CÁC HƯỚNG NGHIÊN CỨU CỦA ỨNG DỤNG GNN TRONG PHÁT HIỆN TẤN CÔNG ĐA GIAI ĐOẠN

Phát hiện APT dựa trên provenance graph và học biểu diễn ở mức nút

Một trong những hướng nghiên cứu sớm và phổ biến nhất là xây dựng provenance graph từ log hệ thống và áp dụng GNN để phát hiện các thực thể bất thường ở mức nút (node-level anomaly detection). Trong cách tiếp cận này, mỗi tiến trình, tệp tin hoặc socket được xem như một nút trong đồ thị; các thao tác như read, write, fork, connect tạo thành các cạnh thể hiện quan hệ nhân quả.

Các nghiên cứu theo hướng này tập trung vào việc học embedding cho từng nút, sau đó áp dụng phân loại có giám sát (nếu có nhãn) hoặc phát hiện bất thường dựa trên độ lệch phân bố embedding.

Hình 1. Nghiên cứu ứng dụng GNN trong phát hiện tấn công đa giai đoạn

Ưu điểm của tiếp cận mức nút là khả năng định vị chính xác thực thể nghi ngờ. Tuy nhiên, hạn chế nằm ở việc tấn công APT thường là chuỗi hành vi liên kết, do đó bất thường có thể chỉ xuất hiện rõ khi xét ở mức cấu trúc lớn hơn thay vì từng nút riêng lẻ.

Phát hiện chuỗi tấn công dựa trên đồ thị con (subgraph-level detection)

Để khắc phục hạn chế của phân tích đơn nút, nhiều nghiên cứu chuyển sang phát hiện ở mức đồ thị con (subgraph-level detection). Trong hướng này, mục tiêu không phải là xác định một thực thể bất thường đơn lẻ mà là phát hiện một cấu trúc liên kết nghi ngờ phản ánh một giai đoạn hoặc toàn bộ chuỗi APT.

Các phương pháp thường bao gồm: Trích xuất các đồ thị con theo cửa sổ thời gian; Áp dụng GNN để học embedding cho đồ thị con; Phân loại hoặc chấm điểm rủi ro cho từng cấu trúc. Cách tiếp cận này phù hợp hơn với bản chất đa bước của APT và tương thích với mô hình cyber kill chain. Tuy nhiên, thách thức chính là chi phí tính toán lớn và khó xác định ranh giới chính xác của một đồ thị con đại diện cho tấn công.

Học trên đồ thị dị thể (Heterogeneous GNN) cho dữ liệu log đa nguồn

Trong môi trường thực tế, dữ liệu an ninh không chỉ đến từ một nguồn mà bao gồm log hệ điều hành, log ứng dụng, lưu lượng mạng, DNS, email gateway và các hệ thống giám sát khác. Điều này dẫn đến đồ thị đa loại nút và đa loại cạnh (heterogeneous graph).

Các nghiên cứu gần đây mở rộng GNN sang mô hình dị thể nhằm: Học biểu diễn riêng biệt theo từng loại thực thể; Kết hợp thông tin xuyên miền (cross-domain correlation); Khai thác quan hệ phức tạp giữa các lớp hạ tầng.

Heterogeneous GNN cho phép tích hợp ngữ cảnh toàn diện hơn, đặc biệt quan trọng trong phát hiện di chuyển ngang (lateral movement). Tuy nhiên, việc thiết kế kiến trúc và tối ưu hóa trên đồ thị dị thể phức tạp hơn đáng kể so với đồ thị đồng nhất.

Graph Neural Network trên đồ thị động và phát hiện sớm

APT là quá trình kéo dài theo thời gian, do đó việc bỏ qua yếu tố thời gian có thể làm mất thông tin quan trọng. Một hướng nghiên cứu quan trọng là tích hợp yếu tố thời gian vào mô hình thông qua: Temporal Graph Neural Network và Dynamic graph embedding; Kết hợp GNN với mô hình tuần tự (RNN, Transformer).

Các mô hình này không chỉ học cấu trúc liên kết mà còn nắm bắt trình tự xảy ra của sự kiện, từ đó hỗ trợ phát hiện sớm các dấu hiệu bất thường ngay từ giai đoạn đầu của chuỗi tấn công. Tuy nhiên, đồ thị động quy mô lớn đặt ra thách thức về bộ nhớ và cập nhật theo thời gian thực.

