Phát hiện lỗ hổng zero-day là quá trình xác định phần mềm độc hại chưa được biết đến, không có chữ ký hiện có và không có hồ sơ phân tích trước đó. Tại các ranh giới mạng của chính phủ, nơi các tệp thực thi, tệp bản vá và tài liệu được quản lý phải vượt qua quá trình kiểm tra mà không bị sửa đổi, việc phát hiện lỗ hổng zero-day hiệu quả đòi hỏi phải sử dụng mô phỏng ở cấp độ lệnh để phơi bày các mối đe dọa nhằm xác định dấu vân tay của môi trường ảo và làm chậm quá trình phân tích trước khi thực thi.
Tóm tắt: Những điểm chính
- Các môi trường cách ly truyền thống dựa trên máy ảo (VM) dễ bị phát hiện thông qua dấu vân tay môi trường, sự chậm trễ theo thời gian và các kiểm tra của trình gỡ lỗi, trong khi phần mềm độc hại hiện đại lại tận dụng chính những kỹ thuật này để lẩn tránh phân tích trước khi thực thi các hành vi độc hại
- MetaDefender đạt tỷ lệ phát hiện các lỗ hổng zero-day lên tới 99,9% nhờ quy trình gồm bốn lớp: đánh giá danh tiếng mối đe dọa, phân tích động, chấm điểm mối đe dọa và săn lùng mối đe dọa
- Quá trình mô phỏng cấp lệnh xử lý tệp nhanh gấp 20 lần so với các môi trường sandbox truyền thống, với thời gian P90 dưới 15 giây và thông lượng 25.000 tệp mỗi ngày trên mỗi máy chủ
- MetaDefender theo dõi các hành vi độc hại dựa trên các chiến thuật và kỹ thuật của MITRE ATT&CK, cung cấp một khung tiêu chuẩn hóa nhằm đẩy nhanh quá trình phân loại sự cố, báo cáo sự cố và chia sẻ thông tin tình báo về mối đe dọa
- Các đầu ra IOC có thể đọc được bằng máy được đưa trực tiếp vào các quy trình làm việc của SIEM và SOAR, bao gồm Splunk, Cortex XSOAR và CEF Syslog
Tại sao các mạng của chính phủ lại là những mục tiêu “zero-day” có giá trị cao
Các mạng lưới của chính phủ là một trong những môi trường thường xuyên bị nhắm mục tiêu nhất bởi các cuộc tấn công zero-day, do những gì chúng lưu trữ: các hệ thống nhạy cảm, dữ liệu mật và các dịch vụ quan trọng mà kẻ tấn công không thể truy cập một cách đáng tin cậy thông qua các lỗ hổng đã biết.
Theo Báo cáo Triển vọng An ninh mạng Toàn cầu năm 2026 của Diễn đàn Kinh tế Thế giới (WEF), 23% các tổ chức thuộc khu vực công cho biết khả năng phục hồi trước các cuộc tấn công mạng của họ còn chưa đủ, khiến họ phải đối mặt với rủi ro cao hơn bình thường khi các mối đe dọa tinh vi vượt qua được các hệ thống phòng thủ biên giới. Niềm tin vào khả năng sẵn sàng ứng phó của các quốc gia cũng đang suy giảm: cùng báo cáo này chỉ ra rằng 31% số người được khảo sát trên toàn cầu cho biết họ có mức độ tin tưởng thấp vào khả năng của quốc gia mình trong việc ứng phó với các sự cố mạng quy mô lớn, tăng so với con số 26% vào năm 2025.
Trí tuệ nhân tạo (AI) đang làm gia tăng diện tích bề mặt tấn công. Theo cùng báo cáo này, 87% số người được hỏi đã chỉ ra rằng các lỗ hổng liên quan đến AI là rủi ro mạng có tốc độ gia tăng nhanh nhất. Các tác nhân đe dọa đang sử dụng AI để nâng cao độ chính xác trong việc nhắm mục tiêu, tự động hóa việc tạo ra các mã khai thác và điều chỉnh các cuộc tấn công gần như theo thời gian thực, qua đó vượt xa khả năng của các công cụ phát hiện tĩnh mà nhiều mạng lưới chính phủ vẫn đang phụ thuộc vào.
