ภัยคุกคามที่มองไม่เห็น: เจาะลึกการปราบปราม Phishing-as-a-Service และกลยุทธ์การป้องกันเชิงรุก

ภูมิทัศน์ของภัยคุกคามดิจิทัลมีการเปลี่ยนแปลงอยู่ตลอดเวลา แต่ช่องทางการโจมตีบางอย่างยังคงมีประสิทธิภาพอย่างต่อเนื่อง โดยเฉพาะอย่างยิ่งการฟิชชิ่งได้เห็นการพัฒนาที่แพร่หลายผ่านชุดเครื่องมือ Phishing-as-a-Service (PaaS) ชุดเครื่องมือเหล่านี้ลดอุปสรรคในการเข้าสู่โลกอาชญากรรมไซเบอร์ ทำให้ผู้ที่ไม่มีความเชี่ยวชาญก็สามารถดำเนินการแคมเปญที่น่าเชื่อถือและสร้างความเสียหายได้อย่างมาก การดำเนินการบังคับใช้กฎหมายและรายงานอุตสาหกรรมล่าสุดเน้นย้ำถึงลักษณะที่แพร่หลายของบริการเหล่านี้และความจำเป็นเร่งด่วนสำหรับกลไกการป้องกันเชิงรุกที่แข็งแกร่ง

เกิดอะไรขึ้น

เหตุการณ์ล่าสุดได้นำความซับซ้อนของปฏิบัติการ Phishing-as-a-Service (PaaS) มาสู่ความสนใจอย่างมาก ตัวอย่างที่โดดเด่นอย่างหนึ่งเกี่ยวข้องกับชุดเครื่องมือ PaaS ซึ่งมีรายงานว่าถูกขัดขวาง บริการเฉพาะนี้เกี่ยวข้องกับการประนีประนอมกล่องจดหมายจำนวนมาก ชุดเครื่องมือนี้ใช้เทคนิคที่เรียกว่าการฟิชชิ่งรหัสอุปกรณ์ (device code phishing) ซึ่งเป็นวิธีการที่บิดเบือนขั้นตอน OAuth มาตรฐานเพื่อเข้าถึงโดยไม่ได้รับอนุญาตโดยไม่ขโมยรหัสผ่านโดยตรง

ปฏิบัติการ PaaS ที่สำคัญอีกแห่งหนึ่งถูกระบุว่ามีการใช้แพลตฟอร์มโซเชียลมีเดียอย่างกว้างขวางเพื่อเผยแพร่ลิงก์ฟิชชิ่ง ชุดเครื่องมือนี้ใช้ข้อเสนอที่น่าดึงดูดเพื่อล่อเหยื่อ ปฏิบัติการนี้แสดงให้เห็นถึงการเข้าถึงที่กว้างขวาง ซึ่งส่งผลกระทบต่อผู้ใช้ในภูมิภาคต่างๆ และกำหนดเป้าหมายไปยังแบรนด์ใหญ่ๆ ในภาคส่วนต่างๆ เช่น การค้าปลีก การธนาคาร และโทรคมนาคม ขนาดและการเข้าถึงของปฏิบัติการเหล่านี้เน้นย้ำถึงความท้าทายที่ยังคงมีอยู่จากชุดเครื่องมือ PaaS

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

ความสำเร็จที่ยั่งยืนของชุดเครื่องมือ PaaS มีรากฐานมาจากหลายปัจจัยที่เป็นประโยชน์ต่อผู้โจมตีในขณะที่ท้าทายผู้ป้องกัน ประการแรก บริการเหล่านี้ช่วยลดอุปสรรคทางเทคนิคสำหรับอาชญากรไซเบอร์ได้อย่างมาก ชุดเครื่องมือสำเร็จรูป ซึ่งมักจะหาซื้อหรือสมัครสมาชิกได้ มีโครงสร้างพื้นฐานการฟิชชิ่งที่ซับซ้อน เทมเพลต และแม้แต่เครื่องมือจัดการเหยื่อ ซึ่งต้องการความเชี่ยวชาญทางเทคนิคจากผู้ดำเนินการเพียงเล็กน้อย

