Lưu ý Kali Purple không mở khóa năng lực mới nào. Thứ nó thực sự mang lại là một khung tư duy — và điều đó quan trọng hơn bạn nghĩ.

Bất kỳ ai lần đầu nghe tới Kali Purple đều hỏi đúng một câu: “Nó khác Kali thường chỗ nào?” Và câu trả lời phổ biến nhất — rằng Purple đi kèm một loạt công cụ phòng thủ như TheHive hay GVM (OpenVAS) — nghe thì hợp lý, nhưng lại bỏ lỡ toàn bộ điểm mấu chốt. Bởi vì những công cụ ấy, trên Kali Linux thông thường, bạn chỉ cần gõ apt install là có. Nếu khác biệt chỉ là chuyện cài đặt vài gói phần mềm, thì Kali Purple chẳng đáng để tồn tại như một bản phân phối riêng.

Vậy nó tồn tại vì điều gì? Câu trả lời ngắn gọn: Kali Purple không bán cho bạn công cụ, nó bán cho bạn một cách nghĩ. Để hiểu vì sao đó lại là một khác biệt thật sự chứ không phải chiêu tiếp thị, ta phải bắt đầu từ chỗ hai bản này giống nhau đến mức nào.

01 — Nền tảng

Cùng một con rồng Kali

Trước khi nói về khác biệt, phải thành thật thừa nhận cái nền chung — và nó chung hơn nhiều so với vẻ ngoài. Cả Kali Linux lẫn Kali Purple đều được dựng trên Debian Testing. Cả hai đều theo mô hình rolling-release, nghĩa là cùng nhận bản cập nhật liên tục như nhau; không bản nào có nhân “mới hơn” bản nào. Và quan trọng nhất: chúng dùng chung một kho phần mềm.

Hệ quả của việc chung repo là điều khiến nhiều người bối rối: mọi công cụ phòng thủ mà Purple tự hào — Suricata, Zeek, Arkime, TheHive, GVM — đều có thể cài trên Kali thường chỉ bằng một dòng lệnh. Và ngược lại, kho vũ khí tấn công của Kali thường cũng nằm trong tầm với của Purple. Không có công cụ nào bị khóa cứng ở một phía.

Điểm cần ghi nhớ : Về mặt kỹ thuật thuần túy, bất cứ điều gì Kali Purple làm được, Kali thường cài thêm cũng làm được. Purple không sở hữu một siêu năng lực bí mật nào.

Đến đây, một người hoài nghi có quyền nhún vai: “Vậy thì Purple để làm gì?” Giữ lấy câu hỏi đó. Chính nó dẫn ta tới điều thú vị.

02 — Khác biệt thật

Purple cung cấp cái gì?

Nếu không phải công cụ, thì thứ Kali Purple thực sự thay đổi là tư thế mặc định và cách tổ chức. Kali Linux được sinh ra để tấn công — nó là bộ đồ nghề red team đã hoàn thiện qua hơn một thập kỷ, và chạy nó như một hệ điều hành hằng ngày thậm chí còn bị khuyến cáo vì tư thế của nó thiên về công kích. Kali Purple lật ngược điều đó: cùng cái nền ấy, nhưng được định hướng lại cho phòng thủ, cho blue team và purple team.

Sự lật ngược này nghe có vẻ trừu tượng, cho đến khi bạn mở menu ứng dụng lên. Và đây mới là nơi khác biệt trở nên cụ thể, gần như có thể chạm vào được.

Một danh sách công cụ lộn xộn buộc bạn phải tự nhớ tool nào để làm gì. Một menu xếp theo khung buộc bạn phải nghĩ theo khung đó mỗi lần mở máy.

Trên Kali thường, các công cụ được xếp theo kiểu túi đồ nghề: một danh mục dài những thứ bạn có thể dùng để khai thác. Trên Kali Purple, menu được sắp xếp theo một logic hoàn toàn khác — theo Khung An ninh mạng của NIST (NIST Cybersecurity Framework). Sự thay đổi tưởng như nhỏ nhặt này chính là toàn bộ giá trị của Purple, đặc biệt với ai đang học hoặc đang dạy phòng thủ.

03 — Bản đồ tư duy

NIST CSF 2.0, đóng gói thành một menu

Khung NIST bản gốc chia công tác an ninh thành năm chức năng nối tiếp nhau: Identify, Protect, Detect, Respond, Recover — viết tắt là IPDRR. Đến phiên bản CSF 2.0, phát hành tháng 2 năm 2024, khung này được bổ sung một chức năng thứ sáu đặt lên trước và bao trùm tất cả: GOVERN (Quản trị). Đây chính là “chữ G đứng đầu” mà nhiều người nhớ mang máng khi nhắc tới phiên bản mới.

Điều Kali Purple làm là ánh xạ thẳng các công cụ của nó vào sáu chức năng này. Thay vì một mớ ứng dụng rời rạc, bạn có một tấm bản đồ:

GV

Govern — Quản trị chiến lược & chính sách

Chưa có công cụ chuyên trách; dựa vào năng lực giám sát và báo cáo của các chức năng khác.

ID

Identify — Nhận diện tài sản & lỗ hổng

GVM / OpenVAS — quét lỗ hổng trên toàn hạ tầng.

PR

Protect — Bảo vệ làm cứng & phân vùng

Tường lửa, hardening hệ thống, phân vùng mạng.

DE

Detect — Phát hiện vùng nặng ký nhất

Suricata, Zeek, Arkime, Malcolm, Elastic Security — giám sát, bắt gói, phát hiện xâm nhập.

RS

Respond — Ứng phó khi sự cố xảy ra

TheHive, CyberChef — điều phối ứng cứu sự cố và phân tích dữ liệu.

RC

Recover — Phục hồi sau biến cố

Công cụ điều tra số, sao lưu và khôi phục.

Hãy nhìn kỹ vào cách khung này thay đổi trải nghiệm. Cùng một công cụ Suricata: trên Kali thường, nó nằm lẫn đâu đó trong danh mục Applications, và bạn phải tự biết nó dùng để làm gì. Trên Kali Purple, nó nằm ngay dưới nhãn Detect. Bạn chưa cần chạy dòng lệnh nào đã hiểu ngay vai trò của nó trong dòng chảy phòng thủ.

Đó không phải là một cải tiến về công cụ. Đó là một cải tiến về nhận thức. Và với người mới bước vào lĩnh vực blue team, nhận thức đúng cấu trúc quan trọng hơn nhiều so với việc thuộc lòng thêm vài cái tên phần mềm.

Vì sao khung này đáng họcTrong một trung tâm điều hành an ninh (SOC) thực tế, người ta hiếm khi hỏi “anh biết công cụ gì”. Câu hỏi luôn là “anh phủ được giai đoạn phòng thủ nào”. Khung NIST là ngôn ngữ chung để trả lời câu hỏi đó — và Kali Purple dạy bạn tư duy bằng chính ngôn ngữ ấy.

04 — Sự trung thực cần thiết

Purple là gì, và không là gì

Sẽ là thiếu công bằng nếu tô hồng Kali Purple. Nó ra mắt năm 2023 và vẫn còn tương đối non trẻ; nhiều mảng còn đang hoàn thiện, và chức năng Govern gần như chưa có công cụ riêng. Đừng nhầm Purple với một nền tảng SOC hoàn chỉnh cấp doanh nghiệp. Nó không phải thế. Nó là một môi trường học tập có cấu trúc — một “SOC-in-a-box” để dựng lab phòng thủ nhanh, thử nghiệm và học nghề, mà không phải bỏ tiền mua các giải pháp thương mại đắt đỏ.

Vậy khi nào nên dùng bản nào? Nếu công việc của bạn là red team, kiểm thử thâm nhập, thì Kali Linux truyền thống vẫn là lựa chọn hiển nhiên. Nếu bạn đang học phòng thủ, xây dựng kỹ năng SOC, hoặc cần một phòng lab blue team dựng nhanh, Kali Purple giúp bạn khởi đầu có tổ chức hơn. Hai bản không cạnh tranh — chúng phục vụ hai tư thế khác nhau của cùng một nghề.

Trục	Kali Linux (Red)	Kali Purple
Tư thế mặc định	Thiên tấn công	Thiên phòng thủ
Tổ chức menu	Danh mục công cụ khai thác	Xếp theo 6 chức năng NIST CSF
Đối tượng	Pentester, red team	SOC analyst, người ứng cứu, lớp học
Định vị	Túi đồ nghề tấn công	SOC-in-a-box để học
Độ chín	Trưởng thành hơn 10 năm	Ra mắt 2023, đang hoàn thiện

05 — Kết

Rốt cuộc, nó có màu Tím

Đây chính là câu trả lời khi tôi nói với các học viên trong lớp là các cán bộ chuyên trách tại Huế, vì khi đó Kali Purple vừa ra mắt chưa có nhiều thời gian tìm hiểu , nhưng cũng có cài đặt và xem qua :

Vì vậy. Khi ai đó hỏi Kali Purple khác Kali thường chỗ nào, có một câu trả lời vừa đùa vừa thật đến bất ngờ: “Khác chỗ nó có màu Tím.”

Nghe như né tránh, nhưng ngẫm kỹ thì đúng theo nghĩa sâu nhất. Cùng một con rồng Kali, cùng kho đồ nghề, cùng cái nền Debian. Thứ Purple thay đổi không phải là bạn có gì, mà là bạn nghĩ như thế nào về những thứ mình có. Nó sơn lại tư duy từ tấn công sang phòng thủ, và xếp lại mọi công cụ theo một khung chuẩn để bạn luôn nhìn thấy bức tranh Govern – Identify – Protect – Detect – Respond – Recover.

Năng lực thì cài thêm là có. Nhưng khung tư duy — cái cách bạn tự động phân loại một công cụ vào đúng giai đoạn phòng thủ ngay khi nhìn thấy nó — đó mới là thứ Kali Purple thực sự trao cho bạn. Và trong một nghề mà con người dễ lạc giữa hàng trăm công cụ, một tấm bản đồ tư duy đúng có khi còn quý hơn cả kho vũ khí.