Mythos không làm sụp đổ hệ thống bảo mật của bạn, nhưng ‘khoảng thời gian phơi nhiễm’ thì có thể

Kể từ khi Anthropic công bố Mythos vào ngày 7 tháng 4, ngành an ninh mạng đã tập trung vào một nỗi lo duy nhất: khối lượng. Câu hỏi đặt ra là Mythos sẽ tạo ra bao nhiêu CVE mới, tốc độ khai thác của kẻ tấn công sẽ nhanh đến mức nào, và liệu các đội ngũ bảo mật có bị quá tải bởi làn sóng phát hiện lỗ hổng do AI dẫn dắt hay không. Mặc dù đây là những lo ngại chính đáng, chúng vẫn bỏ qua một chỉ số quan trọng nhất quyết định liệu một lỗ hổng có thực sự dẫn đến vi phạm hay không: khoảng thời gian phơi nhiễm (exposure window).

Khoảng thời gian phơi nhiễm: Điểm yếu chí mạng

Khoảng thời gian phơi nhiễm là khoảng thời gian từ khi một lỗ hổng có thể bị khai thác cho đến khi đội ngũ IT thực hiện bản vá. Đây chính là thời điểm kẻ tấn công thực hiện hành vi xâm nhập. Trong năm 2025, thời gian bùng phát (breakout time) trung bình của tội phạm mạng đã giảm xuống chỉ còn 29 phút. Trong khi đó, các tiêu chuẩn tuân thủ nghiêm ngặt nhất như PCI DSS vẫn cho phép tới 30 ngày để xử lý một lỗ hổng nghiêm trọng. Sự chênh lệch 1.000 lần giữa tốc độ tấn công và tốc độ phản ứng chính là lý do khiến hệ thống của các doanh nghiệp luôn trong tình trạng nguy hiểm.

Tại sao quy trình vận hành đang trở thành rào cản?

Vấn đề không nằm ở công nghệ, mà ở khâu huy động (mobilization). Theo khung CTEM của Gartner, các giai đoạn như quét, phát hiện và ưu tiên lỗ hổng hiện đã đạt tốc độ máy tính. Tuy nhiên, khâu thực thi bản vá vẫn phụ thuộc vào quy trình con người: phê duyệt thủ công, phân quyền phân mảnh và các cửa sổ thay đổi (change windows) chậm chạp. Ngay cả các chỉ thị từ CISA như BOD 26-04 cũng chỉ tập trung vào việc ưu tiên lỗ hổng nào cần vá trước, chứ chưa giải quyết được tốc độ thực hiện bản vá.

Thực tế cho thấy, các lỗ hổng ứng dụng nghiêm trọng mất trung bình 55 ngày để xử lý, và gần một nửa số lỗ hổng doanh nghiệp vẫn tồn tại sau một năm. Khi quy trình nội bộ mất hàng tuần để xử lý, trong khi kẻ tấn công chỉ cần vài phút, khoảng cách này trở thành ‘cửa ngõ’ cho các cuộc tấn công.

Thay đổi tư duy: Từ phòng thủ thụ động sang tốc độ

Trước đây, đội ngũ SOC (phản ứng) và đội ngũ VM/Cloud (phòng thủ) hoạt động trên các lộ trình khác nhau. Nhưng với sự hỗ trợ của AI, tốc độ tấn công đã thay đổi cuộc chơi. Các đội ngũ bảo mật chủ động hiện cần áp dụng các chỉ số dựa trên tốc độ giống như SOC. Thay vì cố gắng vá mọi thứ, chiến lược hiệu quả hơn là thu hẹp phạm vi ảnh hưởng (blast radius).

Bằng cách sử dụng phân tích đường tấn công (attack path analysis), doanh nghiệp có thể xác định những lỗ hổng nào thực sự dẫn đến tài sản quan trọng và ưu tiên xử lý chúng trước. Điều này giúp chuyển đổi việc quản lý lỗ hổng từ một danh sách tồn đọng không hồi kết thành một tập hợp các rủi ro có thể kiểm soát. Mythos không làm hỏng chương trình bảo mật của bạn, nhưng nếu bạn vẫn để quy trình vận hành cũ kỹ duy trì khoảng thời gian phơi nhiễm kéo dài, thì đó chính là sơ hở lớn nhất mà kẻ tấn công đang chờ đợi.

Nguồn tham khảo: The Hacker News