Quantitative Risk Framework for CISOs & Researchers

Toán Học Đằng Sau An Ninh Mạng Doanh Nghiệp The Mathematics of Enterprise Cybersecurity

Phá vỡ rào cản thuật toán! Khám phá toàn diện 8 mô hình thống kê cốt lõi trong Khoa học Dữ liệu và An ninh Doanh nghiệp (CRQ/FAIR/SOC). Giải thích bằng ngôn ngữ đời thường, công thức chuẩn xác, ví dụ tính tay từng bước và cẩm nang ứng dụng thực chiến. Demystifying mathematical modeling! A complete deep-dive into the 8 core statistical models powering Data Science & Enterprise Cyber Risk Quantification (CRQ/FAIR/SOC). Clear plain language, rigorous equations, toy calculations, and implementation guides.

Infographic Overview The mathematical model matrix addressing 4 vital questions: Will we be breached? How much will it cost? When will it occur? How often?

💡

Goal-Driven Model Selection Matrix

In practice, you never pick models randomly. The mathematical nature of your outcome variable determines 100% of the model choice:

Dạng kết quả dự đoán (Target)Target Outcome Type	Mô hình bắt buộcMandatory Model	Câu hỏi thực chiến trong Doanh nghiệpEnterprise Operational Question
Binary (Có / Không)	Logistic Regression	Nhân viên này có click vào link Phishing không?Will this employee click the phishing link?
Mất mát tiền tệ lệch nặng (Skewed $)	Log-Normal Regression (GLM)	Nếu bị Ransomware tống tiền, công ty mất bao nhiêu triệu USD?If hit by Ransomware, what is our probable dollar loss?
Thời gian sống sót (Time-to-Event)	Survival Analysis (Cox PH)	Bao nhiêu ngày nữa thì lỗ hổng này sẽ bị hacker vũ khí hóa?How many days until this vulnerability is weaponized?
Số nguyên đếm được (0, 1, 2, ...)	Poisson / Negative Binomial	Hệ thống sẽ ghi nhận bao nhiêu cuộc tấn công DDoS trong tuần?How many DDoS attacks will strike our API this week?
Theo dõi cùng đối tượng qua nhiều năm	Panel Data / Longitudinal	Công ty đã đầu tư bảo mật năm 2021, liệu năm 2023 rủi ro có giảm?Did our 2021 security investments actually reduce 2023 risk?
Con số liên tục (-∞ đến +∞)	Linear Regression	Mối quan hệ giữa quy mô nhân sự và chi phí bản quyền bảo mậtRelationship between headcount and security license cost
Phân loại có cấp bậc (Thấp < Vừa < Cao)	Ordinal Logistic Regression	Sự cố an ninh này thuộc mức độ Nghiêm trọng nào (Sev 1 - 4)?What is the predicted incident severity level (Sev 1 - 4)?
Phân loại không cấp bậc (Ngang hàng)	Multinomial Logistic	Loại mã độc tấn công là gì (Ransomware, Troj, Spyware)?What category of attack is this (Ransomware, Trojan, Spyware)?

Khám Phá Chi Tiết 8 Mô Hình Explore The 8 Models In-Depth

Nhấp vào từng thẻ để chuyển sang trang chuyên khảo độc lập với công thức toán, ví dụ tính tay và hướng dẫn thực hành. Click on any card to navigate to its dedicated monograph with math formulas, step-by-step calculations, and implementation guides.

Domain Focus

Nhóm 1: 5 Mô Hình Trọng Yếu Trong An Ninh Mạng Doanh Nghiệp (Enterprise Cyber Focus) Group 1: 5 Core Models in Enterprise Cybersecurity

Model #1 • Binary ⚡

Logistic Regression

Hồi quy Logistic: Dự đoán xác suất nhị phân Có / Không Binary Logistic: Predicting Probability of Binary Events

Output $P \in [0, 1]$

Curve Sigmoid (S-Curve)

Cốt lõi của bài báo khoa học về ERCA. Ép đường thẳng vô hạn thành đường cong chữ S từ 0% đến 100%. Dùng dự đoán xâm nhập, email lừa đảo, tài khoản bị chiếm đoạt. The core model of the ERCA research paper. Constrains infinite linear predictions into an S-curve from 0% to 100%. Predicts breaches, phishing, and compromises.

Open Full Monograph →

Model #2 • Extreme Loss 💰

Log-Normal Regression (GLM)

Đo lường thiệt hại tài chính bị lệch & Bảo hiểm mạng (FAIR) Skewed Financial Loss & Cyber Insurance (FAIR Framework)

Output $Y > 0$ (Dollars)

Distribution Heavy-Tailed Log-Normal

Thiệt hại an ninh mạng không tuân theo phân phối chuẩn. 95% vụ hack mất vài ngàn USD nhưng 5% còn lại phá sản cả tập đoàn. Đây là vũ khí định giá bảo hiểm mạng. Cyber losses do not follow a Gaussian bell curve. 95% of breaches are minor, but 5% bankrupt corporations. The industry standard for cyber insurance underwriting.

