

“SOC 3.0 không thay thế con người - nó khuếch đại khả năng của họ.”

Hành trình tiến hóa từ SOC 1.0 đến SOC 3.0 không chỉ là thay đổi công nghệ - mà còn là thay đổi cách vận hành, cách tư duy và cấu trúc tổ chức.

SOC, hay Trung tâm Vận hành An ninh, là tuyến đầu bảo vệ tổ chức khỏi các cuộc tấn công mạng. Từ giai đoạn đầu (SOC 1.0), mọi thứ được thực hiện thủ công, gây ra nhiều khó khăn như mệt mỏi do cảnh báo giả và quy trình xử lý chậm chạp. SOC 2.0 đã cải thiện bằng cách tự động hóa một phần, chẳng hạn như làm giàu cảnh báo và sử dụng các quy tắc phát hiện sẵn có, nhưng vẫn cần con người quyết định. SOC 3.0, được hỗ trợ bởi trí tuệ nhân tạo (AI), đánh dấu bước tiến lớn khi tự động hóa hầu hết các tác vụ, từ phân loại cảnh báo đến điều tra mối đe dọa, giúp giảm khối lượng công việc và tăng khả năng phản ứng nhanh.

👉 Đừng chờ bị tấn công rồi mới tối ưu SOC. Hãy bắt đầu hành trình hiện đại hóa ngay từ hôm nay.

Phân loại cảnh báo và xử lý sự cố :

 Là bước đầu tiên và quan trọng nhất: xác định cảnh báo nào là thật, cảnh báo nào là nhiễu, và quyết định hành động phù hợp.

Phát hiện và tương quan dữ liệu (Detection & Correlation) :

 Tìm ra các hành vi bất thường từ hàng triệu dòng log. Các hệ thống SOC hiện đại dùng rule, AI hoặc machine learning để kết nối những dấu hiệu nhỏ thành một chuỗi tấn công đáng ngờ.

Điều tra mối đe dọa (Threat Investigation):

 Khi phát hiện điều bất thường, SOC cần truy vết để hiểu rõ: Ai là kẻ tấn công? Bắt đầu từ đâu? Đã xâm nhập vào đâu? Đã làm gì? Việc này đòi hỏi phân tích nhiều log, file, và thông tin hệ thống để tái hiện toàn bộ cuộc tấn công.

Xử lý và quản lý dữ liệu (Data Processing & Management):

 Tất cả những chức năng trên đều cần 

dữ liệu sạch, đầy đủ và có thể truy vấn nhanh chóng

. SOC phải xây dựng pipeline thu thập log từ nhiều nguồn (endpoint, firewall, cloud, AD…), sau đó lưu trữ và chuẩn hóa để phục vụ phân tích.

Từ SOC 1.0 đến SOC 3.0: Hành Trình Tiến Hóa Của Trung Tâm An Ninh và Những Bài Toán Chưa Có Lời Giải

Vui lòng điền vào form dưới đây để đăng ký tham gia buổi học miễn phí.

Lưu ý: Form sẽ được tự động khóa khi đủ số lượng người tham gia.


<div style=" background-color: #e5f4ff; padding: 1.5rem 2rem; border-radius: 12px; border: 1px solid #38a3f1; box-shadow: 0 6px 16px rgba(0, 0, 0, 0.04); max-width: 1000px; margin: 2rem auto; display: flex; align-items: center; justify-content: space-between; font-family: system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', sans-serif;"> <div style="text-align: left;"> <h2 style=" color: #111827; font-size: 1.6rem; font-weight: 700; margin: 0; line-height: 1.4; "> KHÓA HỌC BLUE TEAM 2025 </h2> <pstyle=" color: #111827; font-size: 1rem; margin: 0.2rem 0 0; font-weight: 500; "> (SOC Tier 1/2/3/4) </p> <pstyle=" color: #4b5563; font-size: 0.98rem; margin: 0.8rem 0 0; "> Khai giảng vào cuối tháng 12/2025 </p> </div>
<div> <a href="https://facebook.com/CyberJutsu"style=" display: inline-block; background-color: #6d28d9; color: #ffffff; padding: 0.7rem 1.6rem; border-radius: 999px; font-size: 0.95rem; font-weight: 600; white-space: nowrap; text-decoration: none; " target="_blank"> Liên hệ fanpage nhận thông báo! </a> </div></div>



Buổi học Blue Team miễn phí: Chuyện nghề SOC - Xử lý sự cố thời đại AI 

 là workshop đặc biệt dành riêng cho cộng đồng Blue Team Việt Nam - nơi những chiến binh thầm lặng của ngành Security được gặp gỡ, chia sẻ kinh nghiệm và cùng nhau mạnh mẽ hơn trong cuộc chiến bảo vệ không gian mạng.

