Công nghệ phát hiện dựa trên trí tuệ nhân tạo (AI) giúp khắc phục lỗ hổng “zero-day” và khoảng trễ trong quy trình bảo mật của bạn

Mỗi hệ thốngManaged File Transfer tệp tin doanh nghiệp đều tiềm ẩn sự kém hiệu quả. Các tác vụ MFT Managed File Transfer), máy chủ proxy ICAP Internet Content Adaptation Protocol), tệp đính kèm email, cổng tải lên dành cho khách hàng và việc truyền dữ liệu giữa các miền đều có chung một thực tế thống kê: khoảng 99,9% tệp tin đi qua các kênh này là dữ liệu kinh doanh an toàn. Chính 0,1% tệp tin độc hại còn lại mới là lý do duy nhất khiến hệ thống này tồn tại. Mỗi tệp đều phải chịu cùng một mức “chi phí bảo mật” bất kể mức độ rủi ro, và sự đồng nhất đó chính là sự kém hiệu quả.

Vấn đề đầu tiên là độ trễ. Một tệp nằm trong hàng đợi phía sau hàng chục tệp khác vào giờ cao điểm buổi sáng phải chờ đến lượt mình để trải qua quá trình quét đa lớp đầy đủ, bất kể đó là bảng tính thông thường hay tệp thực thi không xác định. Trong lĩnh vực ngân hàng và dịch vụ tài chính, sự chậm trễ đó dẫn trực tiếp đến các giao dịch bị giữ lại, quá trình xử lý chậm hơn và các lệnh chuyển khoản phải chờ đợi máy quét. Theo Khảo sát về Phát hiện và Ứng phó năm 2025 của SANS, thời gian phản hồi đã trở thành thách thức hàng đầu đối với 53% các đội ngũ an ninh, tăng so với con số 45% của năm trước.

Vấn đề thứ hai là các cảnh báo sai. Hầu hết các công cụ bảo mật dựa trên học máy đều được tối ưu hóa cho chỉ số thu hồi (recall): phát hiện mọi thứ, chấp nhận các tín hiệu nhiễu. Sự đánh đổi này có thể chấp nhận được trên thiết bị đầu cuối. Tuy nhiên, trong quy trình xử lý tệp, một cảnh báo sai có thể chặn một tệp kinh doanh hợp lệ, kích hoạt cảnh báo không cần thiết tại Trung tâm Hoạt động An ninh (SOC) và làm suy giảm niềm tin của các nhà phân tích – yếu tố then chốt giúp tự động hóa trở nên khả thi. Cùng cuộc khảo sát của SANS cũng chỉ ra rằng các cảnh báo sai hiện là thách thức phát hiện hàng đầu đối với 73% số người được hỏi.

Predictive Alin AI là công cụ phát hiện phần mềm độc hại dựa trên trí tuệ nhân tạo (AI) OPSWAT, chuyên phát hiện các lỗ hổng zero-day trước khi thực thi, được thiết kế để xác định các tệp độc hại trước khi chúng được thực thi thông qua phân tích học máy dựa trên các đặc điểm cấu trúc và hành vi của tệp. Công cụ này không dựa vào chữ ký, kiến thức sẵn có về một mối đe dọa cụ thể hay việc kích hoạt trong môi trường sandbox để đưa ra kết luận. Predictive Alin AI phân tích các chỉ số cấu trúc tiết lộ ý đồ độc hại trước khi bất kỳ lệnh nào được thực thi.

Các công cụ chống vi-rút truyền thống hoạt động dựa trên một danh sách. Khi một chữ ký trùng khớp với một mối đe dọa đã biết, tệp đó sẽ bị đánh dấu. Theo AV-TEST.org, với 450.000 mẫu phần mềm độc hại mới xuất hiện mỗi ngày, danh sách này luôn chậm một bước so với thực tế. Công nghệ AI dự đoán Alin áp dụng một phương pháp tiếp cận khác, đó là trích xuất và phân tích các đặc điểm cấu trúc mà các tệp độc hại để lại, bất kể chúng đã từng được phát hiện trước đó hay chưa.