ประการที่สอง ความสามารถในการปรับตัวของชุดเครื่องมือ PaaS ช่วยให้พวกเขาสามารถรวมเทคนิคการหลบเลี่ยงใหม่ๆ ได้อย่างรวดเร็ว และกำหนดเป้าหมายไปยังแพลตฟอร์มและบริการที่หลากหลาย ความคล่องตัวนี้ช่วยให้พวกเขาสามารถหลีกเลี่ยงการควบคุมความปลอดภัยแบบดั้งเดิมและใช้ประโยชน์จากกลไกการตรวจสอบสิทธิ์ที่พัฒนาขึ้น เช่น ขั้นตอนรหัสอุปกรณ์ที่ใช้ในบางแคมเปญ การเกิดขึ้นอย่างต่อเนื่องของรูปแบบใหม่และช่องทางการโจมตีใหม่ๆ ทำให้องค์กรต่างๆ รักษาการป้องกันแบบคงที่ได้ยาก

สุดท้าย ลักษณะทั่วโลกของบริการเหล่านี้ ซึ่งมักจะโฮสต์อยู่ทั่วเขตอำนาจศาลต่างๆ ทำให้ความพยายามในการบังคับใช้กฎหมายซับซ้อนขึ้น แม้ว่าการปราบปรามปฏิบัติการเฉพาะจะมีความสำคัญ แต่ลักษณะการกระจายอำนาจและความยืดหยุ่นของระบบนิเวศอาชญากรรมไซเบอร์หมายความว่าบริการหรือรูปแบบใหม่ๆ มักจะเกิดขึ้นเพื่อเติมเต็มช่องว่าง ความง่ายในการตั้งค่าโครงสร้างพื้นฐานใหม่และการสรรหาผู้ดำเนินการใหม่ๆ มีส่วนทำให้เกิดรูปแบบที่เกิดขึ้นซ้ำๆ นี้

แผนการเล่นของแฮกเกอร์ทีละขั้นตอน

ระเบียบวิธีปฏิบัติการของชุดเครื่องมือ PaaS เป็นไปตามแผนการเล่นที่แตกต่างกันหลายขั้นตอน:

ขั้นตอนที่ 1: การจัดหาโครงสร้างพื้นฐานและชุดเครื่องมือ

ผู้โจมตีจะได้รับหรือพัฒนาชุดเครื่องมือฟิชชิ่งก่อน บริการจะถูกซื้อในฟอรัมใต้ดินหรือพัฒนาขึ้นเอง ชุดเครื่องมือนี้ประกอบด้วยเทมเพลตหน้าฟิชชิ่งที่ออกแบบมาเพื่อเลียนแบบพอร์ทัลการเข้าสู่ระบบที่ถูกต้อง กลไกการรวบรวมข้อมูลประจำตัว และบางครั้งแม้แต่แผงแบ็กเอนด์สำหรับจัดการแคมเปญและข้อมูลที่เก็บเกี่ยวได้

ขั้นตอนที่ 2: การเลือกเป้าหมายและการสำรวจ

ขั้นตอนต่อไปเกี่ยวข้องกับการระบุเป้าหมาย ซึ่งอาจมีตั้งแต่แคมเปญที่กว้างขวาง ไม่เลือกปฏิบัติ ที่กำหนดเป้าหมายไปยังฐานผู้ใช้จำนวนมาก ดังที่เห็นได้จากการลดราคาบนโซเชียลมีเดีย ไปจนถึงแคมเปญที่มุ่งเน้นไปที่องค์กรเฉพาะ การสำรวจอาจเกี่ยวข้องกับการระบุบริการทั่วไปที่เป้าหมายใช้ เช่น ชุดเครื่องมือเพิ่มประสิทธิภาพการทำงานบนคลาวด์ เพื่อปรับแต่งเหยื่อฟิชชิ่ง

ขั้นตอนที่ 3: การสร้างเหยื่อและการส่งมอบ

ผู้โจมตีสร้างเหยื่อที่น่าสนใจเพื่อหลอกล่อเหยื่อ สำหรับบางปฏิบัติการ สิ่งนี้เกี่ยวข้องกับโฆษณาบนโซเชียลมีเดียที่สัญญาว่าจะลดราคาครั้งใหญ่ ซึ่งนำผู้ใช้ไปยังเว็บไซต์อีคอมเมิร์ซปลอม แคมเปญอื่นๆ ใช้การฟิชชิ่งรหัสอุปกรณ์ ในสถานการณ์นี้ เหยื่อจะถูกนำไปยังเว็บไซต์ที่เป็นอันตราย ซึ่งแทนที่จะขอรหัสผ่าน จะแจ้งให้ป้อนรหัสอุปกรณ์ที่แสดงบนหน้าจออื่น รหัสนี้จะถูกผู้โจมตีใช้เพื่ออนุญาตอุปกรณ์ของตนเองด้วยหน้าเข้าสู่ระบบที่ถูกต้องของเหยื่อ

