CTEM (Quản lý liên tục mức độ phơi nhiễm mối đe dọa, Continuous Threat Exposure Management)

1. Tổng quan

Định nghĩa: CTEM (Continuous Threat Exposure Management) là chương trình giảm thiểu rủi ro vận hành như một chu trình lặp lại duy nhất các hoạt động: liên tục nhận diện từ góc nhìn kẻ tấn công các điểm phơi nhiễm (exposure) tồn tại trong tài sản·dịch vụ·danh tính mà tổ chức sở hữu, xếp hạng ưu tiên theo khả năng bị khai thác thực tế và tác động kinh doanh, xác thực, rồi điều phối khắc phục (mobilization).

Quản lý lỗ hổng (Vulnerability Management) truyền thống vận hành theo cách quét định kỳ hằng quý hoặc hằng tháng để lấy danh sách CVE rồi vá từ các mục có điểm CVSS cao. Tuy nhiên, cách này có ba giới hạn về cấu trúc. Thứ nhất, khoảng trống giữa thời điểm quét và thời điểm khắc phục lớn, nên phát hiện muộn các điểm phơi nhiễm mà kẻ tấn công đã đang khai thác. Thứ hai, chỉ với điểm CVSS không thể biết lỗ hổng đó có thực sự tiếp cận·khai thác được trong môi trường của ta hay không, nên lãng phí nguồn lực vào các mục có rủi ro thực tế thấp. Thứ ba, vì chỉ xử lý lỗ hổng (CVE), nó bỏ sót các điểm phơi nhiễm phi-CVE như cấu hình sai, quyền hạn quá mức, thông tin xác thực bị lộ, mở rộng bề mặt tấn công.

Với sự mở rộng của đám mây·SaaS·làm việc từ xa·chuỗi cung ứng, bề mặt tấn công vượt ra ngoài ranh giới tổ chức và liên tục thay đổi, và các mối đe dọa như ransomware·infostealer·xâm phạm chuỗi cung ứng xâm nhập không phải bằng một lỗ hổng duy nhất mà bằng cách xâu chuỗi nhiều điểm yếu (attack path). Trong môi trường này, câu hỏi "kẻ tấn công thực sự có thể làm gì với ta, và trong đó đường nào chí mạng với hoạt động kinh doanh" trở nên quan trọng hơn "đã đóng được bao nhiêu lỗ hổng". Kể từ khi Gartner đưa ra năm 2022, CTEM đã nổi lên như khung cốt lõi của chiến lược bảo mật gần đây, và bản chất của nó là một chương trình (hệ thống vận hành) liên tục giảm phơi nhiễm chứ không phải một công cụ riêng lẻ.

Mặt khác, CTEM mang tính chất bố trí lại dưới một mục tiêu chung các năng lực quản lý lỗ hổng·kiểm thử xâm nhập·quản lý tài sản·tình báo mối đe dọa vốn đã có trong tổ chức, hơn là đòi hỏi công nghệ hoàn toàn mới. Do đó, mấu chốt của việc triển khai không phải là mua công cụ mới đắt tiền, mà là thiết kế vận hành kết nối các hoạt động rời rạc thành chu trình và đo lường·báo cáo thành quả bằng ngôn ngữ kinh doanh. Ở điểm này, CTEM vừa là khung nâng cao mức độ trưởng thành của tổ chức bảo mật, vừa là công cụ giao tiếp giúp ban lãnh đạo và bộ phận bảo mật đối thoại về rủi ro bằng cùng một chỉ số.

Bài viết này luận về cấu trúc chu trình 5 giai đoạn và kiến trúc tham chiếu của CTEM, hoạt động và thành phần của từng giai đoạn, khác biệt so với quản lý lỗ hổng·kiểm thử xâm nhập hiện có, ví dụ áp dụng thực tiễn, cùng chiến lược triển khai và các lưu ý từ góc độ Kỹ sư chuyên nghiệp (Professional Engineer).

