SOC là gì?

Mục lục

1. SOC là gì?
2. SOC hoạt động như thế nào?
3. SOC gồm những thành phần nào?
4. SOC khác SIEM, NOC và CSIRT ở điểm nào?
5. Một ca SOC thực tế trông như thế nào?
6. Vì sao tốc độ phát hiện là thước đo của SOC?
7. SOC có những mô hình triển khai nào?
8. SOC cần những nguồn log nào để thực sự có tác dụng?
9. SOC mang lại gì cho doanh nghiệp Việt Nam?
10. Ưu điểm và hạn chế của SOC
11. Khi nào doanh nghiệp nên và chưa nên có SOC?
12. Câu hỏi thường gặp

SOC là gì?

SOC là viết tắt của Security Operations Center, tiếng Việt gọi là trung tâm điều hành an ninh mạng, hay trung tâm giám sát an ninh mạng. Theo cách mô tả của Microsoft, đây là một bộ phận chức năng tập trung chịu trách nhiệm ngăn chặn, phát hiện và ứng phó với các mối đe dọa. Phạm vi giám sát gồm danh tính, thiết bị đầu cuối, máy chủ, cơ sở dữ liệu, ứng dụng mạng và website.

Nói gọn, SOC trả lời liên tục ba câu hỏi: có gì bất thường đang xảy ra trong hệ thống không, nó nghiêm trọng đến đâu, và ai làm gì để chặn nó ngay bây giờ. Đây là phần “vận hành hằng ngày” của an toàn thông tin. Các chính sách, cấp độ hệ thống hay chứng nhận chỉ đặt khung. SOC là nơi khung đó được kiểm chứng mỗi giờ.

SOC không nhất thiết là một căn phòng có tường màn hình. Với nhiều doanh nghiệp, SOC là một nhóm vài người làm việc từ xa, cùng một hệ thống tiếp nhận cảnh báo và một quy trình xử lý được viết sẵn. Điều quyết định là có người nhìn cảnh báo và có quyền hành động, không phải số màn hình.

SOC hoạt động như thế nào?

Một ca trực SOC đi theo một chuỗi khá cố định. Sự khác biệt giữa SOC tốt và SOC kém nằm ở chất lượng từng mắt xích, không phải ở số công cụ.

Bước 1–2: từ log thô đến cảnh báo

SOC thu thập log từ tường lửa, máy chủ, thiết bị đầu cuối, dịch vụ danh tính, email và đám mây. Các log này có định dạng khác nhau nên phải chuẩn hoá về một lược đồ chung. Sau đó các luật tương quan (correlation rule) mới ghép được các sự kiện đơn lẻ. Ví dụ, một lần đăng nhập sai không đáng chú ý, nhưng 40 lần sai liên tiếp rồi một lần thành công từ địa chỉ IP nước ngoài là một cảnh báo.

Bước 3–4: phân loại và điều tra

Phần lớn cảnh báo là báo động giả (false positive) hoặc sự kiện lành tính. Analyst tuyến đầu loại chúng đi và chuyển những cảnh báo đáng ngờ lên tuyến sau. Khi điều tra, họ thường đối chiếu hành vi với khung MITRE ATT&CK, bộ phân loại chiến thuật và kỹ thuật tấn công được cộng đồng bảo mật dùng rộng rãi. Nhờ đó họ biết kẻ tấn công đang ở giai đoạn nào: mới truy cập, đang leo quyền hay đang di chuyển ngang.

Bước 5–6: ứng phó và cải tiến

Ứng phó là hành động cụ thể: khoá tài khoản, thu hồi phiên đăng nhập, cách ly máy khỏi mạng, chặn một địa chỉ hoặc tên miền. Sau sự cố, nhóm viết lại luật phát hiện để lần sau bắt sớm hơn. Bước này hay bị bỏ qua nhất, và đó là lý do nhiều SOC cứ gặp lại cùng một kiểu báo động giả mỗi tuần.

SOC gồm những thành phần nào?

SOC gồm ba lớp: con người, quy trình và công nghệ. Thiếu một lớp thì lớp còn lại không phát huy được.

