Danh sách quyền
SecOps
Danh sách quyền cho SecOps
1. Nguyên tắc thiết kế
- Phạm vi tenant: Tất cả vai trò hoạt động trong phạm vi Dự án (Tenant).
- Đặc quyền tối thiểu: Mỗi vai trò chỉ có các quyền cần thiết cho chức năng của mình.
- Phù hợp mô hình SOC: Phản ánh cấu trúc SOC thực tế (L1/L2/Manager/Engineer).
- Tách biệt trách nhiệm: Vai trò vận hành (SOC) tách biệt với vai trò kỹ thuật (Security Engineer) và vai trò quản trị (Admin).
2. Danh sách vai trò
| Mã | Khóa vai trò | Tên vai trò | Phạm vi | Mô tả |
|---|---|---|---|---|
| R1 | tenant_admin | Tenant Admin | Tenant | Quản trị viên tổ chức khách hàng. Quản lý người dùng, IAM và Settings trong tenant. |
| R2 | platform_admin | Platform Admin | Tenant | Quản trị nền tảng. Xây dựng và duy trì nội dung phát hiện: parser, rule, data source, nội dung marketplace. |
| R3 | soc_manager | SOC Manager | Tenant | Trưởng nhóm/quản lý SOC. Giám sát vận hành, phân công công việc, xuất báo cáo. |
| R4 | soc_analyst_l2 | SOC Analyst L2 | Tenant | Chuyên viên phân tích cao cấp. Điều tra chuyên sâu, mở/đóng case, xử lý cảnh báo phức tạp. |
| R5 | soc_analyst_l1 | SOC Analyst L1 | Tenant | Chuyên viên phân tích sơ cấp. Phân loại cảnh báo, chuyển cấp, hỗ trợ điều tra. |
| R6 | viewer | Viewer / Auditor | Tenant | Chỉ đọc. Dành cho cán bộ tuân thủ, lãnh đạo và kiểm toán bên ngoài. |
3. Mô tả vai trò
R1 - Tenant Admin
- Đối tượng sử dụng: IT Manager / Security Admin của tổ chức khách hàng.
- Tình huống sử dụng: Cấu hình môi trường, quản lý đội ngũ, thiết lập chính sách.
- Quyền chính:
- Quản lý IAM trong tenant: tạo/sửa/xóa quyền, gán người dùng vào nhóm.
- Cấu hình IDP (SAML/OIDC) cho tenant.
- Thiết lập Data Policy và Notification Settings.
- Tạo/xóa Enrollment Key cho Sensor.
- Publish/Unpublish Sensor Config.
R2 - Platform Admin
- Đối tượng sử dụng: Security Engineer, Detection Engineer, SIEM Content Developer.
- Tình huống sử dụng: Xây dựng và liên tục cải thiện nội dung phát hiện.
- Quyền chính:
- Toàn quyền với Parser (tạo/sửa/xóa/test).
- Toàn quyền với Rule (Streaming + Threshold, Visual + YAML editor).
- Tạo/cấu hình Data Connector.
- Cài/gỡ Content Pack từ Marketplace.
- Tạo/Publish Custom Dashboard.
- Tạo Custom Field (Settings > Fields).
- Truy cập Search (không xem được raw log thuộc quyền sở hữu của bên khác).
R3 - SOC Manager
- Đối tượng sử dụng: SOC Team Lead, Security Operations Manager.
- Tình huống sử dụng: Giám sát hiệu suất đội ngũ, tổng hợp báo cáo, phân công công việc.
- Quyền chính:
- Xem toàn bộ Alert và Case (bao gồm chưa phân công).
- Phân công Alert/Case cho bất kỳ analyst nào trong nhóm.
- Chỉnh sửa nhanh hàng loạt Alert/Case.
- Tạo và xuất Report.
- Xem và tạo Dashboard.
- Xem hiệu suất rule (chỉ đọc, không chỉnh sửa).
- Truy cập Search (events và raw logs).
- Cấu hình Notification Settings.
- Bị giới hạn: Không được tạo/sửa rule, cấu hình parser, IDP, Data Policy.
