Microsoft Defender XDR là gì? Tổng quan workshop TWL300 (Phần 1/8)

Microsoft Defender XDR là nền tảng phát hiện và phản hồi mở rộng (XDR) hợp nhất tín hiệu bảo mật từ email, danh tính, thiết bị đầu cuối và ứng dụng đám mây về một cổng duy nhất. Đây là bài mở đầu cho chuỗi 8 bài thực hành Microsoft Defender XDR dựa trên workshop mã nguồn mở TWL300 – Understanding XDR của Microsoft. Trong phần này, bạn sẽ nắm bức tranh tổng thể: XDR giải quyết vấn đề gì, gồm những thành phần nào, và vì sao kịch bản doanh nghiệp Zava Group lại sát thực tế của một trung tâm điều hành an ninh (SOC).

Microsoft Defender XDR là gì?

Trong mô hình bảo mật truyền thống, mỗi lớp phòng thủ — email, danh tính, endpoint, cloud app — sinh ra cảnh báo riêng lẻ. Analyst phải nhảy qua lại nhiều console, tự ghép nối manh mối và dễ bỏ sót chuỗi tấn công. Microsoft Defender XDR thay đổi điều đó bằng cách tự động gom các cảnh báo liên quan thành một incident duy nhất, đính kèm dòng thời gian tấn công và đề xuất hành động khắc phục.

Khác với SIEM thuần (như Microsoft Sentinel) thiên về thu thập và truy vấn log diện rộng, XDR tập trung vào tương quan tín hiệu gốc từ các sản phẩm Defender và phản hồi nhanh. Hai công cụ này bổ trợ nhau: Defender XDR lo phần phát hiện sâu theo workload, Sentinel mở rộng phạm vi và điều phối (SOAR). Bạn có thể tham khảo tài liệu chính thức tại Microsoft Learn về Defender XDR.

Bốn trụ cột của Microsoft Defender XDR

Toàn bộ chuỗi bài xoay quanh bốn sản phẩm lõi tạo nên trải nghiệm XDR hợp nhất:

Sản phẩm	Viết tắt	Bảo vệ lớp nào
Microsoft Defender for Endpoint	MDE	Thiết bị đầu cuối: phát hiện & phản hồi (EDR), giảm bề mặt tấn công
Microsoft Defender for Office 365	MDO	Email & cộng tác: Safe Links, Safe Attachments, chống lừa đảo
Microsoft Defender for Identity	MDI	Danh tính on-prem (AD): phát hiện tấn công danh tính
Microsoft Defender for Cloud Apps	MDA	Ứng dụng SaaS: giám sát OAuth, hành vi bất thường, shadow IT

Bốn nguồn tín hiệu này đổ về cổng security.microsoft.com, nơi analyst điều tra incident, chạy Advanced Hunting bằng ngôn ngữ truy vấn KQL, theo dõi Microsoft Secure Score và kích hoạt phản hồi tự động (AIR). Khi kết hợp với Microsoft Entra ID P2, bạn còn có chính sách truy cập dựa trên rủi ro (risk-based Conditional Access).

Sức mạnh thật sự của mô hình này nằm ở khả năng tương quan chéo: một email lừa đảo (MDO) dẫn tới đăng nhập bất thường (MDI), rồi hành vi đáng ngờ trên máy trạm (MDE) và tải dữ liệu sau giờ trên ứng dụng đám mây (MDA) sẽ được ghép thành cùng một câu chuyện tấn công. Thay vì bốn cảnh báo rời rạc, analyst nhìn thấy một kill-chain hoàn chỉnh — rút ngắn đáng kể thời gian phát hiện và phản hồi.

Kịch bản xuyên suốt: Zava Group

Điểm hay của workshop TWL300 là mọi bài lab đều bám một kịch bản doanh nghiệp thực tế. Zava Group là tập đoàn cung ứng sản phẩm dầu khí đa khu vực, ưu tiên vận hành an toàn, liên tục và kiểm soát chi phí tại các nhà máy lọc dầu. Lực lượng lao động chia hai nhóm:

• 10.000 nhân viên văn phòng dùng Microsoft 365 E3 kèm Defender for Office 365 Plan 2 — phụ trách tài chính, giao dịch, mua sắm, kỹ thuật.
• 16.000 nhân sự tuyến đầu dùng Microsoft 365 F3, làm theo ca, dùng kiosk dùng chung và thiết bị bền (rugged devices).

