Honeypot (ฮันนีย์พอต) คืออะไร?
Honeypot คือ "กับดักเสมือน" (Virtual Trap) ที่ตั้งใจวางไว้เพื่อ誘ดัก (Lure) ผู้โจมตี เข้ามาโจมตีระบบปลอมนี้ แทนที่จะโจมตีระบบจริง ช่วยให้ทีมความปลอดภัยศึกษารูปแบบการโจมตีและเสริมสร้างการป้องกัน
Honeypot ให้ความปลอดภัยกับเครือข่ายอย่างไร?
- ทำหน้าที่เป็น Decoy (เป้าปลอม) ดึงดูดการโจมตี
- ตรวจจับ, เลี้ยงทาง (Deflect), และศึกษาการพยายามเข้าถึงโดยไม่ได้รับอนุญาต
- วางที่จุดที่ดูเปราะบางและไม่ได้รับการปกป้อง แต่ถูกเฝ้าระวังและแยกออกจากเครือข่ายจริง (Isolated)
ประเภทของ Honeypot
- Production Honeypot: ใช้ในสภาพแวดล้อมจริง ช่วยปรับปรุง IDS และการตอบสนองต่อภัยคุกคาม
- Research Honeypot: ใช้ศึกษาพฤติกรรมและเทคนิคของผู้โจมตี เพื่อพัฒนาการป้องกันในอนาคต
ระดับการโต้ตอบ (Interaction Levels)
- Low Interaction: จำลองบริการพื้นฐาน (เช่น SSH, HTTP) เล็ก น้อย ทรัพยากร ตรวจจับการสแกน/โจมตีพื้นฐานได้
- Medium Interaction: จำลอง OS และบริการมากขึ้น อนุญาตให้โจมตีไปได้ลึกกว่า
- High Interaction: ใช้ OS และแอปพลิเคชันจริง เสี่ยงสูง แต่ได้ข้อมูลละเอียดที่สุด
ประโยชน์ของ Honeypot
- เพิ่ม Visibility (มองเห็น) การโจมตีที่ Firewall ไม่บล็อกได้
- จับภัยคุกคามภายใน (Insider Threats) ได้
- ลด Noise ทำให้ทีม Security โฟกัสที่ภัยคุกคามจริง
- รวบรวมข้อมูล Threat Intelligence
Honeypot vs Honeynet
Honeypot: ระบบปลอมเดี่ยว
Honeynet: เครือข่ายปลอมที่ประกอบด้วยหลาย Honeypots บนเซิร์ฟเวอร์เดียวกัน จำลองเครือข่ายจริงมากขึ้น
ตัวอย่างการใช้งาน
- วาง SSH Honeypot บนพอร์ต 22 เพื่อจับ Brute-force Attack
- สร้าง Web Application Honeypot เพื่อศึกษา SQL Injection, XSS
- ใช้ Cowrie, Dionaea, Honeyd (Open Source Tools)