ขั้นตอนที่ 4: การรวบรวมข้อมูลประจำตัวและการจี้เซสชัน

เมื่อมีการโต้ตอบกับหน้าฟิชชิ่งสำเร็จ ชุดเครื่องมือจะรวบรวมข้อมูลประจำตัว หรือในกรณีของการฟิชชิ่งรหัสอุปกรณ์ จะได้รับโทเค็นการตรวจสอบสิทธิ์ ด้วยการฟิชชิ่งรหัสอุปกรณ์ ผู้โจมตีจะเข้าถึงเซสชันของเหยื่อ ซึ่งจะข้ามการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ได้อย่างมีประสิทธิภาพ หากไม่ได้กำหนดค่าอย่างถูกต้องหรือหากผู้ใช้อนุมัติการเข้าสู่ระบบที่เป็นอันตราย สิ่งนี้ช่วยให้เข้าถึงทรัพยากรที่ละเอียดอ่อน เช่น กล่องจดหมายอีเมลได้

ขั้นตอนที่ 5: การสร้างรายได้และความคงทน

สุดท้าย ข้อมูลที่เก็บเกี่ยวได้จะถูกสร้างรายได้ ซึ่งอาจเกี่ยวข้องกับการขายสิทธิ์การเข้าถึงบัญชีที่ถูกบุกรุก การเปิดการโจมตีเพิ่มเติมจากสภาพแวดล้อมที่ถูกบุกรุก หรือการส่งข้อมูลที่ละเอียดอ่อนโดยตรง ผู้โจมตีมักจะมุ่งเป้าไปที่ความคงทน โดยรักษาการเข้าถึงให้นานที่สุดก่อนที่จะถูกตรวจจับ

ความซับซ้อนของชุดเครื่องมือฟิชชิ่งที่ทันสมัยไม่ได้อยู่ที่ความสามารถทางเทคนิคเท่านั้น แต่อยู่ที่ความสามารถในการใช้ประโยชน์จากจิตวิทยาของมนุษย์และขั้นตอนการตรวจสอบสิทธิ์ที่ถูกต้อง ทำให้การป้องกันแบบดั้งเดิมไม่เพียงพอ

สิ่งที่ผู้ป้องกันพลาดไป

ในเหตุการณ์ที่เกี่ยวข้องกับชุดเครื่องมือ PaaS ช่องว่างในการป้องกันหลายอย่างมักจะปรากฏให้เห็น ความท้าทายหลักคือการแพร่กระจายอย่างรวดเร็วของโดเมนฟิชชิ่งใหม่และเว็บไซต์ที่คล้ายกัน แนวทางการขึ้นบัญชีดำแบบดั้งเดิมประสบปัญหาในการตามปริมาณการลงทะเบียนใหม่ ไทโปสกวัตติ้ง และโดเมนพูนีโค้ดจำนวนมากที่ชุดเครื่องมือเหล่านี้สร้างขึ้น บริการที่นำเสนอการล่าแบบเชิงรุกอย่างต่อเนื่องและการปราบปรามทางกฎหมายทั่วโลกอย่างรวดเร็วเป็นการตอบสนองต่อความท้าทายนี้ ซึ่งเน้นย้ำถึงความต้องการในการตรวจจับและการตอบสนองที่รวดเร็วกว่าที่หลายองค์กรจะทำได้ภายในองค์กร

