MetaDefender Sandbox™ và AI: Định nghĩa lại phát hiện mối đe dọa

Khi tội phạm mạng tinh chỉnh các phương pháp của mình, các hệ thống dựa trên chữ ký truyền thống trở nên kém hiệu quả hơn, đặc biệt là đối với phần mềm độc hại được đóng gói lại với những sửa đổi nhỏ.  

Công cụ Tìm kiếm tương đồng cho phép những người săn mối đe dọa chủ động tìm kiếm các tệp tương tự như các tệp độc hại đã biết. 

Các nhóm bảo mật có được lợi thế quan trọng trong việc xác định và vô hiệu hóa các cuộc tấn công tinh vi bằng cách chủ động tìm kiếm điểm tương đồng trong các tệp độc hại, giúp phát hiện sớm các mối đe dọa mới nổi.  

Đánh dấu các chủng phần mềm độc hại mới được tạo ra hoặc thay đổi sẽ tăng cường bảo mật tổng thể và tăng tốc thời gian phản hồi 

Các Sandbox trích xuất nhiều tính năng khác nhau từ các tệp và sử dụng các tính toán khoảng cách nâng cao để so sánh chúng với cơ sở dữ liệu khổng lồ gồm các tệp đã biết.  

Ngay cả những thay đổi nhỏ trong cấu trúc hoặc siêu dữ liệu cũng được phát hiện, tiết lộ các mối đe dọa tiềm ẩn và cung cấp cho những người săn mối đe dọa các công cụ để phát hiện các mối đe dọa đang phát triển và cải thiện khả năng của họ.

• Phát hiện nâng cao
  Không giống như các hệ thống dựa trên chữ ký, vốn dựa vào sự khớp chính xác, Tìm kiếm tương đồng có thể phát hiện ngay cả những khác biệt nhỏ giữa các tệp.
• Ứng dụng trong thế giới thực
  Điều này cho phép xác định các mối đe dọa trước đây chưa biết đến và có thể phát hiện lỗ hổng zero-day bằng cách nhận ra các mẫu và điểm bất thường chưa được ghi nhận chính thức. 

Thị trường thiếu một công cụ săn tìm mối đe dọa có khả năng gợi ý các tệp tương tự dựa trên các đặc điểm nội tại của chúng. 

Khoảng cách giữa các công cụ bảo mật hiện có có nghĩa là các mối đe dọa với những thay đổi nhỏ cũng có thể dễ dàng lọt qua. 

Với sự ra đời của Tìm kiếm tương đồng, những người săn tìm mối đe dọa giờ đây có thể chủ động tìm kiếm các mối đe dọa mới nổi tiềm ẩn bằng cách so sánh các tệp với các tệp độc hại đã biết.  

Có thể phát hiện các mối đe dọa tinh vi, đang phát triển trước khi chúng gây hại giúp cải thiện cả thời gian phát hiện và phản hồi. Điều này khiến Tìm kiếm tương đồng trở thành công cụ không thể thiếu cho các biện pháp phòng thủ an ninh mạng hiện đại. 

Chúng tôi đã cập nhật Tìm kiếm tương đồng nhiều lần kể từ lần phát hành đầu tiên.  

Ban đầu, chúng tôi chỉ hỗ trợ các tệp PE với một số hạn chế. 

Kể từ đó, chúng tôi đã bổ sung thêm nhiều tính năng hơn, hỗ trợ so sánh tốt hơn giữa các tệp .NET và cải thiện logic để có kết quả tốt hơn.  

Đến quý đầu tiên của năm 2025, chúng tôi sẽ hỗ trợ không chỉ các tệp PE mà còn tất cả các loại tệp—tìm thêm thông tin tại đây . 

1. Mở Sandbox Quét và lật trang một tập tin. 
2. Nhấp vào "Tìm kiếm tương tự" để truy cập tab. 
3. Điều chỉnh các bộ lọc, chẳng hạn như ngưỡng tìm kiếm và phán quyết, để tinh chỉnh tìm kiếm của bạn. 
4. Xem kết quả tìm kiếm. 
5. Mở rộng mã băm tệp để biết thêm chi tiết: nhấp vào mã băm để xem thông tin chi tiết về điểm tương đồng. 

Trong Trung tâm điều hành bảo mật (SOC), hai số liệu quan trọng ảnh hưởng trực tiếp đến khả năng ứng phó với các mối đe dọa của công ty: (MTTD) Thời gian trung bình để phát hiện và (MTTR) Thời gian trung bình để khắc phục. 

Phát hiện và khắc phục nhanh hơn giúp giảm thiểu thiệt hại tiềm ẩn do sự cố mạng gây ra, hỗ trợ ngăn ngừa vi phạm và mất dữ liệu.  

Tuy nhiên, các nhóm SOC thường phải đối mặt với tình trạng mệt mỏi do cảnh báo và hạn chế về nguồn lực, có thể làm chậm thời gian phản ứng. 

Đây là nơi tích hợp ChatGPT của chúng tôi tạo nên sự khác biệt. ChatGPT sử dụng Xử lý ngôn ngữ tự nhiên (NLP) để đơn giản hóa các báo cáo phần mềm độc hại phức tạp và kỹ thuật thành các bản tóm tắt dễ hiểu.  

Tóm tắt rõ ràng hơn giúp các nhóm SOC ưu tiên các mối đe dọa hiệu quả hơn, tiết kiệm thời gian và cuối cùng là cải thiện cả MTTD và MTTR. 