Open Full Monograph →

Model #3 • Time-to-Event ⏳

Survival Analysis

Phân tích sinh tồn: Dự đoán thời gian bị hack & Vá lỗ hổng Time-to-Compromise & Vulnerability Remediation Dynamics

Output Hazard Rate $h(t)$

Framework Kaplan-Meier / Cox PH

Không chỉ hỏi "Bị hack không?", mà hỏi "Khi nào thì bị hack?". Đồng hồ cát tính toán xác suất một máy chủ chưa vá lỗi sẽ tồn tại an toàn được bao nhiêu ngày trước khi dính đạn. Moves beyond 'if breached' to 'when breached'. An hourglass computing the exact probability an unpatched vulnerability remains safe over 30, 60, or 90 days.

Open Full Monograph →

Model #4 • Event Counts 📊

Poisson & Negative Binomial

Hồi quy đếm tần suất tấn công & Dự báo tải đội ngũ SOC Counting Cyber Incidents & SOC Alert Fatigue Forecasting

Output $k \in \{0, 1, 2, ...\}$

Link Function $\ln(\lambda) = X\beta$

Dành riêng cho số nguyên đếm được (không có nửa cuộc tấn công). Dự báo tuần tới tường lửa WAF sẽ chặn bao nhiêu cuộc DDoS, và trung tâm SOC nhận bao nhiêu ngàn cảnh báo giả. Tailored for discrete non-negative integer counts. Forecasts weekly DDoS occurrences and SIEM alert surges to prevent SOC analyst burnout and size infrastructure.

Open Full Monograph →

Model #5 • Longitudinal 🔄

Panel Data & Mixed Effects

Dữ liệu bảng theo dõi doanh nghiệp qua nhiều năm (2019-2024) Multi-Year Enterprise Security Posture & Recurring Breaches

Structure $N$ firms $\times$ $T$ years

Estimation Fixed / Random Effects

Kiểm soát các đặc tính vô hình của doanh nghiệp (như văn hóa bảo mật, trình độ nhân sự) khi đánh giá xem việc tăng ngân sách an ninh năm nay có kéo giảm rủi ro 2 năm sau không. Controls for unobserved firm-specific traits (like internal security culture) to measure whether security investments in Year 1 genuinely reduce incident rates in Year 3.

Open Full Monograph →

Foundational Tools

Nhóm 2: 3 Mô Hình Thống Kê Nền Tảng Trong Data Science Group 2: 3 Foundational Statistical Models in Data Science

Model #6 • Continuous 📈

Linear Regression

Hồi quy tuyến tính cổ điển & Cạm bẫy trong An ninh mạng Ordinary Least Squares (OLS) & Pitfalls in Cybersecurity

Output Continuous $\mathbb{R}$

Equation $Y = X\beta + \epsilon$

Đơn giản nhất nhưng dễ bị lạm dụng sai nhất. Khám phá tại sao dùng Linear Regression để tính xác suất bị hack là một sai lầm chết người trong nghiên cứu khoa học. The simplest model yet most dangerously misused. Understand why fitting a linear line to breach probabilities creates fatal logical contradictions (negative risks).

Open Full Monograph →

Model #7 • Ranked Order 🪜

Ordinal Logistic Regression

Phân loại sự cố có cấp bậc (Thấp < Vừa < Cao < Nghiêm trọng) Ranked Multi-Class: Severity Tiers & Incident Triaging

Output Ranked Classes $1 < 2 < 3$

Mechanism Cumulative Logits

Khi kết quả không chỉ là Có/Không mà chia làm nhiều nấc thang mức độ (Sev-1 đến Sev-4). Mô hình tính xác suất sự cố vượt qua từng ngưỡng rào cản phòng thủ. When outcomes fall into a strict hierarchy (Minor < Moderate < Severe < Critical). Calculates cumulative threshold probabilities for automated triage.

Open Full Monograph →

Model #8 • Categorical 🎯

Multinomial Logistic

Phân loại nhiều nhóm ngang hàng (Ransomware vs Phishing vs DDoS) Unordered Multi-Class: Attack Vector Attribution

Output $K$ Discrete Categories

Mechanism Softmax / Baseline Logit

Phân loại các biến cố không có thứ bậc hơn thua. Dùng để dự đoán tin tặc sẽ chọn chiến thuật nào (MITRE ATT&CK) dựa trên hồ sơ công nghệ của mục tiêu. Classifies independent outcomes without natural ordering. Predicts which attack vector an adversary will deploy based on target enterprise telemetry.

Open Full Monograph →

Enterprise Core Model #1 Binary Classification

Logistic Regression (Hồi Quy Logistic Nhị Phân)(Binary Logistic Regression)

The definitive computational engine for binary (0 or 1) outcomes — the central statistical pillar used in the ERCA study to evaluate cyber defense co-alignment against empirical losses.

Linear vs Logistic Regression Infographic

Figure 1.1: The critical distinction between Linear and Logistic Regression. The Sigmoid curve mathematically constrains outputs within the valid probability bounds of [0%, 100%].

01 Bản chất trực giác (Dành cho người không thích toán)Intuition (For Non-Mathematicians)

Imagine driving at night along a coastal cliff. You cannot fall 50% off the cliff. Either your car remains safely on the tarmac, or you crash into the ocean. That is a Binary state.

Enterprise cybersecurity is identical: Was customer data exfiltrated? (Yes or No). Is this incoming attachment malware? (Yes or No).

Why can't we just draw a straight line (Linear Regression)?