สิ่งที่พลาดไปอีกอย่างที่สำคัญเกี่ยวข้องกับลักษณะที่พัฒนาขึ้นของการข้ามการตรวจสอบสิทธิ์ เหตุการณ์ล่าสุดได้แสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากขั้นตอนการตรวจสอบสิทธิ์ที่ถูกต้องตามกฎหมาย เช่น ขั้นตอนรหัสอุปกรณ์ OAuth ได้อย่างไร องค์กรจำนวนมากอาจไม่ได้รับการฝึกอบรมผู้ใช้หรือกำหนดค่าโซลูชันความปลอดภัยอย่างเพียงพอเพื่อตรวจจับหรือป้องกันการโจมตีที่ไม่เกี่ยวข้องกับการขโมยรหัสผ่านโดยตรง การมุ่งเน้นมักจะอยู่ที่การรวบรวมข้อมูลประจำตัวผ่านหน้าเข้าสู่ระบบปลอม โดยมองข้ามกลยุทธ์วิศวกรรมสังคมที่ละเอียดอ่อนกว่าซึ่งใช้ประโยชน์จากพฤติกรรมของระบบที่ถูกต้องตามกฎหมาย

นอกจากนี้ ความรวดเร็วของการบุกรุกและขนาดของการโจมตีเหล่านี้มักจะทำให้ความสามารถในการรับมือกับเหตุการณ์ล่มสลาย เมื่อแคมเปญฟิชชิ่งถูกตรวจพบและแก้ไข บัญชีจำนวนมากอาจถูกบุกรุกไปแล้ว สิ่งนี้ชี้ให้เห็นถึงความจำเป็นในการมีข้อมูลภัยคุกคามเชิงรุกมากขึ้น และท่าทีการป้องกันเชิงป้องกันล่วงหน้า แทนที่จะเป็นเพียงมาตรการตอบโต้ การเน้นย้ำต้องอยู่ที่ความเข้าใจในความคิดของผู้โจมตีและการทดสอบการป้องกันกับแผนการเล่นที่พัฒนาขึ้นเหล่านั้น

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

CISOs และวิศวกรความปลอดภัยต้องใช้กลยุทธ์การป้องกันแบบหลายชั้นเพื่อตอบโต้ภัยคุกคามที่พัฒนาขึ้นของชุดเครื่องมือ PaaS ซึ่งรวมถึงแนวทางทั้งทางเทคโนโลยีและที่เน้นมนุษย์เป็นศูนย์กลาง

• เสริมความปลอดภัยของอีเมลและเกตเวย์เว็บ: ใช้การกรองอีเมลขั้นสูงที่ตรวจจับเทคนิคฟิชชิ่งที่ซับซ้อน รวมถึงการเขียน URL ใหม่ ความคล้ายคลึงของโดเมน และการวิเคราะห์เนื้อหา ปรับใช้เกตเวย์เว็บพร้อมฟีดข้อมูลภัยคุกคามแบบเรียลไทม์เพื่อบล็อกการเข้าถึงโดเมนที่เป็นอันตรายที่รู้จักและเว็บไซต์ที่น่าสงสัยที่เพิ่งลงทะเบียนใหม่
• เสริมสร้างกลไกการตรวจสอบสิทธิ์: บังคับใช้การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ที่แข็งแกร่งในทุกบริการที่สำคัญ สำหรับขั้นตอนรหัสอุปกรณ์ ตรวจสอบให้แน่ใจว่าผู้ใช้ได้รับการฝึกอบรมเพื่อตรวจสอบความถูกต้องของคำขอและอุปกรณ์ที่เริ่มต้น พิจารณาคีย์ความปลอดภัย FIDO2-compliant หรือฮาร์ดแวร์หากทำได้ เนื่องจากมีความทนทานต่อการฟิชชิ่งโดยธรรมชาติมากกว่า
• ดำเนินการฝึกอบรมสร้างความตระหนักรู้ของผู้ใช้อย่างต่อเนื่อง: ให้ความรู้แก่พนักงานอย่างสม่ำเสมอเกี่ยวกับกลวิธีฟิชชิ่งล่าสุด รวมถึงเหยื่อวิศวกรรมสังคม การฟิชชิ่งรหัสอุปกรณ์ และอันตรายของการคลิกลิงก์ที่น่าสงสัยหรือป้อนข้อมูลประจำตัวบนเว็บไซต์ที่ไม่ได้รับการยืนยัน เน้นการคิดเชิงวิพากษ์และกระบวนการตรวจสอบ
• ใช้บริการปกป้องแบรนด์และการปราบปรามที่แข็งแกร่ง: ร่วมมือกับบริการที่นำเสนอการล่าแบบเชิงรุกอย่างต่อเนื่องสำหรับโดเมนฟิชชิ่ง ไทโปสกวัตติ้ง และแอปพลิเคชันมือถือปลอม ตรวจสอบให้แน่ใจว่าบริการเหล่านี้ให้การปราบปรามที่รวดเร็วและมีผลผูกพันทางกฎหมายพร้อม SLA ที่สั้น
• ปรับใช้ Endpoint Detection and Response (EDR): ใช้โซลูชัน EDR เพื่อตรวจสอบกิจกรรมที่น่าสงสัยบนปลายทาง รวมถึงความพยายามในการเข้าถึงโดยไม่ได้รับอนุญาต การเรียกใช้กระบวนการที่ผิดปกติ และการส่งข้อมูล แม้ว่าจะเกิดการบุกรุกครั้งแรกขึ้นก็ตาม
• ใช้ประโยชน์จากข้อมูลภัยคุกคาม: ผสานรวมฟีดข้อมูลภัยคุกคามแบบเรียลไทม์เข้ากับการปฏิบัติการด้านความปลอดภัยเพื่อรับทราบข้อมูลเกี่ยวกับชุดเครื่องมือ PaaS ที่เกิดขึ้นใหม่ กลวิธี เทคนิค และขั้นตอน (TTPs) และตัวบ่งชี้การบุกรุก (IoCs) ซึ่งช่วยให้สามารถบล็อกและตรวจจับกฎได้เชิงรุก
• ตรวจสอบและทดสอบการควบคุมความปลอดภัยอย่างสม่ำเสมอ: ตรวจสอบและทดสอบประสิทธิภาพของการควบคุมความปลอดภัยที่มีอยู่เป็นระยะๆ เพื่อต่อต้านเทคนิคฟิชชิ่งที่รู้จักและที่เกิดขึ้นใหม่ ซึ่งรวมถึงการจำลองการโจมตีแบบฟิชชิ่งภายในองค์กรเพื่อวัดความอ่อนไหวของผู้ใช้และประสิทธิภาพของการควบคุม

