Trong phần trước chúng ta đã cùng tìm hiểu về thành phần, cấu tạo, phương thức hoạt động và lợi ích của SOC – Trung tâm điều hành An ninh mạng nội bộ. Tuy nhiên, khi xây dựng và vận hành một SOC sao cho hiệu quả đòi hỏi sự kết hợp hài hòa của rất nhiều yếu tố then chốt đã đề cập đến như “Con người – Công nghệ – Quy trình”, mà rõ ràng với các doanh nghiệp vừa và nhỏ thì đây là 3 yếu tố còn thiếu hụt và yếu kém nhất.

SIEM – Vấn đề chung của nhiều doanh nghiệp

Nhiều doanh nghiệp lầm tưởng định hướng phát triển an toàn thông tin của tổ chức mình từ đó đầu tư dàn trải, thiếu tập trung. Một số đặt nặng vấn đề đầu tư vào SIEM (Security Information and Event Management – Hệ thống giám sát an ninh mạng) mà quên mất rằng nguồn nhân lực họ có chưa đủ để vận hành SIEM hiệu quả. Bởi lẽ nếu không có đội ngũ nhân viên thường xuyên tinh chỉnh hệ thống SIEM để giảm tỉ lệ báo động nhầm (false positives) sinh ra từ các cảnh báo (alerts) sẽ dẫn đến tình trạng quá tải cho team phân tích và xử lý sự cố.

Một số khác lại chỉ quan tâm đến việc tổng hợp, phân tích dữ liệu từ SIEM (đầu ra) mà bỏ qua các hình thức dò tìm thông tin mã độc, ngăn chặn khai thác dữ liệu như EDR, Advanced Threat Detection, Secure Gateway… (đầu vào). Quan trọng hơn là khi hệ thống giám sát chưa được tối ưu hoặc các kết quả trả về còn rời rạc thì việc tổng hợp ticket (case) là vô cùng khó khăn, kéo theo mất thời gian xâu chuỗi cảnh báo, đi tìm nguyên nhân gốc (root causes) cũng như các hệ thống (assets) liên quan trực tiếp đến sự cố. Ngoài ra khi nhân sự không có kinh nghiệm phân tích, xử lý thì việc đưa ra cảnh báo và biện pháp ngăn chặn cũng có thể bị sai lệch.

Mô hình SOC truyền thống. Nguồn: infinitygate.com.

Để giải quyết bài toán bảo mật, giảm gánh nặng chi phí hạ tầng, chi phí đào tạo và triển khai nhân lực đồng thời cải thiện quy trình ứng phó tấn công mạng, các doanh nghiệp vừa và nhỏ có thể áp dụng VSOC – Virtual Security Operation Center hay còn được hiểu là Trung tâm Điều hành An ninh mạng ảo.

Mô hình VSOC. Nguồn: infinitygate.com.

VSOC – Công cụ đảm bảo an toàn thông tin cho doanh nghiệp

Bản chất của VSOC chính là một công cụ đảm bảo an toàn thông tin trên nền tảng website giúp người dùng dễ dàng theo dõi tình hình an ninh mạng bên trong hệ thống theo thời gian thực. Thông qua các câu lệnh tập trung, các tính năng mới được cập nhật liên tục, VSOC vẽ ra trước mắt nhà quản lý bức tranh toàn cảnh về hệ thống nội bộ cũng với những yếu điểm còn tồn tại, những lỗ hổng an ninh cần khắc phục và biện pháp ngắn chặn khi có sự cố xảy ra. Đằng sau VSOC là một nhóm chuyên gia bảo mật giàu kinh nghiệm, tuy không trực tiếp có mặt tại tổ chức nhưng họ giám sát toàn bộ hệ thống 24/7 và không bỏ sót bất kỳ biến động nào. Mọi hoạt động của tổ chức cả trong và ngoài giờ làm việc đều được ghi lại tỉ mỉ, tổng hợp đầy đủ trên một màn hình duy nhất kèm theo gợi ý ứng phó sao cho phù hợp.

Thông thường, VSOC sẽ được cung cấp bởi một bên thứ ba, đơn vị này sau khi lắng nghe tình trạng, mong muốn và nhu cầu bảo mật của tổ chức sẽ thiết kế, triển khai và cá nhân hóa dịch vụ VSOC sẵn có sao cho phù hợp với ngân sách, hạ tầng và mục tiêu của tổ chức. Không cần phải đầu tư vào tất cả các thành phần cấu thành và nguồn lực như khi tự xây dựng SOC, các tổ chức, doanh nghiệp hoàn toàn có thể tách nhỏ nhu cầu để thuê ngoài, ví dụ như: thuê SIEM, thuê vận hành giám sát SIEM, phân tích cảnh báo level 2, threat hunting, xử lý sự cố, phân tích mã độc, điều tra số… Các tính năng này hầu hết đều được tích hợp trong VSOC.

