Adversary (คู่แข่ง/ผู้โจมตี) ในบริบท Network Security คืออะไร?
Adversary (Threat Actor / Threat Agent) หมายถึง **บุคคล กลุ่ม หรือองค์กร** ที่มี **เจตนา (Intent), ความสามารถ (Capability), และโอกาส (Opportunity)** ในการโจมตี รบกวน หรือทำลาย ความปลอดภัยของเครือข่าย ระบบ หรือข้อมูลขององค์กร
Adversary vs Hacker: แตกต่างกันอย่างไร?
| ด้าน | Adversary (Threat Actor) | Hacker | |
|---|---|---|---|
| นิยาม | ผู้มีเจตนาและความสามารถโจมตีเป้าหมายเฉพาะ (Targeted) | ผู้มีทักษะทางเทคนิคสูง ใช้เพื่อเจาะระบบ (Neutral/Positive/Negative) | |
| ขอบเขต | กว้าง: Nation-state, Cybercrime Group, Hacktivist, Insider, Competitor, Terrorist | แคบ: เน้นทักษะเทคนิค (อาจเป็น White/Gray/Black Hat) | |
| แรงจูงใจ | ชัดเจน: Espionage, Financial Gain, Disruption, Ideology, Destruction | หลากหลาย: Curiosity, Challenge, Profit, Activism, Malice | |
| ระดับความซับซ้อน | สูง (APT, Custom Tools, Zero-day, Long-term Campaign) | หลากหลาย (Script Kiddie -> Elite) | |
| การกำหนดเป้าหมาย | Targeted (Specific Organization/Sector) | Opportunistic หรือ Targeted | |
| ตัวอย่าง | APT28 (Fancy Bear), Lazarus Group, FIN7, Conti, LockBit, Insider Threat | Kevin Mitnick (เก่า), The Dark Overlord, Lapsus$, Bug Bounty Hunters |
| Category | แรงจูงใจ | ความสามารถ | ตัวอย่าง |
|---|---|---|---|
| Nation-State / APT | Espionage, Sabotage, Influence, Intellectual Property Theft | Very High (Zero-days, Custom Malware, Supply Chain, SIGINT) | APT28/29 (Russia), APT41 (China), Lazarus (NK), Charming Kitten (Iran) |
| Cybercrime / Organized Crime | Financial Gain (Ransomware, Fraud, Data Theft, Cryptojacking) | High (RaaS, Phishing Kits, Bulletproof Hosting, Money Laundering) | LockBit, BlackCat/ALPHV, Cl0p, FIN7, Evil Corp |
| Hacktivists | Ideological, Political, Social Causes | Medium (DDoS, Defacement, Data Leaks, Doxing) | Anonymous, GhostSec, Killnet, SiegedSec |
| Insider Threats | Revenge, Financial Gain, Ideology, Coercion, Negligence | High (Legitimate Access, Knowledge of Systems) | Malicious Admin, Negligent Employee, Compromised Credentials |
| Competitors / Corporate Espionage | Competitive Advantage, Trade Secrets, M&A Intelligence | Medium-High (Targeted, Social Engineering, Supply Chain) | Industry-specific (Rarely Public) |
| Terrorists / Extremists | Destruction, Fear, Propaganda, Disruption | Low-Medium (Increasing Cyber Capability) | ISIS Cyber Caliphate, Pro-Russia/Ukraine Groups |
| Script Kiddies / Opportunistic | Notoriety, Curiosity, Easy Targets | Low (Automated Tools, Known Exploits, Default Creds) | Random Scanners, Shodan Users, Basic Ransomware Affiliates |
Adversary Tactics: การแตกต่างตัวตน (Disguise/Evasion Techniques)
Adversaries ใช้เทคนิค **Living off the Land (LotL), Defense Evasion, Masquerading** เพื่อหลบเลี่ยงการตรวจจับ:
- Living off the Land (LotL): ใช้ Built-in Tools (PowerShell, WMI, Certutil, Bitsadmin, Schtasks, Regsvr32, Mshta, Rundll32) แทน Custom Malware
- Masquerading: ปลอมชื่อ Process/File/Service ให้ดูเหมือน Legitimate (เช่น `svchost.exe` ใน Path ผิด, `chrome_updater.exe`)