Trong thế giới nơi SOC analyst phải xử lý hàng nghìn alerts mỗi ngày và 90% là false positives, sự kiện này là cơ hội quý giá để học hỏi từ các chuyên gia hàng đầu và mở rộng mạng lưới chuyên môn của bạn.

 - người đứng sau nhiều hệ thống SOC lớn sẽ chia sẻ cách ứng dụng AI hiện đại vào Detection Engineering. Phiên này giúp bạn hiểu cách "không để AI thay thế bạn, mà dùng nó để nâng cấp chính mình."

 sẽ bóc tách một case study thực tế: "Từ SIEM đến Fraud Defense, cách chúng tôi ngăn thiệt hại tới 1.500 tỷ đồng". Đây là minh chứng cho sức mạnh thực chiến của Blue Team Việt Nam.

Phiên thảo luận đặc biệt với sự tham gia của những sensei từng đối đầu trực tiếp với các nhóm APT khét tiếng nhất. Cơ hội hiếm có để học hỏi kinh nghiệm thực chiến từ những người đi trước.

Networking với 80+ chuyên gia Blue Team

Kiến thức thực chiến từ những người trong cuộc

Gia nhập cộng đồng Discord Blue Team độc quyền

Tham gia mini-game thú vị với nhiều phần quà hấp dẫn

 METUB Office, 40 Nguyễn Văn Hưởng, Thảo Điền

 MIỄN PHÍ (giới hạn 80 người tham dự)

Persistent threats require persistent care... and persistent community!

Khi những Blue Dots kết nối lại, chúng ta không chỉ đoàn kết hơn, mạnh mẽ hơn - chúng ta còn là một cộng đồng vui vẻ, tích cực. Đây là cơ hội để bạn không còn là "lone wolf" trong cuộc chiến với threat actors.

Sự kiện được đồng tổ chức bởi CyberJutsu cùng hai đơn vị đồng hành:

 – đơn vị chuyên cung cấp các giải pháp an ninh mạng tiên tiến.

 – nền tảng đào tạo nhận thức an ninh mạng thực tiễn.

Vì số lượng tham dự giới hạn, BTC sẽ xem xét và chọn lọc các đơn đăng ký phù hợp nhất. Hãy nhanh tay đăng ký ngay hôm nay!

CONNECTING THE BLUE DOTS: Sự Kiện Kết Nối Cộng Đồng Blue Team 2025

Chứng chỉ nào sẽ giúp bạn thành công trong vai trò phòng thủ an ninh mạng? Phân tích chi tiết này giúp bạn định hướng chứng chỉ Blue Team với mức độ thực tiễn cao nhất.

Trong thế giới an ninh mạng, vai trò Blue Team đang trở nên quan trọng hơn bao giờ hết. Khi các cuộc tấn công ngày càng tinh vi, nhu cầu về các chuyên gia phòng thủ có thể phát hiện, phân tích và ứng phó với các mối đe dọa đang tăng cao. Nhưng với hàng chục chứng chỉ hiện có, làm thế nào để biết đâu là lựa chọn đáng giá cho sự nghiệp của bạn?

Bài viết này phân tích sâu các chứng chỉ Blue Team hàng đầu, dựa trên giá trị thực tiễn, mức độ công nhận trong ngành, chi phí-lợi ích, và quan trọng nhất - phản hồi từ cộng đồng an ninh mạng.

Tiêu chí đánh giá các chứng chỉ Blue Team

Top 10 chứng chỉ từ cơ bản đến nâng cao

So sánh chi tiết: đào tạo thực hành vs lý thuyết

Lộ trình chứng chỉ cho các giai đoạn sự nghiệp khác nhau

Bảng so sánh tổng hợp các chứng chỉ hàng đầu

Webinar miễn phí cùng các chuyên gia Blue Team nhiều năm kinh nghiệm!

"Detect là quan trọng nhất trong SOC"

 - Cường nhấn mạnh việc phát hiện sớm các mối đe dọa là yếu tố quan trọng nhất của một SOC hiệu quả.

