SOC Engineer - TA171
Mô tả công việc
Các trách nhiệm chính
- Tham gia xây dựng các quy trình, hướng dẫn, playbook cho hoạt động của SOC
- Tham gia Nghiên cứu và đề xuất các giải pháp công nghệ và thông lệ tiên tiến để áp dụng vào hoạt động SOC
- Tham gia xác định các yêu cầu đối với dữ liệu ANBM phục vụ cho công tác quản trị, phân tích, giám sát và báo cáo
- Giám sát an ninh 24/7 hệ thống CNTT
- Quản lý và ứng phó sự cố ANBM
- Quản lý và săn lùng mối đe dọa chủ động
- Quản lý lỗ hổng bảo mật
- Phối hợp với các bên liên quan để rà soát các kịch bản ứng phó sự cố và diễn tập hàng năm về an toàn thông tin
- Phối hợp với các bên liên quan đển thực hiện các thay đổi nhằm xử lý các vấn đề về ANBM
- Tham gia quản lý, giám sát các chỉ số, thước đo về tình trạng ANBM CNTT
- Theo dõi, tổng hợp và cung cấp thông tin về hiệu quả của các luật/ kịch bản giám sát sự kiện bất thường
- Theo dõi, giám sát và đánh giá kết quả thực hiện các hành động khắc phục và các biện pháp giảm thiểu được xác định từ các sự cố ANBM
- Tham gia rà soát và cập nhật các quy trình, hướng dẫn, playbook cho hoạt động của SOC
Các yêu cầu chuyên môn
- Kinh nghiệm tối thiểu 1-3 năm với các lĩnh vực về ANBM, CNTT
- Có tối thiểu 1 năm kinh nghiệm trong các lĩnh vực ANBM như giám sát điều hành sự kiện ANBM, quản lý và ứng phó sự cố, phân tích điều tra sự cố ANBM, săn lùng mối đe dọa chủ động, quản lý lỗ hổng bảo mật, đánh giá ANBM, phân tích dữ liệu ANBM
- Am hiểu, có kiến thức tốt về các tiêu chuẩn bảo mật CNTT quốc tế (ISO 270001, PCI-DSS, ITIL, MITRE ATT&CK, OWSAP, v.v.
- Có kiến thức và kỹ năng an ninh bảo mật mạng, hệ thống, ứng dụng, CSDL
- Hiểu biết về các hệ thống giải pháp ANBM nói chung và SOC nói riêng như SIEM, SOAR, EDR, NDR FW, WAF, DBFW, IPS, DLP, PIM, v.v.
- Có kiến thức và kỹ năng xây dựng quy trình quản lý SOC
- Có kiến thức và kỹ năng ANBM trên các môi trường cloud
- Có kiến thức và kỹ năng tự động hóa và tối ưu SOC
- Có kiến thức và kỹ năng phân tích mã độc, mã hóa, săn lùng mối đe dọa
- Có kiến thức và kỹ năng lập trình một số ngôn ngữ: Python, Shell, PHP
- Có kiến thức và kỹ năng sử dụng các công cụ ANBM để kiểm thử xâm nhập, khai thác lỗ hổng: VA, APPScan, Metaexploit, kalilinux, Burpsuite, v.v.