A straight line eventually extends to infinity. With excessive vulnerabilities, it predicts a 150% chance of breach (impossible!). With extreme defenses, it predicts -30% (absurd!). Logistic regression squashes that line into an elegant S-curve (the Sigmoid function), strictly bounding predictions between 0% and 100%.

02 Công thức toán học chuẩn xác & Bóc tách logicMathematical Formulation & Logic Breakdown

The general probability formulation for binary logistic regression is expressed as:

P(Y=1 \mid X) = \sigma(z) = \frac{1}{1 + e^{-z}} $$ $$ \text{Trong đó: } z = \beta_0 + \beta_1 X_1 + \beta_2 X_2 + \dots + \beta_k X_k

Decoding Each Symbol in Plain Terms:

$P(Y=1)$ Target Probability: The likelihood of the event occurring (e.g., probability of suffering a material breach). Strictly bound in $[0, 1]$.

$z$ Linear Predictor (Log-Odds): The net risk score combining baseline threat plus features. Higher $z$ indicates higher danger.

$e \approx 2.718$ Euler's Constant: The natural exponential base. The transformation $\frac{1}{1 + e^{-z}}$ acts as the mathematical clamp compressing $(-\infty, +\infty)$ into $[0, 1]$.

$\beta_0$ (Intercept) Baseline Intercept: The inherent danger of the cyber threat environment when all enterprise predictors $X$ are zero.

$\beta_1, \beta_2$ Coefficients (Weights): Positive $\beta$ amplifies risk (e.g., BYOD policies); negative $\beta$ dampens risk (e.g., enabling Multi-Factor Authentication).

Logit Formulation (Odds Ratio): Expressed as log-odds: $\ln\left(\frac{P}{1-P}\right) = \beta_0 + \beta_1 X_1$. The quantity $\frac{P}{1-P}$ is the odds of breach. If $\beta_1 = -0.693$, deploying control $X_1$ halves the odds of experiencing a breach ($e^{-0.693} = 0.5$).

03 Ví dụ minh họa tính tay từng bước (Step-by-Step Numerical Walkthrough)Step-by-Step Numerical Calculation

Suppose you are CISO of an e-commerce firm with 50 staff. A logistic model trained on enterprise breach survey data yields the following empirical parameters:

$\beta_0 = -1.5$ (Mức độ nguy hiểm cơ bản của ngành bán lẻ)(Baseline industry threat intercept)
$\beta_1 = +1.2$ (Lưu trữ thông tin thẻ tín dụng của khách hàng: $X_1 = 1$ nếu có, $0$ nếu không)(Stores client credit card data: $X_1 = 1$ if yes, $0$ if no)
$\beta_2 = +0.8$ (Cho phép nhân viên làm việc từ xa qua VPN: $X_2 = 1$ nếu có, $0$ nếu không)(Allows remote staff via VPN: $X_2 = 1$ if yes, $0$ if no)
$\beta_3 = -2.0$ (Bắt buộc 100% nhân viên dùng khóa bảo mật phần cứng FIDO2/2FA: $X_3 = 1$ nếu có, $0$ nếu không)(Enforces mandatory FIDO2 hardware keys / 2FA: $X_3 = 1$ if yes, $0$ if no)

Trường hợp A: Công ty lơ là bảo mật (Chưa bật 2FA)Scenario A: Vulnerable Posture (No 2FA)

Firm stores card data ($X_1=1$), supports remote work ($X_2=1$), but has no 2FA ($X_3=0$):

$$ z_A = -1.5 + (1.2 \times 1) + (0.8 \times 1) - (2.0 \times 0) = \mathbf{+0.5} $$ $$ P(\text{Bị hack}) = \frac{1}{1 + e^{-0.5}} \approx \frac{1}{1 + 0.61} \approx \mathbf{62.2\%} $$

→ Nguy cơ rất cao: Có tới 62.2% khả năng công ty sẽ hứng chịu thiệt hại nghiêm trọng trong năm!→ High Alert: A 62.2% probability of suffering a material breach this year!

Trường hợp B: CISO quyết định đầu tư bật 2FAScenario B: Hardened Posture (Enforcing 2FA)

Same business exposure, but CISO mandates hardware 2FA deployment ($X_3=1$):

$$ z_B = -1.5 + (1.2 \times 1) + (0.8 \times 1) - (2.0 \times 1) = \mathbf{-1.5} $$ $$ P(\text{Bị hack}) = \frac{1}{1 + e^{1.5}} \approx \frac{1}{1 + 4.48} \approx \mathbf{18.2\%} $$

→ Hiệu quả bảo vệ rõ rệt: Xác suất bị hack lập tức tụt từ 62.2% xuống chỉ còn 18.2% (giảm tới 44% điểm rủi ro tuyệt đối!).→ Dramatic Risk Reduction: Breach likelihood plunges from 62.2% down to 18.2% (a 44 percentage-point drop!).

