Bối cảnh là Vua trong Cuộc chiến chống Tấn công Mạng Hiện đại

Trong phần lớn lịch sử của mình, an ninh mạng vận hành theo cơ chế phản ứng: phát hiện sự kiện xấu, rồi dập tắt nó. Nhưng khi các cuộc tấn công mạng ngày càng tinh vi, cách tư duy này cũng phải thay đổi. Trước đây, kẻ tấn công thường dựa vào một lỗ hổng nghiêm trọng duy nhất để tiếp cận tài sản quý giá. Nhưng bản chất của các cuộc tấn công đã thay đổi.

Bảo mật mạng và phòng thủ theo bối cảnh

Từ Sự kiện Đơn lẻ đến Phòng thủ Theo Bối cảnh

Các nhà phòng thủ thường thấy những sự kiện bình thường mà họ cho là không đủ quan trọng để theo dõi. Nhưng trước khi họ nhận ra, những sự kiện này dẫn đến một vụ xâm phạm nghiêm trọng. Một vụ xâm phạm có thể bắt đầu từ một sự kiện phổ biến như đăng nhập quản trị viên hoặc tải xuống một công cụ lạ sau giờ làm việc. Bước đầu tiên này, nếu không bị ngăn chặn, sẽ dẫn đến từng bước tiếp theo ngày càng nghiêm trọng hơn, cuối cùng trở thành một sự cố bảo mật.

Vấn đề nằm ở chỗ thiếu khả năng cảm nhận dữ liệu. Thật sai lầm khi cho rằng kẻ tấn công có nhiều dữ liệu hơn nhà phòng thủ về chính môi trường của họ. Nhà phòng thủ biết người dùng, thiết bị, ứng dụng, lưu lượng mạng và lỗ hổng của mình. Với khối lượng dữ liệu đa dạng như vậy, lẽ ra họ không nên thua cuộc — nhưng họ vẫn thua. Nguyên nhân là phân mảnh dữ liệu, khi thông tin nằm rải rác trên nhiều công cụ không kết nối với nhau. Có công cụ theo dõi danh tính, có công cụ theo dõi điểm cuối, lại có công cụ theo dõi luồng mạng. Dữ liệu hiện ra với nhà phòng thủ như những sợi chỉ rời rạc không có mối nối rõ ràng. Những sợi chỉ đứt đoạn này tạo ra các điểm mù mà kẻ tấn công có thể khai thác — và chúng làm điều đó nhanh hơn con người có thể ghép nối các mảnh của cuộc tấn công.

Do đó, trọng tâm cần chuyển từ việc gắn cờ các sự kiện riêng lẻ sang phòng thủ theo bối cảnh, dựa trên tác nhân (agentic defense), nơi các hệ thống bảo mật nhìn vào nhiều tín hiệu như một tổng thể, bắt được những dấu hiệu sớm của một cuộc tấn công đang hình thành.

Vòng lặp OODA (Observe – Orient – Decide – Act) cung cấp một cách hữu ích để cấu trúc quy trình này: Quan sát điều gì đang xảy ra. Định hướng những quan sát đó với bối cảnh phù hợp. Quyết định phản hồi thích hợp, và hành động. Điều này giúp các nhóm hành động trước khi một bất thường nhỏ biến thành sự cố lớn hơn, thay vì phản ứng mù quáng với một sự kiện đơn lẻ.

Từ "Đây có phải là điều xấu?" đến "Điều này đang đi về đâu?"

Các phương pháp phát hiện bảo mật truyền thống kiểm tra xem một sự kiện có độc hại hay không. Phòng thủ theo bối cảnh đặt câu hỏi kẻ tấn công có khả năng làm gì tiếp theo và hành động nhỏ nhất có thể để ngăn chặn họ mà không gây gián đoạn là gì.

Hãy xem xét một tình huống: một người dùng trong phòng tài chính tải xuống phần mềm hợp pháp cho phép quản trị từ xa. Đây là loại công cụ mà các nhóm IT sử dụng hàng ngày, và hành động này thường không gây nghi ngờ. Nhưng bối cảnh bổ sung sẽ cho bạn biết đây là lần đầu tiên người dùng này tải xuống công cụ đó, và họ tải nó từ một tên miền có uy tín thấp. Ghép hai điều lại, bạn nhận ra điều này có thể nằm ngoài chuẩn mực. Phòng thủ theo bối cảnh giúp trả lời ai, khi nào và ở đâu đằng sau sự kiện, từ đó gắn cờ nó như một dấu hiệu cảnh báo sớm. Công cụ được tải xuống không xấu, nhưng mô thức xung quanh việc tải xuống đó đang báo đỏ.

Hãy tưởng tượng cùng người dùng đó tải xuống thêm một công cụ khác. Trong trường hợp này, hệ thống nhận biết bối cảnh sẽ coi đó là một sự kiện có liên quan chặt chẽ. Nó sẽ liên kết lần tải xuống này với lần trước và nối các điểm lại. Nếu cần, nó sẽ chặn các lần tải xuống trong tương lai trước khi cuộc tấn công có thể leo thang hơn nữa.

