Blog Model cục bộ cho SecOps
Blog · AI trong vận hành bảo mật
Model cục bộ cho vận hành bảo mật: chủ quyền dữ liệu, độ trễ và chi phí
Phần lớn AI trong bảo mật hiện nay chạy trên cloud của người khác. Với nhiều tổ chức, điều đó chấp nhận được khi soạn email nhưng không chấp nhận được với dữ liệu giám sát an ninh. Bài viết này giải thích vì sao vị trí và kích thước của model lại quan trọng đến vậy trong SOC, và cách tiếp cận ưu tiên cục bộ mở ra điều gì.
Dữ liệu giám sát an ninh thuộc loại nhạy cảm nhất
Log và alert không phải số liệu ẩn danh. Chúng ghi tên người dùng và quản trị viên, liệt kê hostname và địa chỉ nội bộ, mô tả hệ thống nào giữ dữ liệu nào, cho biết tài khoản nào có đặc quyền và chỉ ra nơi phòng thủ còn yếu. Gộp lại, dữ liệu giám sát của một SOC là tấm bản đồ chi tiết về tổ chức, và đúng là tấm bản đồ kẻ tấn công thèm muốn.
Khi một add-on AI gửi alert và đoạn log lên model trên cloud để phân tích, tấm bản đồ ấy rời khỏi hạ tầng. Ngay cả với ràng buộc hợp đồng chặt chẽ, dữ liệu giờ được xử lý trên hạ tầng, bởi nhân sự và theo pháp lý của một bên khác. Với nhiều tổ chức, điều đó đặt ra những câu hỏi về chủ quyền dữ liệu, tuân thủ quy định và nghĩa vụ hợp đồng rất khó trả lời.
Ba vấn đề khi đưa frontier model trên cloud vào SOC
Chủ quyền và tuân thủ
Quy định bảo vệ dữ liệu, cơ quan quản lý ngành và hợp đồng với khách hàng thường yêu cầu dữ liệu vận hành nhạy cảm phải ở trong tổ chức hoặc trong nước. Gửi chúng cho một model bên ngoài có thể vi phạm cả ba.
Độ trễ đúng lúc không nên có
Mỗi lần phân tích là một vòng mạng tới một dịch vụ dùng chung, tranh năng lực với người dùng khác. Trong sự cố, khi tốc độ quan trọng nhất, độ trễ đó cộng vào từng bước.
Chi phí ở quy mô SOC
Một SOC xử lý hàng triệu event và hàng nghìn alert. Model đa năng cỡ lớn tính tiền theo token, nên chi phí tăng theo khối lượng chứ không theo giá trị, và quy trình kiểu agent còn nhân nó lên.
Tổ chức rủi ro cao nhất lại bị bỏ ngoài cuộc
Nhiều giải pháp bảo mật dùng AI chỉ tồn tại dưới dạng dịch vụ cloud gắn với một model trên cloud. Chúng không cài được trên máy chủ c ủa khách hàng, trong private cloud hay trên mạng cách ly khỏi internet. Với ngân hàng, cơ quan nhà nước, nhà mạng viễn thông và doanh nghiệp năng lượng, điều đó thường chấm dứt việc đánh giá trước khi bắt đầu.
Đây là những ngành giữ dữ liệu nhạy cảm nhất, vận hành hạ tầng trọng yếu và đối mặt với kẻ tấn công dai dẳng nhất. Họ cũng thường vận hành mạng phân vùng hoặc air-gapped, nơi kết nối cloud bị hạn chế ngay từ thiết kế. Một cách tiếp cận bảo mật buộc phải gửi dữ liệu giám sát lên cloud bỏ mặc đúng những tổ chức này tự xoay xở với lượng alert khổng lồ bằng tay.
Che hay ẩn danh dữ liệu trước khi gửi chỉ giúp được một phần. Điều tra lại cần chính những chi tiết mà việc che đi đã xoá: tài khoản nào, host nào, địa chỉ nội bộ nào. Bỏ chúng đi thì model không lập luận được về case; giữ lại thì dữ liệu đã rời đi.
Vì sao model nhỏ, chuyên biệt hợp với công việc bảo mật
Frontier model được xây để làm gần như mọi thứ: làm thơ, trả lời câu đố, viết code. Phần lớn tác vụ của SOC hẹp hơn nhiều. Quyết định một alert có thuộc case đang mở không, nhận ra một lần backup thường lệ, đánh giá một lần đăng nhập có bất thường với người dùng này không, chọn nguồn log nào cần xem tiếp: mỗi việc là một tác vụ tập trung với đầu vào và đầu ra rõ ràng.
