Cyware ra mắt các tác nhân AI Last Mile, biến thông tin tình báo về mối đe dọa được chia sẻ thành ưu tiên hằng ngày

Một cảnh báo về mối đe dọa có thể đến tay một đơn vị cung cấp dịch vụ công ích quy mô nhỏ chỉ trong vài giây. Nhưng việc xác định cảnh báo có liên quan hay không — và cần làm gì — có thể mất nhiều thời gian hơn thế. Cyware đang tìm cách thu hẹp khoảng cách này bằng Last Mile Agents, bộ tác nhân AI mới được thiết kế để chuyển thông tin tình báo an ninh mạng được chia sẻ thành các ưu tiên hằng ngày cho những tổ chức quy mô nhỏ.

Được công bố vào ngày 22 tháng 10, các tác nhân này hướng đến những thành viên của mạng lưới chia sẻ thông tin về mối đe dọa, vốn nhận cảnh báo từ các trung tâm cộng đồng hoặc cấp bang nhưng không có đội ngũ chuyên trách về tình báo mối đe dọa. Thay vì cung cấp cho mọi bên nhận cùng một danh sách nội dung cần đọc, Cyware cho biết các tác nhân sẽ đánh giá thông tin đến dựa trên lĩnh vực, công nghệ và môi trường vận hành của từng tổ chức.

Phiên bản đầu tiên gồm Vulnerability Watch và Threat Briefing, cả hai đều được hỗ trợ bởi một tác nhân Priority Intelligence Requirements. Sản phẩm trước mắt là hướng dẫn được sắp xếp theo mức độ ưu tiên; tự động thực hiện hành động là một phần trong kế hoạch phát triển tiếp theo của Cyware.

Biến cảnh báo được chia sẻ thành ưu tiên phù hợp với từng tổ chức

Các mạng lưới chia sẻ thông tin về mối đe dọa giúp các tổ chức cùng tập hợp thông tin về lỗ hổng, kẻ tấn công và những chiến dịch mới nổi. Tuy nhiên, giá trị của mạng lưới phụ thuộc vào những gì diễn ra sau khi cảnh báo được gửi đến. Một doanh nghiệp lớn có thể có các chuyên viên phân tích để đối chiếu thông tin tình báo đó với hệ thống của mình. Trong khi đó, một doanh nghiệp nhỏ hoặc đơn vị cung cấp dịch vụ công ích theo mô hình hợp tác xã có thể chỉ dựa vào một chuyên viên bảo mật tổng hợp, người đồng thời phụ trách cả các công việc CNTT thường nhật.

Cách tiếp cận của Cyware phân tách công việc của trung tâm tình báo với công việc của các thành viên. Trung tâm vận hành nền tảng Cyware và tuyển chọn thông tin tình báo. Theo thông báo, các tổ chức thành viên được kết nối sẽ sử dụng Last Mile Agents được điều chỉnh theo ưu tiên của mình mà không cần tự triển khai nền tảng.

Sự khác biệt này có ý nghĩa đối với việc ứng dụng. Mục tiêu là giúp mối quan hệ chia sẻ thông tin hiện có phát huy tác dụng tốt hơn ở phía tiếp nhận, thay vì yêu cầu từng tổ chức nhỏ xây dựng một bộ phận tình báo mối đe dọa hoàn chỉnh.

“Khả năng phòng thủ tập thể chỉ mạnh bằng mắt xích cuối cùng, và đây là cách chúng tôi củng cố mắt xích đó”, Akshat Jain, Giám đốc công nghệ (CTO) kiêm đồng sáng lập Cyware, cho biết trong thông báo. Ông nói các tác nhân bắt đầu bằng Priority Intelligence Requirements để xác định điều gì liên quan đến môi trường của từng tổ chức, rồi áp dụng bối cảnh đó vào các cảnh báo và lỗ hổng mới nhận được.

Ba tác nhân, lấy bối cảnh của tổ chức làm trọng tâm

Tác nhân Priority Intelligence Requirements, hay PIR, là nền tảng của hệ thống. Tác nhân này xác định những vấn đề quan trọng đối với một tổ chức thành viên và liên tục đối chiếu thông tin tình báo mới nhận với các yêu cầu đó. Trên thực tế, mục tiêu là giúp hệ thống có định nghĩa thực tiễn về mức độ liên quan trước khi xếp hạng mối đe dọa.

