Network và protocol
TCP/UDP, DNS, HTTP/TLS, ports, proxy, firewall, IP/subnet. Đọc được ai kết nối tới đâu và vì sao đáng nghi.
Decision report · Team SOC · Cohort V
20 đề tài SOC, đánh giá đến mức có thể chọn và triển khai.
Báo cáo độc lập cho team không có phần cứng chuyên dụng, ưu tiên dữ liệu công khai. Mỗi đề được chấm về nền security, độ khó kỹ thuật, dữ liệu, hạ tầng, khả năng đánh giá, giá trị doanh nghiệp và tín hiệu tuyển dụng.
Cập nhật: 10/11/2026 · Phạm vi: VSOC-01 → VSOC-20 · Không phải rubric chính thức của ban tổ chức
Kết luận nhanh
Không có một đề “tốt nhất” cho mọi mục tiêu. Với team mới vào SOC và chỉ có 5 tuần, đề tốt nhất là đề có ground truth, chạy được trên laptop và tạo ra bằng chứng kỹ thuật thật.
VSOC-12Khuyến nghị tổng thể: Detection Engineering
VSOC-16Dữ liệu và kiểm thử rõ: Cloud Posture
VSOC-06Điểm vào nhẹ nhất: Threat Intel RAG
5 tuầnChỉ cam kết MVP cơ bản, không ôm toàn bộ nâng cao
Khuyến nghị của tôi: nếu team muốn theo SOC/Detection, chọn VSOC-12 nhưng giới hạn một log source và 3–5 TTP. Nếu nền security còn mỏng, chọn VSOC-06 nhưng phải làm retrieval/citation eval nghiêm túc. VSOC-16 chỉ phù hợp khi team đã biết Terraform cơ bản. Không chọn VSOC-04, 09, 10 hoặc 11 cho kế hoạch 5 tuần.
Rubric chấm điểm
Tất cả điểm là ước lượng phân tích trên thang 1–10. Điểm cao ở “nền security” và “độ khó” nghĩa là khó hơn. Các cột còn lại càng cao càng thuận lợi.
Khả thi = 18% dữ liệu + 14% hạ tầng + 16% đánh giá
+ 12% (11 − nền security) + 18% (11 − độ khó)
+ 10% giá trị doanh nghiệp + 12% tuyển dụng
Tổng ưu tiên = 45% khả thi + 25% doanh nghiệp
+ 20% tuyển dụng + 10% khả năng đánh giá
+ 12% (11 − nền security) + 18% (11 − độ khó)
+ 10% giá trị doanh nghiệp + 12% tuyển dụng
Tổng ưu tiên = 45% khả thi + 25% doanh nghiệp
+ 20% tuyển dụng + 10% khả năng đánh giá
Cách đọc: điểm tổng là công cụ chọn đề dưới điều kiện cụ thể của team, không phải chất lượng tuyệt đối của lĩnh vực. Ví dụ Threat Hunting rất giá trị nghề nghiệp nhưng tụt điểm khả thi vì cần hiểu log sâu và khó có ground truth hoàn chỉnh.
Nền bắt buộc của cả team
Bất kể chọn đề nào, team cần một lớp kiến thức chung trước khi xây AI.
Windows và Linux telemetry
Process tree, command line, user, service, file, registry, authentication, Sysmon hoặc audit logs.
Identity và access
Authentication, authorization, session/token, least privilege, RBAC/ABAC và dấu vết đăng nhập.
SIEM và truy vấn
Filter, aggregate, join, time window, correlation bằng KQL/SPL/SQL hoặc pipeline tương đương.
ATT&CK và incident flow
Tactic, technique, evidence, triage, scope, escalation, containment, recovery và lessons learned.
Python và đánh giá
JSON/CSV, regex, APIs, datetime, testing; precision, recall, FPR, calibration, temporal split và cost.
Bảng xếp hạng 20 đề
Lọc theo từ khóa, mức phù hợp và giới hạn nền security. Nhấn “Chi tiết” để xem MVP, dữ liệu, cách đánh giá, rủi ro và yêu cầu gốc.
| # | Đề tài | Nền sec. | Độ khó | Data | Infra | Eval | DN | Job | Khả thi | Tổng |
|---|
Không có đề phù hợp bộ lọc.
Màu xanh ≥ 8, vàng 6–7.9, đỏ < 6. Nền security và độ khó là chi phí học/làm; các cột khác là mức thuận lợi.
