A

SecAgent

Hệ thống trợ lý AI đa agent hỗ trợ các công việc SecOps như điều tra alert, săn tìm mối đe dọa và tra cứu tài liệu. Xem thêm: Agent

AI/ML (Artificial Intelligence / Machine Learning)

Trí tuệ nhân tạo / Học máy. Các mô hình được UEBA sử dụng để nhận diện hành vi bất thường và hỗ trợ tính điểm rủi ro. Xem thêm: Tổng quan UEBA

Alert

Cảnh báo được tạo khi rule phát hiện điều kiện đáng ngờ. Chuyên viên SOC sử dụng alert làm điểm bắt đầu cho quá trình điều tra. Xem thêm: Tổng quan Case & Alert

Anomaly

Hành vi lệch đáng kể khỏi baseline của người dùng, thiết bị hoặc tài khoản trong một bối cảnh thời gian cụ thể. Xem thêm: Danh sách Anomaly

Anomaly Score

Điểm do mô hình gán cho một sự kiện bất thường, biểu thị mức độ tin cậy của phát hiện, theo thang điểm 0–100. Xem thêm: Tổng quan UEBA

ASN (Autonomous System Number)

Mã số định danh một hệ thống tự trị (Autonomous System) trên Internet. ASN có thể được bổ sung vào dữ liệu IP thông qua Geo Enrichment. Xem thêm: Tổng quan Enrichment

Attack Pattern

Chuỗi hành vi hoặc mẫu tấn công được nhận diện bằng cách phân tích mối liên hệ giữa nhiều sự kiện. Xem thêm: Tổng quan Rule

B

Baseline

Hồ sơ hành vi bình thường của một thực thể, được xây dựng từ dữ liệu lịch sử và dùng làm mốc so sánh để phát hiện bất thường. Xem thêm: Tổng quan UEBA

Benign

Phân loại alert cho hoạt động không gây hại hoặc chưa được xác định rõ là mối đe dọa. Xem thêm: Chỉnh sửa Alert

C

Case

Hồ sơ tập hợp một hoặc nhiều alert (hoặc được tạo độc lập) để tổ chức điều tra, phân công người xử lý và theo dõi vòng đời của sự cố. Xem thêm: Tổng quan Case & Alert

CCR (Case Closure Rate)

Tỷ lệ case đã đóng trên tổng số case, dùng để theo dõi hiệu quả xử lý và lượng tồn đọng (backlog) của SOC. Xem thêm: SOC Metrics

Collector

Thành phần hoặc dịch vụ thu thập dữ liệu từ nguồn và đưa dữ liệu vào hệ thống SecOps. Xem thêm: Tổng quan Data Pipeline

Common Schema

Bộ trường chuẩn của hệ thống, dùng để biểu diễn dữ liệu theo một cấu trúc thống nhất. Dữ liệu không có sẵn trong bộ trường này có thể được lưu bằng Custom Field. Xem thêm: Tổng quan Fields

Connector

Cấu hình kết nối tới nguồn hoặc đích dữ liệu, thường được khởi tạo từ template phù hợp với hệ thống cần tích hợp. Xem thêm: Tổng quan Data Pipeline

Correlation Rule

Rule phân tích mối liên hệ giữa nhiều sự kiện trong một khoảng thời gian nhằm phát hiện chuỗi hành vi hoặc mẫu tấn công. Xem thêm: Tổng quan Rule

Coverage

Mức độ các rule đã cài đặt bao phủ các Tactic, Technique và Sub-technique trên ma trận MITRE ATT&CK. Xem thêm: Coverage

Custom Field

Trường dữ liệu do người dùng định nghĩa để lưu các thông tin đặc thù không có trong Common Schema mặc định. Xem thêm: Tổng quan Fields

Custom Rule

Correlation Rule do người dùng viết bằng SQL để kiểm tra logic nghiệp vụ hoặc mối liên hệ giữa các sự kiện. Xem thêm: Custom Rule

D

Dashboard

Giao diện trực quan hóa dữ liệu log và sự kiện bằng biểu đồ, giúp theo dõi và phân tích hoạt động bảo mật. Xem thêm: Tổng quan Dashboard & Report

