home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

Zombie ใน Network Security คืออะไร? (Botnet, Zombie Computer, DDoS)

Zombie (ซอมบี้) ใน Network Security คืออะไร?

Zombie Computer (หรือ Bot) คือคอมพิวเตอร์ หรืออุปกรณ์ใดๆ ที่เชื่อมต่ออินเทอร์เน็ต ซึ่ง ติดมัลแวร์ (Malware: Virus, Worm, Trojan, Rootkit) ทำให้ถูกควบคุมจากระยะไกลโดยผู้โจมตี (Botmaster / Bot Herder) โดยที่เจ้าของเครื่องไม่รู้ตัว

คำศัพท์สำคัญ

  • Bot (Robot): โปรแกรมอัตโนมัติที่รันบนเครื่องเหยื่อ รับคำสั่งจาก C2
  • Zombie: เรียก Bot ว่า Zombie เพราะ "ตาย" (เสียสิทธิ์ควบคุม) แต่ "เคลื่อนไหว" (ทำคำสั่งโจมตี)
  • Botnet (Bot Network / Zombie Army): เครือข่ายของ Zombie หลายพัน/ล้านเครื่อง ที่ถูกควบคุมโดย C2 Server เดียวกัน
  • C2 (Command & Control Server): เซิร์ฟเวอร์ควบคุมส่งคำสั่งให้ Botnet (HTTP, IRC, P2P, DNS, Tor, Domain Generation Algorithm - DGA)
  • Bot Herder / Botmaster: ผู้ควบคุม Botnet

Zombie ถูกใช้ในการโจมตีอย่างไร?

  1. DDoS (Distributed Denial of Service): สั่ง Zombie หลายพันเครื่องส่ง Request/Traffic ไปยัง Target (Website, Server, DNS, API) จนล่ม/ช้า (Volumetric, Protocol, Application Layer)
  2. Spam / Phishing Email: ใช้ Zombie ส่งสแปม/ฟิชชิงจำนวนมาก (หลบ Spam Filter ได้เพราะมาจาก IP หลากหลาย/Residential)
  3. Credential Stuffing / Brute Force: ใช้ Zombie ลอง Username/Password ที่รั่วไหล (Credential Lists) เข้าระบบอื่น
  4. Cryptojacking: ใช้ CPU/GPU ของ Zereum Mine Cryptocurrency (Monero/XMR)
  5. Click Fraud / Ad Fraud: คลิกโฆษณา/ดูวิดีโอปลอม เพื่อกระทุยรายได้โฆษณา
  6. Proxy / VPN Exit Nodes: ใช้ Zombie เป็น Proxy ซ่อน IP จริงของโจมตี
  7. Data Exfiltration: ขโมยข้อมูลจากเครื่อง Zombie เอง หรือใช้เป็น Jump Host โจมตีเครือข่ายภายใน
  8. Malware Distribution: ใช้ Zombie โฮสต์/เผยแพร่ มัลแวร์ใหม่

อาการบ่งชี้เครื่องเป็น Zombie (Indicators of Compromise - IoCs)

  • คอมพิวเตอร์ ช้าลงมาก / CPU/RAM/Network ใช้สูงผิดปกติ (โดยเฉพาะตอนไม่ได้ใช้งาน)
  • พัดลมหมุนดัง/ร้อนผิดปกติ
  • อินเทอร์เน็ตช้า / Bandwidth ใช้สูง
  • โปรแกรม/Process แปลกชื่อ รันใน Background (Task Manager / Activity Monitor)
  • Antivirus/EDR แจ้งเตือน / ถูกปิดการทำงาน / ไม่สามารถอัปเดตได้
  • ไฟล์/โฟลเดอร์หายไป/เข้ารหัส (Ransomware)
  • Browser: Homepage เปลี่ยน, Toolbar แปลก, Redirect, Pop-ups มาก
  • Log: Outbound connections ไป IP แปลก, Port แปลก (IRC 6667, High Ports), DNS Query แปลก (DGA)

วิธีป้องกันและกำจัด Zombie (Prevention & Remediation)

  1. Endpoint Protection (EDR/XDR): ติดตั้งบนทุก Endpoint (Microsoft Defender for Endpoint, CrowdStrike, SentinelOne, Cortex XDR, Bitdefender, Kaspersky)
  2. Network Firewall / IPS / NDR: บล็อก C2 Traffic, Suspicious Connections, DGA Detection (Palo Alto, Fortinet, Cisco, Zeek/Suricata)
  3. Patch Management: อัปเดต OS, Browser, Office, Plugin, Firmware ทันทีที่มี Patch (Vulnerability Management)
  4. Email Security Gateway: บล็อก Phishing, Malicious Attachments/Links (Proofpoint, Mimecast, Microsoft Defender for Office 365)
  5. Application Control / Whitelisting: อนุญาตเฉพาะแอปที่อนุมัติ (AppLocker, WDAC, Carbon Black)
  6. User Education: Phishing Awareness, ไม่โหลด Crack/Keygen, ไม่คลิกลิงก์แปลก
  7. Network Segmentation & Zero Trust: จำกัด Lateral Movement หากมีเครื่องติด
  8. Disable Unnecessary Services/Ports: SMBv1, RDP (หากไม่ใช้), PowerShell Constrained Language Mode
  9. DNS Security: Block Known Malicious Domains (Quad9, Cisco Umbrella, NextDNS, Pi-hole)
  10. Incident Response: Isolate (Quarantine Network), Forensic Image, Malware Analysis, Eradicate, Restore from Clean Backup, Rotate Credentials

Zombie ใน Cloud Computing (Zombie Attack in Cloud)

  • Compromised Cloud Instances (EC2, VM, Container) ใช้เป็น Zombie โจมตีภายใน VPC หรือภายนอก
  • Crypto-mining บน Cloud Resources (Hijacked Credentials, Vulnerable Containers)
  • Container Escape > Host Compromise > Lateral Movement
  • Serverless Function Abuse (Lambda, Cloud Functions) สำหรับ DDoS/Cryptojacking

ประวัติ Botnet/Zombie โดดเด่น

  • Mirai (2016): IoT Botnet (Cameras, Routers, DVRs) - DDoS Dyn DNS, Krebs, OVH (1+ Tbps)
  • Conficker (2008): Windows Worm - Botnet ~10M+ ใช้ DGA
  • Zeus / Gameover ZeuS: Banking Trojan Botnet - ขโมยเงินธนาคาร > $100M
  • Emotet: Modular Botnet - Dropper สำหรับ TrickBot, Ryuk Ransomware
  • TrickBot: Banking Trojan > Ransomware Loader (Ryuk, Conti)
  • Mirai Variants: Satori, Okiru, Masuta, Moobot, Echobot
  • Meris (2021): MikroTik Router Botnet - Record HTTP DDoS (21.8M RPS)

สรุป: Zombie = เครื่องติดมัลแวร์ ถูกควบคุมระยะไกล (Bot) ส่วนของ Botnet ใช้โจมตี DDoS, Spam, Crypto mining, Credential Stuffing, Proxy การป้องกัน: EDR/XDR, Firewall/IPS, Patch, Email Security, Segmentation, Zero Trust, User Training, IR Plan การตรวจจับ: High CPU/Net, Strange Process, C2 Traffic, EDR Alerts