Criminal IP ra mắt AITEM: Kỷ nguyên mới của quản lý bề mặt tấn công bằng AI

• Chuyển đổi chiến lược: AITEM nâng tầm quản lý bề mặt tấn công (ASM) từ việc chỉ liệt kê tài sản sang quản trị rủi ro chủ động.
• Tích hợp AI toàn diện: Ứng dụng trí tuệ nhân tạo trong suốt vòng đời quản lý phơi nhiễm, từ phát hiện, điều tra, ưu tiên đến tự động hóa phản ứng.
• Bối cảnh thực tế: Kết hợp dữ liệu tình báo mối đe dọa (Threat Intelligence) với ngữ cảnh thực tế để giảm thiểu nhiễu và tối ưu hóa nguồn lực cho đội ngũ SOC.

1. Bối cảnh & Tổng quan về sự tiến hóa của ASM

Trong bối cảnh không gian mạng ngày càng phức tạp, các công cụ quản lý bề mặt tấn công (Attack Surface Management - ASM) truyền thống đang dần bộc lộ những hạn chế. Việc chỉ dừng lại ở khâu phát hiện tài sản internet như domain, IP hay bảng điều khiển quản trị không còn đủ để ngăn chặn các cuộc tấn công tinh vi. Criminal IP, nền tảng tình báo mối đe dọa từ AI SPERA, đã chính thức giới thiệu AITEM (AI-Powered Threat Exposure Management) như một bước tiến tất yếu để giải quyết khoảng cách giữa việc phát hiện và hành động.

Sự gia tăng của các cuộc tấn công tự động, mã khai thác (exploit) được công bố rộng rãi và việc ứng dụng AI bởi các nhóm tội phạm mạng đã làm giảm đáng kể rào cản kỹ thuật cho kẻ tấn công. Theo CEO Byungtak Kang của AI SPERA, thách thức lớn nhất hiện nay không còn là khả năng hiển thị (visibility) mà là tốc độ phản ứng (speed of response). AITEM được thiết kế để giải quyết bài toán này bằng cách chuyển đổi dữ liệu thô thành các hành động có ý nghĩa.

2. Phân tích kỹ thuật: Cơ chế vận hành của AITEM

AITEM không chỉ đơn thuần là một công cụ quét tài sản; nó là một hệ sinh thái quản lý phơi nhiễm toàn diện. Hệ thống này mở rộng phạm vi bao phủ từ hạ tầng bên ngoài đến các dữ liệu từ dark web, Shadow AI, và các lỗ hổng mới nổi. Dưới đây là bốn giai đoạn cốt lõi trong vòng đời quản lý phơi nhiễm của AITEM:

• Detect (Phát hiện): Kết nối các mối đe dọa mới nổi với các sản phẩm, dịch vụ và tài sản thực tế đang tồn tại trong môi trường của tổ chức.
• Investigate (Điều tra): Cho phép đội ngũ bảo mật truy vấn các tài sản, lỗ hổng và kết quả quét bằng ngôn ngữ tự nhiên, đồng thời tổng hợp ngữ cảnh liên quan tại một vị trí duy nhất.
• Prioritize (Ưu tiên): Đánh giá mức độ rủi ro dựa trên tiêu chí của tổ chức kết hợp với khả năng khai thác thực tế và hoạt động của kẻ tấn công, thay vì chỉ dựa vào điểm số CVSS chung chung.
• Automate (Tự động hóa): Chuyển đổi các phát hiện đã được ưu tiên thành các cảnh báo, ticket và quy trình công việc (workflow) để định tuyến đến các đội ngũ xử lý sự cố.

3. Tình báo mối đe dọa làm cốt lõi

Sức mạnh của AITEM nằm ở nền tảng tình báo mối đe dọa của Criminal IP. Hệ thống không chỉ cung cấp dữ liệu về lỗ hổng mà còn bổ sung ngữ cảnh thực tế (real-world context). Điều này giúp các kỹ sư an ninh mạng hiểu rõ không chỉ cái gì đang bị phơi nhiễm, mà còn là tại sao nó lại quan trọng và các tác nhân đe dọa đang làm gì xung quanh tài sản đó.

4. Hướng dẫn phát hiện & Săn tìm mối đe dọa (Threat Hunting)

Để tối ưu hóa việc sử dụng các giải pháp như AITEM trong quy trình Threat Hunting, các đội ngũ SOC cần tập trung vào việc tích hợp dữ liệu từ Criminal IP vào hệ thống SIEM/SOAR. Dưới đây là ví dụ về cách truy vấn dữ liệu để săn tìm các tài sản có nguy cơ cao:

# Ví dụ truy vấn API để tìm kiếm các IP có lịch sử bị lạm dụng và đang mở cổng quản trị (ví dụ: 22, 3389) 

Việc sử dụng các công cụ như AITEM giúp giảm bớt các công việc phân tích lặp đi lặp lại, cho phép con người tập trung vào các nhiệm vụ đòi hỏi tư duy phản biện, trách nhiệm giải trình và ra quyết định ưu tiên. Đây là xu hướng tất yếu trong kỷ nguyên AI SOC và Shadow AI, nơi mà tốc độ vận hành quyết định sự sống còn của hệ thống bảo mật.

5. Khuyến nghị phòng thủ & Hardening

Để triển khai hiệu quả chiến lược quản lý phơi nhiễm, các tổ chức cần thực hiện các bước sau:

• Thiết lập quy trình ưu tiên: Không vá lỗi dựa trên điểm CVSS đơn thuần; hãy tích hợp dữ liệu về khả năng khai thác thực tế (Exploitability) từ các nền tảng như Criminal IP.
• Giám sát Shadow AI: Chủ động rà soát các dịch vụ AI không được quản lý đang kết nối vào hạ tầng nội bộ để ngăn chặn rò rỉ dữ liệu.
• Tự động hóa phản ứng: Thiết lập các playbook tự động hóa trong SOAR để cô lập các tài sản bị phát hiện có dấu hiệu bị xâm nhập hoặc phơi nhiễm nghiêm trọng.

Thông tin chi tiết về các giải pháp của Criminal IP có thể được tham khảo tại Criminal IP Official Website. Việc chuyển đổi sang mô hình quản lý phơi nhiễm chủ động là chìa khóa để các tổ chức duy trì lợi thế trước các tác nhân đe dọa trong tương lai.