Con người và các tuyến (tier)

• Tier 1 (analyst tuyến đầu): theo dõi hàng đợi cảnh báo, lọc nhiễu, xếp mức ưu tiên.
• Tier 2 (người ứng phó sự cố): điều tra sâu, xác định phạm vi ảnh hưởng, thực hiện cô lập.
• Tier 3 (chuyên gia, threat hunter): chủ động săn tìm dấu vết mà luật chưa bắt được, phân tích mã độc, viết luật phát hiện mới.
• Quản lý SOC: điều phối ca trực, báo cáo lên lãnh đạo, làm đầu mối với bộ phận CNTT và pháp chế.

Doanh nghiệp nhỏ thường gộp Tier 1 và Tier 2 vào cùng một người. Điều quan trọng là phân rõ ai được quyền cô lập một máy chủ đang chạy nghiệp vụ.

Quy trình

Quy trình gồm playbook (kịch bản xử lý theo từng loại sự cố như đăng nhập lạ, mã độc, rò rỉ dữ liệu), ma trận mức độ nghiêm trọng, quy tắc leo thang và mẫu báo cáo sự cố. Một playbook tốt ghi rõ điều kiện kích hoạt, các bước kiểm tra theo thứ tự và hành động nào cần phê duyệt.

Công nghệ

Công cụ	Vai trò trong SOC	Ví dụ dữ liệu xử lý
SIEM (quản lý sự kiện và thông tin an ninh)	Gom log, tương quan, phát cảnh báo, lưu bằng chứng	Log đăng nhập, tường lửa, máy chủ
EDR/XDR	Quan sát và cô lập thiết bị đầu cuối, mở rộng sang email, danh tính, đám mây	Tiến trình, tệp, kết nối mạng trên máy
NDR	Phát hiện bất thường trong lưu lượng mạng	Luồng mạng nội bộ
SOAR	Tự động hoá các bước lặp lại trong playbook	Tra cứu IP, khoá tài khoản, tạo ticket
Threat intelligence	Cung cấp chỉ báo xâm nhập (IoC) để đối chiếu	Địa chỉ IP, tên miền, mã băm độc hại
UEBA	Phát hiện hành vi người dùng lệch khỏi thói quen	Giờ đăng nhập, khối lượng tải dữ liệu

EDR là công cụ chính ở lớp thiết bị đầu cuối. Phần này đã có bài riêng về bảo mật thiết bị đầu cuối. Trong SOC, EDR vừa là nguồn dữ liệu vừa là “cánh tay” để cô lập máy.

SOC khác SIEM, NOC và CSIRT ở điểm nào?

Bốn khái niệm này hay bị trộn lẫn. Bảng dưới tách chúng theo bản chất.

Tiêu chí	SOC	SIEM	NOC	CSIRT
Bản chất	Chức năng vận hành (người, quy trình, công cụ)	Phần mềm	Chức năng vận hành hạ tầng	Đội xử lý sự cố
Câu hỏi chính	Có bị tấn công không, xử lý thế nào?	Sự kiện nào liên quan nhau?	Mạng và máy chủ có chạy ổn không?	Sự cố đã xảy ra thì khắc phục ra sao?
Thời gian làm việc	Thường liên tục	Chạy liên tục, cần người đọc	Thường liên tục	Có thể trực theo yêu cầu
Quan hệ	Dùng SIEM làm công cụ trung tâm	Một phần của SOC	Phối hợp với SOC khi sự cố ảnh hưởng dịch vụ	Thường nằm trong hoặc phối hợp với SOC

Microsoft nêu rõ cách phân vai: SOC tập trung vào mối đe dọa an ninh mạng, còn NOC quản lý hiệu suất và trạng thái sẵn sàng của hạ tầng CNTT. Ranh giới này quan trọng vì một máy chủ chậm bất thường có thể là lỗi ổ đĩa (việc của NOC) hoặc một tiến trình đào tiền ảo (việc của SOC). Hai đội cần chung kênh trao đổi.

Một ca SOC thực tế trông như thế nào?