Môi trường trải rộng từ Active Directory on-prem cho vận hành nhà máy, endpoint Windows hybrid-joined, đến nhiều ứng dụng SaaS cho cộng tác với nhà cung cấp. Đây chính là kiểu hạ tầng lai mà nhiều doanh nghiệp Việt Nam đang vận hành.

Các mối đe dọa Zava đang đối mặt

• Tấn công chiếm đoạt luồng email (thread hijacking) và yêu cầu chuyển hướng thanh toán nhắm vào hộp thư Kế toán phải trả (AP).
• Email lừa đảo vượt qua kiểm tra URL ban đầu, dẫn tới quy tắc hộp thư đáng ngờ trên tài khoản ưu tiên.
• Một cụm password-spray nhắm vào tài khoản theo ca từ cùng một ASN.
• Dấu vết hậu lừa đảo trên endpoint (script nén & rò rỉ dữ liệu) và cấp quyền OAuth rủi ro trên cloud app.

Mục tiêu của đội bảo mật Zava: hợp nhất khả năng quan sát qua email – danh tính – thiết bị – cloud app, đồng thời containment nhanh và tự động mà không làm gián đoạn an toàn vận hành nhà máy.

Bạn sẽ học được gì qua chuỗi 8 bài?

Workshop được thiết kế ở cấp độ L300 (chuyên sâu, thực hành). Sau toàn bộ chuỗi, một SOC analyst hoặc IT Pro sẽ có thể:

1. Giải thích portfolio Defender XDR và quy trình health-check hằng ngày của SOC.
2. Cấu hình bảo vệ endpoint, email, danh tính, cloud app theo best practice và đo tác động lên Secure Score.
3. Điều tra incident mức trung bình: phân loại cảnh báo, xoay trục theo thực thể, kiểm chứng bằng Advanced Hunting (KQL).
4. Phân tích & khắc phục sự cố thu thập dữ liệu (data ingestion), xác minh telemetry phục hồi bằng timestamp.
5. Dựng lại tấn công đa giai đoạn (ví dụ BEC), tương quan tín hiệu và map vào MITRE ATT&CK.
6. Thiết kế và thực thi containment/khắc phục bằng AIR và Live Response (thu hồi phiên, reset MFA, cô lập thiết bị).

Lộ trình các bài lab

• Lab 00 – Chuẩn bị môi trường & cấp phép.
• Lab 01 – XDR Health Check & làm quen sản phẩm.
• Lab 02 – Cấu hình XDR theo best practices (Secure Score).
• Lab 03 – Điều tra alert mức trung bình + AIR.
• Lab 04 – Khắc phục lỗi data ingestion.
• Lab 05 – Phân tích & map tấn công đa giai đoạn (BEC, MITRE ATT&CK).
• Lab 06 – Tự động hóa containment (AIR + Live Response).

Cần chuẩn bị gì để thực hành?

Để chạy đầy đủ các bài lab, bạn cần một tenant Microsoft 365 còn hoạt động với quyền truy cập security.microsoft.com và giấy phép phủ từng workload: Microsoft Defender XDR (qua Microsoft 365 E5 hoặc EMS E5), Defender for Endpoint Plan 2, Defender for Office 365 Plan 2, Defender for Identity, Defender for Cloud Apps và Microsoft Entra ID P2. Ngoài ra cần 1–2 người dùng thử, hộp thư và ít nhất một máy ảo Windows được onboard để tạo telemetry thật. Toàn bộ mã nguồn và hướng dẫn gốc nằm tại kho microsoft/TWL300-Understanding-XDR trên GitHub.

Kết luận

Microsoft Defender XDR mang lại trải nghiệm phát hiện và phản hồi hợp nhất mà mọi SOC hiện đại đều cần. Qua kịch bản Zava Group, workshop TWL300 biến lý thuyết thành kỹ năng thực chiến: từ health check, cấu hình theo chuẩn, điều tra incident, đến tự động hóa containment. Ở phần tiếp theo, chúng ta sẽ bắt tay vào Lab 00 – chuẩn bị môi trường và cấp phép để sẵn sàng cho các bài thực hành. Theo dõi trọn bộ chuỗi tại Office365Vietnam.info.