Chu kỳ cũ đã kết thúc. Trong nhiều năm, an ninh mạng đã đi theo một khuôn mẫu quen thuộc: phòng thủ cải tiến, kẻ tấn công thích nghi và sự giằng co tiếp tục diễn ra. Ngày nay, những kẻ tấn công được trang bị AI đang đơn giản là vượt xa khả năng phòng thủ. Hầu hết các vụ xâm nhập hiện nay đều bỏ qua hoàn toàn các phương thức phát hiện dựa trên endpoint và malware.
Báo cáo Mối đe dọa Toàn cầu của CrowdStrike ước tính khoảng 79% các cuộc tấn công là malware-free, khi các tác nhân đe dọa dựa vào việc trộm cắp credential và kỹ thuật DLL side-load để vượt qua giám sát cấp host. Các lỗ hổng vùng biên càng làm trầm trọng thêm tình trạng này; các vụ vi phạm firewall và VPN gateway đã tăng 19% theo Báo cáo Điều tra Vi phạm Dữ liệu của Verizon mới nhất.
Một khi kẻ đối nghịch giành được quyền truy cập, quá trình breakout thường diễn ra trong vài giây. Claude Mythos và các mô hình tương tự đã làm leo thang thêm áp lực vận hành. Chúng có thể nhanh chóng phát hiện và khai thác các lỗ hổng chưa từng được biết đến, thu hẹp khoảng cách từ lúc phát hiện ban đầu đến khi xâm nhập hoàn toàn.
Các phương thức bảo mật phải thích nghi để ưu tiên ngăn chặn nhanh chóng và phân tích hành vi sau xâm nhập, và khả năng phòng thủ hiện yêu cầu phát hiện theo thời gian thực vượt ra ngoài phạm vi bao phủ cấp host. Đây là lúc các hệ thống phát hiện mạng đa tầng (multi-layered network detections) phát huy tác dụng, mở rộng phòng thủ ra ngoài endpoint — nhưng hiệu quả của chúng phụ thuộc rất lớn vào dữ liệu đằng sau.
Bằng chứng mạng tăng cường khả năng phát hiện
Các nền tảng endpoint, identity (định danh) và cloud mỗi bên cung cấp một góc nhìn giá trị về bảo mật doanh nghiệp. Các công cụ host theo dõi các tiến trình trong bộ nhớ, các giải pháp identity giám sát credential, và môi trường cloud ghi lại các thay đổi cấu hình. Mặc dù mỗi nguồn đều cung cấp khả năng hiển thị, nhưng các hệ thống này hoạt động biệt lập, tạo ra các lỗ hổng mà kẻ tấn công có thể dễ dàng khai thác.
Mỗi công cụ chỉ nhìn thấy một mảnh vỡ của chuỗi tấn công. Kẻ tấn công có thể xâm nhập một máy trạm, lợi dụng các điểm mù giữa hệ thống endpoint và identity để che giấu hành vi trộm cắp credential, di chuyển ngang (lateral movement) vào hạ tầng cloud và lấy cắp dữ liệu trước khi SOC kịp nhận biết. Đó là lý do tại sao việc thống nhất và tương quan dữ liệu đo lường (telemetry) trên các lĩnh vực này là điều cần thiết để thấy được bức tranh toàn cảnh.
Network Detection and Response (NDR) xác thực, làm phong phú và kết nối các tín hiệu riêng biệt này bằng dữ liệu mạng. Vì được thu thập out-of-band (ngoại băng), dữ liệu vẫn giữ nguyên tính bất biến ngay cả khi các agent cục bộ bị ngắt kết nối hoặc khi kẻ tấn công vô hiệu hóa các công cụ endpoint. Và vì nó thu thập lưu lượng truy cập trên toàn bộ doanh nghiệp, NDR cung cấp bối cảnh quan trọng, ghi lại mọi cuộc hội thoại, giao dịch và truyền dữ liệu, mang lại bằng chứng không thể chối cãi mà những người phòng thủ cần để phản ứng.
Ví dụ, khi một công cụ identity gắn cờ một lần đăng nhập bất thường, dữ liệu mạng sẽ xác thực xem tài khoản đó có khởi tạo các truy vấn cơ sở dữ liệu trái phép hay không. Khi một cảnh báo endpoint báo động về việc truy cập credential, nó giúp xác nhận liệu kẻ đối nghịch có cố gắng thực hiện lateral movement hay không.
