AI đang nén chặt các mốc thời gian khai thác (exploit timelines). Câu hỏi thực sự không phải là liệu quy trình quản lý lỗ hổng của bạn có cần thay đổi hay không, mà là phần nào trong đó bạn đã thực hiện sai bấy lâu nay.
Cuộc thảo luận đang diễn ra trong các vòng kết nối bảo mật hiện nay đại loại như thế này: Mythos đã xuất hiện. Các mốc thời gian khai thác đang sụp đổ. Liệu quy trình quản lý lỗ hổng có cần phải thay đổi?
Câu trả lời trung thực là có. Nhưng không phải phần mà hầu hết mọi người đang tập trung vào.
Cuộc thảo luận xung quanh Mythos, mô hình tiên phong của Anthropic và những tác động của nó đối với bảo mật tấn công (offensive security), có xu hướng tập trung vào việc phát hiện. AI tăng tốc quá trình trinh sát (reconnaissance). Nó giúp những kẻ tấn công xác định các điểm yếu nhanh hơn, chuỗi các kỹ thuật hiệu quả hơn và di chuyển với tốc độ máy thông qua các môi trường vốn trước đây được bảo vệ một phần bởi chính sự hạn chế về thời gian của kẻ tấn công.
Điều đó là có thật. Và nó quan trọng.
Nhưng đây là phần ít được chú ý hơn: hầu hết các đội ngũ bảo mật đã không thể giành chiến thắng trong trận chiến ưu tiên (prioritization) ngay cả trước khi Mythos xuất hiện. Việc rút ngắn mốc thời gian không tạo ra một vấn đề mới. Nó chỉ làm tăng cái giá phải trả cho một vấn đề hiện hữu.
"Một lỗ hổng CVSS 9.8 không có đường dẫn tới tài sản quan trọng sẽ ít cấp bách hơn một lỗ hổng CVSS 5.5 nằm cách cơ sở dữ liệu khách hàng của bạn chỉ một bước nhảy (hop). Điều đó đã đúng trước khi có Mythos. Chỉ là bây giờ cái giá phải trả cho việc xác định sai sẽ đắt hơn nhiều."
Vấn đề ưu tiên không bắt đầu từ AI
Chúng tôi đã dành cả năm qua để trò chuyện với các kiến trúc sư bảo mật, người đứng đầu bộ phận phát hiện và phản ứng, cùng các CISO tại các tổ chức doanh nghiệp tầm trung và đang phát triển. Khi chúng tôi hỏi họ ưu tiên các lỗ hổng như thế nào, các câu trả lời nhất quán đến kinh ngạc:
"Một tỷ lệ lớn các lỗ hổng mà chúng tôi phát hiện không thực sự có khả năng khai thác được (exploitable), nhưng chúng tôi không biết điều đó trừ khi chúng tôi nghiên cứu kỹ từng cái một, điều mà chúng tôi thiếu cả thời gian và nhân lực để thực hiện."
"Hiện tại là theo điểm số CVSS... và nó không hiệu quả lắm."
"Chúng tôi sử dụng Tenable và các cuộc diễn tập bảo mật bên ngoài cung cấp xếp hạng mức độ nghiêm trọng, và đó là cách chúng tôi ưu tiên. Tất cả đều rất chậm và chúng tôi có thể làm tốt hơn."
Đây không phải là những đơn vị nhỏ với các chương trình chưa trưởng thành. Đây là các tổ chức đang chạy đồng thời Qualys, Tenable, Rapid7, CrowdStrike, Wiz, Okta và Splunk. Những công cụ nghiêm túc. Ngân sách nghiêm túc. Nhưng vẫn đang làm việc dựa trên một danh sách tồn đọng được sắp xếp theo CVSS.
Nguyên nhân gốc rễ không phải là chất lượng hay phạm vi quét. Đó là ngữ cảnh (context). Cụ thể là sự thiếu vắng của ba điều mà điểm số CVSS không bao gồm:
- Ngữ cảnh danh tính (Identity context): Những tài khoản nào có quyền truy cập vào hệ thống bị lỗ hổng, và chúng có bị dư thừa đặc quyền (overprivileged) không?
- Khả năng tiếp cận (Reachability): Tài sản này có bị lộ ra internet không? Nó có cách hệ thống "vương miện" (crown-jewel) một bước nhảy không?