Bộ xử lý sẽ đánh giá các đặc trưng bao gồm:

• Tiêu đề tệp, các phần và bố cục tổng thể

• Các mẫu entropy và các chỉ số mã nén

• Các điểm vào và đặc điểm luồng điều khiển

• Siêu dữ liệu và bảng nhập liệu

Đây là những dấu hiệu mà một mối đe dọa nhúng vào cấu trúc tệp của mình, và chúng vẫn tồn tại bất kể mối đe dọa cụ thể đó đã từng được phát hiện trước đây hay chưa. Một tệp được tạo ra nhằm tránh bị phát hiện vẫn phải trải qua quá trình xây dựng, và chính quá trình xây dựng đó mang theo những mẫu mà một mô hình đã được huấn luyện có thể nhận diện được.

Hầu hết các công cụ bảo mật dựa trên học máy đều được tối ưu hóa để đạt độ nhạy cao: phát hiện càng nhiều sự cố càng tốt và chấp nhận các kết quả dương tính giả như một chi phí phải trả để đảm bảo phạm vi bao phủ. OPSWAT quyết định kỹ thuật ngược lại với Predictive Alin AI. Công cụ này được tinh chỉnh để ưu tiên độ chính xác, với mục tiêu đạt tỷ lệ dương tính giả 0,01%. Khi Predictive Alin AI đưa ra kết luận, kết luận đó được thiết kế để có thể tin cậy và thực hiện ngay mà không cần sự xem xét của con người.

Độ chính xác đó được áp dụng theo cả hai hướng. Cùng một phương pháp phân tích giúp nhận diện các dấu hiệu cấu trúc của một tệp độc hại cũng có thể nhận diện các dấu hiệu cấu trúc của một tệp an toàn. Chính mức độ tin cậy hai chiều này đã tạo điều kiện cho trường hợp sử dụng Deflection trở nên khả thi, nội dung này sẽ được trình bày chi tiết trong phần tiếp theo.

Công nghệ AI dự đoán Alin đưa ra kết quả trong vòng dưới 15 mili giây ở mức P50 đối với các tệp PE, với hiệu suất P90 dao động từ 10 đến 22 mili giây trên các loại tệp khác nhau và dưới 100 mili giây ở mức P99 đối với các định dạng phức tạp bao gồm cả PDF. Hiện tại, hệ thống đang hỗ trợ bốn định dạng: PE, PDF, Mach-O và ELF, với kế hoạch mở rộng hỗ trợ định dạng trong tương lai. Kết quả phân tích được đưa ra trước khi người dùng kịp nhận ra rằng tệp đã được tải lên, giúp việc bảo vệ trực tiếp trở nên khả thi mà không gây ra điểm nghẽn trong quy trình xử lý.

Việc phát hiện chứng minh rằng hệ thống đang hoạt động hiệu quả. Mỗi trường hợp “zero-day” được phát hiện chính xác đều là một dữ liệu góp phần xây dựng cơ sở dữ liệu cần thiết để thực hiện các hành động ngược lại. Một khi niềm tin đó đã được thiết lập, ngưỡng chính xác tương tự được sử dụng để phát hiện các tệp độc hại cũng có thể được áp dụng để xác nhận các tệp an toàn với mức độ tin cậy tương đương.

Khi Predictive Alin AI đưa ra kết luận “an toàn” với độ tin cậy cao, tệp tin sẽ đi theo lộ trình rút gọn đã được xác minh. Tệp tin sẽ bỏ qua Multiscanning Metascan™ Multiscanning được chuyển trực tiếp đến Công nghệ Deep CDR™ để khử mã độc trước khi phân phối. Khi Predictive Alin AI không chắc chắn, tệp tin sẽ đi theo lộ trình đầy đủ: quét đa lớp trên tối đa 30 công cụ quét, qua Công nghệ Deep CDR™ và nhận được kết luận hoàn chỉnh trước khi phân phối. Mỗi tệp đều kết thúc với một kết luận. Việc chuyển hướng chỉ thay đổi lộ trình, không thay đổi kết quả.

Điều này đặc biệt quan trọng trong các khung giờ cao điểm. Các đợt tăng đột biến lượng email vào buổi sáng, các đợt chuyển dữ liệu theo lô vào cuối ngày và các đợt tải lên ồ ạt sau các thông báo chính là những thời điểm mà hàng đợi bị kéo dài và thời gian phản hồi tăng cao. Cơ chế chuyển hướng sẽ xử lý lưu lượng truy cập đã được xác nhận là an toàn ngay tại điểm vào, nhờ đó phần còn lại của hệ thống xử lý sẽ không phải gánh chịu làn sóng lưu lượng này.

