Sự phát triển của trí tuệ nhân tạo (AI) đang làm thay đổi đáng kể cách thức các cuộc tấn công mạng được thực hiện. Từ thu thập thông tin hệ thống, kiểm thử thông tin đăng nhập đến di chuyển ngang (lateral movement), nhiều hoạt động có thể được tự động hóa với tốc độ ngày càng cao. Điều này khiến các phương pháp phát hiện dựa trên hành vi bất thường gặp nhiều thách thức, đặc biệt khi kẻ tấn công có khả năng mô phỏng các hoạt động hợp lệ trong hệ thống.
Trước thực tế đó, Acalvio – đối tác công nghệ của Mi2 JSC – giới thiệu 360 Deception, công nghệ đánh lừa toàn diện với cách tiếp cận khác biệt. Thay vì chỉ tập trung phát hiện dấu hiệu xâm nhập, công nghệ này chủ động làm sai lệch cách kẻ tấn công nhận diện môi trường mạng, từ đó phát hiện, chuyển hướng và làm gián đoạn hoạt động tấn công ngay trong quá trình xâm nhập.
Công nghệ đánh lừa toàn diện là gì?
360 Deception là khung đánh lừa ba vector, kết hợp tài sản giả trông như thật, tài sản thật trông như giả và vật phẩm khả nghi có chủ đích buộc kẻ tấn công phải kiểm tra, xác minh trước khi hành động – câu hỏi hãng đặt ra không phải làm sao có mồi nhử (decoy) tốt hơn, mà làm sao khiến cả môi trường khó đọc với công cụ tự động.
Khác với mô hình đánh lừa một chiều vốn chỉ phát huy hiệu quả khi kẻ tấn công nhầm giả thành thật, 360 Deception mở rộng khả năng đánh lừa theo ba hướng, khiến đối phương khó phân biệt đâu là mục tiêu thực sự và đâu là bẫy bảo mật. Trong khi đó, các decoy thế hệ cũ thường được triển khai cố định, khiến kẻ tấn công có thể dần nhận diện đặc điểm và tìm cách né tránh. Điều này làm giảm lợi thế bất ngờ của các hệ thống honeypot, từ đó hạn chế hiệu quả trong việc thu hút và phát hiện hành vi xâm nhập.
Cần phân biệt hai lớp tên gọi: ShadowPlex là nền tảng của Acalvio, còn ứng dụng mô hình 360 Deception là để triển khai công nghệ đánh lừa trên các môi trường IT, OT, định danh và đám mây. ShadowPlex phủ IT, công nghệ vận hành (Operational Technology – OT), hệ thống định danh và cloud bằng decoy, honeytoken và đường dẫn bẫy (HoneyPath); nền tảng Preemptive Cybersecurity của hãng được bảo hộ bởi 25 bằng sáng chế.
Vì sao tấn công có AI hỗ trợ đặt ra thách thức cho các phương pháp phát hiện truyền thống?
Các công cụ tấn công tự động thường dựa vào thông tin thu thập được về hệ thống để xác định mục tiêu, kiểm tra thông tin đăng nhập và lựa chọn đường xâm nhập tiếp theo. Trong khi đó, các cuộc tấn công có AI hỗ trợ ngày càng có khả năng mô phỏng hoạt động hợp lệ, khiến những phương pháp phát hiện dựa trên hành vi bất thường gặp nhiều thách thức. Đây chính là điểm mà 360 Deception hướng đến: làm sai lệch những thông tin mà kẻ tấn công sử dụng để đưa ra quyết định.
Loại xâm nhập này mô phỏng quy trình hợp lệ đủ chính xác để khi tín hiệu tích lũy đến mức đáng hành động thì kẻ tấn công đã đi tiếp. Vấn đề không phải phe phòng thủ chậm, mà là mô hình phát hiện được xây dựng cho một loại đối thủ khác – điều Mi2 đã phân tích trong bài về AI Agent có thể trở thành hacker tự động. Chính sự phụ thuộc vào bản đồ là điểm khung ba vector nhắm vào: Dynamic Deception liên tục thay đổi các HoneyPath theo thời gian thực, khiến thứ được lập bản đồ hôm qua không còn tồn tại hôm nay.
Ba vector của 360 Deception
Mỗi vector tác động vào một quyết định khác nhau của kẻ tấn công, ứng với ba tác dụng mà hãng gọi là phát hiện, chuyển hướng và làm suy giảm.
Vector 1 – Tài sản giả được ngụy trang như thật
Các tài nguyên đánh lừa như máy chủ giả, dịch vụ, thông tin đăng nhập hoặc HoneyPath được thiết kế để có đặc điểm tương tự hệ thống thật. Khi đối tượng xâm nhập tương tác với những tài nguyên này, hệ thống có thể ghi nhận các tín hiệu cảnh báo có độ tin cậy cao, hỗ trợ phát hiện sớm hoạt động dò tìm và di chuyển ngang.
Vector 2 – Tài sản thật được ngụy trang như bẫy
Công nghệ khiến một số tài sản thật xuất hiện với các dấu hiệu tương tự tài nguyên đánh lừa. Điều này gây khó khăn cho kẻ tấn công khi phân biệt hệ thống có giá trị với bẫy bảo mật, từ đó có thể khiến chúng bỏ qua mục tiêu, thay đổi hướng tiếp cận hoặc mất thêm thời gian xác minh.