Học không giám sát và bán giám sát trong phát hiện APT

Do dữ liệu APT được gán nhãn rất hạn chế, nhiều nghiên cứu chuyển sang học không giám sát hoặc bán giám sát. Các hướng phổ biến bao gồm: Graph Autoencoder để tái cấu trúc đồ thị; Contrastive learning trên embedding đồ thị; Phát hiện bất thường dựa trên sai lệch tái tạo (reconstruction error).

Hướng tiếp cận này phù hợp với môi trường thực tế nơi nhãn tấn công khan hiếm, nhưng đòi hỏi thiết kế cơ chế đánh giá phù hợp để tránh báo động giả cao.

Giải thích mô hình và hỗ trợ điều tra số (Explainable GNN)

Trong môi trường SOC, phát hiện bất thường không đủ; hệ thống cần cung cấp bằng chứng để chuyên gia phân tích điều tra. Do đó, một xu hướng mới là phát triển Explainable GNN nhằm: Xác định cạnh hoặc nút quan trọng nhất dẫn đến quyết định; Trích xuất chuỗi sự kiện nghi ngờ; Hỗ trợ truy vết nguyên nhân gốc (root cause analysis).

Đây là hướng nghiên cứu có ý nghĩa thực tiễn cao, đặc biệt trong bối cảnh yêu cầu tuân thủ và kiểm toán ngày càng nghiêm ngặt.

Triển khai thực tế và tối ưu hóa cho hệ thống quy mô lớn

Ngoài khía cạnh thuật toán, một số nghiên cứu tập trung vào khả năng triển khai thực tế, bao gồm: Kỹ thuật sampling và phân mảnh đồ thị; Giảm chiều embedding; Huấn luyện phân tán; Tích hợp với hệ thống SIEM/SOC.

Khả năng mở rộng (scalability) và độ trễ thấp là điều kiện tiên quyết để GNN có thể được áp dụng trong môi trường vận hành thực tế thay vì chỉ dừng ở mức thử nghiệm học thuật.

ĐÁNH GIÁ CÁC HƯỚNG TIẾP CẬN VÀ NHỮNG VẤN ĐỀ ĐẶT RA

Sau khi phân tích các hướng nghiên cứu ứng dụng GNN trong phát hiện tấn công đa giai đoạn ở mục trước, có thể nhận thấy đây là một lĩnh vực đang phát triển nhanh và mang nhiều tiềm năng. Tuy nhiên, bên cạnh những ưu điểm nổi bật, các hướng tiếp cận này vẫn tồn tại nhiều vấn đề cần được xem xét một cách hệ thống cả ở góc độ học thuật lẫn triển khai thực tế.

Đánh giá theo mức độ biểu diễn và phạm vi phát hiện

Các hướng tiếp cận hiện nay có thể được phân biệt theo mức độ biểu diễn: mức nút, mức cạnh, mức đồ thị con hoặc toàn đồ thị. Tiếp cận ở mức nút cho phép định vị chính xác thực thể bất thường (ví dụ: một tiến trình hoặc tài khoản bị xâm nhập), thuận lợi cho việc khoanh vùng và cô lập sự cố. Tuy nhiên, APT thường không biểu hiện bất thường rõ ràng ở từng nút riêng lẻ mà thể hiện qua chuỗi tương tác liên kết chặt chẽ. Do đó, phương pháp này có nguy cơ bỏ sót các hành vi “ngụy trang” tốt trong bối cảnh tổng thể.

Ngược lại, tiếp cận ở mức đồ thị con phù hợp hơn với bản chất đa giai đoạn của APT, vì nó cho phép phát hiện các cấu trúc liên kết phản ánh hành vi di chuyển ngang, leo thang đặc quyền hoặc thu thập dữ liệu. Tuy nhiên, việc xác định ranh giới của một đồ thị con đại diện cho một chuỗi tấn công là bài toán không đơn giản, đặc biệt trong môi trường có lưu lượng lớn và liên tục. Từ góc độ này, có thể thấy rằng chưa tồn tại một mức biểu diễn tối ưu cho mọi kịch bản; thay vào đó, xu hướng hiện nay là kết hợp đa mức (multi-level modeling) để tận dụng ưu điểm của từng cách tiếp cận.

