Khoảng lặng giữa các cảnh báo: Kẻ tấn công đang làm gì khi hệ thống giám sát bỏ lỡ?

Trong môi trường vận hành của các trung tâm điều hành an ninh mạng (SOC), các chuyên gia thường phải đối mặt với một “núi” cảnh báo mỗi ngày. Tuy nhiên, phần lớn các cảnh báo này không cung cấp bức tranh toàn cảnh về cách một cuộc tấn công bắt đầu hoặc diễn biến ra sao. Thay vào đó, chúng thường xuất hiện dưới dạng các sự kiện riêng lẻ, khiến việc xâu chuỗi hành vi của kẻ tấn công trở nên khó khăn.

Chiến thuật “ẩn mình” trong các khoảng lặng

Kẻ tấn công hiện đại ngày càng sử dụng AI để tự động hóa quá trình do thám và thực thi mã độc trong vài giây. Dù tốc độ là yếu tố quan trọng, sự tinh vi mới là chìa khóa để tránh bị phát hiện. Thay vì tấn công dồn dập, chúng thường kéo dài thời gian hoạt động, tận dụng các công cụ quản trị tiêu chuẩn và âm thầm thực hiện hành vi trong những khoảng lặng giữa các đợt cảnh báo.

Một cuộc xâm nhập có thể kéo dài hàng tuần trước khi kích hoạt bất kỳ cảnh báo ưu tiên cao nào. Nếu các nhà phân tích chỉ tập trung vào sự kiện kích hoạt cuối cùng, họ sẽ bỏ lỡ toàn bộ chuỗi hành vi dẫn đến sự cố đó.

Giải mã sự tiến triển thầm lặng

Kẻ tấn công hiểu rõ giới hạn vận hành của đội ngũ bảo mật. Nếu mọi truy vấn DNS, yêu cầu LDAP hay kết nối SMB đều được điều tra, hệ thống SOC sẽ nhanh chóng bị quá tải. Do đó, chúng tận dụng chính các giao thức và dịch vụ mà doanh nghiệp đang phụ thuộc hàng ngày để di chuyển ngang (lateral movement) giữa các máy chủ.

Ví dụ, thay vì quét mạng ồ ạt, kẻ tấn công có thể sử dụng tài khoản đã chiếm quyền để truy vấn domain controller qua LDAP với tốc độ chậm, nhằm lập bản đồ người dùng và hệ thống. Các bước này trông có vẻ bình thường nếu xét riêng lẻ, nhưng khi được xâu chuỗi theo thời gian, chúng tạo thành một kịch bản tấn công rõ rệt.

Tầm quan trọng của Network Telemetry và NDR

Để lấp đầy các “điểm mù”, đội ngũ SOC cần lưu giữ dữ liệu telemetry mạng. Các nền tảng Network Detection and Response (NDR) không chỉ ghi lại việc hai hệ thống trao đổi dữ liệu, mà còn cung cấp ngữ cảnh chi tiết về giao thức, đối tượng tham gia và sự thay đổi của các mối quan hệ đó theo thời gian.

Khi một cảnh báo endpoint xuất hiện, dữ liệu từ NDR giúp trả lời các câu hỏi quan trọng:

• Máy trạm đó có truy vấn tên miền bất thường trước đó không?
• Nó có xác thực với các hệ thống khác hoặc thiết lập kết nối SMB nội bộ không?
• Dữ liệu có được đẩy ra ngoài qua các kênh mã hóa hay không?

Vai trò của AI trong việc tối ưu hóa SOC

AI trong SOC đang thay đổi cách thức điều tra. Thay vì con người phải thủ công kiểm tra từng sự kiện, các tác nhân AI có thể quét qua khối lượng lớn dữ liệu mạng để tìm kiếm các mối liên hệ giữa người dùng, thiết bị và giao thức trong vài phút. Điều này giúp các nhà phân tích tập trung vào việc đưa ra các quyết định chiến lược thay vì phải “mổ xẻ” từng cảnh báo đơn lẻ.

Tóm lại, việc kết hợp dữ liệu mạng có ngữ cảnh (protocol-aware) với khả năng phân tích của AI là chìa khóa để phát hiện các hành vi tinh vi. Khi các đội ngũ bảo mật có thể lý luận dựa trên bằng chứng thay vì các cảnh báo rời rạc, họ sẽ có khả năng ngăn chặn các cuộc tấn công ngay từ giai đoạn sớm nhất.

Nguồn tham khảo: The Hacker News