Active Threat (Active Attack) คืออะไร?
Active Threat / Active Attack คือการโจมตีที่ ผู้โจมตีพยายามเปลี่ยนแปลง รบกวน ทำลาย หรือควบคุม ข้อมูล/ระบบ/เครือข่ายของเป้าหมายอย่างตรงไปตรงมา ต่างจาก Passive Attack ที่เพียงแค่ "ฟัง/สังเกต/คัดลอก" ข้อมูลโดยไม่เปลี่ยนแปลง
ลักษณะสำคัญของ Active Attack
- Modification: แทรก/เปลี่ยน/ลบ ข้อมูลระหว่างทาง (Data Tampering)
- Disruption: ทำให้บริการไม่ทำงาน (DoS/DDoS, Ransomware Encryption)
- Injection: ส่งข้อมูล/คำสั่งปลอมเข้าไปในระบบ (SQLi, Command Injection, Malicious Packets)
- Impersonation/Masquerade: ปลอมตัวเป็น Entity อื่น (MITM, Session Hijacking, ARP Spoofing)
- Repudiation/Denial: ปฏิเสธการกระทำที่ทำไป (Non-repudiation bypass)
ประเภทและตัวอย่าง Active Attacks
| ประเภท | คำอธิบาย | ตัวอย่างจริง |
|---|---|---|
| Man-in-the-Middle (MitM) | แทรกตัวระหว่าง 2 ฝ่ายที่สื่อสาร อ่าน/แก้ไข/ส่งต่อข้อมูล | ARP Spoofing, DNS Spoofing, SSL Stripping, Evil Twin (Wi-Fi), BGP Hijacking |
| Session Hijacking | ขโมย Session Token/Cookie ใช้แทน Victim | Firesheep (เก่า), Pass-the-Cookie, Token Theft (OAuth/SAML) |
| Masquerade / Impersonation | ปลอมตัวเป็น User/Device/Service ที่ไว้ใจได้ | Credential Theft + MFA Bypass, SSH Key Theft, Certificate Forgery |
| Replay Attack | บันทึก Traffic แล้วส่งซ้ำ (Replay) เพื่อทำธุรกรรมซ้ำ/หลอกระบบ | Kerberos Replay, OAuth Token Replay, Wireless Replay (WPA2 KRACK) |
| Modification Attack | แก้ไขข้อมูลระหว่างทาง | Bit-flipping, Checksum Recalculation, Database Injection, Firmware Modification |
| Denial of Service (DoS/DDoS) | ทำให้ระบบ/เครือข่ายไม่สามารถให้บริการได้ | SYN Flood, UDP Amplification, HTTP Flood, Ransom DDoS (RDDoS) |
| Privilege Escalation | เพิ่มสิทธิ์จาก User ธรรมดาเป็น Admin/Root/SYSTEM | Kernel Exploit (Dirty Pipe, CVE-2022-0847), Token Manipulation, Sudo Misconfig |
| Lateral Movement | เคลื่อนที่ในเครือข่ายจากจุดโดนแฮก ไปเป้าหมายจริง | Pass-the-Hash, Pass-the-Ticket, RDP/SSH/WinRM, SMB/WMI, BloodHound Paths |
| Data Exfiltration | ขโมยข้อมูลออกนอกองค์กร | DNS Tunneling, HTTPS Exfil, Cloud Storage Upload, Physical Media |
| Ransomware / Wiper | เข้ารหัส/ทำลายข้อมูล เรียกค่าไถ่ | LockBit, BlackCat/ALPHV, Cl0p, Conti, NotPetya (Wiper) |
| Supply Chain Attack | โจมตีผ่าน Vendor/Software Update/Dependency | SolarWinds (Sunburst), 3CX, Log4j (Log4Shell), Kaseya VSA |
Active Threat vs Passive Threat - เปรียบเทียบ
| ลักษณะ | Active Attack | Passive Attack |
|---|---|---|
| วัตถุประสงค์ | เปลี่ยนแปลง/รบกวน/ควบคุม/ทำลาย | ขโมยข้อมูล/ข่าวกรอง (Eavesdropping) |
| ผลต่อระบบ | ส่งผลโดยตรง (Downtime, Data Loss, Corruption) | ไม่ส่งผลโดยตรง (Stealthy) |
| การตรวจจับ | ง่ายกว่า (มี Logs, Alerts, Anomalies) | ยากมาก (ไม่มี Trace ในระบบเป้าหมาย) |
