Typer av cybersäkerhetsattacker – aktiva och passiva attacker

Publicerad: 6 mars 2021. Uppdaterad: augusti 2026. Granskad av Encryption Consultings rådgivande team för kryptografi.

Varje cybersäkerhetsattack faller inom en av två kategorier baserat på vad angriparen gör med data under överföring: en passiv attack observerar eller kopierar den utan att ändra något, och en aktiv attack modifierar, injicerar, spelar upp eller blockerar den. NIST:s Computer Security Resource Center definierar en aktiv attack som en attack där "angriparen överför data" för att ändra systemresurser eller påverka deras drift, och en passiv attack som "en attack som inte ändrar system eller data". Den enda skillnaden, oavsett om angriparen vidrör datavägen eller bara tittar på den, styr nästan alla beslut om vilken kontroll som stoppar vilken attack.

Vad är aktiva attacker inom cybersäkerhet?

En aktiv attack är varje attack där angriparen injicerar, modifierar, spelar upp eller blockerar trafik snarare än att bara observera den. Eftersom aktiva attacker ändrar systemtillstånd, resurstillgänglighet eller meddelandeinnehåll, märker offren vanligtvis att något är fel, ett avbrott, en korrupt transaktion, en oväntad session, även om de inte omedelbart kan identifiera orsaken. Aktiva attacker är också svårare att utföra än passiva, och angripare kör ofta en passiv rekognoseringsfas först för att lära sig nätverkslayouten innan de startar den aktiva fasen.

De vanligaste kategorierna för aktiv attack är:

• Mannen-i-mitten (MITM): Angriparen positionerar sig mellan två kommunicerande parter, avlyssnar och förändrar ofta trafik medan båda sidor tror att de pratar direkt med varandra. NIST:s ordlista listar MITM tillsammans med personifiering och sessionskapning som aktiva attacker mot ett säkert kommunikationsprotokoll.
• Återspelningsattack: Angriparen fångar ett giltigt meddelande, såsom en autentiseringshandskakning eller en finansiell transaktion, och skickar det igen senare för att utge sig för att vara den ursprungliga avsändaren eller upprepa transaktionen. NIST SP 800-63 definierar det som att spela upp "tidigare fångade meddelanden mellan en legitim sökande och en verifierare för att utge sig för att vara den sökanden".
• Session kapning: en specialiserad, högeffektiv form av aktiv attack där angriparen stjäl eller förutspår att en giltig sessionstoken (ofta en cookie) tar över en autentiserad session som pågår. Eftersom detta förtjänar sin egen djupgående täckning, se Encryption Consultings dedikerade guide, Vad är sessionskapning?, för detaljer om detektering och begränsning.
• Denial-of-service (DoS) och distribuerad denial-of-service (DDoS): Angriparen översvämmar en enhet, applikation eller nätverk med trafik eller felaktigt utformade förfrågningar tills den slutar svara på legitima användare. NIST definierar DoS som "förhindrande av auktoriserad åtkomst till resurser eller fördröjning av tidskritiska operationer". Vanliga mekanismer inkluderar SYN-översvämningar (utmattning av serveranslutningstabeller med ofullständiga TCP-handskakningar), ICMP/ping-översvämningar och buffertöversvämningar som överskrider en tjänsts kapacitet för hantering av förfrågningar.
• Meddelandemodifiering och injicering: Angriparen ändrar meddelandeinnehållet under överföring, injicerar skadliga nyttolaster eller, i en klipp-och-klistra-variant, skarvar samman fragment av olika krypterade meddelanden för att extrahera eller manipulera data.

Äldre, fortfarande relevanta aktiva attacktekniker som är värda att nämna uttryckligen inkluderar bakdörrstrojaner , skadlig kod som ger en obehörig angripare kontinuerlig åtkomst till ett system när en användare har blivit lurad att installera det, och rootkits , som döljer privilegierad åtkomst så att angriparen kan ändra inställningar, läsa filer eller övervaka aktivitet utan upptäckt. Flame, identifierad 2012, är ett dokumenterat exempel på skadlig kod i rootkit-klassen som spelade in ljud, tog skärmdumpar och övervakade nätverkstrafik på infekterade Windows-system.

Vad är passiva attacker inom cybersäkerhet?

En passiv attack övervakar, samlar in eller kopierar data utan att ändra systemet eller själva informationen, vilket är just därför den är så svår att upptäcka. Det finns ingen krasch, ingen skadad post och ingen misslyckad inloggning som ett övervakningsteam kan upptäcka. Angriparens mål är nästan alltid rekognoscering: kartlägga öppna portar, identifiera sårbara tjänster eller samla in konfidentiellt innehåll för senare användning.

