Agentic SOC đa tenant có kiểm soát: Kiến trúc an toàn cho điều tra và phản ứng sự cố tự động

Bài toán

Các trung tâm điều hành an ninh phải xử lý số lượng cảnh báo lớn, trong khi quá trình điều tra thủ công tốn nhiều thời gian. Chuyên viên phải tra cứu log, tìm cảnh báo liên quan, đối chiếu bằng chứng và lập báo cáo cho từng vụ việc.

Agent AI có thể tự động hóa các bước này nhưng tạo ra những rủi ro mới:

• dữ liệu cảnh báo và log có thể chứa chỉ dẫn độc hại do kẻ tấn công chèn vào;
• agent có thể yêu cầu công cụ ngoài phạm vi hoặc làm sai quy trình;
• kết quả mô hình có thể thiếu bằng chứng hoặc chứa dữ liệu nhạy cảm;
• hành động như chặn IP, khóa tài khoản hoặc cách ly máy có thể gây ảnh hưởng hệ thống thật;
• dữ liệu và chính sách của các tenant phải được tách biệt;
• khó chứng minh hệ thống an toàn nếu chỉ đánh giá câu trả lời cuối cùng của mô hình.

Bài toán đặt ra là xây dựng một Agentic SOC có khả năng tự điều tra nhưng vẫn bị kiểm soát bởi workflow, policy và các ranh giới kỹ thuật bắt buộc.

Giải pháp kỹ thuật

Hệ thống sử dụng kiến trúc kiểm soát G1–G6:

• G1 bảo toàn bằng chứng gốc, tạo tham chiếu và mã băm.
• G2 chuyển dữ liệu thành cấu trúc có kiểu, gắn mức tin cậy cho từng trường.
• G3 kiểm tra quyền gọi công cụ, tenant, phạm vi dữ liệu và tham số truy vấn.
• G4 kiểm tra dữ liệu trước khi đưa vào ngữ cảnh agent. Alert, ToolResult và ModelResponse đều phải đi qua G4.
• G5 kiểm soát workflow và là nơi duy nhất được thay đổi state.
• G6 kiểm tra bằng chứng, dữ liệu nhạy cảm và quyền công bố trước khi tạo StructuredFinding hoặc báo cáo.

Orchestrator sử dụng phương án lai:

mô hình điều phối đề xuất vai hoặc đề xuất dừng
→ G5 kiểm workflow, state, bằng chứng và policy
→ G5 cho phép hoặc từ chối
→ G5 ghi state
→ sau khi ghi thành công mới giao việc

Mô hình không được tự đổi state, tự gọi agent khác hoặc tự quyết định hành động. Nhiều đường điều tra hợp lệ có thể tồn tại, nhưng mọi đường đều phải nằm trong workflow có kiểu.

Quyền của agent được giới hạn bằng ToolCatalog và policy theo tenant. Investigation Agent không có Docker socket, thông tin đăng nhập trực tiếp hoặc đường mạng trực tiếp tới nguồn dữ liệu.

Bộ đánh giá nằm ngoài G1–G6 và sử dụng bốn biến thể:

• A: hoạt động bình thường;
• B: tấn công không có payload thao túng;
• C: cùng tấn công như B nhưng có payload thao túng;