Data Pipeline

Luồng xử lý đưa dữ liệu từ Source qua Transformation đến Destination. Xem thêm: Tổng quan Data Pipeline

Data Source

Nguồn dữ liệu được chọn để truy vấn hoặc phân tích, chẳng hạn log và sự kiện từ một kết nối. Xem thêm: Query Search

Destination

Điểm cuối tiếp nhận dữ liệu sau bước Transformation, dùng để lưu trữ hoặc phục vụ truy vấn và phân tích. Xem thêm: Tổng quan Data Pipeline

Detection Rule

Quy tắc xác định điều kiện hoặc logic để tự động phát hiện sự kiện đáng ngờ và tạo alert. Xem thêm: Tổng quan Rule

Docs Agent

Agent hỏi đáp dựa trên Portal Docs, giúp người dùng tra cứu tài liệu bằng ngôn ngữ tự nhiên. Xem thêm: Bắt đầu với Docs Agent

E

ECS (Elastic Common Schema)

Schema chuẩn hóa các trường sự kiện, giúp dữ liệu từ nhiều nguồn khác nhau được phân tích một cách nhất quán. Xem thêm: Tổng quan Marketplace

Enrichment

Quá trình bổ sung thông tin ngữ cảnh vào sự kiện bằng cách đối chiếu dữ liệu với các nguồn như GeoIP, thông tin thiết bị hoặc danh tính người dùng. Xem thêm: Tổng quan Enrichment

Entity

Đối tượng được UEBA theo dõi và phân tích, chủ yếu gồm User và Device cùng các thuộc tính liên quan. Xem thêm: Tổng quan UEBA

Event

Bản ghi sự kiện bảo mật được thu thập từ nguồn log. Event có thể được phân tích và chuẩn hóa để phục vụ tìm kiếm, tương quan và phát hiện mối đe dọa. Xem thêm: Tổng quan SIEM

F

False Positive

Trường hợp hệ thống gắn cờ một hoạt động là bất thường hoặc rủi ro nhưng thực tế hoạt động đó hợp lệ (cảnh báo giả). Xem thêm: Tổng quan UEBA

Field

Trường dữ liệu chứa một thuộc tính của log hoặc event, được dùng để chuẩn hóa, lọc, truy vấn và phân tích. Xem thêm: Tổng quan Fields

FPR (False Positive Rate)

Tỷ lệ alert được xác nhận là cảnh báo giả trên tổng số alert đã được phân loại. Xem thêm: SOC Metrics

I

Incident

Sự cố an toàn thông tin cần được điều tra, xử lý và theo dõi. Trong SecOps, alert và case hỗ trợ quy trình xử lý sự cố. Xem thêm: Tổng quan Case & Alert

IOC (Indicator of Compromise)

Chỉ báo có thể liên quan đến xâm nhập như địa chỉ IP, domain, URL hoặc file hash, được dùng để đối chiếu với log. Xem thêm: SQL User Guide

K

KPI (Key Performance Indicator)

Chỉ số hiệu suất dùng để theo dõi hoạt động hoặc kết quả vận hành, thường được trình bày trên dashboard. Xem thêm: Tổng quan Dashboard & Report

KQL (Kusto Query Language)

Ngôn ngữ truy vấn được giao diện Threshold Rule sử dụng để tạo bản xem trước từ các điều kiện đã cấu hình. Xem thêm: Threshold Rule

L

Log Source

Nguồn log được cấu hình trong hệ thống. Log Source có thể gắn với connector và được dùng để giới hạn phạm vi tìm kiếm hoặc áp dụng cấu hình index. Xem thêm: Text Search

Lucene Query

Cú pháp truy vấn hỗ trợ tìm kiếm theo field, toán tử và giá trị, bao gồm cả việc kết hợp các điều kiện logic. Xem thêm: Query Search

M

Machine Learning (ML)

Học máy. Phương pháp giúp mô hình học từ dữ liệu để phát hiện hành vi lệch chuẩn mà không chỉ dựa vào rule tĩnh. Xem thêm: Danh sách Anomaly