Rủi ro chồng chất đối với những người bảo vệ khu vực công
Các đơn vị bảo vệ an ninh của chính phủ phải đối mặt với những điều kiện cơ cấu khiến rủi ro từ các lỗ hổng “zero-day” gia tăng vượt xa mức mà hầu hết các môi trường trong khu vực tư nhân phải đối mặt. Cơ sở hạ tầng cũ kỹ, ngân sách hạn hẹp và xu hướng hội tụ ngày càng mở rộng giữa OT và IT tạo ra những lỗ hổng trong việc phát hiện, vốn rất khó khắc phục từng bước một. Các đối tượng tấn công được hỗ trợ bởi trí tuệ nhân tạo (AI) đang khai thác những lỗ hổng này với độ chính xác và tốc độ ngày càng cao.
Khía cạnh địa chính trị càng gia tăng áp lực. Theo báo cáo của Diễn đàn Kinh tế Thế giới (WEF), 64% tổ chức trên toàn cầu hiện đang phải đối mặt với các cuộc tấn công mạng xuất phát từ động cơ địa chính trị, bao gồm cơ sở hạ tầng trọng yếu và hoạt động gián điệp, trong đó khu vực công luôn được xác định là mục tiêu chính. Cùng báo cáo này cũng nhấn mạnh rằng việc đa dạng hóa nhà cung cấp và việc chuyển giao tệp tin trong chuỗi cung ứng đang diễn ra ngày càng nhanh chóng, tạo thành một “bề mặt tấn công” ngày càng mở rộng nhưng chưa được giám sát đầy đủ tại ranh giới mạng, đặc biệt khi các chính phủ đang tái cấu trúc các thỏa thuận lưu trữ dữ liệu để ứng phó với áp lực địa chính trị.
Các môi trường cách ly truyền thống dựa trên máy ảo (VM) không thể đối phó với các kỹ thuật né tránh ngày càng tinh vi
Các môi trường thử nghiệm (sandbox) truyền thống dựa trên máy ảo (VM) thực thi các tệp tin bên trong một môi trường hệ điều hành ảo hóa và ghi lại hành vi phát sinh từ đó. Phần mềm độc hại tiên tiến được thiết kế để nhận diện môi trường đó trước khi thực thi, bằng cách sử dụng nhiều kỹ thuật phát hiện khác nhau nhằm nhận biết các điều kiện phân tích và ức chế hoạt động độc hại. Hậu quả là dữ liệu hành vi không đầy đủ, kết quả đánh giá không nhất quán và các mối đe dọa lọt qua hàng rào bảo vệ mà không bị phát hiện.
Một cơ quan chính phủ quốc gia với hơn 3.000 nhân viên làm việc trong cả môi trường dân sự và môi trường hạn chế đã gặp phải chính sự cố này với hệ thống sandbox dựa trên máy ảo (VM) cũ của họ. Phần mềm độc hại có khả năng né tránh đã phát hiện ra môi trường ảo của họ và ức chế hoạt động của nó, khiến các nhà phân tích chỉ nhận được dữ liệu và báo cáo không đầy đủ, đòi hỏi phải giải thích thủ công. Theo thời gian, điều này đã làm chậm quá trình điều tra và làm suy yếu mức độ tin cậy của các kết luận trong cả đội SOC và CERT.
