Mythos và bài toán quản lý lỗ hổng: Tại sao CVSS không còn là thước đo duy nhất?

Sự xuất hiện của Mythos – mô hình AI tiên phong trong lĩnh vực tấn công – đang đặt ra một thách thức lớn cho các đội ngũ an ninh mạng. Khi thời gian từ lúc công bố lỗ hổng đến khi bị khai thác bị rút ngắn xuống mức tính bằng giờ, câu hỏi đặt ra không phải là liệu quy trình quản lý lỗ hổng (vulnerability management) có cần thay đổi hay không, mà là phần nào trong quy trình đó đã bị hiểu sai từ lâu.

Vấn đề nằm ở sự ưu tiên, không phải ở AI

Nhiều chuyên gia lo ngại AI sẽ giúp kẻ tấn công trinh sát và khai thác các lỗ hổng nhanh hơn. Điều này hoàn toàn đúng. Tuy nhiên, vấn đề cốt lõi là hầu hết các đội ngũ bảo mật vốn đã gặp khó khăn trong việc ưu tiên xử lý lỗ hổng ngay cả trước khi Mythos xuất hiện. Việc chạy theo các danh sách ưu tiên dựa trên điểm CVSS (Common Vulnerability Scoring System) đang trở nên kém hiệu quả và tốn kém hơn bao giờ hết.

Một lỗ hổng có điểm CVSS 9.8 nhưng không có đường dẫn tới tài sản quan trọng thường ít nguy hiểm hơn một lỗ hổng 5.5 nằm ngay cạnh cơ sở dữ liệu khách hàng. Sự khác biệt nằm ở ngữ cảnh, thứ mà CVSS không thể cung cấp. Để xác định mức độ ưu tiên thực sự, cần ba yếu tố:

• Ngữ cảnh danh tính (Identity context): Tài khoản nào có quyền truy cập vào hệ thống bị lỗ hổng và liệu chúng có bị cấp quyền quá mức hay không?
• Khả năng tiếp cận (Reachability): Tài sản này có lộ diện trên internet không? Nó cách hệ thống quan trọng nhất bao xa?
• Tính liên tục của đường dẫn (Path continuity): Có tồn tại chuỗi khai thác (exploit chain) nào kết nối CVE này với tài sản cốt lõi của doanh nghiệp hay không?

Khoảng trống kiến trúc trong hệ thống bảo mật

Hiện nay, các doanh nghiệp thường sở hữu một hệ sinh thái bảo mật đồ sộ gồm: Okta/Entra cho danh tính, Wiz/Orca cho cloud, CrowdStrike/SentinelOne cho endpoint và các công cụ quản lý lỗ hổng như Tenable hay Qualys. Mỗi công cụ đều làm tốt nhiệm vụ của mình, nhưng không công cụ nào có khả năng kết nối các dữ liệu rời rạc đó thành một lộ trình tấn công (attack path) hoàn chỉnh.

Việc các chuyên gia phải chuyển đổi giữa nhiều tab, tự tay đối chiếu dữ liệu để tìm ra mối liên hệ là một quy trình thủ công chậm chạp – chính là khoảng trống mà các công cụ như Mythos sẽ khai thác.

Thay đổi tư duy: Từ điểm số sang lộ trình tấn công

Để đối phó với tốc độ của AI, quy trình quản lý lỗ hổng cần chuyển dịch theo hướng:

1. Kết nối thay vì thay thế: Xây dựng một lớp thông tin thống nhất (unified intelligence layer) phía trên các công cụ hiện có để tương quan dữ liệu từ danh tính, cloud, endpoint và lỗ hổng.
2. Ưu tiên theo lộ trình: Thay vì hỏi “Điểm CVSS là bao nhiêu?”, hãy hỏi “Lỗ hổng này có thể tiếp cận tài sản quan trọng qua danh tính nào và với phạm vi ảnh hưởng ra sao?”.
3. Xác thực trước khi xử lý: Kiểm chứng xem lộ trình tấn công có thực sự khả thi hay không trước khi phân bổ nguồn lực khắc phục.
4. Vận hành liên tục: Các đánh giá định kỳ không còn đủ đáp ứng tốc độ của các mối đe dọa hiện đại.

Tóm lại, Mythos không làm cho việc quản lý lỗ hổng trở nên vô nghĩa, mà nó chỉ làm cho việc quản lý lỗ hổng thiếu ngữ cảnh trở nên nguy hiểm hơn. Các tổ chức sẽ không bị AI đánh bại vì vá lỗi chậm, mà vì họ đang tập trung vá những lỗ hổng không thực sự quan trọng.

Nguồn tham khảo: The Hacker News