Yêu cầu ứng viên
Trình độ đào tạo
Đại học in Công nghệ thông tin or An ninh
Phân tích kỹ năng cần có
Phân tích kỹ năng cần có cho SOC Engineer tại VPBank
1. Hard Skills bắt buộc
A. Kiến thức an ninh mạng (Cyber Security)
- An ninh mạng: Firewall, IDS/IPS, WAF, VPN, Network segmentation, Zero Trust
- An ninh hệ thống: OS hardening (Windows, Linux), Patch management, Privileged access management
- An ninh ứng dụng: OWASP Top 10, Secure SDLC, Code review
- An ninh Cơ sở dữ liệu: Database Firewall (DBFW), Query monitoring, Access control
B. Công nghệ SOC Core
| Tool Category | Ví dụ công cụ | Mức độ yêu cầu |
|---|---|---|
| SIEM | Splunk, QRadar, ELK Stack, ArcSight | Thành thạo |
| SOAR | Splunk SOAR, Palo Alto XSOAR | Cơ bản-Trung bình |
| EDR | CrowdStrike, SentinelOne, Carbon Black | Thành thạo |
| NDR | Darktrace, Vectra | Cơ bản |
| DLP | Symantec DLP, Forcepoint | Cơ bản |
| PAM/PIM | CyberArk, BeyondTrust | Cơ bản |
C. Tiêu chuẩn & Framework
- Bắt buộc: ISO 27001, PCI-DSS, MITRE ATT&CK, OWASP
- Nên có: NIST CSF, ITIL, COBIT
D. Kỹ năng kỹ thuật
- Lập trình: Python (bắt buộc), Bash/Shell (bắt buộc), PHP (cơ bản)
- Penetration Testing: Metasploit, Burp Suite, Kali Linux tools, Nessus/OpenVAS
- Malware Analysis: Static analysis, Dynamic analysis, Sandboxing
- Cloud Security: AWS/Azure/GCP security services, CloudTrail, CSPM
E. Phân tích & Điều tra
- Log analysis, Packet analysis (Wireshark)
- Threat hunting methodologies
- Digital forensics basics
- Incident response procedures
---
2. Soft Skills quan trọng
| Kỹ năng | Mô tả | Tầm quan trọng |
|---|---|---|
| Áp lực cao | Xử lý sự cố bảo mật khẩn cấp, làm việc ca đêm/cuối tuần khi có incident | ⭐⭐⭐⭐⭐ |
| Giao tiếp | Báo cáo kỹ thuật cho lãnh đạo, phối hợp cross-team | ⭐⭐⭐⭐ |
| Tự học | Threat landscape thay đổi liên tục, cần cập nhật kiến thức | ⭐⭐⭐⭐⭐ |
| Tư duy phân tích | Phát hiện anomaly, trace attack chain | ⭐⭐⭐⭐ |
| Viết tài liệu | Playbook, SOP, báo cáo incident | ⭐⭐⭐⭐ |
---
3. Chứng chỉ gợi ý (Ưu tiên cao)
| Chứng chỉ | Nhà cung cấp | Phù hợp |
|---|---|---|
| Security+ | CompTIA | Mới vào nghề |
| CEH | EC-Council | Intermediate |
| OSCP | Offensive Security | Kỹ thuật sâu |
| CYSAA | Bkav | Phù hợp thị trường VN |
| GSEC | GIAC/SANS | Entry-level |
| GCIA | GIAC/SANS | SIEM/IDS |
| GCIH | GIAC/SANS | Incident Response |
| CISSP | (ISC)² | Senior |
| AWS Security Specialty | AWS | Cloud security |
---
4. Bảng so sánh: Ứng viên mới vs Có kinh nghiệm
| Tiêu chí | Ứng viên mới (0-1 năm) | Ứng viên 1-3 năm |
|---|---|---|
| SIEM | Biết cách query, tạo alert | Tự xây dựng correlation rule |
| Python | Đọc được script | Viết automation script |
| Incident Response | Hỗ trợ, theo dõi | Lead xử lý sự cố nhỏ |
| Threat Hunting | Chưa có | Có thể làm chủ động |
| Chứng chỉ | Security+, CEH | GCIH, GCIA |
| Mức lương kỳ vọng (VPBank) | 15-25 triệu/tháng | 25-45 triệu/tháng |
Chuẩn bị phỏng vấn
Hướng dẫn phỏng vấn SOC Engineer - VPBank
1. Quy trình phỏng vấn dự kiến
Thông thường tại VPBank (Khối CNTT):
| Vòng | Nội dung | Thời gian | Ghi chú |
|---|---|---|---|
| Vòng 1 | HR Screening (Điện thoại) | 15-20 phút | Kiểm tra kinh nghiệm, động lực |
| Vòng 2 | Technical Interview | 45-60 phút | Kiến thức chuyên môn, tình huống |
| Vòng 3 | C-level/Manager Interview | 30-45 phút | Văn hóa, định hướng |
| Vòng 4 | HR Final (Lương, Offer) | 20-30 phút | Thương lượng |
---
2. Câu hỏi hay gặp theo từng vòng
Vòng 1: HR Screening
- Giới thiệu bản thân và kinh nghiệm ANBM
- Tại sao muốn gia nhập VPBank?
