Báo động giả là khi công cụ bảo mật cảnh báo hoặc chặn một thứ thật ra vô hại: một phần mềm kế toán cũ bị coi là mã độc, một lần đăng nhập của chính bạn ở quê bị coi là đáng ngờ. Công cụ dùng AI dễ báo nhầm vì chúng được thiết kế để nghi ngờ điều "khác thường", mà công việc thật có rất nhiều điều khác thường hợp lệ.
Báo nhầm không chỉ gây phiền. Mối nguy lớn hơn là mệt mỏi vì cảnh báo: khi ngày nào cũng có cảnh báo vô hại, người ta quen tay bấm bỏ qua, và tới lúc có cảnh báo thật thì cũng bị bỏ qua nốt. Bài này giải thích vì sao báo nhầm xảy ra, một quy trình phân loại cảnh báo đơn giản cho văn phòng nhỏ, và cách thêm ngoại lệ mà không mở toang cửa.
Hai kiểu sai: báo nhầm và bỏ sót
Mọi công cụ phát hiện, dù dùng AI hay không, đều mắc hai kiểu sai ngược nhau. Báo nhầm, còn gọi là dương tính giả, là cảnh báo một thứ vô hại. Bỏ sót, hay âm tính giả, là để lọt một thứ nguy hiểm. Hai kiểu sai này kéo nhau như hai đầu bập bênh: chỉnh công cụ nhạy hơn để bớt bỏ sót thì báo nhầm tăng lên, chỉnh dễ dãi hơn để bớt phiền thì bỏ sót tăng lên.
Ví dụ giả định để thấy con số làm việc thế nào: một văn phòng mỗi ngày có mười nghìn sự kiện được công cụ xem xét, trong đó chỉ một sự kiện là nguy hiểm thật. Nếu công cụ chính xác tới mức chỉ báo nhầm một phần nghìn sự kiện vô hại, mỗi ngày vẫn có khoảng mười cảnh báo nhầm, so với một cảnh báo thật. Người xem cảnh báo sẽ thấy mười phần thì chín phần là nhầm, dù công cụ nghe có vẻ rất giỏi.
Đây là lý do không nên đánh giá một công cụ chỉ bằng câu "phát hiện được bao nhiêu phần trăm mối đe doạ". Câu hỏi đi kèm luôn phải là: mỗi tuần nó tạo ra bao nhiêu cảnh báo mà người của bạn phải xử lý, và có ai đủ thời gian xử lý số đó không.
Vì sao công cụ dùng AI hay báo nhầm
Học từ cái "bình thường" của số đông. Mô hình học trên dữ liệu của rất nhiều người dùng. Phần mềm chuyên ngành chỉ vài trăm doanh nghiệp dùng, công cụ nội bộ tự viết, bản cài đặt cũ không còn phổ biến đều trông "lạ" trong mắt nó.
Công cụ hợp pháp có hành vi giống công cụ tấn công. Phần mềm điều khiển máy từ xa mà bộ phận hỗ trợ dùng, phần mềm sao lưu mã hoá hàng loạt tệp, công cụ quản trị chạy lệnh hệ thống: về hành vi, chúng giống hệt thứ kẻ tấn công dùng.
Thói quen của bạn vừa thay đổi. Nhân viên đi công tác, làm việc ở nhà, đổi điện thoại, công ty chuyển sang nhà mạng khác. Hồ sơ hành vi chưa kịp cập nhật nên mọi thứ đều có vẻ khác thường.
Ngưỡng mặc định đặt cho tổ chức khác. Nhiều công cụ được cấu hình sẵn cho doanh nghiệp vừa và lớn có đội trực. Áp nguyên vào văn phòng mười người thì lượng cảnh báo vượt xa sức xử lý.
Lời giải thích nghe hợp lý hơn thực tế. Một số công cụ dùng AI viết phần mô tả cảnh báo bằng lời trôi chảy. Lời mô tả tự tin không làm cảnh báo chính xác hơn; nó chỉ khiến báo nhầm khó nhận ra hơn.
Mệt mỏi vì cảnh báo: rủi ro thật nằm ở đây
Trong các tổ chức có đội giám sát bảo mật, mệt mỏi vì cảnh báo là vấn đề được bàn nhiều: người trực nhận quá nhiều cảnh báo, phần lớn vô hại, dần dần đọc lướt, đóng hàng loạt, và bỏ qua cái thật. Ở văn phòng nhỏ, hiện tượng này còn nặng hơn vì không có ai chuyên trách. Cửa sổ cảnh báo bật lên giữa lúc đang làm báo cáo, người dùng bấm "cho phép" chỉ để làm việc tiếp.