"Đối với T1 (tier one) trong SOC, đừng sợ AI thay thế - hãy lên T2, T3"

 - Chị Thư khuyên các Blue Teamer nên nâng cao kỹ năng thay vì lo sợ AI thay thế.

Tiêu Chí Đánh Giá Chứng Chỉ Blue Team

Trước khi đi vào danh sách, hãy xem xét tiêu chí đánh giá các chứng chỉ này:

: Chứng chỉ cung cấp kỹ năng có thể áp dụng ngay vào công việc?

: Có bao nhiêu thời gian dành cho thực hành so với lý thuyết?

: Nhà tuyển dụng có biết và đánh giá cao chứng chỉ này không?

: Liệu giá trị nhận được có tương xứng với chi phí và công sức?

: Chứng chỉ phù hợp với người mới bắt đầu hay chuyên gia giàu kinh nghiệm?

: Chứng chỉ mở ra những vai trò và vị trí nào?

Top 10 Chứng Chỉ Blue Team Đáng Theo Đuổi Năm 2025

: Đây là chứng chỉ nền tảng phổ biến nhất cho những người bắt đầu sự nghiệp an ninh mạng.

Được công nhận rộng rãi toàn cầu, đặc biệt là HR trong quá trình sàng lọc hồ sơ

Cung cấp kiến thức nền tảng toàn diện về an ninh mạng

Đáp ứng yêu cầu DoD 8570 cho nhiều vị trí chính phủ

Điểm khởi đầu lý tưởng cho những người chuyển sang an ninh mạng

Tập trung vào lý thuyết hơn thực hành

Ít chuyên sâu về các kỹ năng Blue Team cụ thể

Rất phổ biến nên không giúp bạn nổi bật trong đám đông

: Người mới bắt đầu hoặc chuyển từ IT sang an ninh mạng.

2. CompTIA CySA+ (Cybersecurity Analyst+)

: Chứng chỉ trung cấp tập trung vào phân tích bảo mật và phản ứng với mối đe dọa.

Đi sâu vào phân tích an ninh mạng và giám sát, phù hợp với vai trò SOC

Có các câu hỏi thực hành (PBQs) trong kỳ thi

Bao gồm MITRE ATT&CK và các khuôn khổ phát hiện mối đe dọa hiện đại

Chứng chỉ trung cấp duy nhất có câu hỏi thực hành tập trung vào Blue Team

Không đi sâu vào các công cụ cụ thể như một số chứng chỉ thực hành

Định dạng kỳ thi vẫn là trắc nghiệm, không phải lab thực sự

: Chuyên viên phân tích SOC cấp 1-2, những người đã có Security+ hoặc 1-2 năm kinh nghiệm làm việc.

: Chứng chỉ thực hành toàn diện tập trung vào kỹ năng SOC hàng ngày.

Cực kỳ thực hành với 23 lab (~100 giờ) và kỳ thi thực tế 24 giờ

Bao gồm nhiều chủ đề Blue Team: phân tích phishing, thu thập thông tin tình báo mối đe dọa, SIEM, máy chủ Active Directory...

Đào tạo toàn diện kết hợp với kỳ thi trong một gói

Chứng chỉ suốt đời, không cần gia hạn

Ít được biết đến hơn so với các chứng chỉ CompTIA hoặc vendor-specific

Nội dung đòi hỏi khối lượng lớn trong thời gian ngắn (4 tháng)

: Người mới bắt đầu hoặc người chuyển sang bảo mật muốn có kỹ năng thực tế.

: £399 (~$485 USD) bao gồm đào tạo, lab và kỳ thi.

: 4 tháng truy cập với khối lượng công việc nặng.

: Chứng chỉ thực hành toàn diện tập trung vào SOC và DFIR.

Kỳ thi thực hành 48 giờ với các tình huống thực tế

Phạm vi rộng: săn lùng mối đe dọa, giám sát mạng, phản ứng sự cố, pháp y kỹ thuật số

Đào tạo thực tế với điều tra thực tế, không có câu hỏi trắc nghiệm

Giá trị tốt với chi phí khoảng $800 bao gồm đào tạo và kỳ thi

Ít được công nhận, có thể cần phải giải thích cho nhà tuyển dụng

Đòi hỏi nhiều thời gian (100+ giờ) và khó khăn cho người mới

: Chuyên viên phân tích SOC, Blue Team và DFIR cấp junior.

