Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Lộ trình xin việc An ninh mạng Tình báo (Intelligence Network Security / Threat Intelligence)

An ninh mạng Tình báo (Cyber Threat Intelligence - CTI) là gì?

Là lĩnh vực **thu thập, xử lý, phân tích, và chia sẻ thông tin** về các mối đe dọa mạng (Threat Actors, TTPs - Tactics Techniques Procedures, IOCs - Indicators of Compromise, Malware, Vulnerabilities, Campaigns) để **hỗ trợ quyết định bảo vệ chủ động (Proactive Defense)** cho tổ chức. Không chỉ "xem log", mà là "hiểu kẻ thù".

Các vai trò chính trong Cyber Threat Intelligence (CTI)

Vai tròMô tảKỹ năng then chốt
Threat Intelligence Analyst (Analyst Tình báo Đe dọa)Thu thập (OSINT, Closed sources, Dark web), xử lý, phân tích, sản xuất báo cáo (Strategic, Operational, Tactical), chia sẻ (STIX/TAXII, MISP).OSINT, Malware Analysis (Basic), MITRE ATT&CK, STIX/TAXII, MISP, OpenCTI, Report Writing, Briefing.
Threat Hunter (Kẻ săn đe dọa)Chủ động tìm kiếm dấu hiệu xâm nhập (IOC, TTP, Anomaly) trong môi trường nội bộ dựa trên Threat Intel. Cầu nối CTI & Detection Engineering.EDR/NDR/SIEM Query (KQL, Splunk SPL, Elastic DSL), MITRE ATT&CK Expert, Hypothesis-driven hunting, Python/Scripting.
Malware Analyst / Reverse EngineerPhân tích tĩnh/động mã độc (Static/Dynamic Analysis), unpacking, deobfuscation, C2 extraction, Capability assessment, YARA rule writing.Assembly (x86/x64/ARM), IDA Pro/Ghidra, x64dbg/WinDbg, C/C++, YARA, Volatility, CAPE Sandbox.
Threat Intelligence Engineer / Platform EngineerXây dựng, vận hành nền tảng TIP (Threat Intelligence Platform), tự động hóa thu thập/enrichment/sharing, API integration (SIEM, SOAR, Firewall, EDR).Python/Go, Docker/K8s, API/REST/GraphQL, MISP/OpenCTI/STIX/TAXII, Kafka/Elastic, CI/CD.
Strategic Threat Intelligence AnalystPhân tích xu hướngmacro: Geopolitics, APT attribution, Industry targeting, Regulatory impact. Báo cáo cho CISO/Board.Geopolitics, Risk Management, Executive Communication, Long-term forecasting, Language skills (Ru, Cn, Ir, Nk).

Lộ trình xin việc CTI (Từ Entry đến Expert)

🟢 Giai đoạn 1: Xây nền tảng (0-1 năm) - "Hiểu cảnh quan & Công cụ"

  • Kiến thức cốt lõi: Networking (TCP/IP, DNS, HTTP, TLS), OS (Linux/Windows Internals), Scripting (Python - bắt buộc), Virtualization/Cloud basics.
  • Framework & Chuẩn: **MITRE ATT&CK** (học thuộc Enterprise Matrix), **Diamond Model**, **Cyber Kill Chain**, **STIX/TAXII**, **MISP**.
  • OSINT (Open Source Intelligence): Làm quen công cụ: Maltego, SpiderFoot, theHarvester, Shodan, Censys, VirusTotal, Hybrid Analysis, URLhaus, AlienVault OTX, Twitter/X (Infosec community), RSS Feeds (Vendor blogs, CERTs).
  • Chứng chỉ Entry: **CompTIA Security+**, **(ISC)² CC**, **eJPT (eLearnSecurity Junior Penetration Tester)**, **GCTI (GIAC Cyber Threat Intelligence) - nếu có ngân sách SANS**.
  • Thực hành: Setup **MISP / OpenCTI** tại nhà (Docker). Thu thập IOC từ feed miễn phí → Import → Enrichment → Tạo báo cáo Tactical hàng tuần. Viết blog/writeup phân tích 1 campaign/malware đơn giản.

🟡 Giai đoạn 2: Chuyên sâu Technical CTI (1-3 năm) - "Làm tay, sản xuất Intel"

  • Malware Analysis Cơ bản -> Nâng cao: Practical Malware Analysis (Book), Malware-Traffic-Analysis.net (PCAP exercises), ANY.RUN / Hybrid Analysis / Joe Sandbox / CAPE. Viết YARA rules.
  • Threat Hunting Cơ bản: Sử dụng Elastic/Splunk/Defender ATP query. Làm theo MITRE ATT&CK: "T1059.001 PowerShell" → Hypothesis: "Attacker dùng PowerShell download payload" → Query: `DeviceProcessEvents | where ProcessCommandLine has "Invoke-Expression" and ...` → Investigate.
  • Chứng chỉ Intermediate: **GCTI (Gold standard CTI)**, **GCFA (Forensics)**, **GREM (Malware Rev Eng)**, **CySA+**, **CEH Practical**, **OSCP** (giúp hiểu attacker perspective).
  • Portfolio: GitHub: YARA rules, Sigma rules, Parser/Collector scripts, Analysis Reports (PDF/Markdown), MISP/OpenCTI Docker compose, Threat Hunting Jupyter Notebooks.