Hình 2. Bản đồ tổng thể các thách thức khi ứng dụng GNN trong phát hiện tấn công đa giai đoạn

Khả năng mô hình hóa quan hệ phức tạp và tính tổng quát

Ưu điểm nổi bật nhất của GNN trong bài toán phát hiện tấn công đa giai đoạn là khả năng mô hình hóa trực tiếp cấu trúc quan hệ giữa các thực thể trong hệ thống thông tin. Trong môi trường thực tế, các thực thể như tiến trình, tệp tin, người dùng, địa chỉ IP, miền, socket hay container không tồn tại độc lập mà tương tác với nhau thông qua chuỗi sự kiện theo thời gian. Khi được biểu diễn dưới dạng đồ thị (ví dụ: provenance graph, communication graph, heterogeneous graph), các quan hệ này trở thành nền tảng để mô hình học được ngữ cảnh hành vi thay vì chỉ dựa trên đặc trưng tĩnh hoặc thống kê cục bộ. Cơ chế lan truyền thông điệp (message passing) cho phép mỗi nút tích hợp thông tin từ các nút lân cận nhiều bậc, qua đó phát hiện các mẫu hành vi phân tán nhưng có liên hệ logic - đặc trưng điển hình của các chiến dịch APT.

Khả năng tổng hợp thông tin đa bậc giúp GNN nhận diện được các chuỗi hành vi như: một tiến trình bất thường khởi tạo kết nối ra ngoài, tải về tệp thực thi, sau đó kích hoạt một tiến trình con và truy cập vào tài nguyên nhạy cảm. Nếu phân tích từng sự kiện riêng lẻ, các hành vi này có thể trông “bình thường”. Tuy nhiên, khi được đặt trong ngữ cảnh đồ thị và xét trên cấu trúc lan truyền nhiều bước, mô hình có thể học được sự phụ thuộc logic giữa các thành phần của chuỗi tấn công. Đây là điểm khác biệt quan trọng so với các mô hình học máy truyền thống vốn dựa trên vector đặc trưng độc lập.

Tuy vậy, việc mở rộng số tầng lan truyền nhằm nắm bắt cấu trúc xa (long-range dependency) cũng đặt ra thách thức kỹ thuật đáng kể. Khi số tầng tăng lên, các biểu diễn nút có xu hướng hội tụ về trạng thái tương tự nhau - hiện tượng thường được gọi là “over-smoothing”. Trong bối cảnh phát hiện bất thường, nơi ranh giới giữa hành vi bình thường và hành vi độc hại thường rất tinh vi, việc mất đi tính phân biệt này có thể làm suy giảm đáng kể hiệu năng phát hiện. Ngoài ra, khi đồ thị có mật độ cao hoặc chứa nhiều loại quan hệ, hiện tượng “over-squashing” (nén quá mức thông tin từ nhiều nhánh vào một vector biểu diễn hữu hạn) cũng có thể xảy ra, làm mất mát tín hiệu quan trọng từ các đường lan truyền xa.

Do đó, thiết kế kiến trúc GNN cho bài toán phát hiện APT cần đạt được sự cân bằng giữa khai thác cấu trúc toàn cục và duy trì tính phân biệt cục bộ. Các hướng cải tiến như cơ chế attention, lấy mẫu lân cận có kiểm soát, residual connection hoặc phân tách theo loại quan hệ (relation-specific aggregation) có thể góp phần giảm thiểu các vấn đề trên. Đồng thời, việc kết hợp thông tin thời gian (temporal encoding) với cấu trúc đồ thị cũng là yếu tố quan trọng nhằm phản ánh đúng bản chất tiến trình của tấn công đa giai đoạn.

