Active Defense (การป้องกันเชิงรุก) คืออะไร?
Active Defense เป็นกลยุทธ์ความปลอดภัยที่ใช้การกระทำเชิงรุก (Offensive Actions) หรือ Countermeasures เพื่อ:
- ทำให้การโจมตีล้มเหลวหรือยุ่งยากขึ้น (Increase Attacker Cost)
- ล่าช้า/รบกวน Attacker (Delay, Disrupt, Degrade)
- รวบรวมข้อมูลข่าวกรอง (Threat Intelligence) เกี่ยวกับ Attacker
- ระบุตัวตน Attacker (Attribution)
- ไม่ได้หมายถึง "Hack Back" (โจมตีกลับ) ซึ่งผิดกฎหมายในหลายประเทศ
Active Defense vs Passive Defense
| ด้านเปรียบเทียบ | Passive Defense (ป้องกันเชิงรับ) | Active Defense (ป้องกันเชิงรุก) |
|---|---|---|
| แนวคิด | สร้างกำแพง กันไม่ให้เข้า | รบกวน ล่าช้า เรียนรู้ โจมตีกลับ (ในกรอบกฎหมาย) |
| ตัวอย่าง | Firewall, AV, Patch, Encryption, Hardening | Honeypots, Deception, Threat Hunting, Sinkholing, Tarpitting |
| เป้าหมาย | Prevent (ป้องกัน) | Detect, Delay, Disrupt, Deceive, Attribute |
| Legal Risk | ต่ำ | สูง (ต้องอยู่ในกรอบกฎหมาย) |
| Skill Required | Basic-Intermediate | Advanced (Threat Intel, Adversary Emulation) |
เทคนิค Active Defense หลัก
1. Deception Technology (เทคโนโลยีการหลอกลวง)
- Honeypots: ระบบปลอม (Decoy) ดึงดูด Attacker (Low/High Interaction)
- Honeynets: เครือข่ายปลอมทั้งระบบ
- Honeytokens/Honeyfiles: ไฟล์/ข้อมูลปลอม (Fake Credentials, API Keys, Docs) วางไว้ในระบบจริง — ถ้าถูกเข้าถึง = Alert ทันที
- Deception Platforms: Attivo, Illusive, TrapX, Acalvio, Fidelis — Deploy แบบ Scalable
2. Threat Hunting (การล่าภัยคุกคาม)
- Proactive Search: ไม่รอ Alert ไปหา Threat เองด้วย Hypothesis-driven Approach
- ใช้ MITRE ATT&CK Framework Map Techniques
- Tools: SIEM (Splunk, Elastic), EDR (CrowdStrike, SentinelOne, Defender), NDR (Corelight, Zeek)
3. Sinkholing & Tarpitting
- Sinkholing:
- Tarpitting: ทำให้ Connection ช้าลงอย่างตั้งใจ (TCP Window Size, Delay Responses) ให้ Attacker ใช้เวลา/ทรัพยากรมากขึ้น
4. Automated Response (SOAR/Playbooks)
- Auto-block IP/Domain/Hash ใน Firewall/Proxy/EDR
- Auto-isolate Endpoint (Network Quarantine)
- Auto-rotate Credentials, Revoke Sessions
- Tools: Palo Alto Cortex XSOAR, Splunk SOAR, FortiSOAR, Microsoft Sentinel
5. Adversary Emulation / Red Teaming
- Simulate Real Adversary (APT29, FIN7, Lazarus) ตาม MITRE ATT&CK
- Test Detection/Response Capabilities
- Tools: Caldera, Atomic Red Team, Red Canary Atomic Test Harness
Active Cyber Defence (ACD) - โปรแกรมระดับชาติ (UK NCSC)
โปรแกรมของ UK National Cyber Security Centre (NCSC):
"เป้าหมาย: ป้องกันประชากรส่วนใหญ่ใน UK จาก 90% ของความเสียหาย ที่เกิดจาก 90% ของการโจมตีไซเบอร์ 90% ของเวลา"
- Takedown Services: ลงทะเบียน Phishing/Malware Sites ให้ลบได้เร็ว
- DMARC/SPF/DKIM Enforcement: ป้องกัน Email Spoofing
- Public Sector DNS (PDNS): บล็อก Malicious Domains ระดับ DNS
- Vulnerability Disclosure: Coordinated Vulnerability Disclosure
- Exercise in a Box: Tabletop Exercise Tool ฟรี
กรอบกฎหมายและจริยธรรม (Legal & Ethical Boundaries)
| กิจกรรม | Legal Status (ทั่วไป) | หมายเหตุ |
|---|---|---|
| Honeypots/Deception (Internal) | ✅ Legal | ในเครือข่ายตัวเอง OK |
| Threat Hunting (Internal) | ✅ Legal | ในสิทธิ์ขององค์กร |
| Sinkholing (Own Infrastructure) | ✅ Legal | ต้องเป็นเจ้าของ Domain/IP |
| Hack Back / Counter-hacking | ❌ Illegal (CFAA US, CMA UK, คอมพิวเตอร์ไทย) | ผิดกฎหมายเกือบทุกประเทศ |
| Active Botnet Takedown | ⚠️ Gray Area | ต้องมี Court Order/Law Enforcement |
| Attribution (Public Naming) | ⚠️ Sensitive | ต้องมี Evidence แน่นอน, มักทำโดย Gov/Intel |
Mitre SHIELD & ATT&CK
- MITRE ATT&CK: Framework ของ Attacker (Tactics, Techniques, Procedures - TTPs)
- MITRE SHIELD: Framework ของ Defender (Active Defense Techniques) — Map ตรงข้าม ATT&CK
- ใช้ร่วมกัน: ATT&CK สำหรับ Threat Modeling, SHIELD สำหรับ Defense Planning
เมื่อไหร่ควรใช้ Active Defense?
- องค์กรมี Security Maturity สูง (มี SOC, SIEM, EDR, Threat Intel Team)
- มี Legal/Compliance Review ก่อน Deploy
- มี Rules of Engagement (RoE) ชัดเจน
- มีทีมที่ฝึกอบรม (Certifications: GNFA, GCTI, OSCP, CRTO, eCPPT)
สรุป
Active Defense = Deception + Threat Hunting + Automated Response + Adversary Emulation ไม่ใช่ Hack Back เป้าหมาย: เพิ่ม Cost ให้ Attacker, ลด Dwell Time, รวบรวม Intelligence ป้องกันการโจมตีครั้งหน้า ต้องอยู่ในกรอบกฎหมายและจริยธรรม ต้องมีความพร้อมขององค์กร (People, Process, Technology)
