Ramutė Varnelytė, Giám đốc điều hành của IPXO – Loạt phỏng vấn

Ramutė Varnelytė, Giám đốc điều hành của IPXO, có hơn 15 năm kinh nghiệm lãnh đạo thương mại và được bổ nhiệm để lãnh đạo công ty vào đầu năm 2025. Trong vai trò của mình, cô ấy thúc đẩy sự tăng trưởng chiến lược, xuất sắc hoạt động và định vị thị trường, đảm bảo IPXO vẫn ở vị trí hàng đầu trong lĩnh vực đổi mới về cho thuê và quản lý địa chỉ IP.

IPXO, viết tắt của Tổ chức Trao đổi Giao thức Internet, được thành lập vào năm 2021 để giải quyết tình trạng khan hiếm địa chỉ IPv4 toàn cầu bằng cách tạo ra một nền tảng cho thuê và kiếm tiền động. Nó đã phát triển thành thị trường tự động lớn nhất thế giới cho việc cho thuê địa chỉ IP. Nền tảng này hỗ trợ hàng triệu địa chỉ IP trên toàn cầu, được hỗ trợ bởi mối quan hệ mạnh mẽ với các Cơ quan đăng ký Internet khu vực và sứ mệnh xây dựng một hệ sinh thái IP thống nhất và hiệu quả.

Chúng tôi sẽ thảo luận về cách IPXO sử dụng hồ sơ rủi ro dựa trên hành vi và học máy để phân biệt giữa tự động hóa AI vô hại và hoạt động của bot độc hại. Cuộc trò chuyện sẽ khám phá sự gia tăng của các tác nhân AI trong lưu lượng truy cập internet, thách thức an ninh mạng của nhà cung cấp dịch vụ internet và chiến lược để cân bằng an ninh với hiệu quả hoạt động.

Những xu hướng nào đã dẫn đến kết luận của bạn rằng các tác nhân AI – chứ không chỉ là bot thu thập dữ liệu – hiện đang chiếm ưu thế trong các mẫu lưu lượng truy cập của nhiều tổ chức?

Bot đang ở khắp mọi nơi, vượt qua lưu lượng truy cập của con người. Hơn một phần ba lưu lượng truy cập bot bao gồm “phần bot xấu”, góp phần vào nhiều hoạt động độc hại. Xu hướng này rõ ràng trong các báo cáo sự cố khác nhau: khi các công ty điều tra lưu lượng truy cập bất thường hoặc có hại, sự gia tăng đột ngột về sử dụng API, hoặc các bất thường khác, bằng chứng cho thấy nhiều hệ thống tự động này hành động giống như các tác nhân AI, vì chúng giả mạo trình duyệt hoặc thiết bị khác nhau (giả mạo trình duyệt), nhanh chóng thay đổi IP (quay vòng IP nhanh), không nhất quán khi so sánh với hoạt động của bot thu thập dữ liệu thông thường, và tương tự. Về cơ bản, khối lượng lưu lượng truy cập lớn cũng như sự phức tạp của hành động của chúng chỉ ra rằng các tác nhân AI, chứ không chỉ là bot thu thập dữ liệu đơn giản.

Các tín hiệu hành vi nào được sử dụng để xây dựng hồ sơ rủi ro IP – chẳng hạn như tần suất yêu cầu, tiêu đề hoặc mẫu địa lý?

Có thể đánh giá “điểm tín nhiệm” của một IP mà không cần xem nội dung thực tế của các yêu cầu, mà chỉ bằng cách quan sát cách nó hành động trong mạng. Những mẫu bất thường này là “không phụ thuộc vào nội dung”, có nghĩa là bạn không cần dữ liệu thực tế. Dữ liệu siêu và hành vi cụ thể là đủ để đánh giá hồ sơ rủi ro của IP. Điều này cũng hoạt động ở quy mô lớn, vì hành vi đáng ngờ không bị che giấu bởi mã hóa hiện đại như TLS 1.3 hoặc ECH. Vẫn còn rất nhiều dữ liệu có thể quan sát được mà không bị mã hóa.

Làm thế nào hệ thống của bạn phân biệt giữa tự động hóa AI vô hại và hoạt động độc hại như thu thập dữ liệu, botnet hoặc làm đầy đủ thông tin – đặc biệt là khi không kiểm tra nội dung tải?
Điều quan trọng là phải xem xét làm thế nào tự động hóa hành động trong một khoảng thời gian nhất định, không chỉ là nội dung nó yêu cầu. Các “bot tốt” thường rất có thể đoán trước, có cấu trúc và bước cụ thể mà chúng tuân theo. Bot độc hại, mặt khác, thường nhảy xung quanh một cách khó đoán, sử dụng định danh vứt bỏ, giữ một tốc độ “máy móc” cứng nhắc và phân tán yêu cầu trên nhiều máy chủ để tránh bị phát hiện. Điều này liên quan đến việc xây dựng mô hình hành vi mở rộng, đánh giá cách nó di chuyển xung quanh trang web theo thời gian.

Có thể bạn giải thích làm thế nào các nhà cung cấp dịch vụ internet hiện tại gặp khó khăn trong việc xử lý lưu lượng truy cập proxy ngày càng tăng đồng thời duy trì các biện pháp phòng thủ mạnh mẽ chống lại các cuộc tấn công mạng?