Marketplace

Nơi phân phối và quản lý các gói nội dung SecOps có thể cài đặt, tái sử dụng và cập nhật. Xem thêm: Tổng quan Marketplace

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge)

Khung phân loại các hành vi và kỹ thuật tấn công. SecOps ánh xạ rule lên khung này để theo dõi phạm vi phát hiện. Xem thêm: Coverage

MTTA (Mean Time to Acknowledge)

Thời gian trung bình từ khi alert được tạo đến khi Analyst tiếp nhận và bắt đầu xử lý. Xem thêm: SOC Metrics

MTTD (Mean Time to Detect)

Thời gian trung bình từ khi sự kiện xảy ra đến khi hệ thống phát hiện và tạo alert. Xem thêm: SOC Metrics

MTTR (Mean Time to Resolve)

Thời gian trung bình để Analyst xử lý và đóng case kể từ khi case được tạo. Xem thêm: SOC Metrics

P

Pack

Gói nội dung trên Marketplace, có thể chứa một hoặc nhiều thành phần như Transformation, Rule, Dashboard hoặc Connector. Xem thêm: Tổng quan Marketplace

Transformation

Thành phần phân tích log thô, trích xuất dữ liệu và ánh xạ vào các trường chuẩn hóa hoặc trường tùy chỉnh. Xem thêm: Ứng dụng Custom Field

Passthrough

Chế độ chuyển dữ liệu qua Transformation mà không áp dụng Processor, giữ nguyên nội dung nhận từ Source. Xem thêm: Tổng quan Data Pipeline

Peer Group

Nhóm người dùng có đặc điểm tương đồng (ví dụ cùng phòng ban hoặc vai trò), dùng làm đối tượng so sánh hành vi. Xem thêm: Chi tiết User

Playbook

Quy trình phản ứng sự cố tự động, có thể được phân phối dưới dạng nội dung tái sử dụng trên Marketplace. Xem thêm: Tổng quan Marketplace

Processor

Một bước xử lý trong Transformation, có thể phân tích, chuyển đổi, chuẩn hóa, lọc hoặc định tuyến dữ liệu. Xem thêm: Tổng quan Data Pipeline

Q

Query Search

Chế độ tìm kiếm bằng cú pháp Lucene hoặc SQL, cho phép lọc theo field và kết hợp các điều kiện logic. Xem thêm: Tổng quan Search

R

Raw Log

Dữ liệu log nguyên bản ở định dạng nhận từ nguồn, chưa qua phân tích hoặc chuẩn hóa. Xem thêm: Tổng quan Search

Report

Báo cáo được tạo từ template và biểu đồ, có thể tùy chỉnh bố cục trước khi xuất. Xem thêm: Tổng quan Dashboard & Report

Risk Score

Điểm tổng hợp phản ánh mức độ rủi ro của User hoặc Entity, được tính dựa trên các anomaly và các yếu tố như độ tin cậy, thời điểm và mức độ nghiêm trọng. Xem thêm: Tổng quan UEBA

Risk Score Engine

Thành phần của UEBA tính và gán điểm rủi ro cho từng Entity dựa trên anomaly, trọng số, độ cũ của sự kiện và mức độ quan trọng của tài khoản. Xem thêm: Risk Score

Rule

Tập điều kiện phát hiện mà hệ thống đánh giá trên dữ liệu để nhận diện hoạt động đáng ngờ và tạo alert. Xem thêm: Tổng quan Rule

S

Search

Tính năng truy vấn và phân tích dữ liệu log thô hoặc event đã được chuẩn hóa. Xem thêm: Tổng quan Search

SecOps (Security Operations)

Hoạt động vận hành an toàn thông tin, bao gồm giám sát, phát hiện, điều tra và ứng phó với các mối đe dọa. Xem thêm: Tổng quan SecOps

Sensor

Tác nhân thu thập log và sự kiện bảo mật tại đầu cuối, sau đó truyền dữ liệu về nền tảng SecOps. Xem thêm: Tổng quan Sensor

SIEM (Security Information and Event Management)