• Avlyssning (sniffning): Angriparen infogar en paketsniffer i nätverksvägen mellan två slutpunkter för att fånga upp trafik när den passerar. Ju fler nätverkshopp och ju längre vägen är, desto lättare blir det för en angripare att placera en sniffer någonstans längs den oupptäckt.
• Trafikanalys: Även när meddelandeinnehållet är krypterat kan en angripare fortfarande observera trafikvolym, tidpunkt och slutpunkter för att avgöra vem som kommunicerar med vem och när, en begränsning som är värd att flagga även för annars välkrypterade kanaler (se Begränsningar nedan).
• Publicering av meddelandets innehåll: Skadlig kod installerad på en enhet (ett virus eller spionprogram) övervakar i tysthet meddelanden, e-postmeddelanden eller överförda filer som innehåller personlig eller konfidentiell information så att angriparen kan samla in information senare.

Passiv rekognosering omfattar i allt högre grad även IoT och protokollspecifika attackytor. I IoT-baserade smarta hemsystem används till exempel RPL (Routing Protocol for Low-Power and Lossy Networks) i stor utsträckning eftersom det passar resursbegränsade enheter som inte kan köra traditionella routingprotokoll, och dess lätta design har varit ett dokumenterat mål för trafikanalys och forskning om topologikartläggning.

Varför spelar skillnaden mellan aktiv och passiv roll i praktiken?

Skillnaden är inte akademisk, den avgör vilken kontrollkategori man ska investera i först. Passiva attacker hotar sekretessen och är ofta oupptäckbara i realtid, så det praktiska försvaret är förebyggande: kryptera data så att avlyssnad trafik är värdelös för angriparen. Aktiva attacker hotar integritet och tillgänglighet och är vanligtvis upptäckbara i efterhand, så försvarsmixen lägger till autentisering, integritetskontroller och redundans utöver kryptering. Ett moget säkerhetsprogram behandlar dessa som kompletterande lager snarare än ersättningar för varandra: kryptering ensamt stoppar avlyssning men gör ingenting för att stoppa en replay-attack, och autentisering ensamt stoppar personifiering men gör ingenting för att stoppa trafikanalys.

Vilket försvar stoppar varje attacktyp?

Använd den här tabellen som en utgångschecklista, inte en komplett arkitektur. Verkliga distributioner kombinerar flera rader samtidigt.

Attack typ	Kategori	Primärt försvar / protokoll	Nyckelhanteringsberoende
Avlyssning / sniffning	Passiv	TLS 1.2+/TLS 1.3-kryptering under överföring, IPsec VPN-tunnling	Giltiga, ej utgångna TLS-certifikat; konfiguration av stark krypteringssvit
Trafikanalys	Passiv	Trafikutfyllnad, VPN/tunnling för att dölja slutpunkter och timing	Konsekvent nyckelrotation så att långvariga sessioner inte avslöjar mönster
Man-i-mitten (MITM)	Aktiva	Ömsesidig TLS (mTLS) med certifikatbaserad autentisering och certifikatfästning	Båda parter behöver ett betrott, outgånget certifikat utfärdat av en styrd CA; skydd av privata nycklar är avgörande
Replay attack	Aktiva	Sekvensnummer, tidsstämplar och kryptografiska noncenummer bundna till varje meddelande	Sessions- och tokenhemligheter måste roteras och aldrig återanvändas mellan sessioner
Session kapning	Aktiva	Kortlivade sessionstokens med hög entropi; Säkra/HttpOnly-cookies; ökad ömsesidig TLS (se den dedikerade Guide för sessionskapning)	Tokensigneringsnycklar måste skyddas och roteras enligt ett definierat schema
Meddelandemodifiering / injicering	Aktiva	Meddelandeautentiseringskoder (HMAC), digitala signaturer	Signeringsnycklar måste genereras, lagras och roteras under en styrd nyckelhanteringsprocess.
Överbelastningsattacker / DDoS	Aktiva	Hastighetsbegränsning, nätverksredundans, DDoS-skrubningstjänster, anomalibaserad övervakning	Inte primärt nyckelberoende, men tillgängligheten av certifikatinfrastruktur (OCSP/CRL-svarare) måste i sig vara motståndskraftig mot DoS

Hur bygger man ett flerskiktat försvar mot båda attackkategorierna?