Ngoài ra, việc phân tích báo cáo hợp lý giúp các nhóm phản hồi nhanh hơn, giảm tình trạng kiệt sức và bảo vệ tài sản tốt hơn. 

ChatGPT là một sáng kiến mà chúng tôi coi là cơ hội để đơn giản hóa việc phân tích mối đe dọa và cải thiện hiệu quả SOC nhằm phản ứng nhanh hơn, chính xác hơn đối với các sự cố an ninh mạng. 

Bản phân tích kỹ thuật dài 20 trang về cuộc tấn công bằng phần mềm tống tiền được cô đọng thành bản tóm tắt chỉ trong một đoạn văn, nêu bật hướng tấn công, hệ thống bị ảnh hưởng và các hành động được đề xuất.

Người ra quyết định có thể đánh giá mức độ đe dọa tốt hơn và nhanh hơn mà không cần phải đi sâu vào các chi tiết kỹ thuật. Tốc độ này cũng chuyển thành phản ứng nhanh hơn và sáng suốt hơn.

1. Mở Trang Tổng quan  
2. Nhấp vào nút "Nhận tóm tắt" để tạo tóm tắt ChatGPT. 
3. ChatGPT sẽ thu thập thông tin có liên quan về tệp, cung cấp bản tóm tắt về khả năng phát hiện phần mềm độc hại tiềm ẩn của tệp. 

Chúng tôi tự hỏi: liệu chúng ta có thể tạo một mô hình ngoại tuyến để phân tích URL và xác định xem URL đó có đáng ngờ hay không? 

Mô hình URL của chúng tôi được đào tạo trên bộ dữ liệu mở rộng gồm 1,6 triệu URL, trích xuất nhiều tính năng khác nhau từ chuỗi URL. 

Công cụ này dự đoán mức độ đáng ngờ của một URL theo thang điểm từ 0 đến 1, giúp nhóm bảo mật có khả năng tránh các rủi ro liên quan đến URL trước khi chúng có cơ hội leo thang. 

Mô hình này cực kỳ nhanh và đạt độ chính xác trên 93% ở ngưỡng 0,5.  

Tùy thuộc vào tình huống, bạn có thể điều chỉnh ngưỡng và khả năng phát hiện sẽ được cải thiện hơn nữa để giảm tỷ lệ âm tính giả. 

Mô hình trích xuất nhiều tính năng từ chuỗi URL, sau đó sử dụng giá trị từ 0 đến 1 để dự đoán mức độ đáng ngờ của URL. 

Mô hình này hoạt động trên các hệ thống có khoảng cách không khí và có tốc độ cực kỳ nhanh.  

Nó cung cấp lớp đầu tiên thiết yếu để phát hiện lừa đảo hoặc URL độc hại. Bạn có thể tìm thêm thông tin về chủ đề này tại đây . 

Mô hình URL là một phương pháp tuyệt vời, nhưng chỉ phân tích URL thôi là không đủ để xác định liệu một trang web có phải là lừa đảo hay độc hại hay không. 

Vì lừa đảo qua mạng vẫn là một trong những hình thức tấn công mạng phổ biến nhất nên mô hình phát hiện lừa đảo qua mạng của chúng tôi kết hợp so sánh logo với xác thực tên miền , tạo ra hệ thống phòng thủ hai mặt. 

Sử dụng thuật toán thị giác máy tính tiên tiến, mô hình phát hiện ra sự khác biệt tinh tế giữa logo thật và logo giả.  

Ví dụ, những biến dạng pixel nhỏ hoặc thay đổi tỷ lệ mà con người có thể không nhận thấy sẽ được đánh dấu là đáng ngờ. 

Mô hình tham chiếu chéo URL với cơ sở dữ liệu các tên miền hợp lệ đã biết. Nếu phát hiện sự không khớp hoặc bất thường, hệ thống sẽ đưa ra cảnh báo.

Hãy tưởng tượng một email lừa đảo tự nhận là đến từ một ngân hàng có uy tín, kèm theo logo trông rất thật.  

Người dùng có thể bị lừa nhấp vào email đó vì tin rằng đó là email thật. 

Mô hình của chúng tôi có thể xác minh ngay lập tức tính xác thực của logo trong khi xác thực tên miền của email, ngăn chặn ngay hành vi tấn công. 

Lừa đảo qua mạng là loại mối đe dọa mạng phổ biến nhất, thường dẫn đến vi phạm dữ liệu, tổn thất tài chính và gây tổn hại nghiêm trọng đến danh tiếng của công ty. 

Điều đáng lo ngại là các phương pháp phát hiện lừa đảo dựa trên URL truyền thống thường không đủ hiệu quả vì kẻ tấn công thường sử dụng các URL và logo có vẻ hợp pháp để đánh lừa người dùng. 

Để giải quyết vấn đề này, chúng tôi đã kết hợp so sánh logo và xác thực tên miền vào mô hình URL, cải thiện khả năng phát hiện các nỗ lực lừa đảo thường có thể vượt qua các biện pháp phòng thủ truyền thống. 

Mô hình URL cải tiến này tạo ra khả năng phòng thủ nhiều lớp mạnh mẽ hơn chống lại lừa đảo, giúp nhóm bảo mật phản ứng nhanh hơn và chính xác hơn, và cuối cùng là ngăn chặn các cuộc tấn công gây ra thiệt hại. 

1. Quét trang web lừa đảo. 
2. Mở tab Chi tiết URL để xem kết quả. 
3. Trên tab Chi tiết URL, bạn sẽ thấy trang được hiển thị và logo được phát hiện. 
4. Bạn có thể tìm thấy thông tin cài đặt chi tiết hơn tại đây .