Dấu hiệu văn phòng bạn đã mệt mỏi vì cảnh báo: nhân viên có thói quen bấm bỏ qua mà không đọc; có người đề nghị tắt hẳn phần mềm bảo mật vì "nó cứ chặn lung tung"; hộp thư nhận cảnh báo của người phụ trách có hàng trăm thư chưa đọc; danh sách ngoại lệ dài hơn ai còn nhớ lý do.
Cách chữa không phải là bảo mọi người chăm chỉ hơn, mà là làm cho mỗi cảnh báo đáng đọc hơn: giảm báo nhầm bằng ngoại lệ có kiểm soát, chỉnh ngưỡng cho hợp quy mô, chuyển cảnh báo mức thấp sang báo cáo tổng hợp hằng tuần, và chỉ giữ cảnh báo tức thì cho những sự kiện cần hành động ngay.
Quy trình phân loại một cảnh báo trong năm phút
Khi một cảnh báo xuất hiện, người phụ trách có thể đi qua các bước sau trước khi kết luận nhầm hay thật:
- Đọc kỹ cảnh báo nói về cái gì: tệp nào, tài khoản nào, máy nào, lúc nào. Chụp màn hình lại trước khi bấm bất cứ nút nào.
- Hỏi người dùng máy đó hoặc chủ tài khoản đó: lúc ấy họ có đang làm việc liên quan không, có vừa cài gì, vừa đăng nhập ở đâu.
- Kiểm nguồn: tệp có tải từ trang chính thức của nhà phát triển không, có chữ ký số hợp lệ không; lần đăng nhập có khớp với nơi người đó đang ở không.
- Xem có cảnh báo nào khác cùng lúc trên cùng máy hoặc tài khoản không. Một cảnh báo lẻ thường nhầm; một chuỗi cảnh báo liên quan đáng lo hơn nhiều.
- Nếu không chắc, giữ nguyên trạng thái chặn hoặc cách ly, đừng gỡ chặn chỉ để tiện. Hỏi nhà cung cấp phần mềm hoặc đơn vị hỗ trợ.
- Ghi kết luận vào sổ theo dõi: nhầm hay thật, vì sao, đã làm gì. Sau vài tháng, sổ này cho bạn biết loại cảnh báo nào thường nhầm để chỉnh cho đúng.
Loại cảnh báo nào hay nhầm, loại nào không nên xem nhẹ
Đây là gợi ý theo kinh nghiệm chung, không phải quy tắc tuyệt đối. Bối cảnh văn phòng bạn mới quyết định.
| Loại cảnh báo | Khả năng nhầm | Xử lý gợi ý |
|---|---|---|
| Phần mềm chuyên ngành, công cụ nội bộ bị nghi | Khá cao | Kiểm nguồn tải, thêm ngoại lệ hẹp cho đúng tệp và phiên bản |
| Đăng nhập từ nơi lạ khi nhân viên đi công tác | Khá cao | Xác nhận với người dùng; nếu không phải họ thì xử lý như tài khoản bị chiếm |
| Trang web bị chặn khi duyệt | Trung bình | Không tự gỡ chặn; nếu cần cho công việc, kiểm qua nguồn khác |
| Chương trình sửa đổi hàng loạt tệp | Thấp tới trung bình | Coi là nghiêm trọng cho tới khi xác nhận là phần mềm sao lưu hợp lệ |
| Phần mềm bảo mật bị tắt hoặc gỡ | Thấp | Hỏi ngay ai đã làm; nếu không ai nhận, cách ly máy |
| Quy tắc chuyển tiếp email mới ra ngoài | Thấp | Kiểm ngay với chủ hộp thư; đây là dấu hiệu kinh điển của hộp thư bị chiếm |
Hai dòng cuối gần như không bao giờ nên được coi là báo nhầm cho tới khi có người xác nhận trực tiếp. Kẻ tấn công thường cố tắt phần mềm bảo mật và đặt quy tắc chuyển tiếp thư trước khi làm việc chính.
Chỉnh ngưỡng và kênh cảnh báo cho vừa sức người xem
Phần lớn công cụ bảo mật cho phép chọn mức nhạy và chọn cách gửi cảnh báo, nhưng ít văn phòng nhỏ đụng tới phần cài đặt này. Một cách sắp xếp đơn giản là chia cảnh báo thành ba tầng. Tầng khẩn gồm những sự kiện cần hành động trong vài giờ: phần mềm bảo mật bị tắt, chương trình sửa hàng loạt tệp, quy tắc chuyển tiếp thư ra ngoài, đăng nhập thành công từ nơi không ai nhận. Tầng này gửi ngay tới điện thoại của người phụ trách và một người dự phòng.
Tầng theo dõi gồm sự kiện đáng xem nhưng không cần bỏ dở việc: tệp bị cách ly, trang web bị chặn, đăng nhập sai vài lần. Tầng này gom vào báo cáo hằng ngày hoặc hằng tuần. Tầng thông tin gồm những thứ chỉ để thống kê, như số lượt quét, số cập nhật; để trong bảng điều khiển, không gửi thư.