- Mức lương mong muốn, notice period
- Bạn biết gì về SOC và công việc hàng ngày của SOC Engineer?
Vòng 2: Technical Interview ( Quan trọng nhất)
A. Kiến thức SIEM & Monitoring:
- Làm sao phân biệt false positive và true positive?
- Bạn thiết lập correlation rule để phát hiện brute-force login như thế nào?
- Kể tên các log source thường có trong môi trường ngân hàng?
- Splunk/QRadar query để tìm lateral movement?
B. Incident Response:
- Mô tả quy trình xử lý một sự cố ransomware?
- Khi phát hiện có malware trên server, bạn sẽ làm gì?
- Phân biệt Containment, Eradication, Recovery?
- Làm thế nào để xác định attacker đã vào hệ thống từ đâu?
C. Threat Hunting:
- Bạn hiểu gì về MITRE ATT&CK framework?
- Làm sao phát hiện C2 communication?
- Indicator of Compromise (IOC) vs Indicator of Attack (IOA)?
D. Vulnerability Management:
- Phân biệt CVSS score và thực tế nguy cơ?
- Quy trình ưu tiên patch như thế nào khi có nhiều lỗ hổng?
- Làm sao đánh giá lỗ hổng trên hệ thống production mà không gây gián đoạn?
E. Technical Hands-on (có thể có):
- Viết script Python để parse log và tìm anomaly
- Phân tích một đoạn log, xác định có gì bất thường
- Cấu hình cơ bản firewall rule cho phép HTTP/HTTPS
F. Kiến thức ngân hàng/chuẩn:
- PCI-DSS yêu cầu gì với SOC?
- ISO 27001 và SOC operation liên quan như thế nào?
- Các compliance requirement đặc thù của ngành ngân hàng VN?
Vòng 3: Manager/C-level Interview
- Bạn có thể làm việc ca 24/7 được không?
- Mô tả tình huống bạn phát hiện và xử lý sự cố nghiêm trọng?
- Điểm mạnh, điểm yếu của bạn là gì?
- Bạn thấy xu hướng ANBM 2024-2025 như thế nào?
- Tại sao chọn VPBank thay vì các ngân hàng/ fintech khác?
---
3. Tips chuẩn bị đặc biệt cho VPBank
1. Research VPBank trước:
- Tìm hiểu quy mô IT, các dự án CNTT đang triển khai
- Đọc báo cáo annual report, xem mức độ đầu tư cho cybersecurity
- VPBank nổi tiếng về transformation số, nên nhấn mạnh sự quan tâm đến digital security
2. Chuẩn bị portfolio/thực chiến:
- Nếu có lab cá nhân (Homelab), chia sẻ được
- CTF write-up, CVE đã tìm được (nếu có)
- Kinh nghiệm xử lý incident cụ thể (dù nhỏ)
3. Hands-on practice:
- Thực hành Splunk Free (splunk.com/free), Elastic Security
- TryHackMe, HackTheBox rooms về SOC
- Mô tả cụ thể các lab đã làm
4. Ngôn ngữ:
- Tiếng Anh kỹ thuật: đọc được tài liệu, viết báo cáo
- Một số câu hỏi có thể bằng tiếng Anh
---
4. Dress Code
- Offline: Business casual (áo sơ mi, quần âu, không cần cravat)
- Online: Clean professional look, camera bật
- Lưu ý: Ngành ngân hàng conservative, tránh vest quá formal gây phản cảm ngược
---
5. Những điều KHÔNG nên làm
- Nói "em chưa làm việc với tool X" mà không có kế hoạch học
- Overclaim kinh nghiệm (sẽ bị hỏi sâu)
- Tỏ ra thờ ơ với khía cạnh ngân hàng/tài chính
- Quên hỏi về team size, on-call rotation, career path
Lộ trình ôn thi
Ôn thi & Chuẩn bị cho vị trí SOC Engineer VPBank
1. Lộ trình chuẩn bị 2 tuần (10-14 ngày)
Giai đoạn 1: Tổng ôn kiến thức (Ngày 1-4)
Day 1-2: SOC Fundamentals
- Đọc: "The Practice of Network Security Monitoring" - Richard Bejtlich
