Morgan Stanley: AI đẩy nhanh điều tra an ninh, các nhà cung cấp an ninh mạng vẫn có cơ hội

Vì sao hoạt động an ninh cần điều tra nhanh hơn?

Khoảng thời gian từ khi một lỗ hổng được phát hiện đến khi bị khai thác đang rút ngắn. Devon Rollins, người đứng đầu bộ phận ứng phó an ninh và an ninh AI của Morgan Stanley, cho biết kẻ tấn công có thể áp dụng lại các phương thức thành công tại hàng nghìn tổ chức, trong khi trước đây bên phòng thủ gặp nhiều khó khăn hơn khi chia sẻ kinh nghiệm trên quy mô lớn.
AI có thể đẩy nhanh việc thu thập bằng chứng, nhận diện mẫu và đồng thời điều tra nhiều cách giải thích có thể có cho một sự cố. Bên phòng thủ cũng muốn chia sẻ thông tin tình báo về hành vi và nội dung phát hiện mà cả con người lẫn máy móc đều có thể sử dụng, giúp các tổ chức dùng những hệ thống an ninh khác nhau học hỏi lẫn nhau.
Nhóm nghiên cứu của Morgan Stanley cho rằng các sản phẩm tự động hóa hoạt động an ninh có thể thu hẹp khoảng cách thông tin giữa bên tấn công và bên phòng thủ có triển vọng được áp dụng, nhưng thị trường này cạnh tranh gay gắt.

Khi thời gian ứng phó rút ngắn, doanh nghiệp vẫn phải liên tục nắm rõ mình có những tài sản nào, tài sản nào bị phơi lộ và quyền hạn được phân bổ ra sao, đồng thời bảo đảm có thể cô lập và khôi phục sau sự cố.
Nguyên tắc đặc quyền tối thiểu đang được mở rộng sang các khối lượng công việc và tác nhân; việc ưu tiên xử lý lỗ hổng cũng phải xét đến mối liên kết của chúng với các hệ thống quan trọng. Với những doanh nghiệp hoạt động lâu năm và gánh nợ kỹ thuật, việc khắc phục mọi mối đe dọa là không thực tế, do đó các biện pháp cô lập được phê duyệt trước đặc biệt quan trọng.

Cách làm hiện nay là kết hợp tự phát triển và mua sắm: nhà cung cấp cung cấp cảm biến, mô hình và khả năng thực thi các biện pháp kiểm soát, còn đội ngũ nội bộ kết nối công cụ với dữ liệu, mối quan hệ giữa các tài sản và quy trình ra quyết định của doanh nghiệp.
Các công cụ lập trình AI đẩy nhanh quá trình phát triển nội bộ, nhưng Rollins nhấn mạnh giá trị khác biệt của kiến thức riêng trong doanh nghiệp. Vì vậy, nhóm nghiên cứu của Morgan Stanley cho rằng hiện nay việc tự phát triển có nhiều khả năng bổ sung cho hoạt động mua sắm. Dù các mô hình có trọng số mở mang lại quyền kiểm soát lớn hơn, chúng cũng khiến doanh nghiệp phải chịu trách nhiệm về an ninh, đánh giá, triển khai và bảo trì.

Các hệ thống quản lý thông tin và sự kiện an ninh (SIEM) vẫn có giá trị: chúng kết hợp dữ liệu an ninh đã được sắp xếp với bối cảnh về danh tính, hành vi, mối đe dọa và tài sản để giúp ra quyết định nhanh hơn. Nhưng nếu dữ liệu có nhiều nhiễu, thiếu sót hoặc không đáng tin cậy, AI cũng có thể đi đến kết luận sai nhanh hơn.
Các công cụ điều phối, tự động hóa và ứng phó an ninh (SOAR) vẫn phù hợp với những quy trình lặp lại có quy tắc rõ ràng; tự động hóa do AI dẫn dắt phục vụ các nhiệm vụ khác. Giá trị của dữ liệu bổ sung phụ thuộc vào những hiểu biết có thể rút ra, chứ không phải bản thân khối lượng thu thập.
Việc lựa chọn nhà cung cấp cũng cần xem xét chất lượng giao diện và quản trị tác nhân: bằng chứng đến từ đâu, tác nhân có quyền gì và hành động có thể được dừng hoặc thu hồi hay không. Morgan Stanley cho rằng các nền tảng có thể rút ra hiểu biết từ dữ liệu được hưởng lợi từ những nhu cầu này.

Rollins cho biết các nhóm ngày càng sẵn sàng để AI tiến hành những cuộc điều tra thực chất và đề xuất bước tiếp theo, nhờ thông tin bối cảnh, hoạt động đánh giá và kiểm soát quyền truy cập quanh mô hình được cải thiện. Những hành động có giới hạn rõ ràng dễ tự động hóa hơn; các quyết định trong tình huống không rõ ràng hoặc có hậu quả nghiêm trọng vẫn do con người đánh giá và chịu trách nhiệm.
Ông cho rằng về dài hạn có thể xuất hiện danh mục công cụ tinh gọn hơn và hiệu quả vận hành có thể đo lường được, nhưng những lợi ích này vẫn chưa thành hiện thực. Nhóm nghiên cứu của Morgan Stanley lạc quan về chi tiêu cho phần mềm an ninh mạng, đồng thời đặt ra câu hỏi then chốt: sau khi tổng số công cụ giảm, liệu hiệu suất cải thiện có chuyển thành cam kết mua sắm lớn hơn của khách hàng đối với nhà cung cấp hay không?