Định nghĩa cốt lõi
| Đặc điểm | Tấn công Bị động (Passive Attack) | Tấn công Chủ động (Active Attack) |
|---|---|---|
| Mục tiêu | Thu thập thông tin, nghe lén, phân tích traffic | Thay đổi, phá hoại, chèn, chặn, giả mạo dữ liệu/hệ thống |
| Tác động đến hệ thống | Không làm thay đổi dữ liệu, không làm gián đoạn dịch vụ | Làm thay đổi dữ liệu, gián đoạn dịch vụ, từ chối dịch vụ |
| Khả năng phát hiện | Rất khó (không để lại dấu vết trực tiếp) | Dễ phát hiện hơn (log, alert, hiệu ứng phụ) |
| Đe dọa CIA | Chủ yếu: Confidentiality (Bảo mật) | Integrity (Toàn vẹn), Availability (Sẵn sàng), Authenticity |
| Ví dụ điển hình | Sniffing (Wireshark), Traffic analysis, Footprinting, Reconnaissance, Keylogger (nếu chỉ ghi), Shoulder surfing, Dumpster diving, Wardriving | MitM (Man-in-the-Middle), Masquerade/Impersonation, Replay, Modification of messages, DoS/DDoS, SQLi, XSS, Ransomware, Malware injection, Session hijacking |
Phân loại tấn công bị động (Passive Attacks)
- Giám sát lưu lượng (Traffic Analysis / Sniffing): Wireshark, tcpdump, Zeek – phân tích metadata (ai nói với ai, khi nào, bao nhiêu) ngay cả khi mã hóa.
- Phân tích luồng (Flow Analysis): NetFlow/sFlow – hình dung bản đồ mạng, phát hiện C2 beaconing.
- Thu thập thông tin (Reconnaissance / Footprinting): Nmap, Shodan, Censys, DNS enumeration, SSL cert transparency, LinkedIn/OSINT.
- Nghe lén vật lý / Side-channel: Keylogger phần cứng, acoustic cryptanalysis, power analysis, EM emanation (TEMPEST).
Phân loại tấn công chủ động (Active Attacks)
- Giả mạo (Masquerade / Impersonation): Dùng credential đánh cắp, session token, certificate giả → truy cập trái phép.
- Sửa đổi thông điệp (Modification): Thay đổi nội dung gói tin (ví dụ: đổi số tiền chuyển khoản, sửa SQL query).
- Phát lại (Replay): Ghi lại gói tin hợp lệ (auth token, API call) → gửi lại sau.
- Phản bác (Repudiation): Kẻ tấn công làm mất bằng chứng (xóa log, timestomp) → nạn nhân không chứng minh được.
- Từ chối dịch vụ (DoS/DDoS): Làm ngập tài nguyên (bandwidth, CPU, connection table, application logic).
- Man-in-the-Middle (MitM): ARP spoofing, DNS spoofing, BGP hijack, Rogue AP, SSL stripping.
- Chèn mã độc / Exploit: Buffer overflow, RCE, SQLi, XSS, Supply chain compromise.
Phòng chống tấn công bị động (Passive Defense)
- Mã hóa end-to-end: TLS 1.3 (mặc định), IPsec, WireGuard, SSH, Signal Protocol – ngăn sniffing nội dung.
- Mã hóa metadata (Traffic Analysis Resistance): Tor, VPN, VXLAN/GENEVE với encryption, padding gói tin, fixed-rate transmission.
- Giảm bề mặt tấn công Recon: Chặn zone transfer DNS, hạn chế banner/greeting service, cloud metadata service (IMDSv2), robots.txt, security.txt.
- Kiểm soát vật lý & Side-channel: TEMPEST shielding, noise generation, constant-time crypto implementation.
Phòng chống tấn công chủ động (Active Defense)
- Xác thực mạnh & Phân quyền: MFA (FIDO2/WebAuthn, PIV), Zero Trust (không tin tưởng mạng), PAM, Just-in-Time Access.
- Mã hóa & Chữ ký số: TLS mutual auth (mTLS), code signing, SBOM, SLSA supply chain integrity.
- IPS/IDS/WAF/NDR: Chặn exploit known (signature), phát hiện anomaly (behavioral), virtual patching.
- Hardening & Least Privilege: CIS Benchmarks, STIG, AppArmor/SELinux, container runtime security (gVisor, Kata).
- DDoS Protection: Anycast scrubbing (Cloudflare, Akamai, AWS Shield), rate limiting, SYN cookie.
- Secure Development (DevSecOps): SAST/DAST/SCA/IAST, secrets scanning, policy-as-code (OPA/Gatekeeper).
- Deception Technology: Honeypot, Canary tokens, Breadcrumbs – phát hiện sớm active attack.
Tóm tắt: Điểm khác biệt then chốt
Passive = "Nghe lén" (Confidentiality risk) → Chống bằng Encryption.
Active = "Làm gián đoạn/Thay đổi" (Integrity/Availability risk) → Chống bằng Authentication, Integrity checks, Access Control, Resilience.
Chiến lược an ninh toàn diện phải giải quyết cả hai: Encrypt in transit & at rest + Verify every request (Zero Trust) + Detect & Respond fast (SOAR, Threat Hunting).