Một công ty phân phối có 200 nhân viên dùng email trên đám mây. Lúc 02:10 sáng, SIEM phát cảnh báo: tài khoản kế toán trưởng đăng nhập thành công từ một quốc gia mà công ty không có hoạt động, trong khi 40 phút trước tài khoản này vừa đăng nhập tại Hà Nội. Đây là dấu hiệu “di chuyển bất khả thi” (impossible travel).

1. Analyst Tier 1 kiểm tra log: lần đăng nhập mới không qua xác thực đa yếu tố, và ngay sau đó có một quy tắc chuyển tiếp email tự động tới địa chỉ bên ngoài.
2. Quy tắc chuyển tiếp là dấu hiệu quen thuộc của chiếm đoạt hộp thư, thường theo sau một vụ lừa đảo phishing lấy mật khẩu. Cảnh báo được nâng lên Tier 2.
3. Tier 2 thu hồi toàn bộ phiên đăng nhập, đặt lại mật khẩu, xoá quy tắc chuyển tiếp và rà soát những thư đã bị chuyển đi.
4. Sáng hôm sau, SOC báo cáo cho quản lý, đề xuất bắt buộc xác thực đa yếu tố cho nhóm tài chính và thêm luật cảnh báo mọi quy tắc chuyển tiếp ra ngoài.

Trong ví dụ này, giá trị của SOC nằm ở khoảng cách giữa cảnh báo và hành động. Nếu cảnh báo chỉ nằm trong hộp thư của một kỹ thuật viên đang ngủ, nó không có tác dụng.

Vì sao tốc độ phát hiện là thước đo của SOC?

Theo báo cáo Cost of a Data Breach 2025 của IBM, thời gian trung bình để nhận diện một vụ xâm phạm là 181 ngày, và thêm 60 ngày để khống chế. Tổng vòng đời là 241 ngày, mức thấp nhất trong chín năm. Đây là số trung bình toàn cầu, không phải số của riêng doanh nghiệp Việt Nam. Dù vậy nó cho thấy kẻ tấn công thường có nhiều tháng để hoạt động trước khi bị phát hiện.

Từ đó SOC thường được đánh giá bằng hai chỉ số:

• MTTD (mean time to detect): thời gian trung bình từ lúc sự cố bắt đầu đến lúc SOC phát hiện.
• MTTR (mean time to respond): thời gian trung bình từ lúc phát hiện đến lúc khống chế. Chữ R có nơi hiểu là “recover” (khôi phục), nên khi nhận báo cáo từ nhà cung cấp bạn phải hỏi họ định nghĩa thế nào.

Ngoài ra nên theo dõi tỷ lệ báo động giả và số cảnh báo tồn đọng cuối ca. Nếu tỷ lệ báo động giả cao, analyst sẽ quen bỏ qua cảnh báo, và đó là kịch bản nguy hiểm hơn việc thiếu công cụ.

IBM 2025 cũng ghi nhận các tổ chức dùng rộng rãi AI và tự động hoá trong bảo mật rút ngắn vòng đời vụ xâm phạm so với nhóm không dùng. Mức rút ngắn được các nguồn thứ cấp trích dẫn khác nhau (68 hoặc 80 ngày), nên bạn nên đọc trực tiếp báo cáo gốc nếu cần con số chính xác.

SOC có những mô hình triển khai nào?

SOC nội bộ

Doanh nghiệp tự tuyển người, tự mua công cụ, tự viết playbook. Ưu điểm là hiểu sâu nghiệp vụ và giữ dữ liệu log trong tay. Nhược điểm là chi phí cố định cao và khó giữ chân nhân sự giỏi.

SOC thuê ngoài (managed SOC, MSSP)

Nhà cung cấp dịch vụ bảo mật được quản lý (MSSP) cử analyst giám sát hệ thống của bạn. Bạn trả phí định kỳ thay vì tuyển cả đội. Cần làm rõ trong hợp đồng: nguồn log nào được giám sát, thời gian phản hồi cam kết, ai được phép cô lập thiết bị, và dữ liệu log nằm ở đâu. Phần cam kết dịch vụ có thể đối chiếu với bài về SLA.

