Ngập trong CVE và khát khao lời giải? Hãy thử CTEM

Cách đây một hoặc hai thập kỷ, các giám đốc điều hành thường hỏi: "Tại sao tôi phải quan tâm đến an ninh mạng?". Năm năm trước, họ chuyển sang câu hỏi: "Anh đã vá các lỗ hổng phần mềm chưa?". Giờ đây, họ bắt đầu đặt câu hỏi quan trọng hơn: "Chúng ta có thực sự an toàn không?". Ban đầu, họ có thể chỉ cần một câu trả lời "có" hoặc "không" đơn giản, nhưng cuối cùng, họ sẽ thốt ra điều đáng sợ nhất — và đó sẽ là một yêu cầu, không phải một câu hỏi: "Hãy chứng minh điều đó".

Quản lý lỗ hổng truyền thống và việc vá lỗi sẽ không thể sống sót qua cuộc trò chuyện đó. Đó là lý do tại sao một cách tiếp cận tương đối mới đang thu hút được sự chú ý: Quản lý mức độ phơi nhiễm mối đe dọa liên tục (CTEM).

Vấn đề của quản lý lỗ hổng truyền thống

Chúng ta định nghĩa các lỗ hổng bảo mật bằng cách sử dụng danh sách CVE và đánh giá mức độ nghiêm trọng của chúng qua thang điểm CVSS. Có ba vấn đề lớn với cách làm này: lượng CVE khổng lồ, điểm CVSS không thực sự hữu ích khi phân loại ưu tiên, và AI sắp khiến mọi thứ trở nên tồi tệ hơn.

Các CISO đang chìm ngợp trong biển CVE. Ngành công nghiệp đã dành nhiều thập kỷ để tạo ra các công cụ sản sinh và tiêu thụ dữ liệu lỗ hổng. Rất ít trong số chúng cho bạn biết lỗ hổng nào mà kẻ tấn công thực sự có thể khai thác để gây hại trong môi trường của bạn.

Khối lượng CVE đang khiến việc quản lý lỗ hổng truyền thống (vá và quên) ngày càng trở nên khó khăn hơn qua từng năm, theo Drew Vanover, chiến lược gia bảo mật chính tại Horizon3.

"Hãy nghĩ về bản vá mới nhất mà Microsoft phát hành. Có hơn 500 bản sửa lỗi trong một chu kỳ vá. Điều đó thật khó hiểu. Không ai có thể xem xét, sàng lọc, ưu tiên và triển khai tất cả chúng một cách an toàn tuyệt đối."

Số lượng CVE được tạo ra mỗi năm đang tăng vọt, gây áp lực lớn lên Cơ sở dữ liệu lỗ hổng quốc gia (NVD) của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST), vốn đã bị tồn đọng trong nhiều năm. Vào tháng 4 vừa qua, NIST gần như đã tuyên bố "phá sản CVE".

Bộ Thương mại Mỹ đã chỉ ra vấn đề thứ hai (các thang đo mức độ nghiêm trọng hiện tại không hữu dụng) trong một báo cáo vào tháng 5. Ngoài việc chỉ trích NIST quản lý NVD kém, báo cáo còn đề xuất ngừng gán điểm CVSS, vì chúng mang tính chủ quan cao.

Điểm số còn phụ thuộc vào việc hệ thống bị phơi nhiễm đang thực hiện chức năng gì trong hạ tầng của một tổ chức cụ thể. Một lỗ hổng có điểm nghiêm trọng cao có thực sự quan trọng nếu chỉ có một hệ thống sandbox tương tác với nó? Hay kẻ tấn công có thể kết hợp ba lỗ hổng tưởng chừng vô hại để gây ra thiệt hại mà ban lãnh đạo phải quan tâm?

AI sẽ khiến việc quản lý lỗ hổng khó khăn hơn

Những vấn đề phức tạp này đã là một cơn đau đầu, nhưng AI đang biến nó thành cơn đau nửa đầu dữ dội. Các mô hình ngôn ngữ lớn tiên tiến như Claude's Mythos đã có thể phát hiện các lỗ hổng zero-day trên quy mô lớn, báo hiệu một làn sóng CVE mới.

