Security Operations Center Analyst

TUYỂN DỤNG: SOC ANALYST (TIER 2)

Địa điểm làm việc: Theo bố trí và sắp xếp vị trí của ban lãnh đạo công ty (Địa chỉ làm việc thường nhận tại Phòng SOC tại CTY VNCS Global 14 Láng Hạ)

Hình thức: Làm việc theo ca 24/7

1. Tổng quan vị trí

VNCS Global SOC đang tìm kiếm các SOC Analyst Tier 2 giàu kinh nghiệm, đóng vai trò là tuyến điều tra chuyên sâu của trung tâm vận hành an ninh. Khác với Tier 1 tập trung vào giám sát và triage, Tier 2 là người "đào sâu" phía sau mỗi cảnh báo: chủ động săn tìm mối đe dọa (Threat Hunting) chưa bị phát hiện, điều tra pháp chứng số (Digital Forensics) trên endpoint, log và network, đồng thời dẫn dắt quá trình ứng phó sự cố (Incident Response) cho tới khi khoanh vùng và loại bỏ hoàn toàn kẻ tấn công.

Bạn sẽ là mắt xích quyết định giữa việc "có cảnh báo" và "hiểu trọn vẹn câu chuyện tấn công" – từ điểm xâm nhập ban đầu, đường di chuyển ngang, cho tới mục tiêu cuối cùng của attacker.

2. Mô tả công việc

2.1. Săn tìm mối đe dọa chủ động (Threat Hunting)

- Xây dựng & thực thi giả thuyết săn tìm: Chủ động đặt giả thuyết dựa trên hành vi attacker (hypothesis-driven hunting), không chờ cảnh báo tự bật, để phát hiện các mối đe dọa lẩn tránh (evasive/dwell-time cao).

- Ánh xạ theo MITRE ATT&CK: Thiết kế các bài hunt theo từng Tactic/Technique (TTPs), ưu tiên các kỹ thuật như Living-off-the-Land (LOLBins), lateral movement, persistence, credential access, C2 beaconing.

- Threat Intelligence-driven: Khai thác IOC/IOA và báo cáo TI để săn tìm dấu vết của các nhóm APT, ransomware, và các chiến dịch đang hoạt động; đối chiếu với dữ liệu telemetry nội bộ.

- Phát triển detection: Chuyển kết quả hunt thành các rule/use-case mới (SIEM correlation, EDR detection, Sigma/YARA) để tự động hoá phát hiện cho lần sau; giảm tỉ lệ false positive cho Tier 1.

2.2. Ứng phó sự cố & điều phối (Incident Response)

- Điều tra chuyên sâu case leo thang: Tiếp nhận các case phức tạp/True Positive do Tier 1 đẩy lên; xác định phạm vi ảnh hưởng (scoping), mức độ nghiêm trọng và root cause.

- Containment & Eradication: Đề xuất và phối hợp thực hiện các bước cô lập, ngăn chặn, loại bỏ; hướng dẫn khôi phục an toàn theo mô hình IR (NIST/SANS PICERL).

- Mentor Tier 1: Kèm cặp, review chất lượng triage và định hướng chuyên môn cho đội Tier 1; tối ưu playbook/quy trình vận hành.

- Báo cáo sự cố: Viết báo cáo điều tra kỹ thuật rõ ràng (timeline, TTPs, IOC, tác động, khuyến nghị) cho cả đối tượng kỹ thuật và quản lý khách hàng.

3. Yêu cầu công việc

Kinh nghiệm

• Tối thiểu 2–3 năm kinh nghiệm vận hành SOC/Blue Team, trong đó có kinh nghiệm thực tế điều tra sự cố (không chỉ dừng ở triage cảnh báo).

• Đã trực tiếp xử lý ít nhất một số case điều tra thực chiến (ví dụ: nhiễm mã độc, tài khoản bị chiếm quyền, lateral movement, ransomware).

Kiến thức & năng lực chuyên môn

- Threat Hunting: Nắm vững MITRE ATT&ck; tư duy giả thuyết; hiểu hành vi attacker và các kỹ thuật lẩn tránh.

- Forensics: Có hiểu Windows/Linux internals và các artifacts pháp chứng; có khả năng dựng timeline và diễn giải bằng chứng.

- Detection engineering: Viết được rule truy vấn nâng cao trên SIEM/EDR; quen thuộc Sigma và/hoặc YARA là lợi thế lớn.

- Scripting: Sử dụng Python / PowerShell / Bash để tự động hoá phân tích, xử lý log và làm giàu dữ liệu.

- Nền tảng: Vững về mạng (TCP/IP, DNS, HTTP/S, proxy), hệ điều hành và các nguyên tắc bảo mật; đọc hiểu tốt log đa nguồn.

Chứng chỉ (ưu tiên)

• GCIH, GCFA, GCFE, GNFA, GREM (GIAC); ECIH; CHFI; BTL2 (Blue Team Level 2); hoặc các chứng chỉ tương đương về IR/Forensics/Threat Hunting.

Kỹ năng mềm

• Tư duy điều tra tỉ mỉ, kiên trì "đào" đến tận gốc; khả năng làm việc dưới áp lực cao khi có sự cố.

• Giao tiếp và viết báo cáo tốt; có khả năng trình bày kết quả điều tra cho khách hàng.

4. Quyền lợi

- Thu nhập: Mức lương cạnh tranh theo năng; review lương định kỳ hàng năm; thưởng theo hiệu quả và mức độ đóng góp trong các sự cố lớn.

- Chuyên môn thực chiến: Tiếp cận sự cố thật trên hạ tầng quy mô lớn của các khách hàng Tài chính, Ngân hàng, Doanh nghiệp – môi trường hiếm có để rèn kỹ năng DFIR.

- Công cụ hiện đại: Làm việc với các nền tảng SIEM/SOAR/EDR, sandbox và bộ công cụ forensics chuyên dụng; dữ liệu quy mô Big Data.

- Lộ trình phát triển: Rõ ràng lên Tier 3 / Threat Hunting Lead / DFIR Specialist / SOC Architect.

- Đào tạo: Được hỗ trợ đào tạo, tham gia diễn tập Purple Team/Tabletop và các dự án thực tế với nhiều khách hàng lớn.