Masquerading (การปลอมตัว / การแอบแฝง) คืออะไร?
Masquerading คือ การที่ Entity ไหน Entity หนึ่ง (User, Process, Device, Service) ปลอมตัวเป็น Entity อื่นที่ได้รับอนุญาต (Authorized) เพื่อ ข้ามการควบคุมการเข้าถึง (Access Control) และทำกิจกรรมอันตรายบนระบบ/เครือข่าย
Masquerade Attack = Identity Spoofing + Unauthorized Access
รูปแบบของ Masquerading Attacks
| ประเภท | คำอธิบาย | ตัวอย่างเทคนิค |
|---|---|---|
| User Impersonation | ปลอมเป็น User อื่น (Admins, Service Accounts) | Credential Theft (Phishing, Keylogger, Mimikatz), Pass-the-Hash, Pass-the-Ticket, Golden/Silver Ticket, Token Impersonation |
| Service/Process Masquerading | Process ร้ายปลอมเป็น Legitimate System Process | DLL Side-loading, Process Hollowing, Process Doppelgänging, Living-off-the-Land Binaries (LOLBins), Signed Binary Proxy Execution |
| Network/Device Masquerading | อุปกรณ์/โฮสต์ปลอมเป็นอุปกรณ์ที่เชื่อถือได้ | MAC Spoofing, IP Spoofing, ARP Poisoning, NDP Spoofing, Rogue AP, Evil Twin, DHCP Spoofing |
| Domain/Service Spoofing | ปลอมแปลง Service/Domain ที่เชื่อถือได้ | Typosquatting, Homograph Attack, Subdomain Takeover, SAML/Assertion Forgery, OAuth Token Theft |
| Email/Communication Masquerading | ปลอมตัวส่งอีเมล/ข้อความ | Email Spoofing (SPF/DKIM/DMARC Bypass), Display Name Spoofing, Lookalike Domains, BEC (Business Email Compromise) |
Masquerading vs Spoofing vs Impersonation
| คำศัพท์ | ความหมาย | ขอบเขต |
|---|---|---|
| Spoofing | ปลอมแปลงข้อมูลระบุตัวตน (IP, MAC, Email Header, Caller ID, DNS) | Technical Layer (Packet/Protocol) |
| Impersonation | กระทำการปฏิบัติเป็นบุคคล/สิทธิ์ของอีกฝ่าย | Action/Behavior Level |
| Masquerading | รวมทั้งสอง: ปลอมตัวตน (Technical) + กระทำเป็นฝ่ายอื่น (Behavioral) เพื่อข้าม Control | Attack Pattern (Tactic) |
ใน MITRE ATT&CK: Masquerading อยู่ที่ T1036 (Defense Evasion) มี Sub-techniques เช่น T1036.001-.008 (Match Legitimate Name, Right-to-Left Override, Rename System Utilities, etc.)
Masquerading เป็น Active Attack หรือ Passive?
Active Attack เพราะ:
- Attacker กระทำอย่างแข็งขัน ส่ง Packet, รัน Code, แก้ไข Log, แทรก Session
- เปลี่ยนแปลงสถานะระบบ (State Change)
- ขัดจังหวะ Integrity, Availability, Confidentiality
ตัวอย่าง Masquerading Attacks จริง
- Mimikatz + Pass-the-Hash: ขโมย NTLM Hash จาก LSASS → Authenticate เป็น Domain Admin
- SolarWinds SUNBURST: Malicious DLL ปลอมเป็น SolarWinds Orion Legitimate Component (Supply Chain)
- Evil Twin AP: Rogue AP ปลอม SSID เดียวกัน Captive Portal ขโมย Credentials
- BEC (CEO Fraud): โจมตีปลอมอีเมล CEO ขอโอนเงิน/ข้อมูล (Display Name Spoofing + Lookalike Domain)
- Living-off-the-Land: ใช้
powershell.exe,wmic.exe,certutil.exe,mshta.exeทำกิจกรรมร้าย ปลอมเป็น Admin Task
การตรวจจับและป้องกัน Masquerading
Detection (การตรวจจับ)
- UEBA (User & Entity Behavior Analytics): Baseline Behavior → Anomaly (Impossible Travel, Unusual Time, New Device, Privilege Use)
- EDR/XDR: Process Tree Analysis, Command Line Logging (4688), DLL Loads, Token Manipulation Detection
- Network Detection (NDR): ARP Anomalies, MAC-IP Mismatch, Rogue DHCP, Certificate Transparency Logs
- Email Security: DMARC Enforcement, SPF/DKIM Alignment, Lookalike Domain Detection, Sender Reputation
- Deception/Honeypots: Decoy Accounts, Canary Tokens, Fake Shares → Alert เมื่อถูกใช้งาน
Prevention / Mitigation (การป้องกัน/ลดผลกระทบ)
- MFA (Phishing-Resistant): FIDO2/WebAuthn, Passkeys, Hardware Keys (YubiKey) - ไม่ใช้ SMS/OTP
- Zero Trust / ZTNA: Verify Every Request, Device Posture, Least Privilege, Micro-segmentation
- Credential Protection: LSASS Protection (RunAsPPL, Credential Guard), Restricted Admin Mode, Tiered Administration
- Application Control: WDAC / AppLocker - Allow Only Signed/Trusted Binaries
- Network Segmentation: VLAN, Micro-seg, East-West Firewall, Private Link
- Certificate Pinning / mTLS: Service-to-Service Auth
- Email Authentication: DMARC=reject, SPF, DKIM, BIMI
- Privileged Access Management (PAM): Just-in-Time, Session Recording, Credential Rotation
สรุป: Masquerading = การปลอมตัวตนเพื่อข้าม Defense
เป็น Core Tactic ของ Attacker ทุกระดับ (Initial Access → Persistence → Privilege Escalation → Lateral Movement → Exfiltration)
การป้องกันต้องใช้ Defense in Depth: Identity-Centric (MFA, PAM, Zero Trust) + Behavior-Based Detection (EDR/XDR/NDR/UEBA) + Network Controls (Segmentation, Encryption) + User Training