Phát hiện đa tầng xây dựng sự tự tin trong ra quyết định
Hầu hết các tổ chức đã sở hữu một số hình thức hiển thị mạng, chẳng hạn như các hệ thống phát hiện xâm nhập (IDS) kế thừa, các thiết bị packet capture (PCAP) hoặc log NetFlow cơ bản. Tuy nhiên, các công cụ cũ này hoạt động cô lập và hầu hết không đáp ứng được tốc độ mà các nhà phân tích cần để phản ứng với các cuộc tấn công hiện đại. NDR thay thế các công cụ phân mảnh, lỗi thời này.
Thông qua việc hợp nhất signature (chữ ký), phân tích gói tin và flow logs vào một quy trình làm việc duy nhất, NDR cung cấp một bộ tính năng phát hiện toàn diện giúp giảm đáng kể tải trọng nhận thức cho nhà phân tích. Thay vì phải tìm kiếm qua một khối lượng khổng lồ các cảnh báo riêng biệt, không phối hợp, những người phòng thủ sử dụng nhiều lớp phát hiện mạng tích hợp để thiết lập bằng chứng chắc chắn.
- Phát hiện dựa trên Signature và Threat Intelligence: Cung cấp khả năng xác thực nhanh chóng cho các exploit đã được ghi nhận, bắt được các mối đe dọa đã biết và các tệp độc hại lịch sử với độ chính xác cao, đồng thời phát hiện liên lạc với hạ tầng của kẻ đối nghịch. Tuy nhiên, để xác định hoạt động sau khai thác, các bộ công cụ tự động hiện đại yêu cầu các lớp phân tích hành vi và sự bất thường nâng cao.
- Phát hiện hành vi (Behavioral detection): Các mô hình hành vi xác định các chiến thuật, kỹ thuật và quy trình (TTPs) của kẻ đối nghịch bất kể tệp tin hoặc mã khai thác cụ thể là gì. Ví dụ, chúng có thể phát hiện các chiến thuật command and control (C2) nghi vấn mà không phụ thuộc vào các chỉ số cụ thể.
- Phát hiện bất thường (Anomaly detection): Gắn cờ các biến thể cấu trúc so với lưu lượng mạng cơ sở, chẳng hạn như một máy trạm đột ngột hoạt động giống như một trình quét cổng nội bộ, xác định các kết nối đến một số lượng lớn các host chưa từng thấy trước đây, hoặc hiển thị các mẫu kết nối cho thấy hoạt động thu thập dữ liệu.
- Mô hình ML có giám sát: Các mô hình học máy này xuất sắc trong việc xác định các mẫu khó bắt được bằng signature hoặc logic dựa trên quy tắc, từ đó mở rộng phạm vi bao phủ cho các mối đe dọa lẩn tránh các phương pháp phát hiện truyền thống. Chúng có thể thấy các chỉ số xâm nhập (IoC) trong lưu lượng truy cập mã hóa, xác định các tên miền độc hại và giúp phát hiện tunneling trong mạng.
- AI: Thay vì đưa ra các cảnh báo độc lập buộc các nhà phân tích phải đoán mức độ nghiêm trọng, các công cụ AI nâng cao sẽ tương quan các cảnh báo trên các nguồn telemetry khác nhau và lập bản đồ hành vi của kẻ tấn công. Sự tích hợp này giúp giảm bớt sự nhầm lẫn, theo dõi toàn bộ kill chain và xây dựng sự tự tin trong các quyết định vận hành. Với thông tin tình báo đã được xác thực và tương quan, các nhà phân tích chuyển từ việc xác thực cảnh báo sang phân loại và ngăn chặn nhanh chóng.
Để đạt được mức độ rõ ràng trong vận hành này, các nhà lãnh đạo bảo mật phải đầu tư vào bảo vệ toàn vòng đời (full-lifecycle protection). Vị thế này dựa trên dữ liệu telemetry mạng tiên tiến có thể làm lộ diện hoạt động của kẻ đối nghịch đủ nhanh để bắt kịp tốc độ vận hành của các mối đe dọa cấp độ Mythos.
AI chỉ hiệu quả khi có bằng chứng đằng sau nó
Với tư cách là một lớp phòng thủ, AI hiện đang xuất sắc trong việc phân loại mối đe dọa, tự động hóa quy trình làm việc và tóm tắt sự cố. Tuy nhiên, quy tắc cốt lõi vẫn là tuyệt đối: đầu vào rác thì đầu ra cũng là rác (garbage in, garbage out).
Hiệu quả của tự động hóa bảo mật dựa trên AI bị giới hạn bởi một "trần kiến thức" được quyết định bởi dữ liệu nguồn, chứ không phải do việc lựa chọn mô hình. Ngay cả những mô hình tiên tiến nhất cũng không thể vượt qua những hạn chế do dữ liệu chất lượng thấp hoặc thiếu dữ liệu gây ra. Hãy đầu tư vào dữ liệu; mọi thứ khác sẽ theo sau.