Bên cạnh khả năng mô hình hóa quan hệ, vấn đề tính tổng quát (generalization) cũng cần được xem xét thận trọng. Phần lớn các nghiên cứu hiện nay được đánh giá trên các bộ dữ liệu công khai hoặc môi trường mô phỏng có quy mô và cấu trúc tương đối kiểm soát được. Trong khi đó, môi trường vận hành thực tế thường có quy mô lớn hơn nhiều, cấu trúc mạng dị biệt, chính sách bảo mật khác nhau và mức độ nhiễu dữ liệu cao. Sự khác biệt về phân phối dữ liệu (distribution shift) giữa môi trường huấn luyện và triển khai có thể làm suy giảm đáng kể hiệu quả của mô hình. Do đó, khả năng chuyển giao mô hình giữa các miền (cross-domain adaptation), cũng như các kỹ thuật học bán giám sát hoặc tự giám sát, là những hướng nghiên cứu quan trọng nhằm nâng cao tính tổng quát của các hệ thống phát hiện dựa trên GNN.

Tóm lại, GNN cung cấp một khung mô hình hóa mạnh mẽ cho các quan hệ phức tạp trong hệ thống thông tin, phù hợp với bản chất liên kết và đa giai đoạn của APT. Tuy nhiên, để khai thác hiệu quả tiềm năng này, cần giải quyết đồng thời các vấn đề về độ sâu mô hình, duy trì tính phân biệt, xử lý phụ thuộc xa và đảm bảo khả năng tổng quát hóa trong môi trường triển khai thực tế.

Thách thức về dữ liệu và gán nhãn

Một trong những trở ngại cốt lõi trong phát hiện tấn công APT là sự khan hiếm và thiếu tin cậy của dữ liệu gán nhãn. Trong môi trường vận hành thực tế, các sự kiện tấn công chỉ chiếm một tỷ lệ rất nhỏ so với khối lượng hoạt động bình thường của hệ thống, dẫn đến tình trạng mất cân bằng lớp (class imbalance) nghiêm trọng. Hơn nữa, không phải mọi hành vi độc hại đều được phát hiện và xác nhận đầy đủ bởi chuyên gia phân tích, khiến tập nhãn thường không hoàn chỉnh hoặc chứa nhiễu. Điều này ảnh hưởng trực tiếp đến hiệu quả của các mô hình học có giám sát, đặc biệt là khi mô hình có xu hướng thiên lệch về lớp đa số và bỏ sót các tín hiệu tấn công hiếm gặp nhưng quan trọng.

Trong bối cảnh đó, các hướng tiếp cận học không giám sát (unsupervised) và bán giám sát (semi-supervised) được xem là giải pháp tiềm năng nhằm giảm phụ thuộc vào nhãn. Các phương pháp dựa trên phát hiện bất thường (anomaly detection), học biểu diễn tự giám sát (self-supervised learning) hoặc học tương phản (contrastive learning) có thể tận dụng cấu trúc nội tại của đồ thị để nhận diện hành vi khác biệt so với mẫu chuẩn. Tuy nhiên, các phương pháp này lại đặt ra thách thức về xác định ngưỡng phát hiện phù hợp và kiểm soát tỷ lệ cảnh báo giả (false positive rate). Trong môi trường Trung tâm điều hành an ninh mạng (SOC), số lượng cảnh báo giả cao không chỉ làm quá tải đội ngũ phân tích mà còn làm suy giảm niềm tin vào hệ thống, từ đó ảnh hưởng đến hiệu quả vận hành tổng thể.

Bên cạnh vấn đề nhãn, quá trình xây dựng đồ thị từ log thô cũng đặt ra nhiều câu hỏi kỹ thuật quan trọng. Trước hết là lựa chọn mô hình thực thể: nên biểu diễn ở mức tiến trình - tệp tin - người dùng, hay mở rộng thêm các thực thể mạng như IP, domain, URL? Tiếp theo là mức độ chi tiết của cạnh: chỉ biểu diễn quan hệ tồn tại (existence), hay gắn thêm thuộc tính như thời điểm, loại hành động, số byte truyền tải? Ngoài ra, việc xác định cửa sổ thời gian (time window) để gom nhóm sự kiện thành một đồ thị cũng ảnh hưởng đáng kể đến khả năng phản ánh đúng ngữ cảnh của chuỗi tấn công. Cửa sổ quá ngắn có thể làm đứt gãy liên kết logic giữa các giai đoạn; ngược lại, cửa sổ quá dài có thể làm tăng độ nhiễu và chi phí tính toán.