Ba hướng nên chốt shortlist
- VSOC-12 RuleForge: đúng chất Detection Engineering, thể hiện log + ATT&CK + Sigma/YARA + testing.
- VSOC-16 CloudPosture: IaC công khai, scan offline, patch diff và regression test rõ.
- VSOC-06 ThreatIntelRAG: nền security nhẹ hơn, phù hợp làm bước vào nhưng phải có eval và chống injection.
Không chọn trước khi có mentor chốt scope
VSOC-04, VSOC-09, VSOC-10 và VSOC-11 đều có giá trị nghề nghiệp cao nhưng phụ thuộc lab, log context và ground truth. Với team mới, chúng dễ biến thành demo đẹp nhưng khó chứng minh đúng.
Các lĩnh vực liên quan
“SOC” trong danh sách này trải rộng hơn SOC analyst truyền thống. Chọn đề cũng là chọn nhánh nghề nghiệp.
Detection & Hunting
VSOC-07, 10, 12. Cần log, SIEM query, benign behavior, ATT&CK và kiểm thử false positive.
Incident Response & DFIR
VSOC-09, 11, 14. Cần timeline, evidence integrity, playbooks, approvals và xử lý log thiếu.
AppSec & API Security
VSOC-01, 02, 03, 04. Cần SAST/DAST, recon/fuzzing, lab an toàn và authorization.
Threat Intelligence
VSOC-06, 13, 15. Cần IOC/TTP, STIX, CVE/EPSS/KEV, source confidence và temporal reasoning.
Cloud & IAM
VSOC-05, 16. Cần least privilege, policy-as-code, Terraform, cloud configuration và access testing.
AI Security
VSOC-17, 19. Cần prompt/tool threat model, red-team methodology, scorers, utility và cost control.
Privacy
VSOC-18. Cần PII taxonomy, regex/NER/checksum, secure token mapping và access control.
GRC & Assurance
VSOC-20. Cần control/evidence mapping, scope, exception và phân biệt compliance với security.
Lộ trình thực hiện 5 tuần
Security foundation được học đúng phần dự án cần và chạy song song với MVP. Hết mỗi tuần phải có một artifact chạy được; phần nâng cao chỉ làm sau khi eval cơ bản đã ổn.
Chốt scope và baseline
Chọn một log source/lab, data card, threat model, tiêu chí nghiệm thu và baseline không AI.
Pipeline lõi
Parser, normalize, rule/query hoặc retrieval chạy end-to-end trên sample có nhãn.
AI và HITL
Thêm agent ở đúng điểm cần suy luận, hai vai trò, evidence, approval, audit và lỗi đầu vào.
Eval giữ riêng
Precision/recall/FPR, cost/latency, error analysis, regression và sửa hai lỗi lớn nhất.
Deploy và bàn giao
Stabilize, deploy, clean-clone test, video demo, báo cáo giới hạn và slide trình bày.
Điều kiện nghiệm thu chung
Một dự án SOC đạt yêu cầu khi: dữ liệu có nguồn và quyền dùng; raw evidence bất biến; baseline không AI; AI output có evidence; action rủi ro có approval; test set độc lập; báo cáo false positive và false negative; xử lý input hỏng/thiếu; audit đầy đủ; clean clone chạy lại được. “Agent trả lời nghe hợp lý” không phải tiêu chí nghiệm thu.
Nguồn chính chủ đã kiểm tra
Nguồn hỗ trợ nhận định và lựa chọn benchmark. Team vẫn phải kiểm license từng file và pin version trước khi đưa vào repo.
- NIST SP 800-61 Rev. 3: incident response trong CSF 2.0.
- NIST SP 800-92: log management.
- NIST CSF 2.0: quản trị rủi ro an ninh.
- MITRE ATT&CK: tactics, techniques, detections và dữ liệu STIX.
- SigmaHQ rules và Sigma specification.
- OTRF Security-Datasets: replay security events.
- OWASP Benchmark: test suite và scoring cho SAST/DAST.
- TerraGoat: vulnerable Terraform, Apache-2.0.
- FIRST EPSS và dữ liệu EPSS.
- Microsoft BIPIA: indirect prompt injection benchmark; repo archived 09/2026.
- Microsoft PyRIT: AI red-teaming framework.
- NVIDIA garak: LLM vulnerability scanner.
- Presidio: PII detection/anonymization và giới hạn.
- 20 brief gốc VSOC: xem từng link trong bảng chi tiết.