Chia Sẻ Khóa Học AI-Powered SOC Automation - Wazuh, n8n, TheHive & MISP [Khóa 5080 A]
Từ các raw alert đến một AI-assisted SOC được quản trị - 100 lab thực hành: detection, case, CTI & response.
Những gì bạn sẽ học:
- ✓ Thiết kế một full SOC automation pipeline tích hợp Wazuh, n8n, TheHive, Cortex và MISP thành một hệ thống detection-to-response được quản trị chặt chẽ.
- ✓ Deploy Wazuh detection, map các rule tới MITRE ATT&CK, validate với logtest và convert các Sigma rule thành "detection-as-code" sẵn sàng cho production.
- ✓ Build các n8n SOAR workflow với JSON Schema validation, severity routing, deduplication, retry/backoff và dead-letter queue để tự động hóa một cách linh hoạt.
- ✓ Tự động hóa các TheHive case workflow với các template chuyên nghiệp, governance custom field, tạo API-driven case, observable và deduplication.
- ✓ Triển khai AI triage được quản trị với prompt redaction, injection filtering, structured JSON output, runbook context retrieval, human review gates và audit log.
- ✓ Vận hành một MISP CTI lifecycle: tạo các IOC event, áp dụng TLP/PAP tag, define decay policy, enrich alert qua n8n và đẩy các IOC đã phê duyệt vào các Wazuh watchlist.
- ✓ Engineer safe Cortex responder với analyzer scoring, OPA/Rego approval gate và blocklist simulation - mọi response đều reversible & auditable.
- ✓ Harden platform với RBAC, secrets inventory, TLS design, health check, workflow metric, retention policy và validated backup & restore.
- ✓ Tạo compliance evidence cho GDPR, DORA & EU AI Act review - bao gồm AI audit log, data-flow map, RBAC matrix và một audit-ready evidence pack.
- ✓ Deliver một capstone sovereign SOC platform với end-to-end incident simulation, architecture review board packet và compliance evidence mà một CISO có thể review.
Hành trình 100-Lab: Những gì bạn thực sự xây dựng:
Đây không phải là một slide trình bày với các ảnh chụp màn hình. Mỗi bài thực hành đều tuân theo cùng một định dạng chuyên nghiệp: Outcome (những gì bạn có thể làm sau đó), Elevation (bước nhảy vọt về độ khó được giải thích bằng ngôn ngữ dễ hiểu), Safety (kiểm tra trước khi thực hiện, các bước backup và lệnh rollback trước khi có bất kỳ thay đổi nào), Implementation (công việc thực tế), Logic (những gì đang diễn ra dưới hệ thống), Verify (cách bạn chứng minh thành công), Troubleshoot (ba cách sửa lỗi chuyên nghiệp, không phải là "lên Google tìm"), và Artifact (thứ bạn giữ lại được).
Đến Lab 100, workspace của bạn sẽ chứa một repository được quản lý phiên bản Git bao gồm các sản phẩm hướng tới production: các schema, workflow, detection, playbook, policy, enrichment report, AI audit log, compliance evidence và một full architecture review board packet.
Bên trong 10 Module:
Module 1 - Foundation (Lab 1–10): Bạn xây dựng engineering workspace, cài đặt CLI toolkit, tạo một shared Docker network, define một JSON Schema alert data contract, build một synthetic alert generator và hoàn thành vòng lặp SOC đầu tiên từ đầu đến cuối: alert → validation → runbook → case stub. Trước khi bất kỳ service nào được triển khai, bạn đã hiểu data contract trông như thế nào và tại sao nó lại quan trọng.
Module 2 - Wazuh Detection Engineering (Labs 11–20): Bạn deploy một Wazuh single-node stack, đăng ký một Linux agent, generate real telemetry (failed logins, FIM changes, privileged command), viết các detection rule tùy chỉnh, test chúng bằng Wazuh logtest, map chúng tới MITRE ATT&CK và chuyển đổi một Sigma rule thành Wazuh logic. Module kết thúc với một formal detection quality report - loại report bạn sẽ giao cho một security architect.
Module 3 - n8n SOAR-Style Orchestration (Labs 21–30): Bạn deploy n8n với persistent storage, build một webhook-driven alert intake pipeline, chuẩn hóa các payload theo JSON Schema của bạn, add severity routing, triển khai deduplication key, cấu hình retry/backoff logic và thiết kế một dead-letter queue pattern. Tự động hóa ở đây là kỹ thuật thực thụ, không phải là sự lạc quan kiểu kéo-và-thả.
