Phát hiện và Phản hồi mối đe dọa điểm cuối, một công nghệ bảo mật mới nổi

Phát hiện và Phản hồi mối đe dọa điểm cuối (tiếng Anh: Endpoint Threat Detection and Response - ETDR) là một thuật ngữ lần đầu tiên được đưa ra bởi chuyên gia bảo mật Anton Chuvakin đến từ Gartner vào năm 2013, dùng để ám chỉ những công cụ chủ yếu tập trung vào việc phát hiện và điều tra các hoạt động đáng ngờ (cũng như dấu vết của một số hiện tượng vốn không thường xuyên xảy ra) trên máy chủ hoặc điểm cuối. Đây là một loại giải pháp bảo mật điểm cuối tương đối mới, bạn thường tìm thấy các tài liệu tham khảo về Phát hiện và Phản hồi điểm cuối (Endpoint Detection and Response - EDR) (thường được so sánh với Bảo vệ mối đe dọa nâng cao (Advanced Threat Protection - ATP)) khi nói về khả năng bảo mật tổng thể.

• Fileless malware - gót chân Achilles của phần mềm diệt virus truyền thống

Nhìn chung, câu trả lời “có sức nặng” nhất cho việc giải quyết nhu cầu giám sát và ứng phó liên tục với các mối đe dọa nâng cao chính là phát hiện điểm cuối (Endpoint detection). Vậy thì Phát hiện và Phản hồi mối đe dọa điểm cuối thực sự là gì? Chúng ta sẽ cùng nhau tìm hiểu ngay sau đây.

ETDR hoạt động như thế nào?

Về cơ bản, ETDR hoạt động bằng cách theo dõi các điểm cuối và những sự kiện mạng diễn ra trong cơ sở dữ liệu trung tâm, đồng thời ghi lại tất cả thông tin cần thiết để phục vụ cho quá trình phân tích trong tương lai. Bên cạnh đó, trên hệ thống máy chủ, một tác nhân phần mềm sẽ được cài đặt làm nền tảng cho báo cáo và giám sát các sự kiện.

• 5 xu hướng hàng đầu về bảo mật điểm cuối cho năm 2018

Một công cụ phân tích phù hợp sẽ tạo điều kiện cho việc theo dõi và phát hiện liên tục các dấu hiệu bất thường trên hệ thống mạng. Cụ thể, nó giúp xác định các tác vụ có thể tăng cường khả năng bảo mật tổng thể thông qua việc cảnh báo và làm chệch hướng những mối đe dọa phổ biến, và đồng thời cho phép người dùng có thể nhận dạng sớm rủi ro trong trường hợp có bất kỳ cuộc tấn công nào hướng đến hệ thống. Việc có thể đưa ra phản ứng nhanh chóng là một lợi thế rất lớn ở tất cả các “mặt trận” khi nói đến vấn đề bảo mật điểm cuối, ngay cả khi những mối đe dọa bắt nguồn từ một nguồn nội bộ trong hệ thống mạng.

ETDR không chỉ là một công cụ

Trong khi nhà nghiên cứu bảo mật Anton Chuvakin đưa ra thuật ngữ Phát hiện và Phản hồi mối đe dọa điểm cuối để chỉ các công cụ tập trung chủ yếu vào việc phát hiện và điều tra các hoạt động đáng ngờ trên hệ thống, thuật ngữ này cũng có thể được sử dụng để mô tả khả năng ẩn chứa trong một công cụ bảo mật với quy mô, phạm vi tác động rộng lớn hơn rất nhiều. Ví dụ, bạn hãy nghĩ đến một công cụ có thể cung cấp khả năng kiểm soát ứng dụng, mã hóa dữ liệu, kiểm soát thiết bị và mã hóa, kiểm soát người dùng đặc quyền, kiểm soát truy cập mạng, v.v.

• Tìm hiểu về bảo mật thiết bị đầu cuối (endpoint security)

Anton Chuvakin có nêu tên một số trường hợp sử dụng khả năng hiển thị điểm cuối với quy mô rộng hơn, đó là:

• Tìm kiếm dữ liệu (Data search)
• Xác thực các hành động khả nghi (Suspicious)
• Khám phá dữ liệu (Data exploration)

Hầu hết các công cụ phát hiện và phản hồi điểm cuối đều giải quyết phản hồi thông qua những quá trình phân tích tinh vi, qua đó giúp phát hiện ra sự bất thường, chẳng hạn như những kết nối không được nhận dạng, hoặc tìm ra các hoạt động rủi ro dựa trên so sánh cơ sở. Quá trình này có thể được tự động hóa, kết hợp với những cảnh báo kích hoạt cho hành động ngay lập tức hoặc hành động tiếp theo, tuy nhiên nhiều công cụ phát hiện và phản hồi điểm cuối cũng cho phép các chuyên gia bảo mật tiến hành phân tích dữ liệu thủ công. Phát hiện và phản hồi điểm cuối vẫn còn đang ở giai đoạn sơ khai, nhưng có thể nói rằng công nghệ này hoàn toàn có thừa tiềm năng để trở thành một trong những yếu tố thiết yếu của giải pháp bảo mật doanh nghiệp nói chung và bảo mật điểm cuối nói riêng. Những lợi ích mang lại bởi khả năng hiển thị liên tục các sự kiện, hành vi bất thường trong tất cả các hoạt động dữ liệu, phát hiện và phản hồi điểm cuối là nhu cầu rất cấp thiết đối với doanh nghiệp - những người vốn đang cần được bảo vệ trước các mối đe dọa nâng cao hơn bao giờ hết.

• Các tổ chức có thể làm được gì để bảo vệ mình trước những cuộc tấn công mạng?