04 Khi nào NÊN dùng & Khi nào KHÔNG ĐƯỢC dùngWhen to Apply vs. When to Avoid

✅ IDEAL USE CASES:

Dự đoán kết quả nhị phân: Bị xâm nhập (1) vs Bình an vô sự (0).Binary outcomes: Compromised (1) vs Clean (0).
Phát hiện email Phishing trong cổng Secure Email Gateway (SEG).Email gateway phishing classification (Phishing vs Legitimate).
Xác thực rủi ro đăng nhập (Risk-based Authentication / Zero Trust).Zero Trust contextual login risk (Deny/Step-up vs Allow).
Đánh giá hiệu lực của từng biện pháp phòng thủ (Odds Ratios).Evaluating individual control effectiveness via Odds Ratios.

❌ DO NOT USE WHEN:

Bạn muốn tính số tiền thiệt hại ($) → Hãy dùng Log-Normal/GLM.Predicting dollar losses ($) → Use Log-Normal / GLM.
Bạn muốn tính thời gian tồn tại của lỗ hổng → Hãy dùng Survival Analysis.Estimating time until patch / breach → Use Survival Analysis.
Bạn muốn đếm số lần tấn công trong tháng → Hãy dùng Poisson Regression.Counting attack occurrences → Use Poisson / NegBin.
Dữ liệu có nhiều hơn 2 nhãn không thứ bậc → Dùng Multinomial Logistic.Multi-class unordered outcomes → Use Multinomial Logistic.

05 Quy trình 5 bước triển khai thực tế cho CISO/SOC5-Step Enterprise Implementation Playbook

Bước 1

Telemetry Extraction & Labeling

Extract 12-month SIEM/EDR telemetry across 1,000 enterprise endpoints. Label $Y=1$ for endpoints impacted by malware, $Y=0$ for untouched assets.

Bước 2

Feature Engineering

Construct feature vectors: $X_1$ (EDR presence), $X_2$ (Open internet ports), $X_3$ (Days since last reboot/patch), $X_4$ (Local admin privileges active).

Bước 3

Model Training (Python / R)

from sklearn.linear_model import LogisticRegression
import statsmodels.api as sm

# Dùng statsmodels để lấy chi tiết p-value và Odds Ratio
X_with_const = sm.add_constant(X_train)
logit_model = sm.Logit(y_train, X_with_const).fit()
print(logit_model.summary())

Bước 4

Rigorous Model Validation

Verify AUC-ROC (> 0.80 for cyber operational readiness), test Variance Inflation Factors (VIF < 5), and check p-values of each $\beta$ for statistical significance.

Bước 5

SOAR & Zero Trust Operationalization

Pipe endpoint state into the equation during active sessions. If predicted risk $P > 0.7$, trigger SOAR automated isolation and step-up biometric challenges.

Enterprise Core Model #2 Heavy-Tailed Loss & FAIR

Log-Normal Regression & GLM (Mô Hình Tổn Thất Đuôi Dày)(Generalized Linear Models for Heavy-Tailed Losses)

The mathematical heart of the Factor Analysis of Information Risk (FAIR) framework and global cyber reinsurance: Modeling catastrophic financial damage under severe heavy-tailed skewness.

Figure 2.1: Cyber breach financial loss distribution. The massive peak represents frequent low-cost incidents ($10k-$50k), while the prolonged right-hand tail captures multi-million dollar catastrophic events.

01 Bản chất trực giác: Tại sao tổn thất mạng lại quái đản?Intuition: Why Cyber Losses Are Uniquely Bizarre

In human biology, height follows a symmetric Gaussian bell curve: Most adults cluster around 1.7m; extreme deviations below 1.4m or above 2.1m are rare. Nobody is 100 meters tall.

Cybersecurity breach costs, however, defy Gaussian symmetry completely:

Một tiệm tạp hóa bị nhiễm mã độc tốn $2,000 để cài lại Windows.A mom-and-pop shop hit by malware spends $2,000 to reimage laptops.
Công ty vận tải Maersk dính mã độc NotPetya tốn $300,000,000 ($300 triệu USD!).Global shipping titan Maersk hit by NotPetya suffers over $300,000,000 in damages.
Sự cố gián đoạn CrowdStrike năm 2024 làm tê liệt hàng ngàn chuyến bay toàn cầu, gây thiệt hại ước tính hơn $5,000,000,000 ($5 tỷ USD!).The 2024 CrowdStrike outage disrupted global aviation and logistics, with losses exceeding $5,000,000,000.

The Mean Average Trap:

If you tell the Board that average incident cost is $1M, you fail on both ends: 90% of minor breaches cost only $50k (wasting your mitigation budget), but a catastrophic event costs $50M (bankrupting you due to underinsurance). Log-Normal GLM models are required to handle this extreme skewness.

02 Công thức toán học & Cơ chế "Nén số" ma thuậtMathematical Formulation & The Compressive Mechanism

The Log-Normal model applies the natural logarithm transformation to dollar loss $Y$:

\ln(Y) = \beta_0 + \beta_1 X_1 + \beta_2 X_2 + \dots + \beta_k X_k + \epsilon, \quad \epsilon \sim \mathcal{N}(0, \sigma^2) $$ $$ \text{Hay viết dưới dạng gốc: } Y = \exp\left(\beta_0 + \sum_{j=1}^k \beta_j X_j + \epsilon\right)

Why Logarithm ($\ln$) Saves Cyber Risk Analytics:

Nén thang đo (Scale Compression) Logarithm compresses $10,000 into $9.21, and $10,000,000 (1,000x larger) into $16.11 (merely 1.7x). This pulls the extreme right tail back into an analytically tractable Gaussian distribution.

