Network Security Analyst - Thực tế ngày ngày (Beyond Job Description)
Job description thường viết: "Giám sát SIEM, điều tra alert, viết báo cáo". Thực tế thì một Analyst (đặc biệt SOC L2/L3) làm những việc sau:
1. Triage Alert - "Lọc gạo thóc cát" (40-50% thời gian)
- SIEM ném ra 5.000-50.000 alert/ngày/nghìn nhân viên. 95%+ là false positive (benign).
- Analyst phải: Nhìn pattern, enrich IOC (IP, hash, domain), check threat intel, correlation → quyết định: Close (FP), Escalate (True Positive), Tune rule (giảm noise).
- Công cụ: SIEM (Splunk, Sentinel, Elastic), VirusTotal, AbuseIPDB, AlienVault OTX, URLhaus, MITRE ATT&CK Navigator.
2. Deep Investigation - "Thám tử số" (30% thời gian)
- Khi alert escalate: Xây timeline (Timeline Analysis) từ multi-source log: Firewall, Proxy, DNS, Windows Event (4624, 4688, 5156...), Sysmon, EDR, CloudTrail, VPC Flow Logs.
- Hỏi: Ai? Làm gì? Khi nào? Từ đâu? Đến đâu? Dữ liệu gì bị đụng? Có lateral movement không?
- Kỹ năng: KQL/SPL/SQL, PCAP analysis (Wireshark), Registry/Filesystem artifact, Memory forensics (Volatility), Container/Cloud forensics.
3. Detection Engineering - "Xây lưới bắt" (15% thời gian)
- Viết rule mới / tinh chỉnh rule cũ (Sigma, Splunk SPL, KQL, YARA, Snort/Suricata).
- Test rule trên historical data (backtest) → deploy canary → production.
- Mapping MITRE ATT&CK: Mỗi rule gắn technique ID (T1059, T1003, T1566...).
- Code review rule của đồng nghiệp (Git PR).
4. Incident Response Support - "Cứu hỏa" (Khi có incident)
- Containment: Block IP/domain/hash tại Firewall/Proxy/EDR. Isolate host (network quarantine). Disable account. Revoke session/token.
- Evidence Preservation: Disk image (FTK Imager, dd), Memory dump (WinPMEM, LiME), Log export (chain of custody).
- Communication: Executive summary cho CISO/Management, Technical brief cho IT/Infra, Legal/PR support.
- Post-mortem: Root cause analysis (5 Whys), Lessons learned, Detection gap → rule mới, Hardening action.
5. Threat Hunting - "Chủ động tìm" (Proactive - 5-10% thời gian)
- Hypothesis-driven: "Kẻ tấn công có thể dùng WMI để lateral movement" → query EDR/Windows Event tìm Event ID 5858, 5860, 5861.
- Intel-driven: Đọc báo cáo APT mới (Mandiant, CrowdStrike, Microsoft Threat Intel) → kiểm tra IOC/TTP trong môi trường mình.
- Tool: Velociraptor, Osquery, KQL/SPL notebook, Jupyter + ATT&CK.
Kỹ năng "Soft" quyết định thành bại
- Critical Thinking: Không tin alert ở mặt giá trị, luôn hỏi "Tại sao?", "Bằng chứng gì?".
- Communication: Viết báo cáo hiểu được bởi non-technical manager. Brief 5 phút cho CISO.
- Prioritization: Bao nhiêu alert open? Cái nào kill chain tiến xa nhất? Cái nào tác động Crown Jewels?
- Continuous Learning: Mỗi tuần đọc 1-2 blog/new vulnerability/technique. Tham gia CTF, range.
Mức lương & Thị trường (2024)
| Vị trí | Việt Nam (VNĐ/tháng) | US (USD/năm) |
|---|---|---|
| SOC L1 (Triage) | 12 - 18M | $65k - $90k |
| SOC L2 (Investigation) | 20 - 35M | $90k - $130k |
| SOC L3 / Threat Hunter / Detection Eng | 35 - 60M+ | $130k - $180k+ |
| Senior/Lead/Manager | 50 - 100M+ | $160k - $250k+ |
Chứng chỉ có giá trị thực (Not just paper)
- Blue Team: GCIH (Incident Handling), GCFA (Forensics), GNFA (Network Forensics), GCFR (Cloud Forensics), CDA (Certified Detection Analyst - SANS).
- Purple/Red: OSCP, OSEP, OSWE, CRTO, PNPT.
- Management: CISSP, CISM, CCISO.
- Cloud: CCSP, AWS/Azure/GCP Security Specialty.
Kết luận
Network Security Analyst không phải "nhìn màn hình chờ alert". Là người biến dữ liệu thô thành thông tin tình báo (intelligence), giảm rủi ro thực tế, và nâng cao tư thế an ninh của tổ chức mỗi ngày. Cần tư duy hacker, kỹ năng data analysis, và trái tim bảo vệ.