2. Cấu trúc chu trình 5 giai đoạn của CTEM

CTEM được định nghĩa là chương trình tuần hoàn lặp lại năm giai đoạn sau đây chứ không phải chẩn đoán một lần. Mỗi giai đoạn nhận sản phẩm của giai đoạn trước làm đầu vào rồi chuyển sang giai đoạn tiếp theo, và kết quả của giai đoạn cuối lại điều chỉnh phạm vi của giai đoạn đầu.

flowchart LR
    A["1. Xác định phạm vi (Scoping)"] --> B["2. Phát hiện (Discovery)"]
    B --> C["3. Ưu tiên hóa (Prioritization)"]
    C --> D["4. Xác thực (Validation)"]
    D --> E["5. Huy động khắc phục (Mobilization)"]
    E -->|"Phản hồi·điều chỉnh lại phạm vi"| A
    C -->|"Dò lại phơi nhiễm mới"| B

A. Xác định phạm vi (Scoping) — Giai đoạn đầu tiên không phải xác định phạm vi quét kỹ thuật mà là định nghĩa đối tượng cần bảo vệ theo góc nhìn kinh doanh. Nếu cố xử lý toàn bộ tài sản CNTT một lần, chương trình trở nên nặng nề và dễ thất bại. Do đó, ưu tiên chọn làm phạm vi các lĩnh vực cụ thể như dịch vụ cốt lõi gắn trực tiếp với doanh thu, hệ thống xử lý thông tin cá nhân chịu quản lý, bề mặt tấn công lộ ra bên ngoài (External Attack Surface), SaaS·danh tính. Ở giai đoạn này, việc thống nhất cùng ban lãnh đạo·bộ phận nghiệp vụ "cái gì bị xâm phạm thì tổn thất lớn nhất" trở thành đường cơ sở cho ưu tiên hóa về sau. Phạm vi không cố định mà được điều chỉnh lại mỗi chu trình, và mở rộng dần khi mức độ trưởng thành tăng.

B. Phát hiện (Discovery) — Trong phạm vi đã xác định, nhận diện tài sản và điểm phơi nhiễm đầy đủ nhất có thể. Ở đây, phơi nhiễm không chỉ là lỗ hổng CVE mà bao gồm cả cấu hình sai trên đám mây, quyền IAM quá mức, API·bucket lưu trữ bị lộ, thông tin xác thực hết hạn·bị rò rỉ, shadow IT, lỗ hổng phụ thuộc (theo góc nhìn SBOM), v.v. Các công cụ ASM (Attack Surface Management)·CSPM·CAASM·phát hiện mối đe dọa danh tính được kết hợp làm nguồn dữ liệu, và mấu chốt là hợp nhất kiểm kê tài sản và danh sách phơi nhiễm thành một đồ thị. Mục tiêu của phát hiện không phải "tìm được nhiều" mà là "tìm chính xác trong phạm vi"; nếu nhiễu nhiều thì bước ưu tiên hóa tiếp theo bị vô hiệu.

C. Ưu tiên hóa (Prioritization) — Không thể khắc phục toàn bộ điểm phơi nhiễm đã phát hiện, nên xếp hạng bằng cách kết hợp khả năng khai thác thực tế và tác động kinh doanh. Khi đó không chỉ dùng riêng CVSS mà xem đồng thời EPSS (xác suất bị khai thác), CISA KEV (danh sách lỗ hổng đã bị khai thác thực tế), tình báo mối đe dọa, mức độ quan trọng của tài sản, và vị trí trên đường tấn công. Chẳng hạn, dù CVSS 9.8 nhưng nằm trong mạng nội bộ cách ly và không có đường tiếp cận thì thứ hạng thấp xuống, còn dù CVSS 6.5 nhưng là điểm then chốt trên đường từ tài sản lộ ra ngoài dẫn tới quản trị viên miền thì trở thành ưu tiên hàng đầu. Ưu tiên hóa là giai đoạn cốt lõi của cách tiếp cận "dựa trên rủi ro (risk-based)".