Tác động bội số (Multiplicative Effects) Cyber risk multiplies rather than adds. A unit increase in $X_1$ multiplies dollar loss by factor $e^{\beta_1}$ (e.g., card breaches scale losses by $2.7\times$, rather than adding a flat $500).

03 Ví dụ tính tay: Định giá hạn mức Bảo hiểm mạng (Cyber Insurance)Step-by-Step Calculation: Pricing Cyber Insurance Caps

A regional bank evaluates cyber insurance policy limits. The insurer's calibrated Log-Normal loss model is:

\ln(\text{Thiệt hại USD}) = 10.5 + 0.00005 \times (\text{Số hồ sơ KH}) - 0.8 \times (\text{Có SOC 24/7})

Bank Profile: 20,000 client records, active 24/7 SOC team

$$ \ln(Y) = 10.5 + (0.00005 \times 20,000) - (0.8 \times 1) = 10.5 + 1.0 - 0.8 = \mathbf{10.7} $$ $$ \text{Thiệt hại trung vị kỳ vọng } Y = e^{10.7} \approx \mathbf{\$44,355 \text{ USD}} $$

This represents the median loss. But at the catastrophic 99th percentile ($z_{0.99} = 2.33$, with residual standard error $\sigma = 1.8$):

$$ \ln(Y_{99\%}) = 10.7 + (2.33 \times 1.8) = 10.7 + 4.194 = \mathbf{14.894} $$ $$ Y_{99\%} = e^{14.894} \approx \mathbf{\$2,940,000 \text{ USD}} $$

→ Quyết định tài chính: Ngân hàng cần mua gói bảo hiểm có hạn mức đền bù tối thiểu là $3 Triệu USD để sống sót qua kịch bản tồi tệ nhất!→ Actionable Underwriting Decision: The bank must procure an insurance policy with at least a $3 Million USD liability limit to survive tail catastrophe!

04 Các trường hợp thực tế áp dụng trong Doanh nghiệpEnterprise Operational Applications

Use Case 1

Tính toán giá trị rủi ro tối đa (Value-at-Risk - VaR cho CISO)Cyber Value-at-Risk (VaR) Board Reporting

Reporting to executive committees: 'We are 95% confident that cyber losses will not exceed $2.5M over the next 12 months' — the single metric CFOs and Audit Committees demand.

Use Case 2

Định giá phí bảo hiểm an ninh mạng (Underwriting Models)Cyber Reinsurance Underwriting

Global insurance carriers (Lloyd's, Munich Re) use Gamma/Log-Normal GLMs to actuarially price commercial cyber coverage policies based on telemetry and posture ratings.

Enterprise Core Model #3 Time-to-Event Analytics

Survival Analysis & Cox PH (Phân Tích Sinh Tồn)(Time-to-Compromise & Remediation Dynamics)

Modeling the longevity of digital assets and vulnerability patch velocity: How the relentless passage of time drives exploitation probability.

Figure 3.1: Kaplan-Meier survival trajectories. The green curve (patched assets) preserves >80% survival after 180 days. The orange curve (unpatched assets) collapses below 20% in under 90 days.

01 Bản chất trực giác: Không phải là "Nếu", mà là "KHI NÀO"Intuition: It's Not 'If', But 'WHEN'

In clinical oncology, Survival Analysis tracks patient lifespans following therapy. In cybersecurity, an internet-exposed server is a patient exposed to lethal pathogens!

When a zero-day or CVE vulnerability is announced:

Ngày 1: Hacker bắt đầu viết mã khai thác (Exploit kit). Nguy cơ bị hack là rất nhỏ (1%).Day 1: Adversaries craft exploit code. Breach likelihood is minimal (1%).
Ngày 15: Mã khai thác bị rò rỉ lên GitHub. Hàng ngàn bot tự động quét toàn mạng internet. Nguy cơ vọt lên 40%.Day 15: Automated weaponized scripts flood GitHub. Mass internet scanning begins. Risk spikes to 40%.
Ngày 60: Nếu bạn vẫn chưa vá lỗi, nguy cơ bị xâm nhập gần như là 99%.Day 60: An unpatched exposed server faces near-certain (99%) compromise.

02 Công thức toán học: Mô hình Rủi ro Tỷ lệ Cox (Cox Proportional Hazards)Mathematical Formulation: Cox Proportional Hazards

h(t \mid X) = h_0(t) \times \exp\left(\sum_{j=1}^k \beta_j X_j\right) $$ $$ S(t \mid X) = \exp\left( - \int_0^t h(u \mid X) \, du \right)

$h(t)$ (Hazard Rate) Instantaneous Hazard: The risk that the asset is breached at exact day $t$, given it survived up to day $t-1$.

$h_0(t)$ (Baseline Hazard) Nonparametric Baseline Hazard: The ambient internet threat pressure escalating over time as exploits proliferate.

$\exp(\beta X)$ (Hazard Ratio) Hazard Ratio Multiplier: Deploying a WAF ($X_1=1$) with $\beta_1 = -1.2$ yields $e^{-1.2} \approx 0.30$, slashing daily compromise risk by 70%.

$S(t)$ (Survival Function) Survival Function: Cumulative probability that the system survives unscathed from inception through time $t$.