- Xem: SOC Analyst roadmap trên GitHub (search "tonismt/soc-analyst-roadmap")
- Ghi chú: SOC pyramid, detective cycle
Day 3-4: Framework & Standards
- MITRE ATT&CK: Đọc matrix, thực hành mapping technique với MITRE Caldera
- ISO 27001: Đọc Annex A, focus vào A.12 (Operations Security)
- PCI-DSS: Focus requirement 10 (Log monitoring), 11 (Vulnerability testing)
- NIST SP 800-61: Incident handling guide
Giai đoạn 2: Technical Deep-dive (Ngày 5-8)
Day 5-6: SIEM & Log Analysis
- Splunk Free: Cài lab Splunk Enterprise, thực hành SPL queries
- Bài tập: Tạo dashboard phát hiện suspicious login
- Thực hành: Phân tích sample log từ Malware Traffic Analysis
Day 7-8: Incident Response & Threat Hunting
- Đọc: SANS IR poster (incident response workflow)
- Thực hành: TryHackMe "Investigate" rooms
- Ôn: Diamond Model, Kill Chain, MITRE ATT&CK mapping
Giai đoạn 3: Hands-on & Mock Interview (Ngày 9-12)
Day 9-10: Scripting & Automation
- Python: Viết script đọc log, regex pattern matching, API integration
- Thực hành: Tự động hóa task đơn giản với Python + Splunk API
Day 11-12: Mock Interview
- Tự hỏi đáp theo danh sách câu hỏi phỏng vấn
- Practice: Viết Splunk query trên giấy
- Thực hành: Giải thích incident scenario trong 3-5 phút
Giai đoạn 4: Final Review (Ngày 13-14)
- Review lại CV, chuẩn bị 2-3 câu chuyện incident đáng nhớ
- Research VPBank: Tin tức ANBM ngân hàng, xu hướng
- Chuẩn bị câu hỏi cho nhà tuyển dụng
---
2. Tài liệu tham khảo theo chủ đề
A. SIEM & Monitoring
| Tài liệu | Link | Mức độ |
|---|---|---|
| Splunk Free Training | splunk.com/en_us/training/free-courses.html | Essential |
| Elastic Security Docs | elastic.co/security | Essential |
| "Splunk 9.x Enterprise" - Doug McFarlane | O\'Reilly/Sách | Nâng cao |
B. Incident Response
| Tài liệu | Link | Mức độ |
|---|---|---|
| NIST SP 800-61r2 | csrc.nist.gov/publications | Essential |
| SANS IR Poster | sans.org/posters | Essential |
| "Incident Response & Computer Forensics" - Kim Heldman | Sách | Nâng cao |
| DFIR Odyssey (YouTube) | YouTube channel | Tham khảo |
C. Threat Hunting
| Tài liệu | Link | Mức độ |
|---|---|---|
| Threat Hunter Playbook | .md atp-猎人- playbook.gitbook.io | Essential |
| MITRE ATT&CK Navigator | attack.mitre.org | Essential |
| "Threat Hunting with Elastic Security" | elastic.co | Tham khảo |
D. Programming for SOC
| Tài liệu | Link | Mức độ |
|---|---|---|
| Automate the Boring Stuff - Al Sweigart | automatetheboringstuff.com | Essential |
| "Black Hat Python" - Justin Seitz | Sách | Nâng cao |
E. Vietnamese Resources
| Nguồn | Mô tả |
|---|---|
| WhiteHat Grand Prix | Thi ANBM VN, writeup trên blog |
| Vietnam Security Community | Facebook group, chia sẻ kinh nghiệm |
| IOC VN | Repository IOC của cộng đồng VN |
| Bkav Cyber Security Conference | Hội thảo, tài liệu ANBM VN |
---
3. Lab & Practice Platforms
| Platform | Mục đích | Miễn phí? |
|---|---|---|
| TryHackMe (SOC path) | Learning path cho SOC | Partial free |
| LetsDefend.io | SOC analyst training | Partial free |
