Network Scanning คืออะไร?
Network Scanning คือกระบวนการส่ง Probe/Packet ไปยังเป้าหมาย (Host, Network, Port, Service) เพื่อรวบรวมข้อมูลเช่น: Live Hosts, Open Ports, Running Services, OS Fingerprint, Vulnerabilities, Configuration Issues — ใช้ทั้งโดย ผู้ดูแลระบบ (Defensive) และ ผู้โจมตี (Offensive)
ประเภทการสแกนเครือข่าย (Types of Network Scanning)
1. Host Discovery / Network Discovery (Ping Sweep)
- วัตถุประสงค์: หา Host ที่ "Up" (Alive) ในเครือข่าย
- เทคนิค: ICMP Echo Request (Ping), ARP Request (Local LAN), TCP SYN/ACK to Common Ports, UDP Probe
- คำสั่ง Nmap:
nmap -sn 192.168.1.0/24(No port scan)
2. Port Scanning
- วัตถุประสงค์: หา Port ที่ Open/Closed/Filtered บน Host เป้าหมาย
- ประเภท:
- TCP Connect Scan (-sT): Full 3-way Handshake — ช้า, ต้อง Root ไม่ได้, Log มาก
- TCP SYN Scan (-sS): Half-open (SYN → SYN/ACK → RST) — เร็ว, Stealthy, ต้อง Root — Default/Recommended
- TCP FIN/NULL/Xmas Scan (-sF/-sN/-sX): Flag Combination ผิดปกติ — Bypass บาง Firewall, ไม่ทำงานกับ Windows
- UDP Scan (-sU): ส่ง UDP Packet → รอ ICMP Port Unreachable — ช้า, Unreliable, แต่จำเป็นสำหรับ DNS, SNMP, DHCP, NTP
- SCTP INIT/COOKIE-ECHO Scan: สำหรับ SCTP Services
- Port Ranges: Well-known (0-1023), Registered (1024-49151), Dynamic/Ephemeral (49152-65535)
3. Service/Version Detection
- วัตถุประสงค์: ระบุ Service Name, Version, Banner, Extrainfo บน Open Ports
- คำสั่ง Nmap:
nmap -sV 192.168.1.10(Version Detection),-A(Aggressive: OS + Version + Scripts + Traceroute) - Banner Grabbing: Netcat (
nc -v 192.168.1.10 80), Telnet, OpenSSL s_client
4. OS Fingerprinting
- Active: Nmap
-O(TCP/IP Stack Behavior Analysis — RST/ACK, Window Size, Options Ordering) - Passive: p0f, Ettercap, NetworkMiner — วิเคราะห์ Traffic ปกติ ไม่ส่ง Probe
5. Vulnerability Scanning
- วัตถุประสงค์: ระบุช่องโหว่ (CVE) บนระบบ/บริการที่พบ
- เครื่องมือ: Nessus, OpenVAS, Qualys, Rapid7 InsightVM, Tenable.io, Nuclei (Template-based)
- ประเภท: Credentialed (Authenticated) vs Non-credentialed — Credentialed ให้ผลแม่นยำกว่า
6. Specialized Scanning
- Wireless Scanning: Airodump-ng, Kismet, Wifite — SSID, BSSID, Channel, Encryption, Clients
- Web Application Scanning: OWASP ZAP, Burp Scanner, Nikto, Nuclei (HTTP Templates) — XSS, SQLi, SSRF, etc.