: Khoảng $800 USD bao gồm đào tạo và kỳ thi.

: Khoảng 4 tháng, với kinh nghiệm nền tảng.

5. Microsoft SC-200 (Security Operations Analyst)

: Chứng chỉ tập trung vào hoạt động bảo mật trong hệ sinh thái Microsoft.

Rất thực tế nếu bạn làm việc trong môi trường Azure/Microsoft 365

Dạy kỹ năng thực tế trên Microsoft Sentinel và bộ công cụ Defender

Chi phí thấp ($165) với nội dung học miễn phí trên Microsoft Learn

Cực kỳ có giá trị cho các tổ chức sử dụng SIEM dựa trên Microsoft

Giới hạn vào công nghệ Microsoft (ít chuyển giao sang các công cụ khác)

Cần gia hạn hàng năm (mặc dù miễn phí)

Không phải kỳ thi thực hành hoàn toàn

: Chuyên viên phân tích SOC và kỹ sư an ninh trong môi trường Microsoft.

: 1-3 tháng, tùy thuộc vào kinh nghiệm Microsoft.

: Chứng chỉ dành riêng cho nền tảng SIEM phổ biến nhất.

Xác thực kỹ năng thực tế trên SIEM hàng đầu, thường được dùng trong SOC

Top 10 Chứng Chỉ An Ninh Mạng dành cho Blue Team 2025: Phân Tích Chuyên Sâu Cho Người Mới & Chuyên Gia

Trong cuộc chơi vờn nhau giữa hacker và defender, ta thường thấy một quy luật đơn giản: kẻ tấn công chỉ cần tìm ra 

, còn người phòng thủ phải bảo vệ 

. Một cuộc chiến vốn dĩ đã bất cân xứng, nay còn thêm phần nghiêng lệch khi hacker ngày càng tinh vi. Vậy làm sao để biết chính xác đối thủ đang dùng chiêu thức gì? Làm thế nào để phân loại, hiểu rõ, và cuối cùng là đón đầu các kỹ thuật tấn công?

MITRE ATT&CK framework xuất hiện như một "từ điển hacker" - tóm gọn, phân loại và mô tả chi tiết các chiến thuật, kỹ thuật tấn công từng được sử dụng trong thế giới thực. Nhưng đừng vội tưởng tượng nó chỉ là một danh sách khô khan - MITRE ATT&CK còn là kim chỉ nam, là bản đồ giúp các chuyên gia bảo mật như chúng ta định vị chính xác mình đang ở đâu trong hành trình nâng cao năng lực phòng thủ.

Dưới đây là những gì bạn sẽ học được trong bài viết này:

MITRE ATT&CK là gì và tại sao nó trở thành "văn bản thánh kinh" của cộng đồng an ninh mạng

Cấu trúc và thành phần của MITRE ATT&CK: Tactics, Techniques và Procedures

Áp dụng MITRE ATT&CK vào quy trình bảo mật thực tế của tổ chức

So sánh MITRE ATT&CK với các framework bảo mật khác (Cyber Kill Chain, NIST CSF)

"Hidden gems" - những mẹo vàng khi triển khai MITRE ATT&CK

MITRE ATT&CK là gì và vì sao nó quan trọng?

Adversarial Tactics, Techniques & Common Knowledge

 toàn diện mô tả hành vi của kẻ tấn công mạng, bao gồm các 

 (techniques) cụ thể mà hacker sử dụng trong các cuộc tấn công thực tế.

Nói đơn giản, MITRE ATT&CK giống như một "sổ tay" ghi lại 

, một bản đồ chi tiết về những gì kẻ tấn công có thể làm ở từng giai đoạn tấn công. Framework này không chỉ liệt kê các kỹ thuật mà còn cung cấp thông tin về cách phát hiện, ngăn chặn và ứng phó với chúng.

Trong thế giới bảo mật đầy thuật ngữ và chuẩn mực khác nhau, MITRE ATT&CK đã tạo ra một 

, một hệ thống phân loại thống nhất giúp các chuyên gia trên toàn cầu giao tiếp hiệu quả về các mối đe dọa.