การทดสอบเชิงรุกที่ทันสมัยจะจับสิ่งนี้ได้อย่างไร

การตรวจสอบความปลอดภัยแบบดั้งเดิมมักจะไม่สามารถระบุช่องโหว่ที่ละเอียดอ่อนที่ถูกใช้ประโยชน์โดยชุดเครื่องมือ PaaS ขั้นสูงได้ นี่คือจุดที่การทดสอบเชิงรุกที่ทันสมัย โดยเฉพาะอย่างยิ่งการทดสอบเชิงรุกแบบอัตโนมัติพร้อม Proof-of-Concepts (PoCs) ที่สามารถเรียกใช้งานได้ กลายเป็นสิ่งที่ขาดไม่ได้ แพลตฟอร์มของเรา ซึ่งนำเสนอข้อมูลภัยคุกคามรวมกับการทดสอบเชิงรุกแบบอัตโนมัติ จะให้ข้อมูลเชิงลึกที่สำคัญเกี่ยวกับความอ่อนแอขององค์กรต่อการโจมตีเช่นเดียวกับการโจมตีโดยปฏิบัติการฟิชชิ่งขั้นสูง

สำหรับการโจมตีแบบฟิชชิ่งรหัสอุปกรณ์ การทดสอบเชิงรุกแบบอัตโนมัติจะจำลองวิธีการของผู้โจมตี ซึ่งจะพยายามเริ่มต้นขั้นตอนรหัสอุปกรณ์ สร้างเหยื่อฟิชชิ่งที่น่าเชื่อถือซึ่งกำหนดเป้าหมายพนักงาน และจากนั้นจะตรวจสอบว่าการควบคุมความปลอดภัยขององค์กร (เกตเวย์อีเมล ตัวกรองเว็บ EDR) และพนักงานตอบสนองอย่างไร PoCs ที่สามารถเรียกใช้งานได้จะแสดงขั้นตอนที่ผู้โจมตีจะดำเนินการอย่างแม่นยำ ตั้งแต่วิศวกรรมสังคมเบื้องต้นไปจนถึงการจี้เซสชันที่เป็นไปได้ โดยไม่มีการบุกรุกจริง