Inget enskilt protokoll besegrar alla attacker i tabellen ovan. Att bygga motståndskraft mot båda kategorierna är en sekvens, inte ett enskilt köp:

1. Modellera hotet först. Identifiera vilka tillgångar och kanaler en angripare skulle avlyssna (passiv) kontra vilka de skulle försöka ändra, spela upp eller översvämma (aktiv). Kontrollerna skiljer sig åt, så bedömningen måste ske före arkitekturen.
2. Kryptera allt under överföring och i vila. TLS 1.2 eller, helst, TLS 1.3 för nätverkstrafik stänger av de enklaste avlyssnings- och sniffningsvägarna. Detta är den grundläggande passiva attackkontrollen.
3. Kräv ömsesidig, certifikatbaserad autentisering. Enkelriktad TLS bevisar serverns identitet för klienten; ömsesidig TLS (mTLS) bevisar båda riktningarna, vilket faktiskt stänger dörren för man-in-the-middle-attacker. Detta steg är helt beroende av sund nyckelhantering: certifikat måste utfärdas från en styrd CA, privata nycklar får aldrig lämna skyddad lagring och utgångna eller återkallade certifikat måste avvisas automatiskt, inte manuellt.
4. Lägg till integritetskontroller på meddelandenivå. Sekvensnummer, tidsstämplar, noncenummer och meddelandeautentiseringskoder stoppar replay- och manipuleringsattacker även om en angripare på något sätt får tag på en kopia av den krypterade trafiken.
5. Härda för tillgänglighet. Hastighetsbegränsning, skydd av anslutningstabeller mot SYN-översvämningar, lastbalansering och, där det är motiverat, en dedikerad DDoS-scrubbing-leverantör åtgärdar de aktiva attacker som riktar sig mot drifttid snarare än konfidentialitet.
6. Övervaka och logga kontinuerligt. Aktiva attacker är vanligtvis detekterbara om någon tittar på; fel i instrumentautentisering, ovanligt sessionsbeteende och trafiktoppar så egenskapen "vanligtvis detekterbar" hos aktiva attacker översätts faktiskt till ett snabbt svar.
7. Styr nycklarna och certifikaten som gör att varje föregående steg fungerar. Kryptering, ömsesidig TLS och meddelandesignering är bara så starka som nyckelhanteringsprogrammet bakom dem. Rotationsscheman, återkallningsprocesser och säker lagring (HSM-baserad där det är möjligt) måste alla ägas av en definierad process och inte lämnas åt ad hoc-förnyelse.

Begränsningar

Dessa kontroller minskar risken; de eliminerar den inte, och var och en medför en verklig avvägning som är värd att planera för:

• Kryptering hindrar en angripare från att läsa meddelandens innehåll, men trafikanalys kan fortfarande avslöja vem som kommunicerar, hur ofta och ungefär hur mycket data som rör sig, även över en helt krypterad kanal.
• Ömsesidig TLS och certifikatbaserad autentisering fungerar bara så bra som certifikatlivscykeln bakom dem. Ett utgånget certifikat, en oåterkallad komprometterad nyckel eller en privat nyckel som lagras osäkert undergräver hela kontrollen, oavsett protokollets styrka.
• Hastighetsbegränsning och redundans minskar effekten av mindre överbelastningsförsök, men en tillräckligt stor, distribuerad volymetrisk attack kan fortfarande överbelasta den lokala kapaciteten utan en specialiserad scrubber-leverantör framför sig.
• Sekvensnummer och noncenummer förhindrar uppspelning inom de system som implementerar dem korrekt; äldre protokoll och dåligt konfigurerade API:er som hoppar över detta steg förblir exponerade oavsett hur stark den omgivande krypteringen är.
• Detektionsbaserade kontroller (avvikelseövervakning, intrångsdetektering) hjälper till med aktiva attacker men är i sig reaktiva; en välutförd passiv attack kanske aldrig genererar en varning alls.

Vad skulle krypteringskonsulter rekommendera?

Behandla aktivt och passivt attackmotstånd som två halvor av ett program, inte två separata projekt. Börja med kryptering under överföring som den icke-förhandlingsbara baslinjen mot passiva attacker, och lägg sedan till lager av ömsesidig, certifikatbaserad autentisering för att stänga gapet "man-in-the-middle" som enkelriktad TLS lämnar öppet. Eftersom nästan varje kontroll i det här inlägget, mTLS, meddelandesignering och sessionstokenskydd, i slutändan beror på hur väl nycklar och certifikat genereras, lagras och roteras, rekommenderar vi vanligtvis ett rådgivningsuppdrag om kryptering och PKI innan vi lägger till fler punktlösningar: åtgärda nyckelhanteringsgrunden först, och försvaret som läggs ovanpå den håller under verkliga attackförhållanden snarare än att misslyckas vid förnyelsetidpunkten. För organisationer som bygger ut specifikt certifikatbaserad ömsesidig autentisering täcker vårt arbete med privat PKI för Zero Trust-nätverk arkitekturen mer ingående, och där autentiseringsbaserade aktiva attacker (inte bara MITM på nätverksnivå) är problemet, stänger detta i kombination med centraliserad flerfaktorsautentisering gapet som ett stulet eller omspelat lösenord annars skulle lämna öppet.

