LaBrea (Tarpit) คืออะไร?
LaBrea เป็นโปรแกรม Open Source (สร้างโดย Tom Liston) ที่ทำหน้าที่เป็น Tarpit (หุบเขาบันได) ในเครือข่าย: จำลอง IP Address ที่ว่างเปล่า (Unused IP Space) และตอบสนองต่อ Connection Attempt (SYN Packet) ด้วย TCP Handshake ที่ช้ามาก (Window Size = 0) ทำให้ Attacker/Scanner/Worm ค้างอยู่ในการเชื่อมต่อนานที่สุด (ชั่วโมง-วัน) ลดความเร็วและประสิทธิภาพของการสแกน/โจมตีอัตโนมัติ
⚙️ ทำงานอย่างไร? (Technical Detail)
- LaBrea ใช้ ARP Spoofing / Proxy ARP ตอบสนอง ARP Request สำหรับ IP ที่ไม่ได้ใช้งานใน Subnet
- เมื่อ Attacker ส่ง SYN ไป IP เหล่านั้น LaBrea ตอบ SYN/ACK
- Attacker ส่ง ACK กลับ → TCP Connection Established
- LaBrea ส่ง Window Size = 0 (Zero Window) → Attacker หยุดส่งข้อมูล รอ Window Update
- LaBrea ส่ง Window Update ทีละ 1 Byte (หรือไม่ส่งเลย) → Attacker ค้างใน State ESTABLISHED จนกว่า Timeout (มักนานมาก)
- Attacker ใช้ Resource (Socket, Memory, CPU) ต่อ Connection → ไม่สามารถสแกน/โจมตี IP อื่นได้
🎯 จุดประสงค์และประโยชน์
- Slow Down Scanners/Worms: Code Red, Nimda, SQL Slammer propagation ช้าลงมาก
- Early Warning: Log การเชื่อมต่อ → รู้ว่ามีการสแกน Subnet ไหน
- Deception/Honeypot: 일부ร่วมกับ Honeypot (Honeyd, Dionaea) เพิ่มความน่าเชื่อถือ
- Low Resource: ใช้ Memory/CPU น้อยมาก (Kernel-level, Event-driven)
🛠️ การติดตั้งและใช้งาน (Linux)
# Debian/Ubuntu
sudo apt-get install labrea
# Config: /etc/labrea/labrea.conf
# Interface, Target Subnet, Bandwidth Throttle, Logging
# Run
sudo labrea -c /etc/labrea/labrea.conf -d # Daemon mode
# หรือรัน foreground
sudo labrea -i eth0 -r 192.168.1.0/24⚠️ ข้อควรระวังและข้อจำกัด
- Legality/Ethics: ต้องเป็นเจ้าของเครือข่ายหรือได้รับอนุญาต การ Tarpit IP ของผู้อื่นอาจผิดกฎหมาย
- Impact on Legitimate Traffic: หาก IP จริงถูก Tarpit โดยผิดพลาด จะทำให้ Service Down
- Modern Attackers: Botnet/Scanner สำเร็จรูปมักมี Timeout สั้น และ Parallelism สูง ลดประสิทธิภาพ
- Not a Replacement: ไม่ใช่ Firewall/IDS/IPS ใช้ร่วมกัน (Defense in Depth)
- IPv6: Version เดิมรองรับ IPv4 เท่านั้น (มี Fork รองรับ IPv6)
🔄 ทางเลือกสมัยใหม่ (Modern Alternatives)
| Tool | คำอธิบาย |
|---|---|
| Honeyd | Low-interaction Honeypod จำลอง Service/OS หลายตัว |
| Dionaea | Malware Capture Honeypot (SMB, HTTP, FTP, TFTP, SIP) |
| Cowrie | SSH/Telnet Honeypot จับ Credential และ Command |
| Conpot | ICS/SCADA Honeypot (Modbus, S7comm, DNP3) |
| T-Pot | All-in-one Honeypot Platform (Docker, ELK Stack) |
| Cloud Tarpitting: AWS GuardDuty, Azure Defender, GCP Security Command Center → Auto-block/Throttle |
📜 ประวัติสั้น
LaBrea เปิดตัว 2001 ตอบโจทย์ Worm แบบ Mass-scanning (Code Red, Nimda) ชื่อมาจาก La Brea Tar Pits (หลุมบ้วนน้ำมันลอสแองเจลิส) ที่สัตว์สะสมติดอยู่ → Hidden meaning: "Trap that holds attackers"
สรุป
LaBrea = Tarpit Tool จำลอง IP ว่าง ตอบ TCP Handshake ช้า (Zero Window) ทำให้ Scanner/Worm ค้าง Connection ลดอัตราการแพร่ระบาด ใช้ร่วมกับ Honeypot/IDS ไม่ใช่แทนที่ Firewall ต้องมีสิทธิ์จัดการเครือข่าย สมัยใหม่ควรพิจารณา Honeypot Platform (T-Pot) หรือ Cloud-native Protection