SOC lai (co-managed)

Đội nội bộ trực giờ hành chính và xử lý sự cố liên quan nghiệp vụ, còn nhà cung cấp trực đêm và cuối tuần. Đây là mô hình phổ biến khi doanh nghiệp đã có vài kỹ sư an ninh nhưng chưa đủ để trực liên tục.

Vì sao trực 24/7 tốn nhân sự?

Một tuần có 168 giờ, trong khi một nhân viên làm khoảng 40 giờ. Phép chia đơn giản cho thấy cần ít nhất khoảng 4,2 người để phủ kín một vị trí trực, chưa tính nghỉ phép, ốm đau hay đào tạo. Đây là phép tính minh hoạ, không phải biên chế chuẩn. Nó giải thích vì sao doanh nghiệp có 1–2 người bảo mật thường không tự trực được liên tục.

SOC cần những nguồn log nào để thực sự có tác dụng?

Một SOC chỉ thấy những gì nó được cấp dữ liệu. Với doanh nghiệp vừa, thứ tự ưu tiên thường như sau:

1. Danh tính: log đăng nhập của dịch vụ thư mục, email đám mây, VPN. Phần lớn sự cố bắt đầu từ tài khoản bị lộ.
2. Thiết bị đầu cuối và máy chủ: telemetry từ EDR, log hệ điều hành.
3. Biên mạng: log tường lửa và proxy, cho thấy kết nối ra ngoài bất thường.
4. Ứng dụng và cơ sở dữ liệu quan trọng: hệ thống kế toán, ERP, cổng thanh toán.
5. Đám mây: log kiểm toán của nền tảng cloud, nhất là các thao tác tạo khoá truy cập và thay đổi quyền.

Hai lỗi hay gặp là thu thập mọi thứ rồi chìm trong dung lượng và chi phí lưu trữ, hoặc quên đồng bộ giờ giữa các thiết bị nên dòng thời gian sự cố bị lệch và analyst không ghép được diễn biến. Hãy kiểm tra đồng bộ giờ (NTP) ngay khi nối nguồn log đầu tiên.

SOC mang lại gì cho doanh nghiệp Việt Nam?

Với hệ thống thông tin được phân loại theo cấp độ (Nghị định 85/2016/NĐ-CP chia thành năm cấp), hệ thống cấp càng cao thì yêu cầu về giám sát và ứng phó càng chặt. SOC là cách thực tế để đáp ứng phần giám sát liên tục đó. Khi doanh nghiệp xây hệ thống quản lý theo ISO 27001, nhật ký giám sát và hồ sơ xử lý sự cố của SOC cũng là bằng chứng đánh giá. Khung rộng hơn về phòng vệ có trong bài về an ninh mạng.

Các tình huống SOC phát huy rõ nhất ở doanh nghiệp Việt gồm: chiếm đoạt hộp thư để lừa chuyển khoản, mã hoá dữ liệu bằng ransomware vào đêm cuối tuần, và tài khoản quản trị bị dùng từ bên ngoài giờ làm việc. Cả ba đều xảy ra khi không ai ngồi trước màn hình.

Nếu hệ thống của bạn có dữ liệu cá nhân của khách hàng, thời gian phát hiện còn liên quan đến việc thông báo sự cố cho cơ quan chức năng. Chi tiết nghĩa vụ nằm ở bài về bảo vệ dữ liệu cá nhân. Điểm áp dụng riêng cho SOC là log phải đủ chi tiết để xác định dữ liệu nào bị truy cập.

Ưu điểm và hạn chế của SOC

Ưu điểm	Hạn chế
Phát hiện sớm hơn nhờ giám sát tập trung và tương quan nhiều nguồn	Chi phí nhân sự và công cụ lớn, nhất là khi trực 24/7
Ứng phó có quy trình, giảm phụ thuộc vào một cá nhân	Cần thời gian tinh chỉnh luật, giai đoạn đầu nhiều báo động giả
Có bằng chứng và nhật ký phục vụ điều tra, đánh giá, kiểm toán	Chỉ thấy những gì có log, vùng không giám sát vẫn mù
Cung cấp số liệu cho lãnh đạo ra quyết định đầu tư bảo mật	Với mô hình thuê ngoài, phải chia sẻ dữ liệu log và phụ thuộc nhà cung cấp

SOC cũng không thay cho các lớp phòng ngừa. Nếu hệ thống không có xác thực mạnh, không vá lỗi và không phân quyền chặt, SOC sẽ bận xử lý những sự cố lẽ ra không xảy ra. Hướng tiếp cận zero trust giúp giảm lượng sự cố từ gốc, còn SOC xử lý phần còn sót lại.