Lý do cách tiếp cận này quan trọng là có khoảng cách lớn giữa tổng lượng lỗ hổng và số lỗ hổng thực sự bị khai thác. CVE được công bố tăng thêm hàng chục nghìn mỗi năm, nhưng quan sát chung của nhiều nghiên cứu về mối đe dọa là tỷ lệ thực sự ghi nhận bị khai thác chỉ ở mức một chữ số phần trăm. Do đó, thay vì đuổi theo toàn bộ lỗ hổng theo thứ tự CVSS, nếu tập trung vào giao điểm "xác suất khai thác thực tế cao (EPSS·KEV), có thể tiếp cận trong môi trường của ta (phân tích đường đi), và tác động tới tài sản cốt lõi (mức độ quan trọng tài sản)" thì đối tượng khắc phục giảm mạnh trong khi hiệu quả giảm rủi ro ngược lại còn lớn hơn. Đây là căn cứ để CTEM hướng tới "chính xác hơn chứ không phải nhiều hơn".

D. Xác thực (Validation) — Xác nhận một cách an toàn xem các điểm phơi nhiễm có ưu tiên cao có thực sự khai thác được không, và xâm nhập có thể lan tới đâu. Sử dụng BAS (Breach and Attack Simulation), kiểm thử xâm nhập tự động, red team, phân tích đường tấn công (Attack Path Mapping). Xác thực trả lời hai câu hỏi. Một là "điểm phơi nhiễm này có thực sự bị xuyên thủng không" (khả năng khai thác), hai là "nếu bị xuyên thủng thì tới được tài sản nào và các biện pháp phát hiện·chặn hiện có có ngăn được không" (hiệu lực ứng phó). Qua xác thực, danh sách rủi ro lý thuyết chuyển thành rủi ro đã được chứng minh, làm rõ căn cứ phân bổ nguồn lực khắc phục.

Giai đoạn xác thực còn có vai trò lọc bỏ cảnh báo sai của ưu tiên hóa. Dù điểm phơi nhiễm được tính ra ưu tiên cao, trong môi trường thực tế có trường hợp đường đi đã bị cắt bởi biện pháp kiểm soát khác hoặc đã được giảm thiểu; nếu cưỡng ép khắc phục mà không xác thực thì thay đổi không cần thiết làm tăng rủi ro vận hành và sự mệt mỏi của bộ phận nghiệp vụ. Ngược lại, trường hợp các điểm phơi nhiễm mức nghiêm trọng thấp — vốn không nổi bật chỉ với chỉ số ưu tiên — khi xâu chuỗi lại tạo thành đường chí mạng cũng được phát hiện trong xác thực. Tức là xác thực là cơ chế phản hồi hiệu chỉnh kết quả ưu tiên hóa theo thực tế, vì vậy ưu tiên hóa (giai đoạn 3) và xác thực (giai đoạn 4) đặc biệt ăn khớp chặt chẽ trong chu trình.

E. Huy động khắc phục (Mobilization) — Giai đoạn vận động tổ chức để thực sự giảm các rủi ro đã được xác thực. Cốt lõi không phải vá tự động mà là điều phối con người và quy trình. Chuyển cho đội hạ tầng·đội phát triển·đội danh tính·đội đám mây các hạng mục khắc phục rõ ràng kèm căn cứ·thời hạn, liên kết với hệ thống ticket·quản lý thay đổi, và với các hạng mục khó vá ngay thì áp dụng biện pháp kiểm soát bù đắp (quy tắc WAF, phân đoạn, thu hồi quyền). Thành quả của giai đoạn này lại được đo lường và phản ánh vào phạm vi và ưu tiên của chu trình kế tiếp.

Năm giai đoạn không tồn tại độc lập mà ăn khớp trong nhịp điệu (cadence) của chu trình. Phát hiện và ưu tiên hóa lặp lại với chu kỳ tương đối ngắn vì bề mặt tấn công thay đổi thường xuyên; xác thực tiêu tốn nhiều nguồn lực nên tập trung vào rủi ro hàng đầu và chạy với chu kỳ tương đối dài; còn xác định phạm vi và huy động khắc phục được đồng bộ với các kỳ rà soát quản trị theo quý·nửa năm. Như vậy, đặt chu kỳ khác nhau cho từng giai đoạn nhưng kết nối thành một chu trình là cốt lõi của thiết kế vận hành CTEM. Mỗi khi chu trình quay một vòng, tổ chức điều chỉnh ưu tiên tiếp theo dựa trên căn cứ "rủi ro đã giảm bao nhiêu so với chu trình trước".