Các kỹ thuật né tránh mà các môi trường thử nghiệm dựa trên máy ảo (VM) không thể ngăn chặn một cách đáng tin cậy
- Sự chậm trễ dựa trên thời gian: Phần mềm độc hại lợi dụng thực tế là các môi trường dựa trên máy ảo (VM) có các mẫu thời gian có thể quan sát được và chờ cho đến khi hết khoảng thời gian phân tích của hộp cát trước khi thực thi
- Hướng dẫn “Red-pill”: Phần mềm độc hại truy vấn các thanh ghi phần cứng, các tính năng của CPU và cấu trúc bộ nhớ – những yếu tố có cách hoạt động khác biệt trong môi trường ảo hóa – và sử dụng kết quả thu được để xác nhận rằng nó đang bị phân tích
- Kiểm tra trình gỡ lỗi: Phần mềm độc hại kiểm tra danh sách các tiến trình, mẫu API và các cờ hệ thống để phát hiện sự hiện diện của các công cụ phân tích, và sẽ ngừng thực thi khi phát hiện thấy chúng
- Quá trình thực thi bị đình trệ: Phần mềm độc hại chờ đợi các tương tác cụ thể từ người dùng hoặc các trạng thái nhàn rỗi của hệ thống – những tình huống hiếm khi xảy ra trong các lần chạy tự động trên môi trường sandbox – khiến các cơ chế kích hoạt dựa trên hành vi không thể được kích hoạt
Kết quả phát hiện trong các hoạt động an ninh của chính phủ
Khả năng | Sandbox dựa trên máy ảo | MetaDefender Aether |
Khả năng chống né tránh của Anti-VM | Dễ bị phát hiện thông qua dấu vân tay môi trường; phần mềm độc hại có thể phát hiện phần cứng ảo hóa và ngăn chặn quá trình thực thi trước khi các hành vi độc hại được thực hiện | Đã vô hiệu hóa; trình giả lập không sử dụng thời gian thực từ phần cứng hoặc hệ điều hành, từ đó loại bỏ các tín hiệu mà phần mềm độc hại dựa vào để nhận diện môi trường phân tích |
Khả năng chống lại các kỹ thuật né tránh gỡ lỗi | Dễ bị trình gỡ lỗi phát hiện; phần mềm độc hại có khả năng nhận diện các công cụ phân tích sẽ ngừng thực thi trước khi các chỉ số IOC được tạo ra | Được vô hiệu hóa ở cấp độ lệnh; trình giả lập không tiết lộ các API của quy trình và API mà phần mềm độc hại hỗ trợ gỡ lỗi thường kiểm tra |
Chế độ bỏ qua độ trễ theo thời gian | Chờ cho đến khi thời gian trễ kết thúc; các khoảng thời gian phân tích là hữu hạn, và phần mềm độc hại nếu trì hoãn đủ lâu sẽ hoàn toàn tránh được việc quan sát hành vi | Loại bỏ độ trễ bằng cách chỉ mô phỏng các thành phần cần thiết cho quá trình thực thi, mà không bị ràng buộc bởi thời gian đồng hồ thực tế |
Ghi lại lưu lượng mạng | Ghi lại lưu lượng mạng thông qua PCAP, phương pháp này không thể xác định mục đích từ các giao tiếp được mã hóa hoặc được che giấu | Phát hiện ý đồ trên mạng ở cấp độ API bộ nhớ, giúp có thể trích xuất các chỉ số C2 và logic trích xuất dữ liệu ngay cả khi lưu lượng mạng được mã hóa hoặc che giấu |
Tính nhất quán trong phân tích | Thay đổi tùy theo trạng thái của máy ảo; sự khác biệt về môi trường giữa các lần chạy dẫn đến các kết quả hành vi không nhất quán và làm gia tăng độ nhiễu trong phân tích | Có tính xác định và có thể lặp lại; cùng một tệp sẽ cho ra kết quả giống nhau trong nhiều lần thực thi và trên các đường dẫn hệ điều hành khác nhau, đáp ứng các yêu cầu về nhật ký kiểm toán và chuỗi lưu giữ |
Tốc độ xử lý | Chậm hơn và tiêu tốn nhiều tài nguyên; việc mô phỏng toàn bộ hệ điều hành gây ra gánh nặng, từ đó hạn chế thông lượng trong các môi trường có khối lượng công việc lớn | Nhanh hơn 20 lần so với các môi trường sandbox truyền thống, với mục tiêu P90 dưới 15 giây cho mỗi tệp |
Rủi ro dương tính giả | Cao hơn; Sự biến động về trạng thái của máy ảo (VM) dẫn đến các kết quả phân tích không nhất quán và gia tăng “tiếng ồn” từ các nhà phân tích, từ đó làm suy giảm niềm tin vào kết quả phát hiện theo thời gian | Thứ hai; phân tích xác định mang lại các kết quả nhất quán qua các lần thực thi, từ đó nâng cao độ tin cậy của kết quả và giảm bớt gánh nặng rà soát thủ công cho các nhà phân tích |
Cơ chế hoạt động của công nghệ mô phỏng cấp lệnh MetaDefender
MetaDefender là giải pháp phát hiện lỗ hổng zero-day tích hợp OPSWAT, được thiết kế để xác định các mối đe dọa tinh vi và chưa được biết đến tại ranh giới mạng thông qua quy trình xử lý mối đe dọa bốn lớp, kết hợp giữa danh tiếng mối đe dọa, phân tích động, đánh giá mức độ nguy hiểm và săn lùng mối đe dọa. Trong khi các hộp cát dựa trên máy ảo (VM) mô phỏng một môi trường hệ điều hành hoàn chỉnh, MetaDefender hoạt động ở cấp độ lệnh, giải mã quá trình thực thi tệp từng thành phần một mà không cần chạy hệ điều hành thực tế hay để lộ các tín hiệu phần cứng mà phần mềm độc hại có khả năng lẩn tránh thường tìm kiếm.