Các giao thức hiện đại che giấu nhiều chi tiết kết nối hơn để tăng cường quyền riêng tư, vì vậy ngày càng khó khăn và tốn kém hơn cho các nhà cung cấp dịch vụ internet để đánh giá loại lưu lượng truy cập cũng như phân loại nó chính xác. Vì nó khó nhìn thấy những gì bên trong, các nhà cung cấp dịch vụ internet dựa nhiều hơn vào hành vi của lưu lượng truy cập, không phải nội dung. Sự khó khăn nằm ở sự thay đổi cưỡng bức trong việc thay đổi cách tiếp cận của họ từ việc dựa vào việc kiểm tra lưu lượng truy cập, điều này đã tăng chi phí hoạt động, và tích hợp các công cụ thông tin về mối đe dọa mới để phù hợp với cách tiếp cận mới.

Những sự đánh đổi về an ninh mạng mà các nhà cung cấp dịch vụ internet phải đối mặt nếu họ nới lỏng các hạn chế để thích ứng với lưu lượng truy cập của tác nhân AI?

Nới lỏng các bộ lọc có thể giảm thiểu các cảnh báo sai và ma sát, để giữ cho các tác nhân chạy trơn tru. Nhưng điều này cũng có thể tăng số lượng mối đe dọa và cuộc tấn công, vì “phần bot xấu” đã chiếm một lượng lưu lượng truy cập đáng kể. Bộ lọc lỏng lẻo hơn tương đương với rủi ro cao hơn. Một cách để cân bằng giữa hai yếu tố này sẽ là cách tiếp cận cổng có trọng số rủi ro. Ví dụ, nếu có lưu lượng truy cập đáng ngờ, bước đầu tiên có thể là làm chậm nó, thay vì chặn hoàn toàn. Cần thiết lập các điều khiển tinh vi hơn.

Các công nghệ cốt lõi nào cung cấp khả năng đánh giá rủi ro theo thời gian thực – bạn có sử dụng học máy, nguồn cấp dữ liệu thông tin về mối đe dọa hoặc phát hiện bất thường dựa trên hành vi?

Chúng tôi sử dụng sự kết hợp giữa giám sát và đánh giá dữ liệu trực tiếp, học máy và các công cụ thông tin về mối đe dọa khác nhau. Mục tiêu là nhanh chóng phát hiện bất kỳ sự bất thường nào trong hành vi, hiểu ý định của lưu lượng truy cập và nếu có lý do để tin rằng nó có hại; nếu có – đánh dấu các trường hợp rủi ro cao và xử lý chúng tương ứng.

Làm thế nào hệ thống của bạn tích hợp với các quy trình làm việc của nhà cung cấp dịch vụ internet hoặc doanh nghiệp SOC hiện có – nó có thể kích hoạt cảnh báo hoặc giảm thiểu tự động không?

Có, hệ thống của chúng tôi gửi cảnh báo đến các quy trình làm việc hiện có, cũng như chặn một số mối đe dọa ở cấp độ mạng. Nó có thể chạy ở các chế độ khác nhau, tùy thuộc vào mức độ chấp nhận rủi ro.

Hệ thống tạo hồ sơ này đã phát hiện ra bất kỳ mẫu tấn công hoặc trường hợp lạm dụng nào đáng ngạc nhiên trong quá trình thử nghiệm hoặc triển khai ban đầu?

Có, đã có một số trường hợp như vậy. Một ví dụ trong toàn ngành có thể là “trình thu thập ảo”, khi các mô hình ngôn ngữ lớn tạo ra các URL không tồn tại, sau đó cố gắng truy xuất chúng. Hoặc sự gia tăng đột ngột của các yêu cầu, lặp lại ở khoảng thời gian chính xác, chẳng hạn như 15 phút hoặc một giờ. Tất cả những mẫu này rất hữu ích cho chúng tôi để tinh chỉnh thêm việc theo dõi hành vi và giảm thiểu các cảnh báo sai.

Những ý nghĩa về quyền riêng tư và bảo mật của việc xây dựng hồ sơ dựa trên hành vi mà không cần kiểm tra nội dung mã hóa – đặc biệt là dưới luật bảo vệ dữ liệu toàn cầu?

Dữ liệu siêu hành vi có thể được coi là dữ liệu cá nhân, nhưng có những trường hợp ngoại lệ, ví dụ, nếu lợi ích là hợp pháp, có thể được chứng minh và cần thiết cho việc giám sát bảo mật. Điều đó nói rằng, lợi ích trong việc truy cập và số lượng dữ liệu được giữ lại phải tương xứng với rủi ro được đánh giá.

Làm thế nào bạn ngăn chặn các cảnh báo sai từ việc đánh dấu tự động hóa AI vô hại, như trình thu thập dữ liệu nghiên cứu hoặc tác nhân AI được Whitelist, là các mối đe dọa mạng?

Chúng tôi kiểm tra các biện pháp bảo vệ mới và quy tắc trước khi triển khai, đánh giá nhiều tín hiệu trước khi thực hiện bất kỳ hành động nào, cũng sử dụng các thử thách mềm trước để kiểm tra tính hợp pháp của lưu lượng truy cập, thay vì chặn nó hoàn toàn. Đó là một danh sách kiểm tra nhiều lớp, được tinh chỉnh liên tục.

Cảm ơn vì cuộc phỏng vấn tuyệt vời, những người đọc muốn tìm hiểu thêm nên truy cập IPXO.