Eavesdropping (การขโมยฟัง/การแทรกสอดแนม) คืออะไร?
Eavesdropping Attack (Sniffing/Snooping) คือ การ แทรกสอดแนม (Intercept) การสื่อสารระหว่างสองฝ่ายผ่านเครือข่าย โดยที่ผู้สื่อสารไม่รู้ตัว เพื่อขโมยข้อมูล nhạy cảm เช่น Credentials, Session Tokens, PII, Financial Data, Intellectual Property
🎯 วัตถุประสงค์ของผู้โจมตี
- ขโมย Username/Password (Cleartext Protocols: HTTP, FTP, Telnet, SNMP v1/v2)
- Session Hijacking (ขโมย Session Cookie/Token)
- Corporate Espionage (ขโมย Trade Secrets, Emails, Documents)
- Financial Fraud (Credit Card, Banking Info)
- Reconnaissance สำหรับการโจมตีขั้นต่อไป (Lateral Movement)
📡 2 ประเภทหลักของ Eavesdropping
| Type | คำอธิบาย | ตัวอย่างเทคนิค | การตรวจจับ |
|---|---|---|---|
| Passive Eavesdropping | แค่ "ฟัง" / Capture Traffic ไม่ส่ง Packet ใดๆ กลับเข้า Network | Port Mirroring (SPAN), Hub (Legacy), Wi-Fi Monitor Mode, Fiber Tapping, Malware на Host (Sniffer) | ยากมาก (No Traffic Injected) ต้องใช้ Physical Security, Encryption, Network Monitoring |
| Active Eavesdropping | แทรกตัวเป็น Man-in-the-Middle (MitM) ส่ง/แก้ไข Packet | ARP Spoofing/Poisoning, DNS Spoofing, DHCP Spoofing, Rogue AP (Evil Twin), SSL Stripping, BGP Hijacking | ง่ายกว่า (มี Anomaly Traffic) IDS/IPS, NDR, ARP Inspection, DAi, Certificate Pinning |
🌐 Eavesdropping ในสภาพแวดล้อมต่างๆ
Wired Network (Ethernet)
- Port Mirroring (SPAN/TAP) - Legitimate Admin Tool แต่ถูก濫用ได้
- ARP Spoofing (Local Segment) - Redirect Traffic ผ่าน Attacker
- MAC Flooding - Force Switch เป็น Hub (Broadcast All Ports)
Wireless (Wi-Fi)
- Monitor Mode + Aircrack-ng Suite: Capture Handshake → Offline Brute Force (WPA2)
- Evil Twin / Rogue AP: Clone SSID, Deauth Victim → Connect Attacker AP → MitM
- WPS Pixie Dust: Brute Force WPS PIN → Recover WPA Key
VoIP / Unified Communications
- RTP Stream Capture → Convert to Audio (.wav)
- SIP Signaling Intercept → Call Metadata, Credentials
- Tools: Wireshark (RTP Player), VoIP Hopper, SIPVicious
Cloud / Virtualized
- VPC Flow Logs, Mirror Traffic (AWS Traffic Mirror, Azure Network Watcher)
- Side-channel Attacks (Spectre/Meltdown) ใน Shared Hardware
- Container Network Sniffing (Host Network Namespace Access)
🛡️ การป้องกันและลดทอน (Mitigation Strategies)
| Layer | Countermeasures |
|---|---|
| Encryption (Best Defense) | TLS 1.3 (HTTPS, LDAPS, SMTPS, IMAPS), IPsec VPN, MACsec (802.1AE), WireGuard, SSH, SFTP, SRTP (VoIP), DTLS (IoT) - Encrypt Everything |
| Network Segmentation | VLANs, Micro-segmentation, Zero Trust - จำกัด Blast Radius, ป้องกัน Lateral Sniffing |
| Switch Security | Dynamic ARP Inspection (DAI), DHCP Snooping, IP Source Guard, Port Security, Private VLANs, Disable Unused Ports |
| Wireless Security | WPA3-SAE / WPA2-Enterprise (802.1X), Disable WPS, Rogue AP Detection (WIPS), PMF (802.11w) |
| Authentication & Integrity | Certificate Pinning, HSTS, DNSSEC, S/MIME, PGP, Signed Commits, Mutual TLS (mTLS) |
| Monitoring & Detection | NDR (Network Detection & Response), Zeek/Suricata, Flow Analysis, Anomaly Detection (ML), Honeytokens |
| Physical Security | Secure Cable Runs, Fiber Monitoring (OTDR), Locked Racks, Tamper-evident Seals, TEMPEST (High Security) |
📜 มาตรฐานและกฎระเบียบที่เกี่ยวข้อง
- NIST SP 800-53: SC-8 (Transmission Confidentiality/Integrity), SC-7 (Boundary Protection)
- ISO 27001: A.13.1 (Network Controls), A.13.2 (Information Transfer)
- PCI-DSS: Req 4 (Encrypt Transmission of Cardholder Data)
- GDPR Art. 32: Security of Processing (Encryption)
⚖️ Legal/Ethical Note
Eavesdropping ผิดกฎหมายในส่วนใหญ่ของประเทศ (Thailand: Computer Crime Act B.E. 2550, PDPA) ยกเว้น Lawful Interception (Court Order) และ Network Admin ที่ Authorized Monitoring ตาม Policy