Môi trường thực thi thực tế
MetaDefender không chạy hệ điều hành đầy đủ cũng như không dựa vào phần cứng ảo hóa. Trình mô phỏng này chỉ mô phỏng các thành phần cần thiết để thực thi một tệp cụ thể, bằng cách giải thích hành vi ở cấp độ lệnh CPU. Điều này giúp loại bỏ các dấu vết của hệ điều hành và tín hiệu phần cứng mà phần mềm độc hại có khả năng lẩn tránh thường sử dụng để phát hiện môi trường phân tích, đồng thời cho phép phát hiện nhanh hơn và tiết kiệm tài nguyên hơn so với ảo hóa toàn hệ thống.
Giám sát hành vi toàn diện
Để đạt được mục tiêu của mình, các mẫu phần mềm độc hại phải tương tác với môi trường máy chủ: thao túng các mục đăng ký, tạo hoặc chèn các tiến trình, gọi các API, phân bổ bộ nhớ và khởi tạo các hoạt động mạng. MetaDefender giám sát tất cả các tương tác này trong suốt quá trình thực thi. Do hành vi được chặn lại ở cấp độ lệnh, nên các nỗ lực né tránh không thể ngăn cản việc quan sát. Các hành vi đó vẫn phải diễn ra, và trình mô phỏng sẽ ghi lại chúng bất kể thế nào.
Các hành vi được MetaDefender theo dõi bao gồm:
- Các thao tác đọc, ghi và xóa trong sổ đăng ký
- Quá trình tạo, kết thúc và chèn
- API và các lệnh gọi dịch vụ hệ thống
- Phân bổ bộ nhớ, sửa đổi và thực thi mã vỏ
- Các nỗ lực kết nối mạng, quá trình giải quyết tên miền (DNS) và các thao tác truyền dữ liệu
Thay vì trả về API tĩnh hoặc ngẫu nhiên, MetaDefender điều chỉnh động API và các đặc điểm môi trường để phù hợp với những gì phần mềm độc hại mong đợi, đảm bảo quá trình thực thi diễn ra thành công và tối đa hóa khả năng trích xuất các chỉ số IOC một cách đáng tin cậy.
Chống trốn tránh và chống phát hiện
Vì MetaDefender không sử dụng phần cứng thực, không chạy hệ điều hành đầy đủ và không dựa trên đồng hồ thời gian thực, nên các kỹ thuật né tránh có thể đánh lừa các hộp cát dựa trên máy ảo sẽ không phát huy tác dụng:
- Sự chậm trễ dựa trên thời gian không tìm thấy tín hiệu thời gian thực nào để so sánh
- Các lệnh Red-pill truy vấn các thanh ghi phần cứng để trả về các giá trị phù hợp với trình giả lập
- Kết quả kiểm tra của trình gỡ lỗi không phát hiện thấy bất kỳ dấu hiệu quá trình hay API nào cần được đánh dấu
- Các điểm tạm dừng thực thi nhận được trạng thái nhàn rỗi hoặc tương tác của người dùng mà phần mềm độc hại đang chờ đợi, được mô phỏng ở cấp độ lệnh
Lớp API thích ứng càng củng cố điều này. Thay vì để lộ một môi trường tĩnh mà phần mềm độc hại có thể phân tích thông qua các lần thăm dò lặp đi lặp lại, MetaDefender điều chỉnh động API để phản ánh một bối cảnh thực thi nhất quán và hợp lý, từ đó thu hẹp khoảng cách giữa những gì phần mềm độc hại mong đợi và những gì nó quan sát được.