3. Kiến trúc tham chiếu và thành phần

CTEM không phải một sản phẩm cụ thể mà hoạt động như một tầng trên cùng hợp nhất nhiều nguồn dữ liệu bảo mật để quản lý phơi nhiễm. Dưới đây là kiến trúc thể hiện luồng từ thu thập dữ liệu đến khắc phục·đo lường.

flowchart TD
    subgraph SRC["Tầng nguồn dữ liệu"]
        V["Trình quét lỗ hổng·SCA"]
        ASM["ASM·CSPM·CAASM"]
        ID["Phân tích danh tính·quyền hạn"]
        TI["Tình báo mối đe dọa·KEV·EPSS"]
    end
    subgraph CORE["Lõi quản lý phơi nhiễm"]
        AG["Đồ thị hợp nhất tài sản·phơi nhiễm"]
        PR["Bộ máy ưu tiên dựa trên rủi ro"]
        VAL["Xác thực (BAS·phân tích đường tấn công)"]
    end
    subgraph ACT["Tầng khắc phục·đo lường"]
        WF["Liên kết ticket·quản lý thay đổi"]
        CT["Kiểm soát bù đắp·SOAR"]
        KPI["Chỉ số giảm phơi nhiễm·dashboard"]
    end
    V --> AG
    ASM --> AG
    ID --> AG
    TI --> PR
    AG --> PR --> VAL --> WF
    VAL --> CT
    WF --> KPI
    CT --> KPI
    KPI -->|"Báo cáo quản trị·điều chỉnh lại phạm vi"| AG

Các thành phần được chia lớn thành ba tầng. Tầng nguồn dữ liệu bao gồm trình quét lỗ hổng, SCA/SBOM, ASM·CSPM·CAASM, phân tích danh tính·quyền hạn, và nguồn cấp EPSS·KEV·tình báo mối đe dọa. Lõi quản lý phơi nhiễm chuẩn hóa·loại trùng dữ liệu không đồng nhất theo đơn vị tài sản để tạo thành một đồ thị, kết hợp tình báo mối đe dọa và mức độ quan trọng tài sản để tính ưu tiên, và chứng minh rủi ro bằng BAS và phân tích đường tấn công. Tầng khắc phục·đo lường cung cấp quy trình khắc phục (ticket·quản lý thay đổi·SOAR) và các chỉ số giảm phơi nhiễm (thời gian khắc phục trung bình, xu hướng phơi nhiễm rủi ro, khả năng tiếp cận tài sản cốt lõi) qua dashboard cho ban lãnh đạo.

Phần khó nhất ở đây là xây dựng đồ thị hợp nhất tài sản·phơi nhiễm của tầng lõi. Trình quét lỗ hổng tạo dữ liệu theo đơn vị IP·host, công cụ đám mây theo đơn vị tài nguyên, công cụ danh tính theo đơn vị tài khoản·vai trò, nên thường gặp vấn đề cùng một tài sản bị ghi trùng dưới nhiều tên, hoặc kết quả của các công cụ khác nhau không được liên kết. Để giải quyết, cần chuẩn hóa tiêu chí định danh tài sản và liên kết phơi nhiễm thành đồ thị tài sản·danh tính·đường đi, để có thể truy vấn "từ điểm phơi nhiễm này có dẫn tới tài sản kia không". Nếu đồ thị hợp nhất sơ sài thì cả ưu tiên hóa lẫn xác thực đường đi đều không chính xác, nên chất lượng dữ liệu của tầng lõi chính là chất lượng của chương trình.

Bảng dưới đây tóm tắt các công nghệ·sản phẩm tiêu biểu được dùng ở từng giai đoạn. Tuy nhiên, công cụ chỉ là phương tiện; việc tích hợp để dữ liệu giữa các giai đoạn không bị đứt đoạn mới quyết định thành bại của chương trình.