- Tính liên tục của đường dẫn (Path continuity): Liệu có tồn tại một chuỗi khai thác (exploit chain) đã được xác nhận kết nối CVE này với thứ gì đó thực sự quan trọng đối với doanh nghiệp không?
Nếu không có ba đầu vào đó, 50.000 phát hiện không phải là một danh sách được ưu tiên. Đó là một đống tồn đọng không có la bàn chỉ đường.
Mythos thực sự thay đổi điều gì, và điều gì không
Mythos và các mô hình tương tự nén thời gian từ khi lỗ hổng được công bố đến khi bị khai thác. Một đội ngũ bảo mật từng có ba tuần để vá lỗi sau khi một CVE xuất hiện thì giờ đây có thể chỉ còn ba ngày. Trong một số trường hợp là vài giờ.
Đó là một sự thay đổi ý nghĩa trong điều kiện vận hành. Nhưng nó không thay đổi vấn đề kiến trúc cơ bản, nó chỉ làm cho chi phí của vấn đề đó cao hơn nhiều.
Nếu nhóm của bạn đang làm việc từ một danh sách 50.000 phát hiện được sắp xếp theo CVSS, các mốc thời gian khai thác nhanh hơn sẽ không giúp ích gì cho bạn. Bạn vẫn đang bắt đầu từ một danh sách sai lầm.
"Mythos tăng tốc kẻ tấn công. Câu hỏi đặt ra là liệu việc ưu tiên của bạn có đủ nhanh để bắt kịp hay không, và hiện tại, đối với hầu hết các tổ chức, câu trả lời là không."
Việc thay đổi quy trình quản lý lỗ hổng là cần thiết. Nhưng câu trả lời không phải là một trình quét nhanh hơn hay nhịp độ vá lỗi dồn dập hơn.
Quy trình cần thay đổi là: ngừng coi quản lý lỗ hổng là một chức năng độc lập tạo ra danh sách các CVE đã được sắp xếp. Hãy bắt đầu hỏi xem những điểm yếu nào, kết hợp với ngữ cảnh danh tính nào, khả năng tiếp cận mạng nào và tầm quan trọng kinh doanh nào, sẽ tạo ra một đường dẫn thực tế đến tài sản quan trọng.
Đó không phải là vấn đề phát hiện. Đó là một vấn đề kiến trúc.
Khoảng cách kiến trúc mà không ai nói đến
Dưới đây là một hệ thống bảo mật (stack) điển hình của doanh nghiệp hiện nay:
- Danh tính: Okta hoặc Entra
- Bảo mật đám mây: Wiz hoặc Orca
- Quản lý lỗ hổng: Qualys, Tenable, hoặc Rapid7
- Điểm cuối (Endpoint): CrowdStrike hoặc SentinelOne
- Mạng: Zscaler hoặc Palo Alto
- SIEM: Splunk hoặc Sentinel
Mỗi công cụ này thực hiện chính xác những gì nó được chế tạo để làm. Wiz thấy lỗi cấu hình. Okta thấy tài khoản dịch vụ dư thừa đặc quyền. CrowdStrike thấy trạng thái điểm cuối. Qualys thấy CVE.
Nhưng không ai trong số họ thấy được chuỗi kết nối cả bốn yếu tố đó thành một đường dẫn tấn công (attack path) khả thi đến cơ sở dữ liệu khách hàng của bạn.
Mọi công cụ đó đều có thể đưa cho bạn một điểm số rủi ro. Nhưng không có công cụ nào có thể đưa cho bạn một quyết định mà bạn có thể bảo vệ trước hội đồng quản trị của mình.
Đó không phải là lỗ hổng của bất kỳ một công cụ nào. Đó là một lỗ hổng trong kiến trúc.
Quá trình thủ công như chuyển đổi tab, đối chiếu chéo, và hàng giờ của các nhà phân tích để xây dựng một bức tranh lẽ ra phải có sẵn, chính là thứ mà Mythos khai thác. Một kẻ tấn công hoạt động với tốc độ máy sẽ không cho bạn hai giờ để đối chiếu thủ công các công cụ của mình.
