Tấn công tốc độ máy: vì sao triage theo nhịp con người không theo kịp

Đồng hồ đã đổi nhịp

Breakout time là khoảng thời gian từ khi kẻ tấn công có chỗ đứng đầu tiên đến khi chúng chuyển sang hệ thống khác. Nó quan trọng vì đó là cơ hội tốt nhất của bên phòng thủ: chặn được trước khi lan rộng thì vụ xâm nhập chỉ là một sự cố được khoanh vùng, chứ không thành một vụ breach toàn doanh nghiệp.

Khoảng thời gian đó đã sụp xuống. CrowdStrike cho biết breakout time trung bình của các nhóm eCrime giảm còn 29 phút trong năm 2025, lần nhanh nhất họ ghi nhận chỉ mất 27 giây, và trong một vụ, dữ liệu bắt đầu bị đánh cắp chỉ bốn phút sau truy cập ban đầu ^[1]. Báo cáo này cũng ghi nhận hoạt động của các nhóm tấn công có dùng AI tăng 89% so với năm trước ^[1]. Tự động hoá và công cụ AI cho phép một người điều hành nhiều vụ xâm nhập song song, viết script cho bước trinh sát và ra tay ngay khi có cửa mở.

Lỗ hổng bị khai thác ngày càng sớm sau khi công bố

Chiếc đồng hồ thứ hai bắt đầu chạy khi một lỗ hổng được biết tới. Mandiant theo dõi thời gian trung bình đến khi bị khai thác: 63 ngày giai đoạn 2018-2019, 44 ngày từ 2020 đến đầu 2021, 32 ngày giai đoạn 2021-2022 và chỉ còn năm ngày trong năm 2023 ^[2]. Nhiều lỗ hổng bị khai thác là zero-day, bị lợi dụng trước cả khi có bản vá.

Dữ liệu về các vụ breach cũng chỉ cùng một hướng. Verizon cho biết việc khai thác lỗ hổng làm bước truy cập ban đầu tăng 34% và nay chiếm 20% số vụ breach ^[3]. M-Trends 2025 của Mandiant tiếp tục xếp exploit là vector xâm nhập ban đầu phổ biến nhất, ở mức 33% ^[4]. Chu kỳ vá tính bằng tuần và cửa sổ thay đổi tính bằng tháng giờ đã dài hơn dòng thời gian của kẻ tấn công.

Thêm người không thay đổi hình dạng của vấn đề

Từng bước ở trên đều hợp lý. Gộp lại, chúng mất hàng giờ, và vào một đêm bận rộn thì lâu hơn nhiều. Thêm analyst rút ngắn hàng đợi đôi chút nhưng giữ nguyên mọi bước, trong khi chu trình của kẻ tấn công giờ đã ngắn hơn thời gian đọc alert, thu thập ngữ cảnh và thống nhất quyết định.

Còn một sự lệch về hình dạng. Kẻ tấn công làm việc theo một câu chuyện: một cú click phishing, một credential, một process mới, một kết nối tới máy chủ, một lần sao chép dữ liệu. Công cụ SOC thường đưa những mảnh đó thành các alert riêng rẽ, mỗi cái một mức nghiêm trọng, nhiều khi tới những người khác nhau. Việc ghép lại câu chuyện chính là việc tốn thời gian nhất.

Tốc độ cũng quy ra tiền. Nghiên cứu năm 2025 của IBM tính thời gian trung bình để phát hiện và khoanh vùng một vụ breach là 241 ngày, và thấy các tổ chức dùng AI và tự động hoá rộng rãi trong bảo mật rút ngắn vòng đời đó 80 ngày, tiết kiệm trung bình 1,9 triệu USD ^[5]. Nhanh hơn không chỉ an toàn hơn mà còn rẻ hơn.

Giữ con người nắm quyền quyết định

Tốc độ máy không có nghĩa là loại bỏ con người. Nó có nghĩa là đưa con người tới nơi phán đoán của họ thực sự quan trọng: phê duyệt hành động, xử lý các case thật sự mơ hồ và đặt chính sách. Phần triage và điều tra thường ngày, vốn chiếm phần lớn ngày làm việc của analyst, chính là phần máy giờ làm nhanh hơn và nhất quán hơn.

Niềm tin phải được giành từng bước. Một lộ trình hợp lý là để hệ thống tự hành làm việc song song với analyst trước, so kết luận của nó với của họ, rồi mở rộng quyền tự hành từng năng lực một khi bằng chứng cho phép. Phản ứng vẫn theo hướng đề xuất trước, có người duyệt từng hành động và audit trail cho mọi bước.

Đây là cách tiếp cận đằng sau ApexAI: một SOC tự hành đọc mọi alert, dựng câu chuyện và đề xuất phản ứng ở tốc độ máy, trong khi con người giữ quyền quyết định. Bạn có thể đọc thêm về bức tranh rộng hơn ở trang Vì sao ApexAI.

Câu hỏi thường gặp