03 Ứng dụng thực chiến: Quản lý Bản vá dựa trên Rủi ro (Risk-Based Patching)Enterprise Implementation: Risk-Based Vulnerability Management

An enterprise vulnerability scanner flags 50,000 CVEs monthly. IT has bandwidth to remediate only 500. Survival modeling prioritizes triage mathematically:

Nhóm Nguy Cấp

Máy chủ Public Web có chứa CVE mã khai thác công khaiPublic Facing Web Servers with Weaponized Exploits

Median survival time is under 48 hours. SLA mandate: Emergency patch within 24 hours.

Nhóm Thứ Yếu

Máy trạm nội bộ không kết nối InternetAir-gapped Internal Workstations

Median survival exceeds 180 days. Safely deferred to standard quarterly maintenance cycles.

Enterprise Core Model #4 Event Count Forecasting

Poisson & Negative Binomial (Hồi Quy Đếm Số Lượng)(Count Data Regression in SOC Operations)

The master of discrete integer counts: Forecasting DDoS frequencies and mitigating SOC analyst alert fatigue.

Poisson vs Negative Binomial Infographic

Figure 4.1: Poisson vs. Negative Binomial distribution. Negative Binomial accounts for overdispersion when security incident alerts surge in correlated bursts.

01 Bản chất trực giác: Tại sao phải có mô hình chuyên đếm?Intuition: Why Dedicated Count Models Matter

Count events are strictly non-negative discrete integers: $0, 1, 2, 3, \dots, 1000$. An enterprise firewall cannot register '1.5 attacks' or '-2 intrusion attempts'.

Standard linear regression regularly predicts negative alert volumes during quiet weekends (e.g., -4 incidents), producing meaningless operational metrics.

Cyber Reality: Correlated Alert Bursts (Overdispersion)

Poisson assumes variance equals mean ($\text{Var}(Y) = \mathbb{E}(Y)$). Real-world cyber attacks, however, trigger massive correlated cascades. Actual variance dwarfs the mean by orders of magnitude. In enterprise SOC settings, analysts upgrade to Negative Binomial Regression to handle overdispersion.

02 Công thức toán học: Hàm liên kết LogarithmMathematical Formulation: Log-Linear Link

P(Y = k \mid X) = \frac{\lambda^k e^{-\lambda}}{k!}, \quad k \in \{0, 1, 2, \dots\} $$ $$ \ln(\lambda) = \beta_0 + \beta_1 X_1 + \dots + \beta_p X_p \implies \lambda = \exp(X\beta)

$\lambda$ (Lambda) Expected Rate (Intensity): The mean number of incident events per time unit (e.g., $\lambda = 12$ brute-force events/day).

$k!$ (Giai thừa) Factorial: $k! = k \times (k-1) \times \dots \times 1$. Ensures probabilities across all discrete integer counts sum precisely to unity.

$\exp(X\beta)$ Exponential Link: Guarantees the intensity parameter is strictly non-negative ($\lambda > 0$).

03 Ví dụ tính toán tải công việc của đội trực SOCToy Calculation: SOC Workload & Capacity Planning

A FinTech enterprise models false positive alarm generation per 8-hour shift:

$$ \ln(\lambda) = 1.2 + (0.5 \times \text{Chiến dịch Black Friday}) + (0.01 \times \text{Số API mới triển khai}) $$

On Black Friday ($X_1=1$) with 30 microservice APIs deployed ($X_2=30$):

$$ \ln(\lambda) = 1.2 + (0.5 \times 1) + (0.01 \times 30) = 1.2 + 0.5 + 0.3 = \mathbf{2.0} $$ $$ \text{Số lượng cảnh báo kỳ vọng } \lambda = e^{2.0} \approx \mathbf{7.39 \approx 7.4 \text{ alerts/giờ}} \implies \approx 60 \text{ alerts / ca trực 8h} $$

→ Nếu mỗi kỹ sư chỉ xử lý sâu được 15 cảnh báo/ca, CISO phải bố trí tối thiểu 4 kỹ sư phân tích trực ca để không bỏ sót đòn tấn công thật!→ Roster Sizing: If one Tier-1 analyst triages 15 alerts/shift, the CISO must schedule at least 4 analysts to prevent critical intrusions slipping through!

Enterprise Core Model #5 Longitudinal & Multi-Year

Panel Data & Mixed Effects (Mô Hình Dữ Liệu Bảng)(Longitudinal & Fixed/Random Effects)

Tracking enterprise cohorts over multi-year periods (2019 - 2024): Disentangling true security ROI from unobserved corporate culture heterogeneity.

Figure 5.1: Multi-year longitudinal tracking matrix. Comparing Fixed Effects (controlling for time-invariant corporate traits) versus Random Effects models.

01 Bản chất trực giác: Tại sao dữ liệu cắt ngang 1 năm là không đủ?Intuition: Why Single-Year Cross-Sections Mislead

Analyzing a single cross-section (e.g., year 2023) creates a misleading paradox: Firms spending the most on firewalls often report the highest breach rates!

Why? Big banks possess valuable data, so they spend heavily while being targeted incessantly. That confounding factor is unobserved firm heterogeneity.

To prove causal efficacy, you must observe the exact same firms over time: How did they perform before investment in 2020 vs after in 2023? That is the unique power of longitudinal panel econometrics.