| CyberDefenders | Blue team challenges | Free |
| Splunk Free | Lab SIEM | Free |
| Elastic Security | Lab SIEM | Free |
| Malware Bazaar | Sample malware analysis | Free |
| VirusTotal | Phân tích file/hash | Free tier |
---
4. Checklist trước ngày phỏng vấn
- [ ] Có thể giải thích MITRE ATT&CK framework bằng tiếng Việt
- [ ] Viết được 3 Splunk queries phổ biến
- [ ] Mô tả được incident response lifecycle
- [ ] Hiểu sự khác nhau giữa IDS vs IPS, EDR vs AV
- [ ] Có thể đọc và phân tích một đoạn log bất kỳ
- [ ] Biết cách map technique vào MITRE ATT&CK
- [ ] Có ít nhất 1 câu chuyện incident thực tế (dù nhỏ) để kể
- [ ] Hiểu PCI-DSS requirement 10 (log monitoring)
- [ ] Đã research VPBank và có câu hỏi cho interviewer
- [ ] Chuẩn bị answer cho "Tại sao muốn vào VPBank"
Tư vấn nghề nghiệp
Lời khuyên sự nghiệp cho SOC Engineer tại VPBank
1. Lộ trình thăng tiến trong SOC
```
SOC Analyst L1 (0-2 năm)
↓ (2-3 năm + cert)
SOC Analyst L2 / Threat Hunter
↓ (3-5 năm)
SOC Lead / Incident Response Manager
↓ (5-7 năm)
SOC Manager / CISO
↓
CSO / VP Security
```
Mô tả từng bước:
Bước 1: SOC Analyst L1 (Entry)
- Monitor 24/7, phân loại alert, escalation
- Thời gian: 0-2 năm
- Học: SIEM operation, alert triage, basic forensics
- Chứng chỉ: Security+, CEH, Bắt đầu học Python
Bước 2: SOC Analyst L2 / Threat Hunter (Mid)
- Deep dive analysis, threat hunting chủ động
- Thời gian: 2-3 năm
- Học: Malware analysis, advanced IR, red team basics
- Chứng chỉ: GCIA, GCIH, OSCP
Bước 3: SOC Lead (Senior)
- Quản lý team, xây dựng playbook, cải tiến process
- Thời gian: 3-5 năm
- Học: People management, security architecture, governance
- Chứng chỉ: CISSP, CISM
Bước 4: SOC Manager / Security Manager
- Toàn bộ security operations, budget, strategy
- Thời gian: 5-7 năm
- Học: C-suite communication, strategic planning
- Chứng chỉ: CISM, CRISC, CISO certification
---
2. Mức lương kỳ vọng tại VPBank & thị trường
| Cấp bậc | Kinh nghiệm | Mức lương tháng (VNĐ) | Ghi chú |
|---|---|---|---|
| SOC Fresh (Intern/Probation) | 0 năm | 8-15 triệu | Thực tập, fresher |
| SOC L1 | 1-2 năm | 15-25 triệu | Đã qua probation |
| SOC L2 / Threat Hunter | 2-4 năm | 25-40 triệu | Có chứng chỉ +1 |
| SOC Lead | 4-6 năm | 40-60 triệu | Quản lý 2-5 người |
| SOC Manager | 6-8 năm | 60-90 triệu | Quản lý team lớn |
| CISO/Head of Security | 8+ năm | 100-200+ triệu | Board level |
Lưu ý:
- VPBank thường trả cao hơn mặt bằng ngân hàng nhỏ 10-20%
- Lương thưởng cuối năm: 1-3 tháng tùy hiệu quả
- Total compensation có thể cao hơn 30-50% nếu tính benefits
---
3. Kỹ năng cần phát triển thêm
A. Ngắn hạn (6-12 tháng đầu)
- [ ] Thành thạo Splunk/SIEM ở mức chuyên sâu
- [ ] Viết được automation script hữu ích
- [ ] Có chứng chỉ GCIH hoặc GCIA
- [ ] Hiểu business context của ngân hàng
B. Trung hạn (1-3 năm)
- [ ] Threat hunting methodology riêng
- [ ] Malware analysis cơ bản
- [ ] Cloud security (AWS/GCP)
- [ ] Soft skill: Present, communicate with management
C. Dài hạn (3-5 năm)
- [ ] Security architecture design
- [ ] GIR (Governance, Risk, Compliance)
