- Tại sao ngành an ninh mạng lại bị mắc kẹt trong vòng luẩn quẩn của việc phản ứng
- Nguyên tắc bất biến 1: Kẻ thù luôn thích ứng nhanh hơn các hệ thống phòng thủ tĩnh
- Định lý 2: Fusion tín hiệu Fusion bất kỳ mô hình đơn lẻ nào
- Nguyên tắc bất biến thứ 3: Hệ thống phát hiện phải tạo ra thông tin tình báo, chứ không chỉ đơn thuần tiếp nhận nó
- Xây dựng hệ thống phát hiện dựa trên những yếu tố mà kẻ tấn công không thể thay đổi
Tại sao ngành an ninh mạng lại bị mắc kẹt trong vòng luẩn quẩn của việc phản ứng
Ngành an ninh mạng luôn ở trong tình trạng phải liên tục ứng phó. Mỗi quý lại xuất hiện một loại mối đe dọa mới, một kỹ thuật lách luật mới và một từ viết tắt mới hứa hẹn sẽ định hình lại cách thức phòng thủ. Điều này tạo ra một nghịch lý đối với các Giám đốc An ninh Thông tin (CISO) và Giám đốc Công nghệ (CTO) chịu trách nhiệm về các quyết định hạ tầng có tầm nhìn dài hạn: các chiến lược phát hiện phải duy trì tính phù hợp trong vòng năm đến mười năm, ngay cả khi bối cảnh mối đe dọa thay đổi chỉ sau vài tháng. Hệ thống phòng thủ nhiều lớp là điều thiết yếu. Câu hỏi còn bỏ ngỏ là nên dựa vào đâu để các lớp phòng thủ này có thể đứng vững khi các mối đe dọa ngày càng phát triển.
Việc xây dựng chiến lược bền vững đó đòi hỏi chúng ta phải nhìn xa hơn những thay đổi trong bối cảnh mối đe dọa và xác định những yếu tố không thay đổi: đó là những hạn chế cơ bản vẫn tiếp tục định hình cách thức hoạt động của các mối đe dọa, bất kể các công cụ phát triển như thế nào. Những yếu tố bất biến này cung cấp cho hệ thống phòng thủ nhiều lớp một nền tảng vững chắc để dựa vào, nhờ đó kiến trúc phát hiện vẫn duy trì tính phù hợp ngay cả khi các mối đe dọa và kỹ thuật cụ thể thay đổi. Trong bài viết này, chúng tôi tập trung vào ba trong số những yếu tố bất biến đó vì chúng có tác động trực tiếp nhất đến cách thức xây dựng các quy trình phát hiện hiện đại.
cơ sở hạ tầng trọng yếu chịu đựng được chu kỳ phản ứng
Trong cơ sở hạ tầng trọng yếu OT và cơ sở hạ tầng trọng yếu , các hệ thống không được vá lỗi nhanh chóng; các bản cập nhật thường do nhà cung cấp kiểm soát, và thời gian ngừng hoạt động sẽ gây ra những hậu quả về mặt vận hành. Khi một tệp độc hại xâm nhập vào môi trường này, nó hiếm khi chỉ bị cô lập. Nhiều phương pháp phát hiện vẫn dựa trên những giả định không còn đúng trong những điều kiện này:
- Các mối đe dọa sẽ tương tự như những gì đã từng xảy ra
- Kiểm tra tĩnh có thể xác định chính xác ý định
- Việc phân tích chậm trễ là một sự đánh đổi có thể chấp nhận được
Các bất biến chỉ ra một thực tại khác:
- Các mối đe dọa chưa được biết đến sẽ tiếp tục xuất hiện
- Cần phải tiến hành phân tích hành vi để làm rõ ý định
- Tốc độ phát hiện ảnh hưởng đến kết quả khống chế
- Phương pháp phát hiện đa tín hiệu cho kết quả tốt hơn so với phương pháp phát hiện đơn tín hiệu
- Các hệ thống phát hiện phải tự tạo ra thông tin tình báo
Khoảng cách giữa giả định và thực tế chính là nơi mà những kẻ tấn công hoạt động hiệu quả nhất. Phần tiếp theo sẽ bắt đầu bằng nguyên lý bất biến đầu tiên, nguyên lý này luôn bộc lộ rõ điều đó.