02 Công thức toán học: Fixed Effects vs Random EffectsMathematical Formulation: Fixed vs Random Effects

Y_{it} = \alpha_i + \beta X_{it} + \gamma_t + \epsilon_{it} $$ $$ i = 1, \dots, N \text{ (Doanh nghiệp)}, \quad t = 1, \dots, T \text{ (Năm khảo sát)}

$\alpha_i$ (Entity Fixed Effect) Firm-specific Fixed Effect: Captures unobserved, time-invariant traits (corporate culture, leadership ethics). The within-transformation eliminates this bias completely.

$\gamma_t$ (Time Fixed Effect) Time Fixed Effect: Absorbs macro shocks affecting all entities in year $t$ (e.g., pandemic remote-work shifts, global geopolitical cyber warfare).

$\beta$ (Within-Firm Estimator) True Posture Coefficient: Measures how internal upgrades within firm $i$ causally move its security breach outcome.

Foundational Model #6 Ordinary Least Squares

Linear Regression (Hồi Quy Tuyến Tính)(Ordinary Least Squares)

The cornerstone of statistical learning: Legitimate continuous applications vs fatal misuse in breach probability modeling.

01 Công thức & Giới hạn cốt tửFormulation & Critical Limits

Y = \beta_0 + \beta_1 X_1 + \beta_2 X_2 + \dots + \beta_k X_k + \epsilon, \quad \epsilon \sim \mathcal{N}(0, \sigma^2)

OLS minimizes the sum of squared residuals between observed values and the linear hyperplane.

Severe Warning in Cyber Applications:

VALID USE: Predicting genuinely continuous unbounded outcomes: SIEM storage needs (GB), egress bandwidth (Gbps), annual licensing budgets ($).

INVALID USE: Modeling breach probabilities or binary states. OLS produces out-of-bound probabilities ($<0$ or $>1$) and violates homoskedasticity.

Foundational Model #7 Ranked Categories

Ordinal Logistic Regression (Hồi Quy Logistic Thứ Bậc)(Proportional Odds Model)

Modeling naturally ordered severity tiers: Low < Medium < High < Critical for automated security incident triaging.

Figure 7.1: Ordinal Regression (left: ranked severity ladder) vs. Multinomial Regression (right: unordered threat vectors branching symmetrically).

01 Toán học của các "Ngưỡng rào cản" (Thresholds / Cut-points)Mathematics of Cumulative Cut-Points

Models the cumulative probability that severity exceeds tier $j$:

\ln\left( \frac{P(Y \le j)}{P(Y > j)} \right) = \alpha_j - \sum_{k=1}^p \beta_k X_k, \quad j \in \{1, 2, \dots, J-1\}

The intercepts $\alpha_j$ define risk thresholds. Crossing $\alpha_1$ escalates an alert from Low to Medium; breaching $\alpha_2$ escalates it to Critical.

Foundational Model #8 Nominal Multi-Class

Multinomial Logistic Regression (Hồi Quy Logistic Đa Thức)(Softmax / Nominal Classification)

Classifying unordered attack categories: Ransomware vs Phishing vs DDoS vs Insider Threats.

01 Toán học Softmax: Chuẩn hóa xác suất đa danh mụcSoftmax Mathematical Normalization

P(Y = c \mid X) = \frac{e^{\beta_c \cdot X}}{\sum_{k=1}^K e^{\beta_k \cdot X}}, \quad c \in \{1, 2, \dots, K\}

A reference category is chosen as the baseline (e.g., Phishing). Log-odds for alternative vectors are estimated relative to baseline. The Softmax function normalizes outcomes so probabilities across all $K$ classes sum to exactly 1.0.

Bản Đồ Lựa Chọn Mô Hình Theo Mục Tiêu (Decision Matrix)

Goal-Driven Model Selection Matrix

Khám Phá Chi Tiết 8 Mô Hình Explore The 8 Models In-Depth

Nhóm 1: 5 Mô Hình Trọng Yếu Trong An Ninh Mạng Doanh Nghiệp (Enterprise Cyber Focus) Group 1: 5 Core Models in Enterprise Cybersecurity

Logistic Regression

Log-Normal Regression (GLM)

Survival Analysis

Poisson & Negative Binomial

Panel Data & Mixed Effects

Nhóm 2: 3 Mô Hình Thống Kê Nền Tảng Trong Data Science Group 2: 3 Foundational Statistical Models in Data Science

Linear Regression

Ordinal Logistic Regression

Multinomial Logistic

Logistic Regression (Hồi Quy Logistic Nhị Phân)(Binary Logistic Regression)

01 Bản chất trực giác (Dành cho người không thích toán)Intuition (For Non-Mathematicians)

Tại sao không dùng một đường thẳng (Linear Regression)?

Why can't we just draw a straight line (Linear Regression)?