- [ ] Team leadership
- [ ] Mentor/junior development
---
4. VPBank vs Đối thủ - Nên chọn không?
Ưu điểm khi làm SOC tại VPBank
- ✅ Ngân hàng lớn, budget IT mạnh, công nghệ hiện đại
- ✅ Tiếp xúc với hệ thống phức tạp (core banking, digital banking)
- ✅ Quy trình chuẩn, nhiều tiêu chuẩn compliance
- ✅ Thương hiệu mạnh, resume đẹp
- ✅ Lương cạnh tranh với fintech, big tech
Thách thức cần lưu ý
- ⚠️ Áp lực 24/7 operation, shift work có thể có
- ⚠️ Nhiều compliance requirement (SBV, PCI-DSS)
- ⚠️ Quy trình thay đổi có thể chậm (doanh nghiệp lớn)
- ⚠️ Cạnh tranh internal cao
So sánh với alternatives
| Lựa chọn | Pros | Cons |
|---|---|---|
| VPBank | Brand mạnh, lương tốt | Quy trình cứng nhắc |
| VPBank Priorities | Nhiều budget tech | Áp lực cao, KPI rõ ràng |
| Fincare (VPBank) | Digital-first, linh hoạt | Rủi ro startup |
| TCBS, Techcombank | Digital banking, agile | Chỉ 1 ngân hàng |
| Security Vendor (Bkav, Viettel) | Đa dạng industry | Không có finance domain |
| Big Tech (FPT, VNPT) | Ổn định | Ít thú vị về security |
---
5. Kết luận & Đánh giá tổng quan
Điểm phù hợp cho:
- Bạn muốn phát triển sự nghiệp ANBM trong ngành tài chính
- Bạn thích môi trường big tech, nhiều challenge
- Bạn cần brand name cho resume
Điểm chưa phù hợp:
- Bạn muốn work-life balance hoàn hảo (SOC luôn có áp lực)
- Bạn thích môi trường startup, move nhanh
- Bạn chưa sẵn sàng cho shift work/on-call
Tổng điểm: 7.5/10 - Cơ hội tốt, cần chuẩn bị kỹ vì competitive hiring
Câu hỏi thường gặp
Em mới ra trường chuyên ngành CNTT, chưa có kinh nghiệm SOC. Có nên ứng tuyển vị trí này không?
Có thể thử, nhưng cần chuẩn bị kỹ. Vị trí yêu cầu tối thiểu 1-3 năm kinh nghiệm, nên bạn cần có ít nhất 1 năm làm trong lĩnh vực IT security. Gợi ý: apply khi đã có kinh nghiệm ở vị trí IT helpdesk/security analyst nhỏ, hoặc tích cực thực tập ở SOC vendor. Trong thời gian chờ, hãy tự học Splunk, tham gia CTF, lấy chứng chỉ Security+ để tăng cơ hội.
Mức lương SOC Engineer tại VPBank khoảng bao nhiêu? Thương lượng được không?
