Kỹ thuật phát hiện là gì?  

Kỹ thuật phát hiện là một lĩnh vực an ninh mạng tập trung vào việc thiết kế, triển khai và duy trì các phương pháp phát hiện để xác định các mối đe dọa bảo mật tiềm ẩn trong môi trường của tổ chức. Nó không chỉ đơn thuần là thiết lập cảnh báo mà còn bao gồm một cách tiếp cận chiến lược để hiểu các hành vi đe dọa, xác định IOC (chỉ báo xâm phạm) và phát triển logic phát hiện xác định chính xác hoạt động độc hại mà không tạo ra các kết quả dương tính giả quá mức. Kỹ thuật phát hiện là điều cần thiết để nâng cao khả năng phát hiện mối đe dọa của tổ chức và cải thiện tình hình bảo mật tổng thể của tổ chức. 

Bằng cách phát triển logic phát hiện chính xác và liên tục tinh chỉnh các cơ chế phát hiện, các kỹ sư phát hiện giúp giảm TTD (thời gian phát hiện) và TTR (thời gian phản hồi) đối với các sự cố. Cách tiếp cận chủ động này đảm bảo rằng các nhóm bảo mật có thể nhanh chóng hành động khi có cảnh báo và ngăn chặn các vi phạm tiềm ẩn. 

1. Logic phát hiện: Điều này đề cập đến các quy tắc, truy vấn và phân tích cụ thể được phát triển để xác định các hoạt động độc hại dựa trên các hành vi và IOC được quan sát. Logic phát hiện hiệu quả được điều chỉnh theo môi trường của tổ chức và xem xét nhiều nguồn dữ liệu khác nhau như lưu lượng mạng, nhật ký điểm cuối và các dịch vụ khác.
2. Kết quả dương tính giả và kết quả âm tính giả: Kết quả dương tính giả xảy ra khi một hành động lành tính bị đánh dấu sai là độc hại, trong khi kết quả âm tính giả là khi một hành động độc hại không bị phát hiện. Kỹ thuật phát hiện nhằm mục đích giảm thiểu các lỗi này để đảm bảo cảnh báo chính xác và có thể hành động được.
3. Phân tích hành vi: Không giống như các phương pháp phát hiện tĩnh chỉ dựa vào IOC, phân tích hành vi liên quan đến việc theo dõi các kiểu hành vi bất thường có thể chỉ ra mối đe dọa, chẳng hạn như thời gian đăng nhập bất thường hoặc các nỗ lực đánh cắp dữ liệu. Phương pháp này giúp phát hiện các mối đe dọa mới và đang phát triển nhưng yêu cầu một đường cơ sở được xác định trước về hành vi "bình thường".
4. Threat Hunting: Threat Hunting là một cách tiếp cận chủ động để phát hiện các mối đe dọa bằng cách tìm kiếm qua các mạng và hệ thống để xác định hoạt động đáng ngờ. Các kỹ sư phát hiện có thể hỗ trợ tạo ra các giả thuyết săn tìm và làm việc với các nhóm săn tìm mối đe dọa để xác thực logic phát hiện nhằm phát triển các phân tích được cải thiện, phát hiện ra các mối đe dọa ẩn mà các hệ thống tự động có thể bỏ sót.

Tỷ lệ lỗi tiềm ẩn có thể được giảm thông qua việc phát triển cẩn thận các quy tắc phát hiện và thử nghiệm nghiêm ngặt các quy tắc này trong các môi trường phức tạp. Các quy tắc nên được kiểm tra đối với các mối đe dọa đã biết cũng như các trường hợp ngoại lệ và các ví dụ lành tính.

Ví dụ, quy tắc phát hiện tìm kiếm macro độc hại trong tài liệu Microsoft Word phải phát hiện macro độc hại một cách nhất quán, đồng thời không tạo ra kết quả dương tính giả trên các tài liệu thông thường.