Microsoft dùng AI tạo nhật ký tấn công mạng giả lập cực kỳ chân thực

Duy Linh · 14:20

Trong lĩnh vực an ninh mạng hiện đại, nhật ký hệ thống và dữ liệu đo từ xa đóng vai trò cực kỳ quan trọng trong việc phát hiện mối đe dọa, điều tra sự cố và phân tích pháp y trên hạ tầng thiết bị đầu cuối lẫn môi trường đám mây.

Tuy nhiên, việc thu thập dữ liệu tấn công chất lượng cao từ thực tế luôn là thách thức lớn. Phần lớn dữ liệu hiện nay chủ yếu phản ánh hoạt động bình thường, còn các hành vi độc hại lại rất hiếm, khó tái hiện và tốn nhiều chi phí nếu muốn mô phỏng trong môi trường kiểm soát.

Để xây dựng hệ thống phát hiện hiệu quả, các nhóm bảo mật cần những bộ nhật ký chi tiết phản ánh đúng hành vi của kẻ tấn công. Điều này buộc doanh nghiệp phải tự mô phỏng các chiến dịch tấn công, đánh dấu dữ liệu độc hại và tái tạo toàn bộ chuỗi hành vi, khiến quá trình triển khai vừa phức tạp vừa mất thời gian.

Hệ quả là nhiều nền tảng phát hiện, từ hệ thống dựa trên quy tắc cho tới mô hình AI, đều gặp khó khăn do thiếu dữ liệu huấn luyện phù hợp.

Các nhà nghiên cứu của Microsoft mới đây đã đưa ra hướng tiếp cận khác: sử dụng AI để tạo ra dữ liệu nhật ký bảo mật tổng hợp nhưng vẫn giữ được đặc điểm gần giống với hoạt động tấn công thực tế.

AI biến hành vi tấn công thành dữ liệu đo từ xa

Nền tảng của nghiên cứu này là khả năng chuyển đổi chiến thuật, kỹ thuật và quy trình tấn công của tin tặc thành các nhật ký bảo mật có cấu trúc.

Hệ thống khai thác dữ liệu từ các khung phân tích như MITRE ATT&CK rồi kết hợp với các hành động cụ thể của đối tượng tấn công. Chẳng hạn, kỹ thuật thực thi lệnh gián tiếp T1202 có thể được liên kết với công cụ “forfiles.exe” và các lệnh đã được mã hóa.

Quy trình tác nhân AI ba giai đoạn: gợi ý cho các kịch bản tấn công (Nguồn: Microsoft).
Sau đó, AI sẽ tạo ra dữ liệu đo từ xa tương ứng, bao gồm tên tiến trình, tham số dòng lệnh và quan hệ cha – con giữa các tiến trình.

Mục tiêu của Microsoft không phải sao chép hoàn toàn nhật ký thật, mà là tạo ra các bản ghi đủ chân thực để hoạt động giống dữ liệu tấn công thực tế, qua đó có thể kích hoạt và kiểm tra các hệ thống phát hiện mối đe dọa.

Nhóm nghiên cứu đã thử nghiệm ba phương pháp tạo dữ liệu giả lập.

Cách đầu tiên là sử dụng prompt có cấu trúc để yêu cầu mô hình AI xây dựng các kịch bản tấn công, sau đó một mô hình khác sẽ đánh giá kết quả.

Cách thứ hai áp dụng mô hình tác nhân AI gồm nhiều thành phần như trình tạo, trình đánh giá và trình cải tiến. Các tác nhân này liên tục phối hợp để tinh chỉnh dữ liệu, giúp tăng độ chính xác trong những chuỗi tấn công phức tạp.

Phương pháp thứ ba là học tăng cường với phần thưởng có thể kiểm chứng (RLVR). Hệ thống sẽ đối chiếu nhật ký AI tạo ra với dữ liệu thực tế rồi chấm điểm dựa trên mức độ tương đồng và độ chính xác.

Một quy trình làm việc tuần hoàn giữa các tác nhân, trong đó các tác nhân tạo, đánh giá và cải tiến cộng tác để tạo ra nhật ký đo từ xa tổng hợp (Nguồn: Microsoft).
Theo kết quả nghiên cứu, quy trình dựa trên tác nhân AI mang lại hiệu quả ổn định nhất, đặc biệt khi kết hợp với các mô hình có khả năng suy luận nâng cao.

Nhật ký tổng hợp có thể giúp tăng tốc phát hiện mối đe dọa

So với các mô phỏng phòng thí nghiệm truyền thống, dữ liệu đo từ xa tổng hợp bằng AI mang lại nhiều lợi ích đáng chú ý.

Công nghệ này giúp giảm nguy cơ lộ dữ liệu nhạy cảm, hỗ trợ mô phỏng các mối đe dọa hiếm gặp hoặc mới xuất hiện, đồng thời đẩy nhanh quá trình phát triển và thử nghiệm hệ thống phát hiện.

Ngoài ra, các nhóm bảo mật còn có thể tái tạo thử nghiệm trên nhiều môi trường khác nhau mà không cần tiến hành các cuộc tấn công thực tế.

Dù chưa thể thay thế hoàn toàn môi trường phòng lab, nhật ký tổng hợp vẫn có thể hỗ trợ mạnh trong giai đoạn xây dựng và mở rộng hệ thống phát hiện ban đầu.

Microsoft cũng sử dụng mô hình “LLM-as-a-Judge” để đánh giá chất lượng dữ liệu được tạo ra. Mô hình này sẽ so sánh nhật ký tổng hợp với dữ liệu thật, sau đó áp dụng cơ chế thưởng hoặc phạt tùy theo độ chính xác và mức độ phù hợp về ngữ nghĩa.

Quá trình đánh giá LLM-as-a-Judge so sánh nhật ký được tạo ra với dữ liệu thực tế, đưa ra phần thưởng hoặc hình phạt để thúc đẩy việc cập nhật chính sách (Nguồn: Microsoft).
Nghiên cứu được thử nghiệm trên nhiều bộ dữ liệu khác nhau, bao gồm các môi trường mô phỏng tấn công có kiểm soát, bộ dữ liệu bảo mật mã nguồn mở và các hệ thống tấn công đa giai đoạn như ATLASv2.

Kết quả cho thấy các phương pháp dựa trên prompt có thể tạo nền tảng ban đầu nhưng thiếu tính ổn định. Trong khi đó, mô hình tác nhân AI cải thiện rõ rệt độ chính xác, tạo ra nhật ký gần giống dữ liệu đo từ xa thực tế, kể cả các dòng lệnh và mối quan hệ tiến trình.

Các mô hình học tăng cường cũng cho thấy tiềm năng lớn, nhưng vẫn cần lượng dữ liệu gắn nhãn rất lớn nếu muốn đạt độ chính xác đủ dùng trong môi trường vận hành thực tế.

Đối với người dùng Microsoft Defender, công nghệ này có thể giúp rút ngắn thời gian xây dựng hệ thống phát hiện và nâng cao khả năng phản ứng trước các mối đe dọa mới.

Bằng cách tạo dữ liệu tấn công theo yêu cầu, doanh nghiệp có thể thử nghiệm năng lực phòng thủ trước nhiều kịch bản khác nhau mà không phải đầu tư các phòng lab tốn kém.

Việc sử dụng AI để tạo nhật ký bảo mật tổng hợp có thể mở ra hướng phát triển mới cho ngành an ninh mạng, giúp các tổ chức tăng tốc phát hiện mối đe dọa, mở rộng khả năng phòng thủ và thích ứng nhanh hơn trước các cuộc tấn công ngày càng phức tạp.