Giai đoạn	Hoạt động cốt lõi	Công nghệ·dữ liệu tiêu biểu	Sản phẩm chính
Xác định phạm vi	Định nghĩa đối tượng bảo vệ	Mức độ quan trọng tài sản, mức tác động kinh doanh	Văn bản định nghĩa phạm vi·đường cơ sở
Phát hiện	Nhận diện tài sản·phơi nhiễm	ASM, CSPM, CAASM, SCA	Kiểm kê phơi nhiễm hợp nhất
Ưu tiên hóa	Sắp xếp dựa trên rủi ro	EPSS, KEV, tình báo mối đe dọa	Danh sách phơi nhiễm ưu tiên
Xác thực	Chứng minh khai thác·đường đi	BAS, xâm nhập tự động, red team	Đường tấn công đã chứng minh
Huy động khắc phục	Điều phối tổ chức·giảm thiểu	SOAR, ticket, kiểm soát bù đắp	Thực hiện khắc phục·chỉ số giảm thiểu

4. So sánh với cách tiếp cận hiện có và ví dụ

Để hiểu chính xác CTEM, cần phân biệt ở mức nguyên lý sự khác biệt với quản lý lỗ hổng (VM) và kiểm thử xâm nhập (Penetration Test) hiện có. Quản lý lỗ hổng tập trung vào "quản lý danh sách lỗ hổng" và vận hành theo chu kỳ quét·vá định kỳ, nên có giới hạn là khoảng trống giữa các lần quét và thiên lệch về CVE. Kiểm thử xâm nhập do chuyên gia thử xâm nhập chuyên sâu tại một thời điểm cụ thể, nhưng chỉ thực hiện 1~2 lần mỗi năm nên thiếu tính liên tục và phạm vi hẹp. CTEM không thay thế hai cách này mà gom lại và vận hành liên tục ở tầng trên. Tức là điểm khác biệt nằm ở chỗ kết nối: phát hiện rộng (ASM), ưu tiên dựa trên mối đe dọa, xác thực bằng tự động hóa (BAS) và red team, khắc phục bằng chu trình của toàn tổ chức.

Phân loại	Quản lý lỗ hổng (VM)	Kiểm thử xâm nhập (PT)	CTEM
Đối tượng	Tập trung CVE	Hệ thống cụ thể	Lỗ hổng+cấu hình sai+quyền hạn+bề mặt
Chu kỳ	Quét định kỳ	1~2 lần/năm	Liên tục (chu trình)
Ưu tiên	Tập trung CVSS	Phán đoán chuyên gia	Khả năng khai thác·đường đi·tác động kinh doanh
Xác thực	Phần lớn không có	Có (thủ công)	Xác thực liên tục tự động+thủ công
Mục tiêu	Giảm lỗ hổng	Xác nhận khả năng xâm nhập	Giảm liên tục rủi ro kinh doanh

Nguyên nhân gốc rễ tạo nên khác biệt nằm ở sự dịch chuyển tiêu chí đánh giá. Nếu VM nhìn vào chỉ số hoạt động "số lỗ hổng đã đóng", thì CTEM nhìn vào chỉ số kết quả "giảm khả năng tiếp cận thực tế tới tài sản cốt lõi". Vì vậy, khi triển khai CTEM trong thực tế, danh sách đối tượng khắc phục ngược lại còn giảm đi. Ví dụ, khi một công ty tài chính đang ôm hàng chục nghìn lỗ hổng chưa khắc phục, áp dụng EPSS·KEV·phân tích đường đi sẽ thu hẹp các mục thực sự khai thác được và tiếp cận được tài sản cốt lõi xuống mức vài trăm, giúp nhân lực hạn chế tập trung vào rủi ro thực sự.

