Marketplace là nơi tập trung các tài nguyên dùng chung trong hệ thống SecOps, cho phép người dùng cài đặt và tái sử dụng các cấu hình phục vụ cho việc thu thập, xử lý và phân tích log.

Thông qua Marketplace, người dùng không cần xây dựng mọi thứ từ đầu mà có thể tận dụng các thành phần đã được chuẩn hóa, giúp rút ngắn thời gian triển khai và đảm bảo tính nhất quán trong hệ thống.

Nguyên tắc hoạt động:

Marketplace trong SecOps được thiết kế nhằm cung cấp một cơ chế phân phối, tái sử dụng và quản lý vòng đời của các content (package) một cách nhất quán và có kiểm soát.

1. Đối tượng sử dụng (User Roles)

Để hệ thống vận hành trơn tru, Marketplace phân chia rõ trách nhiệm cho 3 nhóm đối tượng chính:

• Creator (Người tạo nội dung):
  • Vai trò: Là các chuyên gia bảo mật hoặc kỹ sư hệ thống.
  • Nhiệm vụ: Phát triển các gói nội dung (Connectors, Rules, Dashboards...) theo tiêu chuẩn.
  • Hành động: Đóng gói, đẩy nội dung lên Git và gửi yêu cầu publish lên Marketplace.
• User (Người sử dụng nội dung):
  • Vai trò: Người sử dụng; Đội ngũ vận hành.
  • Nhiệm vụ: Tìm kiếm các giải pháp phù hợp với nhu cầu thực tế của hệ thống.
  • Hành động: Cài đặt (Install), cập nhật (Update) và kế thừa các cấu hình sẵn có từ Marketplace để triển khai nhanh chóng.
• Admin (Người phê duyệt):
  • Vai trò: Quản trị viên hệ thống (Portal Admin).
  • Nhiệm vụ: Kiểm soát chất lượng và tính an toàn của các gói nội dung công khai.
  • Hành động: Review mã nguồn trên Git, kiểm tra tính tương thích và thực hiện Approve (phê duyệt) để Package hiển thị công khai trên Marketplace.

2. Danh mục tài nguyên (Content Types)

Marketplace cung cấp đa dạng các loại tài nguyên để hỗ trợ toàn diện chu kỳ vận hành an ninh (SOC/SIEM):

• Data Parsers: Các bộ định nghĩa chuẩn hóa dữ liệu sang định dạng ECS để đảm bảo tính đồng bộ trong phân tích.
• Connectors: Các gói cấu hình hỗ trợ kết nối và nạp dữ liệu (Ingest Data) từ các thiết bị ngoại vi như Firewall, Cloud Service, Endpoint...
• Detection Rules: Các bộ quy tắc phát hiện mã độc, hành vi bất thường hoặc các kỹ thuật tấn công phổ biến (theo khung MITRE ATT&CK).
• Dashboards: Giao diện trực quan hóa dữ liệu được thiết kế sẵn, giúp theo dõi các chỉ số bảo mật quan trọng (KPIs) một cách trực quan.
• Playbooks: Các quy trình phản ứng sự cố tự động (Automation), giúp rút ngắn thời gian xử lý khi có cảnh báo nguy hiểm xảy ra.

3. Phân loại Content

Người dùng (creator) có thể tạo và publish các content lên Marketplace. Các content này được chia thành 2 loại chính:

• Content Public:
  • Là các package được chia sẻ rộng rãi
  • Có thể được sử dụng bởi tất cả tenant trong hệ thống
  • Cần trải qua quy trình kiểm duyệt (review/approval) trước khi publish
• Content Private:
  • Là các package phục vụ nội bộ trong một tenant
  • Chỉ các user thuộc tenant mới nhìn thấy Pack đó trên Marketplace
  • Không cần qua quy trình kiểm duyệt