Cảnh báo lỗ hổng và báo cáo mối đe dọa liên tục đổ về từ nhiều nguồn, với nhiều định dạng khác nhau. Mức độ nghiêm trọng chung tuy hữu ích nhưng không cho đội ngũ bảo mật biết mối đe dọa có ảnh hưởng đến hệ thống họ đang vận hành hay không, và cần rà soát điều gì trước.
Chúng tôi triển khai luồng xử lý trọn vẹn: thu thập báo cáo → tổ chức phát hiện → kiểm tra mức độ liên quan với tổ chức → áp dụng quy tắc xử lý dữ liệu → chuẩn bị bản tóm tắt và cảnh báo. Thách thức là xác định đúng các mối đe dọa liên quan mà không đưa thông tin hệ thống nhạy cảm ra ngoài phạm vi xử lý đã thống nhất.
Ưu tiên mối đe dọa theo bối cảnh riêng của từng tổ chức
- Thông tin mối đe dọa đến ở nhiều dạng không tương thích
Cảnh báo, thông báo lỗ hổng và báo cáo cần được thu thập từ các nguồn phân tán và chuẩn hóa trước khi có thể so sánh hay sàng lọc một cách nhất quán. - Mức độ nghiêm trọng khác với mức độ phơi nhiễm
Tầm quan trọng của một cảnh báo phụ thuộc vào việc công nghệ hay cấu hình bị ảnh hưởng có liên quan đến tổ chức hay không, chứ không chỉ dựa vào điểm nghiêm trọng chung. - Bối cảnh môi trường có thể là thông tin mật
Cấu hình hạ tầng và thông tin lỗ hổng có thể nhạy cảm, giới hạn những chi tiết được phép cung cấp cho dịch vụ AI bên ngoài. - Phân tích phải dẫn đến hành động
Ngay cả phát hiện hữu ích cũng mất giá trị nếu không được tóm tắt và chuyển kịp thời đến công cụ mà nhân sự bảo mật đang sử dụng.
Pipeline xử lý thông tin theo ngữ cảnh
- Thu thập và chuẩn hóa nguồn tin
Chúng tôi tập hợp thông tin từ nhiều nguồn và biểu diễn ở dạng thống nhất để phân tích và so sánh. - Đánh giá mức độ liên quan với môi trường mục tiêu
Chúng tôi đối chiếu chi tiết mối đe dọa với thông tin đã được phê duyệt về hệ thống và môi trường vận hành của tổ chức trước khi xác định mức ưu tiên. - Chọn luồng xử lý AI theo mức độ nhạy cảm
Chúng tôi chỉ dùng AI tạo sinh bên ngoài cho dữ liệu được phép theo quy tắc xử lý dữ liệu của dự án; bối cảnh nhạy cảm hơn được chuyển qua LLM vận hành trong môi trường có kiểm soát. - Tạo bản tóm tắt ngắn gọn, sẵn sàng hành động
Chúng tôi chắt lọc các phát hiện liên quan và thay đổi quan trọng cho người phụ trách, đồng thời phân biệt rõ thông tin gốc với đánh giá mức độ liên quan. - Chuyển phát hiện qua kênh vận hành
Chúng tôi kết nối thông báo với các công cụ liên lạc hiện có như Slack hay Microsoft Teams, đồng thời cho phép đặt câu hỏi tiếp theo qua giao diện hội thoại.
Những quyết định kỹ thuật then chốt
- Bối cảnh quyết định mức ưu tiên
Chúng tôi đánh giá mức độ liên quan với hệ thống của khách hàng song song với mức độ nghiêm trọng, vì xếp hạng chung tự nó không xác định được mức độ phơi nhiễm của tổ chức. - Coi định tuyến dữ liệu là ràng buộc kiến trúc
Chúng tôi tách riêng luồng xử lý qua LLM bên ngoài và LLM trong môi trường có kiểm soát, để bối cảnh hệ thống mật được phân tích trong phạm vi dữ liệu đã thống nhất. - Thiết kế cho chuyên viên rà soát
Chúng tôi kết nối bản tóm tắt và thông báo với công cụ mà chuyên viên phân tích đang dùng, kèm khả năng hỏi đáp tiếp theo. Việc xác nhận phát hiện và quyết định cách ứng phó vẫn thuộc trách nhiệm của chuyên gia.
Từ nguồn tin mối đe dọa đến phân loại bảo mật theo ngữ cảnh
Chúng tôi triển khai đánh giá mối đe dọa theo môi trường thực tế cùng luồng xử lý phân theo mức độ nhạy cảm, từ thu thập nguồn tin đến tóm tắt và thông báo. Kết quả là một quy trình phân loại tích hợp, tôn trọng ranh giới dữ liệu và hỗ trợ chuyên gia rà soát.