Đó là một chức năng lấy con người làm trung tâm. Tự động hóa hấp thụ những gì đã biết; những gì máy không thể phân định sẽ chuyển lên cho phân tích viên, từng tầng một.
Bức tường màn hình thì chỉ để nhìn. SOC thì ra quyết định. Khác biệt nằm ở những gì xảy ra sau cảnh báo: ai đọc nó, ai xác định nó là thật, ai cắt quyền truy cập, ai đưa máy trở lại vận hành.
Vì vậy SOC hiện đại là một chức năng lấy con người làm trung tâm, được tổ chức để phán đoán của phân tích viên được dùng đúng chỗ. Mọi thứ đã biết (chiến dịch lừa đảo đã từng thấy, tệp đã được phân loại) đều do máy xử lý trong vài giây, không cần đánh thức ai.
Nguồn: Vectra AI, 2023 State of Threat Detection, khảo sát của Sapio Research với 2.000 chuyên viên SOC tại các tổ chức trên 1.000 nhân viên.
Phần còn lại, về bản chất, là mơ hồ. Đó chính là chất liệu mà SOC sắp xếp thành các tầng: càng lên cao, số vụ càng ít, và mỗi vụ càng đòi hỏi nhiều năng lực và thời gian.
Mỗi tầng nhận những gì tầng trước không đóng được. Khối lượng sụt giảm từ tầng này sang tầng khác; độ khó thì tăng lên.
SOC, từng tầng một
Máy
Quy tắc phát hiện, playbook SOAR, phản hồi tự động. Mọi thứ giống một trường hợp đã xử lý đều được giải quyết trong vài giây, không cần con người.
Một email lừa đảo giống hệt mẫu đã bị chặn sẽ được gỡ khỏi mọi hộp thư liên quan trước khi được mở.
Những gì chưa được giải quyết ở đây sẽ chuyển lên một tầng.
Cấp 1
Phân tích viên phân loại hấp thụ khối lượng. Họ đánh giá nhanh, loại bỏ cảnh báo giả, đóng các sự cố đã biết và chuyển tiếp những gì còn lại.
Một lần đăng nhập từ một quốc gia bất thường: nếu có chuyến công tác đã lên kế hoạch, cảnh báo được đóng; nếu không, nó được chuyển lên một tầng.
Những gì chưa được giải quyết ở đây sẽ chuyển lên một tầng.
Cấp 2
Phân tích các cuộc tấn công nhiều giai đoạn: dựng lại dòng thời gian, đo phạm vi bị xâm phạm, phối hợp khắc phục với các đội nghiệp vụ.
Đây là điểm cuối của chuỗi chuyển tiếp: sự cố đến đây sẽ được xử lý đến khi đóng hẳn.
Săn tìm không nhận chuyển tiếp nào. Nó bắt đầu từ những gì không ai báo cáo.
Cấp 3
Săn tìm không xử lý cảnh báo. Nó đặt giả thuyết về những gì có thể đã lọt qua, kiểm chứng trong dữ liệu, và biến mỗi phát hiện thành một quy tắc phát hiện mới.
Những gì nó viết ra quay trở lại tầng tự động hóa: đó là cách một SOC học hỏi.
Hai con số trong bài viết này là số liệu thị trường, không phải số đo của DMC DEFENSE.
Nguồn được tra cứu ngày 29/09/2026.
Định nghĩaBài viết · 4 phút
Security Information and Event Management: cách tập trung, phân tích và tương quan các sự kiện bảo mật để phát hiện mối đe dọa theo thời gian thực.
Đọc bài viếtĐịnh nghĩaBài viết · 5 phút
Security Orchestration, Automation and Response: tự động hóa thực thi trong vài giây quy trình phản ứng mà chuyên gia phải mất nhiều thời gian làm thủ công.
Đọc bài viếtDMC DEFENSE vận hành một SOC xây trên nền tảng bảo mật Microsoft, với phân tích viên trực ca và dữ liệu của bạn nằm trong tenant Microsoft của chính bạn. Đây là một dịch vụ riêng, quy mô theo hệ thống của bạn.
