Định nghĩa
Tấn công chủ động (Active Attack) là kiểu tấn công nơi kẻ tấn công cố ý thay đổi, chèn, xóa, hoặc làm gián đoạn dữ liệu/hệ thống mục tiêu. Khác với tấn công bị động (passive) chỉ nghe lén, thu thập thông tin.
So sánh Active vs Passive Attack
| Tiêu chí | Active Attack | Passive Attack |
|---|---|---|
| Mục tiêu | Thay đổi dữ liệu, gián đoạn dịch vụ, leo thang quyền | Thu thập thông tin, nghe lén, phân tích traffic |
| Tác động | Ảnh hưởng Integrity (Toàn vẹn) & Availability (Khả dụng) | Ảnh hưởng Confidentiality (Bảo mật) |
| Phát hiện | Dễ phát hiện (log, alarm, hiệu ứng phụ) | Khó phát hiện (không để dấu vết rõ rệt) |
| Ví dụ | DoS/DDoS, MITM, Session Hijacking, SQLi, Ransomware | Sniffing (Wireshark), Traffic analysis, Keylogger (nếu không ghi log) |
4 loại tấn công chủ động chính (theo mô hình OSI/TCPIP)
- Masquerade (Giả mạo): Kẻ tấn công giả danh thực thể hợp pháp (IP spoofing, ARP spoofing, session token theft).
- Modification of Messages (Sửa đổi thông điệp): Thay đổi, chèn, xóa gói tin (VD: thay đổi số tiền giao dịch ngân hàng).
- Repudiation (Chối cối): Từ chối trách nhiệm hành động đã thực hiện (cần non-repudiation: chữ ký số, audit log).
- Replay (Phát lại): Bắt gói tin hợp pháp → gửi lại sau để lừa hệ thống (VD: replay authentication token).
- Denial of Service (DoS/DDoS): Làm quá tải tài nguyên khiến dịch vụ không khả dụng.
Ví dụ điển hình
- Man-in-the-Middle (MitM): Chèn mình vào giữa 2 bên通信, đọc/sửa dữ liệu (ARP spoofing, DNS spoofing, TLS stripping).
- Session Hijacking: Đánh cắp session cookie/token → chiếm quyền tài khoản nạn nhân.
- SQL Injection / Command Injection: Chèn mã độc vào input → thực thi lệnh trên DB/OS.
- Ransomware: Mã hóa dữ liệu → yêu cầu tiền chuộc (tấn công availability + integrity).
- DNS Cache Poisoning: Chèn bản ghi DNS giả → chuyển hướng nạn nhân đến server độc hại.
Cách thức hoạt động
- Thu thập thông tin (passive reconnaissance).
- Xác định lỗ hổng / vector tấn công.
- Thực hiện hành động thay đổi/gián đoạn (payload delivery).
- Duy trì truy cập (persistence) hoặc che giấu dấu vết (anti-forensics).
Phòng chống
- Mã hóa end-to-end (TLS 1.3, IPsec, SSH) → chống sniffing, MitM, replay.
- Xác thực mạnh (MFA, chứng chỉ số, FIDO2) → chống masquerade, session hijack.
- Kiểm tra toàn vẹn (HMAC, digital signature, checksum) → chống modification.
- Rate limiting, WAF, DDoS protection (Cloudflare, AWS Shield) → chống DoS.
- Logging, SIEM, UEBA, File Integrity Monitoring (FIM) → phát hiện replay, repudiation.
- Patch management kịp thời → giảm bề mặt tấn công (SQLi, RCE).