40% đội bảo mật dùng AI: SOC của bạn đã sẵn sàng?
"This article discusses the readiness of Security Operations Centers (SOCs) to adopt AI agents for security tasks. A Prophet Security survey indicates widespread AI adoption in security, but many SOCs struggle with alert handling, context gathering, and proactive threat hunting. AI agents can automate initial alert investigation and free up analysts for higher-level tasks, but require adequate data access and clear operational rules."
Việc triển khai AI trong SOC có thể cải thiện đáng kể khả năng phản ứng với sự cố và giảm thiểu rủi ro bảo mật.
AI có thể giúp doanh nghiệp tiết kiệm chi phí vận hành SOC và nâng cao hiệu quả của đội ngũ an ninh mạng.
Theo khảo sát của Prophet Security năm 2026, 40% đội bảo mật hiện dùng AI hàng ngày, 56% còn lại đang thử nghiệm. Chỉ 4% chưa có kế hoạch áp dụng. Với các đội đang thử nghiệm, câu hỏi đặt ra là SOC của họ đã đủ điều kiện chưa.
Độ sẵn sàng của SOC khi dùng AI phụ thuộc vào việc SOC có những vấn đề mà AI giải quyết được hay không, và liệu SOC có đủ quyền truy cập dữ liệu, ngữ cảnh, quy chuẩn viết, cùng quy tắc giám sát để AI điều tra cảnh báo chính xác trong môi trường của họ hay không. SOC không cần đạt trình độ cao mới dùng được AI. AI bắt đầu công việc ở lớp cơ bản nhất: xử lý cảnh báo, và thời gian tiết kiệm được giúp đội tập trung vào các lớp cao hơn.
SOC nào hưởng lợi nhiều nhất từ AI?
Các SOC hưởng lợi nhiều nhất thường gặp các vấn đề sau, dù cảnh báo được xử lý bởi bên ngoài hay đội ngũ nội bộ:
Nếu MDR hoặc MSSP xử lý cảnh báo:
- MDR báo động chậm. Nhà cung cấp xử lý cảnh báo theo hàng đợi chung, khiến thời gian leo thang cho một cuộc tấn công thực tế có thể kéo dài hàng giờ.
- MDR trả lại cảnh báo thiếu ngữ cảnh. Thông tin trả về chỉ là tóm tắt ngắn gọn và các câu hỏi như: đăng nhập này có hợp lệ không, đây có phải máy chủ sản xuất không, người dùng có đang đi công tác không? Nhà cung cấp thường không đủ hiểu về người dùng, tài sản và hoạt động kinh doanh của bạn.
- MDR đóng cảnh báo mà không giải thích. Khi nhà cung cấp đánh dấu cảnh báo là vô hại, ghi chú có thể không nêu rõ họ đã kiểm tra gì và kết luận dựa trên đâu, khiến đội của bạn phải tự điều tra lại.
- Phạm vi bảo vệ của MDR giới hạn công cụ được hỗ trợ. Nhiều hợp đồng chỉ bao gồm EDR và một số nguồn nhật ký nhất định, nên cảnh báo từ các ứng dụng SaaS hoặc nền tảng đám mây khác sẽ rơi vào đội của bạn.
Nếu đội ngũ nội bộ xử lý cảnh báo:
- Xác định tác động mất hàng ngày. Khi có lỗ hổng nghiêm trọng hoặc chiến dịch tấn công mới, ban lãnh đạo muốn có câu trả lời ngay. Điều này thường đòi hỏi phải săn lùng thủ công trên toàn bộ môi trường.
- Cảnh báo mức độ thấp bị bỏ qua hoặc đóng hàng loạt. Điều tra kỹ lưỡng đòi hỏi phải tra cứu trên SIEM, EDR, nhà cung cấp danh tính, giao diện quản lý đám mây và email, nên đội thường ưu tiên cảnh báo quan trọng và cao.
- Các phát hiện ồn ào bị tắt. Điều chỉnh quy tắc tạo ra quá nhiều cảnh báo tốn thời gian, nên quy tắc đó thường bị vô hiệu hóa, bỏ sót các kỹ thuật tấn công.
- Công việc săn lùng và kỹ thuật phát hiện bị hoãn lại. Công việc chủ động chỉ được thực hiện khi có thời gian rảnh, vì hàng đợi cảnh báo luôn được ưu tiên.
- Một vài chuyên gia cao cấp đảm nhận các trường hợp khó. Nếu một trong số họ nghỉ việc, đội có thể bị chậm trễ.
AI SOC agents được thiết kế để giải quyết những vấn đề này. Chúng có thể bắt đầu điều tra mỗi cảnh báo ngay khi nó xuất hiện, bất kể công cụ nào tạo ra và thời gian nào. Chúng có thể lấy ngữ cảnh từ hệ thống của bạn và ghi lại bằng chứng cho mỗi kết luận. Một số còn có thể chạy các cuộc săn lùng khi có thông tin về mối đe dọa mới. Thời gian tiết kiệm được có thể được sử dụng cho công việc phát hiện và săn lùng.
Nếu nhiều vấn đề này quen thuộc, nhu cầu là có thật. Câu hỏi tiếp theo là liệu SOC của bạn có thể hỗ trợ việc triển khai hay không.
Câu hỏi thường gặp
Khảo sát của Prophet Security được thực hiện trên ai?
Khảo sát được thực hiện trên hơn 250 CISO, trưởng nhóm SOC và chuyên gia bảo mật.
AI SOC agents có thể giúp giải quyết những vấn đề nào?
AI SOC agents có thể giúp xử lý cảnh báo nhanh hơn, thu thập ngữ cảnh đầy đủ hơn và tự động hóa các tác vụ điều tra ban đầu.
SOC cần đáp ứng những điều kiện gì để triển khai AI agents?
SOC cần có quyền truy cập dữ liệu đầy đủ, quy chuẩn làm việc rõ ràng và quy tắc giám sát để đảm bảo AI hoạt động chính xác.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc áp dụng AI vào SOC có thể giúp các doanh nghiệp Việt Nam tiết kiệm đáng kể thời gian và nguồn lực, đặc biệt trong bối cảnh thiếu hụt nhân lực an ninh mạng. Điều đáng chú ý là, trước khi triển khai, các doanh nghiệp nên đánh giá kỹ lưỡng khả năng truy cập dữ liệu và quy trình làm việc hiện tại của mình để đảm bảo AI có thể hoạt động hiệu quả. Có thể bắt đầu bằng việc thử nghiệm AI trên một phần nhỏ cảnh báo để đánh giá hiệu quả trước khi mở rộng.