Nguyên tắc bất biến 1: Kẻ thù luôn thích ứng nhanh hơn các hệ thống phòng thủ tĩnh
Phòng thủ tĩnh chỉ là ảo tưởng nhất thời. Những kẻ tấn công phân tích ngược cơ chế phát hiện, chia sẻ các kỹ thuật lách luật và liên tục cải tiến. Một khi đã được triển khai và không được cập nhật, không có công nghệ phòng thủ nào có thể duy trì hiệu quả lâu dài trước một đối thủ quyết tâm. Điều này đã đúng từ khi hộp cát (sandbox) đầu tiên được triển khai, và phần mềm độc hại do trí tuệ nhân tạo (AI) tạo ra chỉ càng đẩy nhanh chu kỳ này.
Hậu quả thực tế là phần mềm độc hại có khả năng lẩn tránh không cần phải vượt qua mọi lớp phát hiện. Nó chỉ cần vượt qua lớp mà bạn đang tin tưởng. Các biến thể hiện nay có thể được tạo ra nhanh hơn, thử nghiệm với các biện pháp phòng thủ và được tinh chỉnh trong các chu trình lặp lại liên tục. Những gì trước đây phải mất hàng tuần để phát triển, giờ đây có thể hoàn thành trong các chu kỳ chỉ tính bằng giờ.
Tại sao các môi trường OT lại là nơi hứng chịu thiệt hại đầu tiên
Trong môi trường OT, vấn đề thích ứng càng trở nên phức tạp hơn. Chu kỳ phát hành bản vá kéo dài, các hệ thống thường do nhà cung cấp kiểm soát, và phần mềm được triển khai thông qua các bản cập nhật firmware, gói phần mềm của nhà cung cấp và các công cụ hiện trường – những thứ không thể dễ dàng thay thế. Chính những tệp tin này lại trở thành phương tiện phân phối lý tưởng vì chúng được mong đợi, đáng tin cậy và khó kiểm tra mà không gây gián đoạn hoạt động.
Một số tệp trong số này có thể được làm sạch, trong khi những tệp khác thì không. Các tệp thực thi, hình ảnh firmware và tệp bản vá cần phải chạy đúng như dự định, điều này hạn chế phạm vi áp dụng các phương pháp vô hiệu hóa và tái cấu trúc nội dung. Điều này khiến số lượng phương pháp kiểm tra khả thi bị thu hẹp lại, và kiểm tra tĩnh thường trở thành biện pháp kiểm soát mặc định trong nhiều môi trường này, mặc dù đây chính là lỗ hổng mà các kẻ tấn công đã tìm ra cách vượt qua.
Cách mô phỏng cấp lệnh loại bỏ lợi thế né tránh
Phương pháp sandboxing truyền thống dựa trên máy ảo (VM) vẫn còn đóng vai trò nhất định, nhưng nó tạo ra những lỗ hổng mà các kẻ tấn công đã biết cách khai thác. Các kỹ thuật né tránh có thể phát hiện môi trường ảo hóa, trì hoãn quá trình thực thi hoặc thay đổi hành vi dựa trên các tín hiệu phân tích. Trong nhiều trường hợp, quá trình phân tích chỉ diễn ra sau khi tệp đã đến thiết bị đầu cuối, khiến việc phát hiện trở thành việc xác nhận thay vì phòng ngừa.
MetaDefender giải quyết vấn đề này bằng cách chuyển từ phương pháp kích hoạt phụ thuộc vào máy ảo (VM) sang phân tích động dựa trên mô phỏng. Bằng cách sử dụng mô phỏng cấp lệnh, quy trình phát hiện sẽ thực thi các tệp trong một môi trường được kiểm soát, nơi không để lộ các dấu vết mà phần mềm độc hại thường dựa vào để lẩn tránh. Các kiểm tra chống máy ảo (anti-VM) không tìm thấy bất kỳ dấu vết nào để nhận diện, các đường dẫn thực thi bị trì hoãn được theo dõi, và các tải trọng nhiều giai đoạn được phép triển khai.