Chúng không chỉ tìm ra lỗi ở quy mô lớn mà còn tạo và vũ khí hóa các exploit nhanh hơn nhiều so với con người. Điều này khiến việc vá đúng các lỗ hổng quan trọng một cách nhanh chóng trở nên cấp thiết hơn bao giờ hết. Liên minh An ninh Điện toán Đám mây (CSA) hiện mô tả một "chu kỳ lỗ hổng bất đối xứng", nơi kẻ tấn công dùng AI để phát hiện và khai thác lỗ hổng nhanh hơn (ngày càng thường xuyên trước cả khi bản vá được phát hành), trong khi các tổ chức lại mất nhiều thời gian hơn để vá chúng.

CTEM là gì?

Một điều gì đó phải thay đổi. Gartner đã nhận ra điều này vào năm 2023 khi xếp CTEM là xu hướng an ninh mạng hàng đầu. Đây là một cách để kiểm soát các lỗ hổng bằng cách phân loại chúng một cách hợp lý. Muốn vậy, bạn cần phải vượt ra khỏi các tác động kỹ thuật của một lỗ hổng để hiểu ý nghĩa thực sự của nó đối với hoạt động kinh doanh.

Gartner đề ra năm bước cho CTEM:

• Xác định phạm vi (Scoping): Tìm các tài sản có tác động kinh doanh lớn và ưu tiên chúng.
• Khám phá (Discovery): Tìm hiểu cách chúng bị phơi nhiễm bằng cách phân tích sâu các điểm yếu.
• Ưu tiên (Prioritization): Xếp hạng các mức độ phơi nhiễm dựa trên rủi ro kinh doanh thực tế.
• Xác thực (Validation): Kiểm tra các lỗ hổng để xem chúng có thể bị khai thác hay không.
• Huy động (Mobilization): Khắc phục chúng bằng một kế hoạch ứng phó sự cố phù hợp.

Kiểm thử thâm nhập tự động giúp quản lý lỗ hổng như thế nào?

Cách tiếp cận này hứa hẹn sẽ giải quyết các lỗ hổng bảo mật thực sự quan trọng của tổ chức, nhưng nó cũng phức tạp hơn quản lý lỗ hổng truyền thống. Nó đòi hỏi sự tự động hóa, điều mà Horizon3 đang cung cấp với sản phẩm NodeZero.

Việc xác định phạm vi hệ thống hiện nay đã trở nên phổ biến, và việc khám phá cũng vậy. Horizon3 để các đối tác đảm nhận những phần này để tập trung vào các khía cạnh của CTEM mà khách hàng chưa thể dễ dàng tự giải quyết: phân loại ưu tiên theo tác động kinh doanh và huy động khắc phục.

NodeZero chạy các bài kiểm tra thâm nhập trên hạ tầng của tổ chức và ghi lại các đường tấn công khai thác được với bằng chứng mà nhà bảo vệ có thể theo dõi. Kết quả đầu ra là danh sách ngắn hơn về các mức độ phơi nhiễm mà các đội ngũ an ninh và phát triển có thể tập trung xử lý.

Điểm ấn tượng nhất ở đây là hành vi tấn công theo chuỗi. NodeZero dò tìm điểm yếu, khai thác chúng và sau đó di chuyển ngang dựa trên những gì nó tìm thấy, giống như một kẻ tấn công thực thụ.

Cách tiếp cận này dựa trên một hệ thống chuyên gia máy học xác định thay vì một LLM tổng quát, Vanover giải thích.

"Một phép so sánh hay là nghĩ về ngành y. Bác sĩ đa khoa (GP) giống như một LLM tổng quát cố gắng bao quát mọi thứ. Họ biết một chút về nhiều lĩnh vực, nhưng họ không phải là chuyên gia, và đó là lúc bắt đầu xuất hiện các ảo giác, phỏng đoán và bỏ sót."

Công ty chỉ sử dụng AI tạo sinh cho các tác vụ cụ thể, ví dụ như phân tích một khối dữ liệu S3 lớn để tìm dữ liệu nhạy cảm hoặc xác định thông tin xác thực giá trị cao, với dữ liệu nằm trong ranh giới của khách hàng thông qua AWS Bedrock. Điều nó không làm là để AI tự do tạo ra các tác nhân độc hại trong hệ thống của bạn.