🔴 Giai đoạn 3: Senior / Specialized / Lead (3+ năm) - "Chiến lược, Tự động hóa, Lãnh đạo"

  • Chuyên sâu: APT Tracking (APT28, Lazarus, APT41...), Financially Motivated Threat Actors (Ransomware Gangs: LockBit, BlackCat, Cl0p), Supply Chain, Cloud Threats, OT/ICS Threats.
  • Tự động hóa & Engineering: Xây pipeline Intel: Collection (API, Scraper, Feed) → Normalization (STIX) → Enrichment (VT, PassiveTotal, WHOIS, DNS, GeoIP, ASN) → Scoring/Tagging → Dissemination (MISP, OpenCTI, TAXII, SIEM, SOAR, Firewall Blocklist).
  • Threat Intelligence Sharing: Tham gia ISAC/ISAO (Financial: FS-ISAC, Health: H-ISAC, Energy: E-ISAC), FIRST, VN-CERT/CC community. Đóng góp IOC, Report.
  • Chứng chỉ Expert: **GCTI (GIAC)**, **GASF (Advanced Smartphone Forensics)**, **GRTP (Red Team Professional)**, **CISSP**, **CCSP** (Cloud Intel).
  • Soft Skills: Briefing cho C-Suite/Board, Viết báo cáo Strategic/Executive Summary, Stakeholder Management, Vendor Management (Commercial TIP: Mandiant, Recorded Future, CrowdStrike, Intel 471, Flashpoint, QuoInt).

Nơi tìm việc CTI (Job Boards & Community)

  • **LinkedIn:** Từ khóa: "Threat Intelligence", "Cyber Threat Intelligence", "CTI Analyst", "Threat Hunter", "Malware Analyst", "Security Researcher".
  • **Specialized:** **CyberSecJobs.com**, **InfoSec Jobs (infosec-jobs.com)**, **RemoteOK (tag: security)**, **Wellfound (AngelList - Startup)**, **USAJOBS (Gov - FBI, CISA, NSA, DoD)**, **ClearanceJobs (Yêu cầu Security Clearance - US Citizen).
  • **Vendor Career:** Mandiant (Google Cloud), CrowdStrike, Palo Alto (Unit 42), Microsoft (MSTIC), IBM X-Force, FireEye (khu vực), Recorded Future, Intel 471, Flashpoint, Anomali, EclecticIQ, MISP Project (Open Source).
  • **Việt Nam:** TopCV, VietnamWorks, ITviec, LinkedIn VN. Từ khóa: "Threat Intelligence", "Malware Analyst", "SOC Analyst (Senior)", "Security Researcher". Công ty: Viettel Cyber Security, VNPT Security, BKAV, CMC Cyber Security, FPT Telecom/IS, các Ngân hàng lớn (Techcombank, VPBank, MBBank - Security Team), Fintech (MoMo, VNPAY), Cloud/Telecom.
  • **Community:** Discord/Slack: **OSINT Curious**, **Threat Hunters**, **Malware Traffic Analysis**, **MISP Users**, **OpenCTI**, **SANS Instructors/Alumni**, **Vietnam InfoSec Community (Facebook Group, Discord)**.

Mẹo "Đánh trúng" phỏng vấn CTI

  1. Demo Portfolio: Mang theo Laptop/Link GitHub. Demo: "Đây là pipeline tôi tự build thu thập feed X, enrich Y, push vào MISP, generate Sigma rule detect Z".
  2. Case Study: "Phân tích campaign X gần đây: Actor A dùng TTP B, IOC C. Tôi sẽ detect như thế nào trong env của anh/chị (EDR/NDR/SIEM)?"
  3. MITRE ATT&CK Fluency: Biết mapping Technique -> Data Source -> Detection Logic -> Mitigation. Nói được: "Technique T1059.001 cần Data Source: Process Creation (4688), PowerShell Script Block (4104), EDR API".
  4. Hiểu Business Context: "Tại sao Intel này quan trọng cho Bank/Retail/Manufacturing/Healthcare của anh/chị? Rủi ro gì? Ưu tiên gì?"
  5. Câu hỏi ngược (Questions for them): "Team CTI hiện tại quy mô? Tool stack? Tích hợp với SOC/IR như nào? Tham gia ISAC nào? Budget cho Commercial Feed/TIP?"

Kết luận

Vào ngành **Cyber Threat Intelligence** cần: **Nền tảng kỹ thuật vững (Net, OS, Script, Malware Basics) + Tư duy Framework (ATT&CK, Diamond) + Kỹ năng OSINT/Tooling + Portfolio chứng minh năng lực "Làm tay" + Chứng chỉ chuyên ngành (GCTI là vàng)**. Đây là vai trò **High Value, High Impact** - biến dữ liệu thô thành **Intelligence có thể hành động (Actionable Intelligence)** để tổ chức phòng thủ tốt hơn. Tại Việt Nam, nhu cầu đang tăng mạnh tại Ngân hàng, Telco, Gov, Vendor Security, Big Tech.