Định hướng kết quả này cũng ảnh hưởng tới cách báo cáo. Nếu báo cáo thời VM liệt kê khối lượng hoạt động như "tháng này khắc phục 8 nghìn trong 10 nghìn lỗ hổng", thì báo cáo CTEM mô tả sự thay đổi của rủi ro như "số đường đi đã xác thực có thể tiếp cận từ bên ngoài tới hệ thống thanh toán cốt lõi giảm từ 12 xuống 3 so với tháng trước". Cách sau trở thành căn cứ trực tiếp để ban lãnh đạo đánh giá hiệu quả so với đầu tư và quyết định ưu tiên tiếp theo, cho thấy điểm CTEM nâng bảo mật từ hoạt động kỹ thuật lên thành quản trị rủi ro kinh doanh.

Về ví dụ cụ thể, phần lớn các cuộc tấn công ransomware thực hiện xâm nhập ban đầu bằng tổ hợp lỗ hổng đã biết (có thể vá) và truy cập từ xa bị lộ·thông tin xác thực hợp lệ. CTEM bắt được RDP/VPN lộ ra ngoài và thông tin xác thực bị rò rỉ ở giai đoạn phát hiện, đưa các lỗ hổng bị khai thác có trong KEV lên thứ hạng cao ở giai đoạn ưu tiên hóa, chứng minh bằng BAS ở giai đoạn xác thực rằng "từ điểm phơi nhiễm này thực sự có thể di chuyển tới máy chủ tệp", rồi huy động áp dụng MFA·thu hồi tài khoản·phân đoạn ở giai đoạn khắc phục. Ví dụ khác, trong môi trường đám mây, bucket lưu trữ công khai kết hợp với vai trò IAM quá mức trở thành đường rò rỉ dữ liệu; CTEM liên kết cấu hình sai từ CSPM và phân tích quyền hạn thành một đường đi, trực quan hóa đường "Internet → hàm cấu hình sai → vai trò quá quyền → dữ liệu" và ưu tiên chặn điểm then chốt đó.

5. Lộ trình triển khai và mô hình trưởng thành

CTEM không phải hệ thống hoàn thiện một lần mà là hành trình nâng dần mức độ trưởng thành. Ở giai đoạn đầu triển khai, dữ liệu và quy trình còn phân mảnh, nên thay vì cố lấy toàn bộ tài sản làm đối tượng, điều quan trọng là hoàn thành trọn vẹn chu trình trong phạm vi hẹp để tạo bằng chứng "phơi nhiễm đã thực sự giảm". Dưới đây là lộ trình trưởng thành 3 bậc thường được quan sát.

A. Bậc 1 — Cơ bản (bảo đảm khả năng quan sát): Mục tiêu của bậc này là gom dữ liệu tài sản và phơi nhiễm rời rạc về một chỗ. Chỉnh đốn kiểm kê tài sản (CMDB·CAASM) và hợp nhất bề mặt tấn công bên ngoài (ASM) với kết quả quét lỗ hổng, để lần đầu tiên nhìn thấy trong một lần "ta có gì và chỗ nào đang bị lộ". Ưu tiên hóa vẫn chủ yếu theo CVSS và xác thực còn thủ công, nhưng bản thân khả năng quan sát hợp nhất trở thành nền tảng cho mọi bậc sau. Chỉ số tiêu biểu của bậc này là tỷ lệ bao phủ tài sản và độ chính xác của danh sách bề mặt bên ngoài.

B. Bậc 2 — Vận hành dựa trên rủi ro (đưa vào ưu tiên·xác thực): Kết hợp EPSS·KEV·mức độ quan trọng tài sản với các điểm phơi nhiễm đã phát hiện để sắp xếp dựa trên rủi ro, và bắt đầu xác thực các mục hàng đầu bằng BAS·phân tích đường tấn công. Khắc phục được liên kết với ticket·quản lý thay đổi nên có thể truy vết. Ở bậc này, danh sách đối tượng khắc phục giảm mạnh, và các chỉ số kết quả như thời gian khắc phục trung bình (MTTR) và khả năng tiếp cận tài sản cốt lõi lần đầu được đo lường. Đây là giai đoạn phần lớn tổ chức cảm nhận được hiệu quả thực chất.