R4 - SOC Analyst L2
- Đối tượng sử dụng: Senior SOC Analyst, Tier 2 Analyst.
- Tình huống sử dụng: Điều tra chuyên sâu, xử lý sự cố phức tạp, tiếp nhận chuyển cấp từ L1.
- Quyền chính:
- Xem và chỉnh sửa đầy đủ Alert (Severity, Mark as, Assign to, Status, Close Reason).
- Tạo Case mới (độc lập).
- Đóng Case (Status = Closed, bắt buộc Close Reason).
- Thêm/xóa Alert khỏi Case.
- Đính kèm tệp vào Case.
- Tạo Dashboard (cá nhân hoặc publish cho nhóm).
- Tạo và xuất Report.
- Truy cập Search bao gồm raw logs.
- Xem Rule (không tạo/sửa/xóa).
- Xem trạng thái Sensor và Connection (không cấu hình).
R5 - SOC Analyst L1
- Đối tượng sử dụng: Junior SOC Analyst, Tier 1 Analyst, Help Desk Security.
- Tình huống sử dụng: Giám sát, phân loại, chuyển cấp.
- Giới hạn chính:
- Chỉ đổi trạng thái Alert từ New -> In Progress (không được Close).
- Chỉ được thêm Alert vào Case hiện có (không tạo Case mới).
- Không được phân công Alert/Case cho người khác (chỉ Assign to Me).
- Không được Mark as True/False Positive (chỉ xem).
- Chỉ xem Dashboard, không tạo.
- Chỉ xem Report, không tạo/xuất.
- Chỉ xem Search events (không xem raw logs).
- Không có quyền truy cập Rules.
R6 - Viewer / Auditor
- Đối tượng sử dụng: Compliance Officer, Executive, External Auditor, CISO.
- Tình huống sử dụng: Giám sát tổng thể, kiểm toán, báo cáo cấp điều hành.
- Giới hạn: Chỉ đọc hoàn toàn, không có bất kỳ thao tác ghi/chỉnh sửa nào.
- Quyền chính:
- Xem Dashboard (không tạo/sửa).
- Tải xuống Report có sẵn.
- Xem danh sách Alert và Case.
- Xem Search events (không raw logs, không saved queries).
4. Ma trận quyền chi tiết
Chú giải:
- ✅: Được cấp quyền
- ❌: Không có quyền
- 👁: Chỉ xem (quyền đọc hạn chế)
Vai trò: R1 = Tenant Admin | R2 = Platform Admin | R3 = SOC Manager | R4 = SOC Analyst L2 | R5 = SOC Analyst L1 | R6 = Viewer
4.1 Data Collection - Data Connectors
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem danh sách & trạng thái Connections | dataConnector.view | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Sửa Connections (Create/Edit/Pause/Resume) | dataConnector.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Connections | dataConnector.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Tạo API Key | dataConnector.generateApiKey | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
4.2 Data Collection - Sensor
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem danh sách & trạng thái Sensors | sensor.view | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Sửa Sensor Config (Create/Edit/Publish/Install) | sensor.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Sensor Config | sensor.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Quản lý Enrollment Keys (Create/Delete) | sensor.manageEnrollmentKey | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
Ghi chú: Enrollment Key là thông tin xác thực cho sensor; chỉ Tenant Admin được quản lý.