Một thách thức khác là tính không đồng nhất (heterogeneity) và quy mô lớn của dữ liệu thực tế. Log hệ thống, log mạng, log ứng dụng và dữ liệu endpoint thường có định dạng và mức độ chi tiết khác nhau. Việc chuẩn hóa, liên kết và đồng bộ thời gian giữa các nguồn dữ liệu này đòi hỏi quy trình tiền xử lý phức tạp trước khi xây dựng được đồ thị nhất quán. Đồng thời, khi quy mô đồ thị tăng lên hàng triệu nút và cạnh, chi phí lưu trữ và huấn luyện mô hình GNN cũng trở thành vấn đề đáng kể.

Như vậy, thách thức về dữ liệu và gán nhãn không chỉ nằm ở khía cạnh số lượng hay chất lượng nhãn, mà còn bao gồm toàn bộ quy trình xây dựng biểu diễn đồ thị từ dữ liệu thô. Các quyết định ở giai đoạn này có ảnh hưởng trực tiếp đến cấu trúc đồ thị, khả năng học biểu diễn và hiệu quả phát hiện cuối cùng của hệ thống. Do đó, việc thiết kế pipeline dữ liệu một cách có hệ thống, kết hợp với các chiến lược học linh hoạt và cơ chế kiểm soát cảnh báo giả, là yếu tố then chốt trong triển khai thực tế các mô hình GNN cho phát hiện APT.

Khả năng mở rộng và triển khai trong môi trường thực tế

Trong môi trường doanh nghiệp lớn hoặc cơ quan nhà nước có hạ tầng công nghệ thông tin phức tạp, provenance graph có thể bao gồm hàng triệu đến hàng chục triệu nút và cạnh mỗi ngày, đặc biệt khi thu thập log ở mức chi tiết từ endpoint, máy chủ, thiết bị mạng và dịch vụ đám mây. Quy mô này làm phát sinh yêu cầu rất cao về bộ nhớ, năng lực xử lý và băng thông lưu trữ. Việc huấn luyện các mô hình GNN trên đồ thị lớn không chỉ tiêu tốn tài nguyên GPU/CPU mà còn đòi hỏi cơ chế quản lý dữ liệu hiệu quả để tránh tình trạng nghẽn cổ chai (bottleneck) trong truy xuất và tiền xử lý.

Mặc dù nhiều kỹ thuật tối ưu như lấy mẫu lân cận (neighbor sampling), huấn luyện theo lô (mini-batch training), phân mảnh đồ thị (graph partitioning) hoặc huấn luyện phân tán đã được đề xuất nhằm giảm chi phí tính toán, bài toán đảm bảo độ trễ thấp để phục vụ phát hiện gần thời gian thực (near real-time detection) vẫn còn nhiều thách thức. Trong bối cảnh SOC vận hành 24/7, hệ thống phát hiện không chỉ cần chính xác mà còn phải phản hồi kịp thời để hỗ trợ cô lập và xử lý sự cố. Nếu thời gian suy luận kéo dài hoặc phụ thuộc vào xử lý theo lô lớn, giá trị thực tiễn của mô hình sẽ bị suy giảm đáng kể.

Bên cạnh yếu tố kỹ thuật, việc tích hợp mô hình GNN vào kiến trúc vận hành hiện có cũng đòi hỏi xem xét các vấn đề như: tương thích với hệ thống SIEM/SOAR, cơ chế cập nhật mô hình định kỳ, giám sát hiệu năng sau triển khai và đảm bảo an toàn dữ liệu. Khoảng cách giữa mô hình nghiên cứu trong môi trường thử nghiệm và hệ thống thực tế với lưu lượng lớn, biến động liên tục là không nhỏ. Do đó, thu hẹp khoảng cách này thông qua các kiến trúc lai, cơ chế suy luận từng phần (incremental inference) và thiết kế pipeline tối ưu hóa cho môi trường sản xuất là hướng đi quan trọng để đưa các phương pháp dựa trên GNN từ nghiên cứu học thuật sang ứng dụng thực tiễn.