C. Bậc 3 — Liên tục·tự động hóa (định hình chương trình): Chu trình 5 giai đoạn được thường quy hóa, khắc phục được tự động hóa bằng playbook SOAR, và xu hướng giảm phơi nhiễm được báo cáo thường xuyên qua dashboard cho ban lãnh đạo. Phạm vi mở rộng tới đám mây·danh tính·SaaS·chuỗi cung ứng (SBOM), và tình báo mối đe dọa cập nhật ưu tiên gần như theo thời gian thực. Ở bậc này, CTEM định hình thành hệ thống quản trị cấp trên, sắp xếp các hoạt động bảo mật riêng lẻ dưới mục tiêu "giảm rủi ro liên tục".

Nguyên nhân thất bại phổ biến khi nâng mức trưởng thành là tăng công cụ trước rồi mới điều chỉnh quy trình sau. Các trường hợp thành công thực tế tuân theo trình tự: đặt phạm vi hẹp để hoàn thành chu trình, chứng minh thành quả với ban lãnh đạo bằng chỉ số kết quả, rồi mới mở rộng ngân sách và phạm vi. Tức là tiến bộ về mức trưởng thành gần với vấn đề học hỏi của tổ chức và tích lũy niềm tin hơn là vấn đề công nghệ.

6. Chuyên sâu — xu hướng mới nhất và hướng ra đề dự kiến

CTEM gần đây hoạt động như trục hội tụ các dòng sản phẩm riêng lẻ trên thị trường bảo mật vào một chương trình. Thứ nhất, xu hướng ASM·BAS·quản lý lỗ hổng dựa trên rủi ro (RBVM)·CAASM từ các sản phẩm độc lập được tích hợp vào nền tảng CTEM đang rất rõ. Thứ hai, khi tỷ trọng phơi nhiễm danh tính tăng lên, việc kết hợp với ITDR (Identity Threat Detection & Response), quản lý quyền hạn quá mức·thông tin xác thực hợp lệ nổi lên thành cốt lõi của phát hiện·xác thực trong CTEM. Thứ ba, AI tạo sinh được tận dụng để tóm tắt dữ liệu phơi nhiễm, tự động tạo hướng dẫn khắc phục, giải thích đường tấn công, v.v., đồng thời chính các ứng dụng LLM·pipeline dữ liệu cũng đang được đưa vào phạm vi CTEM như đối tượng phơi nhiễm mới (prompt injection, quyền truy cập mô hình·dữ liệu).

Chỉ số ưu tiên hóa cũng đang tinh vi hơn. Để bù đắp giới hạn của riêng CVSS, việc kết hợp EPSS (xác suất bị khai thác trong 30 ngày tới) và CISA KEV (danh sách đã xác nhận bị khai thác thực tế) đã trở thành tiêu chuẩn trên thực tế, và chấm điểm đa tầng bổ sung thêm mức độ quan trọng tài sản và phân tích đường đi đang lan rộng. Liên kết với Zero Trust·ASPM (quản lý tư thế bảo mật ứng dụng)·quản lý phơi nhiễm chuỗi cung ứng dựa trên SBOM cũng đang được tăng cường.

Từ góc độ Kỹ sư chuyên nghiệp (Professional Engineer), hướng ra đề dự kiến như sau. (1) Dạng tự luận yêu cầu giải thích 5 giai đoạn của CTEM kèm sơ đồ và viết hoạt động·sản phẩm của từng giai đoạn, (2) dạng so sánh yêu cầu so sánh CTEM với quản lý lỗ hổng·kiểm thử xâm nhập hiện có và luận về sự cần thiết triển khai, (3) dạng ứng dụng yêu cầu xây dựng bài làm về cách áp dụng CTEM trong kịch bản cụ thể như ransomware·cấu hình sai đám mây. Về chiến lược làm bài, hiệu quả là lấy năm từ khóa "phơi nhiễm≠CVE", "chu trình liên tục", "ưu tiên dựa trên rủi ro", "chứng minh bằng xác thực", "điều phối tổ chức (mobilization)" làm trục, đồng thời trình bày sơ đồ khái niệm và bảng so sánh.