Việc chuyển hướng không làm giảm mức độ kiểm tra. Triết lý “Không tin tưởng bất kỳ tệp nào. Không tin tưởng bất kỳ thiết bị nào.™” – nền tảng mà MetaDefender® được xây dựng – vẫn không thay đổi. Không có tệp nào được coi là an toàn. Chuyển hướng là một biện pháp thận trọng: khi bộ máy phân tích chắc chắn, nó sẽ thực hiện hành động; khi có bất kỳ nghi ngờ nào, tệp đó sẽ được xử lý theo quy trình kiểm tra kỹ lưỡng hơn. Sự mơ hồ không bao giờ được giải quyết tại lớp chuyển hướng.

Theo Khảo sát về Phát hiện và Ứng phó năm 2025 của SANS, các kết quả dương tính giả là thách thức lớn nhất trong công tác phát hiện đối với 73% các đội ngũ an ninh; trong đó, tỷ lệ các đội ngũ gặp phải tình trạng này với tần suất rất cao đã tăng lên 20%, so với 13% của năm trước. Mỗi kết quả dương tính giả đồng nghĩa với việc một chuyên viên phân tích bị kéo khỏi việc xử lý một mối đe dọa thực sự, một tệp tin an toàn bị chặn khỏi quy trình làm việc hợp lệ, và sự suy giảm dần dần niềm tin vào chính hệ thống phát hiện.

Các đội SOC (Trung tâm Hoạt động An ninh) quản lý các luồng tệp có khối lượng lớn đang phải đối mặt với một vấn đề ngày càng trầm trọng: càng nhiều tệp đi qua luồng, hệ thống phát hiện càng tạo ra nhiều cảnh báo, và việc phân biệt tín hiệu thực sự với nhiễu càng trở nên khó khăn hơn. Khi các nhà phân tích phải dành ca làm việc của mình để loại bỏ các cảnh báo sai, các mối đe dọa thực sự lại có thêm thời gian để hoạt động. Điểm nghẽn của SOC chính là điểm nghẽn trong quá trình phát hiện.

Để tìm hiểu sâu hơn về cách phân tích thông minh hơn giúp phá vỡ vòng luẩn quẩn này, hãy tham khảo bài viết: “Tắc nghẽn tại SOC: Phá vỡ vòng luẩn quẩn của tình trạng quá tải cảnh báo nhờ công nghệ Sandboxing thông minh hơn”.

Khoảng cách về khả năng phát hiện và khoảng cách về độ trễ không chỉ xuất hiện riêng ở bất kỳ lĩnh vực nào. Trong các môi trường sản xuất, năng lượng và chính phủ, khoảng cách về khả năng phát hiện và độ trễ xuất hiện trong các bối cảnh hoạt động khác nhau. Bảng dưới đây trình bày mức độ rủi ro cụ thể của từng lĩnh vực đối với các khả năng mà Predictive Alin AI giải quyết.

Ứng dụng của công nghệ AI dự đoán Alin trong các ngành công nghiệp

Các tổ chức dịch vụ tài chính vận hành một số hệ thống xử lý tệp có khối lượng lớn nhất trong mọi lĩnh vực. Các cổng tải lên dành cho khách hàng, quy trình tiếp nhận tài liệu và việc chuyển tệp giữa các miền đều tạo ra lưu lượng tệp liên tục, và mỗi cảnh báo không cần thiết đều khiến các chuyên viên phân tích phải chuyển hướng sự chú ý khỏi các mối đe dọa thực sự. Theo khảo sát của SANS, các cảnh báo sai là thách thức hàng đầu trong việc phát hiện đối với 73% đội ngũ an ninh, trong đó tỷ lệ các đội ngũ gặp phải tình trạng này với tần suất rất cao đã tăng lên 20% so với 13% của năm trước.

Hệ thống AI dự đoán Alin AI giúp giảm khối lượng cảnh báo ngay từ nguồn bằng cách tối ưu hóa độ chính xác thay vì độ bao quát. Một kết luận mà Trung tâm Điều hành An ninh (SOC) có thể tin cậy chính là kết luận mà SOC có thể tự động hóa, từ đó giúp các nhà phân tích tập trung vào những trường hợp thực sự cần điều tra.