VPBank thường trả theo năng lực thực tế. Với 1-3 năm kinh nghiệm, mức lương dao động 20-40 triệu/tháng. Với 3+ năm và có chứng chỉ quốc tế (GCIH, GCIA, CEH), có thể đàm phán lên 45-60 triệu. Tip: khi HR hỏi mức mong muốn, hãy đưa ra range dựa trên mặt bằng thị trường + số năm kinh nghiệm, đừng quá thấp. VPBank có budget tốt cho IT.
Công việc SOC Engineer có phải làm ca đêm, cuối tuần không?
SOC giám sát 24/7 nên có khả năng phải rotate ca. Tuy nhiên, vị trí Senior/Lead thường ít làm shift trực tiếp, chủ yếu là on-call. Nếu bạn apply vị trí này, hãy hỏi rõ về on-call policy, shift rotation schedule, overtime compensation. Ngân hàng lớn thường có nhiều nhân sự để chia rotation, không quá nặng nề.
Em đang làm ở công ty bảo mật (security vendor), muốn chuyển vào ngân hàng. Điều này có lợi thế gì?
Rất có lợi thế! Security vendor tiếp xúc đa dạng industry và case study. Điểm cần chứng minh: (1) Bạn có thể apply kiến thức vào môi trường finance-specific (PCI-DSS, SBV regulation, core banking). (2) Kỹ năng technical của bạn từ vendor đủ deep để handle incident phức tạp. (3) Bạn hiểu business context của ngân hàng - cần thể hiện điều này trong phỏng vấn. Nên chuẩn bị 2-3 case study cụ thể từ công ty cũ.
SOC làm việc với những công cụ gì? Em cần học Splunk hay QRadar trước?
VPBank có thể dùng Splunk hoặc giải pháp khác. Dù hãng nào, nguyên tắc SIEM giống nhau: log ingestion, normalization, correlation rules, alerting, dashboards. Gợi ý: học Splunk trước vì phổ biến nhất, có free version, nhiều resource. Nắm vững SPL queries, dashboard creation, và alert configuration. Ngoài ra, hãy tự làm quen với EDR (CrowdStrike/SentinelOne), SOAR concepts, và basic Python automation.
KPI của SOC Engineer như thế nào? Có áp lệ phải đạt không?
SOC KPI thường gồm: (1) MTTD - Mean Time to Detect: thời gian phát hiện incident (target thường <15 phút). (2) MTTR - Mean Time to Respond: thời gian xử lý. (3) Số lượng incident handled. (4) False positive rate. (5) Rule coverage. (6) Report deadline. KPI không phải để 'phạt' mà là thước đo maturity của SOC. Mức độ áp lực tùy team, VPBank là ngân hàng lớn nên có cả KPIs rõ ràng.
Tương lai của SOC Engineer trong 5 năm tới như thế nào? Có bị AI thay thế không?
AI/SIEM tự động hóa giúp giảm alert fatigue nhưng KHÔNG thay thế được SOC Engineer. Xu hướng: (1) Alert triage sẽ tự động nhiều hơn, nhưng deep investigation vẫn cần human. (2) Threat hunting chủ động ngày càng quan trọng. (3) Cloud security, DevSecOps là hướng mở rộng. (4) Security automation (SOAR) là kỹ năng cần có. Lời khuyên: đón AI như tool, không sợ như kẻ thù. Ai học automation tốt sẽ thăng tiến nhanh.
Chứng chỉ nào quan trọng nhất cho vị trí này? Bắt đầu từ đâu?
Thứ tự ưu tiên: (1) Security+ hoặc Bộ Công an Security (BKCĐ) - entry, xây nền. (2) GCIH (GIAC Incident Handler) - cực kỳ phù hợp với mô tả công việc này. (3) GCIA (GIAC Certified Intrusion Analyst) - cho SIEM/SOC. (4) CEH - nền tảng ethical hacking. (5) OSCP - nếu muốn đi sâu technical. Với ngân hàng, có GCIH + Security+ là đã rất competitive.