Sau mỗi cuộc điều tra sự cố, có một điều khá thú vị.
Đội SOC thường kết thúc với rất nhiều dữ liệu trong tay. SIEM lưu hàng triệu sự kiện, EDR ghi lại toàn bộ hoạt động trên endpoint, Microsoft 365 có audit log, AWS có CloudTrail, Entra ID có identity log. Nếu cần, doanh nghiệp hoàn toàn có thể dựng lại từng bước attacker đã thực hiện trong hệ thống.
Thế nhưng khi ban lãnh đạo đặt một câu hỏi rất đơn giản:
“Vậy dữ liệu nào đã bị ảnh hưởng?”
thì câu trả lời lại không hề đơn giản.
Điều này không có nghĩa doanh nghiệp thiếu log. Trên thực tế, chúng ta đang có nhiều telemetry hơn bao giờ hết. Vấn đề nằm ở chỗ, phần lớn telemetry được thiết kế để quan sát hạ tầng, chứ không phải để hiểu dữ liệu.
Một sự kiện trong log có thể cho biết một người dùng đã mở một file trên SharePoint lúc 10:32 sáng. Nhưng nó không cho biết file đó là bản kế hoạch kinh doanh năm sau, một hợp đồng M&A hay chỉ là tài liệu hướng dẫn nội bộ. Với hệ thống, cả ba đều chỉ là một hành động “File Accessed”. Với doanh nghiệp, mức độ rủi ro của chúng hoàn toàn khác nhau.
Đó là khoảng cách giữa telemetry và ngữ cảnh.
Ngữ cảnh không chỉ là biết một file đã được truy cập. Ngữ cảnh còn là hiểu dữ liệu đó có nhạy cảm hay không, ai là người đáng lẽ được phép truy cập và việc truy cập đó có phù hợp với vai trò của người dùng hay không.
Lấy một ví dụ đơn giản. Một nhân viên phòng nhân sự mở hồ sơ nhân viên là điều hoàn toàn bình thường. Nhưng nếu cùng bộ hồ sơ đó được truy cập bởi một tài khoản dịch vụ, một tài khoản vừa bị compromise hoặc một nhân viên thuộc bộ phận kỹ thuật chưa từng làm việc với dữ liệu này, ý nghĩa của sự kiện sẽ thay đổi hoàn toàn.
Điều tạo ra sự khác biệt không phải là log, mà là ngữ cảnh xung quanh log.
Đây cũng là lý do nhiều cuộc điều tra kéo dài dù doanh nghiệp có đầy đủ dữ liệu kỹ thuật. Đội SOC có thể biết attacker đã đăng nhập từ đâu, sử dụng công cụ gì, di chuyển qua những hệ thống nào, nhưng vẫn mất rất nhiều thời gian để đánh giá tác động thực sự đối với doanh nghiệp. Không phải vì họ thiếu năng lực điều tra, mà vì họ phải tự ghép từng mảnh thông tin để hiểu dữ liệu nào thực sự quan trọng.
Nói cách khác, log mô tả điều gì đã xảy ra, còn doanh nghiệp lại cần biết điều đó có ý nghĩa gì.
Đó là hai bài toán khác nhau.
Trong nhiều năm, ngành an ninh mạng đã đầu tư rất nhiều vào việc thu thập telemetry. Điều đó là cần thiết và đã giúp Detection & Response tiến bộ vượt bậc. Tuy nhiên, khi dữ liệu trở thành tài sản giá trị nhất của doanh nghiệp, chỉ quan sát hạ tầng thôi là chưa đủ.
Một chương trình Detection & Response hiệu quả không chỉ cần biết attacker đã làm gì, mà còn phải giúp doanh nghiệp hiểu hành động đó tác động đến tài sản nào, dữ liệu nào và mức độ rủi ro ra sao.
Có lẽ, thách thức của giai đoạn tiếp theo không còn là thu thập thêm log, mà là bổ sung ngữ cảnh để những log đó thực sự có ý nghĩa.