4.3 Parser & Fields
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Parsers | parser.view | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Sửa Parsers (Create/Edit/Test) | parser.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Parsers | parser.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xem Custom Fields | customField.view | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Sửa Custom Fields (Create) | customField.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Custom Fields | customField.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
4.4 Search
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Truy cập Search & truy vấn events (Query/Text/Advanced/Events) | search.query | ✅ | ✅ | ✅ | ✅ | ✅ | ❌ |
| Xem tab Raw log | search.viewRawLog | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Xem Saved Queries & Aggregations | search.viewSavedQuery | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Sửa Saved Queries (Create/Edit) | search.editSavedQuery | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Xóa Saved Queries | search.deleteSavedQuery | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
4.5 Rules - Streaming Rule
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem danh sách & chi tiết Rules (Custom + Built-in) | ruleStreaming.view | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Sửa Rules (Create/Edit/Enable-Disable) | ruleStreaming.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Rules | ruleStreaming.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
4.6 Rules - Threshold Rule (Correlation)
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Threshold Rules | ruleThreshold.view | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Sửa Threshold Rules (Create/Edit/Test/Time Settings) | ruleThreshold.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Threshold Rules | ruleThreshold.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
4.7 Alerts
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Alerts (list, details, activity history, filter/sort) | alert.view | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Xem tab Alert Event | alert.viewEvent | ✅ | ✅ | ✅ | ✅ | ✅ | ❌ |
| Sửa Alert (Severity, Status, Mark as, Assign to Me, Tag) | alert.edit | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
| Sửa Alert nâng cao (Assign others, Quick Edit, Add+Create Case) | alert.editAdvanced | ✅ | ❌ | ✅ | ✅ | ❌ | ❌ |
| Thêm bình luận Alert | alert.commentCreate | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
| Sửa bình luận Alert | alert.commentEdit | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
| Xóa bình luận Alert | alert.commentDelete | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
4.8 Cases
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Cases (list, details, Entity, Alerts, Activity, Attachment) | case.view | ✅ | ❌ | ✅ | ✅ | ✅ | ✅ |
| Tạo Case | case.create | ✅ | ❌ | ✅ | ✅ | ❌ | ❌ |
| Sửa Case (Status->In Progress, Severity, Assign to Me, Tag, Add/Remove Alert, Upload Attachment) | case.edit | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
| Sửa Case nâng cao (Status->Closed, Assign others, Quick Edit) | case.editAdvanced | ✅ | ❌ | ✅ | ✅ | ❌ | ❌ |
| Xóa Case | case.delete | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
| Thêm bình luận Case | case.commentCreate | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
| Sửa bình luận Case | case.commentEdit | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
| Xóa bình luận Case | case.commentDelete | ✅ | ❌ | ✅ | ✅ | ✅ | ❌ |
4.9 Case Template & SLA
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Case Templates & SLA | caseTemplate.view | ✅ | ❌ | ✅ | ✅ | ❌ | ❌ |
| Sửa Case Templates & SLA (Create/Edit/Assign SLA) | caseTemplate.edit | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
| Xóa Case Templates & SLA | caseTemplate.delete | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
4.10 Dashboard
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Dashboards (Published + Built-in + Export) | dashboard.view | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Sửa Dashboard (Create/Configure/Publish own) | dashboard.edit | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Xóa Dashboard của chính mình | dashboard.delete | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Sửa/Xóa Dashboard của tất cả người dùng | dashboard.manageAll | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
| Xuất/Tải xuống Dashboard | dashboard.export | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
4.11 Reports