Phân tích Sandbox truyền thống Sandbox phân tích động MetaDefender
Sandbox truyền thống dựa trên máy ảo | MetaDefender Aether | |
Khả năng chống né tránh | Dễ bị tấn công bởi các kỹ thuật chống máy ảo (anti-VM), tấn công thời gian (timing) và kiểm tra môi trường | Mô phỏng cấp lệnh có thể vô hiệu hóa các cơ chế chống máy ảo và các kỹ thuật né tránh dựa trên độ trễ |
Các định dạng tệp được hỗ trợ | Số lượng có hạn | Hơn 50 định dạng tệp, bao gồm tệp thực thi, tệp kịch bản, tệp bản vá và trình cài đặt |
Kết quả phán quyết | Kết quả của một môi trường thử nghiệm | Phán quyết tổng hợp dựa trên danh tiếng, phân tích động, đánh giá mức độ đe dọa và truy tìm mối đe dọa |
Tốc độ | 10–15 phút cho mỗi tệp | Gần như thời gian thực; hơn 25.000 lần phân tích mỗi ngày trên mỗi máy chủ |
Triển khai | Trong hầu hết các trường hợp, Cloud | Tại chỗ, trên đám mây hoặc kết hợp |
Thu thập thông tin | Việc chiết xuất IOC bị hạn chế | Các chỉ số IOC dựa trên hành vi được đưa trở lại quy trình phát hiện và được sử dụng để huấn luyện lại hệ thống AI dự đoán Alin |
Trên thực tế, phương pháp này giúp làm rõ cách thức hoạt động của tệp thay vì chỉ tập trung vào hình thức bề ngoài của nó. Toàn bộ lộ trình thực thi sẽ được hiển thị, bất kể logic né tránh nào được nhúng trong mẫu tệp. Đối với các loại tệp không thể làm sạch, chẳng hạn như tệp thực thi, tệp vá lỗi, tập lệnh và trình cài đặt, loại phân tích động này trở thành phương pháp đáng tin cậy nhất để xác định mục đích của tệp trước khi nó xâm nhập sâu hơn vào môi trường.
Một cơ quan pháp y của chính phủ đã chứng minh điều này trong thực tế. Cơ quan này được giao nhiệm vụ phân tích các tệp tin thu giữ từ các thiết bị của nghi phạm, trong đó nhiều tệp chứa phần mềm độc hại được nhúng sâu dưới các định dạng không thể thay đổi mà không làm mất giá trị chứng cứ. Cơ quan này đã thay thế các phần mềm diệt virus truyền thống và quy trình kiểm tra thủ công bằng phương pháp quét đa lớp kết hợp với hộp cát dựa trên mô phỏng. Các tệp tin trước đây phải mất hàng giờ để kiểm tra nay được xác minh chỉ trong vài phút, và các mối đe dọa vốn ẩn mình khỏi các công cụ dựa trên chữ ký đã được phát hiện thông qua phân tích hành vi mà không làm ảnh hưởng đến tính toàn vẹn của chứng cứ.
Vẫn còn một hạn chế đáng được đề cập. Phân tích sâu giúp nâng cao khả năng phát hiện, nhưng lại làm chậm quá trình ra quyết định. Nếu mỗi tệp tin không xác định đều phải trải qua quá trình kiểm tra toàn diện trước khi đưa ra kết luận, độ trễ sẽ trở thành một phần của kiến trúc hệ thống, và những kẻ tấn công sẽ tìm cách vượt qua nó. Sự mâu thuẫn này dẫn trực tiếp đến nguyên tắc bất biến tiếp theo: không có phương pháp nào, dù hiệu quả đến đâu, cũng đủ để giải quyết vấn đề một mình.
Định lý 2: Fusion tín hiệu Fusion bất kỳ mô hình đơn lẻ nào
Không có công cụ phát hiện nào có thể tự mình đạt được kết quả tối ưu. Điều này không phải là hạn chế của bất kỳ công nghệ cụ thể nào. Đó là một đặc tính thống kê của việc kết hợp các bộ phân loại độc lập. Khi nhiều công cụ đánh giá cùng một tệp bằng các phương pháp khác nhau, tỷ lệ lỗi của chúng không cộng dồn theo cách tuyến tính. Thay vào đó, chúng bù trừ lẫn nhau, tạo ra khả năng phát hiện tổng hợp luôn vượt trội hơn bất kỳ công cụ riêng lẻ nào, bất kể công cụ đó tiên tiến đến đâu.