Phân tích mang tính xác định, có thể lặp lại
MetaDefender cho ra kết quả phân tích hành vi giống nhau đối với cùng một tệp trên nhiều lần thực thi và các đường dẫn hệ điều hành khác nhau. Quá trình phân tích không bị ảnh hưởng bởi sự thay đổi trạng thái của máy ảo (VM), sự thay đổi của môi trường hoặc sự khác biệt trong cấu hình hộp cát giữa các lần chạy.
Đối với các hoạt động an ninh của chính phủ, tính nhất quán này có ý nghĩa quan trọng trên hai phương diện. Thứ nhất, nó giúp giảm thiểu các kết quả dương tính giả — vấn đề mà Khảo sát Phát hiện và Ứng phó SANS 2025 xác định là thách thức hàng đầu trong công tác phát hiện đối với 73% đội ngũ an ninh, tăng so với mức 64% vào năm 2024. Thứ hai, các kết quả xác định hỗ trợ việc lập hồ sơ kiểm toán và đáp ứng các yêu cầu về chuỗi lưu giữ, từ đó cung cấp hồ sơ chứng cứ mà các khung ứng phó sự cố và tuân thủ của chính phủ yêu cầu.
Bản đồ MITRE ATT&CK
MetaDefender liên kết các hành vi độc hại được phát hiện với các chiến thuật và kỹ thuật cụ thể trong khung MITRE ATT&CK, cung cấp một khung tiêu chuẩn mà các đội an ninh chính phủ có thể sử dụng để đẩy nhanh quá trình phân loại sự cố và đảm bảo các kết quả điều tra phù hợp với các yêu cầu báo cáo sự cố. Các kết quả đầu ra có cấu trúc theo khung ATT&CK cũng hỗ trợ việc chia sẻ thông tin tình báo về mối đe dọa giữa các cơ quan và đáp ứng các yêu cầu tuân thủ quy định, nơi cần phải ghi chép lại hành vi của mối đe dọa. Các kết quả IOC có thể đọc được bằng máy được đưa trực tiếp vào các hệ thống tích hợp SIEM và SOAR, bao gồm Splunk, Cortex XSOAR và CEF Syslog.
Phân tích nhanh trên quy mô lớn dành cho các môi trường chính phủ có năng suất cao
MetaDefender xử lý tối đa 25.000 tệp mỗi ngày trên mỗi máy chủ, với mục tiêu P90 dưới 15 giây, hỗ trợ kiểm tra liên tục trên toàn bộ các nguồn nhập tệp của chính phủ, chẳng hạn như phương tiện lưu trữ di động, tệp đính kèm email, lưu trữ đám mây và truyền tải qua web. Đối với các môi trường chính phủ được cách ly hoàn toàn, có mức độ bảo mật cao và được gia cố, MetaDefender hỗ trợ triển khai linh hoạt:
- Các cấu hình tại chỗ, trên đám mây và kết hợp
- Ubuntu 24.04, Red Hat Enterprise Linux 9 (chế độ ngoại tuyến) và Rocky Linux
- Tích hợp dựa trên REST API giao diện người dùng đồ họa (GUI) để kết nối với SIEM và SOAR
Khi các cơ quan chính phủ đẩy mạnh việc đa dạng hóa nhà cung cấp và chuyển giao dữ liệu từ bên thứ ba nhằm ứng phó với áp lực địa chính trị, luồng tệp tin trong chuỗi cung ứng đang trở thành một yêu cầu kiểm tra ngày càng cấp thiết tại ranh giới mạng. Khả năng xử lý MetaDefender được thiết kế để đáp ứng nhu cầu đó mà không gây ra các điểm nghẽn trong hoạt động.
