Đối phó với các mối đe dọa mạng thích ứng trong kỷ nguyên AI

• Mối đe dọa thích ứng: Các tác nhân tấn công hiện đại sử dụng AI để tự động hóa việc thăm dò, thay đổi kỹ thuật và điều phối hành động ngay trong quá trình xâm nhập.
• Hạn chế của bảo mật truyền thống: Các cơ chế dựa trên chữ ký (signature-based) và WAF tĩnh không còn đủ khả năng đối phó với các chuỗi tấn công biến đổi liên tục.
• Tầm quan trọng của Runtime: Giám sát hành vi tại thời điểm thực thi (runtime) là chìa khóa để phát hiện các bất thường mà các lớp bảo mật tiền kiểm soát bỏ lỡ.
• Khả năng phục hồi kinh doanh: Bảo mật phải đảm bảo tính sẵn sàng của ứng dụng, ngăn chặn tấn công mà không làm gián đoạn các dịch vụ hợp lệ.

Trong bối cảnh an ninh mạng hiện nay, thách thức lớn nhất không nằm ở tốc độ khởi đầu của một cuộc tấn công, mà là khả năng thay đổi phương thức (pivot) của kẻ tấn công trong thời gian thực. Các hoạt động tấn công có sự hỗ trợ của AI (AI-assisted operations) hiện nay có khả năng thăm dò môi trường, học hỏi từ các phản hồi của hệ thống, thay đổi kỹ thuật và liên kết các hành động tiếp theo ngay khi cuộc tấn công vẫn đang diễn ra.

Sự biến đổi của các mẫu tấn công

Theo phân tích từ các chuyên gia bảo mật về 832 tài khoản bị cấm do hoạt động độc hại, xu hướng tấn công đã chuyển dịch mạnh mẽ. Trong khi phần lớn hoạt động tập trung vào việc chuẩn bị, các tác nhân rủi ro cao đã bắt đầu sử dụng AI trong các chiến dịch thực tế, bao gồm thực thi tự động, điều phối và ra quyết định xoay chuyển tình thế ngay lập tức. Đối với đội ngũ phòng thủ, điều này tạo ra một mục tiêu di động (moving target) đầy thách thức.

Các ứng dụng hiện đại cũng trở thành những mục tiêu di động tương tự. Chúng trải rộng trên hạ tầng on-premises, môi trường đa đám mây (multicloud), các cụm Kubernetes và tại biên (edge), với các API đóng vai trò là cầu nối lưu lượng giữa người dùng, khối lượng công việc (workloads) và dịch vụ. Khi các endpoint xuất hiện, tích hợp thay đổi và hành vi ứng dụng tiến hóa liên tục, các biện pháp kiểm soát phòng ngừa truyền thống trở nên kém hiệu quả.

Hạn chế của các cơ chế bảo mật tĩnh

Bảo mật ứng dụng truyền thống đã rất thành công trong việc nhận diện các hành vi xấu đã biết. Các kỹ thuật bao gồm:

• Chữ ký (Signatures): Nhận diện các kỹ thuật tấn công đã được thiết lập.
• Chính sách WAF: Kiểm tra các yêu cầu dựa trên các quy tắc định nghĩa sẵn.
• API Schemas: Thiết lập cách thức các endpoint được kỳ vọng sử dụng.

Tuy nhiên, thách thức thực sự nảy sinh khi hoạt động độc hại không tuân theo các mẫu quen thuộc này. Một kẻ tấn công thăm dò API có thể thay đổi cấu trúc yêu cầu sau một lần thử thất bại, chuyển sang endpoint khác, thay đổi trình tự gọi hàm hoặc lạm dụng chức năng hợp lệ của ứng dụng dựa trên những gì môi trường tiết lộ.

Tầm quan trọng của giám sát Runtime

Phần lớn kiến thức bảo mật hiện nay được thiết lập trước khi lưu lượng truy cập chạm đến ứng dụng đang chạy, bao gồm danh tính, chính sách, cấu hình và thông tin tình báo về lỗ hổng. Những gì không thể biết trước chính là cách thức hoạt động độc hại sẽ hành xử khi nó tương tác với ứng dụng. Đây là lúc giám sát runtime cung cấp ngữ cảnh cần thiết.

Việc quan sát lưu lượng ứng dụng và API trực tiếp cho phép các đội ngũ an ninh kết nối các tín hiệu rời rạc, chẳng hạn như:

• Thay đổi tần suất yêu cầu: Dấu hiệu của việc quét hoặc brute-force.
• Truy cập lặp lại: Các hành vi bất thường trên các đối tượng dữ liệu cụ thể.
• Trình tự API bất thường: Các chuỗi gọi hàm không nằm trong luồng nghiệp vụ thông thường.

⚠️ Cảnh báo quan trọng: Việc chỉ dựa vào khả năng hiển thị (visibility) mà thiếu đi cơ chế thực thi chính sách (enforcement) sẽ không làm giảm rủi ro. Nếu hành vi bất thường chỉ được xác định sau khi ứng dụng đã xử lý lưu lượng và kẻ tấn công đã đạt được mục tiêu, thì thông tin đó đã trở nên vô giá trị.

Chiến lược phòng thủ và khả năng phục hồi

Bảo mật ứng dụng cuối cùng là một bài toán về tính sẵn sàng (availability). Khi một ứng dụng hoặc API bị gián đoạn, một sự cố bảo mật sẽ nhanh chóng trở thành sự cố gián đoạn kinh doanh. Theo các nghiên cứu ngành, các sự cố liên quan đến API, bot và DDoS mất trung bình 2,8 giờ để giải quyết hoàn toàn, với chi phí trung bình lên tới 7.530 USD mỗi phút cho thời gian chết ở tầng ứng dụng.

Để đạt được khả năng phục hồi mạng (cyber resilience), các tổ chức cần:

• Tích hợp bảo mật và vận hành: Bảo mật phải đủ mạnh để ngăn chặn lưu lượng độc hại, đủ chính xác để bảo tồn lưu lượng hợp lệ và đủ nhất quán để hoạt động ở bất cứ đâu ứng dụng chạy.
• Sẵn sàng liên tục: Không chỉ tập trung vào việc dự đoán mọi cuộc tấn công, mà là nhận diện khi hành vi thay đổi, đánh giá rủi ro và hành động trong khi ứng dụng vẫn duy trì hoạt động.

Khả năng phục hồi mạng sẽ ngày càng được quyết định trong khoảng thời gian giữa lần sai lệch có ý nghĩa đầu tiên và sự gián đoạn kinh doanh. Những tổ chức chuẩn bị tốt nhất là những đơn vị có khả năng nhận diện sự thay đổi sớm, điều chỉnh cơ chế bảo vệ và giữ cho các ứng dụng cốt lõi của doanh nghiệp luôn vận hành ổn định.