7. Lưu ý và hàm ý

Thứ nhất, cần cách tiếp cận ưu tiên tổ chức·quy trình. CTEM là vận hành chương trình chứ không phải triển khai công cụ, nên nếu ngay từ đầu lấy toàn bộ tài sản làm đối tượng thì sẽ thất bại. Làm cho chu trình thành công trong phạm vi hẹp như dịch vụ cốt lõi·bề mặt bên ngoài để chứng minh thành quả rồi mở rộng từng bước là phù hợp với mô hình trưởng thành. Không có sự bảo trợ của ban lãnh đạo và sự tham gia của bộ phận nghiệp vụ thì giai đoạn huy động khắc phục cuối cùng không vận hành được.

Thứ hai, phải chuyển chỉ số đo lường từ hoạt động sang kết quả. Phải lấy làm chỉ số không phải "số lỗ hổng đã đóng" mà là "giảm khả năng tiếp cận tài sản cốt lõi", "thời gian khắc phục trung bình (MTTR)", "tỷ lệ khắc phục so với rủi ro đã được xác thực chứng minh", "xu hướng bề mặt tấn công bên ngoài" thì mới chứng minh được việc giảm rủi ro thực tế. Chỉ số được liên kết với báo cáo quản trị và căn cứ ngân sách, bảo đảm tính bền vững của chương trình.

Thứ ba, hợp nhất dữ liệu và quản lý nhiễu quyết định thành bại. Nếu không chuẩn hóa được dữ liệu tài sản·phơi nhiễm từ nhiều công cụ thành một đồ thị không trùng lặp thì ưu tiên hóa bị vô hiệu. Độ chính xác của kiểm kê tài sản (CMDB·CAASM) là tiền đề, và cảnh báo sai·trùng lặp làm mất niềm tin của bộ phận nghiệp vụ nên phải được lọc ở giai đoạn xác thực. Về công nghệ liên kết, SBOM·ASPM (phơi nhiễm ở giai đoạn phát triển), ITDR (danh tính), CSPM (đám mây) nhất thiết phải được kết hợp.

Thứ tư, phải cân bằng đánh đổi giữa tính an toàn của xác thực và mức độ tự động hóa. BAS·xâm nhập tự động có thể ảnh hưởng tới hệ thống vận hành, nên phải thiết kế phạm vi mô phỏng an toàn·khung giờ·rollback, và bổ sung bằng red team cho các đường phức hợp không bắt được chỉ bằng tự động hóa. Phân chia vai trò để tự động hóa đảm nhận độ rộng, con người đảm nhận độ sâu là thực tế.

Thứ năm, cần sự đồng bộ chiến lược với Zero Trust·SOAR·tình báo mối đe dọa. Các đường đi mà CTEM nhận diện·xác thực được chặn bằng chính sách phân đoạn·đặc quyền tối thiểu của Zero Trust, huy động khắc phục được tự động hóa bằng playbook SOAR, và ưu tiên được cập nhật bằng tình báo mối đe dọa. Như vậy, CTEM được dự báo sẽ định hình thành hệ thống vận hành cấp trên sắp xếp các hoạt động bảo mật riêng lẻ dưới một mục tiêu duy nhất là "giảm rủi ro liên tục".

Tài liệu tham khảo

Gartner, "How to Manage Cybersecurity Threats, Not Episodes" (Continuous Threat Exposure Management), https://www.gartner.com/en/articles/how-to-manage-cybersecurity-threats-not-episodes
CISA, Known Exploited Vulnerabilities (KEV) Catalog, https://www.cisa.gov/known-exploited-vulnerabilities-catalog
FIRST, Exploit Prediction Scoring System (EPSS), https://www.first.org/epss/

Tóm tắt một câu: CTEM là chương trình tuần hoàn 5 giai đoạn liên tục phát hiện·ưu tiên hóa·xác thực·khắc phục từ góc nhìn kẻ tấn công các điểm phơi nhiễm bao trùm tài sản·cấu hình sai·quyền hạn·bề mặt tấn công, là hệ thống vận hành bảo mật dựa trên rủi ro lấy mục tiêu không phải "số lỗ hổng đã đóng" mà là "giảm khả năng tiếp cận thực tế tới tài sản cốt lõi".