Tính giải thích và yêu cầu điều tra số

Trong thực tế vận hành, một hệ thống phát hiện xâm nhập không chỉ dừng lại ở việc đưa ra cảnh báo nhị phân (có/không có tấn công), mà còn phải cung cấp ngữ cảnh và bằng chứng phục vụ điều tra số. Đối với các chiến dịch APT, quá trình xử lý sự cố thường yêu cầu truy vết chuỗi hành vi, xác định điểm xâm nhập ban đầu, các bước di chuyển ngang và phạm vi ảnh hưởng. Do đó, hệ thống phát hiện cần hỗ trợ chuyên gia an ninh trả lời các câu hỏi như: sự kiện nào là điểm bất thường chính, thực thể nào đóng vai trò trung tâm trong chuỗi tấn công, và mối liên hệ logic giữa các hành vi là gì.

Tuy nhiên, các mô hình GNN, dù cho thấy hiệu quả cao về mặt học biểu diễn và dự đoán, vẫn bị xem là “hộp đen” ở mức độ nhất định. Biểu diễn nút sau nhiều tầng lan truyền là kết quả của quá trình tổng hợp phi tuyến tính phức tạp, khiến việc truy ngược lại nguyên nhân cụ thể của một quyết định trở nên khó khăn. Trong bối cảnh an toàn thông tin, nơi mỗi cảnh báo có thể dẫn đến hành động cách ly hệ thống hoặc điều tra sâu, việc thiếu khả năng giải thích rõ ràng có thể làm giảm mức độ tin cậy của mô hình.

Vì vậy, phát triển các cơ chế giải thích cho GNN (explainable GNN) là yêu cầu cấp thiết. Các hướng tiếp cận có thể bao gồm việc xác định các nút và cạnh quan trọng nhất đối với dự đoán (node/edge importance), trích xuất đồ thị con có ảnh hưởng lớn (critical subgraph), hoặc lượng hóa mức đóng góp của từng loại quan hệ trong đồ thị dị thể. Trong ngữ cảnh APT, một cơ chế giải thích hiệu quả nên có khả năng làm nổi bật chuỗi sự kiện nghi vấn thay vì chỉ cung cấp điểm số bất thường cho từng nút riêng lẻ.

Ngoài ra, tính giải thích còn liên quan đến khả năng tích hợp với quy trình điều tra hiện có. Kết quả của mô hình cần được trình bày dưới dạng trực quan, dễ hiểu và phù hợp với workflow của chuyên gia SOC, ví dụ như hiển thị đường lan truyền khả nghi trên đồ thị hoặc gắn nhãn mức độ rủi ro cho từng thực thể. Khi mô hình có thể cung cấp bằng chứng định lượng và cấu trúc rõ ràng, nó không chỉ nâng cao độ tin cậy mà còn hỗ trợ quá trình ra quyết định, giảm thời gian phân tích và tăng hiệu quả ứng phó sự cố.

Tóm lại, tính giải thích không chỉ là yêu cầu bổ sung mang tính học thuật, mà là điều kiện thiết yếu để các mô hình GNN có thể được chấp nhận và triển khai rộng rãi trong môi trường điều tra số và vận hành an toàn thông tin thực tế.

Vấn đề tích hợp và tiêu chuẩn hóa

Một khía cạnh tuy ít được nhấn mạnh trong các công trình học thuật nhưng có ý nghĩa quyết định trong triển khai thực tế là khả năng tích hợp mô hình GNN vào hệ sinh thái an toàn thông tin hiện có, bao gồm các hệ thống SIEM, SOAR hoặc nền tảng giám sát tập trung. Trong môi trường vận hành, mô hình phát hiện không tồn tại độc lập mà phải tương tác với các thành phần như hệ thống thu thập log, cơ chế tương quan sự kiện, công cụ quản lý sự cố và hệ thống phản ứng tự động. Do đó, việc chuẩn hóa định dạng dữ liệu đầu vào, cơ chế xuất cảnh báo, giao thức trao đổi thông tin và API tích hợp là điều kiện tiên quyết để chuyển đổi từ mô hình nghiên cứu sang giải pháp có thể triển khai trong sản xuất.