Hậu quả là rất rõ ràng, dù có thể gây bất tiện. Phần mềm độc hại có khả năng lẩn tránh không cần phải vượt qua mọi biện pháp kiểm soát có thể. Nó chỉ cần vượt qua biện pháp mà bạn tin tưởng nhất. Một tệp tin có thể lách qua các kiểm tra danh tiếng nhưng lại kích hoạt các chỉ số hành vi, hoặc tránh được phát hiện dựa trên chữ ký nhưng lại có sự tương đồng bất thường với một họ phần mềm độc hại đã biết, sẽ bị chặn lại trong quy trình kiểm tra nhiều lớp. Trong mô hình chỉ sử dụng một công cụ, tệp tin đó vẫn tiếp tục đi qua.
Tại sao phương pháp phát hiện động cơ đơn lại không hiệu quả trong thực tế
Hầu hết các môi trường hiện nay đều đã triển khai nhiều công cụ, nhưng các tín hiệu mà chúng tạo ra thường không liên kết với nhau. Một hệ thống đánh dấu một tệp là đáng ngờ, hệ thống khác lại xác nhận nó là an toàn, trong khi hệ thống thứ ba lại đưa ra các chỉ số đòi hỏi phải phân tích thủ công. Gánh nặng trong việc đối chiếu dữ liệu do đó đè nặng lên vai các chuyên gia phân tích.
Điều này dẫn đến hai kiểu lỗi nhất quán:
- Việc né tránh sẽ thành công một cách âm thầm khi mối đe dọa vượt qua cơ chế kiểm soát chính và không bao giờ kích hoạt quá trình kiểm tra sâu hơn
- Mức độ cảnh báo sẽ tăng lên khi các tín hiệu chồng chéo hoặc mâu thuẫn tạo ra nhiễu mà không rõ ràng
Ở quy mô lớn, cả hai kết quả này đều không bền vững. Trong các môi trường có khối lượng công việc lớn, việc phát hiện hoặc là bỏ sót những vấn đề quan trọng, hoặc là gây quá tải cho đội ngũ chịu trách nhiệm xử lý.
MetaDefender tổng hợp bốn tín hiệu thành một kết luận đáng tin cậy
MetaDefender giải quyết vấn đề này bằng cách tổ chức quá trình phát hiện dưới dạng một quy trình thống nhất thay vì một tập hợp các bước kiểm tra độc lập. Mỗi lớp sẽ đánh giá cùng một tệp từ một góc độ khác nhau, và các kết quả được tổng hợp lại thành một kết luận duy nhất, có sự tương quan.
Quy trình phát hiện MetaDefender và đóng góp tín hiệu
Lớp | Đóng góp của nó là gì |
Danh tiếng | Chặn sớm các chỉ số đã biết như các giá trị băm, tên miền và địa chỉ IP độc hại |
Phân tích động | Chạy các mẫu không xác định để phát hiện các hành vi ẩn và trích xuất các chỉ số IOC |
Chấm điểm mối đe dọa | Tích hợp các tín hiệu để tạo thành điểm đánh giá rủi ro dựa trên mức độ tin cậy |
Phát hiện mối đe dọa | Xác định mối quan hệ giữa các mẫu dữ liệu, liên kết hoạt động với các chiến dịch và nhóm đối tượng |
Mỗi lớp giải quyết một vấn đề khác nhau. Lớp Danh tiếng tập trung vào những thông tin đã biết. Phân tích động giúp phát hiện những điều chưa được biết. Hệ thống chấm điểm cung cấp bối cảnh, còn hoạt động truy tìm mối đe dọa kết nối các sự kiện riêng lẻ thành một bức tranh tổng thể có thể đưa ra hành động cụ thể. Kết quả thu được là một quyết định duy nhất dựa trên toàn bộ bằng chứng có sẵn, chứ không phải bốn kết quả riêng biệt. Trên cả bốn lớp, quy trình này đạt hiệu quả phát hiện lỗ hổng zero-day lên tới 99,9%.
Một tổ chức tài chính toàn cầu đã khắc phục các điểm nghẽn trong quy trình SOC
Một tổ chức tài chính toàn cầu xử lý gần 1.000 email đáng ngờ mỗi ngày đã triển khai phân tích động tại Trung tâm Điều hành An ninh (SOC) thông qua một môi trường sandbox dựa trên máy ảo (VM) được tích hợp với hệ thống tự động hóa SOAR. Hệ thống này hoạt động hiệu quả cho đến khi khối lượng dữ liệu tăng lên. Sandbox ngày càng dài, các sự cố ưu tiên cao buộc phải can thiệp thủ công, và tự động hóa trở thành điểm nghẽn thay vì là công cụ nhân lực.