| ตัวอย่าง | MitM, DoS, Ransomware, SQLi, Hijacking | Packet Sniffing, Traffic Analysis, Keylogging (Passive), Wiretapping |
| การป้องกัน | IPS, WAF, EDR, MFA, Segmentation, Patching | Encryption (TLS, IPsec, MACsec), Physical Security |
Active Threat Management (การจัดการภัยคุกคามแบบกระทำงาน)
กระบวนการ Identify → Contain → Eradicate → Recover → Learn แบบ Real-time/Automated:
- Detection (การตรวจจับ): EDR/XDR, NDR, SIEM, Deception, Threat Hunting, UEBA
- Triage & Prioritization: Severity, Asset Criticality, Threat Intel, MITRE ATT&CK Mapping
- Containment (การควบคุม): Network Quarantine (NAC/EDR), Block IOCs (IP, Domain, Hash), Disable Account, Revoke Session/Tokens
- Eradication (การกำจัด): Remove Malware, Patch Vulnerability, Rotate Credentials, Rebuild Host
- Recovery (การกู้คืน): Restore from Backup, Verify Integrity, Monitor for Re-infection
- Lessons Learned: Root Cause Analysis, Update Detection Rules, Improve Defenses, Tabletop Exercise
กรณีศึกษา: Active Threat Scenario
Scenario: Phishing → Credential Theft → VPN Access → Lateral Movement → Data Exfiltration
- Initial Access (Active): User คลิกลิงก์ Phishing → ใส่ Credentials + MFA Code (Real-time Phishing Kit / Evilginx2)
- Active Directory Recon (Active): BloodHound/SharpHound รวบรวมข้อมูล Domain
- Lateral Movement (Active): Pass-the-Hash ไป Domain Controller
- Privilege Escalation (Active): Exploit ZeroLogon (CVE-2020-1472) → Domain Admin
- Persistence (Active): Golden Ticket (Kerberos), DCSync, Skeleton Key
- Data Staging & Exfiltration (Active): Rclone → Mega.nz / Azure Blob / S3
- Ransomware Deployment (Active): Group Policy / PSExec / WMI Deploy Encryptor
การป้องกัน Active Threats (Prevention & Mitigation)
- Zero Trust Architecture: Verify Explicitly, Least Privilege, Assume Breach
- MFA Phishing-resistant: FIDO2/WebAuthn, Passkeys, Certificate-based (ไม่ใช่ SMS/Push)
- Network Segmentation + Micro-segmentation: จำกัด Lateral Movement
- Endpoint Protection (EDR/XDR): Behavioral Blocking, Memory Protection, Tamper Protection
- Identity Threat Detection (ITDR): Silverfort, Semperis, AuthMind - Detect AD Attacks
- Deception Technology: Decoys, Honeytokens, Canary Tokens - Early Warning
- Automated Response (SOAR): Auto-contain, Auto-block, Auto-remediate
- Patch Management: SLAs ตาม Severity (Critical: 72h, High: 7d)
- Offline/Immutable Backups: 3-2-1 Rule, Test Restore
สรุป
Active Threat = การโจมตีที่ "กระทำ" เปลี่ยนแปลงสถานะระบบ (Modify, Disrupt, Inject, Impersonate) ต่างจาก Passive ที่ "สังเกต" เท่านั้น ประเภทหลัก: MitM, Hijacking, DoS/DDoS, Privilege Escalation, Lateral Movement, Ransomware, Supply Chain ต้องมี Defense in Depth + Zero Trust + Automated Detection/Response เพื่อลด Blast Radius และ Mean Time to Respond (MTTR)
