Honeypot คืออะไร?
ระบบ/บริการปลอม (Decoy) ตั้งค่าให้ดูเหมือนระบบจริงที่มีช่องโหว่ ล่อดึง Attacker มาโจมตี เพื่อศึกษาพฤติกรรมและรวบรวมข้อมูลภัยคุกคาม
ทำไมต้องใช้ Honeypot?
- Visibility: มองเห็นการโจมตีที่ Firewall/IDS พลาด (Zero-day, Insider)
- Threat Intelligence: รวบรวม Malware Samples, C2 IPs, Attack Tools, TTPs
- Deception: เบี่ยงเบน Attacker ใช้เวลา/ทรัพยากรบน Honeypot แทนระบบจริง
- Detection: Trigger Alert สำหรับกิจกรรมผิดปกติ (Low False Positives)
- Training: ให้ทีม SOC/Blue Team ฝึก Incident Response จริง
Honeypot ทำงานอย่างไร?
- Deploy Decoy Systems (VM, Container, Physical)
- Configure Vulnerable Services (SSH, RDP, Web, Database, IoT)
- Monitor & Log ทุก Interaction (Keystrokes, File Access, Network Traffic)
- Alert SOC Team เมื่อมีกิจกรรม
- Analyze: Malware Behavior, Attacker Origin, Tools Used
Deployment Strategies
- External (DMZ/Internet-facing): จับ Automated Scanners, Bots
- Internal (Network Segments): จับ Insider, Lateral Movement
- Cloud (AWS/Azure/GCP): จับ Cloud-specific Attacks
- Near Real Assets: ติดเครื่องจริง (เช่น SQL Honeypot ใกล้ SQL Server จริง)
เครื่องมือ Open Source ยอดนิยม
- Cowrie: SSH/Telnet Honeypot (Python)
- Dionaea: Multi-protocol (SMB, HTTP, TFTP, etc.)
- Conpot: ICS/SCADA Honeypot
- Honeyd: Virtual Honeypots (Low-interaction)
- T-Pot: All-in-one Honeypot Platform (Docker)
ความเสี่ยงและข้อจำกัด
- มองเห็นได้เฉพาะการโจมตีที่มุ่งเน้น Honeypot
- Attacker อาจตรวจจับได้ (Fingerprinting) และหลีกเลี่ยง
- Legal Liability หากถูกใช้เป็น Launchpad
- ต้องการ Maintenance, Monitoring, Isolation ที่เข้มงวด
