1) Tổng quan mô hình SOC Home Lab

Một SOC Home Lab đúng nghĩa không chỉ là “cài vài VM rồi chạy tool”, mà là một môi trường mô phỏng
kiến trúc doanh nghiệp: có gateway/firewall, có zone segmentation, có endpoint/AD, có SIEM,
có packet visibility (SPAN/TAP), và có kịch bản tấn công để tạo dữ liệu thực tế cho việc giám sát.

2) Thành phần chính trong topology (giải thích theo góc nhìn SOC)

3) Phân vùng mạng & luồng dữ liệu nên có

Nếu bạn muốn lab “giống doanh nghiệp”, hãy tư duy theo zone và luồng log/telemetry.
Một gợi ý tối giản:

• WAN: Internet (hoặc NAT upstream).
• DMZ: web/service thử nghiệm (nếu có).
• LAN: máy người dùng “bình thường” (Windows client join domain).
• LAB: vulnerable VMs, Kali, mục tiêu tấn công.
• SOC: Wazuh, Wireshark, (tùy chọn) threat intel / ticketing.

Luồng dữ liệu “chuẩn” là: Endpoints/Servers → Wazuh → Alert/Dashboard → Analyst Triage → Investigation (PCAP/Logs) → Report.

4) Bài thực hành SOC “đúng chất” (từ dễ đến khó)

1. Baseline & Noise Filtering: bật log, xem lưu lượng bình thường, lọc false positive.
2. Brute-force / Password Spray (lab): tạo alert đăng nhập thất bại bất thường trên AD/Windows.
3. Suspicious DNS/Beaconing: phát hiện pattern truy vấn DNS định kỳ, domain lạ, TTL bất thường.
4. Lateral Movement: từ máy client sang DC/lab server; luyện truy dấu bằng event logs + PCAP.
5. Data Exfil Simulation: upload giả lập, kiểm tra rule firewall + alert SIEM.
6. Incident Report: viết báo cáo: timeline, IOC, impact, khuyến nghị hardening.

Bạn có thể biến lab thành “mini SOC” bằng cách tự đặt SLA xử lý alert, phân loại severity, và ghi chú điều tra như khi làm thật.

5) Best practices khi dựng Home Lab tại nhà

• Cô lập tuyệt đối zone LAB khỏi thiết bị gia đình (đừng bridge bừa).
• Snapshot thường xuyên trước khi chạy kịch bản tấn công.
• Quản lý credential: dùng mật khẩu riêng cho lab, không tái sử dụng.
• Logging-first: trước khi “hack”, hãy đảm bảo có log/PCAP để điều tra.
• Chú trọng phòng thủ: mục tiêu là luyện detection/response, không phải chỉ exploit.

FAQ – Câu hỏi thường gặp

1) Home Lab có cần Palo Alto thật không?

Không bắt buộc. Bạn có thể dùng firewall ảo/giải pháp khác, miễn là đáp ứng được NAT, rule policy, và segmentation.
Điểm cốt lõi là bạn luyện tư duy “control point” ở gateway.

2) Vì sao cần AD DS trong lab SOC?

Vì phần lớn incident doanh nghiệp xoay quanh identity: login, privilege, lateral movement. AD tạo ra dữ liệu điều tra cực “đời”.

3) Wazuh phù hợp cho người mới không?

Phù hợp nếu bạn học theo hướng “use case”: bật agent, thu log, tạo rule theo tình huống, rồi điều tra lại bằng log/PCAP.

4) Nên bắt đầu lab với cấu hình tối thiểu thế nào?

Tối thiểu: 1 gateway (firewall/router), 1 SIEM (Wazuh), 1 Windows client, 1 Windows Server (AD), 1 Kali, 1 máy bắt gói (Wireshark).