- Cloud/Container Scanning: Prowler (AWS/Azure/GCP), Trivy (Container Images), Kube-hunter (K8s)
- IoT/OT Scanning: Passive (No Active Probes) — Claroty, Nozomi, Dragos, или Passive DNS/NetFlow Analysis
เครื่องมือสแกนเครือข่ายยอดนิยม (Popular Tools)
| เครื่องมือ | ประเภท | จุดแข็ง | เหมาะสำหรับ |
|---|---|---|---|
| Nmap | Port/Host/Service/OS/Script | มาตรฐานอุตสาหกรรม, Scripting Engine (NSE), Flexible, Free/Open Source | ทุกการสแกนพื้นฐาน, Recon, Audit |
| Masscan | High-speed Port Scan | เร็วที่สุด (10M+ pps), Stateless, ต้อง Root | Internet-wide Scan, Large Network Discovery |
| Zmap | Internet-wide Scanner | Research, Single-port High-speed | Academic/Research, Internet Census |
| Angry IP Scanner | GUI Port/Host Scanner | Cross-platform, Easy GUI, Java-based | Beginner, Quick LAN Scan |
| Advanced IP Scanner | Windows GUI Scanner | Free, Fast, RDP/SSH/HTTP Integration, Export | Windows Admin, Quick Inventory |
| Nessus / OpenVAS | Vulnerability Scanner | Plugin Database กว่า 100k, Compliance, Reporting | Vuln Management, Compliance Audit |
| Nuclei | Template-based Scanner | YAML Templates, Fast, Extensible, CI/CD Integration | Vuln Scanning, Misconfig, Bug Bounty |
| Wireshark | Packet Analyzer | Deep Inspection, Dissectors, Lua Scripting | Traffic Analysis, Troubleshooting, Forensics |
| Zeek (Bro) | Network Security Monitor | Protocol Analysis, File Extraction, Scripting, High Performance | NDR, Traffic Analysis, Threat Hunting |
โปรเซสการสแกนอย่างเป็นระบบ (Scanning Methodology)
- Scope Definition: IP Ranges, Assets, Rules of Engagement (RoE), Legal Authorization, Time Windows
- Host Discovery:
nmap -sn -PE -PS22,80,443 -PA21,23,25,3389 10.0.0.0/16 - Port Scanning:
nmap -sS -p- -T4 --min-rate 1000 -oA tcp_full(All 65535 TCP Ports) - UDP Scanning (Top Ports):
nmap -sU --top-ports 100 -oA udp_top100 - Service/Version/OS:
nmap -sV -O --version-intensity 5 -oA service_os - Script Scanning (NSE):
nmap --script vuln,auth,default,safe -oA scripts - Vulnerability Scanning: Import Targets → Nessus/OpenVAS/Nuclei → Scan → Report
- Analysis & Reporting: Prioritize (CVSS + EPSS + Exploitability + Asset Criticality), Remediation Plan
ข้อควรระวังทางกฎหมายและจริยธรรม (Legal & Ethical)
- สหรัฐอเมริกา (CFAA - Computer Fraud and Abuse Act): สแกนระบบของผู้อื่นโดยไม่ได้รับอนุญาต = ผิดกฎหมาย (Civil + Criminal)
- ไทย (CCA - Computer Crime Act B.E. 2560): มาตรา 7-9: เข้าถึงระบบคอมพิวเตอร์ของผู้อื่นโดยไม่ได้รับอนุญาต = ติดคุก/ปรับ
- EU (GDPR, NIS2): การสแกนอาจถือเป็น Processing Personal Data — ต้องมี Legal Basis
- Bug Bounty Programs: อ่าน Scope & Rules อย่างละเอียด — Out of Scope = ไม่ได้รับอนุญาต
- Best Practice: ได้รับ 書面授權 (Written Authorization) ก่อนสแกนทุกครั้ง — Scope, IPs, Tools, Timeframe, Contact Person
การป้องกันและตรวจจับการสแกน (Defense & Detection)
- Network Level: Firewall/IPS Block Scanning Patterns (Threshold-based, Behavioral), Port Knocking, SPA (Single Packet Authorization)
- Host Level: Host-based Firewall (iptables/nftables/Windows Firewall), Fail2ban, Portspoof (Decoy Ports)
- Detection: SIEM Correlation (Multiple Failed Connections, Port Scan Signatures), NDR (Zeek/Suricata Scan Detection), Honeypots (Canary Tokens, Cowrie, Dionaea)
- Deception: Honeynets, Honeytokens, Deception Platforms (Attivo, Illusive, CounterCraft) — Detect Scanner Early
สรุป
Network Scanning = Foundation ของ Reconnaissance — ทั้ง Defender (Asset Inventory, Vuln Mgmt, Compliance) และ Attacker (Target Selection, Exploit Path) ใช้เครื่องมือเดียวกัน (Nmap, Masscan, Nuclei, Nessus) — ความแตกต่างคือ Authorization และ Intent — Defender ต้องสแกนตัวเองก่อนโจมตี (Continuous Scanning + ASM - Attack Surface Management)