Bên cạnh đó, quá trình xây dựng đồ thị từ nhiều nguồn log dị thể đòi hỏi một khung chuẩn hóa dữ liệu đủ linh hoạt để bảo đảm tính nhất quán nhưng vẫn duy trì được mức độ chi tiết cần thiết cho phân tích quan hệ. Nếu không có chuẩn chung về mô hình dữ liệu (data schema) và quy ước biểu diễn thực thể - quan hệ, việc mở rộng hoặc bảo trì hệ thống sẽ gặp nhiều khó khăn. Điều này đặc biệt quan trọng khi tổ chức có nhiều miền mạng, nhiều đơn vị thành viên hoặc triển khai hạ tầng lai giữa on-premise và cloud.

Ngoài yếu tố kỹ thuật, yêu cầu tuân thủ pháp lý và bảo vệ dữ liệu cá nhân cũng đặt ra các ràng buộc đáng kể khi thu thập, lưu trữ và xử lý log ở quy mô lớn. Một số loại log có thể chứa thông tin nhận dạng cá nhân hoặc dữ liệu nhạy cảm, đòi hỏi cơ chế ẩn danh hóa (anonymization), kiểm soát truy cập và lưu trữ an toàn. Việc thiết kế hệ thống phát hiện dựa trên GNN vì vậy cần gắn với các nguyên tắc quản trị dữ liệu, đảm bảo tuân thủ quy định pháp luật và chính sách nội bộ của tổ chức. Chỉ khi giải quyết đồng thời bài toán tích hợp kỹ thuật và tuân thủ tiêu chuẩn, các phương pháp dựa trên GNN mới có thể trở thành thành phần bền vững trong kiến trúc an toàn thông tin tổng thể.

KẾT LUẬN

Bài báo đã hệ thống hóa và phân tích các hướng nghiên cứu ứng dụng GNN trong phát hiện tấn công đa giai đoạn, từ nền tảng lý thuyết về biểu diễn đồ thị đến các mô hình học sâu trên đồ thị đồng nhất, dị thể và động. Thông qua việc tổng hợp các công trình tiêu biểu và phân loại theo mức độ biểu diễn, đặc trưng dữ liệu và phương thức học, bài báo đã làm rõ bức tranh nghiên cứu hiện nay trong lĩnh vực phát hiện APT dựa trên phân tích cấu trúc quan hệ. Các kết quả nghiên cứu trong những năm gần đây cho thấy GNN là một khuôn khổ đầy tiềm năng nhờ khả năng khai thác thông tin phụ thuộc giữa các thực thể và tích hợp ngữ cảnh toàn cục của hệ thống. So với các phương pháp dựa trên đặc trưng tĩnh hoặc xử lý sự kiện rời rạc, tiếp cận dựa trên đồ thị cho phép mô hình hóa bản chất chuỗi, tính lan truyền và sự phụ thuộc đa bước của các cuộc tấn công APT.

Tuy nhiên, việc chuyển đổi từ tiềm năng lý thuyết sang ứng dụng thực tiễn vẫn đặt ra nhiều thách thức. Các vấn đề về xây dựng và chuẩn hóa đồ thị từ dữ liệu log thô, xử lý đồ thị quy mô lớn, mất cân bằng dữ liệu, khả năng phát hiện gần thời gian thực và đặc biệt là tính giải thích của mô hình vẫn chưa được giải quyết triệt để. Bên cạnh đó, yêu cầu tích hợp với hệ thống vận hành thực tế như SOC và SIEM đòi hỏi các giải pháp không chỉ chính xác mà còn ổn định, hiệu quả và minh bạch. Trong bối cảnh hạ tầng số ngày càng phức tạp và các chiến dịch APT có xu hướng gia tăng cả về quy mô lẫn mức độ tinh vi, việc kết hợp phân tích đồ thị với học sâu nhiều khả năng sẽ tiếp tục là một hướng nghiên cứu trọng tâm của cộng đồng an toàn thông tin. Sự phát triển của các mô hình GNN dị thể - động, các phương pháp học không giám sát và các cơ chế giải thích mô hình được kỳ vọng sẽ góp phần thu hẹp khoảng cách giữa nghiên cứu học thuật và triển khai thực tế, từ đó nâng cao năng lực phát hiện và ứng phó với các mối đe dọa có chủ đích trong môi trường số hiện đại.