OPSWAT với các cơ quan chính phủ, các tổ chức quốc phòng và cơ sở hạ tầng trọng yếu để triển khai giải pháp phát hiện lỗ hổng zero-day đáp ứng các yêu cầu của môi trường đe dọa hiện nay.
Những câu hỏi thường gặp
Mô phỏng cấp lệnh là gì và nó khác với môi trường sandbox truyền thống như thế nào?
Mô phỏng cấp lệnh giải thích quá trình thực thi tệp ở cấp độ CPU mà không cần chạy toàn bộ hệ điều hành hay phần cứng ảo hóa, từ đó loại bỏ các tín hiệu phần cứng, mẫu thời gian và dấu hiệu quá trình mà phần mềm độc hại có khả năng lẩn tránh thường kiểm tra để phát hiện môi trường phân tích. Các hộp cát truyền thống dựa trên máy ảo (VM) lại để lộ những tín hiệu này, khiến phần mềm độc hại có thể nhận diện điều kiện phân tích và ức chế hành vi độc hại trước khi chúng bị phát hiện.
MetaDefender xử lý lưu lượng mạng được mã hóa hoặc được che giấu như thế nào ?
MetaDefender thu thập thông tin về mục đích hoạt động trên mạng ở cấp độ API bộ nhớ thay vì thông qua PCAP, giúp có thể trích xuất các chỉ số C2, logic callback và các mẫu rò rỉ dữ liệu ngay cả khi lưu lượng mạng được mã hóa, che giấu hoặc không bao giờ được truyền đi. Điều này khiến giải pháp này rất phù hợp với các môi trường cách ly hoàn toàn (air-gapped) và các mạng có các hạn chế nghiêm ngặt về giám sát lưu lượng.
MetaDefender có hỗ trợ ánh xạ MITRE ATT&CK không?
MetaDefender theo dõi tất cả các hành vi độc hại được phát hiện dựa trên các chiến thuật và kỹ thuật của MITRE ATT&CK, hỗ trợ đẩy nhanh quá trình phân loại, chia sẻ thông tin tình báo về mối đe dọa giữa các cơ quan và đáp ứng các yêu cầu báo cáo sự cố. Các chỉ số IOC có thể đọc được bằng máy được truyền trực tiếp vào các hệ thống tích hợp Splunk, Cortex XSOAR và CEF Syslog.
Có những tùy chọn triển khai nào dành cho các môi trường chính phủ được cách ly hoàn toàn hoặc có thông tin mật?
MetaDefender hỗ trợ triển khai tại chỗ, trên đám mây và mô hình kết hợp, với khả năng tương thích hệ điều hành bao gồm Ubuntu 24.04, Red Hat Enterprise Linux 9 (chế độ ngoại tuyến) và Rocky Linux dành cho các môi trường cách ly mạng và được gia cố. Thiết kế API REST API cho phép tích hợp với các kiến trúc bảo mật hiện có của chính phủ.
So với các công cụ phát hiện truyền thống, MetaDefender giảm thiểu các kết quả dương tính giả như thế nào?
Phân tích xác định MetaDefender cho ra kết quả hành vi giống hệt nhau đối với cùng một tệp trên nhiều lần thực thi và các đường dẫn hệ điều hành khác nhau, từ đó loại bỏ sự biến động về trạng thái máy ảo (VM) – nguyên nhân dẫn đến các kết luận không nhất quán trong các môi trường sandbox truyền thống. Theo Khảo sát Phát hiện và Ứng phó năm 2025 của SANS, 73% các đội ngũ an ninh mạng cho biết các kết quả dương tính giả là thách thức hàng đầu trong việc phát hiện, tăng so với con số 64% vào năm 2024; các kết luận nhất quán, được hỗ trợ bằng bằng chứng sẽ trực tiếp giảm bớt gánh nặng đánh giá cho các chuyên gia phân tích.