Ưu tiên dựa trên đường dẫn tấn công trông như thế nào
Thay vì hỏi "điểm CVSS của CVE này là bao nhiêu?", hãy hỏi: "liệu CVE này có thể tiếp cận tài sản quan trọng không, thông qua danh tính nào, qua ranh giới tin cậy nào, với phạm vi ảnh hưởng (blast radius) là bao nhiêu?"
Phép toán thay đổi đáng kể khi bạn thêm ngữ cảnh danh tính. Một tài khoản dịch vụ dư thừa đặc quyền nằm cạnh một CVE chưa được vá không phải là một phát hiện mức độ nghiêm trọng trung bình. Đó là một đường dẫn tấn công cực kỳ nguy cấp.
Một lỗ hổng CVSS 5.5 trên một hệ thống hướng internet có đường dẫn trực tiếp đến cơ sở dữ liệu khách hàng sẽ cấp bách hơn một lỗ hổng CVSS 9.8 trên một môi trường thử nghiệm bị cô lập. Chỉ riêng CVSS không thể nói cho bạn biết điều đó. Các công cụ riêng lẻ của bạn cũng không thể. Chỉ một hệ thống tương quan giữa chúng mới có thể.
"Các đội ngũ bảo mật phản ứng hiệu quả với các mốc thời gian khai thác bị AI nén lại không phải là những đội có quy trình vá lỗi nhanh nhất. Họ là những người biết 12 phát hiện nào trong số 50.000 thực sự quan trọng."
Đây là những gì Mesh được xây dựng để cung cấp. Nó tiếp nhận dữ liệu từ các công cụ quản lý lỗ hổng hiện có của bạn và thêm vào ngữ cảnh còn thiếu:
- Ngữ cảnh danh tính từ Okta hoặc Entra.
- Khả năng tiếp cận mạng từ Zscaler hoặc Palo Alto.
- Sơ đồ tài sản quan trọng.
- Xác thực mô phỏng tấn công thông qua Horizon3.ai: Đường dẫn này có thực sự khai thác được ngay hôm nay hay chỉ là lý thuyết?
Kết quả đầu ra không phải là 50.000 phát hiện được sắp xếp theo mức độ nghiêm trọng. Mà là 12 lỗ hổng ưu tiên, có bằng chứng xác thực và có đường dẫn thực tế đến những thứ quan trọng.
Đó không phải là thêm dữ liệu. Đó là một quyết định.
Quy trình thực sự cần thay đổi
Quy trình cũ: chạy trình quét, sắp xếp theo CVSS, giao việc, theo dõi tỷ lệ khắc phục.
Quy trình mới:
- 1. Kết nối các công cụ, không thay thế chúng. Đặt một lớp thông minh hợp nhất phía trên các công cụ hiện có để tương quan dữ liệu danh tính, đám mây, điểm cuối và lỗ hổng cùng một lúc.
- 2. Ưu tiên theo đường dẫn, không phải theo điểm số. Hỏi xem những điểm yếu nào có lộ trình đã được xác nhận đến tài sản quan trọng.
- 3. Xác thực trước khi khắc phục. Xác nhận một đường dẫn thực sự có thể khai thác được trước khi cam kết nguồn lực khắc phục.
- 4. Vận hành liên tục, không theo định kỳ. Mythos có nghĩa là cửa sổ giữa lúc bị lộ và lúc bị khai thác có thể đóng lại trong vài giờ. Các đánh giá tại một thời điểm nhất định (point-in-time) không còn là tiêu chuẩn nữa; chúng là một gánh nặng rủi ro.
Mythos không làm mất hiệu lực của việc quản lý lỗ hổng. Nó làm mất hiệu lực của việc quản lý lỗ hổng hoạt động mà không có ngữ cảnh. AI sẽ không trừng phạt các tổ chức vì họ vá lỗi quá chậm. Nó sẽ trừng phạt họ vì họ đang vá lỗi sai thứ. Đó là quy trình thực sự cần phải thay đổi.
Mesh là lớp thông minh hợp nhất cho các đội ngũ bảo mật doanh nghiệp đang vận hành trên các hệ thống bảo mật phân mảnh và thiếu ngữ cảnh chung. Bằng cách kết nối không cần tác nhân (agentless) với các công cụ hiện có, Mesh tương quan các tín hiệu trên danh tính, đám mây, SaaS, điểm cuối và môi trường AI để tiết lộ các đường dẫn tấn công khả thi nhất.