Bằng cách triển khai MetaDefender tại lớp bảo vệ biên, tổ chức đã đẩy quá trình hợp nhất dữ liệu lên giai đoạn sớm hơn. Các tệp tin được phân tích trước khi được chuyển tiếp thay vì sau khi được thực thi trên thiết bị đầu cuối. Các điểm nghẽn trong hàng đợi đã được loại bỏ, thời gian phân tích giảm từ vài phút xuống còn vài giây, và Trung tâm Điều hành An ninh (SOC) đã lấy lại khả năng tập trung vào công tác điều tra thay vì phải xử lý các công việc tồn đọng.
Công nghệ AI dự đoán Alin giải quyết mâu thuẫn giữa tốc độ và độ sâu
Một hệ thống xử lý nhiều lớp giúp nâng cao độ chính xác. Tuy nhiên, bản thân nó không thể loại bỏ hoàn toàn thời gian cần thiết để đưa ra kết luận. Khi xử lý khối lượng dữ liệu lớn, việc đưa từng tệp qua quá trình phân tích sâu sẽ gây ra độ trễ, và sự chậm trễ này có thể bị kẻ tấn công lợi dụng ở các giai đoạn khác trong chuỗi tấn công.
Hệ thống AI dự đoán Alin hoạt động ở giai đoạn đầu của quy trình xử lý, đóng vai trò là lớp trí tuệ nhân tạo trước khi thực thi, có nghĩa là kết quả đánh giá được đưa ra trước khi tệp được thực thi, mà không cần kích hoạt trong môi trường sandbox. Hệ thống được huấn luyện trên các bộ dữ liệu cấp doanh nghiệp, đảm bảo an toàn về quyền riêng tư và liên tục được huấn luyện lại dựa trên các lỗ hổng zero-day đã được xác nhận trong môi trường sandbox,
Giải pháp Alin AI dự đoán đưa ra kết quả phân tích dựa trên học máy chỉ trong vài mili giây mà không cần phải kích hoạt tệp. Các tệp được dự đoán là độc hại sẽ bị chặn ngay lập tức, trong khi các tệp còn lại sẽ được chuyển sang giai đoạn kiểm tra sâu hơn. Kết quả phân tích được đưa ra với thời gian phản hồi P99 dưới 100 mili giây và tỷ lệ báo động giả chỉ 0,1%, giúp các môi trường xử lý khối lượng lớn nhận được quyết định nhanh chóng và chính xác mà không làm quá tải các chuyên gia phân tích với thông tin không cần thiết.
Hiệu quả ở đây không phải là thay thế mà là phối hợp. Dự đoán tốc độ cao xử lý khối lượng dữ liệu ở phần rìa, trong khi phân tích theo lớp cung cấp chiều sâu ở những nơi cần thiết. Theo thời gian, vòng phản hồi giữa hai yếu tố này giúp củng cố cả hai, từ đó nâng cao khả năng phát hiện sớm mà không làm tăng nhiễu.
Điểm mấu chốt là các tín hiệu được phối hợp với nhau, chứ không phải việc tăng thêm số lượng thiết bị, mới là giải pháp cho vấn đề. Khả năng phát hiện sẽ được cải thiện khi các tín hiệu đó được kết hợp, tương quan và xử lý như một hệ thống thống nhất. Điều này dẫn đến một nguyên lý bất biến: các hệ thống phát hiện chỉ dựa vào thông tin tình báo cuối cùng sẽ tụt hậu so với những hệ thống tự tạo ra thông tin đó.
Nguyên tắc bất biến thứ 3: Hệ thống phát hiện phải tạo ra thông tin tình báo, chứ không chỉ đơn thuần tiếp nhận nó
Có một sự khác biệt đáng kể giữa hệ thống phát hiện dựa trên nguồn dữ liệu đe dọa bên ngoài và hệ thống tự tạo ra thông tin tình báo của riêng mình. Phương pháp phát hiện dựa trên nguồn dữ liệu có một giới hạn cố hữu: nó chỉ có thể nhận diện những gì người khác đã phát hiện, ghi chép và chia sẻ. Các mối đe dọa mới, các biến thể được sửa đổi và các cuộc tấn công có mục tiêu được thiết kế để lách qua hệ thống phát hiện công khai đều nằm ngoài phạm vi đó.
