Một nhà nghiên cứu bảo mật kiểm tra một doanh nghiệp B2B có 300 nhân sự và hoạt động trên nhiều thị trường. Người này phát hiện một cơ sở dữ liệu kết nối trực tiếp với internet trong khi cơ chế xác thực còn yếu. Kết quả quét xếp vấn đề vào mức nghiêm trọng, khiến nó có vẻ là mục tiêu cần sửa ngay.
Nhưng khi kiểm tra kỹ hơn, nhóm nghiên cứu nhận ra đây chỉ là cơ sở dữ liệu thử nghiệm có thể đặt lại. Doanh nghiệp dùng nó để đánh giá ứng viên tuyển dụng, không phải để lưu dữ liệu khách hàng. Theo bài viết gốc của The New Stack, công cụ quét không thể tự xác định thiệt hại thực tế của một vụ xâm nhập.
Đó là khoảng cách giữa mức độ nghiêm trọng về kỹ thuật và rủi ro đối với hoạt động kinh doanh. Một lỗi có điểm số cao chưa chắc gây hậu quả lớn. Ngược lại, một lỗi có vẻ vừa phải có thể trở nên cấp bách nếu mở đường tới tài khoản đặc quyền, môi trường sản xuất hoặc dữ liệu khách hàng.
Quá nhiều cảnh báo, quá ít thời gian xử lý
Nội dung cảnh báo ngày càng dày đặc
Các chương trình bảo mật hiện tiếp nhận sự kiện danh tính, nhật ký tường lửa và cảnh báo thiết bị đầu cuối. Chúng còn thu thập dữ liệu từ nhà cung cấp cùng thông tin tình báo về mối đe dọa. Khối lượng dữ liệu phân tích vì thế lớn hơn nhiều so với vài năm trước. Mỗi mục đều có thể trông khẩn cấp và đáng được xử lý ngay.
Áp lực này xuất hiện khi đội sản phẩm phải đối mặt với luồng yêu cầu tính năng gần như không dứt. Đội kỹ thuật cũng mang lượng nợ kỹ thuật lớn hơn khả năng giải quyết. Sau các đợt tái cơ cấu, một số nhân sự phải phụ trách phạm vi công việc rộng hơn trong những nhóm tinh gọn. Họ còn phải giám sát, sửa lỗi và hướng dẫn các tác tử AI. Một số báo cáo được BBC dẫn lại đề cập tuần làm việc kéo dài tới 90 giờ.
Con người vẫn phải xác minh cảnh báo
Việc áp dụng tác tử AI trong phát triển phần mềm còn tạo thêm một tầng công việc giám sát. AI có thể tăng tốc phát hiện vấn đề. Tuy nhiên, con người vẫn phải xác minh cảnh báo, đặt nó vào đúng môi trường và giao cho người chịu trách nhiệm xử lý.
Jon Rose, nhà sáng lập công ty tư vấn quản trị rủi ro và an toàn thông tin IOmergent, nhận xét rằng danh sách việc có thể làm trong lĩnh vực bảo mật không bao giờ kết thúc. Các nhóm bị kéo theo nhiều hướng nên phải quyết liệt lựa chọn nơi đầu tư thời gian.
Vấn đề cốt lõi không chỉ là sửa lỗi. Đó là phân bổ năng lực hữu hạn của đội kỹ thuật và bảo mật vào nơi tạo ra tác động lớn nhất. Điểm nghiêm trọng kỹ thuật, nếu thiếu thông tin về mối đe dọa và môi trường vận hành, không thể trả lời câu hỏi doanh nghiệp thực sự cần: nên sửa gì trước?
CVSS là điểm khởi đầu, không phải quyết định cuối
Hệ thống chấm điểm lỗ hổng phổ biến CVSS cung cấp một đường cơ sở hữu ích. Các chỉ số nền tảng của hệ thống mô tả hướng tấn công, độ phức tạp, quyền truy cập cần thiết và ảnh hưởng có thể xảy ra đối với tính bí mật, tính toàn vẹn cùng khả năng sẵn sàng của hệ thống hoặc thông tin.
Tuy nhiên, điểm nền tảng được thiết kế để giữ tính ổn định giữa nhiều môi trường. Nó không cho biết tài sản có kết nối trực tiếp với internet hay không, có được bảo vệ bằng biện pháp kiểm soát bù trừ hay không, hoặc giữ vai trò quan trọng đến mức nào đối với doanh nghiệp.
CVSS có thể bổ sung chỉ số về mối đe dọa và môi trường nhằm phản ánh điều kiện khai thác đang thay đổi cùng hoàn cảnh riêng của từng tổ chức. Dù vậy, quản lý lỗ hổng dựa trên rủi ro vẫn cần dữ liệu chính xác về hệ thống và một người hoặc một nhóm áp dụng bối cảnh đó nhất quán.
Rose cho rằng điều các công cụ còn thiếu là sự gắn kết với hoạt động kinh doanh và hiểu biết về những yếu tố thực sự quan trọng. Vì vậy, dùng điểm CVSS như một phiếu yêu cầu sửa ngay sẽ làm mất phần đánh giá quan trọng nhất.
Lỗ hổng kết nối internet cần được xem xét trước
Một khung quyết định hợp lý không dừng ở điểm số. Trước tiên, đội bảo mật cần xác định kẻ tấn công có thực sự tiếp cận được thành phần chứa lỗ hổng hay không. Dịch vụ có mở ra internet công cộng, hay nằm sau các lớp kiểm soát mạng và chỉ phục vụ một nhóm nhỏ người dùng nội bộ?