- Proxy/VPN/TOR/Relay Chains: ซ่อน True Source IP (Infrastructure Hopping)
- Domain Fronting / CDN Abuse: ซ่อน C2 Traffic ใต้ Legitimate CDN (Cloudflare, Azure, AWS)
- Encrypted Channels (TLS/SSL, DNS-over-HTTPS, QUIC): ซ่อน Payload จาก Inspection
- Valid Accounts / Credential Theft: ใช้ Credential จริงที่ขโมยมา (Initial Access -> Lateral Movement)
- Scheduled Tasks / Services / WMI Event Subscriptions: Persistence แบบ Stealthy
- Timestomping: เปลี่ยน Timestamp ไฟล์ ให้ดูเหมือน System File
- Obfuscation/Encoding: Base64, XOR, AES, Custom Encoders สำหรับ Scripts/Payloads
MITRE ATT&CK Framework: ภาษาร่วมสำหรับ Adversary Behavior
ใช้ **MITRE ATT&CK** เป็น Framework มาตรฐานอธิบาย Tactics, Techniques, Procedures (TTPs) ของ Adversary:
- 14 Tactics: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command & Control, Exfiltration, Impact
- แต่ละ Tactic มีหลาย Techniques (เช่น T1059.001 PowerShell, T1055 Process Injection, T1003 OS Credential Dumping)
- ใช้สำหรับ: Threat Intelligence, Detection Engineering, Red/Purple Teaming, Gap Analysis
การป้องกันและตรวจจับ Adversaries (Defense Strategies)
| กลยุทธ์ | มาตรการ |
|---|---|
| Identity-First (Zero Trust) | MFA Everywhere, Conditional Access, PAM/PIM, Passwordless (FIDO2), Continuous Verification |
| Network Segmentation / Micro-segmentation | Zero Trust Network, East-West Control, Lateral Movement Prevention |
| Endpoint Detection & Response (EDR/XDR) | Behavioral Detection, LotL Detection, Memory Scanning, Automated Response |
| Network Detection & Response (NDR) | East-West Traffic Analysis, Encrypted Traffic Analysis (ETA), C2 Detection, DGA Detection |
| Threat Intelligence Integration | IOC Feeds, TTP Mapping, Attribution, Threat Hunting, Prioritization |
| Security Awareness & Phishing Simulation | Reduce Human Risk (Initial Access Vector #1) |
| Vulnerability & Patch Management | Risk-based Prioritization (EPSS, KEV), Automated Patching, Virtual Patching |
| Incident Response & Recovery | IR Plan, Playbooks, Tabletop Exercises, Immutable Backups, Cyber Recovery Vault |
| Deception Technology | Honeypots, Honeytokens, Canary Tokens, Breadcrumbs -> Early Detection |
คำถามที่พบบ่อย (FAQ)
Adversary และ Hacker ต่างกันที่จุดไหนสำคัญที่สุด?
**Adversary = Targeted, Motivated, Resourced, Persistent (AMR)** | Hacker = Skill-based Label (อาจไม่ Targeted, อาจเป็น Ethical)
Dwell Time (เวลาที่โจมตีอยู่ในระบบก่อนถูกตรวจพบ) เฉลี่ยเท่าไหร่?
**Median ~24 วัน** (Mandiant M-Trends 2024) ลดลงจากเดิม แต่มากกว่า 1 ปีในบางกรณี (APT)
ภัยคุกคามใหญ่ที่สุดต่อ Network Security คืออะไร?
**Social Engineering/Phishing (Initial Access #1)** -> Credential Theft -> Lateral Movement -> Ransomware/Data Exfil | Unpatched Vulnerabilities | Misconfiguration (Cloud/AD) | Supply Chain
Active Defense / Hack Back ทำได้ไหม?
**ผิดกฎหมายในส่วนใหญ่** (US CFAA, UK CMA, Thailand CCA) เฉพาะ Law Enforcement/Intelligence ที่มี Warrant/Authority เท่านั้น