Module 4 - TheHive Case Management (Labs 31–40): Bạn deploy TheHive, tạo các organization & role-separated account, build một case template chuyên nghiệp với cáctask có cấu trúc, add các governance custom field, tạo manual case đầu tiên của bạn từ Wazuh evidence, generate API credentials để tích hợp n8n, tự động hóa việc tạo case với các observable từ các alert và triển khai case deduplication. Analyst workflow quality được coi là một engineering deliverable.
Module 5 - Cortex Enrichment & Safe Response (Labs 41–50): Bạn deploy Cortex, kết nối nó với TheHive, chạy các IP & hash analyzer an toàn, build một custom analyzer skeleton với scoring & confidence field, attach enrichment result vào các case decision, thiết kế một reversible responder với approval & rollback requirement, đồng thời mô phỏng một lab-only blocklist responder với full audit metadata. Không có response action nào trong khóa học này chạy mà không có một human approval gate.
Module 6 - MISP Threat Intelligence & CTI Governance (Labs 51–60): Bạn deploy MISP, tạo các organization & sharing group, build các IOC event có cấu trúc, áp dụng các TLP/PAP/taxonomy tag và galaxy context, define một formal confidence & decay policy, truy vấn MISP từ n8n cho alert enrichment, thiết kế một observable promotion checklist (không phải case observable cũng thuộc về CTI), và generate một Wazuh watchlist từ các approved indicator. Intelligence có một lifecycle ở đây - không chỉ là một button 'Import'.
Module 7 - AI-Assisted Triage với Guardrails (Labs 61–70): Bạn define một AI boundary policy trước khi chạm đến một model. Bạn build một prompt redaction script, một triage prompt template có cấu trúc, một JSON output schema, một prompt-injection filter, một runbook retrieval step, một human review gate trong n8n và một JSONL AI audit log. Module này làm rõ một điều: AI trong SOC này chỉ phác thảo và hỗ trợ - nó không ra lệnh, thực thi hay phê duyệt.
Module 8 - Detection-as-Code & Playbook-as-Code (Lab 71–80): Bạn tổ chức engineering repository, add các pre-commit quality check, build các schema test suite, tạo một detection sample library, viết detection review checklist, export & version các n8n workflow dưới dạng code, author một CACAO-style JSON playbook, document internal API contract với OpenAPI và generate một SBOM với một secret scan report. SOC platform trở thành một sản phẩm kỹ thuật có thể bảo trì và đánh giá được.
Module 9 - Hardening, Reliability & Observability (Labs 81–90): Bạn build một RBAC matrix trên toàn bộ full stack, tạo một secrets inventory với các rotation plan, thiết kế và triển khai một TLS reverse proxy, viết và test các OPA/Rego approval policie, add health check & workflow metric, define một retention policy và quan trọng nhất - test backup & restore, chứ không chỉ là tạo backup. Nền tảng này được coi là một production service với các kiểm soát vận hành.
Module 10 - Sovereign Deployment & Capstone (Labs 91–100): Bạn document một licensing & version matrix, thiết kế một sovereign data-flow map, build một offline deployment manifest cho các môi trường restricted-egress, define một restricted egress policy, tạo một research intake template phi tập trung, viết một quy trình privacy-preserving CTI sharing, lắp ráp một compliance evidence pack, chạy một mô phỏng sự cố từ đầu đến cuối, bảo vệ thiết kế trước khi một architecture review board được mô phỏng và deliver capstone.
Lab 100: Dự án Cuối khóa thay đổi quỹ đạo sự nghiệp của bạn:
Lab 100 không phải là một bài kiểm tra trắc nghiệm. Nó không phải là một project prompt với một file name được đề xuất. Nó là một delivery có cấu trúc của một nền tảng tự động hóa SOC độc lập, hoàn chỉnh, có sự hỗ trợ của AI - một hệ thống mà một người quản lý tuyển dụng, CISO hoặc architecture review board có thể thẩm vấn từ đầu đến cuối.
Mục lục:
- ✓ 01. Giới thiệu.
- ✓ 02. Module 1: Foundation, Local Environment & Initial Success.
- ✓ 03. Module 2: Wazuh Telemetry & Detection Engineering.
- ✓ 04. Module 3: n8n SOAR-Style Orchestration & Alert Contract.
- ✓ 05. Module 4: TheHive Case Management & Analyst Workflow.
- ✓ 06. Module 5: Cortex Enrichment & Safe Response Design.
- ✓ 07. Module 6: MISP Threat Intelligence & CTI Governance.
- ✓ 08. Module 7: AI-Assisted SOC Triage với Guardrails.
- ✓ 09. Module 8: Detection-as-Code, Playbook-as-Code & Secure Engineering.
- ✓ 10. Module 9: Security Hardening, Governance, Reliability & Observability.
- ✓ 11. Module 10: Sovereign Deployment, Decentralized Research, Review Board & Capstone.
- ✓ 12. Kết luận.