FAQ
Giải đáp các câu hỏi thường gặp về FPT CDR (Cloud Detection & Response) dành cho L1 Support.
1. Threats
| # | Câu hỏi | Trả lời |
|---|---|---|
| 1.1 | Threat là gì và đến từ đâu? | Threat là một mối đe dọa đang hoạt động, được hệ thống tương quan (correlate) từ nhiều nguồn tín hiệu — runtime signals, CSPM và KSPM detector — và làm giàu bởi Security Graph (subtitle màn Threats: "Active threats correlated from runtime signals and enriched by Security Graph."). Khác với một finding đơn lẻ, một threat gộp nhiều finding liên quan thành một bức tranh tấn công. |
| 1.2 | Proven in runtime và Theoretical khác nhau thế nào? | Cột Type thể hiện mức độ xác thực của threat. Proven in runtime (badge đỏ) đã được xác nhận qua tín hiệu runtime thực tế — ưu tiên xử lý trước. Theoretical (badge xanh dương) dựa trên phân tích lý thuyết, chưa có tín hiệu runtime xác nhận. |
| 1.3 | Open và Closed nghĩa là gì? | Open (badge xanh dương) là threat đang mở, chưa được xử lý. Closed (badge xám) là threat đã được Tenant Admin đóng. Một threat luôn khởi tạo ở Open và có thể chuyển qua lại giữa Open và Closed. |
| 1.4 | Đóng (Close) hoặc mở lại (Re-open) threat như thế nào? | Tại Threat List, tích một hoặc nhiều threat (nút Change Status chuyển enabled; khi chưa chọn, hover hiện "Select threats first"). Nhấn Change Status, chọn Close hoặc Re-open, nhập Comment (không bắt buộc), rồi nhấn Save (N). Toast báo "N threat(s) closed" hoặc "N threat(s) re-opened", và thay đổi được ghi vào History. Bạn cũng có thể đổi status ngay trong Threat Detail. |
| 1.5 | Chọn cả threat Open và Closed thì chuyện gì xảy ra? | Dropdown hiện cả Close và Re-open, nhưng hệ thống chỉ áp dụng cho threat khớp action: Close chỉ tác động threat Open, Re-open chỉ tác động threat Closed. Số N trong toast là số threat thực sự thay đổi. Nếu toàn bộ thất bại, hiện "Failed to update threats. Please try again." và danh sách giữ nguyên cho tới khi bạn Refresh. |
| 1.6 | Tìm và lọc threat như thế nào? | Search theo tên threat hoặc INV ID (tối thiểu 3 ký tự). Type: Proven in runtime / Theoretical. Status: Open / Closed. Các điều kiện kết hợp theo AND; danh sách sắp theo Detected At giảm dần (click header cột để đảo chiều). Chuyển trang hoặc đổi page size sẽ bỏ chọn các checkbox đang chọn. |
| 1.7 | Dòng INV-... · N finding(s) ở cột Threat nghĩa là gì? | Mỗi threat có một INV ID (mã điều tra, dạng INV-2026-0420) và số finding mà threat đó gộp lại, hiển thị ở dòng 2 của cột Threat (ví dụ "INV-2026-0420 · 3 findings"). Click tên threat ở dòng 1 để mở Threat Detail. |
2. Threat Detail
| # | Câu hỏi | Trả lời |
|---|---|---|
| 2.1 | Màn Threat Detail hiển thị gì? | Một Info Card (Threat ID, Type, Detected At, MITRE techniques click được, Kill chain), đồ thị Attack path, bảng Factors contributing to this threat, và hai tab Comments (mặc định) và History. Nút ← Back đưa về Threat List, giữ nguyên filter, sort và trang trước đó. |
| 2.2 | Đọc Attack path như thế nào? | Attack path là đồ thị mô tả chuỗi tấn công. Mỗi node là một entity (ví dụ IAM Role, S3 Bucket, Pod), nối bằng mũi tên có nhãn hành động (ví dụ "Runs", "Grants role"). Vai trò node (xem Legend): Entry point (node nguồn), Attack step (node trung gian, viền đỏ), và Target (node đích). Dùng Zoom out / Zoom in / Reset layout / Full screen để điều hướng. |
| 2.3 | "View in Graph" trong attack path để làm gì? | Click một node trong attack path sẽ hiện popup gồm tên node, loại resource và nút View in Graph →. Nút này chuyển sang Security Graph, tìm tới và highlight node đó bằng viền xanh dương, đồng thời tự mở Node Detail panel để bạn điều tra sâu hơn các kết nối xung quanh. |
| 2.4 | "Factors contributing to this threat" là gì? | Bảng các finding/issue đã hình thành threat, gồm cột Id · Source · Finding/issue · Asset · Detected at. Cột Source cho biết nguồn phát hiện: CSPM Issue (badge cam), KSPM Issue (badge xanh dương), hoặc K8s Runtime (badge tím). Bảng hỗ trợ phân trang (mặc định 10 dòng/trang). |