Vanover cho biết giá trị ở đây là chứng minh được rằng bạn đã xử lý các lỗ hổng bảo mật then chốt.

"Nếu chúng tôi nói rằng chúng tôi có thể khai thác một thứ gì đó, đó là vì chúng tôi đã làm được, và chúng tôi sẽ cho bạn xem bằng chứng trên nền tảng."

Bước tiếp theo là đóng vòng lặp bằng cách kiểm tra lại lỗ hổng sau khi nó đã được xử lý. Các đội ngũ có thể đóng ticket vì NodeZero không thể đi qua đường tấn công đó nữa. Đó là một định nghĩa có thể kiểm chứng được về "đã sửa" và có thể chuyển thành một chỉ số rủi ro mà CFO có thể đọc hiểu.

Horizon3 cũng muốn giải quyết vấn đề quá nhiều công cụ của khách hàng bằng một sản phẩm duy nhất xử lý mọi nặng nề của CTEM. Một lỗi phổ biến của các chương trình CTEM doanh nghiệp là chồng chất các nhà cung cấp, tạo ra chính những điểm mù mà khung này được thiết kế để loại bỏ. Điều đó biến mất khi tất cả nằm trong một dịch vụ duy nhất.

Kiểm thử thâm nhập tự động có an toàn không?

Các CISO có thể lo lắng khi để một hệ thống kiểm thử thâm nhập tự động hoạt động trên các hệ thống sản xuất. Nghe có vẻ như nó có thể phá vỡ các quy trình đang chạy. Tại sao không kiểm tra trên một "bản sao kỹ thuật số" (digital twin)?

Vanover phản bác rằng kiểm thử trên môi trường sản xuất là cách an toàn nhất để tìm ra lỗi. Môi trường thay đổi thường xuyên, đặc biệt trong một thế giới agile với các chu kỳ phát triển ngắn và thay đổi mã tự động. Nếu người dùng đổi mật khẩu hoặc đội ngũ phát hành một phần tính năng, hệ thống digital twin sẽ không phản ánh đúng thực tế.

Vì vậy, Horizon3 tập trung vào các rào cản an toàn mạnh mẽ trên môi trường sản xuất.

"Tôi không cần phải mã hóa tống tiền hệ thống của bạn để chứng minh rằng tôi có thể làm điều đó. Nếu tôi có thể xâm nhập hệ thống, cài công cụ truy cập từ xa, tạo một tệp, mã hóa tệp đó và xóa nó, tôi vừa chứng minh rằng tôi có thể mã hóa tống tiền hệ thống của bạn."

Ông cho biết Horizon3 đã chạy hơn 320.000 bài kiểm tra sản xuất trên các tổ chức khách hàng, bao gồm cả những khách hàng đặc biệt nhạy cảm như NSA, đơn vị xử lý hồ sơ y tế lớn nhất hành tinh cùng một số nhà cung cấp dịch vụ chăm sóc sức khỏe lớn.

Bắt đầu với CTEM từ đâu?

Khung CTEM của Gartner rất mạnh mẽ, nhưng nó có thể khiến các CISO e ngại. Vanover khuyên họ nên bắt đầu bằng việc chọn một việc và làm thật tốt.

"Không tổ chức nào có thể triển khai CTEM trong một năm. Đó là công thức dẫn đến thất bại. Hãy chia nhỏ nó ra. Hãy tìm những 'trái chín thấp' (low-hanging fruit)."

Bạn có thể bắt đầu bằng việc xem xét hệ thống nào thực sự có thể truy cập được thay vì mù quáng tin vào một bản kiểm kê tài sản có thể đã lỗi thời.

Cuộc đua áp dụng CTEM đang diễn ra, vì các chỉ số như số lượng bản vá được áp dụng sẽ không còn làm hài lòng ban lãnh đạo. Chúng không mô tả mức độ bề mặt khai thác vẫn còn tồn tại. Mục đích của việc chạy vòng lặp CTEM là chuyển báo cáo từ hoạt động sang kết quả, để ban lãnh đạo thấy ít đường tấn công có thể khai thác hơn và bán kính ảnh hưởng nhỏ hơn.

Mục tiêu mới là chứng minh một biện pháp kiểm soát an ninh đã hoạt động, không chỉ là bạn đã trả tiền cho nó.