Theo thống kê của BlackStratus, 60% các doanh nghiệp nhỏ đóng cửa trong vòng 6 tháng sau khi bị tấn công mạng và với các doanh nghiệp vừa và nhỏ (quy mô công ty dưới 1.000 người) tỉ lệ bị tấn công, đánh cắp dữ liệu, hủy hoại hình ảnh doanh nghiệp vào khoảng 80.2%, cao hơn 35% so với các tập đoàn lớn. Điều này hoàn toàn dễ hiểu khi các công ty vừa và nhỏ thường không chú ý đầu tư xây dựng hệ thống an toàn thông tin nghiêm ngặt ngay từ đầu, chỉ khi bị tấn công, để lại hậu quả gấp nhiều lần số tiền cần chi cho bảo mật, họ mới thấy hết được tầm quan trọng của việc bảo vệ hệ thống, bảo toàn thông tin.

Mô hình, cách thức hoạt động của VSOC

Được hiểu là một dạng SOC-as-a-Service (SOC như một dịch vụ), VSOC đóng vai trò như một SOC thực thụ và đem lại những lợi ích tương đương với chi phí vận hành thấp hơn rất nhiều. Nếu doanh nghiệp của bạn có những quy định nghiêm ngặt về quản lý rủi ro, yêu cầu bảo vệ quyền riêng tư, VSOC với cấu trúc nâng cao hỗ trợ nhiều tài khoản phân quyền cao thấp sẽ giữ bạn ở phạm vi chống thất thoát an toàn. Cấu trúc của VSOC tùy thuộc từng nhà cung cấp nhưng cơ bản có thể bao gồm SIEM, Security Data Mining, Threat Intelligent System, Forensis, Log/Backup, các thiết bị phần cứng… Mọi hoạt động trên mạng trong tổ chức đều được các công nghệ trên thu thập, phân tích và được nhóm chuyên gia xử lý, sau cùng cho ra báo cáo phù hợp với tiêu chuẩn ISO, PCI, HIPAA, SOX… trực quan, dễ hiểu.

SOC-as-a-Service cung cấp nhiều tính năng trên nền tảng cloud. Nguồn: datasecc.com.

Mô hình VSOC không còn xa lạ với các tổ chức, doanh nghiệp trên thế giới, các hãng bảo mật như IBM; Raytheon; Blackstratus; Redscan; LightEdge; Sirisk; Rapid7; Stellar Cyber… hiện nay đều đang cung cấp SOC-as-a-Service trên nền tảng cloud một cách rộng rãi.

Có thể phân chia sự phát triển của SOC trong một cơ quan tổ chức thành 6 cấp độ: cấp độ 1 – có nhân sự thuộc bộ phân IT hoặc phần mềm theo dõi tình trạng an ninh, an toàn thông tin; cấp độ 2 – tích hợp 1 phần trong Trung tâm điều hành mạng (NOC); cấp độ 3 – đã có SOC, có công nghệ và việc vận hành báo cáo đã tách ra khỏi bộ phận IT; cấp độ 4 – giải được bài toán về nguồn lực (phát triển, phân tích, xử lý sự cố); cấp độ 5 –  kiểm soát được các mối đe dọa đã được định danh; và cấp độ 6 là kết hợp phòng ngừa, giám sát, phát hiện, phản ứng nhanh và liên tục cải tiến. Hiện tại, nhiều VSOC được cung cấp bởi doanh nghiệp Việt Nam đã đạt được cấp độ 5, một trong số đó có thể kể đến là giải pháp NextGen SOC của Công ty Cổ phần Tập đoàn Công nghệ CMC.

Lời kết

An toàn an ninh mạng là yếu tố sống còn trong cuộc chạy đua công nghệ số, nơi người thắng cuộc chính là người làm chủ các nguồn dữ liệu lớn và thất thoát dữ liệu hoàn toàn có thể khiến bạn trắng tay chỉ sau 1 đêm. Lời khuyên dành cho các doanh nghiệp, đặc biệt với quy mô vừa và nhỏ đó là dù lựa chọn bất kỳ hình thức bảo mật nào cũng phải cân nhắc kỹ lưỡng nhu cầu, điều kiện và mục tiêu của tổ chức, đầu tư tập trung, đồng bộ vào công nghệ, tinh chỉnh quy trình và không quên nâng cao kiến thức, ý thức tự bảo vệ của từng nhân viên.

Thiên Ly – FPT HO

Tin liên quan: