W zależności od organizacji i ram może obejmować aktywne wyszukiwanie zagrożeń, techniki zwodzenia (deception), przynęty (decoys), dynamiczną rekonfigurację, automatyczne blokowanie lub izolację, angażowanie przeciwnika (adversary engagement) i skoordynowane zakłócanie — wykonywane w ramach wyraźnych uprawnień technicznych i prawnych.
Ponieważ termin nie ma jednej uniwersalnej granicy, każdy plan aktywnej obrony powinien definiować, jakie działania obejmuje, gdzie mogą się one odbywać, kto je autoryzuje oraz jak będą kontrolowane bezpieczeństwo, dowody, prywatność, eskalacja i niezamierzone skutki.
Najważniejsze punkty
Cel obronnyOkreśl, czy działanie ma wykryć intruzję, odmówić dostępu, spowolnić ruch, chronić zasób, zebrać dowody, odzyskać kontrolę czy narzucić koszt w obrębie bronionego środowiska.
Ograniczenia wykonaniaZdefiniuj własne lub autoryzowane systemy, dozwolone techniki, zatwierdzenia, nadzór człowieka, warunki przerwania, postępowanie z dowodami, komunikację i koordynację z dostawcami lub organami.
Pomiar skutkuMonitoruj zachowanie przeciwnika i systemu, waliduj osiągnięcie celu, sprawdzaj szkody operacyjne lub unikanie detekcji i przekazuj wiarygodne obserwacje do decyzji reakcyjnych i architektonicznych.
Istotne ograniczenieAktywna obrona nie jest generalnym pozwoleniem na „odpowiadanie atakiem" (hack back). Dostęp do systemów spoza ustalonych uprawnień, ich uszkadzanie lub zakłócanie może szkodzić ofiarom lub infrastrukturze, niszczyć dowody, eskalować konflikt i naruszać prawo; niezbędna jest wykwalifikowana ocena prawna.