Nhiều vấn đề bị công cụ đánh dấu dù không nằm ở vị trí có thể kích hoạt. Khi đó, nhóm cần đánh giá thêm hậu quả. Lỗ hổng trên hệ thống thử nghiệm có thể vẫn là một mối lo thật, nhưng không mang cùng mức rủi ro với lỗi trên ứng dụng xử lý giao dịch, lưu thông tin nhạy cảm hoặc tạo ra nguồn doanh thu chính.
Tín hiệu khai thác giúp xác định mức khẩn cấp
Đội bảo mật cũng cần biết lỗ hổng có đang thu hút kẻ tấn công hay không. Một lỗ hổng xuất hiện trong danh mục lỗ hổng đã bị khai thác của CISA cần được xem xét khẩn cấp. Danh mục này cho thấy đã có bằng chứng về hoạt động khai thác thực tế.
Hệ thống chấm điểm dự đoán khai thác cung cấp một tín hiệu hướng về tương lai. Nó ước tính khả năng một lỗ hổng cụ thể bị khai thác trong 30 ngày tiếp theo. Cả danh mục của CISA lẫn điểm dự đoán đều không thể thay doanh nghiệp đưa ra quyết định. Chúng giúp phân biệt rủi ro lý thuyết với vấn đề cần được chú ý ngay.
Khi AI làm nhanh quá trình nghiên cứu và tạo công cụ khai thác, khoảng thời gian từ lúc một lỗ hổng được công bố đến khi bị khai thác thực tế đang thu hẹp. Chi phí xây dựng và vũ khí hóa mã khai thác cũng giảm xuống.
Đường tấn công quyết định hậu quả kinh doanh
Đường tấn công có thể kéo dài ra ngoài máy chứa lỗi. Một lỗ hổng tương đối nhỏ sẽ trở nên cấp bách nếu nó dẫn tới tài khoản đặc quyền hoặc hệ thống sản xuất. Điều tương tự áp dụng khi đường tấn công dẫn tới dữ liệu khách hàng. Trái lại, doanh nghiệp có thể tạm thời hạ ưu tiên một phát hiện nghiêm trọng nếu kẻ tấn công không thể tiếp cận. Quyết định này còn phụ thuộc vào tác động và độ tin cậy của các biện pháp kiểm soát.
Rủi ro được chấp nhận vẫn phải có người phụ trách
Tình trạng nguy hiểm nhất là rủi ro chưa được thừa nhận nằm yên trong danh sách tồn đọng. Ngay cả năng lực phát hiện tốt cũng mất giá trị nếu không ai theo dõi diễn biến theo thời gian.
Nhóm vận hành cần ghi lại trường hợp ngoại lệ, đặt ngày xem xét lại và chỉ định người chịu trách nhiệm. Rủi ro được chấp nhận vẫn là rủi ro. Điểm khác biệt là quyết định đó phải rõ ràng, có giới hạn thời gian và được đánh giá lại.
Cách tiếp cận này cũng phù hợp với câu hỏi rộng hơn về mức quyền nên giao cho AI trong trung tâm điều hành an ninh. AI có thể hỗ trợ phân loại và tổng hợp, nhưng quyền quyết định cuối cùng cần dựa trên tài sản, dữ liệu, đường tấn công và mục tiêu kinh doanh cụ thể.
AI cần được dùng để làm rõ kết quả
Các đội bảo mật đang dựa nhiều hơn vào AI để phân loại và sắp xếp mối đe dọa. Công nghệ này giúp phát hiện lỗ hổng với tốc độ chưa từng có, nhưng lượng phát hiện tạo ra có thể vượt quá khả năng xử lý của con người.
AI vừa phát hiện vừa tạo ra lỗ hổng
AI có thể tìm thấy những đường khai thác ít rõ ràng hơn. Công nghệ này cũng có thể tạo ra lỗ hổng mới. Một nghiên cứu học thuật về hơn 20.000 vấn đề được AI sửa cho thấy mô hình ngôn ngữ lớn tạo ra số lỗ hổng mới cao gần gấp 9 lần lập trình viên. Nghiên cứu còn ghi nhận các mẫu lỗi riêng không xuất hiện trong mã do lập trình viên viết.
Mỗi cảnh báo cần trả lời câu hỏi vận hành
Vì vậy, AI nên được dùng ở tầng kết quả. Với mỗi cảnh báo, hệ thống cần nhanh chóng trả lời các câu hỏi của chuyên viên trung tâm điều hành an ninh. Vấn đề đó mới hay đã biết? Thành phần nào đang bị lộ và dữ liệu nào gặp rủi ro? Hệ thống thuộc môi trường sản xuất hay phát triển, và tình trạng đã thay đổi ra sao?
Theo Rose, cách làm này có thể thu hẹp hàng nghìn cảnh báo xuống còn 10 đến 20 phiếu xử lý ưu tiên. Một chương trình hiệu quả bắt đầu bằng việc thống nhất với ban điều hành về hướng đi của doanh nghiệp. Quyết định phân bổ nguồn lực nhờ đó phản ánh rủi ro thực tế thay vì chỉ chạy theo điểm số.
Khi danh sách công việc tiếp tục dài ra, doanh nghiệp cần coi việc ưu tiên lỗ hổng theo bối cảnh là năng lực vận hành hằng ngày, không phải dự án làm thêm vào cuối tuần. Hãy bắt đầu bằng cách xác định rõ hệ thống quan trọng, dữ liệu cần bảo vệ và người chịu trách nhiệm cho từng rủi ro.