Vector 3 – Tạo yếu tố khả nghi để gây nhiễu quyết định
Các tài nguyên đánh lừa được chủ động thiết kế với những dấu hiệu khả nghi, khiến kẻ tấn công khó quyết định nên tiếp cận hay bỏ qua. Trong môi trường mà ngay cả tài sản thật cũng có thể trông giống bẫy, việc xác minh những yếu tố này buộc đối phương tiêu tốn thêm thời gian và nguồn lực, làm giảm hiệu quả của quá trình tấn công tự động.
Với ba vector kết hợp, kẻ tấn công phải liên tục cân nhắc giữa nguy cơ bị phát hiện, bỏ lỡ mục tiêu thực sự hoặc mất thêm thời gian xác minh. Đây chính là cách 360 Deception làm suy giảm độ tin cậy của thông tin hệ thống mà các công cụ tấn công tự động phụ thuộc vào.
Bằng chứng tương tác thay cho điểm số xác suất
Khác với các mô hình dựa trên đường cơ sở, tương quan sự kiện hay chiến thuật đã biết, phát hiện dựa trên đánh lừa kích hoạt khi có tương tác với bối cảnh dựng sẵn: một thông tin đăng nhập vốn không bao giờ được dùng, một đường dẫn vốn không nên tồn tại. Tương tác đó không phải điểm số xác suất, mà là bằng chứng đã được xác thực về hành vi thù địch.
Tại ANTX Cyber Challenge do Naval Information Warfare Center (NIWC) Pacific của Hải quân Mỹ tổ chức giữa năm 2025, công nghệ đánh lừa của hãng đạt 100% cảnh báo chính xác và ngăn cản 80% mục tiêu tấn công, giành giải nhất về khả năng sử dụng và hiệu năng kỹ thuật trong kỳ thi chọn lọc 5 đơn vị từ 14 đề xuất, với các kịch bản đối kháng cùng đội Red Team. Kết quả phản ánh một kỳ đánh giá cụ thể, không phải cam kết cho mọi môi trường.
Doanh nghiệp Việt Nam có thể ứng dụng 360 Deception như thế nào?
Nên bắt đầu từ nhóm tài sản mà một tài khoản bị chiếm quyền gây thiệt hại nhanh nhất. Với ngân hàng, nhà máy và đơn vị điện lực tại Việt Nam, thứ tự ưu tiên gồm:
- Hạ tầng định danh: thông tin đăng nhập bẫy và honeytoken quanh Active Directory, nơi phần lớn đường di chuyển ngang đi qua.
- Mạng công nghệ vận hành: decoy mô phỏng thiết bị OT, vùng mà việc cài agent thường không khả thi.
- Cơ sở dữ liệu đang vận hành: HoneyPath dẫn ra khỏi dữ liệu thật, gắn với nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026.
Đọc thêm: Công nghệ đánh lừa lớp phòng thủ chủ động.
Câu hỏi thường gặp (FAQ)
360 Deception khác honeypot truyền thống ở điểm nào?
Là ở số chiều của mô hình: honeypot truyền thống chờ kẻ tấn công chạm vào tài sản giả, còn khung ba vector thêm tài sản thật trông như giả và vật phẩm khả nghi có chủ đích, buộc đối phương xác minh thay vì chỉ tránh bẫy.
Giải pháp triển khai được on-premises hay bắt buộc dùng cloud?
Có cả hai: Deception Center có thể triển khai on-premises hoặc trên private/public cloud, còn nền tảng có thêm dạng appliance và telco/XSP, nên đơn vị cần dữ liệu trong nước vẫn có phương án tại chỗ.
Có phải cài agent lên máy trạm và máy chủ không?
Không. Các Projection Sensors chiếu decoy vào mạng và workload cloud nên không cần agent trên thiết bị đầu cuối – điểm đáng chú ý với mạng OT.
Cảnh báo có đưa được về SIEM và quy trình SOC hiện tại?
Có, nền tảng tích hợp sẵn với SIEM, SOAR, EDR, XDR và ITSM, nên cảnh báo đánh lừa đi vào đúng luồng xử lý sự cố hiện hữu chứ không tạo thêm một màn hình giám sát riêng.
Kết luận
Các cuộc tấn công có AI hỗ trợ không chỉ diễn ra nhanh hơn mà còn phụ thuộc vào độ chính xác của thông tin thu thập được về hệ thống mục tiêu. Bằng cách tạo ra những tài nguyên đánh lừa khiến kẻ tấn công khó phân biệt thật – giả, 360 Deception giúp phát hiện sớm, chuyển hướng và làm gián đoạn hoạt động xâm nhập, đồng thời tăng cường khả năng phòng thủ trước những mối đe dọa ngày càng tinh vi.
Mi2 JSC là nhà phân phối chính thức của Acalvio về công nghệ đánh lừa (cyber deception), đồng hành cùng các tổ chức tài chính, ngân hàng, sản xuất và năng lượng. Liên hệ Mi2 JSC để được tư vấn ShadowPlex và 360 Deception phù hợp với hạ tầng, quy mô và yêu cầu tuân thủ của doanh nghiệp bạn.
