Tái định nghĩa MDR: Khi kẻ tấn công và đội ngũ phòng thủ cùng sử dụng AI

Trong suốt thập kỷ qua, dịch vụ Managed Detection and Response (MDR) đã trở thành giải pháp cứu cánh cho các đội ngũ bảo mật thiếu nhân lực. Tuy nhiên, bối cảnh đe dọa hiện nay đã thay đổi nhanh chóng. Kẻ tấn công đang tận dụng AI để thực hiện các chiến dịch phishing quy mô lớn, tự động hóa quá trình do thám và tạo ra các biến thể malware có khả năng né tránh các cơ chế phát hiện dựa trên signature truyền thống.

Khoảng trống trong mô hình MDR 24/7

MDR hứa hẹn sự giám sát 24/7, nhưng thực tế thường chỉ dừng lại ở việc xử lý các cảnh báo ưu tiên cao. Khoảng 60% các cảnh báo không được xem xét kỹ lưỡng do giới hạn về năng lực con người. Đáng chú ý, phân tích từ 25 triệu cảnh báo trong năm 2025 cho thấy gần 1% các mối đe dọa thực sự lại bắt nguồn từ những cảnh báo có độ ưu tiên thấp. Khi các cảnh báo này bị bỏ qua, kẻ tấn công có cơ hội ẩn mình và thực hiện các hành vi xâm nhập trái phép.

Những hạn chế về quy trình và tính minh bạch

Chất lượng điều tra của MDR thường không đồng nhất, phụ thuộc vào kinh nghiệm của chuyên gia trực ca và áp lực công việc tại thời điểm đó. Ngoài ra, việc thiếu một vòng lặp phản hồi (closed-loop) giữa quá trình điều tra và kỹ thuật phát hiện (detection engineering) khiến hệ thống phòng thủ dần trở nên lạc hậu. Hầu hết các dịch vụ MDR hoạt động như một “hộp đen”, khiến khách hàng khó có thể kiểm chứng logic điều tra hoặc truy xuất nguồn gốc khi xảy ra sự cố.

Chuyển dịch sang mô hình AI SOC

Để đối phó với các cuộc tấn công hiện đại, mô hình vận hành cần thay đổi. AI SOC được thiết kế để tự động hóa hoàn toàn quá trình phân loại và điều tra (triage) cho 100% cảnh báo, thay vì chỉ lấy mẫu. Điều này cho phép con người tập trung vào việc đưa ra quyết định thay vì mất thời gian cho các tác vụ khám phá thủ công.

• Độ sâu về pháp y (Forensic depth): AI không chỉ dừng lại ở việc tóm tắt cảnh báo mà còn thực hiện phân tích sâu về bộ nhớ, mã nhị phân để phát hiện các mối đe dọa không tệp tin (fileless malware).
• Kỹ thuật phát hiện khép kín: Mọi thông tin từ quá trình điều tra được phản hồi ngược lại hệ thống phát hiện, giúp tinh chỉnh các quy tắc (rules) và loại bỏ nhiễu (noise) một cách liên tục.
• Mô hình chi phí hợp lý: Thay vì tính phí theo số lượng cảnh báo, mô hình AI SOC thường tính phí theo số lượng endpoint, giúp doanh nghiệp duy trì khả năng giám sát toàn diện mà không lo ngại về chi phí phát sinh.

Việc chuyển đổi từ MDR sang AI SOC không nhất thiết phải là một cuộc thay thế hoàn toàn ngay lập tức. Các tổ chức có thể bắt đầu bằng việc bổ sung AI vào quy trình hiện tại để so sánh hiệu quả, từ đó xây dựng lộ trình chuyển đổi bền vững khi đến hạn tái ký hợp đồng. Trong kỷ nguyên mà kẻ tấn công vận hành ở tốc độ máy, việc dựa vào quy trình thủ công không còn là lựa chọn an toàn cho bất kỳ tổ chức nào.

Nguồn tham khảo: The Hacker News