Minh họa: Ma trận MITRE ATT&CK với các chiến thuật (cột) và kỹ thuật tấn công (ô)

MITRE ATT&CK được tổ chức thành ba thành phần chính:

: Đại diện cho mục tiêu của kẻ tấn công ở mỗi giai đoạn. Hiện tại, ma trận ATT&CK cho Enterprise có 14 chiến thuật chính, từ Trinh sát (Reconnaissance), Xâm nhập ban đầu (Initial Access) đến Trục xuất dữ liệu (Exfiltration). Mỗi chiến thuật trả lời câu hỏi "kẻ tấn công đang cố gắng làm gì?"

: Là những phương pháp cụ thể mà kẻ tấn công sử dụng để đạt được mục tiêu của một chiến thuật. Ví dụ, dưới chiến thuật "Initial Access" có các kỹ thuật như Phishing, Drive-by Compromise, Valid Accounts... Mỗi kỹ thuật trả lời câu hỏi "làm thế nào họ đạt được mục tiêu đó?"

: Là các biến thể chi tiết hơn của một kỹ thuật. Ví dụ, kỹ thuật Phishing có thể bao gồm các tiểu kỹ thuật như Spearphishing Attachment, Spearphishing Link...

Sức mạnh thực sự của MITRE ATT&CK nằm ở việc nó không chỉ mô tả các kỹ thuật tấn công, mà còn 

Mô tả chi tiết về cách thức hoạt động

Các ví dụ trong thế giới thực (các nhóm APT đã sử dụng)

Tại sao MITRE ATT&CK là game-changer trong cộng đồng bảo mật?

MITRE ATT&CK không phải concept mới - các chuyên gia bảo mật luôn tìm cách phân loại và hiểu hành vi tấn công. Tuy nhiên, ATT&CK đã mang lại nhiều giá trị đột phá:

: Không phải lý thuyết suông, mà được xây dựng từ phân tích hàng nghìn cuộc tấn công thực tế.

: Được cộng đồng đóng góp và MITRE duy trì, đảm bảo phản ánh các kỹ thuật tấn công mới nhất.

: Ai cũng có thể truy cập, không phụ thuộc vào nhà cung cấp hay công nghệ cụ thể.

: Cả red team (tấn công) và blue team (phòng thủ) đều sử dụng cùng một tập từ vựng, giúp giao tiếp rõ ràng hơn.

Ở CyberJutsu, chúng tôi nhận thấy rằng hiểu MITRE ATT&CK không chỉ là "nice-to-have" mà đã trở thành 

 cho các chuyên gia bảo mật hiện đại. Khi bạn nắm vững framework này, bạn không chỉ hiểu đối thủ đang làm gì, mà còn có thể đoán trước bước tiếp theo của họ - như một bậc thầy cờ vua luôn đi trước đối phương vài nước.

Cách tích hợp MITRE ATT&CK vào quy trình bảo mật thực tế

Hiểu về MITRE ATT&CK là một chuyện, nhưng áp dụng nó vào quy trình vận hành thực tế lại là một thử thách khác. Nhiều tổ chức gặp khó khăn vì framework này quá rộng - hàng trăm kỹ thuật có thể khiến bạn cảm thấy ngợp. Tuy nhiên, với một cách tiếp cận có phương pháp, MITRE ATT&CK có thể trở thành công cụ cực kỳ hữu hiệu.

1. Đánh giá hiện trạng phòng thủ của tổ chức

Bước đầu tiên là hiểu rõ bạn đang đứng ở đâu. Hãy thực hiện một cuộc rà soát để 

mapping các kiểm soát bảo mật hiện có

Liệt kê tất cả các giải pháp bảo mật hiện tại (firewall, IDS/IPS, EDR, SIEM...)

Với mỗi giải pháp, xác định kỹ thuật ATT&CK nào mà nó có thể phát hiện hoặc ngăn chặn

Tô màu các kỹ thuật trên ma trận ATT&CK - ví dụ: xanh cho "có thể phát hiện", vàng cho "phát hiện một phần", đỏ cho "không thể phát hiện"

 về khả năng phòng thủ, từ đó dễ dàng nhận ra những khoảng trống lớn nhất. Đây là điều mà một SOC Lead đã chia sẻ trong một diễn đàn: 

"Chỉ cần nửa ngày làm việc với sự phối hợp của các nhóm (mạng, SOC, hệ thống), chúng tôi đã lập được ma trận coverage vs. ATT&CK, và bất ngờ phát hiện ra nhiều kỹ thuật Lateral Movement chúng tôi hoàn toàn không theo dõi được."

Tag: Blue Team