Honeypot (กระดังผึ้ง)
ระบบเป้าหมายปลอม (Decoy) ตั้งใจให้ดูเปราะบาง ล่อดึง Attacker มาโจมตี เพื่อ:
- ศึกษา TTPs (Tactics, Techniques, Procedures)
- รวบรวม Threat Intelligence
- เบี่ยงเบน Attacker จากระบบจริง
- ทดสอบ/ปรับปรุง IDS/IPS Rules
- จับ Insider Threats
Honeynet (เครือข่ายกระดังผึ้ง)
กลุ่ม Honeypots หลายตัวเชื่อมต่อกัน จำลองเครือข่ายจริง จัดการโดย Honeywall (Gateway ควบคุม/ตรวจสอบ Traffic ระหว่าง Honeynet กับ Internet)
Padded Cell (เซลล์รองน้ำะ)
Hardened Honeypot - Honeypot ที่เสริมความปลอดภัยพิเศษ ยากต่อการ Compromise มากกว่า Honeypot ธรรมดา ทำงานร่วมกับ IDS แบบ التقليدية:
- IDS ตรวจจับการโจมตี
- Redirect Attacker ไป Padded Cell
- Attacker คิดว่าสำเร็จ แต่อยู่ในสภาพแวดล้อมควบคุม
- บันทึกกิจกรรมทั้งหมดโดยไม่เสี่ยงระบบจริง
ความแตกต่างสำคัญ
| คุณสมบัติ | Honeypot | Padded Cell |
|---|---|---|
| วัตถุประสงค์ | ล่อดึง ศึกษา | ควบคุม จำกัดความเสียหาย |
| ความแข็งแรง | ตั้งใจอ่อนแอ | Hardened (ยากต่อการแฮก) |
| การทำงาน | Standalone | ร่วมกับ IDS (Redirect) |
ประเภท Honeypot
- Low-interaction: Emulate Services (Cowrie, Dionaea) - ปลอดภัย ใช้ทรัพยากรน้อย
- High-interaction: Real OS/Services - เสี่ยงสูง ให้ข้อมูลละเอียดมาก
- Research vs Production: วิจัย vs ป้องกันจริง
Legal/Ethical Considerations
- Entrapment Issues (ดึงดูดให้ทำผิด)
- Liability หาก Attacker ใช้ Honeypot โจมตีอื่น
- Data Privacy (Log Attacker Data)
- ต้องมี Policy ชัดเจน และ Legal Review