Sau mỗi tháng, xem lại sổ theo dõi: loại cảnh báo nào ở tầng khẩn mà mười lần thì chín lần nhầm, hạ xuống tầng theo dõi; loại nào ở tầng theo dõi mà từng là sự cố thật, nâng lên. Việc hiệu chỉnh này không cần chuyên môn sâu, chỉ cần ghi chép đều. Nếu công cụ không cho chỉnh gì cả và cảnh báo vượt sức xử lý, đó là dấu hiệu công cụ không hợp quy mô văn phòng bạn, dù quảng cáo về AI của nó hay đến đâu.
Thêm ngoại lệ mà không mở toang cửa
Ngoại lệ là cách đúng để xử lý báo nhầm lặp lại, nhưng ngoại lệ đặt rộng là lỗ hổng do chính bạn tạo ra. Nguyên tắc:
- Hẹp nhất có thể. Ngoại lệ cho một tệp cụ thể, đúng đường dẫn, đúng phiên bản, thay vì cả ổ đĩa hay cả thư mục tải về.
- Có thời hạn. Đặt ngày xem lại, nhất là ngoại lệ thêm vội để kịp việc.
- Có người duyệt. Nhân viên không tự thêm ngoại lệ trên máy mình; báo người phụ trách.
- Ghi lý do. Mỗi ngoại lệ một dòng trong sổ: thêm ngày nào, ai yêu cầu, vì sao.
- Cẩn thận khi kiểm tệp ở dịch vụ quét công cộng. Tải tệp lên các trang quét bằng nhiều bộ máy giúp có thêm ý kiến, nhưng tệp tải lên có thể được chia sẻ cho bên thứ ba. Chỉ tải tệp phần mềm công khai, không tải tài liệu nội bộ.
- Báo nhầm với hãng. Hầu hết nhà cung cấp có kênh gửi báo cáo nhầm. Đây là cách sửa tận gốc thay vì vá bằng ngoại lệ mãi.
Có thể nhờ chatbot giải thích một cảnh báo khó hiểu, sau khi xoá tên máy, tên người dùng, đường dẫn chứa tên khách hàng. Hỏi nó "những khả năng vô hại và khả năng nguy hiểm của cảnh báo này là gì, cần kiểm thêm gì để phân biệt" thay vì hỏi "cái này có sao không".
Câu hỏi thường gặp
Phần mềm bảo mật báo nhầm liên tục thì có nên tắt đi không?
Không nên tắt hẳn. Hãy tìm hiểu loại cảnh báo nào lặp lại, thêm ngoại lệ hẹp cho đúng thứ bị nhầm, báo nhầm với nhà cung cấp, và chỉnh mức nhạy nếu công cụ cho phép. Tắt bảo vệ là bỏ luôn những lần phát hiện đúng.
Làm sao biết một cảnh báo là nhầm hay thật khi không có chuyên môn?
Bắt đầu bằng câu hỏi với con người: người dùng máy đó có đang làm việc liên quan không. Sau đó kiểm nguồn của tệp hoặc nơi đăng nhập, và xem có cảnh báo liên quan khác không. Nếu vẫn không chắc, giữ trạng thái chặn và hỏi nhà cung cấp.
Ngoại lệ đã thêm có cần xoá đi sau một thời gian không?
Nên xem lại định kỳ. Phần mềm cũ có thể đã được gỡ, đường dẫn có thể bị kẻ xấu lợi dụng để đặt tệp độc vào vùng được miễn quét. Một danh sách ngoại lệ ngắn, có ghi lý do và ngày xem lại, an toàn hơn nhiều so với danh sách tích luỹ không ai nhớ.
Có nên để nhân viên tự bấm cho phép khi phần mềm bảo mật hỏi không?
Với văn phòng nhỏ, nên quy định rõ: nhân viên không tự cho phép hay thêm ngoại lệ, mà chụp màn hình gửi người phụ trách. Như vậy cảnh báo thật không bị bỏ qua chỉ vì người dùng đang vội.
Có thể dùng AI để tự động đóng các cảnh báo nhầm không?
Một số công cụ có tính năng tự xếp loại và đóng cảnh báo mức thấp. Nó giúp giảm khối lượng, nhưng vẫn cần người xem lại định kỳ những gì đã bị tự đóng, vì công cụ tự đóng nhầm một cảnh báo thật thì không ai biết.
Báo động giả có làm hỏng dữ liệu không?
Có thể, khi công cụ cách ly hoặc xoá một tệp hợp lệ, hay khoá một tài khoản đang dùng. Đa số phần mềm cho khôi phục từ khu cách ly; hãy tìm hiểu chức năng này trước khi cần, và luôn có sao lưu cho dữ liệu quan trọng.