Tác vụ tập trung hợp với model gọn được huấn luyện cho chính tác vụ đó. Chúng chạy được trên phần cứng on-premise khiêm tốn, trả lời nhanh hơn nhiều so với một lời gọi từ xa và xử lý khối lượng rất lớn với chi phí dự đoán được. Vì chạy ngay nơi dữ liệu nằm, chúng có thể thích ứng với môi trường riêng của khách hàng và tiếp tục cải thiện khi các case được chốt, mà dữ liệu không bao giờ rời đi.
Model lớn vẫn có vai trò. Với ca hiếm gặp thực sự mới, khả năng suy luận rộng có thể giúp ích, và một số tổ chức sẽ chọn cho phép. Khác biệt là nó trở thành một lựa chọn dùng tiết kiệm và chỉ theo chính sách của khách hàng, thay vì là động cơ đằng sau mọi alert, và phần nó đóng góp có thể chuyển thành năng lực cục bộ để cùng câu hỏi đó không phải gửi ra ngoài lần nữa.
Phụ thuộc cloud và ưu tiên cục bộ, đặt cạnh nhau
| Tiêu chí | AI phụ thuộc cloud | AI ưu tiên cục bộ |
|---|---|---|
| Dữ liệu bảo mật được xử lý ở đâu | Trên cloud của nhà cung cấp model | Trên hạ tầng của chính bạn |
| Mạng air-gapped hoặc phân vùng | Thường không hỗ trợ | Hỗ trợ ngay từ thiết kế |
| Độ trễ | Một vòng mạng cho mỗi bước | Tại chỗ, dự đoán được |
| Chi phí khi khối lượng tăng | Tăng theo token và số alert | Phần lớn là hạ tầng cố định; ngày càng nhiều việc xử lý tại chỗ |
| Thích ứng với môi trường của bạn | Hạn chế; model chung cho mọi người | Tinh chỉnh theo môi trường và các case đã chốt của bạn |
| Dùng model lớn bên ngoài | Bắt buộc | Tuỳ chọn, theo chính sách |
Những câu nên hỏi bất kỳ nhà cung cấp bảo mật AI nào
- Sản phẩm có chạy hoàn toàn trên máy chủ của chúng tôi, trong private cloud và trên mạng cách ly được không?
- Mặc định có dữ liệu nào rời khỏi môi trường của chúng tôi không, và có tắt được không?
- Nếu dùng model bên ngoài, ai quyết định khi nào dùng, và mọi lời gọi có được ghi lại không?
- Chi phí thay đổi thế nào khi số alert của chúng tôi tăng gấp đôi?
- Hệ thống có học từ các case đã chốt của chính chúng tôi không, và một cải tiến được kiểm chứng ra sao trước khi được tin dùng?
- Nó có làm việc với SIEM và EDR chúng tôi đang chạy mà không phải thay thế không?
Cách tiếp cận của ApexAI
ApexAI được cung cấp dưới dạng sản phẩm on-premise và private cloud. AI mặc định chạy cục bộ, còn model trên cloud là lựa chọn phải chủ động bật và do chính sách của bạn quản lý. ApexAI làm việc với công cụ bạn đang chạy, với Elastic, CrowdStrike Falcon và Palo Alto Cortex XSIAM hôm nay, Microsoft Sentinel là nền tảng tiếp theo, và liên tục học từ môi trường của bạn để ngày càng nhiều việc được xử lý tại chỗ. Trang Vì sao ApexAI đặt điều này vào bối cảnh rộng hơn của bài toán SOC.
Câu hỏi thường gặp
Vận hành bảo mật dùng AI có chạy được trong mạng air-gapped không?
Có, nếu model chạy cục bộ. Các model gọn chuyên biệt cho tác vụ bảo mật chạy được trên phần cứng on-premise mà không phụ thuộc dịch vụ AI bên ngoài.
Model cục bộ có kém hơn frontier model không?
Với tác vụ chung, rộng, model lớn mạnh hơn. Với các tác vụ tập trung, khối lượng lớn chiếm phần lớn công việc SOC, model cục bộ chuyên biệt và thích ứng với môi trường của bạn có thể nhanh, chính xác và tiết kiệm hơn nhiều.
Ưu tiên cục bộ có nghĩa là không bao giờ dùng model trên cloud?
Không hẳn. Nó có nghĩa model trên cloud là tuỳ chọn và chỉ dùng ở nơi chính sách của bạn cho phép, thay vì bắt buộc cho mọi alert.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.