Môi trường sản xuất phải đối mặt với một vấn đề xâm nhập đặc thù. Các bản cập nhật firmware, sản phẩm xây dựng và gói phần mềm do các nhà cung cấp bên thứ ba cung cấp ban đầu xuất hiện dưới dạng tệp tin trước khi trở thành mối đe dọa. Khi một gói phần mềm độc hại tiếp cận hệ thống OT, thiệt hại đã xảy ra bên trong phạm vi bảo vệ. Công nghệ AI dự đoán Alin chặn các tệp này ngay tại ranh giới, đưa ra kết luận đánh giá trước khi thực thi trước khi chúng được đưa vào môi trường sản xuất. Hoạt động trên MetaDefender – nền tảng phát hiện và ngăn chặn mối đe dọa tiên tiến OPSWAT– công cụ này bổ sung một lớp trí tuệ dự đoán vào các quy trình tiếp nhận hiện có mà không cần thay đổi kiến trúc.

Các nhà khai thác trong lĩnh vực năng lượng và dịch vụ công ích phải quản lý một số môi trường có kết nối bị hạn chế nhất trong cơ sở hạ tầng trọng yếu. Nhiều phương pháp phát hiện sẽ giảm hiệu quả trong các triển khai không kết nối mạng (air-gapped), do phụ thuộc vào việc tra cứu trên đám mây hoặc dữ liệu từ xa bên ngoài – những yếu tố đơn giản là không có sẵn. Predictive Alin AI hoạt động hoàn toàn ngoại tuyến với độ chính xác 99,99% tương đương như các triển khai trên đám mây, không yêu cầu kết nối bên ngoài cũng như tra cứu trên đám mây để duy trì hiệu suất đó. Các gói cập nhật tại hiện trường và phần mềm do nhà cung cấp cung cấp có thể được kiểm tra tại ranh giới mạng trước khi chúng tiếp cận hệ thống lưới điện hoặc nhà máy, với kết quả đánh giá được đưa ra trong vòng vài mili giây bất kể tình trạng cách ly mạng.

Môi trường chính phủ và quốc phòng phải hoạt động trong bối cảnh chịu hai hạn chế đồng thời: các quy định tuân thủ nghiêm ngặt yêu cầu mọi hoạt động đều phải được kiểm tra kỹ lưỡng trước khi thực hiện, và kiến trúc mạng cấm kết nối với bên ngoài. Trong quá khứ, những hạn chế này đã buộc người ta phải lựa chọn giữa việc quét kỹ lưỡng và tốc độ vận hành. Công nghệ AI dự đoán Alin giải quyết cả hai vấn đề này bằng cách cung cấp khả năng phát hiện lỗ hổng zero-day trước khi thực thi, giúp:

• Hoạt động hoàn toàn ngoại tuyến trong các môi trường cách ly hoàn toàn và xuyên miền

• Đáp ứng các yêu cầu về phát hiện với độ tin cậy cao mà không cần kích hoạt trong môi trường sandbox

• Tích hợp vào các hệ thống MetaDefender , MetaDefender File Transfer™ và MetaDefender hiện có

• Liên tục cải thiện thông qua chu trình đào tạo lại ngay từ ngày đầu tiên được hỗ trợ bởi MetaDefender , mà không cần kết nối trực tuyến để thực hiện việc này

Xem Alin AI dự đoán hoạt động như thế nào

Hội thảo trực tuyến “Scan What Matters” sẽ hướng dẫn chi tiết cách Predictive Alin AI khắc phục cả lỗ hổng trong việc phát hiện lỗ hổng zero-day lẫn độ trễ trong quy trình xử lý, kèm theo phần trình diễn trực tiếp về trường hợp sử dụng công nghệ chuyển hướng (deflection) và các chỉ số độ chính xác trong môi trường sản xuất. Hãy xem bản ghi lại theo yêu cầu theo nhịp độ của riêng bạn.

Đánh giá hiệu quả chương trình phát hiện của bạn

Cuộc khảo sát “Phát hiện và Ứng phó SANS 2025”, do OPSWAT tài trợ, ghi nhận cách hơn 300 chuyên gia an ninh mạng trong các lĩnh vực ngân hàng, chính phủ, y tế và sản xuất đang tái định hình chiến lược phát hiện trước tình trạng gia tăng đột biến các cảnh báo sai, tình trạng “mệt mỏi do cảnh báo” và rủi ro từ các lỗ hổng zero-day. Tải xuống báo cáo đầy đủ để đánh giá tình hình hiện tại của chương trình an ninh mạng của quý vị.