Hệ thống tập trung log và event, chuẩn hóa và phân tích chúng để tìm mối liên hệ, phát hiện hoạt động đáng ngờ và tạo cảnh báo. Xem thêm: Tổng quan SIEM

SLA (Service Level Agreement)

Cơ chế theo dõi cam kết thời gian tiếp nhận và xử lý case, có thể bao gồm cảnh báo hoặc leo thang khi có nguy cơ quá hạn. Xem thêm: Tổng quan SLA

SOAR (Security Orchestration, Automation and Response)

Cách tiếp cận tự động hóa các bước phản hồi sự cố nhằm giảm thao tác thủ công. Xem thêm: Tổng quan SecOps

SOC (Security Operations Center)

Trung tâm hoặc đội ngũ chịu trách nhiệm giám sát, điều tra cảnh báo và ứng phó sự cố an toàn thông tin. Xem thêm: Tổng quan SecOps

Source

Thành phần đầu vào của Data Pipeline, kết nối và thu thập dữ liệu từ hệ thống nguồn theo cơ chế Push hoặc Pull. Xem thêm: Tổng quan Data Pipeline

SQL (Structured Query Language)

Ngôn ngữ truy vấn dùng để lọc, tổng hợp hoặc liên kết dữ liệu. Threat Hunting hỗ trợ Trino SQL. Xem thêm: SQL User Guide

Streaming Rule

Rule đánh giá từng log hoặc event ngay khi được ghi nhận (real-time) và tạo alert ngay khi dữ liệu khớp điều kiện. Xem thêm: Tổng quan Rule

T

Tactic

Mục tiêu hoặc giai đoạn cấp cao trong cách phân loại hành vi tấn công của MITRE ATT&CK; có thể được ánh xạ với rule. Xem thêm: Coverage

Technique

Phương thức cụ thể mà đối tượng tấn công sử dụng để đạt được một Tactic. Một rule có thể được ánh xạ vào một hoặc nhiều Technique. Xem thêm: Coverage

Text Search

Chế độ tìm kiếm văn bản tự do trên các field đã được gán index. Xem thêm: Text Search

Text Search Index

Cấu hình đánh index cho field để nội dung của field đó có thể được tìm kiếm bằng Text Search. Xem thêm: Text Search

Threat Hunting

Hoạt động chủ động truy vấn dữ liệu event và entity để điều tra dấu hiệu bất thường hoặc mối đe dọa mà rule tự động có thể chưa phát hiện. Xem thêm: Tổng quan Threat Hunting

Threat Intelligence (TI)

Thông tin về các chỉ báo hoặc mối đe dọa (như IP, domain, file hash) có thể được truy vấn hoặc đối chiếu với event. Xem thêm: SQL User Guide

Threshold Rule

Correlation Rule chỉ kích hoạt khi số lượng sự kiện hoặc số giá trị duy nhất vượt ngưỡng trong khoảng thời gian đã cấu hình. Xem thêm: Threshold Rule

Transformation

Bước trung gian trong Data Pipeline, quyết định dữ liệu được xử lý bằng Processor hay được chuyển tiếp nguyên trạng. Xem thêm: Tổng quan Data Pipeline

Trino SQL

Biến thể SQL được Threat Hunting sử dụng để tìm kiếm, tổng hợp và liên kết dữ liệu bảo mật. Xem thêm: SQL User Guide

True Positive

Phân loại alert đã được xác nhận là mối đe dọa thực tế. Xem thêm: Chỉnh sửa Alert

U

UEBA (User and Entity Behavior Analytics)

Module phân tích hành vi người dùng và thực thể, sử dụng baseline cùng mô hình hoặc rule để phát hiện bất thường và đánh giá rủi ro. Xem thêm: Tổng quan UEBA

W

Widget

Thành phần trực quan trên Dashboard, thường hiển thị dữ liệu dưới dạng biểu đồ hoặc chỉ số. Xem thêm: Ứng dụng Custom Field

X

XDR (Extended Detection and Response)

Cách tiếp cận kết hợp dữ liệu từ nhiều nguồn như endpoint, máy chủ và đám mây để phát hiện và ứng phó với tấn công. Xem thêm: Tổng quan SecOps