BLUETEAM 2025

Giới thiệu

Trong module này, bạn sẽ bước vào thế giới thực của Trung tâm Giám sát An ninh (Security Operations Center – SOC), nơi hàng trăm cảnh báo xuất hiện mỗi ngày, và nhiệm vụ của Analyst là phân biệt đâu là mối đe dọa thật, đâu là cảnh báo giả.

Mục tiêu

Giúp bạn hiểu cấu trúc cơ bản của một cảnh báo (alert) trong hệ thống SOC. Biết cách thực hiện bước đánh giá nhanh (triage) ban đầu – đánh giá nhanh cảnh báo là thật, giả hay cần thêm thông tin. Phân biệt được True Positive (TP) và False Positive (FP) trong công việc hằng ngày.

Introduction to Network Security Monitoring

Trong Module này, bạn sẽ tìm hiểu cách SOC Analyst theo dõi, phát hiện và điều tra các mối đe dọa dựa trên luồng mạng (network traffic) thay vì chỉ dựa vào cảnh báo từ hệ thống bảo mật. Công cụ được sử dụng là Zeek Network Security Monitor – một nền tảng mã nguồn mở mạnh mẽ, giúp trích xuất và ghi lại thông tin chi tiết từ các gói tin mạng: DNS, HTTP, SSL, SMB, v.v. Mục tiêu: Hiểu cấu trúc cơ bản của log Zeek và cách chúng hỗ trợ phát hiện mối đe dọa. Thực hành đọc và diễn giải các trường quan trọng trong conn.log, dns.log, và http.log. Xây dựng tư duy “network-first” khi điều tra sự kiện an ninh. Phân biệt giữa lưu lượng hợp lệ và lưu lượng nghi ngờ.

Network Traffic Analysis

Sau khi đã học cách phát hiện hoạt động bất thường qua Zeek logs trong Module 2, ở Module 3 bạn sẽ học cách mở gói tin thật (PCAP) để quan sát dữ liệu chi tiết trong từng phiên kết nối. Giúp bạn trả lời câu hỏi quan trọng mà log không cho biết:“Thực ra gói tin này đang truyền cái gì?” Bạn sẽ dùng Wireshark để: Theo dõi nội dung trong các phiên beaconing Kiểm tra payload của các file độc hại Xác nhận tấn công bị block hay vẫn thành công. Mục tiêu: Hiểu cấu trúc cơ bản của gói tin mạng trong PCAP. Biết cách sử dụng Wireshark để lọc, follow stream, trích xuất dữ liệu. Phân tích hai tình huống thực tế:

Phishing and Malware Detection

Phishing (lừa đảo qua email) vẫn là con đường tấn công phổ biến nhất để kẻ xấu xâm nhập hệ thống doanh nghiệp. Trong Module này, bạn sẽ học cách: Phát hiện chuỗi tấn công bắt đầu từ email, Nhận diện hành vi của malware sau khi người dùng vô tình mở file độc hại, Phối hợp dữ liệu từ Zeek, Endpoint, và Email logs để xác định nguồn gốc (initial vector). Phần lớn các vụ tấn công bắt đầu chỉ từ một cú click — nhiệm vụ của SOC Analyst là hiểu và cắt đứt chuỗi đó trước khi nó lan rộng. Mục tiêu: Hiểu chuỗi tấn công điển hình: Phishing → Execution → C2 → Detection. Xác định các chỉ báo tấn công (IOC) trong email, file, và network log. Thực hành điều tra 2 tình huống thật: Zeek phát hiện DNS độc hại xuất phát từ macro Excel tải qua phishing email. Endpoint phát hiện Powershell độc hại từ ứng dụng Python giả mạo (fake recruiter test). Học cách phân biệt dấu hiệu nghi ngờ (red flags) trong tình huống thực tế.

Web Application Security

Ứng dụng web là “cửa trước” của mọi tổ chức – cũng là nơi hacker tấn công nhiều nhất. Trong môi trường thực tế, SOC không đi xem từng log WAF, mà chỉ vào cuộc khi một sự kiện lớn xuất hiện, ví dụ: Dữ liệu bị rò rỉ Endpoint server bị cảnh báo mã độc Outbound kết nối đến domain lạ Mục tiêu: Giúp bạn hiểu cách SOC Analyst phát hiện, điều tra và xử lý các cuộc tấn công vào ứng dụng web Luyện tư duy từ dấu hiệu ban đầu đến nguyên nhân gốc và phản ứng phù hợp.