Slutsats

Cybersäkerhetsattacker delas in i två operativt distinkta kategorier: passiva attacker som i tysthet observerar eller kopierar data, och aktiva attacker som modifierar, spelar upp, kapar eller stör den. Avancerade ihållande hot kör vanligtvis en passiv rekognoseringsfas för att kartlägga en organisations infrastruktur innan en riktad aktiv attack startas, vilket är anledningen till att behandlingen av de två kategorierna som sammankopplade steg i samma kampanj, snarare än orelaterade risker, ger ett starkare försvar. Att kryptera data under överföring, som kräver ömsesidig certifikatbaserad autentisering, lägga till integritetskontroller på meddelandenivå och hårdgöra tillgänglighet tillsammans täcker de luckor som en enskild kontroll lämnar öppna, förutsatt att nyckelhanteringen under allt detta aktivt styrs snarare än lämnas att löpa ut.

FAQ

Vad är den största skillnaden mellan en aktiv och en passiv attack? En passiv attack observerar eller kopierar data utan att ändra systemet, medan en aktiv attack modifierar, injicerar, spelar upp eller blockerar den. NIST:s ordlista definierar en passiv attack som en som "inte ändrar system eller data", och en aktiv attack som en där angriparen överför data för att påverka systemresurser eller drift.

Är en man-in-the-middle-attack aktiv eller passiv? Aktiv. En MITM-angripare sätter sig in i kommunikationsvägen och kan fånga upp, ändra eller injicera trafik, vilket är anledningen till att NIST klassificerar den tillsammans med personifiering och sessionskapning som en aktiv attack mot ett säkert kommunikationsprotokoll.

Hur skyddar TLS mot avlyssning och MITM-attacker? Standard (envägs) TLS krypterar data under överföring, vilket eliminerar enkel avlyssning och sniffning. Den autentiserar dock bara servern, så den stoppar inte i sig en MITM-angripare som kan presentera ett bedrägligt certifikat för en dåligt validerande klient. Gemensam TLS, där både klient och server presenterar certifikat, täcker det återstående gapet.

Kan passiva attacker upptäckas? Sällan i realtid. Eftersom en passiv attack inte ändrar data eller systembeteende, finns det vanligtvis inget fel, krasch eller misslyckad begäran som övervakningsverktyg kan flagga. Detektion sker vanligtvis först efteråt, genom bevis som läckt data som dyker upp någon annanstans eller genom forensisk analys av nätverksloggar.

Vad är en replay-attack och hur förhindras den? En replay-attack fångar ett tidigare giltigt meddelande, till exempel en inloggningshandskakning, och skickar det igen senare för att utge sig för att vara den ursprungliga avsändaren. NIST SP 800-63 definierar det som att spela upp "tidigare fångade meddelanden mellan en legitim sökande och en verifierare för att utge sig för att vara den sökanden". Det förhindras med sekvensnummer, tidsstämplar och engångskryptografiska noncekoder som är bundna till varje meddelande så att ett fångat meddelande inte kan återanvändas.

Referensprojekt

• NIST CSRC-ordlista, ”Aktiv attack”: https://csrc.nist.gov/glossary/term/active_attack
• NIST CSRC-ordlista, ”Passiv attack”: https://csrc.nist.gov/glossary/term/passive_attack
• NIST CSRC-ordlista, ”Man-in-the-Middle-attack (MitM)”: https://csrc.nist.gov/glossary/term/man_in_the_middle_attack
• NIST CSRC-ordlista, ”Replay Attack”: https://csrc.nist.gov/glossary/term/replay_attack
• NIST CSRC-ordlista, ”Denial of Service (DoS)”: https://csrc.nist.gov/glossary/term/denial_of_service
• NIST Specialpublikation 800-63B, Riktlinjer för digital identitet, autentisering och livscykelhantering: https://pages.nist.gov/800-63-3/sp800-63b.html
• IETF RFC 4949, ordlista för internetsäkerhet, version 2: https://www.rfc-editor.org/rfc/rfc4949