Dữ liệu telemetry mạng phong phú cung cấp cho AI sự thật cần thiết để đưa ra kết luận chính xác, lập bản đồ chính xác mức độ tiếp xúc của doanh nghiệp, tái tạo đường dẫn tấn công và xác minh xem các exploit có thành công hay không. Không có nó, các công cụ AI có thể tạo ra các kết quả dương tính giả, bỏ lỡ các hoạt động quan trọng và làm chậm quá trình phản ứng sự cố.
Lưu lượng mạng đại diện cho bằng chứng không thể chối cãi về môi trường doanh nghiệp. Khi AI được xây dựng trên dữ liệu có thể chứng minh được này, nó mang lại giá trị bảo mật thực sự thay vì chỉ là những tín hiệu nhiễu.
Từ các ốc đảo dữ liệu đến phòng thủ thống nhất
Bối cảnh mạng này không phải là một giải pháp độc lập; nó đòi hỏi sự tích hợp và làm phong phú dữ liệu từ nhiều công cụ SOC để đạt được tác động tối đa. Sức mạnh thực sự của phương pháp này nằm ở kiến trúc dữ liệu mở và khả năng cấu hình sâu.
Khi một nền tảng hỗ trợ các tiêu chuẩn dữ liệu mở, các nhà phân tích có thể nhanh chóng tương quan telemetry mạng với các cảnh báo từ host và identity. Sự tích hợp liền mạch này cho phép các nhóm bảo mật sử dụng bối cảnh mạng phong phú ngay lập tức, giải quyết các sự kiện mơ hồ và lập bản đồ các con đường tấn công từ khi xâm nhập ban đầu đến khi thực thi. Dữ liệu có cấu trúc, dễ tiếp cận đảm bảo rằng các nhóm phản ứng sự cố có thể thực hiện ngăn chặn chính xác trước khi một vụ xâm nhập leo thang.
Các điểm chính rút ra
Sự xuất hiện của các công cụ exploit tự động mạnh mẽ như Mythos đòi hỏi một sự phát triển trong phòng thủ doanh nghiệp. Trong bối cảnh này, các nhóm bảo mật phải tiến tới một kiến trúc phòng thủ với dữ liệu mạng làm trung tâm để liên kết các công cụ và dữ liệu bảo mật vốn dĩ rời rạc. Sự tích hợp này cung cấp bằng chứng và bối cảnh giúp giảm thiểu các điểm mù và sự không chắc chắn. Khi AI trở thành thành phần cốt lõi của SOC hiện đại, giá trị chiến lược của bằng chứng mạng sẽ tăng lên theo cấp số nhân.
Bằng chứng mạng thống nhất và khả năng hiển thị toàn diện đảm bảo rằng các nhà phân tích con người và các mô hình AI làm việc trên cùng một góc nhìn về môi trường. Góc nhìn chia sẻ này thay thế việc phỏng đoán bằng các sự thật rõ ràng, có cấu trúc. Chiến lược này nhất quán mang lại ba kết quả vận hành quan trọng:
- Cải thiện chất lượng phát hiện: xác định các cuộc tấn công phức tạp, nhiều giai đoạn lẩn tránh được các công cụ đơn tầng.
- Điều tra nhanh hơn: sử dụng các log mạng phong phú để nhanh chóng tái tạo lại các sự cố bảo mật.
- Độ tin cậy cao hơn vào kết quả: loại bỏ sự nghi ngờ trong vận hành và thực hiện ngăn chặn mối đe dọa nhanh chóng.
Với nền tảng vững chắc là bằng chứng mạng, các tổ chức có thể biến mạng lưới của mình thành tài sản phòng thủ mạnh mẽ nhất.
Về Corelight
Corelight cung cấp các giải pháp Network Detection and Response (NDR) giúp tăng tốc các cuộc điều tra mối đe dọa thông qua phòng thủ hỗ trợ bởi AI. Bằng cách kết hợp khả năng hiển thị mạng toàn diện với phân tích hành vi chuyên sâu, Nền tảng Corelight Open NDR cung cấp cho các nhóm bảo mật bối cảnh có thể hành động và khả năng phát hiện dựa trên bằng chứng. Các chuyên gia bảo mật có thể tìm hiểu thêm về Corelight Network Defense hoặc truy cập trang web Corelight để biết cách bảo vệ doanh nghiệp hybrid.
