Tiếp nối phần 1, đã trình bày cơ sở lý thuyết về biểu diễn đồ thị và nền tảng của Graph Neural Network (GNN) trong an toàn thông tin, phần 2 tập trung phân tích một cách hệ thống các hướng nghiên cứu ứng dụng GNN trong phát hiện tấn công đa giai đoạn. Từ các mô hình phát hiện ở mức nút dựa trên provenance graph, đến tiếp cận ở mức đồ thị con, đồ thị dị thể và đồ thị động, bài báo làm rõ cách các kiến trúc GNN được điều chỉnh để phản ánh bản chất chuỗi, tính lan truyền và sự phụ thuộc đa bước của hành vi tấn công. Bên cạnh việc tổng hợp các hướng tiếp cận tiêu biểu, phần này cũng đánh giá những vấn đề đặt ra khi triển khai trong môi trường thực tế như thách thức về dữ liệu và gán nhãn, khả năng mở rộng trên đồ thị quy mô lớn, yêu cầu phát hiện gần thời gian thực và tính giải thích phục vụ điều tra số. 

Các cuộc tấn công có chủ đích kéo dài (Advanced Persistent Threat - APT) ngày càng gia tăng về mức độ tinh vi và thường diễn ra theo nhiều giai đoạn liên kết chặt chẽ. Việc phát hiện loại tấn công này đòi hỏi các phương pháp có khả năng mô hình hóa quan hệ phụ thuộc giữa các thực thể và sự kiện trong hệ thống thay vì chỉ phân tích các bản ghi rời rạc. Trong những năm gần đây, Graph Neural Network (GNN) nổi lên như một hướng tiếp cận tiềm năng nhờ khả năng học biểu diễn từ dữ liệu có cấu trúc đồ thị, phù hợp với bản chất quan hệ của log hệ thống và lưu lượng mạng. Trong phần 1 của bài báo, tác giả sẽ giới thiệu bối cảnh nghiên cứu, làm rõ đặc trưng của các cuộc tấn công APT trong môi trường hạ tầng số hiện đại, đồng thời phân tích hạn chế của các phương pháp phát hiện truyền thống dựa trên chữ ký và đặc trưng tĩnh. Phần này cũng trình bày động cơ lựa chọn cách tiếp cận dựa trên đồ thị và học sâu trên đồ thị như một hướng đi phù hợp để mô hình hóa hành vi tấn công đa giai đoạn.