Active Defense là gì?
Active Defense (Phòng thủ chủ động) là tập hợp các kỹ thuật, chiến thuật và quy trình mà tổ chức triển khai chủ động để phát hiện, triễn mịch, làm chậm, đánh lừa, thuộc tính (attribution) và phản chế đối thủ xâm nhập – thay vì chỉ bị động chờ firewall/IDS báo động rồi mới xử lý.
Khác với Passive Defense (Phòng thủ bị động): Passive = Tường lửa, AV, Patch, Hardening, Monitoring (Chờ bị đánh → Phản ứng). Active = Deception, Threat Hunting, Adversary Engagement, Counter-intelligence, Disruption (trong khung pháp lý).
Các trụ cột chính của Active Defense
| Trụ cột | Kỹ thuật đại diện | Mục tiêu |
|---|
| Deception Technology (Công nghệ lừa đảo) | Honeypot, Honeynet, Honeytoken, Canary tokens, Deception platform (Attivo, Acalvio, Illusive, TrapX). Triển khai fake asset: server, DB, share, credential, API endpoint. | Phát hiện sớm (early detection), tiêu tốn thời gian/tài nguyên attacker, thu thập TTPs, IOC, attribution. |
| Threat Hunting (Săn lùng mối đe dọa) | Hypothesis-driven hunting (MITRE ATT&CK based), Behavioral analytics, UEBA, PCAP analysis, Memory forensics, Log hunting (Sigma rules). | Tìm threat đã bypass preventive controls, giảm dwell time (trung bình 200+ ngày). |
| Adversary Engagement / Denial & Deception (MITRE SHIELD) | MITRE SHIELD framework: Engage, Degrade, Disrupt, Discover, Expose. Tương tác có kiểm soát với attacker. | Làm chậm, tăng chi phí attacker, buộc lộ TTPs, thu thập intelligence. |
| Automated Response / SOAR | Playbook tự động: Isolate host, Block IP/Hash, Disable account, Rollback snapshot, Quarantine email. | Giảm MTTR (Mean Time To Respond) từ giờ/ngày xuống phút/giây. |
| Threat Intelligence Integration | TIP (MISP, OpenCTI, Anomali), Commercial feeds, OSINT, Dark web monitoring. Enrich alert, proactive blocking. | Biến threat data thành actionable defense. Proactive block IOC trước khi hit. |
MITRE SHIELD – Framework chuẩn cho Active Defense
- Bổ sung cho MITRE ATT&CK (Attacker perspective).
- 11 Tactical Categories: Channel, Collect, Contain, Deceive, Detect, Disrupt, Expose, Harden, Isolate, Recover, Redirect.
- Mỗi category có Techniques & Use cases cụ thể. Ví dụ:
SHIELD-001 Decoy Network, SHIELD-005 Honey Credential, SHIELD-010 Network Traffic Analysis.
- Dùng để xây dựng Active Defense Playbooks cho từng nhóm đối thủ (APT28, FIN7, Ransomware gang...).
Ví dụ thực tế (Use Cases)
- Honeytoken trên GitHub/Confluence: Đặt fake AWS key, DB connection string, API token. Khi attacker dùng → Alert ngay lập tức (Canarytoken / GitGuardian / TruffleHog).
- Decoy Server (Honeypot) trong DMZ: Fake SSH, RDP, SMB, HTTP server. Log mọi interaction. Attacker scan → Alert → Block IP + Threat Intel enrichment.
- Active Directory Deception: Fake user/computer accounts (Honeyuser/Honeycomputer) với SPN, delegation. Kerberoasting/AS-REP roasting attacker sẽ bị bắt.
- Network Tarpit / Blackhole: Kéo dài kết nối attacker (LaBrea, TCPtarpit) – tiêu tốn resource botnet/scanner.
- Sinkholing C2 Domain: Đăng ký/takeover domain C2 của malware → Redirect traffic đến sinkhole → Theo dõi victim, disrupt C2.
Ranh giới Pháp lý & Đạo đức (Legal & Ethical Boundaries) – QUAN TRỌNG
- Hack Back (Tấn công ngược) – KHÔNG HỢP PHÁP tại hầu hết quốc gia (Việt Nam, Mỹ, EU, UK...). Vi phạm Computer Fraud and Abuse Act (CFAA), Luật An ninh mạng VN, Budapest Convention.
- Active Defense HỢP PHÁP = Chỉ thực hiện trên hạ tầng KHỎI SỞ HỮU / QUẢN TRỊ của tổ chức. (Deception, Hunting, Isolation, Sinkholing domain mình sở hữu, Blocking, Patching).
- Luật Mỹ: Active Cyber Defense Certainty Act (ACDC) – Đã đề xuất nhiều lần nhưng CHƯA THÔNG QUA. Không được hack back.
- Việt Nam: Luật An ninh mạng 2018, Luật An toàn thông tin, Nghị định 13/2023/NĐ-CP – Chỉ cơ quan chức năng mới được thực hiện một số biện pháp can thiệp đặc thù.
Triển khai Active Defense cho tổ chức (Roadmap)
- Mature Passive Defense trước: Asset inventory, Patch, Hardening, EDR, NDR, SIEM, IR Plan, Backup test. Nếu passive yếu → Active chỉ thêm chaos.
- Threat Modeling & Crown Jewels: Xác định tài sản quan trọng nhất, attack path có thể.
- Pilot Deception: Triển khai Canarytoken (miễn phí) → Honeytoken → Honeypot nội bộ (Cowrie SSH, Dionaea, Honeyd).
- Threat Hunting Program: Dedicated time (20% analyst time), Hypothesis library (MITRE ATT&CK), Tooling (KQL, Splunk SPL, Sigma, Velociraptor, Osquery).
- SOAR Playbooks: Tự động hóa containment (Isolate host, Block IP, Disable user, Quarantine file).
- Metrics & Improvement: Dwell time, MTTD, MTTR, # threats detected by deception/hunting, Attacker cost increase.
Kết luận
Active Defense không phải "hack back". Là chiến lược chủ động trong ranh giới pháp lý: Lừa đảo (Deception), Săn lùng (Hunting), Làm chậm (Tarpit), Thu thập tình báo (Intel), Tự động phản ứng (SOAR). Yêu cầu độ trưởng thành bảo mật nhất định. Bắt đầu từ Canarytoken miễn phí và Threat Hunting 2h/tuần.