02 Công thức toán học chuẩn xác & Bóc tách logicMathematical Formulation & Logic Breakdown

Bóc tách từng ký hiệu bằng ngôn ngữ đời thường:

Decoding Each Symbol in Plain Terms:

03 Ví dụ minh họa tính tay từng bước (Step-by-Step Numerical Walkthrough)Step-by-Step Numerical Calculation

Trường hợp A: Công ty lơ là bảo mật (Chưa bật 2FA)Scenario A: Vulnerable Posture (No 2FA)

Trường hợp B: CISO quyết định đầu tư bật 2FAScenario B: Hardened Posture (Enforcing 2FA)

04 Khi nào NÊN dùng & Khi nào KHÔNG ĐƯỢC dùngWhen to Apply vs. When to Avoid

✅ ÁP DỤNG TRONG CÁC TRƯỜNG HỢP:

✅ IDEAL USE CASES:

❌ TUYỆT ĐỐI TRÁNH KHI:

❌ DO NOT USE WHEN:

05 Quy trình 5 bước triển khai thực tế cho CISO/SOC5-Step Enterprise Implementation Playbook

Thu thập & Gán nhãn Dữ liệu (Telemetry Labeling)

Telemetry Extraction & Labeling

Trích xuất biến số rủi ro & Phòng thủ (Feature Engineering)

Feature Engineering

Huấn luyện mô hình trong Python / R

Model Training (Python / R)

Đánh giá độ tin cậy khoa học

Rigorous Model Validation

Tích hợp vào cơ chế phòng thủ tự động (SOAR / Zero Trust)

SOAR & Zero Trust Operationalization

Log-Normal Regression & GLM (Mô Hình Tổn Thất Đuôi Dày)(Generalized Linear Models for Heavy-Tailed Losses)

01 Bản chất trực giác: Tại sao tổn thất mạng lại quái đản?Intuition: Why Cyber Losses Are Uniquely Bizarre

Cạm bẫy của con số "Trung bình cộng" (Average Trap):

The Mean Average Trap:

02 Công thức toán học & Cơ chế "Nén số" ma thuậtMathematical Formulation & The Compressive Mechanism

Tại sao hàm Logarit ($\ln$) lại là "cứu tinh" của An ninh mạng?

Why Logarithm ($\ln$) Saves Cyber Risk Analytics:

03 Ví dụ tính tay: Định giá hạn mức Bảo hiểm mạng (Cyber Insurance)Step-by-Step Calculation: Pricing Cyber Insurance Caps

Giả thiết ngân hàng: Có 20,000 hồ sơ khách hàng và ĐÃ CÓ đội SOC 24/7

Bank Profile: 20,000 client records, active 24/7 SOC team

04 Các trường hợp thực tế áp dụng trong Doanh nghiệpEnterprise Operational Applications

Tính toán giá trị rủi ro tối đa (Value-at-Risk - VaR cho CISO)Cyber Value-at-Risk (VaR) Board Reporting

Định giá phí bảo hiểm an ninh mạng (Underwriting Models)Cyber Reinsurance Underwriting

Survival Analysis & Cox PH (Phân Tích Sinh Tồn)(Time-to-Compromise & Remediation Dynamics)

01 Bản chất trực giác: Không phải là "Nếu", mà là "KHI NÀO"Intuition: It's Not 'If', But 'WHEN'

02 Công thức toán học: Mô hình Rủi ro Tỷ lệ Cox (Cox Proportional Hazards)Mathematical Formulation: Cox Proportional Hazards

03 Ứng dụng thực chiến: Quản lý Bản vá dựa trên Rủi ro (Risk-Based Patching)Enterprise Implementation: Risk-Based Vulnerability Management

Máy chủ Public Web có chứa CVE mã khai thác công khaiPublic Facing Web Servers with Weaponized Exploits

Máy trạm nội bộ không kết nối InternetAir-gapped Internal Workstations

Poisson & Negative Binomial (Hồi Quy Đếm Số Lượng)(Count Data Regression in SOC Operations)

01 Bản chất trực giác: Tại sao phải có mô hình chuyên đếm?Intuition: Why Dedicated Count Models Matter

Bí mật của An ninh mạng: Hiện tượng "Bùng nổ cảnh báo" (Overdispersion)

Cyber Reality: Correlated Alert Bursts (Overdispersion)

02 Công thức toán học: Hàm liên kết LogarithmMathematical Formulation: Log-Linear Link

03 Ví dụ tính toán tải công việc của đội trực SOCToy Calculation: SOC Workload & Capacity Planning

Panel Data & Mixed Effects (Mô Hình Dữ Liệu Bảng)(Longitudinal & Fixed/Random Effects)

01 Bản chất trực giác: Tại sao dữ liệu cắt ngang 1 năm là không đủ?Intuition: Why Single-Year Cross-Sections Mislead

02 Công thức toán học: Fixed Effects vs Random EffectsMathematical Formulation: Fixed vs Random Effects

Linear Regression (Hồi Quy Tuyến Tính)(Ordinary Least Squares)

01 Công thức & Giới hạn cốt tửFormulation & Critical Limits

Cảnh báo nghiêm trọng trong An ninh mạng:

Severe Warning in Cyber Applications:

Ordinal Logistic Regression (Hồi Quy Logistic Thứ Bậc)(Proportional Odds Model)

01 Toán học của các "Ngưỡng rào cản" (Thresholds / Cut-points)Mathematics of Cumulative Cut-Points

Multinomial Logistic Regression (Hồi Quy Logistic Đa Thức)(Softmax / Nominal Classification)

01 Toán học Softmax: Chuẩn hóa xác suất đa danh mụcSoftmax Mathematical Normalization