การทดสอบประเภทนี้เหนือกว่าการสแกนช่องโหว่แบบง่ายๆ ซึ่งจะตรวจสอบประสิทธิภาพของการกำหนดค่า MFA การฝึกอบรมสร้างความตระหนักรู้ของผู้ใช้ และแผนการตอบสนองต่อเหตุการณ์ต่อห่วงโซ่การโจมตีในโลกแห่งความเป็นจริง ตัวอย่างเช่น หากระบบสามารถจำลองการโจมตีแบบฟิชชิ่งรหัสอุปกรณ์ที่ข้ามการควบคุมที่มีอยู่และอาจนำไปสู่การประนีประนอมกล่องจดหมายได้สำเร็จ ก็จะให้ PoC ที่สามารถเรียกใช้งานได้ PoC นี้จะแสดงให้เห็นถึงช่องโหว่ได้อย่างชัดเจน ทำให้ทีมรักษาความปลอดภัยสามารถระบุได้อย่างแม่นยำว่าการป้องกันล้มเหลวที่ใด—ไม่ว่าจะเป็นตัวกรองอีเมล ความระมัดระวังของผู้ใช้ หรือช่องว่างในการบังคับใช้ MFA ส่วนประกอบข้อมูลภัยคุกคามช่วยให้มั่นใจว่าการจำลองเหล่านี้ขึ้นอยู่กับ TTP ล่าสุดของผู้โจมตี ซึ่งสะท้อนถึงภัยคุกคามในปัจจุบัน เช่น เหยื่อบนโซเชียลมีเดีย หรือการข้ามทางเทคนิคเฉพาะ

สิ่งที่ต้องจับตาดูต่อไป

การพัฒนาของชุดเครื่องมือ PaaS ไม่มีสัญญาณว่าจะชะลอตัวลง ผู้ป้องกันต้องคาดการณ์แนวโน้มสำคัญหลายประการ ประการแรก คาดว่าจะมีการมุ่งเน้นที่เพิ่มขึ้นในการข้ามกลไกการตรวจสอบสิทธิ์ขั้นสูง รวมถึง MFA แบบไบโอเมตริกซ์และพาสคีย์ ผ่านวิศวกรรมสังคมที่ซับซ้อนมากขึ้นหรือข้อบกพร่องทางเทคนิค แม้ว่าพาสคีย์จะมีความทนทานต่อการฟิชชิ่งที่แข็งแกร่ง แต่ผู้โจมตีจะแสวงหาช่องทางใหม่ๆ หากไม่ได้ติดตั้งอย่างสมบูรณ์แบบ

ประการที่สอง การรวม AI และแมชชีนเลิร์นนิงเข้ากับชุดเครื่องมือ PaaS มีแนวโน้มที่จะเร่งตัวขึ้น สิ่งนี้อาจแสดงออกมาในรูปแบบของเหยื่อฟิชชิ่งแบบไดนามิกและเป็นส่วนตัวมากขึ้น การฟิชชิ่งด้วยเสียงหรือวิดีโอแบบดีปเฟคที่สร้างโดย AI และการสำรวจอัตโนมัติที่ระบุเป้าหมายที่มีมูลค่าสูงได้อย่างมีประสิทธิภาพมากขึ้น ความซับซ้อนของเนื้อหาการโจมตีจะเพิ่มขึ้นอย่างมาก

สุดท้าย เกมแมวไล่จับหนูระหว่างการปราบปรามโดยการบังคับใช้กฎหมายและการเกิดขึ้นของปฏิบัติการ PaaS ใหม่จะดำเนินต่อไป องค์กรต้องตระหนักว่าแม้การปราบปรามจะขัดขวางบริการแต่ละอย่าง แต่ระบบนิเวศพื้นฐานมีความยืดหยุ่น สิ่งนี้จำเป็นต้องมีการเปลี่ยนแปลงไปสู่ท่าทีการป้องกันเชิงรุกที่ขับเคลื่อนด้วยข้อมูลภัยคุกคาม ซึ่งปรับตัวเข้ากับ TTP ที่เกิดขึ้นใหม่อย่างต่อเนื่อง แทนที่จะตอบสนองต่อเหตุการณ์ที่ผ่านมาเท่านั้น การเน้นย้ำต้องอยู่ที่ความเข้าใจในความคิดของผู้โจมตีและการทดสอบการป้องกันกับแผนการเล่นที่พัฒนาขึ้นเหล่านั้น