• Tác nhân PIR: Xác định các ưu tiên tình báo của thành viên và dùng chúng để đánh giá những cảnh báo cùng thông tin về lỗ hổng mới nhận.
• Tác nhân Vulnerability Watch: Tạo danh sách ưu tiên hằng ngày, chia thành các mục “hành động”, “theo dõi sát” và “giám sát”, đồng thời cân nhắc hoạt động khai thác và mức độ nghiêm trọng trong bối cảnh môi trường của thành viên.
• Tác nhân Threat Briefing: Tạo bản tin hằng ngày được xếp hạng ưu tiên, giải thích những diễn biến nào cần được chú ý và vì sao chúng quan trọng đối với thành viên đó.

Sự khác biệt giữa mức độ nghiêm trọng và mức độ liên quan là trọng tâm trong thiết kế. Một lỗ hổng nghiêm trọng không có mức độ khẩn cấp như nhau đối với mọi bên nhận cảnh báo. Tổ chức cần biết liệu công nghệ bị ảnh hưởng có nằm trong môi trường của mình hay không, liệu lỗ hổng có đang bị khai thác hay không, và vấn đề đó được ưu tiên ra sao so với những yêu cầu khác đang cạnh tranh về thời gian.

Last Mile Agents phù hợp với công nghệ của Cyware như thế nào

Đợt ra mắt mở rộng danh mục tác nhân AI hiện có của Cyware, vượt ra ngoài phạm vi các chuyên viên phân tích làm việc tại những trung tâm tình báo. Agent Hub rộng hơn của công ty tập hợp các tác nhân trong các sản phẩm bảo mật và mô tả những cơ chế kiểm soát về mức độ tự chủ có thể cấu hình, sự giám sát của con người, việc cấp quyền và ghi nhật ký kiểm tra. Các khả năng của nền tảng này giúp làm rõ chiến lược của Cyware; còn phiên bản mới tập trung cụ thể vào việc sắp xếp ưu tiên và cung cấp bản tin cho các thành viên.

Nền tảng của chiến lược này là giải quyết bài toán biến thông tin rời rạc về mối đe dọa thành dữ liệu hữu ích. Cyware Intel Exchange hỗ trợ tiếp nhận, loại bỏ dữ liệu trùng lặp, làm giàu và chuẩn hóa thông tin theo STIX 2.1, một định dạng có cấu trúc dùng để trao đổi thông tin tình báo về mối đe dọa. Nền tảng cũng liên kết các chỉ dấu, phần mềm độc hại, chiến dịch và tác nhân đe dọa, đồng thời ánh xạ hành vi của đối thủ vào MITRE ATT&CK. Những khả năng này giúp giải thích vai trò của trung tâm: tổ chức thông tin tình báo trước khi các tổ chức thành viên diễn giải thông tin theo những ưu tiên riêng.

Sản phẩm riêng biệt Cyware Orchestrate của công ty kết nối các quy trình bảo mật thông qua API, webhook và các tích hợp dựng sẵn. Sản phẩm này có tính năng hỗ trợ AI để tạo và khắc phục sự cố trong các quy trình ứng phó. Đây là một phần trong danh mục tự động hóa rộng hơn của Cyware, nhưng không nên nhầm lẫn với phạm vi ra mắt của Last Mile Agents: Cyware đưa việc tự động thực hiện hành động vào lộ trình phát triển các tác nhân mới này.

Thước đo thành công là liệu hướng dẫn có làm thay đổi công việc hằng ngày hay không

Đối với các nhóm an ninh nhỏ hơn, một bản tóm lược AI hữu ích cần làm nhiều hơn là rút gọn một khuyến cáo dài thành một đoạn văn ngắn. Bản tóm lược cần xác định mức độ liên quan, giải thích cách xếp hạng và giúp đưa ra quyết định tiếp theo dễ dàng hơn. Vì vậy, chất lượng các yêu cầu mà tổ chức nêu ra — cũng như mức độ duy trì sự phù hợp của các yêu cầu đó với môi trường luôn thay đổi — sẽ đóng vai trò quan trọng đối với giá trị thực tiễn của các tác nhân.

Thông báo của Cyware không đưa ra số liệu đánh giá hiệu suất, giá cả hay kết quả khách hàng được đo lường cho Last Mile Agents. Cam kết ban đầu của sản phẩm cụ thể và giới hạn hơn: cung cấp cho các thành viên có nguồn lực hạn chế cái nhìn hằng ngày về những vấn đề quan trọng nhất, dựa trên thông tin tình báo mà mạng lưới của họ vốn đã chia sẻ.

Vulnerability Watch và Threat Briefing là những tác nhân đầu tiên được cung cấp, vận hành bởi PIR Agent. Cyware cũng tổ chức một hội thảo trực tuyến về các tác nhân AI của Cyware. Cơ hội rộng lớn hơn là giúp hoạt động phòng thủ tập thể trở nên hữu ích đối với cả những tổ chức chưa có đủ chuyên gia phân tích để diễn giải thông tin tình báo.