Khi nào doanh nghiệp nên và chưa nên có SOC?

Nên cân nhắc SOC khi

• Doanh nghiệp vận hành hệ thống chạy 24/7 như thương mại điện tử, thanh toán, logistics, y tế, hoặc có dữ liệu khách hàng lớn.
• Hệ thống thuộc diện phải phân cấp độ cao hoặc có khách hàng, đối tác yêu cầu bằng chứng giám sát.
• Đã từng có sự cố mà phải mất nhiều ngày mới biết, hoặc biết từ khách hàng chứ không từ hệ thống nội bộ.

Chưa cần SOC đầy đủ khi

• Doanh nghiệp còn thiếu nền tảng cơ bản: chưa bật xác thực đa yếu tố, chưa sao lưu, chưa có danh mục tài sản. Khi đó nên làm những việc này trước.
• Quy mô nhỏ, dữ liệu ít nhạy cảm. Gói giám sát EDR có quản lý và log tập trung có thể là bước đầu hợp lý hơn một SOC trọn gói.

Cũng cần phân biệt SOC với việc phục hồi sau sự cố. SOC phát hiện và khống chế, còn khôi phục hoạt động nghiệp vụ thuộc kế hoạch khôi phục thảm hoạ. Hai bên nên có chung kịch bản cho trường hợp mất dữ liệu.

Câu hỏi thường gặp

SOC viết tắt của gì?

SOC là viết tắt của Security Operations Center. Có tài liệu viết Security Operation Center, nhưng cả hai đều chỉ cùng một khái niệm. Tiếng Việt gọi là trung tâm điều hành an ninh mạng hoặc trung tâm giám sát an ninh mạng.

Có SIEM là có SOC chưa?

Chưa. SIEM là phần mềm gom và tương quan log. SOC là toàn bộ chức năng gồm người đọc cảnh báo, quy trình xử lý và quyền hành động. SIEM không có người trực sẽ chỉ tạo ra cảnh báo không ai đọc.

Doanh nghiệp nhỏ có cần SOC không?

Không nhất thiết phải tự xây. Nhiều doanh nghiệp nhỏ bắt đầu bằng EDR có quản lý và log đăng nhập email, danh tính được giám sát bởi nhà cung cấp. Nếu sự cố có thể làm đình trệ kinh doanh hoặc lộ dữ liệu khách hàng, nên xem xét SOC thuê ngoài.

SOC khác NOC thế nào?

NOC giữ cho mạng và hạ tầng chạy ổn định, đo hiệu năng và thời gian hoạt động. SOC tìm và xử lý mối đe dọa an ninh. Hai đội cần phối hợp vì một sự cố có thể vừa làm hệ thống chậm vừa là dấu hiệu tấn công.

MTTD bao nhiêu là tốt?

Không có ngưỡng chung cho mọi tổ chức. Khảo sát SANS 2023 về ứng phó sự cố được trích dẫn là 25% tổ chức tốt nhất phát hiện sự cố trong vòng 60 phút. Con số của IBM 2025 lại là trung bình 181 ngày. Hãy đo MTTD của chính bạn qua các bài diễn tập và sự cố thật, rồi theo dõi xu hướng thay vì so với một con số bên ngoài.

Có nên thuê SOC ở nước ngoài không?

Có thể, nhưng cần kiểm tra nơi lưu log, quyền truy cập của analyst vào hệ thống của bạn, ngôn ngữ và múi giờ của ca trực, và cách nhà cung cấp xử lý dữ liệu có chứa thông tin cá nhân. Những điểm này nên ghi rõ trong hợp đồng trước khi kết nối nguồn log.