Man-in-the-Middle (MITM) Attack ในความปลอดภัยเครือข่าย คืออะไร? วิธีป้องกันและตัวอย่างการโจมตี

Man-in-the-Middle (MITM) Attack คืออะไร?

การโจมตีแบบ Man-in-the-Middle (MITM) เป็นการโจมตีทางไซเบอร์ที่ผู้โจมตีแทรกตัวเข้าไปในช่องสื่อสารระหว่างสองฝ่าย (เช่น ผู้ใช้และเว็บไซต์ หรือระหว่างเซิร์ฟเวอร์สองเครื่อง) เพื่อ ดักฟัง (Eavesdrop), ขโมย, หรือแก้ไขข้อมูล ที่ส่งผ่านไป โดยสองฝ่ายไม่รู้ว่ามีบุคคลที่สามอยู่กลางทาง

วิธีการทำงานของ MITM Attack

ผู้โจมตีจัดตำแหน่งตัวเองอยู่ระหว่าง Victim (เหยื่อ) และ Destination (ปลายทาง)
ดักจับ Traffic ที่ไหลผ่าน
อ่าน ขโมย หรือแก้ไขข้อมูล (Credentials, Session Cookies, Financial Data, Personal Info)
ส่งต่อข้อมูลไปยังปลายทางปลายทาง (อาจแก้ไขแล้วก็ได้)

ประเภทของ MITM Attacks

IP Spoofing - ทำปลอม IP Address เพื่อแทรกตัว
ARP Spoofing/Poisoning - ทำปลอม ARP Table ในเครือข่าย LAN
DNS Spoofing - นำทางผู้ใช้ไปยังเว็บไซต์ปลอม
HTTPS Spoofing / SSL Stripping - ลดระดับการเชื่อมต่อ HTTPS เป็น HTTP
Email Hijacking - แทรกตัวในการสื่อสารอีเมล
Wi-Fi Eavesdropping (Evil Twin) - สร้าง Hotspot ปลอม
Session Hijacking - ขโมย Session Cookie/Token

ตัวอย่างการโจมตี MITM

1. Active Eavesdropping (การดักฟังเชิงรุก)

ผู้โจมตีสร้างการเชื่อมต่ออิสระกับเหยื่อทั้งสองฝ่าย ทำให้เหยื่อคิดว่ากำลังคุยกันโดยตรง แต่จริงๆ ผู้โจมตีควบคุมการสนทนาทั้งหมด

2. Evil Twin Attack (Wi-Fi ปลอม)

ผู้โจมตีสร้าง Wi-Fi Hotspot ชื่อเหมือนเครือข่ายที่ถูกต้อง (เช่น "Starbucks_Free_WiFi") เหยื่อเชื่อมต่อ → ผู้โจมตีดักจับ Traffic ทั้งหมด

3. SSL Stripping

ผู้โจมตีลดระดับการเชื่อมต่อ HTTPS เป็น HTTP โดยการบล็อกการ Redirect ไป HTTPS และเสิร์ฟเวอร์เวอร์ชัน HTTP ให้เหยื่อแทน

ความพบบ่อยและความเสี่ยง

MITM attacks เป็นภัยคุกคามที่องค์กรเผชิญตลอดเวลา แม่น้อยกว่า Ransomware และ Phishing

IBM X-Force Threat Intelligence Index 2018: 35% ของกิจกรรมการโจมตีเกี่ยวข้องกับ MITM
เป้าหมายหลัก: Credentials, Financial Data, Personal Info, Intellectual Property
อาจนำไปสู่: Identity Theft, Financial Fraud, Corporate Espionage, Malware Distribution

วิธีป้องกัน MITM Attacks

ระดับเครือข่ายและโครงสร้างพื้นฐาน

ใช้ HTTPS ทุกที่ (HSTS - HTTP Strict Transport Security) - บังคับให้เบราว์เซอร์ใช้ HTTPS เท่านั้น
Certificate Pinning - ผูก Certificate/Expected Public Key ไว้ในแอป
VPN (Virtual Private Network) - เข้ารหัส Traffic ทั้งหมด ป้องกันการดักฟังบน Public Wi-Fi
DNSSEC - ป้องกัน DNS Spoofing
Dynamic ARP Inspection (DAI) - ป้องกัน ARP Spoofing บน Switch
Port Security / DHCP Snooping - ควบคุม Layer 2 Attacks

ระดับแอปพลิเคชันและผู้ใช้

MFA (Multi-Factor Authentication) - แม้รหัสผ่านถูกขโมย โจมตีไม่สามารถเข้าได้
ตรวจสอบ Certificate - ดูแม่กุญแจ/ใบรับรองเว็บไซต์ก่อนกรอกข้อมูลสำคัญ
หลีกเลี่ยง Public Wi-Fi สำหรับธุรกรรมสำคัญ - หรือใช้ VPN เสมอ
Browser Security - ใช้เบราว์เซอร์ที่ทันสมัย มีการแจ้งเตือนเว็บไซต์ไม่ปลอดภัย
Software Updates - อัปเดต OS, Browser, Apps ให้ทันสมัย

การตรวจจับ MITM Attacks

Network Traffic Analysis (NTA) - ตรวจจับรูปแบบ Traffic ผิดปกติ
Certificate Transparency Logs - ตรวจสอบใบรับรองที่ออกใหม่
SIEM Correlation - สหสัมพันธ์ Event Logs จากหลายแหล่ง
Endpoint Detection & Response (EDR) - ตรวจจับการเปลี่ยนแปลงบน Endpoint

MITM และ HTTPS

HTTPS ไม่รับประกัน ป้องกัน MITM ได้ 100% หาก:

ไม่ได้เปิดใช้งาน HSTS
ผู้ใช้ยอมรับ Certificate Warning (Self-signed/Expired Cert)
มี Rogue CA (Certificate Authority) ที่ถูกไว้ใน Trust Store
SSL Stripping ทำงานสำเร็จ (Downgrade Attack)

แนวทางปฏิบัติที่ดีที่สุด: ใช้ HTTPS + HSTS + Certificate Pinning + VPN บนเครือข่ายไม่เชื่อถือได้