Phân tích động thay đổi điều đó. Khi một tệp được thực thi thông qua quá trình kiểm tra dựa trên mô phỏng, kết quả thu được không chỉ là một kết luận. Quá trình này tạo ra các chỉ số hành vi, hoạt động mạng, dữ liệu cấu hình và dấu vết thực thi. Những thông tin này trở thành nguồn thông tin nội bộ, giúp thực hiện việc truy tìm sự cố sau khi xảy ra, phân loại các biến thể và chặn chủ động dựa trên hành vi quan sát được thay vì các chỉ số được báo cáo.
Tại sao các ngành công nghiệp chịu sự quản lý cần bằng chứng, chứ không chỉ là các phán quyết
Trong các lĩnh vực cơ sở hạ tầng trọng yếu, dịch vụ tài chính và quốc phòng, bằng chứng có thể xác minh không chỉ là một lựa chọn về mặt kiến trúc. Đó là một yêu cầu vận hành gắn liền với việc tuân thủ và khả năng kiểm toán.
Các khung pháp lý ngày càng yêu cầu phải có phân tích có thể kiểm chứng được đối với các mối đe dọa chưa biết, chứ không chỉ dừng lại ở việc xác thực dựa trên dữ liệu đầu vào. Một kết luận đơn thuần mà không có bằng chứng hỗ trợ sẽ không thể đứng vững trước các cuộc kiểm toán hoặc điều tra. Các hệ thống phát hiện phải có khả năng chứng minh cách thức hoạt động của tệp tin, các chỉ số nào đã được trích xuất, và quá trình đưa ra quyết định diễn ra như thế nào.
Điều này cũng thay đổi cách các tổ chức nhận thức về những rủi ro của chính mình. Một môi trường tự tạo ra thông tin tình báo sẽ dần hình thành một cái nhìn cụ thể về hoạt động của các mối đe dọa theo thời gian. Các xu hướng bắt đầu lộ diện qua các chiến dịch, việc tái sử dụng hạ tầng và các mẫu hành vi lặp lại nhắm vào các quy trình làm việc cụ thể. Các nguồn dữ liệu bên ngoài, cùng với thông tin tình báo được tạo ra nội bộ, giúp cung cấp cái nhìn sâu sắc hơn.
Cách MetaDefender và Predictive Alin AI hoàn thiện quy trình
MetaDefender tạo ra thông tin tình báo như một phần của quy trình phát hiện. Mỗi tệp được phân tích thông qua phương pháp phân tích động dựa trên mô phỏng sẽ tạo ra các chỉ số hành vi, các dữ liệu trích xuất và các tín hiệu tương quan, sau đó được đưa trở lại hệ thống. Quá trình phát hiện trở thành một quá trình học tập liên tục thay vì chỉ là một quyết định mang tính nhất thời.
Thông tin tình báo đó không bị cô lập. Nó được đưa vào hệ thống AI dự đoán Predictive Alin, nơi các lỗ hổng zero-day đã được xác nhận trong môi trường sandbox được sử dụng để huấn luyện lại các mô hình phát hiện trước khi thực thi. Mỗi mối đe dọa được xác nhận đều giúp tăng cường khả năng của hệ thống trong việc nhận diện các mẫu tương tự sớm hơn, trước khi quá trình thực thi diễn ra. Điều này tạo ra một vòng phản hồi giữa phân tích sâu và dự đoán nhanh.
Một cơ quan chính phủ quốc gia chịu trách nhiệm bảo vệ các hệ thống nhạy cảm và dữ liệu công dân đã minh họa rõ sự khác biệt trong hoạt động. Hệ thống thử nghiệm trước đây của cơ quan này tuy tạo ra các báo cáo chi tiết nhưng lại buộc các nhà phân tích phải tự tay phân tích các tín hiệu hành vi rời rạc, và mức độ tin cậy vào khả năng phát hiện lỗ hổng zero-day ngày càng suy giảm khi các mẫu mã độc có khả năng lẩn tránh vẫn lọt qua hệ thống.