| 2.5 | Comment và History dùng để làm gì? | Comments ghi chú trao đổi về threat — nhập nội dung rồi nhấn Add comment (tối đa 2000 ký tự). History là nhật ký hoạt động của threat theo thời gian; mỗi dòng gồm thời điểm, sự kiện và người thực hiện, dòng đầu luôn là "Threat detected · System". Mọi lần đổi status (kèm comment nếu có) đều được ghi vào đây. |
3. Security Graph
| # | Câu hỏi | Trả lời |
|---|---|---|
| 3.1 | Security Graph là gì và tổ chức ra sao? | Security Graph trực quan hóa cách các cloud và Kubernetes resource kết nối với nhau để bạn điều tra quan hệ và rủi ro (subtitle: "See how your resources connect and where the risks are."). Các node được tổ chức theo 7 layer từ trên xuống: EXTERNAL · ORGANIZATION · NETWORK · COMPUTE · K8S · IDENTITY · DATA. Vào từ menu Graph, hoặc từ View in Graph → trong Threat Detail. |
| 3.2 | Node viền đỏ, xám và xanh dương khác nhau thế nào? | Viền đỏ: node có ít nhất 1 linked threat đang Open. Viền xám: node bình thường (không có open threat). Viền xanh dương: node đang được chọn (ưu tiên hiển thị cao hơn viền đỏ). |
| 3.3 | Click vào node thì xem được gì? | Click một node mở Node Detail panel (tiêu đề "Resource Details") bên phải: thông tin resource (Name, Type, VPC, Cluster, Namespace — — khi không có), LINKED THREATS [N] (chỉ threat đang Open, mới nhất trước; click một threat để mở Threat Detail; "No records found" khi N = 0), và CONNECTIONS [N] (các kết nối trực tiếp với số thứ tự, loại quan hệ, hướng và node liên quan). Click lại node đó hoặc Close để đóng panel. |
| 3.4 | Lọc và tìm node trong graph như thế nào? | Search ("Search by resource name") cần tối thiểu 3 ký tự; dưới 3 ký tự hiện "Type at least 3 characters to see matching resources". Autocomplete hiển thị tối đa 25 node khớp; chọn một node để pan/zoom tới. Select VPC và Select cluster lọc canvas. Các điều kiện kết hợp theo AND; không có node nào thỏa thì canvas hiện "No records found". Refresh tải lại topology mới nhất. |
| 3.5 | Vì sao một số layer không hiển thị? | Layer không có node nào (sau khi load hoặc sau khi áp filter) sẽ bị ẩn khỏi canvas, giữ nguyên thứ tự các layer còn lại. Khi bạn xóa filter và layer có node trở lại, layer sẽ hiển thị lại. Đây là hành vi bình thường, không phải thiếu dữ liệu. |
| 3.6 | Khi chọn một node, các số và kiểu mũi tên trên đường nối nghĩa là gì? | Ở trạng thái thường, đường nối không có nhãn. Khi chọn một node (Node Selected mode), các đường nối trực tiếp hiển thị số thứ tự (1, 2, 3…) khớp với panel CONNECTIONS. Mũi tên liền nét = outgoing (node này → node kia); mũi tên đứt nét = incoming (node kia → node này). Các node/đường không liên quan bị làm mờ. Loại quan hệ cụ thể (ví dụ Grants role, Runs as) xem trong panel CONNECTIONS, không hiển thị trên đường nối. Ngoài ra có Mini Map và nút Legend. |
4. Quyền truy cập
| # | Câu hỏi | Trả lời |
|---|---|---|
| 4.1 | Ai được xem và thao tác với threat? | CDR (Threats và Security Graph) dùng chung quyền với CSPM và CWPP và hoạt động trên dữ liệu của hai dịch vụ này. Mọi tài khoản có vai trò Admin hoặc Member của CSPM/CWPP đều xem và thao tác đầy đủ — Close/Re-open threat, Add comment, View in Graph. Không có thao tác nào bị giới hạn riêng cho Admin. |
5. Các lỗi thường gặp
| # | Triệu chứng | Nguyên nhân thường gặp | Cách xử lý |
|---|---|---|---|
| 5.1 | "System is busy. Please try again later." | Lỗi backend tạm thời (tải danh sách, chi tiết, graph, đổi status) | Thử lại sau giây lát |
| 5.2 | "No records found" | Không có dữ liệu khớp (threat, finding, comment, node), hoặc search/filter không trùng | Kiểm tra lại điều kiện lọc |
| 5.3 | "Failed to update threats. Please try again." | Toàn bộ threat trong lần đổi status đều thất bại | Nhấn Refresh rồi thử lại |
| 5.4 | "Some threats were already updated. Please refresh." | Status đã bị thay đổi (ví dụ bởi người khác) trước khi thao tác của bạn được gửi | Nhấn Refresh để lấy trạng thái mới nhất |
| 5.5 | "You don't have permissions to access" | Không có quyền truy cập module (cần vai trò Admin hoặc Member của CSPM/CWPP) | Liên hệ quản trị viên tổ chức |