Phân tích mối đe dọa theo bối cảnh

Kiểu lập luận này dựa trên nhiều tín hiệu cùng lúc:

• Danh tính và hành vi người dùng rất quan trọng vì cùng một hành động có thể trông hoàn toàn khác nhau tùy thuộc vào ai thực hiện.
• Không phải thiết bị hay ứng dụng nào cũng mang rủi ro như nhau, đó là lý do bối cảnh thiết bị và tài sản cũng quan trọng không kém.
• Hoạt động mạng thường tiết lộ ý đồ từ rất lâu trước khi bất cứ điều gì trông rõ ràng là độc hại.
• Một thiết bị hoặc tài khoản có lỗ hổng đã biết hoặc có lịch sử sự cố khiến bất kỳ hoạt động đáng ngờ nào cũng dễ là tấn công thật hơn là báo động giả.
• Hoạt động dữ liệu bất thường hiếm khi xuất hiện từ hư không; tình báo mối đe dọa thường cho thấy nó khớp với một mô thức tấn công đã biết.

Một khung bảo mật nhận biết bối cảnh không nên chỉ được nhìn nhận từ góc độ nâng cấp công nghệ. Phòng thủ theo bối cảnh còn cho phép thay đổi cách các nhóm bảo mật vận hành. Các nhóm trước đây dành thời gian chạy theo những cảnh báo rời rạc có thể tập trung vào một số ít sự cố có liên quan sớm. Họ cũng có thể đưa ra phản hồi tương xứng. Nếu bạn khóa một nhân viên khỏi thiết bị của họ vì báo động giả, điều đó sẽ gián đoạn ngày làm việc của họ. Nhưng phòng thủ theo bối cảnh có thể chỉ yêu cầu xác minh đăng nhập bổ sung hoặc hạn chế quyền truy cập vào một ứng dụng.

Bảo mật Theo Bối cảnh trong Thực tế

Một số hành động sẽ đặt nền tảng vững chắc cho bảo mật theo bối cảnh:

• Bắt đầu bằng việc kiểm toán chất lượng dữ liệu: Lập luận theo bối cảnh phụ thuộc vào chất lượng dữ liệu nuôi nó, bao gồm hồ sơ danh tính, kiểm kê tài sản và dữ liệu đo từ xa (telemetry).
• Ranh giới thẩm quyền rõ ràng: Quyết định rõ ràng những hành động mà hệ thống có thể tự thực hiện và những hành động cần sự giám sát của con người, đặc biệt với tài khoản đặc quyền hoặc dữ liệu khách hàng, tài chính nhạy cảm.
• Giữ hành động minh bạch và có thể đảo ngược: Mọi hành động tự động nên được ghi lại, dễ giải thích và dễ hoàn tác nếu thông tin mới thay đổi cục diện.
• Lập kế hoạch cho quy mô: Các cuộc tấn công do AI dẫn dắt tạo ra lượng hoạt động lớn hơn nhiều so với tấn công truyền thống. Hệ thống bảo mật làm nhiệm vụ phát hiện cần xử lý khối lượng đó mà không bị chậm, nghĩa là chúng cần được xây dựng trên hạ tầng có thể mở rộng theo nhu cầu, chứ không phải hệ thống công suất cố định dễ bị quá tải.
• Đo kết quả, không chỉ đo hoạt động: Theo dõi thời gian phát hiện, thời gian ngăn chặn và mức gián đoạn kinh doanh do báo động giả, chứ không chỉ số lượng cảnh báo được tương quan.

Đừng nghĩ rằng phòng thủ tác nhân theo bối cảnh là công thức để loại bỏ sự bất định hay thay thế các kiểm soát bảo mật nền tảng. Điều nó làm là thu hẹp khoảng cách giữa việc có dữ liệu và việc hiểu ý nghĩa của dữ liệu đó.

Khi các cuộc tấn công ngày càng tinh vi, các tổ chức phải có khả năng nhìn thấy mối liên hệ giữa các tín hiệu và hành động dựa trên chúng một cách chính xác.

SecurityWeek

Ý nghĩa đối với doanh nghiệp Việt Nam

Đối với các doanh nghiệp và tổ chức tại Việt Nam đang trong quá trình chuyển đổi số mạnh mẽ, bài học từ phòng thủ theo bối cảnh đặc biệt relevant. Nhiều đơn vị vẫn vận hành các công cụ bảo mật rời rạc — tường lửa, phần mềm diệt virus, hệ thống SIEM — mà không kết nối chúng lại với nhau. Khi các cuộc tấn công nhắm vào hạ tầng trọng yếu, tổ chức tài chính và doanh nghiệp thương mại điện tử ngày càng gia tăng, việc đầu tư vào khả năng tương quan dữ liệu và phân tích theo ngữ cảnh không còn là điều xa xỉ mà là yêu cầu sống còn. Việc áp dụng các nền tảng như SASE hay XDR tích hợp có thể giúp thu hẹp khoảng cách dữ liệu và phản ứng nhanh hơn trước các mối đe dọa.