Giới thiệu

Phân tích log là kỹ năng cốt lõi của mọi SOC Analyst. Mọi hành động trong hệ thống — từ đăng nhập, tải file, gửi email, đến thực thi lệnh - đều để lại dấu vết trong log. Hiểu log giúp bạn nắm bắt dòng thời gian sự kiện, phát hiện bất thường, và xác định root cause của sự cố bảo mật.

Mục tiêu

Hiểu các loại log và giá trị của chúng trong phân tích sự cố. Nắm được lý thuyết phân tích log: timeline, timestamp, visualization, correlation. Nhận diện được các pattern bất thường thường gặp. Biết sử dụng CLI tool (cat, tail, grep, awk, sed…) để đọc và lọc log. Biết cách dùng CyberChef để giải mã và trích xuất thông tin ẩn trong log hoặc email. Thực hành phân tích 2 case thực tế: web server bị cryptojacking và email phishing encoded.

Tổng quan về SOC và SIEM trong doanh nghiệp

Giới thiệu Splunk cho Blueteam

Cài đặt Splunk nhanh (local, docker, hoặc trial cloud)

Cấu trúc dữ liệu Splunk: index, sourcetype, fields, _raw, _time

Viết SPL cơ bản: search, stats, timechart, eval, spath, lookup

Nguyên tắc tối ưu câu lệnh tìm kiếm

Mục tiêu

Phát triển kỹ năng phân tích log có hệ thống và tạo rule SIEM. Học cách xác định mô hình tấn công thông qua tương quan và phân tích hành vi thay vì dựa vào signature. Phân tích system log để tái tạo timeline tấn công Viết rule phát hiện SIEM tùy chỉnh dựa trên hành vi tấn công Phân biệt hành vi process bình thường và độc hại Thực hiện phát hiện và ứng phó tấn công brute-force

Giới thiệu

Trong môi trường SOC, mỗi cảnh báo chỉ là phần nổi của tảng băng. Để ngăn tái diễn, Analyst không thể chỉ xác nhận “True Positive”, mà phải hiểu sâu nguyên nhân gốc (Root Cause) — tức là lỗ hổng, hành vi, hay quy trình nào cho phép tấn công xảy ra. Module này hướng dẫn cách sử dụng phương pháp Five Ws (Who, What, When, Where, Why) để điều tra toàn diện một alert. Five Ws giúp SOC Analyst trả lời 5 câu hỏi đơn giản, nhưng bao trùm toàn bộ sự cố.

Mục tiêu

Áp dụng framework Five Ws để điều tra và tường thuật lại alert. Xác định được nguyên nhân gốc (root cause) của sự cố. Phân biệt giữa triệu chứng – nguyên nhân – hậu quả. Ghi chép và báo cáo kết quả điều tra một cách có hệ thống.

Giới thiệu

Sau khi xâm nhập được vào một máy tính trong mạng nội bộ, kẻ tấn công hiếm khi dừng lại. Chúng thường di chuyển ngang (lateral movement) - lợi dụng thông tin đăng nhập, chia sẻ mạng, RDP, hoặc lỗ hổng nội bộ để xâm nhập thêm nhiều hệ thống khác, đặc biệt là server hoặc domain controller. Mục tiêu của SOC Analyst là phát hiện sớm hành vi di chuyển ngang trước khi attacker đạt quyền cao hoặc mã hóa toàn mạng.

Mục tiêu

Hiểu khái niệm và kỹ thuật di chuyển ngang (lateral movement). Nhận biết các dấu hiệu (indicators) của lateral movement trong log. Sử dụng log phân tích để xác định chuỗi xâm nhập giữa các hệ thống. Thực hành điều tra và phản ứng qua hai case study thực tế.

Giới thiệu

Tổng kết học phần một, định hướng phát triển tương lai về nghề nghiệp và quá trình học tập