Sau khi triển khai MetaDefender , công nghệ sandboxing đã chuyển từ một công cụ báo cáo độc lập thành một quy trình phát hiện thống nhất, cung cấp một kết quả đánh giá duy nhất cho mỗi tệp, được hỗ trợ bởi bằng chứng hành vi có cấu trúc và hệ thống chấm điểm mối đe dọa. Đây chính là loại thông tin tình báo mà cơ quan này cuối cùng có thể trực tiếp dựa vào để hành động.
Những lợi ích mà Hệ thống Thông tin Tình báo mang lại cho các đội SOC
Đối với các đội SOC, sự thay đổi này có thể đo lường được. Các nhà phân tích nhận được các kết luận đã được liên kết trước dựa trên bằng chứng hành vi, thay vì các tín hiệu riêng lẻ đòi hỏi phải giải thích thủ công. Số lượng cảnh báo sai giảm xuống, và thời gian điều tra cũng được rút ngắn do bối cảnh đã được gắn liền với từng kết quả phát hiện.
Ở quy mô lớn, sự khác biệt đó rất quan trọng. Các hệ thống phát hiện chỉ sử dụng dữ liệu tình báo thường tạo ra nhiều công việc hơn khi khối lượng dữ liệu tăng lên. Ngược lại, các hệ thống tự tạo ra dữ liệu tình báo giúp giảm bớt gánh nặng đó bằng cách cải thiện cả độ chính xác lẫn bối cảnh theo thời gian.
Mục tiêu là xây dựng cơ chế phát hiện dựa trên những yếu tố mà kẻ tấn công không thể thay đổi. Việc thu thập thông tin tình báo là một trong những yếu tố đó, và các hệ thống coi đây là chức năng cốt lõi sẽ có được lợi thế ngày càng lớn hơn trước mỗi mối đe dọa mới.
Xây dựng hệ thống phát hiện dựa trên những yếu tố mà kẻ tấn công không thể thay đổi
Ba yếu tố bất biến này đóng vai trò như những ràng buộc, đối với cả những kẻ tấn công lẫn các hệ thống được thiết kế để ngăn chặn chúng. Các đối thủ sẽ không ngừng thích nghi, các hệ thống phát hiện đơn lẻ sẽ tiếp tục bỏ sót những tín hiệu mà hệ thống đa lớp có thể phát hiện, và các hệ thống tạo ra thông tin tình báo sẽ tiếp tục vượt trội so với những hệ thống chỉ đơn thuần sử dụng thông tin đó.
Các hằng số này rất hữu ích vì chúng mô tả những yếu tố mà kẻ tấn công không thể thay đổi. Điều này có tác động trực tiếp đến cách thức xây dựng hệ thống phát hiện. Các biện pháp phòng thủ tĩnh sẽ dần mất hiệu quả theo thời gian. Phương pháp kết hợp tín hiệu luôn cho hiệu quả cao hơn so với các phương pháp riêng lẻ. Mỗi lỗ hổng zero-day được xác nhận sẽ giúp cải thiện khả năng phát hiện trong tương lai hoặc trở thành một cơ hội bị bỏ lỡ mà cuối cùng sẽ bị kẻ khác khai thác.
MetaDefender và Predictive Alin AI được phát triển dựa trên những hạn chế này. Phân tích động dựa trên mô phỏng giúp phơi bày hành vi thực tế, quy trình xử lý đa tầng tổng hợp các tín hiệu thành một kết luận duy nhất, và vòng lặp trí tuệ nhân tạo đảm bảo hệ thống ngày càng hoàn thiện hơn sau mỗi tệp được phân tích.
Đối với các tổ chức hoạt động trong những môi trường có rủi ro cao, kết quả mang lại là rất thiết thực. Quá trình phát hiện trở nên nhanh chóng hơn, chính xác hơn và đáng tin cậy hơn. Các chuyên gia phân tích dành ít thời gian hơn cho việc đối chiếu các tín hiệu và dành nhiều thời gian hơn để xử lý chúng.
Nếu bạn muốn tìm hiểu đầy đủ về các bất biến phát hiện và kiến trúc đằng sau chúng, hãy đọc tài liệu chuyên sâu “Các bất biến trong an ninh mạng” của chúng tôi: opswat