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Report Library & danh sách Reports | report.view | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Sửa Reports (Create/Configure/Activate Template) | report.edit | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Xóa Reports | report.delete | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Tải xuống Report | report.download | ✅ | ✅ | ✅ | ✅ | ❌ | ✅ |
4.12 Marketplace - Catalog
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Content Packs (list + details) | marketplaceCatalog.view | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Sửa Content Packs (Install/Upgrade/Upload/Publish) | marketplaceCatalog.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Content Packs (Uninstall) | marketplaceCatalog.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
4.13 Marketplace - Integrations
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem danh sách Integrations | marketplaceIntegration.view | ✅ | ✅ | ✅ | ❌ | ❌ | ❌ |
| Sửa Integrations (Add/Edit/Toggle/Test) | marketplaceIntegration.edit | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
| Xóa Integrations | marketplaceIntegration.delete | ✅ | ✅ | ❌ | ❌ | ❌ | ❌ |
4.14 Settings - Identity Provider (IDP)
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem cấu hình IDP | settingIdp.view | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Sửa IDP (Create/Configure/Enable-Disable) | settingIdp.edit | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Xóa IDP | settingIdp.delete | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
4.15 Settings - Notification
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Notification Settings (Alert/Case/Connection) | settingNotification.view | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
| Sửa Notification Settings (Configure) | settingNotification.edit | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
| Xóa Notification Settings | settingNotification.delete | ✅ | ❌ | ✅ | ❌ | ❌ | ❌ |
4.16 Settings - Data Policy
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Data Retention Policy | settingDataPolicy.view | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Sửa Data Retention Policy (Configure) | settingDataPolicy.edit | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Xóa Data Retention Policy | settingDataPolicy.delete | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
4.17 IAM - Permissions & Policies
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Permissions & Policies | iam.viewPolicy | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Sửa Permissions & Policies (Create/Edit/Clone/Assign) | iam.editPolicy | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Xóa Permissions & Policies | iam.deletePolicy | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Xem Users | iam.viewUser | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Sửa Users (Invite/Create/Edit) | iam.editUser | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
| Xóa Users | iam.deleteUser | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ |
4.18 SOC Metrics (Built-in Dashboard)
| Chức năng | Mã quyền | R1 | R2 | R3 | R4 | R5 | R6 |
|---|---|---|---|---|---|---|---|
| Xem Project SOC Dashboard (MTTA/MTTR, EPS, Alert/Case metrics) | socMetrics.viewProject | ✅ | ❌ | ✅ | ✅ | 👁 | ✅ |
| Xem Threat Intelligence metrics (IOC matches, malicious IPs) | socMetrics.viewThreatIntel | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| Xuất/Tải xuống SOC Dashboard | socMetrics.export | ✅ | ❌ | ✅ | ✅ | ❌ | ✅ |
5. Tóm tắt quyền theo vai trò
| Nhóm chức năng | R1 (Tenant Admin) | R2 (Platform Admin) | R3 (SOC Manager) | R4 (SOC Analyst L2) | R5 (SOC Analyst L1) | R6 (Viewer) |
|---|---|---|---|---|---|---|
| Data Connectors | ✅ (Full) | ✅ (Full) | 👁 | 👁 | ❌ | ❌ |
| Sensor | ✅ (Full) | ✅ (Config+Install) | 👁 | 👁 | ❌ | ❌ |
| Parser & Fields | ✅ (Full) | ✅ (Full) | ❌ | ❌ | ❌ | ❌ |
| Search | ✅ (Full + Raw) | ✅ (Full + Raw) | ✅ (Full + Raw) | ✅ (Full + Raw) | ✅ (Events only) | ❌ |
| Rules | ✅ (Full) | ✅ (Full) | 👁 | 👁 | ❌ | ❌ |
| Alerts | ✅ (Full) | 👁 | ✅ (Full) | ✅ (Full) | Triage | 👁 |
| Cases | ✅ (Full) | ❌ | ✅ (Full) | ✅ (+Create+Close) | Triage | 👁 |
| Case Template/SLA | ✅ (Full) | ❌ | ✅ (Full) | 👁 | ❌ | ❌ |
| Dashboard | ✅ (Full) | ✅ (Create+Publish) | ✅ (Full) | ✅ (Own) | 👁 | 👁 |
| Reports | ✅ (Full) | ✅ (Full) | ✅ (Full) | ✅ (Full) | 👁 | 👁 + Download |
| Marketplace Catalog | ✅ (Full) | ✅ (Install) | ❌ | ❌ | ❌ | ❌ |
| Marketplace Integrations | ✅ (Full) | ✅ (Full) | 👁 | ❌ | ❌ | ❌ |
| IDP Settings | ✅ (Full) | ❌ | ❌ | ❌ | ❌ | ❌ |
| Notification Settings | ✅ (Full) | ❌ | ✅ (Config) | ❌ | ❌ | ❌ |
| Data Policy | ✅ (Full) | ❌ | ❌ | ❌ | ❌ | ❌ |
| IAM | ✅ (Full) | ❌ | ❌ | ❌ | ❌ | ❌ |
| SOC Metrics Dashboard | ✅ (Full) | 👁 (TI only) | ✅ (Project) | ✅ (Project) | 👁 (Limited) | ✅ (Project) |